ข้อมูลส่วนบุคคล ใน “งานสรรหา คัดเลือก ว่าจ้าง”

         ฐ* กฎหมาย (Lawful Basis) ซึ่งใช้ใน PDPA นั้น มี 7 ฐาน เขาอ้างและนำมาปรับใช้กันอย่างไร โดยให้กลมกลืน | กลมกล่อม | ถูกต้อง เป็นไปตามที่กฎหมายบัญญัติไว้ทุกกระเบียด แน่นอนครับว่า คำตอบนั้นมีอยู่ในตัวบทกฎหมายนั่นเองครับ ถ้าเป็น “ข้อมูลส่วนบุคคลทั่วไป” (GPD : General Personal Data) จะอยู่ในมาตรา 24 ของ PDPA ส่วน “ข้อมูลส่วนบุคคลอ่อนไหว” (SPD : Sensitive Personal Data) จะอยู่ในมาตรา 26 ครับ ถูกแยกออกมาให้เราบริหารจัดการให้ถูกกาละ และตรง ฐ

         ᴿᴱᴹᴬᴿᴷ *❛ฐ❜ : หมายถึง พยัญชนะตัวที่ 16 ตอนเด็กคงเคยได้ยินได้ท่องกันว่า ‘ฐ ฐาน เข้ามารอง’ กันทุกฅนสินะ

        คราวนี้ผมได้นำบทวิเคราะห์ของอาจารย์กฤษฎ์ อุทัยรัตน์ ซึ่งท่านได้กรุณาจัดทำให้เป็นกรณีศึกษาของงาน HRM บางงาน มาเป็นกรณีตัวอย่างให้เรียนรู้กัน ได้แก่ “งานสรรหา คัดเลือก ว่าจ้าง” ที่อยากเอามาเล่าให้ฟังในลักษณะ Case Management : (Example of a mock case) ผ่าน Infographic เป็นการเล่าเรื่องหรืออธิบายข้อมูลต่างๆ โดยใช้ “ภาพ” ในการสื่อสารผ่าน Infographic ในเรื่องของฐานที่ใช้ในการประมวลผล หรือฐานกฎหมายใน PDPATHAI (กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยเรา) ประเด็นคือว่า ปรับใช้กันอย่างไรได้ถูกต้อง ไม่มั่ว ออกทะเลกัน เห็นว่าการนำเสนอตัวอย่างให้เห็นภาพกันดังรูปที่เป็น Infographic แปะไว้นี้ มันสามารถอธิบายขั้นตอน กิจกรรม งานต่างๆ ของกระบวนการทางธุรกิจโดยชี้บ่งแต่ละ ฐ ที่ว่านี้ได้ไม่เลวเลย

        ถือเป็นลิขสิทธิ์เฉพาะของอาจารย์กฤษฎ์ อุทัยรัตน์ ที่คิดค้นขึ้นมาก่อน PDPATHAI จะร่างออกมาสำเร็จด้วยซ้ำ ตอนนั้นได้คร่ำเคร่งศึกษาของ GDPREUROPE ครับ ก็ถือว่าวิธีและรูปแบบนี้ใช้ได้ ตอบโจทย์ รู้เรื่องง่าย ต้นตำรับคือ อาจารย์กฤษฎ์แต่เพียงเจ้าเดียวในประเทศไทย หากมีผู้ใดลอกเลียนต้องมาขออนุญาตกันก่อน ก็จะอนุญาตให้หมดถ้าไม่ใช่เอาไปใช้ทำมาหากิน สร้างรายได้ส่วนตัวนะครับ ย่อมถือเป็นการรักษามารยาทด้วยว่างั้นเถอะ ฉะนั้น ขอเริ่มต้นจากขั้นตอนแรกไล่เรียงกันไปเลย ดังนี้

        1. การเรียกเอกสารสมัครงานจากผู้สมัครงาน ไม่ว่าจะเป็นเอกสารใดๆ ที่องค์การในฐานะท่านเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) ท่านสามารถเรียกและรับมาจากผู้สมัครงาน ซึ่งถือว่ามีฐานะเป็น Data Subject หรือเจ้าของข้อมูลส่วนบุคคลได้ทั้งสิ้นทั้งปวงครับ แต่ช้าก่อน! ต้องอย่าลืมนะครับว่าเรียกมาเพื่อที่จะเก็บรวบรวมโดยที่ตั้งใจจะเอาไปใช้ และเปิดเผยในอนาคตนั้นน่ะ จะต้องเป็นไปตามความจำเป็น ไม่เรียกเกินความจำเป็น ไม่ฟุ่มเฟือย ขอเผื่อเหลือไม่ได้นะ และต้องกำกับด้วยวัตถุประสงค์ (Purpose) ทุกครั้งด้วยนะครับ จะได้รู้ไงว่าจะเอาไปทำอะไร เอกสารทั้งหลายแหล่ในขั้นตอนนี้นั้น ให้ใช้ฐานความยินยอม (Consent : Cs) หรือขอให้ผู้สมัครงานได้ยินยอมให้ข้อมูลกันเป็นที่เรียบร้อยก่อนนะครับ ดังนั้น จะมั่วนิ่มใช้ฐานอื่นใดนั้นไม่ถูกต้อง

        2. เมื่อเราได้ข้อมูลของผู้สมัครงานมาทั้งหมดตามที่เราต้องการ โดยเป็นไปตามความจำเป็นของการสรรหา | คัดเลือก เพื่อจะพิจารณาว่าจะว่าจ้างหรือไม่ว่าจ้าง ให้เป็นที่เรียบร้อยแล้ว ขั้นตอนต่อมาก็เพื่อที่จะเข้าสู่กระบวนการในการคัดเลือก สอบข้อเขียน สัมภาษณ์ อันนี้ก็ว่ากันไป แล้วแต่ระเบียบวิธีปฏิบัติ หรือวิธีดำเนินการของแต่ละองค์การในบ้านเรานะครับ ดังนั้น เอกสารที่ผ่านการยินยอมไปแล้วดังกล่าวในตอนต้นนั้น เมื่อเข้าสู่กระบวนการตระเตรียมเพื่อที่จะใช้ในการสอบข้อเขียน ซึ่งแน่นอนครับ ต้องมีชื่อของเจ้าของข้อมูลส่วนบุคคลปรากฏอยู่บนกระดาษคำตอบ หรือ Answer Sheet ผลสอบที่ตรวจ รวมถึงข้อมูลซึ่งเราได้รับมาในขั้นตอนแรก ก็จะถูกนำไปสู่การจัดเตรียมเพื่อส่งมอบให้กับคณะกรรมการสัมภาษณ์ได้ใช้ในการพิจารณาทำความรู้จักกับผู้สมัครงาน ก่อนที่จะทำการเรียกผู้สมัครงานมาสัมภาษณ์เป็นรายๆ ต่อไป

        ดังนั้น ข้อมูลต่างๆ ที่เกิดขึ้นในขั้นตอนนี้ ต้องอ้างโดยใช้ฐานประโยชน์อันชอบธรรม (Legitimate Interests : Li) เพราะว่าประโยชน์ตกเป็นของ “ผู้ควบคุมข้อมูลส่วนบุคคล” ซึ่งถือเป็นประโยชน์อันชอบธรรมสำหรับองค์การผู้รับสมัครนั้น เมื่อเอาขึ้นตาชั่งชั่งน้ำหนักแล้ว มันย่อมหนักและเหนือกว่าสิทธิเสรีภาพของตัวผู้สมัครงาน ในฐานะที่เป็นเจ้าของข้อมูลส่วนบุคคลซะอีก นะสิครับ และตัวของเจ้าของข้อมูลส่วนบุคคล หรือผู้สมัครงานเองก็รู้อยู่ทั้งรู้ คาดหมายก็ได้ด้วยซ้ำไปครับว่า ข้อมูลของตัวนะเนี่ย จะต้องถูกนำไปใช้ในขั้นตอนของการคัดเลือก ในขั้นตอนของการสอบหรือสัมภาษณ์ ซึ่งถ้าไม่ยอมให้ข้อมูล ก็จะไม่มีโอกาสที่จะเกิดการสอบหรือการสัมภาษณ์ขึ้นมาได้เลยนั่นเองครับ 

        ดังนั้น ถ้ามัวแต่ไปยินยอมกันอีก ก็ได้บ้ากันไปใหญ่ ซึ่งมันก็จะทำให้มีความรู้สึกว่าเป็นเรื่องผิดปกติ ไม่ Normal ฝืนธรรมชาติ และไม่ใช่ลักษณะของการดำเนินการทั่วๆ ไป เมื่อกฎหมายออกใช้บังคับก็ต้องไม่ทำลายความเป็นไป โดยธรรมชาติหรือวิสัยปกติธรรมดาทั่วไป ที่วิญญูชนคนปกติทำๆ กันในสังคม ว่างั้นเถอะ ฉะนั้น สามารถนำข้อมูลส่วนบุคคลของผู้สมัครงานมาใช้ในขั้นตอนของการคัดเลือกนี้ได้เลย ไม่ต้องกังวลและเกรงใจ (ไปอ่านเรื่อง “การประเมินฐานประโยชน์อันชอบธรรม” (LIA-Legitimate Interest Assessments) ของอาจารย์กฤษฎ์ อุทัยรัตน์ 1 ใน 7 ของ Lawful Basis ใน PDPATHAI โดยใช้หลักการว่าด้วย SER < Safeguard | Expectation | Risk > เป็นการเพิ่มเติมก็ได้ครับ)

        3. เมื่อผ่านบททดสอบ ผ่านการกรอง คัดเลือกแล้ว คณะกรรมการสัมภาษณ์และบริษัทได้มีฉันทามติ หรือตกลงปลงใจที่จะรับเข้ามาเป็นลูกจ้าง ทำงานให้กับองค์การนายจ้างตามกฎหมายแรงงานก็ว่ากันไปนั้น ก็ต้องมีการว่าจ้าง ผู้ว่าจ้างนั้นโดยปกติแล้วองค์การที่รับสมัครก็อาจจะขอเอกสารเพิ่มเติม เพื่อใช้ประกอบการทำสัญญาได้นะครับ ซึ่งก็ต้องไม่ลืมอีกเหมือนเดิมครับว่า มี 2 ประเภทนะครับ คือ ข้อมูลส่วนบุคคลประเภททั่วไป GPD (General Personal Data) PDPA 2019 Section 24 นั้น ให้อ้างโดยใช้ฐานประโยชน์อันชอบธรรม (Legitimate Interests : Li) ไปได้เลย

        หากผู้สมัครที่ผ่านการคัดเลือกไม่ยอมเอามาให้ ก็ไม่ต้องจ้าง ไม่ต้องทำงาน ก็จะได้จบๆ กันไปตรงนั้น แต่หากจะไปต่อ เจ้าของข้อมูลส่วนบุคคลซึ่งเคยเป็นผู้สมัครงานเมื่อยอมทำตามที่ “ผู้ควบคุมข้อมูลส่วนบุคคล” แจ้งให้ทราบ ก็จะแปลงร่างกลายเป็น “ว่าที่ลูกจ้าง” คุณ Data Subject ก็ต้องเตรียมเอกสารต่างๆ นานามาให้ เพื่อประกอบการทำสัญญาว่าจ้าง แต่ตัวองค์การผู้รับสมัครงานเอง ที่จะเป็นว่าที่นายจ้างนั้น คุณคือ Data Controller ซึ่งอย่าลืมหลักความจำเป็นในการเก็บรวบรวมเพื่อจะมาใช้และเปิดเผย (ย้ำเหมือนเดิม) ด้วยนะครับ 

         อีกประเภทหนึ่ง มันอยู่ที่คุณจะเรียก หรือจะอย่างไรก็ว่ากันไป เอากันตามแต่จะเห็นสมควร หากคุณอยากได้ข้อมูลส่วนบุคคลประเภทอ่อนไหว SPD (Sensitive Personal Data) PDPA 2019 Section 26 เช่น จะขอตรวจสอบประวัติอาชญากรรม อยากได้ข้อมูลสุขภาพว่าโอเคหรือไม่ เพราะสุขภาพฅนทำงานมันสัมพันธ์เป็นตัวแปรสำคัญต่องานที่คุณต้องการจะจ้าง และเป็นความจำเป็นจริงๆ ของว่าที่นายจ้าง ว่าในตำแหน่งงานที่นายจ้างอยากจะรับเข้ามาทำงานให้นั้น สุขภาพมีผลอย่างยิ่งยวด หากสุขภาพไม่ดี อาจเกิดอันตราย เกิดความเสียหาย กรณีแบบนี้ก็ต้องอ้างใช้ฐาน ความยินยอม (Consent : Cs) เท่านั้นนะครับ

          ในการว่าจ้างนี้ แน่นอนครับ ตรงๆ เลย คือ สามารถอ้างใช้ฐานพันธะสัญญา (Contract : Ct) เพราะเราต้องเอาข้อมูลส่วนบุคคลเหล่านั้น มาทำสัญญายังไงล่ะครับ จะไปอ้างฐานอื่นมันคงไม่ถูกเรื่อง และไม่ใช่ว่าจะต้องไปขอความยินยอมกันตะพึดตะพือ เละเทะ วุ่นวายกันทุกขั้นตอน นั่นก็ถือว่าไม่มีกึ๋น ไม่เข้าใจกฎหมาย PDPATHAI เป็นอย่างดีนะสิ จากนั้นแล้วสิ่งที่เราต้องทำเนี่ย มันก็สามารถอ้างอิงฐานหน้าที่ผูกมัดตามกฎหมาย (Legal Obligation : Lo) ได้อีก ฐ หนึ่งด้วย ซึ่งก็ได้แก่ กฎหมายว่าด้วยการคุ้มครองแรงงานเอย กฎหมายว่าด้วยแรงงานสัมพันธ์เอย แล้วยังมีอีกที่เกี่ยวข้องตามมาด้วย ก็กฎหมายล้วนๆ อ้าง ฐ กฎหมายมันชัดๆ ตรงๆ  

         นอกจากนั้นแล้ว ในขั้นตอนของการว่าจ้างนี้ ถ้าหากว่ามองเลยเถิดไปถึงวันที่เป็นลูกจ้างเรียบร้อยแล้ว ก็อาจจะมีเหตุที่เข้ามาวุ่นวายเกี่ยวข้องกับลูกจ้างได้อีกมากมาย ยกตัวอย่างบางเสี้ยวบางส่วนให้เห็นภาพกันก็คือ เรื่องที่นายจ้างจะต้องเตรียมหักเงินสมทบเข้ากองทุนประกันสังคม จะต้องส่งเข้ากองทุนเงินทดแทนกรณีเนื่องจากการทำงาน และเมื่อมีเงินเดือน มีรายได้ มีค่าจ้าง ค่าตอบแทนใดๆ เกิดขึ้นในเดือนแรก แน่นอนครับนายจ้างมีหน้าที่ตามกฎหมายตามมามากมาย ต้องมีการหักภาษี ณ ที่จ่าย อันเกิดจากรายได้พึงประเมินนั้นของผู้มีหน้าที่เสียภาษี ก็คือตัวลูกจ้างที่เราว่าจ้างฅนนั้นนั่นเองล่ะครับ ซึ่งมีฐานที่จะให้อ้างอิงใช้อยู่ด้วยกัน 3 ฐานครับ ได้แก่ ฐานภารกิจประโยชน์ของรัฐ (Public Interests | Public Task | Official Authority : Pi), ฐานหน้าที่ผูกมัดตามกฎหมาย (Legal Obligation : Lo) และฐานประโยชน์อันชอบธรรม (Legitimate Interests : Li ) ซึ่งเรานำมาใช้ให้สอดคล้องกลมกลืนกันไปตามแต่ละบริบทด้วย ก็จะเป็นประโยชน์มากเลยทีเดียว แถมอีกหน่อยนึง เผื่อคำถามที่ว่า แล้ว ฐ ความยินยอม (Consent : Cs) ยังมีโอกาสเกิดมั้ยเมื่อเป็นลูกจ้างแล้ว คำตอบคือ มีครับ เช่น ให้ทำ OT ให้มาทำงานวันหยุด เปลี่ยนแปลงข้อตกลงเกี่ยวกับสภาพการจ้าง เปลี่ยนแปลงเงื่อนไขในสัญญา หักเงินใช้หนี้สวัสดิการตามกฎหมายกำหนด ลดตำแหน่ง โอนย้าย เป็นต้น อีกเยอะครับ นี่แค่ให้เห็นเป็นแนวทาง ซึ่งอาจต้องอาศัยความยินยอมและ ฐ หน้าที่ผูกมัดตามกฎหมาย (Legal Obligation : Lo) ร่วมด้วยจ๊ะ

        มาถึงตรงนี้ คงพอจะเริ่มเข้าใจกันได้บ้างแล้วนะครับ แต่ท่านก็ต้องมีพื้นฐาน Basic นิดนึงของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลเสียก่อนนะครับ ถ้าให้ดีให้เริ่มต้นฟังการบรรยายจากอาจารย์กฤษฎ์ตั้งแต่ต้น ท่านจะ Get ไวและปะติดปะต่อ ต่อติดได้ง่าย เอาไปใช้แล้วไม่มีวันสับสนครับ หากไปฟังใครมาก่อนแล้วมาอ่าน มาฟังของอาจารย์เนี่ย อาจนรกได้เลย คือไม่เข้าใจ ต่อไม่ติด งงๆ เหมือนข้ามมาภพใหม่ยังไงยังงั้น ก็พิจารณาเอาเองเถิด ออเจ้าทั้งหลาย

         4. เมื่อผ่านการจ้างไปสักระยะหนึ่ง แต่ก็ยังอยู่ในช่วงทดลองงาน แน่นอนเหลือเกินครับว่า ต้องมีการประเมินกันว่าจะรอดหรือไม่รอด เพื่อจะเข้าสู่กระบวนการบรรจุเป็นลูกจ้างเต็มตัวนั่นเอง ซึ่งแน่นอนอีกว่าจะต้องใช้ข้อมูลครับ และข้อมูลดังกล่าวก็เป็นข้อมูลส่วนบุคคลซะด้วยสิครับ ไม่ว่าข้อมูลผู้ถูกประเมินผลการทดลองงาน ที่เอาไปใส่ในแบบการประเมินฯ ใช้ในการสื่อสารพูดคุย เสนอแนะ ติเตียนผู้ถูกประเมิน แจ้งให้ทราบว่าผลการประเมินออกมาอย่างไร มีจุดเด่น มีจุดที่ควรปรับปรุงตัวอย่างไร หเพื่อจะให้โอกาสอีกสักครั้งหนึ่ง แต่ก็ต้องอยู่ในช่วงระยะเวลาของการทดลองงานนั้น อันนี้อ้างใช้ 2 ฐานได้เลย โดยไม่มีความจำเป็นต้องขอความยินยอมอีกเช่นเคยครับ ได้แก่ ฐานพันธะสัญญา (Contract : Ct) และฐานประโยชน์อันชอบธรรม (Legitimate Interests : Li) แต่อย่าเอาไปแปะบอร์ด นำไปเวียน โพนทะนาให้ผู้ฅนอื่นๆ รู้นะ อันนั้นไม่ได้เด็ดขาด การเลือก ฐ ถูก เข้า ฐ ที่ใช่แล้ว ก็ไม่ใช่จะทำอะไรๆ ได้ตามอำเภอใจ จะนำไปทำอะไรก็ได้หมดนะ ไม่งั้นไอ้ ฐ ที่เราอ้างใช้ตั้งแต่แรกมันจะเสี่ยง จะผิดกฎหมายทันที เพราะเราไม่สุจริตนั่นเอง

        5. ขั้นตอนถัดไป หลังจากนี้ ถ้าหากว่าลูกจ้างฅนนั้นผ่านพ้นการทดลองงานเป็นอย่างดี เป็นไปตามหลักเกณฑ์ที่นายจ้างกำหนด ก็สบายแฮ หายห่วงแล้วล่ะครับ ลูกจ้างผู้นั้นในฐานะท่านเป็นเจ้าของข้อมูลส่วนบุคคล หรือ Data Subject ก็จะคงสภาพการเป็นพนักงาน (พนักงานประจำ : บรรจุแล้ว) ของนายจ้างซึ่งเป็น Data Controller กันไปเรื่อยๆ ซึ่งก็แน่นอนครับว่า ในระหว่างที่มีสภาพความเป็นนายจ้างลูกจ้างกันอยู่นั้น กฎหมายมองว่านิติสัมพันธ์ในทางการจ้างแรงงานยังอยู่ตามกฎหมายว่าด้วยแรงงานทุกๆ ฉบับล่ะครับ ดังนั้น ในระยะเวลาที่คงสภาพพนักงานนั้นน่ะ ฐ ที่ทำหน้าที่อย่างซื่อสัตย์ที่สุด และต้องใช้งาน ฐ ที่ว่าอยู่แล้ว ก็คือฐานพันธะสัญญา (Contract : Ct) 

        ในระหว่างความเป็นนายจ้างลูกจ้าง หรือใช้ชีวิตร่วมกันอยู่ในสถานประกอบกิจการของนายจ้างนั้น ถ้าหากว่าตัวลูกจ้างเองได้ประสบอันตราย ไม่ว่าจะในงานหรือว่านอกงานก็ตาม แล้วหมดสติไป มีผู้นำตัวลูกจ้างผู้นั้นไปรักษาพยาบาลในสภาพที่ยังหมดสติอยู่ ก็ไม่มีความจำเป็นต้องใช้ฐานความยินยอม ไปปลุกฅนหมดสติให้ตื่นหรือรอให้ฟื้นนะ เดี๋ยวรักษาไม่ทันอาจตายก่อนจะฟื้นหรือตื่น อย่างนี้กฎหมายยอมให้เราเลือกใช้ฐานประโยชน์ที่สำคัญแห่งชีวิต (Vital Interests : Vi) ได้เลยยังไงเล่า 
ครับอาจารย์กฤษฎ์ท่านมองว่า ก็น่าจะสร้างให้เกิดความเข้าใจกันได้ในระดับหนึ่งนะครับ ไว้โอกาสต่อไปมีอะไรดีๆ จะมาเล่าสู่กันฟังอีกครับ