PDPA สำหรับงาน HR

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562; ประกาศ PDPC เรื่อง security, ROPA, breach ฯลฯ ฉบับปัจจุบัน

1. controller/processor
2. privacy notice
3. lawful bases (contract, legal obligation, legitimate interest ฯลฯ) และเหตุใด consent ไม่ใช่คำตอบทุกเรื่องใน employment
4. sensitive data ม.26 เช่น สุขภาพ ความพิการ สหภาพ ประวัติอาชญากรรม พันธุกรรม/biometric
5. recruitment background checks
6. payroll/SSO/insurer/vendor transfer
7. CCTV
8. attendance/face data
9. access control
10. retention
11. employee rights
12. breach response
13. cross-border transfer เมื่อใช้ cloud

1. For every HR processing activity, identify controller and processor roles, purpose, legal basis, recipients, retention, and access rights.
2. Consent is not the default basis for all employment processing; use contract, legal obligation, legitimate interests, or another basis only where its conditions are met.
3. Health, union, criminal-record, genetic, and biometric data are sensitive data under section 26 and require necessity and an applicable exception.
4. Assess and document every breach. Where risk to rights and freedoms exists, notify the PDPC without delay and, where feasible, within 72 hours after awareness; where risk is high, also notify affected data subjects without delay and provide mitigation guidance.

หลักตัดสินที่ต้องใช้

1. กำหนดผู้ควบคุม/ผู้ประมวลผล วัตถุประสงค์ ฐานกฎหมาย ผู้รับ ระยะเก็บ และสิทธิการเข้าถึงทุกกิจกรรม HR
2. consent ไม่ใช่ฐานเริ่มต้นทุกเรื่องในการจ้างงาน; ใช้สัญญา หน้าที่กฎหมาย ประโยชน์โดยชอบ หรือฐานอื่นเมื่อเข้าองค์ประกอบ
3. ข้อมูลสุขภาพ สหภาพ ประวัติอาชญากรรม พันธุกรรม และชีวมิติมีเงื่อนไขมาตรา 26 และต้องจำกัดความจำเป็น
4. เมื่อเกิดเหตุละเมิด ให้ประเมินและบันทึกความเสี่ยง; หากเสี่ยงต่อสิทธิและเสรีภาพให้แจ้งสำนักงาน PDPC โดยไม่ชักช้าและเท่าที่ทำได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และหากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า

1. For every HR processing activity, identify controller and processor roles, purpose, legal basis, recipients, retention, and access rights.
2. Consent is not the default basis for all employment processing; use contract, legal obligation, legitimate interests, or another basis only where its conditions are met.
3. Health, union, criminal-record, genetic, and biometric data are sensitive data under section 26 and require necessity and an applicable exception.
4. Assess and document every breach. Where risk to rights and freedoms exists, notify the PDPC without delay and, where feasible, within 72 hours after awareness; where risk is high, also notify affected data subjects without delay and provide mitigation guidance.

data map + purpose + legal basis + retention + recipient; least privilege; DPA กับ vendor; consent ต้อง freely given เมื่อจะใช้จริง

1. data map + purpose + legal basis + retention + recipient
2. least privilege
3. DPA กับ vendor
4. consent ต้อง freely given เมื่อจะใช้จริง
5. ช่วยชีวิต/หยุดความเสี่ยงหรือจำกัดเหตุรั่วไหลก่อน แล้วจึงรักษาหลักฐานและสอบสวน
6. ติดตาม corrective action ถึงวันปิดจริง ไม่จบที่การเขียนรายงาน

1. Maintain a data map linking purpose, lawful basis, retention period, recipients, and access rights. Apply least privilege, use appropriate processor terms with vendors, and seek consent only where it can be freely given and withdrawn.
2. Protect life, stop the hazard, or contain the breach first; then preserve evidence and investigate
3. Track corrective action to verified closure rather than ending with a report

เอกสารที่บริษัทควรเปิดพร้อมกัน

1. การประเมินความเสี่ยง/วัตถุประสงค์และฐานการดำเนินการ
2. บันทึกเหตุ เวลา สถานที่ ผู้เกี่ยวข้อง และการตอบสนองแรก
3. รายงานแพทย์/การสอบสวน/บันทึกระบบตามประเภทเรื่อง
4. การแจ้งหน่วยงาน มาตรการแก้ไข และหลักฐานติดตาม
5. data inventory, privacy notice, lawful-basis record, ROPA, access log และ retention record

1. Risk assessment or documented purpose and lawful basis
2. Incident time, place, persons involved, and first response
3. Medical, investigation, or system logs according to the issue
4. Authority notification, corrective action, and follow-up evidence
5. Data inventory, privacy notice, lawful-basis record, ROPA, access log, and retention record

1. ใช้ใบหน้าเพื่อบันทึกเวลา: วิเคราะห์ความจำเป็น ฐานกฎหมาย ข้อมูลชีวมิติ ทางเลือก และมาตรการรักษาความปลอดภัย
2. ส่ง Payroll ไปผู้ให้บริการ Cloud: ระบุบทบาทผู้ประมวลผล วัตถุประสงค์ สิทธิการเข้าถึง ระยะเก็บ และการโอนต่างประเทศ

1. Case 1 — Test a real pdpa for hr scenario against this rule: For every HR processing activity, identify controller and processor roles, purpose, legal basis, recipients, retention, and access rights. Record the facts and evidence supporting each element.
2. Case 2 — Change one material fact and test the result against this rule: Consent is not the default basis for all employment processing; use contract, legal obligation, legitimate interests, or another basis only where its conditions are met. Recalculate or rerun the workflow instead of copying the first outcome.

เมื่อเห็นต่างหรือยังไม่ได้รับการแก้ไข

1. กรณีอุบัติเหตุให้รักษาชีวิตและแจ้งเหตุทันที ก่อนเก็บ medical record, incident log, ภาพ และพยาน; กรณีข้อมูลรั่วไหลให้จำกัดเหตุและเก็บ system log
2. ใช้ช่อง Safety/Occupational Health, HR หรือ DPO ตามประเภท และขอเลขเคส/ผลสอบสวน/มาตรการแก้ไข
3. สิทธิกองทุนเงินทดแทนติดต่อ SSO; การฝ่าฝืนความปลอดภัยติดต่อ DLPW/กองความปลอดภัย; สิทธิข้อมูลส่วนบุคคลใช้ช่องเจ้าของข้อมูล/DPO และสำนักงาน PDPC ตามลำดับ

1. For an accident, protect life and report immediately before preserving medical records, incident logs, images, and witnesses; for a data breach, contain the incident and preserve system logs
2. Use the Safety or Occupational Health, HR, or DPO channel as appropriate and request a case number, investigation outcome, and corrective action
3. For Workmen's Compensation Fund rights contact SSO; for safety violations contact DLPW or the OSH Division; for personal-data rights use the data-subject or DPO route and then the PDPC as appropriate

ตรวจทานวันที่ 14 สิงหาคม 2569 การใช้กับกรณีจริงต้องพิจารณาตัวบทที่มีผล ประกาศที่เกี่ยวข้อง และข้อเท็จจริงของแต่ละกรณี

1. พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562; ประกาศ PDPC เรื่อง security, ROPA, breach ฯลฯ ฉบับปัจจุบัน
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 — ราชกิจจานุเบกษา
3. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ราชกิจจานุเบกษา
4. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 — ราชกิจจานุเบกษา
5. กองนิติการ กรมสวัสดิการและคุ้มครองแรงงาน — กฎหมายคุ้มครองแรงงาน

บทความที่เกี่ยวข้อง