ติดตามพนักงานด้วยซอฟต์แวร์: แจ้งก่อนยังไม่พอ ต้องมีฐานกฎหมาย

นายจ้างในไทยใช้ซอฟต์แวร์ติดตามการทำงานได้ หากการเก็บข้อมูลแต่ละอย่างมีวัตถุประสงค์ที่ชอบด้วยกฎหมาย มีฐานรองรับ และจำกัดอยู่เท่าที่จำเป็น การบอกพนักงานว่าจะติดตามงานจึงยังไม่พอ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล กำหนดให้แจ้งรายละเอียดก่อนหรือขณะเก็บข้อมูล จำกัดการเก็บตามความจำเป็น และใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้

พนักงานไม่ต้องให้ความยินยอมในทุกกรณี เพราะข้อมูลทั่วไปอาจเก็บได้ด้วยฐานสัญญา หน้าที่ตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมายตามข้อเท็จจริงของงาน แต่ฐานเหล่านี้ไม่ได้อนุญาตให้เปิดทุกฟังก์ชันของโปรแกรม นายจ้างต้องอธิบายให้ได้ว่าแต่ละฟังก์ชันตอบโจทย์อะไร เก็บข้อมูลใคร ในช่วงใด และใครจะใช้ผลที่ได้

เริ่มจากข้อมูลที่เครื่องมือเก็บและสร้างขึ้นจริง

จุดเริ่มต้นคือทำรายการข้อมูลจากการตั้งค่าจริงของระบบ แยกเวลาเข้าออกงาน ระยะเวลาเปิดแอป ประวัติการเข้าเว็บไซต์ ภาพหน้าจอ ตำแหน่งอุปกรณ์ และคะแนนที่คำนวณจากกิจกรรมออกจากกัน คำว่า “ติดตามประสิทธิภาพ” กว้างเกินไป เพราะอาจหมายถึงเพียงเวลาส่งงาน หรือหมายถึงการถ่ายภาพหน้าจอซ้ำตลอดกะก็ได้ ความต่างนี้เปลี่ยนทั้งความจำเป็นของข้อมูล ความเสี่ยง และรายละเอียดที่ต้องแจ้งพนักงาน

ข้อมูลที่แสดงด้วยรหัสพนักงานยังเป็นข้อมูลส่วนบุคคล หากนายจ้างเชื่อมรหัสนั้นกลับไปหาคนได้ เช่นเดียวกับประวัติอุปกรณ์ที่ผูกกับบัญชีทำงาน หรือพิกัดที่ประกบกับตารางกะ การเปลี่ยนชื่อเป็นหมายเลขจึงไม่ได้ทำให้หน้าที่เกี่ยวกับข้อมูลส่วนบุคคลหายไป นายจ้างควรดูด้วยว่าผู้ให้บริการเห็นรหัสเพียงอย่างเดียว หรือมีข้อมูลประกอบที่ระบุตัวบุคคลได้ในระบบอีกชั้นหนึ่ง

ภาพหน้าจอมีขอบเขตกว้างกว่าตัวชี้วัดเวลา เพราะอาจจับข้อความส่วนตัว ข้อมูลลูกค้า หรือข้อมูลอ่อนไหวที่ปรากฏชั่วคราว บันทึกชื่อแอปก็อาจบอกกิจกรรมบางอย่างที่นายจ้างไม่ได้ตั้งใจติดตาม ความเสี่ยงจึงไม่ได้อยู่เฉพาะช่องข้อมูลที่ตั้งชื่อไว้ในคู่มือโปรแกรม ต้องพิจารณาข้อมูลที่ติดมาโดยบังเอิญ และวิธีปิดบังข้อมูลดังกล่าวก่อนที่ผู้จัดการจะเห็น

ข้อมูลตำแหน่งต้องแยกความละเอียดและเวลาเก็บอย่างชัดเจน การยืนยันว่าพนักงานมาถึงจุดนัดหมายระหว่างปฏิบัติงานต่างจากการเก็บเส้นทางตลอดวัน หรือปล่อยให้แอปทำงานหลังเลิกกะ หากใช้โทรศัพท์ส่วนตัว ความแตกต่างนี้ยิ่งสำคัญ เพราะอุปกรณ์เดียวกันติดตามพนักงานไปในเวลาส่วนตัว นายจ้างจึงควรตรวจการปิดติดตามเมื่อสิ้นสุดงาน และดูว่าระบบยังส่งตำแหน่งเบื้องหลังหรือไม่

การใช้ลายนิ้วมือหรือรูปใบหน้าเพื่อยืนยันตัวตนต้องแยกจากข้อมูลเวลาเข้าออกธรรมดา เมื่อลักษณะทางกายภาพถูกประมวลผลเพื่อระบุตัวบุคคลโดยเฉพาะ ข้อมูลชีวมิติเป็นข้อมูลอ่อนไหว และต้องพิจารณาความยินยอมโดยชัดแจ้งหรือข้อยกเว้นที่กฎหมายกำหนด การถ่ายรูปพนักงานทั่วไปกับการสร้างข้อมูลจากใบหน้าเพื่อจับคู่ตัวตนมีการประมวลผลต่างกัน จึงไม่ควรเขียนรวมในประกาศว่าเก็บเพียง “ภาพถ่าย”

จับคู่วัตถุประสงค์กับฐานกฎหมายทีละฟังก์ชัน

ให้เขียนวัตถุประสงค์เป็นการใช้งานที่ชี้ได้ เช่น บันทึกเวลาเพื่อคำนวณค่าจ้าง เก็บประวัติการเข้าถึงบัญชีเพื่อตรวจเหตุผิดปกติ หรือใช้ผลการทำงานประกอบการประเมิน การเขียนว่า “เพื่อบริหารบุคลากร” อย่างเดียวไม่บอกเหตุผลของภาพหน้าจอหรือพิกัด และไม่ช่วยแยกว่าข้อมูลใดใช้เพื่อความปลอดภัย ข้อมูลใดใช้ตัดสินผลการจ้าง คำอธิบายที่ดีต้องโยงข้อมูลที่เก็บกับการตัดสินใจที่นายจ้างจะทำจริง

ฐานสัญญาใช้ได้กับข้อมูลที่จำเป็นต่อการปฏิบัติตามสัญญาจ้างในเรื่องนั้น การบันทึกเวลาเพื่อจัดการค่าจ้างอาจเข้าเงื่อนไข แต่การจับภาพทุกหน้าต่างบนคอมพิวเตอร์เพื่อวัตถุประสงค์เดียวกันต้องมีเหตุผลเพิ่ม ฐานหน้าที่ตามกฎหมายต้องชี้ได้ว่าหน้าที่ใดบังคับให้เก็บข้อมูลชนิดใด ไม่ใช่อ้างกฎหมายทั่วไปเพื่อสำรองข้อมูลทุกอย่างไว้เผื่อใช้ในอนาคต ส่วนประโยชน์โดยชอบด้วยกฎหมายต้องคำนึงถึงสิทธิขั้นพื้นฐานของพนักงานด้วย

สำหรับการเฝ้าระวังความปลอดภัยของระบบ นายจ้างอาจพิจารณาประโยชน์โดยชอบด้วยกฎหมาย หากพิสูจน์ได้ว่าจำเป็นและขอบเขตสมดุลกับผลกระทบต่อพนักงาน บทวิเคราะห์ของ HSF Kramer ระบุสำหรับไทยว่าต้องมีเหตุผลรองรับการติดตาม และฐานนี้ใช้แทนเงื่อนไขสำหรับข้อมูลอ่อนไหวไม่ได้ ในทางปฏิบัติ บันทึกเหตุการณ์เข้าระบบเฉพาะรายการอาจตอบโจทย์การตรวจการเข้าถึงได้ตรงกว่าการบันทึกทุกสิ่งที่ปรากฏบนหน้าจอ

ความยินยอมเหมาะเมื่อพนักงานเลือกได้จริงว่าจะให้ข้อมูลหรือไม่ และการปฏิเสธไม่ถูกทำให้ไร้ความหมายด้วยผลเสียที่ไม่สมเหตุสมผล ต้องระบุการเก็บที่ขอความยินยอมให้แยกจากเรื่องจำเป็นตามสัญญา และต้องรองรับการถอนความยินยอมด้วย หากระบบจะหยุดทำงานทั้งหมดทันทีเมื่อพนักงานปฏิเสธ นายจ้างควรกลับไปถามก่อนว่าการติดตามนั้นจำเป็นถึงระดับที่อ้างหรือไม่ และมีวิธีพิสูจน์งานแบบอื่นหรือเปล่า

การเลือกฐานกฎหมายไม่ควรเริ่มจากช่องให้ติ๊กในแบบฟอร์ม แต่เริ่มจากความจำเป็นของข้อมูลแต่ละชนิดและผลต่อคนที่ถูกติดตาม เครื่องมือหนึ่งอาจมีฐานรองรับการเก็บเวลา แต่ยังไม่มีเหตุผลเพียงพอสำหรับภาพหน้าจอหรือตำแหน่งต่อเนื่อง หากจะเปลี่ยนวิธีใช้ข้อมูลหลังเริ่มใช้งาน ต้องประเมินวัตถุประสงค์ ฐานรองรับ และการแจ้งใหม่ก่อน โดยเฉพาะเมื่อจะนำข้อมูลเดิมไปใช้กับการตัดสินใจที่กระทบพนักงานมากขึ้น

กำหนดขอบเขตการติดตามและอายุข้อมูลก่อนเปิดระบบ

เมื่อตอบวัตถุประสงค์ได้แล้ว ให้ตั้งค่าระบบให้เก็บเฉพาะข้อมูลที่ตอบวัตถุประสงค์นั้น หากต้องรู้เวลาเริ่มกะ การบันทึกเข้าออกอาจเพียงพอกว่าการถ่ายภาพหน้าจอถี่ ๆ หากต้องจัดการงานนอกสถานที่ พิกัดขณะรับหรือส่งงานอาจรุกล้ำน้อยกว่าแผนที่การเดินทางทั้งวัน คำถามสำคัญคือการตัดข้อมูลบางส่วนทิ้งทำให้วัตถุประสงค์เสียไปจริงหรือไม่ ไม่ใช่โปรแกรมมีฟังก์ชันใดให้เปิดได้บ้าง

ช่วงเวลาเก็บควรเป็นค่าที่ตรวจสอบได้ เช่น เริ่มเมื่อพนักงานลงชื่อเข้ากะ หยุดเมื่อเลิกกะ และไม่เริ่มใหม่เองหลังออกจากระบบ ถ้าจำเป็นต้องติดตามนอกเวลาทำงานเพราะภารกิจเฉพาะ ต้องอธิบายเหตุผลและช่วงเวลาของภารกิจนั้นต่างหาก การอ้างว่าใช้เครื่องของบริษัทไม่ได้ตอบคำถามเรื่องเวลาที่ติดตาม เพราะข้อมูลยังเชื่อมโยงกับพนักงานคนเดิมเมื่อเขาใช้อุปกรณ์หลังเลิกงาน

ระยะเวลาเก็บต้องอิงจุดประสงค์ของข้อมูลแต่ละชุด ภาพหน้าจอที่ใช้ตรวจเหตุผิดปกติ บันทึกการเข้าใช้ระบบ และข้อมูลที่ใช้จัดทำค่าจ้างอาจมีเหตุผลในการเก็บต่างกัน นายจ้างควรระบุจุดเริ่มนับอายุข้อมูล วิธีลบสำเนา และผู้มีอำนาจอนุมัติการเก็บต่อเมื่อเกิดข้อพิพาท หากบอกไม่ได้ว่าทำไมยังต้องเก็บข้อมูลหลังงานที่เกี่ยวข้องจบลง ก็ควรทบทวนระยะเวลาดังกล่าว

การตั้งอายุข้อมูลต้องทำให้เกิดการลบจริง ไม่ใช่เขียนไว้เพียงในประกาศ แนวปฏิบัติของกรมการขนส่งทางราง ยกตัวอย่างการตรวจรายการข้อมูลที่พ้นกำหนด แล้วลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ตามกรณี สำหรับระบบติดตาม นายจ้างจึงควรตรวจว่าข้อมูลที่ลบจากหน้ารายงานยังค้างในสำเนาสำรอง บัญชีผู้ให้บริการ หรือไฟล์ส่งออกที่ฝ่ายอื่นเก็บไว้หรือไม่

สิทธิการเข้าถึงควรแยกตามหน้าที่ ผู้ดูแลเทคนิคอาจต้องเห็นบันทึกข้อผิดพลาด ขณะที่หัวหน้างานอาจต้องเห็นเพียงรายการที่เกี่ยวกับเกณฑ์ประเมิน การให้ทุกคนเห็นภาพหน้าจอต้นฉบับเพิ่มโอกาสเผยข้อมูลส่วนตัวหรือข้อมูลลูกค้าที่ไม่เกี่ยวข้อง ควรมีบันทึกว่าใครเปิดดู ส่งออก หรือแก้ไขข้อมูล และกำหนดผู้รับผิดชอบเมื่อพบว่ามีการเปิดดูนอกเหตุผลที่อนุญาต

หากผู้ให้บริการซอฟต์แวร์จัดเก็บหรือเข้าถึงข้อมูล นายจ้างต้องดูบทบาทของผู้ให้บริการ สิทธิการเข้าถึง วิธีรักษาความปลอดภัย และเส้นทางการส่งต่อข้อมูล บริการที่เก็บข้อมูลนอกประเทศอาจทำให้ต้องประเมินเงื่อนไขการโอนข้อมูลเพิ่มเติม การซื้อโปรแกรมสำเร็จรูปไม่ได้ย้ายความรับผิดชอบเรื่องวัตถุประสงค์หรือประกาศความเป็นส่วนตัวไปให้ผู้ขายโดยอัตโนมัติ เพราะนายจ้างเป็นผู้เลือกว่าจะใช้ฟังก์ชันใดกับพนักงานของตน

ประกาศความเป็นส่วนตัวต้องบอกสิ่งที่จะเกิดขึ้นจริง

พนักงานควรทราบก่อนหรือขณะเริ่มเก็บว่าระบบบันทึกอะไร เก็บเมื่อใด ใช้เพื่ออะไร ใครรับข้อมูล และใช้สิทธิที่ช่องทางไหน ประกาศที่เขียนเพียงว่า “อาจเก็บข้อมูลการทำงานเพื่อพัฒนาประสิทธิภาพ” ยังไม่บอกว่ามีการถ่ายภาพหน้าจอ เก็บตำแหน่ง หรือสร้างคะแนนรายบุคคล คำอธิบายควรสอดคล้องกับค่าที่เปิดใช้อยู่จริง รวมถึงการเปลี่ยนค่าภายหลังที่ทำให้ขอบเขตการเก็บกว้างขึ้น

หัวข้อในประกาศสามารถเรียงตามฟังก์ชันเพื่อให้ตรวจสอบง่าย โดยแต่ละฟังก์ชันระบุข้อมูล วัตถุประสงค์ ฐานที่ใช้ ช่วงเวลาบันทึก ระยะเวลาเก็บ และผู้รับข้อมูล ความต่างระหว่างการเก็บเพื่อคิดค่าจ้างกับการเก็บเพื่อประเมินผลงานต้องอ่านออกจากประกาศได้ทันที หากข้อมูลจำเป็นเพราะสัญญาหรือกฎหมาย ควรบอกผลที่อาจเกิดขึ้นเมื่อไม่ให้ข้อมูลนั้นด้วย ไม่ควรใช้ข้อความยินยอมครอบทุกกิจกรรมโดยไม่แยกทางเลือก

• ข้อมูลที่เก็บจริง: ระบุว่าเปิดบันทึกเวลา ชื่อแอป ภาพหน้าจอ ตำแหน่ง หรือข้อมูลชีวมิติ และบอกความถี่หรือเหตุการณ์ที่ทำให้เริ่มบันทึก
• เหตุผลและฐานการประมวลผล: ผูกข้อมูลแต่ละชุดกับงานที่ต้องทำจริง พร้อมแยกการใช้งานเพื่อค่าจ้าง ความปลอดภัย และการประเมินออกจากกัน
• ขอบเขตและผู้รับข้อมูล: บอกช่วงเวลาที่เก็บ ผู้มีสิทธิเห็นข้อมูล ประเภทผู้ให้บริการที่ได้รับข้อมูล และการส่งข้อมูลไปต่างประเทศถ้ามี
• อายุข้อมูลและสิทธิ: ระบุระยะเวลาเก็บหรือเกณฑ์ที่ใช้กำหนด วิธีติดต่อผู้ควบคุมข้อมูล และช่องทางขอเข้าถึง แก้ไข ลบ คัดค้าน หรือถอนความยินยอมตามเงื่อนไข

ถ้าข้อมูลตำแหน่งที่เคยใช้จัดส่งงานจะถูกนำไปจัดอันดับพนักงาน นั่นคือการใช้อีกวัตถุประสงค์หนึ่ง นายจ้างต้องประเมินวัตถุประสงค์และฐานรองรับก่อน ไม่ใช่แก้ชื่อหัวข้อในประกาศแล้วใช้ข้อมูลย้อนหลังได้ทันที หลักเดียวกันใช้กับภาพหน้าจอที่เก็บเพื่อความปลอดภัย แต่ภายหลังนำไปตัดสินผลงาน การแจ้งใหม่เป็นส่วนหนึ่งของการพิจารณา ทว่าตัวการแจ้งเองไม่ใช่ฐานกฎหมาย

ข้อมูลชีวมิติและคะแนนอัตโนมัติต้องพิจารณาแยก

ระบบลงเวลาด้วยลายนิ้วมือหรือการจดจำใบหน้าไม่ได้มีความเสี่ยงเท่ากับการลงเวลาด้วยรหัสธรรมดา ข้อมูลที่สร้างจากลักษณะทางกายภาพเพื่อยืนยันบุคคลอยู่ในกลุ่มข้อมูลอ่อนไหว การใช้ฐานประโยชน์โดยชอบด้วยกฎหมายสำหรับข้อมูลทั่วไปจึงไม่พอสำหรับข้อมูลกลุ่มนี้ นายจ้างควรถามว่ามีวิธีลงเวลาที่รุกล้ำน้อยกว่าได้หรือไม่ และให้ผู้เชี่ยวชาญกฎหมายตรวจเงื่อนไขการเก็บก่อนเปิดระบบ

โปรแกรมที่แปลงจำนวนคลิก เวลาเปิดแอป หรือการเคลื่อนที่เป็นคะแนนผลงานสร้างข้อมูลส่วนบุคคลใหม่จากร่องรอยเดิม คู่มือกฎหมายไทยของ Chandler Mori Hamada อธิบายว่าการติดตามและการตัดสินใจอัตโนมัติอยู่ภายใต้หลักการประมวลผลข้อมูลส่วนบุคคลทั่วไป ส่วนกฎเฉพาะเรื่องการตัดสินใจอัตโนมัติที่คู่มือกล่าวถึงยังเป็นร่าง คะแนนจึงต้องมีวัตถุประสงค์ ฐานรองรับ และการแจ้งที่สอดคล้องกับการใช้จริง

ก่อนใช้คะแนนกับการประเมิน ควรดูว่าค่าที่วัดสัมพันธ์กับหน้าที่งานจริงหรือไม่ ตัวอย่างสมมติคือพนักงานอ่านเอกสารยาวหรือสนทนากับลูกค้าโดยไม่ขยับเมาส์ แต่ระบบตีความเป็นเวลาที่ไม่ได้ทำงาน ตัวเลขในรายงานจึงอาจบอกกิจกรรมบนอุปกรณ์ได้ ทว่าไม่ได้บอกคุณภาพงานทั้งหมด นายจ้างควรระบุว่าคะแนนเป็นข้อมูลประกอบอะไร ใครตรวจข้อผิดพลาด และพนักงานชี้แจงบริบทของงานได้ทางไหน

หากคะแนนเป็นตัวกำหนดโอกาสเลื่อนตำแหน่ง ค่าจ้าง หรือการจ้างต่อ ผลกระทบต่อพนักงานสูงกว่ารายงานเพื่อดูปริมาณงานทั่วไป การออกแบบจึงควรให้คนตรวจความถูกต้องและความเหมาะสมของข้อมูลก่อนตัดสินใจสำคัญ การรวมคะแนนกับข้อมูลชีวมิติหรือตำแหน่งละเอียดทำให้ต้องประเมินความเสี่ยงหลายชั้น โดยเฉพาะการนำข้อมูลเดิมไปสรุปคุณลักษณะส่วนตัวที่ไม่เคยแจ้งไว้ กรณีเช่นนี้ควรขอคำแนะนำทางกฎหมายก่อนใช้งานจริง

พนักงานใช้สิทธิอย่างไร และนายจ้างต้องตอบอะไรให้ได้

พนักงานสามารถขอคำอธิบายที่เจาะจงกว่าชื่อโปรแกรมได้ เช่น มีการจับภาพหน้าจอจริงหรือไม่ ระบบยังเก็บตำแหน่งหลังเลิกกะหรือเปล่า และคะแนนรายบุคคลถูกส่งให้ใคร การถามเช่นนี้ช่วยแยกความกังวลเกี่ยวกับเครื่องมือออกจากข้อมูลที่นายจ้างเก็บจริง หากประกาศใช้คำกว้างเกินไป พนักงานสามารถขอรายละเอียดเรื่องวัตถุประสงค์ ระยะเวลาเก็บ ผู้รับข้อมูล และช่องทางติดต่อผู้ควบคุมข้อมูลเพิ่มเติมได้

เจ้าของข้อมูลมีสิทธิขอเข้าถึงและขอสำเนาข้อมูลของตน ขอแก้ข้อมูลที่ไม่ถูกต้อง และขอลบเมื่อเข้าเงื่อนไขตามกฎหมาย หากการเก็บอาศัยความยินยอม พนักงานมีสิทธิถอนความยินยอม หากอาศัยประโยชน์โดยชอบด้วยกฎหมาย พนักงานอาจใช้สิทธิคัดค้าน โดยนายจ้างต้องพิจารณาเหตุผลตามเงื่อนไขที่เกี่ยวข้อง สิทธิเหล่านี้ไม่ได้ทำให้ข้อมูลที่ต้องเก็บตามกฎหมายถูกลบทุกกรณี และไม่ได้ทำให้การเก็บทุกชนิดหยุดลงทันที

เมื่อขอแก้คะแนนหรือบันทึกที่คลาดเคลื่อน ควรระบุรายการและเหตุผลให้ชัด เช่น เวลาที่ระบบไม่พบกิจกรรมตรงกับช่วงประชุมที่ได้รับมอบหมาย หรือพิกัดถูกบันทึกหลังสิ้นสุดงาน นายจ้างควรมีคนรับคำขอ ตรวจต้นทางของข้อมูล และแจ้งผลพร้อมเหตุผล หากไม่สามารถแก้หรือลบได้ การปฏิเสธควรอธิบายเงื่อนไขที่ใช้ ไม่ควรตอบเพียงว่าโปรแกรมสร้างข้อมูลเองจึงเปลี่ยนไม่ได้

ก่อนเปิดฟังก์ชันใหม่ นายจ้างควรตอบคำถามให้ครบว่าเก็บข้อมูลอะไรจากใคร ใช้เพื่อการตัดสินใจใด มีฐานกฎหมายใด เก็บนานเท่าไร ใครเข้าถึง และมีวิธีที่รุกล้ำน้อยกว่าหรือไม่ ควรตรวจด้วยว่าพนักงานได้รับประกาศที่ตรงกับค่าระบบจริง และมีช่องทางใช้สิทธิที่ใช้งานได้ หากคำตอบข้อใดยังไม่ชัด ควรประเมินฟังก์ชันนั้นให้เสร็จก่อนเริ่มเก็บข้อมูล