E-book-PDPA-and-Labour-Protection-V4

V4 (29.08.2022)

สารบัญ เรื่อง หนา คำนำ ความเปนมา บทที่ 1 ทีม่ าและเจตนารมณของพระราชบญั ญัตคิ ุม ครองขอ มูลสวนบุคคล ท่มี าของกฎหมายคุมครองขอมูลสว นบคุ คล 1 เจตนารมณของกฎหมาย PDPA (The Spirit of Law) 2 บทที่ 2 นิยามและบุคคลที่เก่ยี วของเก่ียวกบั พระราชบญั ญัติคุมครองขอมูลสว นบคุ คลและการคมุ ครองแรงงาน นยิ ามของขอ มลู สวนบุคคล ขอมลู สว นบคุ คล (Personal Data) 6 บุคคลทเ่ี กยี่ วของพระราชบญั ญตั คิ ุม ครองขอมูลสว นบคุ คลและการคมุ ครองแรงงาน เจา ของขอ มูลสว นบุคคล (Data Subject) 6 ผคู วบคมุ ขอ มูลสวนบคุ คล (Data Controller) 7 ผูป ระมวลผลขอมูลสวนบุคคล (Data Processor) 10 เจา หนา ทค่ี มุ ครองขอ มูลสวนบคุ คล (Data Protection Officer) 11 บทที่ 3 หลกั การคุมครองขอ มูลสวนบุคคลกบั การคมุ ครองแรงงาน หลกั 7 ประการ การคมุ ครองขอมลู สว นบุคคลและการคมุ ครองแรงงาน 13 ฐานทางกฎหมาย มาตรา 24 ในการประมวลผลขอมลู สว นบุคคลทเี่ ก่ียวกับการคุม ครองแรงงาน 14 ฐานทางกฎหมาย มาตรา 26 ในการประมวลผลขอ มลู สวนบุคคลออนไหวกบั การคุมครองแรงงาน 16 สิทธขิ องเจา ของขอมูล 17 ความรบั ผิดโทษตาม พระราชบญั ญตั คิ มุ ครองขอมูลสวนบคุ คล 20 สิง่ ทอี่ งคก รตองเตรยี มตวั 21 บทท่ี 4 แนวปฏบิ ตั ิการคมุ ครองขอมลู สว นบคุ คลสำหรบั พนักงาน กิจกรรมการประกาศรบั สมคั รและคัดเลอื กพนักงาน 24 กิจกรรมการทำสัญญา 26 เอกสารท่ีบริษัทตองจดั ทำเมอื่ มกี ารทำสญั ญาจางกับพนักงาน ตามกฎหมายคมุ ครองขอมูลสวนบคุ คล 28 หนา ทใี่ นการจดั ทำทะเบียนลูกจา ง 30 กจิ กรรมการใชข อมลู ของพนกั งานรว มกนั ในหลายบริษทั 30 การประเมนิ ผลงานของพนักงาน 32 การบันทกึ เวลาของพนกั งานในรูปแบบตาง ๆ 34 การตรวจสุขภาพของพนักงานและใบรบั รองแพทย 35 การใหสวัสดิการกับการเกบ็ ขอ มลู สวนบคุ คล 36 การฝก อบรมใหพนกั งาน 37 การจางแรงงานตางดา ว กบั การเก็บขอมูลสวนบุคคล 38 สหภาพแรงงานกบั การเกบ็ ขอ มูลสว นบุคคล 39

สารบัญ เรื่อง หนา ภาคผนวก 43 1. คำสงั่ แตง ต้งั คณะทำงาน กรมสวสั ดกิ ารและคุมครองแรงงาน 47 2. พระราชบญั ญตั ิคมุ ครองขอ มลู สว นบุคคล 47 3. พระราชบญั ญตั คิ มุ ครองแรงงาน 47 ประกาศคณะกรรมการคมุ ครองขอ มลู สวนบุคคล 4. การยกเวน การบนั ทกึ รายการของผคู วบคมุ ขอ มลู สว นบคุ คลซง่ึ เปน กจิ การขนาดเลก็ พ.ศ. 2565 5. หลกั เกณฑแ ละวธิ ีการในการจัดทำและเก็บรกั ษาบนั ทึกรายการ ของกจิ กรรมการประมวลผล ขอ มูลสว นบคุ คลสำหรบั ผปู ระมวลผลขอมลู สวนบุคคล พ.ศ. 2565 6. มาตรการรักษาความม่นั คงปลอดภยั ของผคู วบคุมขอมูลสว นบคุ คล พ.ศ.2565 7. หลกั เกณฑก ารพจิ ารณาออกคำสง่ั ลงโทษปรบั ทางปกครองของคณะกรรมการผเู ชย่ี วชาญ พ.ศ. 2565 8. ระเบียบคณะกรรมการคุม ครองขอ มลู สวนบุคคลวาดวยการยน่ื การไมร บั เรอื่ ง การยตุ เิ รอ่ื ง การพิจารณา และระยะเวลาในการพจิ ารณาคำรองเรยี น พ.ศ. 2565

คำนำ เอกสารแนวปฏิบตั ิตามพระราชบญั ญตั ิคมุ ครองขอ มูลสว นบคุ คล พ.ศ.2562 กับการคมุ ครองแรงงานสำหรบั สถาน ประกอบการฉบบั น้ี จดั ทำขน้ึ เพอ่ื ใหส ถานประกอบการทอ่ี ยภู ายใตค วามรบั ผดิ ชอบของกรมสวสั ดกิ ารและคมุ ครองแรงงาน ไดนำไปใชเ พอ่ื ประกอบการดำเนินกจิ กรรมของสถานประกอบการทีเ่ กยี่ วกับขอ มลู สว นบุคคลของบคุ ลากรใหส อดคลองกบั พระราชบัญญตั คิ มุ ครองขอมูลสวนบุคคล พ.ศ.2562 เอกสารฉบับนจี้ ะเกิดขึ้นมไิ ด หากไมไดรับการสนับสนุนจาก นายนยิ ม สองแกว อธบิ ดกี รมสวัสดกิ ารและคุม ครอง แรงงาน ดร.อุดมธิปก ไพรเกษตร เลขาธิการสมาพันธเอสเอ็มอีไทย ที่ปรึกษาคณะทำงาน และความรวมแรง รวมใจ จาก คณะทำงานของกรมสวัสดิการและคุมครองแรงงาน รวมไปถึงหนวยงานที่เกี่ยวของที่ทำใหเกิดเอกสารฉบับนี้ โดยเฉพาะ อาจารยสุกฤษ โกยอัครเดช, อาจารยสันตภพ พรพัฒนะกิจ, อาจารยมยุรี ชวนชม, อาจารยดวงดาว สำนองสุข, อาจารย ณฏั ฐ ธนวนกุล รวมถงึ ทานอื่น ๆ ทีม่ ไิ ดเ อยนามมา ณ ที่น้ี ดวยเงื่อนไขของเวลาและขอจำกัดทางกฎหมายที่ไดมีการเริ่มประกาศใช หากทานมีขอสังเกต ขอแลกเปลี่ยน ความคดิ เหน็ ตลอดจนขอ ตชิ มตา ง ๆ หรอื หากมขี อ ผดิ พลาดประการใด สามารถแนะนำไดท ่ี [email protected] และสามารถศึกษาขอมูลเพิ่มเติมไดที่ www.smethai.or.th/pdpasme เพื่อที่จะนำมาใชในการปรับปรุงและพัฒนา เอกสารแนวปฏบิ ตั กิ ารคมุ ครองแรงงานตามพระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คลฉบบั นใ้ี หเ ปน ประโยชนก บั ทกุ ฝา ยตอ ไป กรมสวัสดิการและคมุ ครองแรงงาน สมาพนั ธเ อสเอม็ อีไทย PDPA Thailand สถาบนั พัฒนาและทดสอบทักษะดจิ ทิ ลั (DDTI) 20 กรกฎาคม 2565

ความเปน มา เนื่องจากพระราชบัญญัติคุมครองขอมูลสวนบุคคล พ.ศ.2562 มีผลบังคับใชตั้งแตวันที่ 1 มิถุนายน 2565 ซึ่งเปน กฎหมายใหมที่มุงเนนการคุมครองขอมูลสวนบุคคลของเจาของขอมูลสวนบุคคล โดยที่เจาของขอมูลสวนบุคคลนั้นจะเปน บุคคลธรรมดาที่อาศัยอยูในประเทศไทย อันเปนสาเหตุใหผูใชแรงงาน พนักงาน และลูกจาง นั้นตางก็เปนเจาของขอมูล สวนบุคคล และมีความจำเปนที่จะตองไดรับการคุมครองขอมูลสวนบุคคลของตนเอง ขณะเดียวกันกฎหมายฉบับนี้มุงเนนใหนิติบุคคลตองดำเนินการเพื่อใหเกิดความสอดคลองตามกฎหมายคุมครอง ขอมูลสวนบุคคล มิเชนนั้น จะมีโทษตามกฎหมาย เปนเหตุใหสถานประกอบการซึ่งอยูภายใตกฎหมายคุมครองแรงงาน ของกรมสวัสดิการและคุมครองแรงงาน เกิดความวิตกกังวลที่จะตองดำเนินการใหสอดคลองกับพระราชบัญญัติคุมครอง ขอ มลู สว นบคุ คล พระราชบญั ญตั คิ มุ ครองแรงงาน และพระราชบญั ญตั อิ น่ื ๆ ทอ่ี ยภู ายใตค วามรบั ผดิ ชอบของกรมสวสั ดกิ าร และคุมครองแรงงาน ทางสมาพนั ธเ อสเอม็ อไี ทย ซง่ึ เปน องคก รเอกชนทไ่ี มแ สวงหาผลกำไร อนั เกดิ จากการรวมตวั กนั ของผปู ระกอบการ เอสเอ็มอีไทยจำนวนกวา 100,000 ราย (www.smethai.or.th) เล็งเห็นถึงความสำคัญในเรื่องดังกลาว จึงไดรวมกับ พนั ธมติ รของสมาพนั ธฯ ทม่ี คี วามเชย่ี วชาญและมคี วามชำนาญในเรอ่ื งกฎหมายคมุ ครองขอ มลู สว นบคุ คลและกรมสวสั ดกิ าร และคมุ ครองแรงงานจัดตงั้ คณะทำงานฯ ข้ึนเพอื่ จดั ทำแนวปฏิบัติตามพระราชบญั ญตั ิคุมครองขอ มูลสวนบุคคล พ.ศ.2562 กบั การคมุ ครองแรงงานสำหรบั สถานประกอบการขน้ึ เพอ่ื ใหเ กดิ ประโยชนต อ สถานประกอบการซง่ึ อยภู ายใตค วามรบั ผดิ ชอบ ของกรมสวัสดิการและคุมครองแรงงาน เนื่องจากกฎหมายฉบับนี้มีความจำเปนที่จะตองมีกฎหมายระดับรองอีกจำนวนมาก รวมทั้งการบังคับใชเมื่อเกิด สถานการณจริง โดยที่คณะกรรมการคุมครองขอมูลสวนบุคคลและสำนักงานคณะกรรมการคุมครองขอมูลสวนบุคคล กำลังเรงจัดทำรายละเอียดตางๆเพิ่มเติม ซึ่งผูอานสามารถติดตามความคืบหนาและรายละเอียดของกฎหมายระดับรอง และการบังใชกฎหมายฉบับนี้ไดที่ www.pdpc.or.th คณะทำงานหวังเปนอยางยิ่งวา เอกสารที่ไดจัดทำขึ้นนี้จะเปนประโยชนตอผูใชแรงงาน พนักงาน และลูกจาง ในสถานประกอบการ ตลอดจนเปน แนวทางใหส ถานประกอบการสามารถนำไปปรบั ใชใ นการดำเนนิ กจิ กรรมเพอ่ื ใหส อดคลอ ง ตามกฎหมายคุมครองขอมูลสวนบุคคลตอไป และเนื่องจากพระราชบัญญัติคุมครองขอมูลสวนบุคคลเปนกฎหมายใหม จึงมีความจำเปนที่จะตองปรับปรุงและพัฒนาแนวปฏิบัตินี้ใหสมบูรณยิ่งขึ้นในภายภาคหนา

บทที่ 1 ท่ีมาของพระราชบญั ญัติคุม ครองขอมลู สวนบคุ คลและความสัมพันธกบั กฎหมายคุม ครองแรงงาน 1. ท่ีมาของกฎหมายคมุ ครองขอมลู สว นบคุ คล วนั ท่ี 25 พฤษภาคม พ.ศ.2561 ไดม กี ารประกาศการบงั คบั ใชก ฎหมาย GDPR หรอื General Data Protection Regulation ในสหภาพยุโรป โดยมีวัตถุประสงคเพื่อปองกันการประมวลผลขอมูลสวนบุคคลโดยมิชอบ กฎหมาย GDPR นั้น บังคับใช กับทุกหนวยงานที่มีการประมวลผลขอมูลสวนบุคคลพลเมืองที่อาศัยอยูในสหภาพยุโรป ไมวาบริษัทจะตั้งอยูที่ไหน กลาวคือ GDPR บังคับใชกับผูควบคุมขอมูลและผูประมวลผลขอมูลในสหภาพยุโรป ไมวาการประมวลผลจะทำในสหภาพ ยุโรปหรือไมก็ตาม โดยจะบังคับใชกับทุกกิจกรรมที่เปนการจำหนายสินคาและบริการแกพลเมือง และทุกกิจกรรมที่มี ลกั ษณะการติดตามพฤตกิ รรมของพลเมืองท่ีเกิดขนึ้ ในสหภาพยุโรป นอกจากมผี ลบงั คบั ใชภ ายในประเทศสมาชกิ สหภาพยโุ รปแลว ยงั สง ผลถงึ ผปู ระกอบการในประเทศไทยทจ่ี ะตอ งดำเนนิ การติดตอสื่อสาร หรือ รับสงขอมูลสวนบุคคลของประชากรในประเทศที่เปนสมาชิกของสหภาพยุโรป (Cross-Border Data Transfer Issues) โดยผปู ระกอบการในไทยจำเปน ตอ งมมี าตรการคมุ ครองขอ มลู สว นบคุ คลทเ่ี หมาะสมและเพยี งพอดว ย ในการดำเนนิ การตา ง ๆ ทางธุรกิจทม่ี กี ารเก็บขอมลู สวนบุคคล ประเทศไทยกบั กฎหมายคมุ ครองขอมลู สว นบคุ คล 1 ปต อ มา หลงั จากทส่ี หภาพยโุ รปไดม กี ารประกาศใช GDPR หรอื General Data Protection Regulation ไปแลว นน้ั ประเทศไทยก็ไดมีการประกาศในราชกิจจานุเบกษา ในวันที่ 27 พฤษภาคม 2562 เพื่อกำหนดใหหนวยงาน หรือ กิจการ ทม่ี กี ารประมวลผล อนั ไดแ ก การเกบ็ ใช หรอื เปด เผยขอ มลู สว นบคุ คลใหอ ยภู ายใตก ารบงั คบั ใชก ฎหมายคมุ ครองขอ มลู สว นบคุ คล หรือ “PDPA” ซึ่งยอมาจาก Personal Data Protection Act B.E.2019 (2562) โดยกฎหมายคุมครองขอมูลสวนบุคคล ไดระบุใหองคกรหรือหนวยงานที่เกี่ยวของในการดำเนินการเก็บ รวบรวม ใช เปดเผยขอมูลสวนบุคคลของประชาชนไมวา จะเปนบริษัทเอกชน หรือ หนวยงานภาครัฐ จะตองไมนำเอาขอมูลสวนบุคคลของประชาชนไปใชในกิจกรรมอื่น ๆ ที่ไมไดรับความยินยอมหรือฐานทางกฎหมายอื่น และกฎหมายดังกลาวไดมีการบังคับใชอยางเต็มรูปแบบแลว เมื่อวันที่ 1 มถิ นุ ายน พ.ศ.2565 1

กฎหมายคุมครองขอมูลสวนบุคคล หรือ พ.ร.บ. คุมครองขอมูลสวนบุคคลเปนกฎหมายที่บัญญัติขึ้นโดยมี วัตถุประสงคในการคุมครองสิทธิในขอมูลสวนบุคคลของเจาของขอมูลสวนบุคคล โดย พ.ร.บ. คุมครองขอมูลสวนบุคคล ไดรับอิทธิพลจาก GDPR ของสหภาพยุโรป โดยมีเจตนารมณที่จะคุมครองขอมูลสวนบุคคลของประชาชนในสภาวการณที่ การใชงานขอมูลสวนบุคคลกลายเปนเรื่องที่จำเปนและมีความสำคัญในทุกภาคสวนไมวาจะเปนหนวยงานของรัฐหรือ องคกรธุรกิจภาคเอกชน ผลของความจำเปนดังกลาวอาจสงผลตอเจาของขอมูลสวนบุคคล เชน การโทรขายสินคาหรือ การแลกเปลี่ยนขอมูลเพื่อประโยชนทางธุรกิจที่อาจกระทบถึงความเปนสวนตัวในชีวิตประจำวันของบุคคล เปนตน บทบัญญัติใน พ.ร.บ. คุมครองขอมูลสวนบุคคลลักษณะที่มีความพิเศษแตกตางจากกฎหมายฉบับอื่น กลาวคือ กฎหมายไมไ ดม งุ เนน เพยี งสภาพบงั คบั ใหก ระทำหรอื ไมก ระทำเทา นน้ั แตบ ทบญั ญตั จิ ะมงุ เนน สรา งความตระหนกั รู การทบทวน และกลไกในการพิจารณาเกี่ยวกับการดำเนินการเกี่ยวกับขอมูลสวนบุคคลตางๆเพื่อใหการกระทำใดก็ตามที่เกี่ยวของกับ ขอมูลสวนบุคคลเปนไปอยางเหมาะสม สอดคลองกับวัตถุประสงคของกฎหมายในการคุมครองสิทธิความเปนสวนตัว ภายใตหลักการของกฎหมาย 2. เจตนารมณของกฎหมายคมุ ครองขอมูลสว นบุคคล PDPA ยอมาจาก Personal Data Protection Act B.E. 2562 (2019) เปนกฎหมาย วาดวยการใหสิทธิกับเจาของ ขอมูลสวนบุคคล โดยมีสรางมาตรฐานในการรักษาความปลอดภัยและความเปนสวนตัวขอมูลสวนบุคคล ใหมีการนำไปใช อยางตรงตามวัตถุประสงค และตรงตามความยินยอมที่เจาของขอมูลสวนบุคคลไดอนุญาต โดยกฎหมาย PDPA หรือ พ.ร.บ.คมุ ครองขอ มลู สว นบคุ คล ไดม กี ารประกาศไวใ นราชกจิ จานเุ บกษาเมอ่ื วนั ท่ี 27 พฤษภาคม 2562 และมกี ารผลบงั คบั ใชอ ยา งเตม็ รปู แบบในวันที่ 1 มถิ ุนายน 2565 พระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คลนน้ั ไมเ พยี ง แตเขามาเปนมาตรฐานดานความปลอดภัยและการใช ขอมูล แตยังเปนการสงเสริมและสนับสนุนใหเกิดการใช ประโยชนข องขอ มลู สว นบคุ คลอยา งปลอดภยั และเปน ไป ตามมาตรฐานสากล นอกจากนป้ี ระเทศไทยยงั มนี โยบาย เศรษฐกจิ ดจิ ทิ ลั หรอื Thailand Digital Economy Policy เพอ่ื สง เสรมิ และผลกั ดนั ใหเ กดิ เศรษฐกจิ ดจิ ทิ ลั แตป ระเดน็ ทเ่ี กย่ี วกบั ความมน่ั คงปลอดภยั หรอื Data Protection ในสว น ของ Cybersecurity E-commerce ของประเทศไทยนน้ั ยงั มคี วามออ นแอ จงึ จำเปน อยา งยง่ิ ทจ่ี ะตอ งหนั มาใหค วามสำคญั ในเร่อื งนี้ 2.1 ความเปนสวนตัวของขอ มลู หรือ Information Privacy ความเปน สว นตวั ของขอ มลู หรอื Information Privacy หมายถงึ สทิ ธทิ จ่ี ะอยตู ามลำพงั และเปน สทิ ธทิ เ่ี จา ของ ขอ มลู สว นบคุ คลสามารถทจ่ี ะควบคมุ ขอ มลู ของตนเองในการเปด เผยใหก บั ผอู น่ื โดยสทิ ธนิ ใ้ี ชไ ดอ ยา งครอบคลมุ ทง้ั ปจ เจกบคุ คล กลมุ บุคคล และองคก รหรอื หนวยงานตาง ๆ 2

การละเมดิ ขอ มูลสว นบคุ คลในสงั คมไทยและการฟองรองนนั้ เกิดขึน้ มาอยา งยาวนานโดยที่ยังไมมี พ.ร.บ. คมุ ครอง ขอ มลู สว นบคุ คล พ.ศ.2562 และหากจะฟอ งรอ งเรอ่ื งการละเมดิ ความเปน สว นตวั นน้ั จะอยใู นหวั ขอ เรอ่ื งของ“ความเปน สว นตวั ” (Privacy) และสามารถฟอ งในประมวลกฎหมายแพง และพาณชิ ยต าม มาตรา 420 2.2 ทำไมจงึ ตองมกี ฎหมาย PDPA 2.2.1 การละเมิดขอมูลสวนบุคคล เนื่องจากที่ผานมามีการละเมิดสิทธิความเปนสวนตัวของขอมูล สวนบุคคลเปนจำนวนมากอันสงผลใหเกิดความเดือดรอนหรือสงผลใหเกิดความเสียหายใหแก เจาของขอ มูลสวนบคุ คลนั้น 2.2.2 เทคโนโลยีสารสนเทศ ความกา วหนา อยางรวดเรว็ ของเทคโนโลยสี ารสนเทศเปน สาเหตสุ ำคญั ท่ี ทำให การเก็บ รวบรวม ใช หรือ เปดเผยขอมูลสวนบุคคลนั้นเกิดปญหาในการถูกละเมิดไดโดย งาย และรวดเร็วซง่ึ กอ ใหเกดิ ความเสยี หายท้ังตอตวั บุคคลและตอเศรษฐกิจโดยรวม 2.2.3 กฎหมาย มกี ารกำหนดหลกั เกณฑ กลไก หรอื มาตรการกำกบั ดแู ลเกย่ี วกบั การใหค วามคมุ ครอง ขอ มลู สวนบุคคล 2.3 การปอ งกนั ขอ มูลสวนบุคคล “ขอ มลู สว นบคุ คล” หรอื Personal Data คอื ขอ มลู ทเ่ี กย่ี วขอ งกบั บคุ คลอนั จะสามารถระบตุ วั ตน ของบคุ คลนน้ั ๆ ได ทง้ั ทางตรงและทางออ ม เวน แตก รณขี อ มลู ของผเู สยี ชวี ติ จะไมน บั เปน ขอ มลู สว นบคุ คล โดยขอ มลู สว นบคุ คลจะแบง ออก เปน 2 ประเภท ดังน้ี ขอ มลู สว นบคุ คลทว่ั ไป (Personal Data) ขอ มลู สว นบคุ คลทม่ี คี วามละเอยี ดออ น (Sensitive Data) หมายถึง ขอมูลเกี่ยวกับบุคคลซึ่งทำใหสามารถระบุตัว หมายถึง ขอมูลที่เปนเรื่องสวนบุคคลโดยแทของบุคคล บคุ คลนน้ั ได ไมว า ทางตรงหรอื ทางออ ม เชน ชอ่ื -นามสกลุ แตม คี วามละเอยี ดออ นและอาจสมุ เสย่ี งในการเลอื กปฏบิ ตั ิ หรอื ชอ่ื เลน / เลขประจำตวั ประชาชน, เลขหนงั สอื เดนิ ทาง, อยา งไมเ ปน ธรรม เปน ขอ มลู สว นบคุ คลอกี ประเภท ท่ี พ.ร.บ. เลขบตั รประกนั สงั คม, เลขใบอนญุ าตขบั ข,่ี เลขประจำตวั คุมครองขอมูลสวนบุคคล ฉบับนี้ใหความสำคัญและมี ผเู สยี ภาษ,ี เลขบญั ชธี นาคาร, เลขบตั รเครดติ (การเกบ็ เปน บทลงโทษที่รุนแรงในกรณีเกิดการละเมิด ไดแก ขอมูล ภาพสำเนาบัตรประชาชนหรือสำเนาบตั รอื่นๆท่ีมขี อมลู เชื้อชาติ, เผาพันธุ, ความคิดเห็นทางการเมือง, ความเชื่อ สว นบุคคลทกี่ ลาวมายอมสามารถใชระบุตัวบุคคลไดโ ดย ในลัทธิ ศาสนาหรือปรัชญา, พฤติกรรมทางเพศ, ประวัติ ตัวมันเอง จึงถือเปนขอมูลสวนบุคคล) / ที่อยู, อีเมล, อาชญากรรม, ขอมูลสุขภาพ, ความพิการ, ขอ มลู สหภาพ เลขโทรศพั ท / ขอ มลู ระบทุ รพั ยส นิ ของบคุ คล เชน ทะเบยี น แรงงาน, ขอ มลู พนั ธกุ รรม, ขอ มลู ชวี ภาพ, หรอื ขอ มลู อน่ื ใด รถยนต, โฉนดที่ดิน / ขอมูลการประเมินผลการทำงาน ซึ่งกระทบตอเจาของขอมูลในทำนองเดียวกันตามที่คณะ หรือความเห็นของนายจางตอการทำงานของลูกจาง / กรรมการประกาศกำหนด ขอ มูลบันทกึ ตา ง ๆ ทใี่ ชต ิดตามตรวจสอบกิจกรรมตาง ๆ ของบคุ คลเชน log file / ขอ มลู ทส่ี ามารถใชใ นการคน หา ขอมลู สว นบคุ คลอ่ืนในอินเทอรเน็ต 3

เหตุที่ขอมูลสวนบุคคลที่มีความละเอียดออน (Sensitive Data) เปนขอมูลที่มีบทลงโทษที่รุนแรงกวา ขอ มลู สว นบคุ คลทว่ั ไป (Personal Data) เนอ่ื งจากขอ มลู ประเภทนี้เมื่อมีการละเมิดแลว จะเกิดผลเสียที่รายแรง กบั ผเู ปน เจา ของขอ มลู สว นบคุ คล (Data Subject) ไดม ากกวา ขอมูลสวนบุคคลอื่น ๆ และมีผลตอสิทธิเสรีภาพของ บคุ คล เชน สทิ ธเิ สรภี าพในความคดิ ความเชอ่ื ทางศาสนา การแสดงออก การชมุ นมุ สทิ ธใิ นชวี ติ รา งกาย การอยอู าศยั การไมถ กู เลอื กปฏบิ ตั ิ ซง่ึ อาจจะกอ ใหเ กดิ การแทรกแซงซง่ึ สทิ ธเิ สรภี าพและการเลอื กปฏบิ ตั ติ อ การใชส ทิ ธเิ สรภี าพของบคุ คล ไดม ากกวา ขอ มลู สว นบคุ คลทว่ั ไป ยกตวั อยา ง เชน ขอ มลู พฤตกิ รรมทางเพศ เชอ้ื ชาติ ศาสนา ประวตั อิ าชญากรรม ถา รว่ั ไหล ไปแลว ขอมูลเหลานี้จะนำมาสูความเปนอคติและจะมีผลกระทบตอชีวิตสวนบุคคลไดมากกวาขอมูลทั่วไปเปนอยางมาก 2.4 ขอบเขตการบังคับใชก ฎหมาย PDPA (Law Enforcement) พ.ร.บ. คมุ ครองขอมูลสวนบคุ คลหรอื PDPA บังคับใชก บั ใครบา ง 2.4.1 ผคู วบคุมขอ มูล หรือ ผูป ระมวลผลขอมลู ท่ี “อยใู นราชอาณาจกั ร” ไมวาการเก็บรวบรวม ใช เปด เผยขอ มลู สวนบุคคลน้นั จะกระทำ “ใน” หรือ “นอก” ราชอาณาจกั รกต็ าม 2.4.2 ผคู วบคมุ ขอ มลู หรอื ผปู ระมวลผลขอ มลู ท่ี “อยนู อกราชอาณาจกั ร” แตม กี ารเกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู ของขอ มลู สว นบคุ คลของเจา ของขอ มลู ทอ่ี ยใู นราชอาณาจกั ร โดยมกี ารดำเนนิ กจิ กรรม ดงั นี้ (1) มกี ารเสนอสนิ คาหรอื บริการ ใหแ กเจา ของขอมลู (ไมว า จะมีการชำระเงินหรอื ไม) ในราชอาณาจักร (2) มีการเฝา ติดตามพฤติกรรม ของเจา ของขอมูลสว นบคุ คลทีเ่ กิดขนึ้ ในราชอาณาจักร กรณีศึกษา 1 : กรณีที่ ผูควบคุมขอมูลสวนบุคคล (Data Controller) อยูในประเทศไทย ไดทำการเก็บรวบรวม ใช หรอื เปด เผยขอ มลู สว นบคุ คลของคนทอ่ี ยใู นประเทศไทย กรณนี บ้ี รษิ ทั นน้ั จะตอ งอยภู ายใน พ.ร.บ.คมุ ครองขอ มลู สว นบคุ คล กรณีศึกษา 2 : กรณี ที่บริษัทอยูตางประเทศ มีการกอตั้งอยูนอกราชอาณาจักรไทย ตัวอยางเชน Google, Line, Facebook กรณีนี้จะดำเนินการอยูภายใต พ.ร.บ. คุมครองขอมูลสวนบุคคล (PDPA) หากที่มีการนำเสนอการขายสินคา หรือบริการหรือเฝาติดตามพฤติกรรม ใหกับเจาของขอมูลในราชอาณาจักร (ไมจำกัดสัญชาติ) โดยตองแตงตั้งตัวแทนใน ประเทศไทย 4

ดงั นน้ั พ.ร.บ. คมุ ครองขอ มลู สว นบคุ คล หรอื PDPA จงึ มผี ลในการบงั คบั ใชก บั บคุ คลและหนว ยงานตา ง ๆ ทง้ั หมด เชน ผปู ระกอบการ – เจา ของธรุ กจิ หนุ สว น คคู า ลกู คา – ผบู รโิ ภค พนกั งาน – ลกู จา ง หรอื หนว ยงานภาครฐั 2.5 ความสัมพันธระหวางกฎหมายคมุ ครองขอ มูลสว นบุคคลกบั กฎหมายคุม ครองแรงงาน หลงั จากทก่ี ฎหมายไดม กี ารประกาศใชอ ยา งเปน ทางการเตม็ รปู แบบแลว ในวนั ท่ี 1 มถิ นุ ายน พ.ศ. 2565 กฎหมาย คมุ ครองขอ มลู สว นบคุ คลไดเขาไปมีบทบาทสำคัญอยางมากในทุกๆอุตสาหกรรม ท่ีมกี ารจัดเก็บ ใช หรือเปดเผยขอมูลสวน บคุ คล ในแงข องการคมุ ครองแรงงาน มกี จิ กรรมตา งๆ และขอ มลู ของพนกั งานทก่ี ฎหมายดงั กลา เขา ไปเกย่ี วขอ ง โดยไมจ ำกดั เพียงแคภาครัฐเทานั้น แตยังรวมไปถึงภาคเอกชนที่มีการประมวลผลขอมูลของพนักงานภายในองคกรดวย ในแงของการ คุมครองแรงงาน กฎหมายที่สำคัญที่เขามาเกี่ยวของ คือ กฎหมายคุมครองแรงงาน ไมวาจะเปนกิจกรรมการคัดเลือก พนักงาน การทำสัญญาจางแรงงาน การพัฒนาบุคคลกร การอนุมัติเลื่อนตำแหนง หรือแมแตการพนสภาพการจางของ พนักงาน กฎหมายดังกลาวไดเขาไปมีความเกี่ยวพันทุกกระบวนการ ตัวอยางเชน ในกิจกรรมการจัดทำทะเบียนลูกจาง ตามพระราชบญั ญตั คิ มุ ครองแรงงาน มาตรา 115 ไดม กี ารกำหนดระยะเวลาการจดั เกบ็ ขอ มลู ของลกู จา งใหจ ดั เกบ็ ไวไ มเ กนิ 2 ป นบั แตว นั ทส่ี น้ิ สดุ การจา ง จะเหน็ ไดช ดั วา การกำหนดระยะเวลาการทำลายขอ มลู ดงั กลา วตามกฎหมายคมุ ครองแรงงาน ไดเขามามีบทบาทในการกำหนดรายละเอียดการทำลายขอมูลสวนบุคคล ดังนั้น นายจางหรือผูควบคุมขอมูลสวนบุคคล มหี นา ทใ่ี นการดำเนนิ การลบ หรอื ทำลาย เมอ่ื สน้ิ ระยะเวลาการจดั เกบ็ ดงั กลา ว โดยเปน ไปตามหลกั การจดั เกบ็ ขอ มลู อยา ง จำกดั (storage minimization) หรอื กจิ กรรมทเ่ี กย่ี วกบั การขอลาของพนกั งาน กฎหมายคมุ ครองแรงงาน ไดม กี ารกำหนด ใหน ายจา งสามารถขอใบรบั รองแพทยจ ากลกู จา งทล่ี าปว ยตง้ั แต 3 วนั ขน้ึ ไป แตถ า เปน กรณที ล่ี าไมเ กนิ 3 วนั หรอื กรณที น่ี ำ ไปใชเ พอ่ื วตั ถปุ ระสงคอ น่ื นายจา งมหี นา ทต่ี อ งขอความยนิ ยอมจากลกู จา ง เปน ตน 5

บทที่ 2 นิยามและบุคคลที่เกี่ยวของเกี่ยวกับพระราชบัญญัติคุมครองขอมูลสวนบุคคลและการคุมครองแรงงาน 1. นิยามของขอมูลสวนบุคคล 1.1 ขอมูลสวนบุคคล (Personal Data) หมายถึง ขอมูลเกี่ยวกับบุคคลซึ่งทำใหสามารถระบุตัว บคุ คลนน้ั ได ไมว า ทางตรงหรอื ทางออ ม เชน ชอ่ื นามสกลุ ชื่อเลนลูกจาง หมายเลขโทรศัพทลูกจาง เลขประจำตัว ประชาชนลกู จา งเลขหนงั สอื เดนิ ทาง เลขบตั รประกนั สงั คม เลขใบอนุญาตขับขี่พนักงาน เลขประจำตัวผูเสียภาษี เลขบัญชีธนาคาร รหัสพนักงาน วันเริ่มงาน เงินเดือน ตำแหนงงาน ขอมูลภาพถายการอบรมหรือประชุมของ พนกั งาน เอกสารประกอบการลา ประวตั กิ ารศกึ ษา เปน ตน อยางไรก็ดี ขอมูลตอไปนี้ไมใชขอมูลสวนบุคคล เชน ขอมูลสำหรับการติดตอทางธุรกิจที่ไมไดระบุถึงตัวบุคคล อาทิ ชื่อบริษัท ที่อยูของบริษัท เลขทะเบียนนิติบุคคลของบริษัท หมายเลขโทรศัพทของที่ทำงาน ที่อยูอีเมล (email address) ที่ใชในการทำงานหรือกลุมของบริษัท เชน [email protected] ขอมูลนิรนาม (Anonymous Data) ขอมูลแฝง (Pseudonymous Data) หรือขอมูลผูถึงแกกรรม เปนตน 1.2 ขอมูลสวนบุคคลละเอียดออน (Sensitive Data) หมายถึง ขอมูลสวนบุคคลเกี่ยวกับเชื้อชาติ เผาพันธุ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ขอมูลสุขภาพ ความพกิ าร ขอ มลู สหภาพแรงงาน ขอ มลู พนั ธกุ รรม ขอ มลู ชวี ภาพ หรอื ขอ มลู อน่ื ใดซง่ึ กระทบตอ เจา ของขอ มลู สว นบคุ คลใน ทำนองเดยี วกนั ตามทค่ี ณะกรรมการคมุ ครองขอ มลู สว นบคุ คลประกาศกำหนด ซง่ึ บรษิ ทั ตอ งดำเนนิ การดว ยความระมดั ระวงั เปนพเิ ศษ โดยบรษิ ัทจะเก็บรวบรวม ใช หรอื เปดเผยขอมลู สว นบคุ คลท่ลี ะเอียดออ น ตอเมือ่ ไดรบั ความยินยอมโดยชดั แจง จากเจาของขอ มูลสว นบคุ คล หรอื ในกรณที ่บี รษิ ทั มีความจำเปนตอ งดำเนนิ การตามที่กฎหมายอนญุ าต เชน การเก็บขอ มูล ประวัติอาชญากรรมของลูกจาง บริษัทไมสามารถเก็บได เวนแตไดรับความยินยอมตามกฎหมายคุมครองขอมูลสวนบุคคล หรือ เวนแตเขาขอยกเวนที่กฎหมายกำหนด หรือในกรณีของการเก็บขอมูลของใบรับรองแพทย ซึ่งมีขอมูลสุขภาพ บริษัท ไมส ามารถเกบ็ ไดเ วน เวนแตไดร บั ความยนิ ยอม หรอื เวนแตเขาขอ ยกเวนตามกฎหมาย 2. บุคคลที่เกี่ยวของพระราชบัญญัติคุมครองขอมูลสวนบุคคลและการคุมครองแรงงาน 2.1 เจาของขอมูลสวนบุคคล (Data Subject) หมายถึง ตัวบุคคลที่เปนเจาของขอมูลสวนบุคคลนั้น แตไมใช กรณที บ่ี คุ คลมคี วามเปน เจา ของขอ มลู (Ownership) หรอื เปน ผสู รา งหรอื เกบ็ รวบรวมขอ มลู นน้ั เอง โดย เจา ของขอ มลู สว น บุคคล (Data Subject) นี้จะหมายถึงบุคคลธรรมดาเทานั้น และไมรวมถึง “นิติบุคคล” (Juristic Person) ที่จัดตั้งขึ้น ตามกฎหมาย เชน บริษัท สมาคม มูลนธิ ิ หรือองคกรอนื่ ใด ทัง้ นี้ เจาของขอมูลสวนบุคคลไดแก บคุ คลดงั ตอไปนี้ 6

2.1.1 เจาของขอ มูลสว นบคุ คลทีเ่ ปน ผูบรรลุนิตภิ าวะ หมายถึง - บคุ คลทีม่ ีอายตุ ัง้ แต 20 ปบ ริบรู ณข น้ึ ไป - ผทู ่ีสมรสตามกฎหมายตั้งแตอ ายุ 17 ปบ ริบรู ณข นึ้ ไป - ผูทสี่ มรสกอนอายุ 17 ป โดยศาลอนญุ าตใหท ำการสมรส - ผเู ยาวซ ง่ึ ผแู ทนโดยชอบธรรมใหค วามยนิ ยอมในการประกอบธรุ กจิ ทางการคา หรอื ธรุ กจิ อน่ื หรอื ในการ ทำสัญญาเปนลูกจางในสัญญาจางแรงงาน ในความเกี่ยวพันกับการประกอบธุรกิจหรือ การจางแรงงานขางตนใหผูเยาว มีฐานะเสมอื นดังบคุ คลซงึ่ บรรลนุ ติ ิภาวะแลว ทง้ั น้ี ในการใหค วามยนิ ยอมใด ๆ เจา ของขอ มลู สว นบคุ คลทเ่ี ปน ผบู รรลนุ ติ ภิ าวะสามารถใหค วามยนิ ยอมไดด ว ยตนเอง 2.1.2 เจาของขอมูลสวนบุคคลที่เปน “ผูเยาว” หมายถึง บุคคลที่อายุต่ำกวา 20 ปบริบูรณ และไมใชผูบรรลุ นิติภาวะตามขอ 2.1.1 ทั้งนี้ ในการใหความยินยอมใด ๆ จะตองไดรับความยินยอมจากผูใชอำนาจปกครองที่มีอำนาจ กระทำการแทนผเู ยาวด ว ย 2.1.3 เจาของขอมูลสวนบุคคลที่เปนคน “เสมือนไรความสามารถ” หมายถึงบุคคลที่ศาลสั่งใหเปน คนเสมือนไรความสามารถเนื่องจากมีกายพิการหรือมีจิต ฟนเฟอนไมสมประกอบ หรือประพฤติสุรุยสุรายเสเพลเปน อาจณิ หรอื ตดิ สรุ ายาเมา หรอื มเี หตอุ น่ื ใดทำนองเดยี วกนั นน้ั จนไมส ามารถจะจัดทำการงานโดยตนเองได หรือจัดกิจการ ไปในทางที่อาจจะเสื่อมเสียแกทรัพยสินของตนเองหรือ ครอบครัวทั้งนี้ ในการใหความยินยอมใด ๆ จะตองไดรับ ความยินยอมจากผูพิทักษที่มีอำนาจกระทำการแทนคน เสมอื นไรค วามสามารถนน้ั กอ น 2.1.4 เจา ของขอ มลู สว นบคุ คลทเ่ี ปน คน “ไรค วามสามารถ” หมายถงึ บคุ คลทศ่ี าลสง่ั ใหเ ปน คนไรค วามสามารถ เชน เปนบุคคลวิกลจริต ทั้งนี้ ในการใหความยินยอมใด ๆ จะตองไดรับความยินยอมจากผูอนุบาลที่มีอำนาจกระทำการ แทนคนไรค วามสามารถน้ันกอ น 2.2 ผูควบคุมขอมูลสวนบุคคล หรือ Data Controller คือ บุคคลหรือนิติบุคคลซึ่งมีอำนาจหนาที่ตัดสินใจ เกย่ี วกบั การเกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู สว นบคุ คล ไมว า จะเปน ผปู ระกอบการทท่ี ำธรุ กจิ ในนามบคุ คลธรรมดา หรอื ทำในรปู แบบบรษิ ัท และไมว าจะเปน บริษทั เล็กหรือบริษทั ใหญ ประกอบกิจการเปน บรษิ ัทจำกดั หรอื บรษิ ทั มหาชนจำกัด และไมไดจำกัดแตเฉพาะในภาคธุรกิจเทานั้น หนวยงานของรัฐก็เชนกัน หากเขาเหลานั้น มีอำนาจในการตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช หรอื เปดเผยขอมูลสวนบุคคล เขามสี ถานะเปน “ผคู วบคมุ ขอ มลู สวนบุคคล” 7

หนา ท่ีของผคู วบคมุ ขอ มลู มดี ังนี้ รายละเอียด หนา ท่ี การเก็บรวบรวม ใช เปด เผย ตองมฐี านทางกฎหมายรองรบั และตอ งดำเนนิ การแจง ใหเ จาของขอมูลสวนบคุ คลทราบ ไมว า จะเกบ็ รวบรวมขอ มูลมาจาก 1. เกบ็ รวบรวม ใช เปดเผย ใหเ ปน เจาของขอมูลสวนบุคคล เวนแตเขาขอยกเวน ซึ่งเกี่ยวของกับหนาที่ในการ ไปตามกฎหมาย จดั เตรยี มเอกสารตา ง ๆ เพอ่ื ใหเ จา ของขอ มลู สว นบคุ คลมน่ั ใจวา หากยนิ ยอม ใหผูควบคุมขอมูลสวนบุคคลเขาไปเก็บรวบรวมขอมูลของเจาของขอมูล สว นบคุ คล และผคู วบคมุ ขอ มลู สว นบคุ คลจะดแู ลรกั ษาขอ มลู สว นบคุ คลของ เจาของขอมูลสวนบุคคลอยางไร ตัวอยางเชน บริษัทมีหนาที่ตองจัดเก็บ รวบรวมขอ มูลลูกจา ง ไดแก ชอ่ื นามสกุล วนั ทีเ่ ริม่ จา ง อัตราคา จาง เพ่ือจัด ทำทะเบยี นลูกจาง ตามกฎหมายคมุ ครองแรงงาน เปน ตน 2. เปดชองใหเจาของขอ มลู สว นบคุ คล บนั ทึกคำรอ งขอของเจา ของขอ มูลสว นบคุ คล เม่ือผูควบคุมขอ มลู สวนบุคคล ใชส ิทธติ ามกฎหมาย ปฏิเสธการใชส ิทธขิ องเจา ของขอ มลู สวนบุคคล พรอมระบเุ หตุผลในรายการ บันทึกรายการตามมาตรา 39 ตัวอยางเชน พนักงานของบริษัทขอใชสิทธิ ในการเขาถึงขอมูลสวนบุคคล แตการเขาถึงดังกลาวนั้นไปกระทบสิทธิของ บุคคลอื่น เชนนี้บริษัทมีสิทธิในการปฏิเสธได และตองมีการบันทึกเหตุแหง การปฏเิ สธไว 3. จัดใหม ีมาตรการรกั ษาความมั่นคง เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูล ปลอดภยั ของขอ มลู สวนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และตองทบทวนมาตรการ ดังกลาวเมื่อมีความจำเปนหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อใหมี ประสทิ ธภิ าพในการรกั ษาความม่ันคงปลอดภัยทเี่ หมาะสม และเปน ไปตาม มาตรฐานขั้นต่ำ ตัวอยา งเชน ตอ งมกี ารกำหนดการเขา ถึงขอมูลของลูกจาง ในบริษัทวาในกิจกรรมนั้นๆ วาฝายใดมีสิทธิในการเขาถึงบาง มีระดับการ เขา ถงึ อยา งไร หรือในกรณีท่มี ีการเก็บในรูปแบบเอกสาร Hard copy มีการ เกบ็ เขา แฟม ตูเอกสาร หรือมีการลอ็ คกุญแจหรอื ไม 4. จัดใหมีมาตรการปองการไมใ หผ อู ืน่ ในกรณที ่ตี องใหขอ มูลสวนบุคคลแกบ ุคคลหรือนติ บิ ุคคลอ่ืนที่ไมใ ชผ ูควบคมุ ใชห รอื เปด เผยขอ มลู โดยมชิ อบ ขอ มูลสวนบคุ คล เชน มีการโอนขอ มูลสวนบุคคลใหผ ปู ระมวลผล ตอ งมีการ ดำเนนิ การเพอ่ื ไมใ หผ นู น้ั ใชห รอื เปด เผยขอ มลู สว นบคุ คลโดยไมม อี ำนาจ หรอื โดยไมถูกตอ งตามกฎหมาย 8

หนาท่ี รายละเอยี ด 5. จดั ใหมีระบบตรวจสอบเพอ่ื ดำเนนิ จัดใหมีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายขอมูลสวนบุคคล การลบ ทำลาย หรือทำใหขอ มูลสว น เมอ่ื พน กำหนดระยะเวลาการเกบ็ รกั ษา หรอื ไมเ กย่ี วขอ งหรอื เกนิ ความจำเปน บุคคลเปน ขอ มลู ทีไ่ มส ามารถระบุ ตามวัตถปุ ระสงคในการเก็บรวบรวมขอ มูลสว นบุคคลนน้ั หรือตามท่ีเจาของ ตัวตนได ขอ มลู สว นบคุ คลรอ งขอ หรอื ทเ่ี จา ของขอ มลู สว นบคุ คลไดถ อนความยนิ ยอม เวน แตเ กบ็ รกั ษาไวเ พอ่ื วตั ถปุ ระสงคใ นการใชเ สรภี าพในการแสดงความคดิ เหน็ 6. แจงเหตุการณละเมดิ ขอ มลู การใชเพื่อการกอตั้งสิทธิเรียกรองตามกฎหมาย การปฏิบัติตามหรือการใช สว นบคุ คล สิทธิเรียกรองตามกฎหมาย การยกขึ้นตอสูสิทธิเรียกรองตามกฎหมาย หรือ 7. แตงตัง้ ตัวแทนในราชอาณาจกั ร เพื่อการปฏิบัติตามกฎหมาย ตัวอยางเชน ขอมูลทะเบียนลูกจาง ควรมีการ 8. หนาทใี่ นการจดั ทำบันทกึ รายการ จดั เกบ็ อยา งนอ ย 2 ป และควรมกี ารทำลายเมอ่ื หมดความจำเปน ในการจดั เกบ็ ประมวลผลขอมูล (Record of หรือในกรณีที่มีขอพิพาทระหวางนายจาง หรือลูกจาง บริษัทอาจสามารถ Processing Activities : RoPA) เกบ็ ไดถึง 10 ป ตามอายุความ กฎหมายแพง และพาณิชย ตองแจงเหตุละเมิดแกสำนักงานคณะกรรมการคุมครองขอมูลสวนบุคคล ภายใน 72 ชั่วโมง นับแตเมื่อทราบเหตุดังกลาว เทาที่จะสามารถกระทำได ทง้ั น้ี ในกรณที ก่ี ารละเมดิ มคี วามเสย่ี งสงู ทจ่ี ะมผี ลกระทบตอ สทิ ธแิ ละเสรภี าพ ของบคุ คล ใหแ จง เหตกุ ารณล ะเมดิ ใหเ จา ของขอ มลู สว นบคุ คลทราบ พรอ มกบั แนวทางการเยยี วยาโดยไมช ักชา หากผูควบคุมขอมูลสวนบุคคลอยูนอกประเทศไทย ผูควบคุมสวนบุคคล ตองแตงตั้งตัวแทนของตนในประเทศไทย โดยตองแตงตั้งเปนหนังสือ ซึ่งตัวแทนตองอยูในประเทศไทยและไดรับมอบอำนาจใหกระทำแทนโดย ไมมีขอจำกัดความรับผิดใดๆ ที่เกี่ยวกับการเก็บรวบรวม ใช เปดเผยขอมูล สว นบคุ คล ตามวตั ถุประสงคข องผูค วบคุมขอมลู ใหผูค วบคุมขอ มูลสวนบคุ คลบนั ทึกรายการ เพือ่ ใหเจาของขอ มลู สวนบคุ คล และสำนักงานสามารถตรวจสอบได โดยจะบันทึกเปนหนังสือหรือระบบ อิเล็กทรอนิกสก็ได 9. จัดใหมีขอ ตกลงระหวา งผคู วบคุม การดำเนินงานตามหนาที่ของผูประมวลผลขอมูลสวนบุคคลตามที่ไดรับ ขอมลู สว นบุคคลและผูประมวลผล มอบหมายจากผูควบคุมขอมูลสวนบุคคล ผูควบคุมขอมูลสวนบุคคลตอง ขอมลู สวนบุคคล (Data Processing จัดใหมีขอตกลงระหวางกัน เพื่อควบคุมการดำเนินงานตามหนาที่ของผู Agreement : DPA) ประมวลผลขอมูลสวนบุคคลใหเปนไปตาม PDPA 10. แตง ตั้งเจาหนา ท่ีคมุ ครองขอ มลู หากเขาหลักเกณฑที่กฎหมายกำหนดใหตองตั้งเจาหนาที่คุมครองขอมูล สว นบุคคล (Data Protection สวนบุคคล โดยจะตองแจงขอมูลเกี่ยวกับ DPO สถานที่ติดตอ และขอมูล Officer : DPO) การติดตออื่น ๆ ใหเจาของขอมูลสวนบุคคลและสำนักงานคณะกรรมการ คุมครองขอมูลสวนบุคคลทราบ 9

2.3 ผปู ระมวลผลขอ มลู สว นบุคคล (Data Processor) ผูประมวลผลขอมูลสวนบุคคล หรือ Data Processor คือ บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับ การเก็บ รวบรวม ใช หรือเปดเผยขอมูลสวนบุคคล “ตามคำสั่ง หรือ ในนามหรือภายใตคำสั่งของผูควบคุมขอมูลสวนบุคคล” ทั้งนี้บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกลาว ไมถือวาเปนผูควบคุมขอมูลสวนบุคคล ภาพความสมั พันธ 3 ฝา ย เมือ่ เจาของขอมลู สว นบคุ คล ไดม อบความไววางใจและใหข อมูลสว นบุคคลกับผูควบคุมขอมูลในการเก็บรวบรวใช และเปดเผยขอมูลสวนบุคคลแลว ผูควบคุมขอมูลสวนบุคคลนั้นจะตองมีความรอบคอบในการเก็บรักษาขอมูล ในกรณีที่ ผปู ระมวลผลขอ มูลสวนบคุ คลทำขอมูลรั่วไหล บุคคลคนแรกที่จะตอ งรบั ผิดชอบ คอื ผคู วบคุมสว นบุคคล ดงั น้ัน จงึ จะตอง มีการทำสัญญารวมกันเพื่อกำหนดมาตรฐานในการดำเนินการภายใต PDPA ใหเกิดความรับผิดชอบรวมกัน และจำเปน จะตอ งสรา งความเขาใจรวมกนั ดังนี้ 2.3.1 พนักงานในหนวยงาน องคกร หรือ สถาบัน ไมใชผูควบคุมขอมูลสวนบุคคล หรือ Data Controller พนักงาน และ ลกู จา ง ทกุ ระดบั ไมว า จะเปน เจา หนา ท่ี ผจู ดั การ หรอื ผบู รหิ ารแมจ ะมอี ำนาจตดั สนิ ใจกเ็ ปน เพยี งตวั แทน หรอื ผแู ทนท่ี กระทำการในนามของผคู วบคุมขอมูลสว นบุคคลเทานั้น 2.3.2 พนกั งานในหนว ยงาน องคก ร หรอื สถาบนั ไมใ ชผ ปู ระมวลผลขอ มลู สว นบคุ คล หรอื Data Processor พนกั งาน ของนติ บิ คุ คลซง่ึ เปน ผคู วบคมุ ขอ มลู สว นบคุ คลทก่ี ระทำตามคำสง่ั หรอื ในนามของนติ บิ คุ คลนน้ั ไมใ ชผ ปู ระมวลผลขอ มลู สว นบคุ คล หนา ทข่ี องผปู ระมวลผลขอ มลู สว นบคุ คล มดี งั น้ี หนาที่ รายละเอยี ด 1. ประมวลผลขอ มูลสวนบคุ คล ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคลตาม ภายใตค ำสง่ั ผคู วบคมุ ขอ มลู สว นบคุ คล คำสั่งที่ไดรับจากผูควบคุมขอมูลสวนบุคคลเทานั้น เวนแตคำสั่งนั้นขัดตอ กฎหมายหรอื บทบญั ญตั ใิ นการคมุ ครองขอ มลู สว นบคุ คล ตวั อยา งเชน บรษิ ทั มีการจางบริษัทภายนอก เพื่อดำเนินการดานเงินเดือนใหกับลูกจางภายใน บริษัท บริษัทที่รับประมวลผลขอมูลสวนบุคคลดังกลาวตองทำตามคำสั่ง หากทำนอกคำสั่ง ผูประมวลผลจะกลายเปนผูควบคุมขอมูลในกิจกรรม ที่ทำนอกคำสั่งนั้น 10

หนา ท่ี รายละเอียด 2. จดั ใหมมี าตรการรกั ษาความม่นั คง ปลอดภัยของขอมลู ทเี่ หมาะสม จดั ใหม มี าตรการรกั ษาความมน่ั คงปลอดภยั ของขอ มลู ทเ่ี หมาะสม เพอ่ื ปอ งกนั การสญู หาย เขา ถงึ ใช เปลย่ี นแปลง หรอื เปด เผยขอ มลู สว นบคุ คลโดยปราศจาก 3. จดั ทำบันทึกรายการประมวลผล อำนาจหรือโดยมิชอบ รวมทั้งแจง ใหผ ูค วบคุมขอ มลู สว นบคุ คลทราบถึงเหตุ ขอ มลู สวนบคุ คล การละเมดิ ขอ มลู สว นบคุ คลทเ่ี กดิ ขน้ึ ตวั อยา งเชน ตอ งมกี ารกำหนดการเขา ถงึ 4. ทำขอ ตกลงการประมวลผลขอ มลู ขอ มลู ของลกู จา งในบรษิ ทั วา ในกจิ กรรมนน้ั ๆ ฝา ยใดมสี ทิ ธใิ นการเขา ถงึ บา ง สว นบุคคล มรี ะดบั การเขา ถงึ อยา งไร หรอื ในกรณที ม่ี กี ารเกบ็ ในรปู แบบเอกสาร Hard copy มีการเก็บเขา แฟม ตูเอกสารหรือมกี ารล็อคกญุ แจหรอื ไม จัดทำและเกบ็ รักษาบันทกึ รายการของกจิ กรรมการประมวลผลขอมูลสวน บคุ คลไวต ามหลักเกณฑและวธิ ีการทคี่ ณะกรรม การประกาศกำหนด การดำเนินงานตามหนาที่ของผูประมวลผลขอมูลสวนบุคคลตามที่ไดรับ มอบหมายจากผคู วบคมุ ขอ มลู สว นบคุ คล ผคู วบคมุ ขอ มลู สว นบคุ คลตอ งจดั ใหม ขี อ ตกลงระหวา งกนั เพอ่ื ควบคมุ การดำเนนิ งานตามหนา ทข่ี องผปู ระมวลผล ขอ มลู สว นบคุ คลใหเ ปน ไปตาม PDPA 2.4 เจา หนาที่คุมครองขอมลู สวนบุคคล (Data Protection Officer) ตามมาตรา 41 พระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คล พ.ศ. 2562 ผคู วบคมุ ขอ มลู สว นบคุ คลและผปู ระมวลผล ขอมลู สว นบุคคลตอ งจัดใหมี เจา หนา ท่ีคุมครองขอมูลสว นบุคคลของตน ในกรณีดังตอ ไปน้ี 1. ผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผลขอมูลสวนบุคคลเปนหนวยงานของรัฐตามที่ คณะกรรมการ ประกาศกำหนด 2. การดำเนินกิจกรรมของผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผลขอมูลสวนบุคคล ในการเก็บรวบรวม ใช หรือเปด เผย จำเปน ตอ งตรวจสอบขอมูลสว นบุคคลหรอื ระบบอยางสมำ่ เสมอ โดยเหตทุ ่มี ีขอ มลู สว นบุคคลเปน จำนวนมาก ตามทีค่ ณะกรรมการประกาศกำหนด 3. กิจกรรมหลักของผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผลขอมูลสวนบุคคลเปน การเก็บรวบรวม ใช หรือ เปดเผยขอมูลสวนบุคคลเกี่ยวขอมูลสวนบุคคลประเภทออนไหวตามมาตรา 26 ในกรณีที่ผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผลขอมูลสวนบุคคลอยูในเครือกิจการ หรือเครือธุรกิจเดียวกัน เพื่อการประกอบกิจการหรือธุรกิจรวมกันตามที่คณะกรรมการประกาศกำหนด ตามมาตรา 29 วรรคสอง ผูควบคุมขอมูล สว นบคุ คลหรอื ผปู ระมวลผลขอ มูลสว นบคุ คลดังกลาว อาจจัดใหมเี จาหนาท่ีคุม ครองขอ มูลสวนบคุ คลรวมกนั ได ทัง้ นี้ สถาน ที่ทำการแตละแหงของผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผลขอมูลสวนบุคคลที่อยูในเครือกิจการหรือเครือธุรกิจ เดียวกันดังกลา ว ตอ งสามารถติดตอกับเจาหนา ทค่ี ุม ครองขอมูลสว นบคุ คลไดโดยงา ย และในสว นของการกำหนดคณุ สมบตั ิ ของเจาหนาที่คุมครองขอมูลสวนบุคคลนั้น อยูในขั้นตอนของการจัดทำกฎหมายลำดับรอง โดยคำนึงถึงความรูหรือความ เชี่ยวชาญเกยี่ วกับการคมุ ครองขอมูลสวนบคุ คล 11

คณุ สมบตั แิ ละหนา ทข่ี องเจา หนา ทค่ี มุ ครองขอ มลู สว นบคุ คล นน้ั จะเปน พนกั งาน ผรู บั จา งของผคู วบคมุ ขอ มลู สว นบคุ คล หรือผูประมวลผลขอมูลสวนบุคคล โดยอาจจะเปนคนเดียวหรือคณะทำงานก็ได เจาหนาที่คุมครองขอมูลสวนบุคคลมีสิทธิ เขาถึงขอมูลสวนบุคคลและรายละเอียดการประมวลผลขอมูลสวนบุคคลภายในองคกรโดยไดรับการสนับสนุนที่เพียงพอ ดา นอปุ กรณ เครอ่ื งมอื งบประมาณ และอำนวยความสะดวกในการเขา ถงึ ขอ มลู สว นบคุ คล และไดร บั ความคมุ ครองจากการ ถูกเลกิ จางดวยเหตทุ ีป่ ฏิบตั ิหนา ทตี่ าม PDPA รวมถงึ ตอ งสามารถรายงานถงึ ผบู รหิ ารสงู สุดขององคกรไดโ ดยตรง หนา ท่ีของเจาหนาทีค่ ุมครองขอมลู สว นบคุ คล มีดงั นี้ หนาท่ี รายละเอียด 1. ใหคำแนะนำ ใหค ำแนะนำแกผ คู วบคมุ ขอ มลู สว นบคุ คลหรอื ผปู ระมวลผลขอ มลู สว นบคุ คล 2. ตรวจสอบการดำเนินการ รวมทัง้ ลูกจางหรอื ผูร บั จางของผคู วบคุมขอมูลสว นบคุ คลหรอื ผูประมวลผล ขอมลู สวนบคุ คล 3.ประสานงานและใหค วามรวมมือ กบั สำนกั งาน ตรวจสอบการดำเนินงานของผูควบคุมขอมูลสวนบุคคลหรือผูประมวลผล 4.รกั ษาความลบั ของขอ มูล ขอมูลสวนบุคคล รวมทงั้ ลกู จางหรอื ผูรบั จา งของผูค วบคุมขอ มลู สว นบคุ คล หรอื ผปู ระมวลผลขอ มลู สว นบคุ คลเกย่ี วกบั การเกบ็ รวบรวม ใช หรอื เปด เผย ขอ มูลสวนบุคคลเพ่ือใหเ ปน ไปตาม PDPA ประสานงานและใหความรวมมือกับสำนักงานในกรณีที่มีปญหาเกี่ยวกับ การเกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู สว นบคุ คลของผคู วบคมุ ขอ มลู สว นบคุ คล หรอื ผปู ระมวลผลขอ มลู สวนบคุ คล รักษาความลับของขอมูลสวนบุคคลที่ตนลวงรูหรือไดมา เนื่องจากการ ปฏบิ ัตหิ นา ท่ี 12

บทท่ี 3 หลักการคมุ ครองขอมลู สวนบุคคลกับการคมุ ครองแรงงาน 1. หลกั 7 ประการ การคมุ ครองขอ มลู สว นบคุ คลและการคุมครองแรงงาน มีดังนี้ หลกั การที่ 1 : ถูกกฎหมาย เปนธรรม และ โปรงใส (Lawfulness Fairness and Transparency) การประมวลผลขอ มลู สวนบุคคลจะมีข้นึ ไดเ ฉพาะกรณีทก่ี ารประมวลผลขอมลู สว นบคุ คลนั้นมีเหตผุ ลความจำเปน ทส่ี ามารถอา งองิ ฐานการประมวลผลทางกฎหมาย (Lawful Basis) ทก่ี ฎหมายรบั รอง โดยจะตอ งมกี ารประกาศและแสดงตอ ลูกจางทราบถึงเหตุผลความจำเปนและวัตถุประสงคในการประมวลผลขอมูลสวนบุคคลอยางเปดเผย และงายตอการ ทำความเขาใจเพื่อใหลูกจางสามารถตัดสินใจตอการประมวลผลขอมูลที่อาจกระทบตอสิทธิความเปนสวนตัวของตนได ตวั อยา งเชน การเกบ็ ขอ มลู ทะเบยี นลกู จา ง สามารถใชฐ าน การปฏบิ ตั ติ ามกฎหมาย 24(6) (Legal obligation) ในการจดั เกบ็ ขอ มลู ของลกู จา งได หลักการที่ 2 : จำกดั วตั ถุประสงค (Purpose Limitation) การประมวลผลขอมูลสวนบคุ คลสามารถกระทำไดอยา งจำกัดเทา ทีจ่ ำเปนภายใตข อบเขตวัตถปุ ระสงคท ีแ่ จงไวก ับ ลกู คา เพอ่ื ใหก ารประมวลผลขอ มลู สว นบคุ คลสอดคลอ งตามหลกั ความชอบดว ยกฎหมาย เปน ธรรม และโปรง ใสอยา งแทจ รงิ เวน แตก รณที ม่ี วี ตั ถปุ ระสงคใ หมแ ละวตั ถปุ ระสงคน น้ั เกย่ี วขอ งหรอื สอดคลอ งกบั วตั ถปุ ระสงคเ ดมิ ตวั อยา งเชน การเกบ็ ขอ มลู สุขภาพของลูกจาง เพื่อใชในการดำเนินการเปนเอกสารอางอิงประกอบการลาปวย เมื่อปวยเกิน 3 วัน ตามกฎหมาย คุมครองแรงงาน นายจางหรือบริษัท ไมสามารถนำขอมูลดังกลาวไปใชนอกวัตถุประสงคนอกเหนือจากการใชเปนเอกสาร ประกอบการลาได เวน แตไ ดรบั ความยินยอมจากลูกจา ง หลักการท่ี 3 : การใชข อ มลู อยางจำกดั (Data Minimization) การประมวลผล เกบ็ รวบรวม ใช เปด เผย และ ระยะเวลาเกบ็ ขอ มลู ควรดำเนนิ การเทา ทจ่ี ำเปน ภายใตว ตั ถปุ ระสงค อันชอบดวยกฎหมายตามมาตรา 22 และควรพิจารณาอยางรอบคอบ ตัวอยางเชน การจัดเก็บสำเนาบัตรประชาชน ซึ่งมี ขอมูลศาสนาซึ่งเปนขอมูลออนไหวตามมาตรา 26 นายจางตองพิจารณาวาการเก็บขอมูลศาสนาดังกลาว นายจางมีความ จำเปน ตอ งเกบ็ หรือไม เพราะถาหากไมม ีความจำเปน ในการเกบ็ แลว ควรมมี าตรการ เชน การถมดำ หรือ การขีดฆาขอมูล ศาสนา เพอื่ เปนการลดภาระและปญ หาทตี่ ามมากการเกบ็ ขอ มูลออนไหว หลกั การที่ 4 : ความถูกตอ งของขอ มูล (Data Accuracy) ขอมลู สวนบุคคลควรมีความถกู ตอ ง สมบรู ณ และเปน ปจ จบุ นั ผคู วบคมุ ขอ มลู สวนบคุ คล หรือ Data Controller จะตองดำเนินการเพื่อใหแนใจวา ขอมูลสวนบุคคลที่ไมถูกตองจะถูกลบ หรือแกไขโดยไมชักชา และควรมีการจัดชองทาง การติดตอท่งี าย สะดวก รวดเร็วในการขอใชสทิ ธิในการขอแกไ ขขอ มลู สวนบุคคลใหถูกตองสมบูรณและทนั สมยั ดวย หลักการท่ี 5 : การจำกดั การจดั เกบ็ ขอมูล (Storage Limitation) ขอมูลสวนบุคคลจะตองเก็บในระยะเวลาที่เหมาะสม เพื่อใหเปนไปวัตถุประสงคในการประมวลผลขอมูล หรือ ตามกฎหมายอน่ื ๆ ตวั อยา งเชน ในกจิ กรรมการจดั ทำทะเบยี นลกู จา ง ตามพระราชบญั ญตั คิ มุ ครองแรงงาน มาตรา 115 ได 13

มีการกำหนดระยะเวลาการจัดเก็บขอมูลของลูกจางใหจัดเก็บไวไมเกิน 2 ป นับแตวันที่สิ้นสุดกาจางแตละราย จะเห็นได ชัดวา การกำหนดระยะเวลาการทำลายขอมูลดังกลาวตามกฎหมายคุมครองแรงงานไดเขามามีบทบาทในการกำหนด รายละเอียดการทำลายขอมูลสวนบุคคล ดังนั้น นายจางหรือผูควบคุมขอมูลสวนบุคคล มีหนาที่ในการดำเนินการลบ หรือ ทำลาย เม่ือสิน้ ระยะเวลาการจดั เกบ็ ดงั กลา ว หลักการที่ 6 : การธำรงไวซ ง่ึ ความลับและความสมบูรณของขอมลู (Integrity and Confidentiality) ขอมูลสวนบุคคลที่มีการเก็บรวบรวมนั้นจะตองมีความสมบูรณ ไมผิดเพี้ยนหรือเกิดเหตุที่ทำใหขอมูลขาดหายลบ เลือนจากการจัดเก็บ มีการเก็บขอมูลสวนบุคคลอยางเปนความลับ บุคคลอื่นที่ไมเกี่ยวของตองไมสามารถเขาถึงขอมูลได โดยไมม สี ิทธิ รวมทั้งขอมลู ตองมคี วามพรอมใชงาน กลาวคือ แมเ กดิ สภาวะใดท่ที ำใหไ มส ามารถใชงานขอมูลสวนบคุ คลนน้ั ไดช ว่ั คราว เชน ไฟดบั ตดิ ไวรสั ถกู เขา รหสั ถกู ขโมยอปุ กรณบ นั ทกึ ขอ มลู เปน ตน กต็ อ งมมี าตรการทท่ี ำใหข อ มลู สว นบคุ คล ที่มีการจัดเก็บยังสามารถนำมาใชงานไดเสมือนหนึ่งวาไมไดเกิดเหตุการณดังกลาว หลักการที่ 7 : ความรับผดิ ชอบ (Accountability) ความรับผิดชอบทางกฎหมายตามมาตรา 81 ในกรณีที่ผูกระทำความผิดตามพระราชบัญญัตินี้เปนนิติบุคคล ถาการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผูจัดการ บุคคลใดซึ่งรับผิด ชอบในการดำเนินงานของนิติบุคคลนั้น หรือ ในกรณีที่บุคคลดังกลาวมีหนาที่ตองสั่งการหรือกระทำการ และ ละเวนไมสั่ง การหรอื ไมก ระทำการจนเปน เหตใุ หน ติ บิ คุ คลนน้ั กระทำความผดิ ผนู น้ั ตอ งรบั โทษตามทบ่ี ญั ญตั ไิ วส ำหรบั ความผดิ นน้ั ๆ ดว ย 2. ฐานทางกฎหมาย มาตรา 24 ในการประมวลผลขอ มูลสว นบคุ คลที่เกี่ยวกบั การคมุ ครองแรงงาน มี 7 ฐาน ดงั ตอ ไปน้ี 1. ฐานความยนิ ยอม (มาตรา 19 และ มาตรา 24) มาตรา 19 หามมิใหผูควบคุมขอมูลสวนบุคคลทำการเก็บรวบรวมขอมูลสวนบุคคลโดยไมไดรับความยินยอมจาก เจาของขอมลู สว นบุคคล 1) การขอความยินยอมจากเจา ของขอ มูลจะตองขอกอนหรือในขณะท่ีประมวลผลขอ มลู สวนบคุ คล 2) การขอความยินยอมตองทำโดยชัดแจง 3) แจง วตั ถุประสงคอยางชดั เจน 4) ตอ งไมเปน สวนหนึ่งของสัญญา 5) เขา ถงึ ไดงา ย เขาใจงา ย 6) การใหค วามยินยอมตอ งมคี วามอิสระ 7) ตอ งถอดถอนงา ยและจะถอนความยนิ ยอมเมอ่ื ใดกไ็ ด โดยบทเฉพาะกาล มาตรา 95 ผคู วบคมุ ขอ มลู สามารถเกบ็ และใชขอมูลสวนบุคคลที่เก็บรวบรวมไวกอนที่ PDPA จะมีผลบังคับใชนั้นตอไปไดตามวัตถุประสงคเดิมและตองกำหนดวิธี การยกเลกิ ความยนิ ยอมและประชาสมั พนั ธใ หเ จา ของขอ มลู ทไ่ี มป ระสงคใ หผ คู วบคมุ ขอ มลู สว นบคุ คล เกบ็ รวบรวม ใช และ เปดเผย ขอมูลสวนบุคคลดังกลาวจะตองสามารถแจงยกเลิกความยินยอมไดโดยงาย เชน ผานเว็บไซต แตมีขอควรระวัง ในบรษิ ทั ในเรอ่ื งของความสมั พนั ธร ะหวา ง นายจา งและลกู จา งเพราะเปน ความสมั พนั ธท ไ่ี มเ ทา เทยี มกนั อาจเกดิ ความไมเ ปน อสิ ระ 14

มาตรา 20 การขอความยนิ ยอมกรณที ่ีเจา ของขอมลู สวนบคุ คลเปน บคุ คลหยอนความสามารถ 1) ผเู ยาวอ ายุไมเ กิน 10 ป ใหขอความยนิ ยอมจาก ผูใ ชอำนาจปกครอง 2) ผเู ยาวอ ายุ 10 – 20 ป อาจใหค วามยนิ ยอมโดยลำพงั หรอื จาก ผใู ชอ ำนาจปกครองผเู ยาวด ว ย แลว แตก รณี 3) คนเสมือนไรความสามารถ ใหข อความยินยอมจาก ผพู ิทักษ 4) คนไรค วามสามารถ ใหขอความยินยอมจาก ผูอ นบุ าล มาตรา 24 หา มมใิ หผ คู วบคมุ ขอ มลู สว นบคุ คลทำการเกบ็ รวบรวมขอ มลู สว นบคุ คลโดยไมไ ดร บั ความยนิ ยอมจากเจา ของขอ มลู สวนบุคคล เวน แต 2. ฐานปฏิบตั ติ ามสัญญา ฐานสัญญาถือเปนฐานทจ่ี ำเปน เพื่อการปฏบิ ัตติ ามสัญญาและใชในการดำเนนิ การตามคำขอของเจาของขอ มลู สว น บุคคลกอนเขาทำสัญญา เชน การขอสินเชื่อเพื่อเปดบัญชีเงินฝาก การใหสินเชื่อ การทวงถามหนี้สินที่ตองประมวลขอมูล การเงนิ โดยฐานปฏบิ ตั ติ ามสญั ญา จำเปน เพอ่ื ปฏบิ ตั ติ ามสญั ญาโดยตรงทง้ั กอ นและขณะเขา ทำสญั ญาทางการคา แมไ มไ ดร ะบุ เปนเงื่อนไขในสญั ญา เฉพาะขอมูลสวนบุคคลทัว่ ไปของเจา ของขอ มูลคูส ญั ญาเทา นั้นเมอื่ เขาฐานปฏิบัติตามสญั ญาก็ไมต อ ง ขอความยนิ ยอมเพิม่ เตมิ และเมอ่ื ไมใชฐานความยนิ ยอม จึงไมอาจถอนความยินยอมได 3. ฐานการปฏบิ ัตหิ นา ทต่ี ามกฎหมายของผูค วบคมุ ขอ มลู สว นบคุ คล ในฐานนี้มี “ความจำเปน” ตามกฎหมาย ไมใชทางเลือกเปนหนาที่ของผูควบคุมขอมูลสวนบุคคล แตเปนหนาที่ ตามบทบัญญัติแหงกฎหมายที่ตองปฏิบัติตามคำสั่งของหนวยงานรัฐที่มีอำนาจ ตวั อยา ง พ.ร.บ.คมุ ครองแรงงาน บรษิ ทั มหี นา ทย่ี น่ื ภาษใี หก รมสรรพากรและกรมฯ อาจขอใหบ รษิ ทั เปด เผยขอ มลู ตามบทบญั ญตั แิ หง ประมวลรษั ฎากรหมวด 3 มาตรา 76 นายจา งจำเปน ตอ งประมวลผลขอ มลู สว นบคุ คลโดยอาศยั ชอ่ื สกลุ เลขทบ่ี ตั รประชาชน เลขทผ่ี เู สยี ภาษี ตามมาตรา 113 (ทะเบยี นลกู จา ง) ดงั นน้ั นายจา งเกบ็ รวบรวม ขอ มลู สว นบคุ คล ชอ่ื สกลุ สัญชาติ เพศ วันเดือนปเกิด ที่อยู เงินเดือน ตำแหนง วันที่เริ่มจาง และวันที่สิ้นสุดการจางงาน เพื่อจัดทำทะเบียนลูกจาง ไดตามกฎหมาย 4. ฐานผลประโยชนส าธารณะ อำนาจรฐั ผปู ระมวลผลขอ มลู ตามฐานนม้ี กั เปน เจา หนา ท่ี หรอื องคก รของรฐั ทป่ี ฏบิ ตั ภิ ารกจิ ตามกฎหมาย รวมถงึ หนว ยงาน เอกชนหากการประมวลผลขอมูลนั้นมีความจำเปนตามอำนาจของรัฐหรือเปนไปเพื่อ ประโยชนสาธารณะที่กำหนดไวตาม กฎหมายของภารกจิ จะตอ งมคี วามชดั เจนโดยสามารถอา งองิ ถงึ กฎหมายทใ่ี หอ ำนาจไดอ ยา งเฉพาะเจาะจง เชน กรมสรรพากร คำนวณขอ มลู เงนิ เดอื นลกู จา งเพอ่ื ตรวจสอบรายการทย่ี น่ื ภาษี 5. ฐานผลประโยชนอ ันชอบธรรมดวยกฎหมาย ผูประมวลผลขอมูลสวนบุคคลจะตองใชฐานนี้ในกรณีที่จำเปนตอการดำเนินการเพื่อประโยชนอันชอบธรรมของ ผูควบคุมขอมูล และเปนไปอยางสมเหตุสมผล เชน การตรวจสอบอาชญากรรมและการฉอโกง อันสงผลตอหนวยงานหรือ เปนการชว ยเหลือเจา หนาทร่ี ัฐตามกฎหมาย ในฐานน้ีตามกฎหมายมาตรา 24 มหี ลัก 3 ขอ (1) จะตองอยใู นความคาดหมายของเจา ของขอ มลู (2) มคี วามเสย่ี งตอการกระทบสทิ ธิเสรภี าพของเจาของขอมูลในระดับตำ่ (3) มีความชอบธรรม (สำคัญ) 15

6. ฐานระงับอนั ตรายตอชีวติ สุขภาพ รางกายของบคุ คล ฐานระงบั อนั ตรายตอ ชวี ติ สขุ ภาพ รา งกายของบคุ คล กรณที ม่ี เี หตจุ ำเปน ตอ งใชข อ มลู ละเอยี ดออ น หรอื sensitive data เชน หมูเลือด ขอมูลสุขภาพ สามารถใชไดกรณีที่เจาของขอมูลไมสามารถใหความยินยอมได เชน เจาของขอมูลสวนบุคคล เกดิ อบุ ตั เิ หตุ แตห ากขอความยนิ ยอมไดค วรขอกอ น ตามมาตรา 24 เปน ขอ มลู ทว่ั ไป และมาตรา 26 เปน ขอ มลู ละเอยี ดออ น 7. ฐานการจดั ทำเอกสารประวตั ิศาสตร-วิจยั -สถิติ ในฐานจดหมายเหตุ วิจัย สถิติ นี้ไมมีใน GDPR แตอยางไรก็ตามควรเปนไปตามมาตรฐานการวิจัย เปนการเก็บ รวบรวม จัดเก็บขอ มูลเพือ่ การจัดทำเอกสารทางประวตั ศิ าสตร หรอื งานวิจัย หรอื งานสถิติ ซ่ึงจะตอ งมกี ารระบุชดั เจน 3. ฐานทางกฎหมาย มาตรา 26 ในการประมวลผลขอมูลสวนบุคคลละเอียดออนกับการคุมครองแรงงาน มี 6 ฐาน ดังตอไปน้ี 1. ฐานความยนิ ยอม (มาตรา 19 และ มาตรา 26) หามมใิ หผูค วบคุมขอมลู สว นบุคคลทำการเก็บรวบรวมขอ มูลสวนบุคคลโดยไมไ ดรับความยินยอมจาก เจา ของ ขอ มูลสวนบคุ คล 1) การขอความยนิ ยอมจากเจา ของขอมูลจะตองขอกอนหรอื ในขณะที่ประมวลผลขอ มูลสวนบุคคล 2) การขอความยนิ ยอมตองทำโดยชดั แจง 3) แจงวัตถปุ ระสงคอยา งชัดเจน 4) ตอ งไมเปนสวนหน่ึงของสัญญา 5) เขา ถึงไดง า ย เขา ใจงา ย 6) การใหความยนิ ยอมตอ งมีความอสิ ระ 7) ตอ งถอดถอนงายและจะถอนความยนิ ยอมเมื่อใดกไ็ ด โดยบทเฉพาะกาล มาตรา 95 ควบคุม ขอมูลสามารถเก็บและใชขอมูลสวนบุคคลที่เก็บรวบรวมไวกอนที่ PDPA จะมีผลบังคับใชนั้นตอไปไดตามวัตถุประสงคเดิม และตองกำหนดวิธีการยกเลิกความยินยอมและประชาสัมพันธใหเจาของขอมูลที่ไมประสงคใหผูควบคุมขอมูลสวนบุคคล เกบ็ รวบรวม ใช และเปด เผย ขอ มลู สว น บคุ คลดงั กลา วจะตอ งสามารถแจง ยกเลกิ ความยนิ ยอมไดโ ดยงา ย เชน ผา นเวบ็ ไซต แตมีขอควรระวัง ในบริษัทในเรื่องของความสัมพันธระหวาง นายจางและลูกจางเพราะเปนความสัมพันธที่ไมเทาเทียมกัน อาจเกดิ ความไมเ ปน อสิ ระ ตวั อยา ง กรณที ค่ี วามยนิ ยอมในการประมวลเปน ประโยชนแ กล กู จา ง เชน บรษิ ทั มอบผลประโยชน บางอยา งแกส มาชกิ ในครอบครัว มาตรา 20 การขอความยนิ ยอมกรณีทีเ่ จาของขอ มลู สว นบคุ คลเปนบุคคลหยอ นความสามารถ 1) ผเู ยาวอายุไมเ กนิ 10 ป ใหขอความยนิ ยอมจาก ผใู ชอำนาจปกครอง 2) ผเู ยาวอ ายุ 10 – 20 ป ใหข อความยนิ ยอมจาก ผูใ ชอำนาจปกครองผเู ยาวดวย แลว แตกรณี 3) คนเสมือนไรค วามสามารถ ใหข อความยินยอมจาก ผูพิทักษ 4) คนไรค วามสามารถ ใหขอความยินยอมจาก ผูอนุบาล มาตรา 26 หา มมใิ หผ คู วบคมุ ขอ มลู สว นบคุ คลทำการเกบ็ รวบรวมขอ มลู สว นบคุ คลโดยไมไ ดร บั ความยนิ ยอม โดยชดั แจง จากเจา ของขอ มลู สว นบคุ คล เวน แต… ….. 16

2. ฐานปอ งกนั หรอื ระงบั อนั ตรายตอ ชวี ติ รา งกาย หรอื สขุ ภาพของบคุ คล ซง่ึ เจา ของขอ มลู สว นบคุ คลไมส ามารถ ใหความยินยอมได ฐานระงับอันตรายตอรางกายสุขภาพและชีวิตกรณีที่มีเหตุจำเปนตองใชขอมูลละเอียดออนหรือ sensitive data เชน กรปุ เลอื ด ขอ มลู สขุ ภาพ สามารถใชไ ดก รณที เ่ี จา ของขอ มลู ไมส ามารถใหค วามยนิ ยอมได เชน เจา ของ ขอ มลู สว นบคุ คลเกดิ อบุ ตั เิ หตุ แตห ากขอความยนิ ยอมไดค วรขอกอ น ตามมาตรา 24 เปน ขอ มลู ทว่ั ไป และมาตรา 26 เปน ขอมลู ละเอียดออ น 3. ฐานการดำเนนิ กจิ กรรมโดยชอบดวยกฎหมายทม่ี ีการคมุ ครองท่เี หมาะสมของมลู นิธิ สมาคม หรือองคก รที่ ไมแ สวงหากำไร ทม่ี วี ตั ถปุ ระสงคเ กย่ี วกบั การเมอื ง ศาสนา ปรชั ญา สหภาพแรงงาน โดยตอ งไมเ ปด เผยไปสบู คุ คลภายนอก 4. ขอมลู ทเี่ ปด เผยตอสาธารณะดว ยความยนิ ยอมโดยชดั แจง ของเจาของขอมูลสว นบคุ คล 5. จำเปน เพ่อื การกอ ตง้ั สิทธิเรียกรองตามกฎหมาย การปฏิบตั ิตาม หรือการใชสิทธเิ รยี กรองตามกฎหมาย หรือ การยกข้ึนตอ สูสิทธเิ รยี กรองตามกฎหมาย 6. จำเปน ตอ งปฏบิ ตั ติ ามกฎหมาย เฉพาะทเ่ี กย่ี วกบั เวชศาสตรป อ งกนั หรอื อาชวี เวชศาสตรก ารประเมนิ ความสามารถ ในการทำงานของลกู จา ง การวนิ ิจฉยั โรคทางการแพทย การใหบรกิ ารดา นสขุ ภาพหรอื ดา นสังคม การรักษาทางการแพทย การจดั การดา นสขุ ภาพ หรอื ระบบและการใชบ รกิ ารดา นสงั คมสงเคราะห ประโยชนส าธารณะดา นสาธารณสขุ การคมุ ครอง แรงงาน การประกันสังคม หลักประกันสุขภาพแหงชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผูมีสิทธิตามกฎหมาย การคมุ ครองผปู ระสบภัยจากรถ หรอื การคุมครองทางสงั คม การศึกษาวิจยั ทางวทิ ยาศาสตร ประวัตศิ าสตร หรือสถิติ หรือ ประโยชนส าธารณะอนื่ ทีส่ ำคญั 4. สิทธขิ องเจา ของขอมลู สทิ ธขิ องเจาของขอ มูลสว นบคุ คล มี 9 ขอ ดังนี้ 1. สิทธิในการถอนความยนิ ยอม ตามมาตรา 19 วรรค 5 กำหนดไวด งั น้ี 1) การถอนความยนิ ยอมจะตอ งถอนเมื่อใดก็ได 2) ตอ งถอนไดโ ดยวิธีท่ีงา ยเหมอื นเมอ่ื ตอนใหค วามยินยอม 3) การถอนตองไมมีผลยอ นหลังและไมสง ผลตอ การประมวลผลที่ยนิ ยอมไปแลว 4) ถาขอมูลติดฐานอนื่ เชน ฐานสญั ญา ฐานปฏบิ ัตติ ามกฎหมายจะไมส ามารถถอนความยินยอมได นายจา งตอ งแจง ลกู จา งหากลกู จา งไดใ หค วามยนิ ยอมใหบ รษิ ทั เกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู สว นบคุ คล (ไมวาจะเปนความยินยอมที่ลูกจางใหไวกอนวันที่กฎหมายคุมครองขอมูลสวนบุคคลใชบังคับหรือหลังจากนั้น) ลูกจางมี สิทธิที่จะถอนความยินยอมเมื่อใดก็ไดตลอดระยะเวลาที่ขอมูลสวนบุคคลอยูกับนายจาง เวนแตมีขอจำกัดสิทธินั้นโดย กฎหมายหรอื มสี ญั ญาท่ีใหป ระโยชนอ ยู ทง้ั น้ี นายจา งควรแจง รายละเอยี ดวา การถอนความยนิ ยอมอาจสง ผลกระทบตอ การใชผ ลติ ภณั ฑ และ/หรอื บรกิ ารตา งๆ เชน จะไมไ ดร บั สทิ ธปิ ระโยชน โปรโมชนั หรอื ขอ เสนอใหม ๆ ไมไ ดร บั ผลติ ภณั ฑห รอื บรกิ ารทด่ี ยี ง่ิ ขน้ึ และสอดคลอ งกบั ความ ตอ งการ หรือไมไ ดร ับขอ มลู ขา วสารอันเปน ประโยชน 17

2. สทิ ธิขอเขา ถึงขอ มูลสวนบุคคล สิทธขิ อเขา ถงึ ขอ มลู สวนบุคคล ตามมาตรา 30 มีดงั นี้ 1) สิทธิขอเขาถึงและขอรับสำเนาขอมูล ที่เกี่ยวกับตน หรือ ขอใหเปดเผยถึงการไดมาซึ่งขอมูลที่ไมไดให ความยินยอม 2) ตองทำตามคำขอโดยไมชักชาไมเกินระยะเวลา 30 วันนับแตวันที่ไดรับคำขอ 3) สามารถปฏิเสธไดหากเปนไปตามกฎหมายหรือคำสั่งศาล 4) หากสามารถปฏิเสธได ตองบันทึกการปฏิเสธคำขอพรอมเหตุผลไวในรายการ มาตรา 39 ลูกจางมีสิทธิในการเขาถึงขอมูลสวนบุคคลของตน และขอใหนายจางทำสำเนาขอมูลสวนบุคคลดังกลาว ให รวมถึงขอใหนายจางเปดเผยการไดมาซึ่งขอมูลสวนบุคคลที่อยูในความครอบครองของบริษัท ทั้งนี้ นายจางอาจปฏิเสธ คำขอหากการเขาถึง และขอรับสำเนาขอมูลสวนบุคคลนั้นจะสงผลกระทบตอสิทธิ และเสรีภาพของบุคคลอื่น หรือ นายจางตองปฏิบัติตามกฎหมาย หรือคำสั่งศาลที่หามเปดเผยขอมูลสวนบุคคลนั้น 3. สิทธใิ นการไดรบั แจง ลูกจางมีสทิ ธใิ นการทีจ่ ะไดทราบถงึ รายละเอยี ดเก่ียวกับการใชขอ มูลของผคู วบคมุ ขอ มลู สวนบุคคลหรือเหตุการณตางๆ โดยตองทำการแจงกอน หรือขณะที่การประมวลผลขอมูลสวนบุคคลนั้นจะเริ่มมีขึ้น เพื่อ ลูกจางสามารถตัดสินใจเกี่ยวกับขอมูลอันอาจกระทบตอสิทธิความเปนสวนตัวของตนได ในแงนี้ สิทธิดังกลาวจึงเรียกรอง ใหน ายจา งจดั ใหม กี ารแจง ดว ยการสอ่ื สารทช่ี ดั เจนและเขา ใจงา ย โดยลกู จา งตอ งไดร บั การแจง ใหท ราบรายละเอยี ดกอ นหรอื ขณะเก็บขอ มลู ตามมาตรา 23 ดังนี้ 1) วตั ถุประสงคในการเกบ็ และฐานทางกฎหมาย 2) กรณตี องใชขอ มลู สวนบคุ คล เพอ่ื ปฏบิ ตั ิตามกฎหมายหรอื ตามสัญญา และผลกระทบหากไมใหข อมลู 3) การเกบ็ ขอมลู นัน้ เปนการเกบ็ ขอมูลอะไร เก็บนานเทาไหร 4) จะมีการเปดเผยขอ มลู ใหหนว ยงานหรือบคุ คลใดบาง 5) ขอ มลู เกย่ี วกบั ผคู วบคมุ ขอ มลู สว นบคุ คล สถานทต่ี ดิ ตอ วธิ กี ารตดิ ตอ รวมถงึ รายละเอยี ดของผเู ปน DPO (เจา หนาท่คี มุ ครองขอ มูลสว นบุคคล) 6) สิทธขิ องเจา ของขอ มูลสวนบคุ คล 4. สทิ ธใิ นการโอนยา ยขอ มลู เจา ของขอ มลู มสี ทิ ธขิ อรบั ขอ มลู จากผคู วบคมุ ขอ มลู ถา ขอ มลู อยใู นรปู แบบทส่ี ามารถ อานไดและใชงานไดดวยเครื่องมือหรืออุปกรณที่ทำงานไดโดยอัตโนมัติ และสามารถใชหรือเปดเผยขอมูลไดดวยวิธีการ อัตโนมัติ ตามมาตรา 31 สามารถทำไดด งั นี้ 1) ขอใหสงขอ มูลไปยังผคู วบคุมขอ มลู สว นบุคคลอนื่ 2) ขอรับขอมูลที่สงหรือโอนไปใหผูควบคุมขอมูลอื่นแตจะใชไดเฉพาะฐานยินยอมและฐานสัญญา หรือ ฐานอื่นใดตามที่คณะกรรมการประกาศกำหนด แตจะใชไมไดกับฐานปฏิบัติหนาที่ตามกฎหมายหรือการปฏิบัติหนาที่เพื่อ ประโยชนสาธารณะและหากเปนการกระทบกระเทือนสิทธิ เสรีภาพผูอื่น มีสิทธิปฏิเสธคำขอและตองบันทึกเหตุผลไวใน รายการตามมาตรา 39 นายจางมีสิทธิขอรับขอมูลสวนบุคคลของลูกจาง ในกรณีที่บริษัทไดจัดทำขอมูลสวนบุคคลนั้นอยูในรูป แบบใหส ามารถอา นหรอื ใชง านไดด ว ยเครอ่ื งมอื หรอื อปุ กรณท ท่ี ำงานไดโ ดยอตั โนมตั ิ และสามารถใชห รอื เปด เผยขอ มลู สว น บุคคลไดดวยวิธีการอัตโนมัติ รวมทั้งมีสิทธิขอใหนายจางสงหรือโอนขอมูลสวนบุคคลในรูปแบบดังกลาวไปยังผูควบคุม ขอมูลสวนบุคคลอื่นเมื่อสามารถทำไดดวยวิธีการอัตโนมัติ และมีสิทธิขอรับขอมูลสวนบุคคลที่บริษัทสงหรือโอนขอมูลสวน บุคคลในรูปแบบดังกลาวไปยังผูควบคุมขอมูลสวนบุคคลอื่นโดยตรง เวนแตไมสามารถดำเนินการไดเพราะเหตุทางเทคนิค 18

ทง้ั น้ี ขอ มลู สว นบคุ คลของลกู จา งขา งตน ตอ งเปน ขอ มลู สว นบคุ คลทล่ี กู จา งไดใ หค วามยนิ ยอมแกน ายจา งในการเกบ็ รวบรวม ใช และ/หรอื เปด เผย หรอื เปน ขอ มลู สว นบคุ คลทน่ี ายจา งจำเปน ตอ งเกบ็ รวบรวม ใช และ/หรอื เปด เผยเพอ่ื ใหล กู จา งสามารถ ใชผลิตภัณฑและ/หรือบริการของบริษัทไดตามความประสงคซึ่งลูกจางเปนคูสัญญาอยูกับบริษัท หรือเพื่อใชในการดำเนิน การตามคำขอกอ นใชผ ลติ ภณั ฑและ/หรือบรกิ าร หรอื เปนขอ มูลสว นบคุ คลอนื่ ตามท่ผี มู ีอำนาจตามกฎหมายกำหนด 5. สทิ ธคิ ดั คา นการใหใ ชข อ มลู ลกู จา งมสี ทิ ธใิ นการคดั คา นการเกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู สว นบคุ คลในเวลาใดกไ็ ด หากการเกบ็ รวบรวม ใช และ/หรือเปดเผยขอมูลสวนบุคคลที่ทำขึ้นเพื่อการดำเนินงานที่จำเปนภายใตประโยชนโดยชอบดวยกฎหมายของนายจาง หรอื ของบคุ คลหรอื นติ บิ คุ คลอน่ื โดยไมเ กนิ ขอบเขตทส่ี ามารถคาดหมายไดอ ยา งสมเหตสุ มผล หากยน่ื คดั คา นและนายจา งจะ ยงั คงดำเนนิ การเกบ็ รวบรวม ใช และ/หรอื เปด เผยขอ มลู สว นบคุ คลตอ ไปเฉพาะทส่ี ามารถแสดงเหตผุ ลตามกฎหมายไดว า มี ความสำคญั ยง่ิ กวา สทิ ธขิ น้ั พน้ื ฐาน หรอื เปน ไปเพอ่ื การยนื ยนั สทิ ธติ ามกฎหมาย การปฏบิ ตั ติ ามกฎหมาย หรอื การตอ สใู นการ ฟอ งรอ งตามกฎหมาย ตามแตล ะกรณี เจาของขอมลู สว นบุคคลมสี ทิ ธคิ ดั คานการเกบ็ รวบรวม ใช หรือเปด เผยขอ มลู ทเ่ี กย่ี วกบั ตนเม่ือใดก็ได ตามมาตรา 32 คดั คา นไดถ า ผคู วบคมุ ขอ มลู สว นบคุ คลเกบ็ รวบรวม โดยใชฐ านมาตรา 24 ฐาน Public Interest อนั เปน เพอ่ื การปฏบิ ตั ิ หนา ทเ่ี พอ่ื ประโยชนส าธารณะของผคู วบคมุ ขอ มลู มกี ารปฏบิ ตั หิ นา ทใ่ี นการใชอ ำนาจรฐั ฐาน Legitimate Interest ประโยชน โดยชอบดว ยกฎหมายของผคู วบคมุ ขอ มลู วตั ถปุ ระสงคเ พอ่ื การตลาดแบบตรง หรอื เพอ่ื การศกึ ษา วจิ ยั หรอื สถติ ทิ างการตลาด ในกรณที น่ี ายจา งไมส ามารถปฏเิ สธการคดั คา นได นายจา งตอ งดำเนนิ การแยกสว นขอ มลู ฯ นน้ั โดยทนั ทแี ละหา มประมวลผล โดยเดด็ ขาด 6. สทิ ธขิ อใหล บขอ มลู สทิ ธขิ อใหล บขอ มลู และสทิ ธทิ จ่ี ะถกู ลมื ตามมาตรา 33 เจา ของขอ มลู มสี ทิ ธขิ อใหล บทำลาย หรือ ทำใหข อมูลเปน ขอมลู ทไี่ มสามารถระบุตัวบคุ คลทเี่ ปน เจาของขอ มลู สวนบุคคลได ลกู จา งมสี ทิ ธขิ อลบหรอื ทำลายขอ มลู สว นบคุ คล หรอื ทำใหข อ มลู สว นบคุ คลเปน ขอ มลู ทไ่ี มส ามารถระบตุ วั บคุ คลได หากเชอ่ื วา ขอ มลู สว นบคุ คลของทา นถกู เกบ็ รวบรวม ใช หรอื เปด เผยโดยไมช อบดว ยกฎหมายทเ่ี กย่ี วขอ ง ไมไ ดข อความยนิ ยอม ไมมีฐานทางกฎหมายรองรับ เห็นวานายจางหมดความจำเปนในการเก็บรักษาไวตามวัตถุประสงคที่เกี่ยวของในประกาศ ความเปนสวนตัว หรือเมื่อไดใชสิทธิขอถอนความยินยอม หรือใชสิทธิขอคัดคานตามขางตนแลว เวนแตเปนกรณีที่ตอง ปฏิบัติตามกฎหมาย มีสัญญาผูกพัน หรือมีการใชสิทธิเรียกรองตามกฎหมายที่เกี่ยวของในการเก็บรักษาขอมูลดังกลาว 7. สทิ ธขิ อใหร ะงบั ใชข อ มลู ตามมาตรา 34 เจาของขอมูลสวนบุคคลสามารถใชสิทธิขอใหระงับใชขอมูลไดชั่วคราว ในกรณีเจาของขอมูลสวน บคุ คลขอใหผ คู วบคมุ ขอ มลู สว นบคุ คลแกไ ขขอ มลู ใหเ ปน ปจ จบุ นั หรอื อยใู นระหวา งการตรวจสอบในกรณตี า ง ๆ เชน ลกู จา ง กำลังยายบานและกังวลวาบริษัทจะสงจดหมายไปตามที่อยูเกา ระหวางกำลังตรวจสอบขอมูลที่สงสัยวาไดมาโดยมิชอบ หรอื อยรู ะหวา งการตรวจสอบการขอใชส ทิ ธคิ ดั คา นของลกู จา ง เปน ตน หรอื กรณอี น่ื ใดทบ่ี รษิ ทั หมดความจำเปน และตอ งลบ หรอื ทำลายขอมลู สว นบุคคลตามกฎหมายทีเ่ กยี่ วขอ งแตล กู จา งขอใหบ รษิ ัทระงบั การใชแทน 19

8. สทิ ธใิ นการแกไ ขขอ มลู เจา ของขอ มลู สว นบคุ คลมสี ทิ ธใิ นการแกไ ขขอ มลู ใหถ กู ตอ ง โดยปกตนิ ายจา งตอ งดำเนนิ การประมวลผลขอมูลที่ทันสมัยและถูกตองอยูเสมอ ทั้งนี้ ในบางกรณีอาจไมสามารถรับรูหรือทราบถึงขอมูล ที่ถูกตองใน กรณนี ล้ี กู จา งสามารถยน่ื คำขอใชส ทิ ธแิ กไ ขขอ มลู ใหถ กู ตอ ง ซง่ึ รวมถงึ การขอใหล บขอ มลู เดมิ และเพม่ิ เตมิ ขอ มลู ใหม เพอ่ื ใหก าร ประมวลผลเปน การใชข อ มลู ทถ่ี กู ตอ งสมบรู ณ และเปน ปจ จบุ นั โดยไมก อ ใหเ กดิ ความเขา ใจผดิ และเกดิ ประโยชนแ กล กู จา ง ในการทจ่ี ะไดร บั บรกิ ารทเ่ี หมาะสม ทง้ั ยงั ชว ยลดความเสย่ี งในการสรา งความเขา ใจผดิ ตอ ผอู น่ื ในกรณที ข่ี อ มลู ทผ่ี ดิ เกดิ การรว่ั ไหล ในการนี้เจาของขอมูลนอกจากยื่นคำขอใชสิทธิแลว จะตองแสดงใหเห็นชัดถึงขอมูลที่ถูกตอง เพื่อใหผูควบคุมดำเนิน การแกไ ข 9. สทิ ธใิ นการรอ งเรยี น เจา ของขอ มลู สว นบคุ คลมสี ทิ ธใิ นการรอ งเรยี นผคู วบคมุ ขอ มลู สว นบคุ คลและผปู ระมวลขอ มลู สว นบคุ คลของลกู จา ง (หรอื ผรู บั จา ง) กรณที ม่ี กี ารฝา ฝน หรอื ไมป ฏบิ ตั ติ าม PDPA แลว ทำใหล กู จา งไดร บั ผลกระทบในสทิ ธแิ ละ เสรภี าพได ตามมาตรา 73 5. ความรบั ผดิ โทษตาม พระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คล บทลงโทษความรบั ผดิ ตามกฎหมายตาม พระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คล หรอื PDPA มโี ทษ ดงั น้ี โทษอาญา 1) ใชหรือเปดเผยขอมูลสวนบุคคลที่มีความละเอียดออน (Sensitive data) โดยมิชอบหรือนอกเหนือ วตั ถปุ ระสงค สงหรือโอนขอมูลสว นบุคคลทมี่ ีความละเอียดออ น (Sensitive data) ไปยงั ตางประเทศ 2) หรือทีน่ าจะทำใหผ อู ื่นเกดิ ความเสยี หาย มโี ทษจำคกุ ไมเ กิน 6 เดอื น ปรบั ไมเ กนิ 500,000 บาท หรอื ทัง้ จำทั้งปรับ 3) เพื่อแสวงหาประโยชนทีม่ คิ วรไดโ ดย ชอบดว ยกฎหมายสำหรบั ตนเองหรอื ผอู น่ื จำคกุ ไมเ กนิ 1 ป ปรบั ไมเกิน 1,000,000 บาท หรอื ทง้ั จำท้ังปรบั 4) ลว งรขู อ มลู เนอ่ื งจากการปฏบิ ตั หิ นา ท่ี ตามกฎหมายนี้แลวนำไปเปดเผยแกผูอื่นโดยมิชอบดวย กฎหมายตองระวางโทษจำคุกไมเกิน 6 เดือน หรือ ปรับ ไมเกิน500,000 บาท หรือ ท้งั จำทงั้ ปรับ 5) กรรมการหรอื ผจู ดั การหรอื บคุ คลใดทร่ี บั ผดิ ชอบในการดำเนนิ งานของนติ บิ คุ คล หากมกี ารสง่ั การหรอื กระทำการและละเวนไมส ่งั การหรอื ไมก ระทำการจนเปน เหตใุ หนติ บิ ุคคลกระทำความผิด ผูนั้นตอ งรับโทษตามทบี่ ัญญัติไว สำหรบั ความผดิ นน้ั ดว ย สำหรบั โทษทางอาญานเ้ี ปน โทษทส่ี ามารถยอมความได โทษทางปกครอง กระทำความผดิ ทเ่ี ปน การฝา ฝน หรอื ไมป ฏบิ ตั ติ ามกฎทก่ี ำหนดไว เชน ไมแ จง วตั ถปุ ระสงคใ นการเกบ็ รวบรวม ขอมูลใหเจาของขอมูลสวนบุคคลทราบ, ขอความยินยอมโดยหลอกลวงเจาของขอมูล โทษปรับทางปกครองสูงสุด ไมเกิน 5,000,000 บาท 20

ความรบั ผิดทางแพง ความผิดทางแพงตามมาตรา 77 ตองจายสินไหมทดแทนตามจริง หรือศาลอาจพิจารณาเพื่อเปนการ ลงโทษใหจายเพิ่มอีก 2 เทาได หากผูควบคุมขอมูลสวนบุคคลหรือผูประมวลขอมูลสวนบุคคล • จงใจหรอื ประมาทเลนิ เลอ อนั เปน เหตใุ หเ กดิ ความเสยี หายแกเ จา ของขอ มลู จะเกดิ ความผดิ ทางปกครอง • การกระทำที่ฝาฝนขอหามตาม พ.รบ. คุมครองขอมูลสวนบุคคล • การกระทำที่ไมปฏิบัติตาม พ.ร.บ. คุมครองขอมูลสวนบุคคล สั่งใหกระทำและขอหามมิใหกระทำการ 6. สง่ิ ทอ่ี งคก รตอ งเตรยี มตวั 6.1 การสรา งความรบั รขู ององคก ร การปฏบิ ตั ติ ามกฎหมายคมุ ครองขอ มลู สว นบคุ คลจะตอ งอาศยั การบรหิ าร จดั การแบบบนลงลา ง (top-down) ซง่ึ เปน การสอ่ื สารจากผบู รหิ ารไปยงั บคุ ลากรในองคก ร ขณะเดยี วกนั จำเปน อยา งยง่ิ ท่อี งคกรจะตองสรางความรูความเขา ใจใหก บั บุคลากรระดับปฏิบัติการในการปฏบิ ตั ติ ามกฎหมายจะตองอาศัยความมีสวน รว มจากทกุ หนว ยในองคก ร หากหนว ยหนง่ึ หนว ยใดในองคไ มม คี วามตระหนกั ไมใ หค วามรว มมอื หรอื เหน็ วา การปฏบิ ตั ติ าม กฎหมายน้ีเปน ภาระ การปฏบิ ัติตามกฎหมายคมุ ครองขอ มลู สวนบคุ คลท่แี มเ กิดขน้ึ ก็อาจมชี อ งวา ง และในทา ยทส่ี ดุ ยอมสง ผลกระทบตอองคก รในภาพรวม 6.2 วเิ คราะหก ารทำงาน และคน หากจิ กรรมการประมวลผลขอ มลู สว นบคุ คลทเ่ี กดิ ขน้ึ ในองคก รกจิ กรรมนเ้ี ปน กจิ กรรมหนง่ึ ทม่ี คี วามสำคญั แตล ะสว นงานจะตอ งพยายามแสดงกระบวนการทำงาน วธิ กี าร เสน ทางการใชง านขอ มลู ออก มาใหชัดเจนและละเอียดที่สุดเทาที่จะสามารถกระทำได โดยอาจอาศัยการทำแบบสอบถาม และการสัมภาษณพูดคุยกับ ฝายงาน เพ่อื จดั ทำผังการใชขอ มูลขององคก ร (data mapping หรอื data flow) เพื่อใชว ิเคราะหการไหลเวยี นของขอ มลู สว นบคุ คลในแตล ะกจิ กรรมตง้ั แตก ระบวนการการเกบ็ รวบรวม ใช เปด เผย เกบ็ รกั ษา และทำลายขอ มลู สว นบคุ คล เพอ่ื ใหท ราบ ถงึ ความเสย่ี งและจะชว ยใหบ รษิ ทั สามารถเหน็ ภาพของจดุ บกพรอ งและแกไ ขจดุ บกพรอ งทเ่ี กย่ี วกบั ขอ มลู สว นบคุ คลไดใ นอนาคต ในสวนของแบบสอบถาม จะมุงเนนการสรางกระบวนการทบทวนการใชงานขอมูลในองคกร (data life cycle) ที่เกี่ยวของกับการเก็บรวบรวม ใช เปดเผย จัดเก็บและสูขั้นตอนการลบหรือทำลายขอมูลสวนบุคคล โดยในแบบสอบถาม องคกรอาจพจิ ารณารายการท่กี ฎหมายกำหนดในเรือ่ งบันทึกกจิ กรรมประมวลผลขอ มลู สวนบคุ คล (ม.39) ไมวา จะเปนการ รกั ษาความปลอดภยั ขอ มลู การกำหนดสทิ ธกิ ารเขา ถงึ ขอ มลู (access control) ระยะเวลาการลบทำลายขอ มลู ความจำเปน ของขอ มลู วธิ ีการในการเปด เผยสง ตอขอมูล การประเมนิ ความเสย่ี งและผลกระทบเก่ยี วกบั ขอมูลสวนบุคคล เปน ตน 21

6.3. วิเคราะหชองวางทางปฏิบัติไมสอดคลองตามเงื่อนไขที่กฎหมายกำหนด (Gap analysis) และการจัด แนวทางในการรักษาความมั่นคงปลอดภัยของขอมูลที่เหมาะสม ในขั้นตอนนี้เปนขั้นตอนที่องคกรจะมุงทำการวิเคราะหถึงรายการที่กฎหมายกำหนดใหองคกร ในฐานะผูควบคุม ขอมูลสวนบุคคลตองดำเนินการหรือมีการจัดการตามหลักการกฎหมายคุมครองขอมูลสวนบุคคลเปนสำคัญโดยประเด็น ที่เปนโจทยสำคัญในการพิจารณาชองวางการปฏิบัติตามกฎหมายจะเปนการพิจารณากับประเด็นดังนี้ ในกรณีที่กฎหมาย กำหนดใหม กี ารตง้ั เจา หนา ทค่ี มุ ครองขอ มลู สว นบคุ คล (DPO) องคก รมกี ารจดั ตง้ั และมกี ารดำเนนิ การตามหนา ทท่ี ก่ี ฎหมาย กำหนดหรอื ไม 1) องคก รมกี ารจดั ทำนโยบายคมุ ครองขอ มลู สว นบคุ คล (Privacy Policy) หรอื ไม 2) องคก รมปี ระกาศความเปน สว นตวั (privacy notice) หรอื ไม 3) องคกรไดจัดใหมีแผนการทำงานที่รองรับการพิจารณา ตรวจสอบ และปรับปรุงบันทึกกิจกรรมประมวลผล ขอ มลู สว นบคุ คลทอ่ี าจมขี น้ึ ในอนาคต เชน จดั ทำผงั การใชข อ มลู ขององคก ร (data mapping หรอื data flow) อยา งไร 4) องคก รมกี ารจดั ทำบนั ทกึ กจิ กรรมประมวลผลขอ มลู สว นบคุ คล (RoPA) แลว หรอื ไม 5) องคก รมแี นวทางในการจดั การเกย่ี วความยนิ ยอม และการขอความยนิ ยอม (consent request and consent management) หรอื ไม 6) องคก รมแี นวทางจดั การเกย่ี วกบั การโอนยา ย สง ตอ ขอ มลู สว นบคุ คลไปยงั บคุ คลทส่ี ามทช่ี ดั เจนหรอื ไม 7) องคก รจดั ใหม กี ารลบทำลายขอ มลู หรอื มนี โยบายทเ่ี กย่ี วขอ งในการจดั การขอ มลู เมอ่ื สน้ิ สดุ ความจำเปน หรอื ไม 8) องคก รจดั ใหม ชี อ งทางในการใชส ทิ ธขิ องเจา ของขอ มลู สว นบคุ คล (Data Subject Rights Request) หรอื ไม 9) กรณีที่องคกรมีการประมวลผลขอมูลสวนบุคคลรวมกับบุคคลที่สาม โดยเฉพาะอยางยิ่งกรณีที่เปนการใชงาน ผปู ระมวลผลขอ มลู สว นบคุ คล องคก รไดจ ดั ใหม ขี อ ตกลงสญั ญา หรอื มาตรการคดั เลอื กบคุ คลทส่ี ามหรอื ไม 10) องคก รมแี นวทางในการเกบ็ รกั ษาขอ มลู และมาตรการรกั ษาความมน่ั คงปลอดภยั ของขอ มลู ทเ่ี พยี งพอเหมาะ สมหรอื ไม 11) องคก รไดจ ดั ใหม รี ะบบรองรบั การทำงานทเ่ี กย่ี วขอ งกรณเี กดิ เหตลุ ะเมดิ ตอ ขอ มลู สว นบคุ คลแลว หรอื ไม การจดั แนวทางในการรกั ษาความมน่ั คงปลอดภยั ของขอ มลู ทเ่ี หมาะสม เพื่อใหองคกรพิจารณาตามเห็นสมควร โดยองคกรจะพิจารณาเลือกใชมาตรการมากนอยเพียงใดนั้น โดยหลักมัก ข้นึ อยกู บั ชน้ั การจัดกลมุ ช้ันความลบั ของขอมูล (data classification) ความเส่ียง รวมทั้งความสามารถในดานงบประมาณ ขององคกรสำหรับมาตรการรักษาความมั่นคงปลอดภัยของขอมูลที่องคกรจะนำมาปรับใช อาจพิจารณาแบงออกเปน มาตรการรักษาความมั่นคงปลอดภัยพื้นฐานทั่วไป เชน การจัดการสิทธิการเขาถึง การกำหนดนโยบายการใชงานอุปกรณ สว นตวั ตลอดจนมาตรการทางเทคนคิ อาทิ การจดั การชน้ั ความลบั การเขา รหสั ขอ มลู การแฝงขอ มลู นอกจากน้ี มาตรการ รกั ษาความปลอดภัยยงั รวมไปถึงระบบที่เก่ียวขอ งกบั การตรวจสอบตดิ ตาม และการจดั การกรณเี กดิ เหตลุ ะเมิดของขอ มูล สวนบุคคล (data breach) ในกรณีที่องคกรไมสามารถจัดใหมีระบบรักษาความมั่นคงปลอดภัยที่เหมาะสม ไมวาดวยเหตุผลขอจำกัดดาน งบประมาณ หรอื เหตผุ ลดา นสญั ญาทอ่ี งคก รไดม กี ารลงทนุ ระบบทม่ี อี ยเู ดมิ ไปกอ นหนา องคก รควรพจิ ารณาความจำเปน ใน การใชงานขอมูลสวนบุคคลอยางรอบคอบ โดยอาจยกเลิกกิจกรรมประมวลผลขอมูลสวนบุคคลที่ไมจำเปนในบางลักษณะ หากองคก รยงั เหน็ วากิจกรรมประมวลผลดงั กลาวจำเปนตอ งดำเนนิ ตอ ไป องคก รควรจัดใหม ีแผนในการเตรยี มความพรอม ดานงบประมาณ หรือแผนการจัดหาผูใหบริการที่เหมาะสม และในระหวางการดำเนินการดังกลาว องคกรควรจะคำนึงถึง การประมวลผลขอมูลดวยความระมัดระวัง และอาศัยการบริหารจัดการปฏิบัติงานของบุคลากรเพื่อปดชองวาง หรือลด ความเสยี่ งท่เี ก่ยี วขอ งกับการคมุ ครองขอ มลู สวนบคุ คลขององคกรแทน 22

การสรา งองคค วามรแู ละความเขา ใจใหก บั บคุ ลากรในองคก รและการตดิ ตามผลการปฏบิ ตั งิ าน สง เสรมิ ใหบ คุ ลากรขององคก รในระดบั ปฏบิ ตั กิ ารเกดิ ความตระหนกั ในเรอ่ื งการคมุ ครองขอ มลู สว นบคุ คลตลอดจน แนวทางหรอื วธิ กี ารปฏบิ ตั งิ านทเ่ี ปลย่ี นแปลงไปอนั เนอ่ื งมาจากการปฏบิ ตั ติ ามกฎหมายคมุ ครองขอ มลู สว นบคุ คล พรอ มทง้ั ควรมกี ารตรวจสอบหรอื ทำใหแ นใ จวา บคุ ลากรในองคกรมคี วามตระหนักรูและเขาใจเกีย่ วกับการคมุ ครองขอ มลู สวนบคุ คล อยา งเพยี งพอทจ่ี ะปฏบิ ตั ติ ามขน้ั ตอน ขอ กฎหมาย หรอื นโยบายคมุ ครองขอ มลู สว นบคุ คลทบ่ี รษิ ทั กำหนดไดอ ยา งเหมาะสม สำหรับวัตถุประสงคสำคัญของการเตรียมการเรื่องนี้คือ การทำใหการคุมครองขอมูลสวนบุคคลเปนวัฒนธรรมองคกรและ เปน สว นหนึ่งของแนวทางการทำงานขององคก ร การติดตามผลการปฏิบัติตามกฎหมาย (compliance result monitoring) โดยหลังจากที่ไดจัดการองคกร และ เตรียมความพรอมในการปฏิบัติตามกฎหมายคุมครองขอมูลสวนบุคคลแลวเสร็จ จำเปนอยางยิ่งที่องคกรจะตองจัดใหมี แนวทางในการตดิ ตามการทำงานเปน ระยะ และเปน ประจำอยา งตอ เนอ่ื ง ตง้ั แตใ นกระบวนการเกบ็ บนั ทกึ กระบวนการรกั ษา ความมน่ั คงปลอดภยั ไปจนถงึ การลบทำลายขอ มลู เพอ่ื วตั ถปุ ระสงคด งั น้ี 1) เพ่อื ตรวจสอบผลการปฏบิ ัติตามกฎหมายใหม คี วามถกู ตอ งครบถว นอยูเ สมอ 2) เพื่อทบทวนแนวทางการทำงานขององคกรใหสอดคลองตามกฎหมายในกรณีที่องคกรมีกิจกรรม ประมวลผลขอมลู สวนบุคคลท่ีเพ่ิมขนึ้ หรือเปลี่ยนแปลงจากท่มี อี ยเู ดิม 3) เพอื่ เปนแนวทางปอ งกนั เหตุอนั อาจเกิดไดในอนาคต 23

บทท่ี 4 แนวปฏิบัติการคุม ครองขอมลู สว นบคุ คลสำหรบั พนักงาน หลงั จากทพ่ี ระราชบญั ญตั คิ มุ ครองขอ มลู สว นบคุ คล ไดม กี ารประกาศใชอ ยา งเปน ทางการเตม็ รปู แบบแลว ในวนั ท่ี 1 มถิ นุ ายน พ.ศ. 2565 กฎหมายคมุ ครองขอ มลู สว นบคุ คลไดเ ขา ไปมบี ทบาทสำคญั อยา งมากในทกุ ๆอตุ สาหกรรม ทม่ี กี าร เก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคล ในแงของการคุมครองแรงงาน มีกิจกรรมตางๆ และขอมูลของพนักงานที่ กฎหมายดงั กลา วเขา ไปเกย่ี วขอ ง โดยไมจ ำกดั เพยี งแคภ าครฐั เทา นน้ั แตย งั รวมไปถงึ ภาคเอกชนทม่ี กี ารประมวลผลขอ มลู ของ พนกั งานภายในองคก รดว ย ในแงข องการคมุ ครองแรงงาน กฎหมายทส่ี ำคญั ทเ่ี ขา มาเกย่ี วขอ ง คอื กฎหมายคมุ ครองแรงงาน ไมวาจะเปนกิจกรรมการคัดเลือกพนักงาน การทำสัญญาจางแรงงาน การพัฒนาบุคคลกร การอนุมัติเลื่อนตำแหนง หรือ แมแ ตก ารพน สภาพการจา งของพนกั งาน กฎหมายดงั กลา วไดเ ขา ไปมคี วามเกย่ี วพนั ทกุ กระบวนการ ตวั อยา งเชน ในกจิ กรรม การจดั ทำทะเบยี นลกู จา ง ตามพระราชบญั ญตั คิ มุ ครองแรงงาน มาตรา 115 ไดม กี ารกำหนดระยะเวลาการจดั เกบ็ ขอ มลู ของ ลกู จา งใหจ ดั เกบ็ ไวไ มเ กนิ 2 ป นบั แตว นั ทส่ี น้ิ สดุ การจา ง จะเหน็ ไดช ดั วา การกำหนดระยะเวลาการทำลายขอ มลู ดงั กลา วตาม กฎหมายคุมครองแรงงานไดเขามามีบทบาทในการกำหนดรายละเอียดการทำลายขอมูลสวนบุคคล ดังนั้น นายจางหรือผู ควบคมุ ขอ มลู สว นบคุ คล มหี นา ทใ่ี นการดำเนนิ การลบ หรอื ทำลาย เมอ่ื สน้ิ ระยะเวลาการจดั เกบ็ ดงั กลา ว โดยเปน ไปตามหลกั การจัดเก็บขอมูลอยางจำกัด (storage minimization) หรือ แมแตกิจกรรมที่เกี่ยวกับการขอลาของพนักงาน กฎหมาย คมุ ครองแรงงาน ไดม กี ารกำหนดใหน ายจา งสามารถขอใบรบั รองแพทยจ ากลกู จา งทล่ี าปว ยตง้ั แต 3 วนั ขน้ึ ไป แตถ า เปน กรณี ทล่ี าไมเ กนิ 3 วนั หรอื กรณที น่ี ำไปใชเ พอ่ื วตั ถปุ ระสงคอ น่ื นายจา งมหี นา ทต่ี อ งขอความยนิ ยอมจากลกู จา ง เปน ตน เมื่อกฎหมายคุมครองขอมูลสวนบคุ คลมีการประกาศใชแลว จะมีเรือ่ งการขอใชสทิ ธิของลูกจา งทเี่ พ่ิมมากข้นึ สทิ ธิ ของเจา ของขอ มลู ในสว นของงานฝา ยทรัพยากรบุคคล หรอื Human Resources (HR) นนั้ จะมีอยหู ลายกรณี เชน สทิ ธิขอ เขา ถงึ ทะเบยี นเอกสาร หรอื การขอสำเนาใบรบั รองตา ง ๆ ทง้ั ใบรบั รองเงนิ เดอื น ใบรบั รองการทำงานเพอ่ื นำไปกเู งนิ เปน ตน เมอ่ื พ.ร.บ. คมุ ครองขอ มลู สว นบคุ คลหรอื PDPA มผี ลบงั คบั ใชแ ลว สทิ ธขิ องพนกั งานในองคก รกจ็ ะมมี ากขน้ึ ดงั นน้ั บคุ ลากร ในสว นงาน HR จำเปน จะตอ งเขา ใจสทิ ธขิ องพนกั งานทม่ี เี พม่ิ ขน้ึ และเพอ่ื เปน การปอ งกนั เหตตุ า ง ๆ ทอ่ี าจจะเกดิ ขน้ั ไดจ าก การประกาศใชกฎหมาย บุคลากรในฝาย HR ควรเก็บขอมูลสวนบุคคลของพนักงานใหอยูในประเภทและปริมาณเทาที่ จำเปน ตอ การใชง านตรงตามวัตถปุ ระสงค ซง่ึ หมายถึงภาระ/ความรับผดิ ชอบในการจัดการท่ีนอ ยลงตามไปดว ย แนวปฏิบัติกฎหมายคุมครองขอมูลสวนบุคคลกับการคุมครองแรงงาน เปนการแนะนำแนวทางที่ควรปฏิบัติใหกับ บริษทั นายจา ง หรอื องคกร เพ่ือดำเนนิ การใหเ ปน ไปตามและสอดคลอ งกบั กฎหมายคุม ครองขอ มลู สวนบุคคล พ.ศ. 2562 รวมถงึ กฎหมายคมุ ครองแรงงาน โดยกจิ กรรมทีเ่ ก่ยี วขอ งกบั การคุมครองแรงงานนน้ั มีดังนี้ 1. กจิ กรรมการประกาศรบั สมคั รและคดั เลอื กพนกั งาน การสรรหา และคัดเลอื กคนเขา องคก ร หรือ Recruitment and Selection เปน ขน้ั ตอนทม่ี คี วามสำคญั เนอ่ื งจากเปน ขน้ั ตอนแรก ท่มี ีการจัดเก็บขอ มูลสวนบคุ คลของลกู จาง ในบางองคก รโดยเฉพาะ องคก รขนาดใหญจ ะมแี ผนกสรรหาบคุ ลากรทแ่ี ยกออกจากแผนกอน่ื ๆ โดยเฉพาะ แตในบางองคกรนนั้ พนกั งานอาจจำเปน ที่จะตองทำงาน ในหลายหนา ที่ 24

ในการดำเนินการเกี่ยวกับการสรรหาและคัดเลือกพนักงานสามารถแยกชองทางการรับสมัครหรือชองทางการ สรรหาพนกั งาน ออกไดเ ปน 8 ชองทางดังนี้ 1. กรณผี ูสมัครกรอกใบสมัคร ณ สถานทท่ี ำงาน วธิ ีการนีฝ้ าย HR เก็บขอ มูลจากผูสมคั รโดยตรง 2. กรณีผูสมัครกรอกใบสมคั รผาน Application Form หรือ Google Form หรือผานทางระบบแบบฟอรมอ่ืนๆ วธิ ีการนี้ฝาย HR เกบ็ ขอมลู จากผสู มัครโดยตรง 3. กรณีผูสมคั รสง CV หรือ Resume มาทาง E-mail วิธกี ารนฝ้ี า ย HR เก็บขอ มลู จากผสู มัครโดยตรง 4. กรณีการคัดเลือกพนักงานจากเว็บไซตจดั หางาน หรือ Job Search โดยแบงได 2 ฝา ย ดังน้ี 1) ฝายบรษิ ัทจดั ซ้ือโฆษณา ซ้อื สทิ ธิในการขอเขาดูขอมูลผสู มัคร 2) ฝา ย Job Seeker ในขอนี้บุคคลทสี่ นใจหางานจะมาโพสตขอมูลไวแ ละเปน ผเู ขาดูขอ มูลเอง 5. กรณีใชบ รษิ ทั อน่ื ในการจดั หาพนักงานท่ีมคี วามเหมาะสม 6. กรณีไดรบั การแนะนำผสู มคั รงานมาจากบุคคลอนื่ 7. กรณีการแนะนำเพื่อนหรอื คนรจู ักใหเ ขา มาทำงาน (ในสวนน้ีไมวาผแู นะนำจะไดคาตอบแทนหรอื ไมกต็ าม) 8. กรณีไดรบั ขอมูลของผูสมคั รงานมาจากบรษิ ัทในเครอื สง่ิ ทน่ี ายจา งควรพจิ ารณาเพม่ิ เตมิ เกย่ี วกบั ขอ มลู ทจ่ี ดั เกบ็ ควรมกี ารเกบ็ ขอ มลู เทา ทจ่ี ะเปน โดยสามารถใชค ำถามดงั ตอ ไปน้ี เพอ่ื สอบถามถงึ ความจำเปน ในการเกบ็ ขอ มลู ดงั น้ี 1) ขอ มลู สวนบคุ ลของผูสมัครอะไรท่ีบริษัทตองการ 2) ไดมาจากแหลงตา งๆ ตองบริหารจดั การอยา งไร 3) จะเกบ็ ขอ มูลสวนบคุ คลไวน านเทาใด 4) เม่อื หมดความจำเปน จะทำลายอยางไร [หนาที่นายจางในการแจงตอผูสมัคร] เมื่อผูสมัครไดรับการตอบรับการสมัครงาน จะมีการจัดเก็บขอมูลสวนบุคคลของ ผูสมัครงาน รวมถึงขอมูลละเอียดออนที่อาจเขามาเกี่ยวของเชน การเก็บขอมูลสุขภาพ การเก็บขอมูลศาสนา นอกจาก บรษิ ทั มหี นา ทใ่ี นการตอ งแจง ประกาศความเปน สว นตวั ในขน้ั ตอนการประกาศโฆษณาและในขน้ั ตอนการกรอกใบสมคั รเมอ่ื ผานการคดั เลอื กน้นั ผคู วบคุมขอมลู สว นบคุ คลมีหนา ที่ตองแจง ประกาศความเปนสว นตวั ใหผ สู มัครงานทราบอกี คร้ัง แตจะ มคี วามแตกตา งในเรอ่ื งของขอ มลู ทม่ี กี ารจดั เกบ็ และวตั ถปุ ระสงคใ นกรจดั เกบ็ รวมถงึ รายละเอยี ดในการแจง ทแ่ี ตกตา งออก ไปจาก ขน้ั ตอนทีม่ ีการสง ตอนท่ีมีการโฆษณารับสมัครงาน สทิ ธิในการไดรับแจง เจาของขอ มลู สวนบุคคลตองไดร ับการแจง ใหทราบกอนหรือขณะเกบ็ ขอ มลู ตามมาตรา 23 ดังนี้ 1) วตั ถปุ ระสงคใ นการเกบ็ และฐานทางกฎหมาย 2) กรณตี อ งใชข อ มลู สว นบคุ คล เพอ่ื ปฏบิ ตั ติ ามกฎหมายหรอื ตามสญั ญา 3) การเกบ็ ขอมลู นน้ั เปน การเกบ็ อะไร เกบ็ นานเทา ไหร 4) จะมกี ารเปด เผยขอ มลู ใหห นว ยงานหรอื บคุ คลใดบา ง 5) ขอ มลู เกย่ี วกบั ผคู วบคมุ ขอ มลู สถานทต่ี ดิ ตอ วธิ กี ารตดิ ตอ รวมถงึ รายละเอยี ดของผเู ปน DPO (เจา หนา ทค่ี มุ ครองขอ มลู สว นบคุ คล) 6) สทิ ธขิ องเจา ของขอ มลู สว นบคุ คล 25

2. กจิ กรรมการทำสญั ญา หรอื Employee Contract หลังจากท่ีไดร บั การคดั เลอื กเปนพนักงานแลว ก็ จะเขา สขู น้ั ตอนการทำสญั ญาจา งงานและสญั ญาทเ่ี กย่ี วขอ ง กับการจางแรงงานที่มีหลากหลายรูปแบบ ไมใชเพียงแค สญั ญาจา งแรงงานเพยี งเทา นน้ั แตย งั มสี ญั ญาการจา งอน่ื ๆ ซง่ึ แตกตา งจากสญั ญาจา งแรงงานทว่ั ไป ตวั อยา งสญั ญาจา ง มีดังตอ ไปนี้ 1. สญั ญาจา งงาน เปน สญั ญาทท่ี ำขน้ึ ระหวา งฝา ย นายจา ง และฝา ยพนกั งาน โดยเปน สญั ญาตา งตอบแทนในหนาที่ และคาจาง โดยมขี อกำหนดในเร่อื งคาตอบแทน สวสั ดกิ าร และสทิ ธปิ ระโยชนตา งๆ ตามท่กี ฎหมายกำหนดไว 2. สญั ญารบั จา งทำของ ในสญั ญาการจา งทำของนน้ั มกั เกดิ ขน้ึ ในการทำงานในรปู แบบของการจา งผมู อี าชพี อสิ ระ ใหท ำงานให หรอื ทเ่ี รยี กวา “freelance” โดยในสว นนอ้ี าจจะไมไ ดม าจากขน้ั ตอนวา จา งหรอื การสรรหา แตอ าจจะเปน การ ตกลงกนั มกี ารประมลู มกี ารวา จา งกนั เปน รายกรณี ในสญั ญารบั จา งทำของ จะไมค ำนงึ ถงึ ในเรอ่ื งระยะเวลาการทำงานแตจ ะ เนน ทผ่ี ลลพั ธข องผลงานทผ่ี วู า จา งตอ งการ แตใ นสญั ญาจะมกี ารแจง วตั ถปุ ระสงคใ นการทำกจิ กรรมเพอ่ื ใหไ ดผ ลงานออกมา ตามทผ่ี วู า จา งตอ งการ เชน แผนกขนสง มอี อเดอรเ ยอะเกนิ ไป แตร ะบบการขนสง ของบรษิ ทั มไี มเ พยี งพอ จงึ ดำเนนิ การจา ง Outsource เขา มาดำเนินงาน และทำใหงานคลอ งตัว และไดความสำเร็จตามที่บริษทั ตอ งการ เปน ตน 3. สญั ญาคำ้ ประกนั ในความหมายตามบรบิ ทน้ี การทำสญั ญาคำ้ ประกนั มี 2 รปู แบบ คอื คำ้ ประกนั การทำงาน หรอื คำ้ ประกนั คา ความเสยี หายจากการทำงาน ซง่ึ หากเปน สญั ญาคำ้ ประกนั ตามกฎหมายแรงงาน กฎหมายมไิ ดห มายความวา การคำ้ ประกนั จะสามารถทำไดท กุ ตำแหนง การคำ้ ประกนั จะทำไดเ ฉพาะในตำแหนง ทม่ี หี นา ทร่ี บั ผดิ ชอบทางการเงนิ โดยตรง หรอื ผูดูแลทรัพยส นิ เทานน้ั 4. สญั ญาระหวา งบรษิ ทั กบั บรษิ ทั จดั หาแรงงาน ในบางบรษิ ทั จะมกี ารใชก ารจา งงานแบบชว่ั คราว (Outsource) เปนสัญญาการบริการระหวางผูคากับหนวยธุรกิจ หรือ Business to Business (B2B) และใชกันอยางแพรหลายโดย เฉพาะธุรกิจอุตสาหกรรมขนาดใหญ เชน อุตสาหกรรมการกอสราง หรือโรงงานอุตสาหกรรม และแมกระทั่งแรงงานใน สำนักงาน เปน ตน สัญญาในรูปแบบนค้ี วรมีการตง้ั ประเดน็ คำถามเพอื่ ปองกันการละเมิดขอมูลสวนบคุ คล ดงั ตอ ไปนี้ • การทำสัญญาระหวางผูใหบริการ และบริษัทผูวาจาง มีกิจกรรมใดที่เกี่ยวของกับการเก็บรวบรวม ใช หรือเปด เผยขอมูลสว นบุคคลหรือไม • บรษิ ทั ผวู า จา งทใ่ี ชแ รงงานทส่ี ง มาจากบรษิ ทั ผรู บั เหมา มกี ารเกบ็ รวบรวมขอ มลู สว นบคุ คลหรอื ไม ผวู า จา ง ตอ งตรวจสอบวาบรษิ ทั ทส่ี งผใู ชแรงงาน หากมกี ารเก็บรวบรวมขอ มลู สว นบคุ คลน้นั แลว ผใู ดเปน คนเก็บ มีมาตรการเชน ใด 26

5. สัญญาสงไปฝกงานหรือทำงานตางประเทศ บริษัทที่มีสำนักงานเครือขายหรือมีสาขาอยูในหลาย ๆ ประเทศ หรือ บริษัทที่จะตองสงพนักงานไปเรียนรูกระบวนการทำงานและเทคนิคตาง ๆ ของบริษัทแม หรือ บริษัทในเครือนั้น สามารถทำเปนสัญญาฝกงานหรือสัญญาสงตัวไปทำงาน/ฝกงานตางประเทศได แตมีขอควรระวังใน 2 มาตรา คือ มาตรา 28 และมาตรา 29 โดยหลักการคือ การสงขอมูลสวนบุคคลไปยังตางประเทศหรือนอกราชอาณาจักรนั้น ประเทศปลาย ทางนน้ั ๆตองมมี าตรฐานการคมุ ครองขอมูลสวนบคุ คลที่ทีเ่ พียงพอ ไมต ่ำกวาของประเทศไทย หรอื มีความใกลเคียงกับของ ประเทศไทย 6. สญั ญาจา งนกั เรยี น นกั ศกึ ษาในการทำงานแบบชว่ั คราว (Part time) ในสญั ญาการจา งนกั เรยี น หรอื นกั ศกึ ษา มาทำงาน Part time นน้ั เปนการทำงานหลังเลิกเรียน และไมไดเ ปน ลูกจางทำงานประจำในเวลางาน การทำงาน Part time หมายถึง การทำงานนอกเวลาเรียน ซึ่งรวมถึงการทำงานในวันเสาร – อาทิตยหรือบาง ครัง้ ในวนั หยุดดว ย จึงจะตองมรี ะเบียบขอบังคบั หรอื ขอ กำหนดท่ีเขมงวดวา นักเรยี นหรอื นักศกึ ษาทจ่ี ะทำงานใหบรษิ ัทนน้ั ทง้ั นอกเวลาและในวนั หยดุ สามารถทำงานไดไ มเ กนิ วนั ละกช่ี ว่ั โมง หรอื เมอ่ื ทำงานในวนั ธรรมดาของชว งปด เทอมจะสามารถ ทำไดไมเกินกี่ชั่วโมง โดยขอควรระวังนั้นผูวาจางควรตรวจสอบอายุของนักเรียนนักศึกษาเพื่อไมใหเกิดความผิดพลาดทาง ขอ กฎหมายหากผถู ูกวาจางเปน ผูเยาว ขอตกลงการรับนักศึกษาเขาฝกงาน (MOU ระหวางบริษัท กับสถาบันการศึกษา) ปจจุบันสถาบันการศึกษา ตาง ๆ มีการทำสัญญา MOU กับบริษัทหรือหนวยงานเพื่อสงตัวนักเรียนนักศึกษามาฝกงาน โดยระบุใหมีการเซ็นสัญญา ชวงที่ตองการฝกงานตามหลักสูตรของรายวิชานั้น ๆ ในกรณีนี้ทางสถาบันการศึกษาจะเปนผูเซ็นสัญญารวมกับบริษัท แตตัวผูฝกงานซึ่งเปนนักเรียน นักศึกษา นั้นจะ ไมไดอยูในสถานะลูกจาง อยางไรก็ตาม ทางบริษัทหรือฝายทรัพยากรบุคคล จะตองมีการเก็บขอมูลสวนบุคคล ประวัติ นักเรียนนักศึกษา เชน ขอมูลสถาบัน ปที่เขารวมงาน แผนกที่ทำงาน ชวงเวลาในการทำงาน ซึ่งการเก็บขอมูลนักเรียน นกั ศกึ ษาถอื เปน ขน้ั ตอนทค่ี วรตอ งระมดั ระวงั และมคี วามสำคญั เทยี บเทา กบั การเกบ็ รวบรวมประวตั ขิ องพนกั งาน โดยเฉพาะ ขอมูลสวนบุคคลประเภทละเอียดออนนั้นควรเก็บเทาที่จำเปน และหากบริษัทจะตองเก็บไฟลสแกนลายนิ้วมือ กลุมเลือด หรือการสแกนใบหนา ของนักเรียนนักศึกษา ทางฝายทรัพยากรบุคคลตองมีมาตรการและขั้นตอนเหมือนพนักงาน และ นอกเหนอื จากนน้ั เนอ่ื งจากผเู ยาวจ ะตอ งใหค วามยนิ ยอมและความสมคั รใจดว ยตนเอง เพม่ิ เตมิ การใหค วามยนิ ยอมเปน การ เฉพาะสำหรับผเู ยาว 7. สญั ญาจา งงานผพู กิ าร ในกรณที ท่ี างบรษิ ทั จา งงานผพู กิ าร ซง่ึ เปน การจา งงานบคุ คลผพู กิ ารตาม พระราชบญั ญตั ิ สงเสริมและพัฒนาคุณภาพชีวิตคนพิการ พ.ศ.2550 (พนักงานผูพิการ 1 คน ตอพนักงาน 100 คน) ปจจุบันการทำสัญญา การจางงานสามารถทำไดเพราะเปนฐานของกฎหมาย หากในการเก็บรวบรวม ใช หรือเปดเผย จัดเก็บ การลบและการ ทำลายขอ มลู สว นบคุ คล จะเปน ไปในขน้ั ตอนเทยี บเทา การจา งพนกั งาน หากแตเ พม่ิ การใหค ำยนิ ยอมสำหรบั ผพู กิ ารโดยเฉพาะ 27

เอกสารที่ใชประกอบในขั้นตอนการทำสัญญาจางแรงงาน เอกสารทใ่ี นการประกอบการทำสญั ญานน้ั ประกอบไปดว ยขอ มลู สว นบคุ คล ซง่ึ มที ง้ั ขอ มลู สว นบคุ คลละเอยี ดออ น และขอมลู สว นบคุ คลท่วั ไป โดยทั่วไปแลวในกจิ กรรมการทำสัญญาการจางงานประกอบไปดวยเอกสารดังตอ ไปน้ี 1) หนาสมุดบัญชีธนาคาร จากขั้นตอนการ คดั เลอื กและสรรหาทผ่ี า นมาแลว นน้ั บรษิ ทั ควรพจิ ารณา วาเอกสารใดจำเปนที่ตองใชแนบสำหรับสัญญาจางงาน หรือเอกสารใดที่ไมจำเปน เชน จำเปนหรือไมที่ตองขอ เอกสารหนาบญั ชีธนาคารตัง้ แตว นั แรกที่พนกั งานเขา มา สมัครงานแตจะเปนสำหรับผูที่ผานการสัมภาษณงาน และเซน็ สัญญาแลวเทา น้ัน 2) สำเนาบัตรประชาชน การทำสัญญาจางมีวัตถุประสงคเพื่อรับคนเขาทำงาน โดยสวนมากจะมีการเก็บขอมูล สว นบคุ คลทว่ั ไป รวมไปถงึ เลขทบ่ี ตั รประจำตวั ชาชน และ/หรอื สำเนาบตั รประชาชน ซง่ึ หากยงั จำเปน ในการทจ่ี ะรวบรวม บริษัทควรมมี าตรการใหมีการเซ็นหรอื ขดี กำกบั แจงวัตถปุ ระสงคของเจาของขอมลู กอ น 3) การตรวจสุขภาพ การตรวจสอบประวตั อิ าชญากรรม หากบริษัทตองการเก็บขอมูลสวนบคุ คลละเอียดออน บางรายการ จะตอ งขอความยนิ ยอมจากเจา ของขอ มลู สว นบคุ คล เชน การขอตรวจสขุ ภาพ การขอตรวจประวตั อิ าชญากรรม การเกบ็ ลายนว้ิ มอื จากการสแกน ซง่ึ กระบวนการเหลา นจ้ี ะตอ งดำเนนิ การอยา งเปน ขน้ั ตอนและแจง วตั ถปุ ระสงคต อ เจา ของ ขอมูลใหชัดเจน หรืออาจตองมีการขอความยินยอมอื่น ๆ ในบางกรณี เชน การใชจีพีเอสติดตามตัวก็ถือวาเปนอีกหนึ่ง รายการซึ่งไมใชขอมูลสวนบุคคลละเอียดออน แตการใชจีพีเอสติดตามอาจจะเปนละเมิดขอมูลสวนบุคคลได แตหากจีพีเอ สนั้นนำใชงานกับเครื่องมือหรืออุปกรณอื่นๆ เชน รถของบริษัท หรือรถของสวนกลางที่ขับขี่ออกไป ในกรณีนี้ถือวา เปน มาตรการของบรษิ ทั สำหรบั พนกั งานผทู ำหนา ท่ี แตห ากรถตดิ จพี เี อสแลว ใหน ำไปใชง านวนั หยดุ เสาร- อาทติ ยก จ็ ะสามารถตรวจสอบ ท่อี ยไู ด แบบน้ีจะเปน การเขา ไปละเมิดสทิ ธิสว นบคุ คลมากเกินไป เอกสารที่บริษัทตองจัดทำเมื่อมีการทำสัญญาจางกับพนักงาน ตามกฎหมายคุมครองขอมูลสวนบุคคลไดแก 1. ประกาศความเปนสวนตวั สำหรับพนักงาน 2. หนังสือขอความยินยอม 3. บนั ทึกรายการประมวลผลขอมูลสว นบคุ คล โดยมีรายละเอียดดังน้ี 1. ประกาศความเปนสวนตัว (Privacy Notice) หรือ การแจงสิทธิของเจาของขอมูล ตามมาตรา 23 เพื่อใชแจงรายละเอียดเกี่ยวกับการประมวลผลขอมูลจากเจาของขอมูลสวนบุคคล โดยตองแจงใหเจาของขอมูลสวนบุคคล ทราบ กอน หรือ ขณะ ทีม่ กี ารเกบ็ ขอมลู ครงั้ แรกตามมาตรา 23 การแจง รายละเอียดสำหรบั ผูสมคั ร ประกอบดว ย 28

1) วัตถุประสงค 2) ความจำเปนตอ งใหข อมลู 3) ขอมลู ทจ่ี ัดเกบ็ ระยะเวลาการจดั เกบ็ 4) ประเภทของบคุ คลหรือนิติบุคคลทข่ี อ มูลอาจจะตอ งมกี ารเปดเผย 5) ขอ มูลตวั แทนของผคู วบคุมขอ มูล 6) สิทธิตามกฎหมาย 1.1 กรณีผูสมัครงาน ที่มีการใชบริษัทจัดหางาน เชน JobsDB, JobBKK เปนตน อาจมีการแจง โดยเพม่ิ link หรือ QR code เพอื่ ใหผสู มคั รงานสามารถอานรายละเอียดในการเก็บขอ มูลได 1.2 กรณกี ารเกบ็ ขอ มลู พนกั งาน โดยเมอ่ื พนกั งาน ผา นการสมั ภาษณแ ลว บรษิ ทั จะมกี ารเกบ็ ขอ มลู พนกั งานเพม่ิ เตมิ โดยอาจแจง แนบไปกบั สญั ญาจา งงาน หรอื อาจใชร ปู แบบ QR Code เพอ่ื ใหก ารเขา ถงึ เอกสารนน้ั งา ยขน้ึ 2. หนงั สือขอความยินยอม (Consent Form) (กรณีไมไดร บั ยกเวน ตามมาตรา 24 และมาตรา 26) มาตรา 24 (3) เปน การจำเปน เพอ่ื การปฏบิ ตั ติ ามสญั ญาซง่ึ เจา ของขอ มลู สว นบคุ คลเปน คสู ญั ญา หรอื เพอ่ื ใชใ นการดำเนินการตามคำขอของเจา ของขอ มลู สวนบคุ คลกอนเขาทำสัญญานัน้ มาตรา 26 หามมิใหเก็บรวบรวมขอมูลสวนบุคคลเกี่ยวกับเชื้อชาติ เผาพันธุ ความคิดเห็นทางการเมือง ความเชอ่ื ในลทั ธิ ศาสนาหรอื ปรชั ญา พฤตกิ รรมทางเพศ ประวตั อิ าชญากรรม ขอ มลู สขุ ภาพ ความพกิ าร ขอ มลู สหภาพแรงงาน ขอมูลพันธุกรรม ขอมูลชีวภาพ หรือขอมูลอื่นใด ซึ่งกระทบตอเจาของขอมูลสวนบุคคลในทำนองเดียวกัน ตามที่คณะ กรรมการประกาศกำหนด หากไมไดร บั ความยนิ ยอมโดยชดั แจงจากเจาของขอ มลู สวนบุคคล การขอความยินยอม ตองระบวุ ัตถุประสงคใ หช ดั เจน เขา ใจงา ย ไมค ลุมเครอื และทำใหผ ใู หความยินยอม ใหความยินยอมโดยสมัครใจ ปราศจากขอสงสัย 29

3. บันทกึ รายการกจิ กรรม (Record of Processing, RoPA) ตามมาตรา 39 การทำบันทึกรายการกิจกรรมนี้เปนไปตามขอกำหนดใน พรบ. และเปนหนาที่ของผูควบคุมขอมูลและ ผูประมวลผลขอมูล โดยตองมีการบันทึกในรายละเอียด เพื่อเปนหลักฐานและในกรณีตองมีการตรวจสอบบันทึกการ ประมวลผลขอมูลสวนบุคคล ไดแก ขอมูลที่มีการเก็บรวบรวม, วัตถุประสงคในการเก็บ, ขอมูลเกี่ยวกับผูควบคุมขอมูล, ระยะเวลาในการเกบ็ รกั ษา, สทิ ธเิ จา ของขอ มลู , การปฏเิ สธการใชส ทิ ธ,ิ คำอธบิ ายเกย่ี วกบั มาตรการรกั ษาความมน่ั คงปลอดภยั ของขอ มลู สว นบคุ คล และเพอ่ื ใหเ จา ของขอ มลู และสำนกั งานคณะกรรมการคมุ ครองขอ มลู สว นบคุ คล (สคส.) ตรวจสอบได หนา ท่ใี นการจดั ทำทะเบียนลกู จาง การจัดทำทะเบยี นลกู จา งตามพระราชบัญญัตคิ ุมครองแรงงานจะตองมีเง่ือนไข ดังนี้ • นายจางที่มีลูกจางต้งั แต 10 คนขึน้ ไป • จัดทำภายใน 15 วันนบั แตว ันทลี่ ูกจา งเขาทำงาน • เก็บไว ณ สถานประกอบการ • เกบ็ ไวไ มน อ ยกวา 2 ป นับแตวันสนิ้ สุดการจา งลกู จางแตล ะราย (มาตรา 115) • ฝาฝน ปรบั 20,000 บาท (มาตรา 146) รายการเกบ็ ขอ มลู เพ่อื จดั ทำทะเบยี นลกู จาง ประกอบดวย 1) ชอ่ื - นามสกลุ 2) เพศ 3) สญั ชาติ 4) วันเดอื นปเกิด/อายุ 5) ทอี่ ยปู จ จบุ ัน 6) วันทีเ่ ริม่ จา ง 7) ตำแหนงหรอื งานในหนาท่ี 8) อตั ราคาจาง/ประโยชนตอบแทนอน่ื ๆ 9) วันสิ้นสุดของการจาง 3. กิจกรรมการใชขอมูลของพนักงานรวมกันในหลายบริษทั 1. ใชข อ มลู พนกั งานรว มกนั ในเครอื บรษิ ทั ทอ่ี ยใู นประเทศไทย บริษัทในเครือเดียวกันหากอยูในประเทศไทยทั้งหมด ก็จะอยูภายใต กฎหมาย PDPA เดยี วกนั ในกรณที บ่ี รษิ ทั ทง้ั หมดในเครอื อยใู นประเทศไทย การแบงหรือใชขอมูลรวมกัน (Sharing) สามารถใชฐานเดียวกันได คือฐานสัญญา 30

การเปดเผยขอมูลออกไปยังบริษัทในเครือได จะตองแจงกับพนักงานวา อาจจะตองมีการสงขอมูลออกไปใหกับ บริษัทในเครือ หากบริษัทในเครือใชนโยบายเรื่องการคุมครองขอมูลสวนบุคคล และนโยบายความเปนสวนตัวที่เปนฉบับ เดียวกันทั้งหมดก็ สามารถดำเนินการได แตหากบริษัทในเครือมีนโยบายของตนเอง การแชรขอมูลของพนักงาน จะตองมี การตรวจสอบมาตรการ และขัน้ ตอน รวมทง้ั มาตรฐานทางระบบกอ น การแจง Privacy Notice หรือ การแจงตามมาตรา 23 ฐานทางกฎหมายที่ใช (Lawful Basis) เปนฐานสัญญา ระบุใหชัดเจนวาจะเปดเผยขอมูลสวนบุคคลอะไรบาง ไปยังบริษัทที่อยูในเครือบริษัทใด กรณีบริษัทในเครือแยกนโยบาย คมุ ครองขอมูลสวนบุคคลกันคนละฉบับ ตองแจงนโยบายของบรษิ ัทในเครือใหพนกั งานบรษิ ทั ทราบดวย ความรบั ผดิ ชอบในฐานะ “ผคู วบคมุ ขอ มลู สว นบคุ คล” เปน ของบรษิ ทั ตน สงั กดั ทพ่ี นกั งานอยใู นสงั กดั ในประเทศไทย จึงอยูใ นขอบงั คบั ของพระราชบญั ญัตคิ มุ ครองขอมูลสวนบคุ คล พ.ศ. 2562 เชนกนั 2. การใชข อมูลพนกั งานรว มกนั ในเครอื บรษิ ทั ท่อี ยใู นตางประเทศ ในกรณีท่ีบรษิ ทั ในเครืออยตู างประเทศ จะเขา กบั ขอ กฎหมายตามมาตรา 28 และ มาตรา 29 เพราะเมอ่ื สง ขอ มูล ออกไปยังตางประเทศ จำเปนตองมีการตรวจสอบประเทศปลายทางในสวนของหลักการทางกฎหมาย โดยประเทศปลาย ทางจะตองมีมาตรฐานการคุมครองขอมูลสวนบุคคลที่เทาเทียมกับประเทศไทย หรือไมดอยไปกวาของไทย ตัวอยางเชน การสงขอมูลจากประเทศในกลุม Europe กลุม EU ไปยังประเทศ Singapore หรือจาก America ไป England และ Australia กลุมประเทศเหลานี้จะมี Data Protection คลา ยกับประเทศไทย แตห ากสงออกขอ มลู ไปในประเทศท่ไี มมน่ั ใจ ในเรื่องของการคุม ครองขอ มูล (Data Protection) จำเปนตอ งมีการตรวจสอบรายละเอียดกอ นทำการสงขอมลู หากเปนบริษัทในเครือของบริษัทสำนักงานใหญ โดยปกติจะมีเอกสารที่เรียกวา Binding Corporate Rules ซึ่ง เปนเสมือนกับเปนบัญญัติที่ใชกับทุกๆบริษัทในเครือ เชน บริษัทของญี่ปุน บริษัทแมอยูญี่ปุนแตมีสาขายอยทั่วโลก บริษัท ลกู จะเปด ใชบ ญั ญตั ฉิ บบั เดยี วกนั และมมี าตรฐานกจ็ ะเปน ในแนวทางกส็ ามารถดำเนนิ การได แตห ากมเี หตตุ อ งสง ขอ มลู สว น บคุ คลออกไปในบรษิ ทั ทอ่ี ยใู นประเทศทม่ี มี าตรฐานคมุ ครองขอ มลู สว นบคุ คลทไ่ี มเ พยี งพอหรอื ยงั ไมม ี จำเปน ตอ งแจง ใหพ นกั งาน ทราบวาประเทศนี้ยงั ไมม มี าตรฐานหรอื ยงั ไมเปด ใชง าน Data Protection เพอ่ื ใหพ นักงานไดต ดั สินใจกอนจะเซน็ ยนิ ยอม การแจง Privacy Notice หรอื การแจงตามมาตรา 23 โดยฐานทางกฎหมายทใ่ี ช (Lawful Basis) เปนฐานสญั ญา ตอ งระบใุ หช ดั เจนวา จะเปด เผยขอ มลู สว นบคุ คลอะไรบา ง บรษิ ทั ผสู ง ขอ มลู สว นบคุ คลออกไปยงั ตา งประเทศตอ งมมี าตรฐาน การคุมครองขอมูลสวนบุคคลที่ดีเพียงพอหรือมีนโยบายคุมครองขอมูลสวนบุคคลที่ไดรับการตรวจสอบและอนุมัติจาก สำนกั งานคณะกรรมการคมุ ครองขอ มลู สว นบคุ คลแลว (มาตรา 28, 29) บรษิ ทั ผสู ง ขอ มลู สว นบคุ คลออกไปยงั ตา งประเทศ ตอ งตรวจสอบมาตรฐานการคมุ ครองขอ มลู สว นบคุ คลของประเทศปลายทาง (มาตรา 28) ถา ยงั ไมด เี พยี งพอตอ งแจง เจา ของ ขอ มลู สว นบคุ คลเพอ่ื ขอความยนิ ยอมกอ น ความรบั ผดิ ชอบในฐานะ “ผคู วบคมุ ขอ มลู สว นบคุ คล” เปน ของบรษิ ทั ทพ่ี นกั งาน สงั กดั ควรจัดทำเอกสาร Binding corporate rules (BCR) 31

3. การใชขอ มลู พนกั งานรวมกันระหวางบริษทั กบั บรษิ ทั จัดหาแรงงาน ในบางกรณีการใชลูกจางเหมาคาแรงแบบ Outsource อาจจะตองใชขอมูลจากทั้งสองฝาย ทั้งในสวนของบริษัท Outsource และพนักงานเองซึ่งหากมีขัน้ ตอนการทำงานแบบนี้ทางบริษัทตองมนี โยบายคมุ ครองขอมูลสว นบุคคลท่ี คุม ครองไปยงั ลูกจาง outsource ดว ย 1) มกี ิจกรรมทเี่ กยี่ วขอ งกบั การ เกบ็ รวบรวม ใช เปดเผย และ ตางฝายตา งเปน “ผูควบคุมขอ มลู สวนบุคคล” Data Controller (DC) 2) ตางฝา ยตองแจง Privacy Notice หรือ การแจง ตามมาตรา 23 ใหพ นกั งานรบั เหมาคา แรงทราบ 3) ระหวา ง บรษิ ทั กบั บรษิ ทั จดั หาแรงงาน ควรจดั ทำ “สญั ญาแบง ปน ขอ มลู ” Personal Data Sharing Agreement ความจำเปนตองใช แบงปน โอน แลกเปลี่ยน หรือเปดเผย (รวมเรียกวา “แบงปน”) ขอมูลสวนบุคคลที่ตนเก็บ รกั ษาแกอ กี ฝา ย ซง่ึ ขอ มลู สว นบคุ คลทแ่ี ตล ะฝา ย เกบ็ รวมรวม ใช หรอื เปด เผย (รวมเรยี กวา “ประมวลผล”) แตล ะฝา ยตา ง เปนผูควบคุมขอมูลสวนบุคคล ตามกฎหมายที่เกี่ยวของกับการคุมครองขอมูลสวนบุคคล กลาวคือแตละฝายตางเปน ผมู อี ำนาจตดั สนิ ใจ กำหนดรปู แบบ และกำหนดวตั ถปุ ระสงค ในการประมวลผลขอ มลู สว นบคุ คลในขอ มลู ทต่ี นตอ งแบง ปน 4. การใชขอมูลพนกั งานรว มกนั ระหวา ง “ผูควบคุมขอ มูล” กบั “ผูประมวลผลขอ มูล” การแบงปนขอมูลระหวางผูควบคุมขอมูลสวนบุคคลกับผูประมวลผลขอมูลสวนบุคคลนั้นอยูในสวนของมาตรา ตาง ๆ เชน การตรวจสุขภาพใหพนักงาน การสงขอมูลใหสถานพยาบาลที่รับตรวจ โดยการสงตองเปนขอมูลทั่วไป ไมใช ขอ มลู ทล่ี ะเอยี ดออ น เมอ่ื ตรวจสขุ ภาพ บรษิ ทั ควรใหพ นกั งานใชแ ค รหสั พนกั งาน ชอ่ื - นามสกลุ อายุ เทา นน้ั ในการเขา รบั การตรวจ 1) ฝายหนึ่งเปนผมู อี ำนาจสง่ั อีกฝา ยตอ งปฏิบตั ิตาม และไมต ดั สนิ ใจทำนอกเหนือคำสงั่ 2) ฝายหน่ึงคอื “ผูค วบคุมขอมูล” กับอีกฝายคือ “ผูป ระมวลผลขอ มลู ” 3) ระหวาง 2 ฝาย จดั ทำ “สญั ญาประมวลผลขอ มูลสวนบุคคล” Data Processing Agreement (DPA) มาตรา 40 วรรค 3 การดำเนินงานตามหนาที่ของผูประมวลผลขอมูลสวนบุคคลตามที่ไดรับมอบหมายจากผูควบคุมขอมูล สวนบุคคล ผูควบคุมขอมูลสวนบุคคลตองจัดใหมีขอตกลงระหวางกัน เพื่อควบคุมการดำเนินงานตามหนาที่ของ ผูประมวลผลขอมูลสว นบคุ คลใหเ ปนไปตามพระราชบัญญตั นิ ี้ 4. การประเมนิ ผลงานของพนักงาน การประเมนิ ผลพนกั งานโดยหลกั ทเี่ ราพบเปนประจำและใชง านกนั มี อยู 5 รายการ ดังนี้ 1. การประเมนิ สัมภาษณง าน เปน การประเมนิ คณุ สมบตั แิ ละคณุ ลกั ษณะเบอ้ื งตน สำหรบั ตำแหนง งาน 32

2. การประเมินผลระยะทดลองงาน ในทางปฏิบัติแลวนั้นกำหนดระยะเวลาในการทดลองงานตองไมเกิน 119 วัน หากใชระยะเวลาถึง 120 วัน เมื่อเกิดการ เลิกจางโดยเหตุไมผานการประเมิน บริษัทจะตองจายคาชดเชย ตาม พ.ร.บ.คุมครองแรงงาน มาตรา 118 อยางไรก็ตาม ทาง HR ไมค วรประเมนิ แคค ร้งั เดียวในวนั ท่ี 119 แตควรประเมนิ กนั ในทกุ 30 วัน 60 วนั และ 90 วนั 3. การประเมินผลงานประจำป การประเมินประจำปนั้นอาจไมไดหมายความวาในแตละปจะมีการประเมินเพียงครั้งเดียว ในบางครั้งทางบริษัทหรือ HR กจ็ ะมกี ารประเมินทกุ ไตรมาสท่ี 1 , 2 , 3 และไตรมาสที่ 4 และรวมกันเปน การประเมนิ ผลงานประจำป 4. การประเมินเพื่อปรับเลื่อนตำแหนง การประเมินผลในรูปแบบนี้อาจจะตองมีการนำผลการประเมินผลงาน หลายปย อ นหลัง เชน 2-3 ปหลังมาพิจารณาดวย วาไดมผี ลการประเมินดีมาตลอดจงึ ควรไดร บั การเล่อื นตำแหนง หรอื เมอื่ เลือ่ นตำแหนงไปแลวพนักงานสามารถทำไดต ามตำแหนงหรือไม และทำไดต ามความสามารถท่คี าดหวังไวห รอื ไม 5. การประเมินเมื่อมีการเปลี่ยนงาน เชน พนักงานยายจากแผนกหนึ่งมาอีกแผนกหนึ่ง หรือ อาจจะยายการ ทำงานทม่ี ลี กั ษณะใกลเ คยี งกนั แตอ าจจะตอ งมกี ารประเมนิ ใหมอ กี ครง้ั วา พนกั งานยงั มศี กั ยภาพในการทำงานเหมอื นเดมิ หรอื ไม หลกั การโดยทัว่ ไปของการประเมนิ ผลพนกั งานมี ประมาณ 5 เรื่อง ดังนี้ 1) หวั ขอ ในการประเมนิ ตองเกยี่ วของกับการคัดเลือกคน 2) การใหความคิดเห็นของกรรมการสัมภาษณตอ งระมดั ระวงั 3) ไมเปด เผยใหผทู ไี่ มเก่ียวของทราบถงึ ขอ มูล 4) เจา ของขอมลู สวนบุคคลมีสิทธติ าม PDPA ในขอมลู สว นบคุ คล 5) การทำลายเมือ่ หมดความจำเปน กรณตี วั อยางการประเมนิ พนักงาน 1. ตัวอยางการประเมนิ หวั ขอ เรื่องของการคัดเลอื กพนักงาน การคดั เลอื กพนกั งานจะมกี ารกำหนดคณุ สมบตั ทิ บ่ี รษิ ทั ตอ งการ และมพี น้ื ทใ่ี หแ สดงความคดิ เหน็ สำหรบั ผสู มั ภาษณ โดยปกติน้นั ผูส ัมภาษณก็ไมใ ชแ ค HR ฝา ยเดียว แตกจ็ ะมผี ูจัดการฝาย หรือหวั หนาฝายนน้ั ๆ เขา รวมในการสมั ภาษณด ว ย เพราะฉะนน้ั จดุ ทส่ี ำคญั คอื เมอ่ื เราตอ งการคดั เลอื กคนเขา ทำงาน ประเดน็ คำถามควรเปน หวั ขอ ทส่ี มั พนั ธก บั การทำงานและ การเขยี นความคดิ เหน็ ทห่ี วั หนา เขยี นกจ็ ะตอ งสมั พนั ธก บั ตำแหนง การทำงานเชน กนั ซง่ึ ผสู มคั รทเ่ี ขา รบั การสมั ภาษณม สี ทิ ธิ ในการขอดูใบประเมินไดวา เหตุใดจงึ ไมผานการสัมภาษณง าน ตวั อยางจากตางประเทศ มอี าจารยทานหนงึ่ ประเมินคะแนนนักเรียน แตเ ดก็ คนน้ีประเมินไมผ าน และยงั มเี ด็กอีก สีค่ นท่ปี ระเมนิ ไมผ านเชนกนั โดยกลุม เด็กทง้ั 4 มาหาอาจารยเพอื่ ขอดูขอ สอบที่อาจารยใ หคะแนนและแสดงความคิดเห็น วา ทำไมเขาถึงไมผาน โดยอาจารยน ้ันตอ งใหด ู แตเ ดก็ ทง้ั 4 ไมไดด พู รอ มกัน ไมเ หน็ คะแนนของกันและกัน เมือ่ นำมาเทียบ เคยี งกนั กับเรือ่ งของการประเมินการสมั ภาษณง าน ผูเขา รว มสมั ภาษณมสี ทิ ธิท่ีจะขอดูแบบประเมินเชนกนั เพราะฉะนน้ั ใน การออกแบบแบบประเมนิ จะตอ งมคี วามสอดคลอ งกบั เรอ่ื งของงานเทา นน้ั ไมว า จะเปน สมั ภาษณง าน ประเมนิ งาน ทดลองงาน หรอื ประเมนิ การผา นงาน และการแสดงความคดิ เห็นควรจะอยูในกรอบของการทำงาน 33

ในเร่อื งของการประเมนิ ผลงานประจำปก ็จะมเี นอ้ื หาทใ่ี กลเ คียงกนั แบบฟอรมควรมีการระบุเปนหัวขอ และในชอ ง ที่เปนตัวเลขใหใชคำ วา “พอใช”“ดี” “ดีมาก” และไมควรใชวา “ดีมากกวา” “ดีมาก” “ดีพอใช” “ควรปรับปรุง” ซึ่งรูป แบบนี้เราก็ตองมีหลักฐานและมีการแสดงความคิดเห็นที่ถูกตองตามเรื่องของการทำงาน โดยสวนมากการประเมินเราจะ ตอ งให feedback กบั พนักงานวา ตองพัฒนาอะไร และเม่ือมกี ารให Feedback ข้ันตอนตอไปคอื การใหค วามรูความเขา ใจ กับทางหัวหนางานวาพนักงานนั้นมีสิทธิในการที่จะขอดูผลการประเมิน เพราะฉะนั้นเวลาดำเนินการจะตองโปรงใสและ เปน ธรรม โดยผลการประเมินตาง ๆ ควรมีการเกบ็ ประมาณ 2-3 ป 5. การบนั ทึกเวลาของพนักงานในรปู แบบตางๆ ในสมยั กอนนัน้ การบนั ทกึ เวลาจะเปนในรปู แบบของบัตรตอก การรดู บตั ร และการใสรหสั ซ่ึงปจจบุ ันมีเทคโนโลยี ใหม ๆ เกดิ ขน้ึ ตลอดเวลา เชน 1) Finger Scan (การสแกนลายน้วิ มอื ) 2) Face Recognition (การจดจำใบหนา) 3) Iris Recognintion (การจดจำรูมา นตา) 4) Voice Recognition (การจดจำเสยี ง) 5) การสแกนเสนเลือดดำบนฝามือ ขอ มลู ทง้ั หมดนถ้ี อื เปน ขอ มลู ทางชวี ภาพ หรอื Biometric ซง่ึ เปน ขอ มลู ละเอยี ดออ นทจ่ี ำเปน ตอ งปกปอ งสงู กวา ขอ มลู ท่ัวไป เนือ่ งจากใชใ นการปลอมแปลงตวั ตนได การเก็บขอมูลเหลาน้ี จดั อยใู นกลมุ มาตรา 26 หา มมใิ หเกบ็ ขอ มลู สวนบุคคล ที่เกี่ยวกับเชื้อชาติ เผาพันธุ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติ อาชญากรรม ขอ มลู สขุ ภาพ ความพกิ าร ขอ มลู สหภาพแรงงาน ขอ มลู พนั ธกุ รรม ขอ มลู ชวี ภาพ หรอื ขอ มลู อน่ื ใด ซง่ึ กระทบ ตอเจา ของขอ มลู สวนบคุ คลในทำนองเดียวกนั ตามทีค่ ณะกรรมการประกาศกำหนด การสแกนลายนิ้วมือ Finger Scan เสถียรภาพไมคอยดี สามารถปลอมแปลงไดงายกวา การจดจำใบหนา Face Recognition ในขณะที่การสแกนรูมานตา ก็พัฒนาขึ้น สามารถแบงแยกฝาแฝดได เนื่องจากโครโมโซมไมเหมือนกัน แต การสแกนรูมานตาบอย ๆ อาจสงผลตอมานตาได จึงไมคอยใชในอุตสาหกรรมหรือบริษัททั่วไป ในขณะที่การสแกนเสียง Voice recognition ก็สามารถทำไดงาย แตไมเสถียรเชนเดียวกัน เนื่องจากเสียงสามารถเปลี่ยนไดในสภาวการณตาง ๆ เชน อารมณเสีย หรือไมสบาย เปนตน สวนการสแกนเสนเลือดดำบนฝามือ ถือเปนเทคโนโลยีลาสุด อยางไรก็ตาม มาตรา 26 หามมิใหเก็บรวบรวมขอมูลสวนบุคคลเกี่ยวกับเชื้อชาติ เผาพันธุ ความคิดเห็น ทางการ เมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ขอมูลสุขภาพ ความพิการ ขอมูล สหภาพแรงงาน ขอมูลพันธุกรรม ขอมูลชีวภาพ หรือขอมูลอื่นใด ซึ่งกระทบตอเจาของขอมูลสวนบุคคลในทำนองเดียวกัน ตามทค่ี ณะกรรมการประกาศกำหนด โดยไมไ ดร บั ความยนิ ยอมโดยชดั แจง จากเจา ของขอ มลู สว นบคุ คล เวน แตเ ขา ขอ ยกเวน ตามบญั ญัตขิ องพ.ร.บ.ฉบบั นี้ 34

6. การเก็บขอ มลู เพ่ือบนั ทึกเวลาการเขางาน กรณี “ไมตอ งขอความยนิ ยอม” : บัตรตอก บตั รรดู ใสรหัส ลงสมุดเขา งาน กรณี “ตองขอความยินยอม” : Biometric สแกนน้วิ มือ สแกนใบหนา สแกนมา นตา กรณศี กึ ษาฐานทางกฎหมายท่ีใชในการบนั ทึกเวลาทำงานของพนักงาน บริษัทแหงหนึ่ง มีโรงงานหลายแหง และมีวิศวกรโยธาหลายคน ซึ่งทำงานไมพรอมกัน และทำใหตองมีรถประจำ ตำแหนงเพื่อสะดวกในการเดินทาง บริษัทจึงมีการติด GPS ในรถ เพื่อดูรายงานการเขาออกงาน ในกรณีดังกลาว สามารถ ดำเนินการโดยใช ฐาน Legitimate Interest เนื่องจากมีเหตุผลที่เพียงพอและพอรับไดวาเพื่อใชในการคิดคาทำงานลวง เวลา แตในกรณีนี้ขอควรระวัง คือ จะทำอยางไรเพื่อไมใหเปนการละเมิดความเปนสวนตัวหลังเลิกงาน วิธีที่ดีที่สุด คือ ปด การติดตาม GPS ตอนเลิกงาน แตอาจเปนเร่ืองยุงยากพอสมควร ดังนน้ั การขอความยินยอม จึงเปน อีกแนวทางหนง่ึ ในการ ดำเนินการในกรณีดังกลาว โดยจะตองออกแบบขั้นตอนในการเก็บขอมูลใหดี เพื่อใหพนักงานมั่นใจวาจะไมเกิดการละเมิด สิทธิส์ วนบคุ คล ในการขอความยินยอมนั้น สามารถขอความยินยอมในวันทำสัญญาเขาทำงาน โดยความยินยอมจะตองไมเปน สว นใดสว นหนง่ึ ของสัญญา เชน การแยกเอกสารขอความยินยอมโดยเฉพาะ เพื่อใหมั่นใจวา ความยินยอมน้ันไมใชสว นหน่งึ ของสัญญาและในการขอความยินยอมสามารถอธิบายถึงความจำเปนตองเก็บ โดยแตละบริษัทอาจมีเอกสารขอความ ยินยอมที่แตกตางกัน ทั้งนี้ในการขอความยินยอมสามารถแบงออกเปนเรื่อง ๆ เชน การเก็บขอมูลดานสุขภาพ ขอความ ยินยอมการตรวจขอมูลประวัติอาชญากรรม ขอความยินยอมในการสแกนใบหนาเพื่อรายงานการเขาออกบริษัทและ นอกจากหนังสือขอความยินยอมเมื่อเขาทำงานแลว ในกรณีที่พนักงานลาออกควรลบทำลายขอมูลทันทีเมื่อหมดความ จำเปน บริษัทอาจจะตองเตรียมแบบฟอรมและขั้นตอนการขอถอนความยินยอมในกรณีที่พนักงานตองการ โดยจะตอง ออกแบบใหสามารถถอนความยินยอมไดงายเหมือนกับการขอความยินยอมตอนเขาทำงานเชนกัน 7. การตรวจสุขภาพของพนกั งานและใบรบั รองแพทย การตรวจสุขภาพของพนักงานถือเปนสิ่งที่สำคัญเพราะนอกจากจะเปนหนาที่หลักของงาน HR แลว การตรวจสุขภาพ ยังมคี วามเกี่ยวขอ งกับขอมลู ละเอียดออ น ซ่งึ มดี ว ยกันหลายประเภท ดังนี้ 1. ตรวจสุขภาพกอ นเขางาน 2. ตรวจสุขภาพโรคตามงานเสี่ยง 3. ตรวจสขุ ภาพประจำป 4. ตรวจสารเสพติด 5. ใบรับรองแพทยป ระกอบการลาปว ย 6. ใบรับรองแพทยประกอบสิทธิสวัสดิการ 7. ใบรบั รองแพทยเ บิกประกันสังคมกองทนุ ทดแทน 8. ใบรับรองแพทยเ บกิ ประกันสงั คมกองทนุ ประกนั สังคม 9. ใบรบั รองแพทยเบกิ ประกันชวี ติ 35

ขอมลู สุขภาพ และ พระราชบญั ญตั ิโรคตดิ ตอ พ.ศ.2557 (จำเปน ในการตรวจสขุ ภาพ) “โรคตดิ ตอ” หมายความวา โรคทเี่ กิดจากเช้ือโรคหรือพษิ ของเชือ้ โรคซ่ึงสามารถแพรโ ดยทางตรงหรือทางออ มมาสคู น “โรคตดิ ตอ อนั ตราย” หมายความวา โรคตดิ ตอท่ีมคี วามรนุ แรงสูงและสามารถแพรไ ปสูผูอนื่ ไดอ ยา งรวดเร็ว “โรคติดตอท่ีตอ งเฝาระวงั ” หมายความวา โรคตดิ ตอ ท่ีตอ งมกี ารติดตาม ตรวจสอบ หรอื จัดเกบ็ ขอ มลู อยา งตอ เน่อื ง “โรคระบาด” หมายความวา โรคติดตอ หรอื โรคทย่ี ังไมท ราบสาเหตขุ องการเกดิ โรคแนช ัด ซ่งึ อาจแพรไปสูผอู ื่นไดอยาง รวดเรว็ และกวางขวาง หรอื มีภาวะของการเกดิ โรคมากผดิ ปกตกิ วา ที่เคยเปน มา การขอใบรบั รองแพทยจ ากลูกจาง ตาม พ.ร.บ.คุมครองแรงงาน พ.ศ. 2541 นายจางอาจขอใบรับรองแพทยจากลูกจางที่ลาปวยตั้งแต 3 วันขึ้นไป แตหาก กรณีลาปวยไมเกิน 3 วัน และนายจางขอใบรับรองแพทยจากลูกจางหรือ กรณีนายจางขอใบรับรองแพทยเพื่อนำ ไปใชว ัตถุประสงคอยา งอนื่ จำเปนจะตองจัดทำหนังสอื ขอความยินยอม 8. การใหสวัสดิการกบั การเก็บขอมลู สวนบุคคล สวสั ดกิ ารนน้ั เปน สว นหนง่ึ ในการจงู ใจใหพ นกั งานทำงานกบั บรษิ ทั และยงั ชว ยใหร บั พนกั งานใหมไ ดง า ยขน้ึ สวสั ดกิ าร นั้นอยูนอกเหนือกฎหมาย ขึ้นอยูกับแตละบริษัท ซึ่งในปจจุบันแตละบริษัทมีสวัสดิการมากมาย ซึ่งมีสวนที่เกี่ยวของกับ กฎหมายคมุ ครองขอมูลสว นบุคคล ดงั นี้ 1. สวัสดิการแตงงาน คลอดบุตร งานศพ ในสวนนี้ตองดูวาบริษัทมีขั้นตอนในการดำเนินงานการเบิกจายสวัสดิการอยางไร ถาใหเบิกไดเลยโดยไมตองใช เอกสารใด ๆ จะไมม สี ว นทเ่ี กย่ี วขอ งกบั กฎหมายคมุ ครองขอ มลู สว นบคุ คล แตถ า ตอ งมเี อกสารแนบ เชน สตู บิ ตั ร ถอื เปน การ เกบ็ ขอ มลู สว นบคุ คลของเดก็ หรอื ผเู ยาว จงึ จำเปน ตอ งมกี ารขอความยนิ ยอม ซง่ึ ผปู กครองสว นใหญย อ มอยากจะไดส วสั ดกิ าร และยนิ ดใี นการใหค วามยนิ ยอม หรอื ในกรณพี นกั งานแตง งาน หากทางบรษิ ทั ตอ งใชท ะเบยี นสมรสเปน หลกั ฐาน ถอื เปน การ เกบ็ ขอ มลู สว นบคุ คลของบคุ คลท่ีสาม ซ่ึงตอ งใชการขอความยนิ ยอมเชน กัน 2. การทอ งเทย่ี วประจำป การแขง กฬี า งานเลีย้ งปใหม งานเลย้ี งเกษียณ สวนที่เกี่ยวของกับกฎหมายคุมครองขอมูลสวนบุคคล คือ การถายรูป ทั้งนี้คนไทยสวนใหญจะชอบการถายรูป แตอาจจะมีบางคนที่ไมชอบใหมีการเผยแพรในสื่อตาง ๆ ดังนั้นจึงจะตองเคารพสิทธิของคนกลุมดังกลาว จึงควรมีการแจง การคมุ ครองขอ มูลสว นบคุ คล ไวก อนการเก็บรวบรวม ใช หรอื มีการเปดใหใ ชส ทิ ธติ าง ๆ เชน การขอลบ เปน ตน 3. งานเลย้ี งวนั เกิดแจกของ ในแตล ะเดอื น บางบริษทั จะมีการเปด เผยชือ่ พนกั งานทเ่ี กิดในเดือนนั้น ๆ และการจดั กจิ กรรมวนั เกิด ซงึ่ อาจจะมี บางคนที่ไมตองการใหมีการเปดเผยเชนกัน ดังนั้นจึงควรมีการแจงการคุมครองขอมูลสวนบุคคล ไวกอนการเก็บรวบรวม ใช หรือมกี ารเปด ใหใ ชส ทิ ธติ า ง ๆคอยมีประเด็นเกย่ี วกับการละเมดิ ขอมูลสว นบคุ คล 4. กองทนุ สำรองเล้ยี งชพี ในสว นของกองทนุ สำรองเลย้ี งชพี นน้ั สว นใหญจ ะแคเ ปด เผยขอ มลู ไปยงั ผจู ดั การกองทนุ เทา นน้ั ซง่ึ เปน ขอ มลู ทว่ั ไป จึงไมคอยมีประเดน็ เกยี่ วกบั การละเมิดขอมลู สวนบุคคล 36

5. การลาพิเศษในวันสำคญั ทางศาสนา ในการเกบ็ ขอ มูลทางศาสนากรณที มี่ ีความจำเปน เชน เพอ่ื ใหว นั หยุดเพ่มิ ตามศาสนา ทัง้ น้บี รษิ ัทสามารถขอความ ยินยอมใหพนักงานใหขอมูลหลังจากไดรับการคัดเลือกเปนพนักงาน เพื่อเปนสิทธิประโยชนในการลาของพนักงาน แต อยางไรกต็ ามพนักงานมสี ิทธิ์ทีจ่ ะใหหรือไมใหก ็ได แตไ มจำเปนตองขอความยนิ ยอมตั้งแตตอนสมัคร เพราะจะสง ผลตอ การ จดั การในกรณีท่ผี ูสมคั รงานไมไ ดร บั การคดั เลือก ท้งั นห้ี ากเปนกรณีมกี ารจัดกจิ กรรมท่ตี อ งจดั เตรียมอาหาร จดั หอ งพิเศษ เชน เพ่อื การละมาด บริษัทไมจำเปน ตอง ขอขอ มลู ทางศาสนา แตส ามารถถามความตอ งการในเรอ่ื งของ Facility เพม่ิ เตมิ ใหพ นกั งานแจง เอง โดยเลย่ี งการขอขอ มลู ทางศาสนา 6. คา เดินทางหรอื จดั รถรับสง การใหคาเดนิ ทาง หรือการจดั รถรับสง พนกั งาน บริษัทควรมกี ารแจง การคุมครองขอมูลสว นบุคคล ไวก อ นการเก็บ รวบรวม ใช หรือมีการเปดใหใชสิทธิตาง ๆ เชนขอเก็บขอมูล ที่อยูบาน หรือตำแหนงบาน โดยมีเหตุผลรองรับคือเพื่อให HR สามารถจดั การระบบการรบั สง พนกั งาน เสนทางการเดินรถ จำนวนรถได ซึง่ ถอื เปน สวัสดกิ ารอยางหนึ่งของบรษิ ัท 7. สวสั ดกิ ารหองพยาบาลท่ีมแี พทยหรอื พยาบาล ในกรณที บ่ี รษิ ทั หรอื โรงงานขนาดใหญม พี ยาบาลซง่ึ เปน พนกั งานของบรษิ ทั เอง ถอื เปน Data Controller เดยี วกนั อาจจะบรหิ ารจดั การไดง า ย แตถ า ใชแ พทยห รอื พยาบาลบคุ คลภายนอกหรอื Outsource ถอื เปน Data Processor ในการ เกบ็ ขอ มลู สว นบคุ คลดา นสขุ ภาพ พยาบาลมคี วามจำเปน ตอ งคมุ ครองขอ มลู สขุ ภาพของพนกั งาน ซง่ึ ถอื เปน ขอ มลู สว นบคุ คล ละเอียดออน ดังนั้นจึงตองมีการทำความเขาใจเกี่ยวกับกฎหมายคุมครองขอมูลสวนบุคคลใหแกแพทยและพยาบาลดวย ในกรณีที่บริษัทมีสวัสดิการมากกวาสวัสดิการที่กลาวมาขางตน บริษัทจะตองพิจารณาวาเขาขายกฎหมายมาตราใด และ จะตองขอความยนิ ยอมหรอื ดำเนินการอยางไรเพอ่ื ใหสอดคลอ งกบั กฎหมายอกี ดว ย 8. การฝก อบรมใหพ นกั งาน ในการฝกอบรม ไมมีการเก็บขอมูลสวนบุคคลละเอียดออน จะใชเฉพาะขอมูลสวนบุคคลทั่วไป เชน ชื่อ นามสกุล ตำแหนง เบอรโ ทร อเี มล เปน ตน โดยการฝก อบรมพนกั งานสามารถแยกออกเปน 2 ประเภท คอื การฝก อบรมในประเทศ และการฝก อบรบตางประเทศ ดงั นี้ การฝก อบรมในประเทศ สามารถแบงไดเ ปน 1) Public Training เปนการสงพนักงานไปฝก อบรมภายนอกองคกร ซ่งึ จะตองมกี ารเปดเผย ชอื่ นามสกุล ตำแหนง เบอรโ ทรศพั ท อเี มล มกี ารลงทะเบียนหนา หองกอนเขาอบรม 2) In-House Training เปนการจดั ฝกอบรมภายในองคก ร ซ่ึงจะตองมีการเปดเผย ช่อื นามสกลุ ตำแหนง แผนก รวมทัง้ มีการบันทึกภาพระหวา งการอบรม ซงึ่ การฝกอบรมภายในไมไดม ีผลกระทบกบั เรอื่ งการคุมครองขอมลู สวนบคุ คล มากนกั เพราะอยภู ายในบริษัท 3) Online Training การฝกอบรมออนไลน ในปจจบุ ันสามารถขน้ึ ทะเบยี นขอรบั รองหลกั สตู รกบั กรมพัฒนาฝม อื แรงงานได 37

โดยจะตอ งเกบ็ ขอ มลู สว นบคุ คล เชน ใบหนา ซง่ึ ตอ งบนั ทกึ ภาพการอบรมไวต ลอดการฝก อบรม ในการฝก อบรมแบบออนไลนน้นั มเี รอื่ งท่ตี องคำนึงถงึ คือ เร่ือง Security บรษิ ทั ควรจะตอ งรวู า ใช Provider ของใคร ซึง่ ในการเลือกใช ควรจะเลอื กใชท ไ่ี ด รับการรับรองวาไดขึ้นทะเบียน Security กับกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมแลว ระบบออนไลนสามารถบันทึก ได และคุมครองขอมูลสวนบุคคลได รูวา server เก็บไวที่ใด มีระบบการคุมครองดี และสามารถตรวจสอบได ทั้งนี้ในสวน ของการขึ้นทะเบียนรับรองหลักสูตรกับกรมพัฒนาฝมือแรงงาน กรณีที่มีพนักงาน 100 คนขึ้นไป จะตองมีการเปดเผย ชื่อ นามสกุล แผนก และรหัสบตั รประชาชน ของผูเขาอบรม ซึ่งเปน ไปตามฐานกฎหมาย เนือ่ งจากมีพระราชบัญญัตใิ นเร่ืองดงั กลาวอยูแลว การฝก อบรมตา งประเทศ ในกรณที บ่ี รษิ ทั ตอ งสง พนกั งานเพอ่ื ไปฝก อบรมทต่ี า งประเทศ ไมว า จะเปน Public Training หรอื In-House Training ที่บริษทั ทเี่ ปน สำนักงานใหญ ในสว นของการคมุ ครองขอมูลสว นบคุ คล จะเกี่ยวขอ งกับ Privacy Notice หรอื การแจงตาม มาตรา 23 โดยใช Lawful Basis ตามฐานสัญญาได ซึง่ เปนการสง ขอมลู สวนบุคคล ซง่ึ เปน ขอมลู สวนบุคคลท่ัวไป ขอ ควรคำนงึ คอื ระบบ security ของประเทศปลายทาง ซง่ึ ควรจะตอ งมรี ะบบ Security ทด่ี ี มี Data Protection Law ทเ่ี ขม แขง็ และ Implement ไดเ หมอื นของไทย เพอ่ื ความมน่ั ใจในการสง ขอ มลู สว นบคุ คลออกไป ทง้ั นใ้ี นการสง ขอ มลู สวนบุคคลออกไปตางประเทศ ควรพิจารณาตามมาตรา 28-29 ซึ่งหากมาตราฐานของประเทศปลายทางไมดีเพียงพอ บรษิ ทั ควรจะตอ งแจง เจา ขอ มลู สว นบคุ คลเพอ่ื ขอความยนิ ยอมกอ น กอ น หรอื ปฏบิ ตั ติ ามมาตรา 28-29 ของ พ.ร.บ.คมุ ครอง ขอ มลู สว นบคุ คลทก่ี ำหนดให บรษิ ทั จะตอ งเปน ผรู บั ผดิ ชอบคนแรกหากเกดิ ปญ หา ในฐานะทเ่ี ปน ผคู วบคมุ ขอ มลู สว นบคุ คล 9. การจางแรงงานตา งดา ว กบั การเกบ็ ขอมลู สวนบุคคล แรงงานตา งดาวท่ีทำงานในไทยนนั้ มีหลาย แบบ ทั้งในระดับผูบริหาร และระดับแรงงาน ที่สวนใหญ จะเปนแรงงานตางดาวตาม MOU คือ พมา กัมพูชา ลาว ซง่ึ ไมว า จะมาจากประเทศใดลว นจำเปน ตอ งไดร บั การคมุ ครอง ขอมูลสวนบุคคลทั้งสิ้น ไมวาประเทศนั้น ๆ จะมีกฎหมาย คมุ ครองขอ มลู สว นบคุ คลหรอื ไม ในฐานะทบ่ี รษิ ทั เปน Data Controller หรือผูค วบคุมขอ มูลสว นบคุ คล ในการเขา มาทำงานในประเทศไทยนน้ั กอ น ที่จะเดินทางเขาประเทศ แรงงานตางดาวจะตองมีการสง ขอ มลู สว นตวั เชน ทะเบยี นบา น สำเนาพาสปอรต เพอ่ื ใหบ รษิ ทั ไดน ำไปใชใ นการยน่ื เรอ่ื ง เพอ่ื ใหแ รงงานตา งดา วสามารถขอ วีซาเขาประเทศ รวมไปถึงการทำ Work Permit ซึ่งหากแรงงานตางดาวอยูในประเทศไทยเกิน 90 วันก็จะตองมีการยื่น เร่ืองแจง กองตรวจคนเขา เมืองทุก ๆ 90 วนั กระบวนการเหลานซี้ ่งึ ลว นเกีย่ วของกบั ขอ มลู สว นบคุ คลท้งั ส้นิ การตรวจสขุ ภาพแรงงานตา งดา ว ถึงแมวาจะไมมีกฎหมายหรือขอบังคับใหนายจางสามารถทำการตรวจสุขภาพกอนเขางานได ยกเวนกลุมธุรกิจอาหาร ที่ พนักงานจะตองมีการสัมผัสกับอาหาร ตาม พ.ร.บ. สาธารณสุข แตสำหรับแรงงานตางดาว จะสามารถตรวจสุขภาพกอน เขางานไดตาม พ.ร.บ.ตรวจสุขภาพของแรงงานตางดาว โดยจะตองมีใบรับรองแพทย 7 โรคดวยกัน เพื่อใชในการยื่นขอ Work Permit ซง่ึ ในกรณนี บ้ี รษิ ทั สามารถดำเนนิ การขอขอ มลู สว นบคุ คลประเภทละเอยี ดออ นไดต ามฐานกฎหมาย โดยไมต อ งขอ ความยินยอม 38

ในการดำเนนิ การเพอ่ื ใหแ รงงานตา งดา วทำงานในประเทศไทยนน้ั HR ตอ งเปน ผไู ปยน่ื เอกสารตา ง ๆ กบั หนว ยงาน ราชการหรอื จา ง Outsource เปน ผดู ำเนนิ การ ซึ่งจะตอ งเกีย่ วของกบั ขอมลู สว นบคุ คลทง้ั หมด ถา ดำเนนิ การโดยพนักงาน ของบรษิ ทั ขอ มลู กจ็ ะไหลเวยี นอยใู นองคก ร แตห ากมกี ารจา ง outsource บรษิ ทั จำเปน ตอ งให Outsource ใหค วามสำคญั กับการคุมครองขอมูลสวนบุคคลดวย เพราะหาก Outsource ไมมีความรู อาจเกิดละเมิดได โดยเฉพาะในกรณีที่แรงงาน ตางดาวมาจากประเทศในกลุม EU หรือสหรัฐอเมริกา ซึ่งใหความสำคัญกับการคุมครองขอมูลสวนบุคคลและความเปน สวนตัว โดยในการคัดเลือก Outsource อาจตองคัดเลือกบริษัทที่มีระบบคุมครองขอมูลสวนบุคคลที่ถูกตองและดีพอ ซง่ึ จะสามารถตรวจสอบไดง า ยกวา การใชบ คุ คลธรรมดา ซง่ึ อาจจะตอ งใหค วามรเู กย่ี วกบั เรอ่ื งการคมุ ครองขอ มลู สว นบคุ คล นอกจากน้ีตองมีการทำ Data Processing Agreement (DPA) อกี ดว ย เพราะ Outsource ถือเปน Data Processor 10. สหภาพแรงงานกับการเกบ็ ขอ มูลสว นบคุ คล ในบรษิ ทั ทม่ี สี หภาพแรงงาน จะเกย่ี วขอ งกบั พรบ.คมุ ครอง ขอ มลู สว นบคุ คล มาตรา 26 หา มมใิ หเ กบ็ รวบรวมขอ มลู สว น บคุ คลเกย่ี วกบั เชอ้ื ชาติ เผา พนั ธุ ความคดิ เหน็ ทางการเมอื ง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ขอมูลสุขภาพ ความพิการ ขอมูล สหภาพแรงงาน ขอ มลู พนั ธกุ รรม ขอ มลู ชวี ภาพ หรอื ขอ มลู อื่นใด ซึ่งกระทบตอเจาของขอมูลสวนบุคคลในทำนอง เดียวกันตามทค่ี ณะกรรมการประกาศกำหนด โดยไมไดรบั ความยินยอมโดยชดั แจงจากเจาของขอ มูลสว นบุคคล ซึ่งหากบริษัทมีการสอบถามวาใครเปนสมาชิกสหภาพแรงงาน จะเขาขายกฎหมายมาตราดังกลาว คือ ตองมีการขอความ ยินยอม สหภาพแรงงานนั้นถือเปนอีกนิติบุคคลหนึ่งที่ตองปฏิบัติตามกฎหมายคุมครองขอมูลสวนบุคคล ตองมี Data Protection Policy ที่เอาไปใชกับสมาชิกของสหภาพ และหากตองมีกิจกรรมไหนที่ตองขอความยินยอมสมาชิกก็จะตอง ดำเนนิ การเชนกนั ซ่งึ บทบาทของบรษิ ทั กบั สหภาพแรงงานอาจจะแตกตางกนั กรณศี กึ ษา กิจกรรมหักคา บำรุงสมาชกิ ใน พ.ร.บ. คมุ ครองแรงงาน ตามมาตรา 76 นน้ั นายจา งสามารถหกั คา บำรงุ สมาชกิ เพอ่ื ชำระใหแ กส หภาพแรงงาน ได ซึ่งสหภาพแรงงานจะตองมีขอตกลงหรือขอเรียกรองมายังบริษัทใหชวยหักคาสมาชิกของพนักงานดังรายชื่อที่จัดสงมา ให โดยทางสหภาพแรงงานจะตอ งเปน ผขู อความยนิ ยอมกบั สมาชกิ โดยตรง เนอ่ื งจากมบี ทบาทเปน Data Controller ของ สหภาพ ในขณะที่บริษัทจะทำหนาที่ในสวนของ Data Processor คือดำเนินการหักคาบำรุงสมาชิกตามที่สหภาพแจงมา เทา น้นั ไมส ามารถดำเนนิ การอ่ืนใดเพิ่มเติมจากขอตกลงได 11. กิจกรรมสอบสวนทางวนิ ยั กรณีที่สหภาพมีขอเรียกรอง เชน ในกรณีที่สมาชิกของสหภาพแรงงานทำผิดระเบียบวินัยและมีการตั้ง คณะกรรมาการสอบสวน หนึ่งในคณะกรรมการสอบสวนนั้น จะตองเปนคณะกรรมการของสหภาพแรงงานหรือคณะ กรรมการลกู จาง หากบริษัทจะมีการลงโทษพนักงาน บริษัทจะตองแจงพนักงานวาหากเปนสมาชิกสหภาพฯ ใหไปแจง สหภาพฯ เพอ่ื ใหส หภาพฯ มาแจง บรษิ ทั เพอ่ื เชญิ สหภาพฯ มาเปน คณะกรรมการสอบสวน ไมว า เราจะทราบหรอื ไมว า พนกั งาน รายนน้ั เปน สมาชกิ ของสหภาพฯ หรอื ไม บรษิ ทั จะไมเ ปน ผขู อความยนิ ยอมเอง แตจ ะใหส หภาพฯ ขอความยนิ ยอมแลว จงึ มา แจงบริษทั 39

12. กิจกรรมแจง ขอ เรยี กรอ งตาม พ.ร.บ. แรงงานสมั พนั ธ มาตรา 13 และมาตรา 15 พรบ.แรงงานสัมพันธใ นมาตรา 13 จะแตกตา งจากมาตรา 15 ดงั นี้ มาตรา 13 ลูกจางสามารถยื่นขอเรียกรองไปที่นายจางได ในกรณีที่ลูกจางไมไดเปนสหภาพฯ โดยมีการ รวมตวั กนั 15% ของพนักงาน ระบรุ ายชือ่ ลายเซน็ ต ยืน่ มาทีบ่ รษิ ัท เพ่อื ขอเรียกรอ ง ในกรณนี ีส้ ามารถทำได มาตรา 15 ถาเปนกลุมสหภาพแรงงาน ตัวแทนสหภาพแรงงานสามารถยื่นขอเรียกรองมาที่บริษัทได โดยไมตองแสดงรายชื่อสมาชิก ซึ่งหากบริษัทสงสัยวาจำนวนไมครบตามที่กฎหมายกำหนด สามารถทำเรื่องขอเช็ครายชื่อ กับสวัสดิการคุมครองแรงงาน ซึ่งก็จะไมเปดเผยรายชื่อเชนกัน แตจะแจงวาครบตามเปอรเซ็นตที่กฎหมายกำหนดหรือไม แนวปฏบิ ัตเิ ก่ียวกับระยะเวลาในการจดั เก็บขอ มูล การจัดเก็บขอมลู และเอกสารสวนบคุ คล เปนมาตรการที่ผคู วบคุมขอ มูล และผปู ระมวลผลขอ มูลตอ งปฏิบตั ติ ามขอกำหนด ในพรบ. สวนเงื่อนไขระยะเวลานั้น เปนการกำหนดไดเองโดยนโยบายของบริษัทฯ ใชหลักการและพื้นฐานทางกฎหมาย สำหรบั เรอื่ งหรอื เอกสารนน้ั ๆ หรอื ฐานกฎหมายเฉพาะประเภทธรุ กิจทีก่ ำหนดไว เชน ธนาคาร สถาบนั การเงนิ ประกนั ภยั เปนตน ขอกฎหมายสำหรับอายุความในกรณตี า ง ๆ ประเดน็ อายุ มาตรา กรณีลูกจา งฟอ งเรียกคาจาง 2 ป ปพพ. ม.193/34 กรณลี ูกจางฟองเรียกคา จา งในชว งเวลาท่นี ายจา งส่งั พักงาน 2 ป ปพพ. ม.193/34 กรณลี ูกจางฟองคา ทำงานลว งเวลา / คาลว งเวลาในวันหยุด 2 ป ปพพ. ม.193/34 กรณีลกู จางฟองเรียกเงนิ อ่ืนทไ่ี มใชคาจาง 10 ป ปพพ. ม.193/30 กรณีฟอ งเรียกคา เสียหายเนอ่ื งจากการผดิ สญั ญาจา งแรงงาน 10 ป ปพพ. ม.193/30 40

ประเด็น อายุ มาตรา 10 ป ปพพ. ม.193/30 กรณลี ูกจก รณนี ายจา งใชส ทิ ธไิ ลเ บีย้ จากลกู จางที่นายจา งชดใชใหแ ก บุคคล ภายนอกางฟอ งเรยี กคา จา ง 10 ป ปพพ. ม.193/30 5 ป ปพพ. ม.193/33 (1) กรณีลูกจา งฟองเรยี กคาชดเชยจากนายจา ง 10 ป ปพพ. ม.193/30 กรณลี ูกจา งฟองเรยี กดอกเบ้ยี คางชำระ / ดอกเบย้ี ของคา ชดเชย 1 ป กรณีลกู จางฟองเรยี กคาจา งแทนการบอกกลาวลวงหนา ปพพ. ม.448 กรณฟี อ งเรียกคาเสียหายจากการละเมิดสัญญาจางแรงงาน 41

ภาคผนวก 42

1. คำส่ังแตง ตงั้ คณะทำงาน กรมสวสั ดิการและคมุ ครองแรงงาน 43

44

45