นโยบายคุ้มครองข้อมูลส่วนบุคคลกลุ่ม บริษัท ทีซีซี โลจิสติกส์จํากัดกลุ่ม บริษัท ทีซีซี โลจิสติกส์ จํากัด
ตระหนักถึงความสําคัญของการคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการของบริษัทประกอบกับปัจจุบันการดําเนินธุรกิจ มีความก้าวหน้าของเทคโนโลยีสารสนเทศเป็นอย่างมาก ทําให้การเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลสามารถทําได้โดยง่ายมากขึ้น อันอาจ ก่อให้เกิด ความเดือดร้อนรําคาญหรือความเสียหายต่อเจ้าของข้อมูล ในกรณีที่มีการนําข้อมูลส่วนบุคคลไปแสวงหาประโยชน์โดยมิชอบ บริษัท จึงเห็นสมควรกําหนดให้มีนโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ขึ้น เพื่อจัดให้มีมาตรการกํากับดูแลเกี่ยวกับการคุ้มครองหรือจัดการข้อมูลส่วนบุคคลที่ปลอดภัยและเหมาะสม รวมทั้งเพื่อป้องกันและเยียวยาการละเมิดสิทธิความเป็นส่วนตัวของเจ้าของข้อมูลส่วนบุคคล1. คํานิยาม“บริษัท” หมายความว่า กลุ่ มบริษัท ทีซีซี โลจิสติกส์ จํากัด “ผู้ใช้บริการ” หมายความว่า ผู้ทําธุรกรรมกับบริษัท(เช่น ลูกค้าผู้ ใช้ บริการ คู่ค้า คู่สัญญาต่าง ๆ ตัวแทน นายหน้า และลูกจ้าง เป็นต้น) รวมถึงผู้เข้าเยี่ยมชมหรือใช้งานเว็บไซต์ของบริษัทที่เป็นบุคคลธรรมดา“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดา ซึ่งทําให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรง หรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายความว่า ข้อมลส่วนบุคคลที่กําหนดไว้เป็นการเฉพาะตามมาตรา 26 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เช่นข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนา หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือ ข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทํานองเดียวกัน “เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลซึ่งข้อมูลส่วนบุคคลสามารถระบุตัวตนได้“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บริษัทซึ่งทําหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้บริการ หรือ บุคคล หรือนิติบุคคลอื่นที่ทําหน้าที่ เช่นเดียวกัน “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคล หรือนิติบุคคลซึ่งดําเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคําสั่งหรือในนามของบริษัท“คณะทํางานคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า คณะกรรมการชุดย่อยของบริษัทมีหน้าที่กํากับดูแลควบคุมการดําเนินธุรกิจของบริษัทให้เป็นไปตามนโยบายและแนวทางการปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล“เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือคณะบุคคลที่บริษัทแต่งตั้งและมอบหมายตามมาตรา 41 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เพื่ อให้ปฏิบัติหน้าที่ในการให้คําแนะนํา กํากับดูแล ตรวจสอบหน่วยงานภายใน ลูกจ้าง ผู้ให้บริการ และผู้ประมวลผลข้อมูลแทนบริษัท เพื่อให้ปฏิบัติตามนโยบายและคู่มือหรือแนวทางการปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รวมถึงการรับเรื่องร้องเรียนจากผู้ใช้บริการหรือเจ้าของข้อมูลส่วนบุคคล และประสานงานกับสํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล“คู่มือหรือแนวปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า คู่มือหรือขั้นตอนที่กําหนดถึงวิธีการและเงื่อนไขของการปฏิบัติงานของหน่วยงานภายในบริษัท รวมถึงผู้ให้บริการภายนอก เพื่อให้สอดคล้องและเป็นไปตามนโยบายการคุ้มครองข้อมูลส่วนบุคคล“บุคคล” หมายความว่า บุคคลธรรมดา “พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎ ระเบี ยบหรือกฎหมายลําดับรองอื่นที่ตราขึ้นโดยอาศัยอํานาจตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “กฎหมายข้อมูลส่วนบุคคล” หมายความว่า พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วน บุคคลที่ ใช้บังคับ
2. วัตถุประสงค์ของนโยบายบริษัทจัดทํานโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้เพื่ อเป็นหลักเกณฑ์ในการบริหารจัดการข้อมูลส่วนบุคคลของผู้ใช้บริการ ซึ่ง รวมถึงการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลตามกฎหมายข้อมูลส่วนบุคคล เพื่ อคุ้มครอง ความปลอดภัยของข้อมูลส่วนบุคคล ของผู้ใช้บริการ ในกรณีที่ บริษัท ทํา การเปลี่ ยนวัตถุประสงค์ของการดําเนินการใด ๆ ที่เกี่ ยวข้อง กับข้อมูลส่วนบุคคล นโยบายการ คุ้มครองข้อมูลส่วนบุคคลฉบับนี้ ได้ผ่านการพิจารณา และ อนุมัติโดยผู้บริหารระดับสูงของบริษัท ที่ได้ ให้ความสําคัญต่อการคุ้มครองข้อมูลส่วนบุคคลของบุคลากรในบริษัท รวมถึงผู้ใช้บริการภายนอก โดยบริษัทได้ประกาศนโยบายฉบับนี้ ให้แก่พนักงาน และบุคคลภายนอกที่เกี่ยวข้องรับทราบโดยทั่วกัน 3. หลักการในการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคล1. บริษัท จะดําเนินการเพียงเท่าที่จําเป็นในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้บริการ ภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และตามที่กําหนดไว้ในนโยบายนี้2. ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้บริการบริษัทจะกระทําโดยต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ก่อนหรือขณะเก็บข้อมูลส่วนบุคคลซึ่งบริษัทจะดําเนินการเพียงเท่าที่จําเป็นตามกรอบวัตถุประสงค์ของความยินยอมของเจ้าของข้อมูลส่วนบุคคล เว้นแต่ เป็นการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อปฏิบัติตามหน้าที่ หรือเพื่อประโยชน์สาธารณะ 3. การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงจะกระทําได้หากกฎหมายข้อมูลส่วนบุคคลได้อนุญาตหรือยกเว้นไว้เป็นการเฉพาะเท่านั้น4. บริษัทจะไม่เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหวโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ เป็นการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่กฎหมายข้อมูลส่วนบุคคลได้อนุญาตหรือยกเว้นไว้เป็นการเฉพาะเท่านั้น 5. บริษัทจะดําเนินการให้ข้อมูลส่วนบุคคลของผู้ใช้บริการ ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด6. บริษัทได้ดําเนินการจัดให้มีการบันทึก และ/หรือ รายงานข้อมูลส่วนบุคคลในขั้นตอนต่างๆ ภายใต้นโยบายนี้และตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกําหนด และแจ้งให้ผู้ประมวลผลข้อมูลส่วนบุคคลทําการบันทึก รวมทั้ง รายงานกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามหลักเกณฑ์ และวิธีการที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกําหนด โดยบริษัท จะได้จัดให้มีข้อตกลงระหว่างบริษัท และผู้ประมวลผลข้อมูลส่วนบุคคลเพื่อควบคุมการดําเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลกําหนด7. บริษัท จะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยเพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ และจะดําเนินการทบทวนมาตรการดังกล่าว เมื่อมีความจําเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป8. บริ ษัท จะจัดให้มีการดําเนินการเพื่อป้องกันมิให้บุคคล หรือนิติบุคคลอื่น ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ อย่างเด็ดขาด 9. บริษัท จะจัดทําระบบการตรวจสอบข้อมูลส่วนบุคคล เพื่อดําเนินการลบ หรือทําลายข้อมูลส่วนบุคคล เมื่อพ้นกําหนดระยะเวลาการเก็บรักษา หรือไม่ มีความ เกี่ยวข้อง หรือเกินความจําเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม10. บริษัทมีหน้าที่แจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคลให้กับสํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบภายใน 72 ชั่วโมง (เจ็ดสิบสองชั่วโมง) นับแต่ทราบเหตุเท่าที่จะสามารถกระทําได้ เว้นแต่ การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล กรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของ เจ้าของข้อมูล บริษัทจะแจ้งเหตุการณ์ละเมิด ให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าทั้งนี้ การแจ้งดังกล่าว และข้อยกเว้นให้เป็นไปตามหลักเกณฑ์ และวิธีการที่กฎหมายกําหนด
11. บริษัทได้กําหนดให้มีคณะทํางานคุ้มครองข้อมูลส่วนบุคคล ทําหน้าที่ในการพิจารณากลั่นกรองเรื่องร้องเรียนที่มีความยุ่งยากซับซ้อน และ/หรือที่มีการเรียกร้องค่าเสียหายสูง เพื่อนําเสนอต่อผู้บริหารระดับสูงพิจารณาดําเนินการตามลําดับรวม ทั้ง กํากับดูแลหน่วยงานภายในเพื่อให้การปฏิบัติงานเป็นไปตามนโยบายฉบับนี้12. บริษัทได้กําหนดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ทําหน้าที่ในการให้คําแนะนํา กํากับดูแล ตรวจสอบ หน่วยงานภายในลูกจ้าง ผู้ให้บริการต่าง ๆ ตัวแทน นายหน้า และผู้ประมวลผลข้อมูลแทนบริษัทเพื่อให้ปฏิบัติตามนโยบายและคู่มือหรือแนวทางการปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รวมถึงการรับเรื่องร้องเรียนจากผู้ใช้บริการหรือเจ้าของข้อมูลส่วนบุคคล หรือจากช่องทางอื่นๆที่เกี่ยว ข้อง กับการไม่ปฏิบัติตามนโยบายนี้ และ ประสานงานกับสํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล13. เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการให้ความยินยอม ถอนความยินยอม เข้าถึงข้อมูลส่วนบุคคลของตน และ/หรือ ผู้ที่ตนมีอํานาจกระทําการแทนตามกฎหมาย รวมทั้ง คัดค้าน และ/หรือจํากัดสิทธิของการเก็บรักษา ใช้ และเปิดเผยข้อมูลส่วนบุคคลของตน และ/หรือ ผู้ ที่ตนมีอํานาจกระทําการแทนตามกฎหมาย การขอให้แก้ไขให้ถูกต้องซึ่งข้อมูลส่วนบุคคลของตนและ/หรือ ผู้ที่ตนมีอํานาจกระทําการแทนตามกฎหมาย อีก ทั้ง มีสิทธิในการระงับการเก็บรักษา ใช้ เปิดเผย และ/หรือขอให้ทําลายข้อมูลส่วนบุคคล และ/หรือ ผู้ที่ ตนมีอํานาจกระทําการแทนตามกฎหมาย สิทธิในการขอให้เก็บรักษา ถ่ายโอน และ/หรือคัดลอกข้อมูลส่วนบุคคลของตน และ/หรือผู้ที่ ตนมีอํานาจกระทําการแทนตามกฎหมาย หมวด 1: วัตถุประสงค์การเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคลก. บริษัทจะเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และ/หรือภายใต้วัตถุประสงค์ของนโยบายนี้ตามที่ได้แจ้งไว้ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่1) ได้แจ้งวัตถุประสงค์ใหม่นั้น ให้เจ้าของข้อมูลส่วนบุคคลได้ ทราบ และได้รับความยินยอมก่อนหรือขณะ เก็บรวบรวม ใช้ หรือเปิดเผยแล้ว2) เป็นการปฏิบัติตามกฎหมายข้อมูลส่วนบุคคล3) เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่ หรือรายละเอียดนั้นอยู่แล้ว โดยพ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลไม่ได้ กําหนดให้ต้องขอความยินยอมเพื่อการดําเนินการดังกล่าว4) บริษัท จะพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่ หรือรายละเอียดดังกล่าวไม่สามารถทําได้ หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพียงพอ เพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล5) การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลต้องกระทําโดยเร่งด่วนตามที่กฎหมายกําหนด ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพียงพอ เพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล6) เมื่อบริษัทเป็นผู้ซึ่งล่วงรู้ หรือได้มาซึ่งข้อมูลส่วนบุคคล จากหน้าที่ หรือจากการประกอบอาชีพ หรือวิชาชีพ และต้องรักษาวัตถุประสงค์ใหม่ ไว้เป็นความลับตามที่กฎหมายกําหนดข. บริษัทมีนโยบายเป็นการทั่วไปในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่ เฉพาะกรณี ซึ่งบริษัทจะต้องเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น โดยบริษัทจะดําเนินการ แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคล จากแหล่งอื่นและรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และประมวลผลข้อมูลส่วนบุคคลตาม หมวด 2 ให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบ (30) วันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ เว้นแต่เป็ นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอม หรือกําหนดไว้เป็นอย่างอื่นตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
หมวด 2: การแจ้งรายละเอียดการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคล1. หลักการการแจ้งรายละเอียดการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคลในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น เว้นแต่ เจ้าของข้อมูล ส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว บริษัท จะต้อง ดําเนินการแจ้งให้ เจ้าของข้อมูลส่วนบุคคลทราบก่อน หรือในขณะ เก็บรวบรวบข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่ อไปนี้ 1) วัตถุประสงค์ของบริษัทในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล2) หากเป็นวัตถุประสงค์เพื่อการปฏิบัติตามกฎหมาย หรือสัญญา หรือมีควา มจําเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทําสัญญา รวมทั้ง แจ้งถึงผลกระทบที่ เป็นไปได้จากการไม่ได้รับข้อมูลส่วนบุคคล3) ข้อมูลส่วนบุคคลที่ได้มีการเก็บรวบรวม และระยะเวลาในการเก็บรวบรวมข้อมูล ทั้งนี้ ในกรณีที่ไม่สามารถกําหนดระยะเวลาดังกล่าวได้ชัดเจน บริษัทได้กําหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม4) ประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย หรือเข้าถึง 5) ข้อมูลเกี่ยวกับบริษัท สถานที่ ติดต่อ และวิธีการติดต่อ พร้อมทั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ ติดต่อ และวิธีการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย(ถ้ามี ) 6) สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่ กําหนดไว้ใน พ.ร.บ. ข้อมูลส่วนบุคคล(พิจารณารายละเอียดตามหมวดที่ 4.) หมวด 3: การเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคล1. หลักการขอความยินยอมสําหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลหากการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลจําเป็น ต้องอาศัยความยินยอม บริษัทจะดําเนินการขอความยินยอมตามหลักเกณฑ์ และเงื่ อนไข ดังนี้ 1) การขอความยินยอมจะกระทําก่อนหรือ ขณะที่ ทํา การเก็บรวบรวมข้อมูลส่วนบุคคล2) การขอความยินยอมจะกระทําโดยชัดแจ้งเป็นหนังสือ หรือทําโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้3) การขอความยินยอมของเจ้าของข้อมูลส่วนบุคคลเพื่อการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล จะกระทําด้วย ความ เป็น อิสระของเจ้าของข้อมูลส่วนบุคคล และปราศจากเงื่อนไขที่ไม่จําเป็น หรือเกี่ยวข้องสําหรับการเข้าทําสัญญาและ/หรือการให้บริการ4) มีการแจ้งวัตถุประสงค์ ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล5) การขอความยินยอมจะแยกส่วนออกจากข้อความอื่นโดยแจ้งชัด 6) การขอความยินยอมจะกระทําโดยมีแบบ หรือข้อความที่เข้าถึงได้ง่าย และเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่ายและไม่เป็นการหลอกลวง หรือ ไม่ ทําให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ของการเก็บรวบรวมใช้ และเปิดเผยข้อมูลส่วนบุคคล7) ดําเนินการตามแบบ หรือ ข้อความที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกําหนด(ถ้า มี) กรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะตามกฎหมายในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว บริษัทจะดําเนินการดังต่อไปนี้1) การให้ความยินยอม เพื่อการใดๆของผู้เยาว์ที่ไม่อาจให้ความยินยอมได้โดยลําพัง ต้องได้รับความยินยอมจากผู้ใช้อํานาจปกครองที่มีอํานาจกระทําการแทนผู้เยาว์ด้วย2) หากผู้เยาว์มีอายุไม่เกินสิบ (10) ปี ให้ขอความยินยอมจากผู้ใช้อํานาจปกครอง ที่มีอํานาจกระทําการแทนผู้เยาว์กรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าวให้ขอความยินยอมจากผู้อนุบาลของคนไร้ความสามารถ ที่ ได้รับการแต่งตั้งจากศาล
กรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้พิทักษ์ของ คนเสมือนไร้ความสามารถ ที่ได้รับการแต่งตั้งจากศาล2. ข้อยกเว้นของการขอความยินยอมในการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคลทั่วไปการดั งต่อไปนี้ บริษัทสามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลได้โดยไม่ต้องอาศัยความยินยอมของเจ้าของข้อมูลส่วนบุคคล 1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทําเอกสารประวัติศาสตร์ หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับ การศึกษาวิจัย หรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่ อคุ้มครองสิทธิ และเสรีภาพของเจ้าของข้อมูลส่วนบุคคล2) เพื่ อป้องกัน หรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล3) เป็นการจําเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเ พื่ อใช้ในการดําเนินการตามคําขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทําสัญญานั้น4) เป็นการจําเป็นเพื่อการปฏิบัติหน้าที่ในการดําเนินภารกิจ เพื่ อประโยชน์สาธารณะของบริษัทหรือปฏิบัติหน้าที่ในการใช้ อํานาจรัฐที่ ได้มอบให้แก่บริษัท5) เป็นการจําเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัท หรือของบุคคลหรือนิติบุคคลอืนที่ไม่ใช่บริษัทเว้นแต่ ประโยชน์ดังกล่าวมีความสําคัญ น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล6) เป็นการปฏิ บัติตามกฎหมาย 3. ข้อยกเว้นของการขอความยินยอมในการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหวการดังต่อไปนี้ บริษัทสามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหวได้ โดยไม่ต้องอาศัยความยินยอมของเจ้าของข้อมูลส่วนบุคคล1) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม2) เป็นการดําเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากําไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง ศาสนา ปรัชญา หรือสหภาพแรงงานให้แก่สมาชิก ผู้ซึ่งเคยเป็นสมาชิกหรือผู้ซึ่งมีการติดต่ออย่างสมํ่าเสมอกับมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหากําไรตามวัตถุประสงค์ดังกล่าวโดยไม่ได้เปิดเผยข้อมูลส่วนบุคคลนั้นออกไปภายนอกมูลนิธิสมาคม หรือองค์กรที่ไม่แสวงหากําไรนั้น 3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล4) เป็นการจําเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมายหรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย5) เป็นการจําเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ(ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทํางานของลูกจ้างการวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ทั้งนี้ ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์(ข) ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันด้านสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาดที่ อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือคุณภาพของยา เวชภัณฑ์ หรื อเครื่ องมือแพทย์ซึ่ง ได้จัด ให้มีมาตรการที่เหมาะส มและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ
(ค) การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติสวัสดิการเกี่ ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคมซึ่ งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจําเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล โดยได้จัดให้มี มาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล(ง) การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทําเพื่ อให้บรรลุ วัตถุประสงค์ดังกล่าวเพียงเท่าที่จําเป็นเท่านั้นและได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิท ธิขั้นพื้น ฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่ คณะกรรมการประกาศกําหนด(จ) ประโยชน์สาธารณะที่สําคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรมในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรมบริษัทจะกระทําโดยอยู่ภายใต้การควบคุมของหน่วยงานที่มีอํานาจตามกฎหมาย หรือ ได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกําหนดเท่านั้น 4. การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ 4.1 การโอนข้อมูลส่วนบุคคลกรณีทั่วไปหากบริษัทจะต้องโอนข้อมูลส่วนบุคคลไปยังต่างประเทศบริษัทจะโอนหรือส่งข้อมูลส่วนบุคคลไปยังประเทศที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกําหนดเท่านั้น เว้นแต่การโอนข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้1) เป็นการปฏิบัติตามกฎหมาย2) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่ รับข้อมูลส่วนบุคคลแล้ว3) เป็นการจําเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้ อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดําเนินการตามคําขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทําสัญญานั้น 4) เป็นการกระทําตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล5) เพื่ อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่ อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้6) เป็นการจําเป็นเพื่อการดําเนินภารกิจเพื่อประโยชน์สาธารณะที่สําคัญ ทั้งนี้ ในกรณีที่มีปัญหาเกี่ยวกับมาต รฐานการคุ้มครองข้อมูลส่วนบุคคล ที่ เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่ รับข้อมูลส่วนบุคคล บริษัทอาจพิจารณาเสนอต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่ อให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้วินิจฉัย4.2 การโอนข้อมูลส่วนบุคคลระหว่างบริษัทในเครือ (หากมี) หากบริษัทจะมีการโอนข้อมูลส่วนบุคคลไปยังบริษัทในเครือที่ตั้งอยู่ต่างประเทศบริษัทอาจจัดให้มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลห รือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศสําหรับบริษัทในเครือหรือในกลุ่ม (Binding Corporate Rules : BCRs) และจะดําเนินการให้นโยบายดังกล่าวได้รับการอนุมัติจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยบริษัท จะปฏิบัติตาม
นโยบายดังกล่าวอย่างเคร่งครัด ทั้ง นี้ บริษัทจ ะไม่จําต้องคํานึกถึงหลักเกณฑ์ในเรื่องการโอนข้อมูลส่วนบุคคลกรณีทั่วไปข้างต้น 4.3 การโอนข้อมูลส่วนบุคคลกรณีที่ยังไม่มีการกําหนดมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอและนโยบายการโอนข้อมูลส่วนบุคคลระหว่างบริษัทในเครือยังไม่ได้รับการอนุมัติในกรณีที่ ยังไม่มีกําหนดมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือ ยังไม่มีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลระหว่างบริษัทในเครือ บริษัทอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศโดยจัดให้มีมาตรการคุ้มครองที่เหมาะสมสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่ มีประสิทธิภาพตามหลักเกณฑ์และวิธีการที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกําหนดหมวด 4: สิทธิของเจ้าของข้อมูลส่วนบุคคลเจ้าของข้อมูลส่วนบุคคล มีสิทธิดังต่อไปนี้1. การถอนความยินยอมในการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคลเจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลได้เว้นแต่มีข้อจํากัดสิทธิในการถอนความยินยอมโดยกฎหมาย หรือสัญญาที่ ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล2. การเข้าถึงขอรับข้อมูลและ/หรื อสําเนาข้อมูลส่วนบุคคลของตนเองซึ่งอยู่ในความรับผิดชอบของบริษัทหรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอมเจ้าของข้อมูลส่วนบุคคลสามารถขอเข้าถึง ขอรับข้อมูล และ/หรือสําเนาข้อมูล ส่วนบุคคลของตนเอง ซึ่ งอยู่ในความรับผิดชอบของบริษัท หรือขอให้เปิดเผยถึงการได้มา ซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอมได้ การปฏิเสธการปฏิเสธคําขอดังกล่าวข้างต้น บริษัทสามารถดําเนินการได้เฉพาะที่เป็นการปฏิเสธตามกฎหมาย และ/หรือคําสั่ งศาล ซึ่ งการเข้าถึง และขอรับสําเนาข้อมูลส่วนบุคคลนั้น จะส่งผลกระทบที่อาจก่ อให้เกิดความเสียหายต่อสิทธิ และเสรีภาพ ของบุคคลอื่ น โดยบริษัท จําทําการ บันทึกการปฏิเสธดังกล่าวพร้อมเหตุผลไว้ด้วย3. การคัดค้านการเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลเจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตนเองในกรณีดังต่อไปนี้1) กรณีที่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยไม่ต้องขอความยินยอม ดังนี้ (1) เป็นการจําเป็นเพื่อการปฏิบัติหน้าที่ในการดําเนินภารกิจเพื่อประโยชน์สาธารณะของบริษัท หรือปฏิบัติหน้าที่ในการใช้ อํานาจรัฐที่ ได้มอบให้แก่บริษัท(2) เป็นการจําเป็น เพื่ อประโยชน์โดยชอบด้วยกฎหมายของบริษัท หรือของบุคคล หรือนิติบุคคลอื่นที่ไม่ใช่บริษัท เว้นแต่ บริษัทพิสูจ น์ได้ว่า (ก) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นบริษัทได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สําคัญยิ่ งกว่า(ข) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น เป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมายการปฏิบัติตาม หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรื อการยกขึ้น ต่อสู้สิทธิเรียกร้องตามกฎหมาย2) กรณีที่ เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง3) กรณีที่ เป็นการเก็ บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์เกี่ยวกับการศึกษา วิจัยทางวิทยาศาสตร์ประวัติศาสตร์ หรือสถิติ เว้นแต่ เป็นการจําเป็นเพื่อการดําเนินภารกิจเพื่อประโยชน์สาธารณะของบริษัทในกรณีที่ เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้าน บริษัทจ ะปฏิบัติโดยแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจนในทันทีเมื่ อเจ้าของข้อมูลส่วนบุคคลได้แจ้งการคัดค้านให้บริษัททราบ และไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไปได้
ในกรณีที่ บริษัทปฏิเสธการคัดด้านด้วยเหตุผลตามกรณี 1) ( ก) หรือ (ข) หรือ กรณี 3) ให้บริษัทบันทึกการปฏิเสธการคัดค้านพร้อมด้วยเหตุผล4. การลบหรือทําลายหรือทําให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ส่วนที่ 1: เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้บริษัทดําเนินการลบ หรือทําลาย หรือทําให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในกรณีดังต่อไปนี้1) เมื่อข้อมูลส่วนบุคคลหมดความจําเป็น ในการเก็บรักษาไว้ตามวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล 2) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและบริษัทไม่มีอํานาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ได้ต่อไป 3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามข้อ 4.3) ในกรณี 1) และบริษัทไม่อาจปฏิเสธคําขอด้วยอาศัยข้อยกเว้น(ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตามข้อ 4.3) ในกรณี 2) 4) เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่กําหนดไว้ในหมวดนี้ข้อยกเว้น ซึ่งความในข้อนี้ไม่ให้นํามาใช้บังคับในกรณีดังต่อไปนี้1) การเก็บรักษาไว้(1) เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น (2) เป็นการเก็บรักษาไว้ตามที่กฎหมายกําหนด2) การใช้ (1) เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย(2) เพื่อการปฏิบัติตามสิทธิ เรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย(3) เพื่อการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย(4) เพื่อการปฏิบัติตามกฎหมาย ส่วนที่ 2: ในกรณีที่บริษัททําให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ และถู กขอให้ลบ หรือทําลาย หรือทําให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ บริษัทเป็นผู้รับผิดชอบดําเนินการทั้งในทางเทคโนโลยี และค่าใช้จ่าย เพื่อให้เป็นไปตามคําขอนั้น โดยแจ้งผู้ควบคุมข้อมูลส่วนบุคคลอื่นๆ เพื่อให้ดําเนินการให้เป็นไปตามคําขอ5. การระงับการใช้ข้อมูลส่วนบุคคลเจ้าของข้อมูลส่วนบุคคลสามารถขอให้บริษัททําการระงับการใช้ข้อมูลส่วนบุคคลได้ในกรณีดังต่อไปนี้1) ในระหว่างการตรวจสอบของบริษัทตามที่เจ้าของข้อมูลส่วนบุคคลได้ร้องขอให้จัดทําข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด 2) ข้อมูลส่วนบุคคลที่ต้องลบ หรือทําลาย อันเนื่องมาจากได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผย โดยไม่ชอบด้วยกฎหมายแต่เจ้าของข้อมูลส่วนบุคคลขอให้ระงับการใช้แทน 3) ข้อมูลส่วนบุคคลที่หมดความจําเป็น ในการเก็บรักษาไว้ตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่เจ้าของข้อมูลส่วนบุคคลมีความจําเป็นต้องขอให้เก็บรักษาไว้ เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมายการปฏิบัติตาม หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
4) ในระหว่างการพิสูจน์เพื่อปฏิเสธการคัดค้านของเจ้าของข้อมูลส่วนบุคคลของบริษัท ว่าด้วยเหตุของการที่เก็บรวบรวมข้อมูลส่วนบุคคลนั้นได้โดยได้รับยกเว้นไม่ต้องขอความยินยอม6. การขอให้สิทธิในการแจ้งให้บริษัทดําเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้องเป็นปัจจุบันสมบูรณ์และไม่ก่อให้เกิดความเข้าใจผิดกับข้อมูลส่วนบุคคลเจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้บริษัทดําเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดกับข้อมูลส่วนบุคคล โดยหากมีการปฏิเสธการดําเนินการตามคําขอ บริษัทจะบันทึกเหตุแห่งการปฏิเสธพร้อมเหตุผลไว้ หมวด 5: การใช้บริการบุคคลภายนอกเมื่อ บริษัทใช้บริการบุคคลภายนอกตามนโยบายการใช้บริการบุคคลภายนอก จะเป็นการกระทําเพื่อสนับสนุนการดําเนินธุรกิจการลดต้นทุน และเพิ่มความคล่องตัวในการดําเนินธุรกิจรวมถึงการจัดสรรการบริการลูกค้าให้ได้ประสิทธิภาพสูงสุดจากผู้ที่มีความเชี่ยวชาญเฉพาะด้าน และเครือข่ายของผู้ให้บริการภายนอกหลักการใช้บริการบุคคลภายนอกต่อการเก็บรวบรวมใช้และเปิดเผ ยข้อมูลส่วนบุคคลบริษัท จะใช้บริการบุคคลภายนอกตามนโยบายการใช้บริการบุคคลภายนอกตามประเภท/ลักษณะงาน และหลักเกณฑ์การอนุญาต บริษัทจะใช้บริการบุคคลภายนอก ที่มีการคัดสรร/คัดเลือกผู้ให้บริการตามกฎเกณฑ์ เพื่อป้องกันมิให้มีการใช้บริการบุคคลภายนอกไปในทางที่ก่อให้เกิดประโยชน์ทับซ้อน และ/หรือคอรัปชั่น ด้วยความรับผิดชอบและการดําเนินการได้อย่างเต็มประสิทธิภาพตามสัญญา และข้อตกลง บริษัท จะจัดให้มีการกําหนดแนวทางการติดตาม ประเมินผล ตรวจสอบ และควบคุม/บริหารความเสี่ยงจากการใช้บริการบุคคลภายนอกไว้อย่างชัดเจน และเป็นลายลักษณ์อักษรที่เหมาะสมกับความสําคัญของงานที่ใช้บริการ และสอดคล้องกับนโยบายการ บริหารความเสี่ยงโดยรวม บริ ษัทจะเข้าทําสัญญาการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) กับบุ คคลภายนอกผู้ให้บริการที่ มีความเกี่ ยวข้องกับการเก็บรวบรวม ใช้ รวมทั้ง เปิดเผยข้อมูลส่วนบุคคลเพื่อควบคุมการดําเนินการของบุคคลภายนอกดังกล่าวให้เป็นไปตาม หลักเกณฑ์และเงื่อนไขที่กําหนดใน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล และ ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัทหมวด 6: มาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุละเมิดบริษั ทได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ และจะทบทวนมาตรการดังกล่าวเมื่อมีความจําเป็น หรือเมื่ อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นตํ่าที่คณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลประกาศกําหนด และจัดให้มีระบบการตรวจสอบ เพื่ อดําเนินการลบ หรือทําล ายข้อมูลส่วนบุคคล เมื่อพ้นกําหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ ยวข้อง หรือเกินความจําเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่ เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่ เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอมพร้อมแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล แก่สํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และ/หรือแก่เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย หมวด 7: สัญญาและข้อตกลงบริษัท จะได้ จัดให้มีแนวทาง/คู่มือการทําสัญญาและข้อตกลงที่เป็นลายลักษณ์อักษรเพื่อกําหนดขอบเขตที่ครอบคลุมถึงหลักการคุ้มครองข้อมูลส่วนบุคคล และ/หรือกฎหมายอื่นๆภายใต้นโยบายนี้ และ/หรือนโยบายอื่นๆภายในบริษัท และตามประกาศกฎห มายต่าง ๆ เพื่อความสมบูรณ์ในการปฏิบัติ และการบังคับใช้ตามสัญญา และข้อตกลงระหว่างคู่สัญญา เพื่อสร้างแนวทางการร่างสัญญา และข้อตกลงให้เป็นมาตรฐาน มีการติดตาม การปรับปรุง การต่ออายุสัญญา/ข้อตกลง และ/หรือการทําลายสัญญา/ข้อตกลงที่สิ้นสุดแล้วอย่างเป็นรูปแบบชัดเจน
หมวด 8: การอบรมและการสื่อสารภายในองค์กรบริษัทได้จัดให้มีการอบรม และสื่อสารต่อบุคลากรภายในองค์กรเพื่อสร้างความรู้ความเข้าใจต่อสิทธิ หน้าที่ และผลกระทบต่อการดําเนินงาน จากการใช้บังคับกฎหมาย และการใช้บังคับภายใต้นโยบายและคู่มือหรือแนวปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลนี้หมวด 9: การรับเรื่องร้องเรียนบริษัทได้จัดให้มีหน่วยงานรับเรื่องร้องเรียน มีการบันทึกข้อมูลการร้องเรียนและผลการดําเนินการหลังรับเรื่องร้องเรียนอย่างเป็นระบบ ที่สามารถเรียกขอข้อมูล/ตรวจสอบได้อยู่เสมอ ซึ่งผู้รับเรื่องร้องเรียนได้ผ่านการอบรมถึงวิธีการปฏิบัติงานและการสื่อสารต่อผู้ร้องเรียน และ/หรือผู้ที่เกี่ยวข้องโดยตรงทั้งภายใน และภายนอกองค์กรสร้างความรู้ความเข้าใจผลกระทบต่อการดําเนินงานภายใต้การใช้บังคับของกฎหมาย และภายใต้นโยบายและคู่มือหรือแนวปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลนี้หมวด 10: การบริหารความต่อเนื่องและการบริหารความเสี่ยงบริษัทได้จัดทําแผนรองรับการดําเนินธุรกิจอย่างต่อเนื่อง มีการจัดสรรทรัพยากรรองรับการดําเนินงานอย่างเพียงพอมีการประเมินผล ตรวจสอบ และควบคุม/บริหารความเสี่ยงอย่างชัดเจนและเป็นลายลักษณ์อักษรที่สอดคล้องกับนโยบายการบริหารความเสี่ยงโดยรวมหมวด 11 : การติดตามประเมินผลและการตรวจสอบบริษัทมีระบบที่ชัดเจนในการกํากับดูแล ติดตาม ตรวจสอบ และประเมินผลการปฏิบัติงานภายใต้นโยบายนี้ อย่างเหมาะสมเพื่อให้มีมาตรฐานการควบคุมภายใน และการให้บริการที่ดี เป็นไปตามกฎเกณฑ์ที่เกี่ยวข้องอย่างเคร่งครัด ทั้งจัดทําข้อมูลรายละเอียดเกี่ ยวกับการติดตาม ประเมินผล และการตรวจสอบนี้ให้มีความถูกต้องเพื่อการปรับปรุง พัฒนา และแก้ไขปัญหาได้อย่างถูกต้องและทันท่วงที หมวด 12 : การทบทวนและการปรับปุรงแก้ไขบริษัทอาจทําการทบทวน ปรับปรุงหรือแก้ไขนโยบายนี้ โดยการพิจารณาอนุมัติของผู้บริหารสูงสุดของบริษัท และไม่ต้องแจ้งให้ผู้ใช้บริการทราบล่วงหน้า ทั้งนี้ เพื่ อความเหมาะสมและมีประสิทธิภาพในการให้บริการ หรือเพื่อให้สอดคล้องตามกฎหมายหรือกฎระเบียบของหน่วยงานกํากับดูแลภาครัฐ รวมถึงประกาศหรือระเบียบต่างๆของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เว้นแต่ กรณีที่มีการ เปลี่ ยนแปลงในสาระสําคัญ โดยบริษัทอาจแจ้งรายละเอียดดังกล่าว และ/หรือ ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลกําหนดให้ต้องกระทําการดังกล่าว