How to ใช้เครื่องสแกนใบหน้าเข้างาน ให้ถูกตามหลัก PDPA

เรื่องเครื่องสแกนหน้าเข้างานกับ PDPA เป็นเรื่องพื้นฐานที่ฝ่าย HR และองค์กรทุกระดับ ควรให้ความสำคัญ เพราะมีความเกี่ยวข้องโดยตรง ทั้งเรื่องความปลอดภัยของข้อมูล และความน่าเชื่อถือขององค์กรในสายตาพนักงาน

โดยการใช้งานเครื่องสแกนใบหน้า สามารถใช้งานอย่างถูกต้องตามกฎหมาย PDPA แต่มีเงื่อนไขในการเก็บข้อมูล Biometrics ที่จำเป็นต้องดำเนินการให้สอดคล้องกับหลักกฎหมาย ดังนี้

- ได้รับความยินยอม
องค์กรต้องแจ้งวัตถุประสงค์การเก็บข้อมูลใบหน้า และขอความยินยอมจากพนักงาน ก่อนใช้งานระบบ เช่น ใช้เพื่อบันทึกเวลาทำงาน หรือควบคุมการเข้าออกพื้นที่

นอกจากนี้ หนังสือขอความยินยอมหรือประกาศความเป็นส่วนตัว (Privacy Notice) ควรระบุรายละเอียดให้ชัดเจน เช่น เก็บข้อมูลอะไร เก็บไว้เพื่ออะไร ใครเป็นผู้ดูแลข้อมูล และพนักงานสามารถใช้สิทธิในการเข้าถึง แก้ไข หรือเพิกถอนความยินยอมได้อย่างไร เพื่อให้การเก็บข้อมูลเป็นไปอย่างโปร่งใส และตรวจสอบได้

- ก็บข้อมูลเท่าที่จำเป็น
องค์กรควรเก็บเฉพาะข้อมูล ที่จำเป็นต่อการยืนยันตัวตน เพื่อบันทึกเวลาเข้า-ออกงานเท่านั้น ไม่ควรนำข้อมูลใบหน้าไปใช้ เพื่อวัตถุประสงค์อื่น ที่พนักงานไม่ได้ให้ความยินยอมไว้

ซึ่งการยึดหลัก Data Minimization หรือการเก็บข้อมูลเท่าที่จำเป็น จะช่วยลดความเสี่ยงจากการนำข้อมูลไปใช้นอกเหนือวัตถุประสงค์ และยังเป็นแนวทางสำคัญในการปฏิบัติตามกฎหมาย PDPA อีกด้วย

- ป้องกันการเข้าถึงข้อมูล
องค์กรต้องมีมาตรการรักษาความปลอดภัยของข้อมูล เช่น การเข้ารหัสข้อมูล และจำกัดสิทธิการเข้าถึงเฉพาะผู้ที่เกี่ยวข้องเท่านั้น

นอกจากการกำหนดสิทธิ์การเข้าถึงแล้ว ควรมีการบันทึกประวัติการใช้งานระบบ (Log) การสำรองข้อมูล และตรวจสอบมาตรการด้าน Cybersecurity อย่างสม่ำเสมอ เพื่อป้องกันการรั่วไหล การสูญหาย หรือการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต

- กำหนดระยะเวลาชัดเจน
องค์กรควรกำหนดระยะเวลา ในการจัดเก็บข้อมูลใบหน้าให้ชัดเจน และต้องทำลาย หรือลบข้อมูลทันที เมื่อพ้นระยะเวลาที่กำหนด หรือเมื่อพนักงานพ้นสภาพการเป็นพนักงานแล้ว

โดยการกำหนดนโยบายการลบข้อมูล (Data Retention Policy) ที่ชัดเจน จะช่วยให้องค์กรสามารถบริหารจัดการข้อมูลส่วนบุคคลได้อย่างเป็นระบบ ลดความเสี่ยงจากการเก็บข้อมูลเกินความจำเป็น และสร้างความเชื่อมั่นให้กับพนักงาน

ขอบคุณข้อมูลจาก https://cloud-ta.com/