ทั้งนี้บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลตามมาตรการป้องกันด้านการบริหารจัดการ (administrative safeguard) มาตรการป้องกันด้านเทคนิค(Technical Safeguard) และมาตรการป้องกันทางกายภาพ (Physical Safeguard) เพื่อรักษาความมั่นคงปลอดภัยในการประมวลผลข้อมูลส่วนบุคคลที่เหมาะสม หมายความว่ามีการธำรงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน(Integrity) และข้อมูลอยู่ในลักษณะที่พร้อมใช้งาน (Availability) และเพื่อป้องกันการละเมิดข้อมูลส่วนบุคคล

นอกจากนี้บริษัทยังได้กำหนดให้พนักงาน บุคลากร ตัวแทน และผู้รับข้อมูลจากบริษัทมีหน้าที่รักษาข้อมูลส่วนบุคคลไว้เป็นความลับและมีความปลอดภัยตามมาตรการที่บริษัทกำหนด  เมื่อต้องการมีการดำเนินการใดๆกับข้อมูลส่วนบุคคล

หมายเหตุ การจัดเก็บข้อมูลอื่นๆนอกเหนือจากที่ระบุตามตารางบริษัทฯจะทำการจัดเก็บเท่าที่จำเป็น

1. การใช้ข้อมูลส่วนบุคคล(Personal Data Usage)

2.1 ให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดูแลเรื่องการประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามนโยบายของบริษัท รวมทั้งกฎหมายและกฎเกณฑ์ที่เกี่ยวข้องทั้งนี้หากมีข้อสงสัยข้อซักถามหรือมีกรณีที่ต้องขอความเห็น หรือต้องให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดำเนินการใดๆสามารถติดต่อได้ตามช่องทางดังนี้ อีเมล์หน่วยงาน Data Protection Officer : [email protected]

2.2 ห้ามพนักงานเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล นอกเหนือจากวัตถุประสงค์และฐานการประมวลผลซึ่งบริษัทได้ระบุไว้ในบันทึกรายการและการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity – ROPA)

2.3 ฐานการประมวลผลข้อมูลส่วนบุคคลของบริษัทจะต้องเป็นไปตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลโดยฐานในการประมวลผลข้อมูลส่วนบุคคลประกอบด้วย

(1) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิตร่างกายหรือสุขภาพของบุคคล

(3) เพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลเป็นผู้สัญญาหรือเพื่อให้ใช้ในการดำเนินการตาม  คำขอของเจ้าของข้อมูลก่อนเข้าทำสัญญา

(4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ

(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัท

(6) เป็นการจำเป็นที่บริษัทต้องปฏิบัติตามกฎหมาย

2.4 เก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการข้อมูลพันธุกรรมข้อมูลชีวภาพหรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลในลักษณะเดียวกัน จะต้องพิจารณาฐานในการประมวลผลข้อมูลส่วนบุคคลดังกล่าวซึ่งประกอบด้วย

(1) ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล

(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิตร่างกายหรือสุขภาพของบุคคล

(3) เป็นการดำเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากำไร

(4) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล

(5) เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมายการปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย

(6) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ

–เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของพนักงานการวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม

–ประโยชน์สาธารณะด้านการสาธารณสุขเช่นการป้องกันสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาดที่จะติดต่อหรือแพร่เข้ามาในราชอาณาจักร

–การคุ้มครองแรงงาน ประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิ์ตามกฎหมายการคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม

–การศึกษาวิจัยทางวิทยาศาสตร์ประวัติศาสตร์หรือสถิติหรือประโยชน์สาธารณะอื่นทั้งนี้ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น

–ประโยชน์สาธารณะที่สำคัญโดยให้จัดให้มีการมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

2.5 ในกรณีที่พนักงานมีความจำเป็นต้องเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลที่เป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ(อายุยังไม่ครบยี่สิบปีบริบูรณ์) หรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้ว การขอความยินยอมจากเจ้าของข้อมูลให้พนักงานดำเนินการดังต่อไปนี้

(1) กรณีเจ้าของข้อมูลเป็นผู้เยาว์ที่มีอายุต่ำกว่า10ปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์

(2) กรณีเจ้าของข้อมูลเป็นผู้เยาว์ที่มีอายุเกิน 10 ปีแต่ไม่เกิน 20 ปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์และผู้เยาว์

(3) กรณีเจ้าของข้อมูลเป็นคนไร้ความสามารถ ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ

(4) กรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ ให้ขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ

2.6 ห้ามไม่ให้พนักงานทำการเก็บรวบรวม  ใช้หรือเปิดเผยข้อมูลส่วนบุคคลแตกต่างจากวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลไว้ก่อนหรือในขณะที่เก็บรวบรวมเว้นแต่ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลทราบหากมีการพิจารณาในการใช้ฐานความยินยอมบริษัทฯได้รับความยินยอมก่อนเก็บรวบรวมใช้หรือเปิดเผยแล้ว

2.7 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ให้พนักงานแจ้งรายละเอียดต่อไปนี้ต่อเจ้าของข้อมูลรับทราบ

(1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย

(2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบจากการไม่ให้ข้อมูลส่วนบุคคล

(3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวม รวมถึงระยะเวลาในการเก็บรวบรวมไว้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน  ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม

(4) บุคคลหรือหน่วยงานของพนักงานซึ่งเป็นผู้รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

(5) แจ้งข้อมูลสถานที่ติดต่อ และวิธีการติดต่อกลับมายังบริษัท

(6) สิทธิของเจ้าของข้อมูลส่วนบุคคล

2.8 ห้ามมิให้พนักงานทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น ที่ไม่ใช่จากเจ้าของข้อมูล

โดยตรง เว้นแต่ได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นให้แก่เจ้าของข้อมูลทราบภายในสามสิบวันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอมจากเจ้าของข้อมูล

2.9 ในการประมวลผลข้อมูลส่วนบุคคล พนักงานจะต้องคำนึงถึงความมั่นคงปลอดภัยสารสนเทศและข้อมูลส่วนบุคคล ซึ่งรวมถึง การธำรงไว้ซึ่งความลับ(Confidentiality) ความถูกต้องครบถ้วน(Integrity) และสภาพพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคลอยู่เสมอ เพื่อการป้องกันการประมวลผลข้อมูลส่วนบุคคลโดยผู้ที่ไม่มีสิทธิ การลบหรือทำลายข้อมูลทั้งโดยความตั้งใจและไม่ตั้งใจและรวมถึงการบริหารความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศให้อยู่ในระดับที่องค์กรยอมรับได้

2.10 พนักงานจะต้องรักษาอุปกรณ์ที่สามารถเข้าถึงข้อมูลส่วนบุคคลมิให้สูญหาย หรือถูกทำลาย และห้ามมิให้บุคคลอื่นที่ไม่มีสิทธิใช้อุปกรณ์ดังกล่าว

2.11 พนักงานทราบดีว่าบริษัทมีการกำหนดสิทธิของพนักงานในการเข้าถึงข้อมูลส่วนบุคคลพนักงานต้องเคารพสิทธิปกครองบุคคลอื่น และไม่เข้าถึงข้อมูลส่วนบุคคลที่ตนไม่มีสิทธิ์ หากพนักงานต้องการเข้าถึงข้อมูลส่วนบุคคลที่ตนไม่มีสิทธิ์พนักงานต้องดำเนินการขอสิทธิเพื่อเข้าถึงข้อมูลนอกเหนือจากที่กำหนดไว้ตามวิธีการที่บริษัทกำหนด

2.12 ห้ามมิให้พนักงานเปิดเผยบัญชีผู้ใช้ (Username) และรหัสผ่าน(Password) ที่บริษัทจัดให้สำหรับเข้าระบบฐานข้อมูลต่างๆแก่บุคคลอื่นได้ด้วยวิธีการใดๆเด็ดขาด

2.13 ห้ามมิให้พนักงาน คัดลอก ลอกเลียน ดัดแปลง ปลอมแปลง ขาย จำหน่าย จ่าย โอน ให้เช่า เรียกดึงข้อมูล บันทึก ส่งผ่าน หรือกระทำการใดๆ ต่อข้อมูลส่วนบุคคลของเจ้าของข้อมูลโดยไม่เป็นไปตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทโดยเด็ดขาด

2.14 พนักงานต้องใช้ความระมัดระวังในการดูแลข้อมูลส่วนบุคคลของเจ้าของข้อมูลให้ปลอดภัยจากการสูญหายเปลี่ยนแปลงแก้ไข รั่วไหล ถูกโจรกรรม ถูกเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ รวมถึงต้องทบทวนวิธีการดูแลรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลตามบริบทหรือเทคโนโลยีที่เปลี่ยนแปลงไปอยู่เสมอ ทั้งนี้ในการเก็บรักษาข้อมูลส่วนบุคคลไม่ว่าจะเป็นรูปแบบของ Hard Copy หรือ Soft file พนักงานจะต้องปฏิบัติตามวิธีการจัดเก็บเอกสารเพื่อความปลอดภัยตามที่บริษัทกำหนด

2.15 พนักงานต้องทำการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลในส่วนที่ตนรับผิดชอบเมื่อพ้นกำหนดระยะเวลาเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลร้องขอหรือได้ถอนความยินยอมทั้งนี้ตามนโยบายการเก็บรักษาข้อมูลส่วนบุคคล และนโยบายการทำลายข้อมูลส่วนบุคคล

2.16 พนักงานต้องปฏิบัติตามนโยบายที่เกี่ยวข้องอย่างเคร่งครัดเพื่อให้บริษัทสามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึงเปลี่ยนแปลง ลบ หรือ ถ่ายโอนข้อมูลส่วนบุคคล

2.17 ในกรณีที่บริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของบุคคลอื่น พนักงานจะต้องปฏิบัติตามคำสั่งเป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้นเว้นแต่คำสั่งนั้นจะขัดหรือแย้งกับกฎหมายและจะไม่ดำเนินการประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกจากวัตถุประสงค์ซึ่งข้อมูลส่วนบุคคลนั้นได้ถูกเปิดเผยให้แก่บริษัทในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล และพนักงานมีหน้าที่ในการรักษาความลับและหน้าที่อื่นๆ ตามที่กำหนดไว้ในสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและบริษัท รวมถึงหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด

2.18 หากพนักงานคนใดทราบถึงการละเมิดข้อมูลส่วนบุคคลของบริษัทพนักงานผู้นั้นจะต้องรายงานเหตุการณ์ที่เกิดขึ้นแก่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือสายงานที่เกี่ยวข้องทันทีทั้งนี้รายงานดังกล่าวจะถูกเก็บเป็นความลับ

3. การลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนด(Personal Data Disposal Policy)

บริษัทฯตระหนักถึงความสำคัญของการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลจึงกำหนดให้มีการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดของข้อมูลส่วนบุคคลอย่างเหมาะสมและสอดคล้องกับการรักษาความลับของข้อมูลส่วนบุคคลเพื่อป้องกันการสูญหายการเข้าถึงทำลายใช้แปลงแก้ไขหรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่มีสิทธิหรือโดยไม่ชอบด้วยกฎหมายรวมถึงการควบคุมให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามที่กำหนดนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของบริษัท

3.1 วิธีการจัดทำข้อมูลนิรนาม

1) การปิดทับข้อมูล(Masking) ดำเนินการเปลี่ยน ส่วนใดส่วนหนึ่งของข้อมูลโดยการใช้กลุ่มของตัวอักษรที่ได้จากการสุ่มหรือข้อมูลอื่นๆเช่น Hashing เพื่อเปลี่ยนข้อมูลและไม่สามารถที่จะให้ข้อมูลย้อนกลับมาระบุตัวตนของเจ้าของข้อมูลได้

2) การลดความชัดเจนของข้อมูล (Blurring or Noising) มีการใช้ข้อมูลโดยประมาณแทนที่ข้อมูลเดิม เพื่อลดความเฉพาะเจาะจงของข้อมูลลงหรือการใช้ Differential Privacy

3.2 กระบวนการลบข้อมูลส่วนบุคคล

พนักงานต้องทำการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลในส่วนที่ตนรับผิดชอบเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา  โดยการใช้เครื่องย่อยเอกสารหรือดำเนินการลบข้อมูลแบบที่ไม่สามารถกู้คืนข้อมูลได้ในกรณีที่เป็นเอกสารอิเล็กทรอนิกส์

4.บทกำหนดโทษ

กรณีพนักงานละเลยละเว้นไม่สั่งการไม่ดำเนินการหรือดำเนินการอย่างใดอย่างหนึ่งในหน้าที่ของตนอันเป็นการฝ่าฝืนนโยบายฉบับนี้จนเป็นเหตุให้เกิดความเสียหายหรือผิดต่อกฎหมายต้องได้รับโทษทางวินัยตามระเบียบของบริษัทและโทษตามกฎหมายสำหรับความผิดที่เกิดขึ้นทั้งนี้หากความผิดดังกล่าวก่อให้เกิดความเสียหายแก่บริษัทและ/หรือ บุคคลอื่นในบริษัทอาจพิจารณาดำเนินคดีตามกฎหมายต่อไป

ทั้งนี้ให้มีผลตั้งแต่วันที่ 1 กรกฎาคม 2565 เป็นต้นไป