การปฏิบัติตาม PDPA สำหรับ HR ในประเทศไทย: สิ่งที่ต้องทำก่อนโดนตรวจสอบ

ลองนึกภาพนี้ดู — วันอังคารเช้า ยังไม่ทันจิบกาแฟถ้วยแรก อีเมลจากฝ่ายกฎหมายก็เด้งเข้ามา: “ขอให้เตรียมเอกสารสัญญาจ้างงานและบันทึกข้อมูลพนักงานทั้งหมดภายใน 48 ชั่วโมง เนื่องจากจะมีการตรวจสอบ PDPA” ถ้าเจอแบบนี้ คุณพร้อมแค่ไหน?

สำหรับทีม HR หลายองค์กรในไทย การปฏิบัติตาม PDPA สำหรับ HR ในประเทศไทย ยังคงเป็นเรื่องที่ “รู้ว่าสำคัญ แต่ยังไม่ได้ทำจริงจัง” และนั่นคือความเสี่ยงที่ไม่ควรมองข้าม เพราะ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้รอให้คุณพร้อมก่อน

บทความนี้จะพาคุณเดินผ่านทุกขั้นตอนที่ทีม HR ต้องจัดการ ก่อนที่จะถูกตรวจสอบ — พร้อมแนวทางปฏิบัติจริงที่นำไปใช้ได้ทันที

ทีม HR คือกลุ่มที่ “แตะ” ข้อมูลส่วนบุคคลมากที่สุดในองค์กร ตั้งแต่วันที่รับสมัครงาน ไปจนถึงวันสุดท้ายของการทำงาน ข้อมูลที่ HR ดูแลประกอบด้วย:

• ชื่อ นามสกุล เลขบัตรประชาชน วันเกิด
• ข้อมูลสุขภาพ ใบรับรองแพทย์
• บัญชีธนาคาร เงินเดือน
• ประวัติการทำงาน ผลการประเมิน
• ข้อมูลครอบครัว ผู้รับผลประโยชน์ประกัน

ข้อมูลเหล่านี้ล้วนเป็น “ข้อมูลส่วนบุคคล” ตามนิยามของ PDPA และบางส่วนเป็น “ข้อมูลอ่อนไหว” (Sensitive Data) ที่ต้องขอความยินยอมอย่างชัดเจน

หากเกิดการรั่วไหลหรือการใช้ผิดวัตถุประสงค์ โทษปรับสูงสุดอยู่ที่ 5 ล้านบาทต่อกรณี และยังมีโทษทางอาญาอีกด้วย

1. ทำ Data Mapping ให้ครบถ้วน

ก่อนอื่นเลย ต้องรู้ว่าองค์กรคุณ “มีข้อมูลอะไร เก็บไว้ที่ไหน และใครเข้าถึงได้บ้าง” ขั้นตอนนี้เรียกว่า Data Mapping หรือ Record of Processing Activities (ROPA)

สิ่งที่ต้องบันทึก:

• ประเภทข้อมูลที่เก็บ (เช่น ข้อมูลส่วนตัว ข้อมูลสุขภาพ)
• วัตถุประสงค์การเก็บข้อมูล
• ระยะเวลาเก็บรักษา (Retention Period)
• ผู้ที่มีสิทธิ์เข้าถึง
• การส่งต่อข้อมูลให้บุคคลที่สาม เช่น บริษัทประกัน หรือธนาคาร

เครื่องมืออย่าง Sprout Keeper ช่วยให้คุณจัดเก็บเอกสารพนักงานอย่างปลอดภัยในระบบ cloud พร้อม access control ที่ชัดเจน

2. ทบทวนฐานทางกฎหมาย (Legal Basis) ทุกกิจกรรม

PDPA กำหนดว่าการเก็บข้อมูลต้องมี “ฐานทางกฎหมาย” ที่ชัดเจน สำหรับ HR มีฐานที่ใช้บ่อยดังนี้:

• ความยินยอม (Consent) — ใช้สำหรับข้อมูลที่ไม่จำเป็นต่อสัญญาจ้าง เช่น การเก็บรูปถ่ายเพื่อใช้ใน marketing
• ความจำเป็นตามสัญญา (Contractual Necessity) — ข้อมูลที่จำเป็นสำหรับการจ้างงาน เช่น เงินเดือน บัญชีธนาคาร
• ภาระทางกฎหมาย (Legal Obligation) — ข้อมูลที่ต้องเก็บตามกฎหมาย เช่น ประกันสังคม ภาษี
• ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) — ต้องระวังเป็นพิเศษ ต้องทำ Balancing Test ก่อน

ตรวจสอบว่าทุก activity ของ HR มีฐานที่ถูกต้อง และอย่าพึ่งพา “ความยินยอม” มากเกินไป เพราะอาจเป็นปัญหาในภายหลัง

3. ปรับปรุงแบบฟอร์มและเอกสารทั้งหมด

เอกสาร HR ที่ต้องอัพเดตให้สอดคล้องกับ PDPA:

• ใบสมัครงาน — ต้องมีคำอธิบายวัตถุประสงค์การเก็บข้อมูลและช่องลงนามยินยอม
• สัญญาจ้างงาน — เพิ่มข้อกำหนดเรื่อง data protection
• Privacy Notice — แจ้งพนักงานตั้งแต่วันแรกว่าเก็บข้อมูลอะไร เพื่ออะไร นานแค่ไหน
• แบบฟอร์มลา — ข้อมูลสุขภาพเป็น sensitive data ต้องระบุฐานทางกฎหมายให้ชัด

ระบบ Leave Application ของ Sprout ช่วยจัดการคำขอลาออนไลน์ โดยข้อมูลถูกจัดเก็บในระบบที่ปลอดภัยตามมาตรฐาน

4. ฝึกอบรมทีม HR และผู้จัดการ

ความล้มเหลวในการปฏิบัติตาม PDPA ส่วนใหญ่ไม่ได้เกิดจากนโยบาย แต่เกิดจากคนที่ไม่รู้ว่าควรทำอะไร หัวข้อที่ต้องฝึกอบรม:

• อะไรคือข้อมูลส่วนบุคคล และอะไรคือ sensitive data
• ขั้นตอนการรับและจัดการคำร้องขอสิทธิ์ของเจ้าของข้อมูล (DSR)
• วิธีรายงานเหตุการณ์ Data Breach ภายใน 72 ชั่วโมง
• ข้อห้ามในการแชร์ข้อมูลพนักงานผ่าน Line หรือ email ส่วนตัว

5. จัดการสิทธิ์เจ้าของข้อมูล (Data Subject Rights)

พนักงานทุกคนมีสิทธิ์ตาม PDPA ดังนี้:

• สิทธิ์รับรู้ว่าข้อมูลถูกเก็บอะไรบ้าง
• สิทธิ์ขอแก้ไขข้อมูล
• สิทธิ์ขอลบข้อมูล (Right to Erasure)
• สิทธิ์คัดค้านการประมวลผล
• สิทธิ์โอนย้ายข้อมูล

คุณต้องมีกระบวนการรับและตอบสนองคำร้อง DSR ภายใน 30 วัน — มีระบบรองรับแล้วหรือยัง?

6. ทบทวนสัญญากับ Third-Party Vendors

HR มักส่งข้อมูลพนักงานให้กับบุคคลที่สาม เช่น บริษัทประกัน, ผู้ให้บริการ payroll outsource, หรือ recruitment platform ทุกรายต้องมี Data Processing Agreement (DPA) ที่ลงนามแล้ว

ตรวจสอบว่า vendor ของคุณมีมาตรฐานการรักษาความปลอดภัยข้อมูลที่เพียงพอ และเก็บข้อมูลเฉพาะที่จำเป็นเท่านั้น

7. วางแผนรับมือ Data Breach

PDPA กำหนดให้แจ้ง PDPC ภายใน 72 ชั่วโมง หากเกิด data breach ที่มีความเสี่ยง แผนที่ต้องมี:

• ทีมรับผิดชอบ (PDPA Response Team)
• ขั้นตอนการตรวจจับและประเมินความเสี่ยง
• Template การแจ้ง PDPC และเจ้าของข้อมูล
• บันทึกเหตุการณ์ทุกครั้ง แม้จะไม่ต้องแจ้งก็ตาม

• ทำ PDPA Audit ด้วยตัวเองทุก 6 เดือน — ไม่ต้องรอให้มีการตรวจสอบจริง
• เก็บหลักฐานความยินยอมให้ครบ — สแกนหรือจัดเก็บในระบบ ไม่ใช่แค่กระดาษในแฟ้ม
• อย่าเก็บข้อมูลมากกว่าที่จำเป็น — Data Minimization คือหัวใจของ PDPA
• ทดสอบการเข้าถึงข้อมูล — ใครสามารถดูอะไรได้บ้าง? มีคนที่ไม่ควรเข้าถึงได้หรือเปล่า?
• ใช้ระบบที่ designed สำหรับ compliance — ระบบที่ดีช่วยลด human error ได้มาก ลองดูระบบ HR ของ Sprout ที่ออกแบบมาให้รองรับมาตรฐาน data security

Sprout เป็นระบบ HR ที่สร้างมาสำหรับองค์กรในประเทศไทยโดยเฉพาะ ทุก product ได้รับการออกแบบโดยคำนึงถึงการรักษาความปลอดภัยของข้อมูล:

• Sprout Keeper — คลังเอกสารพนักงานดิจิทัล จัดเก็บปลอดภัย กำหนดสิทธิ์การเข้าถึงได้ตาม role เหมาะสำหรับการจัดการเอกสาร PDPA อย่างเป็นระบบ
• Payroll Application — คำนวณเงินเดือนและภาษีอัตโนมัติ ลดความเสี่ยงจากข้อผิดพลาดของมนุษย์ในการจัดการข้อมูลการเงิน
• Attendance — บันทึกเวลาทำงานในระบบ cloud ที่ปลอดภัย ไม่ต้องเก็บในไฟล์ Excel ที่เสี่ยงรั่วไหล
• Leave Application — จัดการคำขอลาออนไลน์ ข้อมูลสุขภาพถูกเก็บอย่างปลอดภัย

อยากรู้ว่า Sprout ช่วยองค์กรคุณในเรื่อง PDPA compliance ได้อย่างไร? นัดคุยกับทีมผู้เชี่ยวชาญของเราได้เลย

PDPA คืออะไร และทำไม HR ต้องสนใจ?

PDPA หรือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือกฎหมายที่กำหนดให้องค์กรต้องเก็บและใช้ข้อมูลส่วนบุคคลอย่างถูกต้อง ทีม HR คือกลุ่มที่สัมผัสข้อมูลพนักงานมากที่สุด ตั้งแต่ใบสมัครงาน ไปจนถึงข้อมูลเงินเดือนและสุขภาพ การปฏิบัติตาม PDPA สำหรับ HR ในประเทศไทย จึงเป็นความรับผิดชอบที่หลีกเลี่ยงไม่ได้

ถ้าไม่ปฏิบัติตาม PDPA จะมีโทษอะไรบ้าง?

โทษปรับทางปกครองสูงสุดอยู่ที่ 5 ล้านบาทต่อกรณี และยังมีโทษทางอาญาสำหรับกรณีที่ร้ายแรง เช่น การเปิดเผยข้อมูลโดยเจตนา ซึ่งอาจรวมถึงการจำคุกด้วย นอกจากนี้ยังเสียหายด้านภาพลักษณ์องค์กรซึ่งยากจะประเมินมูลค่า

HR ต้องทำอะไรก่อนเป็นอันดับแรกในการปฏิบัติตาม PDPA?

เริ่มจาก Data Mapping — สำรวจว่าองค์กรเก็บข้อมูลอะไรบ้าง เก็บไว้ที่ไหน ใครเข้าถึงได้ และมีฐานทางกฎหมายอะไร หลังจากนั้นค่อยปรับเอกสาร ฝึกอบรมทีม และวางกระบวนการรับมือ DSR และ Data Breach

ความยินยอม (Consent) ต้องขออย่างไรให้ถูกต้องตาม PDPA?

ความยินยอมต้องชัดเจน เป็นอิสระ และแยกออกจากเงื่อนไขอื่น พนักงานต้องเข้าใจว่ายินยอมเรื่องอะไร เก็บข้อมูลนานแค่ไหน และมีสิทธิ์ถอนความยินยอมได้ตลอดเวลา อย่าฝังรวมไว้ในสัญญาจ้างโดยไม่แยกส่วน

ข้อมูลพนักงานประเภทไหนที่เป็น Sensitive Data?

ข้อมูลอ่อนไหวตาม PDPA ได้แก่ เชื้อชาติ ความคิดเห็นทางการเมือง ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ และข้อมูลสหภาพแรงงาน ข้อมูลเหล่านี้ต้องขอความยินยอมโดยชัดแจ้ง (Explicit Consent) และมีมาตรการรักษาความปลอดภัยที่เข้มงวดกว่าปกติ

ระบบ HR Software ช่วยเรื่อง PDPA compliance ได้อย่างไร?

ระบบ HR ที่ดีช่วยจำกัดการเข้าถึงข้อมูลตาม role กำหนด retention period อัตโนมัติ เก็บ audit log ว่าใครเข้าถึงข้อมูลอะไรเมื่อไร และลด human error จากการจัดการข้อมูลด้วยมือ ซึ่งเป็นจุดเสี่ยงหลักของ data breach ลองดู Sprout Keeper สำหรับการจัดการเอกสารพนักงาน

องค์กร SME ต้องปฏิบัติตาม PDPA ด้วยหรือเปล่า?

ใช่ PDPA บังคับใช้กับทุกองค์กรที่เก็บหรือประมวลผลข้อมูลส่วนบุคคลในประเทศไทย ไม่ว่าจะมีขนาดเล็กหรือใหญ่ ข้อยกเว้นมีเพียงบุคคลธรรมดาที่เก็บข้อมูลเพื่อใช้ส่วนตัว SME ที่ไม่มีระบบ HR ควรเริ่มจากการทำ Data Mapping และปรึกษาผู้เชี่ยวชาญ

ถ้าพนักงานขอลบข้อมูล (Right to Erasure) HR ต้องทำอย่างไร?

HR ต้องประเมินก่อนว่ามีเหตุผลทางกฎหมายที่ต้องเก็บข้อมูลนั้นต่อหรือไม่ เช่น เอกสารภาษีที่ต้องเก็บตามกฎหมาย หากไม่มีเหตุผล ต้องดำเนินการลบภายใน 30 วัน และแจ้ง third party ที่เคยรับข้อมูลนั้นด้วย

การปฏิบัติตาม PDPA สำหรับ HR ในประเทศไทย ไม่ใช่เรื่องของการผ่านการตรวจสอบเพียงครั้งเดียว แต่คือการสร้างวัฒนธรรมองค์กรที่ให้ความสำคัญกับความเป็นส่วนตัวของข้อมูลพนักงานในทุกวัน

เริ่มจาก Data Mapping → ปรับเอกสาร → ฝึกอบรมทีม → วางกระบวนการ DSR และ Data Breach → ทบทวนสัญญา Vendor และใช้ระบบที่รองรับ compliance อย่างจริงจัง

อย่ารอให้ได้รับจดหมายเชิญตรวจสอบก่อน ถึงค่อยวิ่งหาทางออก

• นัดคุยกับทีม Sprout วันนี้ เพื่อดูว่า Sprout ช่วยให้ HR ของคุณ compliant และมีประสิทธิภาพมากขึ้นได้อย่างไร

ติดตาม Sprout เพิ่มเติมได้ที่:

• Facebook
• LinkedIn
• Instagram
• LINE OA