ของบรกิ าร บริการนไี้ ดอ้ อกแบบแพลตฟอร์มการจองออนไลน์เพอ่ื ยกระดับการบรกิ ารโดยมไิ ด้รับคำสั่งใด
จากบริษทั น้ี ผใู้ หบ้ รกิ ารจงึ มสี ถานะผคู้ วบคุมข้อมลู
❖ บริษัทว่าจ้าง (outsource) บริษัทอีกแห่งหนึ่งเพื่อให้บริการลูกค้า (client support) โดยการว่าจ้าง
ครอบคลุมการให้บริการคอลเซ็นเตอร์ ซึ่งให้ความช่วยเหลือในการตอบคำถามลูกค้า ในการให้บริการ
ดังกล่าวบริษัทผู้รับจ้างต้องเข้าถึงข้อมูลลูกค้าโดยการเข้าถึงนั้นจะต้องเข้าถึงเพื่อการให้บริการลูกค้า
เท่านั้น ไม่สามารถเข้าถงึ เพ่อื วัตถปุ ระสงค์อื่นได้ บริษทั ทร่ี ับจ้างมีสถานะเป็นผู้ประมวลขอ้ มูล
❖ บรษิ ทั จ้างผู้ใหบ้ ริการด้านเทคโนโลยีสารสนเทศเพือ่ ให้ความชว่ ยเหลือเก่ียวกับระบบเทคโนโลยสี ารสนเทศ
ทใ่ี ชใ้ นบริษทั ซง่ึ มขี ้อมลู สว่ นบคุ คลเปน็ จำนวนมาก การเขา้ ถงึ ขอ้ มลู สว่ นบุคคลไม่ใชว่ ตั ถปุ ระสงค์หลักของ
บรกิ าร แต่ก็ไมส่ ามารถหลีกเลย่ี งได้ ผูใ้ ห้บรกิ ารดา้ นเทคโนโลยสี ารสนเทศมีสถานะเปน็ ผปู้ ระมวลผลขอ้ มูล
ส่วนบคุ คล
ทั้งนี้ บุคคลคนหนึ่งอาจมีสถานะเป็นทั้งผู้ควบคมุ ข้อมูลและผูป้ ระมวลผลข้อมูลได้ แต่สำหรับ
ข้อมูลคนละชุด เช่น กรณีผู้ประกอบการ Cloud Computing ได้รับข้อมูลและจัดการข้อมูลในฐานะผู้
ควบคุมข้อมูล แต่ได้รับมอบหมายจากผู้ควบคุมข้อมูลรายอื่นให้ประมวลผลข้อมูลอีกชุดหนึ่ง สำหรับ
ข้อมูลชุดทไ่ี ดร้ บั มอบหมายน้ีผูป้ ระกอบการรายนจ้ี ะมสี ถานะเปน็ ผปู้ ระมวลผลขอ้ มลู เป็นตน้
ภาพรวมหนา้ ท่ีและความรบั ผิดชอบของผคู้ วบคมุ ข้อมลู และผปู้ ระมวลผลขอ้ มูลทจี่ ะกล่าวถึงใน
บทนเ้ี ปน็ ไปตามตารางต่อไปนี้
สว่ นที่ ทา่ นเปน็ ผู้ควบคมุ ขอ้ มูล (Controller) ท่านเป็นผู้ประมวลผลขอ้ มลู (Processor)
D1 หนา้ ที่ของผ้คู วบคมุ ข้อมูล (ภายในองคก์ ร) หนา้ ทข่ี องผู้ประมวลผลข้อมลู (ภายในองค์กร)
o มมี าตรการเชงิ เทคนิคและเชิงบริหารจดั การ o มมี าตรการเชิงเทคนคิ และเชิงบรหิ ารจัดการ
เพ่ือประมวลผลข้อมลู สว่ นบคุ คลให้ถกู ต้อง เพือ่ รักษาความม่ันคงปลอดภยั ในการ
ตามกฎหมาย (D1.1) ประมวลผลท่เี หมาะสมกับความเสี่ยง เพือ่
o มมี าตรการเชงิ เทคนิคและเชงิ บรหิ ารจัดการ ป้องกนั การสูญหาย การประมวลผลโดย
เพ่อื รักษาความมัน่ คงปลอดภัยในการ ปราศจากอำนาจ หรอื โดยมิชอบ (D1.16)
ประมวลผลที่เหมาะสมกับความเส่ียง (D1.3) o ตัง้ เจ้าหน้าที่คุ้มครองข้อมลู สว่ นบคุ คล (DPO)
o มีระบบการตรวจสอบเพอื่ ดำเนนิ การลบหรือ (D1.19)
ทำลายขอ้ มูลสว่ นบคุ คลเม่ือพน้ กำหนด
ระยะเวลาการเก็บรกั ษา หรอื ทไี่ มเ่ กย่ี วขอ้ ง
หรอื เกินความจำเป็นตามวัตถปุ ระสงค์ในการ
เก็บรวบรวมข้อมลู ส่วนบุคคลน้ัน (D1.5)
o ตั้งเจ้าหน้าทค่ี ุ้มครองข้อมูลสว่ นบคุ คล (DPO)
(D1.8)
ศนู ยว์ จิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จฬุ าลงกรณ์มหาวิทยาลยั 101
สว่ นท่ี ท่านเปน็ ผู้ควบคุมข้อมูล (Controller) ท่านเปน็ ผปู้ ระมวลผลขอ้ มูล (Processor)
o ประเมินผลกระทบด้านการคมุ้ ครองขอ้ มูลสว่ น
บคุ คล (DPIA) (D1.9)
o เลือกผูป้ ระมวลผลข้อมลู ทีม่ ีมาตรการเชงิ
เทคนคิ และเชงิ บรหิ ารจดั การที่เหมาะสมใน
การประมวลผลและการรักษาความมน่ั คง
ปลอดภยั (D1.10)
o จัดให้มขี อ้ ตกลงกับผ้ปู ระมวลผลข้อมูล เพื่อ
ควบคุมใหผ้ ้ปู ระมวลผลข้อมลู ดำเนินการให้
เป็นไปตามกฎหมาย (ถา้ มี) (D1.11 และให้ดู
ในสว่ น D2)
o ถา้ มกี ารโอนข้อมลู ไปยังตา่ งประเทศตอ้ งทำให้
ถูกต้องตามกฎหมาย (D1.12)
o ปอ้ งกนั มใิ ห้บคุ คลทไ่ี ดร้ บั ขอ้ มูลส่วนบุคคลท่ี
มิใชผ่ ู้ควบคมุ ข้อมูลอ่ืนใชห้ รือเปดิ เผยขอ้ มลู
โดยปราศจากอำนาจหรือโดยมชิ อบ (D1.13)
หนา้ ทท่ี ว่ั ไปของผู้ควบคมุ ข้อมูล หนา้ ทท่ี ว่ั ไปของผปู้ ระมวลผลขอ้ มลู
(ต่อบุคคลภายนอก) (ต่อบคุ คลภายนอก)
o แจง้ เจ้าของขอ้ มลู (D1.2) o ประมวลผลข้อมลู ตามขอ้ ตกลงระหว่างผู้
o แจ้งเหตแุ กผ่ ู้กำกับดแู ลหรือเจา้ ของข้อมูลเมอ่ื ควบคุมและผู้ประมวลผลข้อมลู (D1.15)
มขี ้อมูลสว่ นบคุ คลรั่วไหล (Data Breach) o แจง้ เหตแุ ก่ผู้ควบคมุ ขอ้ มลู กรณีข้อมูลสว่ น
(D1.4) บคุ คลรว่ั ไหล (Data Breach) (D1.17)
o ต้ังตัวแทนในราชอาณาจกั ร (กรณเี ป็นผู้ o แจง้ ผ้คู วบคุมข้อมลู ในกรณีท่ีเหน็ วา่ มี
ควบคมุ ข้อมูลท่ีอยนู่ อกราชอาณาจักร) ทางเลือกในการประมวลผลท่ีมีความมน่ั คง
(D1.14) ปลอดภยั สูงกวา่ (D1.16)
o เกบ็ บนั ทกึ รายการประมวลผลข้อมูล (D1.7) o ตั้งตัวแทนในราชอาณาจักร (กรณเี ป็นผู้
ประมวลผลขอ้ มูลทอ่ี ยู่นอกราชอาณาจกั ร)
(D1.20)
o เก็บบนั ทึกรายการประมวลผลข้อมลู (D1.18)
D2 แนวปฏิบตั ิเก่ยี วกับสญั ญาประมวลผลขอ้ มูลระหว่างผคู้ วบคุมข้อมูลและผู้ประมวลผลขอ้ มลู
o ตัวอย่างข้อตกลงให้ประมวลผลข้อมูล
D3 หนา้ ทเ่ี มอ่ื เจา้ ของข้อมลู ร้องขอ หน้าท่เี ม่ือเจ้าของขอ้ มูลรอ้ งขอ
o หนา้ ทีใ่ นการดำเนินการใหเ้ ป็นไปตามสิทธขิ อง o ไม่มีหน้าทีโ่ ดยตรงตอ่ เจ้าของขอ้ มูลทีร่ อ้ งขอ
เจา้ ของขอ้ มูลตามท่เี จ้าของขอ้ มลู รอ้ งขอ แต่ตอ้ งจัดให้มมี าตรการตา่ งๆ ท่ีเพยี งพอ
102 Thailand Data Protection Guidelines 3.0
ส่วนท่ี ทา่ นเป็นผูค้ วบคมุ ข้อมูล (Controller) ทา่ นเปน็ ผ้ปู ระมวลผลข้อมูล (Processor)
สำหรับการรองรบั ใหผ้ คู้ วบคมุ ขอ้ มลู ปฏิบัติ
หน้าที่เม่อื เจ้าของขอ้ มูลร้องขอ
D4 หน้าท่ีเม่ือภาครฐั รอ้ งขอ หนา้ ท่ีเมือ่ ภาครัฐรอ้ งขอ
o หนา้ ท่ีใหค้ วามร่วมมือกับองค์กรกำกบั ดูแล o หนา้ ท่ใี หค้ วามร่วมมอื กบั องคก์ รกำกับดแู ล
o หน้าทที่ ำตามกฎหมาย หรือตามคำสัง่ ของ o หนา้ ท่ที ำตามกฎหมาย หรอื ตามคำสงั่ ของ
หน่วยงานรัฐ (อาทิ หมายศาล คำสั่งศาล หรือ หน่วยงานรัฐ (อาทิ หมายศาล คำสัง่ ศาล หรอื
อำนาจโดยชอบทจ่ี ะเข้าถงึ ข้อมลู ) อำนาจโดยชอบท่ีจะเข้าถึงข้อมลู )
D5 ความรับผดิ ทางแพง่ อาญา และโทษทางปกครอง ความรบั ผดิ ทางแพง่ อาญา และโทษทางปกครอง
ศนู ยว์ จิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวทิ ยาลยั 103
D1. แนวปฏบิ ตั เิ ก่ยี วกบั สทิ ธิหนา้ ทีโ่ ดยทว่ั ไปของผคู้ วบคุมและผู้ประมวลผลขอ้ มูล
ผคู้ วบคมุ ขอ้ มูล
(Data Controller)
D1.1 ผู้ควบคุมข้อมูลจะประมวลผลข้อมูลส่วนบุคคลได้ตามขอบเขตที่ได้รับตามยินยอมหรืออาศยั
ฐานทางกฎหมายในการประมวลผลอนื่ ๆ ในการน้ีผ้คู วบคุมข้อมูลจะต้องมีมาตรการเชิงเทคนิค
(Technical Measure) และมาตรการเชิงบริหารจัดการ (Organizational Measure) เพ่ือ
ประมวลผลขอ้ มลู สว่ นบุคคลให้ถกู ต้องตามกฎหมาย
D1.2 ผู้ควบคมุ ข้อมลู จะตอ้ งแจ้งเจา้ ของข้อมูลเมื่อได้รบั ข้อมูลส่วนบุคคลไมว่ ่าจะไดร้ ับข้อมูลโดยตรง
จากเจ้าของข้อมูลหรือไดร้ ับข้อมลู จากแหลง่ อื่น และไม่ว่าจะอาศัยฐานทางกฎหมายใด (ทั้งที่
ประมวลผลข้อมลู บนฐานความยนิ ยอมหรือฐานอืน่ โดยทไ่ี มต่ อ้ งได้รับความยนิ ยอม)
(1) [การปฏิบัตติ ามสทิ ธิ] ท่านจะตอ้ งจัดเตรยี มขอ้ มลู และแจ้งขอ้ มลู เกย่ี วกบั การเก็บรวบรวม
และการใชข้ อ้ มลู ส่วนบคุ คลใหแ้ กเ่ จา้ ของขอ้ มลู โดยจะต้องแจ้งให้แกเ่ จา้ ของขอ้ มลู ขณะท่ีมี
การได้รับข้อมูลส่วนบุคคลนั้นทันทีที่ท่านได้รับข้อมูลส่วนบุคคล โดยข้อมูล
(information)96 ที่ท่านจะต้องจัดเตรียมให้แก่เจ้าของข้อมูลนั้นขึ้นอยูก่ ับแหล่งที่มาของ
ขอ้ มูล ดงั นี้
96 ขอ้ มลู (information) นี้เปน็ ขอ้ มูลทเี่ ก่ยี วข้องกบั ผคู้ วบคุมข้อมูลและรายละเอยี ดการประมวลผลข้อมลู ตามท่ีกฎหมาย
กำหนด ซ่ึงไมใ่ ชข่ อ้ มลู สว่ นบคุ คล (personal data)
104 Thailand Data Protection Guidelines 3.0
ข้อมลู ทีต่ อ้ งจดั เตรียม กรณไี ดร้ ับข้อมลู จาก กรณไี ด้รบั ข้อมูล
เจ้าของขอ้ มูล 97 จากแหลง่ อ่นื 98
ชือ่ และรายละเอียดการตดิ ตอ่ ขององค์กรทา่ น ✓
ชื่อและรายละเอยี ดการตดิ ต่อของตวั แทนผู้รบั ผดิ ชอบของท่าน ✓ ✓
ช่ือและรายละเอยี ดการติดตอ่ ผู้รับผิดชอบเกย่ี วกับการคุ้มครองข้อมูล ✓ ✓
ส่วนบุคคลหรือ (ถ้ามี) เจ้าหน้าที่คุ้มครองข้อมูล (Data Protection ✓ ✓
Officer) ของท่าน ✓
วัตถุประสงคใ์ นการประมวลผลขอ้ มลู ✓
ฐานทีช่ อบดว้ ยกฎหมายของการประมวลผลข้อมูล ✓
✓
- การปฏิบตั ิตามสัญญาหรอื การเข้าทำสัญญา ✓ ✓
- ความยนิ ยอมของเจา้ ของขอ้ มลู ✓ ✓
- หนา้ ท่ตี ามกฎหมาย ✓ ✓
- ประโยชน์สำคัญต่อชีวติ ✓ ✓
- ภารกิจของรฐั ✓ ✓
- การจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุม ✓
✓ ✓
ขอ้ มูล หรือบคุ คลอ่นื (legitimate interest): โดยจะต้องระบดุ ้วย ✓
ว่ามสี ิทธดิ กี ว่าสทิ ธเิ สรภี าพขัน้ พื้นฐานของเจ้าของข้อมลู อย่างไร ✓
ขอ้ มูลประเภทของข้อมูลสว่ นบคุ คลทไี่ ด้รับ ✓
บุคคลท่สี ามทเี่ ปน็ ผ้รู ับข้อมลู หรอื ประเภทของผูร้ ับข้อมูลสว่ นบคุ คล ✓
รายละเอียดการโอนขอ้ มลู สว่ นบคุ คลไปยงั บคุ คลทีส่ ามทีต่ า่ งประเทศ
หรอื องคก์ ารระหวา่ งประเทศ (ถา้ ม)ี
ระยะเวลาในการเกบ็ ข้อมูลส่วนบคุ คล
สิทธิตา่ งๆ ของเจา้ ของข้อมูลทม่ี ีเกยี่ วกบั การประมวลผลข้อมลู
การแจ้งสิทธใิ นการย่นื คำร้องทกุ ขต์ อ่ หนว่ ยงานกำกบั ดแู ล
แหลง่ ทมี่ าของข้อมูลสว่ นบคุ คล
รายละเอียดว่าเจ้าของข้อมลู มีหน้าทต่ี ามสัญญา หรือ ตามกฎหมายท่ี
จะตอ้ งใหข้ ้อมลู แกผ่ ูค้ วบคุมขอ้ มูลหรือไม่ (ถ้ามี)
รายละเอยี ดทเี่ กีย่ วขอ้ งกับการตัดสินใจอตั โนมัติ และโปรไฟล่ิง
(profiling) (ถา้ ม)ี
นโยบายความเป็นส่วนตวั (Privacy Policy) (ถา้ ม)ี 99
97 พระราชบัญญตั ิคมุ้ ครองขอ้ มูลส่วนบุคคล พ.ศ.2562 มาตรา 23
98 พระราชบญั ญตั คิ มุ้ ครองข้อมูลสว่ นบคุ คล พ.ศ.2562 มาตรา 25
99 นโยบายความเป็นส่วนตัวเปน็ นโยบายทวั่ ไปขององคก์ ร ซ่ึงอาจมีสว่ นที่ทับซ้อนกบั ส่งิ ท่ีตอ้ งแจ้งเม่อื มีการเก็บรวบรวม
ข้อมูล (Privacy Notice) ฉะน้นั ในการแจ้ง Privacy Notice น้ัน สามารถแจ้งดว้ ยการอา้ งอิงถงึ นโยบายความเปน็ สว่ นตวั
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวทิ ยาลยั 105
(2) [การปฏิบัติตามสิทธิ] ระยะเวลาในการแจ้งข้อมูลให้แก่เจ้าของข้อมูลนั้น แตกต่างกัน
ข้ึนอยูก่ บั สถานการณ์
(2.1) กรณไี ด้รบั ข้อมูลสว่ นบคุ คลจากเจ้าของข้อมลู ต้องแจ้งกอ่ นหรือขณะเก็บรวบรวม
ข้อมูลส่วนบุคคล (ทั้งนี้ การเก็บรวบรวมหมายถึงเก็บจากการที่เจ้าของข้อมูลให้
ดว้ ยตนเองโดยตรง และจากการสำรวจหรือสังเกตการณ์ (observation) เช่น Wi-
Fi-tracking, Sensor จบั สญั ญาณชพี จร ข้อมลู สขุ ภาพของเจ้าของข้อมูล, RFID)100
(2.2) กรณไี ดร้ บั ข้อมลู ส่วนบุคคลจากแหล่งอนื่ ตอ้ งแจ้งภายในระยะเวลาตามสมควร แต่
ตอ้ งไมเ่ กิน 30 วนั นับแต่วนั ทเี่ ก็บรวบรวม
(2.3) กรณีการใช้ข้อมูลเป็นไปเพือ่ การติดต่อสื่อสารกับเจ้าของข้อมูล ท่านจะต้องแจ้ง
อย่างชา้ เมอื่ มีการติดต่อสอ่ื สารครั้งแรก
(2.4) กรณีคาดหมายไดว้ ่าจะมีการเปดิ เผยข้อมูลส่วนบคุ คลดังกล่าวตอ่ บุคคลท่ีสาม ท่าน
จะต้องแจง้ อย่างชา้ เมอ่ื มีการเปดิ เผยขอ้ มูลดงั กลา่ วเปน็ คร้งั แรก
(2.5) เมื่อมีการเปลี่ยนแปลงของข้อมูล (information) ที่มีผลกระทบอย่างมีนัยสำคัญ
ต่อการประมวลผลท่ีเคยแจง้ ให้เจา้ ขอ้ งขอ้ มลู ทราบ อาทิ การเพิ่มขึ้นของบุคคลท่ี
อาจได้รับการเปิดเผยข้อมูลส่วนบุคคลอย่างมีนัยสำคัญแม้วา่ จะมีวัตถุประสงค์ใน
การเปดิ เผยตามที่เคยแจ้งไว้กต็ าม หรือ เปน็ การเพมิ่ ข้นั ตอนการประมวลผลข้อมูล
ขององคก์ รได้ (กรุณาดตู วั อยา่ ง Privacy Policy ส่วนต่อไป) ท้งั น้ี ลกั ษณะของ Privacy Policy จะเปน็ การอธิบาย
ภาพรวมของแนวทางในการจัดการและคมุ้ ครองขอ้ มลู สว่ นบุคคล แต่ลกั ษณะของ Privacy Notice จะเปน็ เอกสารท่ี
อธบิ ายรายละเอียดของกจิ กรรมแตล่ ะกิจกรรมหรอื โครงการหนึง่ ๆ ทที่ ำขึน้ ในเวลาหน่ึงๆ ในทางปฏบิ ัติ ท่านอาจพจิ ารณา
(1) จัดให้มี Privacy Policy เพยี งฉบบั เดียวทมี่ เี นื้อหาครอบคลมุ เน้อื หาของ Privacy Notice ทก่ี ฎหมายกำหนดใหม้ ีได้
แตอ่ าจเกดิ ปัญหาในทางปฏบิ ตั ิเม่อื มกี ารเปลยี่ นแปลงลกั ษณะสำคญั ของการประมวลผลข้อมลู ซึ่งต้องแจง้ เจา้ ของข้อมูลใน
ภายหลัง หรือ (2) จัดให้มี Privacy Policy โดยกำหนดเนือ้ หาหลกั การทว่ั ไป แล้วค่อยลงรายละเอียดแตล่ ะโครงการใน
Privacy Notice ซึ่งจะงา่ ยต่อการแก้ไขเอกสารเฉพาะจดุ และการแจ้งก็สามารถแจง้ เจา้ ของขอ้ มูลในหลักการทีแ่ จง้ ไปยงั
บุคคลที่จะถกู กระทบในภายภาคหนา้ มใิ ชแ่ จง้ ไปยงั บคุ คลเดมิ ท่อี าจมกี ารเปล่ยี นแปลงข้อมูลการตดิ ตอ่ ไปแลว้ นอกจากน้ี
โดยท่วั ไปแลว้ Privacy Notice หรือ Privacy Policy จะใชเ้ พอื่ อธิบายแนวทางการจัดการและคุม้ ครองข้อมลู ส่วนบคุ คล
ของบุคคลภายนอกองคก์ ร หากท่านประสงคจ์ ะใชบ้ งั คบั กับการจัดการคมุ้ ครองขอ้ มลู ส่วนบุคคลของพนักงาน ลกู จ้าง หรือ
บคุ ลากรภายในองคก์ ร ทา่ นอาจพิจารณาจดั ทำเป็นประกาศภายในแยกอีกฉบบั หน่งึ ทัง้ น้ี เน่ืองจากลักษณะโดยทวั่ ไปของ
การจัดการขอ้ มลู รวมถงึ อำนาจในการบังคบั บญั ชาระหว่างองคก์ รและลกู จ้าง กับ องคก์ รและบคุ คลภายนอก มคี วาม
แตกต่างกนั
100 Article 29 Data Protection Working Party (WP29) Guidelines on transparency under Regulation
2016/679 (wp260rev.01), para.26.
106 Thailand Data Protection Guidelines 3.0
อย่างมาก ทา่ นควรแจง้ ก่อนการมผี ลของการเปลยี่ นแปลงของขอ้ มลู น้ันๆ 101 หรือ
โดยเร็วท่ีสดุ
(3) [คำแนะนำ] ขอ้ มูลทจ่ี ัดเตรียมจะต้องชัดเจน โปรง่ ใส สามารถเขา้ ใจไดง้ ่าย อยใู่ นรูปแบบ
ที่เข้าถึงไดง้ ่าย ใช้ภาษาทีเ่ รียบง่าย โดยใช้เกณฑ์ของบุคคลทั่วไป (average person) ใน
การวัดความรู้ความเข้าใจในข้อมูลดังกล่าว ทั้งนี้ ท่านอาจพิจารณาแจ้งข้อมูลดังกล่าว
ให้แก่เจ้าของข้อมูลด้วยวิธีต่างๆ ดังนี้ (ดูรายละเอียดเพิ่มเติมเรื่องความยินยอมในแนว
ปฏบิ ัตเิ ก่ยี วกบั ฐานในการประมวลผลขอ้ มูลส่วนบุคคล)
(3.1) นำข้อมูลเผยแพร่ในเว็บไซต์ของท่าน โดยควรกำหนดให้มีสัดส่วน สีสัน ตำแหน่ง
ของขอ้ มูลทช่ี ดั เจน ใหเ้ จา้ ของข้อมูลสามารถเข้าถงึ ข้อมูลไดง้ า่ ย
(3.2) ใช้วธิ ีนำเสนอขอ้ มลู แบบเปน็ ช้ัน (layered approach) โดยอาจกำหนดหัวข้อหลัก
หรอื ใจความสำคญั ของข้อความตา่ งๆเปน็ ขอ้ มูลชัน้ แรก (first layer)102 ใหช้ ดั เจน
และงา่ ยต่อการทำความเข้าใจ และใหแ้ ยกส่วนของรายละเอียดเพิ่มเติมไว้เป็นอีก
ส่วนหนึ่งซึ่งจัดเตรียมไว้สำหรับเฉพาะเจ้าของข้อมูลที่สนใจรายละเอียดเพิ่มเติม
(more details) หรือข้อมูลชั้นที่สอง (second layer) ที่สามารถกดเข้าไปดูอีก
ชนั้ หนึง่ ได้ และอาจกำหนดให้ข้อมูลดงั กล่าวปรากฏขึ้นเป็น pop-up เมื่อเจ้าของ
ขอ้ มูลกำลังกรอกขอ้ มลู สว่ นบคุ คลในแบบฟอร์มออนไลน์ได้
(3.3) การใช้ไอคอน (icons) โดยอาจทำเป็นสัญลักษณ์บางประการให้ง่ายต่อการ
มองเห็นและง่ายต่อความเข้าใจ สื่อความหมายชัดเจน ทั้งนี้ ไม่ควรเลือกใช้วิธีน้ี
เพียงวิธีเดียว เพราะอาจถูกโต้แย้งเรื่องความชัดเจนในข้อมูลที่เปิดเผยให้แก่
เจ้าของขอ้ มูลได้
(3.4) การแจ้งเตอื นผ่านแอปพลเิ คชันสำหรับโทรศพั ทม์ ือถือหรอื อุปกรณอ์ ัจฉรยิ ะ
(3.5) การแจ้งขอ้ มลู ดว้ ยแชทบอท (chatbot)
101 Article 29 Data Protection Working Party (WP29) Guidelines on transparency under Regulation
2016/679 (wp260rev.01), para.30.
102 ขอ้ มลู ชั้นแรกควรประกอบดว้ ยรายละเอยี ดเก่ียวกบั วัตถุประสงค์ของการประมวลผล รายละเอียดวา่ ใครเป็นผู้ควบคุม
ข้อมูล คำอธิบายเบื้องต้นเก่ียวกับสิทธขิ องเจ้าของข้อมูล และข้อมูลเกี่ยวกับการประมวลผลข้อมูลที่เจา้ ของข้อมูลสว่ น
บุคคลอาจคาดหมายไม่ได้หรือประเด็นอื่นที่สำคัญที่เจ้าของข้อมูลส่วนบุคคลควรได้ทราบก่อน, see Article 29 Data
Protection Working Party (WP29) Guidelines on transparency under Regulation 2016/679 (wp260rev.01),
paras.35-36.
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวทิ ยาลยั 107
(3.6) สื่อ VDO หรือคลิปเสียงที่อธิบายข้อมูล (information) (อาจใช้สำหรับกรณีผู้
พิการทางสายตา)
(3.7) QR Code ทเ่ี มอ่ื สแกนแลว้ จะนำไปยังข้อมลู (information) ทต่ี ้องการแจ้ง
ตัวอยา่ งของข้อมูลทช่ี ดั เจนสามารถเขา้ ใจได้ง่าย เช่น
❖ “เราจะเกบ็ และประเมินข้อมูลทีเ่ กยี่ วกับการเข้าเยย่ี มชมเวบ็ ไซต์ของทา่ น และความเคล่อื นไหวในการเข้าถึงแต่
ละสว่ นของเวบ็ ไซต์ของเราเพือ่ วัตถปุ ระสงค์ในการวิเคราะห์ ใหเ้ ขา้ ใจพฤติกรรมในการใช้บริการในเว็บไซต์ของผู้
เย่ียมชม และเราจะได้นำผลการศึกษาดังกล่าวไปพัฒนาและปรับปรุงให้การใช้งานเว็บไซต์ของเราง่ายและมี
ประสทิ ธภิ าพมากขึ้น”
❖ “เราจะจัดเก็บข้อมลู ประวัติการซื้อสินคา้ และใช้รายละเอียดของสินค้าท่ที ่านซ้ือเพ่ือประมวลผลและเสนอสินค้า
ทีเ่ ราเช่ือว่าทา่ นสนใจเพ่มิ เติม”
หมายเหตุ: เนื้อความของข้อมูล ไม่ควรใช้คำว่า “อาจ” “บางครั้ง” “มีความเป็นไปได้ว่า” ซึ่งแสดงให้เห็นถึงความไม่
ชัดเจนและคลุมเครือของเนื้อหา และข้อความควรใช้ประโยคในลักษณะ active มากกว่า passive เพื่อมิให้ข้อความมี
ความฟุ่มเฟอื ยเกนิ ไป
ในกรณที ม่ี ีการแจ้งการเปลย่ี นแปลงของข้อมูลตามข้อ (2.5) ทา่ นจะตอ้ งแจ้งผลกระทบท่ีอาจเกิดข้ึนจากความ
เปลยี่ นแปลงดงั กล่าวใหเ้ จา้ ของขอ้ มูลทราบดว้ ย 103 นอกจากการแจ้งข้อมูลที่เปลย่ี นแปลงไปแลว้ นน้ั ท่านอาจพิจารณาให้
มกี ารแจง้ หรือ link สำหรบั รายละเอียดข้อมลู เดมิ ทีไ่ มไ่ ด้เปลยี่ นแปลงและทา่ นเคยแจ้งเจ้าของข้อมูลไว้แลว้ เพ่ือให้เจ้าของ
ข้อมลู ทบทวนอกี ครัง้ หน่ึง 104
ตัวอย่างข้อความแจ้งเมือ่ ใช้กลอ้ งวงจรปิด
การแจง้ เจ้าของขอ้ มูลถงึ การประมวลผลข้อมูลส่วนบคุ คลในกรณขี องการเกบ็ ขอ้ มูลโดยกล้องวงจรปิดจะต้องทำก่อนหรือ
ขณะเกบ็ รวบรวมข้อมูล จงึ จะตอ้ งจดั ทำป้ายหรือประกาศเพื่อให้เจา้ ของขอ้ มูลเห็นได้ง่าย แตห่ ากแจง้ ขอ้ มูลท้ังหมดตามท่ี
กฎหมายกำหนดจะทำใหป้ ้ายหรือประกาศมขี นาดใหญจ่ นเกินไปหรือหากป้ายมขี นาดเล็กก็จะทำใหข้ อ้ มูลเหล่าน้ันไม่อาจ
เห็นไดง้ า่ ย ข้อแนะนำในกรณนี จ้ี ึงควรใช้การนำเสนอข้อมลู เปน็ ชั้นๆ (layered approach) โดยกรณนี ีส้ ามารถแบ่งข้อมูล
ไดเ้ ป็น 2 ชัน้ สำหรบั ชนั้ แรก (first layer) ซ่งึ เปน็ ขอ้ มูลสำคญั และควรเป็นป้ายเตือนทีเ่ ห็นได้ชัดก่อนที่จะเข้าสู่บริเวณที่มี
การใช้กล้องวงจรปิด ประกอบด้วยข้อมูลที่แสดงให้เห็นว่าใครเปน็ ผู้ควบคุมข้อมูล หรือตัวแทน (ถ้ามี) ข้อมูลการติดต่อ
เจ้าหน้าทีค่ ุ้มครองข้อมูลส่วนบคุ คล (ถ้ามี) วัตถุประสงค์และฐานทางกฎหมายในการใช้กล้องวงจรปิด สิทธิของเจ้าของ
103 Article 29 Data Protection Working Party (WP29) Guidelines on transparency under Regulation
2016/679 (wp260rev.01), para.31.
104 Article 29 Data Protection Working Party (WP29) Guidelines on transparency under Regulation
2016/679 (wp260rev.01), para.56.
108 Thailand Data Protection Guidelines 3.0
ข้อมูลสว่ นบคุ คลโดยย่อ ส่วนขอ้ มลู ชน้ั ทสี่ อง (second layer)105 จะเปน็ ข้อมลู เพ่มิ เติมซึง่ เปน็ ข้อมูลนอกเหนือจากข้อมูล
ในช้ันแรก ทง้ั นี้ ควรจัดไว้ในทท่ี ่สี ามารถเขา้ ถึงไดโ้ ดยงา่ ย เช่น โต๊ะประชาสัมพนั ธข์ องอาคาร ข้อมูลในเวบ็ ไซตท์ จ่ี ดั ให้มีลงิ้ ก์
เข้าถึงได้จากป้ายหรืออาจจัดให้มีการสแกนบาร์โค้ดเพื่อเข้าถึงข้อมูลดังกล่าวได้ 106 ตัวอย่างป้ายอาจมีลักษณะ
ดงั ต่อไปน้ี107
ทม่ี า: European Data Protection Board, Guidelines 3/2019 on processing of personal data
through video devices Version 2.0 adopted 29 Jan 2020, para. 111-115, 117
(4) [กรณีที่ไม่ต้องแจ้งเจ้าของข้อมูล] ในกรณีต่อไปนี้ ท่านอาจไม่แจ้งข้อมูลให้แก่เจ้าของ
ขอ้ มลู (information) ได้
(4.1) กรณีไดร้ ับข้อมลู สว่ นบคุ คลจากเจ้าของขอ้ มลู 108
- เมอื่ เจา้ ของข้อมลู มีข้อมูลดงั กลา่ วอยแู่ ลว้
105 ส่วนตวั อย่างของขอ้ มูลชั้นท่สี อง อาจพจิ ารณาจากลกั ษณะและเนอื้ หาของตวั อยา่ งขอ้ ความแจ้ง (privacy notice) ที่จะ
ได้อธบิ ายในส่วนต่อไป
106 European Data Protection Board, Guidelines 3/2019 on processing of personal data through video
devices Version 2.0 adopted 29 Jan 2020, para. 111-115, 117.
107 Adapted from the example found in European Data Protection Board, Guidelines 3/2019 on processing
of personal data through video devices Version 2.0 adopted 29 Jan 2020, para. 116.
108 พระราชบญั ญัตคิ ุม้ ครองข้อมลู สว่ นบคุ คล พ.ศ.2562 มาตรา 23
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณ์มหาวทิ ยาลยั 109
(4.2) กรณไี ด้รับข้อมูลสว่ นบุคคลจากแหลง่ อน่ื 109
- เม่ือเจ้าของข้อมลู มขี อ้ มลู ดงั กลา่ วอยแู่ ล้ว
- เมือ่ ทา่ นพสิ จู นไ์ ด้วา่ การแจง้ วัตถุประสงค์ใหมห่ รอื ข้อมลู ดงั กล่าวไม่สามารถ
กระทำได้ 110 หรือเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล
โดยเฉพาะอย่างยิ่งเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ การวิจัยทาง
วทิ ยาศาสตร์ ประวตั ศิ าสตร์ หรอื ทางสถติ ิ
ตวั อย่าง
❖ ท่านเป็นโรงพยาบาลขนาดใหญ่ที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลของคนไข้เป็นจำนวนมาก และต้องเก็บ
ข้อมูลส่วนบคุ คลของญาตหิ รือผตู้ ิดต่อใกล้ชิด (next-of-kin) อนั จะเหน็ ได้ว่า มจี ำนวนขอ้ มูลเป็นจำนวนมากการ
ท่ีจะแจง้ ขอ้ มลู (information) ใหแ้ ก่ญาติหรือผูต้ ิดต่อใกล้ชิด (เจ้าของข้อมลู ) ทุกรายจงึ เป็นอุปสรรคอย่างมาก
และไมไ่ ด้สดั สว่ น ท้งั ที่โอกาสทจี่ ะใชข้ อ้ มลู เหล่านเ้ี กดิ ไดน้ อ้ ยเพราะมักจะได้ใช้ข้อมูลเหล่านใ้ี นกรณีฉุกเฉินเท่าน้ัน
จึงเขา้ ข้อยกเวน้ ในข้อน้ี
- เมื่อเป็นการเก็บรวบรวมหรือเปิดเผยข้อมูลส่วนบุคคลโดยเร่งด่วนตามท่ี
กฎหมายกำหนด 111
109 พระราชบัญญตั ิคมุ้ ครองขอ้ มลู ส่วนบคุ คล พ.ศ.2562 มาตรา 25 วรรคสอง: มีข้อพงึ ระวงั ว่าบทบัญญัตแิ หง่ มาตรานีห้ าก
ไม่อ่านประกอบกันกบั บทบญั ญัตอิ น่ื ๆท้งั ฉบบั เพอื่ ใหส้ อดคลอ้ งกับหลกั การค้มุ ครองขอ้ มูลสว่ นบุคคล อาจทำให้เข้าใจไปว่า
เฉพาะกรณที ่ีขอ้ มูลสว่ นบคุ คลได้รบั มาจากแหลง่ อ่ืนโดยทไ่ี ม่ต้องรับความยินยอมตามมาตรา 25 วรรคหนง่ึ (1) เท่าน้ันจึง
จะบังคับให้ต้องแจ้งตามมาตรานี้ อย่างไรก็ดี การรับข้อมูลมาจากแหล่งอืน่ ตามมาตรา 25 วรรคหนึ่ง (2) ก็จะต้องแจ้ง
เจา้ ของขอ้ มลู เชน่ เดียวกัน เว้นแต่จะเข้าข้อยกเว้นตามวรรคสอง หากตคี วามเป็นว่าเฉพาะมาตรา 25 วรรคหน่ึง (1) เทา่ นัน้
ที่จะต้องแจง้ เจ้าของข้อมลู กจ็ ะขัดกับเจตนารมณ์ของกฎหมาย และทำใหม้ าตรา 25 วรรคสองซ่ึงเป็นขอ้ ยกเว้นหนา้ ที่ไม่มที ี่
ใช้ เพราะจะมขี อ้ ยกเวน้ อยแู่ ลว้ ในมาตรา 25 วรรคหนงึ่ (2) ดงั น้นั จงึ เป็นไปไม่ได้ทีจ่ ะตคี วามไปในทางท่ีทำให้ข้อยกเว้นมี
ความย่งุ เหยิงและใหผ้ ลประหลาด
บทบัญญตั ิตามมาตรานี้จึงหมายความวา่ ข้อมูลที่รับมาจากแหล่งอื่นแม้จะอาศัยฐานทางกฎหมายประการอ่นื ท่ไี มใ่ ช่
ความยนิ ยอม ผู้ควบคมุ ข้อมูลก็ต้องมหี น้าท่แี จ้งเจ้าของขอ้ มูล อยา่ งไรก็ดี ขอ้ ยกเว้นตามมาตรา 25 วรรคสอง ก็ครอบคลุม
เพียงพอแลว้ สำหรับผู้ควบคมุ ข้อมลู เพราะหากเปน็ ภาระมากเกนิ ควรหรอื เป็นอุปสรรคอย่างมากในการประมวลผลข้อมลู ผู้
ควบคุมขอ้ มลู ย่อมไดร้ ับยกเวน้ ตามมาตรา 25 วรรสอง (2)
110 GDPR ซง่ึ เปน็ ต้นแบบของมาตราน้ียงั กำหนดข้อยกเว้นกรณีไม่อาจทำได้ (impossible) ขยายไปถงึ กรณีทกี่ ารแจง้ น้นั
จะกอ่ ใหเ้ กดิ ภาระอนั เกินสมควรแกผ่ ้คู วบคมุ ขอ้ มลู ด้วย (disproportionate effort)
111 GDPR ซึ่งเป็นต้นแบบของมาตรานี้ใช้ถอ้ ยคำว่า “... expressly laid down in law…” ซึ่งน่าจะแปลว่าการเปิดเผย
ข้อมูลนั้นได้กำหนดไว้โดยกฎหมายอย่างชัดแจ้ง ซึ่งน่าจะสันนิษฐานได้ว่าบุคคลทั่วไปน่าจะต้องรู้ถึงการเปิดเผยข้อมูล
110 Thailand Data Protection Guidelines 3.0
ตวั อยา่ ง
❖ กรมสรรพากรเรียกข้อมูลรายได้ของลูกจ้างจากท่าน และท่านจำเป็นต้องให้ข้อมูลแก่กรมสรรพากรเพื่อการ
สอบสวนตามกฎหมายต่อไป ดงั น้นั กรมสรรพากรจึงไมจ่ ำเป็นต้องแจง้ ขอ้ มูล (information) ให้แก่เจา้ ของข้อมูล
แต่อยา่ งใด
❖ ทา่ นเปน็ สถาบันการเงนิ มหี นา้ ท่ตี อ้ งรายงานสำนักงานป้องกันและปราบปรามการฟอกเงินสำหรบั ธุรกรรมทม่ี เี หตุ
อันควรสงสัย ซึง่ รวมถึงขอ้ มูลสว่ นบุคคลของบุคคลทตี่ อ้ งสงสยั ดังกลา่ ว ดงั น้ัน สำนักงาน ปปง. ไมจ่ ำเปน็ ตอ้ งแจ้ง
ขอ้ มูล (information) ให้แก่เจ้าของข้อมูลทีต่ ้องสงสยั ว่ากระทำผิดแต่อย่างใด
- เมื่อท่านมีหน้าที่จะต้องรักษาความลับตามกฎหมายที่คุ้มครองเกี่ยวกับ
ข้อมูลสว่ นบุคคลน้ัน เนอื่ งมาจากการล่วงรู้ข้อมลู ส่วนบุคคลจากหน้าที่หรือ
การประกอบอาชีพ และจะตอ้ งรกั ษาวตั ถปุ ระสงคใ์ หมห่ รือรายละเอียดของ
ขอ้ มูล (information) ไวเ้ ปน็ ความลบั ตามทีก่ ฎหมายกำหนด
ตวั อยา่ ง
❖ แพทยไ์ ดร้ ับข้อมูลโรคประจำตัวของญาติของผู้ป่วย เพื่อวิเคราะห์อาการของโรคของผู้ป่วย ดังนั้น แม้ญาติเปน็
เจ้าของขอ้ มลู โรคประจำตวั กต็ าม แตก่ ารลว่ งรูข้ อ้ มูลดังกล่าว เกิดจากการประกอบอาชพี แพทย์ ดงั นน้ั แพทย์จึง
ไม่จำเปน็ ตอ้ งแจง้ ขอ้ มูล (information) ให้แกเ่ จ้าของขอ้ มลู แตอ่ ย่างใด
หมายเหตุ: การกำหนดข้อยกเว้นทีไ่ ม่ต้องแจ้งเจ้าของข้อมูลตามข้อ (4.2) นี้ มีเหตุผลมาจากการแจ้งหรอื เก็บข้อมลู จาก
เจา้ ของขอ้ มลู โดยตรงนั้นกระทำไดย้ าก และอาจทำให้การปฏบิ ัตภิ ารกจิ ตามข้อยกเว้นนน้ั ไม่มีประโยชน์เลยหากต้องแจ้ง
ข้อมลู นั้นแก่เจา้ ของข้อมูล
(5) [แนวปฏิบัติที่ดี] ท่านอาจพิจารณาจัดให้มีขั้นตอนเพิ่มเติมดังต่อไปนี้ เพื่อให้เกิดแนว
ปฏิบัติท่ีดี
(5.1) จัดให้มีการสอบถามลูกค้าท่ีเป็นเจ้าของข้อมูลเพ่ือประเมินศักยภาพและให้ความ
คิดเหน็ เก่ยี วกบั ระบบการแจ้งข้อมลู เก่ียวกับความเปน็ สว่ นตัว (information)
(5.2) ตรวจสอบความถูกต้องของข้อมูลเก่ยี วกับความเป็นส่วนตวั (information) อย่าง
สม่ำเสมอ
ดังกล่าวอยู่แลว้ จึงไม่ต้องแจ้งเจ้าของขอ้ มูลส่วนบุคคลอีก ความในมาตรานีจ้ ึงน่าจะเกิดจากการแปลคลาดเคลือ่ น แม้ไม่
เปน็ การเร่งดว่ นกส็ ามารถเข้าขอ้ ยกเวน้ ขอ้ นไี้ ด้
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณม์ หาวทิ ยาลยั 111
(5.3) นอกจากข้อมูลที่ต้องแจ้งตามตารางข้างต้นแล้ว ท่านอาจพิจารณาระบุถึง
ผลกระทบที่สำคัญที่อาจเกิดขึ้นต่อสิทธิขั้นพื้นฐานของเจ้าของข้อมูลจากการ
ประมวลผลขอ้ มูลเพื่อวตั ถปุ ระสงค์บางประเภท 112
(5.4) ข้อมูล (information) ควรปรากฏอยู่ในที่เดียวกันกับที่ที่ท่านจะเก็บรวบรวม
ข้อมูลส่วนบุคคล 113 และควรจัดทำเป็นเอกสารฉบับเดียวกัน หรือ รวมอยู่ใน
ตำแหนง่ เดียวกัน 114
(5.5) กรณีที่ท่านดำเนินการประมวลผลข้อมูลหรือเก็บรวบรวมด้วยช่องทางออนไลน์
การแจ้งข้อมูล (information) ก็ควรจะอยู่ในรูปแบบออนไลน์เช่นเดียวกัน อาทิ
การใช้ layered approach 115
D1.3 ผู้ควบคุมข้อมูลจะต้องมีมาตรการเชิงเทคนิคและเชิงบริหารจัดการเพื่อรักษาความมั่นคง
ปลอดภัยในการประมวลผลข้อมูลส่วนบุคคลที่เหมาะสมกับความเสี่ยง 116 (รายละเอียดดสู ว่ น
M แนวปฏิบตั ิสำหรบั ฝ่ายเทคโนโลยสี ารสนเทศ)
(1) [แนวทางเบ้อื งต้น] ผคู้ วบคมุ ข้อมูลจะต้องพจิ ารณาถงึ ความเสี่ยง ความเปน็ ไปได้ รวมถึง
ความร้ายแรงที่จะส่งผลกระทบต่อสิทธิเสรีภาพของเจ้าของข้อมูล โดยอาจใช้มาตรการ
รักษาความมัน่ คงปลอดภยั ดังตอ่ ไปนตี้ ามที่เห็นวา่ เหมาะสมกับลักษณะของข้อมลู และการ
ประมวลผล
(1.1) การแฝงข้อมูล (pseudonymization) หรอื การเข้ารหัส (encryption)
(1.2) ความสามารถในการรักษาความลับ ความถูกต้องและแท้จริง ความพร้อมใช้งาน
และการพรอ้ มรับมือต่อการเปลีย่ นแปลงต่างๆ ของระบบหรือบรกิ ารประมวลผล
(1.3) ความสามารถท่ีจะทำใหค้ วามพร้อมและใช้งานและเข้าถงึ ข้อมูลส่วนบคุ คลกลับสู่
สภาพทใ่ี ช้งานได้ทันท่วงทีเมื่อมเี หตขุ ดั ข้องทางกายภาพหรือทางเทคนคิ
112 Article 29 Data Protection Working Party (WP29) Guidelines on transparency under Regulation
2016/679 (wp260rev.01), para.10.
113 Id., para.11.
114 Id., para.17.
115 Id., para.24.
116 พระราชบญั ญตั คิ มุ้ ครองข้อมลู สว่ นบคุ คล พ.ศ.2562 มาตรา 37(1)
112 Thailand Data Protection Guidelines 3.0
(1.4) กระบวนการตามปกติในการทดสอบ ประเมิน และวัดผลประสิทธิภาพของ
มาตรการเชิงเทคนิคและเชิงบรหิ ารจัดการเพื่อสร้างความมั่นคงปลอดภัยในการ
ประมวลผล
ตัวอยา่ ง
❖ บริษทั เกบ็ ข้อมูลไวบ้ นเซิรฟ์ เวอรค์ ลาวด์ โดยข้อมูลประกอบด้วยสำเนาบัตรประชาชนของลกู ค้า แต่ต้ังคา่ ให้เขา้ ถงึ
ได้โดยบุคคลทั่วไป (public access) นับว่าเป็นการขาดมาตรการในการรักษาความมั่นคงปลอดภัยในการ
ประมวลผลข้อมลู ท่ีอาจเปน็ การฝา่ ฝนื กฎหมาย
❖ บริษัทไม่มีมาตรการทำลายเอกสารทำให้เอกสารที่มีข้อมูลส่วนบุคคลจำนวนมากขายไปยังผู้รับซื้อกระดาษ
สุดท้ายขอ้ มูลส่วนบุคคลไปปรากฏบนกระดาษท่ใี ช้ไปพบั ถุงใส่อาหารจำหน่าย
(2) [มาตรการภายใน] ผู้ควบคุมข้อมูลจะต้องมีมาตรการเพื่อควบคุมบุคคลธรรมดาซึ่ง
ปฏิบัติงานภายใต้อำนาจของผู้ควบคุมข้อมูลและเข้าถึงข้อมูลได้ ให้บุคคลนั้นไม่
ประมวลผลข้อมูลโดยปราศจากคำส่งั หรอื ขอ้ กำหนดของผู้ควบคุมข้อมูล
(3) [ข้อแนะนำ] ผู้ควบคุมข้อมูลควรต้องมีการเตรียมพร้อมไว้เพื่อให้เกิดการบริหารจัดการ
เมื่อเกิดเหตุการณ์ฝ่าฝืนมาตรการรักษาความมั่นคงปลอดภัย (information security
incident management) ซงึ่ มีหลักการและข้นั ตอนเบ้ืองตน้ ดงั นี้ 117
117 ปรับจากแนวทางท่ีกำหนดไว้ในมาตรฐาน ISO/IEC 27035:2016, ISO/IEC 27002:2013 และ ISO/IEC 27701:2019
ศนู ยว์ จิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวิทยาลยั 113
Prapare • กําหนดนโยบายหรอื แผนเพอ่ื เตรียมพรอ้ มรับมอื กับเหตุการณ์ดังกลา่ ว
• กําหนดตวั ผูร้ ับผิดชอบ (incident response team)
Identify • ระบุประเภทหรือลักษณะของเหตกุ ารณ์ดังกล่าววา่ มกี ารฝ่าฝืนมาตรการรกั ษาความม่ันคง
ปลอดภัยอยา่ งไร (security breach)
• รายงานเหตกุ ารณท์ ่ีเกิดขึน้ ไปยังบคุ คลทเ่ี กยี่ วขอ้ ง ในกรณีท่ีมีข้อมูลสว่ นบุคคลร่ัวไหลหรือถกู
ละเมดิ จะตอ้ งพิจารณาหนา้ ทแ่ี จง้ ตามกฎหมาย
• ประเมินความเสียหายและหาแนวทางที่จะดําเนนิ การแกไ้ ขตอ่ ไป
Assess • ตัดสนิ ใจเพ่ือเลอื กมาตรการทจ่ี ะใช้รับมือเหตกุ ารณ์ดังกล่าว
Respond • สืบเสาะทมี่ าของปญั หา ระบจุ ุดออ่ น (vulnerability) ท่ีทาํ ใหเ้ กดิ เหตกุ ารณ์
• แกไ้ ขปญั หาโดยอาจเพ่ิมมาตรการรักษาความมน่ั คงปลอดภยั หรืออดุ ชอ่ งโหวข่ องระบบ
(patching)
• เรยี นร้จู ากเหตุการณท์ ่เี กดิ ขน้ึ เพ่อื พิจารณาความเสีย่ งในอนาคต
Learn • มีแนวทางเพื่อเพิม่ มาตรการในการรกั ษาความม่นั คงปลอดภัยท่ีรัดกมุ ข้ึน
D1.4 ผู้ควบคมุ ข้อมลู จะตอ้ งแจง้ เหตุแกผ่ กู้ ำกับดูแลหรือเจ้าของข้อมูลเม่ือมีข้อมูลส่วนบุคคลร่ัวไหล
(data breach) 118
(1) [ความหมาย] กรณีข้อมูลส่วนบุคคลรั่วไหลมีความหมายกว้างครอบคลุมการทีข่ ้อมูลถูก
ทำลาย การสญู หาย การแก้ไขเปลีย่ นแปลง การเปิดเผย หรอื การเขา้ ถึง สง่ ต่อ เก็บรักษา
118 พระราชบัญญัตคิ ุ้มครองข้อมูลสว่ นบุคคล พ.ศ.2562 มาตรา 37(4)
114 Thailand Data Protection Guidelines 3.0
หรือถูกประมวลผลอย่างอื่นไม่ว่าจะเกิดจากการกระทำอันมิชอบด้วยกฎหมายหรอื โดย
อบุ ตั ิเหตุ 119
ตวั อย่าง
❖ อุปกรณท์ ี่เก็บฐานขอ้ มลู ของลูกคา้ สญู หายหรือถูกขโมยไป
❖ ขอ้ มูลถกู ผูท้ ไี่ ม่ไดร้ ับอนุญาตลบไป
❖ กุญแจ (key) สำหรับการถอดรหัส (decryption) ของข้อมูลที่ได้เข้ารหัส (encrypted) ไว้ได้สูญ
หายไป ทำให้เข้าถึงขอ้ มลู ไม่ได้
❖ การถูกโจมตดี ว้ ย DoS ทำใหร้ ะบบไมส่ ามารถเขา้ ถึงขอ้ มูลส่วนบคุ คลได้
❖ การถกู โจมตีด้วย ransomware ทำให้เขา้ ถึงข้อมลู ไมไ่ ด้
❖ ใบแจ้งหน้ขี องธนาคารของลกู ค้ารายหนึ่งไดส้ ง่ ไปยังลูกค้าอกี รายหนึ่ง
(2) [หน้าที่แจ้งต่อผู้กำกับดูแล] ผู้ควบคุมข้อมูลมีหน้าที่แจ้งกรณีข้อมูลส่วนบุคคลรั่วไหล
ภายใน 72 ชว่ั โมงนบั แตไ่ ด้ทราบ เวน้ แต่เหตุทเี่ กิดนัน้ ไม่นา่ จะกอ่ ใหเ้ กิดความเสยี่ งใดๆ ต่อ
สทิ ธแิ ละเสรภี าพของเจา้ ของขอ้ มูล กรณที ีไ่ ม่อาจแจง้ เหตุไดภ้ ายใน 72 ช่วั โมง ผู้ควบคุม
จะตอ้ งแจง้ เหตผุ ลแหง่ การแจ้งเหตุล่าชา้ ดว้ ย ขอ้ มูลทตี่ อ้ งแจง้ มดี งั ต่อไปนี้
(2.1) คำอธิบายลักษณะของการละเมดิ ข้อมลู หรือข้อมูลรั่วไหล ประเภทของข้อมูลและ
จำนวนเจ้าของข้อมูลทไี่ ด้รับผลกระทบโดยประมาณ และปริมาณขอ้ มูลที่เกี่ยวขอ้ ง
(2.2) ชอ่ื หรือขอ้ มูลติดต่อสำหรับการตดิ ตอ่ สอบถามข้อมูลเพมิ่ เตมิ
(2.3) คำอธิบายผลทีอ่ าจจะเกดิ ข้นึ ได้จากเหตุการณด์ งั กล่าว
(2.4) คำอธิบายขั้นตอนกระบวนการในการรับมือเหตุการณด์ ังกล่าวเพ่ือลดหรือป้องกนั
ผลรา้ ยทอี่ าจจะเกดิ ข้นึ
119 ลกั ษณะของการละเมิดข้อมูลหรือข้อมลู รั่วไหล (Data Breach) อาจแบง่ ออกได้เปน็ 3 ลกั ษณะ ไดแ้ ก่
- การละเมิดความลับของข้อมูล (Confidentiality Breach) ซึง่ หมายถึง การเขา้ ถงึ หรอื การเปดิ เผยขอ้ มลู ส่วนบุคคล
โดยไมไ่ ด้รับอนุญาตหรือโดยอบุ ตั ิเหตุ
- การละเมิดความถูกต้องแท้จริงของข้อมลู (Integrity Breach) ซึง่ หมายถงึ การแกไ้ ขเปลยี่ นแปลงข้อมลู สว่ นบคุ คลโดย
ไม่ไดร้ ับอนญุ าตหรอื โดยอบุ ตั ิเหตุ และ
- การละเมิดความพรอ้ มใชง้ าน (Availability Breach) ซ่งึ หมายถงึ การทำใหเ้ ข้าถงึ ขอ้ มลู ไมไ่ ดห้ รือการทำให้ข้อมูลสูญ
หายหรอื ทำลายไป ไม่ว่าโดยการกระทำโดยไม่ไดร้ บั อนญุ าตหรือโดยอุบัตเิ หตุ, see Article 29 Working Party,
Guidelines on Personal data breach notification under Regulation 2016/679 (wp250rev.01)
ศูนยว์ จิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จุฬาลงกรณ์มหาวทิ ยาลยั 115
ตัวอย่าง 120
❖ ระบบสารสนเทศของบริษัทหยุดทำงานไม่สามารถเข้าถึงข้อมูลใดๆ ได้เป็นเวลาหลายชั่วโมง
เนื่องจากไฟดบั ผลมีเพียงว่าทำให้การส่งจดหมายข่าวไปยังสมาชกิ ขัดข้องไม่อาจทำได้ กรณีนี้เป็น
กรณที ่ีเหตุทเ่ี กิดไม่น่าจะกอ่ ให้เกิดความเสี่ยงใดๆ ตอ่ สิทธิและเสรภี าพของเจ้าของข้อมูล จึงไม่ต้อง
แจ้งตอ่ ผกู้ ำกับดูแล
❖ ระบบของบริษทั ติด ransomware ทำให้ข้อมลู ของลกู ค้าถกู เข้ารหัสไว้ทำใหไ้ มส่ ามารถเข้าถึงข้อมูล
ได้ในชั่วระยะเวลาหนึ่ง แม้ข้อมูลจะกูก้ ลับมาไดจ้ ากข้อมูลสำรอง (backup) แต่ปรากฏว่ายังมีการ
โจมตีระบบอยา่ งตอ่ เนอ่ื ง ในกรณนี ้ีแสดงให้เห็นถึงความเส่ียงตอ่ สิทธิเสรีภาพของเจ้าของข้อมลู เป็น
กรณที ตี่ อ้ งแจ้งผกู้ ำกบั ดแู ลถึงเหตุดังกลา่ ว
❖ กรณีท่ีขอ้ มูลทีร่ ัว่ ไหลไปเป็นข้อมูลทเี่ ขา้ ถึงได้โดยสาธารณะอยู่แล้ว (publicly available) เป็นกรณี
ทไ่ี มน่ ่าจะก่อใหเ้ กิดความเส่ียงใดๆ ต่อสทิ ธิและเสรีภาพของเจา้ ของข้อมลู จึงไม่ต้องแจ้งต่อผู้กำกับ
ดูแล
❖ อุปกรณ์ทไี่ ดเ้ ข้ารหสั ไว้มีขอ้ มูลลูกคา้ ไดส้ ูญหายไป บริษัทสามารถพิสจู น์ได้วา่ กญุ แจเขา้ รหัสได้ถูกเก็บ
รกั ษาไว้อยา่ งดี และข้อมูลลูกคา้ ชุดดงั กล่าวไมใ่ ชข่ อ้ มลู ชดุ เดียวท่ีมีการเก็บรักษาไว้ ข้อมูลดงั กลา่ วไม่
มีทางท่ีจะเข้าถึงได้โดยบคุ คลอื่นทไี่ ม่มอี ำนาจ กรณดี ังกล่าวยอ่ มเปน็ กรณีทนี่ ่าจะไม่ก่อให้เกิดความ
เสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล จึงไม่ต้องแจ้งผู้กำกับดูแล แต่ถ้าต่อมาปรากฏว่ากุญแจ
เขา้ รหัสสญู หายไปหรอื ถูกเจาะขอ้ มลู ไปหรือการเข้ารหสั น้นั ยังคงมีจุดอ่อน (vulnerability) ย่อมจะ
กอ่ ให้เกดิ ความเสีย่ งต่อสิทธิเสรีภาพของเจ้าของข้อมลู กรณหี ลังนต้ี ้องแจง้ แกผ่ ู้กำกบั ดแู ล
(3) [หน้าที่แจ้งต่อเจ้าของข้อมูล] ผู้ควบคุมข้อมูลมีหน้าที่แจ้งเจ้าของข้อมูลโดยไม่ชักช้า
ตอ่ เมอื่ การรั่วไหลของข้อมูลนนั้ ก่อใหเ้ กดิ ความเสยี่ งสงู ต่อสิทธเิ สรภี าพของเจา้ ของขอ้ มูล121
ในกรณีเชน่ วา่ นจ้ี ะตอ้ งแจง้ ให้เจ้าของข้อมูลทราบด้วยภาษาทเ่ี ข้าใจงา่ ยและมีความชัดเจน
และมีรายละเอียดอย่างน้อยดงั ต่อไปนี้
(3.1) คำอธิบายลกั ษณะของการร่ัวไหลของข้อมลู
120 ปรบั จากตวั อย่างของ Article 29 Working Party, Guidelines on Personal data breach notification under
Regulation 2016/679 (wp250rev.01)
121 กรณีท่ไี มต่ อ้ งแจ้งหนว่ ยงานกำกบั ดูแลเพราะไม่น่าจะมคี วามเสีย่ งตอ่ สทิ ธิเสรภี าพของเจ้าของข้อมลู น้นั ก็จะไมต่ ้องแจ้ง
เจา้ ของข้อมลู เชน่ เดยี วกนั เพราะกรณีทีก่ ฎหมายบังคบั ใหแ้ จง้ เจ้าของขอ้ มูลนน้ั จะต้องเป็นกรณที ่คี วามเสี่ยงสูง แตเ่ มอื่ ไม่นา่
มีความเส่ียงแล้วจงึ ไมต่ อ้ งแจง้ เจา้ ของขอ้ มลู
116 Thailand Data Protection Guidelines 3.0
(3.2) ชื่อหรือข้อมูลการติดต่อเจ้าหน้าที่ผู้รับผิดชอบหรือ (ถ้ามี) เจ้าหน้าที่คุ้มครอง
ขอ้ มูล (Data Protection Officer)
(3.3) ผลทีอ่ าจจะเกิดขน้ึ จากการที่ข้อมูลร่วั ไหล ซง่ึ รวมถงึ ความเสย่ี งตอ่ เจ้าของขอ้ มลู
(3.4) มาตรการที่เสนอแนะหรอื แนวทางเยียวยาให้เจ้าของข้อมูลกระทำเพื่อรับมือกบั
กรณดี ังกลา่ วทีอ่ าจจะลดผลร้ายทีอ่ าจเกดิ จากการที่ขอ้ มูลรั่วไหลได้
ตัวอยา่ ง 122
❖ ผูใ้ ห้บรกิ ารออนไลน์ถูกโจมตีทางไซเบอรท์ ำให้ข้อมลู ส่วนบุคคลรัว่ ไหลไปและแฮกเกอรไ์ ด้ข้อมลู นน้ั ไป กรณีนี้ต้อง
แจง้ ใหเ้ จ้าของขอ้ มลู ทราบ
❖ ลูกค้าธนาคารแจ้งธนาคารทราบว่าตนได้รับรายการธุรกรรมกับธนาคาร (bank statement) ของบุคคลอื่น
ธนาคารจงึ ดำเนินการสอบสวนและพบว่ามีขอ้ บกพร่องในระบบทำใหจ้ ดั ส่งไปยงั บุคคลที่ไม่ตรงกับเอกสารทำให้
บุคคลอืน่ อาจได้รับผลกระทบด้วย กรณีนี้นอกจากธนาคารจะตอ้ งแจง้ ผู้กำกับดแู ลแลว้ จะต้องแจง้ ไปยังลูกคา้ ท่ี
ได้รับผลกระทบด้วย ถ้าภายหลังธนาคารตรวจสอบพบกรณีดังกล่าวเพิ่มอีกจะต้องแจ้งไปยังผู้กำกับดูแลและ
เจา้ ของขอ้ มลู หลงั จากพบกรณีเดยี วกันนี้ดว้ ย
❖ บรษิ ัทเปดิ เวบ็ ไซต์ขายสนิ ค้าออนไลนถ์ กู โจมตที ำให้แฮกเกอร์ได้ข้อมลู ช่อื ผู้ใช้ (username) รหสั (password) และ
ประวัติการซ้อื ขายสนิ คา้ และนำเอาไปเผยแพร่ต่อสาธารณชน กรณีนบ้ี รษิ ทั จะต้องแจ้งทงั้ ผ้กู ำกบั ดแู ลและเจ้าของ
ขอ้ มูล เพราะกรณดี ังกล่าวมคี วามเสีย่ งสงู ตอ่ เจ้าของข้อมูล
(4) [แนวทางในการดำเนินการกรณีท่ีมีการละเมิดข้อมูลหรือข้อมูลรั่วไหล] ท่านสามารถ
ดำเนนิ การโดยพจิ ารณาจากแผนภาพด้านลา่ งนไี้ ด้
122 ปรบั จากตัวอยา่ งของ Article 29 Working Party, Guidelines on Personal data breach notification under
Regulation 2016/679 (wp250rev.01)
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณ์มหาวทิ ยาลยั 117
ผคู้ วบคมุ ขอ้ มูลสว่ นบคุ คลได้รบั ทราบเหตุละเมิด
ขอ้ มลู หรือขอ้ มลู รัว่ ไหลต้องประเมินความเส่ียง
เหตุดงั กลา่ วก่อใหเ้ กดิ ไม่ต้องแจง้ ผู้กำกับดูแล และไม่
ความเสย่ี งตอ่ สทิ ธิเสรีภาพ ไมใ่ ช่ ตอ้ งแจ้งเจา้ ของขอ้ มลู
ของเจ้าของขอ้ มลู หรือไม่?
เกบ็ บันทกึ ข้อมลู เกี่ยวกบั
ใช่ เหตกุ ารณด์ งั กล่าวไว้
แจง้ ผูก้ ำกบั ดแู ล
เหตุการณด์ งั กล่าวนา่ จะ ไม่ใช่
ก่อให้เกดิ ความเสีย่ งสงู ตอ่ แจง้ เจา้ ของขอ้ มูลทไี่ ด้รับผลกระทบ
สิทธิเสรภี าพของเจ้าของ
ขอ้ มลู หรือไม?่
ใช่
118 Thailand Data Protection Guidelines 3.0
D1.5 ผู้ควบคุมข้อมูลจะต้องจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วน
บุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตาม
วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น 123 กล่าวคือ ผู้ควบคุมข้อมูลจะต้อง
ออกแบบระบบในการเก็บและบริหารจัดการขอ้ มูลให้เป็นระบบทส่ี ามารถตรวจสอบไดว้ า่ ข้อมูล
ใดจะต้องถูกลบและทำลายภายใตเ้ งือ่ นไขใด เช่น การตรวจสอบขอ้ มูลที่พ้นระยะเวลาในการ
เกบ็ รักษา หรอื ไม่เกีย่ วข้องหรือเกนิ ความจำเปน็ ตามวตั ถุประสงค์ทไี่ ดเ้ กบ็ มา เปน็ ต้น
(1) [การกำหนดระยะเวลาการเก็บรักษา] ระยะเวลาการเก็บรักษาข้อมูล (retention
period) นั้นโดยปกติแล้วจะต้องกำหนดตามความจำเป็นของข้อมูลนั้นในการ
ประมวลผลข้อมูล ซึ่งความจำเป็นนั้นก็ด้วยการอาศัยฐานตามกฎหมายฐานใดฐานหนง่ึ
นั่นเอง ในบางคร้ังก็จะสามารถกำหนดระยะเวลาได้แน่นอน แต่ในบางกรณีก็ไม่อาจจะ
กำหนดเวลาไว้ได้แน่นอน ทั้งนี้ ควรมีหลกั การพจิ ารณาระยะเวลาจดั เกบ็ ตามลำดับ ดังนี้
(1.1) หากมีระยะเวลาตามกฎหมายระบุชัดเจนให้เกบ็ รกั ษาไว้เป็นระยะเวลานานเท่าใด
ใหจ้ ดั เกบ็ ตามกำหนดเวลาน้นั
ตัวอยา่ ง
❖ การเกบ็ ข้อมลู จราจรทางคอมพิวเตอรไ์ วไ้ ม่นอ้ ยกว่า 90 นับแต่วันทขี่ ้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์หรือการ
เกบ็ รักษาข้อมลู ของผูใ้ ชบ้ รกิ ารเทา่ ทีจ่ ำเป็นเพ่ือใหส้ ามารถระบุตวั ผูใ้ ช้บรกิ ารนบั ต้ังแต่เรม่ิ ใช้บริการและต้องเก็บ
รกั ษาไว้เปน็ เวลา 90 วนั นับตัง้ แต่การใชบ้ ริการสนิ้ สดุ ลง124
❖ การเก็บข้อมูลรายละเอียดเกี่ยวกับการแสดงตน (KYC) เป็นเวลา 5 ปีนับแต่วันที่มีการปิดบัญชีหรือยุติ
ความสัมพันธ์กบั ลูกค้า การเก็บรักษาข้อมูลเกี่ยวกบั การตรวจสอบเพือ่ ทราบข้อเท็จจริงเกี่ยวกับลูกค้า (CDD)
เป็นเวลา 10 ปีนบั แต่วนั ทีม่ ีการปิดบัญชหี รือยตุ ิความสมั พันธก์ บั ลูกค้าตามกฎหมายฟอกเงิน125
(1.2) ระยะเวลาในการเก็บรักษาข้อมลู ในหลายกรณีจะเป็นไปตามรูปแบบความสัมพันธ์
ทม่ี ตี อ่ เจา้ ของขอ้ มลู บางกรณีสามารถระบรุ ะยะเวลาเก็บรกั ษาทแี่ น่นอนได้ แต่บาง
กรณีกไ็ ม่สามารถระบรุ ะยะเวลาเก็บรกั ษาที่แน่นอนได้ เชน่ กรณที ีข่ อความยินยอม
และได้ระบุระยะเวลาไว้ชดั เจน เมื่อพ้นระยะเวลาดังกล่าวกต็ ้องลบหรือทำลายไป
123 พระราชบญั ญตั ิคมุ้ ครองข้อมลู ส่วนบุคคล พ.ศ.2562 มาตรา 37(3) 119
124 พระราชบญั ญัตวิ ่าด้วยการกระทำความผดิ เก่ยี วกบั คอมพิวเตอร์ พ.ศ. 2550 มาตรา 26 วรรค 1 และวรรค 2
125 พระราชบัญญัตปิ ้องกนั และปราบปรามการฟอกเงิน พ.ศ. 2542 มาตรา 22 และ 22/1
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จฬุ าลงกรณ์มหาวทิ ยาลยั
หรือหากไม่ได้ระบุไว้อย่างชัดเจนก็ต้องพิจารณาว่าข้อมูลหมดความจำเป็นใน
กิจกรรมประมวลผลที่ได้รับความยินยอมเมื่อใด หรือเมื่อมีการถอนความยินยอม
เปน็ ต้น พิจารณาตัวอย่างตอ่ ไปนี้
ตวั อยา่ ง126
❖ ธนาคารเก็บข้อมูลส่วนบุคคลของลูกค้า ข้อมูลดังกล่าวรวมถึงที่อยู่ วันเดือนปีเกิด และนามสกุลเกา่ ของมารดา
ของลูกคา้ ชุดข้อมลู ดงั กลา่ วนน้ั ธนาคารใชง้ านในกระบวนการรักษาความมั่นคงปลอดภัย ขอ้ มลู ดังกลา่ วธนาคาร
สามารถเก็บรักษาไว้ไดต้ ลอดระยะเวลาท่ลี กู คา้ มบี ัญชธี นาคารอยู่ แมก้ ระท่งั หลังจากลูกค้าไดป้ ิดบัญชีธนาคารไป
แล้ว ธนาคารยงั อาจจำเปน็ ตอ้ งเกบ็ รกั ษาข้อมลู บางอย่างไวต้ อ่ ไปตามทีก่ ฎหมายกำหนด
❖ ธนาคารตดิ ตง้ั กล้องวงจรปดิ ไว้ท่ตี ้เู อทเี อม็ เพื่อป้องกันการฉอ้ ฉล (fraud prevention) ธนาคารอาจมีความจำเป็น
ท่ีจะตอ้ งเกบ็ ขอ้ มลู ท่เี ก็บโดยกล้องวงจรปดิ ไว้เป็นระยะเวลาหลายสัปดาห์ ทงั้ น้ีเน่ืองจากธุรกรรมต้องสงสัยอันจะ
ยงั ไมป่ รากฏจนกว่าผู้เสยี หายจะไดร้ ับรายงานทางบญั ชี (bank statement) แตใ่ นขณะท่ีสถานทใี่ หบ้ รกิ ารอาหาร
เครื่องด่มื อาจมีความจำเป็นทจี่ ะเกบ็ ขอ้ มลู จากกลอ้ งวงจรปิดในระยะเวลาที่สนั้ กวา่ เพราะหากเกิดเหตุการณ์อะไร
ย่อมเป็นที่รับรู้ได้รวดเร็วกว่า เช่น มีเหตุทำร้ายร่างกายในบริเวณ หรือมีพยานหลกั ฐานท่ีตำรวจจำเป็นต้องใช้
หากเหตุการณ์ดังกล่าวได้มีการแจง้ ความต่อตำรวจแล้ว ข้อมูลดังกล่าวก็จำเป็นทีจ่ ะต้องเกบ็ รักษาไว้จนกระท่ัง
ตำรวจได้เข้ามาเกบ็ ขอ้ มูลดงั กลา่ วเพอ่ื ใชเ้ ป็นพยานหลักฐาน เปน็ ตน้
❖ บริษัทได้รับว่าจ้างได้ติดตามสืบหาขอ้ มูลเก่ียวกับลูกหนี้แทนเจ้าหนี้ บริษัทเมื่อได้รับข้อมูลและส่งข้อมูลให้แก่
เจ้าหนี้ผู้ว่าจ้างแล้วก็อาจไมม่ ีความจำเป็นที่จะต้องเก็บข้อมูลเกี่ยวกับลกู หนี้อีกต่อไป เว้นแต่จะมีเหตุผลความ
จำเป็น เช่น หากเจา้ หนีใ้ ห้มอบอำนาจใหต้ ดิ ตามทวงหน้แี ทนเจา้ หนีด้ ้วย เปน็ ต้น
(1.3) แมก้ ระท่ังความสมั พนั ธร์ ะหว่างเจ้าของขอ้ มูลกับผู้ควบคมุ ข้อมลู ส้ินสดุ ลงแล้วกอ็ าจ
มีเหตุจำเป็นที่ยังคงจะต้องมีการเก็บข้อมูลต่อไปด้วย เช่น เพื่อยืนยันว่าเคยมี
ความสัมพันธ์ตอ่ กัน และความสัมพันธ์ดงั กล่าวได้ส้ินสุดไปแล้ว เปน็ ต้น
ตวั อย่าง127
❖ บริษัทอาจมีความจำเป็นที่จะเก็บข้อมูลส่วนบุคคลของลูกค้าที่ยุติความสมั พันธ์ไปแลว้ เพื่อที่จะสามารถ
จดั การขอ้ รอ้ งเรียนตา่ งๆ ทีล่ กู ค้าอาจจะมีตอ่ บริการที่ตนได้รบั บริการ
126 ICO, Guide to the General Data Protection Regulation (GDPR), 2019 at https://ico.org.uk/for-
organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/principles/
storage-limitation/
127 Id.
120 Thailand Data Protection Guidelines 3.0
❖ นายจา้ งควรจะทบทวนขอ้ มลู ส่วนบุคคลที่เกบ็ รกั ษาไว้เม่ือสนิ้ สุดสัญญาจ้าง นายจา้ งควรเกบ็ รักษาข้อมูลไว้
เท่าที่จำเป็นสำหรับการให้คำรับรองการทำงาน การจ่ายเงินบำเหน็จบำนาญ แต่ข้อมูลใดที่ไม่ได้มีความ
จำเป็นกค็ วรจะตอ้ งลบออกไป เช่น ขอ้ มลู การบุคคลทต่ี ดิ ต่อในกรณฉี ุกเฉิน ขอ้ มลู ทีม่ อี ย่กู อ่ นหนา้ เป็นตน้
❖ บริษัทได้รับแจ้งคำขอให้หยุดการประมวลผลข้อมูลของลูกค้าเพื่อวัตถุประสงค์ในการทำการตลาดตรง
(direct marketing) บริษัทก็สามารถเกบ็ ข้อมลู ทีเ่ พยี งพอเก่ียวกับลกู คา้ เพอ่ื ที่จะทำให้บริษัทสามารถหยุด
กิจกรรมการตลาดท่ีจะมีในอนาคตตอ่ ลูกคา้ รายนีไ้ ด้
(1.4) การเก็บรักษาขอ้ มลู สว่ นบุคคลบางประเภทอาจมเี หตผุ ลหรอื ความจำเป็นที่จะต้อง
เก็บไวต้ ลอดไป เชน่ มหาวิทยาลยั มคี วามจำเปน็ ในการเกบ็ รายชือ่ ผ้สู ำเรจ็ การศึกษา
จากมหาวทิ ยาลัยเพอ่ื เหตุผลในการยนื ยันการได้รับวุฒกิ ารศึกษา แต่ข้อมูลที่เก็บไว้
กจ็ ะตอ้ งจำกดั ไวเ้ พื่อการยนื ยนั ดงั กล่าวเทา่ นัน้ เป็นต้น
(2) [หน้าที่ในการลบ ทำลายหรือทำให้ข้อมูลกลายเป็นข้อมูลนิรนาม] เมื่อข้อมูลหมด
ความจำเป็นและไม่มีเหตุอื่นใดให้เก็บรักษาข้อมูลต่อไปได้ ผู้ควบคุมข้อมูลย่อมต้องมี
หนา้ ท่ใี นการลบทำลายข้อมูลสว่ นบุคคลหรือทำให้ขอ้ มลู นน้ั กลายเป็นข้อมลู นิรนาม
(2.1) [วิธีการลบ ทำลาย หรือทำให้ข้อมูลกลายเป็นข้อมูลนิรนาม] หน้าที่เมื่อพ้น
ระยะเวลาเก็บรักษาข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลอาจเลือกการลบทำลาย
ข้อมูล หรือการทำให้ขอ้ มลู กลายเปน็ ข้อมูลนิรนามก็ได้ ในการลบทำลายข้อมูลก็
ขึ้นอยู่กับลักษณะของข้อมลู เช่น ข้อมูลในรูปแบบเอกสารก็อาจพิจารณาวิธีการ
ทำลายเอกสารโดยเคร่ืองทำลายเอกสาร หรอื การเผาทำลาย หรือข้อมูลในรูปแบบ
อิเล็กทรอนกิ ส์หากบรรจุอยู่ในอุปกรณก์ ็อาจจะทำลายตัวอุปกรณ์ หรอื การลบออก
จากระบบออนไลน์ เป็นต้น ส่วนการทำให้ข้อมูลเป็นข้อมูลนิรนามนั้นก็หมายถึง
การทำใหข้ อ้ มูลนั้นอยู่ในรปู แบบท่ไี ม่สามารถระบุตัวตนเจ้าของข้อมลู ไดอ้ ีกต่อไปน้ี
อย่างไรกด็ ีมาตรฐานในการทำลายหรือวิธกี ารทำให้ขอ้ มูลเปน็ ข้อมลู นริ นามของให้
ดูรายละเอียดในส่วน M แนวปฏิบัติสำหรับฝ่ายเทคโนโลยีสารสนเทศ หรือใน
อนาคตคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจมีการกำหนดหลักเกณฑ์
เกี่ยวกับนการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ
ระบตุ ัวบคุ คลทีเ่ ปน็ เจ้าของขอ้ มูลสว่ นบุคคล128
128 พระราชบญั ญตั ิคุ้มครองขอ้ มูลส่วนบุคคล พ.ศ.2562 มาตรา 37(3) ประกอบ มาตรา 33 วรรค 5 121
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จุฬาลงกรณม์ หาวทิ ยาลยั
(2.2) [ระยะเวลาในการลบ ทำลายหรอื ทำใหข้ ้อมูลกลายเป็นขอ้ มลู นิรนาม] กฎหมาย
มไิ ดก้ ำหนดระยะเวลาแนน่ อนทจ่ี ะต้องลบ ทำลายหรือทำใหข้ ้อมลู กลายเป็นข้อมูล
นิรนามไวอ้ ย่างชดั เจน เพยี งแตก่ ำหนดหลักการว่าเม่ือข้อมูลหมดความจำเป็นก็ให้
ดำเนนิ การดังกลา่ ว พรอ้ มกันนี้กำหนดใหผ้ คู้ วบคุมขอ้ มลู ส่วนบุคคลมีหนา้ ทจ่ี ัดให้มี
ระบบตรวจสอบเพ่อื การลบ ทำลายหรอื ทำใหข้ ้อมูลกลายเปน็ ขอ้ มูลนริ นาม ดงั นั้น
ผู้ควบคุมข้อมลู จึงควรจัดให้มรี อบในการพิจารณาเพื่อลบ ทำลาย หรือทำให้ข้อมูล
กลายเป็นข้อมูลนิรนามให้เกิดการทำลายภายในระยะเวลาอันสมควรตามรอบที่
กำหนด เช่น ในนโยบายหรือระเบียบการจัดการข้อมูลกำหนดไว้ว่าจะทำลาย
ขอ้ มลู ภายใน 30 วันหรอื 1 เดอื นนบั แต่วันที่ข้อมลู หมดความจำเป็น ก็ควรมีรอบ
ในการทำลายหรือทบทวนว่าจะมีการทำลายหรือไม่ หรือมีเหตุอื่นใดที่จำเป็น
จะตอ้ งเก็บรักษาขอ้ มลู ต่อไปทกุ ๆ ระยะเวลา 1 เดือน เป็นตน้
(3) [ข้อแนะนำ] ในหลายองค์กรเพือ่ ให้การเก็บรักษาและทำลายเอกสารหรือข้อมูลเป็นไป
โดยสอดคลอ้ งกันก็อาจมีการกำหนดนโยบายในการเก็บรักษาและทำลายเอกสาร (data
retention and disposal policy/data retention and erasure policy) ร ะ เ บ ียบ
หรอื แนวปฏิบตั ใิ นการเก็บรกั ษาและทำลายเอกสารทป่ี รากฏข้อมูลส่วนบคุ คล ทัง้ ท่อี ยู่ใน
รูปแบบกายภาพและรูปแบบของข้อมูลอิเล็กทรอนิกส์ หรือในบางกรณีรายละเอียด
เกี่ยวกับการเก็บรักษาและทำลายข้อมูลอาจจะอยู่ในนโยบายคุ้มครองข้อมูลส่วนบคุ คล
(privacy policy) ก็อาจทำไดเ้ ชน่ กัน
D1.6 อย่างไรก็ดีกฎหมายยังกำหนดเหตทุ แ่ี ม้ข้อมลู จะพ้นระยะเวลาการเกบ็ รกั ษาหรือไม่เกีย่ วข้องกับ
วัตถุประสงค์แตก่ ย็ ังสามารถเกบ็ ไว้เพอ่ื วตั ถุประสงค์บางประการได้ ไดแ้ ก่
- การใชเ้ สรีภาพในการแสดงความคดิ เห็น
- การเก็บรักษาไว้เพื่อการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ หรือเกี่ยวกับการ
ศกึ ษาวิจยั เพอ่ื ประโยชน์สาธารณะที่มีมาตรการปกปอ้ งท่ีเหมาะสม
- การจำเป็นเพ่ือปฏบิ ตั หิ นา้ ทใี่ นการดำเนินภารกจิ เพอ่ื ประโยชนส์ าธารณะ (public task)
- การจำเป็นเพื่อปฏิบัตติ ามกฎหมายให้บรรลุวตั ถุประสงคด์ ้านเวชศาสตรป์ อ้ งกันหรืออาชวี
เวชศาสตร์ หรอื ประโยชนส์ าธารณะด้านสาธารณสุข
- การใชข้ ้อมูลเพ่ือฟ้องร้องหรอื ตอ่ สูค้ ดี หรอื
- การปฏบิ ตั ติ ามกฎหมายอ่ืน เป็นต้น
122 Thailand Data Protection Guidelines 3.0
D1.7 ผู้ควบคุมข้อมูล (รวมถึงตัวแทนของผู้ควบคุมข้อมูลในกรณีผู้ควบคุมข้อมูลอยู่นอก
ราชอาณาจักร) จะตอ้ งเกบ็ บนั ทกึ รายการประมวลผลข้อมูล 129
(1) [รายละเอยี ดของบนั ทกึ ] บันทึกรายการประมวลผลข้อมลู จะตอ้ งมรี ายการดังตอ่ ไปน้ี
(1.1) ข้อมลู สว่ นบคุ คลทมี่ ีการเก็บรวบรวม
(1.2) วตั ถปุ ระสงคข์ องการเกบ็ รวบรวมขอ้ มลู สว่ นบุคคลแตล่ ะประเภท
(1.3) ขอ้ มลู เกี่ยวกบั ผคู้ วบคมุ ข้อมูลสว่ นบคุ คล
(1.4) ระยะเวลาการเก็บรกั ษาข้อมลู สว่ นบคุ คล
(1.5) สทิ ธแิ ละวธิ กี ารเข้าถงึ ข้อมูลส่วนบุคคล รวมทง้ั เง่ือนไขเกย่ี วกบั บคุ คลทม่ี ีสิทธิเข้าถึง
ขอ้ มลู ส่วนบุคคลและเง่ือนไขในการเขา้ ถงึ ข้อมูลสว่ นบุคคลนน้ั
(1.6) การใช้หรือเปดิ เผยข้อมูล
(1.7) การปฏเิ สธคำขอหรอื การคดั ค้านของเจา้ ของข้อมลู สว่ นบคุ คล
(1.8) คำอธบิ ายเก่ยี วกบั มาตรการรกั ษาความมน่ั คงปลอดภยั
(2) [รปู แบบของบนั ทึก] บันทึกรายการประมวลผลข้อมลู จะต้องจดั ทำเป็นลายลักษณ์อักษร
โดยจะอยูใ่ นรูปแบบข้อมลู อิเล็กทรอนกิ สก์ ไ็ ด้
(3) [ผู้ที่ไม่ต้องจัดทำบันทึก] กิจการขนาดเล็กอาจได้รับยกเว้นไม่ต้องจัดทำบันทึกตามที่
คณะกรรมการคุม้ ครองข้อมูลส่วนบุคคลประกาศกำหนด อย่างไรก็ดี กิจการขนาดเล็กที่
ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงทีจ่ ะมีผลกระต่อ
สิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลหรือดำเนนิ การเกี่ยวกับข้อมูลอ่อนไหวจะ
ไม่ได้รับยกเวน้ หนา้ ทใ่ี นการจัดทำบันทกึ การประมวลผลข้อมูล 130
129 พระราชบัญญตั คิ มุ้ ครองข้อมูลส่วนบคุ คล พ.ศ.2562 มาตรา 39
130 พระราชบญั ญัติคมุ้ ครองข้อมูลส่วนบคุ คล พ.ศ.2562 มาตรา 39 วรรค 3 กำหนดให้คณะกรรมการคมุ้ ครองขอ้ มูลสว่ น
บุคคลอาจกำหนดยกเว้นใหก้ ิจการขนาดเล็กตามหลกั เกณฑแ์ ละวิธกี ารทคี่ ณะกรรมการประกาศกำหนด ซึ่งอาจเทยี บเคยี ง
ได้กับ GDPR ที่กำหนดใหห้ นา้ ทนี่ ใี้ ชบ้ งั คบั ต่อเมื่อเป็นองคก์ รที่มีจำนวนลกู จา้ งตง้ั แต่ 250 คนข้ึนไป ในกรณที มี่ จี ำนวน
ลกู จา้ งน้อยกว่า 250 คน ผู้ควบคมุ ข้อมลู จะมีหน้าทเี่ ก็บบันทึกนีเ้ มอ่ื การประมวลผลข้อมลู นั้นอาจกอ่ ใหเ้ กดิ ความเส่ียงตอ่
สิทธเิ สรีภาพของเจ้าของขอ้ มูล การประมวลผลขอ้ มลู ไม่ไดด้ ำเนนิ การเปน็ คร้งั คราว หรอื การประมวลผลขอ้ มูลเป็นการ
ประมวลผลขอ้ มูลอ่อนไหวหรือขอ้ มูลอาชญากรรม
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณม์ หาวิทยาลยั 123
ตวั อย่างบันทกึ รายการประมวลผลขอ้ มลู
ตัวอย่างที่ 1 บันทึกรายก
ส่วนท1่ี ผู้ควบคุมขอ้ มลู
ช่ือ-สกลุ /ชื่อองคก์ ร ทอี่ ยู่
ผ้คู วบคุมข้อมูล ประเภท
ของบุคคล
เจา้ หนา้ ที่คุ้มครองขอ้ มลู ส่วนบุคคล (DPO) อนื่ ท่ีข้อมลู
อาจจะ
สว่ นที่ 2 บนั ทึกรายการประมวลผลขอ้ มูล132 เปดิ เผยไป
ไมม่ ี
หนา้ ที่ วัตถุประสง์ใน ช่อื และขอ้ มูล ประเภทของ ประเภทของ
เจ้าของข้อมลู ขอ้ มูลส่วน ไม่มี
(business การ ติดตอ่ ผคู้ วบคุม บุคคล
function) ประมวลผล ขอ้ มลู รว่ มกนั
ข้อมลู (joint
controller) ถ้ามี
งานบคุ คล การรบั สมคั ร ไมม่ ี ผ้สู มัครทไ่ี ดร้ ับ ข้อมลู ตดิ ตอ่
คัดเลือก คุณสมบตั ิ
พนกั งาน ประวตั กิ ารจา้ ง
ลกู ค้าปจั จบุ นั งาน
งานขาย การทำ ไมม่ ี ขอ้ มลู ตดิ ต่อ
การตลาดตรง ประวัติการซ้อื
(direct
marketing)
131 ปรับจากตัวอย่างแบบรายเอกสาร (documentation template) ของ ICO ดู https://ico.org.uk/med
พิจารณาแล้วเปน็ บันทึกกจิ กรรมในภาพรวมขององคก์ รซึง่ จะปรากฏรายการกจิ กรรมประมวลผลขอ้ มูลและรายล
132 บนั ทึกรายการตามพระราชบัญญตั คิ ้มุ ครองข้อมูลสว่ นบคุ คล พ.ศ. 2562 มาตรา 39(7) ยงั กำหนดให้ต้องมบี
ไปปรากฏในบันทึกการปฏิบตั งิ านในแตล่ ะฝ่ายงานหรอื กจิ กรรมประมวลผลขอ้ มูลยอ่ ยๆ ทเ่ี กี่ยวข้องมากกว่าที่จะ
ล (Record of Processing Activities) เบอรโ์ ทรศพั ท์
การประมวลผลขอ้ มูล131
อเี มล
สญั ญา การโอน มาตรการ ระยะเวลา คำอธิบายเกี่ยวกบั
ล ประมวลผล ขอ้ มูลไปยงั คุ้มครองกรณี การเก็บ มาตรการรักษาความ
ล ขอ้ มูลและผู้ ตา่ งประเทศ โอนขอ้ มูลไป รกั ษาข้อมูล มั่นคงปลอดภัย สิทธิใน
(ถ้าม)ี ต่างประเทศ การเข้าถงึ
ประมวลผล (ถา้ มี)
ป ขอ้ มูล (ถา้ มี) ไม่มี ไม่มี 10 ปหี ลัง การเข้ารหสั และการ
ส้นิ สุดสญั ญา ควบคมุ การเข้าถงึ โดยคน
ไมม่ ี ไม่มี ไมม่ ี จา้ ง ทม่ี หี นา้ ทใ่ี นงานบุคคล
เทา่ น้นั
ไมม่ ี เกบ็ ไวต้ ลอด การเก็บและการสง่ แบบ
ระยะเวลาท่ี เข้ารหัส พนกั งานฝา่ ยการ
เป็นลูกค้า คลาดท่มี สี ว่ นเก่ียวขอ้ ง
ปจั จบุ ัน เทา่ นนั้ สามารถเขา้ ถึงได้
dia/for-organisations/documents/2172937/gdpr-documentation-controller-template.xlsx ซึ่งเมอ่ื
ละเอียด ซึง่ เกือบครบถ้วนตามพระราชบญั ญัตคิ ุ้มครองขอ้ มลู สว่ นบคุ คล พ.ศ.2562 แลว้
บันทึกการปฏิเสธสิทธิของเจ้าของข้อมูลสว่ นบคุ คลดว้ ย ซ่งึ ไม่ปรากฏในตัวอยา่ งนี้ บันทกึ รายการดังกล่าวน่าจะ
จะมาปรากฏในบนั ทึกท่เี ป็นภาพรวมของทั้งองคก์ ร
ตัวอย่างบันทกึ รายการประมวลผลยอ่ ย133
บนั ทึกรายการประมวลผล: การเขา้ สูอ่ าคาร
ลำดบั รายการ คำอธบิ าย
1 วันที่แกไ้ ขเพม่ิ เตมิ ลา่ สดุ วนั ท่ี .........
2 เลขท่อี า้ งองิ 38
3 รายละเอียดผูค้ วบคมุ ขอ้ มูล บรษิ ัท ......... ท่อี ยู่ ......... อเี มล ......... เบอรโ์ ทรศัพท์ ......
ฝ่ายงานผรู้ บั ผดิ ชอบ ............
แบบฟอรม์ เพ่ือสอบถามข้อมลู เพิ่มเตมิ ........... (link)
4 เจ้าหน้าทีค่ ุม้ ครองข้อมูลส่วน ชื่อ ... นามสกุล ... ชอ่ งทางติดตอ่ .........
บุคคล
5 ผ้คู วบคมุ ขอ้ มลู ร่วมกัน (ถา้ มี) ไมม่ ี
6 ผปู้ ระมวลผลข้อมลู (ถ้าม)ี ไม่มี
7 คำอธบิ ายเก่ยี วกบั วัตถุประสงค์ การควบคุมการเขา้ สู่บริเวณอาคารสถานทขี่ องบริษทั เพื่อป้องกันคนที่
ของการประมวลผลข้อมูล ไมเ่ ก่ยี วขอ้ งและเพอ่ื รักษาความปลอดภยั ของทรพั ยส์ นิ และบคุ คล
ภายในอาคารสถานที่ การจัดการสิทธใิ นการเขา้ พน้ื ท่ี
8 คำอธิบายเกย่ี วกบั ประเภทของ ผทู้ เ่ี ขา้ มาภายในอาคารสถานทที่ ุกคนจะต้องแสดงขอ้ มลู ชอ่ื -นามสกุล
เจ้าของข้อมลู และประเภท วนั เดอื นปีเกิด สญั ชาติ ประเภทและหมายเลขอ้างองิ ยืนยันตวั ตนท่ีเปน็
ขอ้ มลู ทีม่ กี ารประมวลผล ทางการ เอกสารเหลา่ นี้อาจจะมกี ารแสกนเพ่ือใชย้ ืนยนั ตัวตนของผู้เขา้
มาในสถานที่ โดยปกติข้อมลู ของผเู้ ขา้ มาภายในสถานทจ่ี ะเก็บไวใ้ นสมุด
บันทกึ การเข้าออก (logbook) ประจำวนั ผูเ้ ข้ามาในสถานทีจ่ ะมี
เจา้ หน้าทหี่ รือพนกั งานรกั ษาความปลอดภยั ตดิ ตามอยตู่ ลอดระยะเวลา
ทอ่ี ยูใ่ นสถานท่ี
9 ระยะเวลาในการเกบ็ ขอ้ มลู ข้อมลู สว่ นบุคคลจะทำลายเมอ่ื พ้นระยะเวลาเก็บรักษา (retention
period) 3 สัปดาห์ ข้อมูลจะถูกทำลายโดยเคร่ืองฉกี ทำลายเอกสาร
10 ผ้ทู ่ีอาจได้รับการเปดิ เผยขอ้ มลู ผู้ใหบ้ รกิ ารรักษาความปลอดภยั อยา่ งไรก็ดี บรษิ ัท จะไมเ่ ปดิ เผยขอ้ มลู
ไปยงั บุคคลท่สี ามเวน้ แตก่ รณีจำเปน็ เพ่อื ประโยชน์ในการรกั ษาความ
ปลอดภัยและไดร้ บั การอนุญาตจากผู้บริหารของบรษิ ทั
11 การโอนไปยังตา่ งประเทศ ไมม่ ี
133 ปรับจากบันทึกรายการกิจกรรมประมวลผลข้อมูลของ European Data Protection Supervisor ซึ่งจะปรากฏ
รายการกิจกรรมประมวลผลรวมแล้วกำหนดให้มีลิ้งก์ถึงกิจกรรมย่อยแต่ละรายการ
https://edps.europa.eu/about/data-protection-within-edps/records-register_en โดยตัวอย่างนี้นำเอากิจกรรม
ย่อยที่ปรากฏมาเพียง 1 ตัวอย่าง ดูต้นฉบับได้ที่ https://edps.europa.eu/sites/edp/files/publication/38_-
_record_of_processing_activity_-access_to_building_policy_for_visitors_-_public_en.pdf
ลำดับ รายการ คำอธิบาย
12 คำอธบิ ายทว่ั ไปเกยี่ วกบั การ เอกสารจะเกบ็ ไวใ้ นตเู้ อกสารทม่ี ีการใสก่ ุญแจเมอ่ื ไม่ได้ใชง้ านแลว้ จะมี
รักษาความมัน่ คงปลอดภยั เพยี งผู้ทีร่ บั ผดิ ชอบดา้ นการรกั ษาความปลอดภัยหรือผู้บรหิ ารระดับสูง
เทา่ น้นั ท่เี ขา้ ถึงได้
13 ข้อมูลเพิม่ เตมิ เกีย่ วกับการใช้ ... (Link)…
สิทธติ ามกฎหมายคุ้มครอง
ข้อมลู สว่ นบุคคล
D1.8 ผู้ควบคุมข้อมูลจะต้องมีบุคลากรที่ทำหน้าที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ( Data
Protection Officer) 134 (ดูรายละเอยี ดในสว่ น N แนวปฏิบัติสำหรับเจ้าหนา้ ท่ีคุ้มครองข้อมูล
ส่วนบุคคล)
(1) [ใครต้องแต่งตัง้ เจา้ หน้าทค่ี ุ้มครองข้อมลู สว่ นบุคคล]
(1.1) หน่วยงานของรัฐท่ีคณะกรรมการประกาศกำหนด
(1.2) ผู้ที่มีกิจกรรมหลัก 135 เป็นการประมวลผลข้อมูลซึ่งมีการติดตามเจ้าของข้อมูล
จำนวนมาก 136 อย่างสม่ำเสมอและเป็นระบบ 137 ตามที่คณะกรรมการประกาศ
กำหนด
(1.3) ผทู้ ่ีมกี ิจกรรมหลกั เปน็ การประมวลผลข้อมูลอ่อนไหว
134 พระราชบัญญัติคุม้ ครองขอ้ มูลสว่ นบุคคล พ.ศ.2562 มาตรา 41 และ 42
135 กจิ กรรมหลกั (core activities) คอื การดำเนินการเพอ่ื ให้บรรลวุ ัตถุประสงคข์ ององค์กรนั้น เชน่ การประมวลผลข้อมูล
ด้านสุขภาพเป็นกิจกรรมหลักของโรงพยาบาลเพื่อใหบ้ รรลวุ ัตถุประสงค์ของโรงพยาบาล จึงต้องมีการแต่งตั้งเจ้าหนา้ ที่
ค้มุ ครองขอ้ มลู ส่วนบคุ คล เป็นตน้ ส่วนกจิ กรรมทีเ่ ปน็ การสนับสนุน เชน่ การจ่ายเงนิ ลูกจ้าง เปน็ ต้น แม้จะเป็นกิจกรรมที่
จำเปน็ แตก่ ไ็ ม่ใช่กิจกรรมหลักขององคก์ ร, see Article 29 Working Party, Guidelines on Data Protection Officers
(‘DPOs’) (wp243rev.01).
136 การพจิ ารณาว่าเปน็ การดำเนินการกบั ข้อมลู หรือเจ้าของข้อมูลจำนวนมาก (large scale) ควรพิจารณาถึงองค์ประกอบ
หลายอยา่ ง ได้แก่ จำนวนเจา้ ของข้อมลู ท่เี กยี่ วข้องโดยอาจเปน็ การคำนวณจำนวนหรือสัดส่วนจากจำนวนกลมุ่ ท่ีเก่ียวข้อง
จำนวนข้อมลู หรือลักษณะของข้อมูลที่มีการประมวลผล ระยะเวลาในการประมวลผล ขอบเขตในเชิงภูมิศาสตร์ของการ
ประมวลผลข้อมูล ทั้งนี้กิจกรรมที่น่าจะเป็นการประมวลผลข้อมูลจำนวนมาก เช่น การประมวลผลข้อมูลผู้ป่วยของ
โรงพยาบาล การประมวลผลข้อมูลลูกค้าของธนาคารและบริษัทประกันภัย การประมวลผลข้อมูลเพื่อการโฆษณาโดย
พิเคราะหจ์ ากพฤตกิ รรมในการใชเ้ ครอื่ งมือคน้ หา (behavioral advertising by a search engine) การประมวลผลข้อมลู
ของผูใ้ ห้บริการอนิ เทอร์เน็ต (ISP) หรอื ผ้ใู ห้บริการโทรคมนาคม, see Article 29 Working Party, Guidelines on Data
Protection Officers (‘DPOs’) (wp243rev.01).
137 การติดตามอย่างสมำ่ เสมอ (regular) และเปน็ ระบบ (systematic) หมายถึง การตดิ ตามหรือโปรไฟล่ิงในอนิ เทอร์เน็ต
ทกุ รูปแบบ ซ่ึงรวมถงึ การโฆษณาโดยพเิ คราะห์ถึงรูปแบบพฤตกิ รรม (behavioral advertising) ด้วย
126 Thailand Data Protection Guidelines 3.0
(2) [การแต่งตั้งเจ้าหนา้ ที่คุม้ ครองข้อมลู ส่วนบคุ คลร่วมกัน]
(2.1) หน่วยงานของรัฐซึง่ มขี นาดใหญ่หรือที่ทำการหลายแห่ง โดยที่ทำการแต่ละแหล่ง
จะต้องติดต่อเจา้ หนา้ ทีค่ มุ้ ครองขอ้ มูลส่วนบคุ คลได้งา่ ย
(2.2) กิจการหรือธุรกิจท่ีอยู่ในเครอื เดียวกัน โดยกิจการหรือธุรกิจในเครอื จะต้องติดตอ่
เจา้ หน้าท่คี มุ้ ครองขอ้ มูลส่วนบคุ คลได้งา่ ย
(3) [สถานะและคณุ สมบตั ขิ องเจา้ หนา้ ทค่ี ้มุ ครองข้อมูลส่วนบุคคล]
(3.1) เจ้าหน้าที่คุ้มครองข้อมูลสว่ นบุคคลจะเป็นพนักงานหรือลูกจ้างก็ได้ หรือจะเป็นผู้
รบั จา้ งตามสญั ญาให้บรกิ ารกไ็ ด้
(3.2) เจา้ หนา้ ที่คมุ้ ครองข้อมูลส่วนบุคคลควรจะมีคุณสมบัติเป็นผู้มคี วามรู้ด้านกฎหมาย
คุ้มครองขอ้ มลู ส่วนบคุ คล เข้าใจกิจกรรมการประมวลผลข้อมูลขององค์กร เข้าใจ
งานด้านเทคโนโลยสี ารสนเทศและการรกั ษาความม่นั คงปลอดภยั มีความรเู้ ก่ยี วกับ
ภาคธรุ กิจและองคก์ ร และมคี วามสามารถทีจ่ ะสร้างวัฒนธรรมคุ้มครองข้อมูลส่วน
บุคคลภายในองค์กร
(4) [การปฏบิ ัตหิ น้าทีข่ องเจ้าหนา้ ท่คี ุ้มครองขอ้ มูลสว่ นบุคคล]
(4.1) เจ้าหน้าที่คุม้ ครองข้อมูลส่วนบุคคลจะต้องไดร้ ับการสนับสนนุ การทำงานและได้รับ
การอำนวยความสะดวกอยา่ งเพียงพอ ทัง้ น้ี ขน้ึ อยูก่ บั การดำเนินกจิ การและขนาด
ขององค์กรด้วย เช่น การสนับสนุนจากฝ่ายบริการงานทั่วไป การให้เวลาเพียงพอ
ในการทำงานของเจา้ หนา้ ทีค่ ุ้มครองข้อมูลสว่ นบุคคล การจัดหาทรัพยากรในการ
ทำงานให้เพียงพอแก่การทำงาน ไม่ว่าจะในลักษณะของเงิน โครงสร้างพื้นฐาน
และพนักงานสนับสนุน การสื่อสารองค์กร การเข้าถึงบริการอืน่ ๆ ของกิจการเพอื่
สนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล การฝึกอบรม
อย่างตอ่ เนอ่ื ง เปน็ ตน้
(4.2) เจา้ หนา้ ท่ีคมุ้ ครองข้อมูลสว่ นบุคคลได้รับความคุ้มครองและควรมีมาตรการเพื่อให้
การปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลสว่ นบุคคลเปน็ ไปโดยอิสระ การให้
ออกหรือเลิกจา้ งเพราะเหตุที่เจ้าหน้าที่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมลู
สว่ นบคุ คล พ.ศ. 2562 จะทำมิได้ 138
(4.3) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของ
องค์กรได้
138 การใหเ้ จ้าหน้าทค่ี ุ้มครองข้อมูลสว่ นบคุ คลออกจากงานหรือเลกิ จ้างเพราะเหตุที่ปฏิบัติตามกฎหมายน้ัน เป็นการฝ่าฝืน
พระราชบัญญตั คิ ุม้ ครองข้อมลู ส่วนบุคคล พ.ศ. 2562 ตอ้ งระวางโทษปรบั ทางปกครองไมเ่ กินหนง่ึ ล้านบาท (มาตรา 82)
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณ์มหาวิทยาลยั 127
(4.4) เจ้าหน้าท่ีคมุ้ ครองขอ้ มูลสว่ นบุคคลอาจไดร้ บั มอบหมายให้ปฏิบตั ิภารกจิ อน่ื แต่ต้อง
ไม่ขัดหรือแย้งกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (conflict of
interest) เช่น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะเป็นบุคคลคนเดียวกับ
ผู้บริหารองค์กรในระดับสูงอย่างประธานเจ้าหน้าที่บริหาร (CEO) ผู้จัดการฝ่าย
การตลาด หรือหวั หนา้ ฝ่ายบุคคลไมไ่ ด้ 139 เป็นตน้
(5) [ภารกจิ ของเจ้าหนา้ ที่ค้มุ ครองข้อมูลสว่ นบคุ คล]
(5.1) ให้คำแนะนำและตรวจสอบการดำเนินงานให้การประมวลผลข้อมูลส่วนบุคคล
เปน็ ไปตามพระราชบญั ญัตคิ ุ้มครองขอ้ มลู สว่ นบคุ คล พ.ศ. 2562 140
(5.2) เปน็ บุคคลท่ปี ระสานงานและใหค้ วามร่วมมือกบั สำนักงานคณะกรรมการคุ้มครอง
ข้อมูลสว่ นบุคคล
(5.3) รกั ษาความลับท่ีได้มาเนอ่ื งจากการปฏบิ ตั ิหนา้ ที่
(6) [ความรับผิดของเจ้าหน้าทีค่ มุ้ ครองขอ้ มลู สว่ นบุคคล]
(6.1) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไม่มีความรับผิดเป็นส่วนตัวต่อการฝ่าฝืน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพราะผู้ที่ต้องรับผิดชอบ
ได้แก่ผู้ควบคุมข้อมูลหรอื ผู้ประมวลผลข้อมูลแลว้ แต่กรณี
(6.2) อย่างไรก็ดีถ้าเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้รู้ข้อมูลส่วนบุคคลของผู้อื่น
เนอื่ งจากการปฏิบตั ิหนา้ ท่ีตามพระราชบญั ญัตินี้ แล้วไปเปิดเผยแกผ่ ู้อน่ื ต้องระวาง
โทษอาญาตามกฎหมาย 141 เว้นแต่จะเป็นการเปดิ เผยทชี่ อบด้วยกฎหมาย 142
139 เจ้าหนา้ ทค่ี มุ้ ครองขอ้ มูลสว่ นบุคคลอาจเป็นตำแหน่งอื่นๆ ไดห้ ากปรากฏว่าไม่ไดม้ ีอำนาจตัดสนิ ใจแตบ่ ทบาทอยู่ในเชิง
ใหค้ วามคดิ เห็นหรือให้ข้อเสนอแนะ เช่น Chief Information Officer หรือ Chief Legal Officer ได้ เป็นต้น อย่างไรก็ดี
จะต้องพิจารณาบทบาทหรือลักษณะงานของตำแหน่งดังกล่าวด้วยว่าจะถือว่ามีกรณีการขัดกันซึ่ งผลประโยชน์หรือไม่
(Conflict of Interest) ดงั นนั้ การเรียกชอื่ ตำแหนง่ บางตำแหนง่ จงึ ไมอ่ าจสรุปไดอ้ ย่างแน่นอนว่าบุคคลทไี่ ด้รับตำแหน่งนั้น
จะสามารถเปน็ เจ้าหน้าทคี่ ุม้ ครองขอ้ มลู สว่ นบคุ คลไปด้วยในขณะเดียวกนั ไดห้ รอื ไม่
140 การตรวจสอบและให้คำแนะนำนั้น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยปกติจะต้องทราบถึงกระบวนการและ
กจิ กรรมทั้งหมดท่ีมีการประมวลผลข้อมูลขององค์กร เมื่อนำมาวิเคราะห์และตรวจสอบวา่ กิจกรรมต่างๆ เหล่านั้นเป็นไป
ตามกฎหมายหรอื ไม่ หลงั จากนนั้ จงึ แจ้งและใหค้ ำแนะนำแก่องคก์ รเพ่อื ปฏบิ ัติให้เป็นไปตามกฎหมายต่อไป
141 จำคุกไมเ่ กิน 6 เดือน หรือปรับไม่เกนิ 500,000 บาท หรือท้งั จำทงั้ ปรบั (มาตรา 80)
142 ตัวอย่างเช่น การเปิดเผยตามหน้าที่ การเปิดเผยเพื่อประโยชน์ในการสอบสวนหรือการพิจารณาคดี การเปิดเผยแก่
หน่วยงานของรฐั ในประเทศหรือตา่ งประเทศทีม่ ีอำนาจหน้าท่ีตามกฎหมาย การเปดิ เผยทไี่ ด้รับความยินยอมเป็นหนังสือ
เฉพาะครั้งจากเจ้าของขอ้ มูลส่วนบุคคล หรือการเปิดเผยข้อมูลสว่ นบคุ คลทีเ่ กี่ยวกับการฟ้องร้องคดตี ่างๆ ที่เปิดเผยตอ่
สาธารณะ
128 Thailand Data Protection Guidelines 3.0
D1.9 ผคู้ วบคุมขอ้ มลู จะต้องดำเนินการประเมินผลกระทบดา้ นการคมุ้ ครองข้อมูลส่วนบุคคล (DPIA)
D1.10 ในกรณีท่ผี ู้ควบคุมขอ้ มูลไม่ได้เปน็ ผ้ปู ระมวลผลขอ้ มลู ดว้ ยตนเอง ผูค้ วบคมุ ขอ้ มลู มหี น้าท่ีเลอื กผู้
ประมวลผลขอ้ มูลที่มีมาตรการเชงิ เทคนคิ และเชิงบรหิ ารจัดการที่เหมาะสมในการประมวลผล
และการรกั ษาความมั่นคงปลอดภัย
D1.11 ผคู้ วบคมุ ข้อมลู ท่ีมอบหมายใหผ้ ู้ประมวลผลขอ้ มูลเป็นผ้ดู ำเนนิ การแทนจะต้องจัดให้มีข้อตกลง
กับผู้ประมวลผลข้อมูลเพื่อควบคุมให้ผู้ประมวลข้อมูลดำเนินการให้เป็นไปตามกฎหมาย 143
(รายละเอียดเกี่ยวกับการทำข้อตกลงประมวลผลข้อมูลขอให้ดูรายละเอียดในแนวปฏิบัติ
เกี่ยวกบั สญั ญาประมวลผลขอ้ มูลในสว่ น D2 ต่อไป)
D1.12 ผคู้ วบคุมขอ้ มูลในกรณีทจี่ ะโอนข้อมูลไปยังต่างประเทศหรือองค์การระหว่างประเทศจะต้องทำ
โดยชอบด้วยกฎหมาย กลา่ วคอื ปลายทางท่ีรับโอนจะตอ้ งมีมาตรการคุ้มครองขอ้ มลู ส่วนบคุ คล
เพียงพอ หากไม่เพยี งพอก็จะต้องมกี ารดำเนินการตามขัน้ ตอนของกฎหมาย 144 (รายละเอยี ดให้
ดใู นส่วนแนวปฏบิ ตั เิ ก่ยี วกับการโอนขอ้ มูลไปยังต่างประเทศ)
D1.13 ในกรณีทีต่ อ้ งใหข้ อ้ มลู ส่วนบคุ คลแกบ่ ุคคลหรอื นติ บิ ุคคลอน่ื ทีไ่ มใ่ ชผ่ คู้ วบคุมข้อมลู สว่ นบุคคล ผู้
ควบคุมข้อมลู จะตอ้ งดำเนนิ การเพ่อื ปอ้ งกนั มใิ หผ้ ูอ้ ื่นใชห้ รอื เปิดเผยข้อมูลโดยปราศจากอำนาจ
หรอื โดยมิชอบ 145
D1.14 ผู้ควบคุมข้อมูลที่อยู่นอกราชอาณาจักรแตอ่ ยู่ภายในบังคบั ของพระราชบญั ญัตคิ ุ้มครองข้อมลู
สว่ นบุคคล พ.ศ. 2562 จะต้องตั้งตวั แทนในราชอาณาจกั ร 146
(1) [ผู้ควบคุมข้อมูลที่จะต้องตั้งตัวแทนในราชอาณาจักร] ผู้ควบคุมข้อมูลที่อยู่นอก
ราชอาณาจักรแต่มีการเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ใน
ราชอาณาจักร ไม่ว่าจะมีการชำระเงินแล้วหรือไม่ก็ตาม หรือมีการเฝ้าติดตามพฤติกรรม
143 พระราชบญั ญตั ิคุ้มครองข้อมลู ส่วนบุคคล พ.ศ.2562 มาตรา 40 วรรคสาม 129
144 พระราชบญั ญัตคิ ุ้มครองข้อมลู สว่ นบุคคล พ.ศ.2562 มาตรา 28 และ 29
145 พระราชบญั ญัติคุ้มครองข้อมลู สว่ นบุคคล พ.ศ.2562 มาตรา 37(2)
146 พระราชบัญญัติคุ้มครองข้อมูลสว่ นบคุ คล พ.ศ.2562 มาตรา 37(5) และ 38
ศูนยว์ จิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จุฬาลงกรณม์ หาวทิ ยาลยั
ของเจ้าของข้อมูลส่วนบุคคลที่เกิดขึ้นในราชอาณาจักรมีหน้าที่ที่จะต้องตั้งตัวแท นใน
ราชอาณาจักร โดยได้รับมอบอำนาจใหก้ ระทำการแทนผูค้ วบคุมข้อมลู ส่วนบุคคลโดยไม่มี
ข้อจำกดั ความรบั ผิดใดๆ ทเ่ี กีย่ วกับการเก็บรวบรวม ใช้ หรือเปิดเผยขอ้ มูลส่วนบุคคลตาม
วตั ถุประสงคข์ องผคู้ วบคุมขอ้ มูลสว่ นบคุ คล
(2) [ข้อยกเว้นไม่ต้องต้งั ตัวแทน] ผคู้ วบคมุ สว่ นบุคคลท่ีอยู่นอกราชอาณาจกั รทไ่ี ด้รบั ยกเวน้ ไม่
ต้องตง้ั ตัวแทนในราชอาณาจักรไดแ้ ก่
(2.1) หน่วยงานของรฐั ตามท่ีคณะกรรมการประกาศกำหนด
(2.2) ผู้ควบคุมข้อมูลที่คณะกรรมการประกาศกำหนด ที่ไม่ได้ดำเนินการเกี่ยวข้องกับ
ขอ้ มลู อ่อนไหว และไมไ่ ด้ดำเนนิ การกบั ขอ้ มูลส่วนบุคคลเปน็ จำนวนมาก
130 Thailand Data Protection Guidelines 3.0
ตวั อย่างนโยบายคุ้มครองข้อมูลสว่ นบุคคล
(Data Protection Policy)
นโยบายคุ้มครองขอ้ มลู ส่วนบคุ คล
[ชือ่ องค์กร]
ขอ้ มลู สว่ นบคุ คล คืออะไร?
ขอ้ มูลสว่ นบุคคล* หมายถงึ “ข้อมลู เกี่ยวกบั บุคคลซ่ึงทำใหส้ ามารถระบุตวั บุคคลน้ันได้ ไม่วา่ ทางตรงหรอื ทางอ้อม แตไ่ ม่
รวมถงึ ขอ้ มูลของผ้ถู งึ แก่กรรมโดยเฉพาะ” 147
หมายเหตุ: พิจารณารายละเอยี ดของนยิ าม และการจดั ประเภทขอ้ มลู ส่วนบคุ คล ในหวั ข้อ B แนวทางปฏิบัตกิ ารกำหนด
และแยกแยะขอ้ มลู ส่วนบุคคล (Guidelines for Personal Data Classification)
ขอ้ มูลส่วนบคุ คลทเ่ี ราเก็บรวบรวม
เราจะเกบ็ รวบรวมข้อมลู สว่ นบุคคลดังตอ่ ไปนี้
1. [ข้อมูลทบ่ี ง่ ชตี้ วั ตน อาทิ ช่ือ ที่อยู่ สถานทต่ี ิดตอ่ เบอร์โทร email]
2. [ข้อมูล xxx]
3. [ข้อมลู yyy]
…
หมายเหต:ุ ทา่ นจะตอ้ งกรอกข้อมูลสว่ นบคุ คลท่ีท่านตอ้ งการจะไดร้ บั จากเจ้าของข้อมลู สว่ นบคุ คล (หรอื บุคคลทส่ี าม)
ทัง้ หมด ไมว่ ่าจะเป็นการกำหนดประเภทข้อมลู และรายละเอยี ดข้อมูลท่ีตอ้ งการใหล้ ะเอียดท่ีสุด เพื่อให้
เจ้าของข้อมูลสามารถรบั รแู้ ละพจิ ารณาให้ความยนิ ยอม หรือ ใช้สทิ ธขิ องเจ้าของข้อมลู ต่อไป
แหล่งทมี่ าของข้อมลู ส่วนบุคคล
เราอาจไดร้ บั ข้อมลู สว่ นบุคคลของท่านจาก 2 ชอ่ งทาง ดงั น้ี
1. เราได้รบั ขอ้ มลู ส่วนบคุ คลจากทา่ นโดยตรง โดยเราจะเก็บรวบรวมขอ้ มลู สว่ นบคุ คลของทา่ นจากขั้นตอนการใหบ้ รกิ าร
ดงั น้ี
a. ข้นั ตอนการสมคั รใชบ้ รกิ ารกบั เรา หรือขัน้ ตอนการย่นื คำร้องขอใช้สทิ ธิตา่ งๆ กบั เรา
b. จากความสมัครใจของท่าน ในการทำแบบสอบถาม (survey) หรอื การโต้ตอบทาง email หรือ ชอ่ ง
ทางการสอ่ื สารอ่นื ๆ ระหวา่ งเราและทา่ น
c. เกบ็ จากข้อมูลการใช้ website ของเราผ่าน browser’s cookies ของท่าน
d. […]
147 พระราชบัญญตั ิคุ้มครองขอ้ มูลสว่ นบคุ คล พ.ศ.2562 มาตรา 4 131
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จฬุ าลงกรณ์มหาวทิ ยาลยั
2. เราไดร้ ับขอ้ มลู ส่วนบคุ คลของทา่ นมาจากบคุ คลทส่ี าม ดังต่อไปนี้
a. [บคุ คลทสี่ ามที่เปดิ เผยข้อมูล]
b. […]
โดยไดร้ ับขอ้ มูลด้วยวธิ กี าร ดังต่อไปนี้
a. [วิธกี าร เชน่ ได้รับทาง email ได้รับแจง้ ทางโทรศพั ท์ ไดร้ ับเปน็ เอกสาร]
b. […]
วตั ถปุ ระสงคใ์ นการประมวลผลข้อมูล
1. [เราจัดเก็บขอ้ มลู ส่วนบคุ คลของท่านเพื่อการ….]
2. [เราจดั เกบ็ ขอ้ มลู ส่วนบุคคลของทา่ นเพือ่ การ….]
หมายเหต:ุ 1. ท่านควรระบุวัตถุประสงค์ในการประมวลผลให้ชัดเจน และรัดกุมที่สุด เพื่อเป็นการกำหนดกรอบในการ
ประมวลผลของท่าน และเพอ่ื ให้เจา้ ของขอ้ มูลพิจารณาเพื่อให้ความยนิ ยอมในการประมวลผลข้อมูลของท่าน
อาทิ การปฏิบัติตามกฎหมายและข้อบังคับ ข้อกำหนดด้านกฎระเบียบ การปฏิบัติตามสัญญา (รวมถึงการ
ปฏิบัตติ ามเงื่อนไขการใหบ้ ริการของบริษัทฯ) การติดต่อสื่อสารที่เก่ียวข้องกับบรกิ าร การให้บริการหรือการ
ดูแลลูกค้า การควบคุมคุณภาพของการให้บริการ ความปลอดภัยของเครือข่ายและข้อมูล การวิจัยและการ
พัฒนา การปรับปรุงประสบการณ์ผู้ใช้ของ website การได้มาซ่ึงกจิ การ หรือ การควบรวมกิจการ หรือ การ
เปลีย่ นแปลงโครงสร้างขององค์กร การมสี ว่ นรว่ มในกิจกรรมทางการตลาด เป็นตน้
2. หากท่านพบว่ามีความจำเป็นต้องประมวลผลด้วยวตั ถุประสงค์ที่แตกต่างจากเดิมที่ได้รับความยินยอมไว้
ทา่ นจะต้องแจ้งวัตถปุ ระสงค์ใหม่ให้แกเ่ จ้าของข้อมูลก่อนท่ีจะทำการประมวลผลตามวัตถุประสงคใ์ หม่นั้น และ
ท่านควรอธิบายความจำเป็น ความแตกต่าง รวมถึงผลกระทบที่อาจเกิดขึ้นจากความเปลี่ยนแปลงดังกล่าว
ใหแ้ กเ่ จ้าของข้อมลู ทราบ
การประมวลผลข้อมลู สว่ นบคุ คล
เมอ่ื ได้รับขอ้ มูลสว่ นบุคคลจากแหลง่ ทม่ี าของข้อมูลส่วนบคุ คลแลว้ เราจะดำเนนิ การดงั น้ีกับข้อมลู สว่ นบคุ คลของทา่ น
❒ เกบ็ รวบรวม [รายละเอยี ดการประมวลผล]
❒ ใช้ [รายละเอียดการประมวลผล]
❒ เปดิ เผย [รายละเอยี ดการประมวลผล] ทั้งน้ี บุคคล หนว่ ยงาน ที่เราอาจเปดิ เผยขอ้ มลู ส่วนบคุ คลของท่านมี ดงั น้ี
[รายช่อื หรือ ประเภท (ละเอยี ดท่สี ุดเทา่ ท่ีจะสามารถระบไุ ด้) ของผทู้ ่ีอาจไดร้ บั ข้อมลู สว่ นบคุ คลจากทา่ น] นอกจากน้ี เรา
อาจจำเป็นต้องสง่ ขอ้ มูลสว่ นบคุ คลของทา่ นไปยังหน่วยงานข้อมูลเครดิต เพอ่ื ตรวจสอบ และอาจใชผ้ ลการตรวจสอบข้อมูล
ดงั กลา่ วเพื่อการป้องกันการฉอ้ โกง
เราอาจมคี วามจำเป็นในการโอนข้อมลู สว่ นบคุ คลของทา่ นไปยังหนว่ ยงานต่างประเทศหรือองค์กรระหว่าง
ประเทศ โดยมรี ายช่อื ดงั น้ี
132 Thailand Data Protection Guidelines 3.0
[รายช่ือ]
หน่วยงานดังกลา่ วมมี าตรการคุ้มครองข้อมลู สว่ นบคุ คลทเ่ี พียงพอ (appropriate safeguards) และจะ
สามารถบงั คบั ใชส้ ทิ ธิของเจ้าของข้อมลู รวมทง้ั มีมาตรการเยยี วยาตามกฎหมายที่จะบังคับใช้ได้ ซ่ึงมรี ายละเอยี ดดังน้ี
[รายละเอยี ดของมาตรฐานการคุ้มครองข้อมูลสว่ นบคุ คลของหนว่ ยงาน ประเทศที่หน่วยงานน้นั ต้งั อยู่พอ
สังเขป]
การเก็บรกั ษาและระยะเวลาในการเกบ็ รกั ษาขอ้ มลู ส่วนบคุ คล
การเกบ็ รกั ษาข้อมลู สว่ นบุคคล
ผู้ควบคมุ ทำการเก็บรักษาขอ้ มลู ส่วนบคุ คลของท่าน ดงั น้ี
1. ลักษณะการเก็บ [จัดเก็บเป็น Soft Copy / Hard Copy]
2. สถานทจ่ี ดั เกบ็ [เก็บไว้ทีห่ ้อง ตู้ ทีม่ อี ปุ กรณน์ ริ ภยั / เก็บไว้ใน computer / เก็บไว้บน Cloud ท่ใี ชบ้ รกิ ารกับ…]
4. ระยะเวลาจดั เก็บ เปน็ ไปตามหัวขอ้ ระยะเวลาในการประมวลผลข้อมูลส่วนบคุ คล
5. เมอื่ พ้นระยะเวลาจัดเกบ็ หรอื เราไมม่ ีสิทธหิ รือไม่สามารถอ้างฐานในการประมวลผลขอ้ มลู ส่วนบคุ คลของท่านแล้ว
เราจะดำเนินการทำลายขอ้ มูลส่วนบคุ คลน้นั ดว้ ยวิธกี าร [วิธีการทำลาย กรณี Soft Copy / Hard Copy] และจะ
ดำเนินการใหแ้ ล้วเสร็จภายใน [จำนวนวัน] วันนบั แตว่ นั ส้ินสุดระยะเวลาดงั กล่าว
ระยะเวลาการเก็บรักษาขอ้ มลู สว่ นบุคคล ระยะเวลาประมวลผล
10 ปี นับแตว่ นั ท่ีเลิกสญั ญา
ลำดบั ที่ ประเภท / รายการขอ้ มลู ส่วนบุคคล
1. [ข้อมูลที่บ่งชี้ตัวตน อาทิ ชื่อ ที่อยู่ สถานที่ติดต่อ เบอร์โทร [ระยะเวลา]
email]
2. [ขอ้ มลู xxx]
หมายเหตุ: 1. ประเภทและรายการข้อมลู ส่วนบุคคลอาจเป็นชุดเดยี วกันกบั ทีร่ ะบไุ ว้ในหัวขอ้ “ข้อมลู สว่ นบุคคลท่เี ราเกบ็
รวบรวม”
2. ทา่ นจะตอ้ งกำหนดระยะเวลาในการประมวลผลอย่างชดั เจน โดยอาจอา้ งองิ ตามระยะเวลาท่ีกำหนดตาม
กฎหมาย อาทิ กฎหมายวา่ ดว้ ยการปอ้ งกนั และปราบปรามการฟอกเงิน กฎหมายว่าด้วยสถาบนั การเงิน
กฎหมายว่าด้วยภาษีอากร กฎหมายว่าดว้ ยการบัญชี เปน็ ต้น หรือ อาจอ้างองิ จากมาตรฐาน หรอื แนวปฏิบตั ิ
ของธุรกิจในอตุ สาหกรรมนั้นๆ หรือตามท่กี ำหนดโดยสมาคมผ้ปู ระกอบธุรกิจตา่ งๆ
3. หากทา่ นไม่สามารถระบรุ ะยะเวลาประมวลผลท่แี นน่ อนได้ ท่านอาจระบุระยะเวลาที่อาจคาดหมายได้ตาม
มาตรฐานของการประมวลผลนั้นแทนได้
ศนู ยว์ จิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณ์มหาวิทยาลยั 133
สทิ ธขิ องเจ้าของขอ้ มูล
ทา่ นมีสิทธิในการดำเนินการ ดงั ต่อไปน้ี
(1) สิทธใิ นการเพกิ ถอนความยนิ ยอม (right to withdraw consent): ทา่ นมสี ิทธใิ นการเพกิ ถอนความยนิ ยอมในการ
ประมวลผลขอ้ มลู ส่วนบคุ คลทท่ี า่ นได้ใหค้ วามยินยอมกับเราได้ ตลอดระยะเวลาทขี่ ้อมูลสว่ นบคุ คลของทา่ นอยูก่ บั เรา
(2) สทิ ธิในการเข้าถึงขอ้ มูลส่วนบคุ คล (right of access): ทา่ นมสี ิทธใิ นการเขา้ ถงึ ข้อมลู สว่ นบคุ คลของท่านและขอใหเ้ รา
ทำสำเนาขอ้ มลู ส่วนบคุ คลดังกล่าวใหแ้ ก่ท่าน รวมถึงขอใหเ้ ราเปิดเผยการไดม้ าซ่ึงข้อมูลสว่ นบุคคลทที่ า่ นไมไ่ ด้ใหค้ วาม
ยินยอมตอ่ เราได้
(3) สิทธใิ นการแกไ้ ขขอ้ มลู ส่วนบคุ คลใหถ้ กู ต้อง (right to rectification): ท่านมสี ทิ ธิในการขอใหเ้ ราแก้ไขขอ้ มูลที่ไม่
ถกู ตอ้ ง หรือ เพม่ิ เติมข้อมลู ที่ไม่สมบูรณ์
(4) สิทธใิ นการลบข้อมูลสว่ นบคุ คล (right to erasure): ทา่ นมสี ิทธใิ นการขอใหเ้ ราทำการลบข้อมลู ของท่านด้วยเหตบุ าง
ประการได้
(5) สทิ ธใิ นการระงบั การใชข้ อ้ มลู สว่ นบคุ คล (right to restriction of processing): ท่านมสี ิทธใิ นการระงบั การใช้ขอ้ มลู
สว่ นบุคคลของท่านด้วยเหตบุ างประการได้
(6) สทิ ธิในการใหโ้ อนย้ายขอ้ มลู สว่ นบุคคล (right to data portability): ทา่ นมีสิทธิในการโอนยา้ ยขอ้ มูลสว่ นบุคคลของ
ทา่ นท่ที า่ นใหไ้ ว้กับเราไปยงั ผคู้ วบคุมข้อมลู รายอน่ื หรือ ตวั ทา่ นเองดว้ ยเหตุบางประการได้
(7) สทิ ธิในการคัดค้านการประมวลผลข้อมลู ส่วนบุคคล (right to object): ทา่ นมีสิทธใิ นการคัดค้านการประมวลผล
ขอ้ มลู สว่ นบุคคลของท่านด้วยเหตุบางประการได้
ท่านสามารถติดตอ่ มายังเจ้าหนา้ ที่ DPO/เจ้าหนา้ ท่ฝี า่ ยของเราได้ เพื่อดำเนินการย่นื คำร้องขอดำเนินการตาม
สิทธขิ ้างต้นได้ (รายละเอยี ดการติดต่อปรากฏในหวั ขอ้ “ช่องทางการติดตอ่ ” ด้านล่างน้ี) หรอื ท่านสามารถศกึ ษา
รายละเอยี ดเงอ่ื นไข ข้อยกเว้นการใชส้ ิทธติ า่ งๆ ได้ท่ี [link รายละเอียดของการใชส้ ทิ ธ*ิ ] หรอื ทา่ นอาจศกึ ษาเพ่ิมเตมิ ไดท้ ่ี
[link ข้อมลู สำหรับเจา้ ของขอ้ มูลสว่ นบุคคล เชน่ TDPG2.0, เวบ็ ไซตก์ ระทรวงดจิ ิทัลเพอ่ื เศรษฐกิจและสังคม
http://www.mdes.go.th]
ทัง้ นี้ ท่านไมจ่ ำเปน็ ตอ้ งเสยี คา่ ใชจ้ ่ายใดๆ ในการดำเนินตามสิทธิข้างตน้ โดยเราจะพิจารณาและแจง้ ผลการ
พจิ ารณาตามคำร้องของทา่ นภายใน 30 วนั นบั แต่วันที่เราได้รับคำรอ้ งขอดังกล่าว
หมายเหต:ุ * กรณุ าพจิ ารณารายละเอียดของสิทธขิ องเจ้าของขอ้ มูลไดใ้ นหวั ขอ้ D3. แนวปฏบิ ตั เิ ก่ยี วกับการจดั การคำรอ้ ง
ขอของเจ้าของขอ้ มูล
134 Thailand Data Protection Guidelines 3.0
กิจกรรมทางการตลาดและการส่งเสริมการตลาด
ในระหวา่ งการใชบ้ ริการ เราจะสง่ ข้อมูลขา่ วสารเกย่ี วกับกิจกรรมทางการตลาด และการสง่ เสริมการตลาด ผลิตภัณฑ์ การ
ให้บริการของเราทเี่ ราคดิ ว่าท่านอาจสนใจเพ่ือประโยชน์ในการให้บรกิ ารกับทา่ นอยา่ งเตม็ ประสทิ ธิภาพ หากท่านได้ตกลง
ที่จะรับข้อมูลขา่ วสารดงั กล่าวจากเราแล้ว ท่านมีสิทธิยกเลกิ ความยินยอมดังกล่าวได้ทุกเมื่อ โดยท่านสามารดำเนินการ
ยกเลกิ ความยนิ ยอมในการรับแจง้ ข้อมูลขา่ วสารได้ ตามขนั้ ตอนดังนี้
[ขน้ั ตอนการยกเลกิ การรบั ขอ้ มลู ข่าวสาร]
Cookies คืออะไร?
Cookies คอื text files ท่ีอยใู่ นคอมพิวเตอร์ของท่านที่ใชเ้ พ่อื จัดเกบ็ รายละเอียดขอ้ มูล log การใช้งาน internet ของ
ทา่ น หรือ พฤตกิ รรมการเยีย่ มชม website ของทา่ น ทา่ นสามารถศึกษารายละเอยี ดเพ่ิมเติมของ Cookies ได้จาก
https://www.allaboutcookies.org/
เราใช้ Cookies อย่างไร?
เราจะจัดเกบ็ ขอ้ มลู การเขา้ เยย่ี มชม website จากผูเ้ ข้าเยย่ี มชมทกุ รายผ่าน Cookies หรอื เทคโนโลยที ่ีใกล้เคยี ง และเรา
จะใช้ Cookies เพอ่ื ประโยชน์ ในการพฒั นาประสิทธิภาพในการเข้าถงึ บรกิ ารของเราผ่าน internet รวมถึงพฒั นา
ประสทิ ธภิ าพในการใชง้ านบริการของเราทาง internet โดยจะใช้เพอื่ กรณี ดงั ต่อไปน้ี
1. เพื่อให้ทา่ นสามารถ sign in บญั ชีของทา่ นใน website ของเราไดอ้ ย่างต่อเนอ่ื ง
2. เพอ่ื ศกึ ษาพฤติกรรมการใชง้ าน website ของท่าน เพอ่ื นำไปพัฒนาใหส้ ามารถใชง้ านได้งา่ ย รวดเรว็ และมี
ประสิทธิภาพย่ิงขนึ้
3. […]
ประเภทของ Cookies ทเี่ ราใช้?
เราใช้ Cookies ดงั ตอ่ ไปน้ี สำหรบั website ของเรา
1. [Functionality – cookies ท่ีใชใ้ นการจดจำสง่ิ ทล่ี ูกค้าเลือกเปน็ preferences เชน่ ภาษาที่ใช้ เป็นตน้ ]
2. [Advertising – cookies ทใี่ ช้ในการจดจำสง่ิ ท่ลี กู คา้ เคยเยยี่ มชม เพื่อนำเสนอสินค้า บรกิ าร หรอื สอื่ โฆษณาท่ี
เกย่ี วขอ้ งเพื่อใหต้ รงกบั ความสนใจของผใู้ ช้งาน]
3. […]
การจดั การ Cookies
ทา่ นสามารถตง้ั คา่ มิให้ browser ของทา่ น ตกลงรบั Cookies ของเราได้ โดยมีขนั้ ตอนในการจัดการ Cookies ดงั นี้
[ขนั้ ตอนการต้งั คา่ โดยอาจกำหนดเป็นกรณีใช้ Google Chrome / กรณีใช้ Safari / กรณใี ช้ Internet Explorer เปน็ ตน้ ]
นโยบายคุ้มครองขอ้ มูลสว่ นบคุ คลของ website อน่ื
นโยบายความเปน็ สว่ นตวั ฉบบั นี้ ใชเ้ ฉพาะสำหรับการใหบ้ รกิ ารของเราและการใช้งาน website ของเราเท่านั้น หากทา่ น
ได้กด link ไปยัง website อื่น (แมจ้ ะผ่านชอ่ งทางใน website ของเราก็ตาม) ทา่ นจะตอ้ งศกึ ษาและปฏบิ ัตติ ามนโยบาย
ความเปน็ ส่วนตวั ทีป่ รากฏใน website นน้ั ๆ แยกต่างหากจากของเรา
ศูนยว์ จิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณ์มหาวิทยาลยั 135
การเปลี่ยนแปลงนโยบายคมุ้ ครองข้อมูลส่วนบคุ คล
เราจะทำการพจิ ารณาทบทวนนโยบายความเปน็ ส่วนตัวเป็นประจำเพือ่ ใหส้ อดคล้องกับแนวปฏบิ ัติ และ กฎหมาย
ขอ้ บังคบั ทเ่ี ก่ียวขอ้ ง ทง้ั น้ี หากมกี ารเปลีย่ นแปลงนโยบายความเปน็ ส่วนตัว เราจะแจ้งใหท้ ่านทราบดว้ ยการ update
ขอ้ มูลลงใน website ของเราโดยเรว็ ที่สดุ ปัจจุบัน นโยบายความเปน็ สว่ นตัวถูกทบทวนครง้ั ล่าสุดเมอ่ื [dd/mm/yy]
ชอ่ งทางการตดิ ต่อ
รายละเอียดผคู้ วบคมุ ขอ้ มลู
ชอ่ื : [ชอ่ื ภาษาไทย และองั กฤษ (ถา้ ม)ี ]
สถานท่ีตดิ ต่อ: [ทีอ่ ยสู่ ำนกั งานใหญ่ สถานทท่ี ำงานของผ้คู วบคุมขอ้ มลู ]
ช่องทางการติดต่อ: [โทรศัพท]์
[email]
[website ]
[ช่องทางตดิ ตอ่ หรอื รบั ขา่ วสารอ่นื ๆ : อาท.ิ LINE, Facebook, Instagram, Twitter หรือ
Social Media อ่ืนๆ]
รายละเอียดตัวแทนผ้รู บั ผดิ ชอบ (ถา้ มี)*
ชื่อตัวแทนผรู้ บั ผิดชอบ:[ช่ือภาษาไทย และองั กฤษ (ถ้าม)ี ]
สถานทีต่ ิดต่อ: [ทอี่ ยู่สำนักงานใหญ่ สถานทที่ ำงานของผู้ควบคมุ ข้อมลู ]
ช่องทางการตดิ ตอ่ : [โทรศัพท์]
[email]
[website]
[ช่องทางติดตอ่ หรอื รบั ข่าวสารอนื่ ๆ : อาทิ. LINE, Facebook, Instagram, Twitter
หรอื Social Media อนื่ ๆ]
หมายเหตุ: *เป็นกรณที ่ที ่านเปน็ บุคคลหรือนิติบคุ คลที่อยนู่ อกราชอาณาจกั รตามมาตรา 5 วรรคสองแห่งพระราชบัญญตั ิ
คมุ้ ครองข้อมลู ส่วนบุคคล พ.ศ. 2562
รายละเอียดเจา้ หนา้ ท่คี ุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) (ถา้ มี)
ชื่อ: [ชือ่ ภาษาไทย และองั กฤษ (ถา้ ม)ี ]
สถานทตี่ ิดตอ่ : [ท่อี ยู่สำนักงานใหญ่ สถานท่ที ำงานของผู้ควบคมุ ข้อมลู ]
ช่องทางการตดิ ต่อ:* [โทรศัพท]์
[email]
136 Thailand Data Protection Guidelines 3.0
หมายเหตุ: *ท่านควรจัดใหม้ ชี ่องทางการตดิ ตอ่ เฉพาะสำหรบั เจ้าหน้าทคี่ ้มุ ครองข้อมูลสว่ นบุคคลของท่าน แยกต่างหาก
จากช่องทางการตดิ ต่อหลกั นอกจากน้ี ทา่ นควรจัดให้มกี ารประชาสมั พนั ธ์รายละเอยี ดของ DPO ใหแ้ ก่
บุคลากรภายในองคก์ รของทา่ นทราบดว้ ย
รายละเอยี ดหนว่ ยงานกำกับดูแล
ในกรณีทเี่ ราหรอื ลูกจา้ งหรอื พนกั งานของเราฝา่ ฝืนหรือไม่ปฏบิ ตั ติ ามกฎหมายเกย่ี วกับการคมุ้ ครองข้อมลู สว่ นบคุ คล ทา่ น
สามารถร้องเรยี นต่อหนว่ ยงานกำกับดูแล ตามรายละเอยี ดดงั น้ี
ชื่อ: สำนักงานคณะกรรมการค้มุ ครองขอ้ มลู ส่วนบคุ คล
สถานทีต่ ิดต่อ: [ที่อยู่]
ช่องทาการติดต่อ: [โทรศัพท]์
[email]
ระยะเวลาในการติดต่อ /รอ้ งเรียน [ภายใน…วันนบั แต่….. ] 148
148 ปัจจบุ ันสำนักงานคณะกรรมการคุ้มครองขอ้ มลู ส่วนบคุ คลยงั มไิ ดก้ ำหนดหลักเกณฑ์ในการย่ืนขอ้ รอ้ งเรียน หรือยื่นคำ
ร้องต่างๆ ใหแ้ กส่ ำนักงาน จึงตอ้ งติดตามประกาศของสำนกั งานดังกลา่ วท่เี กี่ยวข้องตอ่ ไป
ศูนย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวิทยาลยั 137
ตัวอย่างเอกสารแจ้งข้อมูลการประมวลผลข้อมูล (แบบยอ่ )
Privacy Notice (Abridged)
ขอ้ มลู ของผู้ควบคุมขอ้ มูล
ช่อื : [ชื่อภาษาไทย และองั กฤษ (ถา้ มี)]
สถานท่ีติดตอ่ : [ที่อยสู่ ำนักงานใหญ่ สถานท่ที ำงานของผูค้ วบคมุ ข้อมลู ]
ช่องทางการตดิ ต่อ: [โทรศพั ท]์
[email]
[website]
[ช่องทางติดตอ่ หรอื รบั ข่าวสารอืน่ ๆ: อาท.ิ LINE, Facebook, Instagram, Twitter หรอื Social
Media อนื่ ๆ]
ทง้ั นี้ รายละเอยี ดตวั แทนผูร้ ับผดิ ชอบ และ เจา้ หนา้ ทีค่ ุ้มครองขอ้ มลู สว่ นบุคคล (Data Protection Officer : DPO)
ปรากฏตามนโยบายคมุ้ ครองข้อมลู ส่วนบุคคลเรื่อง “ช่องทางการตดิ ต่อ”
ขอ้ มูลสว่ นบุคคลทีจ่ ะทำการประมวลผล
รายละเอยี ดปรากฏตามนโยบายคมุ้ ครองข้อมลู ส่วนบคุ คล เรอ่ื ง “ขอ้ มลู ส่วนบุคคลทีเ่ ราเกบ็ รวบรวม” และ “ระยะเวลา
ในการเก็บรกั ษาขอ้ มลู ส่วนบคุ คล”
วัตถปุ ระสงค์และฐานในการประมวลผลขอ้ มลู
รายละเอยี ดปรากฏตามนโยบายค้มุ ครองขอ้ มูลส่วนบคุ คล เร่อื ง “วตั ถปุ ระสงค์ในการประมวลผลข้อมูล”
ฐานในการประมวลผลข้อมลู
เราดำเนนิ การประมวลผลข้อมูลส่วนบคุ คลของท่านภายใต้ฐาน ดงั ต่อไปน้ี
❒ การปฏบิ ัตติ ามสัญญา [ตามสญั ญา…] [นอกจากน้ี ต้องระบถุ งึ ความจำเปน็ ทีเ่ จ้าของข้อมูลตอ้ งปฏิบัติตามสัญญา
กฎหมาย หรือ เพือ่ การเขา้ ทำสัญญา และตอ้ งระบถุ งึ ผลกระทบท่เี ป็นไปได้จากการไม่ใหข้ อ้ มลู ส่วนบุคคลนัน้ ]
❒ ความยนิ ยอม [ตามทีท่ า่ นไดใ้ หค้ วามยินยอมเมอื่ ….] ทง้ั นี้ หากท่านประสงค์จะถอนความยนิ ยอม ทา่ นสามารถ
ดำเนนิ การไดด้ งั นี้ [แนวทางในการถอนความยนิ ยอม อาทิ แจง้ ทางวาจา / แจง้ ร้องเรียน / แจ้งทางอเี มล ทงั้ น้ี ตอ้ งไมย่ าก
ไปกว่าขัน้ ตอนการขอความยนิ ยอม] ทง้ั นี้ การถอนความยนิ ยอมจะไมส่ ง่ ผลกระทบตอ่ การประมวลผลขอ้ มลู สว่ นบคุ คลที่
ท่านได้ใหค้ วามยนิ ยอมไปแล้วโดยชอบดว้ ยกฎหมาย นอกจากนี้ ผลกระทบจากการถอนความยินยอม มีดังน้ี [ผลกระทบ
จากการถอนความยนิ ยอม เชน่ ทา่ นอาจไดร้ บั ความสะดวกในการใหบ้ ริการน้อยลง เปน็ ต้น]
❒ ผลประโยชน์สำคญั จำเป็นตอ่ ชีวิต [เหตคุ วามจำเปน็ รา้ ยแรงของเหตุการณ์]
❒ หน้าทต่ี ามกฎหมาย [อา้ งองิ กฎหมาย]
❒ การดำเนินงานตามภารกจิ ของรฐั [อา้ งอิงหนว่ ยงาน และภารกจิ ของรัฐ]
138 Thailand Data Protection Guidelines 3.0
❒ การจำเปน็ เพอ่ื ประโยชน์โดยชอบดว้ ยกฎหมายของเรา หรอื บคุ คลอนื่ โดยประโยชนด์ ังกลา่ วมีความสำคญั มากกว่า
สทิ ธขิ น้ั พน้ื ฐานในข้อมลู ส่วนบคุ คลของเจา้ ของข้อมลู ดังนี้ [อธบิ ายเหตผุ ล]
แหล่งทม่ี าของขอ้ มูลส่วนบคุ คล
1. เราไดร้ บั ข้อมูลส่วนบุคคลจากท่านโดยตรง เมื่อวันท่ี [วันท]ี่
2. เราได้รบั ข้อมูลสว่ นบคุ คลของทา่ นมาจาก [บคุ คลทสี่ ามท่ีเปดิ เผยขอ้ มลู ] โดยได้รับขอ้ มูลด้วยวธิ ีการ [วิธีการ เช่น
ได้รบั ทาง email ไดร้ บั แจ้งทางโทรศัพท์ ไดร้ บั เปน็ เอกสาร] เม่อื วนั ที่ [วนั ที่]
การประมวลผลขอ้ มลู ส่วนบุคคล
รายละเอยี ดปรากฏตามนโยบายคุ้มครองข้อมลู สว่ นบุคคล เรอ่ื ง “การประมวลผลข้อมลู สว่ นบคุ คล”
การเก็บรกั ษาขอ้ มูลส่วนบคุ คล
รายละเอียดปรากฏตามนโยบายคุม้ ครองข้อมูลส่วนบุคคล เรื่อง “การเกบ็ รกั ษาข้อมูลสว่ นบุคคล”
สทิ ธขิ องเจ้าของข้อมูล
รายละเอยี ดปรากฏตามนโยบายคุม้ ครองขอ้ มลู ส่วนบุคคล เรอ่ื ง “สทิ ธิของเจา้ ของข้อมูล”
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณ์มหาวิทยาลยั 139
ตัวอย่างเอกสารแจ้งขอ้ มูลการประมวลผลข้อมลู (แบบละเอียด)
Privacy Notice
ข้อมูลของผคู้ วบคุมขอ้ มูล
รายละเอียดผ้คู วบคุมขอ้ มลู
ชอื่ : [ช่ือภาษาไทย และอังกฤษ (ถา้ ม)ี ]
สถานท่ตี ิดตอ่ : [ที่อยู่สำนักงานใหญ่ สถานท่ที ำงานของผคู้ วบคุมข้อมูล]
ชอ่ งทางการติดตอ่ : [โทรศพั ท์]
[email]
[website]
[ช่องทางตดิ ตอ่ หรอื รับขา่ วสารอนื่ ๆ : อาท.ิ LINE, Facebook, Instagram, Twitter หรือ
Social Media อืน่ ๆ]
รายละเอยี ดตวั แทนผรู้ บั ผดิ ชอบ (ถ้าม)ี *
ชอื่ ตวั แทนผู้รบั ผิดชอบ:[ชื่อภาษาไทย และอังกฤษ (ถา้ ม)ี ]
สถานที่ตดิ ตอ่ : [ที่อยสู่ ำนักงานใหญ่ สถานทที่ ำงานของผคู้ วบคุมขอ้ มูล]
ชอ่ งทางการติดต่อ: [โทรศพั ท]์
[email]
[website]
[ช่องทางตดิ ตอ่ หรอื รบั ข่าวสารอื่นๆ : อาทิ. LINE, Facebook, Instagram, Twitter
หรือ Social Media อื่นๆ]
หมายเหตุ: *เป็นกรณที ี่ทา่ นเปน็ บุคคลหรอื นิตบิ คุ คลทอ่ี ยนู่ อกราชอาณาจกั ร ตามมาตรา 5 วรรคสอง แห่งพระราชบญั ญตั ิ
คมุ้ ครองข้อมลู ส่วนบุคคล พ.ศ. 2562
รายละเอยี ดเจา้ หน้าทีค่ ุ้มครองขอ้ มูลสว่ นบุคคล (Data Protection Officer: DPO) (ถ้ามี)
ช่อื : [ช่ือภาษาไทย และอังกฤษ (ถา้ ม)ี ]
สถานที่ติดต่อ: [ที่อยสู่ ำนกั งานใหญ่ สถานท่ที ำงานของผู้ควบคุมข้อมูล]
ชอ่ งทางการติดต่อ:* [โทรศพั ท์]
[email]
140 Thailand Data Protection Guidelines 3.0
หมายเหตุ: *ทา่ นควรจดั ให้มชี อ่ งทางการตดิ ตอ่ เฉพาะสำหรบั เจ้าหน้าท่ีคุ้มครองข้อมูลสว่ นบคุ คลของท่าน แยกตา่ งหาก
จากชอ่ งทางการติดตอ่ หลัก นอกจากน้ี ทา่ นควรจดั ให้มีการประชาสมั พันธ์รายละเอียดของ DPO ใหแ้ ก่
บคุ ลากรภายในองคก์ รของทา่ นทราบดว้ ย
ข้อมูลส่วนบุคคลท่จี ะทำการประมวลผล
1. [ขอ้ มูลทบ่ี ง่ ชี้ตัวตน อาทิ ชื่อ ที่อยู่ สถานทต่ี ิดตอ่ เบอรโ์ ทร email]
2. [ข้อมูล xxx]
หมายเหตุ: *ทา่ นจะต้องกรอกข้อมลู สว่ นบุคคลท่ที า่ นต้องการจะไดร้ ับจากเจ้าของขอ้ มลู ส่วนบคุ คล (หรือ บุคคลท่สี าม)
ทง้ั หมด ไม่วา่ จะเปน็ การกำหนดประเภทข้อมูล และรายละเอียดขอ้ มูลท่ีต้องการใหล้ ะเอยี ดท่สี ุด เพอ่ื ให้
เจา้ ของข้อมูลสามารถรบั รแู้ ละพิจารณาให้ความยนิ ยอม หรือ ใช้สทิ ธิของเจ้าของขอ้ มลู ต่อไป
อนง่ึ กรณุ าพิจารณารายละเอยี ดของนิยาม และการจดั ประเภทขอ้ มลู สว่ นบคุ คล ในหวั ขอ้ B แนวทาง
ปฏบิ ัติการกำหนดและแยกแยะข้อมลู สว่ นบคุ คล (Guidelines for Personal Data Classification)
ระยะเวลาในการประมวลผลข้อมลู สว่ นบุคคล ระยะเวลาประมวลผล
10 ปี นบั แต่วนั ท่ีเลิกสัญญา
ลำดับท่ี ประเภท / รายการขอ้ มลู สว่ นบุคคล
1. [ข้อมูลที่บ่งชี้ตัวตน อาทิ ชื่อ ที่อยู่ สถานที่ติดต่อ เบอร์โทร [ระยะเวลา]
email]
2. [ข้อมูล xxx]
หมายเหต:ุ 1. ประเภทและรายการข้อมูลส่วนบคุ คลอาจเปน็ ชุดเดียวกันกับท่รี ะบไุ ว้ในหวั ข้อ “ข้อมูลส่วนบคุ คลทีเ่ ราเกบ็
รวบรวม”
2. ทา่ นจะตอ้ งกำหนดระยะเวลาในการประมวลผลอยา่ งชัดเจน โดยอาจอ้างอิงตามระยะเวลาทก่ี ำหนดตาม
กฎหมาย อาทิ กฎหมายวา่ ดว้ ยการปอ้ งกนั และปราบปรามการฟอกเงนิ กฎหมายว่าดว้ ยสถาบนั การเงนิ
กฎหมายว่าดว้ ยภาษอี ากร กฎหมายวา่ ด้วยการบญั ชี เป็นตน้ หรือ อาจอา้ งองิ จากมาตรฐาน หรอื แนวปฏบิ ัติ
ของธรุ กิจในอตุ สาหกรรมนัน้ ๆ หรือตามทีก่ ำหนดโดยสมาคมผปู้ ระกอบธุรกิจตา่ งๆ
3. หากท่านไมส่ ามารถระบรุ ะยะเวลาประมวลผลทแ่ี นน่ อนได้ ท่านอาจระบรุ ะยะเวลาทอี่ าจคาดหมายได้ตาม
มาตรฐานของการประมวลผลนน้ั แทนได้
วัตถปุ ระสงคแ์ ละฐานในการประมวลผลข้อมูล
วตั ถุประสงคใ์ นการประมวลผลขอ้ มลู
1. [เราจดั เกบ็ ข้อมูลสว่ นบุคคลของท่านเพอื่ การ….]
2. [เราจดั เกบ็ ข้อมลู สว่ นบคุ คลของทา่ นเพื่อการ….]
ศูนยว์ จิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จุฬาลงกรณม์ หาวิทยาลยั 141
หมายเหต:ุ 1. ท่านควรระบุวตั ถปุ ระสงค์ในการประมวลผลให้ชัดเจน และรัดกุมที่สดุ เพ่อื เป็นการกำหนดกรอบในการ
ประมวลผลของทา่ น และเพื่อใหเ้ จ้าของข้อมลู พจิ ารณาเพอ่ื ให้ความยินยอมในการประมวลผลขอ้ มูลของทา่ น
อาทิ การปฏบิ ัติตามกฎหมายและข้อบังคบั ข้อกำหนดด้านกฎระเบียบ การปฏิบตั ติ ามสญั ญา (รวมถงึ การ
ปฏิบัตติ ามเง่อื นไขการใหบ้ รกิ ารของบริษทั ฯ) การติดตอ่ สอื่ สารทเ่ี ก่ียวข้องกับบริการ การให้บริการหรือการ
ดแู ลลกู คา้ การควบคมุ คณุ ภาพของการใหบ้ ริการ ความปลอดภยั ของเครือข่ายและข้อมลู การวจิ ัยและการ
พฒั นา การปรับปรุงประสบการณผ์ ู้ใชข้ อง website การได้มาซึ่งกิจการ หรือ การควบรวมกิจการ หรือ การ
เปล่ียนแปลงโครงสร้างขององคก์ ร การมสี ่วนร่วมในกจิ กรรมทางการตลาด เป็นต้น
2. หากท่านพบวา่ มคี วามจำเป็นต้องประมวลผลดว้ ยวตั ถุประสงค์ทแ่ี ตกต่างจากเดิมทไี่ ดร้ ับความยินยอมไว้
ทา่ นจะตอ้ งแจง้ วตั ถปุ ระสงค์ใหมใ่ หแ้ กเ่ จา้ ของข้อมลู ก่อนทจี่ ะทำการประมวลผลตามวัตถุประสงค์ใหมน่ นั้ และ
ท่านควรอธบิ ายความจำเป็น ความแตกตา่ ง รวมถึงผลกระทบทอ่ี าจเกิดขึ้นจากความเปล่ยี นแปลงดังกล่าว
ใหแ้ กเ่ จา้ ของขอ้ มูลทราบ
ฐานในการประมวลผลขอ้ มูล
เราดำเนนิ การประมวลผลข้อมลู สว่ นบุคคลของทา่ นภายใตฐ้ าน ดังต่อไปน้ี
❒ การปฏิบตั ติ ามสัญญา [ตามสัญญา…] [นอกจากนี้ ต้องระบถุ งึ ความจำเป็นที่เจา้ ของข้อมูลต้องปฏบิ ัตติ ามสญั ญา
กฎหมาย หรือ เพอื่ การเข้าทำสญั ญา และตอ้ งระบถุ ึงผลกระทบที่เป็นไปไดจ้ ากการไมใ่ หข้ ้อมลู สว่ นบุคคลนน้ั ]
❒ ความยินยอม [ตามท่ีท่านไดใ้ หค้ วามยนิ ยอมเมือ่ ….] ทงั้ นี้ หากทา่ นประสงคจ์ ะถอนความยินยอม ท่านสามารถ
ดำเนินการได้ ดังนี้ [แนวทางในการถอนความยนิ ยอม อาทิ แจง้ ทางวาจา แจ้งร้องเรียน แจง้ ทางอีเมล ท้ังน้ี ต้องไมย่ ากไป
กวา่ ขั้นตอนการขอความยนิ ยอม]] ทง้ั นี้ การถอนความยนิ ยอมจะไมส่ ่งผลกระทบตอ่ การประมวลผลขอ้ มูลส่วนบคุ คลท่ี
ทา่ นไดใ้ ห้ความยินยอมไปแลว้ โดยชอบดว้ ยกฎหมาย นอกจากน้ี ผลกระทบจากการถอนความยนิ ยอม มีดงั นี้ [ผลกระทบ
จากการถอนความยนิ ยอม เชน่ ทา่ นอาจได้รบั ความสะดวกในการใหบ้ ริการน้อยลง เปน็ ตน้ ]
❒ ผลประโยชนส์ ำคญั จำเปน็ ต่อชวี ิต [เหตคุ วามจำเปน็ ร้ายแรงของเหตกุ ารณ์]
❒ หนา้ ที่ตามกฎหมาย [อา้ งอิงกฎหมาย]
❒ การดำเนินงานตามภารกจิ ของรัฐ [อ้างองิ หนว่ ยงาน และภารกจิ ของรฐั ]
❒ การจำเปน็ เพอื่ ประโยชนโ์ ดยชอบด้วยกฎหมายของเรา หรอื บคุ คลอ่ืน โดยประโยชน์ดงั กล่าวมีความสำคัญมากกวา่
สทิ ธขิ น้ั พน้ื ฐานในขอ้ มูลส่วนบคุ คลของเจ้าของขอ้ มูล ดังนี้ [อธิบายเหตุผล]
หมายเหตุ: โปรดดรู ายละเอียดของฐานในการประมวลผลข้อมูลได้ในหวั ข้อ C แนวทางปฏบิ ัติเก่ียวกบั ฐานในการ
ประมวลผลขอ้ มลู ส่วนบคุ คล (Guidelines on Lawful Basis for Processing Personal Data)
142 Thailand Data Protection Guidelines 3.0
แหลง่ ทีม่ าของข้อมูลสว่ นบุคคล
1. เราได้รับขอ้ มลู สว่ นบคุ คลจากท่านโดยตรง เม่อื วันที่ [วนั ท่]ี
2. เราไดร้ บั ข้อมูลส่วนบุคคลของทา่ นมาจาก [บคุ คลทสี่ ามทเี่ ปิดเผยขอ้ มลู ] โดยได้รบั ข้อมลู ด้วยวิธกี าร [วิธีการ เช่น
ได้รับทาง email ได้รับแจง้ ทางโทรศัพท์ ไดร้ ับเป็นเอกสาร] เมอื่ วันที่ [วนั ท่]ี
การประมวลผลข้อมูลสว่ นบคุ คล
เมื่อไดร้ บั ข้อมูลส่วนบุคคลจากแหล่งทมี่ าของข้อมูลสว่ นบคุ คลแลว้ เราจะดำเนนิ การดังน้ีกับขอ้ มลู สว่ นบุคคลของท่าน
❒ เกบ็ รวบรวม [รายละเอียดการประมวลผล]
❒ ใช้ [รายละเอยี ดการประมวลผล]
❒ เปดิ เผย [รายละเอียดการประมวลผล] ทงั้ น้ี บุคคล หน่วยงาน ทเ่ี ราอาจเปดิ เผยขอ้ มูลสว่ นบคุ คลของทา่ นมี ดังน้ี
[รายช่ือ หรอื ประเภท (ละเอียดท่ีสดุ เท่าท่จี ะสามารถระบไุ ด้) ของผู้ทอี่ าจได้รับข้อมลู สว่ นบคุ คลจากทา่ น]
เราอาจมคี วามจำเปน็ ในการโอนขอ้ มูลส่วนบุคคลของทา่ นไปยังหนว่ ยงานต่างประเทศหรือองค์กรระหวา่ ง
ประเทศ โดยมรี ายชอ่ื ดังน้ี
[รายช่ือ]
หน่วยงานดงั กล่าวมีมาตรการค้มุ ครองข้อมูลส่วนบุคคลท่ีเพยี งพอ (appropriate safeguards) และจะ
สามารถบงั คบั ใช้สทิ ธขิ องเจา้ ของขอ้ มูล รวมท้งั มมี าตรการเยียวยาตามกฎหมายทีจ่ ะบงั คับใชไ้ ด้ ซ่งึ มรี ายละเอียดดังนี้
[รายละเอยี ดของมาตรฐานการคุ้มครองขอ้ มูลสว่ นบุคคลของหนว่ ยงาน ประเทศทห่ี นว่ ยงานนน้ั ตัง้ อยู่พอ
สังเขป]
การเก็บรกั ษาขอ้ มลู สว่ นบคุ คล
ผคู้ วบคุมทำการเกบ็ รักษาขอ้ มลู สว่ นบุคคลของทา่ น ดังนี้
1. ลกั ษณะการเกบ็ [จัดเกบ็ เปน็ Soft Copy / Hard Copy]
2. สถานท่ีจดั เก็บ [เกบ็ ไวท้ ี่หอ้ ง ตู้ ทีม่ อี ุปกรณ์นริ ภยั / เกบ็ ไว้ใน computer / เก็บไวบ้ น Cloud ทีใ่ ช้บรกิ ารกบั …]
3. ระยะเวลาจัดเกบ็ เป็นไปตามหวั ขอ้ ระยะเวลาในการประมวลผลขอ้ มลู สว่ นบคุ คล
4. เมื่อพน้ ระยะเวลาจัดเก็บ หรอื เราไม่มีสทิ ธิหรอื ไมส่ ามารถอา้ งฐานในการประมวลผลขอ้ มลู สว่ นบุคคลของท่านแล้ว
เราจะดำเนนิ การทำลายขอ้ มลู ส่วนบุคคลนัน้ ด้วยวิธีการ [วิธกี ารทำลาย กรณี Soft Copy / Hard Copy] และจะ
ดำเนินการใหแ้ ล้วเสร็จภายใน [จำนวนวนั ] วันนับแตว่ ันส้ินสุดระยะเวลาดงั กล่าว
สิทธิของเจ้าของขอ้ มลู
ทา่ นมีสทิ ธใิ นการดำเนินการ ดงั ตอ่ ไปนี้
(1) สทิ ธใิ นการเพกิ ถอนความยนิ ยอม (right to withdraw consent): ทา่ นมสี ทิ ธใิ นการเพกิ ถอนความยนิ ยอมในการ
ประมวลผลข้อมูลสว่ นบคุ คลทที่ า่ นไดใ้ หค้ วามยินยอมกับเราได้ ตลอดระยะเวลาทีข่ อ้ มลู สว่ นบคุ คลของท่านอยู่กับเรา
(2) สทิ ธใิ นการเข้าถงึ ขอ้ มูลสว่ นบคุ คล (right of access): ทา่ นมีสทิ ธใิ นการเขา้ ถึงข้อมูลสว่ นบคุ คลของทา่ นและขอให้เรา
ทำสำเนาขอ้ มูลส่วนบุคคลดงั กลา่ ว รวมถงึ ขอให้เราเปิดเผยการไดม้ าซงึ่ ข้อมูลส่วนบคุ คลที่ท่านไมไ่ ด้ใหค้ วามยนิ ยอม
ตอ่ เราให้แก่ทา่ นได้
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จฬุ าลงกรณ์มหาวทิ ยาลยั 143
(3) สทิ ธใิ นการแก้ไขขอ้ มูลส่วนบคุ คลใหถ้ กู ตอ้ ง (right to rectification): ท่านมีสิทธใิ นการขอใหเ้ ราแกไ้ ขข้อมลู ทีไ่ ม่
ถกู ตอ้ ง หรอื เพิ่มเตมิ ข้อมลู ท่ไี มส่ มบรู ณ์
(4) สทิ ธใิ นการลบข้อมูลส่วนบุคคล (right to erasure): ทา่ นมีสทิ ธิในการขอใหเ้ ราทำการลบขอ้ มูลของทา่ นดว้ ยเหตุบาง
ประการได้
(5) สิทธิในการระงับการใช้ขอ้ มูลส่วนบุคคล (right to restriction of processing): ทา่ นมสี ิทธิในการระงับการใชข้ ้อมลู
ส่วนบคุ คลของทา่ นดว้ ยเหตบุ างประการได้
(6) สิทธใิ นการให้โอนยา้ ยขอ้ มูลสว่ นบุคคล (right to data portability): ท่านมีสิทธิในการโอนย้ายขอ้ มูลสว่ นบคุ คลของ
ทา่ นที่ท่านใหไ้ ว้กับเราไปยงั ผู้ควบคุมข้อมลู รายอ่นื หรอื ตัวทา่ นเองด้วยเหตุบางประการได้
(7) สิทธใิ นการคัดคา้ นการประมวลผลขอ้ มูลส่วนบุคคล (right to object): ทา่ นมสี ิทธใิ นการคัดค้านการประมวลผล
ขอ้ มลู ส่วนบคุ คลของท่านดว้ ยเหตุบางประการได้
ท่านสามารถติดต่อมายังเจ้าหน้าที่ DPO / เจ้าหน้าที่ฝา่ ย [ชื่อฝ่าย] ของเราได้ เพื่อดำเนินการยื่นคำร้องขอ
ดำเนินการตามสิทธิข้างต้น ได้ที่ [email / สถานที่ติดต่อ / โทรศัพท์*] หรือ ท่านสามารถศึกษารายละเอียดเงื่อนไข
ขอ้ ยกเว้นการใชส้ ิทธิตา่ งๆ ไดท้ ่ี [link รายละเอยี ดของการใชส้ ทิ ธิ**] หรอื ท่านอาจศึกษาเพ่ิมเตมิ ได้ท่ี [link ข้อมูลสำหรับ
เจ้าของข้อมูลส่วนบคุ คล เช่น TDPG2.0, เว็บไซต์กระทรวงดจิ ทิ ลั เพื่อเศรษฐกิจและสังคม http://www.mdes.go.th]
หมายเหต:ุ *ท่านควรจัดให้มีช่องทางการติดตอ่ เฉพาะสำหรับการรับคำร้องของเจา้ ของข้อมลู ในการดำเนินการตามสทิ ธิ
ตา่ งๆ แยกต่างหากจากชอ่ งทางการตดิ ต่อหลัก หรอื อาจกำหนดให้เปน็ ช่องทางเดียวกันกบั รายละเอยี ดติดตอ่
ของ DPO กไ็ ด้
** โปรดดูรายละเอียดของสิทธิของเจา้ ของข้อมลู ได้ในหัวข้อ D3. แนวปฏบิ ตั เิ ก่ียวกบั การจดั การคำรอ้ งขอของ
เจา้ ของขอ้ มูล
ทั้งนี้ ท่านไม่จำเป็นต้องเสียค่าใช้จ่ายใดๆ ในการดำเนินตามสิทธิข้างต้น โดยเราจะพิจารณา
และแจง้ ผลการพจิ ารณาตามคำรอ้ งของท่านภายใน 30 วันนับแตว่ นั ทเ่ี ราได้รับคำรอ้ งขอดังกล่าว
ในกรณีที่เราหรือ ลูกจ้างหรือพนักงานของเราฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายเกี่ยวกับการ
ค้มุ ครองข้อมลู ส่วนบุคคล ทา่ นสามารถรอ้ งเรียนต่อสำนกั งานคณะกรรมการคุม้ ครองข้อมูลสว่ นบคุ คล ได้
ที่ [ช่อื / ที่อยู่ / email / โทรศพั ท]์
144 Thailand Data Protection Guidelines 3.0
ผ้ปู ระมวลผลข้อมลู
(Data Processor)
D1.15 ผู้ประมวลผลขอ้ มูลจะตอ้ งประมวลผลตามขอ้ ตกลงระหว่างผู้ควบคมุ และผู้ประมวลผลข้อมูล149
หรือตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล 150 การประมวลผลข้อมูลส่วนบุคคลที่ขัดคำส่งั
ของผู้ควบคุมขอ้ มูลส่วนบุคคลย่อมทำให้ผู้ประมวลผลข้อมลู ต้องรับผิดต่อผู้ควบคุมข้อมูลตาม
ขอ้ ตกลง อกี ทงั้ ยังเปน็ การฝา่ ฝืนกฎหมายคุ้มครองข้อมลู สว่ นบุคคลในขณะเดยี วกนั ดว้ ย 151
D1.16 ผู้ประมวลผลข้อมูลจะตอ้ งมีมาตรการเชิงเทคนิคและเชิงบริหารจัดการเพื่อรักษาความมั่นคง
ปลอดภัยในการประมวลผลท่เี หมาะสมกบั ความเสย่ี ง
(1) [แนวทางเบื้องต้น] ผู้ประมวลผลข้อมูลจะต้องพิจารณาถึงความเสี่ยง ความเป็นไปได้
รวมถึงความร้ายแรงที่จะส่งผลกระทบต่อสิทธิเสรีภาพของเจ้าของข้อมูล โดยอาจใช้
มาตรการรักษาความมั่นคงปลอดภัยดังต่อไปนี้ตามที่เห็นว่าเหมาะสมกับลักษณะของ
ข้อมลู และการประมวลผล
(1.1) การแฝงข้อมลู (pseudonymization) หรือการเขา้ รหสั (encryption)
(1.2) ความสามารถในการรักษาความลับ ความถูกต้องและแท้จริง ความพร้อมใช้งาน
และการพร้อมรบั มอื ตอ่ การเปลยี่ นแปลงตา่ งๆ ของระบบหรือบริการประมวลผล
(1.3) ความสามารถที่จะทำใหค้ วามพร้อมและใช้งานและเข้าถงึ ข้อมูลส่วนบคุ คลกลับสู่
สภาพทใ่ี ช้งานไดท้ นั ท่วงทีเมือ่ มีเหตขุ ดั ขอ้ งทางกายภาพหรือทางเทคนิค
149 ขอใหด้ รู ายละเอยี ดในส่วนของแนวปฏิบตั วิ ่าด้วยสัญญาระหว่างผ้คู วบคุมข้อมลู และผปู้ ระมวลผลข้อมูล
150 พระราชบัญญัติคุ้มครองขอ้ มลู สว่ นบคุ คล พ.ศ.2562 มาตรา 40(1)
151 ผู้ประมวลผลข้อมลู ส่วนบุคคลจะต้องระมดั ระวังมิให้เกิดการประมวลผลข้อมูลท่ีฝ่าฝืนคำสัง่ ของผู้ควบคุมข้อมูลส่วน
บุคคล หากเกดิ การประมวลผลข้อมูลที่ผิดพลาดจะต้องแกไ้ ขโดยจะตอ้ งลบล้างการประมวลผลข้อมูลอนั ฝา่ ฝืนคำส่ังของผู้
ควบคมุ ข้อมูลส่วนบคุ คลนัน้ มเิ ชน่ นัน้ ผู้ประมวลผลข้อมูลสว่ นบุคคลมรี ะวางโทษปรบั ทางปกครองไม่เกิน 3 ลา้ นบาทตาม
มาตรา 86 แห่งพระราชบญั ญัตคิ มุ้ ครองข้อมูลสว่ นบุคคล พ.ศ. 2562 ในขณะเดยี วกันสำหรับการประมวลผลข้อมูลทฝ่ี ่าฝนื
คำสั่งนน้ั ถอื ว่าผปู้ ระมวลผลขอ้ มลู เป็นผูค้ วบคุมข้อมลู สว่ นบุคคลสำหรับการประมวลผลทฝี่ า่ ฝืนคำส่งั น้ัน ฉะน้ันหน้าที่และ
ความรบั ผิดของผคู้ วบคุมข้อมลู สว่ นบคุ คลจะนำมาใช้กบั การประมวลผลขอ้ มูลน้ันนั่นเอง เชน่ หากการประมวลผลข้อมูลไม่
มฐี านทางกฎหมายกจ็ ะเปน็ การประมวลผลข้อมลู ท่ีไมช่ อบด้วยกฎหมาย ผู้ประมวลผลขอ้ มลู ท่ีถือว่าเปน็ ผคู้ วบคุมข้อมลู นั้น
จะต้องรับผิดเพราะประมวลผลข้อมูลโดยขัดตอ่ มาตรา 24 ดว้ ย เป็นต้น
ศูนยว์ จิ ยั กฎหมายและการพฒั นา คณะนิตศิ าสตร์ จุฬาลงกรณ์มหาวทิ ยาลยั 145
(1.4) กระบวนการตามปกติในการทดสอบ ประเมิน และวัดผลประสิทธิภาพของ
มาตรการเชิงเทคนิคและเชิงบรหิ ารจัดการเพื่อสร้างความมั่นคงปลอดภัยในการ
ประมวลผล
(2) [มาตรการภายใน] ผู้ประมวลข้อมูลจะต้องมีมาตรการเพื่อควบคุมบุคคลธรรมดาซ่ึง
ปฏิบัติงานภายใต้อำนาจของผู้ประมวลผลข้อมูลและเข้าถึงข้อมูลได้ ให้บุคคลนั้นไม่
ประมวลผลขอ้ มูลโดยปราศจากคำส่งั หรือขอ้ กำหนดของผู้ประมวลผลข้อมลู
(3) [การเสนอทางเลือกด้านความมัน่ คงปลอดภัย] ผปู้ ระมวลผลมหี นา้ ทแี่ จ้งผู้ควบคุมข้อมูล
ในกรณีที่เห็นว่ามีทางเลือกในการประมวลผลที่มีความมั่นคงปลอดภัยสูงกว่า เพื่อให้ผู้
ควบคุมขอ้ มลู ทราบถึงทางเลอื กดังกลา่ ว
(4) [ข้อแนะนำ] ผู้ประมวลผลข้อมูลควรต้องมีการเตรียมพร้อมไว้เพื่อให้เกิดการบริหาร
จัดการเมื่อเกิดเหตุการณ์ฝ่าฝืนมาตรการรักษาความมั่นคงปลอดภัย (information
security incident management) ซึ่งมหี ลกั การและขน้ั ตอนเบอ้ื งตน้ ดงั นี้ 152
152 ปรบั จากแนวทางที่กำหนดไวใ้ นมาตรฐาน ISO/IEC 27035:2016, ISO/IEC 27002:2013 และ ISO/IEC 27701:2019
146 Thailand Data Protection Guidelines 3.0
Prapare • กําหนดนโยบายหรอื แผนเพ่ือเตรียมพร้อมรบั มอื กับเหตกุ ารณ์ดังกล่าว
• กําหนดตัวผรู้ บั ผิดชอบ (incident response team)
Identify • ระบุประเภทหรอื ลักษณะของเหตุการณ์ดังกลา่ วว่ามีการฝา่ ฝืนมาตรการรกั ษาความมัน่ คง
ปลอดภยั อยา่ งไร (security breach)
• รายงานเหตุการณ์ทีเ่ กิดขึ้นไปยงั บคุ คลทีเ่ ก่ียวข้อง ในกรณที ม่ี ขี ้อมูลสว่ นบคุ คลรว่ั ไหลหรือถูก
ละเมิดจะต้องพิจารณาหน้าทแี่ จง้ ตามกฎหมาย
• ประเมนิ ความเสยี หายและหาแนวทางท่ีจะดาํ เนินการแกไ้ ขตอ่ ไป
Assess • ตดั สนิ ใจเพอื่ เลอื กมาตรการทจ่ี ะใช้รบั มือเหตกุ ารณด์ ังกลา่ ว
Respond • สืบเสาะทีม่ าของปัญหา ระบุจดุ ออ่ น (vulnerability) ท่ที าํ ให้เกิดเหตุการณ์
• แก้ไขปัญหาโดยอาจเพม่ิ มาตรการรักษาความมน่ั คงปลอดภัยหรอื อุดชอ่ งโหวข่ องระบบ
(patching)
• เรียนร้จู ากเหตุการณ์ทเ่ี กิดขึน้ เพอื่ พิจารณาความเส่ียงในอนาคต
Learn • มีแนวทางเพ่อื เพม่ิ มาตรการในการรักษาความมัน่ คงปลอดภัยท่รี ัดกมุ ขน้ึ
D1.17 ผู้ประมวลผลข้อมูลจะต้องแจ้งเหตุแก่ผู้ควบคุมข้อมูลกรณีข้อมูลส่วนบุคคลรั่วไหล (Data
Breach)
(1) [ความหมาย] กรณีข้อมูลส่วนบุคคลรั่วไหลมีความหมายกว้างครอบคลุมการที่ข้อมูลถกู
ทำลาย การสูญหาย การแก้ไขเปลี่ยนแปลง การเปิดเผย หรือการเข้าถึง ส่งต่อ เก็บรักษา
หรือถูกประมวลผลอย่างอื่นไม่ว่าจะเกิดจากการกระทำอันมิชอบด้วยกฎหมายหรือโดย
อบุ ตั เิ หตุ
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จุฬาลงกรณม์ หาวิทยาลยั 147
(2) [หน้าที่แจ้งผู้ควบคุมขอ้ มูล] ผู้ประมวลผลข้อมูลมีหน้าท่ีแจ้งผู้ควบคุมข้อมูลโดยไม่ชกั ชา้
หลงั จากไดท้ ราบ
(3) [หน้าทีแ่ จง้ ผ้กู ำกบั ดูแลหรอื เจา้ ของข้อมูล] ผู้ประมวลผลข้อมลู ไม่มีหน้าท่ีแจง้ ผู้กำกบั ดูแล
หรือเจ้าของขอ้ มลู เวน้ แต่ผู้ควบคุมข้อมูลมอบหมายให้ทำโดยอาศยั สัญญาระหวา่ งผูค้ วบคุม
ข้อมูลและผปู้ ระมวลผลข้อมลู
D1.18 ผู้ประมวลผลข้อมูล (รวมถึงตัวแทนในกรณีผู้ประมวลผลข้อมูลอยู่นอกราชอาณาจักรด้วย)
จะต้องจัดให้มีบันทกึ รายการประมวลผลขอ้ มูล 153
(1) [รายละเอียดของบันทึก] บันทึกรายการประมวลผลข้อมูลจะต้องมีรายการตามท่ี
คณะกรรมการคุม้ ครองข้อมูลส่วนบุคคลประกาศกำหนด แต่ในเบื้องตน้ ควรประกอบด้วย
ขอ้ มูลดังตอ่ ไปน้ี
(1.1) ข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลและผู้ควบคุมข้อมูลที่ผู้ประมวลผลข้อมูลทำการ
แทน
(1.2) ประเภทของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลตามที่ได้รับมอบหมายจากผู้
ควบคุมข้อมูล
(1.3) คำอธบิ ายเกี่ยวกับมาตรการรกั ษาความม่นั คงปลอดภัย
(2) [รูปแบบของบันทึก] บันทึกรายการประมวลผลข้อมูลจะต้องจัดทำเป็นลายลักษณอ์ ักษร
โดยจะอยู่ในรปู แบบข้อมูลอิเล็กทรอนิกส์ก็ได้
(3) [ผู้ที่ไม่ต้องจัดทำบันทึก] กิจการขนาดเล็กอาจได้รับยกเว้นไม่ต้องจัดทำบันทึกตามท่ี
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด อย่างไรก็ดี กิจการขนาดเล็กที่
ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระต่อ
สทิ ธิและเสรีภาพของเจา้ ของขอ้ มลู สว่ นบคุ คลหรือดำเนินการเกี่ยวกบั กบั ข้อมูลอ่อนไหวจะ
ไม่ไดร้ บั ยกเว้นหน้าท่ใี นการจัดทำบันทึกการประมวลผลขอ้ มลู 154
153 พระราชบัญญตั ิคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 มาตรา 40(3)
154 พระราชบัญญัติค้มุ ครองข้อมูลสว่ นบคุ คล พ.ศ.2562 มาตรา 40 วรรคสี่ กำหนดให้คณะกรรมการคุ้มครองขอ้ มูลสว่ น
บคุ คลอาจยกเว้นการดำเนินการให้แก่กิจการขนาดเล็กตามหลักเกณฑ์และวธิ ีการทีค่ ณะกรรมการประกาศกำหนด โดย
อาจเทียบเคยี งตาม GDPR ที่กำหนดหน้าทีน่ ้ใี ชบ้ งั คบั ตอ่ เม่ือเป็นองคก์ รทม่ี จี ำนวนลกู จา้ งต้งั แต่ 250 คนข้นึ ไป ในกรณที ่ีมี
จำนวนลกู จา้ งน้อยกว่า 250 คน ผู้ควบคมุ ขอ้ มลู จะมหี นา้ ท่ีเก็บบนั ทกึ น้เี ม่อื การประมวลผลข้อมูลนนั้ อาจกอ่ ให้เกดิ ความ
เสยี่ งต่อสทิ ธิเสรีภาพของเจา้ ของข้อมลู การประมวลผลข้อมลู ไม่ไดด้ ำเนินการเป็นคร้ังคราว หรือการประมวลผลข้อมูลเป็น
การประมวลผลขอ้ มูลอ่อนไหวหรอื ข้อมูลอาชญากรรม
148 Thailand Data Protection Guidelines 3.0
ตัวอยา่ งบนั ทึกรายการประมวลผลขอ้ มลู (record of processing activities)155
สว่ นท1่ี ผ้ปู ระมวลผลข้อมลู
ชือ่ -สกุล/ชือ่ องคก์ ร ทอ่ี ยู่ อเี มล เบอรโ์ ทรศัพท์
ผ้คู วบคมุ ข้อมูล การโอนขอ้ มูล
ไปยงั
เจา้ หนา้ ที่คุ้มครองขอ้ มูล ตา่ งประเทศ (ถา้
มี)
ส่วนบคุ คล (DPO) สหรฐั อเมริกา
ตวั แทน ไมม่ ี
สว่ นที่ 2 บนั ทกึ รายการประมวลผลข้อมูล
สญั ญา ช่อื และข้อมูล ชอื่ และข้อมูล ประเภทของการ มาตรการ คำอธบิ าย
คุ้มครองกรณี เกยี่ วกบั
ประมวลผล ติดต่อผู้ควบคมุ ติดต่อตวั แทน ประมวลผล โอนขอ้ มลู ไป มาตรการรกั ษา
ต่างประเทศ (ถ้า ความมนั่ คง
ข้อมูลและผู้ ข้อมลู ของผู้ควบคุม ขอ้ มูล มี) ปลอดภยั
ไมม่ ี การเขา้ รหสั และ
ประมวลผล ขอ้ มูล (ถ้ามี) การควบคมุ การ
ไม่มี เขา้ ถึงเฉพาะผู้ท่ี
ข้อมูล มอี ำนาจ
สญั ญาเลขท่ี บริษทั ... ไมม่ ี การเกบ็ ข้อมูลใน การเขา้ รหสั ใน
การเก็บรกั ษาใน
หรอื Link ระบบคลาวด์ ระบบ
คอมพวิ เตอร์
สัญญาเลขท่ี บรษิ ทั ... ไม่มี การจา่ ย
หรอื Link เงนิ เดือน
(payroll)
D1.19 ผู้ประมวลผลข้อมูลจะต้องตงั้ เจ้าหนา้ ทคี่ ุ้มครองขอ้ มูลส่วนบุคคล (DPO) 156 (รายละเอียดดูส่วน
N แนวปฏิบัตสิ ำหรบั เจา้ หน้าท่คี มุ้ ครองขอ้ มลู ส่วนบุคคล)
(1) [ใครต้องแตง่ ตัง้ เจา้ หน้าทีค่ มุ้ ครองข้อมลู ส่วนบุคคล]
(1.1) หน่วยงานของรฐั ท่ีคณะกรรมการประกาศกำหนด
155 ปรับจากตวั อยา่ งแบบรายเอกสาร (documentation template) ของ ICO, https://ico.org.uk/media/for-
organisations/documents/2172936/gdpr-documentation-processor-template.xlsx; อย่างไรกด็ ีในกรณีของ
ประเทศไทยนน้ั มาตรา 40 (3) ใหห้ นา้ ทบี่ ันทกึ รายการของผปู้ ระมวลผลข้อมลู นัน้ ตอ้ งเปน็ ไปตามที่คณะกรรมการฯ
ประกาศกำหนด จงึ ตอ้ งพิจารณาเมอื่ มีการประกาศกำหนดอกี ครงั้ หนึ่งว่ารายการตามตัวอยา่ งนี้จะครบถ้วนหรอื ไม่
156 พระราชบญั ญตั ิค้มุ ครองขอ้ มูลสว่ นบุคคล พ.ศ.2562 มาตรา 41 และ 42
ศนู ย์วจิ ยั กฎหมายและการพฒั นา คณะนติ ศิ าสตร์ จฬุ าลงกรณม์ หาวทิ ยาลยั 149
The words you are searching are inside this book. To get more targeted content, please make full-text search by clicking here.
TDPG3.0-Extension-20210413
Discover the best professional documents and content resources in AnyFlip Document Base.
Search
TDPG3.0-Extension-20210413
- 1 - 50
- 51 - 100
- 101 - 150
- 151 - 200
- 201 - 250
- 251 - 300
- 301 - 350
- 351 - 400
- 401 - 450
- 451 - 500
- 501 - 550
- 551 - 600
- 601 - 650
- 651 - 686
Pages: