2. นายจ้างสามารถเก็บข้อมูลพนักงานได้มากน้อยเพียงใด?

ตามมาตรา 22 การเก็บรวบรวมข้อมูลส่วนบุคคลต้องจำกัดเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ชอบด้วยกฎหมาย

หลักการดังกล่าวหมายความว่า นายจ้างไม่ควรเก็บข้อมูลส่วนบุคคลเกินกว่าความจำเป็นสำหรับวัตถุประสงค์ที่กำหนดไว้

ตัวอย่างเช่น

• การจ่ายเงินเดือน

บริษัทอาจจำเป็นต้องเก็บข้อมูลระบุตัวตนและข้อมูลบัญชีธนาคารของพนักงาน เพื่อดำเนินการจ่ายค่าจ้างตามสัญญาจ้าง

• การดำเนินการด้านภาษีและประกันสังคม

บริษัทอาจจำเป็นต้องเก็บข้อมูลที่เกี่ยวข้องกับการคำนวณภาษี การนำส่งเงินสมทบ และการปฏิบัติตามหน้าที่ทางกฎหมาย

• การบริหารงานบุคคล

บริษัทอาจจำเป็นต้องเก็บประวัติการทำงาน ข้อมูลการปฏิบัติงาน การประเมินผล และข้อมูลที่เกี่ยวข้องกับการบริหารบุคลากร

อย่างไรก็ตาม การเก็บข้อมูลที่ไม่เกี่ยวข้องกับวัตถุประสงค์ดังกล่าว ต้องพิจารณาว่ามีความจำเป็นและฐานทางกฎหมายรองรับหรือไม่

การเก็บข้อมูลไว้โดยไม่มีวัตถุประสงค์ที่ชัดเจน หรือเก็บไว้เพียงเพราะอาจนำมาใช้ในอนาคต อาจไม่สอดคล้องกับหลักการเก็บข้อมูลเท่าที่จำเป็น

3. นายจ้างต้องแจ้งรายละเอียดอะไรให้พนักงานทราบ?

ตามมาตรา 23 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บข้อมูล เว้นแต่เข้าข้อยกเว้นตามกฎหมาย

สำหรับการบริหารงานบุคคล บริษัทควรจัดทำเอกสารที่เรียกว่า Employee Privacy Notice หรือประกาศความเป็นส่วนตัวสำหรับพนักงาน

โดยควรมีรายละเอียดสำคัญ ได้แก่

1. 1. วัตถุประสงค์ในการเก็บรวบรวมข้อมูล

   2. ประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม

   3. ฐานทางกฎหมายที่ใช้ในการประมวลผล

   4. ระยะเวลาในการเก็บรักษาข้อมูล

   5. ประเภทบุคคลหรือหน่วยงานที่อาจได้รับข้อมูล

   6. ข้อมูลติดต่อของผู้ควบคุมข้อมูลส่วนบุคคลและผู้เกี่ยวข้องตามกฎหมาย

   7. สิทธิของพนักงานในฐานะเจ้าของข้อมูลส่วนบุคคล

   8. ผลกระทบที่อาจเกิดขึ้นหากไม่ให้ข้อมูลที่จำเป็นตามกฎหมายหรือสัญญา

การแจ้งรายละเอียดอย่างชัดเจนช่วยให้พนักงานทราบว่าข้อมูลของตนจะถูกนำไปใช้เพื่อวัตถุประสงค์ใด และสามารถติดต่อองค์กรเกี่ยวกับข้อมูลส่วนบุคคลของตนได้อย่างไร

4. การเก็บข้อมูลพนักงานต้องขอความยินยอมทุกกรณีหรือไม่?

PDPA กำหนดฐานทางกฎหมายหลายประเภทที่อาจนำมาใช้กับการเก็บรวบรวมและประมวลผลข้อมูลพนักงานได้

โดยเฉพาะฐานตามมาตรา 24 เช่น

4.1 การปฏิบัติตามสัญญา

การเก็บและใช้ข้อมูลที่จำเป็นต่อการปฏิบัติตามสัญญาจ้าง เช่น ข้อมูลสำหรับจ่ายเงินเดือนหรือดำเนินการเกี่ยวกับสิทธิประโยชน์ตามสัญญา

4.2 การปฏิบัติตามกฎหมาย

การเก็บข้อมูลที่จำเป็นต่อการดำเนินการตามหน้าที่ทางกฎหมาย เช่น การคำนวณภาษีหรือการนำส่งเงินสมทบประกันสังคม

4.3 ประโยชน์โดยชอบด้วยกฎหมาย

การเก็บหรือใช้ข้อมูลเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กรหรือบุคคลอื่น โดยต้องพิจารณาความจำเป็นและชั่งน้ำหนักกับสิทธิและเสรีภาพขั้นพื้นฐานของพนักงาน

4.4 ความยินยอม

ในกรณีที่ไม่มีฐานทางกฎหมายอื่นรองรับ หรือเป็นกิจกรรมที่กฎหมายกำหนดให้ต้องได้รับความยินยอม บริษัทต้องดำเนินการขอความยินยอมตามหลักเกณฑ์ที่กำหนด

ความยินยอมต้องเป็นไปโดยอิสระ มีความชัดเจน และสามารถถอนความยินยอมได้ตามเงื่อนไขของกฎหมาย

โดยเฉพาะความสัมพันธ์ระหว่างนายจ้างและลูกจ้าง ซึ่งอาจมีความแตกต่างด้านอำนาจต่อรอง บริษัทควรระมัดระวังไม่ให้การขอความยินยอมมีลักษณะเป็นการบังคับหรือกดดันโดยไม่เหมาะสม

ดังนั้น การปฏิบัติตาม PDPA ไม่ได้หมายความว่าต้องให้พนักงานลงนามในแบบฟอร์มยินยอมสำหรับทุกกิจกรรม แต่ต้องพิจารณาฐานทางกฎหมายที่เหมาะสมกับวัตถุประสงค์แต่ละประเภท

5. ข้อมูลอ่อนไหวของพนักงานมีข้อจำกัดอย่างไร?

ตามมาตรา 26 ข้อมูลส่วนบุคคลบางประเภทได้รับความคุ้มครองเป็นพิเศษ

ตัวอย่างเช่น

• • ข้อมูลสุขภาพ

  • ข้อมูลความพิการ

  • ประวัติอาชญากรรม

  • ข้อมูลศาสนา

  • ข้อมูลสมาชิกสหภาพแรงงาน

  • ข้อมูลชีวภาพที่ใช้ระบุตัวบุคคลโดยเฉพาะ

การเก็บข้อมูลอ่อนไหวโดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าเงื่อนไขข้อยกเว้นตามกฎหมาย

ตัวอย่างกรณีที่องค์กรควรระมัดระวัง ได้แก่

• • การเก็บใบรับรองแพทย์ บริษัทควรตรวจสอบความจำเป็น วัตถุประสงค์ และฐานทางกฎหมายที่เกี่ยวข้องกับการเก็บข้อมูลสุขภาพของพนักงาน
  • การใช้ระบบสแกนใบหน้าหรือลายนิ้วมือ หากเป็นการประมวลผลข้อมูลชีวภาพเพื่อระบุตัวบุคคลโดยเฉพาะ บริษัทต้องพิจารณาข้อกำหนดตามมาตรา 26 รวมถึงมาตรการรักษาความปลอดภัยที่เหมาะสม
  • การตรวจสอบประวัติอาชญากรรม บริษัทควรตรวจสอบความจำเป็นของการตรวจสอบประวัติสำหรับตำแหน่งงานนั้น รวมถึงฐานทางกฎหมายและข้อกำหนดเฉพาะที่เกี่ยวข้องกับข้อมูลประวัติอาชญากรรม

การเก็บข้อมูลอ่อนไหวจึงต้องมีความระมัดระวังมากกว่าข้อมูลส่วนบุคคลทั่วไป