นโยบายความเป็นส่วนตัว (Privacy Policy)
เว็บไซต์ ________
นโยบายความเป็นส่วนตัวฉบับนี้ ซึ่งต่อไปนี้จะเรียกว่า "นโยบาย" จัดทำขึ้นโดยสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายลำดับรองที่เกี่ยวข้อง โดยมีผลใช้บังคับครั้งแรกเมื่อวันที่ ________ และมีการปรับปรุงครั้งล่าสุดเมื่อวันที่ ________ โดยมีรายละเอียด ดังต่อไปนี้
ข้อ 1 คำนิยาม
ภายในนโยบายฉบับนี้
(ก) "เว็บไซต์" หมายความว่า เว็บไซต์ ชื่อว่า ________ และมีที่อยู่เว็บไซต์ที่ ________
(ข) "ผู้ควบคุมข้อมูลส่วนบุคคล" หรือ "ผู้ควบคุมข้อมูล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันได้แก่ ________ เลขประจำตัวประชาชน/เลขทะเบียนนิติบุคคลเลขที่ ________ สำนักงานตั้งอยู่ที่ ________ โดยมีผู้มีอำนาจกระทำการแทนคือ ________
(ค) "ผู้ประมวลผลข้อมูลส่วนบุคคล" หรือ "ผู้ประมวลผลข้อมูล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล
(ง) "ข้อมูล" หมายความว่า สิ่งที่สื่อความหมายให้รู้เรื่องราวข้อเท็จจริง ข้อมูล หรือสิ่งใดๆ ไม่ว่าการสื่อความหมายนั้นจะทำได้โดยสภาพของสิ่งนั้นเองหรือโดยผ่านวิธีการใดๆ และไม่ว่าจะได้จัดทำไว้ในรูปของเอกสาร แฟ้ม รายงาน หนังสือ แผนผัง แผนที่ ภาพวาด ภาพถ่าย ฟิล์ม การบันทึกภาพหรือเสียง การบันทึกโดยเครื่องคอมพิวเตอร์ โดยวิธีการทางอิเล็กทรอนิกส์ หรือวิธีอื่นใดที่ทำให้สิ่งที่บันทึกไว้ปรากฏได้
(จ) "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
(ฉ) "ข้อมูลส่วนบุคคลที่มีความอ่อนไหว" หรือ "Sensitive Data" หมายความว่า ข้อมูลส่วนบุคคลตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อันได้แก่ ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
(ช) "ผู้ใช้งาน" หมายความว่า ท่าน ผู้เยี่ยมชม ผู้ใช้ ผู้เป็นสมาชิกของเว็บไซต์ ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลตามนโยบายฉบับนี้
(ซ) "กฎหมายคุ้มครองข้อมูลส่วนบุคคล" หมายความว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎกระทรวง ประกาศ ระเบียบ และหลักเกณฑ์ที่ออกตามความในกฎหมายดังกล่าว ตลอดจนที่จะมีการแก้ไขเพิ่มเติมในภายหน้า
(ฌ) "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" หรือ "DPO" หมายความว่า เจ้าหน้าที่ที่ผู้ควบคุมข้อมูลจัดให้มีเพื่อดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (ถ้ามี)
ข้อ 2 ฐานในการประมวลผลและความยินยอมของผู้ใช้งาน
ผู้ควบคุมข้อมูลจะเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งานภายใต้ฐานทางกฎหมายตามมาตรา 24 และมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในกรณีที่การประมวลผลอาศัยฐานความยินยอม ผู้ใช้งานตกลงและให้ความยินยอมเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ดังต่อไปนี้ ทั้งนี้ ความยินยอมดังกล่าวเป็นไปโดยอิสระและผู้ใช้งานอาจถอนความยินยอมได้ตามที่กำหนดในนโยบายฉบับนี้
(ก) วัตถุประสงค์แห่งการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ผู้ใช้งานรับทราบ ตกลง และยินยอมให้ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์ดังต่อไปนี้ เท่านั้น
________
(ข) ข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ และเปิดเผย รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ผู้ใช้งานรับทราบ ตกลง และยินยอมให้ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ดังต่อไปนี้ เท่านั้น
________
(ค) ระยะเวลาในการเก็บรวบรวมข้อมูล
ผู้ใช้งานรับทราบ ตกลง และยินยอมให้ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศเป็นระยะเวลาทั้งสิ้น ________ (________) เดือน นับจากวันที่ผู้ใช้งานได้ให้ความยินยอมครั้งล่าสุดตามนโยบายฉบับนี้ หรือตราบเท่าที่จำเป็นต้องเก็บรักษาไว้ตามวัตถุประสงค์หรือตามที่กฎหมายกำหนด
(ง) การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่สาม
ผู้ใช้งานรับทราบ ตกลง และยินยอมให้ผู้ควบคุมข้อมูลอาจเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่สามเพื่อประโยชน์ตามวัตถุประสงค์ตามนโยบายฉบับนี้และ/หรือตามที่กฎหมายกำหนด อันรวมถึงแต่ไม่จำกัดเพียงการเปิดเผยต่อบุคคลและ/หรือหน่วยงาน ดังต่อไปนี้
(1) ผู้ประมวลผลข้อมูล
(2) บุคคลและ/หรือหน่วยงานที่เกี่ยวข้องโดยตรงกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามวัตถุประสงค์ในวรรคก่อน
(3) บริษัทและ/หรือกิจการในเครือของผู้ควบคุมข้อมูล
(4) หน่วยงานของรัฐหรือหน่วยงานที่มีอำนาจตามกฎหมายในกรณีที่มีหน้าที่ต้องเปิดเผยตามกฎหมาย
(5) บุคคลและ/หรือหน่วยงานอื่นใดที่ผู้ควบคุมข้อมูลจะแจ้งให้ผู้ใช้งานทราบล่วงหน้าในแต่ละคราว
(จ) การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศจะเป็นไปตามมาตรา 28 และมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในกรณีที่ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลนั้นมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอ ผู้ควบคุมข้อมูลจะดำเนินการให้มีมาตรการคุ้มครองที่เหมาะสม หรือแจ้งให้ผู้ใช้งานทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศดังกล่าว เพื่อให้ผู้ใช้งานพิจารณาให้ความยินยอมก่อนที่ผู้ควบคุมข้อมูลจะดำเนินการส่งหรือโอนข้อมูลส่วนบุคคลนั้น เว้นแต่กรณีที่ได้รับยกเว้นตามที่กฎหมายกำหนด
ข้อ 3 การเชื่อมโยงข้อมูลของผู้ใช้งานเว็บไซต์กับผู้ให้บริการบุคคลที่สาม
ผู้ใช้งานรับทราบ ตกลง และยินยอมให้ผู้ควบคุมข้อมูลอาจเชื่อมโยงข้อมูลของผู้ใช้งานเว็บไซต์กับผู้ให้บริการบุคคลที่สาม โดยในการเชื่อมโยงหรือแบ่งปันข้อมูลต่อผู้ให้บริการบุคคลที่สามในแต่ละคราว ผู้ควบคุมข้อมูลจะแจ้งให้ผู้ใช้งานทราบว่าข้อมูลใดของผู้ใช้งานที่จะถูกเชื่อมโยงหรือแบ่งปันแก่ผู้ให้บริการบุคคลที่สาม ทั้งนี้ เมื่อผู้ใช้งานได้แสดงเจตนาโดยชัดแจ้งในการอนุญาตให้มีการเชื่อมโยงหรือแบ่งปันดังกล่าวนั้น อันรวมถึงแต่ไม่จำกัดเพียง การกดยอมรับ อนุญาต เชื่อมโยง แบ่งปัน หรือการกระทำใดๆ อันมีลักษณะโดยชัดแจ้งว่าผู้ใช้งานได้ยินยอมในการเชื่อมโยงหรือแบ่งปันข้อมูลต่อผู้ให้บริการบุคคลที่สามนั้น
ข้อ 4 คุกกี้ (Cookies)
เว็บไซต์ อาจมีการใช้คุกกี้และเทคโนโลยีอื่นที่มีลักษณะคล้ายกันเพื่อเก็บรวบรวมข้อมูลการเข้าใช้งานของผู้ใช้งาน โดยมีรายละเอียดประเภทของคุกกี้ วัตถุประสงค์ และวิธีการจัดการคุกกี้ ดังต่อไปนี้
________
ผู้ใช้งานสามารถจัดการหรือปฏิเสธการใช้งานคุกกี้บางประเภทได้ผ่านการตั้งค่าของโปรแกรมเบราว์เซอร์ของผู้ใช้งาน เว้นแต่คุกกี้ที่จำเป็นต่อการทำงานของเว็บไซต์
ข้อ 5 การถอนความยินยอมของผู้ใช้งาน
ผู้ใช้งานมีสิทธิที่จะถอนความยินยอมใดๆ ที่ผู้ใช้งานได้ให้ไว้แก่ผู้ควบคุมข้อมูลตามนโยบายฉบับนี้ได้ ไม่ว่าเวลาใด โดยการถอนความยินยอมจะมีผลเป็นการยุติการประมวลผลในส่วนที่อาศัยฐานความยินยอมนั้น แต่ย่อมไม่กระทบต่อการประมวลผลที่ได้กระทำไปแล้วโดยชอบด้วยกฎหมายก่อนการถอนความยินยอม ทั้งนี้ ผู้ควบคุมข้อมูลจะแจ้งให้ผู้ใช้งานทราบถึงผลกระทบที่อาจเกิดขึ้นจากการถอนความยินยอม ผู้ใช้งานสามารถถอนความยินยอมได้โดยการดำเนินการ ดังต่อไปนี้
________
ข้อ 6 บัญชีผู้ใช้
ในการใช้งานเว็บไซต์ ผู้ควบคุมข้อมูลอาจจัดให้มีบัญชีผู้ใช้ของแต่ละผู้ใช้งานเพื่อการใช้งานเว็บไซต์ โดยที่ผู้ควบคุมข้อมูลมีสิทธิแต่เพียงผู้เดียวในการอนุมัติเปิดบัญชีผู้ใช้ กำหนดประเภทบัญชีผู้ใช้ กำหนดสิทธิการเข้าถึงข้อมูลของแต่ละประเภทบัญชีผู้ใช้ สิทธิการใช้งานเว็บไซต์ ค่าใช้จ่ายใดๆ เกี่ยวกับบัญชีผู้ใช้ หน้าที่และความรับผิดชอบของผู้ใช้งานซึ่งเป็นเจ้าของบัญชีผู้ใช้นั้นๆ
ทั้งนี้ ผู้ใช้งานตกลงจะเก็บรักษาชื่อบัญชีผู้ใช้ รหัสผ่าน และข้อมูลใดๆ ของตนไว้เป็นความลับอย่างเคร่งครัด และตกลงจะไม่ยินยอมให้ รวมถึงใช้ความพยายามอย่างที่สุดในการป้องกันไม่ให้บุคคลอื่นใช้งานบัญชีผู้ใช้ของผู้ใช้งาน
ในกรณีที่มีการใช้บัญชีผู้ใช้ของผู้ใช้งานโดยบุคคลอื่น ผู้ใช้งานตกลงและรับรองว่าการใช้งานโดยบุคคลอื่นดังกล่าวได้กระทำในฐานะตัวแทนของผู้ใช้งานและมีผลผูกพันเสมือนหนึ่งผู้ใช้งานเป็นผู้กระทำการเองทั้งสิ้น
ข้อ 7 สิทธิของผู้ใช้งานในฐานะเจ้าของข้อมูลส่วนบุคคล
ผู้ใช้งานในฐานะเจ้าของข้อมูลส่วนบุคคลมีสิทธิตามที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อันรวมถึงแต่ไม่จำกัดเพียงสิทธิ ดังต่อไปนี้
Lorem ipsum dolor sit amet consectetur adipiscing elit sed do eiusmod tempor incididunt ut labore et dolore magna aliqua ut enim ad minim veniam quis nostrud exercitation ullamco laboris nisi ut aliquip ex ea commodo consequat duis aute irure dolor in reprehenderit voluptate velit esse cillum.
การใช้สิทธิดังกล่าวข้างต้นอาจอยู่ภายใต้เงื่อนไขและข้อยกเว้นตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด และผู้ควบคุมข้อมูลจะดำเนินการตามคำขอใช้สิทธิภายในระยะเวลาที่กฎหมายกำหนด
ข้อ 8 การรักษาความมั่นคงปลอดภัย
ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามนโยบายฉบับนี้ ผู้ควบคุมข้อมูลจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง เพื่อป้องกันการสูญหาย การเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ดังต่อไปนี้
(ก) ผู้ควบคุมข้อมูลจะรักษาความมั่นคงปลอดภัยของข้อมูลโดยคำนึงถึงการธำรงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคลเป็นสำคัญ
(ข) ผู้ควบคุมข้อมูลจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่ครอบคลุมทั้งมาตรการเชิงองค์กร (Organizational Measures) มาตรการเชิงเทคนิค (Technical Measures) และมาตรการทางกายภาพ (Physical Measures) ที่เหมาะสมและจำเป็น ไม่ว่าข้อมูลส่วนบุคคลนั้นจะอยู่ในรูปแบบเอกสาร อิเล็กทรอนิกส์ หรือรูปแบบอื่นใด
(ค) ผู้ควบคุมข้อมูลจะจัดให้มีการควบคุมการเข้าถึงข้อมูลส่วนบุคคล (Access Control) การพิสูจน์และยืนยันตัวตน (Identity Proofing and Authentication) การกำหนดสิทธิการเข้าถึงตามหลักการให้สิทธิเท่าที่จำเป็น (Need-to-Know Basis) และหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (Principle of Least Privilege) รวมถึงการบริหารจัดการการเข้าถึงของผู้ใช้งานอย่างเหมาะสม
(ง) ผู้ควบคุมข้อมูลจะจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (Audit Trails) ที่เหมาะสม
(จ) ผู้ควบคุมข้อมูลจะจัดให้มีการสร้างเสริมความตระหนักรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (Privacy and Security Awareness) ให้แก่บุคลากร พนักงาน ลูกจ้าง หรือผู้ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล
(ฉ) ผู้ควบคุมข้อมูลจะทบทวนมาตรการรักษาความมั่นคงปลอดภัยเมื่อมีความจำเป็น เมื่อมีเหตุการละเมิดข้อมูลส่วนบุคคล หรือเมื่อมีเทคโนโลยีที่เปลี่ยนแปลงไปอันอาจกระทบต่อประสิทธิภาพในการรักษาความมั่นคงปลอดภัย
(ช) ผู้ควบคุมข้อมูลจะจัดให้มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) และควบคุมให้ผู้ประมวลผลข้อมูลมีมาตรการรักษาความมั่นคงปลอดภัยไม่น้อยไปกว่ามาตรการที่กำหนดในนโยบายฉบับนี้
ข้อ 9 การแก้ไขปรับปรุงและการลบทำลายข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลจะจัดให้มีระบบและมาตรการตรวจสอบ ดังต่อไปนี้
(ก) ดำเนินการปรับปรุงแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
(ข) ลบหรือทำลายข้อมูลส่วนบุคคลที่เกินระยะเวลาการเก็บรวบรวมที่กำหนดไว้หรือที่ผู้ใช้งานได้ให้ความยินยอมเอาไว้ และ
(ค) ลบหรือทำลายข้อมูลส่วนบุคคลที่หมดความจำเป็นในการเก็บรักษาตามวัตถุประสงค์
ข้อ 10 การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลโดยอาศัยฐานทางกฎหมายอื่น
ผู้ใช้งานรับทราบและตกลงว่าผู้ควบคุมข้อมูลอาจเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งานได้โดยไม่ต้องได้รับความยินยอมจากผู้ใช้งานก่อนล่วงหน้า ทั้งนี้เท่าที่จำเป็นและตราบเท่าที่เป็นไปตามมาตรา 24 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในกรณี ดังต่อไปนี้ เท่านั้น
(ก) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือเกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
(ข) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
(ค) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งผู้ใช้งานเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของผู้ใช้งานก่อนเข้าทำสัญญานั้น
(ง) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูล
(จ) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือของบุคคลอื่น ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของผู้ใช้งาน
(ฉ) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูล
ทั้งนี้ ผู้ควบคุมข้อมูลจะบันทึกการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวรรคก่อนหน้าไว้เป็นสำคัญ
ข้อ 11 การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data)
โดยหลักการ ผู้ควบคุมข้อมูลจะเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหวต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากผู้ใช้งาน เว้นแต่ในกรณีที่กฎหมายตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ยกเว้นไว้ ดังต่อไปนี้ เท่านั้น
(ก) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม
(ข) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคลนั้น
(ค) เป็นการจำเป็นเพื่อการก่อตั้ง การปฏิบัติตาม การใช้ หรือการยกขึ้นต่อสู้ซึ่งสิทธิเรียกร้องตามกฎหมาย
(ง) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวกับ
Lorem ipsum dolor sit amet consectetur adipiscing elit sed do eiusmod tempor incididunt ut labore et dolore magna aliqua ut enim ad minim veniam quis nostrud exercitation ullamco laboris.
ทั้งนี้ ผู้ควบคุมข้อมูลจะบันทึกการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามวรรคก่อนหน้าไว้เป็นสำคัญ
ข้อ 12 การใช้งานเว็บไซต์ของผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถ
ในกรณีที่ผู้ใช้งานเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ การให้ความยินยอมตามนโยบายฉบับนี้จะต้องเป็นไปตามมาตรา 20 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
(ก) ในกรณีที่ผู้เยาว์มีอายุไม่เกิน 10 (สิบ) ปี ให้ผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์เป็นผู้ให้ความยินยอม
(ข) ในกรณีที่ผู้เยาว์มีอายุเกิน 10 (สิบ) ปี แต่การให้ความยินยอมมิใช่การใดที่ผู้เยาว์อาจให้ความยินยอมได้โดยลำพังตามมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
(ค) ในกรณีของคนไร้ความสามารถ ต้องได้รับความยินยอมจากผู้อนุบาล
(ง) ในกรณีของคนเสมือนไร้ความสามารถ ต้องได้รับความยินยอมจากผู้พิทักษ์
ในกรณีที่ผู้ใช้งานยินยอมให้บุคคลตาม (ก) ถึง (ง) ข้างต้น ซึ่งอยู่ในความปกครอง อนุบาล หรือพิทักษ์ของตน เยี่ยมชม ใช้งาน หรือเป็นสมาชิกของเว็บไซต์ ผู้ใช้งานตกลงให้ถือว่าผู้ใช้งานได้ใช้อำนาจปกครอง อนุบาล หรือพิทักษ์ของบุคคลดังกล่าว แล้วแต่กรณี ในการตกลงและให้ความยินยอมตามนโยบายฉบับนี้เพื่อและในนามของบุคคลดังกล่าวด้วย
ข้อ 13 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 และมาตรา 42 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อทำหน้าที่ ดังต่อไปนี้
(ก) ให้คำแนะนำแก่ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล รวมทั้งลูกจ้างหรือผู้รับจ้าง เกี่ยวกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
(ข) ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล รวมทั้งลูกจ้างหรือผู้รับจ้าง เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
(ค) ประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
(ง) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ทั้งนี้ ผู้ใช้งานสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูล (ถ้ามี) ได้ตามช่องทาง ดังต่อไปนี้
________
ในกรณีที่ผู้ควบคุมข้อมูลมิได้จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ใช้งานสามารถติดต่อผู้ควบคุมข้อมูลได้โดยตรงตามช่องทางที่กำหนดไว้ในนโยบายฉบับนี้
ข้อ 14 การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
ในกรณีที่เกิดเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลจะดำเนินการตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
(ก) ในกรณีที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลจะแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยไม่ชักช้าภายใน 72 (เจ็ดสิบสอง) ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้
(ข) ในกรณีที่มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลจะแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลและแนวทางการเยียวยาแก่ผู้ใช้งานเจ้าของข้อมูลส่วนบุคคลโดยไม่ชักช้าด้วย
ข้อ 15 การร้องเรียนและการแจ้งปัญหาเกี่ยวกับข้อมูลส่วนบุคคล
ผู้ใช้งานอาจร้องเรียนและรายงานปัญหาเกี่ยวกับข้อมูลส่วนบุคคล อันรวมถึงแต่ไม่จำกัดเพียง การขอให้ผู้ควบคุมข้อมูลแก้ไขปรับปรุงข้อมูลให้เป็นปัจจุบันและ/หรือให้ถูกต้อง การคัดค้านการเก็บรวบรวมข้อมูล หรือการระงับการใช้ข้อมูล ได้ที่ช่องทาง ดังต่อไปนี้
________
นอกจากนี้ ผู้ใช้งานยังมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในกรณีที่ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ข้อ 16 การบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลจะจัดให้มีบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activities) ตามมาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อให้ผู้ใช้งานเจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบได้ อันรวมถึงแต่ไม่จำกัดเพียงรายการ ดังต่อไปนี้
(ก) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
(ข) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
(ค) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูล
(ง) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
(จ) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคล
(ฉ) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอม
(ช) การปฏิเสธคำขอหรือการคัดค้านต่างๆ
(ซ) รายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
ข้อ 17 การแก้ไขเปลี่ยนแปลงนโยบาย
ผู้ควบคุมข้อมูลอาจแก้ไขและเปลี่ยนแปลงข้อความในนโยบายฉบับนี้ได้ ไม่ว่าเวลาใดก็ตาม และไม่ว่าทั้งหมดหรือบางส่วน โดยผู้ควบคุมข้อมูลจะแจ้งให้ผู้ใช้งานทราบเมื่อมีการเปลี่ยนแปลงในแต่ละคราว ในกรณีที่การเปลี่ยนแปลงนั้นกระทบต่อฐานความยินยอม ผู้ควบคุมข้อมูลจะดำเนินการขอความยินยอมใหม่ตามที่กฎหมายกำหนด ผู้ใช้งานอาจเข้าถึงนโยบายความเป็นส่วนตัวที่มีการแก้ไขและเปลี่ยนแปลงล่าสุดได้จากช่องทางและ/หรือวิธีการ อันรวมถึงแต่ไม่จำกัดเพียง
(ก) การเผยแพร่นโยบายความเป็นส่วนตัวไว้ที่หน้าเว็บไซต์
(ข) การนำส่งนโยบายความเป็นส่วนตัวทางอิเล็กทรอนิกส์ให้แก่ผู้ใช้งานทางจดหมายและ/หรือข้อความอิเล็กทรอนิกส์ (e-mail) หรือแอปพลิเคชันที่กำหนด
ข้อ 18 การโอนสิทธิ
เว้นแต่จะได้กำหนดไว้เป็นอย่างอื่นอย่างชัดแจ้งในนโยบายฉบับนี้หรือตามที่กฎหมายกำหนด ผู้ควบคุมข้อมูลอาจโอนสิทธิ หน้าที่ และ/หรือความรับผิดตามนโยบายฉบับนี้ให้แก่ผู้รับโอนกิจการหรือบุคคลอื่นได้ในกรณีที่มีการควบรวม โอน หรือปรับโครงสร้างกิจการ โดยผู้รับโอนจะต้องผูกพันและปฏิบัติตามนโยบายฉบับนี้และกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ข้อ 19 การสละสิทธิ
การที่ผู้ควบคุมข้อมูลไม่ใช้สิทธิหรือใช้สิทธิล่าช้าในเรื่องหนึ่งเรื่องใดหรือคราวหนึ่งคราวใดก็ดี มิให้ถือว่าผู้ควบคุมข้อมูลสละสิทธิในเรื่องดังกล่าว และการที่ผู้ควบคุมข้อมูลใช้สิทธิแต่เพียงบางส่วนหรือสละสิทธิในเรื่องหนึ่งเรื่องใดหรือคราวหนึ่งคราวใด ก็มิให้ถือว่าเป็นการสละสิทธิในเรื่องอื่นหรือในคราวอื่นด้วย
ข้อ 20 การแยกส่วนของนโยบาย
หากมีข้อความหรือข้อตกลงใดในนโยบายฉบับนี้ที่ตกเป็นโมฆะ ไม่สมบูรณ์ หรือไม่มีผลบังคับใช้ ไม่ว่าด้วยเหตุใดๆ ก็ตาม ให้ข้อความและข้อตกลงอื่นๆ ในนโยบายฉบับนี้ยังคงมีผลสมบูรณ์และใช้บังคับได้ต่อไป เสมือนหนึ่งว่าไม่มีส่วนที่เป็นโมฆะ ไม่สมบูรณ์ หรือไม่มีผลบังคับใช้นั้นอยู่ในนโยบายฉบับนี้
ข้อ 21 กฎหมายที่ใช้บังคับและการระงับข้อพิพาท
นโยบายฉบับนี้ให้อยู่ภายใต้บังคับและการตีความตามกฎหมายแห่งราชอาณาจักรไทย หากมีข้อโต้เถียงหรือข้อพิพาทใดๆ เกิดขึ้นอันเนื่องมาจากนโยบายฉบับนี้ และคู่กรณีไม่สามารถตกลงกันได้ ให้นำข้อพิพาทดังกล่าวขึ้นสู่การพิจารณาของ ________ ซึ่งเป็นศาลที่มีเขตอำนาจในราชอาณาจักรไทย
ผู้ควบคุมข้อมูลส่วนบุคคล
ลงชื่อ ____________________________
(________)
ตำแหน่ง ________
วันที่ ________