การตรวจประวัติพนักงานในประเทศไทยอยู่ภายใต้ข้อกำหนดของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่บังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2565 ซึ่งกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ต้องได้รับความยินยอมจากเจ้าของข้อมูล ก่อนที่จะเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึงข้อมูลในใบ PCC ซึ่งถือเป็นข้อมูลละเอียดอ่อน (Sensitive Personal Data) ตามนิยามของกฎหมาย
Thai Notary Law ออกแบบ Workflow ของบริการ Bulk Background Check ให้สอดคล้องกับ PDPA อย่างเต็มรูปแบบ เริ่มจากการให้ Template หนังสือยินยอม (Consent Form) ที่ครอบคลุมวัตถุประสงค์การใช้ข้อมูลตามมาตรา 24 ของ พ.ร.บ. PDPA ซึ่งบริษัทลูกค้าสามารถนำไปปรับใช้กับพนักงานของตนเองได้ทันที พนักงานทุกคนต้องลงนามใน Consent Form ก่อนที่ทีมงานเริ่มดำเนินการตรวจประวัติ
ในระดับสัญญาระหว่างบริษัทลูกค้าและ Thai Notary Law เราจัดทำ Data Processing Agreement (DPA) ที่ระบุบทบาทของแต่ละฝ่ายอย่างชัดเจน บริษัทลูกค้าเป็น Data Controller ส่วน Thai Notary Law เป็น Data Processor — DPA ระบุข้อกำหนดเรื่องวัตถุประสงค์การประมวลผล ระยะเวลาการเก็บข้อมูล มาตรการรักษาความปลอดภัย สิทธิของเจ้าของข้อมูล และความรับผิดในกรณีเกิดเหตุการณ์ละเมิดข้อมูล
มาตรการรักษาความปลอดภัยของข้อมูลที่ Thai Notary Law ใช้ครอบคลุมทั้งด้านเทคนิคและด้านองค์กร ในด้านเทคนิคใช้ระบบจัดเก็บข้อมูลที่ผ่านมาตรฐาน ISO 27001 มีการเข้ารหัสข้อมูล (Encryption at Rest และ Encryption in Transit) ใช้ Multi-Factor Authentication สำหรับเจ้าหน้าที่ทุกคนที่เข้าถึงข้อมูล มี Access Log ที่ตรวจสอบย้อนหลังได้ ในด้านองค์กรกำหนด Role-based Access Control ให้เจ้าหน้าที่เข้าถึงเฉพาะข้อมูลที่จำเป็นต่องานของตน มีการอบรม PDPA ให้พนักงานทุก 6 เดือน
ในด้านระยะเวลาการเก็บข้อมูล Thai Notary Law กำหนดให้ลบข้อมูลส่วนบุคคลของพนักงานที่ตรวจประวัติเสร็จสิ้นแล้วภายใน 90 วันหลังส่งมอบเอกสาร ยกเว้นข้อมูลที่จำเป็นต้องเก็บตามกฎหมาย เช่น เลขที่ใบรับรอง วันที่ออก และรายชื่อในรายงานสรุป (Background Check Report) ที่จำเป็นต่อการ Audit ของบริษัทลูกค้าและของเรา ข้อมูลในกลุ่มหลังนี้เก็บในรูปแบบที่ลดความเสี่ยงต่อการระบุตัวตน (Pseudonymization) เป็นเวลา 5 ปี ตามที่กฎหมายกำหนด
สิทธิของเจ้าของข้อมูล (Data Subject Rights) ตาม พ.ร.บ. PDPA ครอบคลุม สิทธิในการเข้าถึงข้อมูล สิทธิในการแก้ไข สิทธิในการลบ สิทธิในการระงับการใช้ สิทธิในการคัดค้าน และสิทธิในการเพิกถอนความยินยอม Thai Notary Law มีกระบวนการรับคำร้อง (Data Subject Request) ที่ตอบสนองภายใน 30 วันตามที่กฎหมายกำหนด ผ่านอีเมล privacy@thainotary.co.th
สำหรับบริษัทลูกค้าที่อยู่ในอุตสาหกรรมที่มีข้อกำหนดเฉพาะ เช่น สถาบันการเงินที่อยู่ใต้กำกับของ ธปท. บริษัทประกันที่อยู่ใต้กำกับของ คปภ. และโรงพยาบาลที่อยู่ใต้กำกับของกระทรวงสาธารณสุข ทีมงาน Thai Notary Law สามารถปรับ DPA และ Workflow ให้สอดคล้องกับข้อกำหนดเฉพาะอุตสาหกรรมนั้นๆ ลูกค้าองค์กรสามารถนำเอกสารของเราไปประกอบ Audit ของผู้กำกับดูแลได้โดยตรง
Background Check Report ที่ส่งมอบให้ลูกค้าจะระบุข้อมูลขั้นต่ำที่จำเป็น (Data Minimization Principle) คือ ชื่อพนักงาน เลขที่ใบรับรองความประพฤติ วันที่ออกใบ และผลตรวจ (มี/ไม่มีประวัติ) โดยไม่รวมข้อมูลละเอียดอ่อนอื่นๆ ที่ไม่จำเป็นต่อการตัดสินใจของ HR เช่น เลขประจำตัวประชาชน (มีเฉพาะ 4 หลักท้าย) วันเดือนปีเกิด (มีเฉพาะปี) ที่อยู่ตามทะเบียนบ้าน (ไม่มีในรายงาน) ลดความเสี่ยงเรื่องการรั่วไหลของข้อมูลในกระบวนการส่งมอบและการเก็บรักษาที่บริษัทลูกค้า