081-327-8551 จ.–ศ. 09:00–18:00 น. info@yodthiptham.com
โลโก้ยอดทิพย์ธรรม ยอดทิพย์ธรรม Yod Thip Tham Law

นายจ้างเปิดดูอีเมล แชท หรือคอมพิวเตอร์ของพนักงานได้หรือไม่

ผู้บริหารหารือกับที่ปรึกษากฎหมายก่อนตรวจสอบอีเมลและแชทของพนักงานตามหลัก PDPA

สรุปประเด็นสำคัญ

คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ เพราะการที่บริษัทเป็นเจ้าของคอมพิวเตอร์หรือระบบอีเมล ไม่ได้แปลว่ามีอำนาจเข้าถึงข้อมูลในนั้นได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์ สิ่งที่ต้องมีคือฐานการประมวลผลที่ถูกต้อง การแจ้งไว้ล่วงหน้า และการดำเนินการที่ได้สัดส่วนกับวัตถุประสงค์

จุดที่นายจ้างมักพลาดคือ เปิดดูก่อนแล้วค่อยหาเหตุผลรองรับทีหลัง ซึ่งทำให้เกิดความเสี่ยงสองชั้นพร้อมกัน — ชั้นแรกคือประเด็นการเข้าถึงข้อมูลโดยไม่มีฐาน และชั้นที่สองคือหลักฐานที่ได้มานั้นถูกโต้แย้งที่มาในชั้นศาลแรงงาน จนใช้ประกอบการลงโทษไม่ได้ กลายเป็นเสียทั้งสองทาง

เมื่อองค์กรสงสัยว่าพนักงานคนหนึ่งกำลังส่งข้อมูลลูกค้าออกไปข้างนอก สิ่งแรกที่ผู้บริหารมักสั่งคือให้ฝ่ายไอทีเปิดดูอีเมลและแชทของคนนั้นย้อนหลัง ซึ่งฟังดูสมเหตุสมผลเพราะทั้งเครื่องและระบบเป็นของบริษัท แต่คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของไม่ได้ และการตอบผิดในจุดนี้ทำให้องค์กรเสียเปรียบทั้งสองสนามพร้อมกัน

ทำไมความเป็นเจ้าของอุปกรณ์จึงไม่ใช่คำตอบ

ข้อมูลในกล่องอีเมลของพนักงานเป็นข้อมูลส่วนบุคคล ทั้งของตัวพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา เช่น ลูกค้า คู่ค้า หรือเพื่อนร่วมงาน การเข้าถึงข้อมูลเหล่านั้นจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ไม่ต่างจากการประมวลผลอื่น ๆ

ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยให้องค์กรอธิบายความคาดหมายเรื่องความเป็นส่วนตัวได้ง่ายขึ้น แต่ไม่ได้ทำให้ข้อมูลในนั้นกลายเป็นของบริษัทจนเข้าถึงได้ตามใจ โดยเฉพาะเมื่อในกล่องเดียวกันนั้นมีข้อมูลของบุคคลที่สามซึ่งไม่ได้เป็นลูกจ้างของบริษัทปนอยู่ด้วย

ผลก็คือคำถามที่ถูกต้องไม่ใช่ "เครื่องนี้ของใคร" แต่คือ "องค์กรจะเข้าถึงข้อมูลนี้ด้วยฐานอะไร เพื่อวัตถุประสงค์อะไร ในขอบเขตแค่ไหน และเคยแจ้งไว้หรือยัง"

สี่เงื่อนไขที่ควรมีครบก่อนเข้าถึง

เงื่อนไขคำถามที่ต้องตอบได้เอกสารที่ต้องมี
1 · แจ้งไว้ล่วงหน้าพนักงานทราบหรือไม่ว่าองค์กรอาจตรวจสอบในกรณีใด ขอบเขตแค่ไหนนโยบายการเฝ้าติดตามในที่ทำงาน และหลักฐานการแจ้งพนักงาน
2 · มีฐานรองรับใช้ฐานใด และหากใช้ประโยชน์โดยชอบด้วยกฎหมาย ได้ชั่งน้ำหนักกับสิทธิของพนักงานแล้วหรือยังบันทึกการชั่งน้ำหนัก พร้อมวันที่ ทำก่อนเข้าถึง ไม่ใช่ทำย้อนหลัง
3 · ได้สัดส่วนมีวิธีอื่นที่กระทบน้อยกว่าและได้ผลเหมือนกันหรือไม่ · เข้าถึงเท่าที่จำเป็นหรือดูทั้งกล่องบันทึกขอบเขตที่กำหนดไว้ เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง
4 · มีบันทึกใครขอ ใครอนุมัติ เข้าถึงเมื่อใด และเข้าถึงอะไรบ้างแบบขออนุมัติและบันทึกการเข้าถึงรายครั้ง

เงื่อนไขข้อ 3 เป็นข้อที่ถูกละเลยมากที่สุดในทางปฏิบัติ เพราะเมื่อฝ่ายไอทีเปิดกล่องอีเมลได้แล้ว มักดูทั้งกล่องเพื่อความสบายใจ ทั้งที่ประเด็นที่สงสัยจำกัดอยู่ที่ช่วงเวลาหนึ่งหรือคู่สนทนารายหนึ่ง การกำหนดขอบเขตไว้ก่อนและบันทึกว่ากำหนดอย่างไร จึงเป็นสิ่งที่แยกองค์กรที่ทำถูกออกจากองค์กรที่ทำเกิน

ไม่ใช่ทุกกล่องเหมือนกัน

ระดับความคาดหมายเรื่องความเป็นส่วนตัวต่างกันตามลักษณะของช่องทาง ซึ่งมีผลต่อการชั่งน้ำหนักโดยตรง

  • อีเมลบัญชีบริษัทที่ใช้ติดต่องาน ความคาดหมายเรื่องความเป็นส่วนตัวต่ำที่สุด โดยเฉพาะเมื่อองค์กรแจ้งนโยบายไว้ชัดเจน
  • แชทในระบบสื่อสารภายในองค์กร อยู่ระดับกลาง แต่มักมีบทสนทนาส่วนตัวปนอยู่มากกว่าที่คิด
  • ไฟล์ในเครื่องคอมพิวเตอร์ของบริษัท ต้องแยกโฟลเดอร์งานออกจากไฟล์ส่วนตัวที่พนักงานเก็บไว้ ซึ่งในทางปฏิบัติแยกยาก
  • แอปแชทส่วนตัวบนโทรศัพท์ของพนักงานเอง ความคาดหมายเรื่องความเป็นส่วนตัวสูงที่สุด และการเข้าถึงมีความเสี่ยงสูงมาก แม้พนักงานจะใช้คุยเรื่องงานก็ตาม
  • ข้อความที่พนักงานส่งให้องค์กรเอง เช่น อีเมลที่ส่งถึงหัวหน้าโดยตรง องค์กรอยู่ในฐานะผู้รับอยู่แล้ว จึงเป็นคนละเรื่องกับการเข้าไปค้นในกล่องของเขา

ข้อสุดท้ายมีประโยชน์ในทางปฏิบัติมาก เพราะในหลายกรณีองค์กรมีหลักฐานที่ต้องการอยู่แล้วจากช่องทางที่ตนเป็นผู้รับ โดยไม่จำเป็นต้องเข้าไปค้นกล่องของพนักงานเลย ซึ่งเป็นทางที่ความเสี่ยงต่ำกว่ามาก

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… ถ้าเปิดดูแล้วเจอหลักฐานว่าพนักงานทำผิดจริง เรื่องก็จบ เพราะความผิดปรากฏชัดแล้ว

แต่ในทางคดี กฎหมายและศาลมักมองว่า… หลักฐานต้องผ่านทั้งการพิสูจน์เนื้อหาและการพิสูจน์ที่มา หลักฐานที่ได้มาโดยไม่มีฐานรองรับหรือเกินขอบเขตที่จำเป็น ย่อมถูกโต้แย้งที่มา และการโต้แย้งนั้นเปิดประเด็นใหม่ให้พนักงานย้อนกลับมาที่องค์กรได้ด้วย

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรมักเสียสองต่อ ต่อแรกคือหลักฐานที่ตั้งใจใช้ลงโทษถูกลดน้ำหนักในสนามแรงงาน ต่อที่สองคือการเข้าถึงนั้นเองกลายเป็นเรื่องร้องเรียนใหม่ในสนามข้อมูลส่วนบุคคล กลายเป็นว่าเริ่มต้นจากการจับผิดพนักงาน แต่จบด้วยการที่องค์กรต้องตอบคำถามเรื่องตัวเอง

ทางเลือกที่ควรทำต่อคือ… ก่อนกดเปิดดู ให้ใช้เวลาสามสิบนาทีทำสามอย่าง คือกำหนดขอบเขตให้แคบที่สุดเท่าที่ตอบคำถามได้ ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และบันทึกเหตุผล เพราะสามสิบนาทีนี้มีค่ามากกว่าการแก้ปัญหาย้อนหลังหลายเท่า

สองสนามที่เดินพร้อมกัน

คำถามสนามข้อมูลส่วนบุคคลสนามแรงงาน
มีนโยบายแจ้งไว้ล่วงหน้าหรือไม่เป็นประเด็นเรื่องการแจ้งวัตถุประสงค์ใช้โจมตีที่มาของหลักฐาน
เข้าถึงเกินขอบเขตที่จำเป็นหรือเปล่าเป็นประเด็นเรื่องความได้สัดส่วนใช้ตั้งคำถามเรื่องความสุจริตของกระบวนการ
มีบันทึกว่าใครเข้าถึงเมื่อใดเป็นประเด็นเรื่องมาตรการควบคุมใช้ตั้งคำถามเรื่องความน่าเชื่อถือของหลักฐาน
กระบวนการสอบสวนให้โอกาสชี้แจงหรือไม่ไม่ใช่ประเด็นหลักเป็นประเด็นหลัก
ข้อมูลของบุคคลที่สามที่ปนอยู่ถูกจัดการอย่างไรเป็นประเด็นสำคัญที่มักถูกลืมอาจกลายเป็นเหตุร้องเรียนใหม่จากบุคคลอื่น

แถวสุดท้ายเป็นความเสี่ยงที่องค์กรแทบไม่เคยคิดถึง เพราะเมื่อเปิดกล่องอีเมลของพนักงานคนหนึ่ง องค์กรกำลังเข้าถึงข้อมูลของทุกคนที่เคยติดต่อกับเขาไปพร้อมกัน · การวางเรื่องนี้จึงควรทำร่วมกับทีมที่ดูแลงานคดีแรงงานตั้งแต่ต้น

ปลายทางถ้าพลาด

  1. พนักงานร้องเรียนว่าองค์กรเข้าถึงข้อมูลส่วนบุคคลโดยไม่มีฐานหรือเกินความจำเป็น
  2. คณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ ตามพฤติการณ์และปัจจัยที่ประกาศกำหนด
  3. หน้าที่บางประการ เช่น การแจ้งวัตถุประสงค์ตามมาตรา 23 และการจัดทำบันทึกกิจกรรมการประมวลผลตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82
  4. ในสนามแรงงาน หลักฐานที่มีที่มาไม่ชัดถูกโต้แย้ง ทำให้การลงโทษหรือการเลิกจ้างที่อาศัยหลักฐานนั้นสั่นคลอน
  5. บุคคลที่สามซึ่งข้อมูลปรากฏอยู่ในกล่องนั้น อาจใช้สิทธิของตนเองแยกอีกทางหนึ่ง
  6. และเจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้ โดยตามมาตรา 78 ศาลมีอำนาจสั่งจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง

หลักฐานที่ต้องเก็บ

  • นโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณีและขอบเขตการตรวจสอบ พร้อมวันที่ประกาศใช้
  • หลักฐานการแจ้งพนักงาน เช่น การอบรม การลงนามรับทราบ หรือระบบแจ้งภายใน
  • บันทึกการชั่งน้ำหนักระหว่างประโยชน์ขององค์กรกับสิทธิของพนักงาน จัดทำก่อนเข้าถึง
  • แบบขออนุมัติเข้าถึง ระบุเหตุผล ขอบเขต ช่วงเวลา และผู้อนุมัติ
  • บันทึกการเข้าถึงจริง ระบุผู้ดำเนินการ วันเวลา และสิ่งที่เข้าถึง
  • บันทึกว่าจัดการข้อมูลของบุคคลที่สามที่ปรากฏอยู่อย่างไร
  • บันทึกกระบวนการสอบสวน ตั้งแต่แจ้งข้อกล่าวหาจนถึงคำชี้แจงของพนักงาน
  • บันทึกว่าเก็บหรือทำลายข้อมูลที่ได้จากการตรวจสอบอย่างไรหลังเรื่องจบ

ถ้าเป็นฝ่ายนายจ้างหรือ HR ต้องเช็กอะไรบ้าง

  • องค์กรมีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษรหรือยัง หรือมีแต่ความเข้าใจกันเอง
  • นโยบายระบุหรือไม่ว่าจะตรวจสอบในกรณีใด ใครอนุมัติ และขอบเขตแค่ไหน
  • เคยแจ้งพนักงานเรื่องนี้เมื่อใด และมีหลักฐานการแจ้งหรือเปล่า
  • ปัจจุบันฝ่ายไอทีเข้าถึงกล่องอีเมลของพนักงานได้โดยไม่ต้องขออนุมัติหรือไม่
  • มีบันทึกการเข้าถึงย้อนหลังหรือเปล่า ถ้าไม่มี จะเริ่มเก็บได้เมื่อไร
  • มีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่ เช่น ข้อมูลที่องค์กรเป็นผู้รับอยู่แล้ว
  • เมื่อตรวจสอบเสร็จ ข้อมูลที่คัดลอกออกมาถูกเก็บไว้ที่ไหนและนานเท่าใด
  • ในกรณีเร่งด่วนที่ต้องเข้าถึงทันที มีขั้นตอนรองรับที่ยังบันทึกได้หรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

  • "ไม่เคยแจ้งว่าจะตรวจสอบ" — คำถามแรกที่ถูกถามเสมอ และเป็นจุดที่องค์กรจำนวนมากตอบไม่ได้
  • "ดูทั้งกล่องทั้งที่สงสัยแค่เรื่องเดียว" — เป็นประเด็นความได้สัดส่วนที่หยิบใช้ง่ายและมีน้ำหนัก
  • "ไม่รู้ว่าใครเข้าไปดูบ้าง" — เมื่อไม่มีบันทึกการเข้าถึง ความน่าเชื่อถือของหลักฐานถูกตั้งคำถามทันที
  • "เปิดดูก่อนแล้วเพิ่งมาทำนโยบาย" — เทียบวันที่บนนโยบายกับวันที่เข้าถึงได้ทันที
  • "เลือกปฏิบัติเฉพาะบางคน" — เมื่อองค์กรตรวจสอบเฉพาะพนักงานที่มีข้อขัดแย้งกับผู้บริหาร
  • "ละเมิดข้อมูลของคนอื่นที่ไม่เกี่ยวข้อง" — โดยบุคคลที่สามที่ปรากฏในบทสนทนา

ก่อนเข้าถึง ควรทำอะไรตามลำดับ

  1. ระบุให้ชัดว่าต้องการตอบคำถามอะไร และต้องการข้อมูลชิ้นใดจึงจะตอบได้
  2. ตรวจก่อนว่ามีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่
  3. ตรวจว่านโยบายและการแจ้งครอบคลุมกรณีนี้หรือเปล่า ถ้าไม่ครอบคลุม ให้ประเมินความเสี่ยงตามจริง
  4. กำหนดขอบเขตให้แคบที่สุด เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง แล้วบันทึกไว้
  5. ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และให้ผู้ดำเนินการเป็นผู้ที่ไม่มีส่วนได้เสีย
  6. ให้ทนายประเมินก่อนในกรณีที่ผลจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง

กรณีแบบไหนที่ควรปรึกษาทนายก่อนเข้าถึง

  • ผลของการตรวจสอบจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง
  • องค์กรไม่มีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษร
  • พนักงานคนนั้นมีข้อพิพาทกับองค์กรอยู่ก่อนแล้ว
  • ต้องการเข้าถึงอุปกรณ์ส่วนตัวของพนักงาน หรือแอปแชทส่วนตัว
  • ข้อมูลที่จะเข้าถึงมีบทสนทนากับลูกค้าหรือคู่ค้าจำนวนมากปนอยู่
  • เรื่องอาจนำไปสู่การดำเนินคดีทางแพ่งหรือทางอาญากับพนักงาน
  • มีการเข้าถึงไปแล้วก่อนที่จะปรึกษา และต้องประเมินความเสี่ยงย้อนหลัง

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราจัดทำนโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณี ขอบเขต และผู้มีอำนาจอนุมัติให้ชัด พร้อมแบบขออนุมัติเข้าถึงและแบบบันทึกการเข้าถึง ให้อยู่ในงานวางระบบข้อมูลพนักงาน เพื่อให้องค์กรตรวจสอบได้จริงเมื่อจำเป็น โดยไม่สร้างความเสี่ยงใหม่

จุดที่เราเน้นคือการอ่านเรื่องนี้ด้วยสายตาของทนายคดีแรงงานไปพร้อมกัน เพราะเป้าหมายที่แท้จริงขององค์กรไม่ใช่การได้ดูข้อมูล แต่คือการได้หลักฐานที่ใช้ได้ · และเราจะบอกตรง ๆ ว่ากรณีไหนที่ความเสี่ยงสูงเกินกว่าประโยชน์ที่จะได้ ซึ่งพบบ่อยกว่าที่คิด

สรุป

คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ สิ่งที่ตัดสินคือมีการแจ้งไว้ล่วงหน้าหรือไม่ มีฐานรองรับหรือเปล่า การเข้าถึงได้สัดส่วนกับวัตถุประสงค์หรือไม่ และมีบันทึกว่าใครเข้าถึงอะไรเมื่อใด

คำถามที่ควรถามก่อนกดเปิดดูทุกครั้งคือ ถ้าพนักงานคนนี้ไปร้องเรียนพรุ่งนี้ว่าองค์กรละเมิดความเป็นส่วนตัวของเขา องค์กรจะมีเอกสารอะไรให้ดูบ้าง ถ้าคำตอบคือไม่มีอะไรเลยนอกจากผลการค้นหา นั่นคือสัญญาณว่าควรหยุดและปรึกษาทนายก่อน

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

  • พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 — หน้าที่แจ้งวัตถุประสงค์ ประเภทข้อมูล ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล ก่อนหรือขณะเก็บรวบรวม ซึ่งเป็นฐานของการแจ้งนโยบายการเฝ้าติดตามล่วงหน้า
  • มาตรา 24 — ฐานการประมวลผลข้อมูลทั่วไป ซึ่งกรณีการตรวจสอบภายในมักพิจารณาฐานประโยชน์โดยชอบด้วยกฎหมาย โดยต้องชั่งน้ำหนักกับสิทธิขั้นพื้นฐานของเจ้าของข้อมูลและควรบันทึกไว้ก่อนดำเนินการ
  • มาตรา 26 — ข้อมูลอ่อนไหว ซึ่งอาจปรากฏในบทสนทนาโดยไม่ตั้งใจ เช่น ข้อมูลสุขภาพหรือข้อมูลสหภาพแรงงาน และมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป
  • มาตรา 37 — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการจำกัดผู้เข้าถึงและการป้องกันการเข้าถึงโดยมิชอบภายในองค์กรเอง
  • มาตรา 39 — หน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล ซึ่งควรครอบคลุมกิจกรรมการตรวจสอบภายในด้วย
  • มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 มาตรา 39 วรรคหนึ่ง และมาตราอื่นที่ระบุไว้
  • มาตรา 78 — ค่าสินไหมทดแทนเพื่อการลงโทษ ซึ่งศาลสั่งเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
  • ⚠️ ประเด็นการเฝ้าติดตามในที่ทำงานยังไม่มีประกาศเฉพาะจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทความนี้จึงเขียนบนหลักทั่วไป ควรตรวจสอบข้อมูลล่าสุดก่อนอ้างอิง
  • ⚠️ กฎหมายว่าด้วยการคุ้มครองแรงงานและข้อบังคับเกี่ยวกับการทำงานขององค์กรมีผลต่อความชอบของกระบวนการสอบสวนและการลงโทษ ควรตรวจตัวบทฉบับที่บังคับใช้อยู่ประกอบเป็นรายกรณี

คำถามที่พบบ่อย

คอมพิวเตอร์กับอีเมลเป็นของบริษัท ทำไมยังเปิดดูไม่ได้ตามใจ

เพราะข้อมูลที่อยู่ในนั้นเป็นข้อมูลส่วนบุคคล ทั้งของพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา การเข้าถึงจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยอธิบายความคาดหมายเรื่องความเป็นส่วนตัว แต่ไม่ได้ทำให้องค์กรมีอำนาจเข้าถึงได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์และไม่ต้องแจ้งไว้ล่วงหน้า

มีนโยบายเขียนไว้แล้วว่าบริษัทตรวจสอบได้ ถือว่าพอไหม

นโยบายเป็นเงื่อนไขที่จำเป็นแต่ยังไม่พอ เพราะต้องมีหลักฐานว่าได้แจ้งพนักงานจริง และการเข้าถึงแต่ละครั้งยังต้องได้สัดส่วนกับวัตถุประสงค์ในกรณีนั้น นโยบายที่เขียนกว้างว่าบริษัทตรวจสอบได้ทุกเมื่อ มักถูกโต้แย้งได้ง่ายกว่านโยบายที่ระบุชัดว่าจะตรวจสอบในกรณีใด ขอบเขตแค่ไหน และใครเป็นผู้อนุมัติ ซึ่งเป็นรายละเอียดที่ทำให้ใช้ยันได้จริง

เหตุเร่งด่วนมาก รอขออนุมัติไม่ทัน ทำอย่างไร

องค์กรควรออกแบบขั้นตอนสำหรับกรณีเร่งด่วนไว้ล่วงหน้า เช่น ให้ผู้มีอำนาจอนุมัติทางช่องทางที่บันทึกได้ภายในเวลาที่กำหนด แล้วจัดทำเอกสารให้ครบภายหลังโดยระบุเหตุผลของความเร่งด่วน สิ่งที่ไม่ควรทำคือเข้าถึงก่อนโดยไม่มีการบันทึกใด ๆ แล้วค่อยหาเหตุผลย้อนหลัง เพราะเอกสารที่จัดทำหลังเกิดเรื่องมักถูกตั้งคำถามเรื่องวันที่และความน่าเชื่อถือ

เปิดดูไปแล้วก่อนจะรู้ว่าต้องมีขั้นตอน ควรทำอย่างไรต่อ

ควรหยุดการเข้าถึงเพิ่มเติมไว้ก่อน แล้วบันทึกให้ครบว่าที่ผ่านมาใครเข้าถึงอะไรเมื่อใดและด้วยเหตุผลใด จากนั้นประเมินความเสี่ยงตามความเป็นจริงว่ากระทบใครบ้างและมีข้อมูลของบุคคลที่สามเกี่ยวข้องหรือไม่ ก่อนตัดสินใจว่าจะใช้ข้อมูลที่ได้มาอย่างไร ควรปรึกษาทนายในขั้นนี้ เพราะการเดินหน้าใช้หลักฐานที่มีจุดอ่อนอาจทำให้เสียหายมากกว่าการเปลี่ยนแนวทาง

นายเอกราช ทิพย์แมม
ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ

แชร์: Facebook LINE

บทความที่เกี่ยวข้อง

พนักงานสแกนลายนิ้วมือเข้างานที่เครื่องบันทึกเวลาในสำนักงาน ซึ่งเป็นข้อมูลชีวภาพตาม PDPA PDPA คุ้มครองข้อมูล

สแกนลายนิ้วมือหรือสแกนใบหน้าเข้างาน ต้องมีทางเลือกอื่นให้พนักงานหรือไม่

สแกนลายนิ้วมือเข้างานเป็นข้อมูลอ่อนไหวตามมาตรา 26 ทำได้แต่มีเงื่อนไขเข้มกว่าปกติ และเรื่องทางเลือกคือหัวใจ

นายเอกราช ทิพย์แมม ·อ่าน 10 นาที
ทนายความและผู้บริหารตรวจร่างหนังสือแจ้งเหตุละเมิดข้อมูลส่วนบุคคลก่อนส่งให้เจ้าของข้อมูล PDPA คุ้มครองข้อมูล

ต้องแจ้งเจ้าของข้อมูลเมื่อใด และเขียนคำแจ้งอย่างไรไม่ให้กลายเป็นหลักฐานมัดตัว

แจ้งเจ้าของข้อมูลเฉพาะกรณีเสี่ยงสูง แต่ถ้อยคำในหนังสือแจ้งจะถูกใช้อ้างอิงต่อในทุกชั้น เขียนอย่างไรจึงจะปลอดภัย

นายเอกราช ทิพย์แมม ·อ่าน 10 นาที
ทนายความบันทึกเหตุผลการประเมินว่าเหตุข้อมูลรั่วไม่เข้าเกณฑ์ต้องแจ้งตาม PDPA PDPA คุ้มครองข้อมูล

เหตุข้อมูลรั่วแบบไหนที่ไม่ต้องแจ้ง และต้องบันทึกเหตุผลอย่างไรให้ใช้ยันได้

เหตุที่ไม่ต้องแจ้งมีจริงตามกฎหมาย แต่การไม่แจ้งโดยไม่บันทึกเหตุผล คือจุดที่องค์กรเสียเปรียบมากกว่าการแจ้งช้า

นายเอกราช ทิพย์แมม ·อ่าน 10 นาที

ปรึกษาทีมทนาย PDPAของเรา

เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ

แชทผ่าน LINE