นายจ้างเปิดดูอีเมล แชท หรือคอมพิวเตอร์ของพนักงานได้หรือไม่

สรุปประเด็นสำคัญ
คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ เพราะการที่บริษัทเป็นเจ้าของคอมพิวเตอร์หรือระบบอีเมล ไม่ได้แปลว่ามีอำนาจเข้าถึงข้อมูลในนั้นได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์ สิ่งที่ต้องมีคือฐานการประมวลผลที่ถูกต้อง การแจ้งไว้ล่วงหน้า และการดำเนินการที่ได้สัดส่วนกับวัตถุประสงค์
จุดที่นายจ้างมักพลาดคือ เปิดดูก่อนแล้วค่อยหาเหตุผลรองรับทีหลัง ซึ่งทำให้เกิดความเสี่ยงสองชั้นพร้อมกัน — ชั้นแรกคือประเด็นการเข้าถึงข้อมูลโดยไม่มีฐาน และชั้นที่สองคือหลักฐานที่ได้มานั้นถูกโต้แย้งที่มาในชั้นศาลแรงงาน จนใช้ประกอบการลงโทษไม่ได้ กลายเป็นเสียทั้งสองทาง
เมื่อองค์กรสงสัยว่าพนักงานคนหนึ่งกำลังส่งข้อมูลลูกค้าออกไปข้างนอก สิ่งแรกที่ผู้บริหารมักสั่งคือให้ฝ่ายไอทีเปิดดูอีเมลและแชทของคนนั้นย้อนหลัง ซึ่งฟังดูสมเหตุสมผลเพราะทั้งเครื่องและระบบเป็นของบริษัท แต่คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของไม่ได้ และการตอบผิดในจุดนี้ทำให้องค์กรเสียเปรียบทั้งสองสนามพร้อมกัน
ทำไมความเป็นเจ้าของอุปกรณ์จึงไม่ใช่คำตอบ
ข้อมูลในกล่องอีเมลของพนักงานเป็นข้อมูลส่วนบุคคล ทั้งของตัวพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา เช่น ลูกค้า คู่ค้า หรือเพื่อนร่วมงาน การเข้าถึงข้อมูลเหล่านั้นจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ไม่ต่างจากการประมวลผลอื่น ๆ
ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยให้องค์กรอธิบายความคาดหมายเรื่องความเป็นส่วนตัวได้ง่ายขึ้น แต่ไม่ได้ทำให้ข้อมูลในนั้นกลายเป็นของบริษัทจนเข้าถึงได้ตามใจ โดยเฉพาะเมื่อในกล่องเดียวกันนั้นมีข้อมูลของบุคคลที่สามซึ่งไม่ได้เป็นลูกจ้างของบริษัทปนอยู่ด้วย
ผลก็คือคำถามที่ถูกต้องไม่ใช่ "เครื่องนี้ของใคร" แต่คือ "องค์กรจะเข้าถึงข้อมูลนี้ด้วยฐานอะไร เพื่อวัตถุประสงค์อะไร ในขอบเขตแค่ไหน และเคยแจ้งไว้หรือยัง"
สี่เงื่อนไขที่ควรมีครบก่อนเข้าถึง
| เงื่อนไข | คำถามที่ต้องตอบได้ | เอกสารที่ต้องมี |
|---|---|---|
| 1 · แจ้งไว้ล่วงหน้า | พนักงานทราบหรือไม่ว่าองค์กรอาจตรวจสอบในกรณีใด ขอบเขตแค่ไหน | นโยบายการเฝ้าติดตามในที่ทำงาน และหลักฐานการแจ้งพนักงาน |
| 2 · มีฐานรองรับ | ใช้ฐานใด และหากใช้ประโยชน์โดยชอบด้วยกฎหมาย ได้ชั่งน้ำหนักกับสิทธิของพนักงานแล้วหรือยัง | บันทึกการชั่งน้ำหนัก พร้อมวันที่ ทำก่อนเข้าถึง ไม่ใช่ทำย้อนหลัง |
| 3 · ได้สัดส่วน | มีวิธีอื่นที่กระทบน้อยกว่าและได้ผลเหมือนกันหรือไม่ · เข้าถึงเท่าที่จำเป็นหรือดูทั้งกล่อง | บันทึกขอบเขตที่กำหนดไว้ เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง |
| 4 · มีบันทึก | ใครขอ ใครอนุมัติ เข้าถึงเมื่อใด และเข้าถึงอะไรบ้าง | แบบขออนุมัติและบันทึกการเข้าถึงรายครั้ง |
เงื่อนไขข้อ 3 เป็นข้อที่ถูกละเลยมากที่สุดในทางปฏิบัติ เพราะเมื่อฝ่ายไอทีเปิดกล่องอีเมลได้แล้ว มักดูทั้งกล่องเพื่อความสบายใจ ทั้งที่ประเด็นที่สงสัยจำกัดอยู่ที่ช่วงเวลาหนึ่งหรือคู่สนทนารายหนึ่ง การกำหนดขอบเขตไว้ก่อนและบันทึกว่ากำหนดอย่างไร จึงเป็นสิ่งที่แยกองค์กรที่ทำถูกออกจากองค์กรที่ทำเกิน
ไม่ใช่ทุกกล่องเหมือนกัน
ระดับความคาดหมายเรื่องความเป็นส่วนตัวต่างกันตามลักษณะของช่องทาง ซึ่งมีผลต่อการชั่งน้ำหนักโดยตรง
- อีเมลบัญชีบริษัทที่ใช้ติดต่องาน ความคาดหมายเรื่องความเป็นส่วนตัวต่ำที่สุด โดยเฉพาะเมื่อองค์กรแจ้งนโยบายไว้ชัดเจน
- แชทในระบบสื่อสารภายในองค์กร อยู่ระดับกลาง แต่มักมีบทสนทนาส่วนตัวปนอยู่มากกว่าที่คิด
- ไฟล์ในเครื่องคอมพิวเตอร์ของบริษัท ต้องแยกโฟลเดอร์งานออกจากไฟล์ส่วนตัวที่พนักงานเก็บไว้ ซึ่งในทางปฏิบัติแยกยาก
- แอปแชทส่วนตัวบนโทรศัพท์ของพนักงานเอง ความคาดหมายเรื่องความเป็นส่วนตัวสูงที่สุด และการเข้าถึงมีความเสี่ยงสูงมาก แม้พนักงานจะใช้คุยเรื่องงานก็ตาม
- ข้อความที่พนักงานส่งให้องค์กรเอง เช่น อีเมลที่ส่งถึงหัวหน้าโดยตรง องค์กรอยู่ในฐานะผู้รับอยู่แล้ว จึงเป็นคนละเรื่องกับการเข้าไปค้นในกล่องของเขา
ข้อสุดท้ายมีประโยชน์ในทางปฏิบัติมาก เพราะในหลายกรณีองค์กรมีหลักฐานที่ต้องการอยู่แล้วจากช่องทางที่ตนเป็นผู้รับ โดยไม่จำเป็นต้องเข้าไปค้นกล่องของพนักงานเลย ซึ่งเป็นทางที่ความเสี่ยงต่ำกว่ามาก
เลนส์ทนายยอดทิพย์ธรรม
คนทั่วไปมักเข้าใจว่า… ถ้าเปิดดูแล้วเจอหลักฐานว่าพนักงานทำผิดจริง เรื่องก็จบ เพราะความผิดปรากฏชัดแล้ว
แต่ในทางคดี กฎหมายและศาลมักมองว่า… หลักฐานต้องผ่านทั้งการพิสูจน์เนื้อหาและการพิสูจน์ที่มา หลักฐานที่ได้มาโดยไม่มีฐานรองรับหรือเกินขอบเขตที่จำเป็น ย่อมถูกโต้แย้งที่มา และการโต้แย้งนั้นเปิดประเด็นใหม่ให้พนักงานย้อนกลับมาที่องค์กรได้ด้วย
จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรมักเสียสองต่อ ต่อแรกคือหลักฐานที่ตั้งใจใช้ลงโทษถูกลดน้ำหนักในสนามแรงงาน ต่อที่สองคือการเข้าถึงนั้นเองกลายเป็นเรื่องร้องเรียนใหม่ในสนามข้อมูลส่วนบุคคล กลายเป็นว่าเริ่มต้นจากการจับผิดพนักงาน แต่จบด้วยการที่องค์กรต้องตอบคำถามเรื่องตัวเอง
ทางเลือกที่ควรทำต่อคือ… ก่อนกดเปิดดู ให้ใช้เวลาสามสิบนาทีทำสามอย่าง คือกำหนดขอบเขตให้แคบที่สุดเท่าที่ตอบคำถามได้ ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และบันทึกเหตุผล เพราะสามสิบนาทีนี้มีค่ามากกว่าการแก้ปัญหาย้อนหลังหลายเท่า
สองสนามที่เดินพร้อมกัน
| คำถาม | สนามข้อมูลส่วนบุคคล | สนามแรงงาน |
|---|---|---|
| มีนโยบายแจ้งไว้ล่วงหน้าหรือไม่ | เป็นประเด็นเรื่องการแจ้งวัตถุประสงค์ | ใช้โจมตีที่มาของหลักฐาน |
| เข้าถึงเกินขอบเขตที่จำเป็นหรือเปล่า | เป็นประเด็นเรื่องความได้สัดส่วน | ใช้ตั้งคำถามเรื่องความสุจริตของกระบวนการ |
| มีบันทึกว่าใครเข้าถึงเมื่อใด | เป็นประเด็นเรื่องมาตรการควบคุม | ใช้ตั้งคำถามเรื่องความน่าเชื่อถือของหลักฐาน |
| กระบวนการสอบสวนให้โอกาสชี้แจงหรือไม่ | ไม่ใช่ประเด็นหลัก | เป็นประเด็นหลัก |
| ข้อมูลของบุคคลที่สามที่ปนอยู่ถูกจัดการอย่างไร | เป็นประเด็นสำคัญที่มักถูกลืม | อาจกลายเป็นเหตุร้องเรียนใหม่จากบุคคลอื่น |
แถวสุดท้ายเป็นความเสี่ยงที่องค์กรแทบไม่เคยคิดถึง เพราะเมื่อเปิดกล่องอีเมลของพนักงานคนหนึ่ง องค์กรกำลังเข้าถึงข้อมูลของทุกคนที่เคยติดต่อกับเขาไปพร้อมกัน · การวางเรื่องนี้จึงควรทำร่วมกับทีมที่ดูแลงานคดีแรงงานตั้งแต่ต้น
ปลายทางถ้าพลาด
- พนักงานร้องเรียนว่าองค์กรเข้าถึงข้อมูลส่วนบุคคลโดยไม่มีฐานหรือเกินความจำเป็น
- คณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ ตามพฤติการณ์และปัจจัยที่ประกาศกำหนด
- หน้าที่บางประการ เช่น การแจ้งวัตถุประสงค์ตามมาตรา 23 และการจัดทำบันทึกกิจกรรมการประมวลผลตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82
- ในสนามแรงงาน หลักฐานที่มีที่มาไม่ชัดถูกโต้แย้ง ทำให้การลงโทษหรือการเลิกจ้างที่อาศัยหลักฐานนั้นสั่นคลอน
- บุคคลที่สามซึ่งข้อมูลปรากฏอยู่ในกล่องนั้น อาจใช้สิทธิของตนเองแยกอีกทางหนึ่ง
- และเจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้ โดยตามมาตรา 78 ศาลมีอำนาจสั่งจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
หลักฐานที่ต้องเก็บ
- นโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณีและขอบเขตการตรวจสอบ พร้อมวันที่ประกาศใช้
- หลักฐานการแจ้งพนักงาน เช่น การอบรม การลงนามรับทราบ หรือระบบแจ้งภายใน
- บันทึกการชั่งน้ำหนักระหว่างประโยชน์ขององค์กรกับสิทธิของพนักงาน จัดทำก่อนเข้าถึง
- แบบขออนุมัติเข้าถึง ระบุเหตุผล ขอบเขต ช่วงเวลา และผู้อนุมัติ
- บันทึกการเข้าถึงจริง ระบุผู้ดำเนินการ วันเวลา และสิ่งที่เข้าถึง
- บันทึกว่าจัดการข้อมูลของบุคคลที่สามที่ปรากฏอยู่อย่างไร
- บันทึกกระบวนการสอบสวน ตั้งแต่แจ้งข้อกล่าวหาจนถึงคำชี้แจงของพนักงาน
- บันทึกว่าเก็บหรือทำลายข้อมูลที่ได้จากการตรวจสอบอย่างไรหลังเรื่องจบ
ถ้าเป็นฝ่ายนายจ้างหรือ HR ต้องเช็กอะไรบ้าง
- องค์กรมีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษรหรือยัง หรือมีแต่ความเข้าใจกันเอง
- นโยบายระบุหรือไม่ว่าจะตรวจสอบในกรณีใด ใครอนุมัติ และขอบเขตแค่ไหน
- เคยแจ้งพนักงานเรื่องนี้เมื่อใด และมีหลักฐานการแจ้งหรือเปล่า
- ปัจจุบันฝ่ายไอทีเข้าถึงกล่องอีเมลของพนักงานได้โดยไม่ต้องขออนุมัติหรือไม่
- มีบันทึกการเข้าถึงย้อนหลังหรือเปล่า ถ้าไม่มี จะเริ่มเก็บได้เมื่อไร
- มีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่ เช่น ข้อมูลที่องค์กรเป็นผู้รับอยู่แล้ว
- เมื่อตรวจสอบเสร็จ ข้อมูลที่คัดลอกออกมาถูกเก็บไว้ที่ไหนและนานเท่าใด
- ในกรณีเร่งด่วนที่ต้องเข้าถึงทันที มีขั้นตอนรองรับที่ยังบันทึกได้หรือไม่
อีกฝ่ายอาจโต้แย้งอย่างไร
- "ไม่เคยแจ้งว่าจะตรวจสอบ" — คำถามแรกที่ถูกถามเสมอ และเป็นจุดที่องค์กรจำนวนมากตอบไม่ได้
- "ดูทั้งกล่องทั้งที่สงสัยแค่เรื่องเดียว" — เป็นประเด็นความได้สัดส่วนที่หยิบใช้ง่ายและมีน้ำหนัก
- "ไม่รู้ว่าใครเข้าไปดูบ้าง" — เมื่อไม่มีบันทึกการเข้าถึง ความน่าเชื่อถือของหลักฐานถูกตั้งคำถามทันที
- "เปิดดูก่อนแล้วเพิ่งมาทำนโยบาย" — เทียบวันที่บนนโยบายกับวันที่เข้าถึงได้ทันที
- "เลือกปฏิบัติเฉพาะบางคน" — เมื่อองค์กรตรวจสอบเฉพาะพนักงานที่มีข้อขัดแย้งกับผู้บริหาร
- "ละเมิดข้อมูลของคนอื่นที่ไม่เกี่ยวข้อง" — โดยบุคคลที่สามที่ปรากฏในบทสนทนา
ก่อนเข้าถึง ควรทำอะไรตามลำดับ
- ระบุให้ชัดว่าต้องการตอบคำถามอะไร และต้องการข้อมูลชิ้นใดจึงจะตอบได้
- ตรวจก่อนว่ามีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่
- ตรวจว่านโยบายและการแจ้งครอบคลุมกรณีนี้หรือเปล่า ถ้าไม่ครอบคลุม ให้ประเมินความเสี่ยงตามจริง
- กำหนดขอบเขตให้แคบที่สุด เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง แล้วบันทึกไว้
- ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และให้ผู้ดำเนินการเป็นผู้ที่ไม่มีส่วนได้เสีย
- ให้ทนายประเมินก่อนในกรณีที่ผลจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง
กรณีแบบไหนที่ควรปรึกษาทนายก่อนเข้าถึง
- ผลของการตรวจสอบจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง
- องค์กรไม่มีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษร
- พนักงานคนนั้นมีข้อพิพาทกับองค์กรอยู่ก่อนแล้ว
- ต้องการเข้าถึงอุปกรณ์ส่วนตัวของพนักงาน หรือแอปแชทส่วนตัว
- ข้อมูลที่จะเข้าถึงมีบทสนทนากับลูกค้าหรือคู่ค้าจำนวนมากปนอยู่
- เรื่องอาจนำไปสู่การดำเนินคดีทางแพ่งหรือทางอาญากับพนักงาน
- มีการเข้าถึงไปแล้วก่อนที่จะปรึกษา และต้องประเมินความเสี่ยงย้อนหลัง
สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง
ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราจัดทำนโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณี ขอบเขต และผู้มีอำนาจอนุมัติให้ชัด พร้อมแบบขออนุมัติเข้าถึงและแบบบันทึกการเข้าถึง ให้อยู่ในงานวางระบบข้อมูลพนักงาน เพื่อให้องค์กรตรวจสอบได้จริงเมื่อจำเป็น โดยไม่สร้างความเสี่ยงใหม่
จุดที่เราเน้นคือการอ่านเรื่องนี้ด้วยสายตาของทนายคดีแรงงานไปพร้อมกัน เพราะเป้าหมายที่แท้จริงขององค์กรไม่ใช่การได้ดูข้อมูล แต่คือการได้หลักฐานที่ใช้ได้ · และเราจะบอกตรง ๆ ว่ากรณีไหนที่ความเสี่ยงสูงเกินกว่าประโยชน์ที่จะได้ ซึ่งพบบ่อยกว่าที่คิด
สรุป
คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ สิ่งที่ตัดสินคือมีการแจ้งไว้ล่วงหน้าหรือไม่ มีฐานรองรับหรือเปล่า การเข้าถึงได้สัดส่วนกับวัตถุประสงค์หรือไม่ และมีบันทึกว่าใครเข้าถึงอะไรเมื่อใด
คำถามที่ควรถามก่อนกดเปิดดูทุกครั้งคือ ถ้าพนักงานคนนี้ไปร้องเรียนพรุ่งนี้ว่าองค์กรละเมิดความเป็นส่วนตัวของเขา องค์กรจะมีเอกสารอะไรให้ดูบ้าง ถ้าคำตอบคือไม่มีอะไรเลยนอกจากผลการค้นหา นั่นคือสัญญาณว่าควรหยุดและปรึกษาทนายก่อน
หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่
ข้อกฎหมายที่เกี่ยวข้อง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 — หน้าที่แจ้งวัตถุประสงค์ ประเภทข้อมูล ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล ก่อนหรือขณะเก็บรวบรวม ซึ่งเป็นฐานของการแจ้งนโยบายการเฝ้าติดตามล่วงหน้า
- มาตรา 24 — ฐานการประมวลผลข้อมูลทั่วไป ซึ่งกรณีการตรวจสอบภายในมักพิจารณาฐานประโยชน์โดยชอบด้วยกฎหมาย โดยต้องชั่งน้ำหนักกับสิทธิขั้นพื้นฐานของเจ้าของข้อมูลและควรบันทึกไว้ก่อนดำเนินการ
- มาตรา 26 — ข้อมูลอ่อนไหว ซึ่งอาจปรากฏในบทสนทนาโดยไม่ตั้งใจ เช่น ข้อมูลสุขภาพหรือข้อมูลสหภาพแรงงาน และมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป
- มาตรา 37 — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการจำกัดผู้เข้าถึงและการป้องกันการเข้าถึงโดยมิชอบภายในองค์กรเอง
- มาตรา 39 — หน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล ซึ่งควรครอบคลุมกิจกรรมการตรวจสอบภายในด้วย
- มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 มาตรา 39 วรรคหนึ่ง และมาตราอื่นที่ระบุไว้
- มาตรา 78 — ค่าสินไหมทดแทนเพื่อการลงโทษ ซึ่งศาลสั่งเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
- ⚠️ ประเด็นการเฝ้าติดตามในที่ทำงานยังไม่มีประกาศเฉพาะจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทความนี้จึงเขียนบนหลักทั่วไป ควรตรวจสอบข้อมูลล่าสุดก่อนอ้างอิง
- ⚠️ กฎหมายว่าด้วยการคุ้มครองแรงงานและข้อบังคับเกี่ยวกับการทำงานขององค์กรมีผลต่อความชอบของกระบวนการสอบสวนและการลงโทษ ควรตรวจตัวบทฉบับที่บังคับใช้อยู่ประกอบเป็นรายกรณี
คำถามที่พบบ่อย
คอมพิวเตอร์กับอีเมลเป็นของบริษัท ทำไมยังเปิดดูไม่ได้ตามใจ
เพราะข้อมูลที่อยู่ในนั้นเป็นข้อมูลส่วนบุคคล ทั้งของพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา การเข้าถึงจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยอธิบายความคาดหมายเรื่องความเป็นส่วนตัว แต่ไม่ได้ทำให้องค์กรมีอำนาจเข้าถึงได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์และไม่ต้องแจ้งไว้ล่วงหน้า
มีนโยบายเขียนไว้แล้วว่าบริษัทตรวจสอบได้ ถือว่าพอไหม
นโยบายเป็นเงื่อนไขที่จำเป็นแต่ยังไม่พอ เพราะต้องมีหลักฐานว่าได้แจ้งพนักงานจริง และการเข้าถึงแต่ละครั้งยังต้องได้สัดส่วนกับวัตถุประสงค์ในกรณีนั้น นโยบายที่เขียนกว้างว่าบริษัทตรวจสอบได้ทุกเมื่อ มักถูกโต้แย้งได้ง่ายกว่านโยบายที่ระบุชัดว่าจะตรวจสอบในกรณีใด ขอบเขตแค่ไหน และใครเป็นผู้อนุมัติ ซึ่งเป็นรายละเอียดที่ทำให้ใช้ยันได้จริง
เหตุเร่งด่วนมาก รอขออนุมัติไม่ทัน ทำอย่างไร
องค์กรควรออกแบบขั้นตอนสำหรับกรณีเร่งด่วนไว้ล่วงหน้า เช่น ให้ผู้มีอำนาจอนุมัติทางช่องทางที่บันทึกได้ภายในเวลาที่กำหนด แล้วจัดทำเอกสารให้ครบภายหลังโดยระบุเหตุผลของความเร่งด่วน สิ่งที่ไม่ควรทำคือเข้าถึงก่อนโดยไม่มีการบันทึกใด ๆ แล้วค่อยหาเหตุผลย้อนหลัง เพราะเอกสารที่จัดทำหลังเกิดเรื่องมักถูกตั้งคำถามเรื่องวันที่และความน่าเชื่อถือ
เปิดดูไปแล้วก่อนจะรู้ว่าต้องมีขั้นตอน ควรทำอย่างไรต่อ
ควรหยุดการเข้าถึงเพิ่มเติมไว้ก่อน แล้วบันทึกให้ครบว่าที่ผ่านมาใครเข้าถึงอะไรเมื่อใดและด้วยเหตุผลใด จากนั้นประเมินความเสี่ยงตามความเป็นจริงว่ากระทบใครบ้างและมีข้อมูลของบุคคลที่สามเกี่ยวข้องหรือไม่ ก่อนตัดสินใจว่าจะใช้ข้อมูลที่ได้มาอย่างไร ควรปรึกษาทนายในขั้นนี้ เพราะการเดินหน้าใช้หลักฐานที่มีจุดอ่อนอาจทำให้เสียหายมากกว่าการเปลี่ยนแนวทาง
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ
บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
สแกนลายนิ้วมือหรือสแกนใบหน้าเข้างาน ต้องมีทางเลือกอื่นให้พนักงานหรือไม่
สแกนลายนิ้วมือเข้างานเป็นข้อมูลอ่อนไหวตามมาตรา 26 ทำได้แต่มีเงื่อนไขเข้มกว่าปกติ และเรื่องทางเลือกคือหัวใจ
นายเอกราช ทิพย์แมม
·อ่าน 10 นาที
PDPA คุ้มครองข้อมูล
ต้องแจ้งเจ้าของข้อมูลเมื่อใด และเขียนคำแจ้งอย่างไรไม่ให้กลายเป็นหลักฐานมัดตัว
แจ้งเจ้าของข้อมูลเฉพาะกรณีเสี่ยงสูง แต่ถ้อยคำในหนังสือแจ้งจะถูกใช้อ้างอิงต่อในทุกชั้น เขียนอย่างไรจึงจะปลอดภัย
นายเอกราช ทิพย์แมม
·อ่าน 10 นาที
PDPA คุ้มครองข้อมูล
เหตุข้อมูลรั่วแบบไหนที่ไม่ต้องแจ้ง และต้องบันทึกเหตุผลอย่างไรให้ใช้ยันได้
เหตุที่ไม่ต้องแจ้งมีจริงตามกฎหมาย แต่การไม่แจ้งโดยไม่บันทึกเหตุผล คือจุดที่องค์กรเสียเปรียบมากกว่าการแจ้งช้า
นายเอกราช ทิพย์แมม
·อ่าน 10 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ