บทนำ

Recruitment Data Privacy คือแนวทางในการดูแลและคุ้มครองข้อมูลส่วนบุคคลของผู้สมัครงานตลอดกระบวนการ Recruitment ตั้งแต่การเก็บข้อมูลในขั้นตอน Application การจัดเก็บ Resume และ Contact Information การใช้ข้อมูลเพื่อ Screening และ Interview การแบ่งปันข้อมูลกับ Hiring Team หรือผู้ให้บริการภายนอก ไปจนถึงการเก็บรักษาและลบข้อมูลเมื่อไม่มีความจำเป็นต้องใช้งานแล้ว

การสรรหาพนักงานในปัจจุบันมักดำเนินการผ่านระบบออนไลน์ ทำให้องค์กรสามารถรวบรวมข้อมูลของ Candidate ได้เป็นจำนวนมาก ข้อมูลเหล่านี้อาจมีทั้งข้อมูลที่ผู้สมัครกรอกโดยตรง ข้อมูลจาก Resume ข้อมูลจากการสัมภาษณ์ และข้อมูลที่เกิดขึ้นระหว่าง Recruitment Process

การจัดการข้อมูลเหล่านี้จึงไม่ได้เป็นเพียงเรื่องของระบบ IT แต่เกี่ยวข้องกับความรับผิดชอบของ Employer ต่อ Candidate และความเชื่อมั่นที่ผู้สมัครมีต่อองค์กร หากองค์กรเก็บข้อมูลมากเกินความจำเป็น ใช้ข้อมูลผิดวัตถุประสงค์ หรือไม่สามารถป้องกันข้อมูลได้อย่างเหมาะสม อาจส่งผลทั้งต่อ Candidate และชื่อเสียงขององค์กร

ข้อมูลประเภทใดที่ Recruitment Software จัดเก็บ

Recruitment Software สามารถจัดเก็บข้อมูลได้หลายประเภทตาม Workflow ขององค์กร

ข้อมูลพื้นฐานอาจประกอบด้วยชื่อ ข้อมูลติดต่อ ประวัติการศึกษา ประสบการณ์ทำงาน Skills และ Resume ขณะที่กระบวนการคัดเลือกอาจเพิ่ม Interview Notes, Assessment Results, Application Answers และ Hiring Feedback เข้าไปใน Candidate Profile

บางองค์กรอาจจัดเก็บข้อมูลเพิ่มเติมเพื่อใช้ในการบริหาร Recruitment เช่น Candidate Source, Application Status, Communication History และข้อมูลเกี่ยวกับ Job Offer

การเก็บข้อมูลควรพิจารณาว่าข้อมูลแต่ละประเภทมีความจำเป็นต่อ Recruitment หรือไม่ และควรหลีกเลี่ยงการเก็บข้อมูลที่ไม่เกี่ยวข้องกับวัตถุประสงค์ของการสรรหา

การเก็บข้อมูลจาก Candidate

Candidate ควรได้รับข้อมูลที่เหมาะสมเกี่ยวกับการเก็บและการใช้ข้อมูลของตนเองตั้งแต่ช่วง Application

แบบฟอร์มสมัครงานควรอธิบายอย่างชัดเจนว่าองค์กรเก็บข้อมูลประเภทใด ใช้ข้อมูลเพื่ออะไร และข้อมูลอาจถูกส่งต่อให้ใครบ้างตามความเหมาะสม

การทำให้ Candidate เข้าใจการใช้ข้อมูลตั้งแต่ต้นช่วยสร้างความโปร่งใสและลดความไม่แน่นอนเกี่ยวกับวิธีที่องค์กรจัดการข้อมูลส่วนบุคคล

Data Minimization

Data Minimization คือแนวคิดในการเก็บข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์ที่กำหนด

องค์กรไม่ควรขอข้อมูลส่วนบุคคลจำนวนมากเพียงเพราะระบบสามารถจัดเก็บได้ หากข้อมูลนั้นไม่ได้มีความจำเป็นต่อการประเมินหรือการดำเนินการด้าน Recruitment

ตัวอย่างเช่น หาก Position ไม่จำเป็นต้องใช้ข้อมูลบางประเภทในขั้นตอน Application การไม่ขอข้อมูลดังกล่าวตั้งแต่ต้นสามารถช่วยลดความเสี่ยงในการจัดการข้อมูลและทำให้ Candidate Application มีความกระชับมากขึ้น

วัตถุประสงค์ของการใช้ข้อมูล

ข้อมูล Candidate ควรถูกใช้ตามวัตถุประสงค์ที่องค์กรแจ้งไว้และตามฐานทางกฎหมายที่เกี่ยวข้อง

ข้อมูลที่เก็บเพื่อใช้ในการพิจารณา Candidate สำหรับ Position หนึ่งไม่ควรถูกนำไปใช้กับวัตถุประสงค์อื่นโดยไม่มีการพิจารณาว่าสามารถทำได้หรือไม่

หากองค์กรต้องการนำข้อมูลไปใช้เพื่อสร้าง Talent Pool หรือแจ้ง Position ในอนาคต ควรมีแนวทางที่ชัดเจนเกี่ยวกับการใช้ข้อมูลดังกล่าวและดำเนินการให้สอดคล้องกับข้อกำหนดที่เกี่ยวข้อง

การจัดเก็บ Candidate Data

Recruitment Software มักทำหน้าที่เป็นศูนย์กลางในการจัดเก็บ Candidate Data

องค์กรควรพิจารณาว่าข้อมูลถูกจัดเก็บไว้ที่ใด ใครสามารถเข้าถึงได้ มีการสำรองข้อมูลอย่างไร และระบบมีมาตรการรักษาความปลอดภัยแบบใด

การกำหนดโครงสร้างการจัดเก็บที่ชัดเจนช่วยลดปัญหาการเก็บ Resume หรือ Candidate Information ซ้ำหลายแห่ง ซึ่งอาจทำให้เกิดข้อมูลหลาย Version และเพิ่มความเสี่ยงด้านความปลอดภัย

Access Control

ไม่ใช่สมาชิกทุกคนในองค์กรควรสามารถเข้าถึง Candidate Data ทั้งหมดได้

Recruiter อาจต้องเข้าถึงข้อมูล Application ขณะที่ Interviewer อาจต้องเห็นเฉพาะ Resume และข้อมูลที่จำเป็นสำหรับการสัมภาษณ์ ส่วนผู้บริหารบางรายอาจต้องดูข้อมูลในรูปแบบ Summary มากกว่าข้อมูลส่วนบุคคลโดยละเอียด

การกำหนดสิทธิ์ตามบทบาทช่วยลดโอกาสที่ข้อมูลจะถูกเข้าถึงโดยบุคคลที่ไม่มีความจำเป็นต้องใช้งาน

การแบ่งปันข้อมูลภายในองค์กร

Candidate Data อาจต้องถูกส่งต่อระหว่าง Recruiter, Hiring Manager และ Interviewer เพื่อประกอบ Hiring Decision

การแบ่งปันข้อมูลควรจำกัดอยู่ในขอบเขตที่จำเป็นต่อ Recruitment และควรมีแนวทางว่าข้อมูลประเภทใดสามารถส่งต่อให้แต่ละฝ่ายได้

การใช้ Recruitment Software เป็นระบบกลางสามารถช่วยลดการส่ง Resume หรือ Interview Notes ผ่านช่องทางที่ไม่เหมาะสม เช่น Personal Email หรือ Messaging Account

การแบ่งปันข้อมูลกับบุคคลภายนอก

องค์กรอาจใช้บริการจาก Third-Party เช่น Recruitment Agency, Background Check Provider, Assessment Platform, Cloud Service หรือ Software Vendor

ก่อนส่ง Candidate Data ให้ Third Party องค์กรควรตรวจสอบว่าการส่งข้อมูลมีความจำเป็นและมีข้อกำหนดหรือข้อตกลงที่เหมาะสมในการจัดการข้อมูล

ควรพิจารณาด้วยว่าผู้ให้บริการเก็บข้อมูลไว้ที่ใด ใช้ข้อมูลอย่างไร มีมาตรการรักษาความปลอดภัยแบบใด และมีวิธีจัดการข้อมูลเมื่อสิ้นสุดการให้บริการอย่างไร

Data Security

Recruitment Data Privacy เกี่ยวข้องโดยตรงกับ Data Security เพราะ Candidate Data อาจถูกเข้าถึงหรือเผยแพร่โดยไม่ได้รับอนุญาต

องค์กรควรมีมาตรการด้าน Account Security, Access Control, Encryption, Backup, Monitoring และการจัดการสิทธิ์ของผู้ใช้งาน

นอกจากนี้ควรมีขั้นตอนสำหรับจัดการเหตุการณ์ผิดปกติ เช่น Account ถูกบุกรุก ข้อมูลถูกส่งผิดคน หรือมีการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต

การใช้ระบบ Cloud

Recruitment Software จำนวนมากทำงานผ่าน Cloud ซึ่งช่วยให้องค์กรสามารถเข้าถึง Candidate Data จากหลายสถานที่ได้

อย่างไรก็ตาม การใช้ Cloud ทำให้องค์กรต้องพิจารณาว่าข้อมูลถูกจัดเก็บและประมวลผลที่ใด ผู้ให้บริการมีมาตรการ Security อย่างไร และมีข้อกำหนดเกี่ยวกับการถ่ายโอนข้อมูลระหว่างประเทศหรือไม่

การเลือก Cloud Recruitment Platform จึงควรพิจารณาทั้งความสะดวกและความรับผิดชอบด้าน Data Protection

การใช้ AI ใน Recruitment

Recruitment Software บางประเภทมี AI ช่วยค้นหา Candidate, จัดอันดับ Resume, วิเคราะห์ข้อมูล หรือช่วยเขียน Job Description

การใช้ AI กับ Candidate Data จำเป็นต้องพิจารณาเรื่องความโปร่งใส ความถูกต้อง และความเหมาะสมของการประมวลผล

องค์กรควรระวังไม่ให้ระบบสร้างการตัดสินใจที่ไม่เป็นธรรมจากข้อมูลหรือ Algorithm และควรมี Human Review ในขั้นตอนที่มีผลสำคัญต่อ Candidate

Candidate Rights

สิทธิของ Candidate เกี่ยวกับข้อมูลส่วนบุคคลแตกต่างกันตามกฎหมายและเขตอำนาจศาลที่เกี่ยวข้อง

โดยทั่วไปองค์กรควรมีวิธีตอบสนองต่อคำขอของเจ้าของข้อมูลตามสิทธิที่กฎหมายกำหนด เช่น การขอเข้าถึงข้อมูล การแก้ไขข้อมูล หรือการขอลบข้อมูลในกรณีที่เข้าเงื่อนไข

กระบวนการภายในจึงควรสามารถค้นหา Candidate Data ได้อย่างรวดเร็วเมื่อมีคำขอที่เกี่ยวข้อง

Data Retention

องค์กรไม่ควรเก็บ Candidate Data ไว้ตลอดไปโดยไม่มีเหตุผล

ควรกำหนด Retention Period ตามประเภทข้อมูล วัตถุประสงค์ และข้อกำหนดทางกฎหมายที่เกี่ยวข้อง

ตัวอย่างเช่น Candidate ที่ไม่ได้รับการคัดเลือกอาจมีข้อมูลที่องค์กรต้องเก็บไว้ช่วงเวลาหนึ่งเพื่อวัตถุประสงค์ที่เหมาะสม แต่เมื่อหมดความจำเป็นแล้วควรมีขั้นตอนในการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามแนวทางที่เหมาะสม

การลบ Candidate Data

Data Deletion ควรเป็นส่วนหนึ่งของ Recruitment Data Lifecycle

การลบข้อมูลควรครอบคลุมทั้ง Candidate Profile, Resume, Interview Notes และข้อมูลที่อยู่ในระบบที่เกี่ยวข้องตามความจำเป็น

หากข้อมูลถูกเก็บอยู่ใน Backup หรือ Third-Party Platform องค์กรควรมีแนวทางจัดการข้อมูลเหล่านั้นด้วย ไม่ควรพิจารณาเฉพาะข้อมูลที่ปรากฏในระบบหลักเท่านั้น

การเก็บข้อมูลเพื่อ Talent Pool

องค์กรอาจต้องการเก็บข้อมูล Candidate ที่ไม่ได้รับการจ้างงานในครั้งแรก เพื่อพิจารณา Position ในอนาคต

การสร้าง Talent Pool สามารถเป็นประโยชน์ต่อ Recruitment แต่ต้องพิจารณาเรื่องวัตถุประสงค์ ระยะเวลาในการเก็บ และข้อกำหนดด้าน Privacy ที่เกี่ยวข้อง

Candidate ควรได้รับข้อมูลที่เหมาะสมเกี่ยวกับการนำข้อมูลไปใช้ในลักษณะดังกล่าว และองค์กรควรมีวิธีจัดการเมื่อข้อมูลไม่จำเป็นต้องเก็บต่อแล้ว

Recruitment Data และ Employee Data

Candidate Data และ Employee Data อาจมีความแตกต่างกันทั้งในด้านวัตถุประสงค์และระยะเวลาการจัดเก็บ

เมื่อ Candidate ได้รับการจ้างงาน ข้อมูลบางส่วนอาจถูกส่งต่อไปยัง HR Information System เพื่อใช้ในการ Onboarding และการบริหารพนักงาน

องค์กรควรกำหนดขั้นตอนในการเปลี่ยนผ่านข้อมูลอย่างชัดเจน เพื่อให้ข้อมูลที่ถูกส่งต่อมีความถูกต้องและสามารถควบคุมสิทธิ์การเข้าถึงได้อย่างเหมาะสม

การฝึกอบรมพนักงาน

Technology เพียงอย่างเดียวไม่สามารถป้องกันปัญหา Data Privacy ได้ทั้งหมด

Recruiter และ Hiring Team ควรได้รับการอบรมเกี่ยวกับการจัดการ Candidate Data เช่น การส่งข้อมูล การแชร์ Resume การบันทึก Interview Notes และการจัดการข้อมูลที่ไม่จำเป็น

การสร้างความเข้าใจให้ผู้ใช้งานช่วยลดความเสี่ยงจาก Human Error ซึ่งเป็นหนึ่งในปัจจัยที่อาจทำให้ข้อมูลถูกเปิดเผยโดยไม่ได้ตั้งใจ

การตรวจสอบและ Audit

องค์กรควรตรวจสอบการเข้าถึงและการใช้งาน Candidate Data เป็นระยะ

Audit สามารถช่วยตรวจสอบว่าผู้ใช้งานคนใดเข้าถึงข้อมูล มีการเปลี่ยนแปลงข้อมูลหรือไม่ และระบบถูกใช้งานตาม Policy หรือไม่

ข้อมูลจาก Audit ยังสามารถใช้ในการค้นหาความผิดปกติและปรับปรุง Security Controls

Recruitment Data Privacy กับ Candidate Experience

การจัดการข้อมูลอย่างโปร่งใสสามารถสร้างความเชื่อมั่นให้ Candidate ได้

Candidate มักต้องส่งข้อมูลส่วนบุคคลจำนวนมากเมื่อสมัครงาน หากองค์กรอธิบายอย่างชัดเจนว่าข้อมูลถูกใช้เพื่ออะไรและมีการป้องกันอย่างไร จะช่วยให้ผู้สมัครเข้าใจและรู้สึกมั่นใจมากขึ้น

Privacy จึงไม่ได้เป็นเพียงข้อกำหนดทางกฎหมาย แต่เป็นส่วนหนึ่งของ Candidate Experience และ Employer Reputation

การปฏิบัติตามกฎหมาย

Recruitment Data Privacy ต้องพิจารณากฎหมายและข้อกำหนดที่ใช้บังคับกับองค์กรและ Candidate ในแต่ละพื้นที่

สำหรับองค์กรที่ดำเนินงานในประเทศไทย ควรพิจารณาข้อกำหนดภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลและกฎหรือประกาศที่เกี่ยวข้อง รวมถึงตรวจสอบแนวทางล่าสุดจากหน่วยงานที่รับผิดชอบก่อนออกแบบ Policy หรือ Workflow จริง

หากองค์กรดำเนินงานหลายประเทศ อาจต้องพิจารณากฎหมายของแต่ละเขตอำนาจศาลเพิ่มเติม เนื่องจากข้อกำหนดเกี่ยวกับการเก็บ ใช้ เปิดเผย โอน และลบข้อมูลอาจแตกต่างกัน

สรุป

Recruitment Data Privacy เป็นส่วนสำคัญของการใช้ Recruitment Software เพราะกระบวนการสรรหาต้องจัดการข้อมูลส่วนบุคคลของ Candidate ตั้งแต่ Application ไปจนถึงการ Hiring หรือการสิ้นสุดกระบวนการ

องค์กรควรพิจารณาการเก็บข้อมูลเท่าที่จำเป็น วัตถุประสงค์ของการใช้ข้อมูล การจัดเก็บที่ปลอดภัย การกำหนด Access Control การแบ่งปันข้อมูลกับ Hiring Team และ Third Party การใช้ AI การเก็บข้อมูลระยะยาว และการลบข้อมูลเมื่อหมดความจำเป็น

การสร้างระบบ Privacy ที่ดีควรทำควบคู่กับการออกแบบ Recruitment Workflow ไม่ใช่เพิ่มเข้ามาภายหลัง เพราะข้อมูล Candidate ควรได้รับการปกป้องตั้งแต่จุดเริ่มต้นของการสมัครจนถึงจุดสิ้นสุดของ Data Lifecycle

ท้ายที่สุด Recruitment Data Privacy ไม่ได้เป็นเพียงเรื่องของ Software หรือฝ่าย IT แต่เป็นความรับผิดชอบร่วมกันของ Recruiter, Hiring Manager, HR, Management และผู้ให้บริการ Technology การผสาน People, Process, Technology และ Data Protection เข้าด้วยกันจะช่วยให้องค์กรสามารถสร้าง Recruitment Process ที่มีประสิทธิภาพและรักษาความไว้วางใจของ Candidate ได้ในระยะยาว