ซองเงินเดือนไม่ปิดผนึกซองเดียว บริษัทโดนตักเตือน สั่งเยียวยาพนักงาน! แต่ส่งอีเมลบอกทั้งบริษัทว่าเลิกจ้างใคร กลับไม่ผิด PDPA

บทนำ: ซองสีน้ำตาลที่ไม่มีใครตั้งใจเปิด

ซองเอกสารเงินเดือนซองหนึ่ง ถูกฝากส่งต่อผ่านมือคนที่ไม่เกี่ยวข้อง และไม่ได้ปิดผนึก ปลายทางคือบริษัทโดนตักเตือน ถูกสั่งให้ปรับมาตรการรักษาความปลอดภัย และให้พิจารณาเยียวยาพนักงานคนนั้น

ลองนึกภาพเช้าวันจันทร์ในออฟฟิศ ฝ่ายบุคคลเพิ่งทำเอกสารปรับโครงสร้างเงินเดือนประจำปีเสร็จ ทุกคนรีบ งานล้นมือ เลยฝากคนที่ไม่เกี่ยวข้องถือไปให้ ซองนั้นไม่ได้ติดกาว ไม่ได้ปิดผนึก แล้วตัวเลขเงินเดือนของพนักงานคนหนึ่งก็ไปอยู่ในสายตาเพื่อนร่วมงานคนอื่น

ไม่มีใครตั้งใจทำร้ายใคร แต่เรื่องนี้ไปจบที่การร้องเรียน

ทีนี้ลองอีกเรื่องหนึ่ง บริษัทส่งอีเมลถึงพนักงานทุกคน บอกชื่อ ตำแหน่ง และพฤติกรรมที่ทำผิดสัญญาของคนที่เพิ่งถูกเลิกจ้าง ฟังดูแรงกว่าซองเงินเดือนหลายเท่า แต่เรื่องนี้กลับไม่ผิด PDPA

ถ้าคุณเป็นเจ้าของธุรกิจหรือดูแลงาน HR คุณตอบได้ไหมว่าสองเรื่องนี้ต่างกันตรงไหน?

นี่คือตอนที่ 3 ของซีรีส์ “ถอดเคส PDPA” เราหยิบ 5 เรื่องร้องเรียนจริงที่เกิดในงาน HR มาเล่าแบบสบาย ๆ ตั้งแต่ซองเงินเดือน บอร์ดประกาศ อีเมลเลิกจ้าง คำขอลบข้อมูลของคนที่ไม่ผ่านทดลองงาน ไปจนถึงเครื่องสแกนหน้าลงเวลา แล้วปิดท้ายด้วยเช็กลิสต์ที่ฝ่ายบุคคลเอาไปใช้ได้พรุ่งนี้เช้า ถ้ายังไม่ได้อ่านตอนก่อน ๆ ตอนที่ 1 คือเรื่อง บริษัทโพสต์ว่าพนักงานพ้นสภาพ และตอนที่ 2 คือ 5 เรื่องจริงของมุมกล้องวงจรปิด

ข้อมูลพนักงานแบบไหนที่ PDPA คุ้มครอง?

ทุกข้อมูลที่บอกได้ว่าเป็นใคร ไม่ว่าจะบอกตรง ๆ หรือบอกทางอ้อม ชื่อ เงินเดือน ตำแหน่ง เหตุผลที่เลิกจ้าง ภาพถ่าย หรือแม้แต่รูปร่างที่เพื่อนร่วมงานจำได้ ล้วนเป็นข้อมูลส่วนบุคคลตามมาตรา 6

ฝ่าย HR จับข้อมูลพวกนี้ทุกวันจนชิน และนั่นคือเหตุผลที่พลาดง่าย ลองดูว่าข้อมูลแต่ละแบบที่ HR ถืออยู่ มีน้ำหนักต่างกันอย่างไร

ถ้าอยากเห็นภาพรวมทั้งวงจรว่า HR ต้องทำอะไรตั้งแต่วันรับสมัครจนวันที่พนักงานเดินออกจากบริษัท AIPDPA มีบทความ ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก ที่ไล่ให้ทีละช่วง

อ่านก่อนไปต่อ: เรื่องเล่าในบทความนี้สรุปจากเอกสารผลการพิจารณาเรื่องร้องเรียนของคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่เผยแพร่ต่อสาธารณะ เราเล่าเฉพาะข้อเท็จจริงที่อยู่ในเอกสาร ไม่เติมรายละเอียดที่เอกสารไม่ได้เขียน และไม่ระบุตัวบุคคลหรือองค์กร ส่วนที่เป็นข้อคิดหรือคำแนะนำเป็นความเห็นของผู้เขียน

เรื่องที่ 1: ซองเงินเดือนไม่ได้ปิดผนึก เพื่อนร่วมงานเปิดดู บริษัทผิดไหม?

ผิด และคนที่ต้องรับผิดชอบคือบริษัท ไม่ใช่เพื่อนร่วมงานที่เปิดดู เพราะกฎหมายวางหน้าที่ดูแลความปลอดภัยของข้อมูลไว้ที่ผู้ควบคุมข้อมูล ความประมาทของพนักงานคนหนึ่งจึงกลายเป็นความรับผิดของทั้งองค์กร และคำสั่งในเรื่องนี้ไม่ได้หยุดแค่ให้แก้ระบบ แต่ไปถึงการเยียวยาพนักงานที่ข้อมูลรั่วด้วย นี่คือเรื่องที่เล่าไว้ในบทนำ

ผู้ร้องเป็นอดีตพนักงานของบริษัทแห่งหนึ่ง เธอเล่าว่าเอกสารปรับโครงสร้างเงินเดือนประจำปี 2566 ของเธอถูกเพื่อนร่วมงานเปิดดู สาเหตุมาจากเจ้าหน้าที่ฝ่ายบุคคลซึ่งมีหน้าที่ดูแลข้อมูลลับของพนักงาน ฝากส่งเอกสารผ่านคนที่ไม่เกี่ยวข้อง โดยไม่ได้ปิดผนึกซอง ข้อมูลจึงถูกเปิดเผยต่อเพื่อนร่วมงานคนอื่น เธอรู้สึกเสียหายและถูกละเมิดสิทธิ จึงร้องเรียน

คณะกรรมการมองตรงไปที่บริษัท บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดูแลชื่อ นามสกุล และข้อมูลการปรับเงินเดือนของพนักงาน ไม่ให้ไปถึงคนอื่นนอกจากเจ้าของข้อมูล เมื่อความประมาทของพนักงานบริษัททำให้ข้อมูลรั่วไหลโดยไม่ได้รับความยินยอม จึงเป็นการละเมิดตาม มาตรา 27 วรรคหนึ่ง ประกอบ มาตรา 83

คำสั่งมี 3 ส่วน (เอกสารที่ 30/2566 ลงวันที่ 20 ธันวาคม 2566)

1. ตักเตือน บริษัท
2. ให้ ปรับปรุงมาตรการรักษาความมั่นคงปลอดภัย ตามมาตรา 37 (1) และให้เป็นไปตามมาตรการขั้นต่ำในข้อ 4 (7) ของประกาศคณะกรรมการฯ เรื่องมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565
3. ให้ พิจารณาช่วยเหลือเยียวยาผู้ร้องอย่างเหมาะสม เป็นธรรม และมีความปลอดภัยในการทำงาน แล้วรายงานผลภายใน 30 วัน

ข้อ 3 คือข้อที่น่าสนใจที่สุด คำสั่งไม่ได้หยุดแค่ “แก้ระบบ” แต่ไปถึงความรู้สึกปลอดภัยในการทำงานของคนที่ข้อมูลรั่วด้วย ลองคิดดูว่าการทำงานต่อในแผนกที่ทุกคนรู้เงินเดือนเรา มันอึดอัดแค่ไหน

สิ่งที่เรื่องนี้สอนฝ่าย HR:

• “ฝากกันไป” คือจุดรั่วที่พบบ่อยที่สุด เอกสารเงินเดือนควรส่งถึงมือเจ้าของ หรือส่งผ่านช่องทางที่ล็อกไว้ เช่น สลิปเงินเดือนแบบมีรหัส หรือระบบ HR ที่แต่ละคนเห็นเฉพาะของตัวเอง
• ซองต้องปิดผนึก และควรมีคำว่า “ลับ เฉพาะผู้รับ” ฟังดูพื้นฐานมาก แต่เรื่องนี้เกิดจากจุดพื้นฐานแบบนี้จริง ๆ
• ความผิดของพนักงาน 1 คน คือความรับผิดของบริษัท มาตรา 37 (1) วางหน้าที่ไว้ที่ผู้ควบคุมข้อมูล ถ้ายังไม่แน่ใจว่ามาตรการขั้นต่ำมีอะไรบ้าง อ่าน คู่มือมาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ได้เลย
• ถ้าอยากให้คนที่ทำเงินเดือนรู้ว่าต้องเก็บความลับ ให้เขียนลงเป็นข้อตกลง OK Contracts มีตัวอย่าง สัญญารักษาข้อมูลอันเป็นความลับ (เงินเดือนพนักงาน) ที่สร้างได้ทันที

เรื่องที่ 2: ลาออกไปอยู่คู่แข่ง แล้วบริษัทเก่าเอารูปไปติดบอร์ด เบลอหน้าแล้วยังผิดไหม?

ยังผิด เพราะคนที่ทำงานด้วยกันมานานจำได้ทันทีว่าในรูปคือใคร การเบลอหน้าหรือปิดชื่อไม่ได้ทำให้ข้อมูลกลายเป็นข้อมูลนิรนาม ถ้าคนที่เห็นรู้จักเจ้าของภาพอยู่แล้ว และการมีเป้าหมายที่ชอบธรรม เช่น เตือนเรื่องข้อห้ามแข่งขัน ก็ไม่ได้แปลว่าจะใช้วิธีไหนก็ได้ เรื่องที่สองนี้แรงที่สุดในตอนนี้ และควรอ่านช้า ๆ

ผู้ร้องเคยทำงานกับบริษัทมหาชนแห่งหนึ่ง เธอลาออกไปทำงานที่บริษัทอื่น บริษัทเดิมมองว่าที่ใหม่ทำธุรกิจแบบเดียวกัน จึงฟ้องคดีแรงงานว่าเธอผิดสัญญาห้ามประกอบอาชีพในธุรกิจเดียวกัน

เรื่องยังไม่จบแค่ในศาล ต่อมาเธอรู้ว่าบริษัทเดิม ติดประกาศที่บอร์ดประชาสัมพันธ์ของบริษัท มีทั้ง ภาพถ่ายของเธอที่ที่ทำงานใหม่ ภาพหน้าเพจ Facebook ของที่ทำงานใหม่ และ สำเนาคำฟ้องคดีแรงงาน ประกาศนั้นเบลอใบหน้า ปิดชื่อและนามสกุล และปิดข้อมูลอื่นไว้แล้ว

แต่พนักงานที่ทำงานกับเธอมานาน ดูรูปปุ๊บก็รู้ทันทีว่าเป็นใคร และมีคนเห็นประกาศพร้อม ลงชื่อรับทราบเป็นจำนวนมาก เธอเล่าว่ารู้สึกอับอาย ถูกคนในวิชาชีพเดียวกันรังเกียจ และเสียโอกาสในการทำงาน

คณะกรรมการไล่เหตุผลเป็นขั้น

• เบลอหน้าแล้วก็ยังเป็นข้อมูลส่วนบุคคล เพราะรูปร่างลักษณะในภาพทำให้คนที่เห็นจำได้ จึงเป็นข้อมูลที่ระบุตัวได้ทางอ้อมตามมาตรา 6
• การเอาไปติดบอร์ดมีลักษณะเป็นการประจาน บริษัทใช้ภาพและคำฟ้องประกอบการอธิบายข้อห้ามแข่งขันทางการค้า ทำให้พนักงานเข้าใจได้ว่าคนในภาพคือเธอ
• บริษัทใช้สิทธิทางศาลไปแล้ว เมื่อฟ้องคดีแรงงานแล้ว การติดประกาศเพิ่มจึง เกินความจำเป็น และประโยชน์ของบริษัทสำคัญน้อยกว่าสิทธิในข้อมูลของเธอ จึง อ้างมาตรา 24 (5) ไม่ได้
• เมื่อไม่มีฐานและไม่ได้รับความยินยอม จึง ฝ่าฝืนมาตรา 27

คำสั่งคือตักเตือนให้ปฏิบัติตามมาตรา 27 อย่างเคร่งครัด และให้ ลบทำลายข้อมูลของเธอตามมาตรา 33 แล้วรายงานผลภายใน 30 วัน (เอกสารที่ 31/2568 ลงวันที่ 22 สิงหาคม 2568)

ความเห็นผู้เขียน: เรื่องนี้มีสองบทเรียนซ้อนกัน บทเรียนแรกคือ การเบลอหน้าไม่ใช่ยันต์กันผิด ในออฟฟิศที่ทุกคนรู้จักกัน ทรงผม รูปร่าง ที่ทำงานใหม่ หรือแม้แต่ช่วงเวลาที่ประกาศ ก็บอกได้แล้วว่าเป็นใคร บทเรียนที่สองคือ เมื่อเรื่องไปถึงศาลแล้ว ให้ศาลเป็นคนตัดสิน การอยากเตือนพนักงานคนอื่นเรื่องข้อห้ามแข่งขันเป็นเรื่องเข้าใจได้ แต่ทำได้โดยไม่ต้องใช้ตัวอย่างที่ชี้ไปที่คนจริง

ถ้าบริษัทของคุณกังวลเรื่องพนักงานลาออกแล้วเอาข้อมูลไปด้วย ทางที่ถูกคือวางข้อตกลงตั้งแต่วันแรก เช่น คำรับรองพนักงานเรื่องทรัพย์สินทางปัญญาและความลับทางการค้า และอ่านต่อว่า พนักงานลาออกแล้วเอาลิสต์ลูกค้ากับซอร์สโค้ดไป บริษัททำอะไรได้ เรื่องนี้เป็นประเด็นระดับโลกด้วย ล่าสุด OpenAI ยื่นศาลอ้างว่าอดีตพนักงานย้ายไฟล์ลับไป Apple ซึ่ง TechLawNow สรุปไว้พร้อมข้อคิดว่าบริษัทไทยควรกันไฟล์รั่วตอนคนลาออกอย่างไร

เรื่องที่ 3: ส่งอีเมลบอกพนักงานทั้งบริษัทว่าเลิกจ้างใคร เพราะอะไร ทำไมไม่ผิด?

เพราะแจ้งแค่ภายใน มีเหตุผลทางธุรกิจที่ชัด และไม่มีข้อความเท็จหรือใส่ความ ดูผ่าน ๆ เรื่องนี้แรงกว่าเรื่องที่ 2 เสียอีก เพราะระบุทั้งชื่อ เหตุผล และส่งถึงพนักงานทุกคน แต่คณะกรรมการกลับยอมรับ การอ่านสองเรื่องนี้คู่กันจึงเป็นทางลัดที่ดีที่สุดในการเข้าใจว่าประโยชน์โดยชอบด้วยกฎหมายถูกชั่งน้ำหนักอย่างไร

บริษัทแห่งหนึ่งส่งอีเมลถึงพนักงานทุกคน แจ้งบันทึกสาเหตุการเลิกจ้างผู้ร้อง ในนั้นมี ชื่อ นามสกุล ตำแหน่ง และพฤติกรรมที่ทำผิดสัญญาจ้าง ผู้ร้องรู้สึกเสียหายจึงร้องเรียน

คณะกรรมการยอมรับก่อนว่าบันทึกนั้นเป็นข้อมูลส่วนบุคคล แต่ดูต่อว่าบริษัทแจ้งไป เพื่ออะไร และ แจ้งไปถึงใคร

ผลคือเข้า มาตรา 24 (5) ประโยชน์โดยชอบด้วยกฎหมาย บริษัทใช้และเปิดเผยข้อมูลนี้ได้โดยไม่ต้องขอความยินยอม เรื่องจึงยุติ (เอกสารที่ 55/2567 ลงวันที่ 14 พฤศจิกายน 2567)

เทียบเรื่องที่ 2 กับเรื่องที่ 3 ให้เห็นชัด ๆ

ความเห็นผู้เขียน: อย่าอ่านเรื่องที่ 3 แล้วสรุปว่า “ส่งอีเมลเลิกจ้างทั้งบริษัทได้เสมอ” สิ่งที่ทำให้รอดคือวัตถุประสงค์ที่ชัด วงที่จำกัด และเนื้อหาที่ตรงข้อเท็จจริง ถ้าเปลี่ยนจากอีเมลภายในเป็นโพสต์ในเพจ หรือใส่คำที่เกินข้อเท็จจริง เรื่องจะกลับไปคล้ายเรื่องที่ 2 และตอนที่ 1 ของซีรีส์ทันที ก่อนกดส่ง ลองตอบ 3 คำถามของการอ้างประโยชน์โดยชอบด้วยกฎหมาย ให้ได้ก่อน ส่วนประวัติวินัยเป็นข้อมูลอ่อนไหวหรือไม่ อ่านได้ที่ ประวัติโดนลงโทษทางวินัย เป็นข้อมูลอ่อนไหวหรือไม่

เรื่องที่ 4: ไม่ผ่านทดลองงานแล้วขอให้ลบข้อมูล บริษัทเงียบไป จะเกิดอะไรขึ้น?

เรื่องไปถึงหน่วยงานกำกับ และสุดท้ายข้อมูลก็ต้องถูกลบอยู่ดี หน้าที่ที่ง่ายที่สุดในกฎหมายคือการตอบคนที่ขอใช้สิทธิ แต่ความเงียบทำให้คำขอธรรมดาฉบับหนึ่งกลายเป็นเรื่องร้องเรียนที่คนนอกบริษัทต้องเข้ามาดู เรื่องที่สี่สั้นที่สุด แต่เป็นเรื่องที่เกิดได้กับทุกบริษัทในสัปดาห์นี้

ผู้ร้องสมัครงานกับบริษัทแห่งหนึ่ง แต่ ไม่ผ่านการทดลองงาน เธอเห็นว่าบริษัทไม่จำเป็นต้องเก็บข้อมูลที่เธอให้ไว้ตอนสมัครงานแล้ว และอยากกันความเสียหายที่อาจเกิดขึ้น จึงขอให้ฝ่ายบุคคลลบและทำลายข้อมูลเมื่อวันที่ 26 มิถุนายน 2566 แต่ ไม่ได้รับการตอบกลับ เธอจึงร้องเรียน

เมื่อคณะกรรมการตรวจสอบ พบว่าบริษัท ลบและทำลายข้อมูลของเธอแล้วเมื่อวันที่ 18 กรกฎาคม 2566 จึงเห็นว่าเป็นการทำตาม PDPA ที่ถูกต้องและครบถ้วนตามคำขอ และยุติเรื่อง (เอกสารที่ 21/2566 ลงวันที่ 30 สิงหาคม 2566)

ฟังดูจบสวย แต่ลองนับดู จากวันที่ขอถึงวันที่ลบคือ 22 วัน และตอนที่เธอร้องเรียน เธอ ยังไม่ได้รับคำตอบจากบริษัทเลย ถ้าบริษัทตอบกลับสักบรรทัดว่า “ได้รับคำขอแล้ว จะดำเนินการภายใน…” เรื่องนี้อาจไม่ต้องไปถึงใครเลย

สิ่งที่เรื่องนี้สอน:

• คำขอลบคือสิทธิตามมาตรา 33 เมื่อข้อมูลหมดความจำเป็นตามวัตถุประสงค์ เจ้าของข้อมูลขอให้ลบได้ เว้นแต่บริษัทมีเหตุตามกฎหมายที่ต้องเก็บต่อ ซึ่งต้องบอกเหตุผลนั้นให้เขารู้
• ความเงียบคือคำตอบที่แย่ที่สุด ตั้งกติกาภายในว่าคำขอทุกฉบับต้องตอบรับภายในไม่กี่วันทำการ และปิดเรื่องภายในกรอบ 30 วัน (ความเห็นผู้เขียน: กฎหมายเขียนกรอบ 30 วันไว้ชัดสำหรับคำขอเข้าถึงข้อมูลตามมาตรา 30 การใช้กรอบเดียวกันกับคำขออื่นทำให้ทีมจำง่ายและปลอดภัย) วิธีจัดระบบอยู่ใน ลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล ตอบอย่างไรให้ทันกำหนด
• ข้อมูลผู้สมัครที่ไม่ได้งาน ควรมีวันหมดอายุตั้งแต่แรก เขียนไว้ในประกาศความเป็นส่วนตัวสำหรับผู้สมัครว่าเก็บกี่เดือน แล้วลบตามนั้น ไม่ต้องรอให้ใครขอ ส่วนข้อมูลพนักงานที่ออกไปแล้วเก็บต่อได้แค่ไหน อ่านที่ ข้อมูลพนักงานเก่า เก็บต่อได้แค่ไหน ต้องลบเมื่อไร
• ระวังเรื่องที่ HR ชอบขอเกินจำเป็นตั้งแต่ใบสมัคร เช่น ประวัติอาชญากรรม ซึ่งมีกติกาเฉพาะ ดู ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน ตามประกาศปี 2566

เรื่องที่ 5: บริษัทให้พนักงานสแกนหน้าลงเวลา ทำได้ไหม?

ทำได้ถ้าทำถูกเงื่อนไขข้อมูลอ่อนไหว และควรมีทางเลือกอื่นให้คนที่ไม่ยินยอม เรื่องสุดท้ายนี้ไม่ได้ถูกพิจารณาในเนื้อหา แต่ข้อเท็จจริงในเอกสารให้บทเรียนที่ดีมาก

มีคนส่งเรื่องร้องเรียนมหาวิทยาลัยแห่งหนึ่งว่าเปลี่ยนวิธีลงเวลาทำงาน มาเก็บ ข้อมูลใบหน้าของเจ้าหน้าที่ เพื่อใช้ลงเวลา และขอให้ยกเลิกการสแกนหน้า

ฝั่งมหาวิทยาลัยชี้แจงว่า ได้รับความยินยอมจากผู้ปฏิบัติงานแล้ว และ ใครไม่ยินยอม ก็ขอใช้วิธีอื่นได้ เช่น การกดรหัส มหาวิทยาลัยไม่ได้ปิดกั้นสิทธิของใคร

เรื่องนี้จบตั้งแต่ประตูแรก เพราะคำร้องเป็น บัตรสนเท่ห์ ไม่มีชื่อ ที่อยู่ เบอร์โทร หรืออีเมลของผู้ร้อง คำร้องจึงไม่ชัดเจนและรายละเอียดไม่ครบตามข้อ 8 (1) ของระเบียบคณะกรรมการฯ ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565 คณะกรรมการจึงไม่รับเรื่อง (เอกสารที่ 38/2566 ลงวันที่ 20 ธันวาคม 2566)

ความเห็นผู้เขียน: แม้เรื่องจะไม่ได้ถูกพิจารณา แต่คำชี้แจงของมหาวิทยาลัยคือแม่แบบที่ดี ข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็น ข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 โดยหลักต้องได้ ความยินยอมโดยชัดแจ้ง และในความสัมพันธ์นายจ้างกับลูกจ้าง ความยินยอมจะมีน้ำหนักจริงก็ต่อเมื่อคนปฏิเสธได้โดยไม่เสียอะไร การมีทางเลือกอย่างการกดรหัสคือสิ่งที่ทำให้ความยินยอมนั้นเป็นอิสระจริง ถ้าบริษัทบังคับสแกนหน้าอย่างเดียว คำถามจะยากขึ้นมาก

อีกบทเรียนหนึ่งสำหรับพนักงาน ถ้าอยากให้เรื่องถูกพิจารณา ต้องระบุตัวตนและช่องทางติดต่อ คนที่กลัวผลกระทบควรถามช่องทางที่ปกป้องตัวผู้ร้องก่อน แต่บัตรสนเท่ห์ที่ไม่มีช่องทางติดต่อเลย มักไปไม่ถึงเนื้อหา

อ่านต่อเรื่องนี้ได้ที่ กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้ และ คู่มือจัดการข้อมูลอ่อนไหวตามมาตรา 26 ส่วนต่างประเทศ ศาลสหรัฐฯ เพิ่ง ไม่ยกฟ้อง Apple ส่วนใหญ่ในคดีสแกนใบหน้าในแอป Photos ซึ่งเป็นตัวอย่างว่าข้อมูลใบหน้ามีราคาสูงแค่ไหนในสายตากฎหมาย

เส้นแบ่งระหว่าง “แจ้งเพื่อบริหารงาน” กับ “ประจาน” อยู่ตรงไหน?

อยู่ที่ 4 คำถาม คือแจ้งเพื่ออะไร แจ้งถึงใคร แจ้งเท่าที่จำเป็นไหม และข้อความตรงข้อเท็จจริงหรือเปล่า เมื่อเอาเรื่องที่ 2 และ 3 มาวางเทียบกัน จะเห็นว่ากฎหมายไม่ได้ดูที่ช่องทาง แต่ดูที่น้ำหนักของเหตุผล

ถ้าอยากทำการชั่งน้ำหนักแบบเป็นเอกสาร เก็บไว้ตอบคำถามในวันหลัง ใช้ คู่มือประเมินประโยชน์โดยชอบด้วยกฎหมาย (LIA) ได้ทันที

ฝ่าย HR ต้องเช็กอะไรบ้าง? เช็กลิสต์ 10 ข้อ

ตอบให้ได้ครบ 10 ข้อ แล้ว 5 เรื่องในบทความนี้จะแทบไม่มีทางเกิดกับบริษัทคุณ เกือบทุกข้อไม่ต้องลงทุนอะไรนอกจากการตัดสินใจและกติกาที่เขียนไว้สั้น ๆ และทุกข้อโยงกลับไปหาเรื่องร้องเรียนจริงข้างบนอย่างน้อยหนึ่งเรื่อง คุณจึงอธิบายผู้บริหารได้ทันทีว่าแต่ละข้อสำคัญเพราะอะไร

1. มีประกาศความเป็นส่วนตัวสำหรับพนักงานและผู้สมัครงาน แยกกัน บอกว่าเก็บอะไร เพื่ออะไร เก็บนานแค่ไหน
2. เอกสารเงินเดือนส่งถึงมือเจ้าของเท่านั้น ห้ามฝากต่อ ซองต้องปิดผนึก หรือใช้สลิปอิเล็กทรอนิกส์ที่มีรหัส (เรื่องที่ 1)
3. จำกัดคนเข้าถึงข้อมูลเงินเดือนและประวัติวินัย ตามหน้าที่ ไม่ใช่ทั้งแผนก HR เห็นทุกอย่าง
4. ก่อนแจ้งเรื่องเลิกจ้างหรือลงโทษ ตอบให้ได้ว่าแจ้งเพื่ออะไร ถึงใคร และใช้ข้อความแค่ไหน (เรื่องที่ 2 และ 3)
5. ห้ามใช้ภาพหรือเรื่องของพนักงานจริงเป็นตัวอย่างสอนคนอื่น แม้จะเบลอหน้าแล้วก็ตาม
6. เรื่องที่ฟ้องศาลแล้ว ให้จบในศาล ไม่ต้องเล่าต่อบนบอร์ดหรือในกลุ่มแชต
7. มีช่องทางรับคำขอใช้สิทธิที่ชัดเจน และตอบรับทุกคำขอภายในไม่กี่วันทำการ (เรื่องที่ 4)
8. กำหนดระยะเวลาเก็บข้อมูลผู้สมัครที่ไม่ได้งาน และลบตามรอบ ไม่ต้องรอให้ใครขอ
9. ถ้าใช้สแกนหน้าหรือลายนิ้วมือ ขอความยินยอมโดยชัดแจ้ง และมีวิธีอื่นให้คนที่ไม่ยินยอม (เรื่องที่ 5)
10. อบรมทีม HR และหัวหน้างานปีละครั้ง เพราะ 4 ใน 5 เรื่องนี้เริ่มจากการกระทำของคน ไม่ใช่ระบบ

ข้อ 10 คือข้อที่บริษัทเล็กมักข้าม ถ้าอยากให้ทีมมีทักษะนี้ติดตัว ลองดูคอร์สพัฒนาทักษะคนทำงานที่ SkiLLNo ส่วนรายละเอียดว่าข้อมูลพนักงานแต่ละประเภทต้องตรวจอะไร อยู่ใน คู่มือข้อมูลพนักงานตาม PDPA ตั้งแต่เงินเดือนถึงลายนิ้วมือ

ข้อมูลพนักงานรั่วแล้ว ต้องทำอะไรใน 72 ชั่วโมง?

หยุดการรั่ว ประเมินความเสี่ยง แจ้งตามกฎหมายถ้าเข้าเกณฑ์ และดูแลคนที่ได้รับผลกระทบ เรื่องที่ 1 สอนว่าคำสั่งไม่ได้ดูแค่ระบบ แต่ดูถึงการเยียวยาคนด้วย

ถ้าเป็นอีเมลหรือไฟล์ที่ส่งผิดคน อ่าน ส่งอีเมลหรือไฟล์ผิดคน ต้องแจ้งหรือไม่ และขั้นตอนเต็มอยู่ใน คู่มือแจ้งเหตุละเมิดภายใน 72 ชั่วโมง ถ้าอยากมีแบบฟอร์มพร้อมใช้ Kooru มี ชุดเอกสารรับมือข้อมูลรั่ว 12 แบบ

ถ้าคุณเป็นพนักงานที่ข้อมูลรั่ว ทำอะไรได้บ้าง?

เริ่มจากใช้สิทธิกับบริษัทก่อน ถ้าไม่ได้ผลค่อยร้องเรียน และอย่าลืมระบุตัวตนให้ครบ หลายเรื่องจบได้ที่บริษัทถ้าคำขอชัดเจนและเป็นลายลักษณ์อักษร และคำขอที่เขียนไว้ยังเป็นหลักฐานว่าคุณขออะไร เมื่อไร ถ้าวันหนึ่งต้องแสดงต่อหน่วยงานกำกับหรือศาล

1. เก็บหลักฐาน เช่น ภาพบอร์ดประกาศ อีเมล แชต หรือชื่อคนที่เห็นเหตุการณ์ พร้อมวันเวลา
2. ใช้สิทธิกับบริษัทเป็นลายลักษณ์อักษร ขอดูข้อมูลของตัวเองตามมาตรา 30 ขอให้ลบตามมาตรา 33 หรือคัดค้านการใช้ตามมาตรา 32
3. ถ้าบริษัทเงียบหรือปฏิเสธโดยไม่มีเหตุผล ยื่นเรื่องร้องเรียนได้ โดยต้องมีชื่อ ที่อยู่ และช่องทางติดต่อ (เรื่องที่ 5 จบเพราะขาดข้อนี้)
4. ถ้าเสียหายจริง มีสิทธิเรียกค่าสินไหมทดแทนทางแพ่งตามมาตรา 77 ควรปรึกษาทนาย

ถ้าคุณเป็นฝ่ายบริษัทที่ต้องรับคำขอเหล่านี้ Kooru มี ชุดแบบฟอร์มคำขอใช้สิทธิของเจ้าของข้อมูล ที่ช่วยให้รับเรื่อง ตรวจตัวตน และตอบกลับได้เป็นระบบ

ปล่อยงาน HR ไว้แบบเดิม เสี่ยงอะไรบ้าง? 4 ชั้นที่เจ้าของธุรกิจควรรู้

ความเสี่ยงไม่ได้มีแค่ค่าปรับ แต่รวมถึงคนเก่งที่ไม่อยากอยู่ในบริษัทที่ข้อมูลรั่วง่าย ความเสี่ยงทั้ง 4 ชั้นข้างล่างมาได้ทีละชั้นหรือมาพร้อมกัน และในทางปฏิบัติ ชั้นสุดท้ายคือความเชื่อใจ มักซ่อมยากและช้าที่สุด หลังจากพนักงานเห็นข้อมูลของเพื่อนถูกจัดการแบบผิด ๆ

อ่านภาพรวมโทษทั้งหมดได้ที่ คู่มือโทษตาม PDPA

ให้ Kooru ช่วยจัดระบบข้อมูลพนักงาน ก่อนที่จะมีใครร้องเรียน

Kooru ช่วยวางกติกา เอกสาร และคนดูแลข้อมูลพนักงานให้ครบทั้งวงจร เพราะห้าเรื่องในบทความนี้มีจุดร่วมเดียวกัน ทุกเรื่องเริ่มจากการตัดสินใจเล็ก ๆ ของคน ฝากซองไปกับเพื่อน ติดประกาศเพื่อเตือนคนอื่น เงียบใส่อีเมลหนึ่งฉบับ ทีมกฎหมาย Kooru ช่วยให้การตัดสินใจเหล่านั้นมีกติการองรับ

1. ตรวจเส้นทางข้อมูลพนักงานทั้งวงจร

เราไล่ตั้งแต่ใบสมัคร เงินเดือน เวลาเข้างาน การลงโทษ จนถึงวันลาออก ว่าข้อมูลไปอยู่ที่ไหน ใครเห็นได้ และจุดไหนรั่วง่าย

2. เอกสารที่ HR ใช้ได้ทันที

ตั้งแต่ ประกาศความเป็นส่วนตัวสำหรับพนักงาน ชุดหนังสือให้ความยินยอมของพนักงาน ไปจนถึง หนังสือให้ความยินยอมสำหรับผู้สมัครงาน

3. กติกาการแจ้งเรื่องเลิกจ้างและวินัย

เราช่วยเขียนแนวปฏิบัติว่าแจ้งอะไร ถึงใคร ด้วยถ้อยคำแบบไหน พร้อมการประเมินประโยชน์โดยชอบด้วยกฎหมาย เหมือนที่บริษัทในเรื่องที่ 3 มีเหตุผลรองรับ

4. บริการ DPO รายเดือน

ถ้าอยากมีคนตอบคำขอใช้สิทธิและดูแลเรื่องเหล่านี้ต่อเนื่อง ดู บริการ DPO as a Service ของ Kooru

ติดต่อเรา

ทักมาทาง LINE @kooru เล่าสั้น ๆ ว่าบริษัทมีพนักงานกี่คน ใช้ระบบลงเวลาแบบไหน ทีมกฎหมาย Kooru ตอบในเวลาทำการ ปรึกษาเบื้องต้นไม่มีค่าใช้จ่าย

ข้อความฝากให้คิด

ซองที่ไม่ได้ปิดผนึก ไม่ต่างจากไฟล์ที่ไม่ได้ตั้งรหัส

การเบลอหน้า ช่วยไม่ได้ ถ้าคนดูรู้จักเจ้าของหน้าอยู่แล้ว

อีเมลเลิกจ้างฉบับเดียวกัน รอดหรือไม่รอด ขึ้นอยู่กับว่าเขียนเพื่ออะไร

คำขอลบที่ไม่มีใครตอบ คือเรื่องร้องเรียนที่รอเวลา

และคำถามที่ HR ควรถามก่อนเปิดเผยอะไรเกี่ยวกับพนักงาน ไม่ใช่ “ใครควรรู้บ้าง” แต่คือ “ถ้าไม่บอกคนนี้ งานเสียหายจริงไหม”

คำถามที่พบบ่อย (FAQ) เกี่ยวกับข้อมูลพนักงานและ PDPA

1. ข้อมูลเงินเดือนพนักงานเป็นข้อมูลส่วนบุคคลไหม?

เป็น เงินเดือนผูกกับชื่อของคนที่ระบุตัวได้จึงเป็นข้อมูลส่วนบุคคลตามมาตรา 6 แม้ไม่ใช่ข้อมูลอ่อนไหวตามมาตรา 26 แต่บริษัทต้องรักษาความปลอดภัยตามมาตรา 37 (1) ในเรื่องร้องเรียนที่ 30/2566 ซองเงินเดือนที่ไม่ได้ปิดผนึกทำให้บริษัทถูกตักเตือนและถูกสั่งให้ปรับมาตรการ

2. เบลอหน้าและปิดชื่อแล้ว เอารูปพนักงานไปติดประกาศได้ไหม?

ไม่ปลอดภัย ถ้าคนที่เห็นยังจำได้ว่าเป็นใคร ภาพนั้นยังเป็นข้อมูลส่วนบุคคลที่ระบุตัวได้ทางอ้อม ในเรื่องร้องเรียนที่ 31/2568 บริษัทที่ติดภาพอดีตพนักงานพร้อมสำเนาคำฟ้องถูกตักเตือนและถูกสั่งให้ลบข้อมูล เพราะเกินความจำเป็นและมีลักษณะเป็นการประจาน

3. ส่งอีเมลแจ้งพนักงานทุกคนว่าเลิกจ้างใครเพราะอะไร ผิด PDPA ไหม?

ไม่จำเป็นต้องผิด ในเรื่องร้องเรียนที่ 55/2567 บริษัทแจ้งภายในเพื่อกันไม่ให้อดีตพนักงานติดต่อพนักงานคนอื่น ไม่เปิดเผยต่อคนนอก และไม่มีข้อความเท็จหรือใส่ความ จึงเข้าฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) แต่ถ้าแจ้งเกินวงหรือเกินข้อเท็จจริง ผลอาจต่างออกไป

4. ผู้สมัครงานหรือคนที่ไม่ผ่านทดลองงานขอให้ลบข้อมูล ต้องลบไหม?

โดยหลักต้องลบเมื่อข้อมูลหมดความจำเป็นตามมาตรา 33 เว้นแต่มีเหตุตามกฎหมายให้เก็บต่อ ซึ่งต้องแจ้งเหตุผลให้เจ้าของข้อมูลทราบ สิ่งสำคัญคืออย่าเงียบ ควรตอบรับคำขอทันทีและแจ้งผลเมื่อทำเสร็จ

5. บริษัทให้สแกนหน้าลงเวลาเข้างาน ต้องขอความยินยอมไหม?

ข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 โดยหลักต้องได้ความยินยอมโดยชัดแจ้ง และควรมีวิธีอื่น เช่น กดรหัสหรือบัตร ให้คนที่ไม่ยินยอมเลือกได้โดยไม่เสียประโยชน์ เพื่อให้ความยินยอมเป็นอิสระจริง

6. ร้องเรียนเรื่อง PDPA แบบไม่ระบุชื่อได้ไหม?

ในเรื่องร้องเรียนที่ 38/2566 คำร้องที่เป็นบัตรสนเท่ห์ ไม่มีชื่อ ที่อยู่ เบอร์โทร หรืออีเมล ถูกมองว่าไม่ชัดเจนและรายละเอียดไม่ครบตามระเบียบ จึงไม่รับเรื่อง ถ้าอยากให้เรื่องถูกพิจารณา ควรระบุตัวตนและช่องทางติดต่อ

7. HR ส่งเอกสารเงินเดือนผ่านเพื่อนร่วมงานได้ไหม?

ไม่ควร เอกสารเงินเดือนควรส่งถึงเจ้าของโดยตรงในซองที่ปิดผนึก หรือผ่านระบบที่แต่ละคนเห็นเฉพาะของตัวเอง การฝากผ่านคนที่ไม่เกี่ยวข้องโดยไม่ปิดผนึกคือข้อเท็จจริงที่ทำให้บริษัทในเรื่องที่ 1 ถูกตักเตือน

8. พนักงานลาออกไปทำงานกับคู่แข่ง บริษัทเก่าทำอะไรได้บ้าง?

ใช้สิทธิตามสัญญาและกฎหมายผ่านศาลได้ เช่น ฟ้องคดีแรงงานเรื่องข้อห้ามแข่งขัน แต่ไม่ควรเอาเรื่องนั้นไปประกาศภายในพร้อมภาพของเขา เพราะเรื่องร้องเรียนที่ 31/2568 ชี้ว่าเมื่อใช้สิทธิทางศาลแล้ว การติดประกาศเพิ่มเกินความจำเป็น

9. บริษัทต้องเก็บข้อมูลผู้สมัครงานที่ไม่ได้รับเลือกนานแค่ไหน?

PDPA ไม่ได้กำหนดจำนวนเดือนตายตัว แต่ให้เก็บไม่นานเกินความจำเป็น บริษัทควรกำหนดระยะเวลาเองตามเหตุผลจริง เขียนไว้ในประกาศความเป็นส่วนตัวสำหรับผู้สมัคร และลบตามรอบโดยไม่ต้องรอให้ใครขอ

10. ข้อมูลพนักงานรั่ว ต้องแจ้งใครบ้าง?

ถ้าเหตุนั้นมีความเสี่ยงต่อสิทธิและเสรีภาพของพนักงาน ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37 (4) และถ้าความเสี่ยงสูง ต้องแจ้งพนักงานที่ได้รับผลกระทบพร้อมแนวทางเยียวยาด้วย

อ้างอิง (References)

1. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล. (20 ธ.ค. 2566). ผลการพิจารณาที่ 30/2566 (เอกสารปรับโครงสร้างเงินเดือนที่ไม่ได้ปิดผนึก มาตรา 27, 37 (1), 90)
2. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2. (22 ส.ค. 2568). ผลการพิจารณาที่ 31/2568 (ติดประกาศภาพอดีตพนักงานพร้อมสำเนาคำฟ้อง มาตรา 6, 24 (5), 27, 33)
3. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2. (14 พ.ย. 2567). ผลการพิจารณาที่ 55/2567 (อีเมลแจ้งสาเหตุการเลิกจ้างภายในบริษัท มาตรา 24 (5))
4. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2. (30 ส.ค. 2566). ผลการพิจารณาที่ 21/2566 (คำขอลบข้อมูลของผู้ที่ไม่ผ่านทดลองงาน)
5. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2. (20 ธ.ค. 2566). ผลการพิจารณาที่ 38/2566 (บัตรสนเท่ห์เรื่องการสแกนใบหน้าลงเวลาทำงาน)
6. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6, 24 (5), 26, 27, 30, 32, 33, 37 (1), 37 (4), 74, 77, 78, 79, 83, 84 และ 90
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565
8. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565
9. AIPDPA. บทความและคู่มือเรื่องข้อมูลพนักงานและ PDPA สืบค้นจาก https://aipdpa.com

บทความนี้เป็นข้อมูลทั่วไปเพื่อการตัดสินใจทางธุรกิจ ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะกรณี เรื่องเล่าสรุปจากเอกสารผลการพิจารณาเรื่องร้องเรียนที่เผยแพร่ต่อสาธารณะ ส่วนที่ระบุว่าเป็นความเห็นของผู้เขียนหรือข้อคิดเป็นการวิเคราะห์เพิ่มเติม ไม่ใช่ส่วนหนึ่งของเอกสาร เราไม่ระบุชื่อบุคคลและองค์กรในเรื่องเล่าเพื่อมุ่งที่หลักการ

โดย: คุณภูวรา (Khun Phuwara) – ที่ปรึกษาอาวุโสด้านกลยุทธ์ธุรกิจและ Legal-Tech แห่ง The Kooru

เกี่ยวกับผู้เขียน: ภูวรา ครอบตะคุ

ทนายความ ใบอนุญาตเลขที่ 477/2558 · เนติบัณฑิตไทย รุ่น 69 · LL.M. กฎหมาย IP & IT (เหรียญทอง) · DPO

ทำงานด้านไอทีและดิจิทัลมาร์เก็ตติ้งมากว่า 20 ปีก่อนเข้าสู่วิชาชีพกฎหมาย ผู้ก่อตั้ง Kooru ที่ปรึกษากฎหมายเทคโนโลยีที่ดูแล PDPA, AI Governance และทรัพย์สินทางปัญญาให้ SME

ถามผู้เขียนทาง LINEประวัติเต็ม