ประกาศสถาบันการจัดการปัญญาภิวัฒน์ ที่ 010 /2563
เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy Policy)
1.หลักการและเหตุผล
ด้วยความก้าวหน้าของเทคโนโลยีสารสนเทศ รวมทั้งระบบสื่อสารได้พัฒนาไปอย่างรวดเร็ว ทําให้ การเข้าถึงการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล สามารถทําได้โดยง่าย สะดวก และ รวดเร็ว อันอาจนํามาซึ่งความเสียหายต่อเจ้าของข้อมูล ประกอบกับได้มีพระราชบัญญัติคุ้มครองข้อมูลส่วน บุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษา เมื่อวันที่ 27 พฤษภาคม พ.ศ. 2562 และบริษัท ซีพี ออลล์ จํากัด (มหาชน) ได้ประกาศใช้นโยบายการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy Policy) เพื่อใช้ในบริษัท และบริษัทย่อยทั้งหมด ไปแล้วนั้น
สถาบัน ได้ตระหนักถึงความสําคัญของการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy) ซึ่งเป็นสิทธิ ขั้นพื้นฐานสําคัญในความเป็นส่วนตัว (Privacy Rights) ที่ต้องได้รับความคุ้มครองตามรัฐธรรมนูญแห่ง ราชอาณาจักรไทย และหลักปฏิญญาสากลว่าด้วยสิทธิมนุษยชน (Universal Declaration of Human Rights) ซึ่งบุคคลใดจะถูกแทรกแซงตามอําเภอใจในความเป็นส่วนตัว ครอบครัว ที่อยู่อาศัย การสื่อสาร หรือ จะถูกลบหลู่เกียรติยศและชื่อเสียงไม่ได้ ทุกคนมีสิทธิ์ที่จะได้รับความคุ้มครองตามกฎหมาย ต่อการแทรกแซง สิทธิหรือการลบหลู่ดังกล่าวนั้น รวมถึงเพื่อสนับสนุนและเคารพการปกป้องสิทธิมนุษยชนตามที่ประกาศใช้ใน ระดับสากล ตามหลักการของข้อตกลงโลกแห่งสหประชาชาติ (UN Global Cornpact) คณะผู้บริหาร ระดับสูง (คบส.) ได้แต่งตั้งคณะทํางานคุ้มครองข้อมูลส่วนบุคคล โดยได้เสนอนโยบายและจัดทําแนวทาง การคุ้มครองข้อมูลส่วนบุคคลของสถาบัน จึงได้ประกาศนโยบายเพื่อเป็นหลักในการคุ้มครองข้อมูลส่วน บุคคล (Data Privacy) ดังนี้
2. วัตถุประสงค์
นโยบายการคุ้มครองข้อมูลส่วนบุคคลนี้ จัดทําขึ้นเพื่อคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูล ส่วนบุคคลซึ่งทําธุรกรรม ใช้บริการ มีส่วนได้ส่วนเสีย หรือมีส่วนเกี่ยวข้องกับสถาบัน โดยมีวัตถุประสงค์ ดังนี้
2.1 เพื่อกําหนดบทบาทหน้าที่ของหน่วยงาน ผู้บริหาร บุคลากร ซึ่งมีส่วนเกี่ยวข้องกับข้อมูลส่วน
2.2 เพื่อกําหนดขั้นตอนหรือมาตรการรักษาความปลอดภัยในการคุ้มครองข้อมูลส่วนบุคคล
2.3 เพื่อกําหนดแนวทางในการปฏิบัติงานของบุคลากรซึ่งเกี่ยวข้องกับข้อมูลส่วนบุคคล
2.4 เพื่อสร้างความเชื่อมั่นในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลต่อบุคลากร นักศึกษา ผู้สําเร็จการศึกษา ตลอดจนบุคคลอื่น ๆ ซึ่งมีส่วนได้ส่วนเสียหรือเกี่ยวข้องกับข้อมูลส่วนบุคคล
3. ขอบเขตการใช้
3.1 ให้ประกาศฉบับนี้มีผลบังคับใช้กับคณะกรรมการสภาสถาบัน ผู้บริหาร และบุคลากรทุกระดับ รวมทั้งคู่ค้า ผู้ให้บริการ และผู้มีส่วนได้ส่วนเสียของสถาบัน
3.2 การดําเนินงานของสถาบันที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
4. คํานิยาม
“สถาบัน” หมายความว่า สถาบันการจัดการปัญญาภิวัฒน์
“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทําให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า ทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม
“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลที่มีความเสี่ยงอาจถูกนําไปสู่ การเลือกปฏิบัติอย่างไม่เป็นธรรม ในที่นี้หมายถึง เชื้อชาติ ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรืออื่น ๆ ตามที่กฎหมายกําหนด
“เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล เป็นต้นว่า ลูกค้า เครือข่าย ผู้ใช้บริการ นักเรียน นักศึกษา และบุคลากรสถาบันการจัดการปัญญาภิวัฒน์
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอํานาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในที่นี้หมายถึง สถาบัน หน่วยงาน บุคลากรที่รับผิดชอบใน ข้อมูลส่วนบุคคลนั้น
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดําเนินการเกี่ยวกับการเก็บ รวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคําสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ในที่นี้หมายถึง บุคคลหรือนิติบุคคลภายนอกที่สถาบันได้ว่าจ้าง
“บุคคล” หมายความว่า บุคคลธรรมดา
“บุคคลผู้หย่อนความสามารถ” หมายความว่า บุคคลซึ่งเป็นผู้เยาว์ เป็นคนไร้ความสามารถ หรือ เสมือนไร้ความสามารถตามประมวลกฎหมายแพ่งและพาณิชย์
“เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หมายความว่า บุคคลซึ่ง บริษัท ซีพี ออลล์ จํากัด (มหาชน) แต่งตั้งให้ทําหน้าที่เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และหมายความรวมถึงบุคคลอื่นใดซึ่งสถาบันได้แต่งตั้ง ให้ปฏิบัติหน้าที่เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามกฎหมายฉบับดังกล่าวด้วย
“ผู้ประสานงานข้อมูลส่วนบุคคล” (Data Protection Coordinator: DPC) หมายความว่า อธิการบดี สถาบันการจัดการปัญญาภิวัฒน์ หรือบุคคลอื่นใดซึ่งอธิการบดีมอบหมายให้ปฏิบัติหน้าที่ 1
“คณะทํางานคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า คณะทํางานตามประกาศแต่งตั้ง/คําสั่งของ อธิการบดี ซึ่งประกอบด้วย ผู้แทนจากสํานักงานอธิการบดี สํานักเทคโนโลยีสารสนเทศ สํานักทรัพยากรมนุษย์ สํานักการศึกษาทั่วไป และหน่วยงานที่เกี่ยวข้อง ซึ่งทําหน้าที่ในการพิจารณาออกแนวทางปฏิบัติหรือ ข้อกําหนดหรือระเบียบปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ภายในสถาบันให้เป็นไปตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายด้านการศึกษาอื่น ๆ ที่เกี่ยวข้อง
5. การคุ้มครองข้อมูลส่วนบุคคล
5.1 การเก็บรวบรวมข้อมูลส่วนบุคคล
การเก็บรวบรวมข้อมูลส่วนบุคคลให้กระทําได้ภายใต้วัตถุประสงค์และเท่าที่จําเป็นตามกรอบ วัตถุประสงค์หรือเพื่อประโยชน์ที่มีความเกี่ยวข้องโดยตรงกับวัตถุประสงค์ในการเก็บรวบรวม พร้อมทั้งแจ้งให้ เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม ถึงรายละเอียดดังต่อไปนี้
1) วัตถุประสงค์ของการเก็บรวบรวม
2) ระยะเวลาในการเก็บรวบรวมไว้
3) ประเภทของบุคคลหรือหน่วยงานซึ่งอาจมีการเปิดเผยข้อมูลส่วนบุคคล
4) ข้อมูลหรือช่องทางการติดต่อกับสถาบัน
5) สิทธิของเจ้าของข้อมูลส่วนบุคคล
6) แจ้งผลกระทบจากการไม่ให้ข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลไม่ให้ ข้อมูลส่วนบุคคลตามที่กฎหมายกําหนด หรือเพื่อเข้าทําหรือปฏิบัติตามสัญญา
ทั้งนี้ เว้นแต่ในกรณีดังต่อไปนี้ ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
ก) เพื่อประโยชน์สาธารณะ การศึกษาวิจัย การสถิติ หรือการปฏิบัติตามกฎหมาย
ข) เป็นการดําเนินการเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของ เจ้าของข้อมูลส่วนบุคคล
ค) เป็นการจําเป็นเพื่อปฏิบัติตามสัญญาหรือเพื่อใช้ในการดําเนินการตามคําขอของ เจ้าของข้อมูลส่วนบุคคลก่อนเข้าทําสัญญานั้น
ง) เป็นการจําเป็นตามหน้าที่ในการดําเนินการเพื่อประโยชน์สาธารณะหรือในการปฏิบัติ หน้าที่ตามที่ได้รับมอบหมายจากภาครัฐ หรือเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วน บุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์โดยชอบด้วยกฎหมาย นั้นมีความสําคัญมากกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคล
5.2 การเก็บรวบรวมข้อมูลส่วนบุคคลของผู้หย่อนความสามารถ
การเก็บรวบรวมข้อมูลส่วนบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ เพื่อดําเนินการตาม วัตถุประสงค์ใด ๆ ซึ่งผู้เยาว์ไม่อาจดําเนินการเองได้โดยลําพังตามที่ประมวลกฎหมายแพ่งและพาณิชย์ กําหนดไว้ ต้องได้รับความยินยอมจากผู้ใช้อํานาจปกครองหรือผู้ทําการแทนผู้เยาว์ด้วย เว้นแต่กรณีผู้เยาว์ อายุไม่เกิน 10 ปี ต้องได้รับความยินยอมจากผู้ใช้อํานาจปกครองหรือผู้การแทนผู้เยาว์เท่านั้น
การเก็บรวบรวมข้อมูลส่วนบุคคลซึ่งเจ้าของข้อมูลเป็นบุคคลไร้ความสามารถหรือเสมือนไร้ ความสามารถต้องได้รับความยินยอมจากผู้อนุบาลหรือจากผู้พิทักษ์ หรือบุคคลผู้ทําการแทนเท่านั้น
5.3 การเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data)
สถาบันจะไม่เก็บข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) เว้นแต่มีความ จําเป็นต้องเก็บรวบรวม โดยต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ยกเว้นใน กรณีที่กฎหมายกําหนดให้สามารถเก็บรวบรวมได้โดยไม่ต้องขอความยินยอม
5.4 การใช้หรือการเปิดเผยข้อมูลส่วนบุคคล
การใช้หรือการเปิดเผยข้อมูลส่วนบุคคล ให้เป็นไปตามวัตถุประสงค์ที่ได้แจ้งต่อเจ้าของข้อมูล ส่วนบุคคลก่อนหรือในขณะทําการเก็บรวบรวม หรือเป็นการจําเป็นเพื่อประโยชน์ที่มีความเกี่ยวข้องโดยตรง กับวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคล และต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่กรณีที่กฎหมายกําหนดให้ไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือเป็น การปฏิบัติตามกฎหมาย
บุคคลหรือนิติบุคคลอื่น ซึ่งได้รับข้อมูลส่วนบุคคลจากการที่เจ้าของข้อมูลส่วนบุคคลตกลง ยินยอมให้เปิดเผยหรือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ต้องใช้ข้อมูลส่วนบุคคลตามวัตถุประสงค์ซึ่งเจ้าของ ข้อมูลส่วนบุคคลได้ตกลงยินยอมให้ไว้กับสถาบัน และตามที่บุคคลหรือนิติบุคคลนั้นได้แจ้งไว้กับสถาบัน เท่านั้น
6.คุณภาพของข้อมูลส่วนบุคคล
ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวบไว้นั้น ต้องถูกต้องเป็นปัจจุบัน สมบูรณ์ ไม่ก่อให้เกิดความเข้าใจผิด และต้องดําเนินจัดให้มีช่องทางให้เจ้าของข้อมูลส่วนบุคคล สามารถร้องขอหรือแก้ไขข้อมูลส่วนบุคคลของ ตัวเองได้
7.บทบาทหน้าที่และความรับผิดชอบ
สถาบันกําหนดให้บุคลากรหรือหน่วยงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล ต้องให้ความสําคัญและ รับผิดชอบในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามนโยบายและแนวปฏิบัติในการคุ้มครอง ข้อมูลส่วนบุคคลของสถาบัน อย่างเคร่งครัด โดยกําหนดให้บุคคลหรือหน่วยงานดังต่อไปนี้ ทําหน้าที่กํากับ และตรวจสอบให้การดําเนินงานของสถาบันนั้นถูกต้อง และเป็นไปตามนโยบายและกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคลกําหนด
7.1 ผู้ควบคุมข้อมูลส่วนบุคคล
7.1.1 จัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม และ ทบทวนมาตรการอย่างสม่ําเสมอเพื่อให้มาตรการดังกล่าวมีประสิทธิภาพ ทันต่อเทคโนโลยีที่เปลี่ยนแปลงไป
7.1.2 กําหนดขอบเขตการจัดการกับข้อมูลส่วนบุคคลที่ได้เปิดเผยต่อบุคคลหรือนิติบุคคลอื่น 7.1.3 จัดให้มีระบบตรวจสอบการจัดการกับข้อมูลส่วนบุคคลให้เป็นไปตามที่กฎหมายกําหนด 7.1.4 บันทึกรายการเกี่ยวกับข้อมูลส่วนบุคคลตามที่กฎหมายกําหนด
7.1.5 จัดทําข้อตกลงกับผู้ประมวลผลข้อมูลส่วนบุคคล นิติบุคคลหรือบุคคลภายนอกอื่นใด หากมีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคลที่ได้ว่าจ้าง นิติบุคคลหรือ บุคคลภายนอกอื่นใด โดยผู้ประมวลผลข้อมูล นิติบุคคล หรือบุคคลภายนอกดังกล่าว ต้องมีมาตรการรักษา ความปลอดภัย การเก็บ การใช้ การเปิดเผยข้อมูลส่วนบุคคลต้องเป็นไปตามนโยบายฉบับนี้ และตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
7.2 ประมวลข้อมูลส่วนบุคคล
7.2.1 ดําเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคําสั่งที่ได้รับ จากผู้ควบคุมข้อมูลส่วนบุคคล
7.2.2 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม
7.2.3 จัดทําและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้
7.3 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer)
7.3.1 ให้คําแนะนําในด้านต่าง ๆ ที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้บริหาร พนักงาน และเครือข่ายของสถาบัน
7.3.2 ตรวจตราการดําเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วน บุคคล
7.3.3 ประสานงานและให้ความร่วมมือกับสํานักงานคณะกรรมการการคุ้มครองข้อมูลส่วน บุคคล ในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสถาบันและเครือข่าย ของสถาบัน
7.4 เจ้าหน้าที่ผู้ประสานงานข้อมูลส่วนบุคคล” (Data Protection Coordinator: DPC)
7.4.1 ประสานงานและให้ความร่วมมือกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) ในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของสถาบัน และเครือข่ายของสถาบัน
7.4.2 แจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ซึ่งเกิดขึ้นในสถาบันต่อเจ้าหน้าที่คุ้มครองข้อมูล ส่วนบุคคล (Data Protection Oficer : OPO) ทราบ
7.5 หน่วยงาน ธรรมาภิบาลและความยั่งยืน
7.5.1 จัดทําและทบทวนนโยบายคุ้มครองข้อมูลส่วนบุคคล ให้ครบถ้วนและถูกต้องตามที่ กฎหมายกําหนด
7.5.2 ให้คําปรึกษาทางด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล
7.5.3 รายงานการปฏิบัติหน่วยงานต่าง ๆ ของสถาบัน หน่วยงานเครือข่าย และบุคลากรสถาบัน ต่อคณะผู้บริหารระดับสูง (คบส.)
7.6 หน่วยงานบริหารความเสี่ยง (Risk Management)
7.6.1 ประเมินความเสี่ยงและแผนการจัดการความเสี่ยงในกระบวนการจัดการข้อมูลส่วน บุคคลของสถาบัน
7.6.2 กํากับดูแลหน่วยงานต่าง ๆ ของสถาบัน หน่วยงานเครือข่าย และบุคลากรสถาบัน ให้ ดําเนินงานตามนโยบายและแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลของสถาบัน
7.6.3 รายงานเรื่องความเสี่ยงต่อคณะผู้บริหารระดับสูง (คบส.)
7.7 หน่วยงานตรวจสอบภายใน
7.7.1 ตรวจสอบการทํางานของผู้ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล 7.7.2 สอบทานและประเมินประสิทธิภาพของระบบรักษาข้อมูลส่วนบุคคล
7.7.3 รายงานผลการตรวจสอบต่อคณะกรรมการตรวจสอบของสถาบัน
7.8 หน่วยงานระดับคณะ หน่วยงานระดับสํานักหรือเทียบเท่า และหน่วยงานที่มีชื่อเรียกอย่างอื่น
7.8.1 ให้ผู้บริหารสูงสุดของระดับคณะ หน่วยงานระดับสํานักหรือเทียบเท่า และหน่วยงานที่มี ชื่อเรียกอย่างอื่นมีหน้าที่สั่งการ ควบคุม กํากับดูแลให้บุคลากรภายในสังกัดของตนปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และนโยบายฉบับนี้โดยเคร่งครัด รวมถึงแจ้งเหตุการณ์ละเมิดข้อมูล ส่วนบุคคล ซึ่งเกิดขึ้นในสถาบันหรือหน่วยงานของตนต่อประธานคณะกรรมการบริหารความเสี่ยง เพื่อแจ้งให้ ผู้ประสานงานข้อมูลส่วนบุคคล (Data Protection Coordinator: DPC) ทราบต่อไป
7.8.2 กรณีหน่วยงานระดับคณะ หน่วยงานระดับสํานักหรือเทียบเท่า และหน่วยงานที่มีชื่อ เรียกอย่างอื่น จะออกแนวทางปฏิบัติหรือข้อกําหนดหรือระเบียบปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วน บุคคล รวมถึงการเสนอแก้ไขปรับปรุงเพื่อใช้บังคับภายในหน่วยงานของตน ต้องส่งเรืองมายังเลขานุการ คณะทํางานคุ้มครองข้อมูลส่วนบุคคล เสนอคณะทํางานคุ้มครองข้อมูลส่วนบุคคลเพื่อให้ความเห็นชอบก่อน ประกาศใช้บังคับ โดยข้อกําหนดหรือระเบียบปฏิบัติที่ออกนั้น ต้องเป็นไปตามนโยบายฉบับนี้และตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
8.การจัดการข้อมูลส่วนบุคคลในงานวิจัย
ในงานวิจัยใด ๆ ที่เกี่ยวข้องกับการใช้ข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลที่มีความอ่อนไหว ผู้วิจัย จะต้องตระหนักถึงนโยบายการคุ้มครองข้อมูลส่วนบุคคลนี้ และดําเนินการตามแนวปฏิบัติการขอข้อมูล ส่วนบุคคลในงานวิจัยอย่างเหมาะสม ผู้วิจัยจะต้องตรวจสอบให้แน่ใจว่ามีการปฏิบัติตามหลักการความ ยุติธรรม ความโปร่งใส และถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
9.การรักษาความมั่นคงปลอดภัย
เพื่อประโยชน์ในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล สถาบันได้มีมาตรการ ดังนี้
9.1 กําหนดสิทธิในการเข้าถึง การใช้ การเปิดเผย การประมวลผลข้อมูลส่วนบุคคล ผู้ใช้งานต้อง ตระหนักและระมัดระวังการใช้งานข้อมูล ป้องกัน ตูแล รักษาไว้ซึ่งความลับ ความถูกต้อง ไม่ว่าข้อมูลนั้นจะ เป็นข้อมูลจากระบบสารสนเทศของสถาบัน หรือเป็นข้อมูลจากบุคคลภายนอก รวมถึงการแสดงหรือยืนยัน ตัวบุคคล ผู้เข้าถึงหรือใช้ข้อมูลส่วนบุคคล จัดให้มีมาตรการรักษาความปลอดภัย ห้ามผู้ใช้งาน ลักลอบ ทําสําเนา เปลี่ยนแปลง ลบทิ้ง ซึ่งข้อมูล ข้อความ เอกสาร หรือสิ่งใด ๆ ที่เป็นทรัพย์สินของผู้อื่น หรือหน่วยงานภายใน ของสถาบันโดยไม่ได้รับอนุญาต รวมไปถึงกระบวนการทบทวนและประเมินประสิทธิภาพของมาตรการรักษา ความปลอดภัยดังกล่าว และหากผู้ใช้งานได้ทําการละเมิดด้วยกระทําการดังกล่าวจะต้องถูกลงโทษทางวินัย และหากเป็นการกระทําผิดตามพระราชบัญญัติ ว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2560 ผู้ใช้งานนั้นจะต้องถูกดําเนินคดีตามกฎหมาย ทั้งนี้ เป็นไปตามแนวนโยบายสารสนเทศของทางสถาบันอย่าง เคร่งครัด
9.2 ในการส่งหรือการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ รวมถึงการนําข้อมูลส่วนบุคคลไปเก็บ ในฐานข้อมูลในระบบอื่นใด ที่ทางสถาบันไม่ได้เป็นผู้ดูแลรับผิดชอบ ให้ผู้ให้บริการรับโอนข้อมูลหรือบริการ เก็บรักษาข้อมูลส่วนบุคคลที่อยู่ต่างประเทศ จําเป็นต้องมีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่าหรือ ดีกว่ามาตรการตามนโยบายนี้
9.3 ในกรณีที่มีการฝ่าฝืนมาตรการการรักษาความมั่นคงปลอดภัยของสถาบัน หรือมีการใช้งาน ระบบสารสนเทศที่ทางสถาบันไม่ได้เป็นผู้ดูแลรับผิดชอบ จนเป็นเหตุให้มีบุคคลหนึ่งบุคคลใดทําการละเมิดต่อ ข้อมูลส่วนบุคคล โดยมิได้รับอนุญาตจากผู้ใช้งานที่ครอบครองข้อมูลนั้น หัวหน้าหน่วยงานที่ทราบเรื่อง จะต้องดําเนินการแจ้งให้ผู้ประสานงานข้อมูลส่วนบุคคลทราบโดยทันที เพื่อแจ้งให้เจ้าหน้าที่คุ้มครองข้อมูล ส่วนบุคคลทราบ ภายใน 48 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถทําได้ และหากการละเมิดนั้นมีความ เสี่ยงที่จะกระทบต่อสิทธิเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สถาบันจะดําเนินการแจ้งเหตุการละเมิดพร้อม ทั้งแนวทางการเยียวยาให้เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า ทั้งนี้ สถาบันจะไม่รับผิดชอบในกรณี ความเสียหายใด ๆ อันเกิดจากการที่เจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่นใดซึ่งได้รับความยินยอมจาก เจ้าของข้อมูลส่วนบุคคล จงใจหรือประมาทเลินเล่อหรือเพิกเฉยต่อมาตรการรักษาความปลอดภัย จนเป็น เหตุให้ข้อมูลส่วนบุคคลถูกใช้หรือเปิดเผยต่อบุคคลที่สามหรือบุคคลอื่นใด
10.สิทธิของเจ้าของข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอเข้าถึงข้อมูลส่วนบุคคลของตน ขอรับสําเนา ขอถอนความ ยินยอม คัดค้านการเก็บ การใช้ การเปิดเผย ขอให้ลบทําลายหรือพักการใช้ ขอแก้ไขข้อมูลให้เป็นปัจจุบัน ร้องเรียน หรือขอให้โอนข้อมูลส่วนบุคคลของตนไปยังผู้ควบคุมข้อมูลอื่น เว้นแต่เป็นการกระทบต่อสิทธิเสรีภาพของบุคคลอื่น เป็นการปฏิบัติหน้าที่เพื่อสาธารณประโยชน์หรือตามกฎหมาย หรือเพื่อการศึกษาวิจัย ทั้งนี้ เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
11.การร้องเรียน การแจ้งเบาะแส
กรณีพบเหตุอันควรสงสัยหรือเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคล การร้องเรียน หรือการใช้สิทธิของ เจ้าของข้อมูลส่วนบุคคลตามนโยบายฉบับนี้ หรือตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สามารถติดต่อกับสถาบัน ได้ที่ สถาบันการจัดการปัญญาภิวัฒน์ เลขที่ 85/1 หมู่ 2 ถนนแจ้งวัฒนะ ตําบลบางตลาด อําเภอปากเกร็ด จังหวัดนนทบุรี 11120 Email Address: Privacy@pim.ac.th โทรศัพท์ 0 2855 0000
12.การให้ความรู้
สถาบันจัดให้มีการให้ความรู้และประเมินผลเกี่ยวกับการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ให้กับผู้บริหาร บุคลากรทุกระดับ และนักศึกษา ในการนี้ ให้ผู้บริหารสูงสุดของระดับคณะ หน่วยงานระดับ สํานักหรือเทียบเท่า และหน่วยงานที่มีชื่อเรียกอย่างอื่น ต้องเข้าร่วมการฝึกอบรมและกําหนดให้พนักงานใน สังกัดของตนซึ่งเกี่ยวข้องกับข้อมูลส่วนบุคคลต้องเข้าร่วมการฝึกอบรมอย่างเคร่งครัด
13.การทบทวนนโยบาย
สถาบันจะทําการทบทวนนโยบายนี้อย่างน้อยปีละ 1 ครั้ง หรือกรณีที่กฎหมายมีการเปลี่ยนแปลง แก้ไข
14.บทกําหนดโทษ
ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูล หรือผู้มีหน้าที่รับผิดชอบในการดําเนินงานเรื่องใด เรื่องหนึ่งตามหน้าที่ของตน หากละเลยหรือละเว้นไม่สั่งการ หรือไม่ดําเนินการ หรือสั่งการ หรือดําเนินการ อย่างใดอย่างหนึ่งในหน้าที่ของตน อันเป็นการฝ่าฝืนนโยบายและแนวปฏิบัติเกี่ยวกับเรื่องข้อมูลส่วนบุคคล และ/หรือตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กําหนด จนเป็นเหตุให้เกิดความผิดตาม กฎหมายและ/หรือความเสียหายขึ้น ผู้นั้นต้องรับโทษทางวินัยตามระเบียบของสถาบันและต้องรับโทษทาง กฎหมายตามความผิดที่เกิดขึ้น ทั้งนี้ หากความผิดดังกล่าวก่อให้เกิดความเสียหายแก่สถาบันและ/หรือบุคคล อื่นใด สถาบันอาจพิจารณาดําเนินคดีตามกฎหมายเพิ่มเติมต่อไป
นโยบายคุ้มครองข้อมูลส่วนบุคคล (Data Privacy Policy) สถาบันการจัดการปัญญาภิวัฒน์