นโยบาย BYOD ใช้มือถือส่วนตัวทำงาน ต้องตกลงอะไร

นโยบาย BYOD สำหรับมือถือส่วนตัวต้องคุ้มครองข้อมูลบริษัทพร้อมรักษาขอบเขตข้อมูลส่วนตัวของพนักงาน ก่อนติดตั้งแอปจัดการอุปกรณ์ควรระบุสิ่งที่ระบบมองเห็น การเข้าถึงที่จำเป็น และผลเมื่อเครื่องหายหรือพ้นงาน ไม่ให้พนักงานเซ็นยอมรับอำนาจตรวจทุกอย่างโดยไม่รู้ว่าระบบทำอะไรจริง

นโยบาย BYOD ต้องมีอะไรเมื่อใช้มือถือส่วนตัวทำงาน?

ควรระบุอุปกรณ์ที่ใช้ได้ พื้นที่งาน สิทธิผู้ดูแล ข้อมูลที่เก็บ และขั้นจัดการเมื่อเครื่องหายหรือพ้นงาน พร้อมตรวจฐานกฎหมายกับข้อตกลง การอนุญาตให้นำมือถือมาทำงานไม่ทำให้บริษัทอ่านหรือลบข้อมูลส่วนตัวทั้งหมดได้โดยอัตโนมัติ มาตรการต้องจำเป็นและตรงความเสี่ยง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 22 วางหลักเก็บข้อมูลเท่าที่จำเป็น มาตรา 23 กำหนดรายละเอียดที่ต้องแจ้ง และมาตรา 24 กำหนดฐานข้อมูลทั่วไป หากเครื่องมือจัดการอุปกรณ์เก็บตำแหน่ง รายการแอป หรือข้อมูลการใช้งาน ต้องตรวจแต่ละรายการ ไม่ถือว่าเป็นเพียงการรักษาความปลอดภัยที่ไม่เกี่ยวกับข้อมูลพนักงาน

มาตรา 37 กำหนดมาตรการรักษาความมั่นคงปลอดภัยและหน้าที่เมื่อเกิดเหตุ ส่วนมาตรา 40 เกี่ยวข้องเมื่อผู้ให้บริการจัดการอุปกรณ์ประมวลผลตามคำสั่งบริษัท จึงต้องตรวจทั้งข้อมูลลูกค้าที่อยู่บนเครื่องและข้อมูลพนักงานที่เครื่องมือส่งกลับไปยังผู้ดูแล

ตัวอย่างสมมติ: บริษัทอนุญาตให้ฝ่ายขายใช้มือถือส่วนตัวอ่านอีเมลงาน และติดตั้งเครื่องมือที่ลบทั้งเครื่องได้ HR ควรตรวจว่าจำเป็นต้องใช้คำสั่งลบทั้งหมดหรือสามารถถอนบัญชีและลบเฉพาะพื้นที่งานได้ หากระบบอาจลบรูปครอบครัวด้วย ต้องประเมินทางเลือก ผลกระทบ และขั้นอนุมัติอย่างชัดเจน ไม่อธิบายเพียงว่าเป็นแอปป้องกันข้อมูลรั่ว

นโยบายต้องตรงกับรุ่นเครื่องและการตั้งค่าที่ใช้จริง ไม่คัดลอกข้อกำหนดอุปกรณ์บริษัทมาใช้กับเครื่องส่วนตัวทุกข้อ อ่าน คู่มือข้อมูลพนักงานสำหรับ HR เพื่อเชื่อมคำแจ้ง ข้อตกลง และสิทธิผู้ดูแลให้ตรวจสอบได้

ถ้าเครื่องมีทั้งงานและข้อมูลส่วนตัว ควรแบ่งขอบเขตอย่างไร?

• ถ้าแยกพื้นที่งานได้ ให้กำหนดบัญชี แอป และไฟล์งานให้ชัด พร้อมทดสอบว่าการถอนสิทธิไม่กระทบพื้นที่ส่วนตัวเกินจำเป็น
• ถ้าเครื่องไม่รองรับมาตรการที่เหมาะสม ให้พิจารณาอุปกรณ์บริษัทหรือวิธีเข้าถึงที่ลดการเก็บบนเครื่อง
• ถ้ามีการเก็บตำแหน่งหรือกิจกรรม ให้ระบุวัตถุประสงค์ ช่วงเวลา ผู้เห็น และระยะเก็บ ไม่เปิดตลอดเวลาเพียงเพราะเครื่องมือทำได้
• ถ้าเครื่องหาย ให้มีช่องทางแจ้งและขั้นระงับบัญชีตามความเร่งด่วน พร้อมรักษาหลักฐานเหตุ
• ถ้าพนักงานออก ให้ถอนสิทธิและคืนหรือลบเฉพาะข้อมูลที่ต้องจัดการตามขอบเขต ไม่ถือโอกาสตรวจข้อมูลส่วนตัวทุกอย่าง

แบบยอมรับนโยบายควรอธิบายคำสั่งที่อาจกระทบอุปกรณ์อย่างเข้าใจได้ แต่การเซ็นรับทราบไม่แทนฐานกฎหมายสำหรับการเก็บข้อมูลทุกประเภท และความยินยอมต้องตรวจความเป็นอิสระตามมาตรา 19 เมื่อเลือกใช้ฐานนี้

ควรระบุข้อห้ามที่ใช้ได้จริง เช่น ไม่ส่งไฟล์งานไปพื้นที่สำรองส่วนตัวหรือบัญชีครอบครัว พร้อมจัดทางเลือกทำงานที่สะดวกพอ หากนโยบายห้ามทุกช่องทางแต่ระบบงานไม่รองรับ พนักงานอาจสร้างสำเนาที่องค์กรไม่ทราบ

เลนส์ทนายยอดทิพย์ธรรม: เครื่องมือจัดการเครื่องไม่ได้ให้อำนาจไม่จำกัด

คนมักเข้าใจว่า: เมื่อใช้มือถือทำงาน บริษัทมีสิทธิดูทุกไฟล์ หรือพนักงานเซ็นนโยบายแล้วการติดตามทุกเวลาและลบทั้งเครื่องย่อมชอบทั้งหมด

กฎหมายมองว่า: ต้องมีฐาน วัตถุประสงค์ และความจำเป็นที่ได้สัดส่วนกับกิจกรรม รวมถึงแจ้งรายละเอียดที่เกี่ยวข้อง การมีความสามารถทางเทคนิคไม่เท่ากับมีอำนาจทางกฎหมายใช้ความสามารถนั้นทุกกรณี

จุดเสี่ยงจริง: ผู้ดูแลใช้สิทธิสูงเกินงาน ระบบเก็บตำแหน่งนอกเวลาที่ไม่มีเหตุรองรับ หรือคำสั่งลบทำลายข้อมูลส่วนตัวโดยไม่มีขั้นตรวจ ควรแยกผู้ขอ ผู้อนุมัติ และผู้ดำเนินการสำหรับคำสั่งสำคัญตามความเสี่ยง

มองสองฝั่ง: นายจ้างกับพนักงานเจ้าของอุปกรณ์

ทั้งสองฝ่ายควรเข้าใจวิธีรับความช่วยเหลือเมื่อเครื่องเสียหรือไม่รองรับมาตรการ โดยไม่ผลักให้ใช้ช่องทางที่ควบคุมข้อมูลไม่ได้

สิทธิบนเครื่องเริ่มเมื่อไรและต้องยุติเมื่อใด?

ควรตรวจและแจ้งขอบเขตก่อนติดตั้งหรือเปิดสิทธิที่เกี่ยวข้อง พร้อมทดสอบตามอุปกรณ์จริง หากเปลี่ยนเครื่องมือจนเก็บข้อมูลเพิ่ม ต้องตรวจฐานและคำแจ้งอีกครั้ง ไม่ถือว่าการรับทราบนโยบายรุ่นแรกครอบคลุมทุกการเปลี่ยนในอนาคต

เมื่อย้ายหน้าที่หรือพ้นงาน ให้ถอนสิทธิตามความจำเป็นของงานและจัดการข้อมูลที่ค้างอยู่ โดยแยกหน้าที่เก็บหลักฐานจากการเข้าถึงเครื่องต่อไป หากมีข้อพิพาทต้องระบุหลักฐานเฉพาะที่จำเป็น ไม่ใช้เป็นเหตุควบคุมมือถือส่วนตัวไม่มีกำหนด

ตัวอย่างแผนภายในคือระงับบัญชีงานเมื่อสิ้นสิทธิและตรวจยืนยันการนำข้อมูลงานออกภายในรอบส่งมอบ เป็นแผนบริหารตามบริบท ไม่ใช่กำหนดวันตายตัวของ PDPA ส่วนเหตุเครื่องหายอาจต้องประเมินและดำเนินหน้าที่แจ้งเหตุแยกจากขั้นพ้นงาน

ค่าอุปกรณ์และความเสียหายจากคำสั่งลบคิดอย่างไร?

ตัวอย่างสมมติ: ระบบจัดการพื้นที่งาน 100 บาทต่อเครื่องต่อเดือน × 20 เครื่อง = 2,000 บาท และค่าตั้งค่ากับทดสอบครั้งแรก 5,000 บาท รวมงบเดือนแรก 7,000 บาท เป็นตัวอย่างวางงบ ไม่ใช่ราคาเครื่องมือจริงหรือค่าบริการของสำนักงาน

ข้อตกลงควรระบุค่าใช้จ่ายที่เกี่ยวข้อง เช่น ค่าบริการอินเทอร์เน็ต การช่วยตั้งค่า และทางเลือกเมื่อเครื่องใช้ไม่ได้ โดยตรวจความสอดคล้องกับสัญญาจ้างและกฎหมายแรงงาน ไม่ผลักค่าใช้จ่ายทุกกรณีให้พนักงานโดยไม่วิเคราะห์

หากคำสั่งลบกระทบข้อมูลส่วนตัว ต้องเก็บขอบเขตคำสั่ง ผู้อนุมัติ และผลเสียจริง การเซ็นนโยบายไม่ทำให้สละสิทธิเรียกร้องทุกอย่างโดยอัตโนมัติ และไม่ควรรับรองจำนวนชดใช้ก่อนตรวจข้อเท็จจริงกับกฎหมาย

หลักฐานนโยบาย BYOD ที่ควรตรวจมีอะไร?

• รายการอุปกรณ์และแอปที่อนุญาต พร้อมมาตรการขั้นต่ำที่เหมาะสม
• ข้อมูลที่เครื่องมือเก็บจริง สิทธิที่ร้องขอ และผลทดสอบแต่ละคำสั่ง
• คำแจ้ง ฐานกฎหมาย และข้อตกลงที่พนักงานได้รับจริง
• รายชื่อผู้ดูแล ผู้อนุมัติ และบันทึกคำสั่งสำคัญ
• ขั้นแจ้งเครื่องหาย เปลี่ยนเครื่อง ย้ายงาน และพ้นงาน
• หลักฐานถอนสิทธิและจัดการข้อมูลงาน พร้อมข้อจำกัดที่ยังต้องติดตาม

เก็บภาพหรือผลทดสอบจากอุปกรณ์ทดสอบที่ไม่มีข้อมูลส่วนตัวจริง เพื่ออธิบายผลของคำสั่งให้พนักงานเข้าใจ หากบัญชีผู้ดูแลถูกยึดให้อ่าน แนวทางประเมินขอบเขตบัญชีแอดมินถูกยึด เพราะสิทธิในเครื่องหลายเครื่องอาจได้รับผลพร้อมกัน

สัญญาจ้างและผู้ให้บริการระบบเกี่ยวข้องอย่างไร?

นโยบายอุปกรณ์ควรประสานกับ กฎหมายแรงงาน เรื่องสภาพการทำงาน ค่าใช้จ่าย และขั้นพ้นงาน โดยไม่ใช้ข้อกำหนดเทคนิคไปแก้สิทธิแรงงานที่ต้องตรวจต่างหาก

สำหรับผู้ให้บริการจัดการอุปกรณ์ ให้ตรวจ สัญญาธุรกิจ และบทบาทข้อมูลตามมาตรา 40 รวมถึงสถานที่ประมวลผล ผู้รับช่วง และการส่งออกบันทึกที่บริษัทต้องใช้ การเลือกเครื่องมือจากจำนวนฟังก์ชันอย่างเดียวอาจไม่ตอบขอบเขตข้อมูลที่ยอมรับได้

ทางไปต่อ: ทดสอบขอบเขตเครื่องมือก่อนให้พนักงานติดตั้ง

1. ระบุงานที่ต้องใช้มือถือและข้อมูลที่เกี่ยวข้อง
2. เลือกมาตรการที่แยกพื้นที่งานได้เหมาะสม
3. ตรวจฐาน คำแจ้ง ข้อตกลง และทางเลือกอุปกรณ์
4. ทดสอบสิทธิผู้ดูแลกับคำสั่งลบก่อนเปิดใช้
5. จัดขั้นแจ้งเหตุและถอนสิทธิที่ตรวจผลได้

ควรขอความช่วยเหลือเมื่อเครื่องมืออ่านข้อมูลส่วนตัวได้ ลบทั้งเครื่องได้ มีการติดตามนอกเวลา หรือพนักงานไม่ทราบขอบเขตที่ติดตั้ง สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ งานข้อมูลพนักงานสำหรับ HR

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19, 22–24, 37 และ 40

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ