PDPA กับข้อมูลพนักงาน: เก็บอะไรได้ เก็บนานแค่ไหน

หลายธุรกิจเข้าใจว่า PDPA เป็นเรื่องของข้อมูลลูกค้าเท่านั้น ความจริงคือข้อมูลพนักงานก็อยู่ภายใต้กฎหมายเดียวกัน และมักเป็นจุดที่ถูกมองข้ามมากกว่า

ข้อมูลพนักงานที่นายจ้างเก็บได้ตามปกติ

• ข้อมูลที่จำเป็นต่อการจ้างงานและการจ่ายค่าจ้าง
• ข้อมูลที่กฎหมายกำหนดให้ต้องเก็บ เช่น ทะเบียนลูกจ้าง
• บันทึกการอบรม ผลทดสอบ และผลประเมินการปฏิบัติงาน
• บันทึกเวลาทำงานและการลา

ข้อมูลกลุ่มนี้อาศัยฐานทางกฎหมายเรื่องการปฏิบัติตามสัญญาและหน้าที่ตามกฎหมายเป็นหลัก ไม่จำเป็นต้องขอความยินยอมทุกครั้ง แต่ต้องแจ้งวัตถุประสงค์ให้ชัดเจน

ข้อมูลที่ต้องระวังเป็นพิเศษ

ตัวอย่างที่พบบ่อยคือการเก็บผลตรวจสุขภาพหรือใบรับรองแพทย์ไว้ในแฟ้มพนักงานรวมกับเอกสารทั่วไป ควรแยกจัดเก็บและจำกัดผู้เข้าถึงให้เหลือน้อยที่สุด

เก็บได้นานแค่ไหน

หลักคือเก็บเท่าที่จำเป็นตามวัตถุประสงค์ ในทางปฏิบัติธุรกิจส่วนใหญ่กำหนดไว้ที่ 2 ปีหลังพ้นสภาพการเป็นลูกจ้าง เพื่อให้ครอบคลุมอายุความของข้อพิพาทแรงงานส่วนใหญ่ ส่วนเอกสารที่กฎหมายกำหนดระยะเวลาไว้ ให้ยึดตามที่กฎหมายกำหนด

ห้าข้อผิดพลาดที่เจอบ่อยที่สุด

1. 1ส่งรูปเอกสารพนักงานในไลน์กลุ่ม
2. 2เก็บสำเนาบัตรประชาชนไว้มากกว่าที่จำเป็นและไม่มีกำหนดลบ
3. 3ให้หัวหน้าทุกสาขาเข้าถึงข้อมูลพนักงานทั้งบริษัท
4. 4ไม่มีบันทึกว่าใครเข้าถึงหรือแก้ไขข้อมูลใด
5. 5ไม่มีขั้นตอนรองรับเมื่อพนักงานขอสำเนาหรือขอลบข้อมูลของตน

สิ่งที่ควรทำเป็นอย่างแรก

ไม่จำเป็นต้องทำระบบระดับองค์กรใหญ่ตั้งแต่วันแรก แต่สามอย่างนี้ควรมีก่อน: ประกาศความเป็นส่วนตัวสำหรับพนักงาน การกำหนดสิทธิ์เข้าถึงตามบทบาท และการกำหนดระยะเวลาเก็บข้อมูลเป็นลายลักษณ์อักษร