PDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพ

องค์กรจำนวนมากลงทุนกับ PDPA ฝั่งลูกค้าไปแล้ว ทั้งแบนเนอร์คุกกี้บนเว็บไซต์และแบบขอความยินยอมตอนสมัครสมาชิก แต่พอหันกลับมาดูฝั่งพนักงาน กลับพบว่าแทบไม่มีอะไรเลย ทั้งที่PDPA ข้อมูลพนักงานคือจุดที่ข้อพิพาทเกิดจริงบ่อยที่สุด เพราะพนักงานอยู่กับองค์กรทุกวัน รู้ว่าองค์กรเก็บอะไรไว้บ้าง และเมื่อความสัมพันธ์จบลงไม่สวย ข้อมูลเหล่านั้นก็กลายเป็นเครื่องมือในการต่อรอง

ข้อมูลพนักงานต่างจากข้อมูลลูกค้าอย่างไร

ความต่างที่สำคัญที่สุดคือเรื่องความสมัครใจ ลูกค้าที่ไม่พอใจเงื่อนไขสามารถเลือกไม่ใช้บริการได้ แต่พนักงานที่ถูกขอความยินยอมในเรื่องที่ตนไม่สบายใจ อยู่ในสถานะที่ปฏิเสธได้ยากกว่ามาก เพราะมีความสัมพันธ์เชิงอำนาจอยู่

ผลในทางปฏิบัติคือ การพึ่งพา "ความยินยอม" เป็นฐานหลักสำหรับข้อมูลพนักงาน มักเป็นการวางระบบที่เปราะบาง เพราะหากภายหลังมีข้อโต้แย้งว่าความยินยอมนั้นให้โดยอิสระจริงหรือไม่ ฐานทั้งหมดก็สั่นคลอน แนวทางที่มั่นคงกว่าคือแยกกิจกรรมออกเป็นรายการ แล้วเลือกฐานที่เหมาะสมกับกิจกรรมนั้นจริง ๆ

กิจกรรม	ฐานที่มักเหมาะสมกว่าความยินยอม
จ่ายค่าจ้าง ทำสัญญาจ้าง จัดสวัสดิการตามสัญญา	การปฏิบัติตามสัญญาจ้าง
นำส่งข้อมูลตามที่กฎหมายกำหนด เช่น ภาษี ประกันสังคม	การปฏิบัติหน้าที่ตามกฎหมาย
รักษาความปลอดภัยในสถานประกอบการ	ประโยชน์โดยชอบด้วยกฎหมาย พร้อมบันทึกการชั่งน้ำหนัก
เก็บข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ	มีเงื่อนไขเข้มกว่าข้อมูลทั่วไป โดยหลักต้องได้รับความยินยอมโดยชัดแจ้งหรือมีฐานเฉพาะรองรับ ต้องประเมินเป็นรายกรณี

ขอให้สังเกตว่าไม่ได้แปลว่าห้ามขอความยินยอมเลย แต่แปลว่าอย่าใช้ความยินยอมเป็นคำตอบเดียวสำหรับทุกเรื่อง เพราะเมื่อพนักงานถอนความยินยอม องค์กรที่ไม่ได้เตรียมฐานอื่นไว้จะไม่มีอะไรรองรับ

วงจรการจ้างงาน จุดที่ข้อมูลไหลผ่าน

ช่วง	ข้อมูลที่เกิดขึ้น	จุดเสี่ยงที่พบบ่อย
ก่อนจ้าง	ใบสมัคร ประวัติย่อ ผลการตรวจประวัติ ผลทดสอบ บันทึกการสัมภาษณ์	เก็บใบสมัครของผู้ไม่ผ่านคัดเลือกไว้โดยไม่มีกำหนด · ส่งประวัติต่อให้บริษัทในเครือโดยไม่ได้แจ้ง
ระหว่างจ้าง	สัญญาจ้าง ข้อมูลเงินเดือนและบัญชีธนาคาร บันทึกเวลาทำงาน วันลา ผลประเมิน ข้อมูลครอบครัวสำหรับสวัสดิการ	สิทธิเข้าถึงข้อมูลเงินเดือนกว้างเกินจำเป็น · ไฟล์รวมทั้งแผนกถูกส่งต่อในกลุ่มแชท
การเฝ้าติดตาม	ภาพจากกล้องวงจรปิด บันทึกการเข้าออก ข้อมูลชีวภาพจากการสแกน อีเมลและแชทในระบบบริษัท ตำแหน่งรถบริษัท	ติดตั้งแล้วไม่ได้แจ้ง · ไม่มีการชั่งน้ำหนักและบันทึกไว้ · เก็บภาพไว้นานเกินจำเป็น
พ้นสภาพ	เอกสารการเลิกจ้างหรือลาออก หนังสือรับรอง เอกสารการจ่ายเงินครั้งสุดท้าย	ไม่มีกำหนดทำลาย · ไม่ได้นำออกจากกลุ่มแชทและระบบ · ถูกขอสำเนาแฟ้มประวัติแล้วตอบไม่ทัน

คนส่วนใหญ่มักเข้าใจผิดตรงไหน

เข้าใจผิดที่ 1: "ใส่ข้อความยินยอมไว้ในสัญญาจ้างก็พอ" — ความจริง คือการรวมความยินยอมไว้ในสัญญาจ้างทำให้เกิดคำถามว่าพนักงานมีทางเลือกจริงหรือไม่ และการแจ้งวัตถุประสงค์กับการขอความยินยอมเป็นคนละเรื่องกัน · ผลเสีย คือเอกสารชุดเดียวถูกโต้แย้งได้ทั้งฉบับ

เข้าใจผิดที่ 2: "ติดป้ายว่ามีกล้องวงจรปิดแล้ว จบ" — ความจริง คือการแจ้งเป็นเพียงส่วนหนึ่ง ยังต้องมีวัตถุประสงค์ที่ชัดเจน กำหนดระยะเวลาเก็บ จำกัดผู้เข้าถึง และหากจะใช้ภาพเป็นหลักฐานลงโทษทางวินัย ยังมีประเด็นในมุมกฎหมายแรงงานเพิ่มอีกชั้น · ผลเสีย คือมีภาพแต่ใช้ไม่ได้

เข้าใจผิดที่ 3: "สแกนนิ้วเข้างานเป็นเรื่องปกติ ใคร ๆ ก็ทำ" — ความจริง คือข้อมูลชีวภาพเป็นข้อมูลอ่อนไหวที่มีเงื่อนไขเข้มกว่าข้อมูลทั่วไป · ผลเสีย คือติดตั้งไปทั้งองค์กรแล้วค่อยพบว่าไม่มีฐานรองรับ

เข้าใจผิดที่ 4: "คอมพิวเตอร์เป็นของบริษัท จะเปิดดูเมื่อไรก็ได้" — ความจริง คือความเป็นเจ้าของอุปกรณ์ไม่ได้แปลว่ามีอำนาจเข้าถึงข้อมูลได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์ · ผลเสีย คือหลักฐานที่ได้มาอาจถูกโต้แย้งในชั้นศาลแรงงาน

เข้าใจผิดที่ 5: "พนักงานลาออกแล้ว ข้อมูลไม่เกี่ยวกับ PDPA แล้ว" — ความจริง คือสิทธิของเจ้าของข้อมูลไม่ได้สิ้นสุดพร้อมสถานะลูกจ้าง · ผลเสีย คือได้รับคำขอสำเนาแฟ้มประวัติแล้วตอบไม่ทันกรอบเวลา

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… PDPA ฝั่งพนักงานคือการทำเอกสารเพิ่มอีกชุดหนึ่งให้ครบ เพื่อไม่ให้ถูกปรับ

แต่ในทางคดี กฎหมายและศาลมักมองว่า… ข้อมูลพนักงานคือคลังพยานหลักฐานของทั้งสองฝ่าย เมื่อเกิดข้อพิพาทแรงงาน สิ่งที่ถูกหยิบมาใช้คือบันทึกเวลาทำงาน ผลประเมิน ภาพจากกล้อง และแชทในระบบบริษัท ฝ่ายที่จัดเก็บอย่างมีหลักเกณฑ์จึงได้เปรียบ ไม่ใช่เพราะมีข้อมูลมากกว่า แต่เพราะข้อมูลที่มีนั้นใช้ยันได้

จุดเสี่ยงจริงอยู่ตรงนี้… นายจ้างจำนวนมากเก็บข้อมูลไว้มาก แต่เก็บโดยไม่มีฐานรองรับ พอถึงวันที่จะใช้เป็นหลักฐานลงโทษหรือเลิกจ้าง กลับถูกโต้แย้งว่าได้มาโดยมิชอบ กลายเป็นว่าข้อมูลที่เก็บไว้ทั้งหมดใช้ไม่ได้เลย และยังเปิดประเด็นใหม่เรื่องการละเมิดข้อมูลส่วนบุคคลซ้อนเข้ามาอีก

ทางเลือกที่ควรทำต่อคือ… วางระบบข้อมูลพนักงานโดยคิดจากปลายทางย้อนกลับ คือถามว่าถ้าวันหนึ่งต้องใช้ข้อมูลชุดนี้ในศาลแรงงาน มันจะใช้ได้หรือไม่ ถ้าคำตอบคือไม่แน่ใจ นั่นคือจุดที่ต้องแก้ก่อน

สองสนามที่ต้องคิดพร้อมกัน

นี่คือหัวใจที่ทำให้เรื่องข้อมูลพนักงานต่างจากเรื่องข้อมูลลูกค้า เพราะเหตุการณ์เดียวเดินได้สองสนาม

สถานการณ์	สนามที่ 1 · ข้อมูลส่วนบุคคล	สนามที่ 2 · แรงงาน
ใช้ภาพจากกล้องวงจรปิดลงโทษทางวินัย	ติดตั้งและเก็บภาพโดยมีฐานและมีการแจ้งหรือไม่	หลักฐานที่ได้มาใช้ประกอบการลงโทษได้หรือไม่ และการลงโทษได้สัดส่วนหรือไม่
เลิกจ้างพนักงานที่ทำข้อมูลรั่ว	องค์กรมีมาตรการและมีการอบรมพนักงานไว้ก่อนหรือไม่	เป็นการเลิกจ้างที่มีเหตุอันสมควรและเป็นธรรมหรือไม่
ดึงแชทและอีเมลมาใช้ในการสอบสวน	มีนโยบายแจ้งไว้ล่วงหน้าและมีขอบเขตชัดหรือไม่	กระบวนการสอบสวนชอบด้วยข้อบังคับการทำงานหรือไม่
อดีตพนักงานขอสำเนาแฟ้มประวัติ	ตอบทันกรอบเวลาและปกปิดข้อมูลบุคคลที่สามหรือไม่	เอกสารที่ส่งไปขัดกับเหตุผลที่ระบุในหนังสือเลิกจ้างหรือไม่

ข้อสังเกตที่สำคัญคือ องค์กรอาจชนะในสนามแรกแต่แพ้ในสนามที่สอง หรือกลับกัน การวางแนวจึงต้องทำพร้อมกันตั้งแต่ต้น ไม่ใช่แก้ทีละสนาม · เรื่องนี้เชื่อมโดยตรงกับงานคดีแรงงาน ซึ่งเป็นปลายทางจริงของข้อพิพาทข้อมูลพนักงานส่วนใหญ่

ปลายทางถ้าพลาด

1. พนักงานหรืออดีตพนักงานร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
2. คณะกรรมการผู้เชี่ยวชาญอาจเรียกให้ชี้แจง และตามมาตรา 90 ในกรณีที่เห็นสมควรจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้
3. หากร้ายแรงหรือคำสั่งให้แก้ไขไม่เป็นผล จึงจะมีคำสั่งลงโทษปรับทางปกครอง
4. เฉพาะหน้าที่บางประการ เช่น การแจ้งวัตถุประสงค์ตามมาตรา 23 การบันทึกการปฏิเสธคำขอตามมาตรา 30 วรรคสี่ หรือการจัดทำบันทึกกิจกรรมการประมวลผลตามมาตรา 39 วรรคหนึ่ง มาตรา 82 กำหนดโทษปรับทางปกครองไว้ไม่เกินหนึ่งล้านบาท
5. คู่ขนานกันไป เจ้าของข้อมูลยังฟ้องแพ่งเรียกค่าสินไหมทดแทนได้ และตามมาตรา 78 ศาลมีอำนาจสั่งจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
6. และในกรณีของพนักงาน เรื่องมักเดินต่อที่ศาลแรงงานซึ่งพิจารณาเนื้อหาของข้อพิพาท เช่น การเลิกจ้างหรือการลงโทษทางวินัย

หลักฐานที่ต้องเก็บ

• หนังสือแจ้งวัตถุประสงค์สำหรับผู้สมัครและสำหรับพนักงาน พร้อมวันที่ประกาศใช้และหลักฐานการแจ้ง
• บันทึกกิจกรรมการประมวลผลส่วนงานบุคคลที่ตรงกับงานจริง
• เอกสารระบุฐานการประมวลผลของแต่ละกิจกรรม และบันทึกการชั่งน้ำหนักหากใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย
• นโยบายการเฝ้าติดตามในที่ทำงาน พร้อมหลักฐานการแจ้งพนักงาน
• ตารางระยะเวลาเก็บเอกสารและบันทึกการทำลาย
• บันทึกการกำหนดสิทธิเข้าถึงข้อมูลเงินเดือนและข้อมูลอ่อนไหว พร้อมรอบการทบทวนสิทธิ
• หลักฐานการอบรมพนักงาน พร้อมรายชื่อและวันที่
• แฟ้มคำขอใช้สิทธิที่เคยได้รับ พร้อมผลการดำเนินการ

ถ้าเป็นฝ่ายนายจ้างหรือ HR ต้องเช็กอะไรบ้าง

• มีหนังสือแจ้งวัตถุประสงค์แยกสำหรับผู้สมัครและพนักงานหรือยัง และตรงกับสิ่งที่เก็บจริงหรือไม่
• ข้อความยินยอมอยู่ในสัญญาจ้างหรือแยกเป็นเอกสารต่างหาก และจำเป็นต้องมีจริงหรือเปล่า
• ใครในองค์กรเข้าถึงข้อมูลเงินเดือนและบัญชีธนาคารได้บ้าง และทบทวนสิทธิครั้งล่าสุดเมื่อไร
• กล้องวงจรปิดติดตรงไหนบ้าง เก็บภาพกี่วัน ใครดูได้ และเคยใช้เป็นหลักฐานลงโทษหรือยัง
• ถ้าใช้การสแกนลายนิ้วมือหรือใบหน้า มีฐานรองรับหรือไม่ และมีทางเลือกอื่นให้พนักงานหรือเปล่า
• มีนโยบายเรื่องการเปิดดูอีเมลและแชทของพนักงานหรือยัง และแจ้งไว้ล่วงหน้าหรือไม่
• ผลตรวจสุขภาพและใบรับรองแพทย์เก็บที่ไหน และใครเปิดดูได้
• เมื่อพนักงานลาออก มีขั้นตอนนำออกจากระบบและกลุ่มแชททันทีหรือไม่
• ถ้าอดีตพนักงานขอสำเนาแฟ้มประวัติวันนี้ องค์กรตอบได้ภายในกรอบเวลาหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "ความยินยอมไม่ได้ให้โดยอิสระ" — ใช้ได้ผลเมื่อความยินยอมถูกผูกไว้กับการได้งานหรือการต่อสัญญา
• "ได้หลักฐานมาโดยไม่มีฐานรองรับ" — โจมตีที่มาของภาพจากกล้องหรือแชท เพื่อให้หลักฐานนั้นมีน้ำหนักน้อยลงในชั้นศาลแรงงาน
• "เก็บข้อมูลเกินความจำเป็น" — เช่น ขอเอกสารส่วนตัวที่ไม่เกี่ยวกับการทำงาน หรือเก็บข้อมูลครอบครัวโดยไม่มีวัตถุประสงค์รองรับ
• "เลือกปฏิบัติกับบางคน" — เมื่อองค์กรใช้มาตรการเฝ้าติดตามกับพนักงานบางรายเท่านั้น
• "นโยบายมีแต่ไม่เคยแจ้ง" — เอกสารที่ไม่มีหลักฐานการแจ้ง มักถูกมองว่าไม่ได้บังคับใช้จริง

ก่อนตัดสินใจ ควรทำอะไรตามลำดับ

1. ทำรายการกิจกรรมที่ฝ่ายบุคคลทำกับข้อมูลจริง โดยไล่ตามวงจรการจ้างงาน
2. กำหนดฐานการประมวลผลของแต่ละกิจกรรม และหลีกเลี่ยงการใช้ความยินยอมเป็นคำตอบเดียว
3. แก้หนังสือแจ้งวัตถุประสงค์ให้ตรงกับความจริง แล้วแจ้งพนักงานพร้อมเก็บหลักฐาน
4. ทบทวนสิทธิเข้าถึงข้อมูลเงินเดือนและข้อมูลอ่อนไหวให้เหลือเท่าที่จำเป็น
5. จัดการเรื่องการเฝ้าติดตามเป็นลำดับถัดมา เพราะเป็นจุดที่พ่วงคดีแรงงานมากที่สุด
6. ทำตารางระยะเวลาเก็บและขั้นตอนตอบคำขอใช้สิทธิ แล้วซ้อมหนึ่งรอบ

กรณีแบบไหนที่ควรปรึกษาทนาย

• กำลังจะติดตั้งระบบสแกนลายนิ้วมือ สแกนใบหน้า หรือระบบติดตามตำแหน่ง
• กำลังจะใช้ภาพจากกล้องวงจรปิดหรือแชทเป็นหลักฐานในการสอบสวนหรือลงโทษ
• กำลังจะเลิกจ้างพนักงานโดยอ้างเหตุที่เกี่ยวกับข้อมูลหรือความลับของบริษัท
• พบว่าพนักงานนำข้อมูลลูกค้าออกจากบริษัท
• อดีตพนักงานขอสำเนาแฟ้มประวัติ โดยเฉพาะเมื่อมีข้อพิพาทค้างอยู่
• ใช้บริการภายนอกด้าน HR หรือระบบเงินเดือน แล้วเกิดเหตุข้อมูลรั่ว
• ได้รับหนังสือร้องเรียนหรือหนังสือให้ชี้แจงที่เกี่ยวกับข้อมูลพนักงาน

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

เราวางระบบข้อมูลพนักงานตั้งแต่รับสมัครจนพ้นสภาพ ส่งมอบเป็นเอกสารที่ HR ใช้ได้จริง ทั้งหนังสือแจ้งวัตถุประสงค์สำหรับพนักงาน ผังการไหลของข้อมูลและบันทึกกิจกรรมการประมวลผลส่วน HR ตารางระยะเวลาเก็บ แนวทางเรื่องกล้องวงจรปิดและข้อมูลชีวภาพ และขั้นตอนตอบคำขอใช้สิทธิ · หากยังไม่แน่ใจว่าของเดิมขาดตรงไหน เริ่มจากการตรวจความพร้อม PDPA ได้

สิ่งที่เราต่างจากผู้ให้บริการที่ไม่ได้เป็นสำนักงานกฎหมาย คือเราอ่านทุกเอกสารด้วยสายตาของทนายคดีแรงงานไปพร้อมกัน เพราะจุดจบจริงของข้อพิพาทข้อมูลพนักงานส่วนใหญ่อยู่ที่ศาลแรงงาน ไม่ได้อยู่ที่สำนักงาน · และเราจะบอกตรง ๆ ว่าเรื่องใดที่องค์กรขนาดของคุณไม่จำเป็นต้องทำ เพราะเราคิดค่าบริการตามงาน ไม่ได้ขายเป็นแพ็กเกจ

สรุป

PDPA ข้อมูลพนักงาน ไม่ใช่การทำเอกสารเพิ่มอีกชุดเพื่อให้ครบ แต่คือการจัดระเบียบคลังพยานหลักฐานที่ทั้งนายจ้างและลูกจ้างจะหยิบมาใช้ในวันที่มีข้อพิพาท หลักที่ควรจำมีสามข้อ คือเลือกฐานการประมวลผลให้เหมาะกับกิจกรรมแทนการพึ่งความยินยอมอย่างเดียว จำกัดสิทธิเข้าถึงให้เหลือเท่าที่จำเป็น และคิดสองสนามพร้อมกันเสมอ

องค์กรที่วางระบบโดยถามว่า "ถ้าต้องใช้ข้อมูลชุดนี้ในศาลแรงงาน มันจะใช้ได้ไหม" จะได้ระบบที่ต่างจากองค์กรที่ถามเพียงว่า "ทำครบตามเช็กลิสต์หรือยัง" อย่างชัดเจน

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 — หน้าที่แจ้งวัตถุประสงค์ ประเภทข้อมูล ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล ก่อนหรือขณะเก็บรวบรวม
• มาตรา 24 — ฐานการประมวลผลข้อมูลทั่วไป เช่น การปฏิบัติตามสัญญา การปฏิบัติหน้าที่ตามกฎหมาย และประโยชน์โดยชอบด้วยกฎหมาย
• มาตรา 26 — ข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพและข้อมูลชีวภาพ ซึ่งมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป โดยหลักต้องได้รับความยินยอมโดยชัดแจ้งหรือมีฐานเฉพาะรองรับ
• มาตรา 30 — สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล รวมถึงหน้าที่บันทึกการปฏิเสธตามวรรคสี่
• มาตรา 37 — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
• มาตรา 39 — หน้าที่จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผล
• มาตรา 41 — เงื่อนไขที่ทำให้ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ต้องประเมินจากกิจกรรมหลักและปริมาณข้อมูลจริงเป็นรายกรณี)
• มาตรา 82 — โทษปรับทางปกครองไม่เกินหนึ่งล้านบาท กรณีไม่ปฏิบัติตามมาตรา 23 มาตรา 30 วรรคสี่ มาตรา 39 วรรคหนึ่ง มาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม
• มาตรา 78 — ค่าสินไหมทดแทนเพื่อการลงโทษ ซึ่งศาลสั่งเพิ่มได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง
• กฎหมายว่าด้วยการคุ้มครองแรงงาน — หน้าที่จัดทำและเก็บรักษาเอกสารเกี่ยวกับลูกจ้าง และหลักเกณฑ์เรื่องการลงโทษทางวินัยและการเลิกจ้าง ⚠️ มีการแก้ไขเพิ่มเติมในระยะหลัง ควรตรวจตัวบทฉบับที่บังคับใช้อยู่ก่อนอ้างอิง

คำถามที่พบบ่อย

ต้องขอความยินยอมจากพนักงานทุกเรื่องหรือไม่

ไม่ใช่ และในหลายกรณีความยินยอมไม่ใช่ฐานที่เหมาะสมที่สุดด้วย เพราะนายจ้างกับลูกจ้างไม่ได้อยู่ในฐานะเท่าเทียมกัน ทำให้เกิดคำถามได้ว่าความยินยอมนั้นให้โดยอิสระจริงหรือไม่ กิจกรรมอย่างการจ่ายค่าจ้างหรือการนำส่งข้อมูลตามกฎหมาย มักอาศัยฐานการปฏิบัติตามสัญญาหรือการปฏิบัติหน้าที่ตามกฎหมายได้อยู่แล้ว องค์กรจึงควรแยกกิจกรรมเป็นรายการแล้วเลือกฐานให้เหมาะกับแต่ละกิจกรรม

ติดกล้องวงจรปิดในที่ทำงานได้ไหม และใช้เป็นหลักฐานลงโทษได้หรือเปล่า

ติดได้ แต่ต้องมีวัตถุประสงค์ที่ชัดเจน มีการแจ้งให้ทราบ กำหนดระยะเวลาเก็บ และจำกัดผู้เข้าถึง ส่วนการนำภาพมาใช้เป็นหลักฐานประกอบการลงโทษทางวินัยเป็นอีกประเด็นหนึ่งที่ต้องพิจารณาในมุมกฎหมายแรงงานด้วย ทั้งเรื่องความชอบของกระบวนการสอบสวนและความได้สัดส่วนของโทษ องค์กรจึงควรวางหลักเกณฑ์ให้ครบทั้งสองมุมก่อนใช้ ไม่ใช่ใช้ก่อนแล้วค่อยหาเหตุผลรองรับ

นายจ้างเปิดดูอีเมลหรือแชทของพนักงานได้ไหม

ความเป็นเจ้าของอุปกรณ์หรือระบบไม่ได้แปลว่ามีอำนาจเข้าถึงข้อมูลได้ทุกกรณีโดยไม่ต้องมีหลักเกณฑ์ องค์กรควรมีนโยบายที่แจ้งไว้ล่วงหน้าว่าจะมีการตรวจสอบในกรณีใด ขอบเขตแค่ไหน ใครมีอำนาจอนุมัติ และเก็บบันทึกการเข้าถึงไว้ ทั้งนี้แม้มีนโยบายแล้ว การเข้าถึงในแต่ละกรณียังต้องได้สัดส่วนกับวัตถุประสงค์ และหลักฐานที่ได้มาอาจถูกโต้แย้งในชั้นศาลแรงงานได้ จึงควรปรึกษาทนายก่อนดำเนินการในกรณีที่มีข้อพิพาท

พนักงานลาออกแล้ว ต้องลบข้อมูลทั้งหมดไหม

ไม่ใช่โดยอัตโนมัติ เพราะมีกฎหมายอื่นที่กำหนดให้ต้องเก็บเอกสารบางประเภทไว้ และองค์กรอาจยังจำเป็นต้องเก็บไว้เพื่อการต่อสู้คดีที่อาจเกิดขึ้นภายในอายุความ สิ่งที่ควรทำคือมีตารางระยะเวลาเก็บที่ระบุว่าเอกสารกลุ่มใดเก็บต่อกี่ปีและด้วยเหตุผลใด แล้วทำลายส่วนที่ไม่มีเหตุผลรองรับพร้อมบันทึกการทำลายไว้ ทั้งนี้จำนวนปีต้องตรวจจากตัวบทที่บังคับใช้อยู่ ณ ขณะจัดทำ

บริษัทเล็กมีพนักงานไม่กี่คน ต้องทำเรื่องนี้ด้วยไหม

โดยหลัก PDPA ใช้กับผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ได้ยกเว้นให้ธุรกิจขนาดเล็กโดยอัตโนมัติ เพียงแต่ระดับของมาตรการที่เหมาะสมย่อมต่างกันตามลักษณะและปริมาณข้อมูล บริษัทเล็กที่มีข้อมูลพนักงานจึงควรมีอย่างน้อยหนังสือแจ้งวัตถุประสงค์ ฐานการประมวลผลที่ถูกต้อง การจำกัดสิทธิเข้าถึงข้อมูลเงินเดือน และตารางระยะเวลาเก็บ ทั้งนี้กฎหมายลำดับรองบางฉบับอาจผ่อนปรนหน้าที่บางเรื่องให้กิจการขนาดเล็ก ควรตรวจสอบหลักเกณฑ์ล่าสุดเป็นรายกรณี

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ