จุดสำคัญของ PDPA ที่ HR ต้องไม่พลาด และไม่ต้องรับผิดทางกฎหมาย Pain Point HR in PDPA

บรรยายโดย อาจารย์กฤษฎ์ อุทัยรัตน์

หัวข้อสัมมนา

1. เอกสารต่อไปนี้ HR ต้องกำหนดวัตถุประสงค์อย่างไร? ในการประมวลผลข้อมูลส่วนบุคคล และต้องขอความยินยอม หรือไม่ ต้องใช้ฐานกฎหมาย(Lawful Basis) อะไร? ตาม PDPA ถึงจะทำให้ HR พ้นจากความรับผิด

- Resume, Portfolio, CV

- ใบสมัครงาน

- ผลการประเมินช่วงทดลองงานและระหว่างปฏิบัติงาน

- สลิปเงินเดือน

- ข้อมูลของผู้สมัครเกี่ยวกับพฤติกรรม ประวัติทางวินัย

- หนังสือเลิกจ้าง

- สัญญาจ้าง 

- ฯลฯ

2. วิธีการแจ้ง HR Privacy Policy ให้พนักงานทราบ กรณีต่อไปนี้
    มีความเสี่ยงและข้อควรระวังอย่างไรบ้าง และควรจะใช้วิธีการใด?
    เพื่อใช้ในการปฏิบัติที่ดีและเหมาะสมที่สุด
   - ส่งอีเมล E-mail หาพนักงาน
   - ปิดประกาศ HR Privacy Policy ในบริษัท
   - ผนวกรวมไว้เป็นส่วนหนึ่งในสัญญาจ้างงาน

3. การขอความยินยอมตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล PDPA
   - กรณีที่ขัดกับกฎหมายแรงงาน จะยึดการปฏิบัติตามกฎหมายใด?   
   - การจัดเก็บหรือใช้ข้อมูลของผู้สมัครงานตาม PDPA มีกระบวนการใดบ้าง
     ต้องขอความยินยอม และกระบวนการใด ไม่ต้องขอความยินยอม

4. สิทธิของพนักงานในองค์กร ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล มีขอบเขตการใช้สิทธิ
    อย่างไร? และมีมาตรการเชิงป้องกันอย่างไรมิให้ทำ ผิดกฎหมายซึ่งมีโทษปรับทางแพ่ง
    ทางปกครองและอาญา
   - การขอแก้ไขเปลี่ยนแปลงข้อมูลส่วนบุคคล
   - การขอทำสำเนาข้อมูลส่วนบุคคล

5. Pain Point การเก็บ รวบรวมข้อมูลที่เกี่ยวข้องกับการบริหารงาน HR ของพนักงาน HR
    จะต้องบริหารจัดการอย่างไร?
   - ชื่อ ที่อยู่ เลขบัตรประชาชน เพื่อใช้ในการยื่นภาษีและประกันสังคม มีข้อควรระวังอย่างไร
   - ชื่อ และบัญชีธนาคาร เพื่อใช้ในการจ่ายเงินเดือน เมื่อต้องโอนข้อมูลค่าจ้าง ค่าตอบแทน
     ให้ธนาคารและหน่วยงานรับทำ Payroll
   - การจัดเก็บ ลายนิ้วมือ รูปใบหน้า เพื่อสแกนเวลาเข้าทำงาน จะมีระบบจัดเก็บข้อมูลส่วนบุคคล
     ให้ปลอดภัยตามมาตรฐานได้อย่างไร คำนึ่งถึงอะไรบ้าง
   - ข้อมูลสุขภาพ การตรวจสุขภาพพนักงานและใบรับรองแพทย์ มีอะไรบ้าง?
     ที่กระทบต่อข้อมูลส่วนบุคคลประเภทอ่อนไหว
   - ประวัติอาชญากรและประวัติทางการกระทำความผิด มีความเสี่ยงต่อการนำมาประมวลผล
     อย่างไรบ้าง
   - ประวัติครอบครัวและบุคคลที่เกี่ยวข้อง HR สามารถขอ เก็บรวบรวม ใช้ เปิดเผยได้แต่ไหน
     กำหนดขอบเขตอย่างไร

6. การประเมินผลทดลองงานและประเมินผลงานตามแต่ละวัตถุประสงค์ ที่เกี่ยวกับข้อมูลส่วนบุคคล
    จะมีวิธีแจ้งผลการประเมินอย่างไรตามแนว คำพิพากษาศาลแรงงานจึงจะชอบด้วยกฎหมายอย่าง
    แท้จริง

7. ข้อมูลที่เกี่ยวข้องกับคุณสมบัติเพื่อในการทำงาน เพื่อประเมินศักยภาพ และความเหมาะสม
    ในการจ้างงานมีแนวปฏิบัติอย่างไร

8. ฝ่าย HR ต้องดำเนินการจัดการกับข้อมูลส่วนบุคคลที่ได้รับมาอย่างไร? และจัดทำ RoPa 
    (Record of Processing Activity) ทางฝ่าย HR ต้องดำเนินการอย่างไร?
    - แยกประเภท และระบุได้ว่าข้อมูลส่วนบุคคลในแต่ละประเภท
    - Lawful Basis for processing ฐานทางกฎหมายสำหรับประมวลผล
    - สถานที่สำหรับจัดเก็บข้อมูลส่วนบุคคล
    - ใครดูแล หรือมีสิทธิ์เข้าถึงข้อมูลส่วนบุคคล

9. การดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลที่ไม่ใช่ข้อมูล ของพนักงานภายใน
    ที่มีความเสี่ยงต่อการรั่วไหล ของข้อมูลส่วนบุคคล และเข้าข่ายผิดกฎหมาย PDPA
   - การแจ้งผู้สมัครงาน (เจ้าของข้อมูลส่วนบุคคลที่ไม่ใช่ลูกจ้าง) เกี่ยวกับการเก็บ
     รวบรวมข้อมูลส่วนบุคคลของผู้สมัครงาน
   - การเก็บใบสมัครของผู้ที่ไม่ผ่านการคัดเลือกไว้โดยไม่ยอมทำลายเอกสารนั้น
     ด้วยความรู้เท่าไม่ถึงการณ์หรือเลินเล่อ และนำไปรีไซเคิล
   - การลบข้อมูลส่วนบุคคลของพนักงานลูกจ้าง เมื่อพ้นสภาพการจ้าง
   - ระยะเวลาที่เหมาะสมในการลบข้อมูลส่วนบุคคล

10.ข้อควรระวัง กรณีนำข้อมูลส่วนบุคคลของพนักงานหรือลูกจ้าง ไปให้บุคคลอื่น
     หรือบุคคลที่สามเพื่อนำไปประมวลผล
   - การโอนข้อมูลพนักงานให้กับบุคคลอื่น การควบรวมกิจการ
   - การใช้ข้อมูลพนักงานลูกจ้างร่วมกันกับบริษัทในเครือซึ่งอยู่
     หรือมีสำนักงานในต่างประเทศมีข้อจำกัดอย่างไร

11. ในการจัดให้มีข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคล
      ในงาน HR ที่เรียกว่า DPA (Data Processing Agreement) คืออะไร มีวิธีปฏิบัติอย่างไร

12. HR ต้องมีการประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
     (Data Protection Officer : DPO) ของบริษัทนายจ้างอย่างไร

13. กระบวนการฝึกอบรมดูงานทั้งในและต่างประเทศมีข้อมูลส่วนบุคคล อันเป็นความเสี่ยง
     ทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคล ประเภทอ่อนไหวมีข้อควรพิจารณา
     คำนึงถึงอย่างไร

14. การใช้ข้อมูลของแรงงานต่างด้าวในกิจการของนายจ้าง มีข้อพิจารณาอย่างไรบ้าง

15. ข้อมูลเกี่ยวกับสหภาพแรงงาน สมาชิกของสหภาพแรงงาน กับการนำและล่วงรู้ข้อมูล
      ส่วนบุคคลของลูกจ้างที่เป็นสมาชิก สหภาพแรงงานมาดำเนินการ มีข้อควรระมัดระวัง
      มีความเสี่ยงและอันตรายอย่างไร?

16. กิจกรรมในการสอบสวน การใช้มาตรการทางวินัยการลงโทษการ เลิกจ้างมีข้อมูลส่วนบุคคล
      เกี่ยวข้อง จะต้องระมัดระวังเรื่องใดบ้าง?

17. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลของลูกจ้าง HR ควรทำอย่างไร
     - เหตุละเมิดที่เป็นความเสี่ยงสูงที่ต้องแจ้งภายใน 72 ชั่วโมง มาตรการเยียวยาลูกจ้าง
       จะต้องทำอย่างไร

18. HR กับการต้องรับโทษทางอาญา โทษทางแพ่งอันเกิดจาก การละเมิดข้อมูลส่วนบุคคล
     ของลูกจ้าง โทษทางแพ่งและโทษปรับ ทางปกครองมีอะไรบ้าง อย่างไร

19. ถาม-ตอบประเด็นปัญหา และแลกเปลี่ยนความคิดเห็น