นายจ้างเปิดดูอีเมล แชท หรือคอมพิวเตอร์ของพนักงานได้หรือไม่

สรุปประเด็นสำคัญ
คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ เพราะการที่บริษัทเป็นเจ้าของคอมพิวเตอร์หรือระบบอีเมล ไม่ได้แปลว่ามีอำนาจเข้าถึงข้อมูลในนั้นได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์ สิ่งที่ต้องมีคือฐานการประมวลผลที่ถูกต้อง การแจ้งไว้ล่วงหน้า และการดำเนินการที่ได้สัดส่วนกับวัตถุประสงค์
จุดที่นายจ้างมักพลาดคือ เปิดดูก่อนแล้วค่อยหาเหตุผลรองรับทีหลัง ซึ่งทำให้เกิดความเสี่ยงสองชั้นพร้อมกัน — ชั้นแรกคือประเด็นการเข้าถึงข้อมูลโดยไม่มีฐาน และชั้นที่สองคือหลักฐานที่ได้มานั้นถูกโต้แย้งที่มาในชั้นศาลแรงงาน จนใช้ประกอบการลงโทษไม่ได้ กลายเป็นเสียทั้งสองทาง
ภาพรวม PDPA กับข้อมูลพนักงานอยู่ที่คู่มือนายจ้างและ HR · เมื่อองค์กรสงสัยว่าพนักงานคนหนึ่งกำลังส่งข้อมูลลูกค้าออกไปข้างนอก สิ่งแรกที่ผู้บริหารมักสั่งคือให้ฝ่ายไอทีเปิดดูอีเมลและแชทของคนนั้นย้อนหลัง ซึ่งฟังดูสมเหตุสมผลเพราะทั้งเครื่องและระบบเป็นของบริษัท แต่คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของไม่ได้ และการตอบผิดในจุดนี้ทำให้องค์กรเสียเปรียบทั้งสองสนามพร้อมกัน
ทำไมความเป็นเจ้าของอุปกรณ์จึงไม่ใช่คำตอบ
ข้อมูลในกล่องอีเมลของพนักงานเป็นข้อมูลส่วนบุคคล ทั้งของตัวพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา เช่น ลูกค้า คู่ค้า หรือเพื่อนร่วมงาน การเข้าถึงข้อมูลเหล่านั้นจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ไม่ต่างจากการประมวลผลอื่น ๆ
ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยให้องค์กรอธิบายความคาดหมายเรื่องความเป็นส่วนตัวได้ง่ายขึ้น แต่ไม่ได้ทำให้ข้อมูลในนั้นกลายเป็นของบริษัทจนเข้าถึงได้ตามใจ โดยเฉพาะเมื่อในกล่องเดียวกันนั้นมีข้อมูลของบุคคลที่สามซึ่งไม่ได้เป็นลูกจ้างของบริษัทปนอยู่ด้วย
ผลก็คือคำถามที่ถูกต้องไม่ใช่ "เครื่องนี้ของใคร" แต่คือ "องค์กรจะเข้าถึงข้อมูลนี้ด้วยฐานอะไร เพื่อวัตถุประสงค์อะไร ในขอบเขตแค่ไหน และเคยแจ้งไว้หรือยัง"
สี่เงื่อนไขที่ควรมีครบก่อนเข้าถึง
| เงื่อนไข | คำถามที่ต้องตอบได้ | เอกสารที่ต้องมี |
|---|---|---|
| 1 · แจ้งไว้ล่วงหน้า | พนักงานทราบหรือไม่ว่าองค์กรอาจตรวจสอบในกรณีใด ขอบเขตแค่ไหน | นโยบายการเฝ้าติดตามในที่ทำงาน และหลักฐานการแจ้งพนักงาน |
| 2 · มีฐานรองรับ | ใช้ฐานใด และหากใช้ประโยชน์โดยชอบด้วยกฎหมาย ได้ชั่งน้ำหนักกับสิทธิของพนักงานแล้วหรือยัง | บันทึกการชั่งน้ำหนัก พร้อมวันที่ ทำก่อนเข้าถึง ไม่ใช่ทำย้อนหลัง |
| 3 · ได้สัดส่วน | มีวิธีอื่นที่กระทบน้อยกว่าและได้ผลเหมือนกันหรือไม่ · เข้าถึงเท่าที่จำเป็นหรือดูทั้งกล่อง | บันทึกขอบเขตที่กำหนดไว้ เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง |
| 4 · มีบันทึก | ใครขอ ใครอนุมัติ เข้าถึงเมื่อใด และเข้าถึงอะไรบ้าง | แบบขออนุมัติและบันทึกการเข้าถึงรายครั้ง |
เงื่อนไขข้อ 3 เป็นข้อที่ถูกละเลยมากที่สุดในทางปฏิบัติ เพราะเมื่อฝ่ายไอทีเปิดกล่องอีเมลได้แล้ว มักดูทั้งกล่องเพื่อความสบายใจ ทั้งที่ประเด็นที่สงสัยจำกัดอยู่ที่ช่วงเวลาหนึ่งหรือคู่สนทนารายหนึ่ง การกำหนดขอบเขตไว้ก่อนและบันทึกว่ากำหนดอย่างไร จึงเป็นสิ่งที่แยกองค์กรที่ทำถูกออกจากองค์กรที่ทำเกิน
ไม่ใช่ทุกกล่องเหมือนกัน
ระดับความคาดหมายเรื่องความเป็นส่วนตัวต่างกันตามลักษณะของช่องทาง ซึ่งมีผลต่อการชั่งน้ำหนักโดยตรง
- อีเมลบัญชีบริษัทที่ใช้ติดต่องาน ความคาดหมายเรื่องความเป็นส่วนตัวต่ำที่สุด โดยเฉพาะเมื่อองค์กรแจ้งนโยบายไว้ชัดเจน
- แชทในระบบสื่อสารภายในองค์กร อยู่ระดับกลาง แต่มักมีบทสนทนาส่วนตัวปนอยู่มากกว่าที่คิด
- ไฟล์ในเครื่องคอมพิวเตอร์ของบริษัท ต้องแยกโฟลเดอร์งานออกจากไฟล์ส่วนตัวที่พนักงานเก็บไว้ ซึ่งในทางปฏิบัติแยกยาก
- แอปแชทส่วนตัวบนโทรศัพท์ของพนักงานเอง ความคาดหมายเรื่องความเป็นส่วนตัวสูงที่สุด และการเข้าถึงมีความเสี่ยงสูงมาก แม้พนักงานจะใช้คุยเรื่องงานก็ตาม
- ข้อความที่พนักงานส่งให้องค์กรเอง เช่น อีเมลที่ส่งถึงหัวหน้าโดยตรง องค์กรอยู่ในฐานะผู้รับอยู่แล้ว จึงเป็นคนละเรื่องกับการเข้าไปค้นในกล่องของเขา
ข้อสุดท้ายมีประโยชน์ในทางปฏิบัติมาก เพราะในหลายกรณีองค์กรมีหลักฐานที่ต้องการอยู่แล้วจากช่องทางที่ตนเป็นผู้รับ โดยไม่จำเป็นต้องเข้าไปค้นกล่องของพนักงานเลย ซึ่งเป็นทางที่ความเสี่ยงต่ำกว่ามาก
เลนส์ทนายยอดทิพย์ธรรม
คนทั่วไปมักเข้าใจว่า… ถ้าเปิดดูแล้วเจอหลักฐานว่าพนักงานทำผิดจริง เรื่องก็จบ เพราะความผิดปรากฏชัดแล้ว
แต่ในทางคดี กฎหมายและศาลมักมองว่า… หลักฐานต้องผ่านทั้งการพิสูจน์เนื้อหาและการพิสูจน์ที่มา หลักฐานที่ได้มาโดยไม่มีฐานรองรับหรือเกินขอบเขตที่จำเป็น ย่อมถูกโต้แย้งที่มา และการโต้แย้งนั้นเปิดประเด็นใหม่ให้พนักงานย้อนกลับมาที่องค์กรได้ด้วย
จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรมักเสียสองต่อ ต่อแรกคือหลักฐานที่ตั้งใจใช้ลงโทษถูกลดน้ำหนักในสนามแรงงาน ต่อที่สองคือการเข้าถึงนั้นเองกลายเป็นเรื่องร้องเรียนใหม่ในสนามข้อมูลส่วนบุคคล กลายเป็นว่าเริ่มต้นจากการจับผิดพนักงาน แต่จบด้วยการที่องค์กรต้องตอบคำถามเรื่องตัวเอง
ทางเลือกที่ควรทำต่อคือ… ก่อนกดเปิดดู ให้ใช้เวลาสามสิบนาทีทำสามอย่าง คือกำหนดขอบเขตให้แคบที่สุดเท่าที่ตอบคำถามได้ ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และบันทึกเหตุผล เพราะสามสิบนาทีนี้มีค่ามากกว่าการแก้ปัญหาย้อนหลังหลายเท่า
สองสนามที่เดินพร้อมกัน
| คำถาม | สนามข้อมูลส่วนบุคคล | สนามแรงงาน |
|---|---|---|
| มีนโยบายแจ้งไว้ล่วงหน้าหรือไม่ | เป็นประเด็นเรื่องการแจ้งวัตถุประสงค์ | ใช้โจมตีที่มาของหลักฐาน |
| เข้าถึงเกินขอบเขตที่จำเป็นหรือเปล่า | เป็นประเด็นเรื่องความได้สัดส่วน | ใช้ตั้งคำถามเรื่องความสุจริตของกระบวนการ |
| มีบันทึกว่าใครเข้าถึงเมื่อใด | เป็นประเด็นเรื่องมาตรการควบคุม | ใช้ตั้งคำถามเรื่องความน่าเชื่อถือของหลักฐาน |
| กระบวนการสอบสวนให้โอกาสชี้แจงหรือไม่ | ไม่ใช่ประเด็นหลัก | เป็นประเด็นหลัก |
| ข้อมูลของบุคคลที่สามที่ปนอยู่ถูกจัดการอย่างไร | เป็นประเด็นสำคัญที่มักถูกลืม | อาจกลายเป็นเหตุร้องเรียนใหม่จากบุคคลอื่น |
แถวสุดท้ายเป็นความเสี่ยงที่องค์กรแทบไม่เคยคิดถึง เพราะเมื่อเปิดกล่องอีเมลของพนักงานคนหนึ่ง องค์กรกำลังเข้าถึงข้อมูลของทุกคนที่เคยติดต่อกับเขาไปพร้อมกัน · การวางเรื่องนี้จึงควรทำร่วมกับทีมที่ดูแลงานคดีแรงงานตั้งแต่ต้น
ปลายทางถ้าพลาด
- พนักงานร้องเรียนว่าองค์กรเข้าถึงข้อมูลส่วนบุคคลโดยไม่มีฐานหรือเกินความจำเป็น
- คณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และพิจารณาว่าจะสั่งให้แก้ไข ตักเตือน หรือลงโทษปรับ ตามพฤติการณ์และปัจจัยที่ประกาศกำหนด
- หน้าที่บางประการ เช่น การแจ้งวัตถุประสงค์ตามมาตรา 23 และการจัดทำบันทึกกิจกรรมการประมวลผลตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกินหนึ่งล้านบาทตามมาตรา 82
- ในสนามแรงงาน หลักฐานที่มีที่มาไม่ชัดถูกโต้แย้ง ทำให้การลงโทษหรือการเลิกจ้างที่อาศัยหลักฐานนั้นสั่นคลอน
- บุคคลที่สามซึ่งข้อมูลปรากฏอยู่ในกล่องนั้น อาจใช้สิทธิของตนเองแยกอีกทางหนึ่ง
- และเจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้ โดยตามมาตรา 78 ศาลมีอำนาจสั่งจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
หลักฐานที่ต้องเก็บ
- นโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณีและขอบเขตการตรวจสอบ พร้อมวันที่ประกาศใช้
- หลักฐานการแจ้งพนักงาน เช่น การอบรม การลงนามรับทราบ หรือระบบแจ้งภายใน
- บันทึกการชั่งน้ำหนักระหว่างประโยชน์ขององค์กรกับสิทธิของพนักงาน จัดทำก่อนเข้าถึง
- แบบขออนุมัติเข้าถึง ระบุเหตุผล ขอบเขต ช่วงเวลา และผู้อนุมัติ
- บันทึกการเข้าถึงจริง ระบุผู้ดำเนินการ วันเวลา และสิ่งที่เข้าถึง
- บันทึกว่าจัดการข้อมูลของบุคคลที่สามที่ปรากฏอยู่อย่างไร
- บันทึกกระบวนการสอบสวน ตั้งแต่แจ้งข้อกล่าวหาจนถึงคำชี้แจงของพนักงาน
- บันทึกว่าเก็บหรือทำลายข้อมูลที่ได้จากการตรวจสอบอย่างไรหลังเรื่องจบ
ถ้าเป็นฝ่ายนายจ้างหรือ HR ต้องเช็กอะไรบ้าง
- องค์กรมีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษรหรือยัง หรือมีแต่ความเข้าใจกันเอง
- นโยบายระบุหรือไม่ว่าจะตรวจสอบในกรณีใด ใครอนุมัติ และขอบเขตแค่ไหน
- เคยแจ้งพนักงานเรื่องนี้เมื่อใด และมีหลักฐานการแจ้งหรือเปล่า
- ปัจจุบันฝ่ายไอทีเข้าถึงกล่องอีเมลของพนักงานได้โดยไม่ต้องขออนุมัติหรือไม่
- มีบันทึกการเข้าถึงย้อนหลังหรือเปล่า ถ้าไม่มี จะเริ่มเก็บได้เมื่อไร
- มีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่ เช่น ข้อมูลที่องค์กรเป็นผู้รับอยู่แล้ว
- เมื่อตรวจสอบเสร็จ ข้อมูลที่คัดลอกออกมาถูกเก็บไว้ที่ไหนและนานเท่าใด
- ในกรณีเร่งด่วนที่ต้องเข้าถึงทันที มีขั้นตอนรองรับที่ยังบันทึกได้หรือไม่
อีกฝ่ายอาจโต้แย้งอย่างไร
- "ไม่เคยแจ้งว่าจะตรวจสอบ" — คำถามแรกที่ถูกถามเสมอ และเป็นจุดที่องค์กรจำนวนมากตอบไม่ได้
- "ดูทั้งกล่องทั้งที่สงสัยแค่เรื่องเดียว" — เป็นประเด็นความได้สัดส่วนที่หยิบใช้ง่ายและมีน้ำหนัก
- "ไม่รู้ว่าใครเข้าไปดูบ้าง" — เมื่อไม่มีบันทึกการเข้าถึง ความน่าเชื่อถือของหลักฐานถูกตั้งคำถามทันที
- "เปิดดูก่อนแล้วเพิ่งมาทำนโยบาย" — เทียบวันที่บนนโยบายกับวันที่เข้าถึงได้ทันที
- "เลือกปฏิบัติเฉพาะบางคน" — เมื่อองค์กรตรวจสอบเฉพาะพนักงานที่มีข้อขัดแย้งกับผู้บริหาร
- "ละเมิดข้อมูลของคนอื่นที่ไม่เกี่ยวข้อง" — โดยบุคคลที่สามที่ปรากฏในบทสนทนา
ก่อนเข้าถึง ควรทำอะไรตามลำดับ
- ระบุให้ชัดว่าต้องการตอบคำถามอะไร และต้องการข้อมูลชิ้นใดจึงจะตอบได้
- ตรวจก่อนว่ามีวิธีอื่นที่ได้ข้อมูลเดียวกันโดยกระทบน้อยกว่าหรือไม่
- ตรวจว่านโยบายและการแจ้งครอบคลุมกรณีนี้หรือเปล่า ถ้าไม่ครอบคลุม ให้ประเมินความเสี่ยงตามจริง
- กำหนดขอบเขตให้แคบที่สุด เช่น ช่วงเวลา คำค้น หรือคู่สนทนาที่เกี่ยวข้อง แล้วบันทึกไว้
- ขออนุมัติจากผู้มีอำนาจเป็นลายลักษณ์อักษร และให้ผู้ดำเนินการเป็นผู้ที่ไม่มีส่วนได้เสีย
- ให้ทนายประเมินก่อนในกรณีที่ผลจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง
กรณีแบบไหนที่ควรปรึกษาทนายก่อนเข้าถึง
- ผลของการตรวจสอบจะนำไปสู่การลงโทษร้ายแรงหรือการเลิกจ้าง
- องค์กรไม่มีนโยบายการเฝ้าติดตามเป็นลายลักษณ์อักษร
- พนักงานคนนั้นมีข้อพิพาทกับองค์กรอยู่ก่อนแล้ว
- ต้องการเข้าถึงอุปกรณ์ส่วนตัวของพนักงาน หรือแอปแชทส่วนตัว
- ข้อมูลที่จะเข้าถึงมีบทสนทนากับลูกค้าหรือคู่ค้าจำนวนมากปนอยู่
- เรื่องอาจนำไปสู่คดีคู่ขนานทั้งที่ สคส. และศาลแรงงาน
- มีการเข้าถึงไปแล้วก่อนที่จะปรึกษา และต้องประเมินความเสี่ยงย้อนหลัง
สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง
ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราจัดทำนโยบายการเฝ้าติดตามในที่ทำงานที่ระบุกรณี ขอบเขต และผู้มีอำนาจอนุมัติให้ชัด พร้อมแบบขออนุมัติเข้าถึงและแบบบันทึกการเข้าถึง ให้อยู่ในงานวางระบบข้อมูลพนักงาน เพื่อให้องค์กรตรวจสอบได้จริงเมื่อจำเป็น โดยไม่สร้างความเสี่ยงใหม่
จุดที่เราเน้นคือการอ่านเรื่องนี้ด้วยสายตาของทนายคดีแรงงานไปพร้อมกัน เพราะเป้าหมายที่แท้จริงขององค์กรไม่ใช่การได้ดูข้อมูล แต่คือการได้หลักฐานที่ใช้ได้ · และเราจะบอกตรง ๆ ว่ากรณีไหนที่ความเสี่ยงสูงเกินกว่าประโยชน์ที่จะได้ ซึ่งพบบ่อยกว่าที่คิด
สรุป
คำถามว่านายจ้างเปิดดูอีเมลพนักงานได้หรือไม่ ตอบด้วยความเป็นเจ้าของอุปกรณ์ไม่ได้ สิ่งที่ตัดสินคือมีการแจ้งไว้ล่วงหน้าหรือไม่ มีฐานรองรับหรือเปล่า การเข้าถึงได้สัดส่วนกับวัตถุประสงค์หรือไม่ และมีบันทึกว่าใครเข้าถึงอะไรเมื่อใด
คำถามที่ควรถามก่อนกดเปิดดูทุกครั้งคือ ถ้าพนักงานคนนี้ไปร้องเรียนพรุ่งนี้ว่าองค์กรละเมิดความเป็นส่วนตัวของเขา องค์กรจะมีเอกสารอะไรให้ดูบ้าง ถ้าคำตอบคือไม่มีอะไรเลยนอกจากผลการค้นหา นั่นคือสัญญาณว่าควรหยุดและปรึกษาทนายก่อน
หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่
ข้อกฎหมายที่เกี่ยวข้อง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 — หน้าที่แจ้งวัตถุประสงค์ ประเภทข้อมูล ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล ก่อนหรือขณะเก็บรวบรวม ซึ่งเป็นฐานของการแจ้งนโยบายการเฝ้าติดตามล่วงหน้า
- มาตรา 24 — ฐานการประมวลผลข้อมูลทั่วไป ซึ่งกรณีการตรวจสอบภายในมักพิจารณาฐานประโยชน์โดยชอบด้วยกฎหมาย โดยต้องชั่งน้ำหนักกับสิทธิขั้นพื้นฐานของเจ้าของข้อมูลและควรบันทึกไว้ก่อนดำเนินการ
- มาตรา 26 — ข้อมูลอ่อนไหว ซึ่งอาจปรากฏในบทสนทนาโดยไม่ตั้งใจ เช่น ข้อมูลสุขภาพหรือข้อมูลสหภาพแรงงาน และมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป
- มาตรา 37 — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการจำกัดผู้เข้าถึงและการป้องกันการเข้าถึงโดยมิชอบภายในองค์กรเอง
- มาตรา 39 — หน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล ซึ่งควรครอบคลุมกิจกรรมการตรวจสอบภายในด้วย
- มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 มาตรา 39 วรรคหนึ่ง และมาตราอื่นที่ระบุไว้
- มาตรา 78 — ค่าสินไหมทดแทนเพื่อการลงโทษ ซึ่งศาลสั่งเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
- ⚠️ ประเด็นการเฝ้าติดตามในที่ทำงานยังไม่มีประกาศเฉพาะจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทความนี้จึงเขียนบนหลักทั่วไป ควรตรวจสอบข้อมูลล่าสุดก่อนอ้างอิง
- ⚠️ กฎหมายว่าด้วยการคุ้มครองแรงงานและข้อบังคับเกี่ยวกับการทำงานขององค์กรมีผลต่อความชอบของกระบวนการสอบสวนและการลงโทษ ควรตรวจตัวบทฉบับที่บังคับใช้อยู่ประกอบเป็นรายกรณี
คำถามที่พบบ่อย
คอมพิวเตอร์กับอีเมลเป็นของบริษัท ทำไมยังเปิดดูไม่ได้ตามใจ
เพราะข้อมูลที่อยู่ในนั้นเป็นข้อมูลส่วนบุคคล ทั้งของพนักงานเองและของบุคคลที่สามที่ติดต่อเข้ามา การเข้าถึงจึงเป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานรองรับ ความเป็นเจ้าของอุปกรณ์เป็นเพียงข้อเท็จจริงประกอบที่ช่วยอธิบายความคาดหมายเรื่องความเป็นส่วนตัว แต่ไม่ได้ทำให้องค์กรมีอำนาจเข้าถึงได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์และไม่ต้องแจ้งไว้ล่วงหน้า
มีนโยบายเขียนไว้แล้วว่าบริษัทตรวจสอบได้ ถือว่าพอไหม
นโยบายเป็นเงื่อนไขที่จำเป็นแต่ยังไม่พอ เพราะต้องมีหลักฐานว่าได้แจ้งพนักงานจริง และการเข้าถึงแต่ละครั้งยังต้องได้สัดส่วนกับวัตถุประสงค์ในกรณีนั้น นโยบายที่เขียนกว้างว่าบริษัทตรวจสอบได้ทุกเมื่อ มักถูกโต้แย้งได้ง่ายกว่านโยบายที่ระบุชัดว่าจะตรวจสอบในกรณีใด ขอบเขตแค่ไหน และใครเป็นผู้อนุมัติ ซึ่งเป็นรายละเอียดที่ทำให้ใช้ยันได้จริง
เหตุเร่งด่วนมาก รอขออนุมัติไม่ทัน ทำอย่างไร
องค์กรควรออกแบบขั้นตอนสำหรับกรณีเร่งด่วนไว้ล่วงหน้า เช่น ให้ผู้มีอำนาจอนุมัติทางช่องทางที่บันทึกได้ภายในเวลาที่กำหนด แล้วจัดทำเอกสารให้ครบภายหลังโดยระบุเหตุผลของความเร่งด่วน สิ่งที่ไม่ควรทำคือเข้าถึงก่อนโดยไม่มีการบันทึกใด ๆ แล้วค่อยหาเหตุผลย้อนหลัง เพราะเอกสารที่จัดทำหลังเกิดเรื่องมักถูกตั้งคำถามเรื่องวันที่และความน่าเชื่อถือ
เปิดดูไปแล้วก่อนจะรู้ว่าต้องมีขั้นตอน ควรทำอย่างไรต่อ
ควรหยุดการเข้าถึงเพิ่มเติมไว้ก่อน แล้วบันทึกให้ครบว่าที่ผ่านมาใครเข้าถึงอะไรเมื่อใดและด้วยเหตุผลใด จากนั้นประเมินความเสี่ยงตามความเป็นจริงว่ากระทบใครบ้างและมีข้อมูลของบุคคลที่สามเกี่ยวข้องหรือไม่ ก่อนตัดสินใจว่าจะใช้ข้อมูลที่ได้มาอย่างไร ควรปรึกษาทนายในขั้นนี้ เพราะการเดินหน้าใช้หลักฐานที่มีจุดอ่อนอาจทำให้เสียหายมากกว่าการเปลี่ยนแนวทาง
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ
บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
ตรวจประวัติผู้สมัครงานได้ถึงระดับไหน — ประวัติอาชญากรรมคือข้อมูลอ่อนไหว ที่นายจ้างมักไม่รู้
ตรวจประวัติผู้สมัครงานทำได้ แต่ประวัติอาชญากรรมเป็นข้อมูลอ่อนไหวตามมาตรา 26 ซึ่งมีเงื่อนไขเข้มกว่าที่นายจ้างส่วนใหญ่คิด
นายเอกราช ทิพย์แมม
·อ่าน 8 นาที
PDPA คุ้มครองข้อมูล
ข้อมูลเงินเดือนพนักงาน ใครในบริษัทเข้าถึงได้บ้าง — 5 ระดับสิทธิที่ควรแยก ปี 2569
ข้อมูลเงินเดือนพนักงานควรแยกสิทธิเข้าถึง 5 ระดับ พร้อมจุดรั่วที่พบบ่อยที่สุดคือไฟล์ตารางที่ส่งต่อกันในองค์กร
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
พนักงานนำข้อมูลลูกค้าออกจากบริษัท ทำอะไรได้บ้าง — 5 ขั้นตอนแรกและหลักฐานที่ต้องรีบเก็บ
พนักงานนำข้อมูลลูกค้าออกจากบริษัท ต้องรีบเก็บหลักฐาน 5 อย่างก่อนหาย และองค์กรเองก็อาจมีหน้าที่แจ้งเหตุด้วย
นายเอกราช ทิพย์แมม
·อ่าน 8 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ