วิวัฒนาการของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA) ได้เปลี่ยนแปลงแนวทางที่นายจ้างควรใช้ในการจัดทำสัญญาจ้างงานและกระบวนการรับพนักงานใหม่อย่างมีนัยสำคัญ จากเดิมที่สัญญาจ้างงานถูกมองเป็นหลักว่าเป็นข้อตกลงเกี่ยวกับเงินเดือน สวัสดิการ และหน้าที่ในสถานที่ทำงาน ปัจจุบันสัญญาจ้างงานได้กลายเป็นองค์ประกอบสำคัญของกรอบการกำกับดูแลข้อมูลโดยรวมขององค์กร
นายจ้างจำนวนมากยังคงใส่ข้อกำหนดแบบครอบคลุม โดยระบุว่าพนักงาน “ยินยอมให้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่เกี่ยวข้องกับการจ้างงานทั้งหมด” แม้ว่าข้อกำหนดดังกล่าวอาจดูสะดวกในทางปฏิบัติ แต่การพึ่งพาความยินยอมแบบครอบคลุมอาจก่อให้เกิดความเสี่ยงด้านการปฏิบัติตามกฎหมายอย่างมีนัยสำคัญ หากมีการใช้ความยินยอมเป็นฐานทางกฎหมายในการประมวลผลข้อมูล ภายใต้ PDPA ความยินยอมที่ถูกต้องต้องมีความเฉพาะเจาะจง ได้รับข้อมูลอย่างเพียงพอ ให้โดยอิสระ และสามารถถอนความยินยอมได้ ดังนั้น องค์กรควรประเมินอย่างรอบคอบว่าความยินยอมเป็นฐานทางกฎหมายที่เหมาะสมหรือไม่ หรือควรใช้ฐานทางกฎหมายอื่นที่สะท้อนลักษณะของกิจกรรมการประมวลผลข้อมูลได้อย่างถูกต้องมากกว่า
ด้วยเหตุนี้ จุดเน้นจึงเปลี่ยนจากการขอความยินยอมทั่วไป ไปสู่การแสดงให้เห็นถึงความรับผิดชอบขององค์กรผ่านการระบุและจัดทำเอกสารเกี่ยวกับฐานทางกฎหมายที่เหมาะสมสำหรับข้อมูลส่วนบุคคลแต่ละประเภทที่มีการประมวลผลตลอดความสัมพันธ์ในการจ้างงาน
การจัดทำแผนผังฐานทางกฎหมายกำลังกลายเป็นกลยุทธ์สำคัญในการปฏิบัติตามกฎหมาย
หนึ่งในพัฒนาการที่สำคัญของการปฏิบัติตามกฎหมายด้าน HR สมัยใหม่คือแนวคิดเรื่องการจัดทำแผนผังฐานทางกฎหมาย (Lawful Basis Mapping) แทนที่จะปฏิบัติต่อข้อมูลของพนักงานทุกประเภทในลักษณะเดียวกัน องค์กรควรระบุเหตุผลทางกฎหมายสำหรับกิจกรรมการประมวลผลข้อมูลแต่ละประเภทภายใต้ PDPA
ตัวอย่างเช่น การประมวลผลข้อมูลพนักงานเพื่อการจ่ายเงินเดือน การหักภาษี ณ ที่จ่าย การขึ้นทะเบียนประกันสังคม และการปฏิบัติตามภาระหน้าที่ตามกฎหมายอื่น ๆ โดยทั่วไปสามารถอาศัยฐานความจำเป็นในการปฏิบัติตามสัญญาและการปฏิบัติตามหน้าที่ตามกฎหมายได้ ขณะที่ข้อมูลการสมัครงาน การประเมินผลการปฏิบัติงาน และงานบริหารจัดการภายใน อาจอาศัยฐานทางกฎหมายที่แตกต่างกัน ขึ้นอยู่กับวัตถุประสงค์และสถานการณ์แวดล้อมของการประมวลผลข้อมูลแต่ละประเภท
การจัดทำเอกสารระบุฐานทางกฎหมายที่เกี่ยวข้องกับกิจกรรมการประมวลผลแต่ละประเภทอย่างชัดเจน ช่วยให้นายจ้างเพิ่มความโปร่งใส ปรับปรุงการกำกับดูแลภายใน และแสดงให้เห็นถึงการปฏิบัติตามหลักความรับผิดชอบภายใต้ PDPA แนวทางดังกล่าวยังช่วยลดความเสี่ยงจากการพึ่งพาความยินยอมในกรณีที่ความยินยอมอาจไม่ได้เกิดขึ้นโดยอิสระ เนื่องจากความไม่สมดุลของอำนาจโดยธรรมชาติในความสัมพันธ์ระหว่างนายจ้างกับลูกจ้าง
องค์กรที่ให้ความสำคัญกับการกำกับดูแลข้อมูลในระยะยาวมากขึ้น กำลังนำการประเมินฐานทางกฎหมายมาใช้ร่วมกับเอกสารการจ้างงาน ประกาศความเป็นส่วนตัว บันทึกกิจกรรมการประมวลผลข้อมูล และนโยบาย HR ภายใน เพื่อสร้างกรอบการปฏิบัติตามกฎหมายที่ครอบคลุมมากยิ่งขึ้น
ข้อมูลไบโอเมตริกซ์ต้องได้รับความใส่ใจเป็นพิเศษและการประเมินทางกฎหมายอย่างรอบคอบ
การใช้เครื่องสแกนลายนิ้วมือ ระบบจดจำใบหน้า และเทคโนโลยีไบโอเมตริกซ์อื่น ๆ ที่เพิ่มขึ้นเพื่อการบริหารจัดการเวลาเข้างานและการรักษาความปลอดภัยในสถานที่ทำงาน ได้ก่อให้เกิดความท้าทายเพิ่มเติมด้านการปฏิบัติตามกฎหมายสำหรับนายจ้าง
เนื่องจากข้อมูลไบโอเมตริกซ์โดยทั่วไปอยู่ในประเภทข้อมูลส่วนบุคคลที่มีความอ่อนไหวภายใต้ PDPA องค์กรจึงควรใช้ความระมัดระวังเป็นพิเศษก่อนการเก็บรวบรวมหรือประมวลผลข้อมูลดังกล่าว ในกรณีที่ใช้ความยินยอมเป็นฐานทางกฎหมาย ควรได้รับความยินยอมผ่านกระบวนการให้ความยินยอมที่แยกต่างหากและชัดเจน โดยอธิบายวัตถุประสงค์ของการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูล และสิทธิของพนักงานในการถอนความยินยอมอย่างชัดเจน
อย่างไรก็ตาม นายจ้างไม่ควรสันนิษฐานโดยอัตโนมัติว่าความยินยอมเป็นฐานทางกฎหมายเพียงทางเดียวที่สามารถใช้ได้ในทุกสถานการณ์ กิจกรรมการประมวลผลข้อมูลแต่ละประเภทควรได้รับการประเมินเป็นรายกรณี เพื่อพิจารณาว่าฐานทางกฎหมายอื่นหรือข้อยกเว้นที่เกี่ยวข้องภายใต้ PDPA อาจเหมาะสมกว่าหรือไม่ ไม่ว่าจะใช้ฐานทางกฎหมายใด องค์กรควรจัดให้มีมาตรการป้องกันที่เหมาะสมและมีประสิทธิภาพ เช่น การจำกัดสิทธิ์การเข้าถึง การเข้ารหัสข้อมูล การกำหนดระยะเวลาการเก็บรักษา และขั้นตอนการทำลายข้อมูลอย่างปลอดภัย เพื่อปกป้องข้อมูลส่วนบุคคลที่มีความอ่อนไหว
หลักการลดการเก็บข้อมูลให้น้อยที่สุดเท่าที่จำเป็น (Data Minimization) ก็มีความสำคัญไม่แพ้กัน ก่อนนำโซลูชันไบโอเมตริกซ์มาใช้ นายจ้างควรพิจารณาว่าทางเลือกที่มีการรบกวนความเป็นส่วนตัวน้อยกว่าสามารถบรรลุวัตถุประสงค์ทางธุรกิจที่ชอบด้วยกฎหมายเดียวกันได้หรือไม่ พร้อมทั้งช่วยลดความเสี่ยงด้านความเป็นส่วนตัว
การปฏิบัติตามกฎหมายด้าน HR สมัยใหม่ไม่ได้จำกัดอยู่เพียงสัญญาจ้างงาน
องค์กรที่ให้ความสำคัญกับการปฏิบัติตามกฎหมายไม่ได้พึ่งพาเพียงสัญญาจ้างงานเพื่อจัดการกับภาระหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลอีกต่อไป แต่หันมาใช้กลยุทธ์ด้านเอกสารแบบหลายชั้น โดยเอกสารแต่ละฉบับมีวัตถุประสงค์ทางกฎหมายที่แตกต่างกันอย่างชัดเจน
สัญญาจ้างงานกำหนดสิทธิและหน้าที่ของทั้งนายจ้างและลูกจ้าง ขณะที่ประกาศความเป็นส่วนตัวที่แยกต่างหากจะอธิบายวิธีการเก็บรวบรวม ใช้ เปิดเผย เก็บรักษา และปกป้องข้อมูลส่วนบุคคลภายใต้ PDPA ในกรณีที่จำเป็นต้องได้รับความยินยอมจริง ควรได้รับความยินยอมผ่านแบบฟอร์มความยินยอมที่แยกต่างหาก แทนที่จะนำไปผนวกรวมไว้ในข้อกำหนดของสัญญาที่พนักงานจำเป็นต้องยอมรับ
แนวทางที่มีโครงสร้างดังกล่าวช่วยเพิ่มความโปร่งใส สนับสนุนให้พนักงานเข้าใจสิทธิและการใช้ข้อมูลของตนเอง และเป็นหลักฐานที่ชัดเจนยิ่งขึ้นเกี่ยวกับการปฏิบัติตามกฎหมายในระหว่างการตรวจสอบของหน่วยงานกำกับดูแลหรือในกรณีเกิดข้อพิพาท นอกจากนี้ยังสอดคล้องกับแนวทางการกำกับดูแลข้อมูลส่วนบุคคลที่ได้รับการยอมรับในระดับสากล โดยช่วยให้มั่นใจว่าความยินยอม ภาระหน้าที่ตามสัญญา และข้อกำหนดตามกฎหมายไม่ได้ถูกนำมารวมกันโดยไม่จำเป็น
ในขณะที่ธุรกิจยังคงเดินหน้าสู่การเปลี่ยนผ่านด้านดิจิทัลในกระบวนการ HR และนำเทคโนโลยีใหม่ ๆ มาใช้ การผนวกการปฏิบัติตาม PDPA เข้ากับเอกสารการจ้างงานจึงไม่ควรถูกมองว่าเป็นเพียงภาระหน้าที่ทางกฎหมายเท่านั้น แต่ควรถือเป็นองค์ประกอบสำคัญของการกำกับดูแลกิจการและการบริหารความเสี่ยง
PDPA ของประเทศไทยได้ปรับเปลี่ยนบทบาทของสัญญาจ้างงาน โดยเปลี่ยนจุดเน้นจากข้อกำหนดเกี่ยวกับความยินยอมแบบครอบคลุม ไปสู่การประมวลผลข้อมูลที่มีความรับผิดชอบและมีวัตถุประสงค์ที่ชัดเจน แทนที่จะพึ่งพาข้อกำหนดทั่วไปที่พยายามครอบคลุมกิจกรรมทุกประเภทที่อาจเกิดขึ้นในอนาคต นายจ้างควรระบุฐานทางกฎหมายที่เหมาะสมสำหรับวัตถุประสงค์ในการประมวลผลข้อมูลแต่ละประเภท และสนับสนุนด้วยเอกสารความเป็นส่วนตัวที่โปร่งใสและแนวทางการกำกับดูแลข้อมูลที่เหมาะสม
องค์กรที่นำแนวทางดังกล่าวมาใช้จะสามารถลดความเสี่ยงทางกฎหมาย เสริมสร้างความไว้วางใจของพนักงาน และแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดของหน่วยงานกำกับดูแลได้ดียิ่งขึ้นในสภาพแวดล้อมทางธุรกิจที่ขับเคลื่อนด้วยข้อมูลมากขึ้น ในสถานที่ทำงานในปัจจุบัน สัญญาจ้างงานที่จัดทำอย่างรอบคอบไม่ได้เป็นเพียงเอกสารทางกฎหมายที่เป็นทางการเท่านั้น แต่ยังเป็นเครื่องมือเชิงกลยุทธ์ที่สะท้อนถึงความมุ่งมั่นขององค์กรต่อการกำกับดูแลข้อมูลอย่างมีความรับผิดชอบและการดำเนินธุรกิจอย่างยั่งยืน
