ข้อมูลเชิงลึกด้าน HR • 10 อ่านขั้นต่ำ
ทำความเข้าใจ GDPR สำหรับฝ่ายทรัพยากรบุคคล
APR 2, 2026
ฝ่ายทรัพยากรบุคคลต้องจัดการข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนทุกวัน นี่คือคู่มือฉบับเข้าใจง่ายเกี่ยวกับข้อผูกพันตาม GDPR และวิธีปฏิบัติตามให้สอดคล้อง
พื้นฐาน GDPR สำหรับฝ่ายทรัพยากรบุคคล
UK General Data Protection Regulation (UK GDPR) และฉบับที่เทียบเท่าของสหภาพยุโรปเป็นกรอบกำกับดูแลวิธีการเก็บรวบรวม จัดเก็บ ใช้ และลบข้อมูลส่วนบุคคล สำหรับฝ่ายทรัพยากรบุคคล ข้อมูลส่วนบุคคลครอบคลุมตั้งแต่ใบสมัครงานไปจนถึงสลิปเงินเดือนและบันทึกการลาป่วย หลักการคุ้มครองข้อมูลทั้งหกประการ ได้แก่ ความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส; การจำกัดวัตถุประสงค์; การลดข้อมูลให้น้อยที่สุด; ความถูกต้อง; การจำกัดการเก็บรักษา; และความครบถ้วนและการรักษาความลับ ฝ่ายทรัพยากรบุคคลต้องสามารถแสดงให้เห็นถึงการปฏิบัติตามหลักการทั้งหกข้อ
Legal bases for processing employee data
Every HR data processing activity must have a legal basis. The most common for employees are: performance of a contract (processing payroll data to pay an employee), legal obligation (maintaining right-to-work records), and legitimate interests (monitoring email use on company devices for security purposes). Special category data, which includes health information, racial or ethnic origin, and biometric data, requires an additional condition: most commonly explicit consent or necessity for employment law purposes.
Employee rights you must honour
Employees have the right to access their personal data (subject access requests must be responded to within one month), the right to have inaccurate data corrected, the right to erasure in some circumstances, and the right to restrict processing. Establish a clear process for handling these requests, train your HR team to recognise them, and ensure you can retrieve the relevant data from your HRIS quickly. Late or incomplete responses can result in regulatory action.
พื้นที่ความเสี่ยงสูงสำหรับฝ่ายทรัพยากรบุคคล
Certain HR activities carry higher data protection risk: automated decision-making in recruitment (using AI to screen CVs), the transfer of employee data to third-party payroll providers, the collection of biometric data for time-and-attendance systems, and the use of employee monitoring tools. Conduct a Data Protection Impact Assessment (DPIA) before implementing any new technology that processes special category data or involves automated decisions affecting individuals.
