การดำเนินการของโรงงานตามที่เล่ามา มีประเด็นที่สุ่มเสี่ยงและอาจขัดต่อทั้ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) รวมถึงกฎหมายคุ้มครองแรงงานและสิทธิขั้นพื้นฐานตามรัฐธรรมนูญ ในหลายจุดค่ะ

บริษัทมีสิทธิปกป้องความลับทางการค้าและทรัพย์สินของลูกค้า แต่ต้องไม่ละเมิดสิทธิความเป็นส่วนตัวเกินขอบเขตที่จำเป็น

1. ประเด็นการเก็บ Serial Number โดยไม่มี Privacy Notice (ผิด PDPA ชัดเจน)

Serial Number เมื่อนำมาจับคู่กับชื่อ-สกุลหรือรหัสพนักงาน จะกลายเป็น ข้อมูลส่วนบุคคล (Personal Data) ทันที เพราะสามารถระบุตัวตนเจ้าของเครื่องได้

ไม่มีการแจ้งวัตถุประสงค์และการจัดเก็บ: มาตรา 23 ของ PDPA กำหนดชัดเจนว่า ผู้ควบคุมข้อมูลต้องแจ้ง Privacy Notice (นโยบายความเป็นส่วนตัว) ให้เจ้าของข้อมูลทราบ ทั้งวัตถุประสงค์, ฐานการประมวลผล, มาตรการความปลอดภัย, ระยะเวลาจัดเก็บ และกำหนดเวลาทำลายข้อมูล

ความผิด: การเก็บโดยไม่แจ้งรายละเอียดเหล่านี้ ถือว่าขัดต่อกฎหมาย PDPA โดยตรงและมีโทษปรับทางปกครองค่ะ

2. การบังคับเซ็นยินยอมตรวจค้นมือถือตลอดเวลา (แปลกและส่อว่าผิดกฎหมาย)

จุดนี้คือเรื่องที่อันตรายที่สุดและไม่ใช่สิ่งที่ "ทุกบริษัททำกัน" ค่ะ

การยินยอมที่ไม่เป็นอิสระ (Invalid Consent): ตามหลัก PDPA ความยินยอมต้องให้โดยอิสระ (Freely Given) ในบริบทระหว่างนายจ้าง-ลูกจ้าง หากการไม่ยินยอมจะทำให้ทำงานไม่ได้หรือมีผลกระทบต่องาน ถือว่าเกิดภาวะ "ความไม่เท่าเทียมทางอำนาจ" ความยินยอมนั้นอาจตกเป็นโมฆะตั้งแต่ต้น

ละเมิดสิทธิเสรีภาพและข้อมูลส่วนบุคคล: สมาร์ตโฟนส่วนตัวบรรจุข้อมูลที่มีความละเอียดอ่อนสูง (แชตส่วนตัว, รูปภาพ, บัญชีธนาคาร, ประวัติการท่องเว็บ) การขอตรวจค้นแบบ "ทุกครั้งที่ต้องการ" (Blanket Consent) เป็นการรุกล้ำเกินกว่าเหตุ (Disproportionate)

ขัดต่อรัฐธรรมนูญและกฎหมายอาญา: สิทธิในความเป็นอยู่ส่วนตัวได้รับการคุ้มครอง แม้เป็นนายจ้างก็ไม่มีสิทธิตรวจค้นข้อมูลดิจิทัลส่วนตัวตามอำเภอใจ เว้นแต่จะมีเหตุอันควรสงสัยอย่างยิ่งว่าเกิดการกระทำความผิด และต้องมีขั้นตอนตรวจสอบที่รัดกุมโปร่งใส

3. ทางออกที่ได้มาตรฐานทั่วไปที่บริษัทอื่นใช้กัน

โรงงานหรือศูนย์ข้อมูล (Data Center) ทั่วไปที่มีมาตรฐานความปลอดภัยระดับสูง ไม่ได้ใช้วิธีรุกล้ำข้อมูลในเครื่องส่วนตัว แต่จะใช้มาตรการทางกายภาพและอุปกรณ์ขององค์กรแทน:

Locker & Restricted Zone: ให้ฝากโทรศัพท์ส่วนตัวไว้ในล็อกเกอร์นอกพื้นที่ทำงานอย่างเด็ดขาด ไม่อนุญาตให้นำเข้าไลน์ผลิต

Company-Provided Devices: หากต้องติดต่อสื่อสาร ให้ใช้โทรศัพท์หรือแท็บเล็ตของบริษัทที่จำกัดสิทธิ์ (MDM - Mobile Device Management) ซึ่งบริษัทมีสิทธิ์ตรวจสอบเครื่องส่วนกลางนี้ได้ 100%

Sticker ซีลกล้อง: หากจำเป็นต้องพกเข้าจริงๆ จะใช้สติกเกอร์รักษาความปลอดภัยติดปิดเลนส์กล้องหน้า-หลัง โดยตรวจเฉพาะว่าสติกเกอร์ถูกแกะหรือไม่ตอนเดินออก ไม่ใช่เปิดดูไฟล์ข้างใน

คำแนะนำเบื้องต้นในการรับมือ

ขอสอบถามเอกสาร Privacy Notice: สอบถามเจ้าหน้าที่ฝ่ายบุคคลหรือ DPO (Data Protection Officer) ของบริษัทว่ามีเอกสารชี้แจงการเก็บข้อมูลและระยะเวลาทำลายตามมาตรา 23 หรือไม่

รวมกลุ่มสอบถามขอบเขตการ "ตรวจสอบ": ตั้งคำถามร่วมกันว่า คำว่า "ตรวจสอบ" หมายถึงอะไร ตรวจสอบทางกายภาพภายนอก (เช่น สติกเกอร์ปิดกล้อง) หรือการเปิดดูข้อมูลภายในเครื่อง หากเป็นการเปิดดูข้อมูลภายใน สามารถปฏิเสธการเซ็นยินยอมแบบครอบจักรวาลได้

เสนอทางเลือกฝากเครื่อง: เสนอให้จัดจุดฝากโทรศัพท์ด้านนอก ซึ่งตอบโจทย์การป้องกันความลับรั่วไหลได้ดีกว่าการตรวจค้นรายวัน และไม่เสี่ยงต่อการฟ้องร้องเรื่องสิทธิส่วนบุคคลค่ะ