การโอนข้อมูลส่วนบุคคลไปต่างประเทศ (Cross-Border Data Transfers)

 

ข้อมูลส่วนบุคคลที่โอนออกนอกประเทศไทยต้องส่งไปยังประเทศปลายทางหรือองค์กรที่มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ ตามที่ PDPA กำหนด การโอนข้อมูลภายในกลุ่มธุรกิจเดียวกันอาจดำเนินการตามนโยบายการโอนข้อมูลภายในของบริษัท โดยอยู่ภายใต้การพิจารณา/ตรวจสอบของ PDPC

 

 

การเก็บรักษาและการลบ/ทำลายข้อมูล (Data Retention and Deletion)

 

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลไว้เพียงเท่าที่จำเป็นตามวัตถุประสงค์ของการประมวลผลที่ระบุไว้ เมื่อสิ้นสุดระยะเวลาการเก็บรักษา หรือเมื่อความสัมพันธ์กับเจ้าของข้อมูลสิ้นสุดลง บริษัทจะลบหรือทำลายข้อมูลอย่างปลอดภัยตามแนวทางภายในและข้อกำหนดทางกฎหมายที่เกี่ยวข้อง

 

 

มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล (Data Security Measures)

 

บริษัทกำหนดมาตรการด้านความมั่นคงปลอดภัยทั้งเชิงองค์กร เชิงเทคนิค และเชิงกายภาพ เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การสูญหาย หรือการนำข้อมูลไปใช้ในทางที่ไม่เหมาะสม ให้สอดคล้องกับมาตรฐานของ PDPC (พ.ศ. 2565) โดยมาตรการประกอบด้วย:

 

• การควบคุมการเข้าถึง (access controls: การกำหนดสิทธิ์/การจำกัดการเข้าถึง)

• การเข้ารหัสและการจัดเก็บข้อมูลอย่างปลอดภัย (encryption & secure storage: การเข้ารหัสและจัดเก็บอย่างปลอดภัย)

• การทบทวนและตรวจสอบความปลอดภัยอย่างสม่ำเสมอ (security reviews & audits: การทบทวนและตรวจประเมิน)

 

ทั้งนี้ แนวทาง/มาตรการด้านความปลอดภัยจะได้รับการปรับปรุงเมื่อกฎระเบียบมีการเปลี่ยนแปลง หรือเมื่อมีการอัปเกรดระบบ (system upgrades: การปรับปรุง/ยกระดับระบบ)

 

 

สิทธิของเจ้าของข้อมูล (Data Subject Rights)

 

บริษัทจัดให้มีช่องทางที่เข้าถึงได้เพื่อให้เจ้าของข้อมูลสามารถ:

 

• ขอเข้าถึง แก้ไข หรือขอลบข้อมูลของตน

• คัดค้านหรือขอจำกัดการประมวลผล

• ขอให้โอนย้ายข้อมูล (data portability: การโอนย้ายข้อมูลระหว่างผู้ให้บริการ)

 

บริษัทจะดำเนินการต่อคำขอโดยเร็ว และตอบกลับภายในระยะเวลาที่กฎหมายกำหนด หากมีการปฏิเสธคำขอ บริษัทจะบันทึกเหตุผลไว้เพื่อรองรับการตรวจสอบการปฏิบัติตามข้อกำหนด (compliance audits: การตรวจสอบการปฏิบัติตามข้อกำหนด)

 

 

การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล (Data Breach Notification)

 

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล:

 

• พนักงานต้องรายงานต่อหน่วยงานที่รับผิดชอบทันที

• ทีมกำกับดูแลข้อมูลหรือ DPO จะประเมินสถานการณ์และควบคุม/จำกัดผลกระทบของเหตุการณ์

• หากเหตุละเมิดมีความเสี่ยง บริษัทจะแจ้ง PDPC ภายใน 72 ชั่วโมง

• หากเหตุละเมิดมีความเสี่ยงสูงต่อบุคคล บริษัทจะแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ พร้อมแนวทางการแก้ไข/ลดผลกระทบ

 

 

วันที่มีผลบังคับใช้ (Effective Date)

 

นโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ได้รับอนุมัติโดยคณะกรรมการบริษัทเมื่อวันที่ 28 มีนาคม 2023 และมีผลบังคับใช้ตั้งแต่วันที่ 29 มีนาคม 2023