นโยบายความเป็นส่วนตัว (Privacy Policy)

1. บทนำ

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ หรือ สพธอ. (“สำนักงาน”) ให้ความสำคัญอย่างยิ่งกับการคุ้มครองข้อมูลส่วนบุคคล และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และโดยที่การดำเนินงานของสำนักงานต้องมีการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคล สำนักงานจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ต้องมีหน้าที่และความรับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย

                    สำนักงานจึงได้มีการจัดทำนโยบายความเป็นส่วนตัวนี้ขึ้น (“นโยบาย”) เพื่อกำหนดแนวทางและหลักปฏิบัติในการดำเนินการคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน
                

2. ขอบเขต

นโยบายนี้มีผลบังคับใช้กับผู้ที่เกี่ยวข้องกับการบริหารจัดการข้อมูลตลอดวงจรชีวิตข้อมูลของสำนักงาน เช่น ผู้อำนวยการ คณะกรรมการ คณะอนุกรรมการ พนักงาน ลูกจ้าง คณะทำงาน นิสิตและนักศึกษาฝึกงาน คู่สัญญา หน่วยงานภายนอกหรือบุคคลภายนอกที่ปฏิบัติงานในนามหรือร่วมงานกับสำนักงาน เป็นต้น ตลอดจนผู้ที่อยู่ในโครงสร้างธรรมาภิบาลข้อมูล และผู้ที่มีหน้าที่โดยตรงในการสนับสนุนการดำเนินการและการปฏิบัติตามนโยบายนี้

สำนักงานมุ่งหวังให้ผู้ที่ต้องปฏิบัติตามนโยบายนี้ ได้มีการทำความเข้าใจหลักการและแนวทางที่กำหนดนโยบายนี้ และพึงยึดถือปฏิบัติอย่างเคร่งครัด หากมีผู้ที่ปฏิบัติฝ่าฝืนนโยบาย รวมถึงแนวปฏิบัติต่าง ๆ ภายใต้นโยบายนี้ สำนักงานจะพิจารณาดำเนินมาตรการที่จำเป็นเพื่อลงโทษผู้ที่ฝ่าฝืนนั้น

3. วัตถุประสงค์

เพื่อให้การดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของสำนักงานเป็นไปตามข้อกำหนดของกฎหมาย
เพื่อเป็นแนวทางในการดำเนินการคุ้มครองข้อมูลส่วนบุคคลที่สำนักงานมีการเก็บรวบรวมและประมวลผล ให้กับพนักงานและผู้ที่มีส่วนเข้าไปเกี่ยวข้องกับข้อมูลส่วนบุคคลดังกล่าวได้ยึดถือปฏิบัติโดยเคร่งครัด
เพื่อให้เจ้าของข้อมูลส่วนบุคคลมั่นใจว่าข้อมูลส่วนบุคคลที่สำนักงานมีการเก็บรวบรวมไว้จะได้รับการปกป้องดูแลและนำไปประมวลผลอย่างเหมาะสม โปร่งใส และเป็นไปตามข้อกำหนดของกฎหมายคุ้มครองข้อมูลส่วนบุคคล

4. คำนิยาม

กฎหมายคุ้มครองข้อมูลส่วนบุคคล

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และที่มีการแก้ไขเพิ่มเติมในอนาคต รวมถึงกฎหมายลำดับรองและกฎเกณฑ์ต่าง ๆ ที่เกี่ยวข้อง

ข้อมูลส่วนบุคคล (Personal Data)

ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ นามสกุล อีเมล เบอร์โทรศัพท์ รวมถึงข้อมูลทางชีวมิติ (Biometric) แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)

บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

เจ้าของข้อมูล (Data Subject)

บุคคลธรรมดาที่เป็นเจ้าของข้อมูลส่วนบุคคลนั้น (ไม่ใช่กรณีมีความเป็นเจ้าของ Ownership หรือผู้สร้าง/เก็บรวบรวมข้อมูลเอง)

การประมวลผล (Processing)

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

5. หลักการสำคัญในการคุ้มครองข้อมูลส่วนบุคคล

สำนักงานจะประมวลผลข้อมูลส่วนบุคคล โดยอยู่บนพื้นฐานหลักการสำคัญดังต่อไปนี้:

Lawfulness, Fairness and Transparency: การประมวลผลต้องเป็นไปโดยชอบด้วยกฎหมาย เป็นธรรม และมีความโปร่งใส
Purpose Limitation: ดำเนินการภายในขอบเขตวัตถุประสงค์ที่กำหนด ชัดเจน และไม่นำไปใช้ในทางที่ไม่สอดคล้อง
Data Minimization: ประมวลผลเท่าที่เพียงพอ เกี่ยวข้อง และจำเป็นต่อวัตถุประสงค์เท่านั้น
Accuracy: ข้อมูลต้องถูกต้อง และได้รับการปรับปรุงให้เป็นปัจจุบันในกรณีที่จำเป็น
Storage Limitation: จัดเก็บตามระยะเวลาเท่าที่จำเป็น เว้นแต่มีกฎหมายกำหนดให้เก็บนานกว่านั้น
Integrity and Confidentiality: มีมาตรการรักษาความมั่นคงปลอดภัย ป้องกันการเข้าถึงโดยไม่ชอบ การสูญหาย หรือเสียหาย

6. การปฏิบัติให้สอดคล้องตามหลักการสำคัญ

สำนักงานกำหนดแนวทางการดำเนินงานเพื่อให้มั่นใจว่าหลักการสำคัญถูกนำไปสู่การปฏิบัติจริง ดังนี้:

กำหนดโครงสร้างองค์กร ผู้รับผิดชอบ และแต่งตั้งตัวแทนติดต่อประสานงานกับเจ้าของข้อมูลและ สคส.
กำหนดแนวปฏิบัติ หน้าที่ความรับผิดชอบของพนักงานให้สอดคล้องกับนโยบายและกฎหมาย
จัดอบรมสร้างความตระหนักรู้และความเข้าใจแก่พนักงานอย่างต่อเนื่อง
แจ้ง Privacy Notice และ Cookie Notice ชัดเจนแก่ผู้ใช้บริการ
การขอความยินยอมต้องทำอย่างชัดแจ้ง ใช้ภาษาอ่านง่าย เข้าถึงได้สะดวก
กำหนดช่องทางและกระบวนการรับเรื่องร้องเรียนและการใช้สิทธิของเจ้าของข้อมูล
จัดทำกระบวนการตรวจสอบ สอบสวน และรายงานกรณีเกิดเหตุละเมิดข้อมูลส่วนบุคคล
บันทึกรายการกิจกรรมการประมวลผล (ROPA) ตามมาตรา 39 และทบทวนอย่างน้อยปีละ 1 ครั้ง
จัดทำตารางการจัดเก็บข้อมูล (Retention Schedule) เพื่อควบคุมระยะเวลาจัดเก็บ
ทำข้อตกลงการประมวลผลข้อมูล (DPA) ในกรณีที่มีการว่าจ้างผู้ประมวลผลภายนอก
กำหนดมาตรการควบคุมการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

7. หลักการในการประมวลผลข้อมูล

การประมวลผลข้อมูลส่วนบุคคลจะดำเนินการโดยอาศัยฐานทางกฎหมาย ดังต่อไปนี้:

เพื่อการปฏิบัติตามสัญญา หรือใช้ในการดำเนินการตามคำขอก่อนเข้าทำสัญญา
เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือใช้อำนาจรัฐ
เพื่อประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) ของสำนักงานหรือบุคคลอื่น
เพื่อจัดทำเอกสารประวัติศาสตร์ จดหมายเหตุ การศึกษาวิจัย หรือสถิติ
เป็นการปฏิบัติตามหน้าที่ที่กฎหมายกำหนด
เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอม (Consent)

8. สิทธิของเจ้าของข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมาย ซึ่งสำนักงานพร้อมอำนวยความสะดวกในการดำเนินการ ดังนี้:

1. สิทธิในการได้รับแจ้ง (Right to be Informed)

2. สิทธิในการเพิกถอนความยินยอม (Right to Withdraw Consent)

3. สิทธิในการเข้าถึงข้อมูล (Right of Access)

4. สิทธิในการแก้ไขข้อมูล (Right to Rectification)

5. สิทธิในการลบข้อมูล (Right to Erasure)

6. สิทธิในการโอนข้อมูล (Right to Data Portability)

7. สิทธิในการระงับการใช้ข้อมูล (Right to Restriction of Processing)

8. สิทธิในการคัดค้าน (Right to Object)

หากต้องการยื่นคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล สามารถส่งอีเมลมาได้ที่:

[email protected]

รายละเอียดเพิ่มเติมสามารถอ่านได้ที่หัวข้อ "การตรวจสอบและการขอใช้สิทธิ" บนเว็บไซต์ สพธอ.

9. นโยบาย แนวปฏิบัติ และคู่มืออื่นที่เกี่ยวข้อง

นโยบายธรรมาภิบาลข้อมูล
ขั้นตอนการปฏิบัติงาน เรื่อง การบริหารจัดการข้อมูล
นโยบายและแนวปฏิบัติการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ
แนวทางและขั้นตอนการรับคำร้องขอใช้สิทธิของเจ้าของข้อมูล

10. การทบทวนและปรับปรุงนโยบาย

สำนักงานจะทำการทบทวนนโยบายนี้ให้เป็นปัจจุบันเสมออย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีความจำเป็น เพื่อให้นโยบายสอดคล้องและเหมาะสมกับสถานการณ์ที่เปลี่ยนแปลง โดยจะประกาศให้ทราบผ่านทางเว็บไซต์ สพธอ. และช่องทางการสื่อสารอื่น ๆ ที่เหมาะสม