นโยบายการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคล
กองทุนเพื่อความเสมอภาคทางการศึกษา (“กสศ.”)

ด้วยความเคารพต่อสิทธิความเป็นส่วนตัวของพนักงาน ผู้รับทุน ภาคีเครือข่าย คู่สัญญา ประชาชนทั่วไป และบุคคลที่เกี่ยวข้องกับกองทุนเพื่อความเสมอภาคทางการศึกษา (“กสศ.”) โดย กสศ. ได้ตระหนักถึงความสำคัญของการคุ้มครองสิทธิความเป็นส่วนตัวของบุคคลดังกล่าว จึงได้อนุมัติให้ใช้นโยบายการคุ้มครองข้อมูลส่วนบุคคล ซึ่งกำหนดหลักเกณฑ์ กลไก และมาตรการบริหารจัดการของ กสศ. ให้ครอบคลุม ชัดเจน และสอดคล้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ เพื่อสร้างความมั่นใจแก่เจ้าของข้อมูลส่วนบุคคล

1. คำนิยาม

1.1 การประมวลผล (Processing)
หมายถึง การดําเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น การเก็บ รวบรวม บันทึก จัดระบบ ทําโครงสร้าง เก็บรักษา ปรับปรุง เปลี่ยนแปลง กู้คืน ใช้ เปิดเผย ส่งต่อ เผยแพร่ โอน ผสมเข้าด้วยกัน ลบ ทําลาย

1.2 ข้อมูลส่วนบุคคล (Personal Data)
หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ เช่น ชื่อ นามสกุล อีเมล เบอร์โทรศัพท์ IP Address รูปภาพ

1.3 ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data)
หมายถึง ข้อมูลที่เป็นเรื่องส่วนบุคคลโดยแท้ของบุคคล แต่มีความละเอียดอ่อนและอาจสุ่มเสี่ยงในการเลือกปฏิบัติอย่างไม่เป็นธรรม เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

1.4 เจ้าของข้อมูลส่วนบุคคล  (Data Subject)
หมายถึง บุคคลธรรมดาที่ข้อมูลส่วนบุคคลสามารถระบุตัวตนของบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม

1.5 ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)
หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

1.6 ผู้ประมวลผลข้อมูลส่วนบุคคล  (Data Processor)
หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

2. การกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Governance)

2.1 กสศ. ได้ดำเนินการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (“DPO”) ให้มีอำนาจและหน้าที่ในการกำกับ ควบคุม และบริหารจัดการข้อมูลส่วนบุคคลให้สอดคล้องเป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลและนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ.

2.2 กสศ. ได้จัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้สอดคล้องตามกฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในของ กสศ.

2.3 กสศ. ได้บริหารการปฏิบัติตามนโยบายเพื่อควบคุมดูแลให้มีการปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลภายในของ กสศ. อย่างต่อเนื่อง และมีการทบทวนตามรอบระยะเวลาที่เหมาะสม

2.4 กสศ. ได้ดำเนินการฝึกอบรมแก่พนักงาน เพื่อสร้างความตระหนักรู้ถึงความสำคัญของการคุ้มครองความเป็นส่วนตัวของบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลอย่างสม่ำเสมอ เพื่อให้พนักงานของ กสศ. มีความรู้ ความเข้าใจที่ถูกต้องเกี่ยวกับการปฏิบัติตามกฎหมายและนโยบายคุ้มครองข้อมูลส่วนบุคคลของ กสศ.

3. การประมวลผลข้อมูลส่วนบุคคล (Personal Data Processing)

3.1 กสศ. มีการดำเนินการประมวลผลข้อมูลส่วนบุคคลอย่างถูกต้องตามกฎหมาย โปร่งใส เป็นธรรม และคำนึงถึงสิทธิความเป็นส่วนตัวของบุคคล ทั้งนี้ ทั้งในฐานะที่ กสศ. เป็นผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคล

3.2 กสศ. มีการกำหนดขอบเขต วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล และระยะเวลาการจัดเก็บข้อมูลส่วนบุคคล ให้กระทำเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ชอบด้วยกฎหมาย

3.3 กสศ. มีการดำเนินการรักษาความลับ ความครบถ้วน ความถูกต้องสมบูรณ์ และความปลอดภัยของข้อมูลส่วนบุคคลอย่างเหมาะสมเพียงพอ

3.4 กสศ. มีการจัดให้มีกระบวนการควบคุมและกำกับการบริหารจัดการข้อมูลส่วนบุคคลในทุกขั้นตอนให้สอดคล้องกับกฎหมาย และนโยบายคุ้มครองข้อมูลส่วนบุคคลของ กสศ.

3.5 กสศ. มีการจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities: RoPA) เพื่อบันทึกรายละเอียดเกี่ยวกับรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล และดำเนินการแก้ไข ปรับปรุงบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลให้เป็นปัจจุบันอยู่เสมอ

3.6 กสศ. มีการจัดให้มีกระบวนการแจ้งวัตถุประสงค์และรายละเอียดของการประมวลผลข้อมูลส่วนบุคคล (Privacy Notices) ที่ครบถ้วน อ่านเข้าใจง่าย ชัดเจน ให้แก่เจ้าของข้อมูลส่วนบุคคลอย่างเหมาะสม

3.7 กสศ. มีการดำเนินการตรวจสอบความถูกต้องและเป็นปัจจุบันของข้อมูลส่วนบุคคล รวมถึงจัดให้มีช่องทางในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง

3.8 กรณีที่ กสศ. มีการเปิดเผย ส่ง โอน รวมถึงได้รับโอนข้อมูลส่วนบุคคลไปยังหรือมาจากหน่วยงานภายนอก กสศ.ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูล จะจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลก่อนดำเนินการ เพื่อกำหนดสิทธิ หน้าที่ และความรับผิดให้สอดคล้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง

3.9 กรณีที่ กสศ. มีการเปิดเผย ส่ง หรือโอนข้อมูลไปยังต่างประเทศ กสศ.จะทำการตรวจสอบและประเมินมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางเสมอ เพื่อให้การปฏิบัติเป็นไปตามเงื่อนไขที่กฎหมายบัญญัติไว้

3.10 กสศ. ได้ทำการประเมินความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล และจัดหามาตรการที่เหมาะสมเพื่อลดความเสี่ยงและผลกระทบที่อาจเกิดขึ้น

3.11 กสศ. ได้กำหนดนโยบายในการลบและทำลายข้อมูลส่วนบุคคลที่เหมาะสม

4. การจัดให้มีช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject Access Request)

4.1 กสศ. ได้จัดให้มีแนวปฏิบัติ และช่องทางในการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างเหมาะสม ครบถ้วนตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ดังนี้

4.1.1 สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (Right of Access) โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่

4.1.2 สิทธิในการโอนข้อมูลส่วนบุคคล (Right to Data Portability) ในกรณีที่เราได้จัดทำข้อมูลส่วนบุคคลในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ และสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ หรือขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรงเว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้

4.1.3 สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (Right to Object) โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่าน

1. ตามภารกิจสาธารณะ (Public Task) หรือตามประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest)
2. เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง
3. เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา

4.1.4 สิทธิในการลบข้อมูลส่วนบุคคล (Right to Erasure) โดยท่านสามารถขอให้ลบข้อมูล หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้

1. เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล
2. เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลและเราไม่มีเหตุผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป
3. เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านแล้ว
4. เมื่อข้อมูลส่วนบุคคลได้ถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย

4.1.5 สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (Right to Restrict Processing) โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านได้ ในกรณีดังต่อไปนี้

1. เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล
2. เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน
3. เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมีความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
4. เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน

4.1.6 สิทธิในการแก้ไขข้อมูลส่วนบุคคล (Right to Rectification) โดยท่านสามารถขอแก้ไขข้อมูลของท่านให้ถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้ หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์ และเป็นปัจจุบันเราไม่สามารถตรวจสอบและแก้ไขข้อมูลดังกล่าวได้ด้วยตนเอง

ในบางกรณีตามสภาพของการดำเนินการ เราอาจไม่สามารถดำเนินการได้ตามที่ท่านขอได้ เช่น มีความจำเป็นต้องดำเนินการตามหน้าที่ตามสัญญาหรือกฎหมาย เป็นต้น อย่างไรก็ดีในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผลข้อมูลดังกล่าวโดยเร็วที่สุด แต่การถอนความยินยอมนั้นจะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว

ขอให้ท่านรับทราบว่าเราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องของท่านเอาไว้เพื่อใช้ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น หากมีข้อสงสัยในรายละเอียดทางปฏิบัติของการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล(ท่านอาจศึกษาได้จากแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (TDPG3.0) ได้ที่ https://www.law.chula.ac.th/event/9705/)

ในกรณีที่ท่านมีประสงค์จะใช้สิทธิดังกล่าวข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของ กสศ. (ตามช่องทางที่ให้ไว้ด้านบน) เราจะดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดีท่านมีสิทธิร้องเรียนเกี่ยวกับการไม่คุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคุ้มครองข้อมูลส่วนบุคคล

4.2 กสศ. จะทำการบันทึกรายละเอียดคำขอใช้สิทธิ รวมถึงเหตุแห่งการปฏิเสธคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเสมอ

5. การรักษาความปลอดภัยของข้อมูลส่วนบุคคล (Personal Data Security)

5.1 กสศ. จัดให้มีมาตรการในการรักษาความปลอดภัยของข้อมูลที่เหมาะสม เพียงพอ และมีการควบคุมการเข้าถึงข้อมูลเท่าที่จำเป็น

5.2 กสศ. จัดให้มีมาตรการรองรับเหตุการณ์ผิดปกติ แนวทางในการตอบสนองต่อเหตุการณ์ดังกล่าว รวมถึงจัดให้มีกระบวนการแจ้ง ประสานงาน และให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สามารถจัดการและแก้ไขเยียวยาได้อย่างทันท่วงที

6. การกำกับดูแล และตรวจสอบการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ระเบียบ และนโยบายที่เกี่ยวข้อง (Personal Data Protection Compliance)

6.1 กสศ. จะทำการทบทวน แก้ไข และปรับปรุงนโยบายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงเอกสารที่เกี่ยวข้องอยู่เป็นประจำ อย่างน้อยปีละ 1 ครั้ง เพื่อให้สอดคล้องเป็นไปตามกฎหมายอยู่เสมอ

6.2 กสศ. จะติดตามการบังคับใช้กฎหมายลำดับรอง และกฎหมายอื่นที่เกี่ยวข้องอยู่เสมอ เพื่อนำมาแก้ไขและปรับปรุงนโยบายของ กสศ. ให้สอดคล้องเป็นไปตามกฎหมาย

7. บทบาท หน้าที่ และความรับผิดชอบ

7.1 ผู้บริหาร กสศ. มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้

7.1.1 กำกับให้เกิดโครงสร้างและกระบวนการดูแลข้อมูลส่วนบุคคล และการควบคุมภายในที่เกี่ยวข้องของ กสศ. เพื่อให้เกิดการปฏิบัติตามกฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ.

7.1.2 กํากับดูแลและสนับสนุนให้ กสศ. ดําเนินการคุ้มครองข้อมูลส่วนบุคคลให้มีประสิทธิภาพ และสอดคล้องกับกฎหมาย

7.2 คณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้

7.2.1 จัดให้มีโครงสร้างการกํากับดูแลข้อมูลส่วนบุคคลและการควบคุมภายในที่เกี่ยวข้อง รวมถึง นโยบายการบริหารจัดการเหตุการณ์ผิดปกติที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และแนวทางการตอบสนองต่อเหตุการณ์ผิดปกติ เพื่อให้สามารถระบุและจัดการกับเหตุการณ์ผิดปกติที่เกี่ยวข้อง กับข้อมูลส่วนบุคคล
ได้อย่างทันท่วงที

7.2.2 ประเมินประสิทธิภาพการปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ. และรายงานผลการประเมินดังกล่าวให้คณะกรรมการ กสศ. ทราบเป็นประจําอย่างน้อย 1 ครั้งต่อปี รวมถึงควบคุมดูแลให้มั่นใจได้ว่าความเสี่ยงต่าง ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลได้รับ การจัดการและมีแนวทางการบริหารความเสี่ยงที่เหมาะสม

7.2.3 กําหนดและทบทวนมาตรฐานการปฏิบัติงาน (Standards) และแนวปฏิบัติ (Guidelines) เพื่อให้การดําเนินงานของ กสศ. สอดคล้องกับกฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ.

7.2.4 แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของ กสศ. (DPO)

7.3 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของ กสศ. (DPO) มีบทบาท หน้าที่ และความรับผิดชอบ ตามที่กฎหมายกําหนด ซึ่งรวมถึงหน้าที่ดังต่อไปนี้

7.3.1 รายงานสถานะการคุ้มครองข้อมูลส่วนบุคคลให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบ อย่างสมํ่าเสมอ และจัดทําข้อเสนอแนะเพื่อปรับปรุงการคุ้มครองข้อมูลส่วนบุคคลของ กสศ. ให้ทันสมัยและสอดคล้องกับกฎหมายอยู่เสมอ

7.3.2 ให้คําแนะนําพนักงานของ กสศ. เกี่ยวกับการปฏิบัติตามกฎหมาย และนโยบายการคุ้มครอง ข้อมูลส่วนบุคคลของ กสศ.

7.3.3 ตรวจสอบการดําเนินงานของหน่วยงานใน กสศ. ให้เป็นไปตามกฎหมาย และนโยบายการ คุ้มครองข้อมูลส่วนบุคคลของ กสศ.

7.4 พนักงานของ กสศ. มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้

7.4.1 ปฏิบัติให้สอดคล้องกับนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ. มาตรฐานการ ปฏิบัติงาน (Standards) แนวปฏิบัติ (Guidelines) ขั้นตอนปฏิบัติ (Procedures) และ เอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

7.4.2 รายงานเหตุการณ์ผิดปกติที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล และการไม่ปฏิบัติตาม กฎหมาย และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ. ให้ผู้บังคับบัญชาทราบ