ประกาศพ้นสภาพพนักงานลงโซเชียล: ปกป้องบริษัท หรือ ละเมิดสิทธิผู้อื่น? เจาะลึกมุมมอง G-R-C จากผู้ตรวจสอบ PDPA
ตอนที่ 5: โดย ดร.ณัฏฐ์ ธนวนกุล
วิทยากรหลักสูตรผู้ตรวจประเมิน DPAC
กรรมการและประธานฝ่ายพัฒนามาตรฐานวิชาชีพ สมาคม TPDPA
ในฐานะ ผู้ตรวจประเมินด้านการคุ้มครองข้อมูลส่วนบุคคล (PDPA Auditor) ผมมักพบกรณีที่องค์กรมีความต้องการปกป้องผลประโยชน์ของตนเองจากการที่พนักงานพ้นสภาพการทำงาน แต่บ่อยครั้งที่วิธีการ “แจ้งให้ทราบ” กลายเป็นการ “ละเมิดสิทธิ” ของผู้อื่นโดยไม่ตั้งใจ
การโพสต์ประกาศพ้นสภาพพนักงานพร้อมข้อมูลส่วนบุคคลในโซเชียลมีเดียสาธารณะ จึงเป็นประเด็นที่ต้องได้รับการปรับปรุงทั้งในแง่ของ ธรรมาภิบาลข้อมูล และ การควบคุมความเสี่ยง
ขอให้มุมมองด้าน G-R-C (Governance-Risk-Control) ดังนี้
- การกำกับดูแล (Governance) และฐานทางกฎหมาย
การประมวลผลข้อมูลส่วนบุคคลของพนักงานภายหลังจากพ้นสภาพแล้ว องค์กรต้องยึดถือ หลักความโปร่งใส และ ฐานทางกฎหมายที่ชัดเจน
- ข้อผิดพลาดทั่วไป
องค์กรมักเข้าใจผิดว่าการที่พนักงานเคยเป็นคนของบริษัท ทำให้บริษัทมี อำนาจเบ็ดเสร็จ ในการใช้ข้อมูลส่วนบุคคลของเขาอย่างไรก็ได้ในอนาคต
- ฐานความชอบธรรม
การอ้างฐาน “ประโยชน์โดยชอบด้วยกฎหมาย” (Legitimate Interests) จำเป็นต้องมีการทำ การทดสอบความได้สัดส่วน (Balancing Test) เพื่อพิสูจน์ว่าผลประโยชน์ของบริษัทสำคัญกว่าสิทธิขั้นพื้นฐานของอดีตพนักงานจริงหรือไม่ ซึ่งการประกาศประจานในพื้นที่สาธารณะ แทบจะไม่ผ่านการทดสอบนี้เลย
- การวิเคราะห์ความเสี่ยง (Risk Assessment)
จากมุมมองของผู้ตรวจประเมิน โพสต์ที่ระบุ ชื่อ-นามสกุล และ รูปภาพหน้าตรง ในที่สาธารณะถือเป็น
“ความเสี่ยงระดับสูง” (High Risk) ต่อสิทธิและเสรีภาพของเจ้าของข้อมูล
- ความเสียหายต่อชื่อเสียง
ข้อมูลที่ถูกเผยแพร่ในวงกว้างอาจส่งผลกระทบต่อ โอกาสในการจ้างงานใหม่ ของอดีตพนักงาน และเป็นการทำลายเกียรติยศอย่างเกินสมควร
- ความเสี่ยงทางกฎหมายขององค์กร
การกระทำลักษณะนี้ไม่เพียงแต่ขัดต่อ PDPA แต่ยังอาจนำไปสู่ คดีหมิ่นประมาทด้วยการโฆษณา ซึ่งเป็นความเสี่ยงทางอาญาที่บริษัทต้องแบกรับ
- การควบคุมและแนวปฏิบัติที่เหมาะสม (Internal Control)
เพื่อให้เกิด ความสอดคล้อง (Compliance) องค์กรควรเปลี่ยนผ่านสู่แนวปฏิบัติที่รัดกุมกว่าเดิม ดังนี้
- หลักความจำเป็น (Data Minimization)
หากต้องแจ้งลูกค้า ให้แจ้งเท่าที่จำเป็นเท่านั้น เช่น แจ้งผ่าน ช่องทางเฉพาะกลุ่ม (อีเมล/LINE Official Account) โดยไม่ต้องเปิดเผยภาพถ่ายที่ดูเหมือนการประกาศจับ
- การประเมินผลกระทบ (DPIA)
ก่อนการสื่อสารใด ๆ ที่อาจกระทบต่อบุคคลภายนอก องค์กรควรทำ แบบประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) เพื่อหาจุดที่สมดุลระหว่าง “การปกป้องธุรกิจ” และ “การเคารพสิทธิส่วนบุคคล”
- การคัดค้านจากเจ้าของข้อมูล
องค์กรต้องมีช่องทางให้เจ้าของข้อมูล คัดค้าน หรือ ขอให้ลบข้อมูลออกจากพื้นที่สาธารณะทันที หากพบว่าการประกาศนั้นสร้างความเสียหาย
บทสรุปจากผู้ตรวจประเมิน
ธรรมาภิบาลข้อมูลที่ดี (Data Governance) ไม่ได้หมายถึงการรักษาผลประโยชน์ขององค์กรเพียงอย่างเดียว แต่หมายถึง การรักษาสมดุลของความถูกต้องตามกฎหมายและจริยธรรม
องค์กรที่น่าเชื่อถือควรสื่อสารการพ้นสภาพของพนักงานอย่าง เป็นทางการ และ เป็นธรรม — ไม่ใช่การใช้พื้นที่สาธารณะเป็นเครื่องมือในการกดดันหรือประจาน
เพราะในท้ายที่สุด “ต้นทุนของความเสี่ยง” ที่เกิดจากการละเมิด PDPA นั้น สูงกว่าผลประโยชน์ทางธุรกิจที่องค์กรพยายามจะรักษาไว้อย่างเทียบไม่ได้ ครับ
แหล่งที่มา >> https://web.facebook.com/share/p/184P3S8CeX/
อยากตรวจประเมิน PDPA แต่ไม่รู้จะเริ่มต้นยังไง
หลักสูตร “ผู้ตรวจประเมินการคุ้มครองข้อมูลส่วนบุคคล” Data Protection Auditor Certification (DPAC) รุ่นที่ 5
เผยแพร่: 4 สิงหาคม 2569
อัปเดตล่าสุด: 4 สิงหาคม 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
