เช็กลิสต์ PDPA สำหรับ HR ครบทั้งวงจรพนักงาน ปี 2569 — ตั้งแต่รับสมัครจนพ้นสภาพ

คำสั่งที่ฝ่ายบุคคลได้รับมักสั้นมากว่า "ไปทำ PDPA มา" แต่ไม่มีใครบอกว่าเริ่มตรงไหนและจบตรงไหน ผลคือหลายองค์กรไปเริ่มที่การหาแบบฟอร์มความยินยอมมาให้พนักงานเซ็น ซึ่งเป็นการเริ่มผิดจุด เช็กลิสต์ PDPA สำหรับ HR ที่ใช้ได้จริงต้องเรียงตามวงจรชีวิตพนักงาน เพราะข้อมูลของคนหนึ่งคนเปลี่ยนไปตามสถานะ และหน้าที่ขององค์กรก็เปลี่ยนตามไปด้วย บทความนี้ไล่ให้ครบทั้งห้าช่วง พร้อมระบุว่าแต่ละช่วงต้องเหลืออะไรไว้เป็นเอกสาร

ทำไมต้องเรียงตามวงจร ไม่ใช่เรียงตามประเภทเอกสาร

เพราะคำถามที่องค์กรถูกถามจริงในชั้นชี้แจงไม่ใช่ "มีนโยบายไหม" แต่เป็นคำถามที่ผูกกับเวลา เช่น ตอนรับสมัครแจ้งเขาไว้ว่าอย่างไร ตอนที่เอาข้อมูลไปใช้ทำอย่างอื่นแจ้งเพิ่มหรือยัง และตอนที่เขาพ้นสภาพแล้วเก็บอะไรไว้บ้างด้วยเหตุใด

เอกสารที่จัดเรียงตามประเภทตอบคำถามเหล่านี้ไม่ได้ แต่เอกสารที่จัดตามช่วงเวลาตอบได้ทันที ภาพรวมของหน้าที่ทั้งหมดในสายงานนี้อยู่ที่คู่มือ PDPA กับข้อมูลพนักงานสำหรับนายจ้างและ HR ส่วนบทความนี้ทำหน้าที่เป็นรายการที่เอาไปติ๊กได้เลย

ช่วงที่ 1 · รับสมัครงาน

• มีประกาศความเป็นส่วนตัวสำหรับผู้สมัครที่แยกจากฉบับของพนักงาน และแสดงในจุดที่ผู้สมัครเห็นก่อนกรอกข้อมูล
• ระบุชัดว่าเก็บใบสมัครของผู้ไม่ผ่านคัดเลือกไว้นานเท่าใดและเพื่อวัตถุประสงค์ใด ถ้าจะเก็บไว้พิจารณาตำแหน่งอื่นต้องแจ้งไว้ตั้งแต่ต้น
• ตรวจว่าแบบฟอร์มใบสมัครไม่ได้ขอข้อมูลเกินจำเป็น เช่น ข้อมูลศาสนา หมู่เลือด หรือประวัติสุขภาพ ที่ไม่เกี่ยวกับตำแหน่ง
• ถ้าใช้ระบบรับสมัครงานภายนอกหรือแพลตฟอร์มหางาน ต้องมีสัญญาที่ครอบคลุมหน้าที่ของคู่ค้า
• กำหนดว่าใครในองค์กรเห็นใบสมัครได้บ้าง และหัวหน้างานที่ร่วมสัมภาษณ์เห็นได้ถึงระดับไหน
• ถ้ามีการตรวจประวัติ ต้องแจ้งล่วงหน้าและกำหนดว่าจะเก็บผลตรวจไว้นานเท่าใด

ต้องเหลือเป็นเอกสาร: ประกาศความเป็นส่วนตัวฉบับที่ใช้อยู่พร้อมวันที่เริ่มใช้ · ตารางระยะเวลาเก็บใบสมัคร · สัญญากับผู้ให้บริการระบบรับสมัคร

ช่วงที่ 2 · รับเข้าทำงาน

• มีประกาศความเป็นส่วนตัวสำหรับพนักงาน ที่ระบุระบบและกิจกรรมที่ใช้จริงในองค์กร ไม่ใช่ฉบับทั่วไปที่คัดลอกมา
• ระบุฐานทางกฎหมายของแต่ละกิจกรรมให้ตรง เช่น การจ่ายเงินเดือนกับการติดกล้องวงจรปิดใช้ฐานคนละแบบ
• ตรวจว่าไม่ได้ผูกความยินยอมไว้กับการได้งาน เพราะความยินยอมที่ให้เพราะกลัวไม่ได้งานมีปัญหาเรื่องความสมัครใจ
• กำหนดสิทธิการเข้าถึงข้อมูลเงินเดือนและบัญชีธนาคารให้แคบที่สุดเท่าที่งานต้องใช้
• ถ้าเก็บข้อมูลผู้ติดต่อฉุกเฉินหรือข้อมูลครอบครัว ต้องคิดด้วยว่าบุคคลเหล่านั้นได้รับแจ้งอย่างไร
• ถ้าใช้ระบบสแกนนิ้วหรือสแกนใบหน้าเข้างาน ต้องประเมินก่อนว่ามีทางเลือกอื่นที่กระทบน้อยกว่าหรือไม่

ข้อสุดท้ายเป็นข้อที่ถูกตั้งคำถามบ่อยที่สุดในระยะหลัง รายละเอียดอยู่ที่สแกนนิ้วสแกนหน้าเข้างาน ทำได้แค่ไหน

ต้องเหลือเป็นเอกสาร: ประกาศความเป็นส่วนตัวฉบับพนักงาน · บันทึกการชั่งน้ำหนักกรณีใช้ระบบชีวมิติ · ตารางสิทธิการเข้าถึงระบบ

ช่วงที่ 3 · ระหว่างจ้าง

กิจกรรม	สิ่งที่ต้องตรวจ	หลักฐานที่ต้องเก็บ
กล้องวงจรปิด	มีป้ายแจ้งครบทุกจุดหรือไม่ · ใครดูภาพได้ · เก็บภาพนานเท่าใด	ผังจุดติดตั้ง · บันทึกการขอดูภาพย้อนหลัง
ตรวจอีเมลและการใช้งานระบบ	แจ้งไว้ล่วงหน้าหรือไม่ · ทำเป็นการทั่วไปหรือเจาะรายบุคคล	นโยบายที่ประกาศใช้ · บันทึกเหตุผลเมื่อเจาะรายบุคคล
ข้อมูลสุขภาพและใบรับรองแพทย์	ใครเก็บ · เก็บที่ไหน · จำเป็นต้องเห็นรายละเอียดโรคหรือไม่	แนวปฏิบัติการจัดเก็บแยกจากแฟ้มทั่วไป
ประเมินผลและเลื่อนตำแหน่ง	ใครเข้าถึงได้ · ความเห็นเชิงลบเก็บนานเท่าใด	ตารางระยะเวลาเก็บเอกสารประเมิน
ส่งข้อมูลให้บริษัทในเครือหรือคู่ค้า	แจ้งไว้แล้วหรือยัง · มีสัญญารองรับหรือไม่	สัญญาและรายการข้อมูลที่ส่ง

สองแถวแรกคือจุดที่เกิดข้อพิพาทมากที่สุด รายละเอียดอยู่ที่ใช้ภาพกล้องวงจรปิดเป็นหลักฐานลงโทษทางวินัย และนายจ้างเปิดดูอีเมลและแชทพนักงานได้แค่ไหน

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า ถ้าให้พนักงานเซ็นเอกสารยินยอมตอนเข้าทำงานครบทุกคนแล้ว องค์กรก็ปลอดภัย เพราะมีลายเซ็นเป็นหลักฐาน

แต่ในทางคดี กฎหมายและผู้พิจารณามักมองว่า ความยินยอมที่ให้ในความสัมพันธ์นายจ้างลูกจ้างมีคำถามเรื่องความสมัครใจติดอยู่เสมอ เพราะฝ่ายหนึ่งมีอำนาจเหนืออีกฝ่าย เอกสารที่เซ็นครบจึงไม่ได้แปลว่าฐานทางกฎหมายมั่นคง

จุดเสี่ยงจริงอยู่ตรงนี้ เมื่อองค์กรวางทุกอย่างไว้บนความยินยอม แล้วพนักงานถอนความยินยอมในวันที่มีข้อพิพาท กิจกรรมที่จำเป็นต่อการจ้างงานจะไม่มีฐานรองรับทันที ทั้งที่กิจกรรมเหล่านั้นควรอยู่บนฐานอื่นตั้งแต่แรก

ทางเลือกที่ควรทำต่อคือ ไล่กิจกรรมทั้งหมดออกมาเป็นรายการ แล้วเลือกฐานทางกฎหมายให้ตรงกับลักษณะของแต่ละกิจกรรม เก็บความยินยอมไว้ใช้เฉพาะกิจกรรมที่เป็นทางเลือกจริง ๆ เช่น การนำภาพพนักงานไปใช้ในสื่อประชาสัมพันธ์ วิธีนี้ทำให้ระบบไม่พังทั้งระบบเมื่อมีคนถอนความยินยอมหนึ่งคน

ช่วงที่ 4 · มีข้อพิพาทหรือกระบวนการทางวินัย

ช่วงนี้เป็นช่วงที่กติกาเปลี่ยน เพราะเอกสารที่เคยเป็นเรื่องบริหารกลายเป็นพยานหลักฐานทันที สิ่งที่ต้องทำต่างจากสามช่วงแรกอย่างชัดเจน

1. สั่งหยุดทำลายข้อมูลทันที โดยเฉพาะภาพกล้องวงจรปิดซึ่งบันทึกทับตัวเองเร็วที่สุด ดูวิธีสั่งที่หยุดทำลายข้อมูลเมื่อมีข้อพิพาท
2. ระวังคำขอใช้สิทธิที่จะตามมา เพราะพนักงานที่มีข้อพิพาทมักขอสำเนาแฟ้มประวัติ ซึ่งมีกรอบเวลาบังคับตามกฎใหม่ปี 2569 เรื่องขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล
3. ปกปิดข้อมูลของบุคคลที่สามก่อนส่งมอบ โดยเฉพาะชื่อผู้ร้องเรียน ดูวิธีที่ปกปิดข้อมูลบุคคลที่สามในไฟล์ที่ส่งมอบ
4. ระวังการเดินสองสนามพร้อมกัน ทั้งที่หน่วยงานกำกับและที่ศาลแรงงาน ซึ่งต้องวางแผนร่วมกัน ไม่ใช่ให้สองฝ่ายทำแยกกัน
5. บันทึกการตัดสินใจทุกขั้น พร้อมผู้ลงนาม เพราะเอกสารชุดนี้คือสิ่งที่ใช้ยันในภายหลัง

ข้อ 4 คือจุดที่องค์กรเสียเปรียบบ่อยที่สุด เพราะคำชี้แจงที่ส่งให้หน่วยงานกำกับกับคำให้การในคดีแรงงานมักถูกจัดทำโดยคนละทีมและอาจไม่สอดคล้องกัน รายละเอียดอยู่ที่ถูกร้องเรียนที่ สคส. พร้อมกับถูกฟ้องที่ศาลแรงงาน และในมุมคดีแรงงานโดยตรง ดูขอบเขตงานที่งานคดีแรงงานของสำนักงาน ส่วนกรณีที่พนักงานเป็นต้นเหตุให้ข้อมูลรั่วเอง อ่านต่อที่เลิกจ้างเพราะทำข้อมูลรั่ว

ช่วงที่ 5 · พ้นสภาพ

• ปิดสิทธิการเข้าถึงระบบทันทีในวันสุดท้าย ทั้งบัญชีอีเมล ระบบภายใน และกลุ่มแชทของทีม
• ตัดสินว่ากล่องอีเมลของพนักงานที่ลาออกจะจัดการอย่างไร เพราะมีทั้งเรื่องงานที่ต้องส่งต่อและข้อมูลส่วนตัวที่ไม่ควรเปิดดู
• ไล่เก็บอุปกรณ์และตรวจว่าไม่มีข้อมูลค้างอยู่ในเครื่องส่วนตัว
• ระบุว่าเก็บอะไรไว้ต่อ นานเท่าใด และด้วยเหตุใด ตามหลักการที่อธิบายไว้ที่ตารางระยะเวลาเก็บเอกสาร HR
• เตรียมรับคำขอสำเนาแฟ้มประวัติที่มักตามมาหลังพ้นสภาพ ดูที่อดีตพนักงานขอสำเนาแฟ้มประวัติ
• ถ้าข้อมูลอยู่กับคู่ค้าที่กำลังจะเลิกใช้บริการ ต้องเรียกใบรับรองการทำลายกลับมา

ต้องเหลือเป็นเอกสาร: บันทึกการปิดสิทธิพร้อมวันที่ · บันทึกการรับคืนอุปกรณ์ · ตารางระยะเวลาเก็บที่ระบุเหตุผลของแต่ละรายการ

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ทีมที่ปรึกษากฎหมาย PDPA ของเราทำงานกับฝ่ายบุคคลโดยตรง ตั้งแต่ไล่กิจกรรมทั้งหมดออกมาเป็นรายการ เลือกฐานทางกฎหมายให้ตรงกับแต่ละกิจกรรม ปรับประกาศความเป็นส่วนตัวให้ตรงกับระบบที่ใช้จริง และวางขั้นตอนสำหรับช่วงที่เปราะบางที่สุด คือช่วงที่มีข้อพิพาท สำหรับงานเฉพาะด้านข้อมูลพนักงาน ดูขอบเขตที่งานคุ้มครองข้อมูลพนักงานสำหรับ HR และถ้าต้องการตรวจทั้งระบบก่อนวางแผนงบประมาณ ดูที่ตรวจสุขภาพ PDPA

จุดแข็งที่ลูกความมักบอกว่าต่างจากที่อื่นคือ เราดูเรื่อง PDPA กับเรื่องแรงงานพร้อมกันในทีมเดียว จึงเห็นตั้งแต่ต้นว่าการตัดสินใจเรื่องข้อมูลจะกระทบรูปคดีแรงงานอย่างไร ซึ่งเป็นจุดที่มองไม่เห็นถ้าดูแยกกันคนละฝ่าย

สรุป

เช็กลิสต์ PDPA สำหรับ HR ที่ใช้ได้จริงต้องเรียงตามวงจรชีวิตพนักงานทั้งห้าช่วง เพราะคำถามที่องค์กรถูกถามจริงผูกกับเวลา ไม่ได้ผูกกับประเภทเอกสาร สิ่งที่ควรแก้เป็นอันดับแรกคือการวางทุกอย่างไว้บนความยินยอม ซึ่งเป็นฐานที่เปราะบางที่สุดในความสัมพันธ์นายจ้างลูกจ้าง และช่วงที่ต้องระวังที่สุดคือช่วงที่มีข้อพิพาท เพราะเป็นช่วงที่เอกสารเปลี่ยนสถานะเป็นพยานหลักฐาน ตัวบทและแนวปฏิบัติทั้งหมดควรตรวจกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และกรมสวัสดิการและคุ้มครองแรงงาน ก่อนนำไปใช้ทุกครั้ง

หากฝ่ายบุคคลของคุณกำลังถูกสั่งให้ทำ PDPA แต่ยังไม่รู้ว่าจะเริ่มตรงไหน ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 — รายละเอียด 6 ข้อ ที่ต้องแจ้งก่อนหรือขณะเก็บรวบรวม คือ วัตถุประสงค์ · กรณีที่ต้องให้ข้อมูลตามกฎหมายหรือสัญญาพร้อมผลกระทบหากไม่ให้ · ข้อมูลที่เก็บและระยะเวลาเก็บ · ประเภทบุคคลหรือหน่วยงานที่อาจถูกเปิดเผย · ข้อมูลผู้ควบคุมข้อมูลและช่องทางติดต่อ · สิทธิของเจ้าของข้อมูล
• พ.ร.บ. ฉบับเดียวกัน มาตรา 37 (1) (2) (3) — มาตรการรักษาความมั่นคงปลอดภัยและการทบทวนมาตรการ · การป้องกันไม่ให้ผู้รับข้อมูลใช้หรือเปิดเผยโดยมิชอบ · ระบบตรวจสอบเพื่อลบหรือทำลายเมื่อพ้นกำหนดระยะเวลาเก็บ
• พ.ร.บ. ฉบับเดียวกัน มาตรา 39 — รายการบันทึกกิจกรรมการประมวลผล ซึ่งเป็นรายการที่เจ้าของข้อมูลขอเข้าถึงได้ตามประกาศ พ.ศ. 2569 ข้อ 4 วรรคสอง
• ประกาศ กคส. เรื่องหลักเกณฑ์การเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลฯ พ.ศ. 2569 — กรอบเวลา 15 วันสำหรับตรวจคำขอและยืนยันตัวตน และ 30 วันสำหรับดำเนินการ
• พ.ร.บ.คุ้มครองแรงงาน และกฎหมายแรงงานที่เกี่ยวข้อง — กำหนดหน้าที่จัดทำและเก็บเอกสารบางประเภทไว้ ซึ่งเป็นเหตุให้เก็บข้อมูลต่อได้ (มีการแก้ไขเพิ่มเติมหลายฉบับ ต้องตรวจสอบฉบับที่ใช้บังคับอยู่ก่อนอ้างอิงเสมอ)

คำถามที่พบบ่อย

ต้องให้พนักงานเซ็นเอกสารยินยอมทุกคนหรือไม่

ไม่จำเป็นและมักไม่ใช่วิธีที่ดีที่สุด เพราะกิจกรรมส่วนใหญ่ในการจ้างงาน เช่น การจ่ายค่าจ้างหรือการทำเอกสารตามที่กฎหมายกำหนด มีฐานทางกฎหมายอื่นรองรับอยู่แล้ว การผูกทุกอย่างไว้กับความยินยอมทำให้ระบบเปราะบาง เพราะเมื่อมีผู้ถอนความยินยอม กิจกรรมที่จำเป็นจะไม่มีฐานรองรับทันที

เก็บใบสมัครของผู้ไม่ผ่านคัดเลือกไว้ได้กี่ปี

กฎหมายไม่ได้กำหนดตัวเลขไว้เป็นการทั่วไป องค์กรจึงต้องกำหนดเองโดยอิงวัตถุประสงค์ที่แจ้งไว้ เช่น ถ้าแจ้งว่าจะเก็บไว้พิจารณาตำแหน่งอื่นในอนาคต ก็ควรกำหนดระยะเวลาที่สมเหตุสมผลและระบุไว้ในประกาศความเป็นส่วนตัวตั้งแต่ตอนรับสมัคร แล้วทำลายเมื่อครบกำหนดพร้อมบันทึกไว้

หัวหน้างานขอดูแฟ้มประวัติลูกน้อง ให้ดูได้ไหม

ควรพิจารณาจากความจำเป็นต่อหน้าที่ ไม่ใช่จากตำแหน่ง หัวหน้างานอาจจำเป็นต้องเห็นข้อมูลบางส่วนเพื่อบริหารงาน แต่ไม่จำเป็นต้องเห็นทั้งแฟ้ม โดยเฉพาะข้อมูลสุขภาพหรือข้อมูลครอบครัว แนวปฏิบัติที่อธิบายได้คือทำตารางสิทธิการเข้าถึงแยกตามประเภทข้อมูล และบันทึกไว้เมื่อมีการขอดูเป็นกรณีพิเศษ

พนักงานลาออกแล้วต้องลบข้อมูลทันทีหรือไม่

ไม่ใช่ เพราะยังมีเอกสารบางประเภทที่องค์กรมีเหตุต้องเก็บต่อ เช่น เอกสารที่กฎหมายอื่นกำหนดให้จัดทำและเก็บไว้ หรือเอกสารที่เกี่ยวกับข้อพิพาทที่ยังไม่ยุติ สิ่งที่ควรทำคือแยกให้ชัดว่าเก็บอะไรไว้ ด้วยเหตุใด และนานเท่าใด แล้วทำลายส่วนที่ไม่มีเหตุเก็บแล้วพร้อมบันทึกไว้

องค์กรเล็กที่มีพนักงาน 20 คน ต้องทำครบทุกข้อไหม

หน้าที่ตามกฎหมายไม่ได้ผูกกับจำนวนพนักงาน แต่รูปแบบของเอกสารปรับให้เหมาะกับขนาดได้ องค์กรเล็กไม่จำเป็นต้องมีระบบราคาแพง สิ่งที่จำเป็นจริงคือประกาศความเป็นส่วนตัวที่ตรงกับงานจริง ตารางระยะเวลาเก็บเอกสาร และบันทึกการตัดสินใจสำคัญ ซึ่งทำเป็นไฟล์ตารางกลางก็เพียงพอในทางปฏิบัติ

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ