คู่มือการเก็บรักษาข้อมูลผู้สมัครสำหรับองค์กร

เรซูเม่ของผู้สมัครที่ไม่ผ่านการคัดเลือกไม่ใช่แค่เอกสารธุรการที่ไม่มีพิษมีภัย มันอาจมีประวัติการทำงาน, ข้อมูลติดต่อ, ข้อมูลส่วนบุคคลที่เปิดเผย, หลักฐานการสัมภาษณ์, ผลการประเมิน และบันทึกจากผู้มีอำนาจตัดสินใจหลายท่าน หากข้อมูลเหล่านี้ยังคงอยู่ในหลายระบบโดยไม่มีวัตถุประสงค์หรือวันสิ้นสุดที่ชัดเจน องค์กรก็กำลังสร้างความเสี่ยงด้านธรรมาภิบาลข้อมูล

คู่มือการเก็บรักษาข้อมูลผู้สมัครงานนี้จัดทำขึ้นสำหรับทีมงานองค์กรขนาดใหญ่ที่ต้องการดำเนินงานอย่างรวดเร็วโดยไม่สูญเสียการควบคุมข้อมูลผู้สมัคร เป้าหมายไม่ใช่การลบทุกอย่างทันทีที่ตำแหน่งงานถูกปิด แต่เป็นการเก็บรักษาข้อมูลที่จำเป็นตามวัตถุประสงค์ทางธุรกิจ กฎหมาย และการปฏิบัติงานที่ระบุไว้ จากนั้นจึงลบหรือทำให้เป็นข้อมูลนิรนามอย่างสม่ำเสมอเมื่อวัตถุประสงค์นั้นสิ้นสุดลง

ในบริบทของตลาดแรงงานไทยและอาเซียนที่มีปริมาณการรับสมัครสูง หลากหลายภาษา และผู้จัดการสายงานมักดูแลทีมงานที่หลากหลาย การกำกับดูแลข้อมูลที่แข็งแกร่งจึงมีความสำคัญยิ่ง ความซับซ้อนของการจัดการข้อมูลผู้สมัครในระบบที่แตกต่างกันและหลายภาษา ประกอบกับกฎระเบียบท้องถิ่นที่แตกต่างกัน ทำให้จำเป็นต้องมีแนวทางที่ชัดเจนและสอดคล้องกันในการเก็บรักษาข้อมูล

ทำไมการเก็บรักษาข้อมูลผู้สมัครงานจึงต้องมีนโยบายที่เป็นทางการ

ทีมสรรหามักพบว่าตนเองต้องจัดการกับแนวปฏิบัติการจัดเก็บข้อมูลที่กระจัดกระจาย เรซูเม่ถูกเก็บในระบบติดตามผู้สมัคร (ATS), การบันทึกการสัมภาษณ์อยู่ในแพลตฟอร์มประเมินผล, ผู้จัดการเก็บโน้ตในอีเมล, และข้อมูลจากเอเจนซียังคงอยู่ในโฟลเดอร์ที่แชร์ แหล่งข้อมูลแต่ละแห่งอาจมีสิทธิ์การเข้าถึง, การตั้งค่าการเก็บรักษา และเจ้าของที่แตกต่างกัน

การกระจัดกระจายนี้ก่อให้เกิดความเสี่ยงในทางปฏิบัติสามประการ ประการแรก ทีมงานอาจไม่สามารถตอบสนองต่อคำขอเข้าถึง ลบ หรือแก้ไขข้อมูลของผู้สมัครได้อย่างมั่นใจ ประการที่สอง พวกเขาอาจเก็บข้อมูลที่ละเอียดอ่อนไว้นานเกินความจำเป็น ซึ่งเพิ่มความเสี่ยงหากเกิดเหตุการณ์ด้านความปลอดภัย ประการที่สาม พวกเขาอาจลบหลักฐานเร็วเกินไปและสูญเสียความสามารถในการอธิบายว่าการตัดสินใจจ้างงานเกิดขึ้นได้อย่างไร

นโยบายที่สามารถป้องกันได้จะช่วยคลี่คลายปัญหานี้โดยการเชื่อมโยงข้อมูลผู้สมัครงานทุกประเภทเข้ากับวัตถุประสงค์, ระยะเวลาการเก็บรักษา, ผู้รับผิดชอบ และการดำเนินการกำจัดข้อมูล นอกจากนี้ยังให้คำแนะนำที่ชัดเจนแก่ผู้จัดการฝ่ายสรรหาว่า: ข้อมูลป้อนกลับควรอยู่ในขั้นตอนการทำงานที่ได้รับอนุญาต ไม่ใช่อยู่ในกล่องจดหมายส่วนตัวหรือการสนทนาที่ไม่เป็นทางการ

คู่มือการเก็บรักษาข้อมูลผู้สมัครงาน: เริ่มต้นด้วยวัตถุประสงค์ ไม่ใช่ตัวเลข

ไม่มีระยะเวลาการเก็บรักษาข้อมูลที่เป็นสากลซึ่งใช้ได้กับทุกองค์กร ข้อกำหนดแตกต่างกันไปตามเขตอำนาจศาล, ประเภทบทบาท, อุตสาหกรรม, ข้อตกลงร่วม, ความเสี่ยงในการฟ้องร้อง และลักษณะของข้อมูลที่รวบรวม องค์กรในสหรัฐอเมริกาอาจต้องเก็บรักษาบันทึกบางอย่างเพื่อสนับสนุนข้อผูกพันด้านโอกาสการจ้างงานที่เท่าเทียมกัน ในขณะที่นายจ้างข้ามชาติจะต้องคำนึงถึงกฎหมายความเป็นส่วนตัวในท้องถิ่นและข้อจำกัดในการประมวลผลข้อมูลข้ามพรมแดนด้วย

คำถามที่ถูกต้องไม่ใช่ "เราสามารถเก็บข้อมูลผู้สมัครไว้นานแค่ไหน?" แต่เป็น "วัตถุประสงค์เฉพาะใดที่สมเหตุสมผลในการเก็บข้อมูลนี้ และนานแค่ไหน?" วัตถุประสงค์ทั่วไปได้แก่ การจัดการใบสมัครที่กำลังดำเนินการ, การปกป้องการตัดสินใจจ้างงาน, การปฏิบัติตามข้อผูกพันในการเก็บรักษาบันทึก, การพิจารณาผู้สมัครสำหรับตำแหน่งงานในอนาคตโดยมีการแจ้งให้ทราบอย่างเหมาะสม และการสอบสวนข้อร้องเรียน

สำหรับแต่ละวัตถุประสงค์ ให้กำหนดระยะเวลาที่ผู้มีส่วนได้ส่วนเสียด้านกฎหมาย, ความเป็นส่วนตัว และ HR สามารถให้การสนับสนุนได้ ผู้สมัครที่ยื่นใบสมัครสำหรับตำแหน่งเดียวอาจมีระยะเวลาการเก็บรักษาที่สั้นกว่าผู้สมัครที่เลือกเข้าร่วมกลุ่มผู้มีความสามารถ (talent community) ตำแหน่งงานที่มีการกำกับดูแลอาจต้องใช้เอกสารที่นานกว่าตำแหน่งงานทั่วไปขององค์กร นโยบายควรกำหนดว่าการระงับทางกฎหมาย (legal holds) มีผลเหนือกว่ากำหนดการลบข้อมูลตามปกติ

สร้างรายการข้อมูลผู้สมัครงานที่สะท้อนการทำงานจริง

นโยบายไม่สามารถกำกับดูแลบันทึกที่องค์กรยังไม่ได้ระบุได้ ฝ่ายสรรหาควรจัดทำแผนที่ข้อมูลผู้สมัครตั้งแต่การติดต่อครั้งแรกจนถึงการจัดการขั้นสุดท้าย รวมถึงระบบที่ดำเนินการโดยทีมภายใน, เอเจนซีภายนอก และผู้ให้บริการเทคโนโลยี

รายการข้อมูลควรแยกแยะระหว่างบันทึกใบสมัครทั่วไปกับข้อมูลที่มีความเสี่ยงสูง เรซูเม่และแบบฟอร์มใบสมัครไม่เท่ากับวิดีโอสัมภาษณ์ที่บันทึกไว้, เอกสารยืนยันตัวตน, ข้อมูลการอำนวยความสะดวก, ข้อมูลประชากรศาสตร์ที่เปิดเผยโดยสมัครใจ หรือรายงานความสามารถที่สร้างโดย AI บันทึกเหล่านี้อาจมีความละเอียดอ่อนและข้อกำหนดในการเข้าถึงที่แตกต่างกัน

สำหรับข้อมูลแต่ละประเภท ให้บันทึกแหล่งที่มา, วัตถุประสงค์ในการประมวลผล, ระบบบันทึก, ผู้ใช้งานที่ได้รับอนุญาต, สถานที่จัดเก็บทางภูมิศาสตร์, ตัวกระตุ้นการเก็บรักษา และวิธีการลบ ตัวกระตุ้นการเก็บรักษามีความสำคัญ "สองปีหลังจากการรวบรวม" มักจะเชื่อถือได้น้อยกว่าในทางปฏิบัติเมื่อเทียบกับ "สองปีหลังจากการปิดตำแหน่งงาน" หรือ "สองปีหลังจากการโต้ตอบที่มีความหมายครั้งสุดท้ายของผู้สมัคร"

รายการข้อมูลที่ใช้งานได้จริงมักจะครอบคลุมอย่างน้อยประเภทเหล่านี้:

• ใบสมัคร, เรซูเม่, จดหมายแนะนำตัว และการสื่อสารจากผู้สรรหา
• บันทึกการสัมภาษณ์, แบบประเมินที่มีโครงสร้าง, การบันทึกเสียง/วิดีโอ และถอดความ
• ผลการประเมิน รวมถึงหลักฐานความสามารถและรายงานลักษณะบุคลิกภาพ
• ข้อมูลประชากรศาสตร์ที่เปิดเผยโดยสมัครใจ, ข้อมูลการอำนวยความสะดวก, สิทธิ์ในการทำงาน และข้อมูลการตรวจสอบประวัติ
• โปรไฟล์กลุ่มผู้มีความสามารถ, การแนะนำ, ข้อมูลที่ส่งจากเอเจนซี และใบสมัครที่ถอนออก
• บันทึกการตรวจสอบ (Audit logs) ที่แสดงการเข้าถึง, การเปลี่ยนแปลงคะแนน, การตัดสินใจ และการอนุมัติ

กำหนดกฎการเก็บรักษาตามสถานะผู้สมัครและความละเอียดอ่อนของข้อมูล

กฎการเก็บรักษาแบบครอบคลุมเพียงข้อเดียวอาจสื่อสารง่าย แต่บ่อยครั้งก็ยากที่จะปกป้อง นโยบายที่ดีกว่าจะใช้กำหนดการเก็บรักษาจำนวนหนึ่งที่สามารถจัดการได้ โดยอิงตามสถานะและความละเอียดอ่อนของข้อมูล

สำหรับผู้สมัครที่กำลังอยู่ในกระบวนการ ให้เก็บข้อมูลที่จำเป็นเพื่อดำเนินการสรรหาอย่างยุติธรรม มีประสิทธิภาพ และสื่อสารกับผู้สมัคร เมื่อผู้สมัครถูกปฏิเสธ, ถอนตัว หรือตำแหน่งงานถูกยกเลิก ระยะเวลาการเก็บรักษาควรเริ่มนับตามกำหนดการที่ระบุไว้ หากองค์กรต้องการเก็บข้อมูลบุคคลนั้นไว้สำหรับตำแหน่งงานในอนาคต ให้แยกวัตถุประสงค์นั้นออกจากใบสมัครที่ปิดไปแล้ว และขออนุญาตที่จำเป็นหรือ

ข้อมูลที่ละเอียดอ่อนควรได้รับการกำกับดูแลอย่างเข้มงวดมากขึ้น ข้อมูลที่ละเอียดอ่อน เช่น รายละเอียดที่พัก, ข้อมูลระบุตัวตนที่ออกโดยหน่วยงานรัฐ, เอกสารการตรวจสอบประวัติ, และข้อมูลประชากรศาสตร์ที่ผู้สมัครให้มาโดยสมัครใจ โดยทั่วไปแล้วจำเป็นต้องจำกัดการเข้าถึง และอาจต้องมีระยะเวลาการจัดเก็บที่สั้นลงหรือกำหนดแยกต่างหาก ควรเก็บรักษาบันทึกเหล่านี้ให้พ้นจากสายตาของผู้จัดการฝ่ายสรรหาทั่วไป เว้นแต่มีความจำเป็นที่ชัดเจนและได้รับอนุญาต

ในบริบทของตลาดแรงงานไทยและอาเซียนที่มีการแข่งขันสูงและมีผู้สมัครจำนวนมาก การจัดการข้อมูลผู้สมัครให้เป็นไปตามข้อกำหนดด้านความเป็นส่วนตัวและกฎระเบียบท้องถิ่น เช่น พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) จึงเป็นสิ่งสำคัญอย่างยิ่ง การกำกับดูแลข้อมูลอย่างรัดกุมไม่เพียงช่วยลดความเสี่ยงด้านกฎหมาย แต่ยังสร้างความเชื่อมั่นให้กับผู้สมัครในระยะยาว

ปฏิบัติต่อหลักฐานการประเมินด้วย AI เสมือนเป็นบันทึกที่ต้องกำกับดูแล

การสรรหาบุคลากรที่ใช้ AI เข้ามาช่วยนั้นให้หลักฐานที่เป็นประโยชน์ แต่ก็เพิ่มประเภทของบันทึกใหม่ที่ต้องควบคุม สัญญาณการจัดอันดับเรซูเม่, บันทึกการสัมภาษณ์, คะแนนที่มีโครงสร้าง, หลักฐานความสามารถ, ผลลัพธ์จากโมเดล, การแก้ไขโดยผู้ตรวจสอบ, และข้อมูลที่เกิดจากการแปล ทั้งหมดนี้อาจมีความเกี่ยวข้องกับการสอบถามของผู้สมัคร, การตรวจสอบภายใน, หรือการโต้แย้งการตัดสินใจ

คำตอบไม่ใช่การเก็บสัญญาณดิบทุกอย่างไว้ตลอดไป แต่เป็นการพิจารณาว่าหลักฐานใดจำเป็นต่อการอธิบายการตัดสินใจและยืนยันว่ากระบวนการทำงานตามที่ตั้งใจไว้ ตัวอย่างเช่น องค์กรอาจเก็บรักษาใบบันทึกคะแนนที่มีโครงสร้างของผู้สมัคร, ความเห็นของผู้ประเมิน, เกณฑ์ที่ใช้, เหตุผลในการตัดสินใจ, และบันทึกการตรวจสอบไว้เป็นระยะเวลาที่กำหนด ในขณะที่กำหนดตารางเวลาที่แตกต่างกันสำหรับไฟล์ประมวลผลชั่วคราว

การกำกับดูแลยังต้องคำนึงถึงเวอร์ชันของข้อมูลด้วย หากเกณฑ์การประเมินหรือโมเดลการให้คะแนนมีการเปลี่ยนแปลง องค์กรควรสามารถระบุได้ว่าใช้เวอร์ชันใดสำหรับแคมเปญนั้นๆ สิ่งนี้ช่วยสนับสนุนการตรวจสอบย้อนกลับได้ โดยไม่จำเป็นต้องให้ทีมเก็บข้อมูลซ้ำซ้อนจำนวนมาก

แพลตฟอร์มอย่าง MIND Interview สามารถสนับสนุนหลักการนี้ได้โดยการเก็บการวิเคราะห์เรซูเม่, หลักฐานการสัมภาษณ์แบบไม่พร้อมกัน, การให้คะแนน, ข้อมูลจากผู้ตรวจสอบ, และการตัดสินใจขั้นสุดท้ายไว้ในพื้นที่ทำงานเดียวที่สามารถตรวจสอบได้ ประโยชน์ในการดำเนินงานมีนัยสำคัญ: ทีมสามารถลดสำเนาที่ไม่มีการจัดการ ในขณะที่ให้หลักฐานที่สมบูรณ์ยิ่งขึ้นแก่ผู้มีส่วนได้ส่วนเสียที่ได้รับอนุญาตก่อนการสัมภาษณ์จริง

ทำให้การลบข้อมูลสามารถบังคับใช้ได้จริง ไม่ใช่แค่ความหวัง

นโยบายการเก็บรักษาข้อมูลจะล้มเหลว หากการลบข้อมูลขึ้นอยู่กับการที่ผู้สรรหาต้องจดจำเพื่อล้างข้อมูลตำแหน่งงานเก่าๆ ทีมงานองค์กรต้องการระบบอัตโนมัติ, การจัดการข้อยกเว้น, และหลักฐานว่ากระบวนการได้เกิดขึ้นจริง

กำหนดค่าระบบเพื่อแจ้งเตือนบันทึกที่ใกล้หมดอายุ, แจ้งเจ้าของที่รับผิดชอบเมื่อจำเป็นต้องตรวจสอบ, และลบหรือทำให้ข้อมูลที่เข้าเกณฑ์เป็นนิรนามตามกำหนดเวลาที่สม่ำเสมอ กำหนดว่าการลบหมายถึงการลบอย่างถาวร, การลบข้อมูลที่ระบุตัวตนโดยตรง, การจัดเก็บถาวรภายใต้การเข้าถึงที่จำกัด, หรือการรวมกันของการกระทำเหล่านี้ คำจำกัดความควรมีความแม่นยำ เพราะข้อมูลที่ "จัดเก็บถาวร" ก็ยังถือเป็นข้อมูลที่ถูกเก็บรักษาไว้

ที่สำคัญไม่แพ้กันคือ การระบุข้อยกเว้น การระงับข้อมูลเพื่อการฟ้องร้อง, การสอบสวนของหน่วยงานกำกับดูแล, ข้อร้องเรียนของผู้สมัคร, การสอบสวนที่กำลังดำเนินอยู่, หรือข้อผูกพันตามสัญญา อาจต้องระงับการกำจัดข้อมูลตามปกติชั่วคราว บันทึกข้อยกเว้นควรรวมถึงเหตุผล, เจ้าของที่อนุมัติ, ขอบเขต, วันที่เริ่มต้น, และวันที่ตรวจสอบ เมื่อการระงับสิ้นสุดลง ข้อมูลควรกลับสู่ขั้นตอนการลบตามปกติ

สัญญาของผู้ให้บริการก็สมควรได้รับการตรวจสอบอย่างละเอียดเช่นกัน ยืนยันว่าผู้ให้บริการเทคโนโลยีการสรรหาบุคลากรดำเนินการตามคำขอการลบข้อมูลอย่างไร, จัดการการสำรองข้อมูลอย่างไร, แยกข้อมูลลูกค้าอย่างไร, แจ้งลูกค้าเกี่ยวกับเหตุการณ์อย่างไร, และสนับสนุนความต้องการในการตรวจสอบอย่างไร หากผู้ให้บริการไม่สามารถให้คำตอบที่ชัดเจนได้ องค์กรอาจไม่สามารถปฏิบัติตามข้อผูกพันตามนโยบายของตนเองได้

กำหนดผู้รับผิดชอบร่วมกันในฝ่ายทรัพยากรบุคคล, กฎหมาย, ความเป็นส่วนตัว และ IT

การเก็บรักษาข้อมูลไม่ใช่ความรับผิดชอบของฝ่ายสรรหาบุคลากรเพียงฝ่ายเดียว ฝ่ายสรรหาบุคลากรเข้าใจขั้นตอนการจ้างงาน แต่ฝ่ายกฎหมายตีความข้อผูกพันในการเก็บรักษาบันทึก, ฝ่ายความเป็นส่วนตัวกำหนดข้อกำหนดในการจัดการข้อมูล, ฝ่าย IT และความปลอดภัยจัดการการควบคุมระบบ, และฝ่ายจัดซื้อจัดจ้างกำกับดูแลข้อผูกพันกับผู้ให้บริการ

รูปแบบการดำเนินงานที่ใช้งานได้จริงจะกำหนดเจ้าของนโยบาย ซึ่งมักจะอยู่ในฝ่ายทรัพยากรบุคคลหรือความเป็นส่วนตัว ควบคู่ไปกับเจ้าของระบบที่กำหนดค่าการตั้งค่าการเก็บรักษาข้อมูล ฝ่ายปฏิบัติการสรรหาบุคลากรควรเป็นเจ้าของเอกสารกระบวนการและการฝึกอบรมผู้จัดการ ผู้จัดการฝ่ายสรรหาควรรับผิดชอบในการป้อนหลักฐานการตัดสินใจในระบบที่ได้รับอนุมัติและหลีกเลี่ยงการสร้างบันทึกที่ไม่เป็นทางการ ฝ่ายตรวจสอบภายในหรือฝ่ายกำกับดูแลสามารถทดสอบได้ว่านโยบายดำเนินการตามที่เขียนไว้หรือไม่

ทบทวนนโยบายอย่างน้อยปีละครั้ง และเมื่อใดก็ตามที่องค์กรนำวิธีการประเมินใหม่มาใช้, ขยายไปยังเขตอำนาจศาลใหม่, เปลี่ยนผู้ให้บริการ, หรือเริ่มเก็บรวบรวมข้อมูลผู้สมัครประเภทใหม่ การเติบโตผ่านการเข้าซื้อกิจการเป็นอีกหนึ่งปัจจัยกระตุ้นที่พบบ่อย เนื่องจากทีมที่ถูกซื้อกิจการมักจะนำข้อมูลการสรรหาบุคลากรที่ไม่มีการจัดการมาด้วย

เปลี่ยนการเก็บรักษาข้อมูลให้เป็นประสบการณ์ผู้สมัครที่ดีขึ้น

กฎการเก็บรักษาข้อมูลที่ชัดเจนไม่ได้เป็นเพียงการควบคุมด้านการปฏิบัติตามกฎระเบียบเท่านั้น แต่ยังแสดงถึงความเคารพต่อผู้สมัครด้วย การแจ้งเตือนความเป็นส่วนตัวที่กระชับ, คำอธิบายที่เข้าใจง่ายเกี่ยวกับระยะเวลาที่อาจเก็บรักษาบันทึก, และกระบวนการที่เชื่อถือได้สำหรับการร้องขอ สามารถเสริมสร้างความไว้วางใจได้ แม้ว่าผู้สมัครจะไม่ได้รับข้อเสนอการจ้างงานก็ตาม

สำหรับองค์กรผู้จ้างงาน ผลตอบแทนก็เป็นไปในทางปฏิบัติไม่แพ้กัน: ข้อมูลซ้ำซ้อนน้อยลง, การเรียกใช้หลักฐานการตัดสินใจที่รวดเร็วขึ้น, ไฟล์ที่ไม่มีการจัดการน้อยลง, และความรับผิดชอบที่ชัดเจนขึ้นตลอดวงจรการจ้างงาน โปรแกรมการเก็บรักษาข้อมูลที่มีประสิทธิภาพสูงสุดคือโปรแกรมที่ฝังอยู่ในขั้นตอนการสรรหาบุคลากร ซึ่งทุกการตัดสินใจได้รับการบันทึก, ทุกบันทึกมีวัตถุประสงค์, และไม่มีข้อมูลผู้สมัครใดถูกเก็บไว้เพียงเพราะไม่มีใครตัดสินใจว่าจะเกิดอะไรขึ้นต่อไป