PDPA บริษัทจัดหางานและ Outsource ส่งประวัติผู้สมัครให้ลูกค้าอย่างไร

PDPA บริษัทจัดหางานมักติดปัญหาที่ข้อมูลชุดเดียวถูกใช้หลายบทบาท ผู้สมัครส่งประวัติเพื่อตำแหน่งหนึ่ง แต่ถูกส่งต่อให้ลูกค้าหลายรายและค้างในฐานผู้สมัครหลายปี การเขียนสัญญาว่าบริษัทเป็นผู้ประมวลผลทุกกรณีอาจไม่ตรงกับงานที่บริษัทเลือกวัตถุประสงค์เอง

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• บริษัทรับจ้างคัดประวัติตามคำสั่งและระบบของลูกค้า ขอบเขตผู้ประมวลผลอาจเหมาะกับงานนั้น
• บริษัทสร้างฐานผู้สมัครเองและเลือกส่งให้ผู้ว่าจ้างหลายราย ต้องตรวจหน้าที่ผู้ควบคุมในกิจกรรมที่ตนตัดสินใจ
• ผู้รับเหมาแรงงานส่งแฟ้มสุขภาพและสำเนาบัตรทั้งหมดให้ผู้ว่าจ้าง ทั้งที่ใช้เพียงรายชื่อผู้มีสิทธิเข้าพื้นที่ ต้องลดข้อมูลและตรวจฐานใหม่

เริ่มแก้ปัญหาตามลำดับใด

วาดเส้นทางข้อมูลตั้งแต่รับสมัครถึงเริ่มงาน แยกวัตถุประสงค์ของแต่ละบริษัท ตรวจข้อความที่ผู้สมัครได้รับ กำหนดขอบเขตการส่งและผู้รับจ้างช่วง แล้วเตรียมคำตอบเมื่อผู้สมัครถอนความยินยอมหรือขอข้อมูล

ส่งข้อมูลผู้สมัครให้ตรงตำแหน่งและผู้รับ

บทบาทเปลี่ยนได้ตามแต่ละกิจกรรม

บริษัทเดียวอาจทำงานตามคำสั่งลูกค้าในโครงการหนึ่งและเป็นผู้ควบคุมฐานผู้สมัครของตนในอีกโครงการ ต้องเขียนสัญญาและคำแจ้งให้สะท้อนข้อเท็จจริง ผู้ว่าจ้างที่รับเรซูเม่ไปตัดสินใจจ้างเองต้องตรวจหน้าที่ของตน ไม่ถือว่าเป็นเรื่องของบริษัทจัดหาเพราะไม่ได้รับข้อมูลจากผู้สมัครโดยตรง

คำแจ้งควรตอบได้ว่าจะเสนอให้ใครเพื่ออะไร

ระบุวัตถุประสงค์และประเภทผู้รับให้เข้าใจขอบเขตการส่งจริง หากจะเก็บไว้พิจารณาตำแหน่งในอนาคตให้แยกจากการสมัครครั้งนี้ พร้อมตรวจฐานและระยะเก็บ การใช้ข้อความกว้างว่าแก่พันธมิตรทุกแห่งเพื่อประโยชน์ทางธุรกิจทำให้ผู้สมัครประเมินไม่ได้ว่าประวัติจะไปอยู่ที่ใด และไม่ได้สร้างฐานให้กิจกรรมทั้งหมด

ส่งข้อมูลตามขั้นตอนคัดเลือก

การเสนอผู้สมัครเบื้องต้นอาจใช้ประสบการณ์และคุณสมบัติที่เกี่ยวกับตำแหน่ง โดยยังไม่ต้องส่งเลขบัตรหรือรายละเอียดครอบครัว เมื่อมีเหตุจำเป็นต้องตรวจเอกสารให้กำหนดผู้ตรวจและช่องทางเฉพาะ ลดสำเนาที่ค้างในอีเมลฝ่ายขายและกลุ่มแชต หากลูกค้าขอข้อมูลเพิ่มให้ถามเหตุผลและตรวจฐานก่อนรับปากส่ง

ตรวจประวัติและสุขภาพต้องมีเงื่อนไขเพิ่ม

ข้อมูลตามมาตรา 26 ไม่ควรถูกรวมเป็นเอกสารมาตรฐานทุกตำแหน่งโดยไม่มีเหตุ วิเคราะห์ความจำเป็นของงานและเงื่อนไขกฎหมายที่รองรับ พร้อมจำกัดผู้เห็นผล ประวัติอาชญากรรมมีเงื่อนไขเฉพาะในมาตรา 26 วรรคท้าย ส่วนการอ้างอิงบุคคลจากนายจ้างเก่าควรมีขอบเขตคำถาม ไม่ขอประวัติส่วนตัวทั้งหมด

ผู้สมัครใช้สิทธิต้องส่งเรื่องถึงระบบที่เกี่ยวข้อง

จัดช่องทางให้ตามได้ว่าคำขอถึงใคร หากทำงานเป็นผู้ประมวลผลให้ส่งเรื่องและช่วยตามข้อตกลง ถ้าเป็นผู้ควบคุมต้องพิจารณาหน้าที่ของตน การขอลบไม่ได้ทำให้ข้อมูลที่จำเป็นต่อหน้าที่หรือข้อพิพาทต้องหายทั้งหมด แต่ต้องหยุดใช้ในกิจกรรมที่หมดฐาน และแจ้งผู้รับที่เกี่ยวข้องตามหน้าที่ที่ใช้กับกรณีนั้น

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 23 และ 25 เกี่ยวกับการแจ้งเมื่อเก็บโดยตรงหรือจากแหล่งอื่น มาตรา 24 และ 26 ใช้ตรวจฐานตามประเภทข้อมูล มาตรา 37(2) กำหนดหน้าที่เกี่ยวกับผู้รับข้อมูล และมาตรา 40 กำหนดหน้าที่ผู้ประมวลผลรวมถึงข้อตกลงระหว่างฝ่าย บทบาทต้องพิจารณาตามการกำหนดวัตถุประสงค์และการดำเนินงานจริง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

หากส่งประวัติให้บริษัทที่ผู้สมัครไม่คาดหมายแล้วกระทบงานปัจจุบัน ต้องตรวจข้อความแจ้ง ฐานและหลักฐานการส่ง การรับรองในสัญญาว่าปฏิบัติตาม PDPA ไม่ตอบคำถามว่าใครมีสิทธิใช้ข้อมูลชุดนั้น และไม่แทนการช่วยกันหยุดการเผยแพร่เมื่อพบข้อผิดพลาด

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• แผนผังบทบาทและการส่งข้อมูลของแต่ละบริการ
• ประกาศและข้อความที่แสดงตอนผู้สมัครส่งประวัติ
• รายการผู้รับและเหตุผลส่งข้อมูลแต่ละชุด
• สัญญากับผู้ว่าจ้าง ผู้รับจ้างช่วงและระบบรับสมัคร
• บันทึกคำขอใช้สิทธิ การส่งต่อเรื่องและผลดำเนินการ

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ลูกค้าอ้างว่าบริษัทจัดหางานรับผิด PDPA ทั้งหมดแล้ว

ให้ดูว่าใครตัดสินใจคัดเลือกผู้สมัครและใครกำหนดการเก็บใช้ต่อ ผู้ว่าจ้างที่รับเรซูเม่ไปตัดสินใจเองต้องประเมินหน้าที่ในกิจกรรมนั้น แม้สัญญาจะเขียนให้บริษัทจัดหารับผิด หากลูกค้าขอผลตรวจสุขภาพหรือประวัติอาชญากรรมก่อนจำเป็น ให้ขอเหตุผลของตำแหน่งและเงื่อนไขกฎหมายก่อนส่ง ไม่ใช้ความเร่งด่วนของการรับคนแทนการตรวจฐาน เก็บหลักฐานว่าเสนอผู้สมัครรายใดให้ลูกค้ารายไหนและเพื่อบทบาทงานใด

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	ตรวจการส่งเรซูเม่ในอีเมลและกลุ่มฝ่ายขาย
ภายใน 7 วัน	แยกฐานผู้สมัครของตนออกจากงานตามคำสั่งลูกค้าในเอกสารและสิทธิระบบ
ภายใน 30 วัน	ทดสอบการค้นหาและจัดการข้อมูลผู้สมัครที่ไม่ผ่านหรือพ้นระยะเก็บ

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าถือว่าผู้สมัครส่ง CV แล้วอนุญาตให้ส่งทุกบริษัทตลอดไป และอย่าใช้ชื่อสัญญาตัดสินบทบาทโดยไม่ตรวจงาน การขอให้ลูกค้าลบต้องติดตามผลตามความเสี่ยง ไม่จบเพียงส่งอีเมลหนึ่งฉบับ

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือPDPA โรงงานและแรงงานต่างด้าว เก็บพาสปอร์ต สุขภาพและสแกนหน้าอย่างไร และจ้างภายนอกทำ HR เงินเดือน หรือคอลเซ็นเตอร์ ใครรับผิดตาม PDPA

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านใช้ AI คัดกรองใบสมัครและให้คะแนนผู้สมัคร ต้องแจ้งอย่างไรประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยแยกบทบาทผู้ควบคุมกับผู้ประมวลผล ตรวจคำแจ้งผู้สมัครและขอบเขตส่งเรซูเม่หรือข้อมูลอ่อนไหวให้ผู้ว่าจ้างผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับกฎหมายแรงงาน และธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 23 และ 25: หน้าที่แจ้งเมื่อรับข้อมูลโดยตรงหรือจากแหล่งอื่น
• มาตรา 24 และ 26: ฐานตามประเภทข้อมูล รวมถึงเงื่อนไขเฉพาะของประวัติอาชญากรรม
• มาตรา 37(2): หน้าที่ป้องกันผู้รับข้อมูลนำไปใช้หรือเปิดเผยโดยมิชอบ
• มาตรา 40: หน้าที่ผู้ประมวลผลและข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล

คำถามที่พบบ่อย

บริษัทจัดหางานเป็นผู้ประมวลผลเสมอไหม

ไม่เสมอ หากกำหนดวัตถุประสงค์ฐานผู้สมัครเองอาจเป็นผู้ควบคุมในกิจกรรมนั้น ต้องแยกตามงาน ต้องพิจารณาว่าใครเลือกวัตถุประสงค์และกำหนดการใช้ของแต่ละกิจกรรม

ส่ง CV ให้ลูกค้ารายใหม่ได้ทันทีไหม

ต้องตรวจฐาน ขอบเขตวัตถุประสงค์และการแจ้งเดิมก่อน ไม่ถือว่าการสมัครครั้งแรกครอบคลุมการส่งต่อทุกครั้ง ควรตรวจขอบเขตลูกค้าที่แจ้งแก่ผู้สมัครและฐานการส่งต่อครั้งใหม่ก่อนส่ง

ผู้ว่าจ้างขอประวัติอาชญากรรมทุกตำแหน่งได้ไหม

ต้องประเมินความจำเป็นและเงื่อนไขมาตรา 26 รวมถึงกฎหมายเฉพาะ ไม่ใช้เป็นรายการบังคับทั่วไปโดยไม่มีเหตุ ต้องตรวจขอบเขตการตรวจตามตำแหน่งและเงื่อนไขเฉพาะของประวัติอาชญากรรมในมาตรา 26 วรรคท้าย

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ