ด้วยปัจจุบันความก้าวหน้าของเทคโนโลยีสารสนเทศ รวมทั้งระบบสื่อสารทำให้การเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลสามารถทำได้โดยง่าย สะดวก และรวดเร็ว อันอาจนำมาซึ่งความเดือดร้อนรำคาญ หรือความเสียหายในกรณีที่มีการนำไปแสวงหาประโยชน์หรือเปิดเผยโดยไม่ได้รับความยินยอมหรือแจ้งล่วงหน้า บริษัท แอดไวซ์ ไอที อินฟินิท จำกัด (มหาชน) ("บริษัทฯ") ได้ตระหนักและให้ความสำคัญอย่างยิ่งต่อการคุ้มครองข้อมูลส่วนบุคคลและการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้เพื่อให้เจ้าของข้อมูลส่วนบุคคลเชื่อมั่นว่าบริษัทฯ จะดูแลรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลและจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และมีประสิทธิภาพสอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บริษัทฯ จึงได้มีนโยบายคุ้มครองข้อมูลส่วนบุคคล เพื่อชี้แจงรายละเอียดการกำกับดูแล วิธีการประมวลผลข้อมูล นโยบายและแนวทางปฏิบัติในการการคุ้มครองข้อมูลส่วนบุคคล ดังต่อไปนี้
- นโยบายความเป็นส่วนตัว
- แนวปฎิบัตินโยบายคุ้มครองข้อมูลส่วนบุคคล
- ประกาศความเป็นส่วนตัว (Privacy Notice)
- ผู้ใช้บริการ
- กล้องวงจรปิด
- ผู้ติดต่อ
- คู่ค้า คู่สัญญา และผู้ที่เกี่ยวข้อง
- การจัดซื้อจัดจ้าง
- ผู้ถือหุ้น
- กรรมการบริษัท
- นโยบายคุ้มครองข้อมูลส่วนบุคคล
(Privacy Policy) สำหรับพนักงาน
นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ ใช้บังคับกับพนักงานของบริษัท แอดไวซ์ ไอที อินฟินิท จำกัด และบุคคลที่เกี่ยวข้องกับการประมวลผล
ข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของบริษัท แอดไวซ์ ไอที อินฟินิท จำกัด (มหาชน)
“ข้อมูลส่วนบุคคล” (Personal Data) หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” (Sensitive data) หมายถึง ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“เจ้าของข้อมูลส่วนบุคคล” (Data Subject) หมายความว่า บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล
“ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลอื่นซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลที่ดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“การประมวลผล” (Processing) หมายถึง การเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล
4.1 การกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล
4.2 การประมวลผลข้อมูลส่วนบุคคล
- บริษัทฯ จะดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์ของบริษัทฯ และให้ถูกต้องตามกฎหมาย เป็นธรรม โปร่งใส
- บริษัทฯ จะแจ้งให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงรายละเอียดวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล สิทธิของเจ้าของข้อมูล
ก่อนดำเนินการขอความยินยอมในการเก็บรวบรวม ใช้ และเปิดเผย เพื่อแสดงให้เห็นถึงความโปร่งใส และสอดคล้องตามที่กฎหมายบัญญัติ - บริษัทฯ จะต้องขอความยินยอมโดยชัดแจ้งในการเก็บรวบรวม ใช้ และเปิดเผยจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือขณะเก็บข้อมูลส่วนบุคคลตามแบบวิธีการที่บริษัทฯ กำหนด
เว้นแต่จะเข้าข้อยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือกฎหมายอื่นกำหนดไว้ - บริษัทฯ จะจัดให้มีกลไกการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล รวมทั้งจัดให้มีกลไกการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
- ในกรณีที่บริษัทฯ ส่ง โอน หรือให้บุคคลอื่นใช้ข้อมูลส่วนบุคคล บริษัทฯ
จะจัดทำข้อตกลงกับผู้รับหรือใช้ข้อมูลส่วนบุคคลนั้นเพื่อกำหนดสิทธิและหน้าที่ให้สอดคล้องกับกฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ - บริษัทฯ จะรักษาความลับของข้อมูลส่วนบุคคลตามมาตรการของบริษัทฯ เพื่อให้เกิดความเป็นธรรม โปร่งใสแก่เจ้าของข้อมูลส่วนบุคคล
4.3 การรองรับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
- บริษัทฯ จัดให้มีมาตรการ และช่องทางในการรับคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด ผ่านช่องทางที่บริษัทฯ กำหนด
- ผู้ควบคุมข้อมูลส่วนบุคคลของบริษัทฯ จะพิจารณา และดำเนินตามคำขอโดยไม่ชักช้า แต่ไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
- บริษัทฯ จัดให้มีช่องทางในการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะพิจารณาและรวบรวมข้อมูลเพื่อแจ้งไปยังสำนักคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในเวลาที่กฎหมายกำหนด
รวมถึงแจ้งถึงเหตุแห่งการละเมิดข้อมูลส่วนบุคคล และแนวทางในการเยียวยาให้เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า
4.4 การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
- เพื่อเป็นการป้องกันการทำลาย การแก้ไข และการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต บริษัทฯ จัดให้มีมาตรการรักษาความปลอดภัยในการเก็บรวบรวมข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่กฎหมายกำหนด
- เก็บรวบรวมข้อมูลส่วนบุคคลเฉพาะข้อมูลที่จำเป็นภายใต้วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามที่ได้แจ้งไว้แก่เจ้าของข้อมูลส่วนบุคคล
รวมถึงบริษัทฯ จะไม่เก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหว - บริษัทจะประเมินความเสี่ยงและจัดทำมาตรการเพื่อบรรเทาความเสี่ยง และลดผลกระทบที่จะเกิดขึ้นกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล
- จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบ หรือทำลายข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลได้ เมื่อมีเหตุดังต่อไปนี้
- ก. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลสิ้นสุดลงตามที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ หรือไม่เกินระยะเวลาที่กฎหมายกำหนด
- ข. หมดความจำเป็นในการในเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคล ภายใต้วัตถุประสงค์ของบริษัทฯ
- ค. เจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคล และบริษัทฯ
ไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ และ/เปิดเผยข้อมูลส่วนบุคคลนั้นต่อไป - ง. ข้อมูลส่วนบุคคลนั้นเกิดจากการรวบรวม ใช้ และ/หรือเปิดเผย โดยไม่ชอบด้วยกฎหมาย
4.5 การกำกับให้เกิดการปฏิบัติตามมาตรการคุ้มครองข้อมูลส่วนบุคคล
- บริษัทฯ จัดให้มีกระบวนการติดตามการเปลี่ยนแปลงของกฎหมาย และปรับปรุงนโยบายรวมถึงมาตรการที่เกี่ยวข้องให้ทันสมัยและสอดคล้องกับกฎหมายอยู่เสมอ
- บริษัทฯ จัดให้มีการทบทวนนโยบายและแนวทางปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยปีละ 1 ครั้ง เพื่อให้สอดคล้องกับกฎหมายและสถานการณ์ในแต่ละช่วงเวลา
5.1 คณะกรรมการบริษัท มีบทบาท หน้าที่ และความรับผิดชอบดังนี้
- เลือกตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้เกิดโครงสร้างองค์กรสำหรับการควบคุมดูแลการคุ้มครองข้อมูลส่วนบุคคล
- กำหนดให้มีนโยบายและแนวทางปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล
- กำกับดูแลและสนับสนุนให้บริษัทฯ นำนโยบายและแนวทางปฏิบัติไปปฏิบัติอย่างเป็นรูปธรรม รวมถึงดำเนินการคุ้มครองข้อมูลส่วนบุคคลให้มีประสิทธิภาพ และสอดคล้องกับกฎหมาย
5.2 ผู้บริหาร มีบทบาท หน้าที่ และความรับผิดชอบดังนี้
- ติดตามควบคุมให้หน่วยงานที่ดูแลปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ
- สนับสนุนและส่งเสริมการสร้างความตระหนักรู้ในความสำคัญของข้อมูลส่วนบุคคลให้เกิดขึ้นกับพนักงานของบริษัทฯ
5.3 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีบทบาท หน้าที่ และความรับผิดชอบดังนี้
- จัดให้มีโครงสร้างการกำกับดูแลข้อมุลส่วนบุคคลและการควบคุมภายในที่เกี่ยวข้อง รวมถึงนโยบายการบริหารจัดการเหตุการณ์ผิดปกติที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และแนวทางตอบสนองเหตุการณ์ผิดปกติ
เพื่อให้สามารถระบุและจัดการแก้ไขกับเหตุการณ์ผิดปกติที่เกี่ยวข้องกับข้อมูลส่วนบุคคลนั้นได้อย่างทันท่วงที - ประเมินประผลการปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ และรายงานผลการประเมินดังกล่าวให้คณะกรรมการบริษัททราบเป็นประจำอย่างน้อยปีละ 1 ครั้ง
- ควบคุมดูแลให้มั่นใจว่าความเสี่ยงต่างๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลได้รับการจัดการและมีแนวทางบริหารความเสี่ยงที่เหมาะสม
- กำหนดและทบทวนมาตรฐานการปฏิบัติงาน และแนวทางการปฏิบัติงาน เพื่อให้การดำเนินงานของบริษัทฯ สอดคล้องกับกฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ
5.4 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO: Data Protection Officer) มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้
- ให้คำแนะนำเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลแก่คนในองค์กร โดยต้องจัดให้มีการสร้างความตระหนักรู้ (Awareness) ในเรื่องการจัดการข้อมูลส่วนบุคคลอย่างถูกวิธีให้กับพนักงานในองค์กร
- ตรวจสอบการดำเนินงาน คอยตรวจสอบการปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคล
- ประสานงานกับผู้กำกับดูแล เมื่อเกิดเหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลจากองค์กร เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะเป็นผู้ประสานงานในการออกจดหมายแจ้งเตือนข้อมูลรั่วไหล
ให้กับสํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง - แจ้งเจ้าของข้อมูลส่วนบุคคลให้ได้รับทราบถึงวัตถุประสงค์ในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคล
ก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคล และสิทธิต่างๆ ของเจ้าของข้อมูลส่วนบุคคล - ดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล เช่น แก้ไข เปลี่ยนแปลง และ/หรือลบ/ทำลายข้อมูลส่วนบุคคล
ตามที่เจ้าของข้อมูลส่วนบุคคลขอ พร้อมทั้งบันทึกรายการและจัดเก็บหลักฐานในการทำธุรกรรมดังกล่าวไว้อย่างครบถ้วน - รับผิดชอบในการจัดเก็บ ดูแล รักษา และป้องกันการใช้หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่บริษัทฯ ได้แจ้งต่อเจ้าของข้อมูลส่วนบุคคล
หรือที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอม ทั้งนี้ตามที่กำหนดไว้ในนโยบายและแนวทางปฏิบัติฉบับนี้ตลอดจนแนวทางและคู่มือการปฏิบัติงานที่เกี่ยวข้อง - รักษาความลับขององค์กรอันได้มาจากการปฏิบัติหน้าที่
5.5 ผู้ควบคุมข้อมูล (Data Controller) มีบทบาทหน้าที่ ดังนี้
- หน้าที่หลักในการเก็บรวบรวมข้อมูลจากแหล่งต่างๆ ของบริษัทฯและกําหนดวัตถุประสงค์ในการใช้งานข้อมูลนั้น
- การรักษาความปลอดภัยอย่างเหมาะสมของข้อมูลที่ได้รับ ปกป้องข้อมูลจากการเข้าถึงที่ไม่ได้รับอนุญาตการสูญหาย การถูกทําลาย หรือการเปิดเผยโดยไม่ได้ตั้งใจ
- แจ้งเจ้าของข้อมูลเกี่ยวกับวัตถุประสงค์ในการเก็บรวบรวมข้อมูล และขอความยินยอมจากเจ้าของข้อมูลรวมถึง การให้ข้อมูลเกี่ยวกับวิธีการที่ข้อมูลจะถูกใช้ สิทธิของเจ้าของข้อมูลในการเข้าถึงและแก้ไขข้อมูล และการระบุช่องทางการติดต่อหากมีคําถามหรือข้อสงสัย
- ปฏิบัติตามกฎหมายและข้อบังคับที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
5.6 ผูู้ประมวลผลข้อมูล (Data Processor) มีบทบาทหน้าที่ ดังนี้
- หน้าที่หลักในการดำเนินการประมวลผลข้อมูลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูล (Data Controller) เท่านั้น
- การรักษาความปลอดภัยอย่างเหมาะสมของข้อมูลที่ได้รับ ปกป้องข้อมูลจากการเข้าถึงที่ไม่ได้รับอนุญาต การสูญหาย การถูกทำลาย หรือการเปิดเผยโดยไม่ได้ตั้งใจ
- รายงานเหตุการณ์ที่ส่งผลกระทบต่อความปลอดภัยของข้อมูล เช่น การรั่วไหลของข้อมูล การถูกโจมตีทางไซเบอร์ หรือ การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต พร้อมมาตรการดำเนินการและป้องกันโดยทันที
- ปฏิบัติตามข้อกำหนดและสัญญาการประมวลผลข้อมูล (Data Processing Agreement) และให้ความร่วมมือกับผู้ควบคุมข้อมูล (Data Controller)
- ปฏิบัติตามกฎหมายและข้อบังคับที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
5.7 พนักงานของบริษัทฯ มีบทบาท หน้าที่ และความรับผิดชอบ ดังนี้
- ปฏิบัติให้สอดคล้องกับนโยบายและแนวทางการปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ
- รายงานเหตุการณ์ผิดปกติที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล และการไม่ปฏิบัติตามกฎหมาย
และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ ให้ผู้บังคับบัญชาในสายงานทราบ
ทุกคนที่ไม่ปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ อาจมีความผิดและถูกลงโทษทางวินัย รวมถึงอาจได้รับโทษตามที่กฎหมายกำหนด