รับร่าง Privacy Notice พนักงานและผู้สมัครงาน โดยทนาย แยกเนื้อหาให้ตรงงาน HR จริง

สรุปประเด็นสำคัญ
รับร่าง Privacy Notice พนักงานต้องเริ่มจากกิจกรรม HR จริง แล้วแจ้งรายละเอียด 6 รายการตามมาตรา 23 ก่อนหรือขณะเก็บข้อมูลโดยตรง เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว การแจ้งกับการขอความยินยอมเป็นคนละหน้าที่ ควรแยกเนื้อหาผู้สมัครและพนักงานให้ชัด แม้กฎหมายไม่ได้บังคับจำนวนไฟล์ หากไม่ปฏิบัติตามมาตรา 23 มีโทษปรับทางปกครองไม่เกิน 1 ล้านบาทตามมาตรา 82 โดยพิจารณาข้อเท็จจริงของแต่ละกรณี
รับร่าง Privacy Notice พนักงานและผู้สมัครงาน โดยสำนักงานกฎหมายยอดทิพย์ธรรม ตรวจข้อมูลที่บริษัทเก็บและใช้จริง แล้วร่างประกาศให้สอดคล้องกับงาน HR และเอกสารแรงงานขององค์กร
ค่าบริการเริ่มต้น 3,000 บาท ยังไม่รวมภาษีมูลค่าเพิ่ม สำหรับงานร่าง Privacy Notice เท่านั้น เมื่อได้รับข้อมูลครบ สำนักงานเสนอขอบเขตและราคาภายใน 1 วันทำการ ส่งร่างใน 3–7 วันทำการ แก้ไข 2 รอบ รองรับภาษาไทย อังกฤษ และจีน โดยระบุจำนวนฉบับ ภาษาที่จัดทำ และวันส่งร่างในใบเสนอราคาก่อนเริ่มงาน
ราคาเริ่มต้นนี้ไม่ใช่แพ็กเกจเอกสาร HR ทั้งชุด และไม่ได้รวมแบบขอความยินยอม แบบรับทราบ หรือการร่างนโยบายภายใน หากต้องการประกาศทั้งผู้สมัครและพนักงานหรือหลายภาษา ให้ระบุเพื่อประเมินขอบเขตและราคารวมก่อนว่าจ้าง
เลือกจ้างเฉพาะ Notice หรือวางระบบ HR Privacy Setup ทั้งชุดได้ตามความจำเป็น
ตรวจทานโดย นายเอกราช ทิพย์แมม ทนายความ · ใบอนุญาตเลขที่ 2114/2569 · 4 พฤศจิกายน 2569
Privacy Notice, Privacy Policy และ Consent ต่างกันอย่างไร
Privacy Notice ใช้แจ้งว่าจะจัดการข้อมูลอย่างไร Consent ใช้ขอความยินยอม ส่วน Privacy Policy อาจเป็นนโยบายภายในหรือข้อความแจ้งบุคคลภายนอก ต้องอ่านเนื้อหาก่อนตัดสินหน้าที่ของเอกสาร
| เอกสาร | หน้าที่และกฎหมายที่เกี่ยวข้อง | วิธีใช้กับงาน HR |
|---|---|---|
| Privacy Notice | หน้าที่แจ้งตามมาตรา 23 ก่อนหรือขณะเก็บข้อมูลโดยตรง เว้นแต่ทราบรายละเอียดอยู่แล้ว | ให้เจ้าของข้อมูลอ่าน และเก็บหลักฐานการแจ้ง |
| Privacy Policy | ใช้ได้สองความหมาย: นโยบายบนเว็บไซต์สำหรับลูกค้าหรือผู้ใช้เว็บ ซึ่งทำหน้าที่เป็น Notice ของกลุ่มนั้นได้เมื่อแจ้งครบและทันเวลา หรือนโยบายภายในประกอบมาตรการตามมาตรา 37(1) | ตรวจว่าเป็นคำแจ้งให้เจ้าของข้อมูลอ่าน หรือข้อปฏิบัติของผู้ใช้ข้อมูลภายในองค์กร |
| Consent | ความยินยอมตามมาตรา 19 ประกอบมาตรา 26 สำหรับข้อมูลอ่อนไหว | ขอแยกตามวัตถุประสงค์ พร้อมช่องทางถอน |
Notice อาจให้ลงชื่อรับทราบเพื่อเป็นหลักฐาน แต่ลายเซ็นไม่ทำให้กิจกรรมที่ไม่มีฐานกฎหมายกลายเป็นกิจกรรมที่ทำได้ ส่วน Consent ต้องพิสูจน์การเลือกอย่างเป็นอิสระและมีข้อมูลเพียงพอ
Consent ถอนได้ตามกฎหมาย ส่วน Notice ไม่มีการ “ถอนรับทราบ” แบบเดียวกัน แต่เจ้าของข้อมูลยังใช้สิทธิของตนได้ตามเงื่อนไข
ชื่อ “ประกาศนโยบายความเป็นส่วนตัว” ใช้ได้ หากแจ้งครบและทันเวลา ข้อความเพียงว่า “บริษัทจะรักษาข้อมูลให้ปลอดภัย” ยังแทนรายละเอียดตามมาตรา 23 ไม่ได้
ถ้าบริษัทต้องการจ้างร่างนโยบายคุ้มครองข้อมูลส่วนบุคคล ให้บอกตั้งแต่ขอประเมินว่าต้องการประกาศให้พนักงานอ่าน ระเบียบภายในสำหรับผู้ใช้ข้อมูล หรือทั้งสองอย่าง
Privacy Notice พนักงานต้องมีอะไรบ้าง: 6 รายการตามมาตรา 23
ประกาศความเป็นส่วนตัวพนักงานต้องแจ้งรายละเอียดตามมาตรา 23 ครบ 6 รายการให้ตรงกับงานจริง เปลี่ยนชื่อบริษัทในแม่แบบอย่างเดียวจึงยังไม่พอ
| รายการที่ต้องแจ้ง | ตัวอย่างสำหรับ HR | จุดที่ควรตรวจในร่าง |
|---|---|---|
| วัตถุประสงค์ รวมกิจกรรมที่ไม่ต้องขอความยินยอม | คัดเลือกผู้สมัคร จ่ายค่าจ้าง จัดสวัสดิการ และปฏิบัติตามกฎหมาย | แยกกิจกรรมให้เข้าใจได้ ไม่ใช้คำว่า “เพื่อธุรกิจทุกประเภท” ครอบทั้งหมด |
| ข้อมูลที่ต้องให้ตามกฎหมาย สัญญา หรือเพื่อเข้าทำสัญญา และผลถ้าไม่ให้ | ข้อมูลบัญชีสำหรับจ่ายเงิน หรือข้อมูลที่ต้องใช้ขึ้นทะเบียนตามกฎหมาย | แยกข้อมูลจำเป็นออกจากข้อมูลสมัครใจ ไม่เขียนว่าปฏิเสธทุกช่องแล้วสมัครงานไม่ได้ |
| ข้อมูลที่เก็บและระยะเวลาเก็บ | ประวัติการศึกษา ข้อมูลเงินเดือน ใบลา และผลประเมิน | กำหนดระยะเวลาหรือระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานเมื่อกำหนดชัดไม่ได้ ไม่จบแค่ “ตามความจำเป็น” |
| ประเภทบุคคลหรือหน่วยงานที่อาจรับข้อมูล | ผู้ให้บริการ Payroll บริษัทประกัน หน่วยงานรัฐ และบริษัทในกลุ่มตามกิจกรรมจริง | อย่าลืมผู้ให้บริการที่เข้าถึงข้อมูลทางระบบ แม้ไม่มีการส่งกระดาษออกไป |
| ผู้ควบคุมข้อมูล สถานที่และช่องทางติดต่อ รวมผู้แทนหรือ DPO ถ้ามี | ชื่อนิติบุคคลที่จ้างงานและช่องทางติดต่อเรื่องข้อมูลส่วนบุคคล | ระบุผู้รับผิดชอบที่ติดต่อได้จริง ไม่ใช้ชื่อกลุ่มบริษัทโดยไม่บอกว่านิติบุคคลใดควบคุมข้อมูล |
| สิทธิที่มาตรา 23(6) ระบุ | ถอนความยินยอม ขอเข้าถึงหรือสำเนา ขอรับหรือโอนข้อมูล คัดค้าน ขอให้ลบ ระงับการใช้ แก้ไข และร้องเรียนตามเงื่อนไข | แจ้งสิทธิตามมาตรา 19 วรรคห้า, 30–34, 36 และ 73 พร้อมวิธีส่งคำขอ ไม่รับรองว่าทุกสิทธิใช้ได้ทุกกรณี |
มาตรา 23(3) ไม่บังคับเลขเดียวทั้งแฟ้ม เมื่อกำหนดระยะเวลาชัดไม่ได้ ต้องระบุระยะเวลาที่อาจคาดหมายได้ตามมาตรฐาน ไม่ใช่เก็บตลอดไปตามดุลพินิจบริษัท
ช่องทางใช้สิทธิต้องมีคนรับผิดชอบ อ่านขั้นตอนต่อในคู่มือคำขอเข้าถึงและขอสำเนาข้อมูลขององค์กร
ข้อมูลที่ไม่ได้รับจากพนักงานโดยตรง ต้องดูมาตรา 25 เพิ่ม
ข้อมูลจากบริษัทจัดหางาน บุคคลอ้างอิง หรือผู้ตรวจประวัติ ต้องตรวจฐานและหน้าที่แจ้งตามมาตรา 25 เพิ่ม
มาตรา 25 มีทั้งกรณีแจ้งและขอความยินยอม กับกรณียกเว้นความยินยอมตามมาตรา 24 หรือ 26 การแจ้งรายละเอียดที่อยู่ในบังคับมาตรานี้โดยทั่วไปต้องทำภายใน 30 วันนับแต่เก็บ แต่ถ้าใช้ติดต่อเจ้าของข้อมูล ต้องแจ้งในการติดต่อครั้งแรก และถ้าจะเปิดเผย ต้องแจ้งก่อนเปิดเผยครั้งแรก โดยพิจารณาข้อยกเว้นตามตัวบทด้วย
อย่าตั้งระบบว่ารอได้ 30 วันเสมอ อ่านกรณีเฉพาะในขอบเขตการตรวจประวัติผู้สมัครงาน และการใช้บริษัทจัดหางานภายนอก
มี Notice แล้ว แต่ไม่แน่ใจว่าครบ 6 รายการ? ส่งฉบับเดิมและอธิบายระบบ HR ทาง LINE @995iqtpa พิมพ์ “ตรวจ Privacy Notice” สำนักงานเสนอขอบเขตและราคาภายใน 1 วันทำการหลังได้ข้อมูลครบ เอกสารตัวอย่างที่ส่งมาประเมินควรปกปิดข้อมูลพนักงานที่ไม่จำเป็นก่อน
ต้องแยกกี่ฉบับ: ผู้สมัคร พนักงาน และบุคคลที่ HR ถือข้อมูล
กฎหมายไม่บังคับจำนวนไฟล์ตายตัว แต่มักแยก Applicant Notice กับ Employee Notice เพราะวัตถุประสงค์และระยะเวลาเก็บต่างกัน หากรวมฉบับเดียว ต้องแยกส่วนให้ผู้อ่านรู้ว่าข้อไหนใช้กับตน
| กลุ่มบุคคล | เวลาและช่องทางแจ้ง | หลักฐานที่ควรเก็บ |
|---|---|---|
| ผู้สมัครงาน | ก่อนหรือขณะสมัคร ผ่านฟอร์มหรือเอกสารแนบ | ฉบับที่ใช้ วันที่ และหลักฐานแสดงหรือส่ง |
| พนักงานใหม่และเดิม | ก่อนหรือขณะเก็บข้อมูล และเมื่อปรับกิจกรรมที่ต้องแจ้ง | ฉบับที่แจ้ง ผู้รับ บันทึกระบบหรือใบรับทราบ |
| อดีตพนักงาน | ครอบคลุมช่วงพ้นสภาพในฉบับพนักงาน พิจารณาแจ้งเพิ่มเมื่อมีกิจกรรมใหม่ | ฉบับเดิม ตารางเก็บรักษา และช่องทางติดต่อนอกระบบบริษัท |
| ครอบครัว ผู้ติดต่อฉุกเฉิน ผู้ค้ำประกัน | เมื่อรับผ่านพนักงาน ให้ตรวจฐานตามมาตรา 25 หน้าที่แจ้งตามวรรคสองใช้กับกรณีที่ต้องได้รับความยินยอมและมีข้อยกเว้นตามตัวบท ส่วนกรณีใช้ฐานยกเว้น แนะนำให้จัดคำแจ้งเพื่อความโปร่งใส | ฐานที่ใช้ เหตุยกเว้นถ้ามี และวิธีส่งพร้อมหลักฐานเมื่อแจ้ง |
Privacy Notice ผู้สมัครงาน: คนยังไม่ได้งานก็มีสิทธิ
Applicant Privacy Notice ต้องบอกว่าประเมินอะไร ใครเห็นประวัติ และเมื่อไม่ได้งานจะเก็บข้อมูลต่ออย่างไร ควรแสดงในจุดสมัคร การมีลิงก์ซ่อนไว้ท้ายเว็บไซต์อาจพิสูจน์การแจ้งได้ไม่เพียงพอ
ฐานผู้สมัครสำรองต้องแยกวัตถุประสงค์และระยะเวลา ไม่ใช่สมัครครั้งเดียวแล้วเก็บตลอดไป หากใช้ AI คัดกรองใบสมัครงาน ต้องตรวจขอบเขตและการส่งข้อมูลเพิ่ม
พนักงานเดิม: เซ็นตอนเริ่มงานแล้วอาจยังไม่ครอบคลุมระบบใหม่
เมื่อเพิ่มสแกนหน้า ติดตามตำแหน่งรถ หรือตรวจอีเมล ต้องตรวจฐานและวัตถุประสงค์ตามมาตรา 21 พร้อมแจ้งรายละเอียดที่เปลี่ยน การออก Notice ใหม่ไม่ได้ทำให้การใช้ข้อมูลผิดวัตถุประสงค์เดิมชอบด้วยกฎหมายทันที
ข้อมูลที่เก็บไว้ก่อนวันที่ 1 มิถุนายน 2565 ต้องพิจารณามาตรา 95 ซึ่งให้เก็บและใช้ตามวัตถุประสงค์เดิมภายใต้เงื่อนไขเรื่องการยกเลิกความยินยอมและประชาสัมพันธ์ ส่วนการเปิดเผยหรือดำเนินการอื่นยังต้องเป็นไปตามกฎหมาย ให้ดูวันที่เก็บข้อมูล ไม่ใช่ดูเพียงว่าพนักงานเริ่มงานก่อนวันดังกล่าวหรือไม่
กิจกรรมเฝ้าติดตามควรมีข้อความและมาตรการเฉพาะ ดูการใช้ CCTV ในการสอบสวนวินัย, ทางเลือกแทนสแกนนิ้วเข้างาน และขอบเขตการตรวจอีเมลหรือแชทของพนักงาน
อดีตพนักงานและข้อมูลคนในครอบครัว
อดีตพนักงานใช้ Notice เดิมได้ถ้าครอบคลุมช่วงหลังพ้นสภาพ ต้องแยกข้อมูลที่ยังเก็บตามกฎหมายหรือข้อพิพาทจากข้อมูลที่ควรลบ การตอบบริษัทใหม่ที่โทรเช็กประวัติต้องตรวจฐานการเปิดเผยด้วย
รายละเอียดเรื่องระยะเวลาอยู่ในตารางเก็บเอกสาร HR ส่วนการขอข้อมูลหลังออกจากงานอ่านได้ที่อดีตพนักงานขอแฟ้มประวัติ
อย่าผลักหน้าที่ทั้งหมดให้พนักงานรับรองแทนบุคคลอื่น ต้องตรวจฐานและเงื่อนไขแจ้งเป็นรายกิจกรรม แม้ใช้ข้อยกเว้นความยินยอม การจัดคำแจ้งที่เข้าถึงได้ก็ช่วยอธิบายการใช้ข้อมูลอย่างโปร่งใส อ่านกรณีของผู้ติดต่อฉุกเฉิน และข้อมูลครอบครัวเพื่อสวัสดิการ
ทำไมไม่ควรรวมความยินยอมทุกเรื่องไว้ในสัญญาจ้าง
ความยินยอมที่ผูกเป็นเงื่อนไขเข้าทำงานสำหรับเรื่องไม่จำเป็น อาจไม่เป็นอิสระตามมาตรา 19 ควรเลือกฐานให้ตรงกิจกรรมแทนการให้เซ็นครอบทุกเรื่อง
มาตรา 19 วรรคสามให้แยกคำขอความยินยอมจากข้อความอื่นอย่างชัดเจนและเข้าใจง่าย วรรคสี่ให้คำนึงถึงความเป็นอิสระอย่างถึงที่สุด ห้ามผูกสัญญากับความยินยอมที่ไม่จำเป็นหรือไม่เกี่ยวข้อง แม้เอกสารอยู่ในชุดรับพนักงานเดียวกันก็ต้องรักษาทางเลือกนี้
| กิจกรรม HR | ฐานที่ต้องพิจารณาจากข้อเท็จจริง | ความยินยอมเกี่ยวข้องอย่างไร |
|---|---|---|
| จ่ายค่าจ้าง | ฐานสัญญา มาตรา 24(3) | งานจำเป็นตามสัญญาไม่ควรพึ่งความยินยอม |
| ประกันสังคมหรือภาษี | หน้าที่ตามกฎหมาย มาตรา 24(6) ตรวจมาตรา 26 เพิ่มเมื่อเป็นข้อมูลอ่อนไหว | ตรวจหน้าที่กฎหมาย ไม่ใช้การถอนความยินยอมแทน |
| CCTV รักษาความปลอดภัย | อาจใช้มาตรา 24(5) เมื่อประเมินความจำเป็นและสิทธิแล้ว | ป้ายหรือลายเซ็นไม่ทำให้กล้องทุกจุดชอบด้วยกฎหมาย |
| ใบรับรองแพทย์และผลตรวจสุขภาพ | ตรวจมาตรา 26(5)(ค) สำหรับงานคุ้มครองแรงงาน และมาตรา 26(5)(ก) สำหรับอาชีวเวชศาสตร์หรือการประเมินความสามารถในการทำงาน ตามเงื่อนไขของแต่ละกรณี | ไม่ถือว่าผลตรวจสุขภาพทุกชนิดเข้าเงื่อนไขยกเว้น ถ้าไม่มีข้อยกเว้น ต้องตรวจความยินยอมโดยชัดแจ้งและความจำเป็น |
| ภาพในโฆษณาที่ไม่ใช่หน้าที่จำเป็น | ประเมินความยินยอมและสิทธิอื่นตามกิจกรรม | ปฏิเสธหรือถอนได้โดยไม่ถูกลงโทษเพราะไม่เข้าร่วม |
ตัวอย่างการเชื่อมกับกฎหมายแรงงาน: พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 มาตรา 32 ให้ลูกจ้างลาป่วยได้เท่าที่ป่วยจริง เมื่อลาป่วยตั้งแต่ 3 วันทำงานขึ้นไป นายจ้างอาจขอใบรับรองของแพทย์แผนปัจจุบันชั้นหนึ่งหรือสถานพยาบาลของทางราชการ หากลูกจ้างแสดงไม่ได้ ให้ชี้แจงนายจ้าง การรับใบรับรองจึงต้องตรวจฐานคุ้มครองแรงงานและจำกัดข้อมูลที่จำเป็น ไม่ถือว่าขอประวัติการรักษาทั้งหมดได้
สำหรับการตรวจสุขภาพก่อนเริ่มงานหรือประจำปี ให้พิจารณามาตรา 26(5)(ก) เมื่อเกี่ยวกับอาชีวเวชศาสตร์หรือประเมินความสามารถในการทำงาน โดยตรวจหน้าที่ตามกฎหมายและเงื่อนไขของผู้ประกอบวิชาชีพตามตัวบท การตั้งชื่อว่า “ตรวจสุขภาพประจำปี” อย่างเดียวไม่ได้ทำให้ข้อมูลทุกช่องได้รับยกเว้นความยินยอม
ข้อมูลอ่อนไหวต้องตรวจมาตรา 26 เพิ่ม อ้างประโยชน์โดยชอบตามมาตรา 24 เพียงอย่างเดียวไม่ได้
อ่านต่อเรื่องความยินยอม PDPA ที่ใช้ไม่ได้ และหลักฐานการขอและถอนความยินยอม
ตัวอย่างโครง Privacy Notice พนักงานที่ใช้ตรวจร่างเดิม
ใช้โครงนี้ตรวจเอกสารเดิม แล้วปรับตามงานของบริษัทก่อนนำไปใช้
- ชื่อผู้ควบคุมข้อมูลและกลุ่มบุคคลที่ประกาศครอบคลุม
- ประเภทข้อมูลที่เก็บ แยกข้อมูลทั่วไปและข้อมูลอ่อนไหว
- แหล่งที่มาของข้อมูล รวมข้อมูลจากบุคคลอื่น
- วัตถุประสงค์แต่ละกิจกรรมและฐานกฎหมายที่ใช้
- ข้อมูลจำเป็น ข้อมูลสมัครใจ และผลเมื่อไม่ให้ข้อมูล
- การจ่ายค่าจ้าง สวัสดิการ และหน้าที่ตามกฎหมาย
- การเฝ้าติดตามหรือการใช้เทคโนโลยีในที่ทำงาน
- ประเภทผู้รับข้อมูลและผู้ให้บริการภายนอก
- การส่งหรือโอนข้อมูลไปต่างประเทศ ถ้ามี
- ระยะเวลาเก็บ จุดเริ่มนับ และเหตุที่อาจต้องเก็บต่อ
- สิทธิของเจ้าของข้อมูลและวิธีส่งคำขอ
- ช่องทางติดต่อผู้ควบคุมข้อมูลและ DPO ถ้ามี
- การเปลี่ยนแปลงประกาศ วิธีแจ้ง และวันที่มีผล
- เลขฉบับและวิธีตรวจสอบประกาศฉบับปัจจุบัน
ตัวอย่างข้อความเรื่องจ่ายค่าจ้าง
ตัวอย่างสมมติ: บริษัทเก็บชื่อ รหัสพนักงาน ข้อมูลเวลาทำงาน อัตราค่าจ้าง และบัญชีรับเงิน เพื่อคำนวณและจ่ายค่าจ้างตามสัญญาจ้าง รวมถึงดำเนินหน้าที่ตามกฎหมายที่เกี่ยวข้อง ข้อมูลที่จำเป็นต่อการโอนเงินจะส่งให้ธนาคาร ส่วนข้อมูลสำหรับจัดทำเงินเดือนจะส่งให้ผู้ให้บริการ Payroll ภายใต้ขอบเขตที่บริษัทกำหนด
ต้องตรวจบทบาท Payroll และข้อมูลที่ใช้จริง หากคำนวณเงินเดือนเอง อย่าคงข้อความว่าจ้างคู่ค้าไว้ตามแม่แบบ
ตัวอย่างข้อความเรื่องกล้อง CCTV
ตัวอย่างสมมติ: บริษัทบันทึกภาพบริเวณทางเข้าออกและพื้นที่เก็บสินค้าเพื่อรักษาความปลอดภัย ตรวจสอบเหตุผิดปกติ และใช้ประกอบการตรวจสอบเหตุที่เกี่ยวข้องกับวัตถุประสงค์ดังกล่าว โดยประเมินความจำเป็นและผลกระทบต่อสิทธิของบุคคล บริษัทกำหนดให้ระบบเก็บภาพทั่วไป 30 วัน และจำกัดผู้เข้าถึง หากเกิดเหตุที่ต้องตรวจสอบหรือใช้สิทธิเรียกร้อง จะคัดแยกเฉพาะภาพที่เกี่ยวข้องและเก็บตามเหตุจำเป็นนั้น
30 วันเป็นตัวเลขสมมติที่ต้องตรงกับระบบจริง ไม่ใช่ข้อบังคับทั่วไปของ PDPA ถ้าเปลี่ยนวัตถุประสงค์ติดกล้องต้องประเมินใหม่
ตัวอย่างข้อความเรื่องเก็บหลังพ้นสภาพ
ตัวอย่างสมมติ: หลังสิ้นสุดการจ้าง บริษัทแยกทะเบียนลูกจ้าง เอกสารการจ่ายค่าจ้าง เอกสารภาษี และเอกสารข้อพิพาทออกเป็นคนละรายการตามตารางระยะเวลาเก็บรักษาที่แนบประกาศ โดยแต่ละรายการแสดงระยะเวลาและจุดเริ่มนับ เมื่อครบกำหนดจะลบหรือทำให้ไม่สามารถระบุตัวบุคคลได้ เว้นแต่ยังมีหน้าที่ตามกฎหมายหรือเหตุจำเป็นในการใช้สิทธิเรียกร้องที่ตรวจสอบและบันทึกไว้
ตัวอย่างนี้ต้องมีตารางระยะเวลาจริงแนบ ไม่ใช้เลขเดียวครอบทั้งแฟ้ม เพราะหน้าที่ตามกฎหมายและเหตุข้อพิพาทต่างกัน
ประกาศบริษัทใหญ่อาจกล่าวถึงระบบและสวัสดิการที่คุณไม่มี คัดลอกมาแล้วจึงอาจแจ้งไม่ตรงความจริง
เลนส์ทนายยอดทิพย์ธรรม: Notice กับหลักฐานคดีแรงงาน
Notice เป็นหลักฐานเรื่องการแจ้ง ไม่ได้รับรองว่าการใช้ข้อมูลชอบทั้งหมดหรือรับประกันผลคดีแรงงาน
การใช้ภาพกล้องหรือข้อความสอบสวนพนักงาน ต้องตรวจทั้งฐานการใช้ข้อมูลและข้อเท็จจริงที่พิสูจน์ความผิดทางวินัยแยกกัน
ตัวอย่างสมมติ: กล้องรักษาความปลอดภัยในคลังสินค้าจับภาพเหตุสินค้าหายได้ การใช้สอบสวนต้องตรวจวัตถุประสงค์ ผู้เข้าถึง และหลักฐาน ส่วนการนำภาพไปประจานเป็นอีกกิจกรรมที่ Notice เดิมไม่ได้เปิดทางให้
การแจ้งไม่ครบอาจเกิดความรับผิด PDPA แต่ไม่ทำให้ศาลตัดหลักฐานทุกกรณี อ่านเรื่องข้อพิพาท PDPA กับคดีแรงงานที่เดินคู่กัน
เจ็ดจุดที่ควรตรวจในร่างก่อนใช้จริง
- เขียนว่า “อาจใช้เพื่อวัตถุประสงค์อื่น” กว้างจนผู้อ่านไม่รู้ว่าทำอะไรจริง
- ไม่มีระยะเวลาเก็บหรือเกณฑ์ที่เข้าใจได้ และไม่มีตารางประกอบ
- ลืม Payroll ประกันกลุ่ม หรือผู้ดูแลระบบในประเภทผู้รับข้อมูล
- ใช้ความยินยอมเป็นฐานทุกกิจกรรม รวมถึงหน้าที่ที่กฎหมายบังคับ
- ไม่กล่าวถึงการเฝ้าติดตามที่บริษัทใช้อยู่จริง
- ใช้ภาษาที่พนักงานกลุ่มเป้าหมายไม่เข้าใจโดยไม่มีวิธีอธิบายที่เหมาะสม
- ไม่มีฉบับอ้างอิง วันที่มีผล หรือหลักฐานว่าคนกลุ่มใดได้รับแล้ว
มองสองฝั่ง: บริษัทต้องพิสูจน์ พนักงานต้องเข้าใจ
| ประเด็น | ฝ่ายบริษัทและ HR | ฝ่ายพนักงานหรือผู้สมัคร |
|---|---|---|
| สิ่งที่ต้องรู้ | ฐานการใช้ข้อมูล เวลาแจ้ง และหลักฐาน | ข้อมูลจำเป็น ผู้รับข้อมูล และผลเมื่อไม่ให้ |
| ความเสี่ยง | พิสูจน์การแจ้งไม่ได้หรือข้อความไม่ตรงระบบ | ถูกขอเกินจำเป็นหรือเข้าใจว่าเซ็นแล้วเสียสิทธิ |
| จุดที่ควรแก้ | เทียบ Notice กับฟอร์มและตั้งผู้รับผิดชอบ | มีช่องทางสอบถามและใช้สิทธิที่เข้าถึงได้ |
| หลักฐาน | ฉบับที่แจ้ง บันทึกการส่ง และฐานกฎหมาย | ประกาศ คำขอ และคำตอบขององค์กร |
ถ้าข้อความเกี่ยวกับการใช้ข้อมูลขัดกับสัญญาจ้างหรือข้อบังคับ ควรตรวจร่วมกับบริการร่างสัญญาจ้างและข้อบังคับการทำงาน ก่อนประกาศใช้
ร่างเอง ใช้เทมเพลต หรือให้ทนายร่าง ต่างกันตรงไหน
ทั้งสามทางทำได้ แต่ต้องกำหนดว่าใครตรวจฐานกฎหมาย ความตรงกับงาน และหลักฐานการแจ้ง
| วิธีจัดทำ | งานที่ HR ยังต้องทำ | เหมาะเมื่อไร | เมื่อถูกร้องเรียนหรือมีคดีแรงงาน |
|---|---|---|---|
| ร่างเอง | สำรวจกิจกรรม ตรวจฐาน เทียบเอกสาร และกำหนดวิธีแจ้ง | งานไม่ซับซ้อนและทีมตรวจประเด็นกฎหมายกับระบบจริงได้ | ต้องเก็บเหตุผลของร่างและหลักฐานไว้ หากให้ทนายช่วยภายหลังต้องอธิบายที่มาของแต่ละข้อ |
| ใช้เทมเพลต | ปรับกิจกรรม ระยะเวลา ผู้รับข้อมูล และช่องทางให้ตรงงาน | ใช้เป็นจุดเริ่มต้นและมีคนตรวจต่อ | ตรวจเงื่อนไขช่วยเหลือของผู้ขาย ไม่ควรถือว่าค่าแบบฟอร์มรวมการแก้ข้อโต้แย้งหรือว่าความ |
| ให้ทนายร่างหรือตรวจ | ยืนยันข้อเท็จจริงและนำวิธีแจ้งไปใช้ | มีข้อมูลอ่อนไหว หลายภาษา หรือเอกสารแรงงานเกี่ยวข้อง | ผู้ร่างมีข้อมูลเหตุผลของข้อความ ช่วยประเมินคำชี้แจงต่อ สคส. หรือคดีแรงงานต่อได้ตามขอบเขตว่าจ้างแยกและเงื่อนไขรับงาน |
ก่อนจ้าง ให้ถามว่าตรวจสัญญาจ้างและข้อบังคับด้วยหรือไม่ รวมคำแนะนำแก้ขั้นตอนใด และงานร้องเรียนภายหลังอยู่ในขอบเขตหรือไม่
ค่าร่าง Notice ไม่ได้รวมคำชี้แจงต่อ สคส. หรือการว่าความโดยอัตโนมัติ ถ้ามีข้อพิพาทแล้ว ให้แจ้งเพื่อประเมินงานกฎหมายแรงงาน แยกด้วย
รับร่าง Privacy Notice พนักงาน ราคาเท่าไร ใช้เวลากี่วัน
ค่าบริการเริ่มต้น 3,000 บาท ยังไม่รวมภาษีมูลค่าเพิ่ม สำหรับงานร่าง Privacy Notice เท่านั้น ส่งร่าง 3–7 วันทำการ แก้ไข 2 รอบ ไม่ใช่ราคาชุด Applicant Notice พร้อม Employee Notice และเอกสาร HR อื่นทั้งหมด จำนวนฉบับ ภาษา และยอดชำระจะระบุในใบเสนอราคาหลังประเมินงาน
| ทางเลือก | ขอบเขตที่ประเมิน | ราคาและระยะเวลา |
|---|---|---|
| ร่าง Privacy Notice เฉพาะเอกสาร | ประกาศสำหรับกลุ่มและกิจกรรมที่ตกลง ไม่รวมงานร่างแบบรับทราบ แบบขอความยินยอม หรือนโยบายภายใน งานตรวจฉบับเดิมและงานเพิ่มให้ประเมินแยก | เริ่มต้น 3,000 บาท ยังไม่รวมภาษีมูลค่าเพิ่ม ส่งร่าง 3–7 วันทำการ แก้ไข 2 รอบ จำนวนฉบับและภาษาที่รวมให้ดูใบเสนอราคา |
| HR Privacy Setup ทั้งระบบ | วงจรข้อมูล HR, Notice ผู้สมัครและพนักงานภาษาไทย, ตารางเก็บรักษา, สิทธิเข้าถึง, ขั้นตอนใช้สิทธิ, Playbook และงานอื่นตามหน้าบริการ | เริ่มต้น 95,000 บาท ระยะเวลาประมาณ 6–8 สัปดาห์ ตามขอบเขตมาตรฐานของบริการ |
ราคา 95,000 บาทของบริการ HR Privacy Setup อ้างอิงขอบเขตที่ประกาศสำหรับนิติบุคคลไม่เกิน 150 คน ไม่เกิน 3 สถานที่ HRIS 1 ระบบ และ Payroll Vendor 1 ราย ราคามาตรฐานยังไม่รวมภาษีมูลค่าเพิ่ม ค่าเดินทาง และค่าใช้จ่ายผู้เชี่ยวชาญภายนอกหากมี โดยต้องดูใบเสนอราคาของงานนั้นประกอบ
ราคาเริ่มต้นไม่ได้รวมทุกเอกสารและทุกภาษา ต้องดูรายการส่งมอบในใบเสนอราคา หากต้องการไฟล์ Word ที่แก้ต่อได้ ให้ระบุในขอบเขตด้วย
ขั้นตอนจากส่งข้อมูลถึงส่งมอบ
- ส่ง Notice เดิมถ้ามี พร้อมจำนวนพนักงาน ระบบที่ใช้ และวันที่ต้องการเอกสาร
- สำนักงานตรวจข้อมูลประกอบและเสนอขอบเขตกับราคาภายใน 1 วันทำการเมื่อได้รับข้อมูลครบ
- ยืนยันจำนวนฉบับ ภาษา รายการส่งมอบ และวันเริ่มนับระยะเวลาตามข้อตกลง ก่อนดำเนินการร่างในกรอบ 3–7 วันทำการ
- ส่งร่างให้ HR ตรวจข้อเท็จจริงและรวบรวมความเห็นเพื่อแก้ไข 2 รอบ หากเพิ่มกิจกรรมหรือภาษาให้ประเมินขอบเขตที่เปลี่ยนก่อน
- ส่งมอบฉบับที่ตกลง พร้อมข้อสังเกตเรื่องการนำไปแจ้งและควบคุมเวอร์ชันตามขอบเขตงาน
ภาษาไทย อังกฤษ และจีน รวมอยู่ในราคาเดียวหรือไม่
รองรับไทย อังกฤษ และจีน โดยตกลงจำนวนฉบับและการตรวจเทียบภาษา หากมีบริษัทแม่ต่างประเทศ ให้ส่งนโยบายกลุ่มบริษัทมาประกอบด้วย
ภาษาเมียนมาหรือกัมพูชาต้องประเมินการแปลและผู้รับผิดชอบก่อนตกลงบริการ ดูเรื่องPDPA ในโรงงานที่มีแรงงานต่างชาติ
ส่ง Notice แล้วต้องทำอะไรต่อ
HR ต้องทำให้ระบบตรงกับข้อความ เช่น Notice บอกเก็บ 30 วัน ต้องตรวจระบบสำรองด้วย
เทียบกับ ROPA หรือบันทึกรายการประมวลผล ให้กิจกรรม วัตถุประสงค์ ผู้รับข้อมูล และระยะเวลาเก็บสอดคล้องกัน
หากใช้ Payroll หรือ HRIS ภายนอก ต้องตรวจบทบาทคู่ค้าและสัญญาประมวลผลข้อมูลส่วนบุคคลหรือ DPA ด้วย การระบุชื่อผู้ให้บริการใน Notice ไม่ได้แทนข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผลตามมาตรา 40 และถ้าส่งข้อมูลให้บริษัทแม่ต่างประเทศ ต้องพิจารณามาตรา 28–29 เพิ่มตามแนวทางข้อมูลบนคลาวด์และการโอนต่างประเทศ
เมื่อเปลี่ยน HRIS เพิ่ม AI สแกนหน้า กล้อง หรือย้ายที่เก็บข้อมูล ให้ตรวจฐานแล้วปรับประกาศ วิธีแจ้ง และเอกสารที่เกี่ยวข้อง
เก็บประวัติฉบับและหลักฐานการแจ้งไว้ตอบว่า “วันที่เก็บข้อมูล บริษัทแจ้งอะไร” ดูรายละเอียดในมี Notice แล้วแต่ยังไม่พร้อมให้ตรวจ
ทางไปต่อ: เตรียมข้อมูล 6 รายการเพื่อขอประเมินงาน
เริ่มจากข้อมูลระบบและตัวอย่างเอกสารที่ปกปิดข้อมูลส่วนบุคคลแล้ว ยังไม่ต้องส่งแฟ้มประวัติหรือข้อมูลสุขภาพทั้งชุด
- จำนวนพนักงาน สาขา และนิติบุคคลที่เป็นนายจ้าง
- ระบบ HRIS และ Payroll รวมผู้ให้บริการที่เข้าถึงข้อมูล
- Notice สัญญาจ้าง และแบบฟอร์มเดิมที่ต้องการให้ตรวจ
- การใช้ CCTV สแกนนิ้ว สแกนหน้า GPS หรือการตรวจอีเมล
- การส่งข้อมูลให้บริษัทในกลุ่มหรือไปต่างประเทศ
- ภาษาที่ต้องใช้ กลุ่มคนอ่าน และวันที่ต้องการนำเอกสารไปใช้
มีฉบับเดิมให้เริ่มจากตรวจจุดที่ขาด หากยังไม่มีบัญชีข้อมูลและวิธีจัดการสิทธิ ควรเทียบกับงานวางระบบ HR ก่อนเลือก
ส่งรายละเอียดทาง LINE @995iqtpa เพื่อประเมิน Privacy Notice พิมพ์ “ตรวจ Privacy Notice” หรือโทร 081-327-8551 สำนักงานกฎหมายยอดทิพย์ธรรมเสนอขอบเขตและราคาภายใน 1 วันทำการหลังได้รับข้อมูลครบ เพื่อให้คุณตัดสินใจได้ว่าจะจ้างร่างเฉพาะประกาศ ตรวจฉบับเดิม หรือจัดระบบข้อมูล HR ที่เกี่ยวข้อง
ข้อกฎหมายที่เกี่ยวข้อง
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ฉบับราชกิจจานุเบกษา
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 วรรคสามและวรรคสี่: การแยกคำขอความยินยอม ความเข้าใจได้ และความเป็นอิสระในการให้ความยินยอม
- มาตรา 21–23: วัตถุประสงค์ ความจำเป็นในการเก็บ และรายละเอียด 6 รายการที่ต้องแจ้งก่อนหรือขณะเก็บข้อมูลโดยตรง พร้อมข้อยกเว้นเมื่อเจ้าของข้อมูลทราบรายละเอียดแล้ว
- มาตรา 24–26: ฐานข้อมูลทั่วไป การเก็บจากแหล่งอื่น และข้อมูลอ่อนไหว มาตรา 26(5)(ก) เกี่ยวกับอาชีวเวชศาสตร์และการประเมินความสามารถในการทำงาน ส่วนมาตรา 26(5)(ค) เกี่ยวกับการคุ้มครองแรงงานและประกันสังคม ต้องตรวจเงื่อนไขของแต่ละฐาน
- มาตรา 28–29: การส่งหรือโอนข้อมูลต่างประเทศ ต้องประเมินประกาศที่เกี่ยวข้องและข้อเท็จจริงของผู้ส่งกับผู้รับข้อมูลเพิ่มเติม
- มาตรา 23(6) อ้างสิทธิตามมาตรา 19 วรรคห้า, มาตรา 30 วรรคหนึ่ง, 31 วรรคหนึ่ง, 32 วรรคหนึ่ง, 33 วรรคหนึ่ง, 34 วรรคหนึ่ง, 36 วรรคหนึ่ง และ 73 วรรคหนึ่ง รวมสิทธิร้องเรียน ส่วนมาตรา 35 เป็นหน้าที่ของผู้ควบคุมข้อมูล
- มาตรา 37, 39 และ 40: มาตรการของผู้ควบคุม บันทึกรายการ และข้อตกลงกับผู้ประมวลผล เป็นงานที่ต้องตรวจประกอบกับ Notice
- มาตรา 82 และ 90: เพดานโทษและการพิจารณามาตรการทางปกครองตามกรณี ไม่ใช่ค่าปรับอัตโนมัติ 1 ล้านบาท
- มาตรา 95: ข้อมูลที่เก็บก่อน 1 มิถุนายน 2565 ให้พิจารณาบทเฉพาะกาล การเก็บและใช้ตามวัตถุประสงค์เดิมมีเงื่อนไข และไม่ได้ยกเว้นการเปิดเผยหรือการดำเนินการอื่นทั้งหมด
- การเก็บเอกสารลูกจ้างต้องตรวจหน้าที่ตามกฎหมายแรงงานและกฎหมายอื่นเป็นรายประเภท ประกอบตารางระยะเวลาเก็บ ไม่ใช้ตัวเลขเดียวกับข้อมูลทั้งแฟ้ม
- พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 มาตรา 32: ลาป่วยได้เท่าที่ป่วยจริง เมื่อลาตั้งแต่ 3 วันทำงานขึ้นไปนายจ้างอาจขอใบรับรองแพทย์ตามประเภทที่กฎหมายกำหนด หากแสดงไม่ได้ให้ลูกจ้างชี้แจง
คำถามที่พบบ่อย
ต้องให้พนักงานเซ็นยินยอมใน Privacy Notice ไหม
พนักงานที่ทำงานมาก่อนต้องแจ้ง Privacy Notice ใหม่ไหม
ใช้ Privacy Notice ฉบับเดียวกับลูกค้าหรือผู้สมัครงานได้ไหม
บริษัทมีพนักงาน 10 คน ได้รับยกเว้น Privacy Notice หรือไม่
ต้องมี Privacy Notice ภาษาอังกฤษ จีน หรือเมียนมาไหม
ติดบอร์ด ส่งอีเมล หรือส่ง LINE ให้พนักงานเพียงพอไหม
ใช้ Privacy Notice ของบริษัทแม่ต่างประเทศได้ไหม
ไม่มี Privacy Notice พนักงาน มีโทษอะไร
อ่านต่อ: ข้อมูลพนักงานและงาน HR
- นโยบาย BYOD ใช้มือถือส่วนตัวทำงาน ต้องตกลงอะไร
- พนักงานลาออกแล้วขอสำเนาแฟ้มประวัติทั้งหมด นายจ้างต้องให้ถึงระดับไหน
- ประกาศชื่อพนักงานที่ถูกลงโทษ เสี่ยง PDPA อย่างไร
- ตารางระยะเวลาเก็บเอกสาร HR ทำอย่างไรให้ถูกทั้ง PDPA และกฎหมายแรงงาน
- ข้อมูลครอบครัวพนักงานเพื่อสวัสดิการ เก็บได้แค่ไหน
- PDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพ
- ข้อมูลผู้ติดต่อฉุกเฉินของพนักงาน ต้องแจ้งใครบ้าง
- กล้องวงจรปิดในที่ทำงาน ใช้เป็นหลักฐานลงโทษทางวินัยได้หรือไม่
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี · คุ้มครองข้อมูลส่วนบุคคล (PDPA)
ดูประวัติและช่องทางติดต่อผู้เขียน →บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ
บริการที่เกี่ยวข้องกับเรื่องนี้
PDPA Legal Health Check ตรวจความพร้อม PDPA ขององค์กรตรวจเอกสารและกระบวนการ PDPA ที่องค์กรใช้อยู่จริง จัดลำดับความเสี่ยง พร้อมแผน 30/60/90 วันให้ผู้บริหารสั่งการต่อได้ดูบริการตรวจความพร้อม PDPA
ทำสัญญาให้รัดกุม ก่อนเกิดข้อพิพาทร่างหรือตรวจสัญญากู้ยืม เช่า จ้างงาน และสัญญาธุรกิจ โดยทนายความ ชี้จุดเสี่ยงพร้อมข้อความที่ควรแก้ดูบริการรับร่างสัญญา
ข้อพิพาทแรงงาน ปรึกษาทนายความเลิกจ้าง ค่าชดเชย และสัญญาจ้าง ดูแลทั้งฝ่ายนายจ้างและลูกจ้างดูบริการคดีแรงงานบทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
PDPA โรงงานและแรงงานต่างด้าว เก็บพาสปอร์ต สุขภาพและสแกนหน้าอย่างไร
โรงงานเก็บข้อมูลแรงงานต่างด้าวอย่างไร ตรวจเอกสารประจำตัว ภาษาในใบยินยอม ข้อมูลสุขภาพและการส่งต่อนายหน้าให้ตรงหน้าที่
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
รับร่างสัญญา DPA และตรวจ DPA ของผู้ให้บริการก่อนเซ็น
บริษัทต้องร่าง DPA เอง หรือคู่ค้าส่งมาให้เซ็น ต้องตรวจคนละจุด ดูเงื่อนไขแจ้งเหตุ 72 ชั่วโมง เพดานรับผิด และเอกสารก่อนให้ทนายร่างหรือตรวจ
นายเอกราช ทิพย์แมม
·อ่าน 15 นาที
PDPA คุ้มครองข้อมูล
จ้างตรวจ PDPA ต้องกำหนดขอบเขตและรับรายงานอะไรบ้าง
ก่อนจ้างตรวจ PDPA ต้องรู้ว่าตรวจระบบไหน ได้รายงานอะไร และใครแก้ต่อ ดูเกณฑ์รับมอบ ขอบเขตที่ไม่รวม และเอกสารก่อนขอให้ทนายประเมินงาน
นายเอกราช ทิพย์แมม
·อ่าน 13 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ