#หยิบมาตอบ
“บริษัทไม่มีสิทธิตรวจว่าเราใช้คอมบริษัทเพื่อเข้าเว็บไซต์อะไร เพราะผิด PDPA” จริงหรือ?
ช่วงนี้มีข่าวและบทความเกี่ยวกับโปรแกรมติดตามการทำงานของพนักงานมากขึ้น โดยเฉพาะบริษัทต่างชาติที่สามารถตรวจได้ว่า ลูกจ้างเปิดโปรแกรมอะไร เข้าเว็บไซต์ใด ใช้งานคีย์บอร์ดหรือเมาส์นานเพียงใด และมีช่วงเวลาที่ไม่ได้ใช้งานเครื่องกี่นาที จึงมีคนตั้งคำถามว่า การตรวจสอบลักษณะนี้ผิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลหรือไม่ และบางคนก็สรุปไปเลยว่า “บริษัทไม่มีสิทธิตรวจคอมของพนักงาน เพราะเป็นข้อมูลส่วนบุคคล”
เอาจริง ๆ การรักษาสิทธิของตนเองเป็นเรื่องดี แต่ก็อย่าเพิ่งหยิบคำว่า PDPA มาใช้เป็นเกราะจนลืมข้อเท็จจริงพื้นฐานว่า คอมพิวเตอร์ ระบบอินเทอร์เน็ต บัญชีผู้ใช้งาน และเวลาทำงานที่นายจ้างจัดให้ มีไว้เพื่อการทำงานให้นายจ้าง อย่างไรก็ตาม การที่อุปกรณ์เป็นทรัพย์สินของบริษัท ไม่ได้ทำให้ข้อมูลส่วนบุคคลที่เกิดจากการใช้อุปกรณ์นั้นหลุดพ้นจากความคุ้มครองของ PDPA โดยอัตโนมัติ เพราะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 ให้นิยาม “ข้อมูลส่วนบุคคล” โดยพิจารณาว่าข้อมูลนั้นเกี่ยวกับบุคคลและสามารถทำให้ระบุตัวบุคคลนั้นได้โดยตรงหรือโดยอ้อม ไม่ได้พิจารณาจากว่าอุปกรณ์ที่สร้างข้อมูลนั้นเป็นของใคร
ความสัมพันธ์ตามสัญญาจ้างแรงงานมีสาระสำคัญว่า ลูกจ้างตกลงทำงานให้นายจ้างและนายจ้างตกลงจ่ายค่าจ้างตอบแทน ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 575 ซึ่งบัญญัติถึงสัญญาจ้างแรงงานว่าเป็นสัญญาที่ลูกจ้างตกลงทำงานให้แก่นายจ้าง และนายจ้างตกลงให้สินจ้างตลอดเวลาที่ทำงานให้ ดังนั้น การที่นายจ้างจะตรวจสอบว่าลูกจ้างปฏิบัติงานตามสัญญาจ้างหรือไม่ ย่อมมีวัตถุประสงค์ที่เกี่ยวข้องกับความสัมพันธ์ตามสัญญาจ้าง แต่การตรวจสอบข้อมูลส่วนบุคคลยังต้องอยู่ภายใต้ PDPA ด้วย
ดังนั้น การตรวจสอบประวัติการเข้าเว็บไซต์ การใช้งานระบบ ระยะเวลาที่เปิดโปรแกรม หรือบันทึกการเชื่อมต่อผ่านอุปกรณ์และเครือข่ายของบริษัท ไม่ใช่การกระทำที่ PDPA ห้ามโดยเด็ดขาด แต่หากข้อมูลดังกล่าวสามารถเชื่อมโยงถึงตัวลูกจ้างได้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้นต้องมีฐานกฎหมายรองรับตามมาตรา 24 และต้องปฏิบัติตามหลักเกณฑ์อื่นของ PDPA เช่น อาจเป็นกรณีที่จำเป็นเพื่อการปฏิบัติตามสัญญาตามมาตรา 24 (3) หรือจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) แล้วแต่วัตถุประสงค์และข้อเท็จจริงของการประมวลผลนั้น
ตรงนี้สำคัญมาก เพราะมาตรา 24 (5) ไม่ได้เปิดทางให้บริษัทอ้างคำว่า “ประโยชน์โดยชอบด้วยกฎหมาย” แล้วตรวจอะไรก็ได้ แต่กำหนดเงื่อนไขว่า การประมวลผลต้อง “จำเป็น” เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น และต้องไม่ใช่กรณีที่สิทธิและเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลมีความสำคัญเหนือกว่าประโยชน์ดังกล่าว
เพราะฉะนั้น คำว่า “บริษัทมีสิทธิตรวจสอบ” ก็ไม่ได้แปลว่าบริษัทจะสอดส่องทุกเรื่องได้อย่างไม่มีขอบเขต มาตรา 22 กำหนดให้การเก็บรวบรวมข้อมูลต้องเก็บเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และมาตรา 23 กำหนดให้นายจ้างในฐานะผู้ควบคุมข้อมูลต้องแจ้งรายละเอียดสำคัญแก่เจ้าของข้อมูลก่อนหรือขณะเก็บรวบรวม เช่น วัตถุประสงค์ ข้อมูลที่จะเก็บ ระยะเวลาการเก็บ บุคคลหรือหน่วยงานที่อาจได้รับข้อมูล และสิทธิของเจ้าของข้อมูล
ดังนั้น การใช้ระบบที่ตรวจสอบเว็บไซต์หรือการใช้งานระบบของบริษัทอาจทำได้ แต่การเปิดกล้องหรือไมโครโฟนตลอดเวลา จับภาพหน้าจออย่างต่อเนื่อง หรือเก็บข้อมูลที่ไม่เกี่ยวข้องกับวัตถุประสงค์ในการตรวจสอบการทำงาน ย่อมต้องพิจารณาเป็นรายกรณีว่าจำเป็นและได้สัดส่วนกับวัตถุประสงค์หรือไม่ ไม่ควรเขียนฟันธงว่าการกระทำเหล่านี้ “ทำไม่ได้” ทุกกรณี เพราะตัวบทไม่ได้ห้ามวิธีการดังกล่าวเป็นการเฉพาะ
ที่สำคัญ นายจ้างไม่ควรคิดเพียงว่า “ให้ลูกจ้างเซ็นยินยอมก็จบ” เพราะความยินยอม ฐานสัญญา และฐานประโยชน์โดยชอบด้วยกฎหมายเป็นคนละฐานกัน มาตรา 19 กำหนดเรื่องความยินยอมไว้โดยเฉพาะ และยังระบุด้วยว่า ในการเข้าทำสัญญาจะกำหนดให้ความยินยอมในการเก็บ ใช้ หรือเปิดเผยข้อมูลที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับสัญญาเป็นเงื่อนไขไม่ได้ ขณะที่การประมวลผลที่จำเป็นต่อสัญญาอาจอาศัยมาตรา 24 (3) และการประมวลผลเพื่อประโยชน์โดยชอบด้วยกฎหมายอาจอาศัยมาตรา 24 (5) ได้โดยไม่ต้องเอาความยินยอมมาเป็นฐานทุกเรื่อง
นอกจากนี้ หากนายจ้างจะเก็บข้อมูลดังกล่าว ก็ไม่ได้มีเพียงเรื่อง “มีฐานกฎหมายหรือไม่” เท่านั้น มาตรา 37 ยังกำหนดหน้าที่ของผู้ควบคุมข้อมูลให้ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ ดังนั้น ข้อมูล monitoring ของลูกจ้างไม่ควรถูกเปิดให้หัวหน้าหรือบุคคลอื่นเข้าดูได้ตามใจเพียงเพราะเป็นข้อมูลที่บริษัทเก็บเอง
ในมุมกฎหมายแรงงาน หากลูกจ้างใช้เวลาทำงานและทรัพย์สินของบริษัทไปเพื่อประโยชน์ส่วนตัวเป็นจำนวนมาก เช่น เปิดเครื่องไว้เสมือนว่าทำงานแต่ความจริงใช้เวลาทำงานเพียงวันละหนึ่งหรือสองชั่วโมง ที่เหลือดูสื่อออนไลน์ รับงานอื่น ทำธุรกิจส่วนตัว หรือดำเนินกิจกรรมที่ไม่เกี่ยวกับงาน นายจ้างย่อมสามารถตรวจสอบข้อเท็จจริงและพิจารณาดำเนินการทางวินัยได้ แต่ระดับโทษต้องพิจารณาจากข้อเท็จจริง ข้อบังคับเกี่ยวกับการทำงาน คำสั่งของนายจ้าง และองค์ประกอบของกฎหมายที่จะนำมาใช้ ไม่ใช่เพียงพบว่าใช้คอมพิวเตอร์ทำเรื่องส่วนตัวแล้วจะเข้าเหตุเลิกจ้างตามมาตรา 119 โดยอัตโนมัติ
พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 มาตรา 119 กำหนดเหตุที่นายจ้างไม่ต้องจ่ายค่าชดเชยไว้เป็นกรณี ๆ ได้แก่ ทุจริตต่อหน้าที่หรือกระทำความผิดอาญาโดยเจตนาแก่นายจ้าง จงใจทำให้นายจ้างได้รับความเสียหาย ประมาทเลินเล่อเป็นเหตุให้นายจ้างได้รับความเสียหายอย่างร้ายแรง ฝ่าฝืนข้อบังคับ ระเบียบ หรือคำสั่งอันชอบด้วยกฎหมายและเป็นธรรมของนายจ้างซึ่งได้ตักเตือนเป็นหนังสือแล้ว เว้นแต่กรณีร้ายแรงที่ไม่จำเป็นต้องตักเตือน ตลอดจนเหตุอื่นตามที่มาตรา 119 กำหนด
ดังนั้น ไม่ควรเขียนรวมว่า “ใช้เวลาทำงานทำธุรกิจส่วนตัว ใช้ทรัพย์สินนายจ้างเพื่อประโยชน์ส่วนตัว หรือนำทรัพย์สินบริษัทไปใช้” แล้วจะเป็นความผิดร้ายแรงในลักษณะเดียวกันทั้งหมด เพราะมาตรา 119 แยกองค์ประกอบของแต่ละเหตุไว้ต่างกัน ต้องนำข้อเท็จจริงของแต่ละกรณีไปเทียบกับแต่ละวงเล็บโดยเฉพาะ
หากเป็นเพียงการฝ่าฝืนข้อบังคับ ระเบียบ หรือคำสั่งของนายจ้าง ประเด็นหลักจะอยู่ที่มาตรา 119 (4) ซึ่งกฎหมายกำหนดว่า คำสั่งนั้นต้องชอบด้วยกฎหมายและเป็นธรรม และโดยหลักต้องมีหนังสือเตือนก่อน เว้นแต่เป็นกรณีร้ายแรง ส่วนถ้าจะอ้างมาตรา 119 (2) ว่าจงใจทำให้นายจ้างเสียหาย หรือมาตรา 119 (3) ว่าประมาทเลินเล่อจนเกิดความเสียหายอย่างร้ายแรง ก็ต้องพิสูจน์องค์ประกอบของเหตุนั้นต่างหาก ไม่สามารถเอาการใช้เว็บไซต์ส่วนตัวเพียงอย่างเดียวไปแทนองค์ประกอบดังกล่าวได้
เพราะฉะนั้น หากลูกจ้างเปิดเว็บไซต์ส่วนตัวเพียงไม่กี่นาทีในช่วงพัก ไม่ทำให้งานล่าช้า ไม่สร้างความเสียหาย และไม่ได้ฝ่าฝืนคำสั่งที่ชัดเจน ยังไม่มีข้อเท็จจริงเพียงพอที่จะสรุปจากมาตรา 119 เพียงมาตราเดียวว่าเป็นเหตุเลิกจ้างโดยไม่จ่ายค่าชดเชย ส่วนการเลิกจ้างจะเป็น “การเลิกจ้างไม่เป็นธรรม” หรือไม่นั้นเป็นอีกประเด็นหนึ่ง ซึ่งต้องพิจารณาตามมาตรา 49 แห่งพระราชบัญญัติจัดตั้งศาลแรงงานและวิธีพิจารณาคดีแรงงาน พ.ศ. 2522 และข้อเท็จจริงของแต่ละคดี ไม่ควรเขียนว่าการลงโทษ “ไม่ได้สัดส่วน” แล้วเท่ากับเป็นการเลิกจ้างไม่เป็นธรรมโดยอัตโนมัติ
แต่หากผลการตรวจสอบพบว่า ลูกจ้างรับค่าจ้างเต็มเวลาแต่แทบไม่ได้ทำงาน ใช้ระบบของบริษัททำงานให้บุคคลอื่น ดาวน์โหลดข้อมูลไปใช้ส่วนตัว เข้าเว็บไซต์ที่ทำให้ระบบเสี่ยง หรือพยายามปกปิดพฤติกรรมของตนเอง เรื่องนี้ก็ไม่ใช่เพียงเรื่อง “ความเป็นส่วนตัว” อีกต่อไป แต่ข้อเท็จจริงดังกล่าวก็ยังต้องแยกพิจารณาว่าเข้าองค์ประกอบของความผิดตามข้อบังคับ คำสั่ง หรือมาตรา 119 ข้อใด และร้ายแรงเพียงใด ก่อนกำหนดโทษ
สำหรับนายจ้าง วิธีที่รัดกุมกว่าคือกำหนดเรื่องนี้ให้ชัดตั้งแต่ต้น โดยระบุไว้ในสัญญาจ้าง ข้อบังคับเกี่ยวกับการทำงาน หรือนโยบายการใช้อุปกรณ์และระบบเทคโนโลยีสารสนเทศตามความเหมาะสม และ จัดทำรายละเอียดการแจ้งการประมวลผลข้อมูลให้เป็นไปตามมาตรา 23 ว่าอุปกรณ์และระบบของบริษัทอาจมีการบันทึกหรือตรวจสอบข้อมูลประเภทใด เพื่อวัตถุประสงค์ใด เก็บรักษานานเท่าใด เปิดเผยแก่ใคร และเจ้าของข้อมูลมีสิทธิอย่างไร รวมถึงจัดมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37
ดังนั้น PDPA ไม่ได้ทำให้คอมพิวเตอร์ของบริษัทกลายเป็น “เขตปลอดนายจ้าง” แต่การเป็นเจ้าของคอมพิวเตอร์ก็ไม่ได้ทำให้นายจ้างเป็น “เจ้าของข้อมูลส่วนบุคคลทุกอย่าง” ที่อยู่ในเครื่องนั้นเช่นกัน
บริษัทตรวจสอบได้เมื่อมีฐานกฎหมาย มีวัตถุประสงค์ที่ชอบ เก็บเท่าที่จำเป็น แจ้งให้ทราบตามกฎหมาย และดูแลข้อมูลอย่างเหมาะสม ส่วนจะเอาผลที่ตรวจพบไปลงโทษลูกจ้างได้ถึงระดับไหน ต้องกลับไปเปิดข้อบังคับและมาตรา 119 ดูอีกที เพราะ “ตรวจได้” กับ “ไล่ออกได้” เป็นคนละคำถามกัน
ส่วนในมุมลูกจ้าง การรู้สิทธิของตัวเองเป็นเรื่องดีค่ะ แต่ถ้าทุกเรื่องจบด้วย “บริษัทไม่มีสิทธิทำอันนั้น” “หัวหน้าตรวจอันนี้ไม่ได้” “อันนี้ PDPA” “อันนั้นละเมิดความเป็นส่วนตัว” จนสุดท้ายบริษัทเหลือสิทธิแค่โอนเงินเดือนเข้าบัญชีอย่างเดียว…
ถ้าอยากทำอะไรก็ได้โดยไม่มีนายจ้างตรวจสอบ ง่ายที่สุดคือเปิดบริษัทเองค่ะ
แต่ตอนนั้นจะได้รู้ว่าลูกจ้างที่บอกว่า “อันนี้บริษัทไม่มีสิทธิ” ทุกเรื่องเวลามาอยู่ในบริษัทเราเอง…ก็น่ารักดีเหมือนกันค่ะ
โดยทนายฝ้าย
คลินิกกฎหมายแรงงาน
ปรึกษามีค่าใช้จ่าย