นโยบายและแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล

1. การเก็บรวบรวม การใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

1.1 บริษัท จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของพนักงาน ลูกจ้าง ผู้ใช้บริการ และคู่ค้าของบริษัท รวมถึงผู้ซึ่งได้รับความยินยอมให้ทำงานหรือทำประโยชน์ให้แก่ บริษัท หรือในสถานประกอบกิจการของ บริษัท ไม่ว่าจะเรียกชื่ออย่างไรก็ตาม เพื่อวัตถุประสงค์ในการดำเนินงานของ บริษัท การศึกษา วิเคราะห์ วิจัย หรือจัดทำสถิติ และเพื่อปรับปรุงคุณภาพของการให้บริการแก่เจ้าของข้อมูลให้มีประสิทธิภาพมากยิ่งขึ้นโดยจะใช้วิธีการที่ชอบด้วยกฎหมายและเป็นธรรม มีการจัดเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็น ในกรณีการให้บริการทางเว็บไซต์ บริษัท จะจัดเก็บบันทึกข้อมูลการเข้าออกเว็บไซต์โดยระบบอัตโนมัติเพื่อวัตถุประสงค์ในการวิเคราะห์และติดตามการใช้บริการทางเว็บไซต์ และการตรวจสอบย้อนหลัง ในกรณีที่เกิดปัญหาการใช้งาน โดยจะจัดเก็บรักษาข้อมูลดังกล่าวไว้ตามระยะเวลาเท่าที่จำเป็น บริษัท อาจเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง เฉพาะในกรณีที่มีความจำเป็น เพื่อปรับปรุงข้อมูลส่วนบุคคลให้ถูกต้องเป็นปัจจุบัน และปรับปรุงคุณภาพและประสิทธิภาพให้บริการของ บริษัท โดยจะแจ้งถึงการตัดเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบ

1.2 บริษัทอาจส่ง โอน หรือเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคล หน่วยงาน องค์กร นิติบุคคลใด ๆ ภายนอก ซึ่งมีสัญญากับบริษัท หรือมีความสัมพันธ์ด้วย ทั้งในประเทศและต่างประเทศ เพื่อวัตถุประสงค์ในการปรับปรุงคุณภาพและประสิทธิภาพการให้บริการของบริษัท

1.3 บริษัทจะดำเนินการ ตามข้อ 1.1 – 1.2 เมื่อได้รับความยินยอมจากเจ้าของข้อมูล ยกเว้นในกรณี ดังต่อไปนี้

• 1.3.1 เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพกรณีเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อป้องกันอันตรายที่เกิดกับชีวิต สุขภาพของเจ้าของข้อมูล เช่น การส่งข้อมูลส่วนบุคคลต่อโรงพยาบาลเพื่อการรักษาที่เจ็บป่วยฉุกเฉินจนไม่สามารถให้ความยินยอมได้ด้วยตนเอง และไม่มีวิธีอื่นที่สามารถกระทำได้โดยไม่เปิดเผยข้อมูล เป็นต้น
• 1.3.2 เพื่อปฏิบัติตามสัญญา กรณีการเก็บข้อมูลรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อจำเป็นต่อการให้บริการหรือปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลและบริษัท เช่น เจ้าของข้อมูลที่ประสงค์จะทำสัญญาซื้อขายกับบริษัท ซึ่งมีความจำเป็นจะต้องทราบชื่อ ที่อยู่ เพื่อให้บริการ เป็นต้น
•  1.3.3 เพื่อปฏิบัติภารกิจของรัฐ กรณีมีความจำเป็นต่อการปฏิบัติตามภารกิจตามภารกิจเพื่อประโยชน์สาธารณะ หรือการปฏิบัติหน้าที่ตามอำนาจรัฐที่ บริษัท ได้รับมอบหมาย โดย บริษัท จะพิจารณาถึงความจำเป็นระหว่างการดำเนินภารกิจและสิทธิของเจ้าของข้อมูล ดังนั้น หากบริษัท มีหน้าที่ตามภารกิจของรัฐ ก็สามารถใช้ฐานข้อมูลนี้ในการประมวลผลข้อมูลได้ เช่น โครงการที่เกี่ยวกับสิทธิสวัสดิการตามนโยบายของรัฐ เป็นต้น
• 1.3.4 เพื่อประโยชน์อันชอบธรรม กรณีมีความจำเป็นเพื่อประโยชน์อันชอบธรรมในการดำเนินงานของ บริษัท โดย บริษัท จะพิจารณาถึงสิทธิของเจ้าของข้อมูลเป็นสำคัญ เช่น เพื่อป้องกันการฉ้อโกง การรักษาความปลอดภัยในระบบเครือข่าย การปกป้องสิทธิเสรีภาพ และประโยชน์ของเจ้าของข้อมูล เป็นต้น
• 1.3.5 เพื่อการศึกษาวิจัยหรือสถิติ กรณีที่มีการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะหรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการป้องกันที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูล
• 1.3.6 เพื่อปฏิบัติหน้าที่ตามกฎหมาย กรณีมีความจำเป็นต่อการปฏิบัติหน้าที่ที่กฎหมายกำหนด หรือตามคำสั่งของหน่วยงานรัฐที่มีอำนาจ แต่จะต้องไม่ใช่กรณีที่ผู้ควบคุมข้อมูลมีดุลพินิจในการเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคล หรือมีทางเลือกอืนใดที่สามารถทำได้ เช่น บริษัท อาจจะเปิดเผยข้อมูลส่วนบุคคลให้กรมสรรพากรหรือการส่งข้อมูลส่วนบุคคลตามคำสั่งของพนักงานอัยการหรือศาลและจัดเก็บข้อมูล Log file ตามที่กำหนดในพระราชบัญญัติคอมพิวเตอร์ เป็นต้น

1.4 บริษัท จะไม่เก็บข้อมูลส่วนบุคคลซึ่งเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรืออื่นใดซึ่งกระทบต่อเจ้าของข้อมูลในทำนองเดียวกัน เว้นแต่ได้รับความยินยอมจากเจ้าของข้อมูลโดยชัดแจ้งเท่านั้น หรือข้อยกเว้นตามกฎหมายกำหนด

 

2. การรักษาความมั่นคงปลอดภัย

บริษัท จะรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย การเข้าถึง การใช้ การเปลี่ยนแปลง การแก้ไข รวมถึงการเปิดเผยข้อมูลส่วนบุคคลโดยไม่มีสิทธิหรือไม่ชอบด้วยกฎหมายด้วยการกำหนดมาตรการเชิงเทคนิคและเชิงบริหารจัดการ วิธีปฏิบัติ และสิทธิในการเข้าถึงข้อมูลส่วนบุคคลให้เป็นไปตามที่กฎหมายกำหนด และหรือสอดคล้องกับมาตรฐานสากลบริษัท จะมีการกำหนดมาตรการต่าง ๆ เพื่อคุ้มครองข้อมูลส่วนบุคคลให้มีประสิทธิภาพและปลอดภัยตามมาตรฐานที่กฏหมายกำหนด ดังนี้

2.1 เงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคล เช่น การกำหนดชั้นความลับ วิธีการเข้าถึงข้อมูล และการจำกัดการเข้าถึงข้อมูล เป็นต้น

2.2 กระบวนการรองรับการเก็บรักษาข้อมูลส่วนบุคคลทางกายภาพ จัดให้มีสถานที่ที่เหมาะสมและปลอดภัยในการจัดเก็บข้อมูลหรือเอกสารต่าง ๆ และกำหนดกระบวนการลบหรือทำลายข้อมูลและอุปกรณ์เมื่อหมดความจำเป็นหรือได้รับการร้องขอจากเจ้าของข้อมูล

2.3 กระบวนการรองรับการเก็บรักษาข้อมูลส่วนบุคคลด้วยระบบเทคโนโลยีสารสนเทศ เช่น การแฝงข้อมูล(Pseudonymization) การจัดการข้อมูลนิรนาม (Anonymization) และการเข้ารหัสข้อมูล (Encryption) เป็นต้น

2.4 กำหนดแผนการรับมือและแก้ไข กรณีมีการรั่วไหล หรือละเมิดข้อมูลส่วนบุคคล 

2.5 มีมาตรการเชิงเทคนิคและเชิงบริหารจัดการ เพื่อรักษาความมั่นคงปลอดภัยในการดำเนินงานที่เกี่ยวกับข้อมูลส่วนบุคคลให้เหมาะสมกับการบริหารความเสี่ยงของ บริษัท ตามมาตรฐานสากล

 

3. สิทธิของเจ้าของข้อมูล

เจ้าของข้อมูลสามารถร้องขอให้ บริษัท ดำเนินการตามสิทธิของเจ้าของข้อมูล ดังนี้ 

3.1 สิทธิในการเข้าถึงข้อมูลส่วนบุคคล เจ้าของข้อมูลสามารถยื่นคำร้องขอเข้าถึงข้อมูลส่วนบุคคลหรือชี้แจงถึงการได้มาของข้อมูลส่วนบุคคลที่เจ้าของข้อมูลไม่ได้ให้ความยินยอม โดยบริษัท จะจัดเตรียมหรือจัดทำสำเนาข้อมูลส่วนบุคคลและข้อมูลที่เกี่ยวข้องตามช่องทางการสื่อสารของ บริษัท ทั้งนี้ บริษัท มีสิทธิปฏิเสธคำร้องขอ หากเป็นไปตามที่กฎหมายกำหนด หรือตามคำสั่งศาล หรือการเข้าถึงข้อมูลส่วนบุคคลนั้นอาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น

3.2 สิทธิการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เจ้าของข้อมูลสามารถยื่นคำร้องขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้องตรงกับความเป็นจริงเป็นปัจจุบัน ครบถ้วนสมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดโดยจะต้องนำหลักฐานหรือเอกสารที่เกี่ยวข้องมาแสดง หาก บริษัท เห็นการแก้ไขข้อมูลนั้นไม่มีเหตุผลเพียงพอ บริษัท จะปฏิเสธการร้องขอของเจ้าของข้อมูลและจะบันทึกเหตุผลในการปฏิเสธคำร้องขอไว้เป็นหลักฐาน

3.3 สิทธิในการลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวเจ้าของข้อมูลได้ เจ้าของข้อมูลสามารถยื่นคำร้องขอลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวเจ้าของข้อมูลได้โดย บริษัทจะดำเนินการตามคำร้องขอตามเงื่อนไข ดังนี้

• 3.3.1 เมื่อหมดความจำเป็นในการเก็บรักษาข้อมูลส่วนบุคคลตามวัตถุประสงค์
• 3.3.2 เจ้าของข้อมูลเพิกถอนความยินยอม และ บริษัท ไม่มีอำนาจตามกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• 3.3.3 เจ้าของข้อมูลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการปฏิบัติภารกิจของรัฐและเพื่อประโยชน์อันชอบธรรม และบริษัทไม่สามารถปฏิเสธการคัดค้านได้
• 3.3.4 ข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ หรือเปิดเผย โดยไม่ชอบด้วยกฎหมาย ทั้งนี้ บริษัทมีสิทธิปฏิเสธคำร้อง กรณีดังนี้ 

1. การเก็บรักษาไว้เพื่อความจำเป็นในการใช้เสรีภาพในการแสดงความคิดเห็น
2. การเก็บรักษาไว้เพื่อวัตถุประสงค์ในการจัดทำเอกสารประวัติศาสตร์ จดหมายเหตุ ฯลฯ
3. การเก็บรักษาไว้เพื่อดำเนินภารกิจเพื่อประโยชน์สาธารณะของ บริษัทหรือปฏิบัติตามอำนาจรัฐที่ บริษัทได้รับมอบหมาย
4. การเก็บรักษาข้อมูลตามข้อ 1.4 ที่มีความจำเป็นในการปฏิบัติหน้าที่ตามกฏหมายเพื่อวัตถุประสงค์ด้านเวชศาสตร์ป้องกัน อาชีวศาสตร์ ประโยชน์ด้านสาธารณสุข และอื่น ๆ ตามกฎหมายกำหนด
5. การใช้เพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฏหมาย หรือปฏิบัติตามกฎหมาย

3.4 สิทธิในการเพิกถอนความยินยอม กรณีเจ้าของข้อมูลได้ให้ความยินยอมไว้กับบริษัท เจ้าของข้อมูลสามารถยื่นตำร้องขอเพิกถอนความยินยอมนั้นได้ โดย บริษัทจะดำเนินการตามคำร้องขอของเจ้าของข้อมูล แต่ไม่รวมถึงการดำเนินการอื่นใดที่ได้กระทำก่อนที่จะมีการใช้สิทธิเพิกถอนความยินยอม ทั้งนี้ บริษัทมีสิทธิปฏิเสธคำร้องขอ หากมีข้อจำกัดสิทธิในการเพิกถอนความยินยอมโดยกฎหมาย

3.5 สิทธิในการขอรับหรือโอนย้ายข้อมูลส่วนบุคคลของตนเอง เจ้าของข้อมูลสามารถยื่นคำร้องขอรับหรือโอนย้ายข้อมูลส่วนบุคคลของตนเองไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ในรูปแบบอิเล็กทรอนิกส์ที่สามารถอ่านหรือใช้งานได้จากเครื่องมือหรืออุปกรณ์ทั่วไป รวมทั้งมีสิทธิขอตรวจสอบการโอนย้ายข้อมูลส่วนบุคคลดังกล่าวได้ โดยมีเงื่อนไข ดังนี้

• 3.5.1 ต้องเป็นข้อมูลส่วนบุคคลที่เจ้าของข้อมูลได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• 3.5.2 การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อความจำเป็นต่อการให้บริการหรือปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลและบริษัท ตามข้อ 1.3.2 ทั้งนี้ บริษัทจะปฏิเสธการขอรับหรือโอนย้ายข้อมูลส่วนบุคคล หากเป็นการปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติหน้าที่ตามกฏหมาย หรือละเมิดสิทธิหรือเสรีภาพของบุคคลอื่นโดย บริษัท จะบันทึกเหตุผลในการปฏิเสธคำร้องไว้เป็นหลักฐาน

3.6 สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล เจ้าของข้อมูลสามารถยื่นคำร้องขอมิให้ บริษัทใช้ข้อมูลส่วนบุคคลได้ ตามเงื่อนไข ดังนี้

• 3.6.1 บริษัท อยู่ระหว่างดำเนินการ ตามข้อ 3.2 หากตรวจสอบได้ว่าข้อมูลนั้นถูกต้องครบถ้วนสมบูรณ์แล้ว บริษัท สามารถปฏิเสธคำร้องดังกล่าวได้
• 3.6.2 เมื่อเป็นข้อมูลส่วนบุคคลที่ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายและเจ้าของข้อมูลไม่ได้ใช้สิทธิขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวเจ้าของข้อมูลได้ตามข้อ 3.3 แต่เจ้าของข้อมูลขอให้ระงับการใช้แทน ทั้งนี้ บริษัท จะปฏิเสธคำร้องขอดังกล่าว หากสามารถอ้างหลักฐานทางกฎหมายอื่นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้
• 3.6.3 เมื่อไม่มีความจำเป็นต้องเก็บรักษาข้อมูลส่วนบุคคลนั้น แต่เจ้าของข้อมูลขอให้เก็บรักษาไว้เพื่อการก่อตั้งสิทธิตามกฏหมาย การปฏิบัติตามหรือใช้สิทธิเรียกร้องตามกฎหมายหรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
• 3.6.4 บริษัท อยู่ระหว่างการพิสูจน์เพื่อปฏิเสธการคัดค้านของเจ้าของข้อมูล ตามสิทธิข้อ

3.7 สิทธิในการคัดค้าน เจ้าของข้อมูลสามารถยื่นคำร้องขอคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ตามเงื่อนไข ดังนี้

• 3.7.1 เพื่อการปฏิบัติภารกิจของรัฐและเพื่อผลประโยชน์อันชอบธรรม ตามข้อ 1.3.3 และ 1.3.4 ทั้งนี้บริษัทจะปฏิเสธการคัดค้าน หากพิสูจน์ได้ว่ามีเหตุอันควรชอบด้วยกฎหมายที่สำคัญกว่าหรือเพื่อการก่อตั้งสิทธิตามกฎหมาย การปฏิบัติตามหรือใช้สิทธิเรียกร้องตามกฏหมายหรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฏหมาย
• 3.7.2 เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ สถิติ ทั้งนี้ บริษัทจะปฏิเสธการคัดค้าน หากมีความจำเป็นในการดำเนินตามภารกิจเพื่อประโยชน์สาธารณะของบริษัท โดย บริษัท จะบันทึกเหตุผลในการปฏิเสธคำร้องเป็นหลักฐาน ทั้งนี้ หากไม่เข้าข้อยกเว้นการปฏิเสธการคัดค้าน บริษัท จะไม่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นต่อไป โดยจะแยกส่วนออกจากข้อมูลอื่นอย่างชัดเจน เมื่อเจ้าของข้อมูลได้แจ้งคัดค้านให้บริษัททราบ

3.8 สิทธิในการรับแจ้งข้อมูล เจ้าของข้อมูลส่วนบุคคลมีสิทธิได้รับแจ้งข้อมูล กรณีที่ บริษัท ได้รับข้อมูลจากเจ้าของข้อมูลโดยตรงหรือได้รับจากบุคคลที่สามตามช่องทางสื่อสารของ บริษัท

 

4. ข้อสงวนสิทธิ์

บริษัท ขอสงวนสิทธิ์ในการปฏิเสธคำร้องขอตามข้อ 3. กรณีดังต่อไปนี้

4.1 กฎหมายกำหนดให้สามารถดำเนินการได้

4.2 ข้อมูลส่วนบุคคลถูกทำให้ไม่ปรากฏชื่อ หรือบอกลักษณะอันสามารถระบุตัวเจ้าของข้อมูลได้

4.3 ผู้ยื่นไม่มีหลักฐานยืนยันว่าเป็นเจ้าของข้อมูลหรือเป็นผู้มีอำนาจในการยื่นคำร้องขอดังกล่าว

4.4 คำร้องขอดังกล่าวไม่สมเหตุสมผล เช่น กรณีที่ผู้ร้องขอไม่มีสิทธิตามกฎหมาย หรือไม่ข้อมูลส่วนบุคคลนั้นอยู่ที่บริษัท เป็นต้น

4.5 คำร้องขอดังกล่าวเป็นคำร้องฟุ่มเฟือย เช่น เป็นคำร้องขอที่มีลักษณะเดียวกัน หรือมีเนื้อหาเดียวกันซ้ำ ๆ กันโดยไม่มีเหตุอันสมควร

 

5. การปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคล

5.1 บริษัท จะปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายและการดำเนินงานของ บริษัทรวมถึงอาจปรับปรุงเพื่อให้สอดคล้องกับความคิดเห็นและข้อเสนอแนะจากเจ้าของข้อมูล โดย บริษัทจะประกาศแจ้งให้ทราบอย่างชัดเจนก่อนจะเริ่มดำเนินการ หรืออาจส่งประกาศแจ้งเตือนให้เจ้าของข้อมูลทราบโดยตรงตามช่องทางการสื่อสารของบริษัท

5.2 เจ้าของข้อมูลสามารถให้ข้อคิดเห็นและสอบถามข้อมูลเพิ่มเติมได้ที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([email protected]) หรือ บริษัท แฟ็คทอรี่ แม๊กซ์ จำกัด