แค่โพสต์เดียวว่าพนักงาน "พ้นสภาพ" สคส. สั่งลบทันที! ลาออกดีๆ เบลอหน้าแล้ว ก็ยังผิด PDPA

บทนำ: วันสุดท้ายของการทำงาน กับโพสต์ที่ตามมาหลังจากนั้น

โพสต์เดียว ใช้เวลาทำไม่ถึงสองนาที แต่จบที่คำสั่งของ สคส. ให้ลบทันทีและรายงานผลภายใน 7 วัน นี่ไม่ใช่เรื่องสมมติ เกิดขึ้นจริงแล้วสองครั้งในปีนี้ กับธุรกิจความงามสองแห่ง

ลองนึกภาพพนักงานขายคนหนึ่งยื่นใบลาออกตามขั้นตอน ส่งมอบงานเรียบร้อย ไม่มีเรื่องขัดแย้ง ไม่มีคดีความ แล้วไม่กี่วันต่อมา เพื่อนส่งภาพหน้าจอมาให้ดู เป็นโพสต์บนเพจของบริษัทเก่า มีรูปเขา ชื่อจริง นามสกุล ชื่อเล่น และข้อความว่า “พ้นสภาพการเป็นพนักงาน”

ใต้โพสต์มีคนถามว่า “เขาไปทำอะไรมา” บางคนเดาว่าโกง บางคนเดาว่าถูกไล่ออก ทั้งที่ความจริงคือเขาลาออกเอง

ฝั่งเจ้าของธุรกิจก็มีเหตุผล ลูกค้าคลินิกความงาม ลูกค้าประกัน ลูกค้าอสังหาฯ มักคุยกับเซลล์ทาง LINE ส่วนตัว ถ้าเซลล์ออกไปแล้วยังรับเงินมัดจำในนามบริษัท ใครจะรับผิดชอบ ปัญหาการแอบอ้างชื่อแบรนด์ไม่ใช่เรื่องเล็ก แม้แต่ในสหรัฐฯ FTC ยังต้องออกกฎให้แพลตฟอร์มรับผิดโฆษณาแอบอ้าง ประกาศให้ลูกค้ารู้ไว้ก่อนจึงดูเป็นเรื่องรอบคอบ

ถ้าคุณเป็นเจ้าของธุรกิจ คุณเคยโพสต์ประกาศแบบนี้ไหม หรือมีโพสต์แบบนี้ค้างอยู่บนเพจตอนนี้หรือเปล่า?

ในปี 2569 คณะกรรมการผู้เชี่ยวชาญของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตอบเรื่องนี้ไว้แล้ว 2 ครั้ง ห่างกันไม่ถึงหนึ่งเดือน ผลออกมาเหมือนกัน และใช้ถ้อยคำแทบจะคำต่อคำ บทความนี้เป็นตอนแรกของซีรีส์ “ถอดเคสข้อหารือ สคส.” เราจะแยกให้ชัดว่าส่วนไหนเป็นข้อเท็จจริงและคำวินิจฉัยตามเอกสาร ส่วนไหนเป็นความเห็นของผู้เขียน และปิดด้วยวิธีทำที่ใช้ได้จริงตั้งแต่พรุ่งนี้

ประกาศพ้นสภาพพนักงาน ผิด PDPA หรือไม่?

ผิด ถ้าพนักงานลาออกเองและไม่ได้กระทำความผิดอาญา แล้วบริษัทเปิดเผยชื่อและภาพใบหน้าโดยไม่ได้รับความยินยอม นี่คือแนวที่คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 วางไว้ในคำสั่งที่ 17/2569 และ 30/2569

เหตุผลมีสามชั้น

1. ชื่อ นามสกุล ชื่อเล่น และภาพใบหน้า เป็นข้อมูลส่วนบุคคล ตามมาตรา 6 แม้ใบหน้าจะถูกเบลอแล้ว ถ้าดูประกอบกับชื่อในภาพเดียวกันยังรู้ได้ว่าเป็นใคร ก็ยังเป็นข้อมูลที่ระบุตัวตนได้ “โดยอ้อม”
2. บริษัทอ้างประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) ไม่ได้ เพราะการลงชื่อและรูปของคนที่ลาออกเองเกินความจำเป็นต่อการบริหารธุรกิจ และประโยชน์ของบริษัทมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของพนักงาน
3. เมื่อไม่มีฐานทางกฎหมายรองรับและไม่ได้รับความยินยอม การใช้และเปิดเผยข้อมูลจึงฝ่าฝืนมาตรา 27 วรรคหนึ่ง

ข้อยกเว้นเดียวที่คำสั่งทั้งสองฉบับเขียนไว้คือ กรณีที่ พนักงานได้กระทำความผิดทางอาญา ซึ่งเราจะคุยกันต่อว่าข้อยกเว้นนี้ไม่ได้กว้างอย่างที่หลายคนคิด

ข้อเท็จจริงจาก 2 คำสั่ง: เทียบกันแบบบรรทัดต่อบรรทัด

ส่วนนี้สรุปจากเอกสารคำสั่งโดยตรง เราไม่ระบุชื่อบริษัทและบุคคลในเคส เพราะจุดประสงค์ของซีรีส์นี้คือให้ธุรกิจเรียนรู้หลัก ไม่ได้ต้องการชี้ตัวใคร

หมายเหตุจากผู้เขียน: หัวเรื่องของเอกสารคำสั่งที่ 30/2569 ที่เราได้รับ เขียนว่า “การแจ้งให้ความยินยอมคัดลอกข้อมูลสุขภาพ” ซึ่งไม่ตรงกับเนื้อหาในคำสั่งที่เป็นเรื่องประกาศพ้นสภาพพนักงาน เราจึงอ้างอิงคำสั่งนี้ตาม เลขที่และวันที่ และสรุปจาก เนื้อหา เป็นหลัก ส่วนในคำสั่งที่ 17/2569 ประโยคเรื่องการฟ้องหมิ่นประมาทเขียนไว้กำกวมว่าฝ่ายใดเป็นผู้ฟ้อง เราจึงไม่ระบุฝ่าย

ความต่างที่น่าสนใจที่สุดอยู่ในแถวคำสั่ง เคสแรกบริษัทลบโพสต์ไปแล้ว จึงได้รับแค่คำตักเตือน เคสที่สองโพสต์ยังค้างอยู่ จึงถูกสั่งให้ลบทันทีและต้องรายงานผลภายใน 7 วัน การแก้ไขเองก่อนถูกสั่ง ส่งผลต่อน้ำหนักของมาตรการ นี่เป็นบทเรียนแรกที่เจ้าของธุรกิจควรจำ

ทำไมสองเคสนี้สำคัญกว่าเคสเดี่ยวทั่วไป?

คำสั่งของคณะกรรมการผู้เชี่ยวชาญไม่ใช่คำพิพากษาศาล และไม่ผูกพันเคสอื่นโดยตรง แต่เมื่ออ่านสองฉบับคู่กัน จะเห็นสามอย่างที่ทำให้เรื่องนี้ไม่ใช่เคสบังเอิญ

หนึ่ง ถ้อยคำซ้ำกันเกือบทั้งย่อหน้า ทั้ง “เกินความจำเป็นเพื่อประโยชน์ในการบริหารธุรกิจ” “มีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล” และข้อยกเว้น “เว้นแต่พนักงานได้มีการกระทำความผิดทางอาญา” ในมุมของผู้เขียน นี่คือสัญญาณว่าคณะกรรมการชุดนี้มี แนวคิดที่ตกผลึกแล้ว สำหรับเคสประเภทนี้

สอง ช่องทางต่างกัน แต่ผลเหมือนกัน เคสหนึ่งอยู่บน LINE OA ที่ส่งถึงลูกค้าโดยตรง อีกเคสอยู่บน Facebook ที่ใครก็เห็นได้ แปลว่าการเลือกช่องทางที่ “แคบกว่า” ไม่ได้ทำให้รอด ประเด็นอยู่ที่ ข้อมูลอะไรถูกเปิดเผย และจำเป็นแค่ไหน

สาม เคสหลังปิดช่อง “เบลอแล้วไม่เป็นไร” ซึ่งเป็นความเชื่อที่แพร่หลายมากในหมู่แอดมินเพจ เราจะลงรายละเอียดในหัวข้อถัดไป

ถ้าธุรกิจของคุณอยู่ในกลุ่มที่เซลล์คุยกับลูกค้าแบบตัวต่อตัว เช่น คลินิกความงาม ประกันชีวิต อสังหาริมทรัพย์ ตัวแทนขายรถยนต์ ขายตรง ทัวร์ หรือสินเชื่อ ให้ถือว่าสองคำสั่งนี้คือ แผนที่ความเสี่ยง ที่ส่งตรงถึงคุณ โดยเฉพาะคลินิกที่ถือข้อมูลสุขภาพของลูกค้าอยู่แล้ว ซึ่งเราเขียนภาพรวมไว้ใน PDPA สำหรับคลินิกและสถานพยาบาล ปี 2026

เบลอหน้าแล้ว ทำไมยังผิด? หลัก “ระบุตัวตนได้โดยอ้อม”

แอดมินหลายคนเชื่อว่า ถ้าเบลอหน้า ใส่สติกเกอร์ หรือคาดแถบดำที่ตา ก็ถือว่าไม่เปิดเผยข้อมูลแล้ว คำสั่งที่ 30/2569 ตอบเรื่องนี้ตรงๆ

ภาพถ่ายใบหน้าแม้จะเบลอให้เห็นไม่ชัดเจน แต่เมื่อพิจารณา องค์ประกอบโดยภาพรวม ของประกาศที่มีชื่อตัว ชื่อสกุล และชื่อเล่นอยู่ด้วย ถือว่าเป็นข้อมูลที่ทำให้ระบุตัวผู้ร้องเรียนได้ โดยอ้อม

ลองคิดแบบ “ต่อจิ๊กซอว์” ข้อมูลแต่ละชิ้นอาจไม่พอระบุตัว แต่เมื่อวางรวมกันในภาพเดียว ผู้ชมเพจซึ่งส่วนใหญ่เป็นลูกค้าที่เคยคุยกับเซลล์คนนั้นจะรู้ทันทีว่าเป็นใคร

บทเรียนคือ การเบลอเป็นเทคนิค ไม่ใช่ฐานทางกฎหมาย ถ้าในภาพยังมีชื่อหรือรายละเอียดอื่นที่ทำให้รู้ว่าเป็นใคร การเบลอช่วยได้น้อยมาก หลักนี้ใช้กับทุกเรื่อง ไม่เฉพาะประกาศพ้นสภาพ สคส. เองก็เคยตอบเรื่องการโพสต์รูปคนอื่นไว้หลายประเด็น ซึ่ง AIPDPA รวบรวมไว้ใน โพสต์รูปคนอื่นผิด PDPA ไหม สคส. ตอบตำรวจแล้ว 8 เรื่อง เช่น ภาพกล้องวงจรปิดที่เบลอหน้าแต่บอกเวลาและสาขา หรือภาพรีวิวลูกค้าที่ปิดตาแต่ยังเห็นชื่อในแชต

“พ้นสภาพ” คำเดียว ทำไมหนักกว่าที่คิด?

ทั้งสองเคสมีจุดร่วมที่มักถูกมองข้าม คือคำว่า “พ้นสภาพการเป็นพนักงาน”

ในภาษาที่คนทั่วไปเข้าใจ คำนี้ไม่ได้ฟังเป็นกลางเหมือนคำว่า “ลาออก” หรือ “สิ้นสุดสัญญา” คนที่อ่านโพสต์จำนวนไม่น้อยจะตีความว่าถูกให้ออก ทำผิด หรือมีปัญหากับบริษัท ในคำสั่งที่ 30/2569 ผู้ร้องเรียนก็ชี้ประเด็นนี้ว่าโพสต์ “อาจทำให้ผู้ที่พบเห็นเข้าใจว่ากระทำความผิด”

แล้วโลกโซเชียลก็ไม่เคยอ่านแค่โพสต์ แต่อ่านคอมเมนต์ แชร์ต่อ และแคปหน้าจอเก็บไว้ ต่อให้บริษัทลบโพสต์ในวันรุ่งขึ้น ภาพแคปก็อาจอยู่ในกลุ่ม LINE ของลูกค้าไปอีกหลายปี และอาจไปถึงนายจ้างใหม่ของคนคนนั้น จะขอให้แพลตฟอร์มลบตามหลังก็ไม่ง่าย ดูได้จากที่ ศาลบอมเบย์ชี้ว่าแพลตฟอร์มไม่ใช่ผู้ตัดสินหมิ่นประมาท

ในมุมของผู้เขียน นี่คือเหตุผลเชิงสาระที่ทำให้การชั่งน้ำหนักตามมาตรา 24 (5) ออกมาไม่เป็นคุณกับบริษัท ความเสียหายต่ออดีตพนักงานมีโอกาสสูง ขณะที่ประโยชน์ของบริษัทสามารถได้มาด้วยวิธีที่ไม่ต้องเปิดเผยตัวใครเลย

อ้างประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24 (5)) ไม่ได้ เพราะอะไร?

ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) เป็นฐานที่ธุรกิจใช้บ่อยที่สุดเมื่อไม่อยากขอความยินยอม แต่การอ้างฐานนี้ต้องผ่าน คำถาม 3 ข้อ ซึ่งเป็นกรอบที่ใช้กันทั่วไปในการประเมิน (Legitimate Interest Assessment หรือ LIA) ซึ่ง AIPDPA สรุปไว้ใน อ้างประโยชน์โดยชอบด้วยกฎหมาย ต้องตอบ 3 คำถามให้ได้ ลองเอาสองเคสนี้มาเทียบทีละข้อ

คณะกรรมการไม่ได้บอกว่าเหตุผลของบริษัทไม่มีน้ำหนัก แต่บอกว่า “เกินกว่าความจำเป็น” คำนี้คือหัวใจของบทความทั้งหมด ถ้าคุณบรรลุวัตถุประสงค์เดียวกันได้ด้วยข้อมูลที่น้อยกว่า กฎหมายคาดหวังให้คุณเลือกทางนั้น และถ้าจะอ้างฐานนี้กับเรื่องอื่นในบริษัท ควรทำ แบบประเมิน LIA เป็นลายลักษณ์อักษร เก็บไว้ทุกครั้ง

แล้วทำไมไม่ขอความยินยอมไปเลย? ในทางปฏิบัติ ความยินยอมที่ขอจากพนักงานในวันที่ลาออก หรือที่เขียนไว้ล่วงหน้าในสัญญาจ้าง มักมีปัญหาเรื่องความเป็นอิสระ เพราะพนักงานอยู่ในฐานะที่ปฏิเสธได้ยาก และพนักงานยังถอนความยินยอมได้ภายหลัง ผู้เขียนจึงไม่แนะนำให้ฝากความเสี่ยงไว้กับความยินยอม ควรเปลี่ยนวิธีประกาศมากกว่า เรื่องนี้ต่างจากการใช้ภาพนายแบบนางแบบหรือพรีเซนเตอร์ ซึ่งควรทำ สัญญาอนุญาตให้ใช้ภาพถ่าย แยกให้ชัดตั้งแต่ต้น ไม่ใช่ฝากไว้ในสัญญาจ้างงาน

ข้อยกเว้น “เว้นแต่กระทำความผิดทางอาญา” ใช้ได้แค่ไหน?

ทั้งสองคำสั่งเขียนว่าห้ามใช้หรือเปิดเผยรูปพนักงานประกอบประกาศพ้นสภาพ “เว้นแต่พนักงานได้มีการกระทำความผิดทางอาญา” ประโยคนี้อาจทำให้บางคนคิดว่า ถ้าพนักงานโกงเงินบริษัท ก็โพสต์รูปประจานได้เต็มที่

ผู้เขียนเห็นว่าควรระวังมาก ด้วยเหตุผลสี่ข้อ

1. ใครเป็นคนตัดสินว่ากระทำความผิด? ถ้ายังเป็นแค่ข้อสงสัย ยังไม่ได้แจ้งความ หรือคดียังไม่จบ การประกาศว่าเขากระทำผิดอาจกลายเป็นการกล่าวหาที่บริษัทต้องรับผิดเอง
2. ข้อยกเว้นไม่ได้ยกเลิกหลักความจำเป็น ถึงจะมีความผิดอาญาจริง ก็ยังต้องตอบให้ได้ว่าทำไมต้องใช้รูป ใช้ข้อมูลแค่ไหน และประกาศกับใคร
3. ข้อมูลเกี่ยวกับประวัติอาชญากรรมเป็นข้อมูลอ่อนไหว ตามมาตรา 26 ซึ่งมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป และการฝ่าฝืนในส่วนนี้มีโทษอาญาตามมาตรา 79 ด้วย
4. กฎหมายอื่นยังใช้บังคับ โดยเฉพาะความผิดฐานหมิ่นประมาทตามประมวลกฎหมายอาญา ซึ่งในคำสั่งที่ 17/2569 ก็มีการฟ้องหมิ่นประมาทเกี่ยวกับประกาศลักษณะนี้แล้ว

ถ้าเกิดกรณีทุจริตจริง ทางที่ปลอดภัยกว่าคือแจ้งความ แจ้งลูกค้าที่ได้รับผลกระทบเป็นรายบุคคลผ่านช่องทางที่เป็นทางการ และปรึกษาทนายก่อนประกาศต่อสาธารณะ

ถ้ายังโพสต์อยู่ เสี่ยงอะไรบ้าง? 4 ชั้นที่ธุรกิจควรรู้

ในสองเคสนี้ คณะกรรมการใช้มาตรการตักเตือนและสั่งให้แก้ไข ไม่ได้ลงโทษปรับ แต่ไม่ได้แปลว่าเคสต่อไปจะจบแบบเดียวกัน โดยเฉพาะเมื่อมีแนวคำวินิจฉัยชัดแล้วถึงสองครั้ง

นอกจากความเสี่ยงทางกฎหมาย ยังมีต้นทุนที่ไม่อยู่ในตาราง คนที่กำลังจะมาสมัครงาน ก็อ่านเพจของคุณ ถ้าเห็นว่าบริษัทประกาศชื่อและรูปคนที่ลาออก เขาก็คิดได้ว่าวันหนึ่งอาจเป็นตัวเขาเอง ในตลาดแรงงานที่หาคนเก่งยาก ภาพลักษณ์นายจ้างแบบนี้มีราคาแพงกว่าค่าปรับ

จะกันลูกค้าถูกแอบอ้างอย่างไร โดยไม่ต้องลงรูปใคร?

นี่คือส่วนที่สำคัญที่สุด เพราะความเสี่ยงเรื่องการแอบอ้างมีอยู่จริง เราจึงไม่ได้แนะนำให้เลิกทำ แต่แนะนำให้ ย้ายจาก “ประกาศว่าใครออก” ไปเป็น “ประกาศว่าช่องทางไหนจริง”

ระดับความเสี่ยงของประกาศแต่ละแบบ

6 วิธีที่ปลอดภัยกว่า

1. ประกาศช่องทางทางการแบบถาวร ปักหมุดบนเพจ ใส่ใน LINE OA และหน้าเว็บ ว่าบริษัทรับเงินผ่านบัญชีชื่ออะไร เลขบัญชีอะไร และไม่มีนโยบายให้โอนเข้าบัญชีส่วนตัวของพนักงาน
2. ทำหน้า “ตรวจสอบพนักงาน” ให้ลูกค้าส่งชื่อหรือเบอร์โทรที่ติดต่อมา แล้วบริษัทยืนยันกลับเป็นรายกรณี วิธีนี้ไม่ต้องเปิดเผยรายชื่อใครต่อสาธารณะ
3. แจ้งลูกค้าเฉพาะราย เมื่อเซลล์ลาออก ส่งข้อความถึงลูกค้าที่เขาดูแลว่า “ตั้งแต่วันนี้ คุณ … จะเป็นผู้ดูแลคุณแทน” โดยไม่ต้องพูดถึงเหตุผลการออก
4. ใช้บัญชีทางการแทนบัญชีส่วนตัว ให้เซลล์คุยกับลูกค้าผ่าน LINE OA หรือระบบแชตของบริษัท เมื่อคนออกไป บทสนทนายังอยู่กับบริษัท ปัญหาแอบอ้างลดลงตั้งแต่ต้นทาง แต่ LINE OA เองก็มีเรื่อง PDPA ของมัน โดยเฉพาะเมื่อ LINE เปิด Chat Ad ให้ลูกค้าทักได้โดยไม่ต้องเพิ่มเพื่อน ต้องแจ้งความเป็นส่วนตัวตั้งแต่ข้อความแรก
5. เขียนกติกาลงสัญญาตั้งแต่วันแรก ถ้าเซลล์ได้ค่าคอมมิชชัน ให้ระบุใน ข้อตกลงค่านายหน้าพนักงานขาย ว่าห้ามรับเงินเข้าบัญชีส่วนตัว และถ้าจ้างคนภายนอกดูแลเพจ ให้ สัญญาจ้างแอดมินเพจและตอบแชตลูกค้า ระบุว่าห้ามโพสต์ข้อมูลพนักงานหรือลูกค้าโดยไม่ผ่านการอนุมัติ
6. เขียนนโยบายไว้ในประกาศความเป็นส่วนตัวสำหรับพนักงาน ว่าเมื่อพ้นสภาพ บริษัทจะแจ้งลูกค้าที่เกี่ยวข้องอย่างไร พนักงานจะรู้ล่วงหน้า และบริษัทมีหลักฐานว่าคิดเรื่องนี้มาแล้ว

ตัวอย่างข้อความที่ใช้ได้ทันที

ประกาศปักหมุด (ไม่ระบุตัวบุคคล):

แจ้งลูกค้าทุกท่าน บริษัทรับชำระเงินผ่านบัญชีในนามบริษัทเท่านั้น (ชื่อบัญชี … ธนาคาร … เลขที่ …) หากมีผู้ขอให้โอนเข้าบัญชีส่วนตัว หรือไม่แน่ใจว่าผู้ที่ติดต่อเป็นพนักงานของเราหรือไม่ โปรดตรวจสอบผ่าน LINE OA @… หรือโทร … ก่อนทุกครั้ง

ข้อความแจ้งลูกค้าเฉพาะราย:

เรียนคุณ … ตั้งแต่วันที่ … เป็นต้นไป คุณ … จะเป็นผู้ดูแลบริการของท่าน หากต้องการนัดหมายหรือชำระเงิน โปรดติดต่อผ่านช่องทางทางการของบริษัทที่ … ขอบคุณที่ไว้วางใจเราเสมอมา

สังเกตว่าทั้งสองข้อความไม่มีคำว่า “พ้นสภาพ” ไม่มีรูป และไม่มีชื่อของคนที่ออกไป แต่ยังทำหน้าที่กันการแอบอ้างได้ครบ

เช็กลิสต์ Offboarding ตาม PDPA: 10 จุดที่ HR มักลืม

ประกาศพ้นสภาพเป็นเพียงหนึ่งในหลายจุดที่ข้อมูลของพนักงานยังค้างอยู่หลังเขาออกไป ใช้เช็กลิสต์นี้ทุกครั้งที่มีคนลาออก (ถ้าอยากเห็นภาพเต็มตั้งแต่วันสมัครงาน อ่าน ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก HR ต้องทำอะไรบ้าง ประกอบ)

• ตรวจเพจ Facebook, LINE OA, Instagram, TikTok ว่ามีโพสต์ใดที่ใช้ชื่อหรือรูปพนักงานในเชิงที่ไม่จำเป็นแล้ว
• ลบหรือปรับหน้า “ทีมงาน” บนเว็บไซต์ภายในเวลาที่กำหนดไว้ในนโยบาย
• ทบทวนโฆษณาและสื่อการตลาดที่มีหน้าพนักงาน ว่าฐานที่ใช้ยังรองรับหลังเขาลาออกหรือไม่
• เปลี่ยนรหัสผ่านและยกเลิกสิทธิ์เข้าระบบ อีเมล ไดรฟ์ ระบบ CRM และแอดมินเพจ เพราะไฟล์มักรั่วช่วงคนลาออก อย่างที่ OpenAI กล่าวหาอดีตพนักงานว่าย้ายไฟล์ลับกว่า 100 ไฟล์ไป Apple และควรให้พนักงานเซ็น คำรับรองเรื่องทรัพย์สินทางปัญญาและความลับทางการค้า ไว้ตั้งแต่วันเข้างาน
• ย้ายลูกค้าที่เขาดูแลไปผู้ดูแลคนใหม่ และแจ้งลูกค้าแบบเฉพาะราย
• ตั้งข้อความตอบกลับอัตโนมัติของอีเมลเดิมให้ชี้ไปที่ช่องทางทางการ โดยไม่ระบุเหตุผลการออก
• นำบัญชีออกจากกลุ่ม LINE หรือกลุ่มแชตที่ใช้คุยงานกับลูกค้า
• เก็บเอกสารการจ้างงานตามระยะเวลาที่กฎหมายแรงงานและภาษีกำหนด แล้วลบส่วนที่ไม่จำเป็น (ดู ข้อมูลพนักงานเก่า เก็บต่อได้แค่ไหน ต้องลบเมื่อไร)
• บันทึกว่าขั้นตอนเหล่านี้ทำเมื่อไร โดยใคร เพื่อใช้เป็นหลักฐานหากถูกร้องเรียน
• ทบทวนกับแอดมินเพจว่า ห้ามโพสต์ประกาศพ้นสภาพพร้อมชื่อหรือรูป โดยไม่ผ่านฝ่ายกฎหมายหรือ DPO

เช็กลิสต์จะได้ผลก็ต่อเมื่อคนที่ใช้มันเข้าใจเหตุผลเบื้องหลัง แอดมินเพจที่รู้ว่าทำไมเบลอหน้าแล้วยังผิด จะไม่กดโพสต์แบบนี้เองตั้งแต่แรก ถ้าอยากให้ทีม HR แอดมิน และเซลล์เพิ่มสกิลเรื่องนี้แบบเรียนจบได้ในเวลาว่าง ติดตาม Skillno.com แพลตฟอร์มเรียนออนไลน์เพิ่มสกิลด้านกฎหมายดิจิทัล PDPA และธุรกิจ ที่สอนต่อยอดจากเคสจริงแบบในบทความนี้

ถ้าโพสต์ไปแล้ว ต้องทำอะไรภายใน 24 ชั่วโมง?

บทเรียนจากเคสที่ 17/2569 คือ การแก้ไขก่อนถูกสั่งช่วยได้จริง ถ้าเพจของคุณยังมีโพสต์ลักษณะนี้อยู่ ให้ทำตามลำดับนี้

1. ลบโพสต์ทุกช่องทาง ทั้ง Facebook, LINE OA (รวมข้อความบรอดแคสต์ที่ส่งไปแล้ว ถ้าระบบเรียกคืนได้), Instagram Story ที่ปักหมุดไว้ และกลุ่มแชตของลูกค้า
2. เก็บหลักฐานการลบ แคปหน้าจอพร้อมวันที่และเวลา และบันทึกว่าใครเป็นคนลบ
3. ลงประกาศช่องทางทางการแบบไม่ระบุตัวบุคคลแทน เพื่อให้วัตถุประสงค์เดิมยังบรรลุได้
4. อย่าตอบโต้ในคอมเมนต์ และอย่าโพสต์อธิบายเหตุผลการลาออกของใคร เพราะจะยิ่งเปิดเผยข้อมูลเพิ่ม
5. ถ้าอดีตพนักงานติดต่อมา ตอบอย่างสุภาพว่าลบแล้ว และหากเขาใช้สิทธิขอลบหรือคัดค้าน ให้ดำเนินการตามกรอบเวลาของกฎหมาย
6. ปรับนโยบายภายในทันที โดยเพิ่มเรื่องนี้ในเช็กลิสต์ offboarding และแจ้งทีมแอดมินเป็นลายลักษณ์อักษร

มุมของพนักงานที่ถูกโพสต์: ทำอะไรได้บ้าง?

บทความนี้เขียนให้เจ้าของธุรกิจเป็นหลัก แต่การเข้าใจสิทธิของอีกฝั่งช่วยให้ประเมินความเสี่ยงได้แม่นขึ้น ถ้าคุณเป็นคนที่ถูกโพสต์ ทางเลือกตามกฎหมายโดยทั่วไปมีดังนี้

• เก็บหลักฐาน แคปโพสต์ ลิงก์ วันที่ และคอมเมนต์ที่แสดงความเสียหาย
• ขอให้บริษัทลบ โดยใช้สิทธิคัดค้านการประมวลผลหรือขอให้ลบข้อมูลตาม PDPA เป็นลายลักษณ์อักษร ฝั่งบริษัทที่ได้รับคำขอ ควรตอบตามกรอบใน ลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล ตอบอย่างไรให้ทันกำหนด
• ร้องเรียนต่อ สคส. ซึ่งเป็นช่องทางที่ผู้ร้องเรียนในทั้งสองคำสั่งใช้ และนำไปสู่คำสั่งให้ลบและตักเตือน
• ปรึกษาทนาย หากต้องการเรียกค่าเสียหายตามมาตรา 77 หรือพิจารณาดำเนินคดีอื่น

สำหรับเจ้าของธุรกิจ รายการนี้คือภาพของสิ่งที่อาจเกิดขึ้นถ้าเลือกโพสต์ และทุกขั้นตอนเริ่มจากภาพแคปเพียงภาพเดียว

ให้ Kooru ช่วยตรวจ ก่อนที่ภาพแคปจะไปถึง สคส.

เคสนี้ไม่ได้เกิดเพราะเจ้าของธุรกิจตั้งใจทำร้ายใคร แต่เกิดจาก “ระเบียบปกติของธุรกิจ” ที่ไม่มีใครเคยตรวจกับ PDPA ทุกวันนี้ธุรกิจจำนวนมากก็ยังมีแนวปฏิบัติแบบนี้อยู่โดยไม่รู้ตัว เราช่วยได้ใน ราคาย่อมเยา และแจ้งราคาให้ชัดก่อนเริ่มงาน

1. ตรวจเพจและช่องทางโซเชียล

ไล่ดูโพสต์ย้อนหลังบน Facebook, LINE OA และเว็บไซต์ หาโพสต์ที่มีข้อมูลพนักงานหรือลูกค้าเกินความจำเป็น พร้อมจัดลำดับว่าควรลบหรือแก้อันไหนก่อน

2. วาง SOP สำหรับคนลาออก

เขียนขั้นตอน offboarding ที่ทั้ง HR และแอดมินเพจใช้ได้จริง รวมข้อความตัวอย่าง ช่องทางยืนยันพนักงาน และการกันการแอบอ้างโดยไม่ต้องประจานใคร

3. ทำเอกสาร PDPA สำหรับพนักงาน

ประกาศความเป็นส่วนตัวสำหรับพนักงาน แบบประเมินประโยชน์โดยชอบด้วยกฎหมาย (LIA) และบันทึกรายการประมวลผล (ROPA) ให้สอดคล้องกับสิ่งที่บริษัททำจริง

4. บริการ DPO รายเดือน

สำหรับธุรกิจที่ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 และ 42 หรืออยากมีผู้เชี่ยวชาญคอยตอบคำถามก่อนโพสต์และก่อนตัดสินใจ

ติดต่อเรา

ส่งลิงก์เพจหรือเว็บไซต์ของคุณมาที่ LINE: @kooru แล้วบอกสั้นๆ ว่าธุรกิจของคุณทำอะไร มีพนักงานขายที่คุยกับลูกค้าโดยตรงกี่คน เราจะประเมินให้ว่าความเสี่ยงอยู่ตรงไหน และควรเริ่มจากอะไร

คุยกับเราทาง LINE @kooru

ข้อความฝากให้คิด

คนที่ลาออกจากคุณวันนี้ อาจเป็นลูกค้า คู่ค้า หรือคนที่แนะนำคนเก่งมาให้คุณในวันหน้า

โพสต์ที่ใช้เวลาสร้างสองนาที อาจกลายเป็นภาพแคปที่อยู่ในโทรศัพท์ของคนอื่นไปอีกหลายปี

การเบลอใบหน้าไม่ได้ทำให้คนในภาพหายไป มันแค่ทำให้เราสบายใจว่าได้ระวังแล้ว

คำถามที่ดีกว่า “ประกาศได้ไหม” คือ “ถ้าไม่ต้องบอกว่าใครออก ลูกค้ายังปลอดภัยได้ไหม” และคำตอบเกือบทุกครั้งคือ ได้

และข้อมูลที่หลุดไปจากโพสต์ของเรา ไม่รู้ว่าจะไปจบที่ไหน สคส. เคยเจอข้อมูลคนไทย 2.9 หมื่นรายในคอมพิวเตอร์ของสแกมเมอร์ มาแล้ว

PDPA ไม่ได้ห้ามธุรกิจปกป้องลูกค้า แต่ขอให้ปกป้องโดยไม่ต้องทำร้ายใครเกินจำเป็น

คำถามที่พบบ่อย (FAQ) เกี่ยวกับประกาศพ้นสภาพพนักงานและ PDPA

1. โพสต์ประกาศพ้นสภาพพนักงานพร้อมรูป ผิด PDPA หรือไม่?

ตามแนวคำสั่งคณะกรรมการผู้เชี่ยวชาญ สคส. ที่ 17/2569 และ 30/2569 ถ้าพนักงานลาออกเองและไม่ได้กระทำความผิดอาญา การเปิดเผยชื่อและภาพใบหน้าโดยไม่ได้รับความยินยอมเกินความจำเป็น อ้างมาตรา 24 (5) ไม่ได้ และฝ่าฝืนมาตรา 27 วรรคหนึ่ง

2. ถ้าเบลอหน้าหรือคาดตาแล้ว ยังผิดอยู่ไหม?

ยังผิดได้ คำสั่งที่ 30/2569 วินิจฉัยว่าภาพใบหน้าที่เบลอ เมื่อดูประกอบกับชื่อ นามสกุล และชื่อเล่นในประกาศเดียวกัน ยังระบุตัวบุคคลได้โดยอ้อม จึงยังเป็นข้อมูลส่วนบุคคล

3. ประกาศแค่ชื่อ ไม่ลงรูป ได้หรือไม่?

ความเสี่ยงลดลงแต่ไม่หมดไป เพราะชื่อเป็นข้อมูลที่ระบุตัวตนได้โดยตรง และยังต้องตอบให้ได้ว่าจำเป็นต้องประกาศชื่อต่อสาธารณะหรือไม่ ทางที่ปลอดภัยกว่าคือประกาศช่องทางทางการโดยไม่ระบุตัวบุคคล และแจ้งลูกค้าที่เกี่ยวข้องเป็นรายบุคคล

4. ประกาศผ่าน LINE OA ที่ส่งเฉพาะลูกค้า ต่างจากโพสต์บน Facebook หรือไม่?

ในคำสั่งที่ 17/2569 ประกาศอยู่บน LINE Official Account และยังถูกวินิจฉัยว่าฝ่าฝืนเช่นเดียวกับเคส Facebook ช่องทางที่แคบกว่าไม่ได้ทำให้การเปิดเผยข้อมูลที่เกินความจำเป็นกลายเป็นเรื่องถูกต้อง

5. ถ้าพนักงานโกงเงินบริษัท โพสต์ประกาศพร้อมรูปได้ไหม?

คำสั่งทั้งสองฉบับยกเว้นกรณีพนักงานกระทำความผิดอาญา แต่ข้อยกเว้นนี้ไม่ได้ยกเลิกหลักความจำเป็น ข้อมูลประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 และยังมีความเสี่ยงหมิ่นประมาทหากข้อเท็จจริงยังไม่ยุติ ควรแจ้งความและปรึกษาทนายก่อนประกาศต่อสาธารณะ

6. ถ้าเขียนไว้ในสัญญาจ้างว่ายินยอมให้ประกาศพ้นสภาพ จะช่วยได้ไหม?

ช่วยได้น้อย ความยินยอมในบริบทการจ้างงานมักถูกตั้งคำถามเรื่องความเป็นอิสระ เพราะพนักงานอยู่ในฐานะที่ปฏิเสธได้ยาก และพนักงานถอนความยินยอมได้ภายหลัง การเปลี่ยนวิธีประกาศให้ไม่ต้องใช้ข้อมูลส่วนบุคคลปลอดภัยกว่า

7. ลบโพสต์ไปแล้ว ยังถูกร้องเรียนได้อีกไหม?

ถูกร้องเรียนได้ ในคำสั่งที่ 17/2569 บริษัทชี้แจงว่าลบแล้ว แต่คณะกรรมการยังวินิจฉัยว่าฝ่าฝืนและออกคำสั่งตักเตือน อย่างไรก็ดี การลบเองก่อนทำให้มาตรการในเคสนั้นเบากว่าเคสที่ยังไม่ลบ

8. โทษสูงสุดของการฝ่าฝืนมาตรา 27 กรณีนี้คืออะไร?

ทางปกครอง คณะกรรมการผู้เชี่ยวชาญอาจสั่งแก้ไข ตักเตือน หรือปรับไม่เกิน 3 ล้านบาทตามมาตรา 83 ทางแพ่ง ผู้เสียหายเรียกค่าสินไหมทดแทนได้ตามมาตรา 77 และศาลอาจสั่งค่าสินไหมเชิงลงโทษเพิ่มได้ไม่เกิน 2 เท่าตามมาตรา 78 นอกจากนี้ยังอาจมีความรับผิดฐานหมิ่นประมาทตามประมวลกฎหมายอาญา

9. จะกันลูกค้าถูกอดีตพนักงานแอบอ้างรับเงินได้อย่างไร?

ประกาศบัญชีรับเงินและช่องทางติดต่อทางการแบบปักหมุด ทำช่องทางให้ลูกค้าตรวจสอบตัวพนักงาน แจ้งลูกค้าที่เซลล์คนนั้นดูแลเป็นรายบุคคลว่าใครคือผู้ดูแลคนใหม่ และให้พนักงานคุยกับลูกค้าผ่าน LINE OA ของบริษัทแทนบัญชีส่วนตัว

10. คำสั่งคณะกรรมการผู้เชี่ยวชาญผูกพันธุรกิจอื่นหรือไม่?

คำสั่งผูกพันเฉพาะคู่กรณีในเคสนั้น แต่เมื่อคณะกรรมการชุดเดียวกันวินิจฉัยเรื่องเดียวกันซ้ำสองครั้งด้วยถ้อยคำแทบเหมือนกัน ธุรกิจอื่นควรถือว่านี่คือแนวทางที่ สคส. จะใช้กับเคสลักษณะเดียวกันในอนาคต

อ้างอิง (References)

1. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล. (20 ก.พ. 2569). คำสั่งที่ 17/2569 เรื่อง ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
2. คณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล. (13 มี.ค. 2569). คำสั่งที่ 30/2569 (หัวเรื่องในเอกสารระบุว่า “การแจ้งให้ความยินยอมคัดลอกข้อมูลสุขภาพ” เนื้อหาเป็นเรื่องประกาศพ้นสภาพพนักงาน)
3. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6, 24 (5), 26, 27, 72, 74, 77, 78, 79, 83 และ 90
4. ประมวลกฎหมายอาญา มาตรา 326 และ 328 (ความผิดฐานหมิ่นประมาท)
5. AIPDPA. บทความและคู่มือเรื่องข้อมูลพนักงาน ประโยชน์โดยชอบด้วยกฎหมาย และโทษตาม PDPA สืบค้นจาก https://aipdpa.com

บทความนี้เป็นข้อมูลทั่วไปเพื่อการตัดสินใจทางธุรกิจ ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะกรณี ข้อเท็จจริงและคำวินิจฉัยสรุปจากเอกสารคำสั่งของคณะกรรมการผู้เชี่ยวชาญ ส่วนที่ระบุว่าเป็นความเห็นของผู้เขียนเป็นการวิเคราะห์เพิ่มเติม ไม่ใช่ส่วนหนึ่งของคำสั่ง เราไม่ระบุชื่อบริษัทและบุคคลในเคสเพื่อมุ่งที่หลักการ

โดย: คุณภูวรา (Khun Phuwara) – ที่ปรึกษาอาวุโสด้านกลยุทธ์ธุรกิจและ Legal-Tech แห่ง The Kooru

เกี่ยวกับผู้เขียน: ภูวรา ครอบตะคุ

ทนายความ ใบอนุญาตเลขที่ 477/2558 · เนติบัณฑิตไทย รุ่น 69 · LL.M. กฎหมาย IP & IT (เหรียญทอง) · DPO

ทำงานด้านไอทีและดิจิทัลมาร์เก็ตติ้งมากว่า 20 ปีก่อนเข้าสู่วิชาชีพกฎหมาย ผู้ก่อตั้ง Kooru ที่ปรึกษากฎหมายเทคโนโลยีที่ดูแล PDPA, AI Governance และทรัพย์สินทางปัญญาให้ SME

ถามผู้เขียนทาง LINEประวัติเต็ม