Knowledge Link — คลังความรู้กฎหมาย PDPA ไทย ชุดข้อมูล: แนวปฏิบัติ Trustmark (มาตรฐานขั้นต่ำ 10 ด้าน) (198 โนด) สร้างเมื่อ: 2026-08-10 · แหล่งทางการ: https://link.pdpalawbase.com (อัปเดตล่าสุดดูที่เว็บ) กติกาเมื่อใช้ไฟล์นี้ตอบคำถาม: - อ้าง "ชื่อโนด + ลิงก์อ้างอิง" (บรรทัด ลิงก์อ้างอิง:) ของทุกประเด็นที่ใช้ - ถ้าไม่พบคำตอบในคลัง ให้บอกว่าไม่พบ อย่าเดา อย่าแต่งเลขมาตรา - เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย ============================================================ โนด: แนวปฏิบัติ 1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/1.md # 1 ภาพรวมกรอบการตรวจรับรองความสอดคล้อง (Trustmark) การคุ้มครองข้อมูลส่วนบุคคลเป็นหนึ่งในประเด็นสำคัญที่ทุกองค์กรต้องให้ความสำคัญในยุคดิจิทัล โดยเฉพาะภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 Trustmark คือตรารับรองที่ยืนยันว่าองค์กรมีมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลที่ครบถ้วน โปร่งใส และสามารถตรวจสอบได้ ไม่เพียงสร้างความมั่นใจแก่เจ้าของข้อมูล แต่ยังเพิ่มความน่าเชื่อถือทางธุรกิจให้แก่องค์กรที่ได้รับการรับรอง กระบวนการตรวจรับรองครอบคลุม **10 ด้านหลัก** ที่เป็นหัวใจสำคัญของระบบการบริหารจัดการข้อมูลส่วนบุคคล กำหนดโดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ## สิ่งที่ต้องทำ ทำความเข้าใจกรอบการตรวจรับรอง Trustmark และเตรียมองค์กรให้ครอบคลุมทั้ง 10 ด้านหลัก เพื่อแสดงให้เห็นว่าองค์กรมีการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างถูกต้อง มีประสิทธิภาพ และสามารถรับมือกับเหตุการณ์ต่าง ๆ ได้อย่างเป็นระบบ ## หลักฐาน ไม่มีรายการหลักฐานเฉพาะสำหรับบทนี้ — บทที่ 1 เป็นภาพรวมเชิงแนวคิด หลักฐานกำหนดเป็นรายข้อในแต่ละแนวปฏิบัติ (ดูบทที่ 2–10) ## สภาพบังคับ ไม่มีกฎหมายบังคับ — Trustmark เป็นกรอบมาตรฐานสมัครใจ ไม่ใช่ข้อกำหนดบังคับตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลโดยตรง ## 10 ด้านหลักของการตรวจรับรอง ### ด้านที่ 1 การกำกับดูแลและนโยบาย ตรวจสอบว่ามีการกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นลายลักษณ์อักษร มีโครงสร้างผู้รับผิดชอบ (เช่น [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)) และมีการกำกับติดตามอย่างต่อเนื่อง ### ด้านที่ 2 การบริหารความเสี่ยง ตรวจสอบการประเมินและระบุความเสี่ยงด้านข้อมูลส่วนบุคคล มีทะเบียนความเสี่ยง และมีมาตรการควบคุมหรือลดความเสี่ยง ### ด้านที่ 3 สิทธิของเจ้าของข้อมูล ตรวจสอบกระบวนการรับคำขอใช้สิทธิ เช่น การเข้าถึงข้อมูล แก้ไข ลบ ระงับ ใช้สิทธิคัดค้าน และการตอบสนองต่อคำขออย่างเหมาะสม (ดู [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)) ### ด้านที่ 4 ฐานทางกฎหมาย ตรวจสอบว่าการเก็บ ใช้ เปิดเผยข้อมูลอ้างอิง[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ที่ถูกต้อง เช่น สัญญา กฎหมาย ความยินยอม หรือประโยชน์โดยชอบด้วยกฎหมาย ### ด้านที่ 5 การจัดการความยินยอม ตรวจสอบการขอเก็บและจัดเก็บ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md) การเพิกถอนความยินยอม และการเก็บหลักฐานอย่างโปร่งใส ### ด้านที่ 6 ความมั่นคงปลอดภัยของข้อมูล ตรวจสอบมาตรการด้านความปลอดภัย เช่น การเข้ารหัส การควบคุมสิทธิ์ผู้ใช้งาน การตรวจสอบการเข้าถึง การสำรองข้อมูล และแผนตอบสนองเหตุการณ์ ### ด้านที่ 7 การจัดการผู้ประมวลผลภายนอก ตรวจสอบสัญญา/ข้อตกลงกับ[ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) และมาตรการกำกับดูแลคู่ค้าหรือผู้ให้บริการภายนอก ### ด้านที่ 8 การจัดการเหตุละเมิดข้อมูล ตรวจสอบขั้นตอนการรายงาน แจ้งเหตุ และจัดการเหตุละเมิดข้อมูล รวมถึงการแจ้ง[เจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject.md)และหน่วยงานกำกับตามกฎหมาย (ดู[การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/breach-notification.md)) ### ด้านที่ 9 การอบรมและสร้างความตระหนักรู้ ตรวจสอบการจัดอบรมบุคลากร การสื่อสารภายในองค์กร และการสร้างความตระหนักรู้เกี่ยวกับ PDPA อย่างต่อเนื่อง ### ด้านที่ 10 การติดตามและตรวจสอบ ตรวจสอบระบบติดตามและการตรวจสอบภายใน มีการทบทวนและการประเมินความสอดคล้องกับ PDPA อย่างสม่ำเสมอ (ดู [การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/1.md ============================================================ โนด: แนวปฏิบัติ 2.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-1.md # 2.1.1 คณะกรรมการหรือผู้บริหารสูงสุดมีหน้าที่รับผิดชอบโดยรวมในการคุ้มครองข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ คณะกรรมการและผู้บริหารระดับสูงต้องมีส่วนร่วมในการกำหนดนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล และต้องมีการกำกับติดตามการดำเนินงานให้เป็นไปตามนโยบายอย่างต่อเนื่อง เพื่อแสดงถึงความรับผิดชอบโดยรวมขององค์กรในระดับสูงสุด ## หลักฐาน 1. นโยบายที่แสดงให้เห็นถึงการกำกับและติดตามการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล 2. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแล ที่แสดงถึงการมีส่วนร่วมและการติดตามผล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคล องค์กรตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลของพนักงาน ลูกค้า คู่ค้า ผู้ใช้บริการ และผู้เกี่ยวข้องทุกฝ่าย โดยถือว่าข้อมูลส่วนบุคคลเป็นทรัพย์สินที่มีคุณค่าและต้องได้รับการปกป้องอย่างเหมาะสมตามหลักความปลอดภัย ความชอบธรรม และความโปร่งใส เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 **1. ขอบเขตของนโยบาย** — ครอบคลุมข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวมจากเจ้าของข้อมูลทุกประเภท ทั้งในรูปแบบเอกสารและอิเล็กทรอนิกส์ ที่ดำเนินการโดยองค์กรหรือโดยบุคคลภายนอกที่ปฏิบัติงานแทนองค์กร **2. บทบาทของคณะกรรมการและผู้บริหาร** - ผู้บริหารระดับสูงมีหน้าที่สนับสนุนทรัพยากรและกำกับให้การปฏิบัติเป็นไปตามนโยบาย รวมถึงติดตามผลการดำเนินงานจากหน่วยงานที่รับผิดชอบโดยตรง - คณะกรรมการบริษัทมีหน้าที่กำหนดนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล และทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ - คณะกรรมการกำกับดูแลความเสี่ยงอาจได้รับมอบหมายให้พิจารณารายงานผลจาก[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)และเสนอแนะต่อคณะกรรมการชุดใหญ่ **3. บทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล** — ให้คำปรึกษา ตรวจสอบ และรายงานผลการดำเนินงานตามนโยบายแก่ผู้บริหารและคณะกรรมการอย่างสม่ำเสมอ รวมถึงประสานงานกับหน่วยงานต่าง ๆ ภายในองค์กรให้ปฏิบัติตามข้อกำหนดของกฎหมาย **4. การประเมินและติดตามผล** — มีการติดตาม ตรวจสอบ และประเมินผลการดำเนินงานอย่างต่อเนื่อง พร้อมจัดทำรายงานผลและข้อเสนอแนะเพื่อพัฒนากระบวนการบริหารจัดการข้อมูลส่วนบุคคล **5. การสื่อสารและสร้างการรับรู้** — ส่งเสริมความเข้าใจและความตระหนักแก่พนักงานทุกระดับผ่านการอบรม การเผยแพร่คู่มือ และการสื่อสารต่าง ๆ ลงชื่อ ..................................................... (ผู้บริหารสูงสุด/ประธานคณะกรรมการ) วันที่ ...................................... ### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร **รายงานการประชุมคณะกรรมการบริหารองค์กร ครั้งที่ 3/2568** วัน/เวลา: วันพุธที่ 15 พฤษภาคม พ.ศ. 2568 เวลา 13.30 – 15.30 น. สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงานใหญ่ **วาระเพื่อพิจารณา — รายงานผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล (ไตรมาส 1/2568)** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลนำเสนอผลการดำเนินงานที่สำคัญ ได้แก่ การจัดอบรมเชิงปฏิบัติการให้แก่พนักงานใหม่เรื่องสิทธิของเจ้าของข้อมูล การติดตามเหตุละเมิดข้อมูลที่อยู่ระหว่างกระบวนการสอบสวน และการทบทวนนโยบายระยะเวลาจัดเก็บข้อมูล **ข้อเสนอแนะจากที่ประชุม** — ให้กำหนดตัวชี้วัดด้านการคุ้มครองข้อมูล เช่น สัดส่วนการอบรมและระยะเวลาการจัดการเหตุละเมิด พร้อมจัดทำรายงานความเสี่ยงข้อมูลส่วนบุคคลเสนอทุกไตรมาส **มติที่ประชุม** — รับทราบรายงาน และมอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดำเนินการตามข้อเสนอแนะ พร้อมจัดทำรายงานความคืบหน้าเสนอในที่ประชุมไตรมาสถัดไป --- ลงชื่อ .................................................... (ประธานการประชุม) ลงชื่อ .................................................... (เลขานุการการประชุม) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-1.md ============================================================ โนด: แนวปฏิบัติ 2.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-2.md # 2.1.2 ผู้บริหารเป็นผู้นำ เป็นแบบอย่าง และส่งเสริมวัฒนธรรมเชิงบวกเชิงรุกในการปฏิบัติตามกฎหมาย ## สิ่งที่ต้องทำ ผู้บริหารต้องเป็นแบบอย่างที่ดีในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และส่งเสริมวัฒนธรรมเชิงบวกเชิงรุกในการปฏิบัติตามกฎหมายให้เกิดขึ้นทั่วทั้งองค์กร ## หลักฐาน 1. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแล หรือรายงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต่อกรรมการ ที่แสดงให้เห็นว่าผู้บริหารระดับสูงปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล 2. รายงานการเข้าถึงข้อมูลตามสิทธิที่กำหนด โดยมีผู้บริหารเป็นแบบอย่าง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร (แสดงบทบาทผู้นำของผู้บริหาร) **รายงานการประชุมคณะกรรมการบริหารองค์กร ครั้งที่ 4/2568** วัน/เวลา: วันพฤหัสบดีที่ 16 พฤษภาคม พ.ศ. 2568 เวลา 13.30 – 15.00 น. สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงาน **วาระ — การเสริมสร้างวัฒนธรรมเชิงรุกในการคุ้มครองข้อมูลส่วนบุคคล** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรายงานว่า ได้จัดกิจกรรมสัปดาห์ความเป็นส่วนตัวภายในองค์กร โดยมีผู้บริหารเข้าร่วมเป็นวิทยากรเปิดงาน ประธานกรรมการร่วมจัดทำคลิปวิดีโอสั้นรณรงค์เรื่องความปลอดภัยของข้อมูลส่งถึงพนักงานทุกคน และมีการประกาศภายในว่าผู้บริหารจะเป็นกลุ่มแรกที่เข้ารับการทดสอบความเข้าใจด้านการคุ้มครองข้อมูลส่วนบุคคลทุกไตรมาส **ความคิดเห็นจากที่ประชุม** — ผู้บริหารต้องเป็นต้นแบบในเรื่องวินัยข้อมูล โดยเฉพาะการไม่ถ่ายภาพเอกสารหรือหน้าจอข้อมูลลูกค้า และเสนอให้จัดทำประกาศค่านิยมองค์กรด้านข้อมูลเพื่อสร้างวัฒนธรรมองค์กร **มติที่ประชุม** — เห็นชอบให้ทุกฝ่ายสนับสนุนการสร้างวัฒนธรรมคุ้มครองข้อมูล โดยผู้บริหารจะเป็นต้นแบบและรายงานผลความคืบหน้าทุกไตรมาส --- ลงชื่อ .................................................... (ประธานการประชุม) ลงชื่อ .................................................... (เลขานุการการประชุม) ### ตัวอย่างรายงานการเข้าถึงข้อมูลตามสิทธิ (โดยมีผู้บริหารเป็นแบบอย่าง) **รายงานการเข้าถึงข้อมูลส่วนบุคคล ระหว่างวันที่ 1–30 เมษายน 2568** จัดทำโดย: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — ส่งถึง: คณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล 1. **ภาพรวมการเข้าถึงข้อมูล** — พนักงานทั่วไปเข้าถึงข้อมูลตามบทบาทหน้าที่ และมีการตรวจสอบย้อนหลังกรณีการเข้าถึงผิดปกติ 2. **ผู้บริหารเข้าถึงข้อมูลตามนโยบายการควบคุมการเข้าถึงตามบทบาทหน้าที่** — ประธานกรรมการเข้าถึงเฉพาะรายงานสรุปเชิงสถิติที่ไม่สามารถระบุตัวตน ผู้จัดการทั่วไปเข้าถึงข้อมูลระดับระบบเพื่อตรวจสอบการปฏิบัติตามนโยบายโดยมีเหตุผลตามแบบคำร้อง ไม่มีผู้บริหารคนใดเข้าถึงข้อมูลส่วนบุคคลในเชิงลึกโดยไม่มีแบบฟอร์มหรือคำสั่ง 3. **การทบทวนและรับรองการเข้าถึง** — ผู้บริหารทุกคนลงนามรับรองการปฏิบัติตามมาตรการในการประชุม ไม่มีรายงานการฝ่าฝืนมาตรการเข้าถึง **สรุป** — ผู้บริหารมีบทบาทเป็นแบบอย่างโดยจำกัดตนเองให้เข้าถึงข้อมูลเท่าที่จำเป็น มีการรับรองและตรวจสอบอย่างโปร่งใส ช่วยเสริมสร้างวัฒนธรรมเชิงบวกในองค์กร --- ลงชื่อ .................................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-2.md ============================================================ โนด: แนวปฏิบัติ 2.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-3.md # 2.1.3 มีสายรายงานหรือบังคับบัญชาและการไหลเวียนของข้อมูลหรือส่วนงาน ## สิ่งที่ต้องทำ จัดทำผังองค์กรที่แสดงสายการรายงานและการบังคับบัญชาที่เหมาะสม รวมถึงแสดงการไหลเวียนของข้อมูลระหว่างส่วนงานต่าง ๆ เพื่อให้ทุกฝ่ายทราบช่องทางการรายงานและการประสานงานด้านการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. แผนผังองค์กรที่แสดงสายการรายงานหรือการบังคับบัญชาที่ชัดเจน เช่น ฝ่ายปฏิบัติงานรายงานไปยังผู้บริหาร เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรายงานต่อผู้บริหาร และทุกฝ่ายสามารถรายงานไปยังผู้บริหารได้ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างผังสายการรายงาน/บังคับบัญชาและการไหลเวียนของข้อมูลส่วนบุคคล สิ่งที่ต้องแสดงในแผนผัง: - สายบังคับบัญชาและการรายงานระหว่างเจ้าหน้าที่ผู้ปฏิบัติงานไปยังผู้บริหาร - เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีสายรายงานตรงต่อผู้บริหาร และสามารถรับรายงานจากเจ้าหน้าที่ปฏิบัติงาน - การสื่อสารและการส่งข้อมูลสามารถดำเนินการได้แบบสองทางระหว่างทุกฝ่าย ตัวอย่างแผนผังองค์กร (รูปแบบข้อความ): ``` ผู้บริหารระดับสูงสุด / \ เจ้าหน้าที่คุ้มครอง เจ้าหน้าที่ปฏิบัติงาน ข้อมูลส่วนบุคคล <-----> (รายงานและสื่อสารแบบสองทาง) ``` **คำอธิบายประกอบ** - ผู้บริหารระดับสูงมีอำนาจกำกับดูแล และรับข้อมูลจากทั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและเจ้าหน้าที่ปฏิบัติงานโดยตรง - เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลรับผิดชอบด้านการคุ้มครองข้อมูล สามารถสื่อสารทั้งกับผู้บริหารและเจ้าหน้าที่ปฏิบัติงานโดยตรง - เจ้าหน้าที่ปฏิบัติงานสามารถรายงานเหตุการณ์หรือประเด็นข้อมูลส่วนบุคคลทั้งต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและผู้บริหารโดยตรง - ทุกฝ่ายสามารถติดต่อ ส่งข้อมูล แจ้งเหตุ และรับการตอบสนองแบบสองทางได้ เพื่อสร้างระบบที่โปร่งใสและตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-3.md ============================================================ โนด: แนวปฏิบัติ 2.1.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-4.md # 2.1.4 มีนโยบายที่ชัดเจนในการกำหนดโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคลและกำกับดูแล ## สิ่งที่ต้องทำ กำหนดนโยบายที่ชัดเจนในการวางโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแล เพื่อให้เกิดการบริหารจัดการข้อมูลอย่างเป็นระบบ ปลอดภัย และมีประสิทธิภาพ ## หลักฐาน 1. รายงานการประชุมของคณะกรรมการบริษัทหรือองค์กรหรือผู้บริหาร ที่ระบุถึงนโยบายในการกำหนดโครงสร้างองค์กรเพื่อคุ้มครองข้อมูลส่วนบุคคลหรือกำกับดูแล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมผู้บริหารองค์กร **รายงานการประชุมผู้บริหารองค์กร ครั้งที่ 3/2567** วัน/เวลา: วันที่ 15 มีนาคม 2567 สถานที่: ห้องประชุมใหญ่ ชั้น 5 อาคารสำนักงานกลาง **วาระ — การกำหนดนโยบายโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคล** ประธานกรรมการบริหารเสนอให้กำหนดนโยบายที่ชัดเจนเกี่ยวกับโครงสร้างองค์กรในการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับแนวทางการบริหารจัดการข้อมูลอย่างปลอดภัยและมีประสิทธิภาพ ที่ประชุมมีมติให้กำหนดโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคล ดังนี้ 1. แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอย่างเป็นทางการ ซึ่งจะรายงานตรงต่อคณะผู้บริหาร 2. จัดตั้งฝ่ายคุ้มครองข้อมูลส่วนบุคคลภายใต้การกำกับดูแลของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยมีเจ้าหน้าที่สนับสนุนอย่างน้อย 2 คน 3. ให้แต่ละฝ่ายภายในองค์กรมีผู้ประสานงานด้านข้อมูลส่วนบุคคล เพื่อประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล 4. ให้มีการทบทวนโครงสร้างและนโยบายทุกปี และสามารถปรับปรุงเพิ่มเติมตามความเหมาะสม ที่ประชุมรับรองนโยบายดังกล่าว และมอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดำเนินการตามขั้นตอนต่อไป --- ลงชื่อ ........................................ ประธานกรรมการบริหาร วันที่ลงนาม: 15 มีนาคม 2567 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-4.md ============================================================ โนด: แนวปฏิบัติ 2.1.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-5.md # 2.1.5 JD ระบุความรับผิดชอบและสายรายงานผู้บริหาร ## สิ่งที่ต้องทำ ระบุความรับผิดชอบด้าน PDPA ใน JD (คำบรรยายลักษณะงาน) ของพนักงานทุกคน พร้อมระบุสายการบังคับบัญชา (สายรายงาน) ให้ชัดเจน เพื่อให้พนักงานรับทราบหน้าที่ตามกฎหมายและรู้ว่าต้องรายงานต่อใครในกรณีที่เกี่ยวข้องกับข้อมูลส่วนบุคคล ## หลักฐาน 1. เขียน JD หรือข้อตกลงการปฏิบัติงาน หรือสัญญาจ้าง หรือสภาพการจ้าง โดยต้องมีเนื้อหา **"ระบุความรับผิดชอบด้าน PDPA แก่พนักงานทุกคนว่ามีหน้าที่ตามกฎหมาย"** ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่าง Job Description (JD) สำหรับพนักงานทุกระดับ **ตำแหน่ง:** ___________________________ **แผนก:** ___________________________ **ผู้บังคับบัญชา:** ___________________________ **วันที่:** ___________________________ **หน้าที่และความรับผิดชอบหลัก** 1. ปฏิบัติงานตามที่ได้รับมอบหมายอย่างเต็มความสามารถและมีคุณภาพ รักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่ได้รับมอบหมายหรือเข้าถึงในระหว่างปฏิบัติงาน ปฏิบัติตามนโยบาย กฎระเบียบ และมาตรการขององค์กรที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างเคร่งครัด 2. รับผิดชอบในการดูแลและป้องกันข้อมูลส่วนบุคคลไม่ให้รั่วไหล สูญหาย หรือถูกเข้าถึงโดยไม่ได้รับอนุญาต 3. รายงานเหตุการณ์หรือปัญหาที่เกี่ยวข้องกับข้อมูลส่วนบุคคลหรือความมั่นคงปลอดภัยของข้อมูลต่อผู้บังคับบัญชาหรือ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)โดยทันที 4. ร่วมมือในการอบรมและพัฒนาความรู้ความเข้าใจเกี่ยวกับ PDPA และการรักษาความมั่นคงปลอดภัยของข้อมูลอย่างต่อเนื่อง 5. ปฏิบัติตามคำแนะนำและคำสั่งจากผู้บริหารหรือเจ้าหน้าที่ที่เกี่ยวข้องในการจัดการข้อมูลส่วนบุคคลและความปลอดภัยของข้อมูล **ความรับผิดชอบเพิ่มเติมเฉพาะ (ถ้ามี):** ___________________________ **สายการบังคับบัญชา** - รายงานตรงต่อ: ___________________________ - ประสานงานกับ: ___________________________ --- ลงชื่อพนักงาน: ___________________________ วันที่: ___________ ลงชื่อผู้บังคับบัญชา: ___________________________ วันที่: ___________ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-5.md ============================================================ โนด: แนวปฏิบัติ 2.1.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-6.md # 2.1.6 JD เป็นปัจจุบัน เหมาะสมกับวัตถุประสงค์ และมีการทบทวนสม่ำเสมอ ## สิ่งที่ต้องทำ จัดทำคำบรรยายลักษณะงานหรือ JD ให้เป็นปัจจุบัน เหมาะสมกับวัตถุประสงค์ขององค์กร และมีการทบทวนปรับปรุงอย่างสม่ำเสมอ เพื่อให้ความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลของพนักงานสอดคล้องกับกฎหมายที่เปลี่ยนแปลงอยู่เสมอ ## หลักฐาน 1. การกำหนดระยะเวลาทบทวนเพื่อแก้ไขปรับปรุง JD หรือข้อตกลงการปฏิบัติงาน หรือสัญญาจ้าง หรือสภาพการจ้าง โดยต้องมีเนื้อหา **"ระบุความรับผิดชอบด้าน PDPA แก่พนักงานทุกคนว่ามีหน้าที่ตามกฎหมาย"** ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมเรื่องการทบทวน JD **รายงานการประชุมฝ่ายทรัพยากรบุคคล** วันที่: 15 มิถุนายน 2568 สถานที่: ห้องประชุมฝ่ายทรัพยากรบุคคล ชั้น 3 เรื่อง: การทบทวนและปรับปรุงคำบรรยายลักษณะงานให้ทันสมัยและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล **สาระสำคัญการประชุม** 1. ที่ประชุมเห็นชอบให้ทบทวนคำบรรยายลักษณะงานทุกตำแหน่ง อย่างน้อยปีละ 1 ครั้ง เพื่อให้สอดคล้องกับวัตถุประสงค์ขององค์กรและกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มีการเปลี่ยนแปลงอยู่เสมอ 2. กำหนดให้ในทุกครั้งของการทบทวนต้องตรวจสอบและปรับปรุงให้ระบุความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างชัดเจนในทุกตำแหน่งงาน รวมถึงการรักษาความมั่นคงปลอดภัยของข้อมูลและการปฏิบัติตามนโยบายขององค์กร 3. กำหนดให้ฝ่ายทรัพยากรบุคคลทำหน้าที่รวบรวมข้อมูลและแก้ไขคำบรรยายลักษณะงาน พร้อมส่งให้ผู้บริหารพิจารณาอนุมัติก่อนนำไปบังคับใช้อย่างเป็นทางการ และจัดเก็บรายงานการทบทวนเป็นหลักฐาน **มติที่ประชุม** — เห็นชอบให้ทบทวนคำบรรยายลักษณะงานปีละ 1 ครั้ง และจัดทำรายงานการทบทวนเป็นลายลักษณ์อักษรทุกครั้ง ### คำอธิบายเรื่องระยะเวลาทบทวน องค์กรกำหนดให้มีการทบทวนคำบรรยายลักษณะงานอย่างสม่ำเสมอทุกปี เพื่อให้มั่นใจว่ายังคงเหมาะสมกับวัตถุประสงค์ขององค์กรและสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล การทบทวนนี้ช่วยให้สามารถปรับปรุงหรือแก้ไขหน้าที่ความรับผิดชอบที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลได้ทันเวลา และส่งเสริมให้พนักงานตระหนักถึงหน้าที่และความรับผิดชอบในด้านนี้อย่างต่อเนื่อง --- ลงชื่อ .............................................. (หัวหน้าฝ่ายทรัพยากรบุคคล) ลงชื่อ .............................................. (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-6.md ============================================================ โนด: แนวปฏิบัติ 2.1.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-7.md # 2.1.7 DPO และผู้กำกับดูแลเข้าใจโครงสร้างองค์กรและความรับผิดชอบของตน ## สิ่งที่ต้องทำ สร้างความเข้าใจให้พนักงานทุกคนเข้าใจเรื่องโครงสร้างองค์กร และสร้างความเข้าใจเกี่ยวกับความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและผู้กำกับดูแลที่ต้องเข้าใจบทบาทและหน้าที่ของตนอย่างชัดเจน ## หลักฐาน 1. รายงานการประชุมในระดับฝ่ายที่มีเนื้อความแสดงให้เห็นว่าพนักงานเข้าใจเรื่องโครงสร้างองค์กร และมีความเข้าใจเกี่ยวกับความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมฝ่ายคุ้มครองข้อมูลส่วนบุคคล **รายงานการประชุมฝ่ายคุ้มครองข้อมูลส่วนบุคคล** วันที่: 20 มิถุนายน 2568 สถานที่: ห้องประชุมฝ่ายคุ้มครองข้อมูล ชั้น 4 เรื่อง: การสร้างความเข้าใจเกี่ยวกับโครงสร้างองค์กรและความรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงานทุกคน **สาระสำคัญการประชุม** 1. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลชี้แจงและนำเสนอแผนผังโครงสร้างองค์กร โดยเน้นบทบาทและหน้าที่ความรับผิดชอบของแต่ละฝ่ายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล 2. อธิบายหน้าที่และบทบาทของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการกำกับดูแลและสนับสนุนการปฏิบัติตามกฎหมาย รวมถึงช่องทางการสื่อสารและการรายงานปัญหา 3. ให้ความรู้และสร้างความเข้าใจเกี่ยวกับหน้าที่ของพนักงานแต่ละระดับในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และการปฏิบัติตามนโยบายขององค์กร 4. เปิดโอกาสให้พนักงานซักถามข้อสงสัยเกี่ยวกับโครงสร้างองค์กรและความรับผิดชอบ เพื่อให้เกิดความชัดเจนและการมีส่วนร่วม 5. สรุปและเน้นย้ำให้ทุกคนปฏิบัติตามหน้าที่ด้วยความรับผิดชอบและความรอบคอบ **มติที่ประชุม** - พนักงานทุกคนเข้าใจบทบาทความรับผิดชอบและโครงสร้างองค์กรที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลอย่างชัดเจน - กำหนดให้มีการอบรมและทบทวนความรู้อย่างต่อเนื่องทุก 6 เดือน --- ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลงชื่อ ...................................... (หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-7.md ============================================================ โนด: แนวปฏิบัติ 2.1.8 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-8.md # 2.1.8 DPO มีหน้าที่รับผิดชอบตาม ม. 42 ## สิ่งที่ต้องทำ การปฏิบัติงานหรือดำเนินการของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องครบถ้วนตามหน้าที่ที่กำหนดในมาตรา [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ การให้คำแนะนำ การตรวจสอบการปฏิบัติตามกฎหมาย การประสานงานกับสำนักงาน และการรักษาความลับข้อมูล ## หลักฐาน 1. รายงานการประชุมของผู้บริหาร หรือคณะกรรมการกำกับดูแลฯ หรือเอกสารการรายงานผลของ DPO ซึ่งเนื้อหาต้องมีเรื่องการทำหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) 2. เอกสารคำสั่งแต่งตั้ง DPO ที่ระบุหน้าที่ให้ครบทุกด้านตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ## สภาพบังคับ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — กำหนดหน้าที่ของ DPO ไว้อย่างชัดเจน การไม่ปฏิบัติตามอาจมีผลตามกฎหมาย ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมผู้บริหาร (เรื่องการรายงานผลการปฏิบัติหน้าที่ของ DPO) **บริษัท ตัวอย่าง จำกัด** **รายงานการประชุมผู้บริหาร** วันที่: ___________________________ สถานที่: ___________________________ เรื่อง: การรายงานผลการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) **ผู้เข้าร่วมประชุม:** - ___________ (กรรมการผู้จัดการ) - ___________ (รองกรรมการผู้จัดการ) - ___________ (หัวหน้าฝ่ายกฎหมาย) - ___________ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — DPO) **สาระสำคัญ:** 1. DPO รายงานความคืบหน้าการดำเนินงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตาม PDPA สรุปการปฏิบัติตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ครอบคลุม: การจัดทำทะเบียนข้อมูลส่วนบุคคล การให้ความรู้และอบรมพนักงาน การรับเรื่องร้องเรียน และการประสานงานกับหน่วยงานที่เกี่ยวข้อง 2. แจ้งการติดตามและประเมินความเสี่ยงด้านการรักษาความมั่นคงปลอดภัยข้อมูล รวมถึงมาตรการที่นำมาใช้เพื่อป้องกันเหตุละเมิดข้อมูล 3. รับทราบปัญหาและอุปสรรค พร้อมเสนอแนะแนวทางแก้ไข 4. กรรมการและผู้บริหารแสดงความเห็นชอบและให้การสนับสนุนการปฏิบัติหน้าที่ของ DPO อย่างเต็มที่ **มติที่ประชุม:** - รับทราบรายงานและเห็นชอบแนวทางการดำเนินงานของ DPO - กำหนดให้มีการรายงานผลการปฏิบัติงานทุกไตรมาส --- ลงชื่อ: ___________________________ (ผู้บริหาร/กรรมการผู้จัดการ) ลงชื่อ: ___________________________ (DPO) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-8.md ============================================================ โนด: แนวปฏิบัติ 2.1.9 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-9.md # 2.1.9 DPO มีอำนาจปฏิบัติหน้าที่ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ ## สิ่งที่ต้องทำ ให้อำนาจ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เข้าถึงข้อมูลขององค์กร และจัดสรรทรัพยากรสนับสนุนการปฏิบัติหน้าที่ของ DPO ให้เพียงพอและมีประสิทธิภาพ ตามที่กำหนดใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรจัดให้ DPO 2. บันทึกเอกสารการให้อำนาจ DPO เข้าถึงฐานข้อมูลองค์กร และบันทึกที่แสดงว่า DPO มีสิทธิเข้าถึงฐานข้อมูลองค์กร ## สภาพบังคับ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) — กำหนดหน้าที่ของ DPO และการสนับสนุนจากองค์กร ## ตัวอย่างเอกสาร ### ตัวอย่างรายการอุปกรณ์/เครื่องมือที่องค์กรจัดให้ DPO - คอมพิวเตอร์โน้ตบุ๊กพร้อมซอฟต์แวร์ด้านความปลอดภัยข้อมูล - โทรศัพท์มือถือสำหรับการปฏิบัติงาน - บัตรประจำตัวพนักงานที่มีสิทธิเข้าถึงข้อมูลในระบบ - ซอฟต์แวร์ระบบบริหารจัดการข้อมูลส่วนบุคคล - สิทธิการเข้าถึงระบบฐานข้อมูลสำคัญขององค์กรผ่านช่องทางที่ปลอดภัย - ค่าตอบแทนพิเศษและแผนพัฒนาความรู้ของ DPO ประจำปี ### ตัวอย่างบันทึกการให้อำนาจ DPO เข้าถึงฐานข้อมูลองค์กร **บันทึกข้อความเลขที่: บค-2568/07** — วันที่: 2 กรกฎาคม 2568 เรื่อง: การให้อำนาจเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเข้าถึงฐานข้อมูลขององค์กร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 42](https://link.pdpalawbase.com/section/42.md) องค์กรแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และมอบอำนาจให้ ดังนี้ - มีสิทธิเข้าถึงฐานข้อมูลทั้งหมดที่เกี่ยวข้องกับการเก็บรวบรวม ประมวลผล และการรักษาความปลอดภัยของข้อมูลส่วนบุคคล - ใช้ทรัพยากรทั้งบุคลากร เครื่องมือ และระบบที่จำเป็นเพื่อปฏิบัติหน้าที่ตามกฎหมายอย่างมีประสิทธิภาพ - ประสานงานกับฝ่ายเทคโนโลยีสารสนเทศ ฝ่ายรักษาความปลอดภัย และฝ่ายบริหาร เพื่อสนับสนุนการปฏิบัติงาน ทั้งนี้ ให้ฝ่ายที่เกี่ยวข้องจัดเตรียมข้อมูลและทรัพยากรที่จำเป็นเพื่อสนับสนุนการปฏิบัติหน้าที่ของ DPO อย่างเต็มที่ --- ลงชื่อ ...................................... (กรรมการผู้จัดการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-9.md ============================================================ โนด: แนวปฏิบัติ 2.1.10 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-10.md # 2.1.10 DPO มีความรู้ความเชี่ยวชาญด้านกฎหมายและแนวปฏิบัติ ## สิ่งที่ต้องทำ [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ควรมีประกาศนียบัตรตามหลักสูตรที่สอดคล้องกับที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด หรือหลักสูตร/มาตรฐานสากล เพื่อยืนยันความรู้ความเชี่ยวชาญด้านกฎหมายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. หลักฐานการฝึกอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO 2. วุฒิบัตรการฝึกอบรม หรือประกาศนียบัตรหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการเข้าร่วมอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของ DPO **บันทึกข้อความเลขที่: บค-2568/09** — วันที่: 10 กรกฎาคม 2568 เรื่อง: รายงานการเข้าร่วมอบรมหลักสูตรการคุ้มครองข้อมูลส่วนบุคคลของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กรเข้าร่วมอบรมหลักสูตร "การคุ้มครองข้อมูลส่วนบุคคลและแนวทางปฏิบัติสำหรับเจ้าหน้าที่ DPO" ระหว่างวันที่ 1–3 กรกฎาคม 2568 โดยมีรายละเอียด ดังนี้ - เนื้อหาหลักสูตร: กฎหมายคุ้มครองข้อมูลส่วนบุคคล แนวทางปฏิบัติ การบริหารความเสี่ยง และการจัดการเหตุละเมิดข้อมูล - จำนวนชั่วโมงอบรม: 24 ชั่วโมง - ผู้เข้าอบรม: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจากองค์กรภาครัฐและเอกชน --- ลงชื่อ ...................................... (กรรมการผู้จัดการ) ### ตัวอย่างประกาศนียบัตรการฝึกอบรม **ประกาศนียบัตร** ออกให้แก่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กร เนื่องด้วยผ่านการอบรมหลักสูตร "การคุ้มครองข้อมูลส่วนบุคคลและแนวทางปฏิบัติสำหรับเจ้าหน้าที่ DPO" ระหว่างวันที่ 1–3 กรกฎาคม 2568 ได้รับคะแนนผ่านเกณฑ์มาตรฐาน เพื่อแสดงถึงความรู้ความสามารถในการปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล วันที่ออกประกาศนียบัตร: 5 กรกฎาคม 2568 --- ลงชื่อ ...................................... (ผู้รับรอง/ผู้อำนวยการสถาบันฝึกอบรม) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-10.md ============================================================ โนด: แนวปฏิบัติ 2.1.11 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-11.md # 2.1.11 หากองค์กรไม่ต้องแต่งตั้ง DPO ต้องบันทึกการตัดสินใจหรือเหตุผลไว้ให้ตรวจสอบ ## สิ่งที่ต้องทำ หากองค์กรพิจารณาแล้วว่าไม่ต้องแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ต้องบันทึกการตัดสินใจหรือเหตุผลไว้ให้ตรวจสอบได้ ซึ่งควรเป็นเหตุผลที่อ้างอิงข้อยกเว้นที่กฎหมายให้อำนาจ ## หลักฐาน 1. บันทึกการตัดสินใจ (อาจมีข้อกฎหมายประกอบ หรือข้อหารือจากฝ่ายกฎหมาย) 2. การบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล หรือ [บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md) ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างบันทึกการตัดสินใจไม่แต่งตั้ง DPO **บันทึกข้อความเลขที่: บค-2568/10** — วันที่: 12 กรกฎาคม 2568 เรื่อง: บันทึกการตัดสินใจไม่แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล จากการพิจารณาเรื่องการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พบว่าองค์กรมีลักษณะ ดังนี้ - ขนาดองค์กรไม่ถึงเกณฑ์ที่กฎหมายกำหนดให้แต่งตั้ง DPO - ปริมาณและประเภทข้อมูลส่วนบุคคลที่ประมวลผลอยู่ในระดับจำกัด - มีมาตรการรักษาความปลอดภัยข้อมูลอย่างเหมาะสมและครบถ้วน องค์กรจึงมีมติไม่ดำเนินการแต่งตั้ง DPO ในขณะนี้ โดยจะทบทวนและประเมินสถานการณ์อย่างสม่ำเสมอ การตัดสินใจครั้งนี้ได้รับคำปรึกษาจากฝ่ายกฎหมายและอ้างอิงตามข้อยกเว้นที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด --- ลงชื่อ ...................................... (กรรมการผู้จัดการ) ### ตัวอย่างบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ตารางบันทึกกิจกรรมการประมวลผล แสดงรายการอย่างน้อย ได้แก่ ข้อมูลส่วนบุคคลที่เก็บรวบรวม วัตถุประสงค์ ข้อมูลผู้ควบคุมข้อมูล ระยะเวลาการเก็บรักษา สิทธิและวิธีการเข้าถึง และคำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) | ลำดับ | ข้อมูลที่เก็บ | วัตถุประสงค์ | ระยะเวลาเก็บรักษา | มาตรการความปลอดภัย | |------|-------------|------------|------------------|-------------------| | 1 | ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล | ให้บริการลูกค้า | 5 ปีหลังเลิกใช้บริการ | เข้ารหัสข้อมูล จำกัดสิทธิเข้าถึงผ่านระบบล็อกอิน | | 2 | ข้อมูลส่วนตัวพนักงาน ประวัติการทำงาน | บริหารงานบุคคล | ตลอดเวลาที่ทำงาน | ระบบล็อกอิน 2 ชั้น ตรวจสอบบันทึกการเข้าใช้งาน | --- ลงชื่อ ...................................... (เจ้าหน้าที่ความปลอดภัยข้อมูล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-11.md ============================================================ โนด: แนวปฏิบัติ 2.1.12 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-12.md # 2.1.12 หากไม่ต้องแต่งตั้ง DPO ต้องมอบหมายผู้รับผิดชอบและสนับสนุนทรัพยากรให้เพียงพอ ## สิ่งที่ต้องทำ หากองค์กรไม่ต้องแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ต้องมอบหมายความรับผิดชอบให้บุคคลหนึ่งปฏิบัติหน้าที่แทน และจัดให้มีพนักงานและทรัพยากรเพียงพอที่จะดำเนินการต่าง ๆ ในการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. รายงานการประชุมของกรรมการบริษัทหรือผู้บริหาร ที่ระบุการแต่งตั้งบุคคลหนึ่งบุคคลใดหรือคณะกรรมการให้รับผิดชอบ 2. หลักฐานการแต่งตั้งหรือมอบหมาย 3. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรสนับสนุนหรือจัดหาให้ ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมผู้บริหารเรื่องการแต่งตั้งผู้รับผิดชอบ **รายงานการประชุมผู้บริหาร ครั้งที่ 7/2568** — วันที่: 15 กรกฎาคม 2568 เรื่อง: การแต่งตั้งบุคคลรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ที่ประชุมพิจารณาและมีมติเห็นชอบแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทน DPO โดยมอบหมายให้ดำเนินการตามข้อกำหนดของกฎหมาย พร้อมทั้งสนับสนุนทรัพยากรและอุปกรณ์ที่จำเป็นในการปฏิบัติงานอย่างเต็มที่ --- ลงชื่อ ...................................... (ประธานกรรมการบริหาร) ### ตัวอย่างหนังสือแต่งตั้ง/มอบหมายงาน **บันทึกข้อความเลขที่: 0123/2568** — วันที่: 15 กรกฎาคม 2568 เรื่อง: การแต่งตั้งผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 องค์กรแต่งตั้งผู้จัดการฝ่ายเทคโนโลยีสารสนเทศให้เป็นผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลแทน DPO โดยมีหน้าที่รับผิดชอบตามที่กฎหมายกำหนด พร้อมทั้งสนับสนุนทรัพยากรและอุปกรณ์ที่จำเป็นในการปฏิบัติงาน --- ลงชื่อ ...................................... (ประธานกรรมการบริหาร) ### ตัวอย่างรายการอุปกรณ์และเครื่องมือสนับสนุนผู้รับผิดชอบ - คอมพิวเตอร์สำนักงานที่จัดไว้สำหรับผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล - โทรศัพท์มือถือสำหรับติดต่อประสานงานด้านข้อมูลส่วนบุคคล - ซอฟต์แวร์ระบบบริหารจัดการข้อมูลที่ติดตั้งเพื่อสนับสนุนงานคุ้มครองข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-12.md ============================================================ โนด: แนวปฏิบัติ 2.1.13 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-13.md # 2.1.13 สมาชิกในองค์กรทราบว่า DPO คือใคร มีหน้าที่อะไร และติดต่ออย่างไร ## สิ่งที่ต้องทำ แจ้งรายละเอียดเกี่ยวกับ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ให้สมาชิกในองค์กรทราบอย่างครบถ้วน ได้แก่ ชื่อ หน้าที่ ความรับผิดชอบ และช่องทางการติดต่อ ## หลักฐาน 1. เอกสารรายละเอียดเกี่ยวกับ DPO (ชื่อ หน้าที่ ความรับผิดชอบ ช่องทางการติดต่อ) ที่ปรากฏอยู่ในรายงานการประชุมของคณะกรรมการองค์กร ผู้บริหาร หรือกรรมการกำกับดูแล 2. ประกาศหรือเผยแพร่คำสั่งแต่งตั้ง DPO หรือหนังสือเวียนแจ้งพนักงาน ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล ข้อ 4 (2) (7) — โทษทางปกครองตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ปรับไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล **ที่: 0567/2568** — เรื่อง: ประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 องค์กรประกาศแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยมีหน้าที่ให้คำแนะนำ ตรวจสอบการดำเนินงาน และประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การประมวลผลข้อมูลส่วนบุคคลขององค์กรเป็นไปอย่างถูกต้อง ช่องทางการติดต่อ: - อีเมล: dpo@example.com - โทรศัพท์: 02-123-4567 ต่อ 888 - สถานที่ติดต่อ: สำนักงานใหญ่ขององค์กร ทั้งนี้ ให้มีผลตั้งแต่วันที่ 15 กรกฎาคม 2568 เป็นต้นไป --- ลงชื่อ ...................................... (ประธานกรรมการบริหาร) ### ตัวอย่างหนังสือเวียนแจ้งพนักงานเรื่อง DPO **วันที่: 20 กรกฎาคม 2568** — เรื่อง: แจ้งแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและช่องทางการติดต่อ เรียน พนักงานทุกท่าน องค์กรได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อดูแลและรับผิดชอบการคุ้มครองข้อมูลส่วนบุคคลขององค์กร หากพนักงานท่านใดมีข้อสงสัย ต้องการคำปรึกษาเกี่ยวกับการปฏิบัติตามกฎหมาย หรือต้องการแจ้งปัญหาการคุ้มครองข้อมูลส่วนบุคคล สามารถติดต่อ DPO ได้ตามช่องทางที่ประกาศไว้ --- ลงชื่อ ...................................... (ฝ่ายบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-13.md ============================================================ โนด: แนวปฏิบัติ 2.1.14 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-14.md # 2.1.14 DPO มีส่วนร่วมให้ความเห็นทุกประเด็นที่เกี่ยวข้องกับ PDPA ในเวลาที่เหมาะสม ## สิ่งที่ต้องทำ จัดการให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ได้ร่วมให้ความเห็นในทุกเรื่องที่มีความสำคัญและเกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล ในเวลาที่เหมาะสม ## หลักฐาน 1. รายงานการประชุมในระดับฝ่าย หรือการจัดให้มีระบบหารือผ่านหนังสือ อีเมล หรือแอปพลิเคชันตอบโต้ข้อหารือกับ DPO เป็นหลักฐาน ## สภาพบังคับ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดหน้าที่ของ DPO ในการให้คำแนะนำและตรวจสอบการปฏิบัติตามกฎหมาย ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมฝ่ายบริหารเรื่อง PDPA **รายงานการประชุมฝ่ายบริหาร ครั้งที่ 5/2568** — วันที่: 25 กรกฎาคม 2568 เรื่อง: การพิจารณาและรับฟังความคิดเห็นเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เนื้อหาการประชุม: 1. พิจารณานโยบายและมาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคล 2. รับฟังความคิดเห็นและข้อเสนอแนะจาก DPO เกี่ยวกับแนวทางปฏิบัติในการประมวลผลข้อมูล 3. ทบทวนความคืบหน้าการจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล 4. หารือเกี่ยวกับคำร้องขอใช้สิทธิของเจ้าของข้อมูล **สรุปผล** — DPO ให้ความเห็นและข้อแนะนำอย่างครบถ้วนในทุกประเด็นที่เกี่ยวข้อง โดยเสนอแนวทางการปรับปรุงมาตรการรักษาความปลอดภัยและการจัดทำเอกสารที่เกี่ยวข้องให้สอดคล้องกับข้อกำหนดของกฎหมาย --- ลงชื่อ ...................................... (ประธานที่ประชุม) ### ตัวอย่างระบบการหารือและตอบข้อซักถามผ่านอีเมล **หัวข้อ:** ขอคำแนะนำเรื่องการจัดเก็บข้อมูลส่วนบุคคลของลูกค้าใหม่ — จากหัวหน้าฝ่ายการตลาด ถึง DPO **คำตอบจาก DPO** — การเก็บข้อมูลลูกค้าใหม่ควรจัดเก็บเฉพาะข้อมูลที่จำเป็น และกำหนดระยะเวลาการเก็บรักษาไม่เกิน 5 ปี นับจากวันสุดท้ายที่มีการติดต่อกับลูกค้า พร้อมทั้งใช้มาตรการรักษาความปลอดภัย เช่น การเข้ารหัสข้อมูลและจำกัดสิทธิเข้าถึง เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต --- ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-14.md ============================================================ โนด: แนวปฏิบัติ 2.1.15 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-15.md # 2.1.15 DPO ปฏิบัติหน้าที่อย่างเป็นอิสระ ไม่มีผลประโยชน์ทับซ้อน และมีส่วนร่วมตัดสินใจโดยตรง ## สิ่งที่ต้องทำ จัดการให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ทำงานอย่างเป็นอิสระ ไม่มีผลประโยชน์ทับซ้อน และมีส่วนร่วมตัดสินใจโดยตรงเกี่ยวกับลักษณะและวัตถุประสงค์ของการประมวลผลข้อมูลในองค์กร ## หลักฐาน 1. เอกสารที่แสดงให้เห็นว่า DPO ตัดสินใจได้โดยอิสระ สามารถแนะนำโดยตรงต่อผู้บริหารระดับสูงและแจ้งข้อกังวลได้ เช่น รายงานการประชุมของกรรมการบริหารหรือกรรมการกำกับดูแล นโยบายที่ระบุชัดว่า DPO มีอิสระโดยไม่มีผลประโยชน์ทับซ้อน หรือสัญญาที่ระบุชัดให้ DPO ทำงานโดยมีอิสระ ## สภาพบังคับ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดความเป็นอิสระในการปฏิบัติหน้าที่ของ DPO และโทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ปรับไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร **รายงานการประชุมคณะกรรมการบริหาร ครั้งที่ 8/2568** — วันที่: 5 สิงหาคม 2568 เรื่อง: การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและการกำหนดอำนาจหน้าที่ เนื้อหาการประชุม: - รับรองการแต่งตั้ง DPO - กำหนดบทบาทและอำนาจของ DPO ให้ทำงานอย่างอิสระ ไม่มีผลประโยชน์ทับซ้อน - กำหนดให้ DPO มีสิทธิเข้าถึงข้อมูล และสามารถแนะนำหรือแจ้งข้อกังวลเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลโดยตรงต่อคณะกรรมการบริหาร **มติที่ประชุม** — รับรองให้ DPO ปฏิบัติหน้าที่อย่างเป็นอิสระและไม่มีผลประโยชน์ทับซ้อน โดยมีอำนาจให้ความเห็นและแจ้งข้อกังวลได้โดยตรงต่อผู้บริหารระดับสูงโดยไม่ถูกแทรกแซง --- ลงชื่อ ...................................... (ประธานกรรมการ) ### ตัวอย่างนโยบายเรื่องความเป็นอิสระของ DPO **นโยบายความเป็นอิสระและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล** 1. DPO ต้องดำเนินงานโดยไม่มีผลประโยชน์ทับซ้อน และไม่อยู่ภายใต้คำสั่งของฝ่ายใดที่อาจขัดแย้งกับบทบาทของตน 2. DPO มีสิทธิให้คำแนะนำ แนะนำข้อปฏิบัติ แจ้งเตือนข้อกังวล และรายงานต่อผู้บริหารระดับสูงหรือคณะกรรมการบริหารโดยตรง องค์กรสนับสนุนและจัดสรรทรัพยากรที่เหมาะสมให้แก่ DPO ในการปฏิบัติหน้าที่ นโยบายนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 สิงหาคม 2568 เป็นต้นไป ### ตัวอย่างข้อความในสัญญาจ้างหรือแต่งตั้ง DPO **ข้อ 3: ความเป็นอิสระในการปฏิบัติหน้าที่** — ผู้ว่าจ้างตกลงและรับรองให้ผู้รับจ้างปฏิบัติหน้าที่ DPO โดยมีอิสระเต็มที่ และไม่มีผลประโยชน์ทับซ้อนในการให้คำแนะนำและควบคุมดูแลการประมวลผลข้อมูลส่วนบุคคล ผู้รับจ้างมีสิทธิรายงานข้อกังวลและข้อเสนอแนะโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหารขององค์กร โดยไม่ถูกแทรกแซงหรือขัดขวาง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-15.md ============================================================ โนด: แนวปฏิบัติ 2.1.16 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-16.md # 2.1.16 DPO ให้คำแนะนำโดยตรงและแจ้งข้อกังวลต่อผู้บริหารระดับสูงสุดได้ ## สิ่งที่ต้องทำ ต้องมีช่องทาง ผังองค์กร หรือสายการบังคับบัญชาให้[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)สามารถให้คำแนะนำโดยตรงต่อผู้มีอำนาจตัดสินใจระดับสูง และแจ้งข้อกังวลต่อผู้บริหารระดับสูงสุดได้ ## หลักฐาน 1. เอกสารที่แสดงให้เห็นว่า DPO ตัดสินใจได้โดยอิสระ และสามารถแนะนำโดยตรงต่อผู้บริหารระดับสูงและแจ้งข้อกังวลได้ เช่น รายงานการประชุมของกรรมการบริหารหรือกรรมการกำกับดูแล นโยบายที่ระบุชัดว่า DPO มีอิสระโดยไม่มีผลประโยชน์ทับซ้อน หรือสัญญาที่ระบุชัดให้ DPO ทำงานโดยมีอิสระ ## สภาพบังคับ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคหนึ่ง — กำหนดหน้าที่และความเป็นอิสระของ DPO และโทษทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ปรับไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร **รายงานการประชุมคณะกรรมการบริหาร ครั้งที่ 10/2568** — วันที่: 20 กันยายน 2568 เรื่อง: การกำหนดบทบาทและสิทธิของ DPO ในการให้คำแนะนำและแจ้งข้อกังวลต่อผู้บริหารระดับสูง เนื้อหาการประชุม: 1. กำหนดให้ DPO สามารถให้คำแนะนำโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหาร 2. อนุมัติผังการบังคับบัญชาที่แสดงให้เห็นว่า DPO รายงานตรงต่อผู้บริหารระดับสูงสุด 3. ยืนยันความเป็นอิสระในการปฏิบัติหน้าที่ของ DPO โดยไม่มีผลประโยชน์ทับซ้อน **มติที่ประชุม** — รับรองบทบาทของ DPO ในการตัดสินใจและรายงานโดยตรงต่อผู้บริหารระดับสูงสุด พร้อมรับรองให้อิสระเต็มที่ในการปฏิบัติหน้าที่ --- ลงชื่อ ...................................... (ประธานกรรมการ) ### ตัวอย่างนโยบายเรื่องสิทธิและอำนาจของ DPO 1. DPO มีสิทธิและอำนาจในการให้คำแนะนำโดยตรงต่อผู้บริหารระดับสูงและคณะกรรมการบริหารองค์กร 2. DPO สามารถแจ้งข้อกังวลหรือความเสี่ยงที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลโดยตรงแก่ผู้บริหารระดับสูงสุดได้โดยไม่มีข้อจำกัด 3. องค์กรสนับสนุนและรับรองความเป็นอิสระของ DPO ในการปฏิบัติหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) นโยบายนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 กันยายน 2568 เป็นต้นไป ### ตัวอย่างข้อความในสัญญาจ้างหรือแต่งตั้ง DPO **ข้อ 4: สิทธิและอำนาจในการรายงานและให้คำแนะนำ** — ผู้ว่าจ้างตกลงให้ผู้รับจ้างในตำแหน่ง DPO มีสิทธิให้คำแนะนำและรายงานข้อกังวลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลโดยตรงต่อผู้บริหารระดับสูงสุดและคณะกรรมการบริหารขององค์กร โดยไม่มีข้อจำกัดหรือข้อกีดกันใด ๆ และต้องได้รับการสนับสนุนในการปฏิบัติงานอย่างอิสระตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-16.md ============================================================ โนด: แนวปฏิบัติ 2.1.17 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-17.md # 2.1.17 องค์กรปฏิบัติตามคำแนะนำของ DPO หากไม่ดำเนินการต้องบันทึกเหตุผลไว้ ## สิ่งที่ต้องทำ องค์กรต้องปฏิบัติตามคำแนะนำของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ในฐานะผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล และหากไม่ปฏิบัติตาม ต้องบันทึกเหตุผลประกอบไว้ให้ตรวจสอบได้ ## หลักฐาน 1. รายงานการประชุมของหัวหน้าฝ่าย 2. หนังสือตอบโต้ อีเมล หรือแอปพลิเคชันข้อหารือของ DPO กับฝ่ายงานในองค์กร โดยทั้ง 2 ข้อต้องมีข้อความว่า "ได้ปฏิบัติตามคำแนะนำ" ซึ่งอาจมีบันทึกการรายงานผลการปฏิบัติงานประกอบ ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมของหัวหน้าฝ่าย **รายงานการประชุมหัวหน้าฝ่าย ครั้งที่ 5/2568** — วันที่: 15 พฤษภาคม 2568 เรื่อง: การปฏิบัติตามคำแนะนำของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เนื้อหาการประชุม: 1. DPO เสนอคำแนะนำเกี่ยวกับการปรับปรุงระบบความปลอดภัยข้อมูล 2. ฝ่ายเทคโนโลยีสารสนเทศรายงานว่าได้ปฏิบัติตามคำแนะนำ โดยติดตั้งระบบเข้ารหัสข้อมูลเพิ่มเติมตามที่ DPO แนะนำ 3. ฝ่ายทรัพยากรบุคคลแจ้งว่ายังไม่ได้ปฏิบัติตามคำแนะนำ เนื่องจากข้อจำกัดทางงบประมาณ และจัดทำหนังสือชี้แจงเหตุผลประกอบอย่างชัดเจน **มติที่ประชุม** — รับทราบการดำเนินการตามคำแนะนำของ DPO และเหตุผลกรณีไม่ปฏิบัติตาม พร้อมติดตามผลในครั้งถัดไป --- ลงชื่อ ...................................... (หัวหน้าฝ่าย) ### ตัวอย่างหนังสือตอบโต้/อีเมล/ข้อความในแอปพลิเคชัน เรื่อง: ตอบกลับคำแนะนำของ DPO เรื่องการปรับปรุงระบบข้อมูล ตามที่ DPO ให้คำแนะนำเกี่ยวกับการเพิ่มมาตรการรักษาความปลอดภัยข้อมูลในระบบทรัพยากรบุคคล ฝ่ายเทคโนโลยีสารสนเทศได้ปฏิบัติตามคำแนะนำโดยติดตั้งระบบเข้ารหัสและปรับปรุงซอฟต์แวร์เรียบร้อยแล้ว ส่วนฝ่ายทรัพยากรบุคคลยังไม่ได้ปฏิบัติตามเนื่องจากข้อจำกัดทางงบประมาณในไตรมาสนี้ แต่จะจัดทำแผนดำเนินการในไตรมาสถัดไปและรายงานผลอีกครั้ง --- ลงชื่อ ...................................... (หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-17.md ============================================================ โนด: แนวปฏิบัติ 2.1.18 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-18.md # 2.1.18 DPO ให้ข้อมูลที่เป็นปัจจุบันแก่ผู้บริหารระดับสูงเป็นประจำเกี่ยวกับกฎหมายและการดำเนินการด้าน PDPA ## สิ่งที่ต้องทำ ต้องมีระบบการรายงานข้อมูลที่เป็นปัจจุบันจาก[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต่อผู้บริหารระดับสูงเป็นประจำ อย่างน้อยปีละ 1 ครั้ง เกี่ยวกับกฎหมายและการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. รายงานการประชุมกรรมการบริษัทหรือองค์กร หรือกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคล 2. หนังสือหรือบันทึกของ DPO ที่จัดทำรายงานต่อผู้บริหาร ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท **รายงานการประชุมคณะกรรมการบริษัท ครั้งที่ 4/2568** — วันที่: 15 เมษายน 2568 เรื่อง: รายงานความคืบหน้าการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล เนื้อหาการประชุม: 1. DPO รายงานข้อมูลที่เป็นปัจจุบันเกี่ยวกับกฎหมายและแนวทางปฏิบัติตามมาตรฐานของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 2. รายงานผลการดำเนินงานและความท้าทายในการคุ้มครองข้อมูลส่วนบุคคลในองค์กร 3. อภิปรายและเสนอแนะแนวทางพัฒนาการจัดการข้อมูลส่วนบุคคลในปีถัดไป **มติที่ประชุม** — รับทราบรายงานของ DPO และมอบหมายให้ฝ่ายที่เกี่ยวข้องเร่งดำเนินการตามข้อเสนอแนะ พร้อมกำหนดให้ DPO รายงานความคืบหน้าต่อที่ประชุมกรรมการอย่างน้อยปีละ 1 ครั้ง --- ลงชื่อ ...................................... (ประธานกรรมการบริษัท) ### ตัวอย่างหนังสือรายงานของ DPO ต่อผู้บริหารระดับสูง **บันทึกข้อความ** — วันที่: 10 เมษายน 2568 เรื่อง: รายงานสถานะและความคืบหน้าการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล เรียน ผู้บริหารระดับสูง — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขอรายงานสถานะและความคืบหน้า ดังนี้ 1. สถานะการปฏิบัติตามกฎหมาย — องค์กรอยู่ระหว่างการปรับปรุงนโยบายและขั้นตอนการจัดการข้อมูลส่วนบุคคลให้เป็นไปตามข้อกำหนดของกฎหมาย 2. ผลการตรวจสอบและประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลในไตรมาสที่ผ่านมา 3. การอบรมและสร้างความตระหนักรู้ให้พนักงาน 4. ปัญหาและข้อเสนอแนะเพื่อการปรับปรุงระบบคุ้มครองข้อมูลส่วนบุคคล --- ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-18.md ============================================================ โนด: แนวปฏิบัติ 2.1.19 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-19.md # 2.1.19 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA จัดการดูแลข้อมูลอย่างมีประสิทธิภาพและรักษาความปลอดภัยอย่างเหมาะสม ## สิ่งที่ต้องทำ ต้องดำเนินการให้เจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูล จัดการและดูแลข้อมูลอย่างมีประสิทธิภาพ และรักษาความมั่นคงปลอดภัยของข้อมูลอย่างเหมาะสม ## หลักฐาน 1. รายงานการประชุมกรรมการบริษัทหรือองค์กร หรือกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคล 2. นโยบาย ประกาศ คำสั่ง หรือแนวปฏิบัติที่ระบุถึงมาตรการรักษาความมั่นคงปลอดภัย โดยเอกสารต้องระบุให้เห็นว่า "มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับพนักงานทุกด้าน" ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) — กำหนดหน้าที่ด้านการรักษาความมั่นคงปลอดภัยและหน้าที่ของผู้ประมวลผลข้อมูล โทษทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) (กรณีไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md)) ปรับไม่เกิน 3 ล้านบาท และ [มาตรา 84](https://link.pdpalawbase.com/section/84.md) (กรณีไม่ปฏิบัติตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md)) ปรับไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท **รายงานการประชุมคณะกรรมการบริษัท ครั้งที่ 5/2568** — วันที่: 20 เมษายน 2568 เรื่อง: มาตรการและการกำกับดูแลการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล **มติที่ประชุม** — อนุมัตินโยบายและมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลสำหรับพนักงานทุกด้านอย่างเคร่งครัด และกำหนดให้มีการตรวจสอบและประเมินผลความปลอดภัยของระบบข้อมูลอย่างสม่ำเสมอ --- ลงชื่อ ...................................... (ประธานกรรมการบริษัท) ### ตัวอย่างนโยบายรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล **วัตถุประสงค์** — ปกป้องและรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ และจัดเก็บ เพื่อป้องกันการเข้าถึง การเปิดเผย การเปลี่ยนแปลง หรือการทำลายข้อมูลโดยไม่ได้รับอนุญาต **มาตรการทางเทคนิค** — ใช้ระบบป้องกันไวรัสและมัลแวร์ที่อัปเดตสม่ำเสมอ ระบบไฟร์วอลล์และควบคุมการเข้าถึงเครือข่าย กำหนดรหัสผ่านที่ซับซ้อน เข้ารหัสข้อมูลสำคัญทั้งขณะจัดเก็บและส่งข้อมูล และมีระบบสำรองข้อมูลพร้อมแผนการกู้คืนข้อมูล **มาตรการทางการบริหาร** — ฝึกอบรมและสร้างความตระหนักรู้แก่พนักงานทุกระดับ จัดให้มีนโยบายการใช้งานระบบสารสนเทศที่ชัดเจน ตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และกำหนดกระบวนการจัดการเหตุการณ์ด้านความมั่นคงปลอดภัยข้อมูล **การควบคุมการเข้าถึงข้อมูล** — จำกัดสิทธิการเข้าถึงข้อมูลตามหน้าที่และความจำเป็นในการปฏิบัติงาน และมีระบบบันทึกการเข้าถึงข้อมูลพร้อมตรวจสอบการใช้งานอย่างต่อเนื่อง --- ลงชื่อ ...................................... (กรรมการผู้จัดการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-19.md ============================================================ โนด: แนวปฏิบัติ 2.1.20 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-20.md # 2.1.20 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีหน้าที่และความรับผิดชอบที่ชัดเจน ## สิ่งที่ต้องทำ กำหนดหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ที่ปฏิบัติงานและกำกับข้อมูลอย่างชัดเจน เพื่อให้องค์กรปฏิบัติตามข้อกำหนด นโยบาย และกฎหมาย ## หลักฐาน 1. การระบุหน้าที่ของเจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูลไว้ใน JD ข้อตกลง หรือสัญญาจ้าง โดยเอกสารต้องระบุให้เห็นว่า "มีหน้าที่คุ้มครองข้อมูลส่วนบุคคลของพนักงาน" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างคำบรรยายลักษณะงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล **ตำแหน่ง:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล — **แผนก:** ฝ่ายบริหารความเสี่ยงและการปฏิบัติตามกฎหมาย — **รายงานต่อ:** กรรมการผู้จัดการ/คณะกรรมการคุ้มครองข้อมูล **หน้าที่และความรับผิดชอบหลัก** 1. ดำเนินการและกำกับดูแลการปฏิบัติตามกฎหมายและนโยบายคุ้มครองข้อมูลขององค์กร ตรวจสอบและประเมินการจัดเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมาย พร้อมให้คำแนะนำแก่ฝ่ายต่าง ๆ 2. จัดทำและพัฒนานโยบาย แนวปฏิบัติ และมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล ดูแลให้นโยบายได้รับการปรับปรุงสม่ำเสมอ และส่งเสริมความตระหนักรู้แก่พนักงาน 3. รับผิดชอบการจัดการข้อร้องเรียนและเหตุการณ์ละเมิดข้อมูลส่วนบุคคล พร้อมประสานงานกับหน่วยงานที่เกี่ยวข้องเพื่อแก้ไขปัญหาอย่างรวดเร็ว 4. รายงานผลการดำเนินงานและความคืบหน้าต่อผู้บริหารระดับสูงอย่างน้อยปีละ 1 ครั้ง และแจ้งข้อกังวลที่พบอย่างชัดเจนและทันเวลา 5. รักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลของพนักงานและลูกค้าอย่างเคร่งครัด และวางแผนจัดการอบรมให้ความรู้เกี่ยวกับการคุ้มครองข้อมูลแก่พนักงาน --- ลงชื่อเจ้าหน้าที่ ...................................... วันที่ ...................................... ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-20.md ============================================================ โนด: แนวปฏิบัติ 2.1.21 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-21.md # 2.1.21 มีเครือข่ายสนับสนุนหรือคณะทำงานด้าน PDPA ในส่วนงานย่อยเพื่อเพิ่มประสิทธิภาพ ## สิ่งที่ต้องทำ องค์กรต้องสนับสนุนให้เกิดเครือข่ายด้านการคุ้มครองข้อมูลส่วนบุคคล และสนับสนุนให้พนักงานแต่ละฝ่ายเข้าร่วมเป็นคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) เพื่อช่วยให้การดำเนินการและการธำรงไว้ซึ่งนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคลในส่วนงานย่อยมีประสิทธิภาพมากขึ้น ## หลักฐาน 1. รายงานการประชุมกรรมการบริษัท ผู้บริหาร กรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน ที่มีข้อความให้เห็นว่า "มีการผลัดกันเข้าไปเป็นคณะทำงานของ DPO" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท **วันที่ประชุม:** 30 พฤษภาคม 2568 — **ระเบียบวาระ:** การสนับสนุนการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคลและการจัดตั้งคณะทำงาน ที่ประชุมรับทราบความจำเป็นในการส่งเสริมและสนับสนุนการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล โดยเห็นชอบให้จัดตั้งเครือข่ายคณะทำงานเพื่อช่วย DPO ในการดำเนินงาน และให้แต่ละฝ่ายผลัดเปลี่ยนกันส่งตัวแทนเข้าร่วมเป็นคณะทำงานเพื่อช่วยธำรงนโยบายและแนวทางปฏิบัติในส่วนงานของตน **มติที่ประชุม** 1. อนุมัติให้จัดตั้งคณะทำงานด้านคุ้มครองข้อมูลส่วนบุคคล โดยมีสมาชิกมาจากตัวแทนพนักงานแต่ละฝ่าย 2. ให้ฝ่ายทรัพยากรบุคคลและ DPO ร่วมกันกำหนดเกณฑ์การผลัดเปลี่ยนสมาชิกในคณะทำงานอย่างสม่ำเสมอ 3. ให้คณะทำงานรายงานความคืบหน้าการปฏิบัติงานต่อ DPO และผู้บริหารระดับสูงทุกไตรมาส **ข้อความสำคัญ** — "ที่ประชุมมีมติให้มีการผลัดเปลี่ยนตัวแทนจากฝ่ายต่าง ๆ เข้าเป็นคณะทำงานของ DPO เพื่อช่วยส่งเสริมและสนับสนุนการดำเนินการตามกฎหมายในองค์กรอย่างมีประสิทธิภาพ" --- ลงชื่อ ...................................... (ประธานที่ประชุม) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-21.md ============================================================ โนด: แนวปฏิบัติ 2.1.22 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-22.md # 2.1.22 เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีอำนาจ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ ## สิ่งที่ต้องทำ องค์กรต้องสนับสนุนเจ้าหน้าที่ที่ปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูลอย่างเพียงพอ ทั้งอำนาจหน้าที่และการจัดสรรทรัพยากรในการดำเนินงาน ## หลักฐาน 1. ภาพถ่ายอุปกรณ์หรือเครื่องมือที่องค์กรจัดหาให้ 2. บันทึกที่แสดงให้เห็นถึงการเข้าถึงฐานข้อมูลภายในองค์กรโดยพนักงานที่เกี่ยวข้อง ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างบันทึกข้อความแสดงการสนับสนุนทรัพยากร **บันทึกข้อความ** — ส่วนงาน: ฝ่ายกฎหมายและการคุ้มครองข้อมูลส่วนบุคคล — วันที่: 2 มิถุนายน 2568 เรื่อง: การสนับสนุนทรัพยากรเพื่อการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคล ด้วยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีภารกิจกำกับดูแลให้การดำเนินงานเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างมีประสิทธิภาพ จึงขอเรียนให้ทราบว่า 1. เจ้าหน้าที่ที่เกี่ยวข้องได้รับสิทธิเข้าถึงฐานข้อมูลที่จำเป็น เช่น ฐานข้อมูลลูกค้าสัมพันธ์ ระบบจัดการเอกสารอิเล็กทรอนิกส์ ระบบทรัพยากรบุคคล และระบบรับแจ้งเหตุด้านข้อมูล 2. ได้รับการจัดสรรเครื่องมือในการปฏิบัติงาน ได้แก่ เครื่องคอมพิวเตอร์พร้อมซอฟต์แวร์วิเคราะห์ข้อมูล โทรศัพท์สำนักงาน ระบบเข้าถึงฐานข้อมูลจากระยะไกลที่ปลอดภัย และห้องทำงานเฉพาะที่แยกจากบุคคลภายนอก 3. มีงบประมาณประจำปีเพื่อใช้ในการฝึกอบรม ตรวจสอบ และว่าจ้างที่ปรึกษาด้านข้อมูล --- ลงชื่อ ...................................... (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) รับทราบ ...................................... (กรรมการผู้จัดการใหญ่) ### ตัวอย่างรายการภาพถ่ายประกอบ - โต๊ะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลพร้อมเครื่องคอมพิวเตอร์ตั้งโต๊ะ โทรศัพท์สำนักงาน และเอกสารที่เกี่ยวข้อง - หน้าจอระบบจัดการข้อมูลแสดงชื่อผู้ใช้ที่มีสิทธิเข้าถึง - ห้องประชุมย่อยเฉพาะของฝ่ายคุ้มครองข้อมูลส่วนบุคคล - หน้าจอระบบเข้าถึงฐานข้อมูลระยะไกลและระบบควบคุมการเข้าถึงข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-22.md ============================================================ โนด: แนวปฏิบัติ 2.1.23 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-23.md # 2.1.23 ต้องจัดให้มีคณะทำงานของ DPO และ DPO เข้าร่วมประชุมกับคณะทำงานอย่างสม่ำเสมอ ## สิ่งที่ต้องทำ ต้องจัดตั้งคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) และจัดให้มีการประชุมร่วมกันอย่างสม่ำเสมอ โดย DPO เข้าร่วมประชุมกับคณะทำงานด้วย ## หลักฐาน 1. รายงานการประชุมกรรมการบริษัท ผู้บริหาร กรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน ที่มีข้อความให้เห็นว่า "มีการแต่งตั้งคณะทำงานของ DPO โดยต้องปรากฏรายชื่อ DPO เป็นประธาน ปรากฏชื่อคณะทำงาน และภาระงานของคณะทำงานว่ามีหน้าที่อะไรบ้าง" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะทำงาน DPO **รายงานการประชุมคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 1/2568** วัน/เวลา: วันอังคารที่ 5 มีนาคม 2568 เวลา 10.00–12.00 น. — สถานที่: ห้องประชุม 4A อาคารสำนักงานใหญ่ **ผู้เข้าร่วมประชุม** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ประธานคณะทำงาน) ตัวแทนฝ่ายความมั่นคงปลอดภัยสารสนเทศ ฝ่ายทรัพยากรบุคคล ฝ่ายกฎหมาย และตัวแทนฝ่ายลูกค้าสัมพันธ์ **วาระที่ 1: แจ้งเพื่อทราบ** — ประธานชี้แจงการแต่งตั้งคณะทำงาน DPO เพื่อสนับสนุนการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล โดยอ้างอิงคำสั่งแต่งตั้งคณะทำงาน **วาระที่ 2: บทบาทหน้าที่คณะทำงาน** — ที่ประชุมเห็นชอบให้คณะทำงานมีหน้าที่หลัก ดังนี้ 1. ประสานงานกับหน่วยงานภายในในการดำเนินการตามข้อแนะนำของ DPO 2. รวบรวมและประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลของฝ่ายงาน 3. รายงานปัญหา ข้อร้องเรียน หรือเหตุละเมิดข้อมูลต่อ DPO 4. สนับสนุนการจัดทำบันทึกกิจกรรมการประมวลผล ([บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md)) **วาระที่ 3: รอบการประชุม** — เห็นชอบให้มีการประชุมคณะทำงาน DPO ทุก 3 เดือน (ไตรมาสละ 1 ครั้ง) **มติที่ประชุม** — รับทราบการแต่งตั้งคณะทำงาน และอนุมัติภาระงานและรอบการประชุมเรียบร้อยแล้ว --- ลงชื่อ ...................................... (ประธานคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) หมายเหตุ: เอกสารแนบท้าย — คำสั่งแต่งตั้งคณะทำงาน DPO (สำเนา) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-23.md ============================================================ โนด: แนวปฏิบัติ 2.1.24 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-24.md # 2.1.24 DPO เป็นประธานคณะทำงาน หรือมีบทบาทสำคัญในคณะทำงานของ DPO ## สิ่งที่ต้องทำ ต้องตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เป็นประธานคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล หรือให้ DPO มีบทบาทสำคัญในคณะทำงานนั้น โดยมีภาระงานของคณะทำงานที่ชัดเจน ## หลักฐาน 1. คำสั่งแต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีรายละเอียดที่แสดงให้เห็นว่า **"DPO เป็นประธานหรือผู้ทำงานในคณะทำงาน และมีภาระงานของคณะทำงานชัดเจน"** 2. รายงานการประชุมคณะกรรมการบริษัท หรือผู้บริหาร หรือคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล หรือฝ่ายงาน ## สภาพบังคับ ไม่มีกฎหมายกำหนด — การมีคณะทำงานที่ DPO เป็นประธานช่วยให้การดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กรมีประสิทธิภาพยิ่งขึ้น ## ตัวอย่างเอกสาร ### ตัวอย่างคำสั่งแต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล **คำสั่งที่ 01/256x** **เรื่อง** แต่งตั้งคณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กรเป็นไปอย่างมีประสิทธิภาพ และสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงแต่งตั้งคณะทำงานดังนี้ **1. รายชื่อคณะทำงาน** *ประธานคณะทำงาน* - ___________ — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) *กรรมการ* - ___________ — ผู้แทนฝ่ายเทคโนโลยีสารสนเทศ - ___________ — ผู้แทนฝ่ายกฎหมาย - ___________ — ผู้แทนฝ่ายทรัพยากรบุคคล - ___________ — ผู้แทนจากหน่วยงานอื่น ๆ ที่เกี่ยวข้อง *เลขานุการ* - ___________ — เจ้าหน้าที่สนับสนุนงาน PDPA **2. อำนาจหน้าที่ของคณะทำงาน** คณะทำงานมีหน้าที่ดังนี้: 1. วางแผนและกำหนดแนวทางการดำเนินงานให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 2. เสนอแนะนโยบาย แนวปฏิบัติ หรือมาตรการคุ้มครองข้อมูลส่วนบุคคลให้ผู้บริหารพิจารณา 3. ตรวจสอบ ติดตาม และประเมินการปฏิบัติงานตามแนวปฏิบัติที่กำหนด 4. ประสานงานกับฝ่ายต่าง ๆ ภายในองค์กรเพื่อให้การปฏิบัติตาม PDPA เป็นไปโดยทั่วถึง 5. จัดประชุมอย่างสม่ำเสมอเพื่อติดตามความก้าวหน้า 6. รายงานผลการดำเนินงานต่อคณะกรรมการกำกับดูแลหรือผู้บริหารองค์กร **3. ระยะเวลา** คณะทำงานชุดนี้ดำรงตำแหน่ง 1 ปี นับแต่วันที่ออกคำสั่ง และสามารถต่ออายุหรือแต่งตั้งใหม่ได้ตามความเหมาะสม สั่ง ณ วันที่ ___________________________ ลงชื่อ: ___________________________ (ผู้มีอำนาจ/ผู้บริหารองค์กร) --- ### ตัวอย่างรายงานการประชุมคณะทำงาน PDPA **รายงานการประชุมคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล** ครั้งที่: ___/256x วันที่: ___________________________ สถานที่: ___________________________ **ผู้เข้าร่วมประชุม:** 1. ___________ — ประธานกรรมการ (DPO) 2. ___________ — กรรมการ (ฝ่ายเทคโนโลยีสารสนเทศ) 3. ___________ — กรรมการ (ฝ่ายกฎหมาย) 4. ___________ — กรรมการ (ฝ่ายทรัพยากรบุคคล) 5. ___________ — เลขานุการ **วาระการประชุม** *วาระที่ 1* — เรื่องแจ้งเพื่อทราบ ประธาน (DPO) แจ้งการดำรงตำแหน่งประธานคณะทำงานตามคำสั่ง และดำเนินการตามอำนาจหน้าที่ที่กำหนด *วาระที่ 2* — การกำหนดภารกิจของคณะทำงาน คณะกรรมการเห็นชอบภาระงาน ได้แก่: การกำกับดูแลการจัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคล การติดตามการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) การให้คำปรึกษาแก่ฝ่ายต่าง ๆ และการจัดทำแผนฝึกอบรมประจำปี *วาระที่ 3* — ความถี่ในการประชุม มีมติให้ประชุมทุกไตรมาส และในกรณีมีเหตุฉุกเฉินหรือการละเมิดข้อมูลให้จัดประชุมพิเศษทันที **มติที่ประชุมสรุป:** - รับทราบบทบาทของ DPO ในฐานะประธานคณะทำงาน - รับรองภาระงานของคณะทำงานตามข้อเสนอ - เห็นชอบกำหนดการประชุมรายไตรมาส ปิดประชุม: ___________________________ ลงชื่อ: ___________________________ (ประธาน/DPO) ลงชื่อ: ___________________________ (เลขานุการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-24.md ============================================================ โนด: แนวปฏิบัติ 2.1.25 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-25.md # 2.1.25 มีการกำหนดเป้าหมายคณะทำงานของ DPO อย่างชัดเจน ## สิ่งที่ต้องทำ กำหนดเป้าหมายของคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)อย่างชัดเจน และสอดคล้องกับภาระงานของ DPO ## หลักฐาน 1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO โดยต้องมีข้อความที่แสดงให้เห็นอย่างชัดเจนถึง "เป้าหมายและแผนการดำเนินงานของคณะทำงาน" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างวาระการประชุมคณะทำงาน DPO **คณะทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 3/2568** — วันที่: 5 มิถุนายน 2568 **วาระที่ 2: การกำหนดเป้าหมายและแผนการดำเนินงานประจำปีของคณะทำงาน** — เป้าหมายของคณะทำงาน ได้แก่ 1. จัดทำและทบทวนนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร ให้สอดคล้องกับสถานการณ์จริงและแนวทางของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 2. สร้างความรู้ความเข้าใจแก่พนักงานทุกระดับ ผ่านการอบรมไม่น้อยกว่า 2 ครั้งต่อปี 3. ควบคุมและกำกับดูแลการประมวลผลข้อมูลส่วนบุคคลของแต่ละฝ่ายงาน ให้มีการบันทึก[บันทึกรายการกิจกรรมการประมวลผล (ROPA)](https://link.pdpalawbase.com/concept/ropa.md)ครบถ้วน 4. ประเมินความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล และดำเนินการ[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)ในกิจกรรมที่มีความเสี่ยงสูง 5. จัดให้มีระบบรับเรื่องร้องเรียนหรือแจ้งเหตุการละเมิดข้อมูล และรายงานให้ DPO ภายใน 72 ชั่วโมง 6. สนับสนุนการจัดหาเครื่องมือระบบความปลอดภัยข้อมูลให้เหมาะสมกับการดำเนินงาน **มติที่ประชุม** — เห็นชอบเป้าหมายและแผนดำเนินงานรายไตรมาสของคณะทำงาน DPO และมอบหมายให้เลขานุการจัดทำเอกสารเผยแพร่ไปยังทุกฝ่าย --- ลงชื่อ ...................................... (ประธานคณะทำงาน) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-25.md ============================================================ โนด: แนวปฏิบัติ 2.1.26 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-26.md # 2.1.26 คณะทำงาน DPO มีการบันทึกรายงานการประชุม ## สิ่งที่ต้องทำ คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องมีการบันทึกรายงานการประชุมอย่างน้อยปีละ 1 ครั้ง และจัดทำรายงานการประชุมไว้เป็นหลักฐาน ## หลักฐาน 1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO โดยต้องมีข้อความที่แสดงให้เห็นอย่างชัดเจนถึง "เป้าหมายและแผนการดำเนินงานของคณะทำงาน" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างวาระและรายงานการประชุมคณะทำงาน DPO **คณะทำงาน DPO ครั้งที่ 1/2568** — วันพฤหัสบดีที่ 15 กุมภาพันธ์ 2568 เวลา 09.30–11.30 น. **วาระที่ 2: เป้าหมายและแผนการดำเนินงานประจำปี** — เป้าหมายของคณะทำงาน ได้แก่ 1. พัฒนานโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ครอบคลุมทุกกิจกรรมขององค์กร 2. ส่งเสริมความรู้ ความเข้าใจ และการมีส่วนร่วมของพนักงานทุกฝ่าย 3. ตรวจสอบความสอดคล้องของกิจกรรมประมวลผลข้อมูลกับกฎหมายและข้อกำหนดภายใน 4. บริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และจัดทำรายงาน[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)สำหรับกิจกรรมที่มีความเสี่ยงสูง 5. พัฒนาระบบรับเรื่องร้องเรียนและจัดการเหตุละเมิดข้อมูลให้มีประสิทธิภาพ **แผนการดำเนินงานโดยสรุป** — ไตรมาส 1 จัดทำคู่มือสำหรับฝ่ายงาน · ไตรมาส 2 อบรมเจ้าหน้าที่ 2 รอบ · ไตรมาส 3 ทบทวนการจัดเก็บข้อมูลและจัดทำ[การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md) · ไตรมาส 4 สรุปผลการดำเนินงานและเสนอแนวทางพัฒนา **มติที่ประชุม** — เห็นชอบแผนงานและเป้าหมายของคณะทำงาน DPO ตามที่เสนอ และมอบหมายเลขานุการจัดส่งบันทึกการประชุมให้กรรมการกำกับดูแลข้อมูลส่วนบุคคลรับทราบ --- ลงชื่อ ...................................... (ประธานคณะทำงาน DPO) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-26.md ============================================================ โนด: แนวปฏิบัติ 2.1.27 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-27.md # 2.1.27 ภาระงานของ DPO ครอบคลุมการดำเนินงานด้าน PDPA ระบุปัญหาความเสี่ยง และจัดทำตัวชี้วัด (KPI) ## สิ่งที่ต้องทำ ภาระงานของคณะทำงาน[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องครอบคลุมการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วน ได้แก่ การระบุปัญหา การระบุความเสี่ยง และการจัดทำตัวชี้วัดที่ครอบคลุมการดำเนินงาน ## หลักฐาน 1. คำสั่งแต่งตั้งและรายงานการประชุมกรรมการบริหาร ผู้บริหาร หรือกรรมการกำกับดูแล โดยต้องมีข้อความแสดงให้เห็นว่า "คณะทำงาน DPO มีรายชื่อ DPO เป็นประธานหรือผู้ทำงานในคณะทำงาน และระบุภาระงานของคณะทำงาน" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะกรรมการบริหาร **วันที่: 15 พฤษภาคม 2568** **วาระที่ 1: การแต่งตั้งคณะทำงาน DPO** — ที่ประชุมแต่งตั้งประธานคณะทำงาน DPO เพื่อกำกับดูแลการบริหารจัดการข้อมูลส่วนบุคคล โดยมีบทบาทในการวางแผน กำกับ ติดตาม และรายงานผลการดำเนินงาน **วาระที่ 2: รายงานปัญหาและความเสี่ยง** — เช่น การเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตในบางส่วนของระบบ ความเสี่ยงในการละเมิดสิทธิเจ้าของข้อมูลจากการรั่วไหล และความเสี่ยงทางกฎหมาย **วาระที่ 3: การกำหนดตัวชี้วัด** — ที่ประชุมเห็นชอบตัวชี้วัดเพื่อประเมินประสิทธิผลของการบริหารจัดการ ได้แก่ - จำนวนเหตุการณ์ละเมิดข้อมูลส่วนบุคคลต่อปี (ไม่เกิน 2 ครั้งต่อปี) - ระยะเวลาการตอบสนองคำร้องขอของเจ้าของข้อมูล (ตอบภายใน 15 วันทำการ) - อัตราการเข้าร่วมอบรมของพนักงาน (ร้อยละ 95 ขึ้นไปต่อปี) - จำนวนการตรวจสอบและปรับปรุงระบบความปลอดภัยข้อมูล (อย่างน้อย 2 ครั้งต่อปี) ### ตัวอย่างคำสั่งแต่งตั้งคณะทำงาน DPO **คำสั่งเลขที่: 001/2568** — เรื่อง: แต่งตั้งคณะทำงานคุ้มครองข้อมูลส่วนบุคคล โดยแต่งตั้งประธานคณะทำงาน DPO และกำหนดภาระงาน ได้แก่ การวางแผนและกำกับดูแลการปฏิบัติตามนโยบาย การระบุและวิเคราะห์ปัญหาและความเสี่ยง การจัดทำและติดตามตัวชี้วัด การจัดประชุมและรายงานผลต่อคณะกรรมการบริหารอย่างสม่ำเสมอ และการส่งเสริมการอบรมสร้างความตระหนักรู้ในองค์กร --- ลงชื่อ ...................................... (ประธานกรรมการบริหาร) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-27.md ============================================================ โนด: แนวปฏิบัติ 2.1.28 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-28.md # 2.1.28 คณะทำงานของ DPO มีแผนงานหรือแผนปฏิบัติการที่ได้รับการติดตามอย่างสม่ำเสมอ ## สิ่งที่ต้องทำ คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องมีแผนงานหรือแผนปฏิบัติการ และได้รับการติดตามอย่างน้อยปีละ 1 ครั้ง ## หลักฐาน 1. วาระการประชุมและรายงานการประชุมคณะทำงานของ DPO ที่แสดงถึงเป้าหมายและแผนการดำเนินงานของคณะทำงาน ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมติดตามแผนงานคณะทำงาน DPO **คณะทำงาน DPO ครั้งที่ 2/2568** — วันที่: 20 มิถุนายน 2568 เวลา 14.00–16.00 น. **วาระที่ 1: ติดตามแผนงานและแผนปฏิบัติการ** — ประธานคณะทำงานรายงานความคืบหน้าของแผนงานที่วางไว้ ประกอบด้วย การอบรมและสร้างความตระหนักรู้ให้พนักงานทุกฝ่ายภายในไตรมาส 3 การตรวจสอบและปรับปรุงระบบรักษาความปลอดภัยข้อมูลในฐานข้อมูลหลักภายในไตรมาส 4 การจัดทำรายงานประเมินความเสี่ยง และการทบทวนนโยบายและคู่มือปฏิบัติการ **วาระที่ 2: ประเมินผลการดำเนินงาน** — การอบรมดำเนินการแล้วร้อยละ 60 ของเป้าหมาย ระบบรักษาความปลอดภัยข้อมูลอยู่ระหว่างการปรับปรุง รายงานความเสี่ยงอยู่ในขั้นรวบรวมข้อมูล และการทบทวนนโยบายอยู่ระหว่างรวบรวมข้อคิดเห็นจากฝ่ายงานต่าง ๆ **วาระที่ 3: ข้อเสนอแนะและแผนต่อไป** — เร่งรัดการอบรมให้ครอบคลุมพนักงานทั้งหมดภายในสิ้นไตรมาส 3 ติดตามการปรับปรุงระบบรักษาความปลอดภัย และเร่งรัดการจัดทำรายงานความเสี่ยงเพื่อเสนอคณะกรรมการบริหารภายในสิ้นปี **สรุปการประชุม** — ที่ประชุมรับทราบและติดตามความคืบหน้าของแผนงานอย่างใกล้ชิด และจะจัดประชุมติดตามอย่างน้อยปีละ 1 ครั้งตามที่กำหนด --- ลงชื่อ ...................................... (ประธานคณะทำงาน DPO) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-28.md ============================================================ โนด: แนวปฏิบัติ 2.1.29 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-29.md # 2.1.29 คณะกรรมการบริษัทหรือผู้บริหารระดับสูงพิจารณาประเด็น PDPA และความเสี่ยงที่คณะทำงาน DPO รายงาน ## สิ่งที่ต้องทำ คณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)ต้องรายงานประเด็นการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล และความเสี่ยงขององค์กร ไปยังคณะกรรมการบริษัทหรือผู้บริหารระดับสูงสุดเพื่อพิจารณา ## หลักฐาน 1. รายงานการประชุมคณะทำงานของ DPO หรือรายงานการประชุมกรรมการบริษัท ผู้บริหารองค์กร หรือคณะกรรมการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงให้เห็นว่า "การคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล รวมถึงความเสี่ยงขององค์กร" และเป็นการรายงานโดยคณะทำงานของ DPO ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะทำงาน DPO **คณะทำงาน DPO ครั้งที่ 3/2568** — วันที่: 15 กันยายน 2568 **วาระที่ 1: รายงานสถานะการดำเนินงาน** — ประธานคณะทำงานรายงานสรุปประเด็นการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล รวมถึงสถานะความเสี่ยงที่ตรวจพบ เช่น ปัญหาด้านความปลอดภัยของระบบเก็บข้อมูลลูกค้า ความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และแนวทางการแก้ไขที่ดำเนินการแล้ว **วาระที่ 2: การจัดทำรายงานเสนอผู้บริหารระดับสูง** — ที่ประชุมเห็นชอบให้จัดทำรายงานผลการดำเนินงานและความเสี่ยงพร้อมข้อเสนอแนะ เพื่อส่งให้คณะกรรมการบริษัทและผู้บริหารระดับสูงพิจารณา ### ตัวอย่างรายงานการประชุมคณะกรรมการบริษัท **คณะกรรมการบริษัท ครั้งที่ 5/2568** — วันที่: 1 ตุลาคม 2568 **วาระ: รายงานการคุ้มครองข้อมูลส่วนบุคคลและความเสี่ยงที่เกี่ยวข้อง** — ตัวแทนคณะทำงาน DPO นำเสนอรายงานสถานการณ์การกำกับดูแลข้อมูลส่วนบุคคลและสรุปความเสี่ยง ประกอบด้วยประเด็นความเสี่ยงจากระบบข้อมูลและมาตรการความปลอดภัย การประเมินผลกระทบด้านความปลอดภัยข้อมูล และการดำเนินการตามแผนงานลดความเสี่ยง **การพิจารณาและข้อเสนอแนะ** — กรรมการและผู้บริหารระดับสูงพิจารณารายงานและให้คำแนะนำในการปรับปรุงมาตรการเพิ่มเติม เช่น การเพิ่มงบประมาณสำหรับระบบรักษาความปลอดภัยข้อมูลและการอบรมพนักงาน --- ลงชื่อ ...................................... (ประธานกรรมการบริษัท) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-29.md ============================================================ โนด: แนวปฏิบัติ 2.1.30 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-30.md # 2.1.30 กลุ่มปฏิบัติการมีการพบปะและมีเจ้าหน้าที่ที่เกี่ยวข้องเข้าร่วมอย่างสม่ำเสมอ ## สิ่งที่ต้องทำ กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการของฝ่าย ต้องมีการจัดประชุมอย่างสม่ำเสมอ เช่น รายไตรมาส และมีเจ้าหน้าที่ที่เกี่ยวข้องส่วนใหญ่เข้าร่วม ## หลักฐาน 1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมกลุ่มปฏิบัติการ **กลุ่มปฏิบัติการ ครั้งที่ 2/2568** — วันที่: 20 มีนาคม 2568 เวลา 09.00–11.00 น. ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการทุกคน และตัวแทนฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย (ร่วมประชุมบางส่วน) **วาระที่ 1: การติดตามแผนปฏิบัติการของกลุ่มปฏิบัติการ** — หัวหน้ากลุ่มรายงานความคืบหน้าตามแผนปฏิบัติการ ได้แก่ การวางกรอบการดำเนินงานเป็นรายไตรมาส การอบรมและสร้างความรู้ความเข้าใจแก่เจ้าหน้าที่ การตรวจสอบการเก็บรักษาข้อมูลส่วนบุคคลตามมาตรฐาน และการปรับปรุงขั้นตอนการทำงานให้สอดคล้องกับข้อกำหนด **วาระที่ 2: การเข้าร่วมประชุมของเจ้าหน้าที่ที่เกี่ยวข้อง** — บันทึกว่าเจ้าหน้าที่ฝ่ายปฏิบัติการส่วนใหญ่เข้าร่วมประชุมสม่ำเสมอ และมีเจ้าหน้าที่ฝ่ายสนับสนุน เช่น ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย ร่วมประชุมอย่างต่อเนื่อง **สรุป** — ที่ประชุมรับทราบและเห็นชอบแผนปฏิบัติการของกลุ่มปฏิบัติการ พร้อมติดตามความก้าวหน้าในไตรมาสถัดไป --- ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-30.md ============================================================ โนด: แนวปฏิบัติ 2.1.31 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-31.md # 2.1.31 กลุ่มปฏิบัติการมีการจัดทำรายงานการประชุมและแผนปฏิบัติการ ## สิ่งที่ต้องทำ กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการ ต้องมีการจัดทำรายงานการประชุมและแผนปฏิบัติการด้านการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมกลุ่มปฏิบัติการ **กลุ่มปฏิบัติการ ครั้งที่ 3/2568** — วันที่: 20 มิถุนายน 2568 เวลา 09.00–11.00 น. ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการทุกคน และเจ้าหน้าที่ฝ่ายสนับสนุน (ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย) **วาระที่ 1: การจัดทำและทบทวนแผนปฏิบัติการ** — หัวหน้ากลุ่มนำเสนอแผนปฏิบัติการของกลุ่ม ประกอบด้วย แผนการดำเนินงานประจำไตรมาสในการบริหารจัดการข้อมูลส่วนบุคคล กิจกรรมการอบรมและสร้างความตระหนักรู้ และการปรับปรุงทบทวนขั้นตอนการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามข้อกำหนด **วาระที่ 2: การจัดทำรายงานการประชุม** — ยืนยันว่ากลุ่มปฏิบัติการจัดทำรายงานการประชุมทุกครั้งที่มีการประชุมอย่างเป็นทางการ โดยรายงานแสดงถึงประเด็นการหารือและการติดตามแผนงานอย่างครบถ้วน **สรุป** — ที่ประชุมเห็นชอบแผนปฏิบัติการและรายงานการประชุม และมอบหมายให้กลุ่มปฏิบัติการติดตามและรายงานผลในครั้งถัดไป --- ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-31.md ============================================================ โนด: แนวปฏิบัติ 2.1.32 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-32.md # 2.1.32 วาระการประชุมแสดงว่ากลุ่มปฏิบัติการหารือประเด็น PDPA อย่างเหมาะสมและมีการกำกับดูแลสม่ำเสมอ ## สิ่งที่ต้องทำ กลุ่มปฏิบัติการซึ่งเป็นพนักงานระดับปฏิบัติการ ต้องมีวาระการประชุมที่แสดงให้เห็นว่าได้หารือเกี่ยวกับประเด็นการคุ้มครองข้อมูลส่วนบุคคลอย่างเหมาะสม และมีการกำกับดูแลอย่างสม่ำเสมอ ## หลักฐาน 1. วาระการประชุมและรายงานการประชุม โดยต้องมีข้อความแสดงให้เห็นว่า "เอกสารแผนปฏิบัติการสำหรับการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มปฏิบัติการ" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างวาระและรายงานการประชุมกลุ่มปฏิบัติการ **กลุ่มปฏิบัติการ ครั้งที่ 4/2568** — วันที่: 15 กันยายน 2568 เวลา 13.00–15.00 น. ผู้เข้าร่วม: หัวหน้ากลุ่มปฏิบัติการ เจ้าหน้าที่ฝ่ายปฏิบัติการ และตัวแทนฝ่ายเทคโนโลยีสารสนเทศและฝ่ายกฎหมาย **วาระที่ 1: รายงานการติดตามแผนปฏิบัติการ** — กลุ่มปฏิบัติการนำเสนอรายงานความก้าวหน้าของแผนปฏิบัติการตามที่วางไว้ในไตรมาสที่ผ่านมา โดยตรวจสอบประเด็นสำคัญ เช่น การบริหารจัดการความปลอดภัยของข้อมูลส่วนบุคคล การอบรมสร้างความตระหนักรู้แก่พนักงานใหม่และพนักงานปัจจุบัน และการแก้ไขปัญหาที่พบจากการประเมินความเสี่ยง **วาระที่ 2: การหารือประเด็น PDPA และการกำกับดูแล** — ที่ประชุมหารือประเด็นที่เกี่ยวข้อง เช่น การจัดการคำร้องขอเข้าถึงข้อมูลส่วนบุคคล การรับมือกับเหตุละเมิดข้อมูล และการปรับปรุงแนวทางปฏิบัติให้สอดคล้องกับนโยบายขององค์กร โดยมีมติให้ติดตามและรายงานผลในที่ประชุมครั้งต่อไปอย่างสม่ำเสมอ **สรุป** — ที่ประชุมยืนยันความสำคัญของการกำกับดูแลข้อมูลส่วนบุคคลในกลุ่มปฏิบัติการ และมอบหมายให้หัวหน้ากลุ่มติดตามความคืบหน้าของแผนงานและรายงานในทุกไตรมาส --- ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-32.md ============================================================ โนด: แนวปฏิบัติ 2.1.33 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-33.md # 2.1.33 ปัญหาและความเสี่ยงด้าน PDPA ที่เกิดขึ้นจะถูกรายงานไปยังคณะทำงานของ DPO ## สิ่งที่ต้องทำ กลุ่มปฏิบัติการ (พนักงานระดับปฏิบัติการของฝ่ายงาน) ต้องรายงานปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล รวมถึงประเด็นความเสี่ยงใด ๆ ขององค์กรที่เกิดขึ้น ไปยังคณะทำงานของ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)อย่างครบถ้วน ## หลักฐาน 1. วาระการประชุมและรายงานการประชุมของคณะทำงาน DPO หรือกลุ่มปฏิบัติการ โดยต้องมีข้อความแสดงให้เห็นว่า "มีปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล และความเสี่ยงใด ๆ ที่เกิดขึ้น" ## สภาพบังคับ ไม่มีกฎหมายกำหนด ## ตัวอย่างเอกสาร ### ตัวอย่างวาระและรายงานการประชุมกลุ่มปฏิบัติการและคณะทำงาน DPO **กลุ่มปฏิบัติการฝ่ายปฏิบัติการ ครั้งที่ 3/2568** — วันที่: 10 สิงหาคม 2568 เวลา 14.00–16.00 น. **วาระที่ 2: รายงานปัญหาและความเสี่ยง** — กลุ่มปฏิบัติการนำเสนอปัญหาและประเด็นความเสี่ยงที่เกิดขึ้นระหว่างการปฏิบัติงาน ได้แก่ การเก็บข้อมูลส่วนบุคคลบางส่วนไม่เป็นไปตามนโยบาย การควบคุมการเข้าถึงข้อมูลยังไม่เข้มงวดพอ และความเสี่ยงจากการใช้ระบบสารสนเทศที่ยังขาดมาตรการป้องกันข้อมูลรั่วไหล โดยจัดทำรายงานฉบับสมบูรณ์ส่งต่อให้คณะทำงาน DPO เพื่อพิจารณาแนวทางแก้ไขและติดตามผล **วาระที่ 3: คณะทำงาน DPO รับทราบปัญหาและความเสี่ยง** — คณะทำงาน DPO รับรายงานและพิจารณาแนวทางป้องกันและแก้ไข โดยมีข้อสรุปว่าจะจัดทำคู่มือและอบรมเสริมความรู้พนักงาน กำหนดมาตรการควบคุมการเข้าถึงข้อมูลให้ชัดเจน และตรวจสอบระบบสารสนเทศให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม --- ลงชื่อ ...................................... (หัวหน้ากลุ่มปฏิบัติการ) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-33.md ============================================================ โนด: แนวปฏิบัติ 2.1.34 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/2-1-34.md # 2.1.34 องค์กรจัดทำนโยบาย PDPA และกรอบการปฏิบัติงานจากแผนเชิงกลยุทธ์ รับรองโดยฝ่ายบริหารระดับสูง ## สิ่งที่ต้องทำ จัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลและกรอบการปฏิบัติงาน ที่มาจากแผนเชิงกลยุทธ์ด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับข้อมูล ซึ่งได้รับการรับรองหรือออกโดยฝ่ายบริหารระดับสูง ## หลักฐาน 1. นโยบายการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล โดยต้องมีข้อความแสดงให้เห็นว่าองค์กรได้ระบุปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคล การกำกับดูแลข้อมูล และความเสี่ยงใด ๆ ที่เกิดขึ้น พร้อมการรับรองโดยฝ่ายบริหารระดับสูง ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ข้อ 4 (7) — โทษทางปกครองปรับไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล **ประกาศเมื่อวันที่ 1 มกราคม 2568 — ได้รับการอนุมัติจากคณะผู้บริหารระดับสูง** **บทนำ** — องค์กรตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลของลูกค้า พนักงาน และคู่ค้าทางธุรกิจ จึงกำหนดกรอบการปฏิบัติงานด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูลให้มีประสิทธิภาพและเป็นไปตามกฎหมาย **วัตถุประสงค์** — สร้างความมั่นใจแก่ผู้มีส่วนได้ส่วนเสีย ป้องกันปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล ระบุและประเมินความเสี่ยง และสร้างกรอบการปฏิบัติงานที่ครอบคลุมและติดตามประเมินผลได้ **นโยบายหลัก** 1. **การคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล** — ประเมินและระบุปัญหา รวมถึงความเสี่ยงที่เกิดจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอย่างสม่ำเสมอ พร้อมมีมาตรการแก้ไขและควบคุมความเสี่ยงอย่างเหมาะสม 2. **กรอบการปฏิบัติงาน** — ครอบคลุมการจัดเก็บ ใช้ เปิดเผย และทำลายข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีการแต่งตั้ง[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) อบรมพนักงานทุกระดับ และจัดทำระบบควบคุมภายในอย่างต่อเนื่อง 3. **การบริหารความเสี่ยง** — ระบุความเสี่ยงและปัญหาที่อาจกระทบต่อการคุ้มครองข้อมูล กำหนดตัวชี้วัดประสิทธิภาพสำหรับการบริหารจัดการเพื่อติดตามผล และทบทวนปรับปรุงแผนอย่างน้อยปีละ 1 ครั้ง 4. **การกำกับดูแลและรับรองโดยฝ่ายบริหารระดับสูง** — รับรองนโยบายและกรอบการปฏิบัติงานอย่างเป็นทางการ ติดตามตรวจสอบและทบทวนผลการดำเนินงานเป็นระยะ และสนับสนุนทรัพยากรและการฝึกอบรมที่จำเป็น **การรับรอง** — นโยบายนี้ได้รับการอนุมัติและรับรองโดยคณะผู้บริหารระดับสูงในการประชุมครั้งที่ 2/2568 เมื่อวันที่ 1 มกราคม 2568 **อ้างอิงทางกฎหมาย** — [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศมาตรการรักษาความมั่นคงปลอดภัย ข้อ 4 (7) --- ลงชื่อ ...................................... (ประธานกรรมการบริหาร) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/2-1-34.md ============================================================ โนด: แนวปฏิบัติ 3.2.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-1.md # 3.2.1 องค์กรจัดทำนโยบาย PDPA ครอบคลุมครบถ้วน องค์กรต้องจัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลที่มีเนื้อหาครอบคลุมครบถ้วน เช่น วิธีการคุ้มครองข้อมูลส่วนบุคคล การบริหารจัดการข้อมูลส่วนบุคคล และการรักษาความมั่นคงปลอดภัยของข้อมูล รวมถึงการกำหนดหน้าที่แก่พนักงาน ## สิ่งที่ต้องทำ จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลที่มีประเด็นครอบคลุมครบถ้วนทุกด้านของการบริหารจัดการข้อมูลส่วนบุคคลในองค์กร ## หลักฐาน 1. นโยบายคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน" ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างนโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับครอบคลุมครบถ้วน **นโยบายการคุ้มครองข้อมูลส่วนบุคคลและการบริหารจัดการข้อมูลส่วนบุคคล** บริษัท ตัวอย่าง จำกัด ประกาศเมื่อวันที่ ___________ รับรองโดยคณะผู้บริหารระดับสูง **1. การบริหารจัดการข้อมูลส่วนบุคคล** บริษัทฯ มีกรอบการบริหารจัดการข้อมูลส่วนบุคคลที่ชัดเจน เพื่อให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเป็นไปตามหลักเกณฑ์และมาตรฐานที่กฎหมายกำหนด - กำหนดประเภทของข้อมูลส่วนบุคคลที่สามารถเก็บรวบรวมได้ - กำหนดวัตถุประสงค์และขอบเขตของการใช้ข้อมูล - การจัดทำฐานข้อมูลและการควบคุมการเข้าถึงข้อมูล > "นโยบายนี้ครอบคลุมถึงการบริหารจัดการข้อมูลส่วนบุคคลในทุกขั้นตอนของกระบวนการทำงาน" **2. การรักษาความมั่นคงปลอดภัยของข้อมูล** บริษัทฯ มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลทั้งทางกายภาพและทางเทคนิค เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต รวมถึงการป้องกันการสูญหายและความเสียหายของข้อมูล - ใช้ระบบรักษาความปลอดภัยข้อมูล เช่น การเข้ารหัสข้อมูล การจำกัดสิทธิ์เข้าถึง - การตรวจสอบและบันทึกการเข้าถึงข้อมูล - การสำรองข้อมูลและแผนฟื้นฟูข้อมูลเมื่อเกิดเหตุฉุกเฉิน > "บริษัทฯ ให้ความสำคัญกับการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลทุกประเภท" **3. การกำหนดหน้าที่และความรับผิดชอบแก่พนักงาน** บริษัทฯ กำหนดหน้าที่ความรับผิดชอบชัดเจนแก่พนักงานทุกระดับเกี่ยวกับการปฏิบัติตามนโยบายและการคุ้มครองข้อมูลส่วนบุคคล - พนักงานต้องปฏิบัติตามนโยบายและมาตรการรักษาความปลอดภัยข้อมูล - มีการอบรมและสร้างความตระหนักด้านการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำ - กำหนดบทลงโทษกรณีละเมิดนโยบาย > "พนักงานทุกคนมีหน้าที่รับผิดชอบในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล" **4. การรับรอง** นโยบายนี้ได้รับการรับรองโดยฝ่ายบริหารระดับสูง และมีผลบังคับใช้ตั้งแต่วันที่ประกาศ ลงชื่อ ............................................ (ประธานกรรมการบริหาร) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-1.md ============================================================ โนด: แนวปฏิบัติ 3.2.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-2.md # 3.2.2 องค์กรจัดทำนโยบายและแนวปฏิบัติ PDPA กำหนดบทบาทหน้าที่ชัดเจน องค์กรต้องจัดทำนโยบายและแนวปฏิบัติสำหรับการคุ้มครองข้อมูลส่วนบุคคล โดยมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของแต่ละหน่วยงานและบุคลากรที่เกี่ยวข้องอย่างชัดเจน ## สิ่งที่ต้องทำ จัดทำนโยบายและแนวปฏิบัติที่มีประเด็นครอบคลุมครบถ้วน พร้อมระบุบทบาทและหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. นโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน" ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างนโยบายการคุ้มครองข้อมูลส่วนบุคคล (ระบุบทบาทหน้าที่) **วัตถุประสงค์** เพื่อกำหนดกรอบการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในองค์กรอย่างครบถ้วน ให้สอดคล้องกับกฎหมายและข้อกำหนดที่เกี่ยวข้อง พร้อมส่งเสริมให้พนักงานและผู้เกี่ยวข้องปฏิบัติตามบทบาทหน้าที่อย่างเคร่งครัด **ขอบเขต** นโยบายนี้ครอบคลุมการบริหารจัดการข้อมูลส่วนบุคคลขององค์กรทุกประเภท ทั้งข้อมูลที่ได้รับจากลูกค้า สมาชิก พนักงาน และผู้มีส่วนได้เสียทุกฝ่าย รวมทั้งครอบคลุมระบบ เทคโนโลยี กระบวนการทำงาน และพนักงานที่เกี่ยวข้อง **นโยบายหลัก** 1. การบริหารจัดการข้อมูลส่วนบุคคล — เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ชัดเจน โปร่งใส และได้รับความยินยอมจากเจ้าของข้อมูล กำหนดบทบาทและความรับผิดชอบของพนักงานในแต่ละขั้นตอน 2. การรักษาความมั่นคงปลอดภัยของข้อมูล — ควบคุมการเข้าถึงข้อมูลอย่างเคร่งครัด กำหนดสิทธิ์ตามบทบาทหน้าที่ และยืนยันตัวตนแบบหลายขั้นตอน เข้ารหัสข้อมูลทั้งระหว่างการส่งและการจัดเก็บ ติดตั้งและอัปเดตระบบรักษาความปลอดภัยและระบบตรวจจับการบุกรุก สำรองข้อมูลอย่างสม่ำเสมอ 3. การจัดการความเสี่ยงและการกำกับดูแล — ประเมินความเสี่ยงอย่างสม่ำเสมอ ทบทวนนโยบายและกระบวนการทุกปี อบรมพนักงานต่อเนื่อง และกำหนดขั้นตอนการรับมือและรายงานเหตุละเมิดข้อมูลอย่างชัดเจน **การกำหนดบทบาทและหน้าที่ความรับผิดชอบ** - **ฝ่ายบริหารระดับสูง** — รับรองและสนับสนุนการดำเนินงานตามนโยบาย มอบหมายทรัพยากรที่เพียงพอ และกำกับดูแลให้เกิดการปฏิบัติตามนโยบายอย่างต่อเนื่อง - **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)) และคณะทำงาน** — ตรวจสอบและติดตามการปฏิบัติตามกฎหมาย ให้คำปรึกษาและประสานงานระหว่างหน่วยงาน รายงานปัญหาและความเสี่ยงต่อฝ่ายบริหาร - **ฝ่ายเทคโนโลยีสารสนเทศ** — จัดการด้านเทคนิค เช่น การตั้งค่าระบบรักษาความปลอดภัย การควบคุมการเข้าถึงข้อมูล การสำรองข้อมูล และการเฝ้าระวังภัยคุกคามทางไซเบอร์ - **ฝ่ายทรัพยากรบุคคล** — ดูแลการจัดเก็บและคุ้มครองข้อมูลส่วนบุคคลของพนักงาน จัดอบรมและสร้างความตระหนักรู้ - **กลุ่มปฏิบัติการและพนักงานทั่วไป** — ปฏิบัติตามแนวปฏิบัติและคู่มือที่กำหนด และรายงานเหตุการณ์ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลให้เจ้าหน้าที่ที่รับผิดชอบทราบโดยทันที **ข้อกำหนดและบทลงโทษ** องค์กรจะปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และประกาศฯ เรื่องมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล ข้อ 4(7) อย่างเคร่งครัด พร้อมดำเนินมาตรการทางปกครองตามกฎหมายหากพบการละเมิดนโยบายนี้ **การทบทวนนโยบาย** นโยบายนี้จะได้รับการทบทวนและปรับปรุงทุกปี หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ เพื่อให้สอดคล้องกับกฎหมายและเทคโนโลยีที่เปลี่ยนแปลงไป ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-2.md ============================================================ โนด: แนวปฏิบัติ 3.2.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-3.md # 3.2.3 องค์กรทบทวนการปฏิบัติตามนโยบายและแนวปฏิบัติ PDPA องค์กรต้องมีการทบทวนนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล ว่าได้มีการปฏิบัติตามรูปแบบและวิธีการที่ได้กำหนดไว้ ## สิ่งที่ต้องทำ จัดให้มีกระบวนการทบทวนและอนุมัตินโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล และได้ผลเป็นรูปธรรม โดยต้องมีการกำหนดเวลาที่แน่นอน ## หลักฐาน 1. รายงานการประชุมทบทวนและอนุมัตินโยบายและแนวปฏิบัติ โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่าครอบคลุม "การบริหารจัดการข้อมูลส่วนบุคคล การรักษาความปลอดภัยของข้อมูล และการกำหนดหน้าที่แก่พนักงาน" ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5 โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมทบทวนและอนุมัตินโยบายและแนวปฏิบัติ **วันที่ประชุม:** ___________ **สถานที่:** ___________ **ผู้เข้าร่วมประชุม:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ, ผู้จัดการฝ่ายทรัพยากรบุคคล, ฝ่ายกฎหมาย, ผู้บริหารระดับสูง, ตัวแทนฝ่ายลูกค้าหรือสมาชิก **วาระที่ 1: การทบทวนและประเมินผลการปฏิบัติตามนโยบาย** - การบริหารจัดการข้อมูลส่วนบุคคล — ตรวจสอบความสอดคล้องของการเก็บรวบรวม ใช้ เปิดเผย และลบข้อมูลส่วนบุคคล รายงานการจัดเก็บข้อมูลและการรับความยินยอม และปรับปรุงกระบวนการให้โปร่งใสและปลอดภัยมากขึ้น - การรักษาความมั่นคงปลอดภัยของข้อมูล — ประเมินมาตรการที่ใช้อยู่ เช่น การควบคุมการเข้าถึง การเข้ารหัส การสำรองข้อมูล และระบบตรวจจับการบุกรุก ตรวจสอบผลการทดสอบความปลอดภัยและการประเมินช่องโหว่ พร้อมอบรมสร้างความตระหนัก - การกำหนดหน้าที่และบทบาทของพนักงาน — ทบทวนบทบาทความรับผิดชอบของฝ่ายที่เกี่ยวข้อง ประเมินผลการปฏิบัติงานและความเข้าใจต่อบทบาทที่ได้รับมอบหมาย **วาระที่ 2: การอนุมัตินโยบายและแนวปฏิบัติฉบับปรับปรุง** - คณะกรรมการรับรองว่านโยบายและแนวปฏิบัติได้ผ่านการทบทวนตามกรอบเวลาที่กำหนดอย่างน้อยปีละ 1 ครั้ง - รับรองความครบถ้วนและเหมาะสมของนโยบาย - เห็นชอบให้นำนโยบายฉบับปรับปรุงไปใช้จริงและติดตามผลอย่างต่อเนื่อง **วาระที่ 3: กำหนดแผนการดำเนินงานและทบทวนครั้งถัดไป** - กำหนดวันทบทวนครั้งถัดไป (โดยทั่วไปไม่เกิน 12 เดือน) - มอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจัดทำรายงานสรุปผลและเสนอแนะแนวทางแก้ไข - กำหนดมาตรการเสริมสำหรับการอบรมพนักงานและปรับปรุงระบบรักษาความมั่นคงปลอดภัย ลงชื่ออนุมัติ ............................................ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล / ผู้บริหารระดับสูง / ตัวแทนฝ่ายเทคโนโลยีสารสนเทศ / ตัวแทนฝ่ายทรัพยากรบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-3.md ============================================================ โนด: แนวปฏิบัติ 3.2.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-2-4.md # 3.2.4 องค์กรทบทวนนโยบายและแนวปฏิบัติ PDPA ตามรอบระยะเวลาที่กำหนด องค์กรต้องมีการทบทวนนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลตามรอบระยะเวลาที่กำหนดไว้ เพื่อให้มีความเป็นปัจจุบันและเหมาะสมตามจุดประสงค์และบริบทขององค์กร ## สิ่งที่ต้องทำ จัดให้มีการประชุมเพื่อทบทวนนโยบายและแนวปฏิบัติ โดยต้องประเมินความเหมาะสมของกระบวนการปฏิบัติงานให้เป็นไปตามนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล ตามกรอบระยะเวลาที่แน่นอน ## หลักฐาน 1. รายงานการประชุมเพื่อทบทวนนโยบายและแนวปฏิบัติ โดยต้องมีข้อความแสดงเป็นหมวดหมู่ให้เห็นว่า (ก) มีการทบทวนนโยบายและแนวปฏิบัติ (ข) มีการประเมินกระบวนการปฏิบัติงาน ซึ่งอาจต้องทำแบบประเมิน และ (ค) ระบุกรอบระยะเวลาการดำเนินการทุก ___ เดือน ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5 โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างที่ 1 — โครงร่างรายงานการประชุมทบทวน **ผู้เข้าร่วมประชุม:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ, ผู้จัดการฝ่ายทรัพยากรบุคคล, ฝ่ายกฎหมาย, ผู้บริหารระดับสูง, ตัวแทนฝ่ายลูกค้าหรือสมาชิก **วาระที่ 1: การทบทวนนโยบายและแนวปฏิบัติ (ก)** — ทบทวนเนื้อหาและความครอบคลุมของนโยบายฉบับปัจจุบันให้สอดคล้องกับข้อกฎหมายและบริบทขององค์กร ปรับปรุงเนื้อหาให้ทันสมัย ครอบคลุมการบริหารจัดการข้อมูล การรักษาความมั่นคงปลอดภัย และบทบาทหน้าที่ของพนักงาน รวมถึงกระบวนการขอความยินยอมและการตอบสนองต่อเหตุละเมิดข้อมูล **วาระที่ 2: การประเมินกระบวนการปฏิบัติงาน (ข)** — นำแบบประเมินมาตรการปฏิบัติงานมาใช้ตรวจสอบการดำเนินงานของแต่ละฝ่าย ครอบคลุมการเก็บรวบรวมข้อมูล การรักษาความลับ การบริหารจัดการความเสี่ยง และการอบรมพนักงาน พร้อมจัดทำรายงานผลและเสนอต่อคณะกรรมการ **วาระที่ 3: การกำหนดกรอบระยะเวลาการทบทวน (ค)** — กำหนดรอบการทบทวนและประเมินผลอย่างน้อยทุก 12 เดือน มอบหมายเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นผู้รับผิดชอบหลักในการจัดทำตารางและรายงานสรุปผล กรณีพบประเด็นใหม่ที่มีผลกระทบหรือมีการเปลี่ยนแปลงกฎหมาย ให้จัดประชุมพิเศษเพื่อทบทวนทันที ลงชื่ออนุมัติ ............................................ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล / ผู้บริหารระดับสูง / ตัวแทนฝ่ายเทคโนโลยีสารสนเทศ) ### ตัวอย่างที่ 2 — รายงานการประชุมทบทวน (ฉบับกรอกตัวอย่าง) **รายงานการประชุมทบทวนนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล ครั้งที่ 1/2568** วันที่ประชุม: 15 พฤษภาคม 2568 เวลา 09.30–11.45 น. สถานที่: ห้องประชุม 3 อาคารบริหารกลาง **ผู้เข้าร่วมประชุม:** ประธานการประชุมและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO), ผู้แทนฝ่ายกฎหมาย, ผู้แทนฝ่ายเทคโนโลยีสารสนเทศ, ผู้แทนฝ่ายทรัพยากรบุคคล, ผู้แทนฝ่ายการตลาด, ผู้แทนฝ่ายบริการลูกค้า, ผู้แทนฝ่ายพัฒนาผลิตภัณฑ์, ผู้แทนฝ่ายความมั่นคงปลอดภัยสารสนเทศ และคณะทำงานสนับสนุนรวมทั้งสิ้น 12 คน **วาระที่ 1: การทบทวนนโยบายการคุ้มครองข้อมูลส่วนบุคคล** — ที่ประชุมพิจารณานโยบายฉบับปรับปรุงล่าสุด โดยพิจารณาขอบเขตของข้อมูลส่วนบุคคล แนวทางการเก็บ ใช้ เปิดเผยข้อมูล สิทธิของเจ้าของข้อมูล และระยะเวลาการจัดเก็บข้อมูล มติที่ประชุมเห็นว่านโยบายยังคงเหมาะสมและสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงคงเนื้อหาไว้ตามเดิม พร้อมปรับปรุงแนวปฏิบัติบางประการให้ทันสมัยขึ้น **วาระที่ 2: การทบทวนแนวปฏิบัติ** - แนวปฏิบัติเรื่องการขอความยินยอม — พบความไม่สอดคล้องกันในด้านถ้อยคำและการจัดเก็บหลักฐาน มติให้กำหนดข้อความมาตรฐานในการขอความยินยอมสำหรับแต่ละวัตถุประสงค์ และจัดทำระบบจัดเก็บและเรียกดูข้อมูลความยินยอมแบบรวมศูนย์ - แนวปฏิบัติเรื่องการแจ้งเหตุข้อมูลรั่วไหล — พบว่ายังไม่มีแบบฟอร์มแจ้งเหตุที่ชัดเจน มติให้จัดทำแบบฟอร์มและคู่มือการใช้งาน พร้อมจัดกิจกรรมจำลองสถานการณ์การรับมืออย่างน้อยปีละ 1 ครั้ง **วาระที่ 3: การประเมินกระบวนการปฏิบัติงานให้สอดคล้องกับนโยบาย** — ที่ประชุมประเมินตนเองตามหัวข้อ เช่น ความเข้าใจนโยบาย ระบบจัดเก็บและควบคุมการเข้าถึงข้อมูล การขอความยินยอม การลบหรือทำลายข้อมูลที่หมดอายุ และการรับและตอบคำร้องขอใช้สิทธิ ผลการประเมินโดยรวมสอดคล้องกับนโยบาย แต่ควรจัดให้มีระบบการลบข้อมูลอัตโนมัติเมื่อครบกำหนด จัดเก็บแบบฟอร์มคำร้องในระบบกลาง และอบรมพนักงานทุกฝ่ายให้เข้าใจขั้นตอนการแจ้งเหตุข้อมูลรั่วไหล **วาระที่ 4: การกำหนดกรอบระยะเวลาการทบทวน** — ที่ประชุมอ้างอิงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) และข้อ 5 มีมติให้ทบทวนนโยบายและแนวปฏิบัติอย่างน้อยปีละ 1 ครั้ง โดยจัดประชุมทบทวนรอบถัดไปภายในเดือนพฤษภาคม 2569 ลงชื่อ ............................................ ประธานการประชุม / เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) วันที่ลงนาม: 16 พฤษภาคม 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-2-4.md ============================================================ โนด: แนวปฏิบัติ 3.3.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-1.md # 3.3.1 พนักงานอ่านและทำความเข้าใจนโยบายและขั้นตอนการปฏิบัติงาน PDPA พนักงานต้องได้อ่านและทำความเข้าใจนโยบายและขั้นตอนการปฏิบัติงานในเรื่องการคุ้มครองข้อมูลส่วนบุคคล ซึ่งรวมถึงเหตุผลและความจำเป็นที่ต้องมีการปฏิบัติตาม ## สิ่งที่ต้องทำ เผยแพร่นโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลให้พนักงานทุกคนเข้าถึง พร้อมจัดอบรมและให้พนักงานรับรองการอ่านและทำความเข้าใจ รวมถึงเหตุผลและความจำเป็นในการปฏิบัติตาม ## หลักฐาน 1. เอกสารสรุปผลการจัดกิจกรรมฝึกอบรมพนักงานเรื่องการคุ้มครองข้อมูลส่วนบุคคล (หลักสูตร วันที่ วิทยากร กลุ่มเป้าหมาย ผลทดสอบก่อน/หลังอบรม รายชื่อผู้เข้าอบรม) 2. บันทึกการรับรองการอ่านนโยบายและแนวปฏิบัติของพนักงานผ่านระบบภายใน ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ข้อ 4(7) — ผู้ควบคุมข้อมูลต้องสร้างความตระหนักรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงาน โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างเอกสารสรุปผลการจัดกิจกรรมฝึกอบรมพนักงาน **ภาพรวม** — องค์กรสื่อสารนโยบายคุ้มครองข้อมูลส่วนบุคคลและแนวปฏิบัติผ่านระบบอินทราเน็ต และจัดฝึกอบรมพนักงานทุกคน โดยพนักงานได้รับแจ้งให้ศึกษาเอกสารภายใน 15 วัน และรับรองการอ่านผ่านระบบภายใน เอกสารระบุชัดเจนถึงหลักการสำคัญของ PDPA ความจำเป็นของการปฏิบัติตาม บทบาทของพนักงาน และบทลงโทษหากมีการละเมิด **รายละเอียดการอบรม** - ชื่อหลักสูตร: ความรู้เบื้องต้นและแนวทางปฏิบัติตาม PDPA สำหรับพนักงานองค์กร - วันที่จัดอบรม / วิทยากร: เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ([เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)) - กลุ่มเป้าหมาย: พนักงานทุกคน - รูปแบบ: บรรยายประกอบสไลด์ + การจำลองสถานการณ์ + แบบทดสอบก่อนและหลังอบรม **เนื้อหาหลักสูตร** — ภาพรวมกฎหมายและความรับผิดชอบขององค์กร · [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) · แนวปฏิบัติการเก็บ ใช้ เปิดเผยข้อมูลอย่างถูกต้อง · กรณีศึกษาและบทลงโทษทางปกครอง · การแจ้งเหตุละเมิดข้อมูลและแนวทางรับมือ **ผลการอบรม** — พนักงานทั้งหมดผ่านการอบรม ผลทดสอบหลังอบรมสูงกว่าก่อนอบรมอย่างมีนัยสำคัญ **เอกสารประกอบ (ภาคผนวก)** — สำเนานโยบายและแนวปฏิบัติ · รายละเอียดหลักสูตร · แบบทดสอบก่อน/หลังอบรม · รายชื่อผู้เข้าอบรม · ภาพถ่ายกิจกรรม · ใบลงทะเบียนและแบบประเมินผล **บทบาทของพนักงานตามนโยบาย** - รักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลที่ตนมีหน้าที่ดูแล - ปฏิบัติตามแนวทางการจัดเก็บ ใช้ เปิดเผยข้อมูลโดยชอบด้วยกฎหมาย - รายงานเหตุสงสัยหรือละเมิดข้อมูลแก่ DPO ทันที ลงชื่อ ............................................ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) / รองกรรมการผู้จัดการใหญ่ ฝ่ายทรัพยากรบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-1.md ============================================================ โนด: แนวปฏิบัติ 3.3.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-2.md # 3.3.2 องค์กรแจ้งพนักงานทราบเกี่ยวกับนโยบายและแนวปฏิบัติใหม่ เมื่อมีการปรับปรุงนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล องค์กรต้องแจ้งให้พนักงานได้ทราบและทำความเข้าใจในฉบับที่ปรับปรุงใหม่ ## สิ่งที่ต้องทำ ชี้แจงและเผยแพร่นโยบายและแนวปฏิบัติฉบับปรับปรุงใหม่ให้พนักงานทุกคนทราบ พร้อมจัดประชุมชี้แจงและอบรมเพื่อให้พนักงานเข้าใจสาระสำคัญที่เปลี่ยนแปลง ## หลักฐาน 1. เอกสารนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่ 2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — โทษทางปกครอง ปรับไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### 1. นโยบายและแนวปฏิบัติที่ปรับปรุงใหม่ (สาระสำคัญ) - เพิ่มรายละเอียด[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) เช่น สิทธิขอเข้าถึง แก้ไข ลบ และจำกัดการประมวลผล - กำหนดแนวทางการแจ้งคำประกาศความเป็นส่วนตัวให้สอดคล้องกับช่วงอายุและระดับความเข้าใจของเจ้าของข้อมูล - เพิ่มแนวทางการทำข้อมูลนิรนาม (นามแฝง) เพื่อเพิ่มความมั่นคงปลอดภัยของข้อมูล - กำหนดระยะเวลาการทบทวนและปรับปรุงนโยบายทุก 6 เดือน - เสริมมาตรการควบคุมการเข้าถึงและการจัดเก็บข้อมูลให้รัดกุมยิ่งขึ้น: กำหนดสิทธิ์การเข้าถึงตามบทบาทหน้าที่ · บันทึกร่องรอยการเข้าถึงข้อมูล · ทบทวนสิทธิ์เมื่อเปลี่ยนตำแหน่งงาน · จัดเก็บข้อมูลในระบบที่ได้รับการรับรองความปลอดภัย/เข้ารหัส · แบ่งชั้นความลับ · สำรองข้อมูลและจัดทำแผนกู้คืน - มาตรการเสริมด้านเทคนิค: การเข้ารหัสข้อมูลที่ละเอียดอ่อน · ระบบป้องกันไวรัสและมัลแวร์ · นโยบายรหัสผ่านที่เข้มงวด - มาตรการเสริมด้านกระบวนการและบุคลากร: อบรมสร้างความตระหนัก · ขั้นตอนการแจ้งและรับมือเหตุละเมิดข้อมูล · ข้อตกลงการรักษาความลับกับพนักงานและบุคคลภายนอก - แนวปฏิบัติที่ปรับปรุง: การแจ้งคำประกาศความเป็นส่วนตัวตามวัย · การทำข้อมูลนิรนามตามมาตรฐานความปลอดภัย · พนักงานต้องอบรมและทดสอบความเข้าใจทุกครั้งหลังการปรับปรุง · จัดทำทะเบียนควบคุมเวอร์ชันนโยบาย ### 2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติที่ปรับปรุงใหม่ **วาระการประชุม** — ชี้แจงเนื้อหานโยบายและแนวปฏิบัติฉบับปรับปรุง · อธิบายสิทธิของเจ้าของข้อมูลที่เพิ่มขึ้น · แนวทางการแจ้งคำประกาศความเป็นส่วนตัวตามช่วงอายุ · การทำข้อมูลนิรนาม · แผนการอบรมพนักงานและการประเมินผลความเข้าใจ **มติที่ประชุม** — รับรองนโยบายฉบับปรับปรุงโดยเสียงเอกฉันท์ และกำหนดให้ฝ่ายทรัพยากรบุคคลจัดอบรมพนักงานภายในเดือนถัดไป ลงชื่อ ............................................ ประธานการประชุม / เลขานุการ ### 3. เอกสารอื่น ๆ เพื่อแสดงหลักฐานการแจ้งและอบรม เอกสารนโยบายและแนวปฏิบัติฉบับปรับปรุง (แจกจ่ายผ่านอินทราเน็ตและอีเมล) · รายละเอียดหลักสูตรอบรมฉบับปรับปรุง · ภาพถ่ายการอบรม · รายงานผลการทดสอบความรู้หลังอบรม · รายงานสรุปผลการจัดอบรมและการรับทราบนโยบาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-2.md ============================================================ โนด: แนวปฏิบัติ 3.3.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-3.md # 3.3.3 องค์กรจัดให้พนักงานเข้าถึงนโยบายและแนวปฏิบัติได้โดยง่าย องค์กรต้องจัดให้พนักงานสามารถเข้าถึงนโยบายและแนวปฏิบัติได้ เช่น ผ่านระบบอินทราเน็ตขององค์กร หรือด้วยวิธีอื่น ๆ ที่พนักงานสามารถเข้าถึงได้โดยง่าย ## สิ่งที่ต้องทำ จัดให้มีนโยบายและแนวปฏิบัติที่พนักงานเข้าถึงได้ในระบบอินทราเน็ตขององค์กรหรือด้วยวิธีการอื่น และจัดประชุมเพื่อชี้แจงในแต่ละฝ่ายงาน ## หลักฐาน 1. เอกสารนโยบายและแนวปฏิบัติที่เผยแพร่ในระบบอินทราเน็ต 2. รายงานการประชุมชี้แจงนโยบายและแนวปฏิบัติ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ ข้อ 4(7) — ผู้ควบคุมข้อมูลต้องแจ้งให้พนักงานทราบถึงนโยบายและแนวปฏิบัติที่เกี่ยวข้อง โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### แนวทางการเข้าถึงนโยบายและแนวปฏิบัติของพนักงาน **1. การเผยแพร่และเข้าถึง** — จัดทำหน้าเว็บไซต์ภายใน (อินทราเน็ต) เมนูเฉพาะ "นโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล" ประกอบด้วยนโยบายฉบับเต็ม · เอกสารแนวปฏิบัติที่เกี่ยวข้อง · เวอร์ชันและวันที่มีผลบังคับใช้ · คำถามที่พบบ่อย · ช่องทางติดต่อ DPO หรือฝ่ายกฎหมาย **2. การชี้แจงแก่พนักงาน** — จัดประชุมหรือสัมมนาชี้แจงแก่พนักงานทุกแผนก (ทั้งออนไลน์และออนไซต์) ครอบคลุมความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล เนื้อหานโยบาย ช่องทางการเข้าถึงเอกสาร และวิธีสอบถามเพิ่มเติม **3. ช่องทางการสื่อสารเพิ่มเติม** — อีเมลภายใน · กลุ่มแชทภายในองค์กร · ป้ายประชาสัมพันธ์ · ลิงก์และรหัสคิวอาร์สำหรับเข้าถึงหน้าอินทราเน็ต **4. การประเมินความเข้าใจ** — จัดแบบทดสอบออนไลน์หลังชี้แจง ครอบคลุมสาระสำคัญ เช่น สิทธิของเจ้าของข้อมูล แนวปฏิบัติการแจ้งเหตุละเมิดข้อมูล การเข้าถึงข้อมูล กำหนดคะแนนผ่านขั้นต่ำ และพนักงานที่ไม่ผ่านต้องเข้ารับการอบรมซ้ำ **หลักฐานประกอบการดำเนินการ** — หน้าเว็บไซต์อินทราเน็ต · รายงานการประชุมชี้แจง · ภาพถ่าย/บันทึกการประชุมหรืออบรม · ประกาศภายใน/อีเมลประชาสัมพันธ์ · แบบทดสอบก่อน/หลังอบรม · ทะเบียนเวอร์ชันของนโยบาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-3.md ============================================================ โนด: แนวปฏิบัติ 3.3.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-4.md # 3.3.4 องค์กรจัดทำโปสเตอร์และเอกสารสร้างความตระหนักรู้ด้าน PDPA องค์กรต้องจัดทำแนวปฏิบัติ โปสเตอร์ หรือเอกสารตีพิมพ์ต่าง ๆ ที่ช่วยเน้นย้ำสาระสำคัญและสร้างความตระหนักรู้ในนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ จัดประชุมในฝ่ายงานเพื่อหารือข้อขัดข้องที่อาจเกิดขึ้น แล้วดำเนินการปรับปรุงและจัดทำโปสเตอร์หรือเอกสารตีพิมพ์ต่าง ๆ ที่เน้นย้ำสาระสำคัญและสร้างความตระหนักในนโยบายและแนวปฏิบัติ ติดตั้งในบริเวณสถานที่ปฏิบัติงาน ## หลักฐาน 1. โปสเตอร์และเอกสารตีพิมพ์ที่เน้นย้ำสาระสำคัญของการปฏิบัติตามกฎหมาย 2. รายงานการประชุม ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ ข้อ 4(7) — องค์กรต้องจัดทำสื่อหรือเอกสารเพื่อสร้างความตระหนักรู้ให้แก่พนักงานอย่างสม่ำเสมอ โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### ส่วนที่ 1: รายงานการประชุมจัดทำสื่อสร้างความตระหนักรู้ ที่ประชุมมีมติให้จัดทำสื่อสร้างความตระหนักรู้หลายรูปแบบ: | รูปแบบสื่อ | เนื้อหาโดยสังเขป | ช่องทางการเผยแพร่ | |---|---|---| | โปสเตอร์ | "5 สิ่งที่พนักงานต้องรู้เกี่ยวกับ PDPA" | ติดตั้งบริเวณสำนักงานทุกชั้น | | เอกสารสรุป 1 หน้า | "นโยบายคุ้มครองข้อมูลส่วนบุคคล ฉบับเข้าใจง่าย" | แจกในที่ประชุมและแนบอีเมล | | ภาพอินโฟกราฟิก | "สิทธิของเจ้าของข้อมูลส่วนบุคคล" | เผยแพร่ในอินทราเน็ตและกลุ่มแชท | | คลิปวิดีโอสั้น | "PDPA กับพนักงานในชีวิตประจำวัน" | แสดงในจอประชาสัมพันธ์ | **ปัญหาที่อาจเกิดขึ้น** — ความเข้าใจผิดเกี่ยวกับข้อยกเว้นของ PDPA · บางหน่วยงานไม่เปิดอ่านเอกสารในระบบ · ความเข้าใจเรื่องการแจ้งความยินยอมยังไม่ตรงกัน **มติที่ประชุม** — จัดอบรมเสริมสำหรับหัวหน้าแผนกเพื่อเป็นแกนกลางกระจายความรู้ · เผยแพร่สื่อหลายช่องทางทั้งออนไลน์และออฟไลน์ · มอบฝ่ายสื่อสารองค์กรจัดทำโปสเตอร์และเอกสารตีพิมพ์ภายใน 2 สัปดาห์ ### ส่วนที่ 2: ตัวอย่างโปสเตอร์ "5 สิ่งที่พนักงานต้องรู้เกี่ยวกับ PDPA" 1. ห้ามเปิดเผยข้อมูลส่วนบุคคลของลูกค้า/เพื่อนร่วมงานโดยไม่มีสิทธิ 2. ต้องแจ้งคำประกาศความเป็นส่วนตัวให้เจ้าของข้อมูลทราบเสมอ (วัตถุประสงค์ วิธีใช้ ระยะเวลาจัดเก็บ และสิทธิของเจ้าของข้อมูล) 3. ใช้ข้อมูลส่วนบุคคลเท่าที่จำเป็นและตามวัตถุประสงค์ที่แจ้งไว้ 4. ห้ามส่งต่อข้อมูลให้บุคคลภายนอกโดยไม่ได้รับอนุญาต (ต้องตรวจสอบข้อตกลงการประมวลผลข้อมูล [ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) ก่อนเสมอ) 5. หากพบการรั่วไหล ต้องแจ้ง [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ภายใน 24 ชั่วโมง เพื่อดำเนินการแจ้งต่อสำนักงานคณะกรรมการฯ ภายใน 72 ชั่วโมง สอบถามเพิ่มเติมได้ที่ฝ่ายกฎหมายหรือ DPO ขององค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-4.md ============================================================ โนด: แนวปฏิบัติ 3.3.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-3-5.md # 3.3.5 องค์กรจัดทำนโยบายและแนวปฏิบัติเพื่อสร้างจิตสำนึกการกำหนดค่าเริ่มต้น องค์กรต้องจัดทำนโยบายและแนวปฏิบัติสำหรับการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างจิตสำนึกให้แก่พนักงานทั่วองค์กรในเรื่องการกำหนดค่าเริ่มต้นสำหรับการทำงาน โดยมุ่งเน้นการกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัวและการคุ้มครองข้อมูลตั้งแต่การออกแบบ ## สิ่งที่ต้องทำ จัดทำนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลที่มุ่งเน้นการกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัว และการคุ้มครองข้อมูลตั้งแต่การออกแบบระบบ พร้อมสร้างจิตสำนึกแก่พนักงานทั่วทั้งองค์กร ## หลักฐาน 1. นโยบายคุ้มครองข้อมูลส่วนบุคคล โดยกำหนดนโยบายและแนวปฏิบัติที่ช่วยสนับสนุนการคุ้มครองข้อมูลส่วนบุคคล 2. เอกสารฝึกอบรมแก่พนักงานเพื่ออบรมแนวปฏิบัติที่ช่วยสนับสนุนการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่การออกแบบไปจนถึงการปฏิบัติ ตลอดทั่วทั้งองค์กร ## สภาพบังคับ ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการฝังการคุ้มครองข้อมูลตั้งแต่การออกแบบและการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติ: การกำหนดค่าเริ่มต้นด้านความเป็นส่วนตัวและการคุ้มครองตั้งแต่การออกแบบ องค์กรยึดหลักแนวคิด 2 ประการสำคัญ: **1. การคุ้มครองข้อมูลตั้งแต่การออกแบบ** — การฝังกลไกหรือมาตรการคุ้มครองข้อมูลส่วนบุคคลไว้ในทุกกระบวนการตั้งแต่การวางแผน ออกแบบระบบ พัฒนาโปรแกรม หรือเริ่มต้นกิจกรรมใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล โดยไม่ถือเป็นภาระที่ต้องเพิ่มในภายหลัง > ตัวอย่าง: การพัฒนาแอปพลิเคชันเก็บข้อมูลลูกค้าต้องออกแบบให้มีการขอความยินยอมแบบเลือกได้และมีเมนูจัดการข้อมูลส่วนบุคคลของผู้ใช้อย่างโปร่งใส · แบบฟอร์มกระดาษเก็บข้อมูลพนักงานต้องระบุวัตถุประสงค์และเก็บเฉพาะข้อมูลที่จำเป็น **2. การกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว** — การตั้งค่าระบบหรือบริการให้คุ้มครองความเป็นส่วนตัวในระดับสูงสุดโดยอัตโนมัติ โดยไม่ต้องอาศัยการดำเนินการจากเจ้าของข้อมูล เช่น ปิดการเปิดเผยข้อมูลเป็นค่าตั้งต้น และไม่เก็บข้อมูลเกินความจำเป็น > ตัวอย่าง: บริการจัดเก็บข้อมูลลูกค้าออนไลน์ต้องตั้งค่าไม่เปิดเผยข้อมูลส่วนตัวแก่บุคคลอื่นโดยอัตโนมัติ · ระบบกล้องวงจรปิดต้องตั้งค่าจัดเก็บภาพน้อยที่สุดเท่าที่จำเป็นและตั้งระยะเวลาการลบอัตโนมัติ **นโยบายและแนวปฏิบัติหลัก** - ทุกระบบงานหรือกิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลต้องเริ่มต้นด้วยการวางแผนการคุ้มครองข้อมูลอย่างเป็นระบบ และต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนเริ่มโครงการใหม่ - ระบบหรือบริการใด ๆ ต้องตั้งค่าพื้นฐานที่คุ้มครองข้อมูลสูงสุด ไม่เปิดเผยข้อมูลโดยไม่ขอความยินยอมอย่างชัดเจน เช่น เว็บฟอร์มลงทะเบียนลูกค้าเก็บเฉพาะข้อมูลที่จำเป็น **การอบรมและสร้างจิตสำนึก** — จัดอบรมประจำปีสำหรับพนักงานทุกระดับ · จัดทดสอบหลังการอบรมและกำหนดเกณฑ์ผ่านขั้นต่ำ · ใช้โปสเตอร์ สื่ออินทราเน็ต และอีเมลประชาสัมพันธ์ย้ำเตือนอย่างต่อเนื่อง **การประเมินผลและการกำกับดูแล** — [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) มีหน้าที่ตรวจสอบและประเมินความสอดคล้องกับนโยบายอย่างสม่ำเสมอ และปรับปรุงแนวทางเมื่อมีการเปลี่ยนแปลงระบบ กฎหมาย หรือกระบวนการทำงาน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-3-5.md ============================================================ โนด: แนวปฏิบัติ 3.4.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-1.md # 3.4.1 องค์กรกำหนดค่าเริ่มต้นคุ้มครองข้อมูลในการออกแบบระบบ ผลิตภัณฑ์ และบริการ องค์กรต้องมีนโยบายและขั้นตอนเพื่อให้แน่ใจว่าประเด็นการคุ้มครองข้อมูลได้รับการพิจารณาเมื่อมีการออกแบบและดำเนินการระบบบริการ ผลิตภัณฑ์ และแนวทางธุรกิจที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และข้อมูลส่วนบุคคลได้รับการคุ้มครองโดยค่าเริ่มต้น ## สิ่งที่ต้องทำ จัดทำนโยบายและขั้นตอนการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัวในการออกแบบและพัฒนาระบบ ผลิตภัณฑ์ และบริการ เพื่อให้ข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ เปิดเผย และจัดเก็บเท่าที่จำเป็น พร้อมมีมาตรการควบคุมความเป็นส่วนตัวตั้งแต่เริ่มต้น ## หลักฐาน 1. นโยบายการกำหนดค่าเริ่มต้นในการออกแบบและพัฒนาระบบ ผลิตภัณฑ์ และบริการ 2. รายการตรวจสอบการนำการคุ้มครองข้อมูลตั้งแต่การออกแบบและการกำหนดค่าเริ่มต้นไปปฏิบัติในระบบเทคโนโลยีสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล — ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการคุ้มครองข้อมูลที่เหมาะสมตั้งแต่การออกแบบ โทษทางปกครอง: ปรับสูงสุด 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว **วัตถุประสงค์** — กำหนดแนวทางออกแบบระบบ ผลิตภัณฑ์ และบริการให้มีการกำหนดค่าความเป็นส่วนตัวที่ปลอดภัยสูงสุดโดยอัตโนมัติ เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลถูกเก็บ ใช้ เปิดเผย และจัดเก็บเท่าที่จำเป็น **ขอบเขต** — กระบวนการพัฒนาระบบสารสนเทศ · ระบบ/บริการออนไลน์และออฟไลน์ที่ประมวลผลข้อมูลส่วนบุคคล · ผลิตภัณฑ์ดิจิทัล (แอปพลิเคชัน เว็บไซต์ อุปกรณ์เชื่อมต่อ) · บุคลากรฝ่ายพัฒนาระบบ/นโยบาย/กฎหมาย และผู้ให้บริการภายนอกที่เกี่ยวข้อง **แนวทางปฏิบัติ** 1. ค่าเริ่มต้นต้องคุ้มครองความเป็นส่วนตัวสูงสุด — เก็บข้อมูลเฉพาะที่จำเป็น · ปิดการเปิดเผยข้อมูลเป็นค่าเริ่มต้น โดยผู้ใช้ต้องเลือกอนุญาตเอง · ปิดการแชร์ข้อมูลกับบุคคลที่สามโดยอัตโนมัติ 2. ไม่ใช้ข้อมูลส่วนบุคคลเกินความจำเป็น — กำหนดสิทธิ์การเข้าถึงตามบทบาทของผู้ใช้งานอย่างชัดเจน · ไม่เก็บข้อมูลที่ไม่มีวัตถุประสงค์โดยตรง 3. การตั้งค่าต้องโปร่งใสและเข้าใจง่าย — ผู้ใช้เข้าถึงและเปลี่ยนแปลงการตั้งค่าความเป็นส่วนตัวได้ง่าย ด้วยภาษาที่เข้าใจง่าย 4. ผนวกการกำหนดค่าเริ่มต้นไว้ในขั้นตอนพัฒนา — ประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนทุกการเปลี่ยนแปลง และ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)เข้าร่วมให้คำแนะนำตั้งแต่ขั้นตอนการออกแบบ **ตัวอย่างแนวปฏิบัติ** — แบบฟอร์มออนไลน์: ไม่ทำเครื่องหมายยินยอมให้อัตโนมัติ · แอปมือถือ: ปิดการเข้าถึงตำแหน่ง/รายชื่อเป็นค่าเริ่มต้น · ระบบลูกค้าสัมพันธ์: เข้าถึงข้อมูลลูกค้าเฉพาะเจ้าหน้าที่ที่ได้รับมอบหมาย · การรับข่าวสาร: ผู้ใช้ต้องเลือกสมัครเอง **การอบรมและการตรวจสอบ** — อบรมเรื่องการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัวอย่างน้อยปีละ 1 ครั้งแก่ทีมพัฒนา/ออกแบบ ผู้บริหารผลิตภัณฑ์ DPO และฝ่ายกฎหมาย · ตรวจสอบนโยบายอย่างน้อยปีละ 1 ครั้งและรายงานต่อผู้บริหาร · ทบทวนนโยบายทุก 12 เดือน ### ตัวอย่างรายการตรวจสอบการนำไปปฏิบัติ ระบบเก็บเฉพาะข้อมูลที่จำเป็น · แจ้งวัตถุประสงค์ก่อนเก็บ · ไม่ใช้ข้อมูลเกินวัตถุประสงค์ · ขอความยินยอมชัดเจนเมื่อไม่มีฐานทางกฎหมายอื่น · ตั้งค่าไม่เปิดเผยข้อมูลเป็นค่าเริ่มต้น · ผู้ใช้ควบคุมข้อมูลของตนได้ · เข้ารหัสข้อมูลทั้งระหว่างส่งและจัดเก็บ · แยกจัดเก็บข้อมูลอ่อนไหวและจำกัดสิทธิ์ · บันทึกร่องรอยการเข้าถึง/แก้ไข/ดาวน์โหลด · ประเมินผลกระทบ ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนพัฒนาระบบใหม่ · รองรับสิทธิของเจ้าของข้อมูล · เก็บหลักฐานความยินยอม · อบรมพนักงาน · ควบคุมเวอร์ชันนโยบาย · จัดทำสื่อสร้างความตระหนัก ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-1.md ============================================================ โนด: แนวปฏิบัติ 3.4.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-2.md # 3.4.2 องค์กรมีวิธีปฏิบัติตามหลักจำกัดข้อมูล จำกัดวัตถุประสงค์ และทำข้อมูลแฝง องค์กรต้องจัดให้มีวิธีการที่นำไปสู่การปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคลและการป้องกันสิทธิ์ส่วนบุคคล ซึ่งรวมถึงการจำกัดข้อมูลให้น้อยที่สุด การจำกัดวัตถุประสงค์การใช้งาน และการทำข้อมูลแฝง โดยกำหนดไว้ในนโยบายและแนวปฏิบัติ ## สิ่งที่ต้องทำ จัดทำแนวปฏิบัติเพื่อกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว มุ่งเน้น 3 ด้านหลัก ได้แก่ การจำกัดข้อมูลให้น้อยที่สุด การจำกัดวัตถุประสงค์การใช้งาน และการทำข้อมูลแฝง พร้อมกำหนดไว้ในนโยบายและแนวปฏิบัติขององค์กร ## หลักฐาน 1. แนวปฏิบัติเพื่อกำหนดค่าเริ่มต้น 3 ด้าน (จำกัดข้อมูล / จำกัดวัตถุประสงค์ / ทำข้อมูลแฝง) 2. เอกสารระบบเทคโนโลยีสารสนเทศที่รองรับการกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว ## สภาพบังคับ ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการนำหลักการคุ้มครองข้อมูล (จำกัดข้อมูล จำกัดวัตถุประสงค์ และทำข้อมูลแฝง) ไปกำหนดเป็นค่าเริ่มต้นของระบบและกระบวนการ ## ตัวอย่างเอกสาร ### แนวปฏิบัติเพื่อกำหนดค่าเริ่มต้นที่คุ้มครองความเป็นส่วนตัว (3 ด้าน) **1. การจำกัดข้อมูลให้น้อยที่สุด** - ออกแบบแบบฟอร์ม/ระบบให้เก็บเฉพาะข้อมูลที่จำเป็นตามหลักเท่าที่ต้องรู้ - หลีกเลี่ยงการขอข้อมูลที่ไม่เกี่ยวข้อง เช่น วันเกิด เลขบัตรประจำตัวประชาชน เว้นแต่มีเหตุผลชัดเจนและชอบด้วยกฎหมาย - ใช้ฟิลด์ "ไม่บังคับ" ให้ชัดเจน และทบทวนแบบฟอร์ม/ระบบเป็นระยะเพื่อคัดกรองข้อมูลที่ไม่จำเป็นออก - ตัวอย่าง: ระบบสมัครสมาชิกควรเก็บเพียงชื่อ-นามสกุลและอีเมล ไม่จำเป็นต้องเก็บข้อมูลสุขภาพ เว้นแต่ระบบที่เกี่ยวกับการแพทย์ **2. การจำกัดวัตถุประสงค์การใช้งาน** - ระบุวัตถุประสงค์ของการเก็บข้อมูลอย่างชัดเจนในคำประกาศความเป็นส่วนตัว - ห้ามใช้ข้อมูลเพื่อวัตถุประสงค์อื่นที่ไม่สอดคล้องกับวัตถุประสงค์เดิม เว้นแต่ขอความยินยอมใหม่ - แยกข้อมูลตามวัตถุประสงค์ (ฐานข้อมูลลูกค้า / พนักงาน / ผู้สมัครงาน) และควบคุมการเข้าถึงให้ตรงกับบทบาท - ตัวอย่าง: ข้อมูลผู้สมัครงานที่ไม่ผ่านการคัดเลือกต้องไม่ถูกนำไปใช้เพื่อการตลาด เว้นแต่ได้รับความยินยอมใหม่ **3. การทำข้อมูลแฝง** - ใช้รหัสแทนข้อมูลระบุตัวบุคคลจริงในการประมวลผลภายใน - แยกตาราง/ไฟล์ข้อมูลหลักที่ระบุตัวบุคคลได้ ออกจากข้อมูลที่ใช้วิเคราะห์ เพื่อป้องกันการย้อนกลับ - กำหนดให้เฉพาะผู้มีอำนาจเท่านั้นที่เชื่อมข้อมูลกลับไปยังตัวบุคคลได้ และใช้การเข้ารหัสร่วมกับการควบคุมสิทธิ์ - ตัวอย่าง: การวิจัยสุขภาพพนักงานควรใช้รหัสประจำตัวแทนชื่อ และตัดข้อมูลระบุตัวบุคคลออกก่อนส่งให้ทีมวิเคราะห์ **การควบคุมและติดตาม** — จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ก่อนพัฒนาระบบที่เก็บข้อมูลส่วนบุคคล · [เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)หรือคณะทำงานตรวจสอบการปฏิบัติตามแนวทาง · อบรมพนักงานทุกฝ่ายอย่างต่อเนื่อง ### ตัวอย่างระบบเทคโนโลยีสารสนเทศที่รองรับ - **การจำกัดข้อมูลให้น้อยที่สุด** — แบบฟอร์มอิเล็กทรอนิกส์ระบุฟิลด์จำเป็น/ทางเลือก ปิดช่องกรอกที่ไม่เกี่ยวข้อง ผ่านการตรวจสอบโดย DPO ก่อนใช้งานจริง และแจ้งเตือนเมื่อเพิ่มฟิลด์ใหม่ที่อาจละเมิดหลักการ - **การจำกัดวัตถุประสงค์** — แยกฐานข้อมูลตามประเภทผู้ใช้งาน ควบคุมการเข้าถึงตามบทบาท และกำกับด้วยป้ายวัตถุประสงค์ของข้อมูลแต่ละชุด - **การทำข้อมูลแฝง** — แยกข้อมูลระบุตัวตนออกจากข้อมูลที่ใช้ประมวลผล ใช้รหัสแทน และเก็บการจับคู่รหัสกับข้อมูลจริงไว้ในที่ปลอดภัยซึ่งจำกัดสิทธิ์เข้าถึงสูงสุด - **การควบคุมและประเมินผล** — DPO ตรวจสอบระบบทุก 6 เดือน · ทำการประเมินผลกระทบและทดสอบการจำกัดข้อมูลทุกครั้งที่อัปเดตระบบ · อบรมพนักงานประจำปีพร้อมแบบทดสอบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-2.md ============================================================ โนด: แนวปฏิบัติ 3.4.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/3-4-3.md # 3.4.3 องค์กรมีนโยบายคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง องค์กรต้องจัดให้มีนโยบายและแนวปฏิบัติสำหรับข้อมูลส่วนบุคคลของกลุ่มคนที่เปราะบาง เช่น เด็ก เยาวชน ผู้พิการ ให้ได้รับการป้องกันเป็นพิเศษ ## สิ่งที่ต้องทำ จัดทำนโยบายและแนวปฏิบัติเฉพาะสำหรับการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลของกลุ่มเปราะบางอย่างเหมาะสม โดยให้ความระมัดระวังเป็นพิเศษ พร้อมเครื่องมือประเมินและแบบฟอร์มขอความยินยอมที่เกี่ยวข้อง ## หลักฐาน 1. นโยบายการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง 2. รายการตรวจสอบการประเมินกลุ่มเปราะบาง 3. แบบฟอร์มขอความยินยอมจากผู้ปกครองสำหรับการประมวลผลข้อมูลส่วนบุคคลของเด็ก ## สภาพบังคับ ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีในการคุ้มครองกลุ่มเปราะบางตามแนวทางสากลและพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (กรณีข้อมูลเด็ก/ผู้เยาว์ การขอความยินยอมต้องดำเนินการผ่านผู้ใช้อำนาจปกครอง) ## ตัวอย่างเอกสาร ### นโยบายการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง **คำนิยาม** — "กลุ่มเปราะบาง" หมายถึงบุคคลที่อาจไม่สามารถใช้สิทธิคุ้มครองข้อมูลของตนเองได้อย่างเต็มที่ หรือมีความสัมพันธ์กับองค์กรที่ไม่สมดุล เช่น เด็ก (อายุต่ำกว่า 18 ปี) · ผู้สูงอายุ · ผู้พิการ · ผู้มีข้อจำกัดด้านร่างกาย จิตใจ หรือสติปัญญา · ผู้ลี้ภัย/ผู้อพยพ · ผู้ป่วยในสถานพยาบาล · ลูกจ้างในความสัมพันธ์ที่อำนาจไม่สมดุล · ผู้ต้องขัง · ผู้ขาดโอกาสหรือความรู้ในการปกป้องสิทธิ · บุคคลที่ถูกบังคับให้ให้ข้อมูล **แนวปฏิบัติเฉพาะ** - **เด็ก** — ขอความยินยอมจากผู้ปกครองก่อนเก็บข้อมูล · ใช้ภาษาที่เหมาะกับระดับอายุ · หลีกเลี่ยงการเก็บข้อมูลที่ไม่จำเป็น - **ผู้สูงอายุ / ผู้พิการ / ผู้มีข้อจำกัด** — แจ้งนโยบายด้วยภาษาที่เข้าใจง่าย · มีขั้นตอนยืนยันสิทธิของตัวแทนทางกฎหมายที่ชัดเจน - **ผู้ลี้ภัย / ผู้อพยพ / ผู้ขาดความรู้** — ใช้ภาษาท้องถิ่นหรือจัดล่ามแปล · เน้นความเข้าใจสิทธิในการถอนความยินยอม - **ผู้ป่วย / ผู้ต้องขัง / ผู้มีสถานะไม่สมดุล** — ห้ามใช้ความยินยอมเป็นฐานทางกฎหมาย เว้นแต่พิสูจน์ได้ว่าเป็นความยินยอมโดยเสรีอย่างแท้จริง ส่งเสริมการใช้ฐานประโยชน์สาธารณะหรือหน้าที่ตามกฎหมายแทน **มาตรการคุ้มครองเพิ่มเติม** — จำกัดการเข้าถึงข้อมูลเฉพาะผู้มีหน้าที่โดยตรง · ทำข้อมูลแฝงทุกครั้งที่ทำได้ · มี[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md)หรือเจ้าหน้าที่เฉพาะทางให้คำปรึกษา · อบรมเจ้าหน้าที่ให้ตระหนักถึงความเสี่ยง · จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) ทุกกรณีที่ประมวลผลข้อมูลกลุ่มเปราะบาง · ทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง ### รายการตรวจสอบการประเมินกลุ่มเปราะบาง ใช้ประเมินก่อนเก็บ ใช้ หรือเปิดเผยข้อมูลว่าเจ้าของข้อมูลเข้าข่ายกลุ่มเปราะบางหรือไม่ — หากเข้าข่ายตั้งแต่ 1 ข้อ ต้องมีมาตรการคุ้มครองพิเศษ (ขอความยินยอมโดยชัดแจ้ง · อธิบายนโยบายให้เข้าใจง่าย · ลดปริมาณข้อมูล · ทำข้อมูลแฝงหรือนิรนาม · ถอนความยินยอมได้ง่าย) และหากเข้าข่ายมากกว่า 3 ข้อ ต้องทำการประเมินผลกระทบ ([การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)](https://link.pdpalawbase.com/concept/dpia.md)) อย่างเคร่งครัด ### แบบฟอร์มขอความยินยอมจากผู้ปกครองสำหรับข้อมูลของเด็ก โครงสร้างแบบฟอร์ม: ข้อมูลพื้นฐานองค์กรและ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) · คำนำและวัตถุประสงค์ · ข้อมูลเกี่ยวกับเด็กและผู้ปกครอง · ประเภทข้อมูลที่จะเก็บ · วัตถุประสงค์การใช้ข้อมูล · ระยะเวลาการเก็บรักษา (เช่น ข้อมูลทั่วไปไม่เกิน 5 ปี ข้อมูลสุขภาพไม่เกิน 1 ปี ภาพถ่าย/วิดีโอประชาสัมพันธ์ไม่เกิน 3 ปี) · [สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ของผู้ปกครอง (รับทราบ เข้าถึง แก้ไข ลบ จำกัดการใช้ คัดค้าน ย้ายข้อมูล และถอนความยินยอม) · การลงลายมือชื่อรับทราบและยินยอม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/3-4-3.md ============================================================ โนด: แนวปฏิบัติ 5.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-1.md # 5.1.1 พนักงานได้รับการฝึกอบรมเฉพาะทางเพื่อจัดการคำขอ รวมถึงการฝึกอบรมเพิ่มเติมอย่างสม่ำเสมอ ## สิ่งที่ต้องทำ มีการจัดอบรมเฉพาะทางให้พนักงานผู้มีหน้าที่ในการดำเนินการต่อคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md) นอกจากการอบรมครั้งแรกแล้ว ควรกำหนดให้มีการอบรมเพิ่มเติมอย่างสม่ำเสมอ เพื่อทบทวนแนวทางการตอบสนองคำขอ ทบทวนกรณีศึกษาใหม่ และปรับปรุงการตีความตามคำวินิจฉัยหรือแนวทางปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ## หลักฐาน 1. เอกสารแสดงบุคลากรหรือกลุ่มงานที่ทำงานในส่วนดำเนินการต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล พร้อมเอกสารแสดงการฝึกอบรมเฉพาะทางแก่พนักงานผู้ดำเนินการต่อคำขอ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7) ที่กำหนดให้มีการสร้างเสริมความตระหนักรู้และการฝึกอบรมแก่บุคลากรที่เกี่ยวข้อง ## ตัวอย่างเอกสาร ### เอกสารแสดงบุคลากรผู้ดำเนินการต่อคำขอใช้สิทธิ - **ชื่อองค์กร:** [ชื่อองค์กรของคุณ] - **หน่วยงานที่รับผิดชอบ:** [ระบุหน่วยงาน เช่น ฝ่ายทรัพยากรบุคคล / ฝ่ายทะเบียนนักศึกษา / ฝ่ายบัตรสมาชิก] - **วันที่จัดทำเอกสาร:** [ระบุวันที่] **รายชื่อบุคลากรผู้มีหน้าที่ดำเนินการต่อคำขอใช้สิทธิ** 1. นายสุรศักดิ์ รัตนพงศ์ — เจ้าหน้าที่ทะเบียนนักศึกษา (ฝ่ายทะเบียน) — surasak.r@org.ac.th — หัวหน้ากลุ่มงานข้อมูล 2. นางสาวพิมพ์ชนก แสงทอง — เจ้าหน้าที่ฝ่ายบุคคล (ฝ่ายทรัพยากรบุคคล) — pim.hanok.s@org.ac.th — ดูแลสิทธิพนักงาน 3. นายอดิศักดิ์ ศรีโสภา — เจ้าหน้าที่ดูแลระบบสมาชิก (ฝ่ายบัตรสมาชิก) — adisak.s@org.ac.th — รับผิดชอบข้อมูลสมาชิก ### รายละเอียดการฝึกอบรมเฉพาะทาง - **ชื่อหลักสูตร:** การจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างถูกต้องและปลอดภัย - **ผู้จัดอบรม:** [ชื่อองค์กร เช่น สำนักงาน DPO / แผนกกฎหมายองค์กร / ผู้ให้บริการอบรมภายนอก] - **รูปแบบการอบรม:** ในสถานที่ / ออนไลน์ / เรียนรู้ด้วยตนเอง - **ระยะเวลาอบรม:** 1 วัน (6 ชั่วโมง) - **วัน/เวลาอบรม:** 20 มีนาคม 2568 เวลา 09.00–16.00 น. - **วิทยากร:** นายนพเก้า พัฒนานุกูล (ผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล) **เนื้อหาครอบคลุม:** - ภาพรวมของสิทธิของเจ้าของข้อมูลตามกฎหมาย - กระบวนการตอบสนองคำขอ (เช่น ขอเข้าถึง/แก้ไข/ลบ/คัดค้าน/โอนย้ายข้อมูล) - วิธีการยืนยันตัวตนผู้ร้อง - การจัดเก็บบันทึกการใช้สิทธิ - การประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล - ระยะเวลาและรูปแบบการตอบกลับตามข้อกฎหมาย - แนวปฏิบัติเมื่อต้องปฏิเสธคำขอ - การบริหารความเสี่ยงจากคำขอที่ซับซ้อนหรือประสงค์ร้าย ### รายชื่อผู้เข้าร่วมอบรมและผลการอบรม 1. นายสุรศักดิ์ รัตนพงศ์ — ผ่าน — ขอเอกสารแนวทางสรุปในรูปภาพประกอบ 2. นางสาวพิมพ์ชนก แสงทอง — ผ่าน — อยากให้มีกรณีศึกษาจริงมากขึ้น 3. นายอดิศักดิ์ ศรีโสภา — ผ่าน — สนใจอบรมซ้ำใน 6 เดือนข้างหน้า ### แนวทางการอบรมต่อเนื่อง องค์กรกำหนดให้มีการอบรมซ้ำทุก 12 เดือน เพื่อทบทวนแนวทางการตอบสนองคำขอใช้สิทธิ โดยมีการประเมินกรณีศึกษาใหม่ และปรับปรุงการตีความตามคำวินิจฉัยหรือแนวทางปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล **เอกสารประกอบ (ถ้ามี):** เอกสารประกอบการอบรม, คู่มือการตอบคำขอใช้สิทธิ, แบบทดสอบหลังการอบรม, แบบประเมินความพึงพอใจจากผู้เข้าอบรม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-1.md ============================================================ โนด: แนวปฏิบัติ 5.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-2.md # 5.1.2 มีบุคคลหรือคณะทำงานเฉพาะที่มีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อคำขอใช้สิทธิ ## สิ่งที่ต้องทำ จัดให้มีบุคคลหรือคณะทำงานเฉพาะที่มีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยอาจเป็น[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) หรือกลุ่มงานด้านกฎหมาย หรือกลุ่มงานอื่นที่เหมาะสม พร้อมทั้งกำหนดวิธีการจัดการคำขอและการส่งต่อคำขอไปยังหน่วยงานหรือผู้รับผิดชอบที่เกี่ยวข้องอย่างถูกต้อง โปร่งใส และตรวจสอบได้ ## หลักฐาน 1. เอกสารหรือคู่มือที่แนะนำเกี่ยวกับวิธีการจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิ พร้อมหลักฐานการฝึกอบรมบุคลากรที่ได้รับมอบหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### เอกสารหลักฐานการฝึกอบรม "แนวทางการจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล" **1. ความเป็นมาและวัตถุประสงค์** พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิหลายประการ เช่น สิทธิในการเข้าถึงข้อมูล ขอรับสำเนา ขอให้ลบหรือระงับการใช้ข้อมูล สิทธิในการคัดค้านการประมวลผล และสิทธิในการเพิกถอนความยินยอม หน่วยงานจึงจัดให้มีการฝึกอบรมแนะนำเพื่อสร้างความเข้าใจแก่บุคลากรที่ได้รับมอบหมายให้ปฏิบัติหน้าที่ในการจัดการและตอบสนองต่อคำขอใช้สิทธิ รวมถึงการส่งต่อคำขอไปยังผู้รับผิดชอบที่เกี่ยวข้อง **วัตถุประสงค์ของการฝึกอบรม:** 1. เพื่อให้ผู้เข้าร่วมอบรมเข้าใจหลักสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย 2. เพื่อให้เข้าใจขั้นตอน วิธีการ และระยะเวลาในการจัดการคำขอใช้สิทธิ 3. เพื่อให้บุคลากรสามารถส่งต่อคำขออย่างถูกต้องและเป็นระบบ 4. เพื่อให้หน่วยงานสามารถจัดเก็บบันทึกการดำเนินการตามคำขอได้อย่างครบถ้วน เพื่อใช้เป็นหลักฐานการปฏิบัติตามกฎหมาย ### รายละเอียดการฝึกอบรม - **ชื่อหลักสูตร:** การจัดการคำขอใช้สิทธิและการส่งต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล - **วัน/เวลาอบรม:** วันที่ …………… เวลา ……………–…………… น. - **สถานที่จัดอบรม:** ห้องประชุม …………… - **รูปแบบการอบรม:** บรรยายเชิงปฏิบัติการ พร้อมกิจกรรมจำลองการรับคำขอและการส่งต่อคำขอจริง - **กลุ่มเป้าหมาย:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล, เจ้าหน้าที่ฝ่ายกฎหมาย, เจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศ, เจ้าหน้าที่ฝ่ายบุคคล และผู้ที่เกี่ยวข้อง - **ผู้รับผิดชอบการจัดอบรม:** คณะทำงานบริหารจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล - **วิทยากร:** ……………… (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือผู้เชี่ยวชาญด้านการคุ้มครองข้อมูล) ### หัวข้อการฝึกอบรม 1. **ภาพรวมของสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย** — สิทธิในการเข้าถึง แก้ไข ลบหรือทำลาย ระงับการประมวลผล คัดค้านการประมวลผล และเพิกถอนความยินยอม 2. **กระบวนการจัดการคำขอใช้สิทธิ** — ขั้นตอนการรับคำขอและตรวจสอบเอกสาร, การยืนยันตัวตนของผู้ยื่นคำขอ, การตรวจสอบขอบเขตของคำขอและฐานทางกฎหมาย, การพิจารณาและตัดสินใจภายใน 30 วัน, การตอบกลับผลแก่เจ้าของข้อมูล 3. **แนวทางการส่งต่อคำขอใช้สิทธิภายในหน่วยงาน** — หลักเกณฑ์การส่งต่อคำขอไปยังหน่วยงานที่ถือครองข้อมูล, วิธีการส่งต่ออย่างปลอดภัย, การติดตามผลและบันทึกการดำเนินการ 4. **กรณีศึกษาจริงและสถานการณ์จำลอง** — ตัวอย่างคำขอในบริบทต่าง ๆ, วิธีการประเมินความเหมาะสมของคำขอ, การปฏิเสธคำขออย่างมีเหตุผลและตามกฎหมาย 5. **การจัดเก็บหลักฐานและการตรวจสอบย้อนหลัง** — การบันทึกแบบฟอร์มคำขอ, การจัดเก็บเอกสารตอบกลับ, การจัดเก็บรายงานประจำปีเกี่ยวกับคำขอใช้สิทธิ ### เอกสารและหลักฐานแนบ 1. แบบฟอร์มคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล 2. เอกสารประกอบการอบรม / คู่มือการปฏิบัติ 3. รายชื่อผู้เข้าร่วมอบรม 4. แบบประเมินผลการอบรมก่อนและหลังการฝึกอบรม 5. ภาพถ่ายกิจกรรมการฝึกอบรม 6. รายงานสรุปผลการอบรม ลงชื่อ ................................................. (.................................................) ตำแหน่ง ................................................. ผู้จัดอบรม / ประธานคณะทำงานบริหารจัดการคำขอใช้สิทธิ วันที่ ……………………… ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-2.md ============================================================ โนด: แนวปฏิบัติ 5.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-3.md # 5.1.3 องค์กรจัดสรรทรัพยากรอย่างเพียงพอเพื่อจัดการกับคำขอใช้สิทธิ เช่น แบบฟอร์มหรือระบบเทคโนโลยีสารสนเทศ ## สิ่งที่ต้องทำ จัดสรรทรัพยากรอย่างเพียงพอเพื่อจัดการกับคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยมีแบบฟอร์มและระบบเทคโนโลยีสารสนเทศที่รองรับการจัดการข้อเรียกร้องหรือการขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ได้อย่างสะดวก ปลอดภัย และตรวจสอบได้ ## หลักฐาน 1. เอกสารแบบฟอร์มต่าง ๆ ในการขอใช้สิทธิตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล 2. ระบบเทคโนโลยีสารสนเทศเพื่อดำเนินการต่อข้อเรียกร้องหรือคำขอใช้สิทธิ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### แบบฟอร์มการขอใช้สิทธิของเจ้าของข้อมูล **แบบคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล** เลขที่แบบฟอร์ม DPR-01 แนวทางการยื่นคำขอ: - ส่งทางอีเมล: dataprivacy@org.ac.th - ส่งแบบฟอร์มผ่านระบบออนไลน์ [ลิงก์ระบบ] - ยื่นด้วยตนเองที่สำนักงานฝ่ายบัตรสมาชิก ### ระบบเทคโนโลยีสารสนเทศเพื่อจัดการคำขอใช้สิทธิ **1. ความเป็นมาและวัตถุประสงค์** กฎหมายกำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึง ขอรับสำเนา ลบ ระงับ หรือคัดค้านการประมวลผลข้อมูล รวมถึงสิทธิในการเพิกถอนความยินยอม และสิทธิอื่นที่เกี่ยวข้อง องค์กรจึงจัดให้มีระบบเทคโนโลยีสารสนเทศที่รองรับการยื่นคำขอและการติดตามผลได้อย่างปลอดภัย ตรวจสอบได้ และสอดคล้องกับมาตรการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างหลักฐานเชิงดิจิทัลสำหรับการตรวจสอบภายหลัง และแสดงถึงการจัดสรรทรัพยากรที่เพียงพอ **2. ขอบเขตของระบบ** - การรับคำขอใช้สิทธิผ่านแบบฟอร์มอิเล็กทรอนิกส์ - การตรวจสอบและยืนยันตัวตนของผู้ยื่นคำขอ - การบันทึกการดำเนินการของเจ้าหน้าที่แต่ละขั้นตอน - การส่งต่อคำขอไปยังหน่วยงานที่เกี่ยวข้อง - การแจ้งผลการพิจารณาคำขอและจัดเก็บหลักฐานแบบดิจิทัล ระบบใช้งานได้ทั้งภายในเครือข่ายองค์กรและผ่านระบบออนไลน์ โดยใช้มาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานสากล **3. องค์ประกอบของระบบ** - **ระบบรับคำขอใช้สิทธิ** — ช่องทางหลักให้เจ้าของข้อมูลยื่นคำขอผ่านแบบฟอร์มออนไลน์ มีการตรวจสอบความครบถ้วนของข้อมูลบังคับ การแนบเอกสารยืนยันตัวตนแบบเข้ารหัส และการยืนยันตัวตนผ่านอีเมลหรือโทรศัพท์ - **ระบบจัดการภายในของเจ้าหน้าที่** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือคณะทำงานที่ได้รับมอบหมายตรวจสอบและยืนยันความถูกต้องของคำขอ บันทึกการพิจารณา ส่งต่อคำขอไปยังหน่วยงานที่เกี่ยวข้อง ติดตามสถานะ และสร้างรายงานสรุป - **ระบบบันทึกและตรวจสอบย้อนหลัง** — ทุกการดำเนินการถูกบันทึกโดยอัตโนมัติพร้อมเวลาและลายมือชื่อดิจิทัล เพื่อใช้เป็นหลักฐานการปฏิบัติตามกฎหมาย - **ระบบแจ้งผลและสื่อสารกับเจ้าของข้อมูล** — ส่งอีเมลหรือข้อความแจ้งผลโดยอัตโนมัติเมื่อมีการอัปเดตสถานะ เช่น รับคำขอแล้ว อยู่ระหว่างพิจารณา ดำเนินการแล้วเสร็จ หรือปฏิเสธคำขอพร้อมเหตุผล **4. มาตรการรักษาความมั่นคงปลอดภัยของระบบ** - การเข้ารหัสข้อมูลทั้งขณะรับส่งและจัดเก็บ - การยืนยันตัวตนแบบหลายชั้นสำหรับเจ้าหน้าที่ - การจำกัดสิทธิการเข้าถึงตามบทบาท - การสำรองข้อมูลประจำวันและการกู้คืนข้อมูล - การตรวจสอบและทดสอบช่องโหว่ระบบประจำปี - การเก็บรักษาข้อมูลการดำเนินการตามระยะเวลาที่กฎหมายกำหนด **5. ขั้นตอนการดำเนินการของระบบ** - เจ้าของข้อมูลกรอกแบบฟอร์มคำขอออนไลน์และแนบเอกสารยืนยันตัวตน - ระบบออกหมายเลขอ้างอิงอัตโนมัติและส่งแจ้งไปยังอีเมลผู้ยื่นคำขอ - เจ้าหน้าที่ตรวจสอบคำขอภายใน 3 วันทำการ - หากคำขอครบถ้วน ระบบส่งต่อให้หน่วยงานเจ้าของข้อมูลพิจารณาภายใน 30 วัน - เมื่อหน่วยงานตอบกลับผล ระบบจัดส่งแจ้งผลอัตโนมัติแก่ผู้ยื่นคำขอ - ระบบบันทึกการดำเนินงานทั้งหมดเพื่อใช้เป็นหลักฐานการตรวจสอบ ลงชื่อ ................................................. (.................................................) ตำแหน่ง ................................................. ผู้รับผิดชอบระบบเทคโนโลยีสารสนเทศเพื่อการจัดการคำขอใช้สิทธิ วันที่ ……………………… ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-3.md ============================================================ โนด: แนวปฏิบัติ 5.1.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-4.md # 5.1.4 กรณีผู้รับผิดชอบด้านคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้ องค์กรจัดให้มีพนักงานคนอื่นหรือระบบเทคโนโลยีทำหน้าที่แทนได้ ## สิ่งที่ต้องทำ จัดให้มีพนักงานสำรองหรือมีระบบเทคโนโลยีปฏิบัติหน้าที่ทดแทนต่อการจัดการคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ในกรณีที่ผู้รับผิดชอบหลักไม่สามารถปฏิบัติหน้าที่ได้ เพื่อให้การดำเนินงานเป็นไปอย่างต่อเนื่องไม่สะดุดและไม่เกิดความล่าช้า ## หลักฐาน 1. คู่มือการปฏิบัติงานแทนในกรณีที่ผู้รับผิดชอบด้านคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้ 2. คำสั่งมอบหมายการปฏิบัติหน้าที่แทนกรณีผู้รับผิดชอบไม่สามารถปฏิบัติหน้าที่ได้ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### คู่มือการปฏิบัติงานแทนกรณีผู้รับผิดชอบคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้ **วัตถุประสงค์:** เพื่อให้การจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลดำเนินต่อเนื่องอย่างไม่มีสะดุด กรณีผู้รับผิดชอบหลักไม่สามารถปฏิบัติหน้าที่ได้ **ขั้นตอนการปฏิบัติ:** - เมื่อผู้รับผิดชอบหลักแจ้งขาดงาน ลาหยุด หรือไม่สามารถปฏิบัติหน้าที่ได้ ให้แจ้งผู้บริหารฝ่ายบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทราบโดยทันที - ผู้บริหารฝ่ายบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะมอบหมายงานให้พนักงานสำรองที่ได้รับการฝึกอบรมและมีความรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลดำเนินการแทน - พนักงานสำรองจะได้รับสิทธิ์เข้าถึงระบบและข้อมูลที่จำเป็นเพื่อดำเนินการคำขอใช้สิทธิ - หากมีระบบเทคโนโลยีสนับสนุน เช่น ระบบจัดการคำขออัตโนมัติ ระบบจะส่งคำขอไปยังผู้ปฏิบัติงานแทนโดยอัตโนมัติ - พนักงานสำรองจัดการคำขอและรายงานผลการดำเนินงานให้ผู้บริหารฝ่ายบุคคลและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทราบตามระยะเวลาที่กำหนด - เมื่อผู้รับผิดชอบหลักกลับมาปฏิบัติหน้าที่ ให้รายงานสรุปการดำเนินการในช่วงเวลาที่สำรองปฏิบัติหน้าที่แทน **หมายเหตุ:** พนักงานสำรองต้องผ่านการฝึกอบรมและมีความเข้าใจในกฎหมายคุ้มครองข้อมูลส่วนบุคคล ควรมีการจัดทำบันทึกการมอบหมายงานและการฝึกอบรมเป็นหลักฐาน ### คำสั่งมอบหมายการปฏิบัติหน้าที่แทน - **เลขที่คำสั่ง:** [หมายเลข] - **วันที่:** [วัน/เดือน/ปี] - **เรื่อง:** การมอบหมายการปฏิบัติหน้าที่แทนผู้รับผิดชอบด้านคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ตามที่ [ชื่อผู้รับผิดชอบหลัก] ตำแหน่ง [ตำแหน่ง] ไม่สามารถปฏิบัติหน้าที่ด้านการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลได้ ตั้งแต่วันที่ [วัน/เดือน/ปี] ถึงวันที่ [วัน/เดือน/ปี] เพื่อให้การดำเนินการเป็นไปอย่างต่อเนื่องและไม่เกิดความล่าช้า จึงขอมอบหมายให้ - **ชื่อ:** [ชื่อผู้รับมอบหมาย] - **ตำแหน่ง:** [ตำแหน่งผู้รับมอบหมาย] ปฏิบัติหน้าที่แทนในด้านการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตั้งแต่วันที่ [วัน/เดือน/ปี] เป็นต้นไป จนกว่าผู้รับผิดชอบหลักจะสามารถปฏิบัติหน้าที่ได้ตามปกติ ทั้งนี้ ผู้รับมอบหมายต้องปฏิบัติตามกฎหมายและนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กรอย่างเคร่งครัด ลงชื่อ ............................................... (ผู้มอบหมาย) ตำแหน่ง [ตำแหน่งผู้มอบหมาย] ลงชื่อ ............................................... (ผู้รับมอบหมาย) ตำแหน่ง [ตำแหน่งผู้รับมอบหมาย] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-4.md ============================================================ โนด: แนวปฏิบัติ 5.1.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-5.md # 5.1.5 องค์กรมีความสามารถในการจัดการกับคำขอที่เพิ่มขึ้นได้ หรือยังบริหารจัดการได้แม้มีการลดจำนวนพนักงานที่รับผิดชอบคำขอลง ## สิ่งที่ต้องทำ มีแผนสำรองสนับสนุนในกรณีที่ต้องมีการจัดการคำขอใช้[สิทธิของเจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject-rights.md)ที่เพิ่มขึ้น และพร้อมดำเนินการได้ทันที รวมถึงยังสามารถบริหารจัดการคำขอได้แม้มีการลดจำนวนพนักงานที่รับผิดชอบลง โดยอาศัยทั้งบุคลากรสำรองที่เตรียมพร้อมและระบบเทคโนโลยีที่ขยายขีดความสามารถได้ ## หลักฐาน 1. เอกสารแสดงบุคลากรที่ทำงานในส่วนดำเนินการต่อข้อเรียกร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล 2. ระบบเทคโนโลยีเพื่อดำเนินการต่อข้อเรียกร้องหรือการขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### รายชื่อบุคลากรที่รับผิดชอบงานคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล 1. นายสมชาย ใจดี — เจ้าหน้าที่คุ้มครองข้อมูล — รับคำขอและดำเนินการตอบสนองคำขอใช้สิทธิ — somchai@example.com — มีประสบการณ์ 3 ปี 2. นางสาวพรทิพย์ แก้วใส — เจ้าหน้าที่สำรอง — รองรับการปฏิบัติงานแทนในกรณีผู้รับผิดชอบหลักไม่ว่าง — porntip@example.com — ผ่านการฝึกอบรมด้านการคุ้มครองข้อมูลส่วนบุคคล 3. นายวิชัย เก่งงาน — เจ้าหน้าที่สนับสนุนระบบคำขอ — ดูแลระบบเทคโนโลยีสารสนเทศที่ใช้จัดการคำขอ — wichai@example.com — พร้อมช่วยเหลือกรณีคำขอเพิ่มขึ้น **หมายเหตุ:** บุคลากรในส่วนนี้ได้รับการฝึกอบรมและมีความพร้อมในการรองรับคำขอที่เพิ่มขึ้น กรณีมีการลดจำนวนพนักงาน ยังมีบุคลากรสำรองที่ได้รับการเตรียมพร้อมไว้ ### ระบบเทคโนโลยีเพื่อจัดการคำขอใช้สิทธิ **ฟังก์ชันหลักของระบบ:** - รับคำขอผ่านช่องทางออนไลน์และนอกระบบออนไลน์ - บันทึกคำขอและติดตามสถานะการดำเนินงานแบบเรียลไทม์ - แจ้งเตือนพนักงานที่รับผิดชอบเมื่อมีคำขอใหม่หรือใกล้ถึงกำหนดตอบกลับ - รายงานสรุปจำนวนคำขอและเวลาตอบสนอง เพื่อการบริหารจัดการทรัพยากรอย่างมีประสิทธิภาพ - มีระบบสำรองข้อมูลและสามารถรองรับคำขอจำนวนมากได้พร้อมกัน **การรองรับการจัดการคำขอที่เพิ่มขึ้น:** - ระบบสามารถขยายขีดความสามารถเพื่อตอบสนองคำขอที่เพิ่มขึ้นได้ทันที - มีทีมเทคโนโลยีสารสนเทศคอยดูแลและสนับสนุนระบบตลอด 24 ชั่วโมง - ระบบสามารถตั้งค่ามอบหมายงานอัตโนมัติและเพิ่มผู้ช่วยอัตโนมัติ เพื่อช่วยจัดการคำขอในช่วงที่มีปริมาณสูง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-5.md ============================================================ โนด: แนวปฏิบัติ 5.1.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-6.md # 5.1.6 องค์กรมีกระบวนการเพื่อให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้องและได้รับการปรับปรุงให้เป็นปัจจุบันตามความเหมาะสม ## สิ่งที่ต้องทำ องค์กรต้องมีกระบวนการในการบันทึกการเข้าระบบด้วยระบบเทคโนโลยีสารสนเทศตามมาตรฐานขั้นต่ำที่เป็นที่ยอมรับ เพื่อให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้อง ครบถ้วน และได้รับการปรับปรุงให้เป็นปัจจุบันอย่างสม่ำเสมอ ## หลักฐาน 1. เอกสารกระบวนการบันทึกการเข้าระบบ 2. ระบบเทคโนโลยีสารสนเทศที่ใช้บันทึกการเข้าระบบ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### เอกสารกระบวนการบันทึกการเข้าระบบ **ชื่อเอกสาร:** กระบวนการบันทึกและตรวจสอบการเข้าระบบ **รหัสเอกสาร:** IT-SOP-LOG-001 **เวอร์ชัน:** 1.0 **วันที่บังคับใช้:** 1 มิถุนายน 2568 **จัดทำโดย:** ฝ่ายเทคโนโลยีสารสนเทศ **วัตถุประสงค์** — เพื่อกำหนดกระบวนการในการบันทึกและตรวจสอบการเข้าถึงระบบสารสนเทศขององค์กร ให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้องและได้รับการปรับปรุงอย่างสม่ำเสมอ **ขอบเขต** — ครอบคลุมระบบสารสนเทศทุกระบบที่ใช้ในองค์กร รวมถึงระบบฐานข้อมูล ระบบแอปพลิเคชัน และระบบเครือข่าย **ขั้นตอนปฏิบัติ** - การบันทึก — ระบบเทคโนโลยีสารสนเทศทุกระบบต้องเปิดใช้งานการบันทึกข้อมูลการเข้าและออกจากระบบของผู้ใช้ โดยบันทึกรายละเอียดอย่างน้อย ได้แก่ ชื่อผู้ใช้ เวลาเข้าและออกระบบ ที่อยู่ไอพีของอุปกรณ์ และกิจกรรมที่เกี่ยวข้อง - การตรวจสอบ — ฝ่ายเทคโนโลยีสารสนเทศต้องตรวจสอบบันทึกอย่างน้อยเดือนละครั้ง เพื่อวิเคราะห์ความผิดปกติหรือการเข้าถึงที่ไม่ได้รับอนุญาต และจัดเก็บบันทึกไว้อย่างปลอดภัยพร้อมสำรองข้อมูลตามนโยบายขององค์กร - การปรับปรุงและบำรุงรักษา — อัปเดตระบบบันทึกตามเทคโนโลยีใหม่และมาตรฐานความปลอดภัยที่เหมาะสมอย่างน้อยปีละ 1 ครั้ง โดยฝ่ายเทคโนโลยีสารสนเทศรับผิดชอบตรวจสอบและปรับปรุงให้เป็นปัจจุบันอยู่เสมอ **ผู้รับผิดชอบ** — ฝ่ายเทคโนโลยีสารสนเทศดูแลระบบบันทึก และผู้จัดการฝ่ายตรวจสอบรายงานพร้อมอนุมัติการดำเนินการที่เกี่ยวข้อง ### ตัวอย่างบันทึกการเข้าระบบ | วันที่/เวลา | ชื่อผู้ใช้ | กิจกรรม | ที่อยู่ไอพี | หมายเหตุ | |---|---|---|---|---| | 2025-06-02 09:15:23 | user001 | เข้าสู่ระบบ | 192.168.1.101 | เข้าสู่ระบบสำเร็จ | | 2025-06-02 09:45:10 | user002 | ออกจากระบบ | 192.168.1.102 | ออกจากระบบปกติ | | 2025-06-02 10:05:47 | admin01 | เข้าสู่ระบบล้มเหลว | 192.168.1.103 | รหัสผ่านไม่ถูกต้อง | | 2025-06-02 10:15:30 | user001 | เข้าถึงไฟล์ | 192.168.1.101 | เปิดไฟล์เอกสารสำคัญ | ### ระบบเทคโนโลยีสารสนเทศที่ใช้บันทึกการเข้าระบบ - ระบบบริหารจัดการเครือข่ายที่มีฟังก์ชันบันทึกและรายงานการเข้าระบบ - ระบบจัดการสิทธิ์ผู้ใช้งานที่เชื่อมโยงกับไดเรกทอรีผู้ใช้ - ระบบรวบรวมและวิเคราะห์เหตุการณ์ความมั่นคงปลอดภัยสำหรับแจ้งเตือนเหตุการณ์ผิดปกติ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-6.md ============================================================ โนด: แนวปฏิบัติ 5.1.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-7.md # 5.1.7 บันทึกการเข้าระบบแสดงวันที่ดำเนินการตามคำขอ และผลการดำเนินการตามคำขอ ## สิ่งที่ต้องทำ องค์กรต้องมีการบันทึกการเข้าระบบที่แสดงวันที่ดำเนินการตามคำขอและผลการดำเนินการตามคำขอได้โดยง่าย โดยข้อมูลที่บันทึกต้องมีความถูกต้องและเป็นปัจจุบัน ## หลักฐาน 1. ตัวอย่างเอกสารแสดงการบันทึกคำขอเข้าระบบที่แสดงวันที่และผลการดำเนินการตามคำขอ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### เอกสารแสดงการบันทึกคำขอเข้าระบบ **ชื่อเอกสาร:** บันทึกคำขอเข้าถึงระบบและผลการดำเนินการ **รหัสเอกสาร:** IT-LOG-ACCESS-002 **เวอร์ชัน:** 1.0 **วันที่บังคับใช้:** 1 มิถุนายน 2568 **จัดทำโดย:** ฝ่ายเทคโนโลยีสารสนเทศ **วัตถุประสงค์** — เพื่อบันทึกและติดตามคำขอเข้าถึงระบบสารสนเทศและผลการดำเนินการตามคำขออย่างถูกต้องและเป็นปัจจุบัน **รูปแบบการบันทึก** | ลำดับ | วันที่คำขอ | ชื่อผู้ขอ | ระบบที่ขอเข้าถึง | วันที่ดำเนินการ | ผลการดำเนินการ | ผู้ดำเนินการ | หมายเหตุ | |---|---|---|---|---|---|---|---| | 1 | 2025-06-01 | user001 | ระบบบริหารสมาชิก | 2025-06-02 | อนุมัติ | admin01 | เข้าถึงระบบได้ | | 2 | 2025-06-02 | user002 | ระบบฐานข้อมูลลูกค้า | 2025-06-03 | ปฏิเสธ | admin02 | ไม่มีสิทธิ์เข้าถึง | | 3 | 2025-06-03 | user003 | ระบบอีเมลองค์กร | 2025-06-04 | อนุมัติ | admin01 | เข้าถึงได้ | **กระบวนการและระบบที่ใช้บันทึก** - ใช้ระบบบริหารจัดการบริการสารสนเทศสำหรับรับคำขอและบันทึกสถานะการดำเนินการ - บันทึกข้อมูลในฐานข้อมูลที่สามารถสืบค้นได้ง่าย และสร้างรายงานผลการดำเนินการได้ทันที - ตั้งค่าการแจ้งเตือนเมื่อมีการอัปเดตสถานะคำขอ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-7.md ============================================================ โนด: แนวปฏิบัติ 5.1.8 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-8.md # 5.1.8 องค์กรจัดให้มีรายการการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ ## สิ่งที่ต้องทำ องค์กรต้องจัดทำรายงานการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ เช่น ระบบหรือแผนกใดที่ดำเนินการตามคำขอใช้สิทธิแล้ว โดยแยกประเภทของคำขอใช้สิทธิ ซึ่งอาจเป็นส่วนหนึ่งของบันทึกหรือเป็นเอกสารแยกต่างหาก ## หลักฐาน 1. รายงานการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ โดยอาจแยกเป็นแผนก ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### รายงานการตรวจสอบขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิ **ชื่อเอกสาร:** รายงานการตรวจสอบบันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิ **รหัสเอกสาร:** DPO-LOG-AUDIT-003 **เวอร์ชัน:** 1.0 **วันที่จัดทำ:** 3 มิถุนายน 2568 **จัดทำโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล **วัตถุประสงค์** — เพื่อแสดงรายงานการตรวจสอบและติดตามบันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอใช้สิทธิของเจ้าของข้อมูล โดยแยกตามประเภทคำขอและแผนกที่ดำเนินการ เพื่อให้สามารถตรวจสอบความถูกต้องและความสมบูรณ์ของกระบวนการได้อย่างมีประสิทธิภาพ **ขอบเขตของรายงาน** — ครอบคลุมคำขอใช้สิทธิในระบบสารสนเทศขององค์กรในช่วงเวลาที่ระบุ รวมถึงบันทึกการส่งต่อคำขอ การดำเนินงานของแต่ละแผนก และผลการดำเนินการตามคำขอ **รายละเอียดรายงาน** | หมายเลขคำขอ | วันที่คำขอ | ประเภทคำขอใช้สิทธิ | แผนกที่รับผิดชอบ | วันที่เริ่มดำเนินการ | วันที่เสร็จสิ้น | ผลการดำเนินการ | ผู้รับผิดชอบ | หมายเหตุ | |---|---|---|---|---|---|---|---|---| | REQ20250601-01 | 2025-06-01 | ขอเข้าถึงข้อมูล | ฝ่ายบริการลูกค้า | 2025-06-02 | 2025-06-04 | ดำเนินการเสร็จสิ้น | พนักงาน A | อนุมัติคำขอ | | REQ20250602-02 | 2025-06-02 | ขอแก้ไขข้อมูล | ฝ่ายระบบข้อมูล | 2025-06-03 | 2025-06-05 | ดำเนินการเสร็จสิ้น | พนักงาน B | ข้อมูลถูกแก้ไขเรียบร้อย | | REQ20250602-03 | 2025-06-02 | ขอระงับการใช้ข้อมูล | ฝ่ายกฎหมาย | 2025-06-04 | 2025-06-06 | ปฏิเสธคำขอ | พนักงาน C | ข้อมูลไม่ตรงเงื่อนไข | | REQ20250603-04 | 2025-06-03 | ขอให้ลบข้อมูล | ฝ่ายบริการลูกค้า | 2025-06-04 | 2025-06-06 | ดำเนินการเสร็จสิ้น | พนักงาน A | ลบข้อมูลเรียบร้อย | **คำอธิบาย** - ประเภทคำขอใช้สิทธิ ได้แก่ ขอเข้าถึงข้อมูล ขอแก้ไขข้อมูล ขอระงับการใช้ข้อมูล ขอให้ลบข้อมูล และอื่น ๆ ตามกฎหมาย - แผนกที่รับผิดชอบ ระบุหน่วยงานหรือทีมที่ดำเนินการจัดการคำขอนั้น ๆ - วันที่เริ่มดำเนินการและวันที่เสร็จสิ้น ช่วยแสดงความรวดเร็วและติดตามกระบวนการ - ผลการดำเนินการ เช่น อนุมัติ ปฏิเสธ หรืออยู่ระหว่างดำเนินการ - ผู้รับผิดชอบ คือชื่อผู้ปฏิบัติงานหรือเจ้าหน้าที่ที่ดำเนินการตามคำขอ - หมายเหตุ บันทึกข้อมูลเพิ่มเติม เช่น เหตุผลปฏิเสธหรือคำชี้แจงอื่น ๆ **การใช้รายงาน** — รายงานนี้จัดทำขึ้นเพื่อใช้ตรวจสอบภายในประจำเดือนหรือประจำไตรมาส ใช้เป็นหลักฐานในการตรวจสอบความถูกต้องของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูล และสนับสนุนการบริหารจัดการความเสี่ยงและการปรับปรุงกระบวนการให้ดีขึ้น ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-8.md ============================================================ โนด: แนวปฏิบัติ 5.1.9 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-9.md # 5.1.9 องค์กรจัดให้มีบันทึกของการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย รวมถึงข้อมูลที่เปิดเผยหรือไม่เปิดเผยจากคำขอ ## สิ่งที่ต้องทำ องค์กรต้องจัดให้มีบันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย โดยแยกประเภทของคำขอใช้สิทธิ และในกรณีของการขอเข้าถึงข้อมูลส่วนบุคคล ต้องระบุข้อมูลที่เปิดเผยหรือไม่เปิดเผยจากคำขอด้วย ## หลักฐาน 1. บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย **ชื่อเอกสาร:** บันทึกการตอบสนองต่อคำขอใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล **รหัสเอกสาร:** DPO-RESP-LOG-004 **เวอร์ชัน:** 1.0 **วันที่จัดทำ:** 3 มิถุนายน 2568 **จัดทำโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล **วัตถุประสงค์** — เพื่อเก็บบันทึกข้อมูลการตอบสนองต่อคำขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยแยกประเภทของคำขอและระบุข้อมูลที่เปิดเผยหรือไม่เปิดเผยในกรณีคำขอเข้าถึงข้อมูลส่วนบุคคล **ขอบเขต** — ครอบคลุมคำขอใช้สิทธิที่ได้รับจากเจ้าของข้อมูลทุกประเภทคำขอ ทั้งการขอเข้าถึงข้อมูล แก้ไข ลบ หรือระงับการใช้ข้อมูล โดยบันทึกผลการตอบสนองอย่างครบถ้วน **รายละเอียดบันทึก** | หมายเลขคำขอ | วันที่คำขอ | ประเภทคำขอใช้สิทธิ | วันที่ตอบกลับ | ผลการตอบสนอง | ข้อมูลที่เปิดเผย/ไม่เปิดเผย | เหตุผลหากไม่เปิดเผย | ผู้ตอบสนอง | |---|---|---|---|---|---|---|---| | REQ20250601-01 | 2025-06-01 | ขอเข้าถึงข้อมูล | 2025-06-01 | เปิดเผยข้อมูลบางส่วน | เปิดเผย: ข้อมูลส่วนตัวทั่วไป / ไม่เปิดเผย: ข้อมูลทางการเงิน | ข้อมูลทางการเงินต้องปกป้องตามนโยบาย | พนักงาน A | | REQ20250602-02 | 2025-06-02 | ขอแก้ไขข้อมูล | 2025-06-05 | แก้ไขข้อมูลเรียบร้อย | - | - | พนักงาน B | | REQ20250603-03 | 2025-06-03 | ขอให้ลบข้อมูล | 2025-06-06 | ปฏิเสธคำขอ | ไม่เปิดเผย | ข้อมูลมีความจำเป็นทางกฎหมายต้องเก็บไว้ | พนักงาน C | | REQ20250604-04 | 2025-06-04 | ขอระงับการใช้ข้อมูล | 2025-06-07 | อนุมัติคำขอ | - | - | พนักงาน D | **คำอธิบาย** - ประเภทคำขอใช้สิทธิ เช่น ขอเข้าถึงข้อมูล ขอแก้ไข ขอให้ลบ และขอระงับการใช้ข้อมูล - ผลการตอบสนอง เช่น เปิดเผยข้อมูล เปิดเผยบางส่วน ปฏิเสธคำขอ หรืออนุมัติคำขอ - ข้อมูลที่เปิดเผย/ไม่เปิดเผย ระบุชัดเจนว่าข้อมูลส่วนใดถูกเปิดเผยหรือถูกปกปิดพร้อมเหตุผล - เหตุผลหากไม่เปิดเผยข้อมูล เพื่อความโปร่งใส เช่น ปกป้องความลับทางการค้า หรือข้อมูลที่กฎหมายกำหนดให้เก็บรักษาไว้ - ผู้ตอบสนอง คือชื่อพนักงานหรือเจ้าหน้าที่ที่รับผิดชอบตอบคำขอ **การใช้บันทึก** — ใช้ในการตรวจสอบย้อนหลังและติดตามการจัดการคำขอใช้สิทธิ เป็นหลักฐานแสดงความโปร่งใสและความรับผิดชอบขององค์กรในการตอบสนองคำขอ และสนับสนุนการปรับปรุงกระบวนการจัดการคำขอให้ดีขึ้น ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-9.md ============================================================ โนด: แนวปฏิบัติ 5.1.10 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-10.md # 5.1.10 องค์กรดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลทั้งหมดภายในระยะเวลาตามกฎหมาย ## สิ่งที่ต้องทำ องค์กรต้องดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลภายในระยะเวลาที่กฎหมายกำหนด หรือตามความเหมาะสม โดยมีการบันทึกและติดตามให้คำขอแต่ละรายการแล้วเสร็จภายในกำหนด ## หลักฐาน 1. เอกสารหลักฐานการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง กำหนดให้ผู้ควบคุมข้อมูลดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลภายในสามสิบวันนับแต่วันที่ได้รับคำขอ หากไม่ดำเนินการตามคำขอภายในเวลาที่กำหนดตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม ผู้ควบคุมข้อมูลอาจต้องรับโทษทางปกครองปรับไม่เกิน 1,000,000 บาท ## ตัวอย่างเอกสาร ### ทะเบียนการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล **ชื่อเอกสาร:** ทะเบียนการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล **รหัสเอกสาร:** DPO-RIGHTS-LOG-004 **หน่วยงานที่รับผิดชอบ:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล / คณะทำงานจัดการสิทธิของเจ้าของข้อมูล **วันที่จัดทำ:** 3 มิถุนายน 2568 **สาระสำคัญ** — เอกสารนี้แสดงบันทึกการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนดภายใน 30 วันนับแต่วันที่ได้รับคำขอ ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 **ตัวอย่างแบบฟอร์มบันทึกการดำเนินการตามคำขอ** | หมายเลขคำขอ | วันที่ได้รับคำขอ | ประเภทคำขอ | วันที่ดำเนินการแล้วเสร็จ | ระยะเวลาดำเนินการ | สถานะ | หมายเหตุ | |---|---|---|---|---|---|---| | REQ20250601-01 | 1 มิ.ย. 2568 | ขอเข้าถึงข้อมูล | 25 มิ.ย. 2568 | 24 วัน | ดำเนินการเสร็จแล้ว | ภายในระยะเวลาตามกฎหมาย | | REQ20250602-02 | 2 มิ.ย. 2568 | ขอให้ลบข้อมูล | 29 มิ.ย. 2568 | 27 วัน | ดำเนินการเสร็จแล้ว | - | | REQ20250515-03 | 15 พ.ค. 2568 | ขอระงับการใช้ | 13 มิ.ย. 2568 | 29 วัน | ดำเนินการเสร็จแล้ว | มีเอกสารยืนยัน | **หมายเหตุด้านกฎหมาย** — ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคหนึ่ง เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอให้ผู้ควบคุมข้อมูลดำเนินการตามสิทธิภายในสามสิบวันนับแต่วันที่ผู้ควบคุมข้อมูลได้รับคำขอ หากไม่ดำเนินการตามคำขอภายในเวลาที่กำหนดตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม ผู้ควบคุมข้อมูลอาจต้องรับโทษทางปกครองปรับไม่เกิน 1,000,000 บาท **ขั้นตอนการดำเนินการที่ใช้ในองค์กร** - เจ้าหน้าที่ DPO หรือผู้รับคำขอ ลงทะเบียนคำขอภายใน 1 วันทำการ - ตรวจสอบความถูกต้องของคำขอภายใน 3 วัน - ประสานฝ่ายที่เกี่ยวข้องเพื่อจัดการคำขอภายใน 20–25 วัน - ตอบกลับผลคำขอแก่เจ้าของข้อมูลภายในไม่เกิน 30 วัน - บันทึกผลลงในระบบและรายงานต่อผู้มีอำนาจตามโครงสร้างองค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-10.md ============================================================ โนด: แนวปฏิบัติ 5.1.11 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-11.md # 5.1.11 องค์กรบันทึกการปฏิเสธคำขอใช้สิทธิพร้อมเหตุผลใน ROPA และแจ้งเหตุผลไปยังเจ้าของข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ ในกรณีที่องค์กรจะปฏิเสธการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องมีช่องสำหรับบันทึกการปฏิเสธคำขอพร้อมด้วยเหตุผลไว้ในบันทึกรายการกิจกรรมการประมวลผล (ROPA) และต้องมีกระบวนการแจ้งเหตุผลของการปฏิเสธหรือข้อยกเว้นใด ๆ ไปยังเจ้าของข้อมูลส่วนบุคคลที่ขอใช้สิทธิ ## หลักฐาน 1. บันทึกรายการที่มีช่องสำหรับบันทึกการปฏิเสธคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล 2. เอกสารการแจ้งเหตุผลการปฏิเสธคำขอใช้สิทธิไปยังเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสอง วรรคสาม, [มาตรา 31](https://link.pdpalawbase.com/section/31.md) วรรคสาม, [มาตรา 32](https://link.pdpalawbase.com/section/32.md) วรรคสาม, [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 39](https://link.pdpalawbase.com/section/39.md)(7) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างบันทึกรายการกิจกรรมการประมวลผล (ROPA) ส่วนการปฏิเสธคำขอ - **รหัสเอกสาร:** ROPA-DATA-SUBJECT-REQUEST-REJECT-001 - **หน่วยงานที่รับผิดชอบ:** DPO หรือฝ่ายกฎหมาย / ฝ่ายบริหารสิทธิของเจ้าของข้อมูล **รายการที่ 1** - ประเภทคำขอ: ขอให้ลบข้อมูลส่วนบุคคล - วันที่รับคำขอ: 2 มิ.ย. 2568 - เหตุผลที่ปฏิเสธ: ปฏิเสธการร้องขอให้ดำเนินการให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ([มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่ง) - วันที่แจ้งการปฏิเสธ: 6 มิ.ย. 2568 - ช่องทางการแจ้ง: อีเมล - หมายเหตุ: อ้างอิงข้อยกเว้นสิทธิในการลบข้อมูล **รายการที่ 2** - ประเภทคำขอ: ขอให้ระงับการใช้ - วันที่รับคำขอ: 10 พ.ค. 2568 - เหตุผลที่ปฏิเสธ: ปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงนั้นจะกระทบสิทธิและเสรีภาพผู้อื่น ([มาตรา 30](https://link.pdpalawbase.com/section/30.md) วรรคสาม) - วันที่แจ้งการปฏิเสธ: 14 พ.ค. 2568 - ช่องทางการแจ้ง: จดหมายลงทะเบียน - หมายเหตุ: แจ้งตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ___ ### ตัวอย่างแบบฟอร์มแจ้งเหตุผลการปฏิเสธคำขอใช้สิทธิ - **รหัสเอกสาร:** NOTI-DATA-SUBJECT-REFUSE-001 **เรื่อง:** แจ้งผลการพิจารณาคำขอใช้สิทธิภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เรียน [ชื่อเจ้าของข้อมูล] อ้างอิงถึงคำขอใช้สิทธิของท่านที่ยื่นต่อองค์กรเมื่อวันที่ [xx เดือน xxxx] องค์กรได้ดำเนินการตรวจสอบคำขอดังกล่าวแล้ว และขอแจ้งว่าไม่สามารถดำเนินการตามคำขอของท่านได้ โดยมีเหตุผลดังนี้ - ข้อมูลส่วนบุคคลดังกล่าวยังจำเป็นต้องเก็บรักษาไว้เพื่อการปฏิบัติตามหน้าที่ตามกฎหมาย - การลบข้อมูลจะมีผลกระทบต่อการดำเนินการตามสัญญาหรือการให้บริการ - ไม่เข้าเงื่อนไขที่เจ้าของข้อมูลจะใช้สิทธิในการลบข้อมูลได้ตามที่กฎหมายกำหนด หากท่านมีข้อโต้แย้งเกี่ยวกับการพิจารณาดังกล่าว ท่านสามารถยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ขอแสดงความนับถือ [ชื่อ-ตำแหน่งเจ้าหน้าที่] ผู้ควบคุมข้อมูลส่วนบุคคล [ชื่อองค์กร] วันที่: [xx/xx/xxxx] ___ ### ตัวอย่างกระบวนการที่เกี่ยวข้อง 1. **รับคำขอ** — เจ้าหน้าที่บันทึกลงระบบ ROPA 2. **ตรวจสอบเหตุผล** — ตรวจสอบคำขอเทียบกับฐานทางกฎหมายและข้อยกเว้นที่เกี่ยวข้องกับสิทธิของเจ้าของข้อมูล 3. **พิจารณาและเสนออนุมัติ** — DPO หรือผู้บริหารมีอำนาจอนุมัติการปฏิเสธ 4. **แจ้งเจ้าของข้อมูล** — ส่งแบบฟอร์มแจ้งเหตุผลผ่านอีเมล/ไปรษณีย์ 5. **เก็บรักษาหลักฐาน** — เก็บในระบบ ROPA และแนบสำเนาแบบแจ้งเหตุผล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-11.md ============================================================ โนด: แนวปฏิบัติ 5.1.12 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-12.md # 5.1.12 เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมกันเป็นประจำเพื่อหารือปัญหาและจัดลำดับความสำคัญหรือยกระดับกรณีที่ล่าช้า ## สิ่งที่ต้องทำ จัดให้มีการประชุมหรือหารือเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำ เพื่อหารือเกี่ยวกับปัญหาต่าง ๆ และตรวจสอบ จัดลำดับความสำคัญ หรือยกระดับกรณีที่ล่าช้าใด ๆ ## หลักฐาน 1. รายงานการประชุม หรือรายงานประเมินประสิทธิภาพของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมคณะทำงานด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล - **รหัสเอกสาร:** DSR-MTG-REPORT-001 - **หน่วยงานที่รับผิดชอบ:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และคณะทำงานฝ่ายจัดการสิทธิของเจ้าของข้อมูลส่วนบุคคล - **ความถี่ในการประชุม:** ทุกเดือน (เช่น วันอังคารสุดท้ายของทุกเดือน) หรือกรณีมีคำขอเกิน 5 เรื่องในเดือนนั้น **รายงานการประชุมคณะทำงานด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล** - วันที่ประชุม: 30 พฤษภาคม 2568 - เวลา: 13:30 – 15:00 น. - สถานที่: ห้องประชุม 3A อาคารบริหารกลาง **ผู้เข้าร่วม** - นายอภิชัย รัตนดิลก (DPO) - นางสาวณัฐกานต์ วิศาลจิต (ฝ่ายกฎหมาย) - นายพงศกร วัฒนกิจ (ฝ่ายเทคโนโลยีสารสนเทศ — ระบบบันทึกการเข้าถึง) - น.ส. วริศรา ชูสกุล (ผู้ดูแลระบบรับคำขอ) **วาระการประชุม** 1. สรุปคำขอใช้สิทธิที่ได้รับในรอบเดือนพฤษภาคม 2568 - คำขอเข้าถึงข้อมูล: 7 ราย - คำขอแก้ไขข้อมูล: 2 ราย - คำขอลบข้อมูล: 3 ราย - คำขอระงับการใช้: 1 ราย 2. กรณีที่ล่าช้าหรือมีปัญหาในการดำเนินการ - คำขอของคุณ A (ล่าช้า 5 วัน เนื่องจากการรอเอกสารยืนยันตัวตน) - คำขอของคุณ C (ประเด็นเกี่ยวกับคำขอลบข้อมูลที่ต้องเก็บไว้ตาม พ.ร.บ. การบัญชี) 3. การจัดลำดับความสำคัญ - คำขอของคุณ G (ข้อมูลสุขภาพ) ได้รับจัดลำดับสูงสุด - คำขอทั่วไปภายใน 15 วันทำการ 4. แนวทางการปรับปรุง - เสนอปรับปรุงฟอร์มคำขอใหม่ให้แจ้งเตือนอัตโนมัติเมื่อถึงครึ่งระยะเวลาการดำเนินการ - เสนอจัดทำหน้าจอสรุปรายงานสถานะคำขอแบบทันที **มติที่ประชุม** - อนุมัติให้อัปเดตระบบติดตามสถานะคำขอ - แต่งตั้ง น.ส. วริศรา เป็นผู้ประสานงานเร่งรัดคำขอที่เกิน 20 วัน บันทึกโดย: นายอภิชัย รัตนดิลก (DPO) — วันที่บันทึก: 31 พฤษภาคม 2568 **แนบไฟล์หรือหลักฐานเพิ่มเติม (หากจำเป็น)** - ภาพถ่ายหน้าจอสรุปสถานะคำขอ - แบบฟอร์มติดตามการประเมินระดับการให้บริการ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-12.md ============================================================ โนด: แนวปฏิบัติ 5.1.13 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-13.md # 5.1.13 หากองค์กรต้องการขยายเวลาการจัดการคำขอใช้สิทธิ องค์กรจะรายงานความก้าวหน้าและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ ## สิ่งที่ต้องทำ หากองค์กรต้องการขยายเวลาการจัดการคำขอใช้สิทธิตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องมีการรายงานความก้าวหน้าในการจัดการคำขอใช้สิทธิ และแจ้งไปยังเจ้าของข้อมูลส่วนบุคคลให้ทราบ ## หลักฐาน 1. บันทึกรายงานความก้าวหน้าในการขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างบันทึกรายงานความก้าวหน้าในการดำเนินการตามคำขอใช้สิทธิ - **รหัสเอกสาร:** DSR-PROG-01 - **หน่วยงานที่รับผิดชอบ:** กลุ่มงานคุ้มครองข้อมูลส่วนบุคคล - **วันที่จัดทำ/ปรับปรุงล่าสุด:** [กรอกวันที่] **1. ข้อมูลเบื้องต้นของคำขอ** - เลขที่คำขอ: DSR-REQ-2025-0452 - ชื่อเจ้าของข้อมูล: นายสมชาย ใจดี - ประเภทคำขอใช้สิทธิ: ขอเข้าถึงข้อมูลส่วนบุคคล - วันที่ได้รับคำขอ: 5 มิถุนายน 2568 - วันที่ครบกำหนดดำเนินการ: 5 กรกฎาคม 2568 **2. รายงานความก้าวหน้า** 1. 6 มิ.ย. 2568 — รับคำขอและบันทึกเข้าสู่ระบบ (ผู้รับผิดชอบ: เจ้าหน้าที่รับคำขอ) 2. 10 มิ.ย. 2568 — ตรวจสอบความครบถ้วนของข้อมูล (ผู้รับผิดชอบ: DPO) 3. 15 มิ.ย. 2568 — ประชุมร่วมฝ่ายเทคโนโลยีสารสนเทศและฝ่ายทรัพยากรบุคคล (ผู้รับผิดชอบ: ทีมจัดการสิทธิของเจ้าของข้อมูล) — หมายเหตุ: ต้องใช้เวลาเพิ่มเพื่อรวบรวมข้อมูลจาก 2 ระบบ 4. 20 มิ.ย. 2568 — ส่งอีเมลแจ้งเจ้าของข้อมูลเรื่องขยายเวลา (ผู้รับผิดชอบ: DPO) — หมายเหตุ: แนบแบบฟอร์มแจ้งเหตุผลและกำหนดใหม่แล้ว **3. สำเนาการแจ้งเจ้าของข้อมูล** **เรื่อง:** แจ้งการขยายเวลาการดำเนินการคำขอใช้สิทธิ เรียน คุณสมชาย ใจดี ตามที่ท่านได้ยื่นคำขอใช้สิทธิในการเข้าถึงข้อมูลส่วนบุคคลเมื่อวันที่ 5 มิถุนายน 2568 ทางเราขอแจ้งให้ทราบว่า คำขอของท่านจำเป็นต้องใช้ระยะเวลาเพิ่มเติมในการดำเนินการ เนื่องจากต้องรวบรวมข้อมูลจากหลายระบบ ซึ่งต้องได้รับการตรวจสอบอย่างรอบคอบ องค์กรจะดำเนินการให้เสร็จสิ้นภายในวันที่ 25 กรกฎาคม 2568 และจะรายงานผลให้ท่านทราบโดยเร็ว ขออภัยในความไม่สะดวก และขอบพระคุณที่ให้ความร่วมมือ ขอแสดงความนับถือ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล [ชื่อองค์กร] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-13.md ============================================================ โนด: แนวปฏิบัติ 5.1.14 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-14.md # 5.1.14 เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมหารือกันเป็นประจำเพื่อปรึกษาปัญหาเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ จัดให้มีการประชุมเพื่อหารือเกี่ยวกับประเด็นในเรื่องการจัดการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำในฝ่ายงาน เพื่อปรึกษาปัญหาเกี่ยวกับประเด็นต่าง ๆ ในการจัดการต่อคำขอใช้สิทธิ ## หลักฐาน 1. รายงานการประชุม ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมเจ้าหน้าที่ผู้รับผิดชอบคำขอใช้สิทธิ - ครั้งที่: 3/2568 - วัน/เวลา: วันจันทร์ที่ 3 มิถุนายน 2568 เวลา 10:00 – 11:30 น. - สถานที่: ห้องประชุม PDPA ชั้น 5 อาคารบริหารกลาง **ผู้เข้าร่วมประชุม** - นางสาวสุภาวดี พิทักษ์ธรรม – DPO (ประธาน) - นายณัฐวุฒิ สายตรง – เจ้าหน้าที่ฝ่ายกฎหมาย - นางสาวศิริพร ใจมั่น – เจ้าหน้าที่ระบบสารสนเทศ - นายธีรวัฒน์ ธรรมรงค์ – เจ้าหน้าที่รับคำขอ - น.ส.ปิยะฉัตร จันทร – ผู้ช่วยเลขานุการ **ระเบียบวาระการประชุม** - **วาระที่ 1 แจ้งเพื่อทราบ** — ประธานแจ้งผลการดำเนินงานเดือนที่ผ่านมา มีคำขอใช้สิทธิ 9 รายการ ร้อยละ 88 ของคำขอสามารถดำเนินการได้ภายในระดับการให้บริการ 30 วัน - **วาระที่ 2 พิจารณาประเด็นปัญหาในการจัดการคำขอ** — ปัญหาการประสานข้อมูลจากระบบเก่าทำให้เกิดความล่าช้า ข้อเสนอ: พิจารณาจัดอบรมให้ฝ่ายเทคโนโลยีสารสนเทศเพิ่มเติมเกี่ยวกับโครงสร้างข้อมูลส่วนบุคคล - **วาระที่ 3 การจัดลำดับความสำคัญของคำขอ** — เห็นควรใช้ระดับความเร่งด่วนบนหน้าจอสรุปสถานะเพื่อกำกับลำดับการดำเนินการ - **วาระที่ 4 ข้อเสนอเพิ่มเติม** — มีข้อเสนอให้เพิ่มช่องบันทึกเหตุผลกรณีล่าช้าในระบบคำขออัตโนมัติ และพิจารณาจัดประชุมเชิงปฏิบัติการร่วมระหว่างฝ่ายจัดการสิทธิ ฝ่ายกฎหมาย และฝ่ายเทคโนโลยีสารสนเทศ ทุกไตรมาส **มติที่ประชุม** - ให้ฝ่ายเทคโนโลยีสารสนเทศปรับปรุงระบบหน้าจอสรุปสถานะภายใน 15 วัน - ให้เลขานุการจัดทำแบบฟอร์มแจ้งเหตุผลการล่าช้าและแจกจ่ายเจ้าหน้าที่ นัดประชุมครั้งต่อไปในวันที่ 8 กรกฎาคม 2568 ผู้บันทึกการประชุม: น.ส.ปิยะฉัตร จันทร (ผู้ช่วยเลขานุการ) — วันที่ 3 มิถุนายน 2568 ผู้รับรองการประชุม: นางสาวสุภาวดี พิทักษ์ธรรม (DPO) — วันที่ 3 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-14.md ============================================================ โนด: แนวปฏิบัติ 5.1.15 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-15.md # 5.1.15 องค์กรจัดทำรายงานการประเมินประสิทธิภาพของการจัดการคำขอเพื่อให้แน่ใจว่าคำขอได้รับการจัดการอย่างเหมาะสม ## สิ่งที่ต้องทำ จัดทำรายงานการประเมินประสิทธิภาพของการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ผ่านการประชุมหารือร่วมกันในฝ่ายงาน เพื่อให้แน่ใจว่าคำขอได้รับการจัดการอย่างเหมาะสม ## หลักฐาน 1. รายงานการประเมินประสิทธิภาพการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล 2. รายงานการประชุมหารือร่วมกันในฝ่ายงาน ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประเมินประสิทธิภาพการจัดการคำขอใช้สิทธิ - **ชื่อหน่วยงาน:** กลุ่มงานบริหารจัดการคำขอใช้สิทธิข้อมูลส่วนบุคคล - **รอบระยะเวลาการประเมิน:** ไตรมาสที่ 2 ปีงบประมาณ 2568 **วัตถุประสงค์ของการประเมิน** — เพื่อประเมินความมีประสิทธิภาพของกระบวนการรับเรื่อง ดำเนินการ และตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงเพื่อระบุจุดที่ควรปรับปรุงพัฒนาการให้บริการและการดำเนินงาน **สรุปผลการประเมิน** - จำนวนคำขอใช้สิทธิที่ได้รับ: ช่วงระยะเวลาที่ประเมินมีคำขอใช้สิทธิรวมทั้งสิ้น 52 รายการ โดยมีประเภทคำขอหลัก ได้แก่ การขอเข้าถึงข้อมูล การคัดค้านการใช้ข้อมูล การขอลบข้อมูล และการขอระงับการใช้ข้อมูล - ระยะเวลาการดำเนินการต่อคำขอ: ร้อยละ 94 ของคำขอได้รับการดำเนินการและแจ้งผลภายในระยะเวลาไม่เกิน 30 วัน และร้อยละ 6 มีการขยายเวลาออกไปตามความเหมาะสม พร้อมมีการแจ้งเหตุผลและความคืบหน้าให้เจ้าของข้อมูลทราบ - การปฏิเสธคำขอ: มีจำนวน 3 รายการที่มีการปฏิเสธการดำเนินการตามคำขอ โดยมีการบันทึกเหตุผลในระบบ และมีการแจ้งให้เจ้าของข้อมูลทราบเป็นลายลักษณ์อักษร - ระบบการติดตามและรายงานผล: มีการใช้ระบบเทคโนโลยีสารสนเทศติดตามสถานะของคำขอแต่ละรายการ พร้อมทั้งมีแบบฟอร์มติดตามการประเมินระดับการให้บริการเป็นรายเดือน - ความพร้อมของบุคลากรและทรัพยากร: เจ้าหน้าที่ผู้รับผิดชอบได้รับการฝึกอบรมประจำไตรมาส และมีการประชุมทบทวนแนวทางการดำเนินงานทุกเดือนเพื่อเพิ่มประสิทธิภาพการตอบสนองคำขอ **ข้อเสนอแนะ** - ควรพัฒนาระบบแจ้งเตือนอัตโนมัติให้เจ้าของข้อมูลรับทราบสถานะคำขอแบบทันที - เสนอให้จัดอบรมการเขียนเหตุผลในการปฏิเสธคำขออย่างเป็นระบบและเหมาะสมมากขึ้น ผู้จัดทำรายงาน: นายวสันต์ จิตสาธารณะ (เจ้าหน้าที่บริหารข้อมูลส่วนบุคคล) — วันที่จัดทำรายงาน: 3 มิถุนายน 2568 ___ ### ตัวอย่างรายงานการประชุมหารือร่วมกันในฝ่ายงาน - วันที่ประชุม: 27 พฤษภาคม 2568 - สถานที่: ห้องประชุมกลุ่มงานบริหารจัดการข้อมูล - ผู้เข้าร่วมประชุม: เจ้าหน้าที่ฝ่ายบริหารคำขอใช้สิทธิ จำนวน 6 คน - ประธานการประชุม: นางสาวสุธิดา วิริยะกิจ (ผู้จัดการฝ่าย) **วาระการประชุม** - ทบทวนผลการดำเนินงานคำขอใช้สิทธิในช่วง 3 เดือนที่ผ่านมา - ปัญหาและอุปสรรคที่พบในการดำเนินการ - การประเมินระดับการให้บริการและข้อเสนอในการปรับปรุงกระบวนการ - แนวทางการสื่อสารกับเจ้าของข้อมูลเมื่อเกิดความล่าช้าหรือมีเหตุจำเป็นในการปฏิเสธคำขอ - การจัดเตรียมรายงานประสิทธิภาพการดำเนินงาน **มติที่ประชุม** - ให้จัดทำรายงานประเมินประสิทธิภาพประจำไตรมาสและนำเสนอต่อผู้บริหาร - ให้พัฒนาเทมเพลตจดหมายแจ้งเหตุผลการปฏิเสธคำขอให้มีความชัดเจนมากขึ้น - ให้มีการประชุมทบทวนผลการดำเนินงานทุกเดือน ผู้บันทึกการประชุม: นางสาวณัฐวดี ขจรกิจ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-15.md ============================================================ โนด: แนวปฏิบัติ 5.1.16 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-16.md # 5.1.16 องค์กรรายงานต่อผู้บริหารระดับสูง เพื่อทบทวนและมีคำสั่งให้ดำเนินการจัดการคำขอใช้สิทธิ ตามความเหมาะสม ## สิ่งที่ต้องทำ มีการประชุมระหว่างหน่วยงานกับผู้บริหารอาวุโส เพื่อรายงานและทบทวนคำสั่งเกี่ยวกับการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นประจำ ## หลักฐาน 1. รายงานการประชุม ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานการประชุมระหว่างหน่วยงานและผู้บริหารอาวุโส (การรายงานและทบทวนคำสั่งเกี่ยวกับการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล) - **ชื่อองค์กร:** ______________________ - **ชื่อหน่วยงาน:** กลุ่มงานบริหารจัดการคำขอใช้สิทธิข้อมูลส่วนบุคคล - **ผู้บริหารระดับสูงที่เข้าร่วม:** นายปริญญา เกษมศักดิ์ รองผู้อำนวยการสำนักงาน - **วันที่ประชุม:** 24 พฤษภาคม 2568 - **สถานที่:** ห้องประชุม 1 อาคารบริหารกลาง **หัวข้อการประชุม** - รายงานภาพรวมการดำเนินงานเกี่ยวกับคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ไตรมาสที่ 2 ปีงบประมาณ 2568 - ปัญหาและอุปสรรคในการดำเนินการ รวมถึงการขอขยายระยะเวลาและกรณีปฏิเสธคำขอ - การประเมินประสิทธิภาพของระบบติดตามคำขอและระยะเวลาให้บริการตามข้อตกลง - การเสนอแนะนโยบายและคำสั่งจากผู้บริหารระดับสูงเพื่อสนับสนุนการดำเนินงาน **สรุปสาระสำคัญ** - จำนวนคำขอใช้สิทธิในช่วงไตรมาสนี้รวม 52 รายการ มีการจัดการแล้วเสร็จภายในระยะเวลา 49 รายการ (94%) - มี 3 รายการที่มีเหตุจำเป็นในการปฏิเสธคำขอ โดยแจ้งเหตุผลตามขั้นตอน และบันทึกไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล - ระบบติดตามคำขอเริ่มมีการใช้งานแดชบอร์ดแบบรายวัน และมีแบบฟอร์มติดตามระยะเวลาให้บริการรายเดือน - มีข้อเสนอให้เพิ่มบุคลากรสำรองในกรณีคำขอเพิ่มขึ้นอย่างฉับพลัน และพัฒนาระบบแจ้งเตือนอัตโนมัติไปยังเจ้าของข้อมูล **มติ/ข้อสั่งการจากผู้บริหาร** - ให้มีการปรับปรุงระบบแดชบอร์ดให้แสดงผลการดำเนินงานแบบทันเวลา และสามารถสรุปภาพรวมประจำสัปดาห์ - อนุมัติแผนจัดอบรมเพิ่มเติมสำหรับเจ้าหน้าที่ฝ่ายรับคำขอ - ให้จัดส่งรายงานผลการดำเนินการต่อคำขอเป็นรายเดือนต่อผู้บริหาร พร้อมแนบกรณีศึกษาที่มีความซับซ้อนหรือเกิดข้อโต้แย้ง - ให้กลุ่มงานดำเนินการตามข้อเสนอเรื่องระบบแจ้งเตือนอัตโนมัติ และรายงานความคืบหน้าภายใน 30 วัน ___ **ผู้บันทึกการประชุม** นางสาวสุภาวดี คำแก้ว เจ้าหน้าที่วิเคราะห์นโยบายและแผน **วันที่จัดทำรายงาน:** 3 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-16.md ============================================================ โนด: แนวปฏิบัติ 5.1.17 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-17.md # 5.1.17 องค์กรวิเคราะห์แนวโน้มจากคำขอใช้สิทธิต่าง ๆ ที่มี เพื่อหาสาเหตุของคำขอ และจะได้นำไปปรับปรุงประสิทธิภาพหรือลดปริมาณคำขอต่อไปในอนาคต ## สิ่งที่ต้องทำ มีการวิเคราะห์ข้อมูลหรือผลสรุปจากการดำเนินการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล และนำผลการวิเคราะห์ไปปรับปรุงแนวทางการดำเนินงาน ## หลักฐาน 1. รายงานผลการวิเคราะห์จากคำขอใช้สิทธิต่าง ๆ ถึงสาเหตุและปัญหา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ตัวอย่างรายงานผลการวิเคราะห์แนวโน้มคำขอใช้สิทธิข้อมูลส่วนบุคคล (การวิเคราะห์แนวโน้มและนำผลไปปรับปรุงประสิทธิภาพการจัดการคำขอ) - **ชื่อองค์กร:** บริษัท เอ็กเซลเลนท์ จำกัด - **ฝ่ายงาน:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล - **วันที่จัดทำรายงาน:** 15 มิถุนายน 2568 - **ระยะเวลาการวิเคราะห์:** ไตรมาสที่ 2 ปีงบประมาณ 2568 **1. บทนำ** รายงานฉบับนี้จัดทำขึ้นเพื่อวิเคราะห์แนวโน้มของคำขอใช้สิทธิข้อมูลส่วนบุคคลที่ได้รับในไตรมาสที่ 2 ปีงบประมาณ 2568 โดยมีวัตถุประสงค์เพื่อระบุสาเหตุและปัญหาที่เกิดขึ้น พร้อมเสนอแนวทางปรับปรุงประสิทธิภาพในการจัดการคำขอและลดปริมาณคำขอในอนาคต **2. ข้อมูลและแนวโน้มคำขอใช้สิทธิ** จำนวนคำขอใช้สิทธิทั้งหมด 52 รายการ ประเภทคำขอที่พบมากที่สุด ได้แก่ - ขอเข้าถึงข้อมูลส่วนบุคคล 40% - ขอแก้ไขข้อมูล 25% - ขอให้ลบข้อมูล 15% - ขอระงับการใช้ข้อมูล 10% - อื่น ๆ (รวมถึงการโอนย้ายข้อมูล) 10% **3. สาเหตุของคำขอใช้สิทธิที่พบ** - เจ้าของข้อมูลต้องการตรวจสอบความถูกต้องของข้อมูลที่เก็บไว้ - ความไม่ชัดเจนในการแจ้งวัตถุประสงค์การเก็บข้อมูลในขั้นตอนแรก - ความกังวลเกี่ยวกับความปลอดภัยและการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต - ปัญหาการสื่อสารที่ไม่ชัดเจนระหว่างเจ้าของข้อมูลกับองค์กร **4. ปัญหาและอุปสรรคที่พบ** - ระยะเวลาการดำเนินงานบางคำขอล่าช้าเนื่องจากข้อมูลไม่ครบถ้วน - ขาดระบบแจ้งเตือนอัตโนมัติสำหรับติดตามสถานะคำขอ - บุคลากรมีความรู้ไม่เท่ากันในการจัดการคำขอที่ซับซ้อน **5. แนวทางปรับปรุง** - พัฒนาระบบแจ้งเตือนและติดตามคำขอแบบอัตโนมัติ เพื่อเพิ่มความรวดเร็วและความถูกต้อง - จัดทำคำชี้แจงที่ชัดเจนเกี่ยวกับวัตถุประสงค์การเก็บและใช้ข้อมูลแก่เจ้าของข้อมูลตั้งแต่ขั้นตอนแรก - เพิ่มการฝึกอบรมพนักงานให้มีความรู้และความเข้าใจเชิงลึกในประเด็นกฎหมายและเทคนิคการจัดการคำขอ - จัดทำคู่มือคำถามที่พบบ่อย เพื่อให้เจ้าของข้อมูลเข้าใจขั้นตอนและลดคำขอซ้ำซ้อน ___ **ผู้จัดทำรายงาน** นางสาวสุภาวดี คำแก้ว เจ้าหน้าที่วิเคราะห์ข้อมูลคุ้มครองข้อมูลส่วนบุคคล **วันที่จัดทำรายงาน:** 15 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-17.md ============================================================ โนด: แนวปฏิบัติ 5.1.18 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-18.md # 5.1.18 องค์กรมีขั้นตอนและกระบวนการตามความเหมาะสม ได้สัดส่วนและสมเหตุสมผลในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่เก็บไว้ และหากจำเป็น ก็สามารถทำการแก้ไขข้อมูลนั้นได้ ## สิ่งที่ต้องทำ มีขั้นตอนและระบบเทคโนโลยีสารสนเทศในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ## หลักฐาน 1. เอกสารแสดงขั้นตอนและกระบวนการในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม 2. ระบบเทคโนโลยีสารสนเทศในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) ซึ่งมีความเชื่อมโยงกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ขั้นตอนและกระบวนการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล **วัตถุประสงค์:** เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวมมีความถูกต้อง ครบถ้วน และทันสมัย สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 36](https://link.pdpalawbase.com/section/36.md) 1. **การกำหนดความถี่ในการตรวจสอบข้อมูล** — กำหนดให้มีการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีคำขอแก้ไขข้อมูลจากเจ้าของข้อมูล 2. **การใช้ระบบเทคโนโลยีสารสนเทศในการตรวจสอบ** — ใช้ระบบฐานข้อมูลกลางที่มีฟังก์ชันตรวจสอบความสมบูรณ์ของข้อมูล เช่น การแจ้งเตือนข้อมูลผิดพลาด ข้อมูลซ้ำซ้อน หรือข้อมูลที่มีค่าไม่สมเหตุสมผล 3. **การแจ้งเตือนและการสอบทานข้อมูลที่ผิดปกติ** — ระบบจะแจ้งเตือนเจ้าหน้าที่ผู้รับผิดชอบเมื่อพบข้อมูลที่ผิดปกติ เช่น วันที่เกิดเหตุการณ์ไม่สมเหตุสมผล หรือข้อมูลที่ขัดแย้งกับฐานข้อมูลอื่น 4. **การดำเนินการตรวจสอบโดยเจ้าหน้าที่** — เจ้าหน้าที่จะตรวจสอบข้อมูลตามการแจ้งเตือน พร้อมประสานกับเจ้าของข้อมูลเพื่อตรวจสอบและยืนยันความถูกต้อง 5. **การแก้ไขข้อมูล** — หากพบว่าข้อมูลไม่ถูกต้อง เจ้าหน้าที่จะดำเนินการแก้ไขตามคำร้องของเจ้าของข้อมูล โดยต้องบันทึกข้อมูลการแก้ไข พร้อมเหตุผลและวันที่แก้ไขไว้ในระบบ 6. **การเก็บบันทึกประวัติการตรวจสอบและแก้ไขข้อมูล** — ระบบจะเก็บประวัติการตรวจสอบและแก้ไขข้อมูลเพื่อใช้เป็นหลักฐาน และตรวจสอบย้อนหลังได้ 7. **การประเมินและปรับปรุงกระบวนการ** — หน่วยงานควบคุมคุณภาพข้อมูลจะจัดทำรายงานประเมินประสิทธิภาพของกระบวนการตรวจสอบข้อมูล และปรับปรุงระบบอย่างสม่ำเสมอ ### ระบบเทคโนโลยีสารสนเทศเพื่อการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล - **ผู้รับผิดชอบหลัก:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) **โมดูลหลักของระบบ** - **เครื่องมือตรวจสอบข้อมูลอัตโนมัติ** — ตรวจสอบความถูกต้องเชิงรูปแบบ เช่น หมายเลขบัตรประชาชน อีเมล หมายเลขโทรศัพท์ หรือรหัสพนักงาน รวมถึงตรรกะของข้อมูล เช่น วันที่สิ้นสุดต้องมากกว่าวันเริ่มต้น - **โมดูลตรวจสอบข้ามฐานข้อมูล** — ตรวจสอบความสอดคล้องของข้อมูลระหว่างฐานข้อมูลภายใน เช่น ระบบทะเบียนพนักงาน ระบบลูกค้า เพื่อระบุข้อมูลที่ไม่ตรงกันหรือซ้ำซ้อน พร้อมแสดงรายงานข้อมูลที่ขัดแย้งให้หน่วยงานที่เกี่ยวข้องตรวจสอบได้ทันที - **พอร์ทัลรับคำขอตรวจสอบ** — ให้เจ้าของข้อมูลส่งคำขอตรวจสอบและแก้ไขข้อมูลได้ด้วยตนเองผ่านช่องทางออนไลน์ ระบบจะบันทึกคำขอและแจ้งเตือนอัตโนมัติไปยังหน่วยงานผู้ดูแลข้อมูล เพื่อดำเนินการภายในไม่เกิน 15 วันทำการ - **ขั้นตอนการแก้ไขข้อมูล** — มีขั้นตอนอนุมัติสำหรับการแก้ไขข้อมูล โดยต้องผ่านการตรวจสอบจากผู้ควบคุมข้อมูล และบันทึกประวัติการแก้ไขทุกครั้งเพื่อให้ตรวจสอบย้อนหลังได้ - **แดชบอร์ดรายงานและตรวจสอบ** — ติดตามสถานะการตรวจสอบความถูกต้อง เช่น จำนวนข้อมูลที่ผ่าน/ไม่ผ่านการตรวจสอบ ระยะเวลาการตอบสนองต่อคำขอ และประเภทข้อมูลที่มีการแก้ไขบ่อยที่สุด โดยรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรเป็นรายเดือน **มาตรการความมั่นคงปลอดภัยของระบบ** - มีการเข้ารหัสข้อมูลทั้งระหว่างการรับส่งและการจัดเก็บ - กำหนดสิทธิ์การเข้าถึงข้อมูลแยกตามบทบาท เช่น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล และผู้ประมวลผลข้อมูล - บันทึกประวัติการเข้าใช้งาน การตรวจสอบ และการแก้ไขข้อมูลทุกครั้ง - ทดสอบการเจาะระบบอย่างน้อยปีละหนึ่งครั้ง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-18.md ============================================================ โนด: แนวปฏิบัติ 5.1.19 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-19.md # 5.1.19 หากองค์กรมั่นใจว่าข้อมูลถูกต้องแล้ว จะต้องมีขั้นตอนในการอธิบายและแจ้งแก่เจ้าของข้อมูลส่วนบุคคล รวมถึงแจ้งสิทธิในการร้องเรียนตามมาตรา 73 และบันทึกข้อโต้แย้งตามหลักการปฏิบัติที่ดี ## สิ่งที่ต้องทำ มีขั้นตอนในการอธิบายความถูกต้องและแจ้งไปยังเจ้าของข้อมูลส่วนบุคคล หากองค์กรมั่นใจว่าข้อมูลถูกต้องแล้ว ต้องแจ้งสิทธิในการร้องเรียนของบุคคลนั้นตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และควรบันทึกลงในระบบว่าบุคคลนั้นมีข้อโต้แย้งเกี่ยวกับความถูกต้องของข้อมูล ## หลักฐาน 1. เอกสารขั้นตอนในการอธิบายความถูกต้องของข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ขั้นตอนการแจ้งความถูกต้องของข้อมูลส่วนบุคคลและสิทธิในการร้องเรียน **วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงความถูกต้องของข้อมูลที่เก็บไว้ พร้อมแจ้งสิทธิในการร้องเรียนตามกฎหมาย และจัดเก็บบันทึกข้อโต้แย้ง (ถ้ามี) เพื่อปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) 1. **การตรวจสอบและยืนยันความถูกต้องของข้อมูล** — เจ้าหน้าที่ตรวจสอบข้อมูลส่วนบุคคลตามคำร้องขอแก้ไข หรือประจำรอบตรวจสอบข้อมูล 2. **การจัดทำเอกสารชี้แจง** — หากพบว่าข้อมูลถูกต้อง เจ้าหน้าที่จัดทำเอกสารอธิบายสาเหตุและเหตุผลที่ยืนยันความถูกต้องของข้อมูล พร้อมระบุรายละเอียดข้อมูลที่ตรวจสอบ 3. **การแจ้งเจ้าของข้อมูลส่วนบุคคล** — ส่งเอกสารชี้แจงความถูกต้องของข้อมูลให้เจ้าของข้อมูลผ่านช่องทางที่ตกลงกันไว้ เช่น อีเมล จดหมาย หรือระบบออนไลน์ขององค์กร 4. **การแจ้งสิทธิในการร้องเรียน** — แจ้งให้เจ้าของข้อมูลทราบถึงสิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแลข้อมูลส่วนบุคคล ตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยระบุช่องทางและวิธีการร้องเรียนอย่างชัดเจน 5. **การบันทึกข้อโต้แย้ง (ถ้ามี)** — หากเจ้าของข้อมูลมีข้อโต้แย้งเกี่ยวกับความถูกต้องของข้อมูล ให้เจ้าหน้าที่บันทึกข้อโต้แย้งดังกล่าวลงในระบบฐานข้อมูล พร้อมบันทึกวันที่และรายละเอียด เพื่อเป็นหลักฐานและใช้ปรับปรุงข้อมูลต่อไป 6. **การติดตามและประเมินผล** — เจ้าหน้าที่จะติดตามผลการร้องเรียนและข้อโต้แย้งจนกว่าจะได้ข้อยุติ และรายงานผลให้เจ้าของข้อมูลทราบอย่างสม่ำเสมอ ### ตัวอย่างแบบฟอร์มแจ้งความถูกต้องของข้อมูลและสิทธิในการร้องเรียน | รายการข้อมูล | คำชี้แจงความถูกต้อง | | --- | --- | | ชื่อ-นามสกุล | ข้อมูลตรงตามที่เจ้าของข้อมูลให้ไว้ ณ วันที่ตรวจสอบ | | วันเดือนปีเกิด | ถูกต้องและได้รับการยืนยันจากเอกสารที่เกี่ยวข้อง | | ที่อยู่ | ข้อมูลถูกต้องตามหลักฐานที่เจ้าของข้อมูลส่งให้ | **สิทธิในการร้องเรียน** — เจ้าของข้อมูลมีสิทธิร้องเรียนต่อหน่วยงานกำกับดูแลข้อมูลส่วนบุคคลภายใน 30 วันนับจากวันที่ได้รับแจ้ง โดยร้องเรียนผ่านช่องทาง เช่น เว็บไซต์ของหน่วยงาน อีเมล หรือหมายเลขโทรศัพท์ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-19.md ============================================================ โนด: แนวปฏิบัติ 5.1.20 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-20.md # 5.1.20 หากข้อมูลส่วนบุคคลได้รับการเปิดเผยให้กับผู้อื่น องค์กรจะต้องติดต่อแต่ละผู้รับข้อมูลเพื่อแจ้งให้ทราบถึงการแก้ไขข้อมูลนั้น เว้นแต่ว่าจะเป็นไปไม่ได้หรือมีความพยายามที่ไม่สมเหตุสมผล ## สิ่งที่ต้องทำ มีขั้นตอนในการดำเนินการแจ้งต่อผู้รับข้อมูลในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มการแจ้งที่ชัดเจน ## หลักฐาน 1. แบบฟอร์มการแจ้งต่อผู้รับข้อมูล ในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ขั้นตอนการแจ้งผู้รับข้อมูลส่วนบุคคลเมื่อมีการแก้ไขข้อมูลหลังการเปิดเผย **วัตถุประสงค์:** เพื่อให้แน่ใจว่าผู้รับข้อมูลส่วนบุคคลได้รับแจ้งการแก้ไขข้อมูลที่ถูกเปิดเผยไปแล้วอย่างเหมาะสม ยกเว้นกรณีที่ไม่สามารถดำเนินการได้หรือมีความพยายามที่ไม่สมเหตุสมผล 1. **ตรวจสอบรายการผู้รับข้อมูล** — เจ้าหน้าที่รวบรวมรายชื่อและช่องทางการติดต่อของผู้รับข้อมูลส่วนบุคคลที่ได้รับข้อมูลนั้นไปก่อนหน้า 2. **จัดทำเอกสารแจ้งการแก้ไขข้อมูล** — จัดทำแบบฟอร์มแจ้งข้อมูลที่แก้ไข โดยระบุข้อมูลเดิม ข้อมูลใหม่ วันที่แก้ไข และเหตุผลการแก้ไข 3. **ส่งแจ้งให้ผู้รับข้อมูลทราบ** — แจ้งผ่านช่องทางที่เหมาะสม เช่น อีเมล จดหมาย หรือระบบสื่อสารภายในองค์กร พร้อมแนบเอกสารแจ้งการแก้ไข 4. **บันทึกการแจ้ง** — บันทึกข้อมูลการแจ้งไว้ในระบบฐานข้อมูล รวมถึงวันที่แจ้ง วิธีการแจ้ง และชื่อผู้รับข้อมูลที่ได้รับแจ้ง 5. **กรณีไม่สามารถแจ้งได้** — หากมีเหตุผลที่ไม่สามารถแจ้งผู้รับข้อมูลได้ เช่น ขาดช่องทางติดต่อ หรือมีความพยายามที่ไม่สมเหตุสมผล เจ้าหน้าที่ต้องบันทึกเหตุผลประกอบไว้เป็นหลักฐาน ### ตัวอย่างแบบฟอร์มแจ้งการแก้ไขข้อมูลส่วนบุคคลให้ผู้รับข้อมูลทราบ เรียน ผู้รับข้อมูล ด้วยทางองค์กรได้ดำเนินการแก้ไขข้อมูลส่วนบุคคลที่ท่านได้รับจากองค์กรของเรา รายละเอียดข้อมูลที่แก้ไขมีดังนี้ | รายการข้อมูล | ข้อมูลเดิม | ข้อมูลใหม่ | วันที่แก้ไข | เหตุผลในการแก้ไข | | --- | --- | --- | --- | --- | | ชื่อ | สมชาย | สมศักดิ์ | 1 มิถุนายน 2568 | แก้ไขข้อมูลตามคำขอเจ้าของข้อมูล | | ที่อยู่ | 123 หมู่ 5 | 456 หมู่ 6 | 1 มิถุนายน 2568 | ปรับปรุงข้อมูลที่อยู่ใหม่ | กรุณาทราบว่าการแก้ไขข้อมูลนี้มีผลต่อการใช้ข้อมูลส่วนบุคคลตามข้อตกลงที่ได้กำหนดไว้ หากท่านมีข้อสงสัยหรือต้องการสอบถามข้อมูลเพิ่มเติม สามารถติดต่อเจ้าหน้าที่ผู้ดูแลข้อมูลส่วนบุคคลได้ตามช่องทางติดต่อ เช่น อีเมล หรือหมายเลขโทรศัพท์ ___ - **ชื่อผู้รับผิดชอบ:** ______________________ - **ตำแหน่ง:** ______________________ - **ชื่อองค์กร:** ______________________ - **วันที่:** ______________________ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-20.md ============================================================ โนด: แนวปฏิบัติ 5.1.21 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-21.md # 5.1.21 หากถูกร้ององค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไปบ้าง ## สิ่งที่ต้องทำ มีขั้นตอนและการทำบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลใดบ้าง โดยมีแบบฟอร์มการแจ้งที่ชัดเจน ## หลักฐาน 1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ขั้นตอนการแจ้งเจ้าของข้อมูลส่วนบุคคลเมื่อมีการเปิดเผยข้อมูลให้บุคคลที่สาม **วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบว่าข้อมูลของตนได้ถูกเปิดเผยให้บุคคลที่สามรายใดบ้างอย่างชัดเจนและโปร่งใส 1. **ตรวจสอบข้อมูลการเปิดเผย** — เจ้าหน้าที่รวบรวมข้อมูลบุคคลที่สามที่ได้รับข้อมูลส่วนบุคคลของเจ้าของข้อมูลตามคำขอหรือการดำเนินงาน 2. **จัดทำรายงานข้อมูลการเปิดเผย** — รวบรวมรายการข้อมูลที่เปิดเผย รายชื่อบุคคลที่สาม วันที่เปิดเผย และวัตถุประสงค์ของการเปิดเผย 3. **จัดทำเอกสารแจ้งเจ้าของข้อมูล** — จัดทำแบบฟอร์มแจ้งข้อมูลการเปิดเผยที่ชัดเจนและเข้าใจง่าย 4. **ส่งแจ้งให้เจ้าของข้อมูล** — แจ้งผ่านช่องทางที่เจ้าของข้อมูลระบุ เช่น อีเมล จดหมาย หรือระบบออนไลน์ พร้อมแนบเอกสาร 5. **บันทึกการแจ้ง** — บันทึกข้อมูลการแจ้งไว้ในระบบ รวมถึงวันที่ ช่องทางที่แจ้ง และชื่อเจ้าของข้อมูลที่ได้รับแจ้ง ### แบบฟอร์มแจ้งการเปิดเผยข้อมูลส่วนบุคคล เรียน เจ้าของข้อมูลส่วนบุคคลที่เคารพ ทางองค์กรขอแจ้งให้ท่านทราบว่า ข้อมูลส่วนบุคคลของท่านได้ถูกเปิดเผยให้กับบุคคลที่สามตามรายละเอียดดังนี้ | รายชื่อบุคคลที่สาม | ข้อมูลส่วนบุคคลที่เปิดเผย | วันที่เปิดเผย | วัตถุประสงค์ของการเปิดเผย | |---|---|---|---| | บริษัท ABC จำกัด | ชื่อ ที่อยู่ เบอร์โทร | 10 พฤษภาคม 2568 | เพื่อวัตถุประสงค์ในการจัดส่งสินค้า | | บริษัท XYZ จำกัด | ชื่อ อีเมล | 15 พฤษภาคม 2568 | เพื่อวัตถุประสงค์ในการให้บริการลูกค้า | หากท่านมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อเจ้าหน้าที่ผู้ดูแลข้อมูลส่วนบุคคลได้ที่ [ช่องทางติดต่อ] ขอแสดงความนับถือ - [ชื่อผู้รับผิดชอบ] - [ตำแหน่ง] - [ชื่อองค์กร] - [วันที่] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-21.md ============================================================ โนด: แนวปฏิบัติ 5.1.22 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-22.md # 5.1.22 องค์กรจะลบข้อมูลส่วนบุคคลจากระบบสำรองข้อมูล รวมถึงระบบที่ใช้งานอยู่เมื่อจำเป็น และทำการชี้แจงให้บุคคลนั้นทราบอย่างชัดเจนว่าข้อมูลของพวกเขาจะถูกจัดการอย่างไร ## สิ่งที่ต้องทำ มีการดำเนินการแก่เจ้าของข้อมูลส่วนบุคคลที่ขอใช้สิทธิดำเนินการลบข้อมูลส่วนบุคคลออกจากระบบสำรองและระบบใช้งานจริง โดยใช้ระบบเทคโนโลยีสารสนเทศ ## หลักฐาน 1. แบบฟอร์มการขอใช้สิทธิลบข้อมูลส่วนบุคคล 2. แบบฟอร์มและเอกสารสำหรับชี้แจงแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนหรือวิธีการในการลบหรือทำลายข้อมูลส่วนบุคคล 3. ระบบเทคโนโลยีสารสนเทศในการลบข้อมูลส่วนบุคคลที่มีประสิทธิภาพ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 3 โทษทางปกครองในกรณีที่ไม่ปฏิบัติตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### แบบฟอร์มการขอใช้สิทธิลบข้อมูลส่วนบุคคล - **ชื่อ-นามสกุล:** ___________________________ - **เลขบัตรประชาชน/หนังสือเดินทาง:** ___________________________ - **เบอร์ติดต่อ:** ___________________________ - **อีเมล:** ___________________________ - **วันที่ขอใช้สิทธิ:** ___________________________ - **รายละเอียดข้อมูลส่วนบุคคลที่ต้องการลบ:** ___________________________ - **เหตุผลในการขอลบข้อมูล:** ___________________________ ข้าพเจ้ายินยอมให้ตรวจสอบข้อมูลดังกล่าวและดำเนินการลบข้อมูลตามคำขอ - ลงชื่อ ___________________________ (ผู้ขอใช้สิทธิ) - วันที่ ___________________________ ### เอกสารชี้แจงการดำเนินการลบข้อมูลส่วนบุคคล เรียน เจ้าของข้อมูลส่วนบุคคลที่เคารพ ตามคำขอใช้สิทธิลบข้อมูลส่วนบุคคลของท่าน ทางองค์กรขอแจ้งให้ทราบว่า ข้อมูลส่วนบุคคลของท่านจะถูกดำเนินการลบออกจากระบบใช้งานจริงและระบบสำรองข้อมูล การลบข้อมูลจะดำเนินการโดยใช้ระบบเทคโนโลยีสารสนเทศที่มีประสิทธิภาพและได้มาตรฐาน เพื่อให้มั่นใจว่าข้อมูลจะไม่สามารถกู้คืนได้หลังจากถูกลบ การดำเนินการลบข้อมูลนี้อาจใช้เวลาประมาณ [ระบุจำนวนวันทำการ] วันทำการ หากมีข้อสงสัยหรือข้อร้องเรียน กรุณาติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลผ่านช่องทาง [ช่องทางติดต่อ] ขอแสดงความนับถือ - [ชื่อผู้รับผิดชอบ] - [ตำแหน่ง] - [ชื่อองค์กร] - [วันที่] ### ระบบเทคโนโลยีสารสนเทศในการลบข้อมูลส่วนบุคคล - ใช้ซอฟต์แวร์บริหารจัดการข้อมูลที่รองรับการลบข้อมูลแบบถาวรตามมาตรฐานสากล เช่น DoD 5220.22-M หรือ NIST SP 800-88 - ระบบสำรองข้อมูลมีฟังก์ชันการลบข้อมูลแบบครบถ้วน รวมทั้งระบบอัตโนมัติในการจัดเก็บและลบข้อมูลที่หมดอายุหรือได้รับคำขอ - มีระบบบันทึกประวัติการลบข้อมูล เพื่อแสดงหลักฐานว่าข้อมูลส่วนบุคคลได้ถูกลบอย่างสมบูรณ์ในวันและเวลาที่ระบุ - เจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศและฝ่ายคุ้มครองข้อมูลส่วนบุคคลได้รับการอบรมและมีขั้นตอนปฏิบัติในการดำเนินการลบข้อมูลอย่างเคร่งครัด ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-22.md ============================================================ โนด: แนวปฏิบัติ 5.1.23 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-23.md # 5.1.23 หากข้อมูลส่วนบุคคลได้รับการเผยแพร่สู่สาธารณะในรูปแบบออนไลน์ องค์กรจะดำเนินการตามขั้นตอนที่เหมาะสมเพื่อแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นทราบ เพื่อให้ลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น ## สิ่งที่ต้องทำ มีการใช้ระบบเทคโนโลยีสารสนเทศในการแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นทราบ เพื่อให้ลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น ## หลักฐาน 1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น 2. ระบบในการดำเนินการลบลิงก์ที่เชื่อมโยงไปยังข้อมูล หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลนั้น ในกรณีที่ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสาม ## ตัวอย่างเอกสาร ### บันทึกการแจ้งกรณีข้อมูลส่วนบุคคลเผยแพร่สู่สาธารณะ - **ชื่อเจ้าของข้อมูล:** ___________________________ - **วันที่แจ้ง:** ___________________________ - **ช่องทางเผยแพร่ข้อมูล:** ___________________________ - **รายละเอียดข้อมูลที่เผยแพร่:** ___________________________ - **ลิงก์ที่เกี่ยวข้อง:** ___________________________ องค์กรได้ดำเนินการแจ้งผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่เกี่ยวข้อง เพื่อขอให้ดำเนินการลบลิงก์ หยุดการคัดลอก หรือหยุดการทำซ้ำข้อมูลดังกล่าว โดยมีรายละเอียดดังนี้ 1. **วันที่แจ้งผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น:** ___________________________ 2. **ช่องทางการแจ้ง (อีเมล/จดหมาย/ระบบอิเล็กทรอนิกส์):** ___________________________ 3. **ผู้รับแจ้ง:** ___________________________ 4. **สถานะการดำเนินการ:** - ☐ ดำเนินการลบลิงก์เรียบร้อยแล้ว - ☐ อยู่ระหว่างการดำเนินการ - ☐ ไม่สามารถดำเนินการได้ (เหตุผล: ___________________________) - ลงชื่อผู้รายงาน ___________________________ - ตำแหน่ง ___________________________ - วันที่ ___________________________ ### ระบบเทคโนโลยีสารสนเทศในการแจ้งและดำเนินการลบลิงก์/หยุดการทำซ้ำข้อมูล - **ระบบแจ้งเตือนอัตโนมัติ** — ใช้ส่งคำขอลบลิงก์หรือหยุดการคัดลอกไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นผ่านอีเมลหรือแพลตฟอร์มบริหารจัดการข้อมูล - **ระบบติดตามสถานะ** — ติดตามสถานะการแจ้งเตือนและการตอบกลับจากผู้รับแจ้งอย่างเป็นระบบ เพื่อให้สามารถตรวจสอบความคืบหน้าและความสมบูรณ์ของการดำเนินงานได้ - **เครื่องมือป้องกันการทำซ้ำข้อมูล** — เช่น การตั้งค่าการเข้าถึง การป้องกันการดาวน์โหลด หรือการใช้งานลิงก์แบบมีเวลาจำกัด - **เจ้าหน้าที่ผู้รับผิดชอบ** — ติดตามและประสานงานในกรณีที่ผู้ควบคุมข้อมูลรายอื่นไม่ดำเนินการตามคำขอ - **รายงานสรุปการดำเนินงาน** — ระบบสามารถสร้างรายงานสรุปการดำเนินงานและแจ้งเตือนเจ้าหน้าที่เมื่อมีการละเมิดซ้ำ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-23.md ============================================================ โนด: แนวปฏิบัติ 5.1.24 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-24.md # 5.1.24 หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งให้ทราบเกี่ยวกับการลบหรือทำลาย เว้นแต่จะเป็นการเปิดเผยโดยที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมีบทบัญญัติหรือให้อำนาจเปิดเผยได้ ## สิ่งที่ต้องทำ มีการทำบันทึกแจ้งต่อผู้รับแต่ละราย ในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มการแจ้งที่ชัดเจน ## หลักฐาน 1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสาม ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ## ตัวอย่างเอกสาร ### บันทึกการแจ้งผู้รับข้อมูลส่วนบุคคลกรณีลบหรือทำลายข้อมูล **ข้อมูลเจ้าของข้อมูลส่วนบุคคล** - **ชื่อเจ้าของข้อมูล:** ___________________________ - **วันที่ได้รับคำขอใช้สิทธิ:** ___________________________ - **ประเภทข้อมูลส่วนบุคคล:** ___________________________ - **ช่องทางเผยแพร่ข้อมูล:** ___________________________ **ข้อมูลผู้รับข้อมูลส่วนบุคคล** - **ชื่อผู้รับข้อมูล:** ___________________________ - **หน่วยงาน/บริษัท:** ___________________________ - **วันที่ได้รับข้อมูล:** ___________________________ - **ลักษณะการเปิดเผยข้อมูล:** ___________________________ **รายละเอียดการแจ้งลบ/ทำลายข้อมูล** องค์กรได้ดำเนินการแจ้งผู้รับข้อมูลส่วนบุคคลรายนี้ เพื่อแจ้งให้ทราบเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคลที่ได้รับเปิดเผยแล้ว โดยมีรายละเอียดดังนี้ 1. **วันที่แจ้ง:** ___________________________ 2. **วิธีการแจ้ง (เช่น อีเมล จดหมาย โทรศัพท์):** ___________________________ 3. **เนื้อหาการแจ้ง:** - แจ้งให้ลบข้อมูลส่วนบุคคลตามคำขอใช้สิทธิ - แจ้งให้ทำลายหรือไม่ใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไป - แจ้งข้อกำหนดตามกฎหมายที่เกี่ยวข้อง 4. **การตอบกลับจากผู้รับข้อมูล:** - ☐ ยืนยันลบ/ทำลายข้อมูลแล้ว - ☐ อยู่ระหว่างดำเนินการ - ☐ ไม่สามารถดำเนินการได้ (ระบุเหตุผล): ___________________________ - ลงชื่อผู้รายงาน ___________________________ - ตำแหน่ง ___________________________ - วันที่ ___________________________ **เอกสารแนบท้าย** - แบบฟอร์มแจ้งลบ/ทำลายข้อมูลส่วนบุคคล - แนวทางและกระบวนการติดต่อแจ้งผู้รับข้อมูลส่วนบุคคล - รายการตรวจสอบการดำเนินการตามคำขอใช้สิทธิ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-24.md ============================================================ โนด: แนวปฏิบัติ 5.1.25 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-25.md # 5.1.25 หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นใดที่ได้รับข้อมูลส่วนบุคคลไป ## สิ่งที่ต้องทำ มีบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายใดได้รับข้อมูลส่วนบุคคลบ้าง โดยมีแบบฟอร์มที่ชัดเจน ## หลักฐาน 1. เอกสารหรือหลักฐานแสดงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงรายชื่อของบุคคลที่สาม หรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่เปิดเผยข้อมูลส่วนบุคคลไป ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### บันทึกแจ้งเจ้าของข้อมูลส่วนบุคคลกรณีเปิดเผยข้อมูลให้บุคคลที่สามหรือผู้ควบคุมข้อมูลรายอื่น **ข้อมูลเจ้าของข้อมูลส่วนบุคคล** - **ชื่อเจ้าของข้อมูล:** ___________________________ - **เลขที่คำขอใช้สิทธิ:** ___________________________ - **วันที่ร้องขอข้อมูล:** ___________________________ **รายละเอียดข้อมูลส่วนบุคคลที่เปิดเผย** - **ประเภทข้อมูลส่วนบุคคล:** ___________________________ - **วันที่เปิดเผยข้อมูล:** ___________________________ | ลำดับที่ | ชื่อบุคคลที่สาม/ผู้ควบคุมข้อมูลรายอื่น | หน่วยงาน/บริษัท | วันที่เปิดเผยข้อมูล | หมายเหตุ (ถ้ามี) | |---|---|---|---|---| | 1 | | | | | | 2 | | | | | | 3 | | | | | **ข้อความแจ้งเจ้าของข้อมูล** เรียน คุณ ___________________________ ตามที่ท่านได้ร้องขอข้อมูลเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลของท่าน ทางองค์กรขอแจ้งให้ทราบว่า ข้อมูลส่วนบุคคลของท่านได้ถูกเปิดเผยต่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ดังรายละเอียดตามตารางข้างต้น หากท่านมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อ ___________________________ (ชื่อเจ้าหน้าที่) โทรศัพท์ ___________________________ หรืออีเมล ___________________________ ขอแสดงความนับถือ - (ชื่อผู้แจ้ง) - ตำแหน่ง ___________________________ - วันที่ ___________________________ ลงชื่อเจ้าของข้อมูล (เพื่อยืนยันการรับแจ้ง) - ลงชื่อ ___________________________ - วันที่ ___________________________ **เอกสารแนบท้าย** - แบบฟอร์มแจ้งรายชื่อผู้รับข้อมูลส่วนบุคคล - รายงานการดำเนินการตามคำขอ **หมายเหตุ** - เอกสารนี้เป็นไปตามข้อกำหนดการบริหารจัดการข้อมูลส่วนบุคคลขององค์กร - กฎหมายไม่ได้กำหนดเฉพาะเจาะจง แต่เป็นการปฏิบัติเพื่อความโปร่งใสและสร้างความเชื่อมั่นกับเจ้าของข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-25.md ============================================================ โนด: แนวปฏิบัติ 5.1.26 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-26.md # 5.1.26 องค์กรให้ความสำคัญเป็นพิเศษกับคำขอให้ลบซึ่งเกี่ยวเนื่องกับความยินยอมของผู้เยาว์ โดยเฉพาะอย่างยิ่งเมื่อเป็นการประมวลผลข้อมูลส่วนบุคคลใด ๆ บนอินเทอร์เน็ต ## สิ่งที่ต้องทำ ในกรณีที่ผู้ขอลบข้อมูลส่วนบุคคลเป็นผู้เยาว์ และมีการใช้ความยินยอมเป็นฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ องค์กรต้องขอความยินยอมจากผู้ปกครองของผู้เยาว์ โดยจัดให้มีแบบฟอร์มการขอความยินยอมที่ชัดเจน ## หลักฐาน 1. แบบฟอร์มการให้ความยินยอมจากผู้ปกครองในกรณีผู้ขอลบข้อมูลส่วนบุคคลเป็นผู้เยาว์ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### แบบฟอร์มรับความยินยอมจากผู้ปกครองสำหรับการลบข้อมูลส่วนบุคคลของผู้เยาว์ **ข้อมูลผู้เยาว์** - ชื่อ-นามสกุล: ______________________________________ - วันเดือนปีเกิด: ____________________________________ - เลขบัตรประชาชน/เลขประจำตัวผู้เยาว์ (ถ้ามี): ____________________________ **ข้อมูลผู้ปกครอง** - ชื่อ-นามสกุล: ______________________________________ - ความสัมพันธ์กับผู้เยาว์: ____________________________ - หมายเลขโทรศัพท์: _________________________________ - อีเมล: ___________________________________________ **รายละเอียดคำขอลบข้อมูลส่วนบุคคล** - วันที่ยื่นคำขอ: ____________________________________ - รายละเอียดข้อมูลส่วนบุคคลที่ต้องการให้ลบ: ______________________________ ### ข้อความขอความยินยอม ข้าพเจ้าในฐานะผู้ปกครองของ - ชื่อ-นามสกุลผู้เยาว์: ______________________________________ ขอให้ความยินยอมในการดำเนินการลบข้อมูลส่วนบุคคลของผู้เยาว์ตามคำขอข้างต้น และรับทราบว่าการลบข้อมูลส่วนบุคคลของผู้เยาว์อาจถูกลบออกจากฐานข้อมูลขององค์กรทั้งในระบบหลักและระบบสำรอง ข้าพเจ้ายืนยันว่าได้ให้ความยินยอมโดยเสรี โดยไม่มีการบังคับ หรือชักจูง และเข้าใจผลกระทบของการลบข้อมูลดังกล่าว - ลงชื่อผู้ปกครอง: ________________________________ - วันที่: __________________________________________ ### คำชี้แจงเพิ่มเติม องค์กรจะดำเนินการลบข้อมูลส่วนบุคคลของผู้เยาว์เมื่อได้รับความยินยอมจากผู้ปกครองแล้วเท่านั้น หากมีข้อสงสัยเพิ่มเติม กรุณาติดต่อเจ้าหน้าที่ที่รับผิดชอบ โทรศัพท์ ______________________ หรืออีเมล ______________________ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-26.md ============================================================ โนด: แนวปฏิบัติ 5.1.27 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-27.md # 5.1.27 องค์กรสามารถระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลในลักษณะที่เหมาะสมกับประเภทของการประมวลผลและระบบที่เกี่ยวข้อง เช่น การย้ายข้อมูลไปยังระบบอื่นชั่วคราวหรือลบออกจากเว็บไซต์ ## สิ่งที่ต้องทำ มีขั้นตอนในการขอใช้สิทธิในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล โดยอาจใช้ระบบเทคโนโลยีสารสนเทศในการดำเนินการ ## หลักฐาน 1. แบบฟอร์มการขอใช้สิทธิระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล 2. ระบบเทคโนโลยีสารสนเทศในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลที่มีประสิทธิภาพ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 34](https://link.pdpalawbase.com/section/34.md) โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### แบบฟอร์มการขอใช้สิทธิระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล **ข้อมูลเจ้าของข้อมูลส่วนบุคคล** - ชื่อ-นามสกุล: ______________________________________ - หมายเลขโทรศัพท์: _________________________________ - อีเมล: ___________________________________________ - เลขบัตรประชาชน/หมายเลขประจำตัวอื่น (ถ้ามี): ____________________________ **ประเภทคำขอ (โปรดเลือก)** - ☐ ขอระงับการประมวลผลข้อมูลส่วนบุคคล - ☐ ขอจำกัดการประมวลผลข้อมูลส่วนบุคคล **รายละเอียดคำขอ** (โปรดระบุเหตุผลและข้อมูลที่ต้องการระงับหรือจำกัดการประมวลผล) _________________________________________________________ - วันที่ยื่นคำขอ: _________________________________ **ข้อความรับรอง** ข้าพเจ้ายืนยันว่าข้อมูลข้างต้นเป็นความจริง และขอใช้สิทธิระงับ/จำกัดการประมวลผลข้อมูลส่วนบุคคลตามคำขอข้างต้น โดยเข้าใจสิทธิและผลกระทบจากการระงับหรือจำกัดนี้ - ลงชื่อเจ้าของข้อมูล: ________________________________ - วันที่: _________________________________ ### ระบบเทคโนโลยีสารสนเทศในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคล - องค์กรมีระบบบริหารจัดการข้อมูลส่วนบุคคลที่สามารถระบุและทำเครื่องหมายข้อมูลส่วนบุคคลที่ต้องการระงับหรือจำกัดการประมวลผลได้ทันที โดยไม่มีผลกระทบต่อข้อมูลอื่น - ระบบสามารถจัดเก็บสถานะคำขอและติดตามความคืบหน้าในการระงับหรือจำกัดการประมวลผลข้อมูลได้อย่างมีประสิทธิภาพ - ในกรณีการระงับการประมวลผล ระบบสามารถทำให้ข้อมูลนั้นไม่แสดงผลในระบบใช้งาน หรือย้ายข้อมูลไปยังพื้นที่จัดเก็บแยกต่างหากอย่างปลอดภัย - กรณีการจำกัดการประมวลผล ระบบจะจำกัดการใช้งานข้อมูลในบางฟังก์ชันตามคำขอ เช่น ไม่อนุญาตให้นำข้อมูลไปใช้ในกิจกรรมทางการตลาด หรือการวิเคราะห์เพิ่มเติม - มีระบบแจ้งเตือนเจ้าหน้าที่เมื่อคำขอครบกำหนดหรือจำเป็นต้องทบทวนสถานะการระงับ/จำกัด ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-27.md ============================================================ โนด: แนวปฏิบัติ 5.1.28 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-28.md # 5.1.28 หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ มีขั้นตอนในการดำเนินการแจ้งต่อผู้รับแต่ละราย ในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น โดยมีแบบฟอร์มบันทึกการแจ้งที่ชัดเจน ## หลักฐาน 1. บันทึกการแจ้งต่อผู้รับแต่ละรายเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล ในกรณีที่ข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### แบบฟอร์มบันทึกการแจ้งต่อผู้รับข้อมูลส่วนบุคคลเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคคล - ชื่อผู้รับข้อมูล: ______________________________________ - หน่วยงาน/องค์กร: ____________________________________ - ช่องทางติดต่อ (โทรศัพท์/อีเมล): _________________________ - วันที่ได้รับข้อมูลส่วนบุคคล: _____________________________ - วันที่แจ้งการระงับใช้ข้อมูล: _____________________________ **รายละเอียดข้อมูลส่วนบุคคลที่ได้รับเปิดเผย** _____________________________________________________ **เหตุผลในการระงับใช้ข้อมูลส่วนบุคคล** _____________________________________________________ **คำชี้แจงเพิ่มเติม (ถ้ามี)** _____________________________________________________ **ผู้แจ้งข้อมูล (เจ้าหน้าที่ผู้รับผิดชอบ)** - ชื่อ-นามสกุล: ______________________________________ - ตำแหน่ง: __________________________________________ - ลงชื่อ: ____________________________________________ - วันที่: _____________________________________________ ### ขั้นตอนการดำเนินการแจ้งการระงับใช้ข้อมูลส่วนบุคคลต่อผู้รับข้อมูล - เมื่อองค์กรได้รับคำขอใช้สิทธิในการระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลที่เคยเปิดเผยต่อบุคคลที่สาม - เจ้าหน้าที่รับผิดชอบจะตรวจสอบรายชื่อผู้รับข้อมูลทั้งหมดที่ได้รับข้อมูลส่วนบุคคลนั้น - จัดทำแบบฟอร์มบันทึกการแจ้งเพื่อส่งต่อไปยังผู้รับข้อมูลแต่ละราย โดยระบุรายละเอียดข้อมูลที่ได้รับ วันที่แจ้ง และเหตุผลของการระงับใช้ข้อมูล - ส่งแบบฟอร์มการแจ้งผ่านช่องทางที่เหมาะสม เช่น อีเมล หนังสือ หรือระบบสารสนเทศภายในองค์กร - บันทึกข้อมูลการแจ้งลงในระบบติดตามคำขอและเก็บรักษาหลักฐานการแจ้งไว้อย่างครบถ้วน - ติดตามผลการดำเนินการจากผู้รับข้อมูลเพื่อยืนยันว่ามีการระงับใช้ข้อมูลตามคำขอเรียบร้อยแล้ว ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-28.md ============================================================ โนด: แนวปฏิบัติ 5.1.29 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-29.md # 5.1.29 หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไปบ้าง ## สิ่งที่ต้องทำ มีบันทึกแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลบ้าง โดยมีแบบฟอร์มที่ชัดเจน ## หลักฐาน 1. บันทึกการแจ้งต่อเจ้าของข้อมูลส่วนบุคคลในกรณีข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### แบบฟอร์มบันทึกการแจ้งเจ้าของข้อมูลส่วนบุคคล **เรื่อง** แจ้งรายชื่อบุคคลที่สามที่ได้รับข้อมูลส่วนบุคคล **ข้อมูลเจ้าของข้อมูลส่วนบุคคล** - ชื่อ-นามสกุล: ______________________________________ - หมายเลขบัตรประชาชน/เลขทะเบียน: ____________________ - ที่อยู่/ช่องทางติดต่อ: _______________________________ - วันที่ได้รับคำขอข้อมูล: _______________________________ - วันที่แจ้งตอบกลับ: __________________________________ **รายละเอียดข้อมูลส่วนบุคคลที่เปิดเผย** _____________________________________________________ **รายชื่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่ได้รับข้อมูลส่วนบุคคล** | ชื่อ | หน่วยงาน/องค์กร | ช่องทางติดต่อ | |------|-----------------|----------------| | ________________ | ________________ | ________________ | | ________________ | ________________ | ________________ | **คำชี้แจงเพิ่มเติม (ถ้ามี)** _____________________________________________________ **ผู้แจ้งข้อมูล** - ชื่อ-นามสกุล: ______________________________________ - ตำแหน่ง: __________________________________________ - ลงชื่อ: ____________________________________________ - วันที่: _____________________________________________ ### ขั้นตอนการดำเนินงาน - เมื่อได้รับคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล องค์กรจะตรวจสอบรายชื่อบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นที่ได้รับข้อมูล - จัดทำบันทึกแจ้งตามแบบฟอร์มที่กำหนด - ส่งแบบฟอร์มแจ้งเจ้าของข้อมูลส่วนบุคคลผ่านช่องทางที่เหมาะสม เช่น อีเมล หรือไปรษณีย์ - บันทึกหลักฐานการแจ้งและเก็บรักษาไว้อย่างครบถ้วนในระบบบริหารจัดการข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-29.md ============================================================ โนด: แนวปฏิบัติ 5.1.30 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-30.md # 5.1.30 เมื่อได้รับการร้องขอ องค์กรจะจัดเตรียมข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ ## สิ่งที่ต้องทำ มีการจัดทำข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ และการส่งหรือโอนข้อมูลส่วนบุคคลมีความปลอดภัยเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด ## หลักฐาน 1. รูปแบบการจัดทำข้อมูลส่วนบุคคลที่สามารถอ่านได้หรือใช้งานโดยทั่วไป ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — ไม่มีกฎหมายกำหนดโทษ ## ตัวอย่างเอกสาร ### แนวทางการดำเนินงาน - องค์กรจะจัดเตรียมข้อมูลส่วนบุคคลตามคำขอของเจ้าของข้อมูลในรูปแบบไฟล์ดิจิทัลที่เปิดอ่านหรือใช้งานได้ง่าย เช่น ไฟล์ CSV, JSON, XML หรือ PDF ที่สามารถเปิดด้วยโปรแกรมทั่วไป - ใช้เครื่องมือหรือระบบเทคโนโลยีสารสนเทศในการแปลงข้อมูลให้อยู่ในรูปแบบที่สอดคล้องกับมาตรฐานเปิด เพื่อให้อ่านและนำไปใช้ได้โดยอัตโนมัติ - การส่งหรือโอนข้อมูลจะใช้ช่องทางที่ปลอดภัย เช่น การเข้ารหัสข้อมูล หรือระบบส่งข้อมูลที่ผ่านการรับรองความปลอดภัยตามมาตรฐานที่กฎหมายหรือองค์กรกำหนด ### แบบฟอร์มตัวอย่าง: รายงานข้อมูลส่วนบุคคลตามคำขอ | หมายเลข | รายการข้อมูล | รายละเอียดข้อมูล | รูปแบบข้อมูล | หมายเหตุ | |---------|--------------|------------------|--------------|----------| | 1 | ชื่อ-นามสกุล | นายสมชาย ใจดี | ข้อความ | | | 2 | วันเกิด | 01/01/2530 | ข้อความ | | | 3 | เบอร์โทรศัพท์ | 081-234-5678 | ข้อความ | | | 4 | ที่อยู่ | 123/45 หมู่บ้าน | ข้อความ | | | 5 | อีเมล | somchai@email.com | ข้อความ | | รายงานข้อมูลจัดเก็บในรูปแบบ CSV เพื่อให้เปิดใช้งานได้ง่ายด้วยโปรแกรมตารางคำนวณหรือระบบอื่น ๆ และมีการเข้ารหัสไฟล์ก่อนส่ง เพื่อความปลอดภัยของข้อมูล ### ตัวอย่างข้อความแจ้งเจ้าของข้อมูล เรียน คุณ ____________________ ตามคำร้องขอข้อมูลส่วนบุคคลของท่าน องค์กรได้จัดเตรียมข้อมูลในรูปแบบไฟล์ CSV ที่สามารถเปิดอ่านได้ด้วยโปรแกรมทั่วไป เช่น โปรแกรมตารางคำนวณ โดยข้อมูลถูกจัดเตรียมให้ครบถ้วนตามคำขอ เพื่อความปลอดภัยของข้อมูล ไฟล์ดังกล่าวถูกเข้ารหัสไว้ และรหัสผ่านจะถูกส่งแยกทางช่องทางอื่น เช่น ข้อความสั้นหรือโทรศัพท์ กรุณาติดต่อกลับหากมีข้อสงสัยเพิ่มเติม ขอแสดงความนับถือ - (ชื่อผู้รับผิดชอบ) ________________________________ - ตำแหน่ง ________________________________ - วันที่ ________________________________ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-30.md ============================================================ โนด: แนวปฏิบัติ 5.1.31 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-31.md # 5.1.31 ในกรณีที่เป็นไปได้และหากบุคคลร้องขอ องค์กรสามารถส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง ## สิ่งที่ต้องทำ จัดให้มีการส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง และการส่งหรือโอนข้อมูลส่วนบุคคลมีความปลอดภัยเป็นไปตามมาตรฐานขั้นต่ำตามที่กฎหมายกำหนด ## หลักฐาน 1. เอกสารหรือหลักฐานแสดงการส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 31](https://link.pdpalawbase.com/section/31.md) — ไม่มีกฎหมายกำหนดโทษ ## ตัวอย่างเอกสาร ### แนวทางการดำเนินงานส่งข้อมูลส่วนบุคคลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ - องค์กรจัดเตรียมระบบหรือวิธีการที่สามารถส่งข้อมูลส่วนบุคคลไปยังองค์กรอื่นโดยตรงผ่านช่องทางอิเล็กทรอนิกส์ เช่น การส่งผ่านช่องทางเชื่อมต่อระบบที่เข้ารหัส การส่งไฟล์ข้อมูลที่เข้ารหัสผ่านอีเมล หรือระบบถ่ายโอนข้อมูลที่มีการยืนยันตัวตน - จัดเตรียมมาตรการควบคุมที่เหมาะสม เช่น การเข้ารหัสข้อมูล การยืนยันตัวตนของผู้รับข้อมูล และการตรวจสอบสิทธิในการรับข้อมูล - ในกรณีที่เจ้าของข้อมูลร้องขอ การส่งข้อมูลต้องดำเนินการโดยเร็วและมีบันทึกที่ชัดเจนเพื่อเป็นหลักฐาน ### ตัวอย่างแบบฟอร์มคำร้องขอส่งข้อมูลไปยังองค์กรอื่น - **ชื่อผู้ร้องขอข้อมูล:** ___________ - **หมายเลขบัตรประชาชน/รหัสพนักงาน:** ___________ - **วันที่ร้องขอ:** ___________ - **องค์กรปลายทางที่ต้องการส่งข้อมูล:** ___________ - **ประเภทข้อมูลที่ต้องการส่ง:** ___________ - **ช่องทางการส่งข้อมูล:** ( ) ช่องทางเชื่อมต่อระบบที่เข้ารหัส ( ) อีเมลเข้ารหัส ( ) อื่น ๆ: ___________ - **ลายมือชื่อผู้ร้องขอ:** ___________ - **วันที่:** ___________ ### ตัวอย่างบันทึกการส่งข้อมูลทางอิเล็กทรอนิกส์ | รายการ | รายละเอียด | |--------|-----------| | วันที่/เวลา | 1 มิถุนายน 2568 เวลา 09.30 น. | | ชื่อผู้ส่งข้อมูล | นางสาวสมหญิง สายทอง | | องค์กรผู้รับข้อมูล | บริษัท ABC จำกัด | | ประเภทข้อมูลที่ส่ง | ข้อมูลลูกค้า | | ช่องทางการส่ง | ช่องทางเชื่อมต่อระบบที่เข้ารหัส | | วิธีการรักษาความปลอดภัย | การเข้ารหัสการรับส่งและการยืนยันสิทธิเข้าถึง | | หมายเหตุ | ส่งข้อมูลตามคำร้องขอ | ### ตัวอย่างข้อความแจ้งเจ้าของข้อมูล เรียน คุณ ___________ ตามคำร้องขอของท่าน องค์กรได้ดำเนินการส่งข้อมูลส่วนบุคคลของท่านไปยังองค์กร ___________ โดยใช้ช่องทางอิเล็กทรอนิกส์ที่มีมาตรการรักษาความปลอดภัยอย่างเคร่งครัด เพื่อให้ข้อมูลของท่านได้รับการจัดการอย่างถูกต้อง กรุณาติดต่อเราหากท่านมีคำถามหรือข้อสงสัยเพิ่มเติม ขอแสดงความนับถือ - **ชื่อผู้รับผิดชอบ:** ___________ - **ตำแหน่ง:** ___________ - **วันที่:** ___________ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-31.md ============================================================ โนด: แนวปฏิบัติ 5.1.32 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-32.md # 5.1.32 องค์กรดำเนินการตรวจสอบเพิ่มเติมสำหรับกลุ่มเปราะบาง เช่น ผู้เยาว์ ผู้พิการ สำหรับการประมวลผลโดยระบบอัตโนมัติและการทำโปรไฟลิ่งอัตโนมัติ ## สิ่งที่ต้องทำ มีนโยบายความเป็นส่วนตัวหรือประกาศความเป็นส่วนตัว โดยอธิบายถึงการปกป้องสิทธิที่เกี่ยวกับข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการตัดสินใจโดยอัตโนมัติและการทำโปรไฟลิ่ง และระบุประเภทของข้อมูลที่จะจัดให้มีการตัดสินใจโดยอัตโนมัติและการทำโปรไฟลิ่งอย่างชัดเจน ## หลักฐาน 1. นโยบายความเป็นส่วนตัวหรือประกาศความเป็นส่วนตัวที่อธิบายการประมวลผลโดยระบบอัตโนมัติ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายความเป็นส่วนตัว (ส่วนที่เกี่ยวกับการตัดสินใจโดยอัตโนมัติและกลุ่มเปราะบาง) องค์กรของเราให้ความสำคัญสูงสุดกับการคุ้มครองข้อมูลส่วนบุคคลของท่าน และยึดมั่นในหลักความโปร่งใส ความปลอดภัย และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างเคร่งครัด **1. วัตถุประสงค์ของนโยบายความเป็นส่วนตัว** - เพื่อชี้แจงถึงแนวทางการเก็บรวบรวม ใช้ เปิดเผย และปกป้องข้อมูลส่วนบุคคลของท่าน - เพื่ออธิบายสิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด - เพื่อแจ้งวิธีการและช่องทางในการใช้สิทธิในการเข้าถึงข้อมูล แก้ไขข้อมูล และอื่น ๆ - เพื่อแจ้งให้ทราบถึงการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและการทำโปรไฟลิ่ง **2. การประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและโปรไฟลิ่ง** — องค์กรมีการใช้ระบบอัตโนมัติและเทคโนโลยีโปรไฟลิ่งเพื่อปรับปรุงการให้บริการให้เหมาะสมและตรงตามความต้องการของผู้ใช้บริการแต่ละราย พัฒนาประสบการณ์ผู้ใช้ให้ดีขึ้นอย่างต่อเนื่อง และวิเคราะห์แนวโน้มและพฤติกรรมการใช้งานเพื่อเพิ่มประสิทธิภาพของระบบ ### การคุ้มครองกลุ่มเปราะบาง องค์กรให้ความสำคัญเป็นพิเศษกับกลุ่มเปราะบาง เช่น - ผู้เยาว์ (อายุต่ำกว่า 18 ปี) - ผู้พิการหรือผู้ที่มีข้อจำกัดทางร่างกายและจิตใจ - ผู้สูงอายุ - กลุ่มที่มีความเปราะบางทางสังคมหรือเศรษฐกิจ - กลุ่มที่อยู่ในสถานการณ์เฉพาะ เช่น ผู้ที่อยู่ในโรงพยาบาล โรงเรียน หรือองค์กรที่ต้องดูแลเป็นพิเศษ โดยดำเนินมาตรการ ดังนี้ - จำกัดประเภทข้อมูลส่วนบุคคลที่ใช้ในการประมวลผลโดยอัตโนมัติและโปรไฟลิ่ง เพื่อไม่ให้กระทบต่อสิทธิและเสรีภาพของกลุ่มเปราะบาง - ให้สิทธิแก่เจ้าของข้อมูลในการขอชี้แจงผลการตัดสินใจจากระบบอัตโนมัติ และมีสิทธิในการขอทบทวนหรือคัดค้าน - ดำเนินการประเมินผลกระทบด้านความเป็นส่วนตัวก่อนเปิดใช้งานระบบดังกล่าวในกลุ่มเปราะบาง - แจ้งข้อมูลให้เจ้าของข้อมูลทราบอย่างชัดเจนก่อนเริ่มประมวลผล ### ประเภทข้อมูลส่วนบุคคลที่ใช้ในการประมวลผลโดยระบบอัตโนมัติและโปรไฟลิ่ง - ข้อมูลทั่วไป เช่น ชื่อ อายุ เพศ สถานภาพทางการศึกษา - ข้อมูลพฤติกรรม เช่น ประวัติการเข้าชมเว็บไซต์ ประวัติการใช้งาน ความชอบ หรือพฤติกรรมออนไลน์ - ข้อมูลสุขภาพหรือข้อมูลพิเศษ (ถ้ามีการประมวลผลโดยได้รับความยินยอมเป็นลายลักษณ์อักษร หรือมีข้อกำหนดตามกฎหมาย) ### สิทธิของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลมีสิทธิขอเข้าถึงข้อมูลส่วนบุคคลของตน ขอให้แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่สมบูรณ์ ขอให้ลบหรือทำลายข้อมูลในกรณีที่ไม่มีความจำเป็นต้องเก็บรักษา ขอให้ระงับหรือจำกัดการประมวลผลข้อมูล คัดค้านการประมวลผลข้อมูลส่วนบุคคลโดยเฉพาะในกรณีการประมวลผลโดยระบบอัตโนมัติ และขอให้โอนย้ายข้อมูลส่วนบุคคลในรูปแบบที่ใช้งานได้โดยทั่วไป โดยติดต่อผ่านอีเมล privacy@example.com หรือฝ่ายคุ้มครองข้อมูลส่วนบุคคลขององค์กร องค์กรจะดำเนินการตามคำขอภายในระยะเวลาที่กฎหมายกำหนด (ไม่เกิน 30 วัน) และจะแจ้งเหตุผลหากไม่สามารถดำเนินการได้ ### การรักษาความปลอดภัยของข้อมูลส่วนบุคคล องค์กรใช้มาตรการรักษาความปลอดภัยที่เหมาะสม เช่น การเข้ารหัสข้อมูล การควบคุมสิทธิ์การเข้าถึงข้อมูล การตรวจสอบและบันทึกการเข้าถึงข้อมูล และการฝึกอบรมพนักงานให้ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-32.md ============================================================ โนด: แนวปฏิบัติ 5.1.33 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-33.md # 5.1.33 องค์กรเก็บข้อมูลเท่าที่จำเป็นและมีนโยบายการเก็บรักษาข้อมูลที่ชัดเจนสำหรับโปรไฟลิ่งที่สร้างขึ้น ## สิ่งที่ต้องทำ มีการแจ้งให้ทราบและกำหนดระยะเวลาการเก็บข้อมูลในประกาศความเป็นส่วนตัวหรือนโยบายความเป็นส่วนตัวอย่างชัดเจนสำหรับโปรไฟลิ่งที่สร้างขึ้น ## หลักฐาน 1. ประกาศความเป็นส่วนตัวที่ให้เจ้าของข้อมูลส่วนบุคคลทราบถึงการประมวลผลโดยระบบอัตโนมัติ และมีการกำหนดระยะเวลาในการเก็บข้อมูลส่วนบุคคลอย่างชัดเจนสำหรับโปรไฟล์ที่สร้างขึ้น 2. นโยบายความเป็นส่วนตัวที่อธิบายถึงวัตถุประสงค์และการประมวลผลโดยระบบอัตโนมัติ รวมถึงกำหนดระยะเวลาในการเก็บข้อมูลส่วนบุคคลอย่างชัดเจนสำหรับโปรไฟล์ที่สร้างขึ้น ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ประกาศความเป็นส่วนตัว/นโยบายความเป็นส่วนตัว (ส่วนที่เกี่ยวกับโปรไฟลิ่งและการเก็บรักษาข้อมูล) **1. ความเป็นมาของการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติและโปรไฟลิ่ง** — องค์กรของเราให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของท่าน โดยเฉพาะข้อมูลที่ถูกนำไปใช้ในระบบอัตโนมัติ เช่น การทำโปรไฟลิ่ง เพื่อปรับปรุงบริการให้เหมาะสมและตรงกับความต้องการของผู้ใช้ การประมวลผลดังกล่าวดำเนินการโดยยึดหลักการเก็บข้อมูลเท่าที่จำเป็น และเพื่อประโยชน์ที่ชัดเจนตามวัตถุประสงค์ที่ได้แจ้งไว้ **2. ประเภทข้อมูลส่วนบุคคลที่เก็บเพื่อโปรไฟลิ่ง** - ข้อมูลพื้นฐาน เช่น อายุ เพศ สถานะทางสังคม - ข้อมูลพฤติกรรม เช่น ประวัติการใช้งาน ความสนใจ หรือผลตอบรับ - ข้อมูลเพิ่มเติมที่จำเป็นสำหรับการวิเคราะห์และปรับปรุงบริการ **3. หลักการเก็บรักษาข้อมูลและระยะเวลาการเก็บข้อมูล** — องค์กรเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็นต่อวัตถุประสงค์ที่ได้ระบุไว้ในนโยบายนี้ และกำหนดระยะเวลาการเก็บข้อมูลอย่างชัดเจน โดยทั่วไปข้อมูลโปรไฟลิ่งจะถูกเก็บไว้ไม่เกินระยะเวลาที่ระบุ (เช่น 1 ปี หรือ 3 ปี) นับจากวันที่ได้รับข้อมูลหรือวันสุดท้ายที่มีการใช้งานข้อมูลนั้น เมื่อครบกำหนดระยะเวลาการเก็บรักษา องค์กรจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้อย่างปลอดภัยและเป็นไปตามมาตรฐานที่กำหนด **4. สิทธิของเจ้าของข้อมูล** — เจ้าของข้อมูลมีสิทธิในการขอเข้าถึง แก้ไข หรือลบข้อมูลส่วนบุคคลของตน รวมถึงสิทธิในการคัดค้านการประมวลผลโดยระบบอัตโนมัติและโปรไฟลิ่ง โดยสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กรเพื่อใช้สิทธิเหล่านี้ได้ **5. การแจ้งให้ทราบเกี่ยวกับการเก็บรักษาข้อมูล** — องค์กรจะแจ้งให้เจ้าของข้อมูลทราบเกี่ยวกับประเภทของข้อมูลที่เก็บ ระยะเวลาในการเก็บรักษา และวิธีการประมวลผลโดยระบบอัตโนมัติผ่านประกาศความเป็นส่วนตัวหรือนโยบายความเป็นส่วนตัวที่เผยแพร่ในเว็บไซต์หรือช่องทางการสื่อสารที่เหมาะสม **6. การรักษาความปลอดภัยของข้อมูล** — องค์กรได้จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลจากการเข้าถึงโดยไม่ได้รับอนุญาต การเปิดเผย การแก้ไข หรือการทำลายที่ไม่เหมาะสม ### ตัวอย่างเอกสารหลักฐาน | รายการ | รายละเอียด | |--------|-----------| | ชื่อเอกสาร | ประกาศความเป็นส่วนตัว/นโยบายความเป็นส่วนตัว (ส่วนโปรไฟลิ่งและการเก็บรักษาข้อมูล) | | เนื้อหา | ระบุประเภทข้อมูลที่เก็บเพื่อโปรไฟลิ่ง ระยะเวลาเก็บรักษาข้อมูลอย่างชัดเจน วิธีการลบข้อมูล และสิทธิของเจ้าของข้อมูล | | ช่องทางเผยแพร่ | เว็บไซต์ขององค์กร แผ่นพับ ช่องทางแจ้งข่าวสารต่าง ๆ | | ระบบสนับสนุน | ระบบจัดการข้อมูลส่วนบุคคลที่สามารถติดตามระยะเวลาเก็บข้อมูล และระบบลบข้อมูลอัตโนมัติเมื่อครบกำหนด | | การอัปเดต | มีการทบทวนนโยบายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีกฎหมายเปลี่ยนแปลง | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-33.md ============================================================ โนด: แนวปฏิบัติ 5.1.34 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-34.md # 5.1.34 หากองค์กรใช้การประมวลผลโดยระบบอัตโนมัติ องค์กรมีกระบวนการที่บันทึกไว้เป็นหลักฐานว่าการตัดสินใจเหล่านี้เกิดขึ้นภายใต้ข้อกำหนดของกฎหมายหรือเงื่อนไขอย่างไร และองค์กรต้องดำเนินการประเมินความเสี่ยงและผลกระทบความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลด้วย (DPIA) ## สิ่งที่ต้องทำ มีบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ และจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ในกรณีที่มีการประมวลผลโดยระบบอัตโนมัติ ## หลักฐาน 1. บันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ 2. เอกสารการดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ในกรณีที่มีการประมวลผลโดยระบบอัตโนมัติ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติและการดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) **1. วัตถุประสงค์** — เพื่อแสดงให้เห็นว่าการตัดสินใจที่เกิดจากการประมวลผลโดยระบบอัตโนมัตินั้นเป็นไปตามข้อกำหนดของกฎหมายและเงื่อนไขที่กำหนด รวมทั้งเพื่อประเมินและจัดการความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นระบบ และมีเอกสารบันทึกไว้เป็นหลักฐาน **2. ขอบเขต** — ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติทั้งหมดที่องค์กรนำมาใช้ในการตัดสินใจหรือการสร้างโปรไฟล์บุคคล รวมถึงกรณีที่มีการประเมินความเสี่ยงโดย DPIA **3. ขั้นตอนปฏิบัติ** การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ บันทึกข้อมูลการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติ โดยระบุข้อมูลสำคัญ เช่น - ประเภทข้อมูลที่ใช้ในการตัดสินใจ - กฎเกณฑ์หรือเงื่อนไขตามกฎหมายที่นำมาใช้ในการตัดสินใจ - วันที่และเวลาที่เกิดการประมวลผลและตัดสินใจ - ผู้รับผิดชอบหรือเจ้าหน้าที่ที่ตรวจสอบผลการตัดสินใจ (ถ้ามี) - บันทึกสถานะการปฏิบัติตามกฎหมายและข้อกำหนดอื่น ๆ ที่เกี่ยวข้อง เช่น การได้รับความยินยอม การแจ้งล่วงหน้า การดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) - ระบุขอบเขตและลักษณะของการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติ - วิเคราะห์ความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูล เช่น ความเป็นส่วนตัว ความถูกต้องของข้อมูล และความปลอดภัยข้อมูล - กำหนดมาตรการและแนวทางจัดการเพื่อลดความเสี่ยงเหล่านั้น - จัดทำรายงาน DPIA ที่มีรายละเอียดชัดเจนและจัดเก็บเป็นหลักฐาน - ทบทวน DPIA อย่างสม่ำเสมอหรือตามความจำเป็นเมื่อมีการเปลี่ยนแปลงระบบหรือวิธีการประมวลผล ### ตัวอย่างแบบฟอร์มบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ | รายการ | รายละเอียด | |--------|-----------| | วันที่และเวลา | ___________ | | ประเภทข้อมูล | ___________ | | เงื่อนไข/กฎเกณฑ์ | ___________ | | ผลลัพธ์การตัดสินใจ | ___________ | | ผู้ตรวจสอบ (ถ้ามี) | ___________ | | หมายเหตุเพิ่มเติม | ___________ | ### ตัวอย่างรายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) - **ชื่อโครงการ/ระบบ:** ระบบตัดสินใจอัตโนมัติ ___________ - **วัตถุประสงค์:** ___________ - **ประเภทข้อมูลที่ประมวลผล:** ___________ - **ความเสี่ยงที่พบ:** เช่น ความผิดพลาดของระบบ การละเมิดข้อมูล - **ผลกระทบที่อาจเกิดขึ้น:** ___________ - **มาตรการควบคุมความเสี่ยง:** เช่น การเข้ารหัสข้อมูล การตรวจสอบโดยมนุษย์ - **ผู้รับผิดชอบดำเนินการ:** ___________ - **วันที่จัดทำ:** ___________ - **การทบทวนครั้งต่อไป:** ___________ ### การจัดเก็บและการเข้าถึงหลักฐาน - เอกสารบันทึกหลักฐานและรายงาน DPIA ต้องถูกจัดเก็บในระบบสารบรรณหรือระบบบริหารจัดการข้อมูลขององค์กร - มีการกำหนดสิทธิ์การเข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้องเท่านั้น - มีการสำรองข้อมูลและเก็บรักษาตามมาตรฐานความปลอดภัยข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-34.md ============================================================ โนด: แนวปฏิบัติ 5.1.35 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-35.md # 5.1.35 ในกรณีที่การตัดสินใจเป็นไปโดยระบบอัตโนมัติ (ไม่มีบุคคลตรวจสอบ) และมีผลทางกฎหมายหรือในทำนองเดียวกันอย่างมีนัยสำคัญต่อบุคคล องค์กรจัดให้มีกระบวนการที่บันทึกไว้เพื่อช่วยให้บุคคลสามารถร้องขอให้มีการตรวจสอบและทบทวนโดยมนุษย์ได้และบุคคลสามารถคัดค้านการตัดสินใจโดยระบบอัตโนมัติ ## สิ่งที่ต้องทำ มีบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ และแบบฟอร์มในการคัดค้านการประมวลผลโดยอัตโนมัติ ## หลักฐาน 1. บันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ 2. แบบฟอร์มในการคัดค้านการประมวลผลโดยอัตโนมัติ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การจัดการการตัดสินใจโดยระบบอัตโนมัติที่ไม่มีการตรวจสอบโดยบุคคล และการให้สิทธิคัดค้านและร้องขอทบทวน **1. วัตถุประสงค์** — เพื่อรับประกันสิทธิของเจ้าของข้อมูลในการร้องขอให้มีการตรวจสอบและทบทวนการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติอย่างเต็มที่ และให้สิทธิในการคัดค้านการตัดสินใจโดยระบบอัตโนมัติ ซึ่งเป็นไปตามหลักการความเป็นธรรมและความโปร่งใสในการประมวลผลข้อมูลส่วนบุคคล **2. ขอบเขต** — ครอบคลุมทุกกรณีที่องค์กรใช้การตัดสินใจโดยระบบอัตโนมัติแบบไม่มีบุคคลตรวจสอบ และมีผลทางกฎหมายหรือมีผลสำคัญในทำนองเดียวกันต่อเจ้าของข้อมูล **3. ขั้นตอนปฏิบัติ** การบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ จัดเก็บบันทึกข้อมูลสำคัญของแต่ละกรณี เช่น - วันที่และเวลาที่ระบบดำเนินการตัดสินใจ - รายละเอียดข้อมูลที่ใช้ในการประมวลผล - ผลการตัดสินใจของระบบ - การระบุว่าไม่มีบุคคลตรวจสอบการตัดสินใจนี้ - ช่องทางและวิธีการแจ้งเจ้าของข้อมูลถึงผลการตัดสินใจและสิทธิที่เกี่ยวข้อง - จัดเก็บบันทึกนี้ในระบบสารสนเทศที่ปลอดภัยและสามารถเข้าถึงได้โดยผู้ที่มีหน้าที่รับผิดชอบ กระบวนการให้เจ้าของข้อมูลร้องขอทบทวนโดยมนุษย์ - เจ้าของข้อมูลสามารถส่งคำร้องขอทบทวนการตัดสินใจโดยระบบอัตโนมัติได้ผ่านช่องทางที่กำหนด เช่น แบบฟอร์มออนไลน์ อีเมล หรือจดหมาย - เจ้าหน้าที่หรือผู้มีอำนาจจะทำการตรวจสอบการตัดสินใจและข้อมูลที่เกี่ยวข้องโดยมนุษย์ - แจ้งผลการทบทวนให้เจ้าของข้อมูลทราบภายในระยะเวลาที่เหมาะสม - บันทึกหลักฐานการร้องขอและผลการทบทวนไว้ในระบบ สิทธิในการคัดค้านการประมวลผลโดยระบบอัตโนมัติ จัดทำแบบฟอร์มสำหรับเจ้าของข้อมูลใช้ยื่นคำคัดค้านการประมวลผลโดยระบบอัตโนมัติ เมื่อได้รับคำคัดค้าน องค์กรต้องพิจารณาและแจ้งผลการดำเนินการให้เจ้าของข้อมูลทราบ พร้อมจัดเก็บแบบฟอร์มคำคัดค้านและผลการพิจารณาเป็นหลักฐาน ### ตัวอย่างแบบฟอร์มบันทึกหลักฐานการประมวลผลโดยระบบอัตโนมัติ | รายการ | รายละเอียด | |--------|-----------| | วันที่และเวลา | ___________ | | ประเภทข้อมูลที่ใช้ | ___________ | | ผลการตัดสินใจของระบบ | ___________ | | การมีบุคคลตรวจสอบ | ไม่มีบุคคลตรวจสอบ | | การแจ้งเจ้าของข้อมูล | ___________ | | หมายเหตุ | ___________ | ### ตัวอย่างแบบฟอร์มคำคัดค้านการประมวลผลโดยระบบอัตโนมัติ **ข้อมูลเจ้าของข้อมูลส่วนบุคคล** - **ชื่อ-นามสกุล:** ___________ - **เลขบัตรประชาชน/หมายเลขผู้ใช้:** ___________ - **เบอร์ติดต่อ:** ___________ - **อีเมล:** ___________ **รายละเอียดการคัดค้าน** - ข้าพเจ้าขอคัดค้านการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติในเรื่อง: ___________ - เหตุผลของการคัดค้าน: ___________ - คำร้องขอทบทวนการตัดสินใจโดยมนุษย์: ( ) ขอ ( ) ไม่ขอ - **ลงชื่อเจ้าของข้อมูล:** ___________ - **วันที่:** ___________ ### การจัดเก็บเอกสาร - เอกสารบันทึกและแบบฟอร์มคำคัดค้านจะถูกจัดเก็บในระบบสารบรรณหรือระบบจัดการข้อมูลขององค์กร - มีการจำกัดสิทธิ์เข้าถึงข้อมูลเหล่านี้เฉพาะเจ้าหน้าที่ที่รับผิดชอบ - มีการสำรองข้อมูลและรักษาความปลอดภัยตามมาตรฐานที่เหมาะสม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-35.md ============================================================ โนด: แนวปฏิบัติ 5.1.36 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-36.md # 5.1.36 องค์กรดำเนินการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติเป็นประจำ เพื่อให้แน่ใจว่าระบบทำงานตามที่ตั้งใจไว้ และองค์กรจะนำข้อมูลนี้กลับเข้าสู่กระบวนการออกแบบ ## สิ่งที่ต้องทำ มีการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติเป็นประจำ เพื่อให้มั่นใจว่าระบบอัตโนมัติที่องค์กรใช้งานมีความถูกต้องในการตัดสินใจ และไม่มีอคติที่ส่งผลกระทบต่อเจ้าของข้อมูลหรือผู้ได้รับผลกระทบ พร้อมทั้งนำข้อมูลที่ได้จากการตรวจสอบกลับไปปรับปรุงระบบอย่างต่อเนื่อง การตรวจสอบครอบคลุมระบบอัตโนมัติทุกประเภทที่ใช้ในกระบวนการตัดสินใจและประมวลผลข้อมูลส่วนบุคคล รวมถึงระบบจัดทำโปรไฟล์ที่อาจส่งผลต่อเจ้าของข้อมูล โดยกำหนดความถี่การตรวจสอบ ตัวชี้วัดความถูกต้อง และวิธีการตรวจสอบอคติ แล้วนำผลที่ได้เสนอต่อผู้บริหารและทีมพัฒนาระบบเพื่อวางแผนปรับปรุงต่อไป ## หลักฐาน 1. เอกสารการดำเนินการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### รายงานการตรวจสอบระบบอัตโนมัติ | รายการ | รายละเอียด | |--------|-----------| | ชื่อระบบ | ระบบประมวลผลคำขอสินเชื่ออัตโนมัติ | | วันที่ตรวจสอบ | 1 เมษายน 2568 | | ผู้ตรวจสอบ | ทีมวิทยาการข้อมูล / ฝ่ายคุ้มครองข้อมูล | | ตัวชี้วัดความถูกต้อง | อัตราความถูกต้อง 92% / ผลบวกลวง 5% / ผลลบลวง 3% | | การวิเคราะห์อคติ | พบอคติเล็กน้อยในกลุ่มอายุ 18-25 ปี โดยระบบมีแนวโน้มปฏิเสธคำขอมากกว่ากลุ่มอื่น | | ข้อเสนอแนะ | ปรับอัลกอริทึมการประเมินเครดิตเพื่อลดอคติกลุ่มเยาวชน | | การดำเนินการปรับปรุง | เริ่มพัฒนาแบบจำลองใหม่ตั้งแต่ 15 เมษายน 2568 | | หมายเหตุ | ระบบจะได้รับการตรวจสอบซ้ำในไตรมาสถัดไป | ### ขั้นตอนการดำเนินการตรวจสอบ 1. **การวางแผนและจัดทำรายการตรวจสอบ** — กำหนดความถี่การตรวจสอบ เช่น รายไตรมาส รายปี ระบุขอบเขตของระบบและโมดูลที่ต้องตรวจสอบ กำหนดตัวชี้วัดความถูกต้องและวิธีการตรวจสอบอคติ เช่น การวิเคราะห์ผลลัพธ์ตามกลุ่มประชากร (เพศ อายุ และเชื้อชาติ) 2. **การเก็บข้อมูลและทดสอบระบบ** — ดึงข้อมูลจากระบบอัตโนมัติในช่วงเวลาที่กำหนด ประเมินผลการตัดสินใจตามตัวชี้วัด วิเคราะห์หาจุดที่มีอคติ และจัดทำรายงานผลการตรวจสอบ 3. **การรายงานและแผนการปรับปรุง** — นำเสนอผลการตรวจสอบต่อผู้บริหารและทีมพัฒนาระบบ วางแผนปรับปรุงแก้ไขระบบหากพบอคติหรือความผิดพลาด อัปเดตนโยบายและเอกสารที่เกี่ยวข้อง และฝึกอบรมทีมงานเกี่ยวกับแนวทางป้องกันอคติ ### บันทึกการประชุมและแผนการปรับปรุง | วันที่ | รายละเอียดการประชุม | ผู้เข้าร่วม | มติและแผนปฏิบัติ | |--------|---------------------|-----------|------------------| | 5 เมษายน 2568 | รายงานผลตรวจสอบและอคติ | ฝ่ายเทคนิค, ฝ่ายคุ้มครองข้อมูล | ยืนยันปรับปรุงแบบจำลองและเพิ่มมาตรการตรวจสอบประจำเดือน | **เอกสารประกอบอื่น ๆ:** - แบบฟอร์มตรวจสอบระบบอัตโนมัติ - ผลการประเมิน DPIA ที่เกี่ยวข้องกับระบบอัตโนมัติ - รายงานการฝึกอบรมทีมงานเกี่ยวกับการจัดการอคติ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-36.md ============================================================ โนด: แนวปฏิบัติ 5.1.37 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-37.md # 5.1.37 ข้อมูลการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือช่องทางการติดต่ออื่น ๆ จะต้องเปิดเผยแก่สาธารณะ หากบุคคลต้องการยื่นข้อร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของตน ## สิ่งที่ต้องทำ มีการแจ้งรายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต่อสาธารณะ เพื่อให้เจ้าของข้อมูลและผู้เกี่ยวข้องสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กรได้อย่างสะดวกและโปร่งใส ในกรณีต้องการยื่นคำร้องเรียน ขอคำชี้แจง หรือสอบถามเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของตน ข้อมูลการติดต่อของ DPO ควรเผยแพร่ต่อสาธารณะผ่านช่องทางหลักขององค์กร เช่น เว็บไซต์หลัก เอกสารนโยบายความเป็นส่วนตัว หรือหน้า "ติดต่อเรา" เพื่อให้ประชาชนทั่วไปเข้าถึงข้อมูลได้โดยง่าย ## หลักฐาน 1. เอกสารหรือหลักฐานแสดงการแจ้งรายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้า ไม่มีกฎหมายกำหนดโทษโดยตรง เว้นแต่ในทางปฏิบัติ หากองค์กรหรือหน่วยงานถูกร้องเรียน หน่วยงานผู้กำกับดูแล (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เรียกให้ผู้ที่ถูกร้องเรียนมาชี้แจง ให้ข้อมูล หรือส่งเอกสารหลักฐานใด ๆ แล้วผู้ถูกร้องเรียนไม่ยอมดำเนินการ ไม่ปฏิบัติตาม หรือไม่อำนวยความสะดวก โทษทางปกครอง: นำโทษปรับทางปกครองมาใช้บังคับ กำหนดโทษปรับทางปกครองไม่เกิน 5 แสนบาท ## ตัวอย่างเอกสาร ### รายละเอียดข้อมูลการติดต่อ DPO ที่เปิดเผย | รายการ | รายละเอียด | |--------|-----------| | ชื่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล | นายสมชาย ใจดี | | ตำแหน่ง | เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) | | อีเมล | dpo@example.com | | โทรศัพท์ | 02-123-4567 | | ที่อยู่สำนักงาน | อาคารเอ ชั้น 5 บริษัทตัวอย่าง จำกัด 123 ถนนสุขสวัสดิ์ เขตบางรัก กรุงเทพฯ 10500 | | ช่องทางเพิ่มเติม | แบบฟอร์มร้องเรียนออนไลน์ https://example.com/dpo-complaint | ### วิธีการเผยแพร่ข้อมูลการติดต่อ DPO - ประกาศในหน้าเว็บไซต์หลักขององค์กรในเมนู "นโยบายความเป็นส่วนตัว" และหน้า "ติดต่อเรา" - ระบุในเอกสารนโยบายความเป็นส่วนตัวที่เผยแพร่สู่สาธารณะ - รวมในเอกสารคู่มือหรือประกาศที่ใช้ภายในองค์กรและให้บริการลูกค้า - แจ้งผ่านช่องทางสื่อสารออนไลน์ขององค์กร เช่น เฟซบุ๊ก หรือไลน์ทางการ (ถ้ามี) ### ตัวอย่างข้อความแจ้งในเว็บไซต์ > เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) > > หากท่านมีข้อสงสัย หรือประสงค์จะยื่นคำร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของท่าน สามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลของเราได้ที่ > > - อีเมล: dpo@example.com > - โทรศัพท์: 02-123-4567 > - ที่อยู่: อาคารเอ ชั้น 5 บริษัทตัวอย่าง จำกัด 123 ถนนสุขสวัสดิ์ เขตบางรัก กรุงเทพฯ 10500 > - หรือกรอกแบบฟอร์มร้องเรียนออนไลน์ได้ที่ https://example.com/dpo-complaint ### หลักฐานประกอบ - ภาพหน้าจอเว็บไซต์ที่แสดงข้อมูลการติดต่อ DPO - สำเนาเอกสารนโยบายความเป็นส่วนตัวที่ระบุข้อมูลการติดต่อ DPO - สำเนาเอกสารประกาศภายในองค์กรที่แจ้งข้อมูลการติดต่อ DPO - บันทึกการประชุมที่มีมติอนุมัติการเปิดเผยข้อมูลการติดต่อ DPO ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-37.md ============================================================ โนด: แนวปฏิบัติ 5.1.38 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-38.md # 5.1.38 องค์กรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ## สิ่งที่ต้องทำ มีรายละเอียดแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร พร้อมแนะนำขั้นตอนในการร้องเรียนอย่างชัดเจน ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6) ไม่มีกฎหมายกำหนดโทษโดยตรง เว้นแต่ในทางปฏิบัติ หากองค์กรหรือหน่วยงานถูกร้องเรียน หน่วยงานผู้กำกับดูแล (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เรียกให้ผู้ที่ถูกร้องเรียนมาชี้แจง ให้ข้อมูล หรือส่งเอกสารหลักฐานใด ๆ แล้วผู้ถูกร้องเรียนไม่ยอมดำเนินการ ไม่ปฏิบัติตาม หรือไม่อำนวยความสะดวก โทษทางปกครอง: กำหนดโทษปรับทางปกครองไม่เกิน 5 แสนบาท ## ตัวอย่างเอกสาร ### ตัวอย่างประกาศการคุ้มครองข้อมูลส่วนบุคคล: การแจ้งสิทธิในการร้องเรียน **1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล** องค์กรของเราตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลของท่าน และมุ่งมั่นในการดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงการรับรองสิทธิของเจ้าของข้อมูลส่วนบุคคลทุกประการ **2. สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือกรรมการผู้เชี่ยวชาญ** เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการร้องเรียนหากเชื่อว่าการประมวลผลข้อมูลส่วนบุคคลของตนไม่เป็นไปตามข้อกำหนดของกฎหมาย หรือไม่ได้รับการคุ้มครองตามสิทธิที่กฎหมายให้ไว้ โดยสามารถดำเนินการได้ ดังนี้ - **ติดต่อร้องเรียนโดยตรงกับองค์กร** — ติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กรเพื่อแจ้งปัญหา ขอคำชี้แจง หรือยื่นคำร้องเรียน ทางอีเมล dpo@example.com หรือโทรศัพท์ 02-123-4567 - **ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — หากไม่พอใจหรือไม่ได้รับการตอบสนองอย่างเหมาะสมจากองค์กร สามารถยื่นคำร้องเรียนได้โดยตรง ทางเว็บไซต์ https://www.pdpc.go.th อีเมล complaint@pdpc.go.th โทรศัพท์ 02-123-4567 หรือที่อยู่ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เลขที่ 1 ถนนนนทรี แขวงช่องนนทรี เขตยานนาวา กรุงเทพมหานคร 10120 - **การดำเนินการหลังยื่นคำร้องเรียน** — สำนักงานจะตรวจสอบข้อร้องเรียนและดำเนินการตามกฎหมายอย่างเป็นธรรมและโปร่งใส หากพบว่ามีการละเมิดกฎหมาย องค์กรอาจถูกสั่งให้แก้ไข ปรับปรุง หรือถูกลงโทษตามกฎหมาย **3. ข้อแนะนำสำคัญ** - กรุณาเก็บหลักฐานหรือข้อมูลที่เกี่ยวข้องเพื่อใช้ประกอบคำร้องเรียน - ระบุรายละเอียดให้ครบถ้วน เช่น ลักษณะการละเมิด สิทธิที่ได้รับผลกระทบ และข้อมูลการติดต่อของท่าน ### เอกสารประกอบหลักฐาน - ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เผยแพร่ในเว็บไซต์ขององค์กร - ตัวอย่างข้อความแจ้งสิทธิในการร้องเรียนในเอกสารนโยบายความเป็นส่วนตัว - ภาพหน้าจอเว็บไซต์ที่แสดงข้อความแจ้งสิทธิในการร้องเรียน - เอกสารประชาสัมพันธ์หรือประกาศภายในองค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-38.md ============================================================ โนด: แนวปฏิบัติ 5.1.39 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/5-1-39.md # 5.1.39 องค์กรมีกระบวนการในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหาให้กับผู้บริหารระดับสูงทราบ ## สิ่งที่ต้องทำ มีขั้นตอนในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหาให้กับผู้บริหารระดับสูงทราบ แม้กฎหมายจะไม่ได้กำหนดขั้นตอนจัดการข้อร้องเรียนไว้อย่างชัดเจน แต่การมีระบบบริหารจัดการนี้ช่วยให้องค์กรปฏิบัติตามหลักการความรับผิดชอบและความโปร่งใส สร้างความเชื่อมั่นแก่เจ้าของข้อมูล และลดความเสี่ยงจากข้อร้องเรียนหรือการตรวจสอบจากหน่วยงานกำกับดูแล ## หลักฐาน 1. ประกาศหรือนโยบายความเป็นส่วนตัวที่มีรายละเอียดเกี่ยวกับขั้นตอนในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ขั้นตอนการจัดการข้อร้องเรียน 1. **รับเรื่องร้องเรียน** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือทีมงานที่ได้รับมอบหมายรับเรื่องร้องเรียนจากเจ้าของข้อมูลผ่านช่องทางต่าง ๆ ได้แก่ อีเมล โทรศัพท์ หรือแบบฟอร์มร้องเรียนบนเว็บไซต์องค์กร 2. **บันทึกข้อมูลร้องเรียน** — ทุกข้อร้องเรียนจะถูกบันทึกในระบบจัดการข้อร้องเรียน เพื่อให้สามารถติดตามสถานะและประวัติได้อย่างมีประสิทธิภาพ 3. **พิจารณาและตรวจสอบข้อร้องเรียน** — ทีมงานตรวจสอบข้อเท็จจริงที่เกี่ยวข้อง และประเมินผลกระทบที่อาจเกิดขึ้นต่อเจ้าของข้อมูล 4. **ดำเนินการแก้ไขและตอบกลับ** — องค์กรดำเนินการแก้ไขปัญหาหรือดำเนินมาตรการแก้ไข พร้อมแจ้งผลการดำเนินงานให้เจ้าของข้อมูลทราบภายในระยะเวลาที่เหมาะสม 5. **ปิดข้อร้องเรียน** — หลังจากดำเนินการครบถ้วนและเจ้าของข้อมูลยอมรับผลการแก้ไข ข้อร้องเรียนจะถูกปิดในระบบจัดการข้อร้องเรียน 6. **เก็บรักษาเอกสาร** — ข้อมูลและเอกสารเกี่ยวกับข้อร้องเรียนทั้งหมดจะถูกเก็บรักษาไว้อย่างปลอดภัยและเป็นความลับ ### การรายงานต่อผู้บริหารระดับสูง องค์กรจัดทำรายงานสรุปข้อร้องเรียนที่ได้รับ การดำเนินการแก้ไข และผลลัพธ์ที่เกิดขึ้นในแต่ละรอบระยะเวลา เช่น รายเดือนหรือรายไตรมาส เพื่อเสนอให้ผู้บริหารระดับสูงรับทราบและกำกับดูแล สำหรับประเมินประสิทธิภาพการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล รวมทั้งใช้ข้อมูลเป็นฐานในการปรับปรุงนโยบายและมาตรการภายในองค์กร ### ตัวอย่างหลักฐานที่จัดเก็บและแสดง - ประกาศหรือนโยบายความเป็นส่วนตัวที่ระบุขั้นตอนจัดการข้อร้องเรียน - แบบฟอร์มรับเรื่องร้องเรียนที่ใช้ในการบันทึกข้อร้องเรียนของเจ้าของข้อมูล - ระบบหรือสมุดบันทึกข้อร้องเรียนที่แสดงรายละเอียดการรับเรื่อง ตรวจสอบ และสถานะของข้อร้องเรียน - รายงานสรุปข้อร้องเรียนและการแก้ไขปัญหาที่ส่งให้ผู้บริหารระดับสูง - บันทึกการประชุมผู้บริหารที่มีการรายงานและติดตามผลการจัดการข้อร้องเรียน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/5-1-39.md ============================================================ โนด: แนวปฏิบัติ 6.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-1.md # 6.1.1 มีการแจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อที่เกี่ยวข้อง ได้แก่ ข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและวิธีการติดต่อของผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทน และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ถ้ามี) ## สิ่งที่ต้องทำ แจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อของ[ผู้ควบคุมข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-controller.md) ตัวแทน (ถ้ามี) และ[เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)](https://link.pdpalawbase.com/concept/dpo.md) ให้ครบถ้วนตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) ทั้งข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและวิธีการติดต่อ ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดข้อมูลการติดต่อที่เกี่ยวข้อง ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **บทนำ** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มีความมุ่งมั่นที่จะปกป้องและเคารพสิทธิส่วนบุคคลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศนี้จัดทำขึ้นเพื่อแจ้งรายละเอียดเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทน และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท ซึ่งท่านสามารถติดต่อเพื่อใช้สิทธิต่าง ๆ หรือสอบถามข้อมูลเพิ่มเติมได้ ### 1. ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล คือ บุคคลหรือนิติบุคคลที่มีอำนาจและรับผิดชอบในการกำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคล - **ชื่อองค์กร:** บริษัท ตัวอย่าง จำกัด - **ที่อยู่:** 123 ถนนตัวอย่าง แขวงตัวอย่าง เขตตัวอย่าง กรุงเทพมหานคร 10100 - **โทรศัพท์:** 02-123-4567 - **อีเมล:** contact@example.com - **เว็บไซต์:** www.example.com ### 2. ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคล ในกรณีที่บริษัทเป็นนิติบุคคลต่างประเทศและมีการประมวลผลข้อมูลส่วนบุคคลของผู้ที่อาศัยอยู่ในประเทศไทย บริษัทได้แต่งตั้งตัวแทนที่ตั้งอยู่ในประเทศไทยเพื่ออำนวยความสะดวกในการติดต่อ - **ชื่อ:** นายสมชาย ตัวแทน - **ที่อยู่:** 456 ซอยตัวแทน แขวงตัวแทน เขตตัวแทน กรุงเทพมหานคร 10200 - **โทรศัพท์:** 02-765-4321 - **อีเมล:** representative@example.com ในกรณีที่บริษัทไม่มีตัวแทนในประเทศไทย จะระบุว่า "ไม่มีตัวแทนผู้ควบคุมข้อมูลส่วนบุคคลในประเทศไทย" ### 3. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล บริษัทได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นผู้รับผิดชอบในการดูแลระบบและการปฏิบัติตามกฎหมาย รวมทั้งให้คำปรึกษาและรับเรื่องร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล - **ชื่อ:** นางสาวสายใจ คุ้มครอง - **ที่อยู่:** ฝ่ายคุ้มครองข้อมูล บริษัท ตัวอย่าง จำกัด 123 ถนนตัวอย่าง แขวงตัวอย่าง เขตตัวอย่าง กรุงเทพมหานคร 10100 - **โทรศัพท์:** 02-123-4568 - **อีเมล:** dpo@example.com ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-1.md ============================================================ โนด: แนวปฏิบัติ 6.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-2.md # 6.1.2 มีการแจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ฐานทางกฎหมายที่ใช้ และอาจรวมถึงประโยชน์โดยชอบด้วยกฎหมายของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้น ## สิ่งที่ต้องทำ แจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล [ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md) และประโยชน์โดยชอบด้วยกฎหมายให้ครบถ้วน ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") จัดทำประกาศนี้เพื่อแจ้งให้ท่านทราบถึงวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมทั้งฐานทางกฎหมายและประโยชน์โดยชอบด้วยกฎหมายที่เกี่ยวข้อง ### 1. วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล - **การให้บริการและบริหารจัดการลูกค้า** — เพื่อให้บริการตามที่ท่านร้องขอ เช่น การจัดส่งสินค้า การให้คำปรึกษา และการจัดการบัญชีผู้ใช้งาน รวมถึงการจัดการเรื่องการชำระเงินและการออกใบเสร็จ - **การพัฒนาและปรับปรุงผลิตภัณฑ์และบริการ** — ใช้ข้อมูลเพื่อวิเคราะห์ พัฒนา และปรับปรุงคุณภาพของผลิตภัณฑ์และบริการให้ตรงกับความต้องการของลูกค้าและตลาด - **การตลาดและการสื่อสาร** — ใช้ข้อมูลส่วนบุคคลในการส่งข้อมูลข่าวสาร โปรโมชัน หรือกิจกรรมที่เกี่ยวข้องกับผลิตภัณฑ์และบริการ ผ่านช่องทางต่าง ๆ เช่น อีเมล ข้อความ หรือโทรศัพท์ - **การปฏิบัติตามกฎหมายและข้อกำหนดทางกฎหมาย** — เพื่อให้บริษัทสามารถปฏิบัติตามพันธกรณีตามกฎหมาย ข้อบังคับ หรือคำสั่งของหน่วยงานรัฐที่มีอำนาจ รวมถึงการป้องกันและตรวจสอบการทุจริต - **การบริหารความเสี่ยงและการรักษาความปลอดภัย** — เพื่อป้องกันและจัดการความเสี่ยงที่อาจเกิดขึ้นต่อบริษัท รวมถึงการรักษาความปลอดภัยของระบบและข้อมูล ### 2. ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล - **การยินยอมของเจ้าของข้อมูล** — บริษัทจะเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามความยินยอมที่ได้รับจากท่าน เช่น การสมัครสมาชิก การสมัครใช้บริการ หรือการรับข่าวสารทางการตลาด - **การปฏิบัติตามสัญญา** — การประมวลผลข้อมูลเพื่อดำเนินการตามสัญญาที่ท่านได้ทำกับบริษัท เช่น การจัดส่งสินค้า หรือการให้บริการต่าง ๆ - **การปฏิบัติตามกฎหมาย** — บริษัทต้องเก็บรวบรวมและประมวลผลข้อมูลเพื่อให้เป็นไปตามข้อกำหนดของกฎหมาย เช่น การรายงานภาษี หรือการให้ข้อมูลกับหน่วยงานรัฐตามคำสั่ง - **ประโยชน์โดยชอบด้วยกฎหมาย** — บริษัทอาจเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่เกี่ยวข้องกับประโยชน์โดยชอบด้วยกฎหมายของบริษัท เช่น การบริหารจัดการความเสี่ยง การป้องกันการทุจริต หรือการพัฒนาธุรกิจ โดยจะพิจารณาให้เหมาะสมกับสิทธิและเสรีภาพของเจ้าของข้อมูล ### 3. ประโยชน์โดยชอบด้วยกฎหมายของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล การประมวลผลข้อมูลส่วนบุคคลของท่านจะดำเนินการภายใต้หลักการความชอบธรรมและความสมดุลระหว่างผลประโยชน์ของบริษัทกับสิทธิและเสรีภาพของท่าน โดยมีประโยชน์ ดังนี้ - เพื่อส่งมอบบริการและผลิตภัณฑ์ที่มีคุณภาพและตรงตามความต้องการของลูกค้า - เพื่อรักษาความปลอดภัยและป้องกันความเสียหายที่อาจเกิดขึ้นต่อบริษัท ลูกค้า และบุคคลที่เกี่ยวข้อง - เพื่อปฏิบัติตามพันธกรณีทางกฎหมายที่บริษัทต้องรับผิดชอบ - เพื่อส่งเสริมการดำเนินธุรกิจอย่างโปร่งใส มีประสิทธิภาพ และตอบสนองต่อความคาดหวังของลูกค้าได้อย่างเหมาะสม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-2.md ============================================================ โนด: แนวปฏิบัติ 6.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-3.md # 6.1.3 มีการแจ้งประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูลส่วนบุคคล ในกรณีที่ข้อมูลส่วนบุคคลดังกล่าวได้มาจากแหล่งอื่น ## สิ่งที่ต้องทำ มีการแจ้งประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูลส่วนบุคคลในกรณีที่ได้มาจากแหล่งอื่นให้ครบถ้วน ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 25](https://link.pdpalawbase.com/section/25.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวมและแหล่งที่มาของข้อมูล** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") แจ้งรายละเอียดเกี่ยวกับประเภทของข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม รวมถึงแหล่งที่มาของข้อมูลส่วนบุคคลที่ไม่ได้เก็บรวบรวมโดยตรงจากเจ้าของข้อมูล ดังรายละเอียดต่อไปนี้ ### 1. ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม - ข้อมูลระบุตัวตน เช่น ชื่อ นามสกุล วันเกิด หมายเลขบัตรประจำตัวประชาชน หรือหนังสือเดินทาง - ข้อมูลติดต่อ เช่น ที่อยู่ เบอร์โทรศัพท์ อีเมล - ข้อมูลด้านการเงิน เช่น หมายเลขบัญชีธนาคาร ข้อมูลการชำระเงิน - ข้อมูลด้านการทำงาน เช่น ตำแหน่งงาน ประวัติการทำงาน และข้อมูลการฝึกอบรม - ข้อมูลด้านสุขภาพและความปลอดภัย (หากเกี่ยวข้อง) - ข้อมูลพฤติกรรมการใช้งาน เช่น ประวัติการเข้าใช้บริการ ประวัติการซื้อสินค้า - ข้อมูลที่ได้จากการติดต่อสื่อสาร เช่น ข้อความ อีเมล หรือบันทึกเสียง - ข้อมูลอื่น ๆ ที่เกี่ยวข้องและจำเป็นสำหรับการดำเนินธุรกิจและการให้บริการ ### 2. แหล่งที่มาของข้อมูลส่วนบุคคล โดยปกติบริษัทจะเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านช่องทางต่าง ๆ เช่น แบบฟอร์มออนไลน์ การลงทะเบียน หรือการติดต่อสื่อสารกับบริษัท อย่างไรก็ตาม บางกรณีบริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นโดยชอบด้วยกฎหมาย ดังนี้ - จากผู้ให้บริการหรือพันธมิตรทางธุรกิจ เช่น บริษัทที่ให้บริการด้านการตลาด ผู้ให้บริการจัดส่งสินค้า หรือหน่วยงานที่ได้รับมอบหมายให้ดำเนินการแทนบริษัท - จากฐานข้อมูลสาธารณะหรือแหล่งข้อมูลที่เปิดเผยต่อสาธารณะ เช่น ข้อมูลที่มีอยู่ในเว็บไซต์ขององค์กรภาครัฐ หรือฐานข้อมูลที่ได้รับอนุญาตให้ใช้ได้ตามกฎหมาย - จากหน่วยงานของรัฐหรือหน่วยงานกำกับดูแล ในกรณีที่มีความจำเป็นต้องปฏิบัติตามกฎหมายหรือข้อบังคับ - จากบุคคลที่สามที่ท่านได้มอบหมายหรือยินยอมให้ส่งข้อมูลมาให้บริษัท เช่น ตัวแทนหรือตัวกลางในการดำเนินการบางประการ ### 3. การใช้ข้อมูลจากแหล่งอื่น เมื่อบริษัทได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะดำเนินการตรวจสอบความถูกต้องและความเหมาะสมของข้อมูลก่อนนำไปใช้ และจะดำเนินการภายใต้หลักการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด เพื่อรักษาสิทธิและเสรีภาพของเจ้าของข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-3.md ============================================================ โนด: แนวปฏิบัติ 6.1.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-4.md # 6.1.4 มีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึงรายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ## สิ่งที่ต้องทำ มีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึงรายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศให้ครบถ้วน ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **การเปิดเผยข้อมูลส่วนบุคคลและการส่งโอนข้อมูลไปยังต่างประเทศ** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") ชี้แจงรายละเอียดเกี่ยวกับประเภทของบุคคลหรือหน่วยงานที่ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมอาจถูกเปิดเผย รวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ เพื่อความโปร่งใสและสร้างความมั่นใจแก่เจ้าของข้อมูลส่วนบุคคล ### 1. ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับข้อมูลส่วนบุคคลของท่าน ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมอาจถูกเปิดเผยให้กับบุคคลหรือหน่วยงานดังต่อไปนี้ เพื่อวัตถุประสงค์ในการดำเนินธุรกิจ การให้บริการ การปฏิบัติตามกฎหมาย หรือภายใต้เงื่อนไขที่เหมาะสมและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล - บุคลากรภายในบริษัทที่มีหน้าที่รับผิดชอบดูแลข้อมูลและดำเนินงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล - บริษัทในเครือและพันธมิตรทางธุรกิจที่ร่วมดำเนินกิจกรรมหรือโครงการกับบริษัท - ผู้ให้บริการภายนอก เช่น ผู้ให้บริการด้านเทคโนโลยีสารสนเทศ การตลาด การชำระเงิน และผู้ให้บริการจัดเก็บข้อมูล - หน่วยงานราชการและหน่วยงานกำกับดูแลตามที่กฎหมายหรือข้อบังคับกำหนด - ผู้รับโอนกิจการ ในกรณีที่บริษัทมีการโอนกิจการหรือร่วมธุรกิจกับองค์กรอื่น - บุคคลภายนอกอื่น ๆ ที่ได้รับมอบหมายให้ปฏิบัติหน้าที่แทนบริษัทภายใต้ข้อตกลงที่เหมาะสมเพื่อคุ้มครองข้อมูล บริษัทจะตรวจสอบให้แน่ใจว่าผู้รับข้อมูลภายนอกมีมาตรการรักษาความปลอดภัยและคุ้มครองข้อมูลส่วนบุคคลอย่างเหมาะสมตามกฎหมายและข้อตกลงที่เกี่ยวข้อง ### 2. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ในกรณีที่บริษัทจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ เช่น เพื่อสนับสนุนการให้บริการข้ามประเทศ การทำงานร่วมกับพันธมิตร หรือการจัดเก็บข้อมูลบนระบบคลาวด์ บริษัทจะดำเนินการภายใต้ข้อกำหนดและมาตรฐานความปลอดภัยที่เข้มงวด รวมทั้งปฏิบัติตามข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีรายละเอียด ดังนี้ - บริษัทจะดำเนินการโอนข้อมูลส่วนบุคคลเฉพาะไปยังประเทศที่ได้รับการรับรองว่ามีมาตรฐานการคุ้มครองข้อมูลที่เหมาะสม หรือมีมาตรการคุ้มครองข้อมูลส่วนบุคคลเทียบเท่ากับมาตรฐานของประเทศไทย - หากข้อมูลส่วนบุคคลถูกโอนไปยังประเทศที่ไม่มีมาตรฐานคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่า บริษัทจะใช้ข้อตกลงทางกฎหมายที่เหมาะสม เช่น ข้อตกลงแบบสัญญามาตรฐานคุ้มครองข้อมูลส่วนบุคคล หรือมาตรการอื่น ๆ ที่ได้รับการยอมรับตามกฎหมาย - บริษัทจะให้ข้อมูลเกี่ยวกับประเทศที่ข้อมูลถูกโอนไป และจุดประสงค์ของการโอนข้อมูลแก่เจ้าของข้อมูลส่วนบุคคลเมื่อมีคำร้องขอ - บริษัทจะติดตามและทบทวนมาตรการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้มั่นใจว่าการโอนข้อมูลส่วนบุคคลยังคงปลอดภัยและเป็นไปตามกฎหมาย ### 3. สิทธิของเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับการเปิดเผยและการโอนข้อมูล เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะขอรับข้อมูลเกี่ยวกับบุคคลหรือหน่วยงานที่ข้อมูลส่วนบุคคลของตนถูกเปิดเผย รวมถึงสิทธิในการคัดค้านหรือจำกัดการเปิดเผยและการโอนข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทเพื่อใช้สิทธิดังกล่าว ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-4.md ============================================================ โนด: แนวปฏิบัติ 6.1.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-5.md # 6.1.5 มีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน มีการแจ้งระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม ## สิ่งที่ต้องทำ มีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลให้ครบถ้วน ในกรณีที่ไม่สามารถกำหนดระยะเวลาได้ชัดเจน ให้แจ้งระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล 2. เอกสารแสดงการอ้างอิงกฎหมายที่กำหนดไว้เป็นการเฉพาะ ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") แจ้งให้ทราบถึงระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวมจากท่าน ดังนี้ ### 1. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านเฉพาะในระยะเวลาที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์ที่เก็บรวบรวมข้อมูลนั้น ๆ ตามที่ได้แจ้งไว้ในประกาศนี้ หรือในระยะเวลาที่กฎหมายที่เกี่ยวข้องกำหนด เช่น - ข้อมูลที่เกี่ยวกับการให้บริการแก่ลูกค้า จะเก็บไว้จนกว่าการให้บริการจะสิ้นสุด และในระยะเวลาต่อเนื่องเพื่อวัตถุประสงค์ทางบัญชีหรือทางกฎหมายตามที่กฎหมายกำหนด - ข้อมูลที่เก็บเพื่อวัตถุประสงค์ทางการตลาดหรือการส่งเสริมการขาย จะเก็บไว้จนกว่าท่านจะถอนความยินยอมหรือไม่ประสงค์จะรับข้อมูล - ข้อมูลที่เก็บเพื่อปฏิบัติตามข้อกำหนดทางกฎหมาย เช่น ภาษี การตรวจสอบบัญชี หรือข้อพิพาททางกฎหมาย บริษัทจะเก็บไว้ตามระยะเวลาที่กฎหมายกำหนด - ในกรณีที่ไม่สามารถกำหนดระยะเวลาเก็บรักษาข้อมูลได้ชัดเจน บริษัทจะเก็บข้อมูลในระยะเวลาที่สมเหตุสมผลตามมาตรฐานปฏิบัติในอุตสาหกรรมหรือธุรกิจนั้น ๆ ### 2. ตัวอย่างระยะเวลาที่คาดหมายได้ของการเก็บข้อมูลส่วนบุคคลตามประเภทข้อมูล | ประเภทข้อมูลส่วนบุคคล | ระยะเวลาเก็บรักษาข้อมูล | เหตุผล/วัตถุประสงค์ในการเก็บรักษา | |---|---|---| | ข้อมูลลูกค้าและการทำธุรกรรม | 5 ปี หลังสิ้นสุดการให้บริการ | ปฏิบัติตามกฎหมายภาษีและวัตถุประสงค์ทางบัญชี | | ข้อมูลผู้สมัครงาน | 1 ปี หลังสิ้นสุดกระบวนการสรรหา | เพื่อรักษาข้อมูลสำหรับการสรรหาในอนาคต และปฏิบัติตามกฎหมายแรงงาน | | ข้อมูลพนักงาน | ตามระยะเวลาที่กฎหมายแรงงานกำหนด (อย่างน้อย 50 ปี) | ปฏิบัติตามกฎหมายแรงงานและกฎหมายประกันสังคม | | ข้อมูลสำหรับการตลาด | จนกว่าจะได้รับคำขอถอนความยินยอมหรือไม่เกิน 3 ปี | เพื่อการตลาดและส่งเสริมการขาย | ### 3. การจัดการข้อมูลเมื่อครบกำหนดระยะเวลา เมื่อครบกำหนดระยะเวลาการเก็บรักษาข้อมูลตามที่ระบุไว้ บริษัทจะดำเนินการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้โดยเร็วและปลอดภัย เพื่อป้องกันการใช้งานในทางที่ผิด ### 4. สิทธิของเจ้าของข้อมูลในการสอบถามระยะเวลาการเก็บข้อมูล ท่านมีสิทธิขอสอบถามข้อมูลเกี่ยวกับระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลของท่าน หรือขอให้ลบข้อมูลตามเงื่อนไขที่กฎหมายกำหนด โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท ### เอกสารอ้างอิงกฎหมายที่เกี่ยวข้อง - พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลต้องแจ้งระยะเวลาในการเก็บรักษาข้อมูลหรือเกณฑ์การกำหนดระยะเวลาที่ชัดเจนแก่เจ้าของข้อมูล - แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล - แนวทางการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-5.md ============================================================ โนด: แนวปฏิบัติ 6.1.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-6.md # 6.1.6 มีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมถึงสิทธิในการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ มีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคลให้ทราบครบถ้วน รวมถึงสิทธิในการถอนความยินยอม (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **หัวข้อ: การแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มีความมุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยท่านในฐานะเจ้าของข้อมูลส่วนบุคคลมีสิทธิที่สามารถใช้ได้ภายใต้กฎหมายดังกล่าว ดังนี้ ### สิทธิของเจ้าของข้อมูลส่วนบุคคล 1. **สิทธิในการเข้าถึงข้อมูลส่วนบุคคล** — ท่านมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตนที่อยู่ภายใต้ความรับผิดชอบของบริษัท รวมถึงขอให้บริษัทเปิดเผยแหล่งที่มาของข้อมูลส่วนบุคคลหากได้รับจากแหล่งอื่น 2. **สิทธิในการแก้ไขข้อมูล** — ท่านมีสิทธิขอให้บริษัทแก้ไขข้อมูลส่วนบุคคลของท่านให้ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน 3. **สิทธิในการลบข้อมูล** — ท่านมีสิทธิขอให้บริษัทลบข้อมูลส่วนบุคคลของท่าน หากข้อมูลนั้นไม่มีความจำเป็นในการเก็บรักษาอีกต่อไป หรือเมื่อมีการถอนความยินยอม (ถ้ามี) 4. **สิทธิในการจำกัดการประมวลผลข้อมูล** — ท่านมีสิทธิขอให้บริษัทระงับการใช้ข้อมูลของท่านเป็นการชั่วคราวในบางกรณี เช่น อยู่ระหว่างการตรวจสอบความถูกต้องของข้อมูล 5. **สิทธิในการคัดค้านการประมวลผลข้อมูล** — ท่านมีสิทธิคัดค้านการประมวลผลข้อมูลของท่านในบางกรณี เช่น การประมวลผลเพื่อการตลาดทางตรง หรือการประมวลผลที่เกี่ยวกับประโยชน์โดยชอบด้วยกฎหมาย 6. **สิทธิในการโอนย้ายข้อมูล** — ท่านมีสิทธิขอรับข้อมูลส่วนบุคคลของท่านในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยทั่วไป และส่งต่อข้อมูลนั้นไปยังผู้ควบคุมข้อมูลรายอื่นได้ ### การถอนความยินยอม (ในกรณีที่ใช้ความยินยอมเป็นฐานทางกฎหมาย) หากบริษัทประมวลผลข้อมูลส่วนบุคคลของท่านโดยอาศัยความยินยอม ท่านมีสิทธิถอนความยินยอมได้ทุกเมื่อ โดยการถอนความยินยอมจะไม่กระทบต่อการประมวลผลข้อมูลที่เกิดขึ้นก่อนหน้านั้น ท่านสามารถถอนความยินยอมได้โดยติดต่อผ่านอีเมล หรือช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่ระบุด้านล่าง ### สิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแล หากท่านเห็นว่าบริษัทได้กระทำการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เว็บไซต์ www.pdpc.go.th ### ช่องทางติดต่อเพื่อใช้สิทธิ - **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล:** คุณสมพร ข้อมูลดี - **อีเมล:** dpo@example.com - **โทรศัพท์:** 02-123-4567 - **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท แขวงคลองเตย เขตคลองเตย กรุงเทพฯ 10110 บริษัทจะดำเนินการตอบสนองคำขอของท่านโดยไม่ล่าช้า ภายในระยะเวลาไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ โดยไม่คิดค่าธรรมเนียม เว้นแต่เป็นกรณีที่มีความซับซ้อนหรือมีคำขอซ้ำซ้อนกันหลายครั้ง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-6.md ============================================================ โนด: แนวปฏิบัติ 6.1.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-7.md # 6.1.7 มีการแจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมาย หรือสัญญา หรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล (ถ้าหากมี หรือในกรณีที่เก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล) ## สิ่งที่ต้องทำ มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบให้ครบถ้วนถึงกรณีที่ต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญา หรือเพื่อเข้าทำสัญญา รวมทั้งผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **หัวข้อ: การแจ้งภาระหน้าที่ในการให้ข้อมูล และผลกระทบจากการไม่ให้ข้อมูลส่วนบุคคล** บริษัท ตัวอย่าง จำกัด ("บริษัท" หรือ "เรา") มุ่งมั่นในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทขอแจ้งรายละเอียดสำคัญ ดังต่อไปนี้ ### 1. กรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลตามกฎหมาย ในบางกรณี การให้ข้อมูลส่วนบุคคลเป็นข้อกำหนดตามกฎหมาย เช่น - กฎหมายแรงงาน ที่กำหนดให้เก็บข้อมูลส่วนบุคคลของพนักงาน เช่น สำเนาบัตรประชาชน ใบสำคัญการสมรส ใบสำคัญการหย่า ฯลฯ - กฎหมายภาษีอากร เช่น การเก็บเลขประจำตัวผู้เสียภาษีของพนักงานเพื่อการยื่นภาษีเงินได้หัก ณ ที่จ่าย - กฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ที่กำหนดให้สถาบันการเงินตรวจสอบและยืนยันตัวตนของลูกค้า หากท่านไม่ให้ข้อมูลที่กฎหมายกำหนด อาจส่งผลให้บริษัทไม่สามารถปฏิบัติตามข้อกำหนดของกฎหมายหรือให้บริการท่านได้ ### 2. กรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลเพื่อเข้าสู่สัญญา ในหลายกรณี ข้อมูลส่วนบุคคลจำเป็นสำหรับการทำสัญญาหรือการให้บริการ เช่น - ข้อมูลเพื่อทำสัญญาจ้างงาน ได้แก่ ชื่อ-นามสกุล ข้อมูลบัญชีธนาคาร รายละเอียดติดต่อของผู้สมัครงาน - ข้อมูลที่ใช้ทำสัญญากับลูกค้าหรือคู่ค้า เช่น เลขประจำตัวประชาชน ที่อยู่ เลขที่บัญชี หรือข้อมูลทางการเงิน หากท่านไม่ให้ข้อมูลส่วนบุคคลดังกล่าว บริษัทอาจไม่สามารถทำสัญญาหรือให้บริการตามข้อตกลงได้ ### 3. ผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หากท่านปฏิเสธที่จะให้ข้อมูลในกรณีที่กฎหมายหรือสัญญากำหนด อาจก่อให้เกิดผลกระทบ เช่น - ไม่สามารถเข้าสู่กระบวนการสมัครงานหรือจ้างงานได้ - ไม่สามารถให้บริการหรือทำธุรกรรมตามสัญญาได้ - ไม่สามารถเข้าถึงสิทธิประโยชน์ตามนโยบายของบริษัท เช่น ประกันสุขภาพหรือสวัสดิการต่าง ๆ - บริษัทอาจมีความจำเป็นต้องปฏิเสธการให้บริการหรือยกเลิกความสัมพันธ์ทางสัญญาเพื่อปฏิบัติตามกฎหมาย ### ช่องทางติดต่อเพิ่มเติม หากท่านมีคำถามเกี่ยวกับเหตุผลในการเก็บรวบรวมข้อมูล หรือผลกระทบจากการไม่ให้ข้อมูล ท่านสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ที่: - **ชื่อ:** คุณสมพร ข้อมูลดี - **อีเมล:** dpo@example.com - **โทรศัพท์:** 02-123-4567 - **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท แขวงคลองเตย เขตคลองเตย กรุงเทพฯ 10110 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-7.md ============================================================ โนด: แนวปฏิบัติ 6.1.8 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-1-8.md # 6.1.8 ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงแหล่งที่มาของข้อมูลนั้น เช่น จากสื่อสังคมออนไลน์ ข้อมูลการลงทะเบียนต่าง ๆ ที่เปิดเผยเป็นสาธารณะ หรือจากฐานข้อมูลนิติบุคคล เป็นต้น ## สิ่งที่ต้องทำ มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบให้ครบถ้วนถึงแหล่งที่มาของข้อมูล ในกรณีที่เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 25](https://link.pdpalawbase.com/section/25.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **หัวข้อ: การแจ้งแหล่งที่มาของข้อมูลส่วนบุคคลในกรณีที่ไม่ได้รับโดยตรงจากเจ้าของข้อมูล** บริษัท ตัวอย่าง จำกัด มุ่งมั่นในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทขอแจ้งให้ทราบถึงการดำเนินการในกรณีที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ดังนี้ ### 1. แหล่งที่มาของข้อมูลส่วนบุคคลที่บริษัทอาจได้รับจากแหล่งอื่น ในบางกรณี บริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นที่มิใช่การให้ข้อมูลโดยตรงจากเจ้าของข้อมูลส่วนบุคคล เช่น - ข้อมูลจากสื่อสังคมออนไลน์ เช่น Facebook, LinkedIn, Twitter โดยเฉพาะในกรณีที่มีการเปิดเผยข้อมูลเป็นสาธารณะ - ข้อมูลจากผู้ให้บริการข้อมูลทางธุรกิจ เช่น ฐานข้อมูลนิติบุคคล หรือฐานข้อมูลจัดซื้อจัดจ้างภาครัฐ - ข้อมูลจากผู้ให้บริการจัดหางาน หรือบริษัทรับสมัครงาน - ข้อมูลจากพันธมิตรทางธุรกิจหรือผู้รับมอบอำนาจของเจ้าของข้อมูล - ข้อมูลจากแหล่งที่มีการให้ความยินยอมล่วงหน้าแล้ว เช่น ระบบลงทะเบียนออนไลน์ในกิจกรรมต่าง ๆ - ข้อมูลจากหน่วยงานภาครัฐที่เปิดเผยเป็นสาธารณะโดยชอบด้วยกฎหมาย เช่น กรมพัฒนาธุรกิจการค้า ### 2. วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น ข้อมูลที่ได้รับจากแหล่งอื่นอาจนำมาใช้เพื่อวัตถุประสงค์ดังต่อไปนี้ - การตรวจสอบคุณสมบัติในการรับเข้าทำงานหรือรับทุนสนับสนุน - การติดต่อเพื่อให้ข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์หรือบริการ - การพิจารณาความเหมาะสมในการเป็นคู่ค้าทางธุรกิจ - การดำเนินกิจกรรมทางการตลาดที่ไม่ละเมิดสิทธิส่วนบุคคล - การประเมินความเสี่ยงตามข้อกำหนดของกฎหมายหรือระเบียบภายในองค์กร ### 3. สิทธิของเจ้าของข้อมูลส่วนบุคคล เมื่อบริษัทได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะแจ้งให้ท่านทราบถึงสิทธิของท่านภายในระยะเวลาอันสมควร เช่น - สิทธิขอเข้าถึงและรับสำเนาข้อมูล - สิทธิขอให้แก้ไขข้อมูลให้ถูกต้อง - สิทธิขอให้ลบหรือทำลายข้อมูล - สิทธิขอให้ระงับการใช้ข้อมูล - สิทธิในการคัดค้านการประมวลผลข้อมูล - สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ### 4. วิธีการแจ้งเจ้าของข้อมูลส่วนบุคคล เมื่อได้รับข้อมูลส่วนบุคคลจากแหล่งอื่น บริษัทจะดำเนินการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงแหล่งที่มาของข้อมูล วัตถุประสงค์ในการใช้ ฐานทางกฎหมาย สิทธิของเจ้าของข้อมูล และข้อมูลการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจะแจ้งผ่านวิธีการที่เหมาะสม เช่น ทางอีเมล แบบฟอร์มออนไลน์ หรือการแจ้งผ่านเว็บไซต์ของบริษัท ภายในระยะเวลาไม่เกิน 30 วันนับแต่วันที่ได้รับข้อมูลส่วนบุคคล ### 5. ข้อยกเว้นตามกฎหมาย บริษัทอาจไม่มีความจำเป็นต้องแจ้งเจ้าของข้อมูลส่วนบุคคล ในกรณีที่: - เจ้าของข้อมูลส่วนบุคคลได้รับการแจ้งแล้วก่อนหน้านี้ - เป็นการใช้ข้อมูลส่วนบุคคลเพื่อประโยชน์สาธารณะ หรือตามหน้าที่ราชการ - การแจ้งอาจทำให้การบรรลุวัตถุประสงค์ของการใช้ข้อมูลส่วนบุคคลล้มเหลว - กฎหมายเฉพาะบัญญัติไว้เป็นอย่างอื่น ### ช่องทางติดต่อ หากท่านต้องการสอบถามเกี่ยวกับแหล่งที่มาของข้อมูล หรือใช้สิทธิของเจ้าของข้อมูล กรุณาติดต่อ: - **ชื่อ:** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล - **อีเมล:** dpo@example.com - **โทรศัพท์:** 02-123-4567 - **ที่อยู่:** บริษัท ตัวอย่าง จำกัด 123 ถนนสุขุมวิท กรุงเทพฯ 10110 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-1-8.md ============================================================ โนด: แนวปฏิบัติ 6.2.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-2-1.md # 6.2.1 เจ้าของข้อมูลส่วนบุคคลได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลในขณะที่ข้อมูลส่วนบุคคลถูกเก็บรวบรวม ## สิ่งที่ต้องทำ มีหลักฐานการได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลครบถ้วน โดยเจ้าของข้อมูลส่วนบุคคลต้องได้รับแจ้งในขณะที่ข้อมูลส่วนบุคคลถูกเก็บรวบรวม อาทิ ในขณะที่กรอกแบบฟอร์ม หรือจากกรณีที่อาจสังเกตเห็นได้เอง เช่น การถูกบันทึกภาพโดยระบบกล้องวงจรปิด หรือการถูกติดตามพฤติกรรมออนไลน์ เป็นต้น ## หลักฐาน 1. หลักฐานการได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ข้อความในรูปแบบ SMS, email, ภาพถ่ายป้ายที่แสดงว่ามีการเก็บข้อมูลผ่านกล้องวงจรปิด เป็นต้น ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### หลักฐานการแจ้งวัตถุประสงค์และรายละเอียด ณ จุดเก็บรวบรวม - **ชื่อเอกสาร:** หลักฐานการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ณ จุดเก็บรวบรวม - **วัตถุประสงค์:** เพื่อใช้เป็นหลักฐานแสดงว่าองค์กรได้แจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบถึงวัตถุประสงค์และรายละเอียดที่เกี่ยวข้องอย่างชัดเจน ขณะมีการเก็บรวบรวมข้อมูล ตามที่กำหนดไว้ในกฎหมาย ### ตัวอย่างการแจ้งที่ใช้งานจริง **1. แบบฟอร์มออนไลน์/ออฟไลน์ที่มีการแจ้งวัตถุประสงค์** แบบฟอร์มลงทะเบียนพนักงาน/ลูกค้า มีข้อความต่อไปนี้แนบไว้ก่อนช่องให้กรอกข้อมูล: > “บริษัทจะใช้ข้อมูลส่วนบุคคลที่ท่านกรอกในแบบฟอร์มนี้เพื่อวัตถุประสงค์ในการติดต่อกลับ ประเมินคุณสมบัติการรับสมัคร และจัดเก็บเป็นประวัติภายใน ไม่เปิดเผยแก่บุคคลภายนอก เว้นแต่ได้รับความยินยอมจากท่าน หรือมีเหตุจำเป็นตามกฎหมาย…” แนบ: ภาพถ่ายหน้าฟอร์ม หรือภาพหน้าจอหน้าเว็บไซต์ที่มีการแจ้ง **2. SMS หรือ Email ที่ใช้แจ้งขณะเก็บข้อมูล** ตัวอย่างข้อความ SMS: > “เรียนคุณสมชาย บริษัทเก็บข้อมูลเบอร์โทรศัพท์ของท่านเพื่อใช้ยืนยันตัวตนในการใช้งานระบบบริการลูกค้า รายละเอียดเพิ่มเติม: www.example.com/privacy” แนบ: ภาพถ่ายหน้าจอ SMS / อีเมลที่มีข้อความดังกล่าว **3. ป้ายแจ้งหน้ากล้องวงจรปิด** ข้อความในป้าย: > “บริเวณนี้มีกล้องวงจรปิดบันทึกภาพเพื่อความปลอดภัยในชีวิตและทรัพย์สินของพนักงานและบุคคลภายนอก หากต้องการทราบข้อมูลเพิ่มเติมกรุณาติดต่อแผนกบุคคล โทร 02-xxx-xxxx หรือดูนโยบายได้ที่ www.example.com/privacy” แนบ: ภาพถ่ายป้ายที่ติดตั้งบริเวณทางเข้าอาคารหรือภายในสถานที่ **4. การแจ้งผ่านหน้าเว็บไซต์ (นโยบายคุกกี้และการติดตาม)** ตัวอย่างแบนเนอร์แจ้ง: > “เว็บไซต์ของเรามีการใช้คุกกี้เพื่อวิเคราะห์การใช้งานและปรับปรุงประสบการณ์ของผู้ใช้ โดยการใช้งานเว็บไซต์ต่อไปถือว่าท่านยอมรับการใช้คุกกี้ตามนโยบายของเรา [อ่านเพิ่มเติม]” แนบ: ภาพหน้าจอหน้าแรกของเว็บไซต์ พร้อมแบนเนอร์แจ้ง ### ตัวอย่างประกาศแนบท้ายแบบฟอร์มลงทะเบียน > **ประกาศเรื่องการคุ้มครองข้อมูลส่วนบุคคล** > > ข้อมูลส่วนบุคคลที่ท่านให้ไว้ในแบบฟอร์มนี้ จะถูกเก็บรวบรวม ใช้ และเปิดเผยโดยหน่วยงาน [ชื่อหน่วยงาน] เพื่อวัตถุประสงค์ในการจัดการลงทะเบียน ติดต่อกลับ ประเมินผลการเข้าร่วม และรายงานต่อผู้เกี่ยวข้อง > > หน่วยงานจะไม่เปิดเผยข้อมูลของท่านต่อบุคคลภายนอก เว้นแต่ได้รับความยินยอมจากท่าน หรือมีเหตุจำเป็นตามกฎหมาย สามารถศึกษารายละเอียดนโยบายความเป็นส่วนตัวเพิ่มเติมได้ที่ [ลิงก์] > > ☐ ข้าพเจ้าได้อ่านและรับทราบประกาศการคุ้มครองข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-2-1.md ============================================================ โนด: แนวปฏิบัติ 6.2.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-2-2.md # 6.2.2 ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งการเก็บรวบรวมให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า ## สิ่งที่ต้องทำ มีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายใน 30 วัน นับแต่วันที่ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น และได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ## หลักฐาน 1. หลักฐานการบันทึกข้อมูลวันที่ได้รับข้อมูลจากแหล่งอื่น และวันที่แจ้งข้อมูลและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล รวมถึงหลักฐานการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 25](https://link.pdpalawbase.com/section/25.md) แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### แบบฟอร์มบันทึกการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น - **ชื่อเอกสาร:** แบบฟอร์มบันทึกการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น - **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร] | รายการ | รายละเอียด | |--------|-----------| | วันที่ได้รับข้อมูลจากแหล่งอื่น | 3 พฤษภาคม 2568 | | แหล่งที่มา | ฐานข้อมูลสมาชิกองค์กรพันธมิตร: บริษัท ABC จำกัด | | ประเภทของข้อมูลที่ได้รับ | ชื่อ-นามสกุล เบอร์โทรศัพท์ อีเมล | | วัตถุประสงค์ในการเก็บข้อมูล | เพื่อส่งข้อมูลข่าวสารและกิจกรรมส่งเสริมการตลาดขององค์กร | | วันที่แจ้งข้อมูลส่วนบุคคล | 10 พฤษภาคม 2568 | | วิธีการแจ้ง | Email โดยแนบประกาศแจ้งการเก็บข้อมูลส่วนบุคคล | | หลักฐานการแจ้ง | สำเนา Email พร้อมเวลาส่ง (แนบไว้ท้ายเอกสาร) | | วันที่ได้รับความยินยอม | 15 พฤษภาคม 2568 | | ช่องทางการยินยอม | ลิงก์แบบฟอร์มออนไลน์ | | แนบไฟล์ | สำเนาหน้าจอฟอร์มยินยอมและรายการผู้ตอบแบบฟอร์ม | ### ตัวอย่างประกาศแจ้งเจ้าของข้อมูล > **ประกาศแจ้งการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น** > > เรียน คุณ [ชื่อเจ้าของข้อมูล] > > หน่วยงาน [ชื่อหน่วยงาน] ได้รับข้อมูลของท่านจาก [ระบุแหล่งที่มา เช่น ฐานข้อมูลของบริษัท ABC จำกัด ซึ่งเป็นพันธมิตรทางธุรกิจขององค์กร] โดยมีข้อมูล ได้แก่ ชื่อ-นามสกุล อีเมล และเบอร์โทรศัพท์ > > ข้อมูลนี้จะถูกใช้เพื่อวัตถุประสงค์ในการ [เช่น การแจ้งข้อมูลข่าวสาร กิจกรรมโปรโมชัน หรือการติดต่อสื่อสารที่จำเป็น] ตามนโยบายความเป็นส่วนตัวของเรา > > หากท่านไม่ประสงค์ให้เราใช้ข้อมูลของท่าน กรุณากดลิงก์ด้านล่างเพื่อลบข้อมูล หรือยืนยันการให้ความยินยอมได้ที่ [ลิงก์ฟอร์มยินยอม] > > ศึกษารายละเอียดเพิ่มเติมได้ที่: [ลิงก์ประกาศคุ้มครองข้อมูล] > > ขอแสดงความนับถือ > [ชื่อเจ้าหน้าที่/แผนกติดต่อ] > [เบอร์โทรศัพท์] | [อีเมลติดต่อ] ### แบบฟอร์มยินยอมออนไลน์ (ตัวอย่างเนื้อหา) > **แบบฟอร์มยินยอมการใช้ข้อมูลส่วนบุคคล** > > ข้าพเจ้ารับทราบว่า ข้อมูลส่วนบุคคลของข้าพเจ้า (ชื่อ, เบอร์โทร, อีเมล) ได้ถูกเก็บมาจากบริษัทพันธมิตร และข้าพเจ้ายินยอมให้องค์กร [ชื่อหน่วยงาน] ใช้ข้อมูลของข้าพเจ้าสำหรับการส่งข้อมูลข่าวสาร และกิจกรรมที่เกี่ยวข้องตามที่ระบุในประกาศการคุ้มครองข้อมูลส่วนบุคคล > > ☐ ข้าพเจ้ายินยอมให้มีการใช้ข้อมูลส่วนบุคคลตามประกาศดังกล่าว > > ชื่อ-นามสกุล: ……………………………… > วันที่ยินยอม: ……………………………… ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-2-2.md ============================================================ โนด: แนวปฏิบัติ 6.3.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-1.md # 6.3.1 ใช้กระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์และรายละเอียดต่าง ๆ และมีวิธีเข้าถึงข้อมูลดังกล่าวได้ง่ายและไม่มีค่าใช้จ่าย ## สิ่งที่ต้องทำ มีกระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์ และมีวิธีเข้าถึงข้อมูลดังกล่าวได้ง่ายและไม่มีค่าใช้จ่าย ## หลักฐาน 1. หลักฐานแสดงกระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์ที่มีประสิทธิภาพและรายละเอียดต่าง ๆ รวมถึงวิธีการเข้าถึงข้อมูล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### กระบวนการเชิงรุกในการแจ้งข้อมูลส่วนบุคคล และการเข้าถึงข้อมูลโดยไม่มีค่าใช้จ่าย - **เรื่อง:** กระบวนการเชิงรุกในการแจ้งข้อมูลส่วนบุคคล และการเข้าถึงข้อมูลโดยไม่มีค่าใช้จ่าย - **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร] **1. แนวทางดำเนินงานเชิงรุก** องค์กรมีการดำเนินการแจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล ผ่านช่องทางต่าง ๆ อย่างต่อเนื่องและชัดเจน โดยไม่รอให้เจ้าของข้อมูลร้องขอ ดังนี้: | ช่องทาง | รายละเอียด | |---------|-----------| | เว็บไซต์ทางการ | มีประกาศนโยบายความเป็นส่วนตัวและรายละเอียดการใช้ข้อมูลในหน้าแรก และเมนูเฉพาะ “ข้อมูลส่วนบุคคล” โดยเข้าถึงได้โดยไม่ต้องลงชื่อเข้าใช้ | | แบนเนอร์/ป้ายประชาสัมพันธ์ | ติดตั้ง ณ จุดบริการ เช่น หน้าสำนักงาน จุดบริการลูกค้า และบริเวณทางเข้ากล้องวงจรปิด | | แบบฟอร์มออนไลน์และออฟไลน์ | ทุกแบบฟอร์มที่มีการเก็บข้อมูลจะแนบประกาศคุ้มครองข้อมูลส่วนบุคคล หรือแนบลิงก์เพื่อศึกษาเพิ่มเติม | | Email/SMS | ส่งข้อความแจ้งวัตถุประสงค์ในการใช้ข้อมูลให้ผู้มีส่วนเกี่ยวข้องในกรณีที่มีการเก็บข้อมูลใหม่ | | QR Code | ติดไว้ในเอกสารทางราชการ เอกสารใบสมัคร และจุดบริการ เพื่อให้สแกนอ่านนโยบายข้อมูลได้สะดวก | **2. วิธีการเข้าถึงข้อมูลได้ง่าย และไม่มีค่าใช้จ่าย** - **เว็บไซต์หลักของหน่วยงาน** — ผู้ใช้สามารถเข้าถึงเอกสารเกี่ยวกับนโยบายความเป็นส่วนตัวได้จาก www.example.org/privacy โดยไม่มีค่าใช้จ่าย และไม่ต้องลงทะเบียน - **QR Code เข้าถึงข้อมูล** — ติด QR Code บนแบบฟอร์มใบสมัคร ป้ายบริเวณสำนักงาน และเอกสารประกาศรับสมัครงาน/กิจกรรมต่าง ๆ - **สำเนาเอกสารฉบับพิมพ์** — เจ้าของข้อมูลสามารถขอรับเอกสารนโยบายฉบับพิมพ์ที่จุดบริการลูกค้า/ประชาสัมพันธ์ได้ โดยไม่มีค่าใช้จ่าย - **ระบบตอบกลับอัตโนมัติ** — ระบบอีเมลขององค์กรมีข้อความตอบกลับอัตโนมัติแนบลิงก์นโยบายความเป็นส่วนตัวทุกครั้งเมื่อมีการติดต่อเข้ามา **3. ตัวอย่างข้อความเชิงรุกที่ใช้จริง** > “องค์กรของเรามุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคลของท่าน ท่านสามารถศึกษารายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงสิทธิของท่านได้ที่ www.example.org/privacy หรือโดยการสแกน QR Code บนเอกสารฉบับนี้” ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-1.md ============================================================ โนด: แนวปฏิบัติ 6.3.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-2.md # 6.3.2 องค์กรแจ้งให้ทราบในรูปแบบอิเล็กทรอนิกส์และเอกสาร โดยใช้เทคนิคที่เหมาะสมร่วมกัน ## สิ่งที่ต้องทำ มีการแจ้งวัตถุประสงค์ครบถ้วนทั้งรูปแบบอิเล็กทรอนิกส์และเอกสาร โดยใช้เทคนิคที่เหมาะสมร่วมกัน เช่น วิธีการทำหัวข้อและมีการขีดเส้นใต้ข้อความเพื่อเชื่อมต่อไปยังวัตถุประสงค์และรายละเอียด การใช้รูปสัญลักษณ์ และมีคุณสมบัติการแจ้งได้อย่างเหมาะสมและมีประสิทธิภาพบนอุปกรณ์เคลื่อนที่และอุปกรณ์อัจฉริยะ ## หลักฐาน 1. หลักฐานแสดงวิธีการที่องค์กรแจ้งวัตถุประสงค์ทั้งช่องทางอิเล็กทรอนิกส์และเอกสาร ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การแจ้งวัตถุประสงค์ผ่านช่องทางอิเล็กทรอนิกส์และเอกสาร - **เรื่อง:** การแจ้งวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลผ่านช่องทางอิเล็กทรอนิกส์และเอกสาร - **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร] **1. รูปแบบการแจ้งวัตถุประสงค์** | ช่องทาง | วิธีการแจ้ง | รายละเอียดเทคนิค | |---------|------------|------------------| | เว็บไซต์ | Banner หน้าแรก + ลิงก์นโยบาย | ใช้หัวข้อสรุปในหน้าแรก พร้อมไฮเปอร์ลิงก์ “อ่านเพิ่มเติม” ไปยังรายละเอียดแต่ละข้อ | | มือถือ/แท็บเล็ต | ออกแบบให้แสดงผลตอบสนอง | ออกแบบนโยบายให้อ่านง่ายบนหน้าจอขนาดเล็ก เช่น ย่อข้อความ แสดงหัวข้อหลักก่อนรายละเอียด | | แบบฟอร์มกระดาษ | แนบประกาศความเป็นส่วนตัว | เอกสารแนบประกาศความเป็นส่วนตัวท้ายฟอร์ม พร้อม QR Code สำหรับอ่านฉบับเต็ม | | Email/SMS | แจ้งย่อโดยตรง + ลิงก์ | ระบุข้อความสั้น “องค์กรขอแจ้งว่าได้เก็บข้อมูลของท่านตามวัตถุประสงค์... อ่านเพิ่มเติมได้ที่ [ลิงก์]” | | ภาพอินโฟกราฟิก / สัญลักษณ์ | ใช้ในทั้งเว็บไซต์และเอกสาร | สื่อสารสิทธิพื้นฐาน เช่น การถอนความยินยอม การร้องเรียน ด้วยภาพไอคอนเข้าใจง่าย | **2. ตัวอย่างการแจ้งแบบเป็นชั้นบนเว็บไซต์** - **ชั้นที่ 1 (ชั้นสรุป):** - ข้อมูลของคุณมีความสำคัญต่อเรา องค์กรจะใช้ข้อมูลของคุณเพื่อวัตถุประสงค์ในการให้บริการ/ติดต่อกลับ และไม่ใช้เพื่อวัตถุประสงค์อื่นโดยไม่ได้รับความยินยอม - อ่านรายละเอียดเพิ่มเติม - **ชั้นที่ 2 (ชั้นรายละเอียด):** - วัตถุประสงค์ในการเก็บข้อมูลแต่ละประเภท - แหล่งที่มาของข้อมูล (ถ้าไม่ได้เก็บจากเจ้าของข้อมูลโดยตรง) - สิทธิของเจ้าของข้อมูล - วิธีถอนความยินยอม - วิธีร้องเรียน **3. ตัวอย่างประกาศเอกสารแนบแบบฟอร์ม** ประกาศการคุ้มครองข้อมูลส่วนบุคคลแนบท้ายแบบฟอร์ม พร้อม QR Code สำหรับอ่านฉบับเต็ม โดยหัวข้อประกาศประกอบด้วย - วัตถุประสงค์ในการเก็บข้อมูล - ระยะเวลาการเก็บ - สิทธิของเจ้าของข้อมูล - ช่องทางการติดต่อ **4. คุณสมบัติการใช้งานบนอุปกรณ์อัจฉริยะ** - เว็บไซต์และระบบฟอร์มออนไลน์ใช้การออกแบบที่แสดงผลตอบสนอง - รองรับการแสดงผลในอุปกรณ์ขนาดเล็ก เช่น มือถือ และแท็บเล็ต - ใช้ขนาดตัวอักษรเหมาะสม และปุ่มกดที่ใช้งานง่าย - รองรับโปรแกรมอ่านหน้าจอและมาตรฐานการเข้าถึงเว็บขั้นพื้นฐาน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-2.md ============================================================ โนด: แนวปฏิบัติ 6.3.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-3.md # 6.3.3 ภาษาและข้อความที่ใช้ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลมีความชัดเจนและสามารถเข้าใจได้โดยง่าย และสื่อสารสอดคล้องกับกลุ่มเป้าหมาย ## สิ่งที่ต้องทำ มีการแจ้งวัตถุประสงค์โดยใช้ภาษาและข้อความที่ชัดเจน เข้าใจง่าย รูปแบบและวิธีการสื่อสารสอดคล้องกับกลุ่มเป้าหมาย (ลักษณะหรือประเภทของเจ้าของข้อมูลส่วนบุคคล) ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล และหลักฐานแสดงกระบวนการจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมกับกลุ่มเป้าหมาย เช่น นโยบายหรือแนวปฏิบัติขององค์กร รายงานการประชุม ฯลฯ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การใช้ภาษาและข้อความในการแจ้งวัตถุประสงค์ให้เหมาะสมกับกลุ่มเป้าหมาย - **เรื่อง:** การใช้ภาษาและข้อความในการแจ้งวัตถุประสงค์ให้เหมาะสมกับกลุ่มเป้าหมาย - **หน่วยงาน:** [ชื่อหน่วยงานหรือองค์กร] **1. นโยบายหรือแนวปฏิบัติขององค์กร** หัวข้อ: แนวปฏิบัติในการจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลให้เหมาะสมกับกลุ่มเป้าหมาย สาระสำคัญ: - ใช้ภาษาระดับทั่วไป หลีกเลี่ยงศัพท์กฎหมายหรือศัพท์เทคนิคที่ซับซ้อน - แยกรูปแบบของประกาศตามกลุ่มเป้าหมาย เช่น บุคลากรภายใน ผู้สมัครงาน ลูกค้า/ผู้รับบริการ และผู้เยี่ยมชมเว็บไซต์ - รูปแบบมีการตรวจสอบความเข้าใจ (ผ่านการอ่านโดยบุคคลภายนอกหรือพนักงานที่ไม่เกี่ยวข้องกับการจัดทำนโยบาย) **2. ตัวอย่างข้อความในประกาศการคุ้มครองข้อมูลส่วนบุคคล** - **สำหรับลูกค้าทั่วไป:** เราขอแจ้งให้ท่านทราบว่า ข้อมูลส่วนบุคคลของท่านจะถูกนำมาใช้เพื่อวัตถุประสงค์ในการให้บริการ ติดต่อกลับ และปรับปรุงประสบการณ์การใช้งานของท่าน ข้อมูลส่วนบุคคลของท่านจะไม่ถูกเปิดเผยแก่บุคคลภายนอกโดยไม่ได้รับความยินยอมจากท่าน - **สำหรับผู้สมัครงาน:** ข้อมูลส่วนบุคคลของท่าน เช่น ประวัติการศึกษา ประวัติการทำงาน และข้อมูลการติดต่อ จะถูกใช้เพื่อพิจารณาคุณสมบัติในการรับเข้าทำงานเท่านั้น - **สำหรับพนักงานภายในองค์กร:** องค์กรจะเก็บรวบรวมข้อมูลของท่านเพื่อการบริหารงานบุคคล เช่น การจ่ายค่าจ้าง การประเมินผลงาน และการดูแลสวัสดิการต่าง ๆ โดยไม่ใช้ข้อมูลส่วนบุคคลในทางอื่น **3. กระบวนการจัดทำประกาศที่เหมาะสมกับกลุ่มเป้าหมาย** ตัวอย่างรายงานการประชุมคณะทำงานคุ้มครองข้อมูลส่วนบุคคล: - **วันที่:** [ระบุวันที่] - **วาระ:** การปรับปรุงถ้อยคำในประกาศให้เหมาะสมกับกลุ่มเป้าหมาย - **สรุปการดำเนินการ:** - แต่งตั้งคณะอนุกรรมการย่อยพิจารณาภาษา - ดำเนินการเปรียบเทียบถ้อยคำตามเกณฑ์ภาษาระดับทั่วไป - ให้เจ้าหน้าที่ฝ่ายบุคคล ฝ่ายลูกค้าสัมพันธ์ และฝ่ายสื่อสารองค์กร ร่วมตรวจสอบข้อความ - นำร่างไปทดสอบกับกลุ่มเป้าหมาย (ตัวอย่าง 10 คนต่อกลุ่ม) แล้วปรับปรุงถ้อยคำตามผลตอบรับ **4. หลักฐานสนับสนุนเพิ่มเติม (แนบได้ตามต้องการ)** - สำเนาประกาศในแต่ละเวอร์ชันรูปแบบ - รายงานการประชุมคณะทำงาน - สคริปต์หรือคู่มือสำหรับเจ้าหน้าที่ที่ต้องแจ้งด้วยวาจา - แบบฟอร์มประเมินความเข้าใจหรือข้อเสนอแนะจากผู้ใช้งาน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-3.md ============================================================ โนด: แนวปฏิบัติ 6.3.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-3-4.md # 6.3.4 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ ภาษาที่ใช้ในการสื่อสารต้องเหมาะสมกับช่วงวัยของผู้เยาว์ และต้องอธิบายถึงความเสี่ยงและมาตรการปกป้องที่เหมาะสม ## สิ่งที่ต้องทำ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ ภาษาที่ใช้ในการสื่อสารต้องเหมาะสมกับช่วงวัยของผู้เยาว์ในกลุ่มดังกล่าว และต้องอธิบายถึงความเสี่ยงที่เกี่ยวข้องจากการเก็บรวบรวมข้อมูลส่วนบุคคลและมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล โดยมีองค์ประกอบสำคัญ ได้แก่ 1. ใช้ภาษาที่เหมาะสมกับกลุ่มผู้เยาว์ 2. มีการอธิบายความเสี่ยง 3. มีมาตรการปกป้องที่เหมาะสม ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ใช้ภาษาเหมาะสมกับผู้เยาว์ พร้อมการอธิบายความเสี่ยงและมาตรการปกป้อง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การแจ้งข้อมูลส่วนบุคคลสำหรับผู้เยาว์ - **หน่วยงาน:** [ชื่อหน่วยงาน/องค์กร] - **กลุ่มเป้าหมาย:** เยาวชนอายุไม่เกิน 20 ปี (ตามประมวลกฎหมายแพ่งและพาณิชย์) **1. ประกาศคุ้มครองข้อมูลส่วนบุคคล (สำหรับผู้เยาว์)** > เราจะดูแลข้อมูลของหนูเป็นอย่างดี > > เมื่อหนูเข้าร่วมกิจกรรมกับเรา เช่น กรอกแบบฟอร์ม หรือสมัครใช้งานเว็บไซต์ ข้อมูลอย่างชื่อ-นามสกุล วันเกิด และเบอร์ติดต่อของผู้ปกครอง จะถูกเก็บไว้เพื่อให้พี่ ๆ ติดต่อกลับได้ พี่ ๆ จะเก็บข้อมูลของหนูไว้แค่เฉพาะที่จำเป็น และจะไม่นำไปให้ใครอื่นดูหรือใช้โดยไม่ได้รับอนุญาต ถ้าหนูอยากให้ลบข้อมูล หรือไม่อยากให้ใช้ข้อมูลต่อ หนูหรือคุณพ่อคุณแม่สามารถบอกพี่ ๆ ได้ทุกเมื่อเลยนะ **2. อธิบายความเสี่ยง (ในรูปแบบที่เหมาะสม)** > ข้อมูลที่หนูให้กับพี่ ๆ อาจเสี่ยงต่อการหลุดไปยังบุคคลอื่นที่ไม่เกี่ยวข้อง ถ้าไม่มีการปกป้องอย่างดี เช่น ถ้าใครแอบดูข้อมูลของหนูแล้วนำไปใช้ในทางที่ไม่เหมาะสม เช่น การหลอกลวง การส่งข้อความไม่พึงประสงค์ หรือการใช้ข้อมูลไปสมัครบริการโดยไม่ได้รับอนุญาต **3. มาตรการปกป้อง** > พี่ ๆ มีวิธีป้องกันข้อมูลของหนู ดังนี้: > > - เก็บข้อมูลไว้ในระบบที่มีรหัสผ่าน และจำกัดเฉพาะพนักงานที่ได้รับอนุญาต > - เข้ารหัสข้อมูลของหนูในระบบคอมพิวเตอร์ > - มีการอบรมพนักงานทุกคนเรื่องการคุ้มครองข้อมูลของเด็ก > - ถ้าต้องเปิดเผยข้อมูล จะทำเฉพาะในกรณีที่กฎหมายกำหนด และจะขอความยินยอมจากคุณพ่อคุณแม่ก่อนทุกครั้ง **4. กระบวนการและหลักฐานเพิ่มเติม** แนบหลักฐานประกอบ: - แบบร่างประกาศคุ้มครองข้อมูลสำหรับผู้เยาว์ในรูปแบบไฟล์เอกสาร - เอกสารการประชุมคณะทำงานด้านการสื่อสารข้อมูลสำหรับกลุ่มเป้าหมายพิเศษ - ตัวอย่างแบบฟอร์มคำยินยอมจากผู้ปกครอง - หลักฐานการทดสอบถ้อยคำกับกลุ่มเด็ก 7-12 ปี และ 13-17 ปี - แบบบันทึกความยินยอมในรูปแบบสองชั้น: เด็ก + ผู้ปกครอง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-3-4.md ============================================================ โนด: แนวปฏิบัติ 6.4.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-1.md # 6.4.1 องค์กรมีขั้นตอนหรือแนวปฏิบัติสำหรับเจ้าของข้อมูลส่วนบุคคลในการเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์ การตัดสินใจโดยระบบอัตโนมัติ เพื่อให้สามารถตรวจสอบความถูกต้องและแก้ไขได้หากจำเป็น ## สิ่งที่ต้องทำ มีขั้นตอนและแนวปฏิบัติให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงข้อมูลของตนได้โดยง่าย ## หลักฐาน 1. ขั้นตอนและแนวปฏิบัติสำหรับเจ้าของข้อมูลส่วนบุคคลในการเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ขั้นตอนและแนวปฏิบัติในการเข้าถึงและแก้ไขข้อมูลโปรไฟล์ส่วนบุคคล - **หน่วยงาน:** [ชื่อองค์กร] - **วัตถุประสงค์:** เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไฟล์ และตรวจสอบความถูกต้อง พร้อมแก้ไขข้อมูลได้หากจำเป็น **1. แนวปฏิบัติสำหรับเจ้าของข้อมูลในการเข้าถึงข้อมูลโปรไฟล์ส่วนบุคคล** เจ้าของข้อมูลสามารถยื่นคำร้องขอเข้าถึงข้อมูลส่วนบุคคลที่ใช้ในการสร้างโปรไฟล์ได้ผ่านช่องทางดังนี้ - เว็บไซต์องค์กร (แบบฟอร์มคำขอออนไลน์) - อีเมลฝ่ายคุ้มครองข้อมูลส่วนบุคคล [email@example.com] - ศูนย์บริการลูกค้า โทร. [หมายเลขโทรศัพท์] - ติดต่อด้วยตนเองที่สำนักงาน - เจ้าของข้อมูลต้องกรอกข้อมูลประจำตัวและรายละเอียดที่จำเป็นในแบบฟอร์มคำขอ เพื่อยืนยันตัวตนอย่างถูกต้อง - ภายใน 15 วันทำการ หลังจากได้รับคำขอ องค์กรจะดำเนินการตรวจสอบและจัดส่งข้อมูลโปรไฟล์ให้เจ้าของข้อมูลผ่านช่องทางที่เลือก (อีเมล ไปรษณีย์ หรือรับด้วยตนเอง) - เจ้าของข้อมูลสามารถแจ้งความไม่ถูกต้องหรือขอแก้ไขข้อมูลในโปรไฟล์ได้ โดยระบุข้อมูลที่ต้องการแก้ไขพร้อมแนบหลักฐานประกอบ (ถ้ามี) - องค์กรจะดำเนินการแก้ไขข้อมูลตามคำร้อง และแจ้งผลการดำเนินการให้เจ้าของข้อมูลทราบภายใน 30 วันทำการ - กรณีที่คำขอเข้าถึงหรือแก้ไขข้อมูลไม่สามารถดำเนินการได้ องค์กรจะแจ้งเหตุผลและวิธีการร้องเรียนแก่เจ้าของข้อมูล **2. ตัวอย่างแบบฟอร์มคำขอเข้าถึงข้อมูลโปรไฟล์ส่วนบุคคล** (สำหรับใช้บนเว็บไซต์หรือเอกสาร) - ชื่อ-นามสกุล: ___________________________ - หมายเลขบัตรประชาชน/หนังสือเดินทาง: _______________ - ช่องทางติดต่อ (โทรศัพท์/อีเมล): ______________________ - ข้อมูลที่ต้องการเข้าถึง: ☐ ข้อมูลโปรไฟล์ส่วนบุคคล ☐ ข้อมูลอื่น ๆ __________________ - คำชี้แจงเพิ่มเติม: _____________________________________ - ลงชื่อ: _______________ - วันที่: _______________ **3. แนวทางการดูแลรักษาข้อมูลและความปลอดภัย** - ข้อมูลของเจ้าของข้อมูลจะถูกเก็บรักษาอย่างปลอดภัยตามมาตรฐานความปลอดภัยขององค์กร - เจ้าหน้าที่รับผิดชอบจะต้องผ่านการอบรมเรื่องการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความลับ **4. ช่องทางการติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล** - อีเมล: privacy@[ชื่อองค์กร].com - โทรศัพท์: [หมายเลขโทรศัพท์] - ที่อยู่: [ที่อยู่สำนักงาน] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-1.md ============================================================ โนด: แนวปฏิบัติ 6.4.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-2.md # 6.4.2 หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของบุคคลหรือนัยสำคัญในทำนองเดียวกัน องค์กรได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในลักษณะดังกล่าว รวมถึงข้อมูลที่องค์กรใช้ วัตถุประสงค์ และผลกระทบที่อาจจะมี ## สิ่งที่ต้องทำ 1. มีการแจ้งในประกาศการคุ้มครองข้อมูลส่วนบุคคลเรื่องการประมวลผลข้อมูลโดยใช้ระบบอัตโนมัติตัดสินใจเพียงอย่างเดียว และ 2. มีการแจ้งข้อมูลที่องค์กรใช้ วัตถุประสงค์ และผลกระทบที่อาจจะมี ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล (ส่วนที่เกี่ยวข้องกับการประมวลผลโดยระบบอัตโนมัติที่มีผลกระทบ) ในกรณีที่องค์กรมีการใช้ระบบประมวลผลข้อมูลส่วนบุคคลด้วยเทคโนโลยีระบบอัตโนมัติ โดยไม่มีการแทรกแซงจากบุคคล เพื่อดำเนินการตัดสินใจที่มีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมาย หรือผลกระทบที่มีความสำคัญในลักษณะทำนองเดียวกัน องค์กรมีความมุ่งมั่นที่จะเปิดเผยข้อมูลดังต่อไปนี้ให้เจ้าของข้อมูลได้รับทราบอย่างครบถ้วนและชัดเจน **1. ข้อมูลที่ใช้ในการประมวลผล** องค์กรจะเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลประเภทต่าง ๆ ที่เกี่ยวข้องกับการตัดสินใจโดยระบบอัตโนมัติ เช่น ข้อมูลส่วนบุคคลพื้นฐาน ข้อมูลพฤติกรรม ข้อมูลทางเทคนิค หรือข้อมูลอื่น ๆ ที่จำเป็นสำหรับการดำเนินการประมวลผล **2. วัตถุประสงค์ของการประมวลผล** วัตถุประสงค์ของการใช้ระบบอัตโนมัติในการประมวลผลข้อมูลส่วนบุคคล ได้แก่ - การประเมินคุณสมบัติและความเหมาะสมในการให้บริการ - การวิเคราะห์พฤติกรรมหรือแนวโน้มเพื่อปรับปรุงบริการ - การตัดสินใจในการอนุมัติหรือปฏิเสธคำขอบริการ - การบริหารความเสี่ยงและป้องกันการทุจริต **3. ผลกระทบที่อาจเกิดขึ้นจากการตัดสินใจโดยระบบอัตโนมัติ** การตัดสินใจโดยระบบอัตโนมัติอาจมีผลกระทบต่อสิทธิและหน้าที่ของเจ้าของข้อมูล เช่น การจำกัดสิทธิ์ในการเข้าถึงบริการ การเปลี่ยนแปลงเงื่อนไข หรือผลกระทบในทางการเงินและสัญญาต่าง ๆ ซึ่งองค์กรจะดำเนินการอย่างรอบคอบเพื่อให้เกิดความเป็นธรรมและสามารถทบทวนหรืออุทธรณ์ผลการตัดสินใจได้ **4. สิทธิของเจ้าของข้อมูลส่วนบุคคล** เจ้าของข้อมูลมีสิทธิ์ในการ - ขอรับข้อมูลเกี่ยวกับกระบวนการตัดสินใจโดยระบบอัตโนมัติ - ขอให้ทบทวนหรือระงับการตัดสินใจที่เป็นผลกระทบ - ขอให้แก้ไขหรือชี้แจงข้อมูลที่เกี่ยวข้องกับการตัดสินใจ **ติดต่อสอบถามหรือขอข้อมูลเพิ่มเติม** - ฝ่ายคุ้มครองข้อมูลส่วนบุคคล - อีเมล: privacy@[ชื่อองค์กร].com - โทรศัพท์: [หมายเลขโทรศัพท์] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-2.md ============================================================ โนด: แนวปฏิบัติ 6.4.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-3.md # 6.4.3 หากวัตถุประสงค์ไม่ชัดเจนในตอนแรก องค์กรจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่าองค์กรจะใช้หรือเปิดเผยข้อมูลส่วนบุคคลของพวกเขาอย่างไร และองค์กรจะปรับปรุงข้อมูลต่าง ๆ ที่แจ้งและประกาศการคุ้มครองข้อมูลส่วนบุคคลในเชิงรุกเมื่อมีความชัดเจนมากขึ้นเกี่ยวกับวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ ใช้กระบวนการเชิงรุกในการแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อมีความชัดเจนขึ้น ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคล หลักฐานแสดงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ 2. ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล (ส่วนที่เกี่ยวข้องกับการแจ้งวัตถุประสงค์ที่ยังไม่ชัดเจนในตอนแรก) **การแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล** เนื่องจากบางกรณีวัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอาจยังไม่ชัดเจนในช่วงแรก องค์กรขอแจ้งให้ท่านทราบว่า - ขณะนี้องค์กรใช้ข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์เบื้องต้น ดังที่ได้แจ้งในประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ - หากองค์กรมีความชัดเจนเกี่ยวกับวัตถุประสงค์เพิ่มเติมในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของท่านในภายหลัง องค์กรจะดำเนินการแจ้งให้ท่านทราบโดยเร็วและเชิงรุก ผ่านช่องทางต่าง ๆ เช่น อีเมล ข้อความ หรือประกาศบนเว็บไซต์องค์กร - องค์กรมีหน้าที่และความมุ่งมั่นในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลให้ทันสมัยและสอดคล้องกับการใช้งานข้อมูลส่วนบุคคลจริงในทุกช่วงเวลา - ท่านสามารถติดต่อสอบถามหรือขอข้อมูลเพิ่มเติมเกี่ยวกับวัตถุประสงค์การใช้ข้อมูลส่วนบุคคลได้ทุกเมื่อ ### หลักฐานแสดงการแจ้งให้เจ้าของข้อมูลทราบเชิงรุก - รายการบันทึกการส่งอีเมลแจ้งข่าวสารและอัปเดตเกี่ยวกับวัตถุประสงค์การใช้ข้อมูลส่วนบุคคล - สำเนาข้อความแจ้งเตือนผ่าน SMS หรือระบบแจ้งเตือนอื่น ๆ - การประกาศหรืออัปเดตประกาศการคุ้มครองข้อมูลส่วนบุคคลบนเว็บไซต์องค์กร พร้อมระบุวันที่ปรับปรุง - รายงานการประชุมหรือบันทึกภายในที่แสดงขั้นตอนและนโยบายการแจ้งข้อมูลเชิงรุก **ติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล** - อีเมล: privacy@[ชื่อองค์กร].com - โทรศัพท์: [หมายเลขโทรศัพท์] ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-3.md ============================================================ โนด: แนวปฏิบัติ 6.4.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-4-4.md # 6.4.4 หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของบุคคลหรือนัยสำคัญในทำนองเดียวกัน องค์กรได้อธิบายการประมวลผลนั้นอย่างชัดเจน ซึ่งช่วยให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิของตนได้ รวมถึงการคัดค้านการประมวลผลโดยระบบอัตโนมัติดังกล่าว หรือการขอให้ได้รับการแทรกแซงจากมนุษย์ (ดำเนินการตัดสินใจโดยบุคคล) ## สิ่งที่ต้องทำ มีกลไกและมีการอธิบายอย่างชัดเจนให้เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิของตนได้ ## หลักฐาน 1. กระบวนการหรือกลไกที่ทำให้เจ้าของข้อมูลส่วนบุคคลส่งคำขอให้ได้รับการแทรกแซงจากมนุษย์ในการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### กระบวนการและกลไกการจัดการสิทธิของเจ้าของข้อมูลส่วนบุคคลในการประมวลผลโดยระบบอัตโนมัติ **1. นโยบายการประมวลผลข้อมูลโดยระบบอัตโนมัติและสิทธิของเจ้าของข้อมูลส่วนบุคคล** องค์กรได้จัดให้มีการประมวลผลข้อมูลส่วนบุคคลโดยระบบอัตโนมัติในบางกรณี ซึ่งอาจมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล องค์กรมีความมุ่งมั่นที่จะอธิบายการประมวลผลดังกล่าวอย่างชัดเจนเพื่อให้เจ้าของข้อมูลได้รับทราบและสามารถใช้สิทธิต่าง ๆ ได้อย่างเต็มที่ **2. สิทธิของเจ้าของข้อมูลส่วนบุคคล** เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการ - คัดค้านการประมวลผลข้อมูลส่วนบุคคลที่ทำโดยระบบอัตโนมัติเพียงอย่างเดียว หากส่งผลกระทบต่อสิทธิและเสรีภาพของตน - ขอให้มีการแทรกแซงจากมนุษย์ (การทบทวนโดยบุคคลจริง) ในการตัดสินใจที่เกิดขึ้นจากระบบอัตโนมัติ - ขอชี้แจงหรือขอข้อมูลเพิ่มเติมเกี่ยวกับกระบวนการประมวลผลข้อมูล **3. กลไกการใช้สิทธิ** องค์กรได้จัดให้มีช่องทางและกระบวนการดังนี้ เพื่อให้เจ้าของข้อมูลสามารถใช้สิทธิได้อย่างง่ายดายและมีประสิทธิภาพ ช่องทางการส่งคำขอ - อีเมล: privacy@[ชื่อองค์กร].com - แบบฟอร์มออนไลน์บนเว็บไซต์องค์กร: [URL แบบฟอร์มขอทบทวนการตัดสินใจโดยระบบอัตโนมัติ] - ติดต่อโดยตรงที่ฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO) ขั้นตอนการดำเนินการ 1. เจ้าของข้อมูลส่งคำขอคัดค้านหรือขอให้มีการแทรกแซงจากมนุษย์ 2. ฝ่ายคุ้มครองข้อมูลส่วนบุคคลรับเรื่องและแจ้งยืนยันการรับคำขอแก่เจ้าของข้อมูล 3. ดำเนินการทบทวนข้อมูลและการตัดสินใจโดยเจ้าหน้าที่ที่เกี่ยวข้อง 4. แจ้งผลการพิจารณาและดำเนินการแก้ไขหรือปรับปรุงตามคำขอแก่เจ้าของข้อมูลภายในระยะเวลาที่เหมาะสม **4. ตัวอย่างข้อความแจ้งสิทธิในประกาศการคุ้มครองข้อมูลส่วนบุคคล** > "ในกรณีที่องค์กรใช้ระบบอัตโนมัติในการตัดสินใจซึ่งอาจมีผลกระทบต่อตน ท่านมีสิทธิขอให้บุคคลเข้ามาทบทวนการตัดสินใจดังกล่าว และสามารถคัดค้านการประมวลผลข้อมูลโดยระบบอัตโนมัติได้ โดยสามารถติดต่อเราได้ที่ privacy@[ชื่อองค์กร].com หรือผ่านแบบฟอร์มในเว็บไซต์ของเรา" ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-4-4.md ============================================================ โนด: แนวปฏิบัติ 6.5.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-1.md # 6.5.1 มีการสื่อสารและสร้างความตระหนักรู้แก่พนักงาน/เจ้าหน้าที่ของทั้งองค์กรเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ข้อมูลเกี่ยวกับวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ มีการสื่อสารหรือสร้างความตระหนักรู้ให้กับพนักงาน ## หลักฐาน 1. เอกสารหลักฐานการสื่อสารหรือแจ้งพนักงานทราบเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร เช่น อีเมล ประกาศแจ้งพนักงาน การจัดประชุม ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7) โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การสื่อสารและสร้างความตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงาน **วัตถุประสงค์** เพื่อให้พนักงานและเจ้าหน้าที่ทุกระดับในองค์กรมีความเข้าใจและตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ข้อมูลวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงบทบาทหน้าที่และความรับผิดชอบของพนักงานในการปฏิบัติตามกฎหมาย PDPA และนโยบายองค์กร **วิธีการสื่อสาร** - การส่งอีเมลแจ้งพนักงานทุกคน - การประชุมชี้แจงผ่านออนไลน์หรือพบปะกลุ่ม - การฝึกอบรมหรือสัมมนาเกี่ยวกับ PDPA - การจัดทำเอกสารแจกจ่าย (ประกาศ/คู่มือ) ### ตัวอย่างอีเมลแจ้งพนักงาน > **เรื่อง:** แจ้งประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรและการสร้างความตระหนักรู้ > > เรียน พนักงานทุกท่าน > > ตามที่องค์กรของเราได้จัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และข้อกำหนดด้านความปลอดภัยของข้อมูล > > องค์กรจึงขอแจ้งให้ท่านทราบเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงบทบาทหน้าที่ของพนักงานในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคลดังกล่าว กรุณาศึกษาและปฏิบัติตามนโยบายอย่างเคร่งครัด เพื่อปกป้องสิทธิของเจ้าของข้อมูลส่วนบุคคล และป้องกันความเสี่ยงทางกฎหมายที่อาจเกิดขึ้น > > หากมีข้อสงสัยหรือต้องการข้อมูลเพิ่มเติม กรุณาติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO) ที่อีเมล privacy@[ชื่อองค์กร].com > > ขอขอบคุณทุกท่านที่ให้ความร่วมมือ > > ฝ่ายบริหารองค์กร > [ชื่อองค์กร] ### ตัวอย่างบันทึกการประชุมชี้แจง PDPA - **วันที่:** 10 มิถุนายน 2568 - **เวลา:** 14.00 - 15.30 น. - **สถานที่:** ห้องประชุมใหญ่ อาคารสำนักงานใหญ่ - **หัวข้อ:** การสร้างความตระหนักรู้เกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร - **ผู้เข้าร่วม:** พนักงานทุกแผนก รวม 50 คน เนื้อหา - แนะนำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 - วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล - บทบาทและหน้าที่ของพนักงานในการปฏิบัติตาม PDPA - แนวทางปฏิบัติที่ต้องปฏิบัติ เช่น การรักษาความลับของข้อมูล การจัดเก็บและทำลายข้อมูลอย่างปลอดภัย - ช่องทางติดต่อฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO) **ผลการประชุม:** พนักงานทุกคนรับทราบและเข้าใจในนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กร พร้อมปฏิบัติตามอย่างเคร่งครัด ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-1.md ============================================================ โนด: แนวปฏิบัติ 6.5.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-2.md # 6.5.2 พนักงาน/เจ้าหน้าที่ที่อยู่หน้างาน (Frontline staff) ได้รับการอบรมเป็นพิเศษเกี่ยวกับข้อมูลต่าง ๆ ตามประกาศการคุ้มครองข้อมูลส่วนบุคคล (เนื่องจากติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง) ## สิ่งที่ต้องทำ มีการอบรมพิเศษให้กับพนักงานที่อยู่หน้างาน ## หลักฐาน 1. เอกสารหลักฐานการฝึกอบรมให้กับพนักงาน/เจ้าหน้าที่ที่อยู่หน้างาน 2. เอกสารหลักฐานการทดสอบพนักงาน 3. บันทึกข้อมูลผู้ที่ผ่านการทดสอบและไม่ผ่านการทดสอบ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7) โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การอบรมพิเศษพนักงาน/เจ้าหน้าที่ที่หน้างาน เรื่องประกาศการคุ้มครองข้อมูลส่วนบุคคล **วัตถุประสงค์** เพื่อให้พนักงานที่อยู่หน้างานซึ่งติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง มีความรู้และความเข้าใจอย่างชัดเจนเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร รวมถึงบทบาทหน้าที่ในการรักษาความลับและการปฏิบัติตามกฎหมาย PDPA อย่างถูกต้อง **รายละเอียดการอบรม** เนื้อหาอบรม - ความรู้เบื้องต้นเกี่ยวกับ PDPA - ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร - ข้อมูลส่วนบุคคลที่หน้างานต้องรับผิดชอบ - วิธีปฏิบัติและข้อควรระวังในการติดต่อกับเจ้าของข้อมูล - สิทธิของเจ้าของข้อมูลและการตอบสนองต่อคำร้อง - กรณีศึกษาที่เกี่ยวข้อง ข้อมูลการจัดอบรม - ระยะเวลาอบรม: 3 ชั่วโมง - วันที่จัดอบรม: 15 มิถุนายน 2568 - สถานที่: ห้องอบรม ชั้น 2 อาคารสำนักงานใหญ่ - ผู้เข้าอบรม: พนักงานบริการลูกค้า เจ้าหน้าที่ฝ่ายรับเรื่องร้องเรียน รวม 20 คน ### ตัวอย่างใบลงทะเบียนเข้าร่วมอบรม | ลำดับ | ชื่อ-นามสกุล | ตำแหน่ง | ลงชื่อ | วันที่ | |------|--------------|---------|--------|--------| | 1 | นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | (ลายเซ็น) | 15/06/2568 | | 2 | นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่รับเรื่องร้องเรียน | (ลายเซ็น) | 15/06/2568 | ### แบบทดสอบหลังการอบรม (ตัวอย่างคำถาม) 1. ข้อใดคือข้อมูลส่วนบุคคลที่ต้องได้รับการปกป้องอย่างเคร่งครัด? - ก. ชื่อและนามสกุล - ข. เบอร์โทรศัพท์ - ค. รายละเอียดสุขภาพ - ง. ถูกทุกข้อ 2. หากเจ้าของข้อมูลขอเข้าถึงข้อมูลส่วนบุคคล ต้องดำเนินการอย่างไร? - ก. ปฏิเสธ - ข. แจ้งฝ่ายคุ้มครองข้อมูลส่วนบุคคล (DPO) - ค. ให้ข้อมูลทันที - ง. ไม่ตอบสนอง 3. พนักงานหน้างานควรปฏิบัติอย่างไรเมื่อได้รับข้อมูลส่วนบุคคลจากลูกค้า? - ก. เก็บรักษาอย่างปลอดภัย - ข. ห้ามเปิดเผยข้อมูลแก่บุคคลอื่นโดยไม่ได้รับอนุญาต - ค. แจ้งเจ้าของข้อมูลเกี่ยวกับวัตถุประสงค์การใช้ข้อมูล - ง. ถูกทุกข้อ ### รายงานผลการทดสอบพนักงานหลังอบรม | ชื่อ-นามสกุล | ตำแหน่ง | คะแนน | ผ่าน/ไม่ผ่าน | หมายเหตุ | |--------------|---------|-------|--------------|----------| | นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | 90/100 | ผ่าน | | | นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่รับเรื่องร้องเรียน | 75/100 | ผ่าน | | | นายวิทยา สุขใจ | เจ้าหน้าที่บริการลูกค้า | 50/100 | ไม่ผ่าน | ต้องอบรมซ้ำ | **สรุป** องค์กรได้จัดอบรมพิเศษให้กับพนักงานหน้างานแล้ว พร้อมดำเนินการทดสอบเพื่อประเมินความเข้าใจและบันทึกผลการทดสอบตามมาตรฐานกฎหมาย PDPA และแนวทางประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-2.md ============================================================ โนด: แนวปฏิบัติ 6.5.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-5-3.md # 6.5.3 พนักงาน/เจ้าหน้าที่ตระหนักและรับทราบถึงวิธีการต่าง ๆ ที่องค์กรใช้เป็นช่องทางในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ พนักงานทั้งหมดทราบช่องทางในการแจ้งข้อมูล ## หลักฐาน 1. หลักฐานการรับทราบข้อมูลของพนักงาน/เจ้าหน้าที่ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (7) โทษทางปกครอง: ในกรณีที่ไม่ปฏิบัติตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล **วัตถุประสงค์** เพื่อให้พนักงานและเจ้าหน้าที่ทุกคนรับทราบช่องทางและวิธีการที่องค์กรใช้ในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามข้อกำหนดของ PDPA **ช่องทางการแจ้งข้อมูลที่องค์กรใช้** - ประกาศในเว็บไซต์องค์กร (ลิงก์ประกาศนโยบายความเป็นส่วนตัว) - ระบบอีเมลองค์กร - ป้ายประกาศที่ติดตั้งในพื้นที่ทำงาน - การประชุมและอบรมภายในองค์กร - คู่มือพนักงานและเอกสารประกอบการทำงาน - ระบบแจ้งเตือนผ่านแอปพลิเคชันภายในองค์กร ### แบบฟอร์มรับทราบข้อมูลของพนักงาน | ลำดับ | ชื่อ-นามสกุล | ตำแหน่ง | ช่องทางที่รับทราบข้อมูล | ลงชื่อรับทราบ | วันที่ | |------|--------------|---------|--------------------------|----------------|--------| | 1 | นายสมชาย ใจดี | เจ้าหน้าที่บริการลูกค้า | อีเมลองค์กร, ประกาศในเว็บไซต์องค์กร | (ลายเซ็น) | 3/6/2568 | | 2 | นางสาวสุมิตรา กล้าหาญ | เจ้าหน้าที่ฝ่ายทรัพยากรบุคคล | ป้ายประกาศในสำนักงาน, การประชุมภายในองค์กร | (ลายเซ็น) | 3/6/2568 | | 3 | นายวิทยา สุขใจ | เจ้าหน้าที่ฝ่ายไอที | อีเมลองค์กร, ระบบแจ้งเตือนแอปพลิเคชันภายในองค์กร | (ลายเซ็น) | 3/6/2568 | **สรุป** พนักงานและเจ้าหน้าที่ขององค์กรทุกคนได้รับข้อมูลและตระหนักถึงช่องทางต่าง ๆ ที่องค์กรใช้ในการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างครบถ้วนและถูกต้อง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-5-3.md ============================================================ โนด: แนวปฏิบัติ 6.6.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-1.md # 6.6.1 หากองค์กรจะใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่/เปลี่ยนแปลงวัตถุประสงค์ องค์กรมีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและมีการสื่อสารการเปลี่ยนแปลงดังกล่าวไปยังเจ้าของข้อมูลส่วนบุคคลก่อนที่จะเริ่มการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่ดังกล่าว ## สิ่งที่ต้องทำ มีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและมีการสื่อสารการเปลี่ยนแปลงไปยังเจ้าของข้อมูลส่วนบุคคลครบถ้วน ## หลักฐาน 1. ขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร 2. วิธีการที่จะใช้ในการสื่อสารไปยังเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 21](https://link.pdpalawbase.com/section/21.md) โดยในกรณีที่ไม่ปฏิบัติตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) กำหนดโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ขั้นตอนการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและการสื่อสารการเปลี่ยนแปลงวัตถุประสงค์ใหม่ **วัตถุประสงค์:** เพื่อให้การใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่หรือการเปลี่ยนแปลงวัตถุประสงค์มีความชัดเจนและโปร่งใส โดยองค์กรมีขั้นตอนในการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคลและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนเริ่มใช้ข้อมูลตามวัตถุประสงค์ใหม่ **ขั้นตอนการปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคล** | ลำดับ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | ระยะเวลา (วัน) | |------|---------|-----------|-------------|----------------| | 1 | ตรวจสอบความจำเป็นในการเปลี่ยนแปลงวัตถุประสงค์ | พิจารณาวัตถุประสงค์ใหม่ที่ต้องใช้ข้อมูลส่วนบุคคล | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 | | 2 | จัดทำร่างประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับปรับปรุง | ระบุวัตถุประสงค์ใหม่และรายละเอียดที่เกี่ยวข้อง | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 3 | | 3 | ตรวจสอบและอนุมัติประกาศฉบับปรับปรุง | รับรองความถูกต้องของเนื้อหาและความเหมาะสม | คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล | 2 | | 4 | จัดเตรียมช่องทางและวิธีการสื่อสารแจ้งเจ้าของข้อมูล | กำหนดช่องทางสื่อสาร เช่น อีเมล เว็บไซต์ หรือจดหมายแจ้ง | ฝ่ายสื่อสารองค์กร/ฝ่ายไอที | 2 | | 5 | แจ้งเจ้าของข้อมูลส่วนบุคคลก่อนเริ่มใช้ข้อมูลตามวัตถุประสงค์ใหม่ | ส่งข้อความแจ้งเตือน พร้อมลิงก์ประกาศฉบับปรับปรุง | ฝ่ายสื่อสารองค์กร/ฝ่ายบริการลูกค้า | 3 | | 6 | บันทึกหลักฐานการแจ้งและรับทราบจากเจ้าของข้อมูล | เก็บสำเนาหลักฐานและรายงานสรุป | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | ต่อเนื่อง | ### วิธีการสื่อสารแจ้งเจ้าของข้อมูลส่วนบุคคล - ส่งอีเมลแจ้งรายละเอียดการเปลี่ยนแปลงพร้อมแนบลิงก์ประกาศฉบับปรับปรุง - แจ้งผ่านหน้าเว็บไซต์องค์กรที่มีประกาศนโยบายความเป็นส่วนตัว - ส่งข้อความผ่านระบบแจ้งเตือนแอปพลิเคชันขององค์กร (ถ้ามี) - ส่งจดหมายแจ้งเป็นเอกสารสำหรับเจ้าของข้อมูลที่ต้องการเอกสารฉบับจริง - ประกาศผ่านช่องทางสื่อสารภายใน เช่น ประชุมเจ้าหน้าที่หรือข่าวสารภายในองค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-1.md ============================================================ โนด: แนวปฏิบัติ 6.6.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-2.md # 6.6.2 องค์กรมีการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการพิจารณาเปรียบเทียบกับการบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อให้แน่ใจว่าข้อมูลดังกล่าวเป็นปัจจุบันและอธิบายถึงสิ่งที่เกิดขึ้นกับข้อมูลส่วนบุคคลของบุคคลได้จริง ## สิ่งที่ต้องทำ มีการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการพิจารณาเปรียบเทียบกับบันทึกรายการของกิจกรรม ## หลักฐาน 1. หลักฐานการทบทวนประกาศข้อมูลส่วนบุคคลโดยการเปรียบเทียบกับการบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เช่น การจัดประชุมของผู้ที่มีส่วนเกี่ยวข้องหรือได้รับมอบหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการเปรียบเทียบกับบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) **วัตถุประสงค์:** เพื่อให้ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรมีความถูกต้อง เป็นปัจจุบัน และสอดคล้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่เกิดขึ้นจริงในองค์กร **ขั้นตอนการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล** | ลำดับ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | ระยะเวลา (วัน) | |------|---------|-----------|-------------|----------------| | 1 | นัดหมายผู้มีส่วนเกี่ยวข้อง | รวมผู้ดูแลข้อมูลส่วนบุคคล ฝ่ายกฎหมาย ฝ่ายไอที และฝ่ายบริหาร | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 | | 2 | ตรวจสอบประกาศการคุ้มครองข้อมูลส่วนบุคคล | นำประกาศฉบับปัจจุบันมาทบทวนอย่างละเอียด | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 | | 3 | เปรียบเทียบประกาศกับบันทึกรายการ ROPA | ตรวจสอบกิจกรรมการประมวลผลข้อมูลที่บันทึกไว้ใน ROPA ว่าตรงกับประกาศหรือไม่ | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล/ฝ่ายไอที | 2 | | 4 | วิเคราะห์ความแตกต่างและปรับปรุงประกาศ | หากพบความแตกต่าง ให้จัดทำข้อเสนอปรับปรุงประกาศ | ฝ่ายกฎหมาย/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 2 | | 5 | รายงานผลการทบทวน | จัดทำรายงานสรุปผลการทบทวน พร้อมข้อเสนอแนะ | ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 | | 6 | อนุมัติและบันทึกหลักฐาน | นำเสนอรายงานต่อผู้บริหารเพื่ออนุมัติ และเก็บเป็นหลักฐาน | ฝ่ายบริหาร/ฝ่ายคุ้มครองข้อมูลส่วนบุคคล | 1 | **หลักฐานที่จัดทำไว้** - รายงานผลการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล (มีการเปรียบเทียบกับ ROPA) - รายงานการประชุมผู้มีส่วนเกี่ยวข้องที่ทำการทบทวน - บันทึกการอนุมัติรายงานจากผู้บริหาร - สำเนาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ที่ใช้ในการเปรียบเทียบ ### ตัวอย่างข้อความรายงานการประชุมทบทวนประกาศ "ในวันที่ xx/xx/xxxx คณะทำงานคุ้มครองข้อมูลส่วนบุคคลได้จัดประชุมเพื่อทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคล โดยเปรียบเทียบกับบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อยืนยันความถูกต้องและความสอดคล้องกัน ผลการตรวจสอบ พบว่า ประกาศดังกล่าวมีข้อมูลครบถ้วนสอดคล้องกับกิจกรรมประมวลผลในปัจจุบัน และได้เสนอแนะการปรับปรุงในส่วนรายละเอียดเกี่ยวกับการใช้ข้อมูลในบางกิจกรรม โดยจะนำไปปรับปรุงประกาศในรอบถัดไป" ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-2.md ============================================================ โนด: แนวปฏิบัติ 6.6.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-3.md # 6.6.3 องค์กรเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ รวมถึงวันที่ทำการเปลี่ยนแปลง เพื่อให้สามารถตรวจสอบว่าข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลใดบ้างที่ได้แจ้งและแจ้งเมื่อใด ## สิ่งที่ต้องทำ การเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับและข้อมูลวันที่ทำการเปลี่ยนแปลงอย่างครบถ้วน ## หลักฐาน 1. ข้อมูลการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับและข้อมูลวันที่ทำการเปลี่ยนแปลง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ พร้อมวันที่เปลี่ยนแปลง **วัตถุประสงค์:** เพื่อให้สามารถตรวจสอบย้อนหลังได้ว่า ประกาศการคุ้มครองข้อมูลส่วนบุคคลฉบับใดบ้างที่เคยใช้บังคับ และข้อมูลที่แจ้งแก่เจ้าของข้อมูลมีรายละเอียดอย่างไร รวมถึงวันเวลาที่มีการเปลี่ยนแปลงประกาศดังกล่าว **ขั้นตอนการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ** | ลำดับ | รายการ | รายละเอียด | |------|--------|-----------| | 1 | รวบรวมประกาศปัจจุบันและฉบับเก่า | ระบุหมายเลขเวอร์ชันของประกาศแต่ละฉบับ | | 2 | รวบรวมประกาศการคุ้มครองข้อมูลที่เคยใช้บังคับทุกฉบับ | กำหนดหมายเลขเวอร์ชันหรือชื่อฉบับ เช่น v1.0 v2.0 | | 3 | บันทึกวันที่ประกาศเริ่มใช้และวันที่มีการเปลี่ยนแปลง | บันทึกวัน/เดือน/ปี ที่ประกาศเริ่มใช้และวันที่แก้ไขล่าสุด | | 4 | จัดทำสารบัญบันทึกประกาศการคุ้มครอง | สรุปประกาศแต่ละฉบับและวันที่เปลี่ยนแปลงในรูปแบบสารบัญ | | 5 | เก็บรักษาเอกสารในระบบจัดเก็บกลาง | เก็บในระบบเอกสารอิเล็กทรอนิกส์ หรือในแฟ้มเอกสารที่ควบคุมได้ | | 6 | อนุมัติและรับรองเอกสารโดยผู้บริหาร | ผู้บริหารลงนามรับรองการจัดเก็บและการบันทึกข้อมูล | ### ตัวอย่างสารบัญการเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคล | เวอร์ชัน | วันที่ประกาศใช้ | วันที่เปลี่ยนแปลงล่าสุด | หมายเหตุ | |---------|----------------|------------------------|---------| | v1.0 | 01 มกราคม 2562 | - | ฉบับแรกประกาศใช้ | | v1.1 | 15 กรกฎาคม 2563 | 15 กรกฎาคม 2563 | แก้ไขเนื้อหาเพิ่มเติมเรื่องวัตถุประสงค์ | | v2.0 | 01 มีนาคม 2565 | - | ปรับปรุงประกาศตาม พ.ร.บ.ใหม่และมาตรฐานสากล | ### ตัวอย่างแบบฟอร์มบันทึกประกาศที่เคยใช้บังคับ - **ชื่อประกาศ:** ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ABC - **เวอร์ชัน:** v1.1 - **วันที่เริ่มใช้:** 15 กรกฎาคม 2563 - **วันที่เปลี่ยนแปลงล่าสุด:** 15 กรกฎาคม 2563 - **รายละเอียดการเปลี่ยนแปลง:** เพิ่มความชัดเจนในส่วนของวัตถุประสงค์การใช้ข้อมูลและวิธีการแจ้งเจ้าของข้อมูล - **จัดเก็บโดย:** ฝ่ายคุ้มครองข้อมูลส่วนบุคคล - **รับรองโดย:** ผู้จัดการฝ่ายกฎหมาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-3.md ============================================================ โนด: แนวปฏิบัติ 6.6.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-4.md # 6.6.4 องค์กรดำเนินการทดสอบโดยผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ มีการทดสอบกับผู้ใช้และประเมินประสิทธิภาพ ## หลักฐาน 1. หลักฐานการทดสอบกับผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### การทดสอบกับผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูล **วัตถุประสงค์:** เพื่อประเมินว่าการแจ้งข้อมูลแก่เจ้าของข้อมูลส่วนบุคคลในรูปแบบหรือสื่อต่าง ๆ มีความชัดเจน เข้าใจง่าย และมีประสิทธิภาพในการสื่อสารข้อมูลที่จำเป็นเกี่ยวกับวัตถุประสงค์และรายละเอียดการประมวลผลข้อมูล **ขั้นตอนการทดสอบ** 1. **กำหนดกลุ่มผู้ใช้ทดสอบ** — ตัวอย่างเช่น เจ้าของข้อมูลจริง หรือกลุ่มตัวแทนจากพนักงาน และลูกค้า 2. **จัดเตรียมเอกสารหรือสื่อแจ้งข้อมูล** — ประกาศการคุ้มครองข้อมูลส่วนบุคคล ตัวอย่างข้อความแจ้งวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล 3. **ดำเนินการทดสอบ** — ให้ผู้ใช้ทดลองอ่าน/รับทราบข้อมูล และใช้แบบสอบถามหรือสัมภาษณ์เพื่อประเมินความเข้าใจ ความชัดเจนและความพึงพอใจ 4. **รวบรวมผลการประเมิน** — บันทึกข้อคิดเห็น ความเข้าใจที่ถูกต้องหรือผิดพลาด และประเมินคะแนนความเข้าใจและประสิทธิภาพ 5. **สรุปผลและปรับปรุง** — รายงานผลการทดสอบ และกำหนดแนวทางแก้ไขปรับปรุงการแจ้งข้อมูลหากจำเป็น ### ตัวอย่างแบบฟอร์มการประเมินผู้ใช้ | คำถามประเมิน | คำตอบ (เลือก/เขียน) | |--------------|---------------------| | คุณเข้าใจวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคลหรือไม่? | [ ] เข้าใจชัดเจน [ ] ค่อนข้างเข้าใจ [ ] ไม่เข้าใจ | | ข้อมูลที่แจ้งมีความชัดเจนและเข้าใจง่ายหรือไม่? | [ ] ชัดเจนมาก [ ] ปานกลาง [ ] ไม่ชัดเจน | | คุณรู้สึกว่าการแจ้งข้อมูลมีเพียงพอหรือไม่? | [ ] เพียงพอ [ ] ไม่แน่ใจ [ ] ไม่เพียงพอ | | ข้อเสนอแนะเพิ่มเติม | | ### ตัวอย่างรายงานสรุปผลการทดสอบ - **วันที่ทดสอบ:** 15 พฤษภาคม 2568 - **จำนวนผู้เข้าร่วม:** 10 คน - **ผลการประเมิน:** - 80% เข้าใจวัตถุประสงค์การเก็บข้อมูลชัดเจน - 70% ระบุว่าข้อมูลแจ้งมีความชัดเจนและเข้าใจง่าย - ข้อเสนอแนะหลัก: ควรเพิ่มตัวอย่างประกอบคำอธิบายเพื่อความเข้าใจที่ดีขึ้น - **แนวทางแก้ไข:** ปรับปรุงข้อความประกาศและเพิ่มตัวอย่างคำถามที่พบบ่อย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-4.md ============================================================ โนด: แนวปฏิบัติ 6.6.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-6-5.md # 6.6.5 องค์กรวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรใช้ข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งข้อร้องเรียนใด ๆ เกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคลนั้น ## สิ่งที่ต้องทำ มีการวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรใช้ข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพและครบถ้วน ## หลักฐาน 1. แนวปฏิบัติขององค์กรในการวิเคราะห์ข้อร้องเรียนสาธารณะในส่วนที่เกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### แนวปฏิบัติการวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรอธิบายถึงการใช้ข้อมูลส่วนบุคคล **วัตถุประสงค์:** เพื่อให้การจัดการข้อร้องเรียนเกี่ยวกับการใช้ข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพ โดยเฉพาะข้อร้องเรียนที่เกี่ยวข้องกับการแจ้งข้อมูลตามประกาศคุ้มครองข้อมูลส่วนบุคคล เพื่อปรับปรุงและเพิ่มความชัดเจนในการสื่อสารแก่เจ้าของข้อมูลส่วนบุคคล **แนวปฏิบัติในการวิเคราะห์ข้อร้องเรียน** 1. **การรับข้อร้องเรียน** - ช่องทางรับข้อร้องเรียนจากสาธารณะ เช่น ทางอีเมล โทรศัพท์ เว็บฟอร์ม หรือจดหมาย - บันทึกรายละเอียดข้อร้องเรียน เช่น วันที่ ผู้ร้องเรียน เนื้อหาข้อร้องเรียน 2. **การจำแนกประเภทข้อร้องเรียน** - แยกข้อร้องเรียนที่เกี่ยวข้องกับการอธิบายวิธีใช้ข้อมูลส่วนบุคคลจากประเภทอื่น ๆ 3. **การวิเคราะห์ข้อร้องเรียน** - ตรวจสอบรายละเอียดในประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง - วิเคราะห์ข้อร้องเรียนเพื่อค้นหาสาเหตุของปัญหา เช่น ความไม่ชัดเจนในการแจ้งข้อมูล - ประเมินผลกระทบต่อเจ้าของข้อมูลและองค์กร 4. **การรายงานและเสนอแนะแนวทางแก้ไข** - จัดทำรายงานสรุปผลการวิเคราะห์ข้อร้องเรียน - เสนอแนวทางแก้ไข ปรับปรุงประกาศการคุ้มครองข้อมูลส่วนบุคคล หรือช่องทางสื่อสารข้อมูล 5. **การติดตามผล** - ตรวจสอบการนำข้อเสนอแนะไปปฏิบัติ - ประเมินผลหลังการปรับปรุงอย่างสม่ำเสมอ ### ตัวอย่างแบบฟอร์มบันทึกข้อร้องเรียนและการวิเคราะห์ | วันที่รับเรื่อง | ผู้ร้องเรียน | ประเภทข้อร้องเรียน | รายละเอียดข้อร้องเรียน | ผลการวิเคราะห์ | แนวทางแก้ไข/ปรับปรุง | สถานะการดำเนินการ | |----------------|--------------|--------------------|------------------------|----------------|----------------------|-------------------| | 1 มิ.ย. 2568 | นายสมชาย | การแจ้งข้อมูลไม่ชัดเจน | ไม่เข้าใจวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคล | ข้อความประกาศไม่ชัดเจนและซับซ้อน | ปรับข้อความให้ง่ายขึ้นและเพิ่มตัวอย่าง | ดำเนินการแก้ไขเรียบร้อย | | 10 มิ.ย. 2568 | นางสาวอร | ช่องทางการสื่อสารไม่ครบถ้วน | ไม่ทราบว่าข้อมูลใช้ไปเพื่อวัตถุประสงค์ใด | ช่องทางสื่อสารข้อมูลไม่หลากหลายพอ | เพิ่มช่องทางแจ้งข้อมูลผ่านแอปพลิเคชัน | รอดำเนินการ | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-6-5.md ============================================================ โนด: แนวปฏิบัติ 6.7.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-1.md # 6.7.1 ประกาศการคุ้มครองข้อมูลส่วนบุคคลมีความชัดเจนและง่ายสำหรับสาธารณะในการเข้าถึง ## สิ่งที่ต้องทำ มีประกาศการคุ้มครองข้อมูลส่วนบุคคลชัดเจนและง่ายในการเข้าถึง ## หลักฐาน 1. ช่องทางในการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ช่องทางในการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคล **วัตถุประสงค์:** เพื่อแสดงให้เห็นว่าองค์กรมีความโปร่งใสในการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวิธีการใช้ข้อมูลของตน โดยเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคลในช่องทางที่เข้าถึงได้ง่าย และมีความชัดเจนในการสื่อสาร องค์กรได้ดำเนินการเผยแพร่ประกาศการคุ้มครองข้อมูลส่วนบุคคลผ่านช่องทางต่อไปนี้ **1. เว็บไซต์ขององค์กร** - ประกาศฯ ถูกเผยแพร่ในหน้าเว็บไซต์หลักขององค์กร โดยสามารถเข้าถึงได้จากเมนู "นโยบายความเป็นส่วนตัว" หรือ "นโยบายคุ้มครองข้อมูลส่วนบุคคล" - ตัวอย่าง URL: https://www.organizationname.or.th/privacy-policy - รูปแบบเข้าใจง่าย มีภาษาที่เหมาะสมกับบุคคลทั่วไปและผู้สูงอายุ (ฉบับย่อและฉบับเต็มให้เลือกอ่าน) **2. สื่อสิ่งพิมพ์และแผ่นพับ (ในสำนักงาน)** - มีการจัดวางแผ่นพับให้เจ้าของข้อมูลทราบ เช่น เคาน์เตอร์ต้อนรับ จุดลงทะเบียน และจุดบริการลูกค้า มี QR Code สำหรับสแกนเพื่ออ่านฉบับเต็มทางออนไลน์ **3. แอปพลิเคชันขององค์กร (ถ้ามี)** - ในหน้า "ตั้งค่า" หรือ "ข้อมูลผู้ใช้" มีลิงก์ไปยังประกาศการคุ้มครองข้อมูลส่วนบุคคล - รูปแบบเข้าใจง่ายทั้งบนโทรศัพท์มือถือและแท็บเล็ต **4. แบบฟอร์มออนไลน์และแบบฟอร์มกระดาษ** - แนบประกาศฯ ฉบับย่อไว้ท้ายแบบฟอร์มการลงทะเบียน ข้อมูลสมัครงาน และเอกสารอื่นที่มีการเก็บข้อมูลผู้ใช้ โดยอาจอยู่ก่อนคลิก "ยอมรับ" หรือ "ให้ความยินยอม" ### คุณลักษณะของประกาศการคุ้มครองข้อมูลส่วนบุคคล - มีโครงสร้างที่เข้าใจง่าย แบ่งหัวข้อชัดเจน ได้แก่ - วัตถุประสงค์ของการประมวลผลข้อมูล - ประเภทของข้อมูลที่เก็บ - สิทธิของเจ้าของข้อมูล - ช่องทางการติดต่อ DPO หรือองค์กร - ใช้ภาษาที่เป็นมิตร เหมาะกับผู้ใช้งานทั่วไป - สำหรับข้อมูลของผู้สูงอายุ มีเวอร์ชันที่เรียบเรียงให้เหมาะสมกับช่วงวัย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-1.md ============================================================ โนด: แนวปฏิบัติ 6.7.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-2.md # 6.7.2 องค์กรมีเครื่องมือให้กับเจ้าของข้อมูลส่วนบุคคล เช่น ระบบการบริการตนเองที่ปลอดภัย แดชบอร์ด และการแจ้งเตือนแบบทันเวลา เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลของพวกเขาได้ ## สิ่งที่ต้องทำ มีเครื่องมือที่มีประสิทธิภาพ เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลได้ ## หลักฐาน 1. หลักฐานแสดงเครื่องมือที่ทำให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง กำหนด และจัดการกับข้อมูลส่วนบุคคลได้ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### ระบบบริการตนเอง (Self-Service Platform) องค์กรได้พัฒนาระบบบริการตนเองสำหรับเจ้าของข้อมูลส่วนบุคคล โดยระบบนี้มีฟังก์ชันการใช้งานดังนี้: - เข้าสู่ระบบด้วยรหัส OTP หรือบัญชีผู้ใช้ที่ลงทะเบียนไว้ล่วงหน้า - สามารถดูข้อมูลส่วนบุคคลที่องค์กรจัดเก็บได้ - สามารถแก้ไขข้อมูลบางรายการ เช่น ที่อยู่ติดต่อ ที่อยู่ และความยินยอม - สามารถดาวน์โหลดสำเนาข้อมูลของตนในรูปแบบ JSON หรือ PDF - สามารถตั้งค่าคำเตือนหรือระงับการใช้ข้อมูลได้ทันที URL ระบบ: https://dataportal.organizationname.or.th ### แดชบอร์ดการจัดการข้อมูลส่วนบุคคล แดชบอร์ดสำหรับผู้ที่เข้าสู่ระบบแล้ว มีฟังก์ชันดังนี้: - แสดงสถานะความยินยอมแต่ละประเภท - ประวัติการให้ความยินยอมและการเพิกถอนความยินยอม - รายการการเข้าถึงข้อมูลย้อนหลัง - คำขอที่อยู่ระหว่างดำเนินการ และผลการดำเนินการ หน้าแดชบอร์ดออกแบบให้ใช้งานง่าย รองรับทั้งภาษาไทยและภาษาอังกฤษ และสามารถแสดงผลบนมือถือได้อย่างเหมาะสม ### การแจ้งเตือนแบบทันเวลา (Just-In-Time Notices) องค์กรมีระบบแสดง "การแจ้งเตือนแบบทันเวลา" ทุกครั้งที่มีการเก็บรวบรวมข้อมูลผ่านระบบออนไลน์หรือแอปพลิเคชัน เช่น: - เมื่อมีการลงทะเบียนสมัครสมาชิก - เมื่อเริ่มทำแบบสำรวจที่มีการเก็บข้อมูล - ก่อนเก็บคุกกี้หรือข้อมูลเชิงพฤติกรรม ตัวอย่างข้อความการแจ้ง: > "เราใช้ข้อมูลของคุณเพื่อทำงานด้านสื่อสารและสิทธิประโยชน์ หากไม่ต้องการรับข้อมูลนี้ ท่านสามารถเลือก 'ไม่ยินยอม' ได้ทันที" ข้อความดังกล่าวจะแสดงเป็น Pop-up หรือ Banner ก่อนที่ระบบจะเก็บข้อมูล หรือให้ผู้ใช้ "คลิกตกลง" ในลักษณะที่เป็นไปตามหลักการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนการออกแบบ ### เอกสารแนบ - ภาพหน้าจอระบบบริการตนเอง - ภาพหน้าจอแดชบอร์ดการจัดการข้อมูล - ตัวอย่าง Pop-up แจ้งเตือนแบบทันเวลา - URL ทดลองใช้งานระบบ (หากมีเวอร์ชันสาธิต) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-2.md ============================================================ โนด: แนวปฏิบัติ 6.7.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-3.md # 6.7.3 องค์กรกำหนดค่าเริ่มต้นความเป็นส่วนตัวที่ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงตัวเลือกและการควบคุมที่ใช้งานง่ายสำหรับเจ้าของข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ มีการกำหนดค่าเริ่มต้นที่กำหนด และมีตัวเลือกและการควบคุมที่ใช้งานง่าย ## หลักฐาน 1. นโยบายหรือกระบวนการออกแบบโดยมีพื้นฐานมาจากการกำหนดค่าเริ่มต้นความเป็นส่วนตัวที่ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการกำหนดค่าเริ่มต้นความเป็นส่วนตัว (Privacy by Default Policy) องค์กรได้จัดทำนโยบายการออกแบบระบบและบริการโดยคำนึงถึงความเป็นส่วนตัวตั้งแต่เริ่มต้น มีรายละเอียดการตั้งค่าความเป็นส่วนตัวเริ่มต้นที่ปลอดภัยและลดความเสี่ยง ดังนี้ - การตั้งค่าความเป็นส่วนตัวเริ่มต้นเป็น "ไม่เผยแพร่ข้อมูล" หรือ "ไม่ยินยอม" เว้นแต่เจ้าของข้อมูลจะเลือกยินยอมเอง - ไม่เปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอกโดยอัตโนมัติ - ข้อมูลส่วนบุคคลถูกรวบรวมเฉพาะเท่าที่จำเป็นต่อวัตถุประสงค์ - การเก็บคุกกี้ถูกกำหนดเฉพาะคุกกี้ที่จำเป็นโดยเริ่มต้น จนกว่าจะได้รับความยินยอมจากผู้ใช้งาน - ระบบแจ้งเตือนการเข้าถึงข้อมูลส่วนบุคคล เช่น การเข้าสู่ระบบจากอุปกรณ์ใหม่ หรือการเปลี่ยนรหัสผ่าน ### การออกแบบส่วนติดต่อผู้ใช้เพื่อให้ควบคุมข้อมูลได้ง่าย องค์กรได้พัฒนาการออกแบบที่เน้นผู้ใช้งานสามารถเข้าถึงและควบคุมการตั้งค่าความเป็นส่วนตัวได้ง่าย ดังนี้ - มีแดชบอร์ดความเป็นส่วนตัว ให้เจ้าของข้อมูลสามารถเปิด/ปิดการเก็บข้อมูลบางประเภท และจัดการสิทธิการเข้าถึงข้อมูลของบุคคลที่สาม - ดาวน์โหลด/ลบข้อมูลของตนได้ด้วยตนเอง - ข้อความแจ้งความเป็นส่วนตัวถูกเขียนให้เข้าใจง่าย ไม่ใช้ศัพท์ทางเทคนิค - ทุกการเก็บข้อมูลมีการแจ้งเตือนแบบทันเวลาอธิบายก่อนเริ่มการเก็บข้อมูลจริง ### กระบวนการออกแบบระบบที่มีมาตรการคุ้มครองความเป็นส่วนตัวตั้งแต่ขั้นออกแบบ องค์กรมีแนวทางการพัฒนาระบบหรือผลิตภัณฑ์ดิจิทัลโดยพิจารณาเรื่องความเป็นส่วนตัวตั้งแต่ขั้นตอนการออกแบบ ได้แก่ - การทบทวนการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนพัฒนา/ปรับปรุงระบบ - การใช้การตั้งค่าที่เป็นค่าเริ่มต้นที่ปลอดภัยและเก็บข้อมูลน้อยที่สุด - มีแนวทางควบคุมการแบ่งปันข้อมูลภายในและภายนอกองค์กรโดยผ่านการอนุมัติล่วงหน้า - อัปเดตแนวทางการออกแบบปีละอย่างน้อย 1 ครั้ง ตามมาตรฐานสากล เช่น ISO/IEC 27701, OWASP, GDPR ### เอกสารแนบ - สำเนานโยบายการกำหนดค่าเริ่มต้นความเป็นส่วนตัว - คู่มือการออกแบบแดชบอร์ดและเมนูควบคุมความเป็นส่วนตัว - ภาพหน้าจอแดชบอร์ดและหน้าแจ้งความยินยอม - เอกสารเวิร์กโฟลว์การพัฒนาโปรเจกต์ใหม่ที่รวมการคุ้มครองความเป็นส่วนตัวตั้งแต่ขั้นออกแบบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-3.md ============================================================ โนด: แนวปฏิบัติ 6.7.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-4.md # 6.7.4 ในกรณีที่เกี่ยวข้อง องค์กรมีกระบวนการเพื่อช่วยให้ผู้เยาว์สามารถใช้สิทธิในการปกป้องความเป็นส่วนตัวของข้อมูลส่วนบุคคลด้วยวิธีที่เข้าถึงได้ง่ายและที่พวกเขาเข้าใจได้ ## สิ่งที่ต้องทำ มีมาตรการสำหรับผู้เยาว์ และวิธีที่เข้าถึงได้ง่ายสำหรับผู้เยาว์ ## หลักฐาน 1. มาตรการเพื่อช่วยให้ผู้เยาว์สามารถใช้สิทธิในการปกป้องความเป็นส่วนตัวของข้อมูลส่วนบุคคลด้วยวิธีที่เข้าถึงได้ง่ายที่พวกเขาเข้าใจได้ เช่น การแจ้งเตือนแบบทันเวลา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายองค์กรเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของผู้เยาว์ องค์กรมีนโยบายเฉพาะด้านที่กำหนดการปฏิบัติต่อข้อมูลของผู้เยาว์โดยตรง ซึ่งรวมถึง - การจำกัดการเก็บข้อมูลส่วนบุคคลของผู้เยาว์เฉพาะเท่าที่จำเป็น - การกำหนดกลไกการให้ความยินยอมที่แตกต่างจากผู้ใหญ่ (เช่น ความยินยอมจากผู้ปกครอง) - การมุ่งเน้นประโยชน์สูงสุดของเด็กตามแนวทางของสหประชาชาติ ### ช่องทางการใช้สิทธิที่เหมาะสมกับผู้เยาว์ องค์กรได้ออกแบบช่องทางการใช้สิทธิที่เหมาะสมกับระดับความเข้าใจของผู้เยาว์ เช่น - หน้าเว็บไซต์เฉพาะสำหรับเด็ก ที่ใช้งานง่าย ไม่มีศัพท์ทางกฎหมาย - การ์ตูนแอนิเมชัน หรือวิดีโออธิบายสิทธิข้อมูลส่วนบุคคล เช่น สิทธิขอเข้าถึง ลบ คัดค้าน - เมนูคำสั่งแบบไอคอน หรือเกมโต้ตอบที่ออกแบบประสบการณ์ผู้ใช้ร่วมกับนักจิตวิทยาเด็ก ### ตัวอย่างเครื่องมือที่ใช้ **ระบบแดชบอร์ด "My Info for Kids"** เด็กสามารถเข้าสู่ระบบได้ผ่านรหัสสมาชิก (ไม่ใช้ชื่อจริง) แล้วเห็นรายการข้อมูลที่ระบบเก็บเกี่ยวกับพวกเขา พร้อมตัวเลือก "ขอลบข้อมูล" "แก้ไข" หรือ "ไม่ให้เก็บอีก" พร้อมสัญลักษณ์เข้าใจง่าย **การแจ้งเตือนแบบทันเวลาสำหรับเด็ก** ข้อความสั้นที่อธิบายเหตุผลการเก็บข้อมูลแบบเข้าใจง่าย เช่น: > "เราขอเก็บคะแนนเกมของคุณไว้ เพื่อให้คุณได้ดูรางวัลทุกเดือน ตกลงไหม?" พร้อมปุ่ม "ตกลง" / "ไม่ตกลง" ข้อความนี้ใช้ระดับภาษาแบบพื้นฐาน (เทียบเท่าระดับประถม-ต้นมัธยม) ### การประเมินความเข้าใจของผู้เยาว์ - องค์กรได้ดำเนินการทดสอบความเข้าใจของผู้เยาว์ที่มีต่อการแจ้งเตือนและสิทธิของตน - ใช้กลุ่มเด็กอายุ 8-12 ปี และ 13-17 ปี ในการทดสอบต้นแบบการแจ้งสิทธิ - แบบสอบถามหลังใช้งานที่ประเมินว่าผู้เยาว์สามารถอธิบายสิทธิของตนกลับมาได้หรือไม่ - ผลการทดสอบ (ปีล่าสุด): ร้อยละ 84 ของกลุ่มเป้าหมายสามารถระบุสิทธิของตนและใช้เครื่องมือได้ถูกต้อง ### การอบรมบุคลากรเกี่ยวกับข้อมูลของผู้เยาว์ เจ้าหน้าที่บริการลูกค้าและฝ่ายเทคโนโลยีได้รับการฝึกอบรมเพิ่มเติมเรื่อง - ความเข้าใจทางพฤติกรรมเด็ก - การอธิบายสิทธิของข้อมูลส่วนบุคคลให้เด็กเข้าใจ - การจัดการกับคำขอจากผู้เยาว์โดยไม่ละเมิดสิทธิผู้ปกครองหรือกฎหมายอื่นที่เกี่ยวข้อง ### การจัดเก็บหลักฐานการดำเนินงาน - บันทึกการใช้แดชบอร์ด "My Info for Kids" - สถิติการใช้การแจ้งเตือนแบบทันเวลาโดยเด็ก - รายงานผลการทดสอบความเข้าใจผู้เยาว์ - บันทึกการสื่อสารทางอีเมลหรือโทรศัพท์ที่เกี่ยวข้องกับการใช้สิทธิของผู้เยาว์ - เอกสารการประชุมฝ่ายพัฒนาประสบการณ์ผู้ใช้ ฝ่ายกฎหมาย และฝ่ายข้อมูล เพื่อปรับปรุงบริการ ### การประเมินและปรับปรุงประจำปี มีรอบการทบทวนเครื่องมือและภาษาที่ใช้ทุก 12 เดือน โดยรวมความคิดเห็นจาก - เด็กที่ใช้บริการ - ผู้ปกครอง - ครู/นักจิตวิทยา - ทีมคุ้มครองข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-4.md ============================================================ โนด: แนวปฏิบัติ 6.7.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/6-7-5.md # 6.7.5 องค์กรใช้มาตรการที่เหมาะสมเพื่อปกป้องผู้เยาว์ที่ใช้บริการดิจิทัลขององค์กร ## สิ่งที่ต้องทำ มีมาตรการสำหรับผู้เยาว์ที่เหมาะสมและมีประสิทธิภาพ ## หลักฐาน 1. มาตรการปกป้องผู้เยาว์ที่ใช้บริการดิจิทัลขององค์กร เช่น มีเครื่องมือตรวจสอบอายุ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการปกป้องผู้เยาว์ (Child Online Protection Policy) องค์กรมีนโยบายเป็นลายลักษณ์อักษรในการให้ความคุ้มครองผู้เยาว์ที่เข้าใช้บริการดิจิทัล โดยมีเนื้อหาดังนี้ - นิยามของ "ผู้เยาว์" ตามประมวลกฎหมายแพ่งและพาณิชย์ไทย (อายุต่ำกว่า 20 ปีบริบูรณ์ หรือในบางกรณีตามนิยามของ GDPR คืออายุต่ำกว่า 16 ปี) - หลักการให้บริการแบบออกแบบโดยคำนึงถึงเด็กเป็นหลัก คือ ออกแบบโดยคำนึงประโยชน์สูงสุดของเด็ก - การเก็บข้อมูลเท่าที่จำเป็นและมีวัตถุประสงค์ชัดเจน - ห้ามใช้ข้อมูลผู้เยาว์เพื่อการโฆษณาตามพฤติกรรมแบบระบุตัวตน ### มาตรการตรวจสอบอายุ (Age Verification Tools) องค์กรมีระบบตรวจสอบอายุเพื่อแยกแยะผู้เยาว์ออกจากผู้ใหญ่ โดยใช้เทคโนโลยีและกระบวนการต่อไปนี้ **1. ขั้นตอนยืนยันอายุขณะสมัครสมาชิก** - กลไกการยืนยันสองชั้น: ให้ผู้สมัครกรอกวันเดือนปีเกิด + ยืนยันอายุผ่านอีเมล หรือ SMS - ระบบอัลกอริทึมการตรวจจับอายุ: สำหรับบริการที่มีการใช้งานผ่านกล้อง มีระบบระบุอายุโดยประมาณจากการวิเคราะห์ภาพใบหน้า (อิงตามมาตรฐานของ ICO และการประมาณอายุด้วยปัญญาประดิษฐ์) **2. ขั้นตอนเพิ่มเติมสำหรับผู้เยาว์** เมื่อระบบตรวจพบว่าเป็นผู้ใช้อายุต่ำกว่าเกณฑ์ มีการ - จำกัดฟีเจอร์ เช่น ไม่สามารถเปิดเผยข้อมูลสาธารณะ - ปิดโฆษณาแบบกำหนดกลุ่มเป้าหมาย - เปิดโหมดคุ้มครองขั้นสูงโดยอัตโนมัติ ### ระบบควบคุมโดยผู้ปกครอง (Parental Control Tools) ผู้ปกครองสามารถผูกบัญชีของตนเข้ากับบัญชีผู้เยาว์ เพื่อ - ตรวจสอบกิจกรรมที่ได้รับอนุญาต - ปรับระดับการเปิดเผยข้อมูลส่วนบุคคล - จำกัดเวลาในการใช้งาน (เช่น ไม่เกิน 2 ชั่วโมงต่อวันในวันเรียน) - รับแจ้งเตือนเมื่อมีการเข้าชมข้อมูลหรือมีผู้ติดต่อใหม่ ### การออกแบบอินเทอร์เฟซที่ปลอดภัยและเข้าใจง่ายสำหรับผู้เยาว์ - ส่วนติดต่อผู้ใช้ใช้ภาษาธรรมดา - มีไอคอนสำหรับ "ความเป็นส่วนตัว" "ขอความช่วยเหลือ" และ "อธิบายสิทธิ" - แจ้งเตือนแบบทันเวลาสำหรับการเก็บข้อมูล เช่น: > "เราขอเก็บเสียงของคุณเพื่อให้คุณเล่นเกมได้ คุณโอเคไหม?" [ใช่] [ไม่ใช่] ### กระบวนการจัดการความเสี่ยงต่อผู้เยาว์ - มีแบบฟอร์มเฉพาะสำหรับประเมินความเสี่ยงต่อผู้เยาว์ในการพัฒนา/เปิดตัวฟีเจอร์ใหม่ - มีคณะกรรมการย่อยทำหน้าที่ทบทวนบริการที่มีผลกระทบต่อเด็กก่อนเปิดใช้งาน - ตัวอย่างคำถามในการประเมิน: - เด็กสามารถเข้าใจไหมว่าข้อมูลใดจะถูกเก็บ - เด็กสามารถขอลบข้อมูลได้อย่างไร - เด็กอาจตัดสินใจแชร์ข้อมูลมากเกินไปหรือไม่ ### การฝึกอบรมพนักงานและผู้ดูแลระบบ เจ้าหน้าที่ฝ่ายบริการลูกค้า พนักงานฝ่ายพัฒนาเทคโนโลยีสารสนเทศ และฝ่ายนโยบายข้อมูล ได้รับการฝึกอบรม - เรื่องการรับรู้ข้อมูลของผู้เยาว์ - การสนทนาและรับเรื่องร้องเรียนจากผู้เยาว์ - การแจ้งสิทธิและแนวทางการยินยอมที่เหมาะสมกับเด็ก ### การบันทึกและประเมินผลการใช้มาตรการ - บันทึกการใช้งานการตรวจสอบอายุ (จำนวนผู้สมัครที่อายุต่ำกว่า 18 ปี) - รายงานการใช้แดชบอร์ดควบคุมโดยผู้ปกครอง - ผลการสำรวจผู้เยาว์ประจำปี - ตัวชี้วัด เช่น ความเข้าใจสิทธิ ความรู้สึกปลอดภัย ความสะดวกในการควบคุมข้อมูล - กรณีร้องเรียนเกี่ยวกับเด็ก (เช่น การใช้ถ้อยคำสื่อสาร ความเข้าใจผิดของเด็ก) - มีการวิเคราะห์และปรับปรุงมาตรการอย่างต่อเนื่อง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/6-7-5.md ============================================================ โนด: แนวปฏิบัติ 7.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-1.md # 7.1.1 องค์กรมีการทบทวนหรือจัดทำแผนผังข้อมูลเพื่อทำความเข้าใจการไหลเวียนของข้อมูลส่วนบุคคลในองค์กร ## สิ่งที่ต้องทำ มีการจัดทำแผนผังข้อมูลที่ชัดเจนและมีประสิทธิภาพ เพื่อทำความเข้าใจการไหลเวียนของ[ข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/personal-data.md)ภายในองค์กร ตั้งแต่การเก็บรวบรวม การใช้ การจัดเก็บ การส่งต่อ ไปจนถึงการลบหรือทำลายข้อมูล ## หลักฐาน 1. แผนผังข้อมูล ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### แผนผังข้อมูลส่วนบุคคล **1. จุดประสงค์** เพื่อแสดงการไหลเวียนของข้อมูลส่วนบุคคลภายในองค์กร ตั้งแต่การเก็บรวบรวม การใช้ การจัดเก็บ การส่งต่อ ไปจนถึงการลบหรือทำลายข้อมูล **2. ประเภทข้อมูลส่วนบุคคลที่เกี่ยวข้อง** - ข้อมูลลูกค้า (ชื่อ, เบอร์โทร, อีเมล, ที่อยู่) - ข้อมูลพนักงาน (ประวัติส่วนตัว, ประวัติการทำงาน, หมายเลขบัญชีธนาคาร) - ข้อมูลคู่สัญญา (ชื่อผู้ประสานงาน, ที่อยู่บริษัท, เลขประจำตัวผู้เสียภาษี) ### แผนผังข้อมูลส่วนบุคคล: ระดับองค์กร ``` [เจ้าของข้อมูล] [ช่องทางรับข้อมูล] -- (แบบฟอร์ม เว็บไซต์ แอปฯ E-mail) [ฝ่ายที่รับผิดชอบการเก็บข้อมูล] [ระบบจัดเก็บข้อมูล] [ฝ่ายที่ใช้ข้อมูล] [การส่งข้อมูลออกภายนอก] (เช่น Cloud Outsource) [การเก็บรักษาข้อมูล] [การลบ / ทำลาย / คืนข้อมูล] ``` ### เอกสารแนบ - ไฟล์แผนผังข้อมูลในรูปแบบ PDF หรือ PNG ที่สร้างจากโปรแกรมจัดทำแผนผัง - รายชื่อระบบที่จัดเก็บข้อมูล - นโยบายการเก็บรักษาและลบข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-1.md ============================================================ โนด: แนวปฏิบัติ 7.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-2.md # 7.1.2 แผนผังข้อมูลมีความถูกต้องเป็นปัจจุบัน และมีผู้รับผิดชอบในการทบทวนให้ถูกต้องและเป็นปัจจุบันอยู่เสมอ ## สิ่งที่ต้องทำ มีการมอบหมายให้มีผู้รับผิดชอบในการทบทวนแผนผังข้อมูล และมีรอบระยะเวลาการทบทวนที่ชัดเจน เพื่อให้ข้อมูลถูกต้องและเป็นปัจจุบัน ## หลักฐาน 1. หลักฐานการแต่งตั้งผู้รับผิดชอบในการจัดทำแผนผังข้อมูลในองค์กรและในแต่ละแผนก ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### คำสั่งแต่งตั้งผู้รับผิดชอบในการทบทวนแผนผังข้อมูลส่วนบุคคล **1. วัตถุประสงค์** เพื่อแต่งตั้งผู้รับผิดชอบหลักในการจัดทำและทบทวนแผนผังข้อมูลส่วนบุคคลขององค์กรให้ถูกต้องและเป็นปัจจุบัน รวมถึงกำหนดระยะเวลาการทบทวนที่ชัดเจน **2. รายละเอียดคำสั่งแต่งตั้ง** - **คำสั่งที่:** 001/2567 - **เรื่อง:** แต่งตั้งผู้รับผิดชอบในการจัดทำและทบทวนแผนผังข้อมูลส่วนบุคคลขององค์กร ด้วยองค์กรตระหนักถึงความสำคัญของความถูกต้อง ครบถ้วน และเป็นปัจจุบันของแผนผังข้อมูลส่วนบุคคล ซึ่งถือเป็นองค์ประกอบพื้นฐานในการควบคุมความเสี่ยงและดำเนินการให้เป็นไปตามแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล จึงแต่งตั้งบุคลากรเพื่อทำหน้าที่ดังนี้ **(1) ผู้รับผิดชอบหลักขององค์กร** - **ชื่อ-สกุล:** นายสมชาย ตั้งใจดี - **ตำแหน่ง:** หัวหน้าฝ่ายเทคโนโลยีสารสนเทศ - **หน้าที่:** - รวบรวมแผนผังข้อมูลจากแต่ละหน่วยงาน - ตรวจสอบความถูกต้องและการเชื่อมโยงข้อมูล - จัดทำแผนผังภาพรวมองค์กร - ประสานงานกับ DPO **(2) ผู้รับผิดชอบแต่ละหน่วยงาน** | หน่วยงาน | ชื่อ-สกุล | ตำแหน่ง | หน้าที่ | |---|---|---|---| | ฝ่ายบุคคล | นางสาวพรทิพย์ ใจงาม | หัวหน้า HR | จัดทำแผนผังข้อมูลพนักงาน | | ฝ่ายขาย/การตลาด | นายธนกฤต แสงทอง | หัวหน้าฝ่ายขาย | จัดทำแผนผังข้อมูลลูกค้า | | ฝ่ายบัญชี | นางสาวชลธิชา เงินดี | นักบัญชีอาวุโส | จัดทำแผนผังข้อมูลการเงินและการจ่ายเงิน | | ฝ่าย IT | นายวีรยุทธ เก่งจริง | เจ้าหน้าที่ระบบ | จัดทำแผนผังโครงสร้างการจัดเก็บและระบบรักษาความปลอดภัยของข้อมูล | **3. รอบระยะเวลาการทบทวนแผนผังข้อมูล** การทบทวนแผนผังข้อมูลจะดำเนินการตามรอบดังนี้ - **ความถี่:** ทุก 6 เดือน - **รอบทบทวนถัดไป:** กรกฎาคม 2567 และ มกราคม 2568 กรณีทบทวนเพิ่มเติม: - มีการเปลี่ยนระบบ IT / การจัดเก็บข้อมูล - มีการเปลี่ยนนโยบายหรือกระบวนการสำคัญในงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล - มีเหตุการณ์ด้านความปลอดภัยข้อมูล (เช่น ข้อมูลรั่วไหล) **4. การบันทึกผลการทบทวน** ผู้รับผิดชอบแต่ละฝ่ายจะต้องจัดทำรายงานทบทวน โดยระบุว่า - มีการเปลี่ยนแปลงในกระบวนการจัดเก็บ/ใช้ข้อมูลหรือไม่ - แผนผังข้อมูลยังถูกต้องหรือมีจุดที่ต้องปรับปรุง - แนบแผนผังฉบับปรับปรุง (ถ้ามี) รายงานส่งให้ DPO ภายในวันที่ 25 ของเดือนที่ครบรอบ **5. ลงนามคำสั่ง** ออกคำสั่ง ณ วันที่ 1 มิถุนายน พ.ศ. 2567 ลงนามโดย (นางศิรินทิพย์ บริหารดี) ผู้อำนวยการองค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-2.md ============================================================ โนด: แนวปฏิบัติ 7.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-1-3.md # 7.1.3 มีการตรวจสอบหารือกับส่วนงานที่เกี่ยวข้องเพื่อให้แผนผังข้อมูลถูกต้องและสอดคล้องกันในเชิงกระบวนการ ## สิ่งที่ต้องทำ มีการตรวจสอบหารือกับหน่วยงานที่เกี่ยวข้องอย่างครบถ้วน เพื่อให้มั่นใจว่าแผนผังข้อมูลที่จัดทำมีความถูกต้อง และมีความสอดคล้องกันในเชิงกระบวนการกับส่วนงานอื่น อาจใช้วิธีการตรวจสอบโดยคำถามหรือแบบสำรวจ ## หลักฐาน 1. แบบสำรวจหรือคำถามการสอบทานข้อมูลเพื่อจัดทำแผนผังข้อมูลขององค์กร ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### แบบสอบถาม/แบบสำรวจการสอบทานข้อมูลเพื่อจัดทำแผนผังข้อมูลขององค์กร **วัตถุประสงค์:** เพื่อรวบรวมข้อมูลจากหน่วยงานภายในองค์กร เพื่อจัดทำหรือทบทวนแผนผังข้อมูลส่วนบุคคลให้มีความถูกต้อง ครบถ้วน และสอดคล้องกันในเชิงกระบวนการ **กลุ่มเป้าหมาย:** หัวหน้าหรือผู้รับผิดชอบในแต่ละหน่วยงานที่มีการเก็บ ใช้ หรือประมวลผลข้อมูลส่วนบุคคล **ข้อมูลเบื้องต้น** - ชื่อหน่วยงาน: _____________________________ - ผู้ตอบแบบสอบถาม: _____________________________ - ตำแหน่ง: _____________________________ - วันที่ตอบ: _____________________________ **ตอนที่ 1: แหล่งที่มาของข้อมูลส่วนบุคคล** 1. หน่วยงานของท่านเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งใดบ้าง? (☐ ลูกค้าโดยตรง ☐ เว็บไซต์ ☐ แบบฟอร์มกระดาษ ☐ บุคคลภายนอก ☐ ระบบภายในองค์กร) 2. ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวมคืออะไร? 3. มีข้อมูลส่วนบุคคลที่มีความอ่อนไหวหรือไม่? (เช่น ข้อมูลสุขภาพ ศาสนา) (☐ มี โปรดระบุ ☐ ไม่มี) **ตอนที่ 2: การใช้และเปิดเผยข้อมูล** 4. ข้อมูลถูกนำไปใช้ในกิจกรรมใดบ้างในหน่วยงาน? 5. หน่วยงานของท่านมีการส่งต่อหรือแบ่งปันข้อมูลกับหน่วยงานภายในอื่นหรือไม่? (☐ มี โปรดระบุหน่วยงาน ☐ ไม่มี) 6. หน่วยงานมีการส่งข้อมูลไปยังภายนอกองค์กรหรือไม่? (☐ มี โปรดระบุผู้รับ ☐ ไม่มี) **ตอนที่ 3: การจัดเก็บและความปลอดภัยของข้อมูล** 7. หน่วยงานเก็บข้อมูลส่วนบุคคลไว้ที่ใด? (☐ ฐานข้อมูลกลางองค์กร ☐ เซิร์ฟเวอร์แยกภายใน ☐ บน Cloud ☐ แฟ้มเอกสาร) 8. มีมาตรการควบคุมสิทธิ์การเข้าถึงข้อมูลหรือไม่? (☐ มี ☐ ไม่มี โปรดอธิบาย) 9. หน่วยงานมีการกำหนดระยะเวลาเก็บรักษาข้อมูลหรือไม่? (☐ มี โปรดระบุระยะเวลา ☐ ไม่มี) **ตอนที่ 4: ความสอดคล้องกับหน่วยงานอื่น** 10. หน่วยงานของท่านเห็นว่าข้อมูลที่จัดทำแผนผังสอดคล้องกับกระบวนการของหน่วยงานอื่นหรือไม่? (☐ สอดคล้อง ☐ ไม่แน่ใจ ☐ ควรปรับปรุง) 11. มีข้อเสนอแนะเพิ่มเติมเกี่ยวกับการจัดทำแผนผังข้อมูลหรือไม่? ลงชื่อ ______________________________ (ผู้ให้ข้อมูล) วันที่: ______ / ______ / ______ ### แนบเพิ่มเติม - แบบฟอร์มนี้ควรเก็บไว้เป็นหลักฐานประกอบการทบทวนแผนผังข้อมูล และแนบไว้กับเอกสารเวียนภายในองค์กร - สามารถจัดประชุมหารือร่วมระหว่างหน่วยงานโดยอ้างอิงข้อมูลจากแบบสอบถามนี้ได้ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-1-3.md ============================================================ โนด: แนวปฏิบัติ 7.2.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-2-2.md # 7.2.2 มีการทบทวนบันทึกรายการอย่างสม่ำเสมอว่าเป็นไปตามหลักการเก็บรวบรวมเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร ## สิ่งที่ต้องทำ องค์กรต้องทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) อย่างสม่ำเสมอ เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลที่เก็บรวบรวมมีเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร ตามหลักการเก็บรวบรวมข้อมูลเท่าที่จำเป็น ## หลักฐาน 1. หลักฐานการจัดทำและทบทวนบันทึกรายการตามหลักการเก็บรวบรวมข้อมูลเท่าที่จำเป็น เช่น แนวปฏิบัติขององค์กร ## สภาพบังคับ [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลต้องจำกัดเท่าที่จำเป็นตามวัตถุประสงค์ที่ได้แจ้งไว้ ประกอบกับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีและเก็บรักษาบันทึกรายการ กรณีไม่ปฏิบัติตามมีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### แนวปฏิบัติในการทบทวนบันทึกรายการข้อมูลส่วนบุคคล (ROPA) ตามหลักการเก็บข้อมูลเท่าที่จำเป็น **ความมุ่งหมายของเอกสาร** — เพื่อแสดงหลักฐานว่าองค์กรมีการทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) อย่างสม่ำเสมอ และเพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลที่เก็บรวบรวมมีเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายขององค์กร ภายใต้ [มาตรา 22](https://link.pdpalawbase.com/section/22.md) **ขอบเขตของเอกสาร** — ใช้กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในทุกหน่วยงานขององค์กร และทุกระบบที่เกี่ยวข้องกับการเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล **หลักการที่ใช้ในการทบทวน** | เกณฑ์ | รายละเอียด | |--------|-------------| | วัตถุประสงค์ของการประมวลผล | ตรวจสอบว่ายังคงสอดคล้องกับวัตถุประสงค์ที่กำหนดไว้หรือไม่ | | ประเภทของข้อมูล | ตรวจสอบว่ามีข้อมูลใดที่เกินความจำเป็นและสามารถยกเลิกการจัดเก็บได้หรือไม่ | | ระยะเวลาเก็บรักษา | มีข้อมูลใดที่พ้นระยะเวลาการเก็บรักษาแล้วหรือไม่ | | สิทธิของเจ้าของข้อมูล | ตรวจสอบว่าการเก็บข้อมูลเป็นไปตามสิทธิของเจ้าของข้อมูลหรือไม่ | **ความถี่ในการทบทวน** — ทบทวนอย่างน้อยปีละ 1 ครั้ง โดย DPO หรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กร ในกรณีมีการเปลี่ยนแปลงวัตถุประสงค์การประมวลผลหรือระบบที่ใช้ จะมีการทบทวนเพิ่มเติมทันที **ขั้นตอนในการทบทวน** 1. รวบรวมรายการกิจกรรมการประมวลผลข้อมูล (ROPA) ปัจจุบัน 2. วิเคราะห์ข้อมูลที่เก็บว่าตรงกับวัตถุประสงค์ที่ชอบด้วยกฎหมายหรือไม่ 3. ทำเครื่องหมายรายการข้อมูลที่อาจเก็บเกินความจำเป็น 4. จัดประชุม DPO เพื่อพิจารณาข้อมูลที่ไม่จำเป็น 5. ปรับปรุงเอกสาร ROPA และแจ้งหน่วยงานที่เกี่ยวข้อง **ตัวอย่างผลการทบทวน (แนบได้เป็นหลักฐาน)** | วันที่ทบทวน | หน่วยงาน | ข้อมูลที่พบว่าเก็บเกินจำเป็น | แนวทางแก้ไข | |-------------|----------|------------------------------|--------------| | 1 มิ.ย. 2567 | แผนกทรัพยากรบุคคล | บันทึกใบสมัครงานของผู้สมัครที่ไม่ผ่านการคัดเลือกเกิน 2 ปี | กำหนดลบอัตโนมัติภายใน 1 ปี | | 1 มิ.ย. 2567 | แผนกการตลาด | รายชื่อลูกค้าเก่าที่ไม่ตอบสนองต่อการตลาดเกิน 3 ปี | นำข้อมูลออกจากระบบบริหารลูกค้าสัมพันธ์ | **อ้างอิงทางกฎหมาย** — [มาตรา 22](https://link.pdpalawbase.com/section/22.md) (การเก็บรวบรวมต้องจำกัดเท่าที่จำเป็นตามวัตถุประสงค์ที่ได้แจ้งไว้) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (ผู้ควบคุมข้อมูลต้องจัดให้มีและเก็บรักษาบันทึกรายการ); โทษทางปกครองหากไม่ปฏิบัติตามปรับไม่เกิน 3 ล้านบาท ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-2-2.md ============================================================ โนด: แนวปฏิบัติ 7.2.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-2-3.md # 7.2.3 มีการทบทวนบันทึกรายการอย่างสม่ำเสมอให้สอดคล้องกับนโยบายและแนวปฏิบัติขององค์กร และมอบหมายผู้รับผิดชอบในการทบทวนอย่างชัดเจน ## สิ่งที่ต้องทำ องค์กรต้องทบทวนบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่าบันทึกรายการมีความถูกต้องและเป็นปัจจุบัน สอดคล้องกับนโยบายและแนวปฏิบัติขององค์กร รวมถึงมอบหมายอย่างชัดเจนว่าบุคคลใดเป็นผู้รับผิดชอบทำหน้าที่ทบทวนบันทึกรายการดังกล่าว ## หลักฐาน 1. แผนการทบทวนบันทึกรายการขององค์กร 2. หลักฐานการแต่งตั้งผู้รับผิดชอบในการจัดทำและทบทวนบันทึกรายการขององค์กรและในแต่ละแผนก ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### แผนการทบทวนและมอบหมายหน้าที่ในการดูแลบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) **ความมุ่งหมายของเอกสาร** — เพื่อกำหนดแนวทางในการทบทวนรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับนโยบายคุ้มครองข้อมูลส่วนบุคคลขององค์กร และเพื่อมอบหมายผู้รับผิดชอบในแต่ละหน่วยงานอย่างชัดเจน เพื่อให้ข้อมูลมีความถูกต้องครบถ้วนและเป็นปัจจุบัน **ขอบเขตการใช้** — ใช้บังคับกับทุกหน่วยงานภายในองค์กรที่มีการเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล ทั้งในรูปแบบอิเล็กทรอนิกส์และเอกสาร **แนวทางการทบทวน** — การทบทวนบันทึกรายการ (ROPA) จะครอบคลุมเนื้อหาดังนี้ | รายการ | จุดที่ต้องทบทวน | |--------|------------------| | วัตถุประสงค์ในการประมวลผล | ยังสอดคล้องกับการดำเนินงานหรือไม่ | | ประเภทข้อมูลส่วนบุคคล | ยังจำเป็นหรือมีการเปลี่ยนแปลงหรือไม่ | | ระยะเวลาเก็บรักษา | สอดคล้องกับนโยบายการเก็บรักษาหรือไม่ | | ผู้ควบคุมและผู้ประมวลผลข้อมูล | มีการเปลี่ยนแปลงหรือเพิ่มเติมหรือไม่ | | กลุ่มเป้าหมายของข้อมูล | มีการเปลี่ยนแปลงหรือขยายกลุ่มหรือไม่ | **ตารางแผนการทบทวน** | หน่วยงาน | ความถี่ในการทบทวน | ผู้รับผิดชอบ | เครื่องมือ/ระบบที่ใช้ | |----------|---------------------|--------------|------------------------| | ฝ่ายบุคคล | ทุก 6 เดือน | น.ส. สินีนาฏ การบุญ | ระบบบริหารทรัพยากรบุคคล + แบบฟอร์ม ROPA | | ฝ่ายขายและการตลาด | ทุก 6 เดือน | นายพงศกร สุนทรโชติ | ระบบบริหารงานขาย | | ฝ่ายเทคโนโลยีสารสนเทศ | ทุก 6 เดือน | นายณัฐวุฒิ อินทร์ประเสริฐ | ระบบบริหารทรัพย์สินและฐานข้อมูล | | DPO (ศูนย์รวม) | ทุก 6 เดือน | น.ส. มาลี รัตนคุณ (DPO) | เอกสารสรุป ROPA ส่วนกลาง | **การแต่งตั้งผู้รับผิดชอบ** — องค์กรออกคำสั่งแต่งตั้งอย่างเป็นทางการ ระบุชัดเจนว่าแต่งตั้งผู้รับผิดชอบประจำหน่วยงานในการจัดทำและทบทวนบันทึกรายการข้อมูลส่วนบุคคลให้สอดคล้องกับนโยบายองค์กร พร้อมรายงานต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ทุก 6 เดือน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-2-3.md ============================================================ โนด: แนวปฏิบัติ 7.3.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-3-1.md # 7.3.1 บันทึกรายการมีรายการอย่างน้อยตามที่กำหนดไว้ในมาตรา 39 ## สิ่งที่ต้องทำ องค์กรต้องจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) โดยมีรายการที่บันทึกครบถ้วนตามรายการขั้นต่ำที่กฎหมายกำหนด ได้แก่ 1. ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม 2. วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท 3. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล 4. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล 5. สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น 6. การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม 7. การปฏิเสธคำขอหรือการคัดค้านการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด (หากมี) 8. คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) ## หลักฐาน 1. บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลขององค์กร ## สภาพบังคับ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีบันทึกรายการตามรายการขั้นต่ำที่กฎหมายกำหนด กรณีไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่ง มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ในรูปแบบอิเล็กทรอนิกส์ | ลำดับ | ข้อมูลส่วนบุคคล | วัตถุประสงค์ | ผู้ควบคุมข้อมูล | ระยะเวลาเก็บรักษา | สิทธิและวิธีเข้าถึง | การใช้/เปิดเผย (มาตรา 27 วรรคสาม) | การปฏิเสธคำขอ/คัดค้าน | มาตรการความมั่นคงปลอดภัย | |-------|------------------|--------------|------------------|---------------------|----------------------|------------------------------------|------------------------|---------------------------| | 1 | ชื่อ-นามสกุล, เบอร์โทรศัพท์, ที่อยู่ | ติดต่อและจัดส่งสินค้า | ฝ่ายลูกค้าสัมพันธ์ | 5 ปีหลังเลิกใช้บริการ | ขอแก้ไขหรือลบข้อมูลผ่านอีเมล | ไม่มีการเปิดเผยแก่บุคคลภายนอก | — | เข้ารหัสข้อมูล, จำกัดสิทธิเข้าถึง | | 2 | ข้อมูลบัตรเครดิต | ชำระเงินและยืนยันตัวตน | ฝ่ายบัญชี | 2 ปีตามนโยบายการเงิน | ขอดูข้อมูลได้ที่ฝ่ายบัญชี | เปิดเผยต่อธนาคารตามข้อตกลง | — | เข้ารหัสข้อมูลและจัดเก็บในเซิร์ฟเวอร์ | | 3 | ประวัติการเข้าใช้งาน | วิเคราะห์และปรับปรุงบริการ | ฝ่ายเทคโนโลยีสารสนเทศ | 1 ปีหลังบันทึก | ขอดูและลบข้อมูลตามคำขอ | ไม่มีการเปิดเผย | ปฏิเสธคำขอบางรายการ | จำกัดการเข้าถึงข้อมูลโดยพนักงานที่ได้รับอนุญาต | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-3-1.md ============================================================ โนด: แนวปฏิบัติ 7.3.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-3-2.md # 7.3.2 กรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องกำกับให้ผู้ประมวลผลจัดทำบันทึกรายการตามที่กฎหมายกำหนด ## สิ่งที่ต้องทำ กรณีที่องค์กรมี[ผู้ประมวลผลข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-processor.md) องค์กรต้องกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจัดทำบันทึกรายการในส่วนที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งให้แก่องค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายกำหนด พร้อมมีเอกสารหรือหลักฐานแสดงถึงการกำกับดังกล่าว ## หลักฐาน 1. บันทึกรายการของผู้ประมวลผลข้อมูลส่วนบุคคล 2. เอกสารหรือหลักฐานที่แสดงถึงการที่องค์กรกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการ ## สภาพบังคับ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลในการจัดทำและเก็บรักษาบันทึกรายการ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565 กรณีไม่ปฏิบัติตามมาตรา 40 มีโทษปรับทางปกครองตาม [มาตรา 86](https://link.pdpalawbase.com/section/86.md) ไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผล (ROPA) | ลำดับ | ข้อมูลส่วนบุคคลที่ประมวลผล | วัตถุประสงค์ | ผู้ควบคุมข้อมูลที่ให้คำสั่ง | ระยะเวลาเก็บรักษา | สิทธิและวิธีเข้าถึง | การใช้/เปิดเผยตามคำสั่ง | มาตรการความมั่นคงปลอดภัย | |-------|-----------------------------|--------------|------------------------------|---------------------|----------------------|--------------------------|---------------------------| | 1 | ชื่อ-นามสกุล, ข้อมูลการชำระเงิน | จัดการการชำระเงินตามคำสั่งของลูกค้า | บริษัท เอบีซี จำกัด (ผู้ควบคุมข้อมูล) | 3 ปีหลังสิ้นสุดการให้บริการ | เข้าถึงได้โดยผู้ควบคุมข้อมูลและเจ้าหน้าที่ที่ได้รับอนุญาต | ไม่มีการเปิดเผยแก่บุคคลภายนอก | เข้ารหัสข้อมูลและตรวจสอบสิทธิเข้าใช้งาน | | 2 | ที่อยู่จัดส่ง, เบอร์โทรศัพท์ | จัดส่งสินค้าและบริการตามคำสั่ง | บริษัท เอบีซี จำกัด | 5 ปีตามระยะเวลาเก็บรักษาของเจ้าของ | ติดต่อผู้ควบคุมข้อมูลเพื่อแก้ไขข้อมูล | ไม่มีการเปิดเผยข้อมูล | จำกัดสิทธิเข้าถึงข้อมูลตามบทบาท | ### หนังสือแจ้งกำกับการจัดทำบันทึกรายการ (ตัวอย่าง) - **เรื่อง:** การกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดทำบันทึกรายการตามกฎหมาย PDPA - **เรียน:** ผู้ประมวลผลข้อมูลส่วนบุคคล ตามที่องค์กรเป็นผู้ควบคุมข้อมูลส่วนบุคคลและได้ว่าจ้างท่านเป็นผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรขอแจ้งให้ท่านจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ท่านดำเนินการตามคำสั่งขององค์กร โดยบันทึกรายการดังกล่าวต้องมีรายการที่บันทึกอย่างน้อยตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 กำหนด และขอให้ส่งมอบบันทึกรายการแก่องค์กรอย่างสม่ำเสมอ เพื่อเป็นหลักฐานในการปฏิบัติตามกฎหมายและเพื่อการตรวจสอบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-3-2.md ============================================================ โนด: แนวปฏิบัติ 7.4.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-4-1.md # 7.4.1 บันทึกรายการมีการเชื่อมโยงไปยังเอกสารหรือข้อมูลต่าง ๆ ที่เกี่ยวข้องกับกิจกรรมนั้น ## สิ่งที่ต้องทำ บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ควรมีการเชื่อมโยงไปยังเอกสารหรือข้อมูลต่าง ๆ ที่เกี่ยวข้องกับกิจกรรมนั้นอย่างครบถ้วน เช่น 1. บันทึก[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md) 2. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล 3. ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล 4. สถานที่เก็บทางอิเล็กทรอนิกส์และ/หรือทางกายภาพของข้อมูลส่วนบุคคล 5. รายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) 6. การบันทึกเหตุการณ์ละเมิดข้อมูลส่วนบุคคล 7. นโยบายหรือแนวปฏิบัติเกี่ยวกับระยะเวลาการจัดเก็บข้อมูลและการลบหรือทำลายข้อมูล ## หลักฐาน 1. บันทึกรายการที่แสดงการเชื่อมโยงไปยังกิจกรรมหรือเอกสารอื่นที่เกี่ยวข้อง ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล พร้อมการเชื่อมโยงเอกสารที่เกี่ยวข้อง | ลำดับ | กิจกรรมการประมวลผลข้อมูลส่วนบุคคล | เอกสารที่เชื่อมโยง | สถานที่เก็บเอกสาร | หมายเหตุ | |-------|------------------------------------|---------------------|--------------------|-----------| | 1 | การเก็บรวบรวมข้อมูลลูกค้าเพื่อติดต่อและจัดส่งสินค้า | บันทึกความยินยอมลูกค้า | ระบบจัดเก็บเอกสารอิเล็กทรอนิกส์ / ตู้เอกสารฝ่ายลูกค้าสัมพันธ์ | บันทึกความยินยอมเก็บไว้อย่างชัดเจน | | 2 | การประมวลผลข้อมูลบัตรเครดิตเพื่อชำระเงิน | ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล, รายงาน DPIA | ระบบจัดเก็บเอกสารภายใน / ตู้เอกสารฝ่ายบัญชี | รายงาน DPIA ผ่านการอนุมัติแล้ว | | 3 | การแบ่งปันข้อมูลกับพันธมิตรธุรกิจ | ข้อตกลงการแบ่งปันข้อมูล | ระบบบริหารจัดการสัญญา | สัญญามีการต่ออายุและตรวจสอบทุกปี | | 4 | การจัดเก็บข้อมูลลูกค้า | นโยบายการเก็บรักษาข้อมูลและการลบข้อมูล | ระบบจัดเก็บเอกสารกลาง / ตู้เอกสารฝ่ายเทคโนโลยีสารสนเทศ | นโยบายสอดคล้องกับ PDPA และ GDPR | | 5 | การตรวจสอบเหตุการณ์ละเมิดข้อมูล | บันทึกเหตุการณ์ละเมิดข้อมูล | ระบบแจ้งเตือนความปลอดภัย | รายงานถูกส่งให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแล้ว | **คำอธิบายเพิ่มเติม** - **บันทึกความยินยอมลูกค้า** — เอกสารยินยอมที่ลูกค้าลงนามรับทราบการเก็บและใช้ข้อมูลส่วนบุคคล - **ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล** — สัญญาที่ระบุหน้าที่และความรับผิดชอบของผู้ประมวลผลข้อมูล - **ข้อตกลงการแบ่งปันข้อมูล** — เอกสารที่ระบุเงื่อนไขการแบ่งปันข้อมูลกับบุคคลภายนอก - **รายงาน DPIA** — รายงานประเมินผลกระทบด้านการคุ้มครองข้อมูล เพื่อประเมินความเสี่ยงและมาตรการรักษาความปลอดภัย - **บันทึกเหตุการณ์ละเมิดข้อมูล** — รายงานเหตุการณ์ที่มีการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น พร้อมมาตรการแก้ไข - **นโยบายการเก็บรักษาข้อมูลและการลบข้อมูล** — เอกสารกำหนดระยะเวลาการเก็บรักษาข้อมูลและวิธีการลบหรือทำลายข้อมูลอย่างปลอดภัย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-4-1.md ============================================================ โนด: แนวปฏิบัติ 7.5.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-1.md # 7.5.1 องค์กรกำหนดฐานทางกฎหมายที่เหมาะสมและสอดคล้องกับวัตถุประสงค์ ## สิ่งที่ต้องทำ องค์กรต้องกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลให้เหมาะสมและสอดคล้องกับวัตถุประสงค์ของแต่ละกิจกรรม โดยมีนโยบายหรือแนวปฏิบัติที่กำหนดหลักเกณฑ์ วิธีการ และความรับผิดชอบในการเลือกฐานทางกฎหมายให้ครบถ้วน ก่อนเริ่มประมวลผลข้อมูล การพิจารณาฐานทางกฎหมายควรครอบคลุมฐานต่าง ๆ ตามที่กฎหมายกำหนด เช่น ฐานความยินยอม ฐานสัญญา ฐานหน้าที่ตามกฎหมาย ฐานประโยชน์โดยชอบด้วยกฎหมาย ฐานป้องกันชีวิต และฐานเพื่อประโยชน์สาธารณะ รวมถึงฐานเฉพาะสำหรับ[ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md)ตามมาตรา 26 และต้องบันทึกฐานทางกฎหมายที่ใช้ไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลทุกครั้ง ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการพิจารณาฐานทางกฎหมาย ## สภาพบังคับ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล กรณีไม่ปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติการกำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล **บทนำ** องค์กรตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดให้การประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการตามฐานทางกฎหมายที่เหมาะสมและถูกต้องตามมาตรา 24 และมาตรา 26 เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล รวมถึงลดความเสี่ยงด้านกฎหมายที่อาจเกิดขึ้นจากการละเมิดข้อมูลส่วนบุคคล **วัตถุประสงค์** - เพื่อกำหนดหลักเกณฑ์และแนวทางในการเลือกฐานทางกฎหมายที่เหมาะสมสำหรับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในองค์กร - เพื่อส่งเสริมให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปอย่างถูกต้อง โปร่งใส และสอดคล้องกับ PDPA - เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลและรักษาความน่าเชื่อถือขององค์กร - เพื่อสร้างมาตรฐานในการจัดทำเอกสารหลักฐานและบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ที่ชัดเจน **ขอบเขต** นโยบายนี้ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลทุกประเภท ไม่ว่าจะเป็นข้อมูลทั่วไปหรือข้อมูลส่วนบุคคลอ่อนไหว โดยใช้หลักการกำหนดฐานทางกฎหมายตามมาตรา 24 และ 26 มีผลบังคับใช้กับผู้ควบคุมข้อมูลทุกหน่วยงาน ผู้ประมวลผลข้อมูลที่ได้รับมอบหมาย และพนักงานหรือบุคลากรที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลทุกระดับ ### หลักเกณฑ์การกำหนดฐานทางกฎหมาย 1. **ฐานความยินยอม** — การประมวลผลข้อมูลต้องได้รับความยินยอมอย่างชัดแจ้งจากเจ้าของข้อมูล ความยินยอมต้องเป็นไปโดยสมัครใจ มีข้อมูลครบถ้วน และเข้าใจได้ง่าย เจ้าของข้อมูลมีสิทธิถอนความยินยอมได้ทุกเมื่อ เหมาะสำหรับกิจกรรมที่ไม่มีฐานทางกฎหมายอื่นรองรับ หรือใช้ในกรณีที่เป็นข้อมูลส่วนบุคคลอ่อนไหว 2. **ฐานสัญญา** — การประมวลผลข้อมูลเป็นไปเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา ข้อมูลที่ประมวลผลต้องเกี่ยวข้องและจำเป็นต่อการทำสัญญานั้น เช่น การจัดส่งสินค้า การชำระเงิน 3. **ฐานหน้าที่ตามกฎหมาย** — การประมวลผลข้อมูลจำเป็นเพื่อให้ผู้ควบคุมข้อมูลปฏิบัติตามหน้าที่ตามกฎหมายหรือข้อบังคับของรัฐ เช่น การรายงานข้อมูลต่อหน่วยงานรัฐ การเก็บข้อมูลตามกฎหมายภาษีหรือแรงงาน ต้องระบุชัดเจนว่าเป็นการปฏิบัติตามกฎหมายฉบับใด 4. **ฐานประโยชน์โดยชอบด้วยกฎหมาย** — การประมวลผลเพื่อผลประโยชน์ที่ชอบด้วยกฎหมายขององค์กรหรือบุคคลที่สาม โดยไม่ละเมิดสิทธิของเจ้าของข้อมูล ต้องมีการประเมินผลกระทบและทำสมดุลระหว่างผลประโยชน์ขององค์กรกับสิทธิของเจ้าของข้อมูล 5. **ฐานป้องกันชีวิต** — การประมวลผลจำเป็นเพื่อปกป้องชีวิตหรือความปลอดภัยของเจ้าของข้อมูลหรือบุคคลอื่น มักใช้ในกรณีฉุกเฉิน เช่น การรักษาพยาบาล 6. **ฐานเพื่อประโยชน์สาธารณะ** — การประมวลผลที่จำเป็นเพื่อการปฏิบัติหน้าที่ของหน่วยงานรัฐหรือเพื่อประโยชน์สาธารณะ ต้องเป็นไปตามข้อกำหนดของกฎหมายหรือระเบียบที่เกี่ยวข้อง 7. **ฐานสำหรับข้อมูลส่วนบุคคลอ่อนไหว** — การประมวลผลข้อมูลประเภทอ่อนไหว เช่น ข้อมูลสุขภาพ เชื้อชาติ ศาสนา ต้องมีฐานทางกฎหมายเฉพาะตามมาตรา 26 มีมาตรการคุ้มครองและความปลอดภัยสูงกว่า และต้องระบุฐานและเหตุผลที่ชัดเจน พร้อมบันทึกในเอกสารประกอบ ### แนวทางปฏิบัติในการกำหนดฐานทางกฎหมาย - **การวิเคราะห์กิจกรรมการประมวลผลข้อมูล** — ก่อนดำเนินการต้องวิเคราะห์วัตถุประสงค์และลักษณะข้อมูลเพื่อเลือกฐานทางกฎหมายที่เหมาะสม - **การจัดทำเอกสารและบันทึกฐานทางกฎหมาย** — ทุกกิจกรรมการประมวลผลต้องบันทึกฐานทางกฎหมายที่ใช้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูล (ROPA) รวมถึงเอกสารประกอบ - **การสื่อสารกับเจ้าของข้อมูล** — แจ้งให้เจ้าของข้อมูลทราบฐานทางกฎหมายและวัตถุประสงค์ของการประมวลผลผ่านนโยบายความเป็นส่วนตัวหรือประกาศแจ้งข้อมูลส่วนบุคคล - **การทบทวนฐานทางกฎหมายอย่างสม่ำเสมอ** — ทบทวนและปรับปรุงฐานทางกฎหมายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีกฎหมายหรือเงื่อนไขใหม่เข้ามา - **การอบรมและสร้างความตระหนักรู้** — ฝึกอบรมพนักงานและผู้เกี่ยวข้องให้เข้าใจและปฏิบัติตามนโยบายและแนวทางนี้อย่างเคร่งครัด ### ตัวอย่างกรณีศึกษาและการประยุกต์ใช้ฐานทางกฎหมาย - **กรณีที่ 1: การเก็บข้อมูลลูกค้าสำหรับการจัดส่งสินค้า** — ฐานทางกฎหมาย: สัญญา; เหตุผล: ข้อมูลชื่อ ที่อยู่ และเบอร์โทรศัพท์ใช้เพื่อจัดส่งสินค้าให้ลูกค้า; การปฏิบัติ: ระบุฐานนี้ในนโยบายความเป็นส่วนตัวและบันทึกใน ROPA - **กรณีที่ 2: การทำแบบสำรวจความคิดเห็นเพื่อปรับปรุงบริการ** — ฐานทางกฎหมาย: ความยินยอม; เหตุผล: การทำแบบสำรวจต้องได้รับความยินยอมชัดแจ้งจากเจ้าของข้อมูล; การปฏิบัติ: จัดทำแบบฟอร์มขอความยินยอมและบันทึกเอกสารไว้ - **กรณีที่ 3: การรายงานข้อมูลลูกจ้างต่อหน่วยงานภาครัฐ** — ฐานทางกฎหมาย: หน้าที่ตามกฎหมาย; เหตุผล: กฎหมายกำหนดให้รายงานข้อมูลเพื่อจ่ายภาษีและประกันสังคม; การปฏิบัติ: ระบุฐานในเอกสารและแจ้งให้พนักงานทราบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-1.md ============================================================ โนด: แนวปฏิบัติ 7.5.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-2.md # 7.5.2 องค์กรกำหนดและบันทึกฐานทางกฎหมายตามมาตรา 26 สำหรับการประมวลผลข้อมูลอ่อนไหว ## สิ่งที่ต้องทำ หากองค์กรมีการประมวลผล[ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md)ตามที่ระบุไว้ในมาตรา 26 องค์กรต้องกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลอ่อนไหวให้สอดคล้องและเหมาะสมตามที่กฎหมายกำหนด นอกจากนี้ องค์กรต้องบันทึกเหตุผลการเลือกฐานทางกฎหมายดังกล่าวไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) เพื่อเป็นหลักฐานแสดงความโปร่งใสและการปฏิบัติตามกฎหมายอย่างครบถ้วนและสมบูรณ์ ## หลักฐาน 1. บันทึกรายการเหตุผลการเลือกฐานทางกฎหมายตามมาตรา 26 ## สภาพบังคับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลอ่อนไหว กรณีไม่ปฏิบัติตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) องค์กรอาจถูกลงโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) โดยมีโทษปรับสูงสุดไม่เกิน 5 ล้านบาท ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-2.md ============================================================ โนด: แนวปฏิบัติ 7.5.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-3.md # 7.5.3 กรณีประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม องค์กรได้พิจารณาความจำเป็นและกำหนดมาตรการตามกฎหมายที่เกี่ยวข้องแล้ว ## สิ่งที่ต้องทำ ในกรณีที่เป็นการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม องค์กรต้องพิจารณาความจำเป็นและกำหนดมาตรการต่าง ๆ ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องให้ครบถ้วน เนื่องจากข้อมูลเกี่ยวกับประวัติอาชญากรรมเป็นข้อมูลที่มีความละเอียดอ่อนและมีความเสี่ยงสูง ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ## สภาพบังคับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 กรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท ## ตัวอย่างเอกสาร ### แนวนโยบายและแนวปฏิบัติในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม **1. หลักการทั่วไป** — องค์กรตระหนักถึงความละเอียดอ่อนและความเสี่ยงของข้อมูลเกี่ยวกับประวัติอาชญากรรม จึงกำหนดแนวนโยบายและมาตรการที่สอดคล้องกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 **2. ขอบเขตของข้อมูล** — ประวัติการถูกดำเนินคดีอาญา, คำพิพากษาของศาล, รายงานจากสำนักงานตำรวจแห่งชาติหรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย **3. วัตถุประสงค์ในการประมวลผล** — เพื่อคัดเลือกบุคลากรในตำแหน่งที่มีความเสี่ยงสูง (เช่น งานเกี่ยวข้องกับเด็ก ผู้สูงอายุ หรือทรัพย์สิน), เพื่อประเมินความเสี่ยงในงานรักษาความปลอดภัย, เพื่อปฏิบัติตามกฎหมายหรือข้อบังคับเฉพาะด้าน **4. ฐานทางกฎหมาย** — กระทำภายใต้[ความยินยอมโดยชัดแจ้ง](https://link.pdpalawbase.com/concept/explicit-consent.md)จากเจ้าของข้อมูล และ/หรือเป็นการจำเป็นตามกฎหมายที่เกี่ยวข้องกับหน้าที่ขององค์กรในด้านแรงงาน ความมั่นคง หรือการรักษาความปลอดภัย **5. การประเมินความจำเป็นและสัดส่วน** — ก่อนเก็บข้อมูล องค์กรประเมินความจำเป็นของการใช้ข้อมูล ผลกระทบต่อเจ้าของข้อมูล และทางเลือกที่ไม่รุกล้ำสิทธิเกินจำเป็น **6. มาตรการคุ้มครองข้อมูล** — จำกัดการเข้าถึงด้วยการเข้ารหัสและกำหนดสิทธิเฉพาะบุคคลตามตำแหน่งหน้าที่; จัดเก็บแยกจากข้อมูลทั่วไปและลบเมื่อสิ้นสุดความจำเป็น; บันทึกการเข้าถึงและการใช้ข้อมูลทุกครั้ง; ตรวจสอบและทบทวนนโยบายทุก 12 เดือน **7. การแจ้งเจ้าของข้อมูล** — แจ้งรายละเอียดการเก็บข้อมูลอย่างโปร่งใส รวมถึงสิทธิในการคัดค้านการประมวลผลหรือขอลบข้อมูล **8. การจัดทำบันทึกรายการกิจกรรมการประมวลผล (ROPA)** — ระบุวัตถุประสงค์ ฐานทางกฎหมาย หมวดหมู่ของข้อมูล ระยะเวลาเก็บรักษา มาตรการรักษาความมั่นคงปลอดภัย และการเปิดเผยหรือถ่ายโอนข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-3.md ============================================================ โนด: แนวปฏิบัติ 7.5.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-4.md # 7.5.4 ในการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม หน่วยงานได้พิจารณาองค์ประกอบ 5 ประการตามที่กฎหมายกำหนด ## สิ่งที่ต้องทำ ในการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม หน่วยงานต้องพิจารณาให้ครบถ้วนทั้ง 5 องค์ประกอบ ได้แก่ 1. ความจำเป็นตามกฎหมาย 2. มาตรการด้านความมั่นคงปลอดภัยที่เหมาะสม 3. ระยะเวลาการจัดเก็บ การลบหรือทำลาย รวมถึงวิธีการตามที่กฎหมายกำหนด 4. การบันทึกวันที่ดำเนินการ 5. บุคคลที่ได้รับมอบหมายให้ประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติขององค์กรที่เกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ## สภาพบังคับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 กรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท ## ตัวอย่างเอกสาร ### แนวปฏิบัติในการพิจารณาและควบคุมการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม **1. ความจำเป็นตามกฎหมาย** — องค์กรประเมินและยืนยันว่าการประมวลผลมีความจำเป็นตามกฎหมายและภารกิจขององค์กร เช่น เป็นไปตามข้อกำหนดของกฎหมายเฉพาะ (กฎหมายแรงงาน กฎหมายด้านความปลอดภัย), จำเป็นเพื่อประโยชน์สาธารณะหรือความมั่นคงปลอดภัย, จำเป็นสำหรับการคัดเลือกบุคคลปฏิบัติหน้าที่ที่อ่อนไหว และจะกระทำเฉพาะเมื่อไม่มีวิธีการอื่นที่รุกล้ำน้อยกว่า **2. มาตรการด้านความมั่นคงปลอดภัย** — ระบบจัดเก็บแยกเฉพาะ; การเข้ารหัสข้อมูลทั้งขณะจัดเก็บและส่งผ่านเครือข่าย; จำกัดสิทธิเข้าถึงเฉพาะบุคลากรที่ได้รับมอบหมายเป็นลายลักษณ์อักษร; บันทึกการเข้าถึง แก้ไข หรือใช้ข้อมูลทุกครั้ง; ประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง **3. ระยะเวลาการจัดเก็บ การลบหรือทำลาย** — เก็บรักษาเฉพาะระยะเวลาที่จำเป็นต่อวัตถุประสงค์ (เช่น ไม่เกิน 1 ปีหลังเสร็จสิ้นกระบวนการคัดเลือก); ทำลายด้วยวิธีที่ปลอดภัยและบันทึกการทำลายทุกครั้ง โดยระบุผู้ดำเนินการ วันที่ และวิธีการ **4. การบันทึกวันที่ดำเนินการ** — บันทึกวันที่ได้รับข้อมูล วันที่ใช้ข้อมูล วันที่ลบ/ทำลาย และวันที่ประเมินความจำเป็นไว้อย่างเป็นระบบ **5. บุคคลที่ได้รับมอบหมาย** — แต่งตั้งเจ้าหน้าที่เฉพาะเป็นลายลักษณ์อักษร ผู้ได้รับมอบหมายต้องผ่านการอบรมด้านการคุ้มครองข้อมูลส่วนบุคคล และเข้าถึงข้อมูลผ่านระบบที่มีการบันทึกการใช้งานเท่านั้น **เอกสารแนบประกอบ** — นโยบายการจัดเก็บและใช้ข้อมูลประวัติอาชญากรรม, แบบฟอร์มบันทึกกิจกรรมการประมวลผลข้อมูล, บันทึกการทำลายข้อมูล, บัญชีรายชื่อผู้มีสิทธิเข้าถึงข้อมูล (อัปเดตรายไตรมาส และผ่านความเห็นชอบจากผู้ควบคุมข้อมูล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-4.md ============================================================ โนด: แนวปฏิบัติ 7.5.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-5.md # 7.5.5 องค์กรกำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลก่อนเริ่มกิจกรรมการประมวลผล ## สิ่งที่ต้องทำ องค์กรต้องพิจารณาและกำหนด[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ในการประมวลผลข้อมูลส่วนบุคคลให้ครบถ้วนก่อนเริ่มกิจกรรมการประมวลผล เพื่อให้แน่ใจว่าการประมวลผลทุกกิจกรรมมีฐานทางกฎหมายรองรับตั้งแต่ต้น ## หลักฐาน 1. หลักฐานการพิจารณาและกำหนดฐานทางกฎหมาย ## สภาพบังคับ [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้การประมวลผลข้อมูลส่วนบุคคลต้องเป็นไปตามวัตถุประสงค์และฐานทางกฎหมายที่กำหนด กรณีไม่ปฏิบัติตามมาตรา 21 และ 24 มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตามมาตรา 26 มีโทษปรับทางปกครองตาม [มาตรา 84](https://link.pdpalawbase.com/section/84.md) ไม่เกิน 5 ล้านบาท ## ตัวอย่างเอกสาร ### เอกสารหลักฐานการพิจารณาและกำหนดฐานทางกฎหมาย **1. รายละเอียดกิจกรรมการประมวลผล** - ประเภทของข้อมูล: ข้อมูลส่วนบุคคลทั่วไป / ข้อมูลส่วนบุคคลอ่อนไหว (ตามมาตรา 26) - วัตถุประสงค์ในการประมวลผล (อธิบายให้ชัดเจน เช่น เพื่อประเมินคุณสมบัติของพนักงานก่อนการจ้างงาน) **2. การประเมินฐานทางกฎหมาย** — เลือกฐานทางกฎหมายที่ใช้ (ตามมาตรา 24 หรือ 26) อย่างน้อยหนึ่งข้อ 1. ความยินยอมของเจ้าของข้อมูล 2. จำเป็นเพื่อการปฏิบัติตามสัญญา 3. จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร 4. จำเป็นเพื่อการปฏิบัติตามกฎหมาย 5. จำเป็นเพื่อประโยชน์สาธารณะ 6. จำเป็นเพื่อการคุ้มครองชีวิต พร้อมระบุเหตุผลในการเลือกฐานทางกฎหมาย (ตัวอย่าง: การเก็บข้อมูลบัตรประชาชนเพื่อยืนยันตัวตนลูกค้า ใช้ฐาน "จำเป็นเพื่อการปฏิบัติตามกฎหมาย" เนื่องจากข้อกำหนดของหน่วยงานกำกับดูแล) **3. การประมวลผลข้อมูลอ่อนไหว** — กรณีมีข้อมูลอ่อนไหว ให้ระบุฐานตามมาตรา 26 เฉพาะกิจกรรมที่เกี่ยวข้อง (เช่น ได้รับความยินยอมอย่างชัดแจ้ง / จำเป็นเพื่อการจ้างงาน / มีกฎหมายรองรับ) **4. การทบทวนความเหมาะสม** — ประเมินความสอดคล้องกับวัตถุประสงค์, พิจารณาผลกระทบต่อเจ้าของข้อมูล และความสมดุลระหว่างสิทธิของเจ้าของข้อมูลกับผลประโยชน์ขององค์กร **5. สรุปและข้อเสนอแนะ** — ควรมีการทบทวนทุก 12 เดือน **6. การลงนามรับรอง** — ผู้พิจารณาและความเห็นของผู้ควบคุมข้อมูล (อนุมัติ / ขอให้ปรับปรุง / ไม่อนุมัติ) **หมายเหตุ** — เอกสารนี้ควรแนบไว้กับบันทึกรายการกิจกรรมการประมวลผล (ROPA) จัดเก็บอย่างปลอดภัย และพร้อมแสดงต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเมื่อมีการตรวจสอบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-5.md ============================================================ โนด: แนวปฏิบัติ 7.5.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-5-6.md # 7.5.6 องค์กรมีการบันทึกเหตุผลและวิธีการในการกำหนดหรือเลือกฐานทางกฎหมายที่เหมาะสม ## สิ่งที่ต้องทำ องค์กรต้องบันทึกเหตุผลและวิธีการในการกำหนดหรือเลือกฐานทางกฎหมายที่เหมาะสมให้ครบถ้วน เพื่อแสดงความรับผิดชอบและความโปร่งใสในการพิจารณาฐานทางกฎหมายของแต่ละกิจกรรมการประมวลผล ## หลักฐาน 1. บันทึกรายการเหตุผลการเลือกฐานทางกฎหมายตามมาตรา 24 และ/หรือมาตรา 26 ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### เอกสารบันทึกเหตุผลการเลือกฐานทางกฎหมาย **1. ลักษณะของข้อมูลที่เกี่ยวข้อง** — เลือกประเภทข้อมูลที่ใช้ในกิจกรรม 1. ข้อมูลส่วนบุคคลทั่วไป 2. ข้อมูลส่วนบุคคลอ่อนไหว (มาตรา 26) 3. ข้อมูลเกี่ยวกับประวัติอาชญากรรม **2. วัตถุประสงค์ของการประมวลผล** — ระบุวัตถุประสงค์ของกิจกรรม เช่น การให้บริการ การจ้างงาน การปฏิบัติตามกฎหมาย (ตัวอย่าง: เพื่อยืนยันตัวตนลูกค้าก่อนให้บริการตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน) **3. ฐานทางกฎหมายที่พิจารณา (มาตรา 24/26)** — เลือกฐานทางกฎหมายที่ใช้งาน เช่น ความยินยอมของเจ้าของข้อมูล, จำเป็นเพื่อการปฏิบัติตามสัญญา, จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย, จำเป็นเพื่อการปฏิบัติตามกฎหมาย พร้อมระบุเหตุผลประกอบการเลือก วิธีการพิจารณา ผู้รับผิดชอบ และวันที่บันทึก ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-5-6.md ============================================================ โนด: แนวปฏิบัติ 7.6.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-1.md # 7.6.1 องค์กรแจ้งฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และมาตรา 26 ในประกาศการคุ้มครองข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ องค์กรต้องแจ้งฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และมาตรา 26 ไว้ในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร เพื่อให้เจ้าของข้อมูลและผู้ที่เกี่ยวข้องรับทราบฐานทางกฎหมายที่องค์กรใช้ในการประมวลผล ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ระบุฐานทางกฎหมาย ## สภาพบังคับ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดให้แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล กรณีไม่ปฏิบัติตามมาตรา 23 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคล **1. วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล** | วัตถุประสงค์ | ประเภทข้อมูลที่เกี่ยวข้อง | ฐานทางกฎหมาย (มาตรา 24) | กรณีข้อมูลอ่อนไหว/ประวัติอาชญากรรม (มาตรา 26) | |--------------|-----------------------------|----------------------------|------------------------------------------------| | การสมัครงานและสรรหาบุคลากร | ชื่อ-สกุล, เบอร์ติดต่อ | จำเป็นเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลก่อนเข้าทำสัญญา | หากเก็บใบรับรองประวัติอาชญากรรม: ใช้ความยินยอมโดยชัดแจ้ง | | การให้บริการลูกค้า | ข้อมูลติดต่อ, ประวัติการใช้บริการ | จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร | ไม่มี | | การปฏิบัติตามข้อกำหนดทางกฎหมาย | หมายเลขบัตรประชาชน, เอกสารภาษี | จำเป็นเพื่อปฏิบัติตามกฎหมาย | — | | การตรวจสอบความปลอดภัย | ภาพจากกล้องวงจรปิด | จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย | — | **2. ฐานทางกฎหมายในการประมวลผลข้อมูล** — องค์กรพิจารณาและกำหนดฐานทางกฎหมายตามมาตรา 24 ได้แก่ ความยินยอมของเจ้าของข้อมูล, เพื่อปฏิบัติตามสัญญา, เพื่อประโยชน์โดยชอบด้วยกฎหมาย, เพื่อปฏิบัติตามกฎหมาย, เพื่อป้องกันหรือระงับอันตรายต่อชีวิต/ร่างกาย และเพื่อประโยชน์สาธารณะ/ภารกิจรัฐ; กรณีข้อมูลอ่อนไหวหรือประวัติอาชญากรรม พิจารณาฐานตามมาตรา 26 โดยอาศัยความยินยอมอย่างชัดแจ้งหรือข้อยกเว้นตามกฎหมายเฉพาะ **3. สิทธิของเจ้าของข้อมูล** — ขอเข้าถึง แก้ไข คัดค้าน ลบ ขอระงับการใช้ หรือเพิกถอนความยินยอมตามเงื่อนไขที่กฎหมายกำหนด **4. การติดต่อสอบถาม** — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ชื่อ / อีเมล / โทรศัพท์ **5. การปรับปรุงประกาศ** — องค์กรขอสงวนสิทธิในการปรับปรุงประกาศ โดยจะแจ้งให้ทราบผ่านช่องทางที่เหมาะสม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-1.md ============================================================ โนด: แนวปฏิบัติ 7.6.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-2.md # 7.6.2 กรณีมีความจำเป็นตามกฎหมายหรือเปลี่ยนแปลงวัตถุประสงค์ องค์กรแจ้งเจ้าของข้อมูลและบันทึกฐานทางกฎหมายนั้นลงในบันทึกรายการ ## สิ่งที่ต้องทำ ในกรณีที่มีความจำเป็นตามกฎหมาย หรือมีการเปลี่ยนแปลงวัตถุประสงค์การประมวลผลข้อมูลส่วนบุคคล องค์กรต้องแจ้งการเปลี่ยนแปลงดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบ และบันทึกฐานทางกฎหมายใหม่นั้นลงในบันทึกรายการกิจกรรมการประมวลผล ## หลักฐาน 1. หลักฐานการบันทึกฐานทางกฎหมายที่เปลี่ยนแปลงลงในบันทึกรายการ ## สภาพบังคับ [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเรื่องการประมวลผลตามวัตถุประสงค์ การแจ้งเจ้าของข้อมูล และการบันทึกรายการ กรณีไม่ปฏิบัติตามมาตรา 21 มีโทษปรับทางปกครองตาม [มาตรา 83](https://link.pdpalawbase.com/section/83.md) ไม่เกิน 3 ล้านบาท และกรณีไม่ปฏิบัติตามมาตรา 23 หรือมาตรา 39 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### เอกสารหลักฐานการแจ้งและบันทึกการเปลี่ยนแปลงฐานทางกฎหมาย **ส่วนที่ 1: รายการแจ้งการเปลี่ยนแปลงวัตถุประสงค์และฐานทางกฎหมาย** | ลำดับ | รายการข้อมูลส่วนบุคคล | วัตถุประสงค์ | ฐานทางกฎหมายเดิม | ฐานทางกฎหมายใหม่ | วันที่เปลี่ยนแปลง | แจ้งเจ้าของข้อมูลแล้ว | |-------|-------------------------|--------------|--------------------|--------------------|---------------------|------------------------| | 1 | ข้อมูลประวัติพนักงาน | เพื่อจัดทำแผนการเกษียณและส่งเสริมสุขภาพ | มาตรา 24 (3) (ประโยชน์โดยชอบ) | มาตรา 24 (1) (ยินยอม) | 01/05/2568 | แจ้งทางอีเมล | | 2 | ข้อมูลกล้องวงจรปิด | ใช้ในการประเมินประสิทธิภาพการทำงาน | มาตรา 24 (3) | มาตรา 24 (1) | 10/05/2568 | แจ้งผ่านประกาศ | **ส่วนที่ 2: รายละเอียดการแจ้งเจ้าของข้อมูลส่วนบุคคล** — ตัวอย่างข้อความแจ้ง (ใช้ประกาศ/จดหมาย/อีเมล) > เรื่อง: แจ้งเปลี่ยนแปลงวัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล > > องค์กรมีความจำเป็นต้องเปลี่ยนแปลงวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลของท่าน โดยมีรายละเอียด: ข้อมูลที่เกี่ยวข้อง = ข้อมูลประวัติพนักงาน; วัตถุประสงค์ใหม่ = เพื่อจัดทำแผนส่งเสริมสุขภาพพนักงาน; ฐานทางกฎหมาย = ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ทั้งนี้ ท่านสามารถเพิกถอนความยินยอมได้ตลอดเวลาโดยไม่กระทบสิทธิพื้นฐานอื่นใดของท่าน **ส่วนที่ 3: เอกสารแนบ** — แบบฟอร์มความยินยอม, บันทึกรายการกิจกรรมการประมวลผลที่ปรับปรุงแล้ว, สำเนาประกาศ/อีเมลแจ้งเจ้าของข้อมูล **ส่วนที่ 4: ผู้รับผิดชอบ** — ผู้บันทึก / ตำแหน่ง / วันที่บันทึก ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-2.md ============================================================ โนด: แนวปฏิบัติ 7.6.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-6-3.md # 7.6.3 ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรอยู่ในรูปแบบที่เข้าถึงได้โดยง่ายและอ่านเข้าใจง่าย ## สิ่งที่ต้องทำ จัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงได้ง่ายและอ่านเข้าใจง่าย โดยแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล พร้อมระบุ[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ที่ใช้ในการประมวลผลแต่ละวัตถุประสงค์ ## หลักฐาน 1. ประกาศการคุ้มครองข้อมูลส่วนบุคคลที่ระบุฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับเฉพาะ — เป็นแนวปฏิบัติที่ดีตามแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร [ชื่อองค์กร] ประกาศนี้จัดทำขึ้นเพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์ วิธีการ และสิทธิของท่านในการคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 **1. ข้อมูลที่เราเก็บรวบรวม** — เราจะเก็บรวบรวมเฉพาะข้อมูลที่จำเป็น ดังนี้ - ชื่อ-นามสกุล - หมายเลขบัตรประชาชน - ที่อยู่ / อีเมล / เบอร์โทร - ข้อมูลด้านการทำงาน (ตำแหน่ง, ประวัติการเข้า-ออกงาน) - ข้อมูลภาพจากกล้องวงจรปิด - ข้อมูลสุขภาพหรืออาชญากรรม (หากจำเป็น โดยอาศัยฐานตามมาตรา 26) **2. วัตถุประสงค์ในการประมวลผลข้อมูล** — ข้อมูลของท่านจะถูกใช้เพื่อวัตถุประสงค์ดังต่อไปนี้ | วัตถุประสงค์ | ฐานทางกฎหมาย | |---|---| | การบริหารจัดการพนักงาน | มาตรา 24 (3) – ประโยชน์โดยชอบด้วยกฎหมาย | | การให้บริการแก่ลูกค้า | มาตรา 24 (1) – การยินยอม | | การปฏิบัติตามกฎหมายภาษี / แรงงาน | มาตรา 24 (6) – การปฏิบัติตามกฎหมาย | | การรักษาความปลอดภัย (กล้องวงจรปิด) | มาตรา 24 (3) – ประโยชน์โดยชอบ | | การประมวลผลข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม | มาตรา 26 (1) (2) – กรณีจำเป็นตามกฎหมาย หรือได้รับความยินยอมโดยชัดแจ้ง | **3. การเปิดเผยข้อมูลแก่บุคคลภายนอก** — เราอาจเปิดเผยข้อมูลแก่หน่วยงานราชการ กองทุนประกันสังคม ธนาคาร หรือบริษัทคู่สัญญา ตามความจำเป็น และอาศัยฐานทางกฎหมายที่เหมาะสม **4. ระยะเวลาในการเก็บรักษา** — ข้อมูลของท่านจะถูกเก็บไว้ไม่เกินระยะเวลาที่จำเป็นตามวัตถุประสงค์ และ/หรือข้อกำหนดทางกฎหมาย **5. สิทธิของท่านในฐานะเจ้าของข้อมูล** — ท่านมีสิทธิขอเข้าถึง แก้ไข ลบ ขอระงับการประมวลผล หรือเพิกถอนความยินยอมได้ตลอดเวลา โดยติดต่อผ่านช่องทางด้านล่าง **6. ช่องทางการติดต่อ** — หากมีคำถามเพิ่มเติมหรือต้องการใช้สิทธิของเจ้าของข้อมูล กรุณาติดต่อ: - ฝ่ายคุ้มครองข้อมูลส่วนบุคคล - โทร: 0xxx-xxx-xxx - อีเมล: dpo@[domain].com - เว็บไซต์: www.องค์กร.com/privacy **ลักษณะการเข้าถึง:** - ประกาศนี้สามารถดาวน์โหลดจากเว็บไซต์ขององค์กร - ติดประกาศที่บริเวณทางเข้าหลักของสำนักงาน - แจกแจงในแบบฟอร์มความยินยอมทุกครั้งก่อนเก็บข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-6-3.md ============================================================ โนด: แนวปฏิบัติ 7.7.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-1.md # 7.7.1 ความยินยอมมีเงื่อนไขสอดคล้องกับมาตรา 19 ## สิ่งที่ต้องทำ จัดให้การขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)สอดคล้องกับหลักเกณฑ์ตามที่กฎหมายกำหนดครบถ้วน โดยมีเงื่อนไขสอดคล้องกับ[มาตรา 19](https://link.pdpalawbase.com/section/19.md) ดังนี้ 1. ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ 2. ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล 3. การขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่ายและไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว 4. คำนึงอย่างถึงที่สุดถึงความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ต้องไม่มีการทำเครื่องหมายเลือกความยินยอมไว้ล่วงหน้า 5. การเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอม 6. เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม 7. การถอนความยินยอมต้องไม่กระทบต่อการประมวลผลข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้ว 8. หากการถอนความยินยอมกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด องค์กรต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ 9. จัดทำแบบฟอร์มขอความยินยอมขององค์กร ## หลักฐาน 1. แบบฟอร์มขอความยินยอมขององค์กร ## สภาพบังคับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โทษทางปกครอง: [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ในกรณีที่ไม่ปฏิบัติตามมาตรา 19 กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### แบบฟอร์มขอความยินยอมในการประมวลผลข้อมูลส่วนบุคคล องค์กร: [ชื่อองค์กร] · เวอร์ชัน: 1.0 / วันที่บังคับใช้: [xx/xx/xxxx] **1. ข้อมูลที่เก็บรวบรวม** — องค์กรมีความประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังนี้ - ชื่อ-นามสกุล - หมายเลขบัตรประชาชน / หนังสือเดินทาง - เบอร์ติดต่อ / อีเมล - ข้อมูลสุขภาพ (ถ้ามี) - ข้อมูลการใช้งานเว็บไซต์ / กล้องวงจรปิด ฯลฯ **2. วัตถุประสงค์ของการประมวลผลข้อมูล** — ข้อมูลของท่านจะถูกนำไปใช้เพื่อ - การให้บริการตามที่ท่านร้องขอ - การติดต่อกลับ / ส่งข้อมูลข่าวสาร - การจัดกิจกรรมส่งเสริมการขาย / ประชาสัมพันธ์ - การวิเคราะห์พฤติกรรมการใช้งาน (เว็บไซต์, แอปพลิเคชัน) **3. ฐานทางกฎหมาย** — เราขอความยินยอมจากท่านในการประมวลผลข้อมูลเพื่อวัตถุประสงค์ข้างต้นตามมาตรา 19 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 **4. ข้อตกลงและสิทธิของท่าน** - ความยินยอมนี้เป็นการสมัครใจ โดยไม่มีผลกระทบต่อการรับบริการหลัก - ท่านสามารถถอนความยินยอมเมื่อใดก็ได้ โดยติดต่อที่ [อีเมล / เว็บไซต์ / แบบฟอร์มออนไลน์] - การถอนความยินยอมจะไม่กระทบต่อการประมวลผลที่ได้ดำเนินการโดยอาศัยความยินยอมก่อนหน้านี้ หากมีผลกระทบใด ๆ จากการถอนความยินยอม เราจะแจ้งให้ท่านทราบล่วงหน้าอย่างชัดเจน **5. การเลือกให้ความยินยอม** — โปรดแสดงความยินยอมโดยทำเครื่องหมายข้างล่างนี้ (ไม่ได้ทำเครื่องหมายเลือกไว้ล่วงหน้า) - ( ) ข้าพเจ้ายินยอมให้ [ชื่อองค์กร] เก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลของข้าพเจ้าตามวัตถุประสงค์ที่ระบุไว้ - ( ) ข้าพเจ้าไม่ยินยอม **6. ช่องทางติดต่อเพื่อถอนความยินยอม** — หากท่านประสงค์จะถอนความยินยอม กรุณาติดต่อ: - ฝ่ายคุ้มครองข้อมูลส่วนบุคคล - โทร: 0xxx-xxx-xxx - อีเมล: dpo@[domain].com - เว็บไซต์: www.[องค์กร].com/withdraw-consent **7. ลายเซ็นผู้ให้ความยินยอม** - ลงชื่อ: ......................................................... - ชื่อ-นามสกุล (พิมพ์): ....................................... - วันที่: ..................... ### สรุปความสอดคล้องตามมาตรา 19 | เกณฑ์ | การปฏิบัติ | |---|---| | ข้อ 1 | แบบฟอร์มทำเป็นลายลักษณ์อักษร / ระบบออนไลน์ได้ | | ข้อ 2 | แจ้งวัตถุประสงค์อย่างชัดเจน | | ข้อ 3 | แบบฟอร์มแยกจากเงื่อนไขอื่น อ่านง่าย ไม่หลอกลวง | | ข้อ 4 | ไม่มีการทำเครื่องหมายเลือกไว้ล่วงหน้า | | ข้อ 5 | ไม่มีเงื่อนไขให้ยินยอมจึงจะรับบริการได้ | | ข้อ 6 | ถอนยินยอมง่าย (ผ่านเว็บไซต์/อีเมล) | | ข้อ 7 | แจ้งว่าจะไม่กระทบกับการประมวลผลที่ผ่านมา | | ข้อ 8 | หากกระทบ จะมีการแจ้งให้ทราบ | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-1.md ============================================================ โนด: แนวปฏิบัติ 7.7.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-2.md # 7.7.2 มีการบันทึกวัตถุประสงค์ของการขอความยินยอมและตรวจสอบการให้ความยินยอมได้ รวมถึงจัดให้มีวิธีการเพิกถอนความยินยอม ## สิ่งที่ต้องทำ องค์กรต้องบันทึกวัตถุประสงค์ของการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)และสามารถตรวจสอบการให้ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ รวมถึงจัดให้มีวิธีการในการเพิกถอนความยินยอมในกรณีที่เจ้าของข้อมูลส่วนบุคคลร้องขอ ## หลักฐาน 1. บันทึกรายการความยินยอมของเจ้าของข้อมูลส่วนบุคคล 2. รายชื่อผู้ที่เกี่ยวข้องและแผนผังการดำเนินการที่เกี่ยวกับการจัดการความยินยอม ## สภาพบังคับ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กำหนดเงื่อนไขการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล กรณีไม่ปฏิบัติตามมาตรา 19 มีโทษปรับทางปกครองตาม [มาตรา 82](https://link.pdpalawbase.com/section/82.md) ไม่เกิน 1 ล้านบาท ## ตัวอย่างเอกสาร ### รายงานการจัดการความยินยอมของเจ้าของข้อมูลส่วนบุคคล **ส่วนที่ 1: การบันทึกความยินยอม** — องค์กรจัดเก็บรายการความยินยอมในรูปแบบฐานข้อมูลอิเล็กทรอนิกส์หรือเอกสาร โดยมีข้อมูลอย่างน้อย ได้แก่ ชื่อ-นามสกุลเจ้าของข้อมูล, วันที่ให้ความยินยอม, วัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล, ช่องทางที่ให้ความยินยอม และสถานะปัจจุบัน (ยินยอม / ถอนยินยอม) | ลำดับ | ชื่อ-สกุล | วันที่ให้ความยินยอม | วัตถุประสงค์ | ช่องทาง | สถานะ | |-------|-----------|----------------------|--------------|----------|--------| | 001 | นายสมชาย ใจดี | 01/05/2567 | การตลาดผ่านอีเมล | เว็บไซต์ | ยินยอม | | 002 | น.ส.กานต์รวี จันทร์เพ็ญ | 15/05/2567 | วิเคราะห์พฤติกรรมการใช้งาน | แอปพลิเคชัน | ถอนยินยอม | **ส่วนที่ 2: การตรวจสอบการให้ความยินยอม** — เจ้าหน้าที่ที่ได้รับมอบหมายสามารถตรวจสอบวัตถุประสงค์การประมวลผลที่ได้รับความยินยอม, ตรวจสอบสถานะการให้หรือถอนความยินยอมย้อนหลังได้อย่างน้อย 1 ปี และออกเอกสารรับรองความยินยอมเมื่อเจ้าของข้อมูลร้องขอ **ส่วนที่ 3: วิธีการถอนความยินยอม** — จัดให้มีช่องทางที่สะดวกและโปร่งใส เช่น แบบฟอร์มออนไลน์, อีเมลถึงเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล, คำร้องโดยตรง ณ จุดให้บริการ หรือโทรศัพท์ติดต่อ DPO; เจ้าหน้าที่ตรวจสอบตัวตนภายใน 3 วันทำการ และอัปเดตสถานะเป็น "ถอนยินยอม" ภายใน 7 วัน พร้อมแจ้งผลกระทบเป็นลายลักษณ์อักษรหากมี **ส่วนที่ 4: รายชื่อผู้ที่เกี่ยวข้อง** — DPO (ดูแลการจัดเก็บและถอนความยินยอม), ฝ่ายกฎหมาย (ตรวจสอบความถูกต้องของวัตถุประสงค์), ฝ่ายเทคโนโลยีสารสนเทศ (ดูแลระบบจัดเก็บข้อมูลยินยอม), เจ้าหน้าที่ประจำเคาน์เตอร์บริการ (รับคำร้องถอนความยินยอม) **ส่วนที่ 5: ขั้นตอนการจัดการความยินยอม** — (1) เจ้าของข้อมูลได้รับแบบฟอร์มขอความยินยอม (2) อ่านรายละเอียดและตัดสินใจให้หรือปฏิเสธ (3) ระบบบันทึกข้อมูลในฐานข้อมูลความยินยอม (4) กรณีถอนความยินยอม เจ้าของข้อมูลยื่นคำขอผ่านช่องทางที่กำหนด (5) เจ้าหน้าที่ตรวจสอบและปรับสถานะในระบบ (6) แจ้งผลให้เจ้าของข้อมูลทราบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-2.md ============================================================ โนด: แนวปฏิบัติ 7.7.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-7-3.md # 7.7.3 องค์กรมีตัวอย่างที่ใช้ในการขอความยินยอมและวิธีการให้ความยินยอม เพื่อให้เจ้าของข้อมูลส่วนบุคคลเข้าใจเงื่อนไขและวิธีการ ## สิ่งที่ต้องทำ องค์กรต้องมีตัวอย่างแบบฟอร์มที่ใช้ในการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md) และแสดงวิธีการให้ความยินยอม เพื่อให้เจ้าของข้อมูลส่วนบุคคลเข้าใจเงื่อนไขและวิธีการขอความยินยอมได้อย่างชัดเจน ## หลักฐาน 1. ตัวอย่างแบบฟอร์มขอความยินยอมขององค์กรที่ให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงได้ ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### ตัวอย่างแบบฟอร์มขอความยินยอมและคำแนะนำการให้ความยินยอม **ส่วนที่ 1: คำชี้แจงก่อนขอความยินยอม** — แจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล; แจ้งว่าเจ้าของข้อมูลมีสิทธิที่จะไม่ให้ความยินยอมโดยไม่กระทบต่อการใช้บริการหลัก; สามารถถอนความยินยอมได้ทุกเมื่อ; การให้ความยินยอมเป็นไปอย่างสมัครใจ และสามารถอ่านรายละเอียดเพิ่มเติมในประกาศคุ้มครองข้อมูลส่วนบุคคลได้ **ส่วนที่ 2: แบบฟอร์มขอความยินยอม** — ให้เลือกและทำเครื่องหมายในช่องที่ตรงกับความสมัครใจ - [ ] ข้าพเจ้าให้ความยินยอมให้องค์กรเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของข้าพเจ้าตามวัตถุประสงค์ข้างต้น - [ ] ข้าพเจ้าไม่ให้ความยินยอม พร้อมช่องระบุ ชื่อ-นามสกุล / วันที่ / ลายมือชื่อ **ส่วนที่ 3: วิธีการให้ความยินยอม** — ทำเครื่องหมายเลือกในแบบฟอร์ม หรือกรณีให้ความยินยอมผ่านระบบอิเล็กทรอนิกส์ ให้กดปุ่มแสดงความยินยอมซึ่งแยกส่วนจากข้อความอื่นอย่างชัดเจน; ใช้ภาษาที่อ่านง่าย ไม่ซับซ้อน ไม่หลอกลวง; ต้องไม่มีการบังคับหรือตั้งค่าเลือกไว้ล่วงหน้า **ส่วนที่ 4: วิธีการถอนความยินยอม** — กรอกแบบฟอร์มถอนความยินยอมออนไลน์, ส่งคำขอเป็นลายลักษณ์อักษรทางอีเมล, ติดต่อเจ้าหน้าที่ ณ จุดบริการ หรือทางโทรศัพท์; เมื่อได้รับคำขอ องค์กรจะอัปเดตสถานะภายใน 7 วันทำการและแจ้งผลให้ทราบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-7-3.md ============================================================ โนด: แนวปฏิบัติ 7.8.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-1.md # 7.8.1 องค์กรมีกระบวนการในการทบทวนความยินยอมเพื่อตรวจสอบว่าวัตถุประสงค์ของการประมวลผลตามความยินยอมที่ได้รับมานั้นยังเหมาะสมอยู่ ## สิ่งที่ต้องทำ องค์กรต้องมีกระบวนการในการทบทวน[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ที่ครบถ้วน เพื่อตรวจสอบว่าวัตถุประสงค์ของการประมวลผลตามความยินยอมที่ได้รับมานั้นยังเหมาะสมและสอดคล้องกับกฎหมายที่เกี่ยวข้องอยู่ ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการทบทวนความยินยอมที่ได้รับมาขององค์กร ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติในการทบทวนความยินยอม **1. วัตถุประสงค์** — กำหนดแนวทางและกระบวนการในการทบทวนความยินยอมที่ได้รับจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าวัตถุประสงค์ของการประมวลผลยังคงเหมาะสมและสอดคล้องกับกฎหมาย **2. ขอบเขต** — ครอบคลุมความยินยอมทั้งหมดที่ได้รับในทุกกิจกรรมการประมวลผลข้อมูลขององค์กร **3. แนวปฏิบัติในการทบทวนความยินยอม** - *การกำหนดช่วงเวลาทบทวน* — ทบทวนอย่างน้อยปีละหนึ่งครั้ง หรือตามความเหมาะสมของลักษณะข้อมูลและวัตถุประสงค์; กรณีมีการเปลี่ยนแปลงวัตถุประสงค์หรือข้อกฎหมาย ต้องทบทวนและแจ้งเจ้าของข้อมูลทันที - *กระบวนการทบทวน* — ตรวจสอบรายการความยินยอมที่มีอยู่; ประเมินว่าวัตถุประสงค์ยังชัดเจน ถูกต้อง และเหมาะสม; แจ้งเจ้าของข้อมูลหากพบความจำเป็นในการปรับเปลี่ยนหรือขอความยินยอมใหม่; จัดทำรายงานการทบทวน - *การสื่อสารและอบรม* — อบรมฝ่ายที่เกี่ยวข้องเกี่ยวกับกระบวนการทบทวน และสื่อสารให้เจ้าของข้อมูลรับทราบสิทธิอย่างชัดเจน **4. เอกสารและหลักฐาน** — บันทึกรายการความยินยอม, รายงานการทบทวนตามช่วงเวลา, เอกสารแจ้งการเปลี่ยนแปลงวัตถุประสงค์และคำขอความยินยอมใหม่ (ถ้ามี) **5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลดูแลกระบวนการทบทวน; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและตรวจสอบข้อมูลความยินยอม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-1.md ============================================================ โนด: แนวปฏิบัติ 7.8.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-2.md # 7.8.2 องค์กรกำหนดช่วงเวลาที่เหมาะสมในการขอความยินยอมอีกครั้ง เพื่อทบทวนว่ายังมีเงื่อนไขสอดคล้องกับกฎหมายและวัตถุประสงค์เดิม (อย่างน้อยทุก 2 ปี) ## สิ่งที่ต้องทำ องค์กรต้องกำหนดช่วงเวลาที่เหมาะสมในการขอ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)อีกครั้ง อย่างน้อยทุก ๆ 2 ปี เพื่อใช้ในการทบทวนความยินยอมว่ายังมีเงื่อนไขสอดคล้องกับกฎหมายและวัตถุประสงค์เดิมอยู่ ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการทบทวนความยินยอมที่ได้รับมาขององค์กร ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติในการกำหนดช่วงเวลาทบทวนความยินยอม **1. วัตถุประสงค์** — กำหนดช่วงเวลาที่เหมาะสมในการขอความยินยอมซ้ำจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าการประมวลผลยังคงสอดคล้องกับกฎหมายและวัตถุประสงค์เดิม **2. ขอบเขต** — ครอบคลุมความยินยอมที่ได้รับในทุกกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล **3. แนวปฏิบัติในการกำหนดช่วงเวลาทบทวน** - *กำหนดช่วงเวลาทบทวน* — ทบทวนความยินยอมอย่างน้อยทุก ๆ สองปี; กรณีมีการเปลี่ยนแปลงสำคัญในวัตถุประสงค์หรือข้อกฎหมายที่เกี่ยวข้อง ให้ทบทวนและขอความยินยอมใหม่ทันที - *การดำเนินการทบทวน* — ตรวจสอบฐานข้อมูลความยินยอมเพื่อระบุข้อมูลที่ครบกำหนดทบทวน; แจ้งเตือนเจ้าของข้อมูลให้ทราบและขอความยินยอมใหม่ในเวลาที่เหมาะสม; บันทึกผลการทบทวนและความยินยอมใหม่อย่างเป็นระบบ - *การสื่อสารและความโปร่งใส* — แจ้งให้เจ้าของข้อมูลรับทราบสิทธิและวิธีการให้และถอนความยินยอมอย่างชัดเจน และจัดให้มีช่องทางสอบถามข้อมูลเพิ่มเติม **4. เอกสารและหลักฐาน** — รายงานหรือบันทึกการทบทวนความยินยอมตามช่วงเวลา, เอกสารแจ้งเตือนและตอบรับจากเจ้าของข้อมูลส่วนบุคคล **5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลกำหนดและดำเนินการทบทวน; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและแจ้งเตือนการทบทวน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-2.md ============================================================ โนด: แนวปฏิบัติ 7.8.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-8-3.md # 7.8.3 องค์กรจัดให้มีเครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เพื่อใช้จัดการความยินยอมด้วยตนเอง ## สิ่งที่ต้องทำ องค์กรควรจัดให้มีเครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เพื่อให้เจ้าของข้อมูลสามารถจัดการ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ด้วยตนเอง เช่น การให้หรือเพิกถอนความยินยอม ## หลักฐาน 1. เครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เช่น แดชบอร์ดความเป็นส่วนตัว ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### รายงานและคำชี้แจงเกี่ยวกับเครื่องมือแดชบอร์ดความเป็นส่วนตัว **วัตถุประสงค์** — เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงและจัดการความยินยอม รวมถึงความเป็นส่วนตัวของตนเองได้อย่างสะดวก รวดเร็ว และโปร่งใส ผ่านเครื่องมือออนไลน์ที่องค์กรจัดทำขึ้น **รายละเอียดเครื่องมือ** - *คุณสมบัติหลัก* — เจ้าของข้อมูลดูข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวม, ตรวจสอบฐานข้อมูลความยินยอมที่ให้ไว้, ให้ความยินยอมใหม่หรือเพิกถอนความยินยอมได้ด้วยตนเอง, รับการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงนโยบายความเป็นส่วนตัว, ดูประวัติการให้และถอนความยินยอม และมีช่องทางติดต่อฝ่ายข้อมูลส่วนบุคคล - *การเข้าถึง* — ผ่านเว็บไซต์หลักหรือแอปพลิเคชันขององค์กร โดยมีการยืนยันตัวตนอย่างปลอดภัยก่อนเข้าสู่ระบบ **กระบวนการใช้งาน** — เจ้าของข้อมูลเข้าสู่ระบบด้วยการยืนยันตัวตน (เช่น รหัสผ่านครั้งเดียวหรือการยืนยันตัวตนสองขั้นตอน), เลือกดูรายการข้อมูลที่ให้ความยินยอมไว้, เปลี่ยนแปลงสถานะความยินยอมได้ตามต้องการ และระบบบันทึกการเปลี่ยนแปลงพร้อมแสดงสถานะล่าสุด **หลักฐานประกอบ** — คู่มือการใช้งานเครื่องมือสำหรับเจ้าของข้อมูล, ตัวอย่างหน้าจอระบบ, รายงานการบันทึกและตรวจสอบความยินยอม, รายงานการแจ้งเตือนและการตอบรับจากเจ้าของข้อมูล **ความรับผิดชอบ** — ฝ่ายเทคโนโลยีสารสนเทศพัฒนาและดูแลระบบ; ฝ่ายบริหารข้อมูลส่วนบุคคลจัดทำนโยบายและตรวจสอบการใช้งานให้เป็นไปตามข้อกำหนด ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-8-3.md ============================================================ โนด: แนวปฏิบัติ 7.9.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-1.md # 7.9.1 องค์กรมีระบบในการตรวจสอบอายุและความสามารถของผู้เยาว์ และมีมาตรการตรวจสอบการได้รับความยินยอมจากผู้มีอำนาจกระทำแทนผู้เยาว์ ## สิ่งที่ต้องทำ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะตามกฎหมาย องค์กรต้องมีระบบและวิธีการตรวจสอบอายุของผู้เยาว์อย่างชัดเจน และมีมาตรการในการตรวจสอบว่าได้รับ[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)จากบุคคลที่มีอำนาจกระทำแทนผู้เยาว์ตามเงื่อนไขของมาตรา 20 ## หลักฐาน 1. ระบบหรือขั้นตอนการดำเนินงานในการตรวจสอบอายุของผู้เยาว์ ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) แนวปฏิบัตินี้สอดคล้องกับมาตรา 20 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดเงื่อนไขการขอความยินยอมในกรณีที่เจ้าของข้อมูลเป็นผู้เยาว์ ## ตัวอย่างเอกสาร ### รายงานและคำชี้แจงระบบการตรวจสอบอายุของผู้เยาว์ **1. วัตถุประสงค์** — จัดให้มีระบบตรวจสอบอายุของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ เพื่อให้การขอความยินยอมเป็นไปอย่างถูกต้องตามกฎหมายและสอดคล้องกับมาตรา 20 **2. ระบบและวิธีการตรวจสอบอายุ** - *วิธีการตรวจสอบ* — ขอสำเนาบัตรประจำตัวประชาชนหรือเอกสารแสดงตัวตนที่มีวันเดือนปีเกิด; ยืนยันวันเกิดผ่านระบบอิเล็กทรอนิกส์พร้อมตรวจสอบความสมเหตุสมผล; ใช้ระบบตรวจสอบอายุอัตโนมัติที่เชื่อมต่อกับฐานข้อมูลภายนอก (ถ้ามี); ขอการรับรองจากผู้ปกครองหรือผู้มีอำนาจกระทำการแทนผู้เยาว์ - *แนวทางปฏิบัติ* — เจ้าหน้าที่ตรวจสอบและยืนยันอายุก่อนดำเนินการขอความยินยอม; หากพบว่าเป็นผู้เยาว์ ต้องขอความยินยอมจากผู้ปกครองหรือผู้มีอำนาจตามกฎหมาย; บันทึกผลการตรวจสอบอายุและการขอความยินยอมไว้เป็นหลักฐาน; แจ้งเตือนเมื่ออายุของเจ้าของข้อมูลใกล้เปลี่ยนสถานะเพื่อทบทวนความยินยอมใหม่ **3. กระบวนการดำเนินงาน** — เจ้าของข้อมูลกรอกวันเดือนปีเกิดผ่านแบบฟอร์มหรือช่องทางออนไลน์; เจ้าหน้าที่ตรวจสอบเอกสารประกอบ; หากเป็นผู้เยาว์ แจ้งให้ผู้ปกครองหรือผู้มีอำนาจดำเนินการให้ความยินยอม; บันทึกผลและเก็บรักษาเอกสารประกอบ; มีแบบฟอร์มขอความยินยอมเฉพาะสำหรับผู้เยาว์และผู้ปกครอง **4. หลักฐานประกอบ** — เอกสารแสดงขั้นตอนและระบบตรวจสอบอายุ, ตัวอย่างแบบฟอร์มขอความยินยอมของผู้เยาว์และผู้ปกครอง, รายงานบันทึกผลการตรวจสอบอายุและความยินยอม, นโยบายภายในเกี่ยวกับการจัดการข้อมูลผู้เยาว์ **5. ความรับผิดชอบ** — ฝ่ายบริหารข้อมูลส่วนบุคคลจัดทำและควบคุมระบบตรวจสอบอายุ; ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบยืนยันอายุผ่านช่องทางออนไลน์; เจ้าหน้าที่ประสานงานติดตามและจัดเก็บหลักฐานความยินยอม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-1.md ============================================================ โนด: แนวปฏิบัติ 7.9.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-2.md # 7.9.2 องค์กรมีมาตรการที่เหมาะสมในการตรวจสอบว่าบุคคลดังกล่าวสามารถให้ความยินยอมด้วยตนเองได้ หรือกรณีที่ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง แล้วแต่กรณี ## สิ่งที่ต้องทำ มีมาตรการในการตรวจสอบที่มีประสิทธิภาพและเหมาะสม สำหรับประเมินว่าเจ้าของข้อมูลผู้เยาว์สามารถให้[ความยินยอม](https://link.pdpalawbase.com/concept/consent.md)ด้วยตนเองได้หรือไม่ และในกรณีที่ผู้เยาว์ไม่สามารถให้ความยินยอมได้ ให้มีมาตรการในการขอความยินยอมจากผู้ใช้อำนาจปกครองแทน ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติ และกระบวนการในการตรวจสอบความสามารถและการขอความยินยอมจากผู้ใช้อำนาจปกครอง แล้วแต่กรณี ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) แนวทางการดำเนินการในการขอความยินยอมจาก[เจ้าของข้อมูลส่วนบุคคล](https://link.pdpalawbase.com/concept/data-subject.md)ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติในการตรวจสอบความสามารถและการขอความยินยอมจากผู้ใช้อำนาจปกครอง - **องค์กร:** [ชื่อองค์กร] - **เวอร์ชัน:** 1.0 / **วันที่:** [xx/xx/xxxx] **1. วัตถุประสงค์** เพื่อกำหนดมาตรการและกระบวนการตรวจสอบความสามารถของเจ้าของข้อมูลผู้เยาว์ในการให้ความยินยอมด้วยตนเอง และในกรณีที่ไม่สามารถให้ความยินยอมได้ ให้มีมาตรการในการขอความยินยอมจากผู้ใช้อำนาจปกครองตามกฎหมายและแนวทางของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 **2. มาตรการตรวจสอบความสามารถในการให้ความยินยอม** 2.1 การประเมินความสามารถของเจ้าของข้อมูลผู้เยาว์ - ใช้แบบสอบถามหรือการสัมภาษณ์เพื่อประเมินความเข้าใจของผู้เยาว์เกี่ยวกับวัตถุประสงค์และผลกระทบของการให้ความยินยอม - พิจารณาอายุ ความรู้ ความเข้าใจ และสติปัญญาของผู้เยาว์ เพื่อประเมินว่าผู้เยาว์มีความสามารถในการให้ความยินยอมด้วยตนเองหรือไม่ - หากประเมินแล้วว่าผู้เยาว์มีความสามารถ ให้ดำเนินการขอความยินยอมโดยตรงจากผู้เยาว์ - หากผู้เยาว์ไม่มีความสามารถ ให้ดำเนินการขอความยินยอมจากผู้ใช้อำนาจปกครองแทน 2.2 กรณีที่ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง - กำหนดขั้นตอนและแบบฟอร์มขอความยินยอมจากผู้ปกครองหรือผู้มีอำนาจตามกฎหมาย - มีการยืนยันตัวตนของผู้ใช้อำนาจปกครอง เช่น สำเนาบัตรประชาชน หรือเอกสารแสดงสิทธิในการปกครอง - บันทึกและเก็บรักษาความยินยอมจากผู้ใช้อำนาจปกครองไว้อย่างเป็นระบบ - แจ้งให้ผู้ปกครองทราบสิทธิในการเพิกถอนความยินยอมได้ตามกฎหมาย **3. กระบวนการดำเนินงาน** 3.1 ขั้นตอนการตรวจสอบและขอความยินยอม - เจ้าของข้อมูลผู้เยาว์กรอกข้อมูลเบื้องต้นและตอบแบบประเมินความสามารถ - เจ้าหน้าที่ประเมินความสามารถตามเกณฑ์ที่กำหนด - หากประเมินว่าผู้เยาว์สามารถให้ความยินยอมได้ ให้ดำเนินการขอความยินยอมโดยตรง - หากไม่สามารถให้ความยินยอมได้ ให้ดำเนินการขอความยินยอมจากผู้ใช้อำนาจปกครอง พร้อมยืนยันเอกสารสิทธิในการปกครอง - บันทึกผลการประเมินและการขอความยินยอมลงในระบบฐานข้อมูลขององค์กร **4. หลักฐานประกอบ** - นโยบายและแนวปฏิบัติการตรวจสอบความสามารถและขอความยินยอมจากผู้ใช้อำนาจปกครอง - แบบฟอร์มประเมินความสามารถของผู้เยาว์ - แบบฟอร์มขอความยินยอมจากผู้ใช้อำนาจปกครอง - รายงานการประเมินและบันทึกผลความยินยอมจากผู้เยาว์และผู้ใช้อำนาจปกครอง **5. ความรับผิดชอบ** - ฝ่ายบริหารข้อมูลส่วนบุคคลรับผิดชอบจัดทำและควบคุมการดำเนินงานตามนโยบายนี้ - เจ้าหน้าที่ประสานงานตรวจสอบ และประเมินความสามารถของเจ้าของข้อมูลผู้เยาว์ - ฝ่ายเทคโนโลยีสารสนเทศสนับสนุนระบบบันทึกและจัดเก็บข้อมูลความยินยอม ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-2.md ============================================================ โนด: แนวปฏิบัติ 7.9.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-3.md # 7.9.3 กรณีให้บริการออนไลน์กับผู้เยาว์ องค์กรมีมาตรการประเมินความเสี่ยงเพื่อตรวจสอบอายุของผู้เยาว์ให้สอดคล้องกับระดับความเสี่ยง ## สิ่งที่ต้องทำ ในกรณีที่ให้บริการออนไลน์กับผู้เยาว์ องค์กรต้องมีมาตรการในการประเมินความเสี่ยงในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ และพิจารณาตามแต่ละช่วงอายุ เพื่อใช้ในการตรวจสอบอายุของผู้เยาว์ให้สอดคล้องกับระดับความเสี่ยงที่อาจเกิดขึ้นกับสิทธิและเสรีภาพของผู้เยาว์ ## หลักฐาน 1. รายงานการประเมินความเสี่ยงกรณีการให้บริการออนไลน์กับผู้เยาว์ ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) สอดคล้องกับแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### รายงานการประเมินความเสี่ยงกรณีการให้บริการออนไลน์กับผู้เยาว์ **1. บทนำ** — จัดทำขึ้นเพื่อประเมินความเสี่ยงที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ที่ใช้บริการออนไลน์ และกำหนดมาตรการตรวจสอบอายุให้เหมาะสมกับระดับความเสี่ยงตามช่วงอายุ **2. ขอบเขตของการประเมิน** — การให้บริการออนไลน์ทุกประเภทที่มีการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์, การตรวจสอบอายุและการขอความยินยอม, การวิเคราะห์ความเสี่ยงในแต่ละช่วงอายุ (เช่น ต่ำกว่า 13 ปี, 13-15 ปี, 16-18 ปี) **3. การประเมินความเสี่ยง** | ช่วงอายุผู้เยาว์ | ความเสี่ยงด้านสิทธิและเสรีภาพ | มาตรการตรวจสอบอายุที่ดำเนินการ | |-------------------|----------------------------------|----------------------------------| | ต่ำกว่า 13 ปี | ความเสี่ยงสูง เนื่องจากอายุน้อยอาจไม่เข้าใจผลกระทบ | ตรวจสอบเอกสารยืนยันอายุจากผู้ปกครอง; ขอความยินยอมจากผู้ปกครองเท่านั้น; จำกัดการเข้าถึงข้อมูลหรือฟังก์ชันบางอย่าง | | 13-15 ปี | ความเสี่ยงปานกลาง มีความสามารถในการให้ความยินยอมบางส่วน | ประเมินความสามารถในการให้ความยินยอมโดยตรงจากผู้เยาว์; ขอความยินยอมจากผู้ปกครองร่วมด้วยตามกรณี | | 16-18 ปี | ความเสี่ยงต่ำ ผู้เยาว์มีความสามารถในการให้ความยินยอมมากขึ้น | ขอความยินยอมจากผู้เยาว์โดยตรง; มีมาตรการตรวจสอบอายุเพิ่มเติมเมื่อจำเป็น | **4. มาตรการที่นำมาใช้** — ระบบตรวจสอบอายุออนไลน์และการยืนยันตัวตนเบื้องต้น; การใช้ระบบยืนยันตัวตนของผู้ปกครองกรณีผู้เยาว์อายุต่ำกว่าเกณฑ์; การจำกัดการเข้าถึงข้อมูลหรือบริการที่ไม่เหมาะสมกับผู้เยาว์ในแต่ละช่วงอายุ; การทบทวนและอัปเดตมาตรการอย่างสม่ำเสมอ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-3.md ============================================================ โนด: แนวปฏิบัติ 7.9.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-9-4.md # 7.9.4 กรณีขอความยินยอมจากผู้เยาว์หรือบุคคลไร้ความสามารถ องค์กรมีมาตรการตรวจสอบว่าผู้ให้ความยินยอมแทนเป็นผู้มีอำนาจกระทำการแทนอย่างแท้จริง ## สิ่งที่ต้องทำ ในกรณีที่เป็นการขอความยินยอมจากผู้เยาว์ บุคคลไร้ความสามารถ หรือเสมือนไร้ความสามารถ องค์กรต้องมีมาตรการในการตรวจสอบผู้มีอำนาจกระทำการแทนอย่างเหมาะสมว่าบุคคลที่ให้ความยินยอมแทนเป็นผู้มีอำนาจกระทำการแทนเจ้าของข้อมูลส่วนบุคคลอย่างแท้จริง และมีขั้นตอนการขอเอกสารประกอบการพิจารณาที่ชัดเจน ## หลักฐาน 1. แนวปฏิบัติหรือกลไกในการตรวจสอบสถานะผู้ให้ความยินยอมแทนเจ้าของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) สอดคล้องกับแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### แนวปฏิบัติและกลไกในการตรวจสอบสถานะผู้ให้ความยินยอมแทนเจ้าของข้อมูลส่วนบุคคล **1. วัตถุประสงค์** — กำหนดแนวทางและมาตรการตรวจสอบว่าผู้ให้ความยินยอมแทนเจ้าของข้อมูลซึ่งเป็นผู้เยาว์ บุคคลไร้ความสามารถ หรือเสมือนไร้ความสามารถ เป็นผู้มีอำนาจกระทำการแทนอย่างถูกต้องตามกฎหมาย **2. ขอบเขต** — ครอบคลุมการขอความยินยอมในกรณีที่เจ้าของข้อมูลไม่สามารถให้ความยินยอมด้วยตนเองได้ และต้องมีผู้แทนที่มีอำนาจให้ความยินยอมแทน **3. มาตรการและขั้นตอนในการตรวจสอบ** - *การยืนยันตัวตนของผู้ให้ความยินยอมแทน* — ตรวจสอบบัตรประจำตัวประชาชนหรือเอกสารราชการที่แสดงตัวตน; ตรวจสอบความเกี่ยวข้องทางกฎหมาย เช่น บัตรผู้ปกครอง สูติบัตร หรือเอกสารแต่งตั้งผู้อนุบาล - *การขอเอกสารประกอบ* — เอกสารแสดงความสัมพันธ์ (สูติบัตรของผู้เยาว์, เอกสารรับรองความเป็นบิดามารดาหรือผู้อนุบาล); หนังสือมอบอำนาจหรือคำสั่งศาลกรณีผู้อนุบาลหรือผู้ดูแลตามกฎหมาย; เอกสารทางการแพทย์หรือคำพิพากษาที่แสดงสถานะไร้ความสามารถหรือเสมือนไร้ความสามารถ - *การบันทึกและเก็บรักษาข้อมูล* — บันทึกข้อมูลผู้ให้ความยินยอมแทนในระบบจัดการข้อมูล และเก็บรักษาเอกสารประกอบอย่างปลอดภัยและเป็นความลับ - *การตรวจสอบซ้ำ* — ทบทวนความถูกต้องของเอกสารและสถานะของผู้ให้ความยินยอมแทนอย่างสม่ำเสมอ (เช่น ทุก 1 ปี หรือเมื่อมีการเปลี่ยนแปลงข้อมูล) **4. ความรับผิดชอบ** — ฝ่ายบริหารจัดการข้อมูลส่วนบุคคลตรวจสอบและบันทึกข้อมูล; ฝ่ายกฎหมายและความปลอดภัยข้อมูลสนับสนุนการตรวจสอบเอกสารและให้คำปรึกษาทางกฎหมาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-9-4.md ============================================================ โนด: แนวปฏิบัติ 7.10.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-1.md # 7.10.1 มีการจัดทำการประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล เพื่อใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ## สิ่งที่ต้องทำ ในกรณีที่องค์กรใช้[ฐานในการประมวลผล](https://link.pdpalawbase.com/concept/lawful-basis.md)ตามมาตรา 24 (5) สำหรับกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร องค์กรต้องจัดทำการประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลให้ครบถ้วนก่อนเริ่มเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ## หลักฐาน 1. เอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) แนวปฏิบัตินี้เกี่ยวข้องกับการใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### การประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล **1. วัตถุประสงค์** — ประเมินและวิเคราะห์ผลกระทบที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลจากการใช้ฐานทางกฎหมายตามมาตรา 24 (5) เพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร **2. ขอบเขต** — ครอบคลุมกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) **3. ขั้นตอนการประเมิน** - *ระบุประโยชน์โดยชอบด้วยกฎหมายขององค์กร* — กำหนดวัตถุประสงค์และประโยชน์ที่ต้องการได้รับจากการประมวลผล และระบุฐานกฎหมายที่เกี่ยวข้อง - *ประเมินความจำเป็นและความเหมาะสม* — ตรวจสอบว่าการประมวลผลจำเป็นและเหมาะสมกับวัตถุประสงค์ และไม่เกินความจำเป็น - *ประเมินผลกระทบต่อเจ้าของข้อมูล* — วิเคราะห์ความเสี่ยงและผลกระทบต่อความเป็นส่วนตัว ความปลอดภัย และความเสี่ยงในการถูกละเมิดข้อมูล พร้อมมาตรการลดผลกระทบ - *จัดทำรายงานสรุปผลการประเมิน* — พร้อมข้อเสนอแนะ มาตรการควบคุม ผู้รับผิดชอบ และแผนการติดตามผล **4. ความรับผิดชอบ** — ฝ่ายบริหารความเสี่ยงและคุ้มครองข้อมูลส่วนบุคคลดำเนินการประเมินและรายงาน; ฝ่ายกฎหมายสนับสนุนคำปรึกษาและตรวจสอบความถูกต้อง **5. ข้อกำหนดตามกฎหมายที่เกี่ยวข้อง** — มาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลและการประเมินผลกระทบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-1.md ============================================================ โนด: แนวปฏิบัติ 7.10.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-2.md # 7.10.2 การประเมินมีการชั่งผลประโยชน์ตามหลักความได้สัดส่วน เพื่อให้มั่นใจว่าประโยชน์โดยชอบด้วยกฎหมายเหมาะสมเมื่อเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล ## สิ่งที่ต้องทำ การประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายต้องมีการชั่งผลประโยชน์ตามหลักความได้สัดส่วน เพื่อให้มั่นใจว่าประโยชน์โดยชอบด้วยกฎหมายขององค์กรมีความเหมาะสมเมื่อเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล โดยมีแนวทางการประเมินดังนี้ 1. ไม่ใช้ข้อมูลในลักษณะที่เป็นการก้าวล่วงความเป็นส่วนตัวเกินสมควร หรือก่อให้เกิดความเสียหาย เว้นแต่มีเหตุผลและความจำเป็นตามกฎหมาย 2. ปกป้องผลประโยชน์หรือส่วนได้เสียของบุคคลที่เป็นกลุ่มเปราะบาง เช่น ผู้เยาว์หรือผู้พิการ อย่างเหมาะสม 3. กำหนดมาตรการที่เหมาะสมในการลดผลกระทบเชิงลบที่อาจเกิดขึ้น 4. เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอระงับหรือให้ยุติการประมวลผล เว้นแต่จะมีข้อยกเว้นตามกฎหมาย ## หลักฐาน 1. เอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) แนวปฏิบัตินี้เกี่ยวข้องกับการใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### รายงานการประเมินผลกระทบและการชั่งน้ำหนักผลประโยชน์ตามหลักความได้สัดส่วน **1. การหลีกเลี่ยงการใช้ข้อมูลเกินสมควร** — ประเมินว่าการใช้ข้อมูลไม่เป็นการละเมิดความเป็นส่วนตัวเกินความจำเป็น และไม่ก่อให้เกิดความเสียหายหรือผลกระทบเชิงลบโดยไม่จำเป็น **2. การปกป้องกลุ่มเปราะบาง** — ระบุว่ามีข้อมูลของกลุ่มเปราะบาง เช่น ผู้เยาว์ ผู้พิการ หรือกลุ่มอื่นที่อาจได้รับผลกระทบพิเศษหรือไม่ และกำหนดมาตรการป้องกัน เช่น การขอความยินยอมจากผู้ปกครองหรือการจำกัดการเข้าถึงข้อมูล **3. มาตรการลดผลกระทบเชิงลบ** — กำหนดมาตรการเชิงเทคนิคและองค์กร เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึง หรือการกำหนดระยะเวลาการเก็บรักษาข้อมูล พร้อมติดตามและประเมินมาตรการอย่างสม่ำเสมอ **4. สิทธิของเจ้าของข้อมูลส่วนบุคคล** — แจ้งสิทธิในการขอระงับหรือยุติการประมวลผล และกำหนดขั้นตอนการรับเรื่องและดำเนินการตามคำขอตามกฎหมายและข้อยกเว้นที่เกี่ยวข้อง **5. สรุปผลการชั่งน้ำหนักผลประโยชน์** — ระบุประโยชน์โดยชอบด้วยกฎหมายขององค์กร, ผลกระทบต่อเจ้าของข้อมูล, มาตรการที่ดำเนินการ และข้อสรุปด้านความเหมาะสมและความได้สัดส่วน **6. ความรับผิดชอบ** — ฝ่ายบริหารความเสี่ยงและคุ้มครองข้อมูลส่วนบุคคลจัดทำและติดตามการประเมิน; ฝ่ายกฎหมายร่วมตรวจสอบความถูกต้องและความสอดคล้องกับกฎหมาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-2.md ============================================================ โนด: แนวปฏิบัติ 7.10.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-3.md # 7.10.3 มีการจัดทำเป็นเอกสารการประเมิน เพื่อให้สามารถตรวจสอบได้ถึงการใช้แนวทางการประเมินและการตัดสินใจ ## สิ่งที่ต้องทำ องค์กรต้องจัดทำเอกสารการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายเพื่อให้สามารถตรวจสอบได้ และบันทึกแนวทางการประเมินหรือการตัดสินใจอย่างชัดเจน ## หลักฐาน 1. เอกสารรายงานการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### รายงานการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย **1. บทนำ** — ระบุวัตถุประสงค์ของการประเมินและขอบเขต พร้อมอธิบายกรอบแนวทางการประเมินผลประโยชน์โดยชอบด้วยกฎหมายเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล **2. ขั้นตอนการประเมิน** — ระบุขั้นตอนการดำเนินการ วิธีการเก็บรวบรวมข้อมูลและการวิเคราะห์ พร้อมบันทึกแนวทางการชั่งน้ำหนักผลประโยชน์และการพิจารณาปัจจัยต่าง ๆ **3. การตัดสินใจ** — สรุปผลการประเมินและการตัดสินใจว่าการใช้ข้อมูลเป็นไปอย่างเหมาะสมและสอดคล้องกับหลักความได้สัดส่วน พร้อมระบุเหตุผลประกอบการตัดสินใจอย่างละเอียด **4. เอกสารแนบและหลักฐาน** — แนบเอกสารสนับสนุน เช่น บันทึกการประชุม รายงานการวิเคราะห์ความเสี่ยง และบันทึกการตรวจสอบหรือการอนุมัติจากผู้มีอำนาจ **5. ความรับผิดชอบและการทบทวน** — ระบุผู้รับผิดชอบในการจัดทำและทบทวน พร้อมกำหนดรอบระยะเวลาการทบทวนเอกสารและการอัปเดต **6. ลงชื่อรับรอง** — ลายมือชื่อผู้จัดทำและผู้อนุมัติ พร้อมวันที่ หมายเหตุ: เอกสารนี้สามารถใช้เป็นหลักฐานแสดงให้เห็นถึงกระบวนการและแนวทางการประเมิน รวมทั้งการตัดสินใจที่ชัดเจนและตรวจสอบได้ในองค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-3.md ============================================================ โนด: แนวปฏิบัติ 7.10.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-4.md # 7.10.4 มีนโยบายและกระบวนการจัดทำการประเมินผลประโยชน์โดยชอบด้วยกฎหมายก่อนเริ่มดำเนินการ พร้อมรายงานการประชุม ## สิ่งที่ต้องทำ องค์กรต้องจัดทำการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายก่อนเริ่มดำเนินการ โดยมีนโยบายและกระบวนการที่ชัดเจน รวมถึงรายงานการประชุมพิจารณาประกอบการตัดสินใจ ## หลักฐาน 1. นโยบายหรือแนวปฏิบัติและกระบวนการเกี่ยวกับการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย 2. รายงานการประชุมพิจารณาการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) แนวปฏิบัตินี้ครอบคลุมการประเมินทุกกรณีที่องค์กรใช้ฐานทางกฎหมายตามมาตรา 24 (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติการประเมินผลประโยชน์โดยชอบด้วยกฎหมาย **1. วัตถุประสงค์** — กำหนดแนวทางและกระบวนการในการดำเนินการประเมินผลประโยชน์โดยชอบด้วยกฎหมายก่อนการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าการดำเนินการเป็นไปตามหลักความได้สัดส่วนและคุ้มครองสิทธิของเจ้าของข้อมูล **2. ขอบเขต** — ครอบคลุมการประเมินทุกกรณีที่ใช้ฐานทางกฎหมายตามมาตรา 24 (5) **3. กระบวนการดำเนินการ** — ระบุวัตถุประสงค์ของการประมวลผล; วิเคราะห์และชั่งน้ำหนักผลประโยชน์ขององค์กรเทียบกับผลกระทบต่อเจ้าของข้อมูล; พิจารณาผลกระทบต่อกลุ่มเปราะบาง (ผู้เยาว์ ผู้พิการ); กำหนดมาตรการลดผลกระทบเชิงลบ; บันทึกผลการประเมินและการตัดสินใจก่อนเริ่มดำเนินการ; จัดเก็บเอกสารไว้สำหรับตรวจสอบภายในและภายนอก **4. ความรับผิดชอบ** — ระบุผู้รับผิดชอบในการจัดทำและทบทวน พร้อมกำหนดช่วงเวลาทบทวนอย่างสม่ำเสมอ ### ตัวอย่างรายงานการประชุมพิจารณาการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย - **วาระการประชุม** — พิจารณาการใช้ฐานทางกฎหมายประโยชน์โดยชอบด้วยกฎหมาย, รายงานผลการประเมิน, ตัดสินใจและกำหนดมาตรการเพิ่มเติม (ถ้ามี) - **สรุปการประชุม** — อธิบายการวิเคราะห์และชั่งน้ำหนักผลประโยชน์ขององค์กรเทียบกับสิทธิและเสรีภาพของเจ้าของข้อมูล; รับรองว่าได้พิจารณาผลกระทบต่อกลุ่มเปราะบางและกำหนดมาตรการลดผลกระทบแล้ว; ตกลงให้ดำเนินการตามผลการประเมินที่จัดทำไว้; กำหนดผู้รับผิดชอบติดตามและทบทวนในอนาคต พร้อมลายมือชื่อผู้จัดทำและผู้อนุมัติ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-4.md ============================================================ โนด: แนวปฏิบัติ 7.10.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/7-10-5.md # 7.10.5 มีการทบทวนการประเมินอย่างสม่ำเสมอ โดยเฉพาะกรณีที่มีความเปลี่ยนแปลงเกี่ยวกับกิจกรรมการประมวลผลที่อาจกระทบต่อผลการประเมิน ## สิ่งที่ต้องทำ องค์กรต้องทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมายอย่างสม่ำเสมอ โดยเฉพาะในกรณีที่มีความเปลี่ยนแปลงเกี่ยวกับกิจกรรมการประมวลผลที่อาจกระทบต่อผลการประเมิน ## หลักฐาน 1. หลักฐานการทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ## สภาพบังคับ ไม่มีกฎหมายบังคับ (แนวปฏิบัติที่ดี) ## ตัวอย่างเอกสาร ### หลักฐานการทบทวนการประเมินการใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย **1. รายงานการทบทวน** — รายงานสรุปผลการทบทวนที่แสดงวันที่ทบทวน ผู้ทบทวน และสาเหตุการทบทวน (เช่น มีการเปลี่ยนแปลงกิจกรรมการประมวลผล); รายละเอียดการวิเคราะห์ผลกระทบที่อาจเปลี่ยนแปลง; ข้อเสนอแนะหรือมาตรการแก้ไข (ถ้ามี) **2. บันทึกการประชุมทบทวน** — รายงานหรือบันทึกการประชุมที่มีการพิจารณาและอนุมัติผลการทบทวน พร้อมลายมือชื่อของผู้มีอำนาจรับรอง **3. เอกสารแนวปฏิบัติการทบทวน** — นโยบายหรือคู่มือภายในที่กำหนดช่วงเวลาการทบทวน (เช่น ทุก 1-2 ปี หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ) และขั้นตอนการแจ้งเตือนและติดตามการทบทวน **4. ตัวอย่างเอกสารอ้างอิง** — ไฟล์รายงานการทบทวนที่มีการแก้ไขล่าสุด และอีเมลหรือเอกสารที่แสดงการติดตามการทบทวน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/7-10-5.md ============================================================ โนด: แนวปฏิบัติ 9.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-1.md # 9.1.1 องค์กรมีกระบวนการที่จะช่วยให้พนักงานรายงานและยกระดับการปกป้องข้อมูล และสามารถแจ้งข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลไปยังจุดศูนย์กลางหรือหน่วยงานกลางที่องค์กรกำหนด ## สิ่งที่ต้องทำ องค์กรมีกระบวนการหรือแนวปฏิบัติที่ช่วยให้พนักงานรายงานและยกระดับการปกป้องข้อมูล และสามารถแจ้งข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลไปยังจุดศูนย์กลางหรือหน่วยงานกลางที่องค์กรกำหนด และมีเอกสารครบถ้วน ## หลักฐาน 1. นโยบายภายในในการจัดให้มีมาตรการหรือช่องทางสำหรับการรายงานถึงข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคลมายังศูนย์กลางหรือหน่วยงานกลางขององค์กร 2. ประกาศช่องทางและวิธีการรายงานข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคล 3. รายงานข้อกังวลและความเสี่ยงด้านการกำกับดูแลข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)(3) กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการรายงานและยกระดับข้อกังวลด้านการกำกับดูแลข้อมูลส่วนบุคคล #### 1. วัตถุประสงค์ นโยบายนี้จัดทำขึ้นเพื่อกำหนดกระบวนการและช่องทางในการรายงานข้อกังวล ข้อสงสัย หรือความเสี่ยงที่เกี่ยวข้องกับการคุ้มครองและการกำกับดูแลข้อมูลส่วนบุคคลภายในองค์กร โดยมีเป้าหมายเพื่อ - เสริมสร้างความตระหนักรู้และการมีส่วนร่วมของพนักงานทุกระดับ - สนับสนุนให้องค์กรสามารถตรวจพบและจัดการความเสี่ยงด้านข้อมูลได้อย่างทันท่วงที - สอดคล้องกับข้อกำหนดด้านกฎหมายและมาตรฐานที่เกี่ยวข้อง #### 2. ขอบเขต - พนักงานทุกคนในองค์กร (ประจำ/ชั่วคราว/สัญญาจ้าง) - ผู้บริหารทุกระดับ - หน่วยงานที่เกี่ยวข้องกับการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล #### 3. นโยบายหลัก 1. องค์กรจัดให้มีช่องทางศูนย์กลางสำหรับการรายงานข้อกังวลด้านข้อมูลส่วนบุคคล ได้แก่ - อีเมลกลางของหน่วยงานกำกับดูแลข้อมูล: privacy@[ชื่อองค์กร].com - เบอร์โทรศัพท์สายตรงฝ่ายกำกับดูแลข้อมูล: 0-xxx-xxxx - กล่องรับแจ้งภายในสำนักงาน - ระบบออนไลน์ผ่านอินทราเน็ต 2. พนักงานทุกคนมีสิทธิและหน้าที่ในการรายงานข้อกังวลหรือเหตุการณ์ที่อาจกระทบต่อการคุ้มครองข้อมูลส่วนบุคคล เช่น - การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต - การเก็บหรือใช้ข้อมูลเกินวัตถุประสงค์ - การขาดมาตรการควบคุมความปลอดภัย 3. การรายงานสามารถทำได้ทั้งเปิดเผยชื่อหรือไม่เปิดเผยชื่อ โดยองค์กรรับประกันความลับของผู้รายงาน 4. หน่วยงานกำกับดูแลข้อมูล (เช่น ฝ่ายคุ้มครองข้อมูลส่วนบุคคล / ฝ่ายกฎหมาย / คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) เป็นผู้รับผิดชอบตรวจสอบและดำเนินการตามกระบวนการแก้ไข/ป้องกัน 5. องค์กรห้ามมิให้มีการตอบโต้ผู้รายงาน #### 4. กระบวนการรายงานและยกระดับ - พนักงานรายงานข้อกังวลผ่านช่องทางที่กำหนด - หน่วยงานกลางรับเรื่อง ลงทะเบียนและบันทึกเหตุการณ์ - ประเมินความเสี่ยงเบื้องต้นว่าเป็นความเสี่ยงระดับต่ำ กลาง หรือสูง - หากเป็นความเสี่ยงสูง ยกระดับให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรภายใน 24 ชั่วโมง - สรุปผลการตรวจสอบและการดำเนินการแก้ไข พร้อมรายงานต่อผู้บริหาร - แจ้งผลการดำเนินงานแก่ผู้รายงาน (ถ้าเปิดเผยตัวตน) #### 5. หลักฐานที่ต้องมี - นโยบายนี้ (เป็นเอกสารภายในองค์กร) - ประกาศช่องทางการรายงาน (เช่น บนอินทราเน็ต / บอร์ดประกาศ / อีเมลประชาสัมพันธ์) - แบบฟอร์มรายงานข้อกังวล - รายงานสรุปข้อกังวลและการแก้ไขปัญหา #### 6. การทบทวนและปรับปรุง นโยบายนี้ต้องมีการทบทวนอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงด้านกฎหมาย มาตรฐาน หรือกระบวนการภายในองค์กร ### แบบฟอร์มรายงานข้อกังวลด้านการกำกับดูแลข้อมูลส่วนบุคคล **ข้อมูลผู้รายงาน** (หากไม่ต้องการเปิดเผยตัวตน โปรดข้ามส่วนนี้) - ชื่อ-นามสกุล - แผนก/หน่วยงาน - เบอร์โทรศัพท์/อีเมล **ประเภทข้อกังวล** (เลือกได้มากกว่า 1 ข้อ) - การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต - การเก็บหรือใช้ข้อมูลเกินวัตถุประสงค์ - การเปิดเผยข้อมูลโดยไม่ชอบ - การขาดมาตรการควบคุมด้านความปลอดภัย - อื่น ๆ (โปรดระบุ) **รายละเอียดเหตุการณ์** — บรรยายเหตุการณ์ พร้อมวันที่และเวลาที่เกิดเหตุ **เอกสาร/หลักฐานแนบ** — ไม่มี / มี (โปรดระบุ) **ความเร่งด่วน** (ผู้รายงานประเมิน) — ปกติ / เร่งด่วน / ฉุกเฉินหรือเสี่ยงร้ายแรง **ข้อเสนอแนะ/ความคิดเห็นเพิ่มเติม** ### กระบวนการรายงานและยกระดับข้อกังวล 1. **ขั้นตอนที่ 1** — พนักงานหรือผู้เกี่ยวข้องรายงานข้อกังวลผ่านช่องทางที่กำหนด (อีเมล privacy@[ชื่อองค์กร].com, สายด่วน 0-xxx-xxxx, ระบบอินทราเน็ต/แบบฟอร์ม, กล่องรับเรื่องร้องเรียน) 2. **ขั้นตอนที่ 2** — หน่วยงานกลาง (ฝ่ายกำกับดูแลข้อมูลหรือ DPO) รับเรื่อง บันทึกในทะเบียนข้อกังวล และตรวจสอบความครบถ้วนของข้อมูล 3. **ขั้นตอนที่ 3** — การประเมินเบื้องต้น - ระดับต่ำ แจ้งหน่วยงานที่เกี่ยวข้องแก้ไข - ระดับกลาง รายงานผู้บริหารสายงาน - ระดับสูง/ฉุกเฉิน ยกระดับต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 24 ชั่วโมง 4. **ขั้นตอนที่ 4** — การดำเนินการแก้ไขและป้องกัน แต่งตั้งผู้รับผิดชอบ ตรวจสอบข้อเท็จจริง และกำหนดมาตรการแก้ไข/ป้องกัน 5. **ขั้นตอนที่ 5** — การรายงานผล จัดทำรายงานสรุปแจ้งแก่ผู้บริหาร และแจ้งผลต่อผู้รายงาน (ถ้าเปิดเผยชื่อ) 6. **ขั้นตอนที่ 6** — การจัดเก็บและทบทวน เก็บเอกสาร/รายงานไว้ในระบบอย่างปลอดภัย และนำผลการดำเนินการเข้าสู่การทบทวนนโยบายประจำปี ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-1.md ============================================================ โนด: แนวปฏิบัติ 9.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-2.md # 9.1.2 องค์กรระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทะเบียนจัดการความเสี่ยงที่เหมาะสม ซึ่งรวมถึงการเชื่อมโยงที่ชัดเจนระหว่างทะเบียนจัดการความเสี่ยงขององค์กรและแผนก/ส่วนงานต่าง ๆ และการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ ## สิ่งที่ต้องทำ องค์กรมีการระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทะเบียนจัดการความเสี่ยงที่เหมาะสม ซึ่งรวมถึงการเชื่อมโยงที่ชัดเจนระหว่างทะเบียนจัดการความเสี่ยงขององค์กรและแผนก/ส่วนงานต่าง ๆ และการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ ## หลักฐาน 1. นโยบายภายในสำหรับการจัดทำทะเบียนจัดการความเสี่ยงทั่วไป และทะเบียนจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ 2. ทะเบียนจัดการความเสี่ยงทั่วไป 3. ทะเบียนจัดการความเสี่ยงของฝ่ายเทคโนโลยีสารสนเทศ 4. รายงานเหตุการณ์ด้านความเสี่ยงของข้อมูลส่วนบุคคล 5. รายงานผลการตรวจสอบทะเบียนจัดการความเสี่ยงทั่วไป 6. รายงานการตรวจสอบทะเบียนจัดการความเสี่ยงของฝ่ายเทคโนโลยีสารสนเทศ ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)(3) กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### 1. นโยบายภายในสำหรับการจัดทำทะเบียนจัดการความเสี่ยง องค์กรจัดทำนโยบายภายในเรื่อง "นโยบายการบริหารจัดการความเสี่ยง" ซึ่งครอบคลุมประเด็นสำคัญดังนี้ - กำหนดกรอบแนวทางและขอบเขตของการบริหารจัดการความเสี่ยงในองค์กร - ระบุความรับผิดชอบของทุกแผนก/ส่วนงานในการระบุ วิเคราะห์ และรายงานความเสี่ยงที่เกี่ยวข้องกับกิจกรรมของตน - เน้นความสำคัญของการเชื่อมโยงข้อมูลความเสี่ยงระหว่างทะเบียนจัดการความเสี่ยงระดับองค์กรและทะเบียนจัดการความเสี่ยงในแต่ละแผนก/ส่วนงาน รวมทั้งฝ่ายเทคโนโลยีสารสนเทศ - มีแนวทางในการประเมินความเสี่ยงของทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล - กำหนดระยะเวลาการทบทวนและปรับปรุงทะเบียนจัดการความเสี่ยงเป็นระยะ - ระบุขั้นตอนการรายงานและติดตามผลการจัดการความเสี่ยงต่อผู้บริหารระดับสูง ### 2. ทะเบียนจัดการความเสี่ยง **2.1 ทะเบียนจัดการความเสี่ยงทั่วไปขององค์กร** - รายการความเสี่ยงในภาพรวมขององค์กร รวมทั้งความเสี่ยงด้านข้อมูลส่วนบุคคล - มีคอลัมน์สำคัญ เช่น รหัสความเสี่ยง รายละเอียดความเสี่ยง แผนก/ส่วนงานที่รับผิดชอบ ความรุนแรง ความน่าจะเป็น ระดับความเสี่ยง มาตรการควบคุม และสถานะปัจจุบัน - เชื่อมโยงกับทะเบียนจัดการความเสี่ยงเฉพาะแผนกหรือส่วนงาน **2.2 ทะเบียนจัดการความเสี่ยงฝ่ายเทคโนโลยีสารสนเทศ** - เจาะจงความเสี่ยงที่เกี่ยวข้องกับระบบสารสนเทศและการประมวลผลข้อมูลส่วนบุคคล เช่น ความเสี่ยงจากการโจมตีไซเบอร์ ความผิดพลาดของระบบ หรือการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต - ระบุทรัพย์สินสารสนเทศสำคัญที่เกี่ยวข้อง พร้อมการประเมินความเสี่ยงและมาตรการป้องกัน - มีการทบทวนและอัปเดตทะเบียนนี้อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีเหตุการณ์สำคัญ ### 3. รายงานเหตุการณ์ด้านความเสี่ยงของข้อมูลส่วนบุคคล - เอกสารรายงานเหตุการณ์ความเสี่ยงที่เกิดขึ้นจริง หรือข้อสังเกตที่เกี่ยวข้องกับข้อมูลส่วนบุคคล - ระบุรายละเอียดเหตุการณ์ วันที่เกิด ผู้รับผิดชอบ และมาตรการที่นำมาใช้ในการแก้ไขและป้องกันไม่ให้เกิดซ้ำ - รายงานเหล่านี้จะถูกรวบรวมและนำเข้าสู่กระบวนการบริหารความเสี่ยงขององค์กร ### 4. รายงานผลการตรวจสอบทะเบียนจัดการความเสี่ยง **4.1 รายงานตรวจสอบทะเบียนจัดการความเสี่ยงทั่วไป** - รายงานการตรวจสอบโดยฝ่ายตรวจสอบภายในหรือบุคคลที่ได้รับมอบหมาย - ตรวจสอบความครบถ้วน ความสอดคล้องกับนโยบายภายใน และความเหมาะสมของการจัดการความเสี่ยง - ระบุข้อเสนอแนะเพื่อปรับปรุงและแก้ไขในกรณีพบช่องว่าง **4.2 รายงานตรวจสอบทะเบียนจัดการความเสี่ยงฝ่ายเทคโนโลยีสารสนเทศ** - ตรวจสอบความสอดคล้องของทะเบียนกับมาตรฐานความมั่นคงปลอดภัยสารสนเทศ - ประเมินการจัดการความเสี่ยงที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคลในระบบสารสนเทศ - ให้คำแนะนำและข้อเสนอแนะสำหรับการเสริมสร้างมาตรการป้องกัน ### ตัวอย่างฟอร์มทะเบียนจัดการความเสี่ยง | รหัสความเสี่ยง | รายละเอียดความเสี่ยง | แผนก/ส่วนงานรับผิดชอบ | ความรุนแรง (1-5) | ความน่าจะเป็น (1-5) | ระดับความเสี่ยง | มาตรการควบคุม | สถานะ | |---|---|---|---|---|---|---|---| | RIS-001 | การเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต | ฝ่ายเทคโนโลยีสารสนเทศ | 5 | 3 | 15 | ใช้ระบบยืนยันตัวตนแบบสองขั้นตอน | กำลังดำเนินการ | | RIS-002 | การเปิดเผยข้อมูลส่วนบุคคลเกินความจำเป็น | ฝ่ายบริหารข้อมูล | 4 | 2 | 8 | ตรวจสอบสิทธิการเข้าถึง | ดำเนินการแล้ว | ### ตัวอย่างรายงานการตรวจสอบทะเบียนจัดการความเสี่ยง | รายการตรวจสอบ | ผลการตรวจสอบ | ข้อสังเกต/ข้อเสนอแนะ | |---|---|---| | ความครบถ้วนของทะเบียนจัดการความเสี่ยงทั่วไป | ครบถ้วนและอัปเดตเป็นประจำ | - | | การเชื่อมโยงกับทะเบียนแผนก/ส่วนงานต่าง ๆ | มีการเชื่อมโยงและสอดคล้อง | แนะนำเพิ่มรายละเอียดการเชื่อมโยง | | การประเมินความเสี่ยงของทรัพย์สินสารสนเทศ | มีการประเมินและจัดอันดับ | ควรเพิ่มความถี่การทบทวนในบางทรัพย์สิน | | การรายงานและติดตามความเสี่ยง | มีรายงานต่อผู้บริหารตามระยะเวลา | - | สรุป: องค์กรมีระบบบริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลที่เหมาะสมและมีประสิทธิภาพ โดยมีการอัปเดตทะเบียนความเสี่ยงและมาตรการควบคุมอย่างสม่ำเสมอ ควรปรับปรุงการเชื่อมโยงรายละเอียดในทะเบียนจัดการความเสี่ยงให้ชัดเจนมากขึ้น และเพิ่มความถี่การประเมินบางทรัพย์สินสารสนเทศ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-2.md ============================================================ โนด: แนวปฏิบัติ 9.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-3.md # 9.1.3 หากองค์กรมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล องค์กรมีแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต ## สิ่งที่ต้องทำ องค์กรมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล มีแผนปฏิบัติการ มีการรายงานความคืบหน้า และมีการพิจารณาบทเรียนที่ได้รับ เพื่อหลีกเลี่ยงความเสี่ยงในอนาคต ## หลักฐาน 1. นโยบายการกำหนดแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต 2. รายงานผลการติดตามและประเมินผลการบริหารความเสี่ยง และบทเรียนที่ได้รับเพื่อหลีกเลี่ยงความเสี่ยงในอนาคต ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 5 กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### 1. นโยบายการกำหนดแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที่ได้รับ ชื่อเอกสาร: นโยบายการจัดการและติดตามแผนปฏิบัติการความเสี่ยงด้านข้อมูลส่วนบุคคล สาระสำคัญ: - องค์กรกำหนดให้มีการจัดทำแผนปฏิบัติการทันทีเมื่อมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล - มีการกำหนดระยะเวลา ความรับผิดชอบ และตัวชี้วัดในแต่ละแผน - รายงานความคืบหน้าต้องจัดทำเป็นรายไตรมาส - บทเรียนที่ได้รับจะต้องถูกวิเคราะห์และนำไปปรับปรุงแนวทางการดำเนินงาน รวมถึงทะเบียนจัดการความเสี่ยง - หน่วยงานเจ้าของความเสี่ยงต้องจัดประชุมทบทวนความเสี่ยงภายใน เพื่อนำเสนอบทเรียนและแนวทางแก้ไขต่อคณะทำงานคุ้มครองข้อมูลส่วนบุคคล ### 2. แผนปฏิบัติการกรณีตัวอย่าง: ความเสี่ยงจากการส่งอีเมลผิดผู้รับ - **ชื่อแผน:** แผนปฏิบัติการลดความเสี่ยงจากความผิดพลาดในการส่งข้อมูลส่วนบุคคลผ่านอีเมล - **วันที่เริ่มแผน:** 1 เมษายน 2568 - **ความเสี่ยงที่พบ:** พนักงานฝ่ายบริการลูกค้าส่งข้อมูลผิดผู้รับ - **ผลกระทบ:** มีการรั่วไหลของข้อมูลส่วนบุคคล (ชื่อ ที่อยู่ เบอร์โทร) - **มาตรการ:** - จัดอบรมเพิ่มเติมเกี่ยวกับการส่งอีเมลและใช้ระบบยืนยันซ้ำก่อนส่ง - ติดตั้งระบบเตือนก่อนส่งไฟล์แนบออกจากโดเมน - ปรับแบบฟอร์มอัตโนมัติให้ลดการแนบไฟล์ที่ไม่จำเป็น - **ผู้รับผิดชอบ:** หัวหน้าฝ่ายบริการลูกค้าและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) - **ระยะเวลาดำเนินการ:** 1 เม.ย. – 31 พ.ค. 2568 - **ตัวชี้วัด:** ลดอัตราข้อผิดพลาดลงอย่างน้อย 80% ภายใน 2 เดือน ### 3. รายงานความคืบหน้า - ระยะเวลารายงาน: 1–30 เมษายน 2568 - สถานะการดำเนินงาน: เสร็จสิ้นแล้ว 3 ใน 4 มาตรการ - ความสำเร็จ: พนักงาน 100% เข้าร่วมการอบรม - ปัญหาที่พบ: การตั้งค่าระบบเตือนยังไม่เสถียร คาดว่าจะเสร็จสมบูรณ์ภายใน 15 พฤษภาคม ### 4. รายงานบทเรียนที่ได้รับ - **สาเหตุ:** ขาดการตรวจสอบซ้ำก่อนกดส่ง (ไม่มีระบบเตือน/ขาดการอบรม) - **แนวทางแก้ไขระยะยาว:** - รวมมาตรฐานการส่งข้อมูลเป็นส่วนหนึ่งของคู่มือปฐมนิเทศพนักงานใหม่ - สร้างระบบแจ้งเตือนเมื่อแนบไฟล์อัตโนมัติ - ทบทวนทะเบียนจัดการความเสี่ยงและเพิ่มรายการความเสี่ยงใหม่ - บทเรียนสำหรับหน่วยงานอื่น: ทุกหน่วยที่ส่งข้อมูลลูกค้าควรใช้ระบบเตือนก่อนส่งเช่นเดียวกัน ### 5. แบบฟอร์มประกอบการติดตามและประเมินผล - แบบฟอร์มติดตามแผนปฏิบัติการลดความเสี่ยง - แบบฟอร์มรายงานเหตุการณ์ความเสี่ยงด้านข้อมูลส่วนบุคคล - แบบฟอร์มประเมินผลหลังเหตุการณ์ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-3.md ============================================================ โนด: แนวปฏิบัติ 9.1.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-4.md # 9.1.4 นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคลจัดทำเป็นเอกสารแยกต่างหากหรือเป็นส่วนหนึ่งของนโยบายความเสี่ยงระดับองค์กร และมีแนวปฏิบัติหรือขั้นตอนซึ่งกำหนดวิธีที่องค์กรและผู้ประมวลผลข้อมูลส่วนบุคคลขององค์กรจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และมีวิธีที่องค์กรติดตามการปฏิบัติตามนโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล ## สิ่งที่ต้องทำ องค์กรมีนโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล แนวปฏิบัติหรือขั้นตอนกำหนดวิธีจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล และมีวิธีที่องค์กรติดตามการปฏิบัติตามนโยบายดังกล่าว ## หลักฐาน 1. นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล 2. บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) 3. เอกสารรายการตรวจประเมินความเสี่ยงด้านความปลอดภัยในการบริหารจัดการข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคล ชื่อเอกสาร: นโยบายการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล ฉบับที่ 1/2567 - **จุดประสงค์:** เพื่อระบุ ประเมิน และจัดการความเสี่ยงที่เกิดจากการประมวลผลข้อมูลส่วนบุคคล - **ขอบเขต:** ครอบคลุมทุกหน่วยงานที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล - **ความสัมพันธ์:** นโยบายฉบับนี้เป็นภาคผนวกของนโยบายการจัดการความเสี่ยงระดับองค์กร - **หน้าที่รับผิดชอบ:** หน่วยงานเจ้าของระบบ/เจ้าของกระบวนการ, เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)/คณะกรรมการคุ้มครองข้อมูล, ฝ่ายตรวจสอบภายใน - **วิธีติดตาม:** ประเมินผลความเสี่ยงรายไตรมาส และตรวจสอบเอกสาร ROPA รายการตรวจประเมิน และการดำเนินการจริงทุก 6 เดือน ### 2. แนวปฏิบัติการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล ชื่อเอกสาร: ขั้นตอนการระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล - **การระบุความเสี่ยง:** ระบุโดยการทำผังการไหลของข้อมูลและบันทึกลงใน ROPA - **การประเมินความเสี่ยง:** ใช้เกณฑ์ระดับความรุนแรง/ความน่าจะเป็น (ต่ำ/กลาง/สูง) พร้อมแบบฟอร์มประเมินความเสี่ยง - **การจัดการความเสี่ยง:** จัดทำแผนลดความเสี่ยงและมอบหมายผู้รับผิดชอบ - **การติดตามผล:** DPO ตรวจสอบร่วมกับฝ่ายตรวจสอบภายใน และรายงานความคืบหน้าปรับปรุงแผนทุกไตรมาส ### 3. บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA) ชื่อเอกสาร: ROPA เวอร์ชันปรับปรุงล่าสุด ณ วันที่ 1 มิถุนายน 2567 | ลำดับ | กระบวนการ | ประเภทข้อมูล | เจ้าของข้อมูล | ความเสี่ยงที่เกี่ยวข้อง | มาตรการลดความเสี่ยง | |---|---|---|---|---|---| | 1 | บันทึกข้อมูลพนักงาน | ข้อมูลระบุตัวตน | ฝ่ายบุคคล | การเข้าถึงโดยไม่ได้รับอนุญาต | การควบคุมสิทธิการเข้าถึงตามบทบาท | | 2 | การสมัครงานออนไลน์ | ข้อมูลอ่อนไหว | ฝ่ายทรัพยากรบุคคล | การรั่วไหลจากผู้ให้บริการภายนอก | การเข้ารหัสและการทำ DPIA | ### 4. รายการตรวจประเมินความเสี่ยงด้านความปลอดภัยของข้อมูลส่วนบุคคล ชื่อเอกสาร: แบบตรวจประเมินความปลอดภัยข้อมูลส่วนบุคคล ฉบับเดือนพฤษภาคม 2567 หมวดและตัวอย่างคำถาม: - **สิทธิการเข้าถึง:** มีการจำกัดสิทธิ์การเข้าถึงตามหน้าที่งานหรือไม่? ระบบมีการตรวจสอบประวัติการเข้าถึงหรือไม่? - **การส่งข้อมูล:** ข้อมูลส่วนบุคคลถูกเข้ารหัสขณะส่งหรือไม่? มีการบันทึกประวัติการส่งข้อมูลหรือไม่? - **ผู้ประมวลผลข้อมูล:** ผู้ประมวลผลมีสัญญาประมวลผลข้อมูลหรือไม่? ผู้ประมวลผลมีรายงานการตรวจสอบมาตรการด้านความปลอดภัยหรือไม่? รวมคะแนน: 18/20 (ผ่านเกณฑ์) ### 5. วิธีติดตามการปฏิบัติตามนโยบาย - มีการจัดประชุมความคืบหน้าด้านการปฏิบัติตามมาตรการความเสี่ยงทุกไตรมาส - ตรวจสอบโดยฝ่ายตรวจสอบภายในปีละ 1 ครั้ง - จัดทำรายงานสรุปความเสี่ยงประจำปีพร้อมบทเรียนที่ได้รับ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-4.md ============================================================ โนด: แนวปฏิบัติ 9.1.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-5.md # 9.1.5 องค์กรมีขั้นตอนอย่างเป็นทางการในการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศ ## สิ่งที่ต้องทำ องค์กรมีขั้นตอนอย่างเป็นทางการในการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศอย่างชัดเจนและครบถ้วน ## หลักฐาน 1. นโยบายในการกำหนดขั้นตอนการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศ 2. ทะเบียนควบคุมทรัพย์สินสารสนเทศ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการจัดการทะเบียนควบคุมทรัพย์สินสารสนเทศ ชื่อเอกสาร: นโยบายการควบคุมทรัพย์สินสารสนเทศ - **วัตถุประสงค์:** เพื่อระบุ บันทึก และบริหารความเสี่ยงของทรัพย์สินสารสนเทศขององค์กรอย่างมีประสิทธิภาพ - **ขอบเขต:** ครอบคลุมทรัพย์สินทุกประเภท เช่น ฮาร์ดแวร์ ซอฟต์แวร์ ฐานข้อมูล เครือข่าย เอกสาร และข้อมูลส่วนบุคคล - **นิยาม:** ทรัพย์สินสารสนเทศคือทรัพยากรที่มีมูลค่าเชิงสารสนเทศและต้องได้รับการคุ้มครอง; เจ้าของทรัพย์สินคือผู้มีหน้าที่กำกับดูแลความปลอดภัยและการใช้งานของทรัพย์สิน - **ความถี่ในการทบทวน:** อย่างน้อยปีละ 1 ครั้ง - **ผู้รับผิดชอบ:** เจ้าของทรัพย์สิน, คณะกรรมการเทคโนโลยีสารสนเทศ, DPO ### 2. ขั้นตอนในการระบุ บันทึก และจัดการความเสี่ยงของทรัพย์สินสารสนเทศ - **ขั้นตอนที่ 1 ระบุทรัพย์สิน** แยกตามหมวดหมู่ — ฮาร์ดแวร์ (เซิร์ฟเวอร์ คอมพิวเตอร์ อุปกรณ์พกพา), ซอฟต์แวร์ (ระบบ ERP ระบบบริหารงานบุคคล), ข้อมูล (ฐานข้อมูล แฟ้มข้อมูลส่วนบุคคล), บริการคลาวด์/เครือข่าย - **ขั้นตอนที่ 2 ประเมินมูลค่าและความเสี่ยง** กำหนดความสำคัญ ประเมินความเป็นไปได้ ผลกระทบ และระดับความเสี่ยง (ต่ำ/กลาง/สูง) - **ขั้นตอนที่ 3 บันทึกในทะเบียนควบคุมทรัพย์สินสารสนเทศ** ใช้ฟอร์มที่มีช่องบันทึกผู้รับผิดชอบ มาตรการควบคุม และประวัติการตรวจสอบ - **ขั้นตอนที่ 4 การจัดการและทบทวน** ทบทวนรายการทรัพย์สินอย่างน้อยปีละ 1 ครั้ง และปรับปรุงทะเบียนทันทีหากมีเหตุการณ์ความเสี่ยง ### 3. ตัวอย่างทะเบียนควบคุมทรัพย์สินสารสนเทศ | ลำดับ | ประเภททรัพย์สิน | รายละเอียด | เจ้าของทรัพย์สิน | ระดับความเสี่ยง | มาตรการควบคุม | |---|---|---|---|---|---| | 1 | ฐานข้อมูลพนักงาน | ฐานข้อมูลที่เก็บข้อมูลส่วนบุคคลของพนักงาน | ผู้จัดการฝ่ายบุคคล | สูง | การควบคุมการเข้าถึงและการเข้ารหัส | | 2 | เซิร์ฟเวอร์ระบบ ERP | เซิร์ฟเวอร์ระบบ ERP ภายในองค์กร | ผู้จัดการฝ่ายเทคโนโลยีสารสนเทศ | กลาง | ไฟร์วอลล์และการรักษาความปลอดภัยทางกายภาพ | | 3 | บริการคลาวด์อีเมล | บริการคลาวด์ที่ใช้งานอีเมล | DPO | กลาง | การยืนยันตัวตนหลายชั้นและการป้องกันข้อมูลรั่วไหล | | 4 | แฟ้มเอกสารประวัติลูกค้า | ข้อมูลออฟไลน์ที่เก็บไว้ในตู้นิรภัย | ผู้จัดการสาขา | สูง | กล้องวงจรปิดและล็อก 2 ชั้น | ### 4. แนวปฏิบัติเสริม - **การจำแนกทรัพย์สิน:** ลับ / ใช้ภายใน / เปิดเผยทั่วไป - **การมอบหมายความรับผิดชอบ:** เจ้าของต้องรับผิดชอบการบำรุงรักษาและควบคุมความเสี่ยง - **การจัดทำรายการสำรอง:** ข้อมูลสำคัญต้องมีการสำรองและเก็บไว้นอกสถานที่ - **การบันทึกเหตุการณ์ผิดปกติ:** ทุกเหตุการณ์ที่มีความเสี่ยงจะถูกบันทึกและวิเคราะห์ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-5.md ============================================================ โนด: แนวปฏิบัติ 9.1.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-1-6.md # 9.1.6 องค์กรมีมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง และองค์กรทดสอบมาตรการเหล่านี้เป็นประจำเพื่อให้แน่ใจว่ายังคงมีประสิทธิภาพ ## สิ่งที่ต้องทำ องค์กรมีมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง และมีการทดสอบประสิทธิภาพของมาตรการเป็นประจำ ## หลักฐาน 1. นโยบายในการทดสอบมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง 2. รายงานผลการทดสอบมาตรการดังกล่าว ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการทดสอบมาตรการควบคุมความเสี่ยง ชื่อเอกสาร: นโยบายการทดสอบและประเมินประสิทธิภาพของมาตรการควบคุมความเสี่ยงด้านข้อมูลส่วนบุคคล - **วัตถุประสงค์:** เพื่อกำหนดแนวทางในการทดสอบและตรวจสอบว่ามาตรการควบคุมที่ใช้งานอยู่มีประสิทธิภาพต่อเนื่อง และสร้างความมั่นใจว่าองค์กรสามารถลดผลกระทบจากความเสี่ยงที่ระบุไว้ในทะเบียนจัดการความเสี่ยงได้จริง - **ขอบเขต:** ครอบคลุมมาตรการในประเภทความเสี่ยง ได้แก่ ความเสี่ยงด้านการเข้าถึงโดยไม่ได้รับอนุญาต, การรั่วไหลของข้อมูล, ความล้มเหลวของระบบเทคโนโลยี, ความผิดพลาดจากบุคลากร และความเสี่ยงด้านบุคคลภายนอกหรือผู้ให้บริการ - **แนวปฏิบัติหลัก:** กำหนดมาตรการควบคุมเฉพาะเจาะจง เช่น การยืนยันตัวตนหลายชั้น การป้องกันข้อมูลรั่วไหล การบันทึกการเข้าถึง และการเข้ารหัส; ทดสอบทุก 6 เดือนหรือตามระดับความเสี่ยง; ใช้เทคนิคการทดสอบ เช่น การทดสอบเจาะระบบ การจำลองสถานการณ์ และการซ้อมบนโต๊ะ - **บทบาทและความรับผิดชอบ:** DPO และแผนกความมั่นคงปลอดภัยสารสนเทศรับผิดชอบร่วมกัน โดยผู้จัดการแผนกประสานงานเพื่อจัดตารางทดสอบ ### 2. รายงานผลการทดสอบมาตรการลดความเสี่ยง ชื่อเอกสาร: รายงานการทดสอบมาตรการควบคุมความเสี่ยง ครึ่งปีแรก พ.ศ. 2567 | ประเภทความเสี่ยง | มาตรการทดสอบ | ผลการทดสอบ | สรุปผล | ข้อเสนอแนะ | |---|---|---|---|---| | การเข้าถึงโดยไม่ได้รับอนุญาต | การยืนยันตัวตนหลายชั้นสำหรับระบบภายใน | ผู้ใช้ไม่สามารถข้ามการยืนยันตัวตนได้ | มีประสิทธิภาพ | ปรับปรุงประสบการณ์ผู้ใช้เพื่อป้องกันการหลีกเลี่ยง | | การรั่วไหลของข้อมูล | การใช้ระบบป้องกันข้อมูลรั่วไหล | มีการแจ้งเตือนเมื่อมีความพยายามแนบไฟล์ข้อมูลส่วนบุคคล | มีประสิทธิภาพ | เพิ่มคำหลักใหม่สำหรับตรวจจับไฟล์และสแกนเอกสาร | | ความเสี่ยงจากบุคลากร | การอบรมสร้างความตระหนักและการจำลองอีเมลหลอกลวง | 89% ไม่คลิกลิงก์ปลอม | มีประสิทธิภาพแต่ยังมีช่องโหว่ | เพิ่มความถี่การฝึกอบรมต่อกลุ่มเสี่ยง | | ความเสี่ยงจากบุคคลภายนอก | ตรวจสอบผู้ให้บริการผ่านรายการประเมินความเสี่ยง | 2 รายไม่ส่งแบบประเมินตามรอบ | ต้องติดตามเพิ่มเติม | แจ้งเตือนและพิจารณาจัดอบรมสำหรับผู้ให้บริการ | ### 3. แนวทางในการปรับปรุงมาตรการหลังการทดสอบ - หากผลการทดสอบพบจุดอ่อน ให้จัดทำแผนปฏิบัติการภายใน 30 วัน - DPO จัดทำรายงานผลและข้อเสนอแนะเสนอต่อคณะกรรมการบริหารความเสี่ยง - แผนปรับปรุงต้องเข้าสู่ทะเบียนจัดการความเสี่ยงและจัดทำรายงานความคืบหน้า ### 4. วิธีการติดตามและประเมินผลอย่างต่อเนื่อง - กำหนดตัวชี้วัดว่ามาตรการควบคุมต้องมีประสิทธิภาพขั้นต่ำ 80% - รายงานผลต่อที่ประชุมฝ่ายบริหารความเสี่ยงทุก 6 เดือน - เก็บบันทึกร่องรอยการตรวจสอบและบันทึกผลการทดสอบลงในระบบขององค์กร ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-1-6.md ============================================================ โนด: แนวปฏิบัติ 9.2.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-1.md # 9.2.1 องค์กรกำหนดให้มีการทำ DPIA ตั้งแต่เริ่มต้นของโครงการ ก่อนที่การประมวลผลข้อมูลส่วนบุคคลจะเริ่มต้น และ DPIA จะต้องดำเนินการควบคู่ไปกับกระบวนการวางแผนและการพัฒนา ## สิ่งที่ต้องทำ องค์กรกำหนดให้มีการทำ DPIA ตั้งแต่ก่อนที่การประมวลผลข้อมูลส่วนบุคคลจะเริ่มต้น และมีการดำเนินการควบคู่ไปกับกระบวนการวางแผนและพัฒนา ## หลักฐาน 1. นโยบายการจัดทำการประเมินความเสี่ยงของโครงการ 2. หนังสือรับรอง 3. รายงานผลการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### รายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) - **โครงการ:** ระบบบริหารจัดการข้อมูลผู้รับบริการในหน่วยงานของรัฐ - **หน่วยงานที่รับผิดชอบ:** กองเทคโนโลยีสารสนเทศ สำนักนโยบายและแผน #### 1. บทนำ เพื่อให้เป็นไปตามแนวทางการปกป้องข้อมูลโดยการออกแบบและการกำหนดเป็นค่าเริ่มต้น หน่วยงานได้จัดให้มีการจัดทำรายงานการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ตั้งแต่ระยะเริ่มต้นของการออกแบบโครงการ และดำเนินการประเมินควบคู่ไปกับกระบวนการวางแผนและพัฒนาโครงการ เพื่อระบุ วิเคราะห์ และบริหารความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล #### 2. วัตถุประสงค์ของโครงการ วัตถุประสงค์ของการดำเนินโครงการนี้ คือการพัฒนาและปรับปรุงระบบฐานข้อมูลกลางเพื่อรองรับการให้บริการประชาชน โดยมีการจัดเก็บข้อมูลส่วนบุคคล อาทิ ชื่อ-สกุล หมายเลขประจำตัวประชาชน ที่อยู่ ข้อมูลสุขภาพ และข้อมูลการขอรับบริการจากหน่วยงานของรัฐ #### 3. ลักษณะของข้อมูลที่เกี่ยวข้อง - ข้อมูลประจำตัว (เช่น ชื่อ-นามสกุล หมายเลขบัตรประชาชน) - ข้อมูลติดต่อ (เช่น ที่อยู่ หมายเลขโทรศัพท์ อีเมล) - ข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ) - ข้อมูลประวัติการรับบริการจากหน่วยงาน #### 4. การวิเคราะห์ผลกระทบ การวิเคราะห์ได้ระบุถึงความเสี่ยงหลักที่อาจส่งผลกระทบต่อเจ้าของข้อมูล ดังนี้ | ความเสี่ยง | ผลกระทบ | ความรุนแรง | ความน่าจะเป็น | มาตรการบรรเทา | |---|---|---|---|---| | การเข้าถึงโดยไม่ได้รับอนุญาต | เปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ | สูง | ปานกลาง | การใช้ระบบยืนยันตัวตน 2 ชั้น การเข้ารหัสข้อมูล | | การจัดเก็บเกินระยะเวลาที่จำเป็น | ความเสี่ยงต่อการรั่วไหลในอนาคต | ปานกลาง | สูง | การกำหนดระยะเวลาการจัดเก็บ และลบอัตโนมัติ | | การส่งข้อมูลไปยังบุคคลภายนอก | สูญเสียการควบคุมข้อมูล | สูง | ต่ำ | การจัดทำสัญญาประมวลผลข้อมูล | #### 5. แนวทางการบูรณาการ DPIA เข้ากับกระบวนการวางแผน หน่วยงานได้บูรณาการการประเมิน DPIA ไว้ในขั้นตอนต่อไปนี้: - ระยะเริ่มต้น: วิเคราะห์ความจำเป็นในการเก็บข้อมูลส่วนบุคคล - ระยะออกแบบ: การประเมินทางเลือกในการจัดเก็บข้อมูลให้น้อยที่สุดเท่าที่จำเป็น - ระยะพัฒนา: ตรวจสอบระบบรักษาความมั่นคงปลอดภัยของข้อมูล - ระยะทดลองใช้: ทบทวนและปรับปรุงตามข้อเสนอแนะจากการประเมินผลเบื้องต้น #### 6. สรุปและข้อเสนอแนะ จากการประเมินพบว่า โครงการมีความเสี่ยงในระดับ "ปานกลางถึงสูง" จึงเสนอให้มีการดำเนินมาตรการบรรเทาความเสี่ยงเชิงรุกในทุกระยะ และมีการติดตามประเมินผลซ้ำเมื่อมีการเปลี่ยนแปลงวิธีการประมวลผลหรือจุดประสงค์ของการเก็บข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-1.md ============================================================ โนด: แนวปฏิบัติ 9.2.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-2.md # 9.2.2 องค์กรอ้างอิง DPIA ในนโยบายและขั้นตอนการจัดการความเสี่ยงโครงการ และนโยบายการบริหารจัดการการเปลี่ยนแปลงทั้งหมด พร้อมทั้งเชื่อมโยงไปยังนโยบายและขั้นตอนตาม DPIA ## สิ่งที่ต้องทำ องค์กรมีการอ้างอิง DPIA ในนโยบายและขั้นตอนการจัดการความเสี่ยงโครงการ และนโยบายการบริหารจัดการการเปลี่ยนแปลงทั้งหมด พร้อมทั้งเชื่อมโยงไปยังนโยบายและขั้นตอนตาม DPIA รวมถึงมีเอกสารครบถ้วน ## หลักฐาน 1. นโยบายการนำการประเมินความเสี่ยงไปเชื่อมโยงในการจัดทำโครงการต่าง ๆ ภายในองค์กร 2. ทะเบียนจัดการความเสี่ยง 3. รายงานผลการประเมินความเสี่ยงจากบุคลากรที่เกี่ยวข้อง 4. หนังสือรับรองรายงานผลการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการเชื่อมโยงการประเมินความเสี่ยงจาก DPIA กับการดำเนินโครงการและการบริหารความเปลี่ยนแปลงภายในหน่วยงาน หน่วยงาน: สำนักแผนงานและพัฒนาองค์กร · วันที่จัดทำ: 4 มิถุนายน 2568 #### 1. วัตถุประสงค์ เพื่อให้กระบวนการบริหารความเสี่ยงและการดำเนินโครงการต่าง ๆ ภายในหน่วยงานมีความสอดคล้องกับแนวทางการคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะการใช้การประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) เป็นกลไกในการป้องกันความเสี่ยงและกำกับดูแลอย่างรัดกุม #### 2. ขอบเขตการบังคับใช้ นโยบายฉบับนี้มีผลบังคับใช้กับโครงการทั้งหมดของหน่วยงานที่มีการจัดเก็บ ใช้ เปิดเผย หรือโอนข้อมูลส่วนบุคคล ไม่ว่าจะดำเนินการโดยตรงหรือโดยผู้ประมวลผลภายนอก รวมถึงการเปลี่ยนแปลงระบบ เทคโนโลยี กระบวนการทำงาน หรือการจัดเก็บข้อมูลที่อาจมีผลกระทบต่อเจ้าของข้อมูล #### 3. หลักการดำเนินงาน 1. โครงการหรือการเปลี่ยนแปลงใด ๆ ที่อาจมีผลต่อข้อมูลส่วนบุคคล ต้องดำเนินการประเมิน DPIA ในระยะต้นของการวางแผน 2. การประเมิน DPIA ต้องถูกอ้างอิงในทะเบียนบริหารความเสี่ยงประจำปี และแนบรายงานผลการประเมินไว้เป็นเอกสารประกอบ 3. การดำเนินโครงการใด ๆ ต้องแสดงหลักฐานว่าได้ตรวจสอบความเสี่ยงด้านข้อมูลส่วนบุคคลโดยใช้ DPIA ก่อนการอนุมัติแผน 4. การเปลี่ยนแปลงระบบงานหรือขั้นตอนการประมวลผลข้อมูลต้องมีการประเมินผลกระทบใหม่ หากเกิดความเสี่ยงใหม่ที่ไม่ได้ครอบคลุมใน DPIA เดิม 5. เอกสาร DPIA ที่จัดทำต้องเชื่อมโยงกับนโยบายและระเบียบภายใน เช่น ระเบียบการจัดการข้อมูลส่วนบุคคล ระเบียบการจัดซื้อจัดจ้าง และคู่มือการปฏิบัติงานของแต่ละแผนก #### 4. สรุปข้อกำหนดตามนโยบาย | กระบวนการ | ต้องดำเนินการ | เอกสารที่เกี่ยวข้อง | |---|---|---| | การวางแผนโครงการใหม่ | ทำ DPIA และอ้างอิงในแผน | แบบฟอร์มแผนโครงการ รายงาน DPIA | | การเปลี่ยนแปลงระบบงาน | ตรวจสอบผลกระทบใหม่ | รายงาน DPIA ฉบับปรับปรุง | | การติดตามความเสี่ยง | ลงทะเบียนในระบบบริหารความเสี่ยง | ทะเบียนความเสี่ยงประจำปี | | การรายงานผู้บริหาร | แนบสรุป DPIA ในรายงานประจำไตรมาส | หนังสือสรุปผลความเสี่ยง | #### 5. ผู้รับผิดชอบและการติดตาม - ฝ่ายบริหารความเสี่ยง - ฝ่ายกฎหมาย - ฝ่ายเทคโนโลยีสารสนเทศ - ฝ่ายตรวจสอบภายในดำเนินการตรวจติดตามประจำปี เพื่อประเมินความครบถ้วนของการเชื่อมโยง DPIA เข้ากับโครงการและระบบงานต่าง ๆ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-2.md ============================================================ โนด: แนวปฏิบัติ 9.2.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-2-3.md # 9.2.3 องค์กรมีการคาดการณ์ถึงความเสี่ยงและเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัวก่อนที่จะเกิดขึ้นในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการใด ๆ และตลอดทั้งระบบ ## สิ่งที่ต้องทำ องค์กรมีการคาดการณ์ถึงความเสี่ยงและเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัว ในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการใด ๆ และตลอดทั้งระบบ โดยองค์กรพิจารณาถึง 1. กิจกรรมการประมวลผลที่จะดำเนินการ 2. ความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของบุคคล 3. มาตรการที่เป็นไปได้เพื่อลดความเสี่ยงดังกล่าวอย่างครบถ้วน ## หลักฐาน 1. นโยบายการประเมินความเสี่ยงของเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัวในขั้นตอนการออกแบบเริ่มต้นของระบบ ผลิตภัณฑ์ หรือกระบวนการ 2. ทะเบียนจัดการความเสี่ยง 3. มาตรการเชิงรุกในการคุ้มครองข้อมูลส่วนบุคคลในทางป้องกัน 4. แบบฟอร์มการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการคาดการณ์และประเมินความเสี่ยงด้านความเป็นส่วนตัวในขั้นตอนการออกแบบระบบ ผลิตภัณฑ์ และกระบวนการ หน่วยงาน: ฝ่ายบริหารความเสี่ยงและการออกแบบระบบ · วันที่จัดทำ: 4 มิถุนายน 2568 #### 1. วัตถุประสงค์ เพื่อกำหนดแนวทางในการพิจารณาและคาดการณ์ถึงความเสี่ยงที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในช่วงเริ่มต้นของการออกแบบระบบงาน ผลิตภัณฑ์ และกระบวนการใหม่ รวมถึงตลอดวัฏจักรการพัฒนาและใช้งานระบบ เพื่อให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปอย่างปลอดภัย โปร่งใส และลดโอกาสเกิดการละเมิดความเป็นส่วนตัว #### 2. ขอบเขตการบังคับใช้ ใช้กับการพัฒนาและปรับปรุงระบบ เทคโนโลยี กระบวนการ หรือผลิตภัณฑ์ใด ๆ ภายในหน่วยงานที่เกี่ยวข้องกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งโดยตรงและโดยอ้อม รวมถึงการว่าจ้างผู้ให้บริการภายนอกที่เข้าถึงหรือจัดการข้อมูลส่วนบุคคล #### 3. แนวทางการดำเนินงาน - **การคาดการณ์กิจกรรมการประมวลผล** ผู้พัฒนาระบบต้องจัดทำแบบฟอร์มระบุลักษณะของกิจกรรมการประมวลผลข้อมูล เช่น การเก็บข้อมูลจากผู้ใช้ การส่งต่อไปยังบุคคลภายนอก การวิเคราะห์ข้อมูล และส่งให้ฝ่ายบริหารความเสี่ยงพิจารณาก่อนเริ่มการพัฒนา - **การระบุความเสี่ยงต่อสิทธิและเสรีภาพ** วิเคราะห์ว่าข้อมูลที่จัดเก็บเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว และพิจารณาผลกระทบที่อาจเกิดขึ้น เช่น การตีตราทางสังคม ความเสียหายต่อชื่อเสียง ความไม่ปลอดภัยทางกายภาพ หรือการเลือกปฏิบัติ - **การกำหนดมาตรการป้องกันเชิงรุก** เช่น การแฝงข้อมูล การเข้ารหัส การจำกัดการเข้าถึง การอบรมผู้เกี่ยวข้อง และการตั้งค่าเริ่มต้นที่ปลอดภัย #### 4. ขั้นตอนการประเมินความเสี่ยงล่วงหน้า | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | |---|---|---| | 1. แจ้งเริ่มต้นการออกแบบ | ทีมพัฒนาระบบแจ้งกิจกรรมประมวลผลที่คาดว่าจะเกิดขึ้น | หัวหน้าโครงการ | | 2. จัดทำแบบประเมินความเสี่ยง | กรอกแบบฟอร์มประเมินความเสี่ยงด้านความเป็นส่วนตัว | ผู้พัฒนาระบบและเจ้าหน้าที่คุ้มครองข้อมูล | | 3. วิเคราะห์และตรวจสอบร่วม | วิเคราะห์ผลกระทบและกำหนดมาตรการ | ฝ่ายบริหารความเสี่ยง | | 4. สรุปและเสนอผู้บริหาร | เสนอรายงานผลการคาดการณ์ความเสี่ยงเพื่ออนุมัติ | คณะกรรมการบริหารระบบ | | 5. ติดตามประเมินซ้ำหลังดำเนินการ | ทบทวนความเสี่ยงใหม่ (ถ้ามี) | ฝ่ายตรวจสอบภายใน | #### 5. การติดตามและประเมินผล หน่วยงานจะติดตามผลการประเมินล่วงหน้าเป็นประจำทุก 6 เดือน โดยเฉพาะโครงการที่มีลักษณะเปลี่ยนแปลงกระบวนการประมวลผลอย่างมีนัยสำคัญ พร้อมจัดทำรายงานทบทวนความเสี่ยงเสนอให้คณะกรรมการบริหารรับทราบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-2-3.md ============================================================ โนด: แนวปฏิบัติ 9.3.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-1.md # 9.3.1 นโยบาย DPIA ควรรวมถึงขั้นตอนที่ชัดเจนในการตัดสินใจว่าต้องทำ DPIA หรือไม่ สิ่งที่ DPIA ควรครอบคลุม ผู้อนุมัติ และการรวม DPIA เป็นส่วนหนึ่งของแผนการดำเนินการโดยรวมของโครงการ ## สิ่งที่ต้องทำ องค์กรมีนโยบายการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ที่มีรายละเอียดและขั้นตอนครบถ้วน โดยนโยบาย DPIA ควรรวมถึง 1. ขั้นตอนที่ชัดเจนในการตัดสินใจว่าต้องทำ DPIA หรือไม่ 2. สิ่งที่ DPIA ควรครอบคลุม 3. ผู้ที่จะเป็นผู้อนุมัติ 4. การรวม DPIA เป็นส่วนหนึ่งของแผนการดำเนินการโดยรวมของโครงการนั้น ๆ ## หลักฐาน 1. นโยบายการประเมินความเสี่ยงของข้อมูลส่วนบุคคล 2. รายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล 3. หนังสืออนุมัติรายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA Policy) องค์กรมุ่งมั่นปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางสากลที่เกี่ยวข้อง โดยกำหนดนโยบาย DPIA เป็นกลไกในการบริหารความเสี่ยงและคุ้มครองสิทธิของเจ้าของข้อมูล #### 1. วัตถุประสงค์ - กำหนดแนวทางปฏิบัติในการพิจารณาความจำเป็นในการจัดทำ DPIA - ระบุขอบเขตและสาระสำคัญที่ DPIA ต้องครอบคลุม - กำหนดบทบาทหน้าที่และผู้มีอำนาจอนุมัติ DPIA - บูรณาการ DPIA เข้ากับกระบวนการดำเนินโครงการและการบริหารความเสี่ยงขององค์กร #### 2. ขั้นตอนการพิจารณาความจำเป็นในการทำ DPIA ทุกโครงการ กิจกรรม หรือนโยบายใหม่ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลต้องได้รับการตรวจสอบเบื้องต้นเพื่อพิจารณาว่ามีความเสี่ยงสูงหรือไม่ โดยเกณฑ์พิจารณาความเสี่ยงสูง ได้แก่ - การประมวลผลข้อมูลส่วนบุคคลจำนวนมาก - การประมวลผลข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ความเชื่อ ศาสนา หรือข้อมูลชีวภาพ - การเฝ้าระวังหรือติดตามพฤติกรรมอย่างเป็นระบบ - การใช้เทคโนโลยีใหม่ที่มีผลกระทบต่อสิทธิของเจ้าของข้อมูล - การเชื่อมโยงข้อมูลจากหลายแหล่งจนสามารถระบุตัวบุคคลได้ หากเข้าข่ายต้องจัดทำ DPIA โดยทันที หากไม่เข้าข่ายต้องบันทึกเหตุผลเพื่อเก็บเป็นหลักฐาน #### 3. ขอบเขตและสาระสำคัญที่ DPIA ต้องครอบคลุม - คำอธิบายเกี่ยวกับลักษณะ วัตถุประสงค์ และวิธีการประมวลผลข้อมูล - การประเมินความจำเป็นและความได้สัดส่วนของการประมวลผล - การวิเคราะห์และประเมินความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล - มาตรการทางเทคนิคและทางองค์กรเพื่อป้องกันและบรรเทาความเสี่ยง เช่น การเข้ารหัสข้อมูล การจำกัดสิทธิ์การเข้าถึง และการฝึกอบรมบุคลากร - ผลลัพธ์และข้อเสนอแนะในการลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ #### 4. บทบาทหน้าที่และอำนาจการอนุมัติ - **ผู้รับผิดชอบโครงการ:** จัดทำ DPIA ตั้งแต่เริ่มต้น - **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO):** ตรวจสอบความครบถ้วนและให้คำแนะนำ - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขององค์กรหรือผู้บริหารสูงสุด:** อนุมัติ DPIA ก่อนดำเนินโครงการ - หากยังมีความเสี่ยงสูงแม้มีมาตรการบรรเทา ต้องขอคำปรึกษาจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล #### 5. การบูรณาการ DPIA เข้ากับการดำเนินงาน - DPIA ต้องจัดทำและแล้วเสร็จก่อนการอนุมัติโครงการ - ทบทวนและอัปเดต DPIA เมื่อมีการเปลี่ยนแปลงด้านเทคโนโลยีหรือวิธีการประมวลผล - บันทึกและเก็บรักษาเอกสาร DPIA อย่างเป็นระบบ เพื่อแสดงต่อหน่วยงานกำกับดูแลได้ - ผลการประเมิน DPIA ต้องผนวกเข้ากับแผนการจัดการความเสี่ยงขององค์กร ### ตัวอย่างรายงานการประเมินความเสี่ยง: ระบบบริหารจัดการนักศึกษาออนไลน์ รายงานจัดทำตามนโยบาย DPIA เพื่อประเมินความเสี่ยงจากการประมวลผลข้อมูลส่วนบุคคลในระบบ โดยใช้เกณฑ์โอกาสเกิดและผลกระทบ กำหนดระดับความเสี่ยง (ต่ำ/ปานกลาง/สูง) | ความเสี่ยง | รายละเอียด | ระดับความเสี่ยง | มาตรการเพิ่มเติมที่แนะนำ | |---|---|---|---| | การเข้าถึงโดยไม่ได้รับอนุญาต | บัญชีผู้ใช้ถูกแฮกหรือรหัสผ่านรั่วไหล | สูง | ใช้การยืนยันตัวตนสองชั้นและการเข้ารหัสการสื่อสาร | | การรั่วไหลของข้อมูลอ่อนไหว | ข้อมูลสุขภาพถูกเผยแพร่โดยไม่ตั้งใจ | ปานกลาง | เพิ่มการเข้ารหัสข้อมูลที่จัดเก็บและระบบตรวจจับการเข้าถึงผิดปกติ | | การใช้ข้อมูลผิดวัตถุประสงค์ | นำข้อมูลไปใช้เพื่อการตลาดโดยไม่ได้รับความยินยอม | ปานกลาง | จัดอบรมพนักงานและทำระบบบันทึกการใช้งาน | | ความเสี่ยงจากผู้ให้บริการภายนอก | ผู้ให้บริการคลาวด์จัดเก็บข้อมูลในประเทศที่ไม่มีกฎหมายคุ้มครองข้อมูล | ปานกลาง | ตรวจสอบมาตรฐานความปลอดภัยและใช้การเข้ารหัสฝั่งลูกค้า | สรุป: โครงการสามารถดำเนินต่อได้ภายใต้เงื่อนไขการยืนยันตัวตนสองชั้น การเข้ารหัสข้อมูลสุขภาพ การอบรมบุคลากร และการทบทวนสัญญากับผู้ให้บริการคลาวด์ ผลการประเมินจะถูกบันทึกเข้าทะเบียนการจัดการความเสี่ยงขององค์กรและรายงานต่อผู้บริหารระดับสูงเพื่ออนุมัติ ### แม่แบบรายงานการประเมินความเสี่ยง แม่แบบประกอบด้วยหัวข้อ: หน่วยงาน/โครงการ, วันที่จัดทำ, ผู้รับผิดชอบ, ผู้ตรวจสอบ (DPO), ผู้อนุมัติ, บทนำ, วัตถุประสงค์ของโครงการ, ขอบเขตของการประเมิน (ประเภทข้อมูล/กลุ่มเจ้าของข้อมูล/วิธีการประมวลผล/ระบบที่ใช้), ตารางการประเมินความเสี่ยง (โอกาสเกิด 1–5 × ผลกระทบ 1–5 = ระดับความเสี่ยง), สรุปผลและข้อเสนอแนะ และการอนุมัติ โดยรายงานต้องเก็บรักษาเป็นหลักฐานและทบทวนเมื่อมีการเปลี่ยนแปลงกระบวนการ เทคโนโลยี หรือโครงการ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-1.md ============================================================ โนด: แนวปฏิบัติ 9.3.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-2.md # 9.3.2 องค์กรมีเกณฑ์เพื่อตรวจสอบคัดกรองว่าองค์กรต้องทำ DPIA หรือไม่ รวมถึงข้อควรพิจารณาที่เกี่ยวข้องทั้งหมดเกี่ยวกับขอบเขต ประเภท และลักษณะของการประมวลผลที่จะดำเนินการ ## สิ่งที่ต้องทำ องค์กรมีเกณฑ์เพื่อตรวจสอบคัดกรองว่าองค์กรต้องทำ DPIA หรือไม่ รวมถึงข้อควรพิจารณาที่เกี่ยวข้องทั้งหมดเกี่ยวกับขอบเขต ประเภท และลักษณะของการประมวลผลที่จะดำเนินการ ## หลักฐาน 1. นโยบายการประเมินความเสี่ยงของข้อมูลส่วนบุคคล 2. รายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล 3. หนังสืออนุมัติรายงานการประเมินความเสี่ยงของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการคาดการณ์และประเมินความเสี่ยงด้านความเป็นส่วนตัวในขั้นตอนการออกแบบระบบ ผลิตภัณฑ์ และกระบวนการ หน่วยงาน: ฝ่ายบริหารความเสี่ยงและการออกแบบระบบ · วันที่จัดทำ: 4 มิถุนายน 2568 #### 1. วัตถุประสงค์ กำหนดแนวทางในการพิจารณาและคาดการณ์ถึงความเสี่ยงที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในช่วงเริ่มต้นของการออกแบบระบบงาน ผลิตภัณฑ์ และกระบวนการใหม่ รวมถึงตลอดวัฏจักรการพัฒนาและใช้งานระบบ #### 2. ขอบเขตการบังคับใช้ ใช้กับการพัฒนาและปรับปรุงระบบ เทคโนโลยี กระบวนการ หรือผลิตภัณฑ์ใด ๆ ภายในหน่วยงานที่เกี่ยวข้องกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งโดยตรงและโดยอ้อม รวมถึงการว่าจ้างผู้ให้บริการภายนอก #### 3. แนวทางการดำเนินงาน - **การคาดการณ์กิจกรรมการประมวลผล** ผู้พัฒนาระบบจัดทำแบบฟอร์มระบุลักษณะของกิจกรรมการประมวลผลข้อมูล แล้วส่งให้ฝ่ายบริหารความเสี่ยงพิจารณาก่อนเริ่มการพัฒนา - **การระบุความเสี่ยงต่อสิทธิและเสรีภาพ** วิเคราะห์ว่าข้อมูลเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว และพิจารณาผลกระทบ เช่น การตีตราทางสังคม ความเสียหายต่อชื่อเสียง ความไม่ปลอดภัยทางกายภาพ หรือการเลือกปฏิบัติ - **การกำหนดมาตรการป้องกันเชิงรุก** เช่น การแฝงข้อมูล การเข้ารหัส การจำกัดการเข้าถึง การอบรมผู้เกี่ยวข้อง และการตั้งค่าเริ่มต้นที่ปลอดภัย #### 4. เอกสารประกอบตามนโยบาย - ทะเบียนจัดการความเสี่ยงประจำโครงการ พร้อมลำดับความเสี่ยง - มาตรการเชิงรุกในการป้องกันความเสี่ยง (มาตรการเทคนิคและมาตรการองค์กร) - แบบฟอร์มการประเมินความเสี่ยง (ลักษณะกิจกรรม ความอ่อนไหวของข้อมูล ความน่าจะเป็น และระดับผลกระทบ) - รายงานสรุปผลการวิเคราะห์ความเสี่ยง จัดทำโดยฝ่ายเทคโนโลยีและฝ่ายกฎหมายก่อนอนุมัติโครงการ #### 5. ขั้นตอนการประเมินความเสี่ยงล่วงหน้า | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | |---|---|---| | 1. แจ้งเริ่มต้นการออกแบบ | ทีมพัฒนาระบบแจ้งกิจกรรมประมวลผลที่คาดว่าจะเกิดขึ้น | หัวหน้าโครงการ | | 2. จัดทำแบบประเมินความเสี่ยง | กรอกแบบฟอร์มประเมินความเสี่ยงด้านความเป็นส่วนตัว | ผู้พัฒนาระบบและเจ้าหน้าที่คุ้มครองข้อมูล | | 3. วิเคราะห์และตรวจสอบร่วม | วิเคราะห์ผลกระทบและกำหนดมาตรการ | ฝ่ายบริหารความเสี่ยง | | 4. สรุปและเสนอผู้บริหาร | เสนอรายงานผลการคาดการณ์ความเสี่ยงเพื่ออนุมัติ | คณะกรรมการบริหารระบบ | | 5. ติดตามประเมินซ้ำหลังดำเนินการ | ทบทวนความเสี่ยงใหม่ (ถ้ามี) | ฝ่ายตรวจสอบภายใน | #### 6. การติดตามและประเมินผล ติดตามผลการประเมินล่วงหน้าทุก 6 เดือน โดยเฉพาะโครงการที่เปลี่ยนแปลงกระบวนการประมวลผลอย่างมีนัยสำคัญ พร้อมจัดทำรายงานทบทวนความเสี่ยงเสนอคณะกรรมการบริหารรับทราบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-2.md ============================================================ โนด: แนวปฏิบัติ 9.3.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-3.md # 9.3.3 หากเกณฑ์ตรวจสอบคัดกรองระบุว่าองค์กรไม่จำเป็นต้องทำ DPIA องค์กรจะบันทึกเหตุผลเอาไว้ ## สิ่งที่ต้องทำ องค์กรมีการบันทึกเหตุผล และมีนโยบายการตรวจสอบคัดกรอง รวมถึงมีรายงานผลการคัดกรองการประเมินความเสี่ยง ## หลักฐาน 1. นโยบายการตรวจสอบคัดกรองการจัดทำการประเมินความเสี่ยง 2. บันทึกเหตุผลการไม่ประเมินความเสี่ยง 3. รายงานผลการคัดกรองการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการตรวจสอบคัดกรองเพื่อพิจารณาความจำเป็นในการจัดทำ DPIA หน่วยงาน: คณะกรรมการกำกับการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร · วันที่มีผลบังคับใช้: 4 มิถุนายน 2568 #### วัตถุประสงค์ กำหนดเกณฑ์และกระบวนการคัดกรองโครงการหรือกิจกรรมใหม่ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล เพื่อพิจารณาว่ากิจกรรมใดจำเป็นต้องจัดทำ DPIA และกิจกรรมใดไม่จำเป็น พร้อมการบันทึกเหตุผลไว้อย่างเป็นทางการเพื่อให้สามารถตรวจสอบย้อนหลังได้ #### ขอบเขต ครอบคลุมกิจกรรมของทุกหน่วยงานภายในองค์กรที่มีการเก็บ รวบรวม ใช้ เปิดเผย หรือประมวลผลข้อมูลส่วนบุคคล ไม่ว่าจะเป็นข้อมูลทั่วไปหรือข้อมูลอ่อนไหว #### ขั้นตอนการคัดกรอง | ขั้นตอน | รายละเอียด | เอกสารที่เกี่ยวข้อง | |---|---|---| | 1 | ทีมงานกรอกแบบฟอร์มรายการตรวจคัดกรอง DPIA | แบบฟอร์มรายการตรวจคัดกรอง | | 2 | เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตรวจสอบและวิเคราะห์ | รายงานผลการคัดกรอง | | 3 | หากไม่จำเป็นต้องทำ DPIA ให้บันทึกเหตุผลไว้ในแบบฟอร์มมาตรฐาน | บันทึกเหตุผลการไม่ทำ DPIA | #### เกณฑ์ตัวอย่างในรายการตรวจคัดกรอง - มีการประมวลผลข้อมูลอ่อนไหว (เช่น ข้อมูลสุขภาพ ชาติพันธุ์ ศาสนา) หรือไม่ - มีการประมวลผลข้อมูลส่วนบุคคลจำนวนมากหรือไม่ - มีการเฝ้าระวังหรือติดตามพฤติกรรมอย่างเป็นระบบหรือไม่ - มีการใช้เทคโนโลยีใหม่ที่อาจกระทบสิทธิของเจ้าของข้อมูลหรือไม่ - มีการเชื่อมโยงข้อมูลจากหลายแหล่งจนสามารถระบุตัวบุคคลได้หรือไม่ หากไม่เข้าเกณฑ์ความเสี่ยงสูงข้างต้น องค์กรบันทึกเหตุผลของการไม่จัดทำ DPIA ไว้เป็นหลักฐานในแบบฟอร์มมาตรฐาน พร้อมลงนามรับรองโดย DPO เพื่อการตรวจสอบย้อนหลัง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-3.md ============================================================ โนด: แนวปฏิบัติ 9.3.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-4.md # 9.3.4 ขั้นตอนขององค์กรรวมถึงข้อกำหนดในการขอคำแนะนำจาก DPO และเจ้าหน้าที่อื่น ๆ ภายในองค์กรที่เกี่ยวข้องในการจัดทำการประเมินความเสี่ยง ## สิ่งที่ต้องทำ องค์กรมีการขอคำแนะนำจาก DPO และเจ้าหน้าที่อื่น ๆ ภายในองค์กรที่เกี่ยวข้องในการจัดทำการประเมินความเสี่ยง และมีเอกสารหลักฐานในการให้คำปรึกษาครบถ้วน ## หลักฐาน 1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง 2. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา 3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง 4. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการให้คำปรึกษาและสนับสนุนการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หน่วยงานเจ้าของ: สำนักงานคุ้มครองข้อมูลส่วนบุคคลองค์กร · ประกาศใช้: 1 พฤษภาคม 2568 - **วัตถุประสงค์:** กำหนดขั้นตอน การมีส่วนร่วม และบทบาทหน้าที่ของเจ้าหน้าที่ DPO และหน่วยงานอื่นที่เกี่ยวข้อง ในการให้คำปรึกษา สนับสนุน และตรวจสอบการดำเนินการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล - **ขอบเขต:** ครอบคลุมทุกหน่วยงานที่ต้องประเมินความเสี่ยงตั้งแต่ขั้นเริ่มต้นของโครงการจนถึงการอนุมัติ - **บทบาทของ DPO:** ให้คำปรึกษาเบื้องต้นในการพิจารณาความจำเป็นของ DPIA, ตรวจสอบแบบฟอร์ม DPIA ก่อนและหลังการประเมิน, ให้ความเห็นเชิงเทคนิคและกฎหมาย, บันทึกความเห็นหรือข้อเสนอแนะไว้ในแบบฟอร์มประเมิน ### 2. ประกาศช่องทางให้คำปรึกษาและตารางนัดหมาย | ช่องทาง | รายละเอียด | |---|---| | อีเมล | อีเมลกลางของ DPO | | LINE Official Account | บัญชีสนับสนุน DPO | | ระบบจองนัด | ผ่านระบบจองนัด DPO บนอินทราเน็ต | | ติดต่อด้วยตนเอง | วันจันทร์–ศุกร์ เวลา 13.00–16.00 น. ณ ห้อง 405 อาคารบริหารกลาง | ### 3. คู่มือการขอรับคำปรึกษา เนื้อหาหลัก: ขั้นตอนการขอคำปรึกษา (5 ขั้นตอน), เอกสารประกอบที่ต้องเตรียม (แบบฟอร์มคัดกรอง DPIA, ร่างระบบ, แบบฟอร์มบันทึกความเสี่ยง), วิธีการจองคิว, ข้อแนะนำในการเตรียมประเด็นคำถาม, แนวทางปฏิบัติตามคำแนะนำ DPO และแบบฟอร์มสรุปคำถาม-คำตอบหลังให้คำปรึกษา ### 4. บันทึกการให้คำปรึกษา - **ชื่อผู้ขอคำปรึกษา:** นายณัฐวุฒิ ศรีรักษา - **โครงการ:** ระบบลงทะเบียนกิจกรรมภายในองค์กร - **วันที่ให้คำปรึกษา:** 8 พฤษภาคม 2568 · **ผู้ให้คำปรึกษา:** นางสาวปวีณา จันทร์เรือง (DPO) - **ประเด็นที่ปรึกษา:** วิธีกรอกแบบฟอร์ม DPIA, การพิจารณาระดับความเสี่ยง, แนวทางลดความเสี่ยงที่ตรวจพบ - **ข้อเสนอแนะ:** ปรับปรุงมาตรการแฝงข้อมูล และเพิ่มแถบแจ้งเจ้าของข้อมูลก่อนเริ่มเก็บข้อมูล - **ความคิดเห็นของผู้รับคำปรึกษา:** เข้าใจมากขึ้นเกี่ยวกับการวิเคราะห์ผลกระทบต่อสิทธิของเจ้าของข้อมูล และได้รับแนวทางชัดเจนในการปรับปรุงระบบให้สอดคล้องกับกฎหมาย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-4.md ============================================================ โนด: แนวปฏิบัติ 9.3.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-5.md # 9.3.5 ขั้นตอนขององค์กรรวมถึงการปรึกษาหารือกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ที่เกี่ยวข้องตามความเหมาะสม ## สิ่งที่ต้องทำ องค์กรมีขั้นตอนที่รวมถึงการปรึกษาหารือกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ที่เกี่ยวข้องตามความเหมาะสม และมีเอกสารหลักฐานในการปรึกษาหารือครบถ้วน ## หลักฐาน 1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง 2. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา 3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง 4. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการให้คำแนะนำในการจัดทำการประเมินความเสี่ยง วัตถุประสงค์: กำหนดแนวทางและขอบเขตของการปรึกษาหารือระหว่าง DPO กับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วนได้ส่วนเสียอื่น ๆ ก่อนและระหว่างกระบวนการประเมินความเสี่ยง สาระสำคัญ: ขั้นตอนและกรอบเวลาในการปรึกษาหารือ, รายชื่อผู้มีส่วนเกี่ยวข้องที่ต้องเข้าร่วม, วิธีการบันทึกความคิดเห็นและข้อเสนอแนะ, แนวทางการตอบสนองต่อข้อเสนอแนะ ### 2. ประกาศตารางนัดให้คำปรึกษาและช่องทางติดต่อ | วัน-เวลา | ช่องทาง | สำหรับ | |---|---|---| | ทุกวันอังคาร | ระบบนัดหมาย DPO บนอินทราเน็ต | ผู้ควบคุม/ผู้ประมวลผลข้อมูล | | ทุกวันศุกร์ | การประชุมออนไลน์ | ตัวแทนหรือผู้มีส่วนได้ส่วนเสียภายนอก | | ตลอดเวลา | อีเมลกลางของ DPO | การส่งเอกสาร/ความคิดเห็น | ### 3. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง ครอบคลุม: วัตถุประสงค์และขอบเขต, นิยามคำศัพท์ (การประเมินความเสี่ยง, DPIA, DPO, ผู้มีส่วนได้ส่วนเสีย), กระบวนการให้คำปรึกษา (แจ้งความประสงค์ภายใน 15 วันก่อนเริ่มโครงการ, จัดประชุมร่วมกับ DPO และผู้เกี่ยวข้อง, เก็บรวบรวมข้อเสนอแนะจากผู้มีส่วนได้ส่วนเสีย), แนวทางการจัดประชุม (วาระ เอกสาร การจดบันทึกและติดตามผล), บทบาทหน้าที่ของผู้มีส่วนเกี่ยวข้อง, แบบฟอร์มและเครื่องมือ, แนวทางการจัดเก็บและเปิดเผยข้อมูล, ข้อควรระวัง และการทบทวนคู่มืออย่างน้อยปีละ 1 ครั้ง บทบาทหน้าที่ของผู้มีส่วนเกี่ยวข้อง: - **DPO** ให้คำปรึกษาเชิงเทคนิคและกฎหมาย ประเมินความเสี่ยงจากมุมมองการคุ้มครองข้อมูล เสนอแนะแนวทางลดความเสี่ยง และตรวจสอบความครบถ้วนของรายงาน DPIA - **ผู้ควบคุมข้อมูล** ให้ข้อมูลโครงการอย่างโปร่งใส เปิดรับและพิจารณาปรับแนวทางตามข้อเสนอแนะ - **ผู้ประมวลผลข้อมูล/ตัวแทนหน่วยงาน** ให้ข้อมูลทางเทคนิคเกี่ยวกับระบบหรือเทคโนโลยี และสนับสนุนวิธีการประมวลผล - **เจ้าของข้อมูล/ผู้แทน** มีสิทธิแสดงความคิดเห็นและเสนอแนะแนวทางคุ้มครองสิทธิส่วนบุคคล ### 4. บันทึกการให้คำปรึกษา - **โครงการ:** ระบบรับสมัครนักศึกษาออนไลน์ · **วันที่:** 6 พฤษภาคม 2568 - **ผู้เข้าร่วม:** ผู้ควบคุมข้อมูล, ผู้ประมวลผลข้อมูล (บริษัทผู้ให้บริการระบบ), ตัวแทนคณะกรรมการเทคโนโลยีสารสนเทศ, เจ้าหน้าที่ DPO - **สาระสำคัญในการหารือ:** ความจำเป็นของการประมวลผลข้อมูลนักเรียน, ขอบเขตการเข้าถึงข้อมูลของผู้ประมวลผล, ความเห็นเกี่ยวกับการเก็บความยินยอม, ข้อเสนอแนะให้จัดทำประกาศความเป็นส่วนตัวแบบย่อ, และข้อเสนอให้จัดทำ DPIA อย่างย่อแนบท้ายสัญญา - **ผลการดำเนินการ:** ข้อเสนอแนะทั้งหมดจะถูกรวมไว้ในรายงาน DPIA และนำเสนอต่อผู้บริหารเพื่อพิจารณาอนุมัติ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-5.md ============================================================ โนด: แนวปฏิบัติ 9.3.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-6.md # 9.3.6 การฝึกอบรมพนักงานรวมถึงความจำเป็นในการประเมินเพื่อทำ DPIA ในระยะแรกของแผนหรือโครงการใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และองค์กรมีการฝึกอบรมพนักงานในการจัดทำ DPIA ## สิ่งที่ต้องทำ มีการฝึกอบรมพนักงานรวมถึงความจำเป็นในการประเมินเพื่อทำ DPIA ในระยะแรกของแผนหรือโครงการใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และมีการให้ DPO ฝึกอบรมกับหน่วยงานที่เกี่ยวข้องตามความเหมาะสม ## หลักฐาน 1. นโยบายการฝึกอบรมพนักงานเพื่อการประเมินความเสี่ยงของข้อมูลส่วนบุคคล 2. นโยบายการทดสอบความรู้และความเข้าใจของพนักงานด้านการประเมินความเสี่ยง 3. ประกาศตารางนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา 4. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง 5. บันทึกการให้คำปรึกษาและข้อสังเกตเกี่ยวกับความเห็นหรือความเข้าใจของผู้เข้ารับคำปรึกษา 6. นโยบายการกำหนดให้ DPO เข้าอบรมและอบรมพนักงานด้านการประเมินความเสี่ยงของข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการฝึกอบรมพนักงานเพื่อการประเมินความเสี่ยงของข้อมูลส่วนบุคคล องค์กรจัดฝึกอบรมให้แก่พนักงานทุกระดับเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) โดยมุ่งเน้นการเข้าใจขั้นตอนและความสำคัญของการดำเนินการในระยะแรกของโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล - การฝึกอบรมจัดอย่างน้อยปีละ 1 ครั้ง - พนักงานใหม่ต้องเข้าร่วมอบรมภายใน 60 วันหลังเริ่มงาน - เนื้อหาครอบคลุมพื้นฐาน PDPA แนวคิด DPIA วิธีการคัดกรองโครงการ และกรณีศึกษาจริง - จัดในรูปแบบในสถานที่หรือออนไลน์ตามความเหมาะสม - บันทึกการฝึกอบรมจัดเก็บไว้เพื่อตรวจสอบย้อนหลังได้อย่างน้อย 3 ปี ### 2. นโยบายการทดสอบความรู้และความเข้าใจของพนักงาน - ทดสอบความเข้าใจหลังการฝึกอบรมผ่านระบบอิเล็กทรอนิกส์ - พนักงานต้องผ่านเกณฑ์ 70% ขึ้นไปจึงจะถือว่าอบรมผ่าน - กรณีไม่ผ่านต้องเข้าอบรมซ้ำหรือรับคำปรึกษาจาก DPO - ผลการทดสอบถูกรวบรวมในฐานข้อมูลฝึกอบรมพนักงาน - การทดสอบอัปเดตทุกปีตามกฎหมายหรือแนวปฏิบัติที่เปลี่ยนแปลง ### 3. ประกาศตารางนัดและช่องทางให้คำปรึกษา DPO เปิดให้คำปรึกษาด้าน DPIA เดือนละ 1 ครั้ง หรือตามนัดหมายพิเศษ ผ่านช่องทาง: อีเมลกลางของ DPO, ระบบประชุมออนไลน์, และระบบรับแจ้งปัญหาภายใน โดยนัดหมายผ่านระบบอินทราเน็ต และประกาศตารางบนเว็บไซต์ภายในขององค์กร ### 4. คู่มือการให้คำปรึกษาด้านการประเมินความเสี่ยง ครอบคลุม: ขั้นตอนการขอคำปรึกษา, การเตรียมข้อมูลโครงการ, แบบฟอร์มคำปรึกษา, บทบาทของผู้ให้และผู้รับคำปรึกษา, ตัวอย่างข้อควรระวังในการทำ DPIA และแนวทางการปฏิบัติตามข้อเสนอแนะจาก DPO ### 5. บันทึกการให้คำปรึกษา แบบบันทึกประกอบด้วย: ชื่อโครงการและเจ้าของโครงการ, วัน-เวลา-สถานที่หรือช่องทาง, ประเด็นคำปรึกษา, ข้อเสนอแนะจาก DPO, ความเห็นหรือข้อสงสัยของผู้เข้ารับคำปรึกษา และสถานะการดำเนินการตามข้อเสนอแนะ โดยบันทึกทั้งหมดจัดเก็บในระบบเอกสารภายในและสำรองข้อมูลทุกไตรมาส พร้อมให้หัวหน้าฝ่ายตรวจสอบคุณภาพทบทวนเป็นรายไตรมาส ### 6. นโยบายการกำหนดให้ DPO เข้าอบรมและอบรมพนักงาน องค์กรกำหนดให้ DPO เข้ารับการอบรมเพิ่มพูนความรู้ด้านการประเมินความเสี่ยงอย่างต่อเนื่อง และทำหน้าที่ถ่ายทอดความรู้ให้พนักงานในหน่วยงานที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-6.md ============================================================ โนด: แนวปฏิบัติ 9.3.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-3-7.md # 9.3.7 องค์กรมอบหมายความรับผิดชอบในการจัดทำ DPIA ให้กับพนักงานที่มีอำนาจในโครงการ เช่น หัวหน้าโครงการ หรือผู้จัดการ ## สิ่งที่ต้องทำ องค์กรมอบหมายความรับผิดชอบในการจัดทำ DPIA ให้กับพนักงานที่มีอำนาจในโครงการ และมีเอกสารสนับสนุนชัดเจน ## หลักฐาน 1. นโยบายกำหนดบุคลากรที่เกี่ยวข้องกับการประเมินความเสี่ยง 2. นโยบายการกำหนดหน้าที่แก่พนักงานประจำโครงการในการจัดทำรายงานการประเมินความเสี่ยง 3. รายงานการประเมินความเสี่ยง 4. รายงานผลพิจารณารายงานการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายกำหนดบุคลากรที่เกี่ยวข้องกับการประเมินความเสี่ยง วัตถุประสงค์: กำหนดบทบาทหน้าที่และความรับผิดชอบของบุคลากรที่เกี่ยวข้องในการจัดทำ DPIA ให้ชัดเจนและมีประสิทธิภาพ ใช้กับพนักงานทุกคนที่ได้รับมอบหมายให้รับผิดชอบในโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล บทบาทและความรับผิดชอบ: - **หัวหน้าโครงการ/ผู้จัดการโครงการ:** รับผิดชอบในการจัดทำ DPIA สำหรับโครงการภายใต้ความดูแลของตน - **พนักงานที่ได้รับมอบหมาย:** ปฏิบัติตามขั้นตอนการจัดทำ DPIA และรายงานผลการประเมินต่อผู้บังคับบัญชาและ DPO - **เจ้าหน้าที่ DPO:** ให้คำปรึกษาและตรวจสอบความถูกต้องของการจัดทำ DPIA การดำเนินการ: หัวหน้าโครงการต้องกำหนดบุคลากรที่รับผิดชอบในการจัดทำ DPIA ก่อนเริ่มโครงการ จัดให้มีการฝึกอบรมและให้คำแนะนำ และส่งรายงานผลการประเมินให้ DPO ตรวจสอบภายในระยะเวลาที่กำหนด ### 2. นโยบายการกำหนดหน้าที่แก่พนักงานประจำโครงการ หน้าที่ของพนักงานประจำโครงการในการจัดทำรายงาน DPIA: - ศึกษาข้อมูลและรายละเอียดของโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล - รวบรวมข้อมูลที่จำเป็นสำหรับการประเมินความเสี่ยง - จัดทำรายงาน DPIA โดยใช้แบบฟอร์มที่องค์กรกำหนด - ส่งรายงานให้ DPO หรือผู้มีอำนาจตรวจสอบและให้คำแนะนำ - ดำเนินการแก้ไขและปรับปรุงตามข้อเสนอแนะที่ได้รับ ขั้นตอนการรายงาน: จัดทำรายงาน DPIA เบื้องต้นและส่งให้หัวหน้าโครงการตรวจสอบ ส่งต่อให้ DPO ตรวจสอบและรับคำแนะนำ แล้วนำข้อเสนอแนะไปปรับปรุงรายงานและจัดเก็บเอกสารให้ครบถ้วน ### 3. ตัวอย่างรายงานการประเมินความเสี่ยงข้อมูลส่วนบุคคล - **ชื่อโครงการ:** ระบบบริหารจัดการลูกค้า · **หัวหน้าโครงการ:** นายวิทยา เกียรติคุณ · **ผู้จัดทำรายงาน:** นางสาวสุนิสา ศรีสุข · **วันที่จัดทำ:** 1 มิถุนายน 2568 - **รายละเอียดโครงการ:** ระบบบริหารจัดการลูกค้าเพื่อเก็บรวบรวมและวิเคราะห์ข้อมูลลูกค้าเพื่อปรับปรุงบริการ - **ข้อมูลส่วนบุคคลที่เกี่ยวข้อง:** ชื่อ ที่อยู่ เบอร์โทรศัพท์ ประวัติการสั่งซื้อ | ความเสี่ยง | ระดับความเสี่ยง | มาตรการป้องกัน | |---|---|---| | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | สูง | การเข้ารหัสข้อมูลและระบบเข้าสู่ระบบ 2 ชั้น | | การเก็บข้อมูลเกินความจำเป็น | ปานกลาง | กำหนดขอบเขตข้อมูลที่จำเป็นอย่างชัดเจน | สรุปและข้อเสนอแนะ: ระบบมีความปลอดภัยในระดับที่เหมาะสม แต่ควรมีการอบรมพนักงานเกี่ยวกับการจัดการข้อมูลเพิ่มเติม ### 4. รายงานผลพิจารณารายงานการประเมินความเสี่ยง - **โครงการ:** ระบบบริหารจัดการลูกค้า · **ผู้พิจารณา:** นายปกรณ์ สุขสวัสดิ์ (DPO) · **วันที่พิจารณา:** 3 มิถุนายน 2568 - **ผลการพิจารณา:** รายงาน DPIA มีความครบถ้วนและเหมาะสมกับมาตรฐานองค์กร มีการวิเคราะห์ความเสี่ยงอย่างละเอียดและมีมาตรการควบคุมที่เหมาะสม ข้อเสนอแนะเพิ่มเติมได้ถูกแจ้งให้ทีมโครงการทราบเพื่อปรับปรุงต่อไป ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-3-7.md ============================================================ โนด: แนวปฏิบัติ 9.4.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-1.md # 9.4.1 องค์กรมีเทมเพลต/แบบฟอร์มของ DPIA ที่เป็นมาตรฐาน มีโครงสร้างที่ชัดเจน และเป็นภาษาที่เข้าใจได้โดยง่าย ## สิ่งที่ต้องทำ องค์กรมีเทมเพลต/แบบฟอร์มของ DPIA ที่เป็นมาตรฐาน มีโครงสร้างที่ชัดเจน และเป็นภาษาที่เข้าใจได้โดยง่าย รวมถึงมีการสนับสนุนช่วยเหลือจาก DPO ## หลักฐาน 1. นโยบายการจัดทำแบบฟอร์มการประเมินความเสี่ยง 2. แบบฟอร์มการประเมินความเสี่ยง 3. ประกาศการนัดให้คำปรึกษาหรือช่องทางให้คำปรึกษา ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการจัดทำแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA) **วัตถุประสงค์** กำหนดแนวทางและมาตรฐานในการจัดทำแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA) ที่มีโครงสร้างชัดเจน เข้าใจง่าย และใช้เป็นเครื่องมือในการประเมินความเสี่ยงอย่างเป็นระบบ **ขอบเขต** ใช้สำหรับทุกโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลในองค์กร **นโยบาย** - องค์กรจะจัดทำและใช้งานแบบฟอร์ม DPIA ที่ได้รับการออกแบบให้มีโครงสร้างชัดเจน และภาษาที่เข้าใจง่าย - แบบฟอร์ม DPIA ต้องครอบคลุมข้อมูลที่จำเป็นทั้งหมดตามมาตรฐานสากลและแนวทางปฏิบัติที่ดี - DPO จะทำหน้าที่ให้คำปรึกษาและสนับสนุนในการใช้งานแบบฟอร์ม DPIA เพื่อให้การประเมินความเสี่ยงเป็นไปอย่างถูกต้องและครบถ้วน - องค์กรจะทบทวนและปรับปรุงแบบฟอร์ม DPIA อย่างสม่ำเสมอ เพื่อให้สอดคล้องกับข้อกฎหมายและความเปลี่ยนแปลงในสภาพแวดล้อมการทำงาน ### ตัวอย่างแบบฟอร์มการประเมินความเสี่ยงข้อมูลส่วนบุคคล (DPIA) **1. ข้อมูลทั่วไปของโครงการ** - ชื่อโครงการ: โครงการพัฒนาระบบลงทะเบียนเข้าร่วมสัมมนาออนไลน์ - ผู้รับผิดชอบโครงการ: นายสมชาย ใจดี - วันที่จัดทำ: 1 มิถุนายน 2568 **2. วัตถุประสงค์ของการเก็บข้อมูลส่วนบุคคล** เพื่อรวบรวมข้อมูลผู้เข้าร่วมสัมมนาออนไลน์ ใช้สำหรับการจัดการการเข้าใช้งาน และส่งใบประกาศนียบัตรหลังจบสัมมนา **3. ประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้อง** - ชื่อ-นามสกุล - อีเมล - เบอร์โทรศัพท์ - ที่อยู่บริษัท/องค์กร - ประวัติการเข้าร่วมสัมมนาก่อนหน้า **4. การวิเคราะห์ความเสี่ยง** | ความเสี่ยงที่อาจเกิดขึ้น | ระดับความเสี่ยง | มาตรการควบคุมและลดความเสี่ยง | |---|---|---| | ข้อมูลส่วนบุคคลรั่วไหลจากการโจมตีระบบ | สูง | ใช้ระบบรักษาความปลอดภัยระดับสูง เช่น ไฟร์วอลล์และการเข้ารหัสข้อมูล | | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ปานกลาง | กำหนดสิทธิการเข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้อง | | ข้อมูลถูกเก็บไว้นานเกินความจำเป็น | ต่ำ | กำหนดนโยบายการเก็บรักษาข้อมูลและลบข้อมูลที่ไม่จำเป็น | | ความผิดพลาดจากการป้อนข้อมูลหรือการจัดการข้อมูล | ต่ำ | ฝึกอบรมพนักงานและตรวจสอบความถูกต้องของข้อมูลเป็นประจำ | **5. การปรึกษาหารือกับ DPO หรือเจ้าหน้าที่ที่เกี่ยวข้อง** วันที่ปรึกษา: 5 มิถุนายน 2568 รายละเอียดข้อเสนอแนะ: - แนะนำให้เพิ่มระบบยืนยันตัวตนสองขั้นตอน (2FA) เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต - กำหนดระยะเวลาการเก็บรักษาข้อมูลไม่เกิน 2 ปีหลังจบโครงการ - จัดอบรมพนักงานเกี่ยวกับมาตรการความปลอดภัยข้อมูลและนโยบายคุ้มครองข้อมูลส่วนบุคคล **6. ข้อสรุปและข้อเสนอแนะ** - โครงการมีความเสี่ยงที่สามารถบริหารจัดการได้ โดยการเพิ่มมาตรการความปลอดภัยตามคำแนะนำของ DPO และการทบทวนมาตรการอย่างสม่ำเสมอ - แนะนำให้ดำเนินการตามแผนและกำหนดบทบาทความรับผิดชอบที่ชัดเจนในแต่ละส่วน ลงชื่อผู้จัดทำ: นายสมชาย ใจดี วันที่: 10 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-1.md ============================================================ โนด: แนวปฏิบัติ 9.4.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-2.md # 9.4.2 DPIA มีรายละเอียดอย่างน้อยดังนี้ ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล การประเมินความจำเป็น ความได้สัดส่วน และมาตรการการปฏิบัติตาม การระบุและประเมินความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล และมาตรการเพื่อลดความเสี่ยงเหล่านั้น ## สิ่งที่ต้องทำ องค์กรมีการจัดทำ DPIA และมีรายละเอียดครบถ้วนอย่างน้อยดังนี้ 1. ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล 2. การประเมินความจำเป็น ความได้สัดส่วน และมาตรการการปฏิบัติตาม 3. การระบุและประเมินความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล 4. มาตรการเพื่อลดความเสี่ยงเหล่านั้น ## หลักฐาน 1. นโยบายการประเมินความเสี่ยง 2. คู่มือการจัดทำรายงานการประเมินความเสี่ยงหรือแบบประเมินความเสี่ยง 3. รายงานการประเมินความเสี่ยงหรือแบบประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการประเมินความเสี่ยง วัตถุประสงค์: กำหนดแนวทางและกรอบการประเมินความเสี่ยงเกี่ยวกับข้อมูลส่วนบุคคลอย่างครบถ้วน เพื่อลดผลกระทบด้านความเป็นส่วนตัวและรักษาสิทธิของเจ้าของข้อมูล ครอบคลุมการจัดทำ DPIA สำหรับทุกโครงการหรือกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล แนวทางปฏิบัติ: จัดทำ DPIA ก่อนเริ่มโครงการหรือการเปลี่ยนแปลงที่สำคัญ ระบุลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ประเมินความจำเป็นและความได้สัดส่วน ระบุและประเมินความเสี่ยงต่อสิทธิและเสรีภาพ กำหนดมาตรการลดความเสี่ยง ปรึกษา DPO ในทุกขั้นตอน และจัดเก็บรายงาน DPIA เพื่อการตรวจสอบ ### 2. คู่มือการจัดทำรายงานการประเมินความเสี่ยง - **ส่วนที่ 1 ข้อมูลทั่วไปของโครงการ:** ชื่อโครงการ ผู้รับผิดชอบ วันที่จัดทำ และวัตถุประสงค์ของการประมวลผล - **ส่วนที่ 2 ลักษณะ ขอบเขต บริบท และวัตถุประสงค์:** ประเภทข้อมูลที่ประมวลผล ขอบเขต หน่วยงาน/ระบบที่เกี่ยวข้อง และบริบทของโครงการ - **ส่วนที่ 3 การประเมินความจำเป็นและความได้สัดส่วน:** เหตุผลที่จำเป็นต้องใช้ข้อมูล และความเหมาะสมในแง่สิทธิและเสรีภาพของเจ้าของข้อมูล - **ส่วนที่ 4 การระบุและประเมินความเสี่ยง:** ระบุความเสี่ยง (การรั่วไหล การเข้าถึงโดยไม่ได้รับอนุญาต การเก็บรักษาไม่ปลอดภัย) และประเมินระดับความรุนแรง (สูง/กลาง/ต่ำ) - **ส่วนที่ 5 มาตรการเพื่อลดความเสี่ยง:** มาตรการด้านเทคนิค (การเข้ารหัส การควบคุมการเข้าถึง) และมาตรการด้านการบริหาร (การอบรม การจัดทำนโยบาย การตรวจสอบ) - **ส่วนที่ 6 การสรุปผลและข้อเสนอแนะ:** สรุปความเสี่ยงโดยรวม ข้อเสนอแนะ และการติดตามทบทวน DPIA ### 3. ตัวอย่างรายงานการประเมินความเสี่ยง - **ชื่อโครงการ:** ระบบลงทะเบียนพนักงานเข้าร่วมอบรมภายในองค์กร · **ผู้รับผิดชอบ:** นางสาวปรียา สายสว่าง · **วันที่จัดทำ:** 10 มิถุนายน 2568 - **ลักษณะและวัตถุประสงค์:** เก็บข้อมูลพนักงานที่เข้าร่วมอบรมเพื่อติดตามการอบรมและออกใบรับรอง โดยเก็บชื่อ-นามสกุล เลขบัตรประชาชน อีเมล และข้อมูลการเข้าร่วมอบรม - **การประเมินความจำเป็น:** ข้อมูลจำเป็นต่อการบริหารจัดการอบรมและยืนยันตัวตน โดยจำกัดการเข้าถึงเฉพาะเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลที่เกี่ยวข้อง | ความเสี่ยง | ระดับความเสี่ยง | มาตรการลดความเสี่ยง | |---|---|---| | ข้อมูลรั่วไหลจากการโจมตีระบบ | สูง | ใช้ระบบป้องกันภัยคุกคามไซเบอร์และเข้ารหัสข้อมูล | | การเข้าถึงโดยไม่ได้รับอนุญาต | ปานกลาง | กำหนดสิทธิ์เข้าถึงและมีระบบบันทึกการใช้งาน | | การเก็บข้อมูลเกินความจำเป็น | ต่ำ | กำหนดระยะเวลาการเก็บข้อมูลตามนโยบายขององค์กร | มาตรการเพิ่มเติม: ใช้การยืนยันตัวตนสองชั้น จัดอบรมพนักงานด้านความปลอดภัยข้อมูล และตรวจสอบทบทวนระบบทุก 6 เดือน ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-2.md ============================================================ โนด: แนวปฏิบัติ 9.4.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-3.md # 9.4.3 DPIA กำหนดความสัมพันธ์และแสดงทิศทางการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบอย่างชัดเจน ## สิ่งที่ต้องทำ องค์กรจัดทำ DPIA กำหนดความสัมพันธ์และแสดงทิศทางการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบอย่างชัดเจน ## หลักฐาน 1. นโยบายกำหนดความสัมพันธ์และการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคล และระบบ 2. ทะเบียนจัดการความเสี่ยง 3. หนังสือรายงานความเสี่ยงที่อาจให้เกิดผลกระทบแก่เจ้าของข้อมูลส่วนบุคคล 4. หนังสือแจ้งความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายกำหนดความสัมพันธ์และการไหลเวียนของข้อมูลส่วนบุคคล วัตถุประสงค์: กำหนดแนวทางการจัดการความสัมพันธ์และการไหลเวียนของข้อมูลส่วนบุคคลอย่างชัดเจนระหว่างผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล เจ้าของข้อมูล และระบบที่เกี่ยวข้อง ครอบคลุมการเก็บรวบรวม การใช้ การเปิดเผย การถ่ายโอน ไปจนถึงการลบข้อมูล แนวทางปฏิบัติ: กำหนดบทบาทและหน้าที่ของผู้ควบคุมและผู้ประมวลผลให้ชัดเจน จัดทำแผนผังแสดงทิศทางการไหลเวียนของข้อมูล กำหนดมาตรการควบคุมการเข้าถึงในแต่ละจุด บันทึกและตรวจสอบการถ่ายโอนข้อมูลให้ย้อนหลังได้ และอบรมพนักงานเกี่ยวกับการจัดการข้อมูลอย่างถูกต้อง ### 2. ทะเบียนจัดการความเสี่ยง | ลำดับ | รายการความเสี่ยง | ผู้รับผิดชอบ | ผลกระทบต่อเจ้าของข้อมูล | มาตรการควบคุม | สถานะ | |---|---|---|---|---|---| | 1 | การส่งข้อมูลระหว่างหน่วยงานที่ไม่มีการเข้ารหัส | ฝ่ายเทคโนโลยีสารสนเทศ | ข้อมูลรั่วไหล | ใช้การเข้ารหัสข้อมูลในการส่ง | ดำเนินการแล้ว | | 2 | การมอบหมายผู้ประมวลผลข้อมูลที่ไม่ผ่านการอบรม | ฝ่ายทรัพยากรบุคคล | การจัดการข้อมูลผิดพลาด | กำหนดแผนการอบรมและติดตามผล | อยู่ระหว่างดำเนินการ | | 3 | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตในระบบฐานข้อมูล | ฝ่ายระบบ | ข้อมูลถูกแก้ไขหรือนำไปใช้ผิดวัตถุประสงค์ | กำหนดสิทธิการเข้าถึงและตรวจสอบบันทึกการใช้งาน | ดำเนินการแล้ว | ### 3. หนังสือรายงานความเสี่ยงที่อาจให้เกิดผลกระทบแก่เจ้าของข้อมูล ตามที่องค์กรได้จัดทำ DPIA สำหรับโครงการ พบความเสี่ยงที่อาจส่งผลกระทบต่อเจ้าของข้อมูล ได้แก่ การถ่ายโอนข้อมูลระหว่างผู้ควบคุมและผู้ประมวลผลที่อาจไม่ได้รับการป้องกันที่เหมาะสม ความไม่ชัดเจนในการกำหนดบทบาทความรับผิดชอบ และการตรวจสอบบันทึกการไหลเวียนของข้อมูลที่ยังไม่ครอบคลุม จึงรายงานเพื่อให้การจัดการข้อมูลส่วนบุคคลเป็นไปอย่างปลอดภัยและถูกต้องตามกฎหมาย ### 4. หนังสือแจ้งความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคล แจ้งความเสี่ยงที่อาจก่อให้เกิดการละเมิดข้อมูลส่วนบุคคลในโครงการ ได้แก่ ความเสี่ยงจากการส่งข้อมูลผ่านระบบที่ไม่มีการเข้ารหัส ซึ่งอาจทำให้ข้อมูลรั่วไหลไปยังบุคคลที่ไม่เกี่ยวข้อง โดยมีมาตรการกำหนดให้เข้ารหัสข้อมูลในทุกจุดที่มีการถ่ายโอน และอบรมพนักงานเกี่ยวกับการรักษาความปลอดภัยข้อมูล จึงแจ้งให้หน่วยงานรับทราบเพื่อควบคุมและติดตามความเสี่ยงอย่างใกล้ชิด ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-3.md ============================================================ โนด: แนวปฏิบัติ 9.4.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-4.md # 9.4.4 DPIA ระบุมาตรการที่สามารถนำไปใช้เพื่อกำจัด บรรเทา หรือลดความเสี่ยงสูง ## สิ่งที่ต้องทำ องค์กรมีการจัดทำ DPIA และระบุมาตรการที่สามารถนำไปใช้เพื่อกำจัด บรรเทา หรือลดความเสี่ยงสูง ## หลักฐาน 1. นโยบายการดำเนินมาตรการกำจัด บรรเทา หรือลดความเสี่ยงในการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการจัดให้มีมาตรการกำจัด บรรเทา หรือลดความเสี่ยงสูงในการประเมินความเสี่ยง วัตถุประสงค์: กำหนดแนวทางและมาตรการที่ชัดเจนในการกำจัด บรรเทา หรือลดความเสี่ยงสูงที่อาจเกิดขึ้นจากการประมวลผลข้อมูลส่วนบุคคล โดยมุ่งเน้นการป้องกันและลดผลกระทบที่อาจเกิดกับเจ้าของข้อมูลส่วนบุคคลให้มากที่สุด ขอบเขต: ครอบคลุมการประเมินและบริหารจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทุกโครงการและกิจกรรมที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลขององค์กร แนวทางปฏิบัติ: - ระบุความเสี่ยงสูงที่ส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล - กำหนดมาตรการป้องกันความเสี่ยงที่เหมาะสมและมีประสิทธิภาพ เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึงข้อมูล การอบรมพนักงาน และการใช้เทคโนโลยีที่ปลอดภัย - ติดตามและประเมินผลมาตรการที่นำมาใช้เป็นระยะ เพื่อให้มั่นใจว่าสามารถลดความเสี่ยงได้อย่างมีประสิทธิภาพ - จัดทำรายงานสรุปมาตรการและผลการดำเนินงานต่อผู้บริหารและผู้เกี่ยวข้อง - ปรับปรุงมาตรการตามผลการติดตามและการเปลี่ยนแปลงในสภาพแวดล้อมการประมวลผลข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-4.md ============================================================ โนด: แนวปฏิบัติ 9.4.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-5.md # 9.4.5 องค์กรมีการบันทึกการดำเนินการตาม DPIA พร้อมด้วยการควบคุมโดยเอกสารที่เหมาะสม และมีการตรวจสอบเป็นระยะ ๆ เพื่อให้แน่ใจว่ากระบวนการนั้นเป็นข้อมูลล่าสุด ## สิ่งที่ต้องทำ องค์กรมีการตรวจสอบการปฏิบัติตามรายงานการประเมินความเสี่ยง มีการบันทึกเป็นเอกสารอย่างชัดเจน และมีการตรวจสอบเป็นระยะ ๆ เพื่อให้แน่ใจว่ากระบวนการนั้นเป็นข้อมูลล่าสุด ## หลักฐาน 1. นโยบายการบันทึกการดำเนินการตามรายงานการประเมินความเสี่ยงและการตรวจสอบการประเมินความเสี่ยง 2. บันทึกการดำเนินการตามรายงานการประเมินความเสี่ยง 3. รายงานผลการตรวจสอบการปฏิบัติตามรายงานการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### นโยบายการบันทึกการดำเนินการตามรายงานการประเมินความเสี่ยงและการตรวจสอบการประเมินความเสี่ยง วัตถุประสงค์: กำหนดแนวทางในการบันทึกและควบคุมเอกสารการดำเนินการตามรายงานการประเมินความเสี่ยง (DPIA) รวมถึงการตรวจสอบและทบทวนข้อมูลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่ากระบวนการและข้อมูลที่เกี่ยวข้องเป็นปัจจุบันและสอดคล้องกับข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคล ขอบเขต: ครอบคลุมการจัดการเอกสารและรายงานที่เกี่ยวข้องกับการประเมินความเสี่ยงและการดำเนินการตาม DPIA ในทุกหน่วยงานที่เกี่ยวข้อง แนวทางปฏิบัติ: - จัดให้มีระบบบันทึกข้อมูลการดำเนินการตามรายงานการประเมินความเสี่ยงในรูปแบบดิจิทัลหรือเอกสารที่ปลอดภัยและสามารถติดตามตรวจสอบได้ - กำหนดผู้รับผิดชอบในการดูแลและควบคุมเอกสารที่เกี่ยวข้องกับ DPIA ให้มีการบันทึกและเก็บรักษาอย่างเหมาะสม - กำหนดระยะเวลาการตรวจสอบและทบทวนรายงาน DPIA อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงกระบวนการประมวลผลข้อมูลส่วนบุคคล - จัดทำรายงานผลการตรวจสอบการปฏิบัติตามรายงาน DPIA และจัดส่งให้ผู้บริหารและหน่วยงานที่เกี่ยวข้องเพื่อพิจารณาปรับปรุงแก้ไข - บันทึกและจัดเก็บผลการตรวจสอบให้เป็นหลักฐานในการปฏิบัติงานและการตรวจสอบภายหลัง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-5.md ============================================================ โนด: แนวปฏิบัติ 9.4.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-6.md # 9.4.6 องค์กรบันทึกคำแนะนำของ DPO และรายละเอียดการให้คำปรึกษาอื่น ๆ ของ DPO เกี่ยวกับ DPIA ดังกล่าว ## สิ่งที่ต้องทำ องค์กรมีนโยบายการจัดให้มีการให้คำแนะนำและรายละเอียดการให้คำปรึกษาอื่น ๆ และมีการปฏิบัติตามนโยบายดังกล่าว รวมถึงมีเอกสารครบถ้วน ## หลักฐาน 1. นโยบายการจัดให้มีการบันทึกคำแนะนำด้านการจัดทำรายงานการประเมินความเสี่ยงของ DPO 2. บันทึกการให้คำปรึกษาด้านการจัดทำการประเมินความเสี่ยงหรือแบบฟอร์มการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการจัดให้มีการบันทึกคำแนะนำด้านการจัดทำรายงานการประเมินความเสี่ยงของ DPO วัตถุประสงค์: กำหนดแนวทางการให้คำแนะนำและการบันทึกรายละเอียดการให้คำปรึกษาของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เกี่ยวกับการจัดทำรายงานการประเมินความเสี่ยง (DPIA) ให้เป็นระบบและมีหลักฐานชัดเจน แนวทางปฏิบัติ: - DPO ต้องจัดให้มีการบันทึกรายละเอียดการให้คำปรึกษา เช่น วัน เวลา ผู้เข้ารับคำปรึกษา เนื้อหาของคำแนะนำ และข้อสังเกตที่เกี่ยวข้องกับ DPIA - บันทึกคำปรึกษาหรือคำแนะนำต้องจัดเก็บในเอกสารที่มีความปลอดภัยและเรียกดูได้เมื่อต้องการตรวจสอบ - ผู้รับคำปรึกษาควรลงชื่อรับทราบและยืนยันความเข้าใจในคำแนะนำของ DPO - จัดทำรายงานสรุปคำแนะนำสำคัญที่เกี่ยวข้องกับการประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และใช้ประกอบการปรับปรุงกระบวนการ - การให้คำปรึกษาเป็นไปอย่างต่อเนื่องและครบถ้วน ### 2. แบบฟอร์มบันทึกการให้คำปรึกษาด้านการจัดทำการประเมินความเสี่ยง | รายละเอียด | ข้อมูลตัวอย่าง | |---|---| | วันที่ให้คำปรึกษา | 3 มิถุนายน 2568 | | ชื่อผู้ให้คำปรึกษา (DPO) | นางสาวทิพย์ ศรีสุข | | ชื่อผู้เข้ารับคำปรึกษา | นายกิตติชัย นิลวงศ์ | | ตำแหน่ง | ผู้จัดการโครงการ | | หน่วยงาน | ฝ่ายพัฒนาระบบสารสนเทศ | | หัวข้อคำปรึกษา | การจัดทำ DPIA สำหรับโครงการพัฒนาระบบฐานข้อมูลลูกค้า | เนื้อหาคำแนะนำ: 1. ระบุลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของโครงการให้ชัดเจน 2. ประเมินความจำเป็นและความได้สัดส่วนในการประมวลผลข้อมูล 3. แนะนำมาตรการควบคุมความปลอดภัยข้อมูล เช่น การเข้ารหัสและการควบคุมสิทธิ์เข้าถึง 4. บันทึกและติดตามผลการประเมินความเสี่ยงอย่างสม่ำเสมอ ข้อสังเกตและคำถาม: ผู้เข้ารับคำปรึกษาสงสัยเรื่องการจัดเก็บข้อมูลจากบุคคลที่สามและการแจ้งให้เจ้าของข้อมูลทราบ การดำเนินการที่แนะนำ: จัดทำ DPIA โดยเพิ่มรายละเอียดการจัดเก็บข้อมูลจากบุคคลที่สาม และวิธีการแจ้งเจ้าของข้อมูล พร้อมจัดประชุมชี้แจงกับทีมโครงการ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-6.md ============================================================ โนด: แนวปฏิบัติ 9.4.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-4-7.md # 9.4.7 มีบุคคลที่เหมาะสมลงนามใน DPIA เช่น หัวหน้าโครงการ ## สิ่งที่ต้องทำ องค์กรมีบุคคลที่เหมาะสมลงนามใน DPIA ตามโครงสร้างองค์กรหรือแผนการดำเนินงาน ## หลักฐาน 1. นโยบายกำหนดผู้อนุมัติรายงานการประเมินความเสี่ยง 2. รายงานผลการพิจารณารายงานการประเมินความเสี่ยง 3. โครงสร้างองค์กร 4. เอกสารหรือหลักฐานแสดงถึงผู้รับผิดชอบโครงการ ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการกำหนดผู้อนุมัติรายงานการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล วัตถุประสงค์: ระบุกรอบการกำหนดผู้มีอำนาจ/ผู้อนุมัติรายงาน DPIA เพื่อให้การอนุมัติเป็นไปอย่างโปร่งใส สอดคล้องกับระดับความเสี่ยง และสามารถพิสูจน์ความรับผิดชอบตามหลัก PDPA ใช้กับทุกโครงการ/ระบบ/กิจกรรมที่มีการประมวลผลข้อมูลส่วนบุคคล องค์กรกำหนดตารางอำนาจอนุมัติตามระดับความเสี่ยง: | ระดับความเสี่ยง | คะแนนความเสี่ยง | ผู้อนุมัติ | |---|---|---| | ความเสี่ยงต่ำ | น้อยกว่า 25 | หัวหน้าโครงการ | | ความเสี่ยงปานกลาง | 25–49 | หัวหน้าโครงการ + DPO | | ความเสี่ยงสูง | 50–74 | หัวหน้าโครงการ + DPO + หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ | | ความเสี่ยงสูงมาก/มีนัยสำคัญ | ตั้งแต่ 75 ขึ้นไป | หัวหน้าโครงการ + DPO + ผู้บริหารระดับสูง หรือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล | เกณฑ์ประเมินความเสี่ยง: ใช้สูตร ความเสี่ยง = โอกาสเกิด × ผลกระทบ พร้อมพิจารณาปัจจัย เช่น ข้อมูลอ่อนไหว ปริมาณข้อมูล การเปิดเผยข้ามชาติ และความคาดหวังของเจ้าของข้อมูล กระบวนการอนุมัติ: - หัวหน้าโครงการยื่น DPIA พร้อมเอกสารแนบ (ผลการประเมินความเสี่ยง แผนลดความเสี่ยง) ต่อ DPO - DPO ตรวจความสมบูรณ์เบื้องต้นภายใน 5 วันทำการ และส่งให้ผู้มีอำนาจตามตารางอำนาจอนุมัติ - ผู้อนุมัติพิจารณาภายใน 10 วันทำการ หากมีเงื่อนไขให้ระบุชัดเจนพร้อมกรอบเวลาแก้ไขก่อนออกใบอนุมัติขั้นสุดท้าย - ประกาศผลอนุมัติและบันทึกในระบบ (เอกสารลงนามและร่องรอยการตรวจสอบ) การเก็บรักษาเอกสาร: DPIA ที่ได้รับอนุมัติและบันทึกการพิจารณาต้องเก็บรักษาไม่น้อยกว่า 5 ปี หรือเท่าที่กฎหมาย/นโยบายองค์กรกำหนด ### 2. ตัวอย่างรายงานผลการพิจารณารายงานการประเมินความเสี่ยง ประกอบด้วย: หมายเลขอ้างอิง DPIA, ชื่อโครงการ, วันที่ยื่นและวันที่พิจารณา, DPO ผู้พิจารณาเบื้องต้น, สรุปสาระสำคัญของ DPIA (ขอบเขตการประมวลผล ความเสี่ยงหลัก มาตรการบรรเทาที่เสนอ), ผลการพิจารณา (อนุมัติ / อนุมัติพร้อมเงื่อนไข / ปฏิเสธ), ระดับความเสี่ยงคงเหลือหลังมาตรการ, ข้อสรุปและคำสั่งดำเนินการ พร้อมรายชื่อผู้พิจารณาและลงนาม (เจ้าของโครงการ, DPO, หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ, ผู้บริหารระดับสูงตามระดับความเสี่ยง) ### 3. โครงสร้างองค์กรแสดงผู้มีอำนาจอนุมัติ DPIA - **คณะกรรมการบริหาร/คณะกรรมการบริษัท** — ระดับสูงสุด - **ผู้บริหารสูงสุด** — ผู้มีอำนาจอนุมัติสูงสุด (กรณีความเสี่ยงระดับสูง) - **คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล** — ให้คำปรึกษานโยบาย - **หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ** — รับผิดชอบด้านมาตรการทางเทคนิค - **เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)** — รับผิดชอบการพิจารณา DPIA และติดตามการปฏิบัติตาม - **หัวหน้าโครงการ/ผู้จัดการโครงการ** — ยื่น DPIA และรับผิดชอบการดำเนินการตามเงื่อนไข - **ฝ่ายกฎหมาย/ฝ่ายบริหารความเสี่ยง** — ให้คำปรึกษาด้านกฎหมายและการเงิน ### 4. เอกสารแสดงผู้รับผิดชอบโครงการ หนังสือแต่งตั้ง/มอบหมายให้เป็นผู้รับผิดชอบโครงการ ระบุชื่อผู้ถูกแต่งตั้ง ตำแหน่ง/ฝ่าย วัตถุประสงค์โครงการ และอำนาจหน้าที่ เช่น การจัดทำและยื่นรายงาน DPIA ต่อ DPO และหน่วยงานที่เกี่ยวข้อง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-4-7.md ============================================================ โนด: แนวปฏิบัติ 9.5.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-1.md # 9.5.1 องค์กรต้องไม่เริ่มการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงจนกว่าจะมีมาตรการบรรเทาผลกระทบตามที่กำหนดใน DPIA ## สิ่งที่ต้องทำ องค์กรเริ่มการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงเมื่อมีมาตรการบรรเทาผลกระทบตามที่กำหนดใน DPIA ชัดเจน และมีเอกสารสนับสนุนครบถ้วน ## หลักฐาน 1. นโยบายการกำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลหรือเริ่มโครงการ/กิจกรรม 2. รายงานการประเมินความเสี่ยง 3. เอกสารหรือหลักฐานแสดงการพิจารณามาตรการบรรเทาผลกระทบด้านการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### 1. นโยบายการกำหนดเงื่อนไขการประมวลผลข้อมูลส่วนบุคคลหรือเริ่มโครงการ/กิจกรรม วัตถุประสงค์: กำหนดกรอบและแนวทางปฏิบัติสำหรับการเริ่มต้นการประมวลผลข้อมูลส่วนบุคคลที่อาจมีความเสี่ยงสูง โดยมุ่งเน้นการประเมินความเสี่ยงและกำหนดมาตรการบรรเทาผลกระทบก่อนเริ่มดำเนินการ ข้อกำหนดและแนวทางปฏิบัติ: - ก่อนเริ่มโครงการ องค์กรต้องจัดทำรายงาน DPIA และประเมินความเสี่ยงอย่างละเอียด - กำหนดมาตรการบรรเทาผลกระทบที่เหมาะสม และตรวจสอบความเพียงพอโดย DPO และคณะกรรมการบริหารความเสี่ยง - ห้ามเริ่มดำเนินการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงจนกว่าจะได้รับการอนุมัติเป็นลายลักษณ์อักษรจากผู้มีอำนาจ - บันทึกและเก็บรักษาเอกสารที่เกี่ยวข้องไว้ในระบบจัดการเอกสารขององค์กร - ทบทวนและปรับปรุงรายงาน DPIA อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ ### 2. รายงานการประเมินความเสี่ยง - **ชื่อโครงการ:** ระบบจัดการข้อมูลลูกค้าออนไลน์ · **วันที่จัดทำ:** 15 พฤษภาคม 2568 · **ผู้จัดทำ:** ฝ่ายพัฒนาระบบสารสนเทศ · **ผู้ตรวจสอบ:** DPO และฝ่ายบริหารความเสี่ยง - **ขอบเขตและวัตถุประสงค์:** ประมวลผลข้อมูลส่วนบุคคลของลูกค้า (ชื่อ-นามสกุล ที่อยู่ หมายเลขโทรศัพท์ ข้อมูลการชำระเงิน ประวัติการสั่งซื้อ) เพื่อให้บริการจัดการบัญชีลูกค้าและติดตามคำสั่งซื้อ - **การประเมินความเสี่ยง:** ระบุความเสี่ยง เช่น การเข้าถึงโดยไม่ได้รับอนุญาต การรั่วไหลของข้อมูล ความไม่ถูกต้องของข้อมูล หรือการถูกโจมตีจากภายนอก - **มาตรการบรรเทาความเสี่ยง:** การเข้ารหัสข้อมูลทั้งขณะจัดเก็บและขณะส่ง, การยืนยันตัวตนหลายชั้น, การอบรมพนักงานด้านความปลอดภัยข้อมูล, การตรวจสอบและบันทึกการเข้าใช้ระบบ - **สรุป:** มาตรการบรรเทาความเสี่ยงเหมาะสมและมีประสิทธิภาพ แนะนำให้ทบทวน DPIA ทุก 12 เดือน หรือเมื่อมีการเปลี่ยนแปลงสำคัญ ### 3. หนังสืออนุมัติมาตรการบรรเทาผลกระทบ คณะกรรมการบริหารความเสี่ยงพิจารณาแล้วเห็นว่ามาตรการบรรเทาผลกระทบของโครงการระบบจัดการข้อมูลลูกค้าออนไลน์มีความเหมาะสมและเพียงพอที่จะลดความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ จึงอนุมัติให้เริ่มดำเนินโครงการตามแผนที่เสนอ พร้อมกำชับให้มีการทบทวนและตรวจสอบความปลอดภัยอย่างต่อเนื่อง ### 4. รายงานการตรวจสอบและทบทวน DPIA รายงานการตรวจสอบประจำปีโดยฝ่ายตรวจสอบภายในยืนยันว่าการดำเนินมาตรการตาม DPIA เป็นไปตามนโยบายและข้อกำหนด มีการบันทึกการอบรมพนักงานครบถ้วน ไม่มีเหตุการณ์รั่วไหลหรือละเมิดข้อมูลในรอบปี และแนะนำให้ทบทวนมาตรการด้านความปลอดภัยตามเทคโนโลยีและภัยคุกคามที่เปลี่ยนแปลง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-1.md ============================================================ โนด: แนวปฏิบัติ 9.5.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-2.md # 9.5.2 องค์กรมีการกำหนดเวลาสำหรับการทบทวน DPIA เป็นประจำ หรือเมื่อลักษณะ ขอบเขต บริบท หรือวัตถุประสงค์ของการประมวลผลเปลี่ยนแปลงไป ## สิ่งที่ต้องทำ องค์กรมีการกำหนดเวลาสำหรับการทบทวน DPIA และปฏิบัติตามอย่างเคร่งครัด หรือมีการทบทวนเมื่อลักษณะ ขอบเขต บริบท หรือวัตถุประสงค์ของการประมวลผลเปลี่ยนแปลงไป ## หลักฐาน 1. นโยบายการทบทวนการปฏิบัติตามผลการประเมินความเสี่ยงและทะเบียนจัดการความเสี่ยง 2. รายงานการปฏิบัติตามผลการประเมินความเสี่ยงและทะเบียนจัดการความเสี่ยง ## สภาพบังคับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) และข้อ 5 กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### 1. นโยบายการทบทวน DPIA ความสำคัญ: เนื่องจากข้อมูลส่วนบุคคลและกระบวนการประมวลผลมีการเปลี่ยนแปลงอยู่เสมอ เช่น การปรับปรุงระบบ เทคโนโลยี หรือกฎหมายที่เกี่ยวข้อง องค์กรต้องทบทวน DPIA อย่างสม่ำเสมอเพื่อให้มาตรการควบคุมและการบริหารความเสี่ยงยังคงมีประสิทธิภาพและเหมาะสมกับสถานการณ์ปัจจุบัน แนวทางการกำหนดเวลาทบทวน: - **การทบทวนตามรอบเวลาที่กำหนด** องค์กรกำหนดรอบเวลาการทบทวน DPIA อย่างชัดเจน เช่น ทุก 6 เดือน หรือทุก 12 เดือน ขึ้นอยู่กับระดับความเสี่ยงและลักษณะของการประมวลผลข้อมูล โดยบันทึกไว้ในนโยบายความมั่นคงปลอดภัยข้อมูลหรือคู่มือบริหารความเสี่ยง - **การทบทวนเมื่อมีการเปลี่ยนแปลงที่สำคัญ** ทบทวนทันทีเมื่อมีการนำเทคโนโลยีใหม่เข้ามาใช้ ข้อมูลที่ประมวลผลเพิ่มขึ้นหรือเปลี่ยนประเภท เปลี่ยนผู้รับข้อมูลหรือผู้ประมวลผลภายนอก เกิดเหตุการณ์ด้านความปลอดภัย หรือเปลี่ยนแปลงกฎหมายที่เกี่ยวข้อง ผู้รับผิดชอบ: การทบทวนดำเนินการโดย DPO ร่วมกับฝ่ายบริหารความเสี่ยง พร้อมจัดทำรายงานผลทบทวนอย่างเป็นทางการ ### 2. ทะเบียนจัดการความเสี่ยงและรายงานการทบทวน ทะเบียนจัดการความเสี่ยงบันทึก: วันที่เริ่มต้นและวันที่กำหนดทบทวนครั้งต่อไป, สถานะการทบทวนล่าสุดและผลการทบทวน, หมายเหตุเกี่ยวกับการเปลี่ยนแปลงที่อาจกระทบต่อความเสี่ยง และรายชื่อผู้รับผิดชอบในการแก้ไขปรับปรุงมาตรการ รายงานการทบทวน DPIA ระบุ: วันที่และเหตุผลที่ทำการทบทวน, ผลการประเมินความเสี่ยงหลังทบทวน, มาตรการใหม่หรือการปรับปรุงที่แนะนำ และผู้รับผิดชอบดำเนินการพร้อมกำหนดเวลาติดตามผล โดยผลการทบทวนและเอกสารที่เกี่ยวข้องจะถูกบันทึกและจัดเก็บในทะเบียนจัดการความเสี่ยงเพื่อการติดตามและตรวจสอบในอนาคต ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-2.md ============================================================ โนด: แนวปฏิบัติ 9.5.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-3.md # 9.5.3 องค์กรมีขั้นตอนในการปรึกษาผู้เชี่ยวชาญ หากไม่สามารถลดความเสี่ยงที่เหลืออยู่ได้ ## สิ่งที่ต้องทำ องค์กรมีขั้นตอนในการปรึกษาผู้เชี่ยวชาญ หากไม่สามารถลดความเสี่ยงที่เหลืออยู่ได้ และมีเอกสารหลักฐานสนับสนุนครบถ้วน ## หลักฐาน 1. นโยบายกำหนดขั้นตอนในการปรึกษาผู้เชี่ยวชาญ 2. สัญญาจ้างผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. ความสำคัญของการปรึกษาผู้เชี่ยวชาญ ในกระบวนการบริหารความเสี่ยงตาม DPIA องค์กรต้องดำเนินมาตรการเพื่อลดความเสี่ยงให้เหลือน้อยที่สุด แต่ในบางกรณีความเสี่ยงที่เหลืออยู่ไม่สามารถบรรเทาได้ด้วยมาตรการภายในองค์กรเพียงอย่างเดียว การปรึกษาผู้เชี่ยวชาญภายนอกที่มีความรู้เฉพาะทางด้านคุ้มครองข้อมูลส่วนบุคคลจึงช่วยให้องค์กรประเมินความเสี่ยงและแนวทางจัดการได้อย่างถูกต้อง ลดโอกาสเกิดปัญหาทางกฎหมายหรือการละเมิดข้อมูลที่รุนแรง ### 2. เกณฑ์สถานการณ์ที่ต้องปรึกษาผู้เชี่ยวชาญ - ความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลที่มีผลกระทบรุนแรง (เช่น ข้อมูลอ่อนไหวหรือข้อมูลสุขภาพ) - มาตรการบรรเทาความเสี่ยงที่ใช้อยู่ไม่ได้ผล หรือมีข้อจำกัดทางเทคนิคและงบประมาณ - การเกิดเหตุการณ์ละเมิดข้อมูลซ้ำ ๆ หรือมีแนวโน้มสูง - มีความซับซ้อนด้านเทคนิคหรือกฎหมายที่ต้องการความเห็นจากผู้เชี่ยวชาญ - ความเสี่ยงที่มีผลต่อความเชื่อมั่นของผู้มีส่วนได้ส่วนเสียอย่างรุนแรง ### 3. ขั้นตอนการปรึกษา 1. **แจ้งเหตุและรวบรวมข้อมูล** ทีมที่รับผิดชอบทำรายงานสรุปสถานการณ์ ความเสี่ยงที่ไม่สามารถลดได้ และมาตรการที่ดำเนินการไปแล้ว 2. **เลือกผู้เชี่ยวชาญที่เหมาะสม** ผู้เชี่ยวชาญควรมีความรู้และประสบการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล กฎหมาย PDPA หรือมาตรฐานความมั่นคงปลอดภัยข้อมูล 3. **ทำสัญญาหรือข้อตกลงการให้บริการ** ระบุขอบเขตงาน การรักษาความลับข้อมูล และเงื่อนไขความรับผิดชอบ 4. **ดำเนินการปรึกษาและรับคำแนะนำ** ส่งข้อมูลและเอกสารที่เกี่ยวข้องให้ผู้เชี่ยวชาญพิจารณา พร้อมรับฟังคำแนะนำและมาตรการเสริม 5. **จัดทำรายงานผลการปรึกษา** สรุปคำแนะนำและแผนการดำเนินการ พร้อมระบุผู้รับผิดชอบและกำหนดเวลา 6. **ติดตามผลและทบทวน** ดำเนินการตามคำแนะนำและติดตามประสิทธิผล พร้อมบันทึกในทะเบียนความเสี่ยง ### 4. เอกสารหลักฐานที่ควรมี - **นโยบายกำหนดขั้นตอนในการปรึกษาผู้เชี่ยวชาญ** ระบุหลักเกณฑ์และกระบวนการตัดสินใจว่าควรปรึกษาเมื่อใด บทบาทผู้รับผิดชอบ การจัดเก็บและรักษาความลับของข้อมูล และแนวทางจัดการคำแนะนำที่ได้รับ - **สัญญาจ้างผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล** ระบุขอบเขตงาน ระยะเวลาการให้บริการ ข้อตกลงการรักษาความลับและความปลอดภัยของข้อมูล และเงื่อนไขการยกเลิกและความรับผิดชอบของแต่ละฝ่าย - **รายงานการปรึกษาและคำแนะนำ** สรุปสถานการณ์และปัญหา คำแนะนำโดยละเอียดของผู้เชี่ยวชาญ แผนการดำเนินงานและมาตรการ พร้อมการตอบรับและแผนติดตามผล หมายเหตุ: แม้กฎหมาย PDPA จะไม่ได้บังคับชัดเจนเรื่องการปรึกษาผู้เชี่ยวชาญเมื่อมีความเสี่ยงคงเหลือ แต่การมีขั้นตอนและนโยบายที่ชัดเจนถือเป็นแนวปฏิบัติที่ดีในการบริหารความเสี่ยงข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-3.md ============================================================ โนด: แนวปฏิบัติ 9.5.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-4.md # 9.5.4 องค์กรบูรณาการผลลัพธ์จาก DPIA เข้ากับแผนงาน แผนปฏิบัติการโครงการ และบันทึกความเสี่ยงที่เกี่ยวข้อง รวมถึงทะเบียนจัดการความเสี่ยง ## สิ่งที่ต้องทำ องค์กรมีการบูรณาการผลลัพธ์จาก DPIA เข้ากับแผนงาน แผนปฏิบัติการ โครงการ และบันทึกความเสี่ยงที่เกี่ยวข้อง รวมถึงทะเบียนจัดการความเสี่ยง และมีเอกสารครบถ้วน ## หลักฐาน 1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง 2. รายงานการประเมินความเสี่ยง (ฉบับเผยแพร่ที่ปรากฏรายละเอียดเกี่ยวกับการพิจารณาผลกระทบด้านข้อมูลส่วนบุคคล) ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. แนวทางและขั้นตอนการบูรณาการผลลัพธ์ DPIA ผลลัพธ์ของ DPIA จะระบุความเสี่ยงที่มีต่อสิทธิและเสรีภาพของเจ้าของข้อมูล รวมถึงมาตรการที่องค์กรต้องดำเนินการเพื่อบรรเทาความเสี่ยง การบูรณาการผลลัพธ์เหล่านี้เข้ากับแผนงานและแผนปฏิบัติการเป็นสิ่งจำเป็นเพื่อให้มาตรการถูกนำไปปฏิบัติอย่างเป็นระบบ - **การวางแผนบูรณาการผลลัพธ์** กำหนดกิจกรรมหรือมาตรการความปลอดภัยข้อมูลในแผนงานโครงการ กำหนดความรับผิดชอบและแผนการติดตามผล ระบุจุดที่ต้องทบทวน DPIA ซ้ำ และผนวกข้อกำหนดด้านคุ้มครองข้อมูลลงในขั้นตอนการพัฒนาและดำเนินงาน - **การบันทึกและติดตามความเสี่ยง** นำผลลัพธ์ของ DPIA ไปบันทึกในทะเบียนจัดการความเสี่ยง จัดทำรายงานสรุปความเสี่ยงและมาตรการ รายงานต่อผู้บริหาร และกำหนดระยะเวลาทบทวนและปรับปรุงข้อมูลในทะเบียนความเสี่ยง ตัวอย่างการบูรณาการ: หลังจากทำ DPIA สำหรับระบบสารสนเทศใหม่ ผลการประเมินที่ระบุว่าการเข้าถึงข้อมูลต้องควบคุมสิทธิ์อย่างเข้มงวด ถูกบูรณาการลงในแผนปฏิบัติการ โดยกำหนดให้ใช้ระบบยืนยันตัวตนแบบสองชั้น และบันทึกความเสี่ยงและมาตรการไว้ในทะเบียนจัดการความเสี่ยงพร้อมติดตามผลรายงานผู้บริหารเป็นระยะ ### 2. ตัวอย่างทะเบียนจัดการความเสี่ยงสำหรับ DPIA | หมายเลข | ความเสี่ยง | ผลกระทบ | ระดับความเสี่ยง | มาตรการควบคุม | ผู้รับผิดชอบ | สถานะ | |---|---|---|---|---|---|---| | RR-001 | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ความเสียหายทางชื่อเสียงและโทษปรับทางกฎหมาย | สูง | เพิ่มการตรวจสอบสิทธิ์ทุก 6 เดือน | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ | ดำเนินการแล้ว | | RR-002 | การรั่วไหลของข้อมูลผ่านช่องทางสื่อสาร | ความเสียหายต่อเจ้าของข้อมูลและองค์กร | ปานกลาง | ใช้การเข้ารหัสข้อมูลทั้งขณะพักและขณะส่ง | ฝ่ายพัฒนาโครงการ | อยู่ระหว่างดำเนินการ | ### 3. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง - รายงาน DPIA ต้องได้รับการอนุมัติจากผู้บริหารที่รับผิดชอบก่อนเผยแพร่ - การเผยแพร่ควรทำในระดับที่เหมาะสมกับเนื้อหาและความลับของข้อมูล - รายงานฉบับสมบูรณ์เก็บไว้ในระบบสารสนเทศที่มีการควบคุมการเข้าถึง - สรุปรายงานหรือข้อเสนอแนะสำคัญเผยแพร่ให้ทีมโครงการและหน่วยงานที่เกี่ยวข้อง - หากเผยแพร่ภายนอกองค์กรต้องได้รับอนุมัติจากฝ่ายกฎหมายและผู้บริหารระดับสูง หมายเหตุ: การบูรณาการผลลัพธ์ DPIA สอดคล้องกับหลักการบริหารความเสี่ยงในมาตรฐานสากล และช่วยให้องค์กรปฏิบัติตามมาตรา 37 ของ PDPA ในด้านการประเมินผลกระทบและมาตรการรักษาความมั่นคงปลอดภัย ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-4.md ============================================================ โนด: แนวปฏิบัติ 9.5.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-5.md # 9.5.5 องค์กรมีขั้นตอนในการสื่อสารผลลัพธ์ของ DPIA ไปยังผู้มีส่วนได้ส่วนเสียที่เหมาะสม เช่น ผ่านรายงานสรุปอย่างเป็นทางการ ## สิ่งที่ต้องทำ องค์กรมีขั้นตอนในการสื่อสารผลลัพธ์ของ DPIA ไปยังผู้มีส่วนได้ส่วนเสียอย่างเหมาะสม เช่น ผ่านรายงานสรุปอย่างเป็นทางการ และมีเอกสารครบถ้วน ## หลักฐาน 1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง 2. รายงานการประเมินความเสี่ยง ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. ช่องทางการสื่อสารผลลัพธ์ DPIA องค์กรจัดให้มีขั้นตอนการสื่อสารผลลัพธ์ DPIA ไปยังผู้มีส่วนได้ส่วนเสีย โดยอาจใช้ช่องทาง: - การจัดทำรายงานสรุปผล DPIA อย่างเป็นทางการ ซึ่งนำเสนอภาพรวมของการประเมินความเสี่ยงและมาตรการบรรเทา - การจัดประชุมหรือเวิร์กชอปชี้แจงผลการประเมินและมาตรการควบคุมความเสี่ยง - การส่งมอบรายงานฉบับเต็มแก่ผู้บริหารระดับสูง ฝ่ายกฎหมาย และหน่วยงานที่เกี่ยวข้อง - การจัดเก็บข้อมูลผลลัพธ์ในระบบสารสนเทศขององค์กร พร้อมกำหนดสิทธิ์การเข้าถึงตามบทบาทหน้าที่ หลักฐานที่ต้องจัดเตรียม: นโยบายการเผยแพร่รายงานที่ระบุขั้นตอน วิธีการ และความถี่ในการสื่อสาร, รายงาน DPIA ฉบับเต็มและฉบับสรุป, บันทึกการประชุมหรือเวิร์กชอป และรายชื่อผู้รับรายงานพร้อมการยืนยันการได้รับข้อมูล ### 2. ตัวอย่างรายงานสรุป DPIA สำหรับผู้บริหาร - **โครงการ:** พัฒนาระบบลงทะเบียนออนไลน์สำหรับงานสัมมนา · **วันที่รายงาน:** 1 มิถุนายน 2568 · **หน่วยงานรับผิดชอบ:** ฝ่ายเทคโนโลยีสารสนเทศ - **ข้อมูลส่วนบุคคลที่เกี่ยวข้อง:** ชื่อ-นามสกุล เพศ อายุ เบอร์โทรศัพท์ อีเมล หน่วยงาน ตำแหน่งงาน | ความเสี่ยง | ระดับความรุนแรง | ผลกระทบที่อาจเกิดขึ้น | |---|---|---| | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | สูง | การรั่วไหลของข้อมูลส่วนบุคคล กระทบความเป็นส่วนตัวและชื่อเสียงองค์กร | | การสูญหายของข้อมูล | กลาง | ข้อมูลสำคัญสูญหาย ส่งผลให้ไม่สามารถจัดงานได้ตามแผน | | การใช้ข้อมูลในทางที่ผิด | สูง | ข้อมูลถูกนำไปใช้ในทางการตลาดโดยไม่ได้รับความยินยอม | มาตรการบรรเทาความเสี่ยง: กำหนดสิทธิ์เข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้อง, เข้ารหัสข้อมูลทั้งขณะส่งและจัดเก็บ, สำรองข้อมูลทุกวัน, อบรมเจ้าหน้าที่เรื่อง PDPA และขอความยินยอมจากผู้ลงทะเบียนก่อนเก็บข้อมูล การดำเนินการถัดไป: ทบทวนมาตรการความมั่นคงปลอดภัยทุก 6 เดือน จัดประชุมชี้แจงผลการประเมินแก่ผู้บริหาร และติดตามประเมินผลการบรรเทาความเสี่ยงระหว่างดำเนินโครงการ พร้อมรายชื่อผู้รับรายงานและการลงชื่อรับทราบ ### 3. ตัวอย่างบันทึกการประชุมสื่อสารผลลัพธ์ DPIA บันทึกการประชุมระบุ: ชื่อโครงการ วันที่ประชุม ผู้จัดประชุม (DPO) และผู้เข้าร่วม, วัตถุประสงค์การประชุม (สื่อสารผลการประเมิน รับฟังข้อเสนอแนะ วางแผนติดตามผล), เนื้อหาการประชุม (สรุปผล DPIA ข้อเสนอแนะจากผู้เข้าร่วม ข้อซักถามและคำตอบ กำหนดการติดตามผล) และข้อสรุปพร้อมการลงชื่อรับรองการประชุม โดยกำหนดให้ทบทวนมาตรการและ DPIA ทุก 6 เดือนหรือเมื่อลักษณะการประมวลผลเปลี่ยนแปลง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-5.md ============================================================ โนด: แนวปฏิบัติ 9.5.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/9-5-6.md # 9.5.6 องค์กรเผยแพร่ผลการพิจารณา DPIA หากเป็นไปได้ โดยเปิดเผยตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และมีรูปแบบการเผยแพร่อย่างเหมาะสม รวมถึงมีการลบรายละเอียดที่เกี่ยวกับข้อมูลความลับทางการค้าออกหากจำเป็น ## สิ่งที่ต้องทำ องค์กรมีการเผยแพร่ผลการพิจารณา DPIA หากเป็นไปได้ โดยเปิดเผยตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รวมถึงมีการลบรายละเอียดที่เกี่ยวข้องกับข้อมูลความลับทางการค้าออกหากจำเป็น ## หลักฐาน 1. นโยบายการเผยแพร่รายงานการประเมินความเสี่ยง 2. รายงานการประเมินความเสี่ยง (ฉบับเผยแพร่ที่ปรากฏรายละเอียดเกี่ยวกับการพิจารณาผลกระทบด้านข้อมูลส่วนบุคคล) ## สภาพบังคับ ไม่มีกฎหมายบังคับ ## ตัวอย่างเอกสาร ### 1. นโยบายการเผยแพร่รายงาน DPIA - องค์กรจัดทำรายงาน DPIA สำหรับโครงการที่มีการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูง - รายงานฉบับที่เหมาะสมจะได้รับการเผยแพร่ต่อสาธารณะในรูปแบบที่เหมาะสม เช่น ผ่านเว็บไซต์องค์กร เพื่อแสดงความโปร่งใส - รายงานเผยแพร่จะถูกปรับแต่งโดยลบข้อมูลที่ถือเป็นความลับทางการค้าหรือข้อมูลที่อาจทำให้เกิดความเสียหายต่อองค์กรหรือบุคคลที่เกี่ยวข้อง - การเผยแพร่ดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และต้องได้รับความเห็นชอบจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร - องค์กรเก็บบันทึกหลักฐานการเผยแพร่ รวมถึงวันเวลาและช่องทางการเผยแพร่ ขั้นตอนการเผยแพร่: จัดทำรายงานฉบับเผยแพร่โดยคัดกรองข้อมูลความลับทางการค้าออก ขออนุมัติจากคณะกรรมการคุ้มครองข้อมูล เผยแพร่ผ่านช่องทางที่เหมาะสม จัดเก็บหลักฐานการเผยแพร่ และติดตามทบทวนเป็นระยะเพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายและนโยบาย ### 2. ตัวอย่างรายงานการประเมินความเสี่ยง (ฉบับเผยแพร่) รายงาน DPIA โครงการพัฒนาระบบลงทะเบียนออนไลน์ ฉบับเผยแพร่ ได้คัดกรองข้อมูลที่เกี่ยวข้องกับความลับทางการค้าและข้อมูลที่อาจละเมิดสิทธิของบุคคลออก เพื่อความโปร่งใส - **ขอบเขตและข้อมูลที่ประมวลผล:** ระบบรับข้อมูลผู้ลงทะเบียนเพื่อจัดกิจกรรมองค์กร โดยเก็บชื่อ-นามสกุล เลขบัตรประชาชน เบอร์โทรศัพท์ ที่อยู่อีเมล และข้อมูลสุขภาพบางส่วน | ความเสี่ยง | ผลกระทบ | ระดับความเสี่ยง | มาตรการบรรเทา | |---|---|---|---| | การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต | ข้อมูลรั่วไหลหรือสูญหาย | สูง | ใช้การเข้ารหัสข้อมูลและระบบควบคุมสิทธิ์เข้าถึง | | การละเมิดความเป็นส่วนตัวของเจ้าของข้อมูล | สูญเสียความเชื่อมั่น | ปานกลาง | ให้ความรู้พนักงานและมีนโยบายความเป็นส่วนตัวที่ชัดเจน | | การโจมตีทางไซเบอร์ | ข้อมูลถูกทำลายหรือแก้ไข | ปานกลาง | มีระบบไฟร์วอลล์และการตรวจสอบช่องโหว่เป็นประจำ | - **มาตรการบรรเทาผลกระทบ:** การเข้ารหัสข้อมูลทั้งขณะเก็บและส่งผ่าน, การกำหนดระดับการเข้าถึงตามหน้าที่, การอบรมพนักงาน, การจัดทำแผนรับมือเหตุการณ์ข้อมูลรั่วไหล และการตรวจสอบระบบความปลอดภัยอย่างสม่ำเสมอ - **การเปิดเผยข้อมูลในรายงาน:** ลบหรือปกปิดข้อมูลความลับทางการค้าและข้อมูลที่อาจส่งผลเสียต่อองค์กร เช่น รายละเอียดทางเทคนิคของระบบรักษาความปลอดภัยและการตั้งค่าเซิร์ฟเวอร์ - **ช่องทางการเผยแพร่:** เผยแพร่ผ่านหน้าสิทธิและความเป็นส่วนตัวของเว็บไซต์องค์กร ดาวน์โหลดได้ในรูปแบบไฟล์ PDF และอัปเดตทุกปีหรือเมื่อมีการเปลี่ยนแปลงสำคัญ พร้อมบันทึกวันที่เผยแพร่และช่องทาง เพื่อใช้ในการตรวจสอบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/9-5-6.md ============================================================ โนด: แนวปฏิบัติ 10.1.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-1.md # 10.1.1 มีระบบ ตู้ บริเวณ หรือพื้นที่สำหรับจัดเก็บรายการข้อมูลต่าง ๆ และมีการจัดทำบัญชีทรัพย์สินสารสนเทศสำหรับใช้ในการจัดเก็บรายการข้อมูลเหล่านั้น ## สิ่งที่ต้องทำ องค์กรต้องจัดให้มีระบบ ตู้ บริเวณ หรือพื้นที่สำหรับจัดเก็บรายการข้อมูลต่าง ๆ อย่างเป็นสัดส่วนและมีการควบคุมการเข้าถึงที่เหมาะสม และต้องจัดทำบัญชีทรัพย์สินสารสนเทศเพื่อใช้ในการจัดเก็บและกำกับดูแลรายการข้อมูลเหล่านั้นอย่างเป็นระบบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ 2. บัญชีทรัพย์สินสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการควบคุมการเข้าถึงพื้นที่และระบบจัดเก็บข้อมูล กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ - **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568 **1. วัตถุประสงค์** เพื่อกำหนดแนวทางในการจัดทำบัญชีทรัพย์สินสารสนเทศขององค์กรอย่างเป็นระบบและปลอดภัย สอดคล้องกับมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 **2. ขอบเขต** นโยบายฉบับนี้ครอบคลุมข้อมูลส่วนบุคคลที่เก็บในรูปแบบเอกสารหรือดิจิทัลทุกประเภทที่อยู่ภายใต้การควบคุมขององค์กร รวมถึงระบบจัดเก็บและเจ้าหน้าที่ที่มีหน้าที่ดูแลข้อมูล **3. นโยบาย** *3.1 การกำหนดพื้นที่และวิธีจัดเก็บ* - จัดให้มีพื้นที่จัดเก็บข้อมูลอย่างเป็นสัดส่วน เช่น ห้องเก็บเอกสาร ตู้ล็อกเกอร์ ตู้เหล็กที่มีการล็อก และระบบจัดเก็บข้อมูลอิเล็กทรอนิกส์ (เช่น ระบบ Cloud ที่มีการเข้ารหัส) - พื้นที่จัดเก็บต้องมีระบบควบคุมการเข้าถึงอย่างเหมาะสม เช่น การใช้กุญแจ การใช้บัตรผ่าน หรือรหัสผ่าน *3.2 การจัดทำบัญชีทรัพย์สินสารสนเทศ* หน่วยงานที่รับผิดชอบข้อมูลต้องจัดทำบัญชีทรัพย์สินสารสนเทศ ระบุรายละเอียดประกอบด้วย - ประเภทของข้อมูล - ที่ตั้งหรือระบบที่จัดเก็บ - เจ้าของข้อมูล - ความสำคัญหรือระดับความลับ - รูปแบบการเข้าถึง บัญชีทรัพย์สินนี้ต้องได้รับการทบทวนและปรับปรุงอย่างน้อยปีละ 1 ครั้ง *3.3 ผู้รับผิดชอบ* - เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กำกับดูแลการจัดทำบัญชีทรัพย์สินและความปลอดภัยของสถานที่จัดเก็บ - ผู้บริหารหน่วยงานรับรองความถูกต้องของบัญชีที่จัดทำขึ้น **4. การควบคุมและตรวจสอบ** มีการตรวจสอบการเข้าถึงพื้นที่จัดเก็บข้อมูลอย่างสม่ำเสมอ การละเลยหรือไม่ปฏิบัติตามนโยบายนี้อาจนำไปสู่บทลงโทษทางวินัย และอาจถูกพิจารณาโทษทางปกครองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ### ตัวอย่างบัญชีทรัพย์สินสารสนเทศ - **ชื่อหน่วยงาน:** กองเทคโนโลยีสารสนเทศ - **วันที่จัดทำ:** 1 เมษายน พ.ศ. 2568 | ลำดับ | ประเภทข้อมูล | ระบบหรือพื้นที่จัดเก็บ | เจ้าของข้อมูล | ระดับความลับ | วิธีเข้าถึงข้อมูล | |------|------------|----------------------|--------------|------------|----------------| | 1 | ข้อมูลพนักงาน | ระบบบุคลากรออนไลน์ | ผู้อำนวยการกองบุคคล | ลับมาก | ชื่อผู้ใช้ + รหัสผ่าน (การยืนยันตัวตนสองชั้น) | | 2 | ข้อมูลลูกค้า | ห้องเก็บแฟ้ม ชั้น 4 | ผู้อำนวยการฝ่ายขาย | ลับ | ตู้ล็อก มีรายชื่อผู้รับผิดชอบ | | 3 | แบบฟอร์มคำขอ | ระบบเอกสารกลาง | สำนักงานเลขานุการ | ปกติ | เข้าสู่ระบบด้วยอีเมลองค์กร | | 4 | ข้อมูลสุขภาพผู้รับบริการ | ระบบเวชระเบียนบนคลาวด์ | ผู้อำนวยการฝ่ายบริการทางการแพทย์ | ลับมาก | เข้าสู่ระบบ + รหัสผ่านครั้งเดียว ผ่านช่องทางเครือข่ายเข้ารหัส และมีการเข้ารหัสข้อมูล | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-1.md ============================================================ โนด: แนวปฏิบัติ 10.1.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-2.md # 10.1.2 มีการเฝ้าระวังและคอยตรวจสอบข้อมูลที่เข้าออกจากระบบ ข้อมูลที่ขาดหาย หรือข้อมูลที่ไม่ถูกส่งกลับคืนมา ## สิ่งที่ต้องทำ องค์กรต้องมีการเฝ้าระวังและคอยตรวจสอบข้อมูลที่เข้าออกจากระบบ ตลอดจนข้อมูลที่ขาดหายหรือข้อมูลที่ไม่ถูกส่งกลับคืนมา โดยมีเอกสารสนับสนุน เช่น นโยบาย บัญชีทรัพย์สินสารสนเทศ และรายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล 2. บัญชีทรัพย์สินสารสนเทศ 3. รายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึง การเฝ้าระวัง การตรวจสอบ และการบันทึกการเข้าถึงและการใช้ข้อมูลส่วนบุคคล กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล - **ชื่อองค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการเฝ้าระวังและตรวจสอบข้อมูลส่วนบุคคล - **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568 **1. วัตถุประสงค์** เพื่อกำหนดแนวทางการเฝ้าระวัง ตรวจสอบ และติดตามข้อมูลที่เข้าออกจากระบบ รวมถึงการตรวจสอบเหตุการณ์ผิดปกติ เช่น ข้อมูลที่หายหรือไม่ถูกส่งกลับคืนมา อันเป็นการป้องกันความเสี่ยงที่อาจเกิดขึ้นกับข้อมูลส่วนบุคคลที่องค์กรรับผิดชอบ **2. ขอบเขต** นโยบายนี้ใช้กับข้อมูลส่วนบุคคลทั้งหมดที่องค์กรควบคุม ไม่ว่าจะจัดเก็บในรูปแบบเอกสารหรือระบบดิจิทัล ทั้งภายในและภายนอกองค์กร **3. นโยบายและแนวปฏิบัติ** *3.1 การเฝ้าระวังข้อมูลที่เข้าและออกจากระบบ* - ติดตั้งระบบไฟร์วอลล์ ระบบตรวจจับและป้องกันการบุกรุก และระบบป้องกันข้อมูลรั่วไหล เพื่อตรวจสอบและควบคุมข้อมูลที่เข้าและออก - ระบบจัดทำบันทึกการใช้งานทุกกิจกรรม เช่น การดาวน์โหลด การส่งออก และการอัปโหลดข้อมูล ผ่านระบบบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ *3.2 การตรวจสอบข้อมูลที่ขาดหายหรือไม่ถูกส่งคืน* - เจ้าหน้าที่ผู้รับผิดชอบแต่ละหน่วยงานต้องจัดทำรายงานตรวจสอบความครบถ้วนของข้อมูล - หากพบความผิดปกติ ต้องรายงานให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ภายใน 24 ชั่วโมง และดำเนินการแก้ไขภายใน 3 วันทำการ *3.3 การบันทึกและรายงาน* - ทุกการตรวจสอบต้องมีบันทึกร่องรอยการตรวจสอบ - รายงานการประมวลผลข้อมูลต้องส่งให้คณะกรรมการ DPO อย่างน้อยไตรมาสละ 1 ครั้ง **4. การบังคับใช้และความรับผิดชอบ** - DPO เป็นผู้รับผิดชอบหลักในการกำกับดูแล ตรวจสอบ และรายงาน - การละเมิดนโยบายนี้อาจถูกลงโทษทางวินัย และอาจมีความผิดทางปกครองตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ### บัญชีทรัพย์สินสารสนเทศ (ฉบับเน้นระบบเฝ้าระวัง) | ลำดับ | ระบบ/ทรัพย์สินสารสนเทศ | ข้อมูลที่จัดเก็บ | ระบบเฝ้าระวังข้อมูลเข้าออก | เจ้าของข้อมูล | หมายเหตุ | |------|----------------------|----------------|--------------------------|--------------|----------| | 1 | ระบบบุคลากรบนคลาวด์ | ข้อมูลพนักงาน | ระบบป้องกันข้อมูลรั่วไหล ไฟร์วอลล์ และบันทึกการเข้าถึง | ผู้อำนวยการกองบุคคล | มีรายงานการตรวจสอบรายเดือน | | 2 | ระบบเวชระเบียน | ข้อมูลสุขภาพผู้ป่วย | ระบบบริหารเหตุการณ์ความมั่นคงปลอดภัย และระบบป้องกันการบุกรุก | ผู้อำนวยการฝ่ายการแพทย์ | ระบบแจ้งเตือนอัตโนมัติ | | 3 | ระบบสารบรรณกลาง | หนังสือราชการ | บันทึกร่องรอยการตรวจสอบ และการเชื่อมต่อผ่านเครือข่ายเข้ารหัส | สำนักงานเลขานุการ | เข้าระบบด้วยการยืนยันตัวตนสองชั้น | ### ตัวอย่างรายงานการตรวจสอบการประมวลผลข้อมูลส่วนบุคคล - **ชื่อรายงาน:** รายงานการตรวจสอบข้อมูลที่เข้าออกระบบ และการติดตามข้อมูลที่ขาดหาย - **หน่วยงาน:** ฝ่ายเทคโนโลยีสารสนเทศ - **ช่วงเวลา:** 1 – 31 มีนาคม 2568 | วันที่ | ระบบที่ตรวจสอบ | เหตุการณ์ผิดปกติ | วิธีการตรวจสอบ | ผลการดำเนินการ | |-------|---------------|------------------|----------------|----------------| | 5 มี.ค. | ระบบสารบรรณกลาง | พบบันทึกการใช้งานผิดปกติ: ดาวน์โหลดแฟ้มขนาดใหญ่ เวลา 03.00 น. | ตรวจสอบบันทึกการใช้งาน / ยืนยันกับผู้ใช้ | เป็นเจ้าหน้าที่ไอทีทำงานล่วงเวลา มีเอกสารยืนยัน | | 12 มี.ค. | ระบบเวชระเบียน | ข้อมูลไม่ถูกซิงค์กลับจากคลินิกภายนอก | ตรวจสอบเครือข่ายเข้ารหัสและการเชื่อมต่อระบบ | ระบบล่มชั่วคราว แก้ไขแล้วและส่งข้อมูลคืนสำเร็จ | | 25 มี.ค. | — | พบบันทึกของหมายเลขเครือข่ายแปลกปลอมจากภายนอกพยายามเข้าระบบ | ไฟร์วอลล์และระบบบริหารเหตุการณ์ความมั่นคงปลอดภัยแจ้งเตือน | บล็อกหมายเลขเครือข่ายและเพิ่มรายชื่ออนุญาตใหม่ | - **ผู้จัดทำรายงาน:** นายณัฐพล อินทรสุข (เจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ) - **รับรองโดย:** นางสาวกัญญ์ชลา สุวรรณกิจ (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-2.md ============================================================ โนด: แนวปฏิบัติ 10.1.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-3.md # 10.1.3 องค์กรมีนโยบายและแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลต่าง ๆ เพื่อสนับสนุนการบริหารข้อมูล การค้นหาข้อมูล และการทำลายข้อมูล ## สิ่งที่ต้องทำ องค์กรต้องมีนโยบายหรือแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลต่าง ๆ เพื่อสนับสนุนการบริหารข้อมูล การค้นหาข้อมูล และการทำลายข้อมูล พร้อมจัดทำเอกสารสนับสนุน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายและแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคล 2. คู่มือการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล 3. ทะเบียนการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึง การกำหนดหมวดหมู่ และการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายและแนวปฏิบัติในการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล - **ชื่อเอกสาร:** นโยบายและแนวปฏิบัติในการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล - **ประกาศโดย:** [ชื่อองค์กร] - **ประกาศ ณ วันที่:** 1 เมษายน พ.ศ. 2568 **1. วัตถุประสงค์** เพื่อกำหนดหลักเกณฑ์ในการจัดเก็บ แยกหมวดหมู่ และจัดทำดัชนีของรายการข้อมูลส่วนบุคคลอย่างเป็นระบบ เพื่อสนับสนุนการบริหารจัดการข้อมูลที่มีประสิทธิภาพ และสอดคล้องกับหลักการคุ้มครองข้อมูลส่วนบุคคล **2. ขอบเขต** นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลที่จัดเก็บในระบบสารสนเทศ และเอกสารที่เป็นรูปแบบกระดาษภายในองค์กรทุกหน่วยงาน **3. แนวปฏิบัติ** *3.1 การจัดเก็บข้อมูล* - ข้อมูลส่วนบุคคลต้องจัดเก็บในพื้นที่ที่กำหนด มีระบบควบคุมการเข้าถึง - สำหรับเอกสารกระดาษ ให้จัดเก็บในตู้ที่มีการล็อกและบันทึกผู้เข้าถึง *3.2 การแยกหมวดหมู่* ข้อมูลต้องถูกแยกหมวดหมู่ตามประเภท เช่น - ข้อมูลบุคคลภายในองค์กร (เช่น ข้อมูลพนักงาน) - ข้อมูลจากบุคคลภายนอก (เช่น ลูกค้า ผู้รับบริการ) - [ข้อมูลอ่อนไหว](https://link.pdpalawbase.com/concept/sensitive-data.md) ใช้ระบบรหัสหมวดหมู่ เช่น EMP-001, CUS-001, SENS-001 *3.3 การทำดัชนี* ทุกรายการข้อมูลต้องมีรหัสประจำรายการและดัชนีค้นหาในระบบหรือในสมุดทะเบียน ระบบสารสนเทศต้องมีระบบค้นหาที่สามารถเข้าถึงข้อมูลตามรหัสหมวดหมู่ได้อย่างรวดเร็ว *3.4 การบริหารจัดการข้อมูลเพื่อการค้นหาและทำลาย* - ต้องมีคู่มือการค้นหาและจัดการข้อมูล เพื่อรองรับการใช้สิทธิของเจ้าของข้อมูล - ข้อมูลที่หมดอายุการจัดเก็บต้องดำเนินการลบหรือทำลายตามขั้นตอนที่กำหนด **4. ความรับผิดชอบ** - เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เป็นผู้ควบคุมการใช้ดัชนีและกำกับการจัดหมวดหมู่ข้อมูล - เจ้าหน้าที่สารสนเทศประจำหน่วยงานรับผิดชอบการจัดทำทะเบียนประมวลผลข้อมูลส่วนบุคคลให้ทันสมัย ### คู่มือการจัดเก็บ แยกหมวดหมู่ และทำดัชนีข้อมูลส่วนบุคคล - **ประกาศโดย:** งานบริหารจัดการข้อมูล / สำนักงาน DPO **โครงสร้างคู่มือ** บทที่ 1: นิยามที่เกี่ยวข้อง - ข้อมูลส่วนบุคคล / หมวดหมู่ข้อมูล / ดัชนี - ข้อมูลที่ต้องควบคุมเป็นพิเศษ บทที่ 2: แนวทางปฏิบัติ - *2.1 ขั้นตอนการจัดเก็บ* — ระบุประเภทของสื่อที่ใช้ (ดิจิทัล/กระดาษ) และมาตรการการควบคุมการเข้าถึง - *2.2 การแยกหมวดหมู่* — การจำแนกตามวัตถุประสงค์ การกำหนดชื่อหมวดและรหัสเฉพาะ - *2.3 การสร้างดัชนี* — ตัวอย่างการจัดทำดัชนีดังตาราง - *2.4 การทำลายข้อมูล* — ขั้นตอนการยืนยันสิ้นสุดการใช้ แบบฟอร์มขอลบข้อมูล และบันทึกการทำลายข้อมูล ตัวอย่างการจัดทำดัชนี | รหัส | ชื่อข้อมูล | ประเภท | เจ้าของ | วันที่เก็บ | สถานที่จัดเก็บ | |------|----------|--------|---------|-----------|---------------| | EMP001 | ข้อมูลพนักงาน | บุคคลภายใน | แผนกบุคคล | 1 ม.ค. 2567 | เครื่องแม่ข่ายระบบบุคลากร | ### ตัวอย่างทะเบียนการประมวลผลข้อมูลส่วนบุคคล | ลำดับ | หมวดหมู่ข้อมูล | วัตถุประสงค์ | ระบบที่ใช้จัดเก็บ | เจ้าของข้อมูล | ระยะเวลาเก็บรักษา | |------|---------------|------------|------------------|--------------|------------------| | 1 | ข้อมูลพนักงาน | บริหารงานบุคคล | ระบบบุคลากรบนคลาวด์ | พนักงาน | 10 ปี | | 2 | ข้อมูลลูกค้า | การให้บริการ | ระบบบริหารลูกค้าสัมพันธ์ | ผู้รับบริการ | 5 ปี | | 3 | ข้อมูลอ่อนไหว | ประกันสุขภาพ | ระบบเวชระเบียน | พนักงาน/ผู้ป่วย | ตามข้อกฎหมาย | - **ผู้รับผิดชอบ:** นายวรวิทย์ บุญธรรม (เจ้าหน้าที่คุ้มครองข้อมูล) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-3.md ============================================================ โนด: แนวปฏิบัติ 10.1.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-1-4.md # 10.1.4 มีการจัดทำดัชนีสำหรับรายการข้อมูลที่จัดเก็บไว้นอกสถานที่ เพื่อให้สามารถเข้าถึงและติดตามข้อมูลได้อย่างถูกต้อง ## สิ่งที่ต้องทำ องค์กรต้องจัดทำดัชนีสำหรับรายการข้อมูลที่จัดเก็บไว้นอกสถานที่ เพื่อให้สามารถเข้าถึงและติดตามข้อมูลได้อย่างถูกต้อง พร้อมจัดทำเอกสารให้ครบถ้วน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่ 2. ดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงและการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ รวมถึงข้อมูลที่จัดเก็บนอกสถานที่ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่ - **ชื่อเอกสาร:** นโยบายการจัดทำดัชนีข้อมูลส่วนบุคคลที่จัดเก็บนอกสถานที่ - **ประกาศโดย:** [ชื่อองค์กร] - **ประกาศ ณ วันที่:** [ระบุวันที่] **1. วัตถุประสงค์** เพื่อกำหนดแนวทางในการติดตาม ควบคุม และค้นหาข้อมูลส่วนบุคคลที่มีการจัดเก็บไว้นอกสถานที่อย่างมีประสิทธิภาพ และสอดคล้องกับข้อกำหนดของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล **2. ขอบเขต** นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลทุกรูปแบบที่มีการจัดเก็บในสถานที่ที่อยู่นอกสำนักงานหลักขององค์กร เช่น - พื้นที่จัดเก็บเอกสารสำรอง - ศูนย์ข้อมูลภายนอกหรือผู้ให้บริการคลาวด์ - ระบบที่อยู่ในความดูแลของผู้ประมวลผลข้อมูล **3. นิยาม** - *ข้อมูลนอกสถานที่* หมายถึง ข้อมูลส่วนบุคคลที่มิได้จัดเก็บในระบบหลักขององค์กร แต่ยังอยู่ภายใต้ความรับผิดชอบของผู้ควบคุมข้อมูล - *ดัชนี* หมายถึง การระบุรายละเอียดข้อมูลที่จัดเก็บไว้แต่ละรายการอย่างมีระบบ เพื่อให้สามารถเข้าถึงและติดตามได้ **4. แนวปฏิบัติ** *4.1 การกำหนดดัชนี* ต้องจัดทำทะเบียนดัชนีสำหรับข้อมูลทุกชุดที่จัดเก็บนอกสถานที่ โดยรายละเอียดในดัชนีประกอบด้วย - รหัสข้อมูล - ชื่อข้อมูล - ประเภทข้อมูล - ผู้รับผิดชอบ - สถานที่จัดเก็บ (เช่น คลาวด์ สาขา ศูนย์จัดเก็บ) - วันที่จัดเก็บ / วันที่สิ้นสุด - สถานะการเข้าถึง - ความถี่ในการสำรองข้อมูล *4.2 การตรวจสอบ* เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือเจ้าหน้าที่ข้อมูลต้องตรวจสอบรายการดัชนีอย่างน้อยปีละ 1 ครั้ง *4.3 การรายงาน* ต้องจัดทำรายงานการติดตามข้อมูลนอกสถานที่เสนอผู้บริหารอย่างน้อยทุก 6 เดือน ### ตัวอย่างดัชนีข้อมูลส่วนบุคคลที่จัดเก็บไว้นอกสถานที่ | รหัสข้อมูล | ชื่อข้อมูล | ประเภท | สถานที่จัดเก็บ | ผู้รับผิดชอบ | วันที่จัดเก็บ | วันที่หมดอายุ | หมายเหตุ | |-----------|----------|--------|---------------|--------------|--------------|--------------|----------| | EXT001 | ข้อมูลผู้ป่วยย้อนหลัง 10 ปี | ข้อมูลอ่อนไหว | ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์ | ฝ่ายเทคโนโลยีสารสนเทศ โรงพยาบาล | 01/01/2566 | 01/01/2576 | สัญญาจัดเก็บระยะยาว | | EXT002 | สำเนาบัตรประชาชนผู้สมัครงาน | ข้อมูลส่วนบุคคล | สาขาพัทยา – ตู้เก็บเอกสาร | ฝ่ายบุคคลสาขา | 15/03/2567 | 15/03/2570 | ต้องลบทันทีหลังหมดอายุ | | EXT003 | ข้อมูลแบบสอบถามลูกค้า | ข้อมูลส่วนบุคคล | ศูนย์ข้อมูลจังหวัดชลบุรี | ฝ่ายการตลาด | 01/08/2566 | 01/08/2569 | จัดเก็บพร้อมระบบสำรอง | | EXT004 | ข้อมูลรายชื่อผู้บริจาค | ข้อมูลส่วนบุคคล | ศูนย์รับบริจาคสาขาเชียงใหม่ | แผนกกิจกรรมเพื่อสังคม | 01/10/2565 | 01/10/2568 | - | **ข้อแนะนำเพิ่มเติม** - ควรกำหนดเจ้าหน้าที่ประจำท้องถิ่นในแต่ละสาขาเป็น "ผู้ควบคุมดัชนี" เพื่อความพร้อมในการตรวจสอบข้อมูลจริง - กำหนดรหัสข้อมูลไม่ซ้ำกันเพื่อการอ้างอิงที่ง่าย **เอกสารแนบอื่น ๆ ที่แนะนำ** - บันทึกส่งมอบ/บันทึกการจัดเก็บข้อมูลนอกสถานที่ - รายงานการตรวจสอบข้อมูลที่จัดเก็บนอกสถานที่ - สัญญาหรือข้อตกลงการให้บริการกับผู้ให้บริการจัดเก็บข้อมูล (ถ้ามี) ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-1-4.md ============================================================ โนด: แนวปฏิบัติ 10.2.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-2-2.md # 10.2.2 มีมาตรการในการทำให้การส่งหรือโอนข้อมูลนั้นมีความมั่นคงปลอดภัย รวมทั้งมีมาตรการลดการส่งหรือโอนข้อมูลออกไปยังภายนอกองค์กร ## สิ่งที่ต้องทำ องค์กรต้องมีมาตรการในการทำให้การส่งหรือโอนข้อมูลมีความมั่นคงปลอดภัย รวมทั้งมีมาตรการลดการส่งหรือโอนข้อมูลออกไปยังภายนอกองค์กร เพื่อจำกัดความเสี่ยงที่อาจเกิดขึ้นกับข้อมูลส่วนบุคคลในระหว่างการส่งหรือโอน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร 2. นโยบายการรักษาความมั่นคงปลอดภัยของการส่งหรือโอนข้อมูลส่วนบุคคล 3. บันทึกการส่งหรือโอนข้อมูลส่วนบุคคล 4. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล 5. ข้อตกลงการส่งหรือโอนข้อมูลส่วนบุคคล 6. บันทึกข้อตกลงรักษาความลับ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งรวมถึงความมั่นคงปลอดภัยในระหว่างการส่งหรือโอนข้อมูล ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงและการจัดการข้อมูลส่วนบุคคลอย่างเป็นระบบ รวมถึงการส่งหรือโอนข้อมูล ## ตัวอย่างเอกสาร ### นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร - **ชื่อเอกสาร:** นโยบายการลดการส่งหรือโอนข้อมูลส่วนบุคคลออกไปยังภายนอกองค์กร - **ประกาศโดย:** [ชื่อองค์กร] แนวทางหลักของนโยบาย - กำหนดหลักการส่งหรือโอนข้อมูลส่วนบุคคลออกภายนอกเท่าที่จำเป็นต่อวัตถุประสงค์เท่านั้น - ทบทวนความจำเป็นของการส่งหรือโอนข้อมูลก่อนดำเนินการทุกครั้ง และเลือกใช้ข้อมูลที่จำเป็นน้อยที่สุด - ส่งเสริมการประมวลผลข้อมูลภายในองค์กรแทนการส่งออกไปยังภายนอกเมื่อทำได้ ### นโยบายการรักษาความมั่นคงปลอดภัยของการส่งหรือโอนข้อมูลส่วนบุคคล - กำหนดให้การส่งหรือโอนข้อมูลต้องผ่านช่องทางที่มีการเข้ารหัสและควบคุมการเข้าถึง - กำหนดวิธีการยืนยันตัวตนของผู้รับข้อมูลก่อนการส่งหรือโอน - กำหนดให้จัดทำบันทึกการส่งหรือโอนข้อมูลทุกครั้งเพื่อการตรวจสอบย้อนหลัง ### บันทึกการส่งหรือโอนข้อมูลส่วนบุคคล | รายการ | รายละเอียดที่ต้องบันทึก | |--------|------------------------| | วันที่ส่ง/โอน | [ระบุวันที่] | | ประเภทข้อมูลที่ส่ง/โอน | [ระบุประเภทข้อมูล] | | ผู้ส่ง / ผู้รับ | [ระบุชื่อหน่วยงานหรือผู้รับผิดชอบ] | | วัตถุประสงค์ | [ระบุวัตถุประสงค์] | | ช่องทาง/วิธีการส่ง | [ระบุช่องทางที่มีการเข้ารหัส] | ### ข้อตกลงที่เกี่ยวข้อง - **ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล** — จัดทำกับผู้ประมวลผลข้อมูลภายนอกที่รับข้อมูลไปประมวลผลแทนองค์กร - **ข้อตกลงการส่งหรือโอนข้อมูลส่วนบุคคล** — กำหนดสิทธิ หน้าที่ และมาตรการรักษาความปลอดภัยระหว่างผู้ส่งและผู้รับข้อมูล - **บันทึกข้อตกลงรักษาความลับ** — ลงนามโดยผู้ที่เกี่ยวข้องกับการส่งหรือโอนข้อมูล เพื่อผูกพันให้รักษาความลับของข้อมูลส่วนบุคคล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-2-2.md ============================================================ โนด: แนวปฏิบัติ 10.5.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-1.md # 10.5.1 สำหรับเอกสารที่เป็นกระดาษ มีการใช้ถังขยะที่ล็อกได้เพื่อจัดเก็บข้อมูลส่วนบุคคลไว้ และใช้การย่อยเป็นชิ้นเล็ก ๆ ในการทำลายกระดาษ หรือใช้การเผาทิ้ง ## สิ่งที่ต้องทำ สำหรับเอกสารที่เป็นกระดาษ องค์กรต้องจัดให้มีถังขยะที่ล็อกได้เพื่อใช้จัดเก็บเอกสารที่มีข้อมูลส่วนบุคคลซึ่งรอการทำลาย และต้องทำลายเอกสารกระดาษด้วยการย่อยเป็นชิ้นเล็ก ๆ หรือใช้การเผาทิ้ง โดยวิธีการที่ทำให้ข้อมูลไม่สามารถนำกลับมาใช้ใหม่หรือระบุตัวเจ้าของข้อมูลได้อีก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงหน้าที่ในการลบหรือทำลายข้อมูลที่เป็นเอกสารกระดาษอย่างมั่นคงปลอดภัย ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### แนวนโยบายและแนวปฏิบัติในการลบหรือทำลายข้อมูลส่วนบุคคลที่เป็นเอกสารกระดาษ **1. วัตถุประสงค์** เพื่อกำหนดแนวนโยบายและแนวปฏิบัติที่ชัดเจนเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคลในรูปแบบเอกสารกระดาษอย่างปลอดภัย มีประสิทธิภาพ และเป็นมิตรกับสิ่งแวดล้อม ตลอดจนป้องกันการเข้าถึงหรือเปิดเผยข้อมูลโดยมิชอบ ซึ่งอาจก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลหรือองค์กร **2. ขอบเขตการบังคับใช้** ใช้บังคับกับบุคลากรทุกระดับใน[ชื่อองค์กร]ที่เกี่ยวข้องกับการจัดเก็บ ใช้งาน หรือทำลายเอกสารที่มีข้อมูลส่วนบุคคลไม่ว่าโดยตรงหรือโดยอ้อม **3. นิยามคำศัพท์ที่เกี่ยวข้อง** - **ข้อมูลส่วนบุคคล** หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าโดยทางตรงหรือทางอ้อม - **การทำลายเอกสาร** หมายถึง การดำเนินการใด ๆ ที่ทำให้ข้อมูลไม่สามารถนำกลับมาใช้ใหม่หรือไม่สามารถระบุตัวเจ้าของข้อมูลได้อีกต่อไป - **เจ้าหน้าที่ผู้รับผิดชอบ** หมายถึง พนักงานที่ได้รับมอบหมายในการดำเนินการทำลายข้อมูลและจัดเก็บหลักฐานการดำเนินการ **4. ขั้นตอนการทำลายข้อมูลส่วนบุคคลในรูปแบบกระดาษ** - เอกสารที่มีข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องใช้งานอีก ต้องแยกออกจากเอกสารทั่วไป และจัดเก็บไว้ในภาชนะเฉพาะ เช่น ถังขยะที่ล็อกได้ หรือกล่องที่มีระบบปิดผนึก - ก่อนทำลายเอกสาร ให้ผู้รับผิดชอบตรวจสอบและบันทึกรายการที่เตรียมจะทำลาย โดยระบุรายละเอียดที่จำเป็น เช่น วันที่ ชื่อผู้อนุมัติ - การทำลายเอกสารสามารถดำเนินการได้ด้วยวิธีใดวิธีหนึ่ง ดังนี้ - การใช้เครื่องทำลายเอกสารแบบละเอียด ซึ่งสามารถย่อยเอกสารให้เป็นเส้นขนาดไม่เกิน 5 มิลลิเมตร และไม่สามารถนำกลับมาประกอบใหม่ได้ - การส่งต่อเอกสารไปยังผู้ให้บริการกำจัดเอกสารแบบปลอดภัย ซึ่งมีระบบควบคุมการทำลายตามมาตรฐาน ISO/IEC 21964 และมีใบรับรองการทำลาย - ห้ามทำลายเอกสารด้วยการเผา เว้นแต่มีระบบควบคุมที่ได้รับอนุญาตจากหน่วยงานสิ่งแวดล้อม - หลังการทำลาย ให้เจ้าหน้าที่จัดทำรายงานผลการทำลาย พร้อมลงนามรับรองโดยผู้ดำเนินการและผู้ตรวจสอบ **5. ตารางบันทึกการทำลายเอกสารที่มีข้อมูลส่วนบุคคล** | ลำดับ | วันที่ทำลาย | รายละเอียดเอกสาร | จำนวนหน้า | วิธีการทำลาย | ผู้ดำเนินการ | ผู้ตรวจสอบ | หมายเหตุ | |------|-----------|----------------|----------|------------|------------|----------|---------| | 1 | 5 มิ.ย. 2568 | ใบสมัครงาน ปี 2562 | 120 หน้า | เครื่องย่อยละเอียด | นายสมชาย ใจดี | นางสาวรัตนา มีสุข | ทำลายสำเร็จ | | 2 | 2 มิ.ย. 2568 | แบบฟอร์มลูกค้าเก่า | 200 หน้า | บริการกำจัดจากบริษัทภายนอก | น.ส.กัญญา สายชล | นายวิทยา ตรงธรรม | แนบใบรับรองแล้ว | **6. การอบรมและควบคุมภายใน** - องค์กรจะจัดการอบรมอย่างน้อยปีละ 1 ครั้ง เกี่ยวกับการจัดการเอกสารที่มีข้อมูลส่วนบุคคล และวิธีการทำลายข้อมูลอย่างถูกต้อง - ฝ่ายตรวจสอบภายในจะสุ่มตรวจการดำเนินการทำลายข้อมูลทุกไตรมาส และรายงานต่อผู้บริหารระดับสูง **7. อ้างอิงกฎหมายและประกาศที่เกี่ยวข้อง** - พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) และ (3) - ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) - ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9 **8. บทกำหนดโทษกรณีไม่ปฏิบัติตาม** ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามมาตรา 37 อาจถูกลงโทษทางปกครองด้วยการปรับไม่เกิน 3,000,000 บาท **9. ผู้รับผิดชอบในการดำเนินการ** เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือผู้ที่ได้รับมอบหมายโดยผู้ควบคุมข้อมูล ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-1.md ============================================================ โนด: แนวปฏิบัติ 10.5.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-2.md # 10.5.2 สำหรับข้อมูลที่อยู่บนอุปกรณ์อิเล็กทรอนิกส์ มีการใช้วิธีการลบหรือทำลายที่มีความมั่นคงปลอดภัย หรือการทำลายสนามแม่เหล็กบนอุปกรณ์ดังกล่าว ## สิ่งที่ต้องทำ สำหรับข้อมูลส่วนบุคคลที่อยู่บนอุปกรณ์อิเล็กทรอนิกส์ องค์กรต้องใช้วิธีการลบหรือทำลายที่มีความมั่นคงปลอดภัย หรือการทำลายสนามแม่เหล็กบนอุปกรณ์ดังกล่าว เพื่อให้ข้อมูลไม่สามารถกู้คืนหรือเข้าถึงได้อีก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงหน้าที่ในการลบหรือทำลายข้อมูลที่จัดเก็บอยู่บนอุปกรณ์อิเล็กทรอนิกส์อย่างมั่นคงปลอดภัย ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ข้อ 3 และ ข้อ 9 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการลบหรือทำลายข้อมูลอิเล็กทรอนิกส์ นโยบายฉบับนี้มาพร้อมขั้นตอนการอนุมัติ แบบฟอร์มลงนาม และการเชื่อมโยงกับมาตรฐาน ISO/IEC 27001:2022 และ ISO/IEC 27701:2019 **1. วัตถุประสงค์** เพื่อกำหนดแนวทางการลบหรือทำลายข้อมูลส่วนบุคคลที่จัดเก็บอยู่ในรูปแบบอิเล็กทรอนิกส์อย่างปลอดภัย ไม่สามารถกู้คืนหรือเข้าถึงข้อมูลได้อีก ทั้งนี้เพื่อให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และมาตรฐานความมั่นคงปลอดภัยของสารสนเทศ **2. ขอบเขต** นโยบายนี้ครอบคลุมข้อมูลส่วนบุคคลที่จัดเก็บหรือประมวลผลอยู่ในอุปกรณ์อิเล็กทรอนิกส์ทุกประเภท เช่น คอมพิวเตอร์ แล็ปท็อป เซิร์ฟเวอร์ ฮาร์ดดิสก์ แฟลชไดรฟ์ โทรศัพท์มือถือ กล้องวงจรปิด หรืออุปกรณ์เชื่อมต่ออื่นใดที่อาจมีการจัดเก็บข้อมูลส่วนบุคคล **3. หลักการ** - ข้อมูลส่วนบุคคลที่หมดความจำเป็นต้องใช้ตามวัตถุประสงค์หรือครบระยะเวลาการเก็บรักษา ต้องถูกลบหรือทำลายโดยวิธีที่มีความปลอดภัย - การทำลายต้องดำเนินการโดยเจ้าหน้าที่ที่ได้รับมอบหมายหรือผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น - ต้องมีการขออนุมัติล่วงหน้าก่อนการทำลาย และจัดเก็บหลักฐานการดำเนินการทุกครั้ง - วิธีการลบหรือทำลายต้องสอดคล้องกับมาตรฐาน ISO/IEC 27001:2022 ข้อ A.8.10 และ ISO/IEC 27701:2019 ข้อ 7.4.6 **4. วิธีการลบหรือทำลายข้อมูล** - การลบข้อมูลแบบปลอดภัย โดยใช้ซอฟต์แวร์ที่ได้มาตรฐาน หรือมีการเขียนทับข้อมูลอย่างน้อย 3 รอบ - การทำลายข้อมูลด้วยวิธีการฟอร์แมตที่ไม่สามารถกู้คืนได้ เช่น การฟอร์แมตระดับลึก หรือการล้างข้อมูลแบบปลอดภัย - การทำลายอุปกรณ์จัดเก็บข้อมูลทางกายภาพ เช่น การบด การทุบ การเจาะ หรือการใช้เครื่องทำลายฮาร์ดดิสก์โดยเฉพาะ - ไม่แนะนำให้ใช้วิธีการทำลายโดยการเผา เนื่องจากมีผลกระทบต่อสิ่งแวดล้อม **5. ขั้นตอนการอนุมัติการลบหรือทำลาย** - หน่วยงานที่ต้องการลบหรือทำลายข้อมูล ยื่นคำขอโดยกรอกแบบฟอร์มอนุมัติ - เจ้าหน้าที่ DPO หรือเจ้าหน้าที่รักษาความมั่นคงปลอดภัยของสารสนเทศพิจารณาคำขอ - ผู้อำนวยการฝ่ายหรือผู้บริหารระดับที่กำหนดอนุมัติคำขอ - เจ้าหน้าที่ดำเนินการลบหรือทำลายตามวิธีที่ได้รับอนุมัติ - บันทึกผลการดำเนินการ และแนบรายงานผลการลบหรือทำลายพร้อมลายมือชื่อของผู้รับผิดชอบ **6. ตารางบันทึกการลบหรือทำลายข้อมูล** | ลำดับ | วันที่ดำเนินการ | รายละเอียดอุปกรณ์/ไฟล์ | วิธีที่ใช้ | ผู้ดำเนินการ | ผู้อนุมัติ | หมายเหตุ | |------|--------------|----------------------|---------|------------|----------|---------| | 1 | 15 ม.ค. 2567 | คอมพิวเตอร์ตั้งโต๊ะ (รหัสครุภัณฑ์ ว-001) | ล้างข้อมูลแบบปลอดภัยด้วยซอฟต์แวร์ | นายกิตติพงศ์ อินทร์ดี | น.ส.วารุณี พงษ์สุข | เครื่องเก่าหมดอายุการใช้งานแล้ว | | 2 | 28 ก.พ. 2567 | แฟลชไดรฟ์ 1GB | ฟอร์แมตระดับลึก | น.ส.สมฤดี ทองแท้ | นายธีรชาติ คำงาม | พบข้อมูลพนักงานหมดความจำเป็นต้องใช้ | | 3 | 10 มี.ค. 2567 | ฮาร์ดดิสก์สำรอง (เซิร์ฟเวอร์สำรอง 01) | บดทำลายด้วยเครื่องทำลายฮาร์ดดิสก์ | นายวีระพงษ์ จันทร์ใส | น.ส.ณัฐชยา วุฒิมโนโชติ | ตามรอบการหมุนเวียน 3 ปี | | 4 | 24 เม.ย. 2567 | กล้องวงจรปิด (ระบบบันทึกภาพ) | ลบไฟล์ภาพย้อนหลัง 90 วัน ผ่านระบบบริหารจัดการกล้อง | นายธนพนธ์ หอมจันทร์ | นางสาวสุภาวดี เจริญสุข | ตามนโยบายเก็บรักษา 90 วัน | | 5 | 5 มิ.ย. 2567 | โทรศัพท์มือถือองค์กร | ล้างข้อมูลผ่านระบบบริหารจัดการอุปกรณ์เคลื่อนที่ | นายกฤษณ์ คำใส | นายภาณุวัฒน์ ศิริพานิช | พนักงานลาออก ระบบถอนการควบคุมแล้ว | **7. แบบฟอร์มอนุมัติการลบหรือทำลายข้อมูล (อิเล็กทรอนิกส์)** - ชื่อผู้ยื่นคำขอ: ...................... - ตำแหน่ง: ...................... - หน่วยงาน: ...................... - รายละเอียดข้อมูลที่ต้องการลบหรือทำลาย: ...................... - วิธีการที่เสนอใช้: ...................... - เหตุผลในการลบหรือทำลาย: ...................... - ลงชื่อผู้ขอ ...................... วันที่ ............ - ความเห็นของ DPO/เจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ: ...................... - ลงชื่อผู้อนุมัติ ...................... วันที่ ............ **8. การเชื่อมโยงกับกฎหมายและมาตรฐาน** - พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) และ (3) - ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 ข้อ 4 (2) และ (4) - ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลายข้อมูล พ.ศ. 2567 ข้อ 3 วรรคสอง - มาตรฐาน ISO/IEC 27001:2022 ข้อ A.8.10 (การกำจัดสื่อบันทึกข้อมูล) - มาตรฐาน ISO/IEC 27701:2019 ข้อ 7.4.6 (การกำจัดและลบข้อมูลอย่างปลอดภัย) **9. บทลงโทษกรณีไม่ปฏิบัติตาม** หากผู้ควบคุมข้อมูลไม่ปฏิบัติตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อาจได้รับโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-2.md ============================================================ โนด: แนวปฏิบัติ 10.5.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-3.md # 10.5.3 มีการส่งขยะที่มีข้อมูลความลับไปกำจัดนอกสถานที่โดยวิธีการที่มีความมั่นคงปลอดภัย ## สิ่งที่ต้องทำ องค์กรต้องส่งขยะหรือวัสดุที่มีข้อมูลความลับหรือข้อมูลส่วนบุคคลไปกำจัดนอกสถานที่โดยวิธีการที่มีความมั่นคงปลอดภัย และต้องมีหลักฐานสนับสนุนการดำเนินการดังกล่าว เพื่อป้องกันการรั่วไหลของข้อมูลก่อน ระหว่าง หรือภายหลังการขนส่งและทำลาย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ 2. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล 3. บันทึกข้อตกลงรักษาความลับ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงการส่งวัสดุที่มีข้อมูลส่วนบุคคลออกไปกำจัดนอกสถานที่อย่างมั่นคงปลอดภัย ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ พ.ศ. 2567 ที่กำหนดวิธีการลบหรือทำลายข้อมูลส่วนบุคคลให้อยู่ในสภาพที่ไม่สามารถกู้คืนหรือระบุตัวเจ้าของข้อมูลได้ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การส่งขยะที่มีข้อมูลความลับไปกำจัดนอกสถานที่โดยวิธีที่มีความมั่นคงปลอดภัย **1. วัตถุประสงค์** เพื่อให้การกำจัดข้อมูลความลับหรือข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องใช้ต่อไปแล้วเป็นไปอย่างปลอดภัย ป้องกันการรั่วไหลจากการส่งข้อมูลหรือวัสดุออกนอกสถานที่ขององค์กร โดยเฉพาะข้อมูลในรูปแบบกระดาษหรือวัสดุอื่นที่อาจสามารถระบุข้อมูลส่วนบุคคลได้ **2. แนวทางปฏิบัติ** *2.1 การคัดแยกและบรรจุ* - เอกสารที่มีข้อมูลความลับหรือข้อมูลส่วนบุคคลจะต้องได้รับการคัดแยกออกจากขยะทั่วไป - บรรจุในภาชนะที่ไม่โปร่งแสง มีฉลากกำกับ "ข้อมูลส่วนบุคคล/ข้อมูลลับ – รอทำลาย" - ภาชนะดังกล่าวจะต้องสามารถล็อกได้ หรือควบคุมไม่ให้เข้าถึงโดยไม่ได้รับอนุญาต *2.2 การจัดส่งไปยังผู้ให้บริการภายนอก* - ต้องดำเนินการผ่านผู้ให้บริการที่มีการประเมินความเสี่ยงแล้ว และมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) และบันทึกข้อตกลงรักษาความลับ - ผู้ให้บริการต้องมีนโยบายหรือมาตรการด้านความมั่นคงปลอดภัย เช่น การใช้รถขนส่งที่ล็อกได้ และการกำกับดูแลระหว่างขนส่ง *2.3 การทำลายอย่างปลอดภัยโดยผู้รับจ้างภายนอก* - ต้องทำลายข้อมูลโดยวิธีการที่ไม่สามารถกู้คืนหรือระบุเจ้าของข้อมูลได้อีก เช่น การย่อยละเอียดตามมาตรฐาน DIN 66399 ระดับ P-4 หรือสูงกว่า - ภายหลังการทำลาย ต้องได้รับใบรับรองการทำลาย **3. เอกสารและหลักฐานที่ต้องจัดเก็บ** - สำเนาสัญญาจ้าง/ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) - บันทึกการส่งมอบเอกสารเพื่อทำลาย - บันทึกการตรวจสอบสถานที่และกระบวนการของผู้ให้บริการ - ใบรับรองการทำลาย - รายงานเหตุการณ์ กรณีมีเหตุผิดปกติระหว่างขนส่ง **4. การเชื่อมโยงกับ ISO/IEC 27001 และ ISO/IEC 27701** | มาตรฐาน | หมายเลขข้อ | คำอธิบายการเชื่อมโยง | |--------|----------|--------------------| | ISO/IEC 27001 | A.8.3.2 | การกำจัดสื่อข้อมูลอย่างปลอดภัย | | ISO/IEC 27001 | A.13.2.1 | การจัดการกับข้อมูลที่ส่งผ่านบุคคลภายนอก | | ISO/IEC 27701 | 7.4.6 | การว่าจ้างผู้ให้บริการภายนอกเพื่อการประมวลผลข้อมูลส่วนบุคคล | | ISO/IEC 27701 | 7.5.7 | การลบหรือทำลายข้อมูลเมื่อหมดความจำเป็น | **5. แบบฟอร์มบันทึกการส่งกำจัดข้อมูลนอกสถานที่** ชื่อฟอร์ม: บันทึกการส่งข้อมูลส่วนบุคคลเพื่อกำจัดภายนอกสถานที่ | ลำดับ | วันที่ส่ง | ประเภทข้อมูล/วัสดุ | ปริมาณ | บริษัทผู้รับจ้าง | หมายเลขสัญญา DPA | ผู้รับผิดชอบ (ภายใน) | ผู้รับ (บริษัทภายนอก) | เอกสารแนบ | |------|---------|------------------|-------|---------------|----------------|--------------------|---------------------|---------| | 1 | 5 มี.ค. 2567 | เอกสารประวัติพนักงานหมดอายุ | 3 กล่อง | บริษัท เอ-เซิร์ฟ จำกัด | DPA/2024/HR-02 | นายเกรียงศักดิ์ สุขดี | นายสมชาติ จันทร์สว่าง | ใบส่งของ DPA ใบรับรองทำลาย | **6. โทษกรณีไม่ปฏิบัติตาม** ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 ผู้ควบคุมข้อมูลต้องมีมาตรการเพื่อให้มั่นใจว่าข้อมูลจะถูกลบหรือทำลายอย่างเหมาะสม หากไม่ดำเนินการอย่างถูกต้อง อาจได้รับโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-3.md ============================================================ โนด: แนวปฏิบัติ 10.5.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-4.md # 10.5.4 มีการจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล โดยผู้ให้บริการแสดงถึงมาตรฐานที่ใช้ในการลบหรือทำลายข้อมูล หรือมีใบรับรองเพื่อแสดงถึงมาตรฐานการลบหรือทำลาย ## สิ่งที่ต้องทำ องค์กรต้องจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล โดยผู้ให้บริการต้องแสดงถึงมาตรฐานที่ใช้ในการลบหรือทำลายข้อมูล หรือมีใบรับรองเพื่อแสดงถึงมาตรฐานการลบหรือทำลาย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นกระดาษ 2. นโยบายการลบข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์ 3. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล 4. บันทึกข้อตกลงรักษาความลับ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ประกอบ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมในการลบหรือทำลายข้อมูล และในกรณีที่มอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการ ต้องจัดให้มีข้อตกลงเป็นลายลักษณ์อักษรอย่างชัดเจน และควบคุมให้ผู้ประมวลผลดำเนินการอย่างถูกต้องตามกฎหมาย ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ที่กำหนดให้มีมาตรการควบคุมการลบหรือทำลายข้อมูลอย่างมั่นคงปลอดภัย กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล **1. วัตถุประสงค์** เพื่อให้การว่าจ้างบุคคลภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคลเป็นไปตามกฎหมายและมาตรฐานความมั่นคงปลอดภัย โดยเฉพาะในกรณีที่องค์กรไม่มีขีดความสามารถหรือเทคโนโลยีภายในที่เพียงพอสำหรับการลบหรือทำลายข้อมูลอย่างปลอดภัยและตรวจสอบได้ **2. แนวทางปฏิบัติ** *2.1 การเลือกผู้ให้บริการที่มีคุณสมบัติ* ผู้ให้บริการต้องมีใบรับรองมาตรฐานที่เกี่ยวข้องกับการลบหรือทำลายข้อมูล เช่น - ISO/IEC 27001 หรือ ISO/IEC 27040 (การรักษาความมั่นคงของข้อมูลในระบบสารสนเทศ) - ใบรับรองจากสมาคมรับรองมาตรฐานการทำลายข้อมูล - มาตรฐาน DIN 66399 สำหรับการทำลายเอกสาร *2.2 การจัดทำข้อตกลงและสัญญา* - ต้องมีการทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) - ต้องมีบันทึกข้อตกลงรักษาความลับ - ข้อตกลงต้องระบุอย่างชัดเจนถึง ชนิดของข้อมูลที่ส่งให้ลบหรือทำลาย วิธีการที่ใช้ มาตรฐานหรือแนวปฏิบัติที่ผู้รับจ้างอ้างอิง การรับรองว่าไม่เก็บสำเนาข้อมูลใดไว้ และการออกใบรับรองการลบหรือทำลาย *2.3 การควบคุมและติดตามผล* - องค์กรต้องเก็บบันทึกการลบหรือทำลายทุกครั้ง - มีสิทธิในการตรวจสอบกระบวนการของผู้รับจ้าง - ต้องมีช่องทางรายงานเหตุผิดปกติ **3. ตัวอย่างมาตรฐาน/ใบรับรองจากผู้ให้บริการ** - ใบรับรอง ISO/IEC 27001:2022 แสดงระบบการบริหารความมั่นคงปลอดภัยสารสนเทศ - ใบรับรอง NAID AAA รับรองการทำลายข้อมูลตามมาตรฐานระดับสากล - รายงานผลการตรวจสอบจากบริษัทอิสระว่าได้ดำเนินการทำลายข้อมูลตามมาตรฐาน DIN 66399 ระดับ P-4 **4. แบบฟอร์มที่เกี่ยวข้อง** ชื่อฟอร์ม: แบบฟอร์มบันทึกการว่าจ้างและตรวจสอบคุณสมบัติผู้ให้บริการลบหรือทำลายข้อมูลส่วนบุคคล | ลำดับ | วันที่ทำสัญญา | ชื่อผู้ให้บริการ | มาตรฐาน/ใบรับรองที่อ้างอิง | ประเภทข้อมูล | DPA แนบ | NDA แนบ | ใบรับรองลบ/ทำลาย | หมายเหตุ | |------|------------|---------------|--------------------------|------------|--------|--------|----------------|---------| | 1 | 12 เม.ย. 2567 | บริษัท ซีเคียวร์ดี พลัส จำกัด | ISO/IEC 27001, DIN 66399 | เอกสารบุคคล / ฐานข้อมูลเก่า | ✓ | ✓ | รอส่งภายใน 7 วัน | ตรวจสอบปีละ 1 ครั้ง | **5. หลักฐานประกอบ** - นโยบายการลบข้อมูลส่วนบุคคล (ทั้งในรูปแบบกระดาษและอิเล็กทรอนิกส์) - ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) - บันทึกข้อตกลงการรักษาความลับ - ใบรับรองมาตรฐานหรือรายงานการตรวจสอบล่าสุดของผู้ให้บริการ - ใบรับรองการทำลายข้อมูล **6. ข้อกำหนดทางกฎหมาย** | กฎหมาย | รายละเอียดข้อกำหนด | |-------|------------------| | มาตรา 37 | ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการที่เหมาะสมในการลบหรือทำลายข้อมูล | | มาตรา 40 วรรคสาม | หากมอบหมายให้ผู้ประมวลผล ต้องมีข้อตกลงอย่างชัดเจน และต้องควบคุมให้ดำเนินการอย่างถูกต้องตามกฎหมาย | **7. โทษหากไม่ปฏิบัติตาม** หากไม่จัดทำสัญญา หรือไม่เลือกผู้ให้บริการที่มีมาตรฐาน อาจถือเป็นการละเลยต่อหน้าที่ของผู้ควบคุมข้อมูล ตามมาตรา 37 หากฝ่าฝืน อาจถูกปรับทางปกครองไม่เกิน 3 ล้านบาท **8. การเชื่อมโยงกับมาตรฐานสากล** | มาตรฐาน | ข้อที่เกี่ยวข้อง | เนื้อหาที่เชื่อมโยง | |--------|---------------|------------------| | ISO/IEC 27701 | A.8.3.2 | การลบหรือทำลายสื่อข้อมูลอย่างมั่นคงปลอดภัย | | ISO/IEC 27701 | 7.2.6 | การเลือกผู้ประมวลผลข้อมูลภายนอกอย่างรัดกุม | | ISO/IEC 27701 | 7.5.7 | การควบคุมและจัดทำหลักฐานการลบหรือทำลายข้อมูล | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-4.md ============================================================ โนด: แนวปฏิบัติ 10.5.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-5-5.md # 10.5.5 มีการบันทึกไว้เป็นข้อมูลสำหรับอุปกรณ์หรือระบบที่มีข้อมูลความลับทั้งหมดที่ได้มีการส่งออกไปเพื่อกำจัดหรือทำลาย ## สิ่งที่ต้องทำ องค์กรต้องจัดให้มีการบันทึกข้อมูลสำหรับอุปกรณ์หรือระบบที่มีข้อมูลความลับทั้งหมดที่ได้ส่งออกไปเพื่อกำจัดหรือทำลาย และต้องจัดเก็บเอกสารหลักฐานให้ครบถ้วน เพื่อให้สามารถติดตาม ตรวจสอบ และพิสูจน์ย้อนหลังได้ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคลที่เป็นกระดาษ 2. นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคลที่เป็นข้อมูลอิเล็กทรอนิกส์ 3. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งครอบคลุมถึงการจัดทำบันทึกหลักฐานสำหรับอุปกรณ์หรือสื่อที่มีข้อมูลความลับซึ่งส่งออกไปกำจัดหรือทำลาย ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการในการจัดเก็บ การใช้งาน และการส่งต่อข้อมูลอย่างปลอดภัย รวมถึงการบันทึกหลักฐานการลบหรือทำลายข้อมูลที่สามารถตรวจสอบย้อนหลังได้ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### การบันทึกข้อมูลอุปกรณ์หรือระบบที่ส่งออกไปกำจัดหรือทำลาย **1. วัตถุประสงค์** เพื่อให้องค์กรสามารถติดตาม ตรวจสอบ และพิสูจน์ย้อนหลังได้ถึงการจัดการกับอุปกรณ์หรือสื่อที่มีข้อมูลส่วนบุคคลหรือข้อมูลลับที่ถูกนำไปกำจัดหรือทำลายอย่างถูกวิธี โดยไม่มีข้อมูลหลุดรอดหรือคงอยู่ในความครอบครองของบุคคลภายนอก **2. แนวทางปฏิบัติ** *2.1 การจัดทำทะเบียนการส่งออกอุปกรณ์/สื่อข้อมูลเพื่อนำไปกำจัด* จัดทำทะเบียนประจำ หรือระบบบันทึกข้อมูลอิเล็กทรอนิกส์ที่บันทึกข้อมูลดังต่อไปนี้ - ประเภทของอุปกรณ์/สื่อ เช่น ฮาร์ดดิสก์ แฟลชไดรฟ์ เครื่องพิมพ์ กระดาษสำเนา - หมายเลขอุปกรณ์ (ถ้ามี) - รายละเอียดข้อมูลที่อาจมีในอุปกรณ์ เช่น ข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อมูลทางบัญชี - วิธีการกำจัด เช่น ลบ ทำลาย หรือรีไซเคิล - ชื่อบริษัทหรือหน่วยงานภายนอกที่รับกำจัด - วันที่ส่งมอบ - ผู้อนุมัติ และผู้ดำเนินการ *2.2 การควบคุมการเข้าถึงอุปกรณ์ก่อนกำจัด* - จัดเก็บอุปกรณ์หรือสื่อที่รอการทำลายไว้ในพื้นที่ปลอดภัย - จำกัดผู้เข้าถึง - มีการล้างข้อมูลก่อนตามมาตรฐาน เช่น DoD 5220.22-M หรือ NIST SP 800-88 *2.3 การจัดเก็บเอกสารหลักฐาน* - เอกสารการส่งมอบ - ใบรับรองการลบหรือทำลายข้อมูล - ภาพถ่ายการดำเนินการ (ถ้ามี) - สำเนาสัญญาหรือบันทึกข้อตกลงกับผู้ให้บริการภายนอก **3. แบบฟอร์มบันทึกการส่งออกอุปกรณ์เพื่อนำไปทำลาย** ชื่อฟอร์ม: ทะเบียนการส่งออกอุปกรณ์/ขยะที่มีข้อมูลส่วนบุคคล | ลำดับ | วันที่ส่งมอบ | ประเภทอุปกรณ์ | หมายเลข | ข้อมูลที่เกี่ยวข้อง | วิธีการทำลาย | บริษัทที่รับทำลาย | ผู้อนุมัติ | เอกสารแนบ | |------|-----------|-------------|--------|------------------|------------|----------------|---------|---------| | 1 | 20 มิ.ย. 2568 | ฮาร์ดดิสก์ | SN-DX10432 | ฐานข้อมูลพนักงาน | ทำลายทางกายภาพ (ย่อยละเอียด) | บจก. เอ็มเอส ดาต้าดิสทรอย | น.ส. วารี สาระ | ใบรับรองลบข้อมูล | **4. ตัวอย่างเอกสารแนบที่ควรมี** - นโยบายการลบ กำจัด หรือทำลายข้อมูลส่วนบุคคล (ทั้งแบบกระดาษและอิเล็กทรอนิกส์) - ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล กับผู้ให้บริการทำลายข้อมูล - ใบรับรองการทำลาย - บันทึกการล้างข้อมูล - ภาพถ่ายหรือวิดีโอการทำลาย (ถ้าดำเนินการภายในองค์กร) **5. ข้อกำหนดทางกฎหมาย** | กฎหมาย/ข้อบังคับ | ข้อความที่เกี่ยวข้อง | |----------------|--------------------| | พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 | ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการป้องกันไม่ให้ข้อมูลส่วนบุคคลรั่วไหลหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต รวมถึงในขั้นตอนของการกำจัดหรือทำลายข้อมูล | | ประกาศคณะกรรมการฯ พ.ศ. 2565 ข้อ 4 (2) | ต้องมีมาตรการในการจัดเก็บ การใช้งาน และการส่งต่อข้อมูลอย่างปลอดภัย รวมถึงขั้นตอนทำลาย | | ประกาศคณะกรรมการฯ พ.ศ. 2565 ข้อ 4 (4) | ต้องมีการบันทึกหลักฐานการลบหรือทำลายข้อมูลที่สามารถตรวจสอบย้อนหลังได้ | **6. โทษหากไม่ปฏิบัติตาม** หากไม่สามารถแสดงหลักฐานว่าได้ดำเนินการลบหรือทำลายข้อมูลตามกฎหมาย อาจเสี่ยงต่อการรั่วไหลของข้อมูลส่วนบุคคล และความผิดตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท **7. การเชื่อมโยงกับมาตรฐาน ISO** | มาตรฐาน | ข้อที่เกี่ยวข้อง | แนวปฏิบัติที่เชื่อมโยง | |--------|---------------|---------------------| | ISO/IEC 27701 | A.8.3.2 | การลบหรือทำลายข้อมูลจากสื่อจัดเก็บที่ไม่ใช้แล้ว | | ISO/IEC 27701 | 7.4.7 | การควบคุมการทำลายข้อมูลส่วนบุคคลหลังจากสิ้นสุดวัตถุประสงค์ | | NIST SP 800-88 | บทที่ 2-3 | แนวทางการลบข้อมูลจากสื่อเก็บข้อมูลทั้งแบบแม่เหล็กและอิเล็กทรอนิกส์ | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-5-5.md ============================================================ โนด: แนวปฏิบัติ 10.6.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-1.md # 10.6.1 มีการจัดทำบัญชีทรัพย์สินสารสนเทศ โดยบัญชีดังกล่าวได้รวมถึงเจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการจัดเก็บ และมาตรการความมั่นคงปลอดภัย (เพื่อป้องกันทรัพย์สิน) ## สิ่งที่ต้องทำ องค์กรต้องจัดทำบัญชีทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลอย่างครบถ้วนและเป็นระบบ โดยบัญชีดังกล่าวต้องครอบคลุมรายละเอียดอย่างน้อยดังนี้ เจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการจัดเก็บ และมาตรการความมั่นคงปลอดภัยที่นำมาใช้ เพื่อให้สามารถบริหารจัดการความเสี่ยงและป้องกันความเสียหายหรือการรั่วไหลของข้อมูลได้อย่างมีประสิทธิภาพ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ 2. บัญชีทรัพย์สินสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการบริหารจัดการทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูลและการบันทึกติดตามทรัพย์สินสารสนเทศอย่างเป็นระบบ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดทำบัญชีทรัพย์สินสารสนเทศ **1. วัตถุประสงค์** เพื่อให้องค์กรมีการจัดเก็บข้อมูลทรัพย์สินสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลอย่างครบถ้วนและมีระบบ สามารถบริหารจัดการความเสี่ยง ป้องกันความเสียหายหรือการรั่วไหลของข้อมูล และสอดคล้องกับข้อกำหนดของกฎหมาย PDPA **2. แนวทางปฏิบัติ** *2.1 การจัดทำบัญชีทรัพย์สินสารสนเทศ* จัดทำบัญชีทรัพย์สินสารสนเทศอย่างเป็นระบบ โดยมีข้อมูลหลักอย่างน้อยดังนี้ - ชื่อทรัพย์สินสารสนเทศ (เช่น ระบบฐานข้อมูลลูกค้า แอปพลิเคชันบริหารความสัมพันธ์ลูกค้า เซิร์ฟเวอร์เก็บข้อมูล) - ประเภททรัพย์สิน (ฮาร์ดแวร์ ซอฟต์แวร์ ข้อมูล บุคลากร) - เจ้าของทรัพย์สิน ผู้รับผิดชอบดูแลรักษา - สถานที่จัดเก็บ (เช่น ห้องเซิร์ฟเวอร์ ศูนย์ข้อมูล ระบบ Cloud) - ระยะเวลาการจัดเก็บ ตามนโยบายองค์กรและกฎหมาย - มาตรการความมั่นคงปลอดภัยที่นำมาใช้ (เช่น การเข้ารหัสข้อมูล การสำรองข้อมูล การควบคุมการเข้าถึง) - สถานะของทรัพย์สิน (ใช้งาน / ไม่ใช้งาน / รอทำลาย) *2.2 การกำหนดเจ้าของทรัพย์สิน* - กำหนดบุคคลหรือหน่วยงานที่รับผิดชอบในการดูแลรักษาทรัพย์สินสารสนเทศแต่ละรายการอย่างชัดเจน - เจ้าของทรัพย์สินต้องประเมินความเสี่ยงและจัดทำมาตรการรักษาความมั่นคงปลอดภัย รวมถึงดูแลการใช้งานและอนุมัติการเข้าถึงข้อมูล *2.3 การอัปเดตบัญชีทรัพย์สินสารสนเทศ* - บัญชีต้องได้รับการทบทวนและอัปเดตอย่างสม่ำเสมอ (อย่างน้อยปีละ 1 ครั้ง หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบ) - มีการตรวจสอบและตรวจยืนยันความถูกต้องของข้อมูลโดยเจ้าของทรัพย์สินสารสนเทศ ### ตัวอย่างโครงสร้างบัญชีทรัพย์สินสารสนเทศ | หมายเลข | ชื่อทรัพย์สินสารสนเทศ | ประเภท | เจ้าของทรัพย์สิน | สถานที่จัดเก็บ | ระยะเวลาการจัดเก็บ | มาตรการความมั่นคงปลอดภัย | สถานะ | |------|--------------------|------|----------------|--------------|------------------|------------------------|------| | 001 | ระบบฐานข้อมูลลูกค้า | ซอฟต์แวร์ | นายสมชาย ใจดี | ศูนย์ข้อมูลหลัก | 5 ปี | การเข้ารหัสข้อมูล ระบบยืนยันตัวตนสองชั้น | ใช้งานอยู่ | | 002 | เซิร์ฟเวอร์จัดเก็บข้อมูลสำคัญ | ฮาร์ดแวร์ | ฝ่ายไอที | ห้องเซิร์ฟเวอร์ | ตลอดอายุการใช้งาน | การควบคุมการเข้าใช้งาน สำรองข้อมูลรายวัน | ใช้งานอยู่ | | 003 | เอกสารประวัติพนักงาน | ข้อมูล | ฝ่ายบุคคล | ตู้เก็บเอกสารห้องบุคคล | 10 ปี | การล็อกตู้ การเข้าถึงจำกัด | รอทำลาย | ### ข้อกำหนดทางกฎหมายและข้อบังคับที่เกี่ยวข้อง | กฎหมาย / ประกาศ | ข้อความที่เกี่ยวข้อง | |----------------|--------------------| | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 | กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล รวมถึงการบริหารจัดการทรัพย์สินสารสนเทศที่เกี่ยวข้อง | | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) | กำหนดมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล และให้มีการบันทึกและติดตามทรัพย์สินสารสนเทศอย่างมีประสิทธิภาพ | ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-1.md ============================================================ โนด: แนวปฏิบัติ 10.6.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-2.md # 10.6.2 มีการทบทวนบัญชีทรัพย์สินสารสนเทศเป็นระยะ ๆ เพื่อให้มั่นใจว่าข้อมูลมีความถูกต้องและเป็นปัจจุบัน ## สิ่งที่ต้องทำ องค์กรต้องดำเนินการทบทวนบัญชีทรัพย์สินสารสนเทศอย่างสม่ำเสมอเป็นระยะ ๆ ตามกำหนดที่เหมาะสม อย่างน้อยปีละ 1 ครั้ง หรือบ่อยกว่านั้นตามความเหมาะสมขององค์กร เพื่อให้มั่นใจได้ว่าข้อมูลในบัญชีมีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน โดยการทบทวนควรครอบคลุมการตรวจสอบข้อมูลเจ้าของทรัพย์สิน สถานที่จัดเก็บ ระยะเวลาการจัดเก็บ และมาตรการรักษาความมั่นคงปลอดภัยที่ใช้งานในปัจจุบัน นอกจากนี้ หากมีการเปลี่ยนแปลงทรัพย์สินสารสนเทศ เช่น มีการเพิ่ม ลด หรือเปลี่ยนแปลงระบบ แอปพลิเคชัน หรืออุปกรณ์ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ควรมีการอัปเดตบัญชีให้สอดคล้องกันทันที ## หลักฐาน 1. นโยบายการทบทวนบัญชีทรัพย์สินสารสนเทศ 2. รายงานผลการตรวจสอบบัญชีทรัพย์สินสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการดูแลและทบทวนบัญชีทรัพย์สินสารสนเทศให้ถูกต้องและเป็นปัจจุบันอยู่เสมอ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) และ ข้อ 5 ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูลและการทบทวนปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยอย่างสม่ำเสมอ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างกระบวนการทบทวนบัญชีทรัพย์สินสารสนเทศ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | เอกสารประกอบ | |--------|-----------|------------|------------| | 1. กำหนดแผนการทบทวน | กำหนดช่วงเวลาการทบทวนบัญชีทรัพย์สินสารสนเทศประจำปี พร้อมกำหนดความถี่การทบทวนเพิ่มเติมตามความจำเป็น | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | แผนงานทบทวนบัญชีทรัพย์สินสารสนเทศประจำปี | | 2. รวบรวมข้อมูลปัจจุบัน | รวบรวมข้อมูลบัญชีทรัพย์สินสารสนเทศฉบับล่าสุด และข้อมูลการเปลี่ยนแปลงที่เกิดขึ้นในช่วงเวลาที่ผ่านมา | ฝ่ายไอที / เจ้าของทรัพย์สิน | บัญชีทรัพย์สินสารสนเทศปัจจุบัน รายงานเปลี่ยนแปลงทรัพย์สิน | | 3. ตรวจสอบความถูกต้อง | ตรวจสอบความครบถ้วนและความถูกต้องของข้อมูลในบัญชี เช่น ตรวจสอบเจ้าของทรัพย์สิน สถานที่จัดเก็บ มาตรการรักษาความมั่นคงปลอดภัย | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | — | | 4. แก้ไขและปรับปรุง | แก้ไขข้อมูลในบัญชีให้เป็นปัจจุบันตามผลการตรวจสอบ รวมถึงบันทึกการเปลี่ยนแปลง | — | บัญชีทรัพย์สินสารสนเทศฉบับปรับปรุง บันทึกการเปลี่ยนแปลง | | 5. รายงานผลการทบทวน | จัดทำรายงานสรุปผลการทบทวนบัญชีทรัพย์สินสารสนเทศ พร้อมข้อเสนอแนะ (ถ้ามี) เพื่อเสนอผู้บริหารอนุมัติ | — | รายงานผลการทบทวนบัญชีทรัพย์สินสารสนเทศ | ### ตัวอย่างรายงานผลการทบทวนบัญชีทรัพย์สินสารสนเทศ ประจำปี พ.ศ. 2568 **1. วัตถุประสงค์** เพื่อให้มั่นใจว่าบัญชีทรัพย์สินสารสนเทศขององค์กรมีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน **2. ผลการทบทวน** - ตรวจสอบบัญชีทรัพย์สินสารสนเทศพบว่า ข้อมูลเจ้าของทรัพย์สินและสถานที่จัดเก็บครบถ้วน - พบว่ามีการเพิ่มระบบฐานข้อมูลลูกค้าใหม่ 1 ระบบ จึงได้บันทึกเพิ่มในบัญชีแล้ว - มีการเปลี่ยนแปลงมาตรการความมั่นคงปลอดภัยของเซิร์ฟเวอร์หลัก (เพิ่มระบบป้องกันการบุกรุกใหม่) - มีการลบอุปกรณ์เก่าที่เลิกใช้งานออกจากบัญชีเรียบร้อยแล้ว **3. ข้อเสนอแนะ** - ควรเพิ่มความถี่การทบทวนบัญชีเป็นทุก 6 เดือน เนื่องจากมีการเปลี่ยนแปลงระบบสารสนเทศบ่อย - ส่งเสริมให้เจ้าของทรัพย์สินสารสนเทศแจ้งการเปลี่ยนแปลงข้อมูลทุกครั้งทันที **4. สรุป** บัญชีทรัพย์สินสารสนเทศอยู่ในสถานะที่เหมาะสมและพร้อมใช้งานในการบริหารความเสี่ยงด้านข้อมูลส่วนบุคคล ลงชื่อ .................................... (นายสมชาย ใจดี) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) วันที่ 1 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-2.md ============================================================ โนด: แนวปฏิบัติ 10.6.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-6-3.md # 10.6.3 มีการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในรายการบัญชีทรัพย์สินสารสนเทศ มีการดำเนินการตรวจสอบทางกายภาพ เพื่อให้มั่นใจว่าทรัพย์สินในบัญชีมีความถูกต้องและครบถ้วน ## สิ่งที่ต้องทำ องค์กรต้องดำเนินการประเมินความเสี่ยงอย่างเป็นระบบสำหรับทรัพย์สินสารสนเทศที่อยู่ในบัญชีทรัพย์สินสารสนเทศ โดยพิจารณาความเสี่ยงที่อาจเกิดขึ้น เช่น ความเสียหายจากภัยคุกคามทางกายภาพ ความลับรั่วไหล ความผิดพลาดของระบบ หรือภัยคุกคามทางไซเบอร์ นอกจากนี้ ต้องมีการตรวจสอบทางกายภาพอย่างสม่ำเสมอ เช่น การตรวจนับอุปกรณ์ และการตรวจสอบสถานที่จัดเก็บ เพื่อยืนยันว่าทรัพย์สินดังกล่าวมีอยู่จริงและอยู่ในสภาพที่ปลอดภัย ถูกต้องและครบถ้วนตามบัญชี เพื่อป้องกันการสูญหายหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต ## หลักฐาน 1. นโยบายการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ 2. รายงานการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ 3. รายงานความเห็นประกอบการพิจารณารายงานการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ 4. หนังสือการพิจารณาการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในบัญชีทรัพย์สินสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการประเมินความเสี่ยงและตรวจสอบทางกายภาพของทรัพย์สินสารสนเทศที่เกี่ยวข้อง เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (4) ที่กำหนดให้มีมาตรการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิ และการควบคุมการเข้าถึงพื้นที่และระบบจัดเก็บข้อมูล กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### ตัวอย่างกระบวนการประเมินความเสี่ยงและตรวจสอบทางกายภาพ | ขั้นตอน | รายละเอียด | ผู้รับผิดชอบ | เอกสารประกอบ | |--------|-----------|------------|------------| | 1. กำหนดกรอบและวิธีการประเมินความเสี่ยง | กำหนดแนวทางการประเมินความเสี่ยงโดยใช้เกณฑ์ความรุนแรงและโอกาสเกิดความเสี่ยง | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | นโยบายประเมินความเสี่ยง | | 2. รวบรวมข้อมูลทรัพย์สิน | ใช้บัญชีทรัพย์สินสารสนเทศที่จัดทำไว้ เพื่อกำหนดขอบเขตการประเมิน | ฝ่ายไอที / เจ้าของทรัพย์สิน | บัญชีทรัพย์สินสารสนเทศ | | 3. ประเมินความเสี่ยง | วิเคราะห์ความเสี่ยงที่เกี่ยวข้องกับทรัพย์สิน เช่น การถูกโจมตี สูญหาย เสียหาย | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / DPO | รายงานการประเมินความเสี่ยง | | 4. ตรวจสอบทางกายภาพ | ดำเนินการตรวจนับและตรวจสอบสถานที่จัดเก็บ เช่น การตรวจนับอุปกรณ์คอมพิวเตอร์ เซิร์ฟเวอร์ | ฝ่ายไอที / ฝ่ายบริหารสถานที่ | รายงานตรวจสอบทางกายภาพ | | 5. รายงานและพิจารณา | จัดทำรายงานสรุปผลการประเมินและตรวจสอบ พร้อมข้อเสนอแนะส่งผู้บริหารพิจารณา | — | รายงานความเห็นประกอบการพิจารณา หนังสืออนุมัติ | | 6. ดำเนินมาตรการลดความเสี่ยง | ปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยตามผลการประเมิน | ฝ่ายความมั่นคงปลอดภัยสารสนเทศ / ฝ่ายบริหารความเสี่ยง | บันทึกการดำเนินการ | ### ตัวอย่างรายงานการประเมินความเสี่ยงสำหรับทรัพย์สินสารสนเทศ ประจำปี พ.ศ. 2568 **1. วัตถุประสงค์** เพื่อประเมินความเสี่ยงที่อาจเกิดขึ้นต่อทรัพย์สินสารสนเทศขององค์กร และตรวจสอบความถูกต้องของทรัพย์สินในบัญชีสารสนเทศ **2. วิธีการประเมิน** ใช้เกณฑ์การประเมินความรุนแรง (สูง กลาง ต่ำ) และโอกาสเกิดความเสี่ยง (บ่อย ปานกลาง น้อย) ในการวิเคราะห์ **3. ผลการประเมิน** - พบว่าทรัพย์สินส่วนใหญ่มีความเสี่ยงในระดับต่ำถึงกลาง - พบความเสี่ยงสูงในส่วนของเซิร์ฟเวอร์หลัก เนื่องจากตั้งอยู่ในห้องที่ไม่ได้ควบคุมการเข้าออกอย่างเข้มงวด - ทรัพย์สินทั้งหมดได้รับการตรวจสอบทางกายภาพครบถ้วน ไม่มีทรัพย์สินสูญหาย **4. ข้อเสนอแนะ** - เพิ่มระบบควบคุมการเข้าห้องเซิร์ฟเวอร์ เช่น ติดตั้งระบบล็อกอิเล็กทรอนิกส์ - กำหนดตารางตรวจสอบทางกายภาพเพิ่มเป็นทุก 6 เดือน - ให้เจ้าของทรัพย์สินรายงานการเปลี่ยนแปลงทรัพย์สินทุกครั้งที่เกิดขึ้น **5. สรุป** ทรัพย์สินสารสนเทศมีความถูกต้องครบถ้วนตามบัญชี และได้ดำเนินการประเมินความเสี่ยงเป็นประจำ เพื่อป้องกันและลดความเสี่ยงด้านความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ลงชื่อ .................................... (นายสมชาย ใจดี) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) วันที่ 1 มิถุนายน 2568 ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-6-3.md ============================================================ โนด: แนวปฏิบัติ 10.9.1 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-1.md # 10.9.1 มีการจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคลโดยให้สิทธิการเข้าถึงให้น้อยที่สุดตามความจำเป็น ## สิ่งที่ต้องทำ องค์กรต้องจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล โดยให้สิทธิการเข้าถึงน้อยที่สุดเท่าที่จำเป็นตามบทบาทหน้าที่จริง ตามหลักการให้สิทธิเข้าถึงน้อยที่สุดเท่าที่จำเป็น และต้องจัดทำเอกสารสนับสนุนเพื่อกำกับดูแลการกำหนดและอนุมัติสิทธิการเข้าถึงอย่างครบถ้วน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล 2. มาตรการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต 3. ทะเบียนของบุคลากรที่ได้รับอนุญาตให้เข้าถึงข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การจำกัดสิทธิการเข้าถึงระบบให้น้อยที่สุดเท่าที่จำเป็นเป็นมาตรการควบคุมการเข้าถึงที่ลดความเสี่ยงในการรั่วไหลของข้อมูล ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูลและส่วนประกอบของระบบ การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายจำกัดการเข้าถึงระบบและแอปพลิเคชัน - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคล **1. วัตถุประสงค์** เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต และจำกัดสิทธิการเข้าถึงระบบหรือแอปพลิเคชันเฉพาะผู้ที่จำเป็นต้องใช้ตามบทบาทหน้าที่จริงเท่านั้น เพื่อลดความเสี่ยงในการรั่วไหลหรือถูกละเมิดข้อมูล **2. การกำหนดสิทธิการเข้าถึง** - กำหนดสิทธิการเข้าถึงโดยยึดหลักการให้สิทธิเข้าถึงน้อยที่สุดเท่าที่จำเป็น - สิทธิการเข้าถึงจะถูกจำกัดตามบทบาทหน้าที่ หรือกำหนดแบบจำเพาะบุคคล - ผู้ดูแลระบบต้องตรวจสอบและอนุมัติสิทธิก่อนการให้สิทธิเข้าถึงแก่บุคลากร **3. มาตรการป้องกัน** - ใช้ระบบยืนยันตัวตนที่มีความปลอดภัย เช่น การใช้รหัสผ่านที่รัดกุม และการยืนยันตัวตนหลายชั้น - มีการปรับปรุงและแก้ไขช่องโหว่ในระบบอย่างสม่ำเสมอ - ติดตั้งและปรับปรุงโปรแกรมป้องกันมัลแวร์และภัยคุกคามทางไซเบอร์ - มีระบบตรวจจับและแจ้งเตือนการเข้าถึงที่ผิดปกติ **4. การจัดทำเอกสาร** - จัดทำนโยบายจำกัดสิทธิการเข้าถึงระบบและแอปพลิเคชัน - จัดทำทะเบียนบุคลากรที่ได้รับอนุญาต และปรับปรุงข้อมูลสิทธิอย่างสม่ำเสมอ - จัดเก็บหลักฐานการกำหนดและอนุมัติสิทธิอย่างครบถ้วน ### ตัวอย่างทะเบียนบุคลากรที่ได้รับสิทธิเข้าถึงข้อมูลส่วนบุคคล | รหัสพนักงาน | ชื่อ-นามสกุล | ตำแหน่ง | ระบบ/แอปพลิเคชันที่เข้าถึง | สิทธิการเข้าถึง | วันที่อนุมัติ | หมายเหตุ | |------------|-------------|---------|---------------------------|----------------|--------------|----------| | 001 | นางสาวสมศรี ดวงใจ | เจ้าหน้าที่ไอที | ระบบฐานข้อมูลลูกค้า | อ่านและแก้ไขข้อมูล | 10/01/2568 | อนุมัติโดยผู้จัดการฝ่ายไอที | | 002 | นายสุชาติ ใจดี | ฝ่ายบัญชี | ระบบบัญชี | อ่านข้อมูลเฉพาะที่เกี่ยวข้อง | 15/02/2568 | จำกัดสิทธิเข้าถึงเฉพาะบัญชีลูกค้า | ### ตัวอย่างรายงานการอนุมัติสิทธิเข้าถึงระบบ - **วันที่:** 10 มกราคม 2568 - **เรื่อง:** อนุมัติการให้สิทธิเข้าถึงระบบฐานข้อมูลลูกค้า - **เรียน:** ผู้ดูแลระบบไอที ตามที่ได้รับคำขอให้สิทธิการเข้าถึงระบบฐานข้อมูลลูกค้าแก่พนักงาน นางสาวสมศรี ดวงใจ ในตำแหน่งเจ้าหน้าที่ไอที ข้าพเจ้าในฐานะผู้จัดการฝ่ายไอทีขออนุมัติให้สิทธิเข้าถึงในระดับอ่านและแก้ไขข้อมูล ตามความจำเป็นของงาน (ลงชื่อ) ผู้จัดการฝ่ายไอที ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-1.md ============================================================ โนด: แนวปฏิบัติ 10.9.2 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-2.md # 10.9.2 มีการกำหนดให้มีการตั้งรหัสผ่านให้มีความซับซ้อน รวมถึงการจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ เช่น กำหนดจำนวนครั้งที่สามารถล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง ## สิ่งที่ต้องทำ องค์กรต้องกำหนดให้มีการตั้งรหัสผ่านที่มีความซับซ้อน รวมถึงจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ เช่น กำหนดจำนวนครั้งที่ล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตจากการเดารหัสผ่าน ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการตั้งรหัสผ่านที่มีความซับซ้อน และจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ 2. หนังสือประกอบการอบรมความปลอดภัยด้านการคุ้มครองข้อมูลส่วนบุคคล ประเภทเทคโนโลยีสารสนเทศและการจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การตั้งรหัสผ่านที่ซับซ้อนและการจำกัดจำนวนครั้งที่ล็อกอินผิดพลาดเป็นมาตรการยืนยันตัวตนที่ป้องกันการเข้าถึงโดยการเดารหัสผ่านหรือการโจมตีแบบสุ่มทดลองรหัสผ่าน ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการตั้งรหัสผ่านและจำกัดจำนวนครั้งล็อกอินผิดพลาด - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการตั้งรหัสผ่านที่มีความซับซ้อนและการล็อกบัญชีผู้ใช้ **1. การตั้งรหัสผ่านที่มีความซับซ้อน** - รหัสผ่านต้องประกอบด้วยอย่างน้อย 8 ตัวอักษร และต้องมีตัวอักษรพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษอย่างน้อยหนึ่งตัว - หลีกเลี่ยงรหัสผ่านที่คาดเดาง่าย เช่น วันเดือนปีเกิด หรือคำศัพท์ทั่วไป - เปลี่ยนรหัสผ่านใหม่ทุก 90 วัน และไม่อนุญาตให้ใช้รหัสผ่านเดิมซ้ำใน 5 รอบล่าสุด **2. การจำกัดจำนวนครั้งล็อกอินผิดพลาด** - กำหนดให้ล็อกอินผิดพลาดได้ไม่เกิน 3 ครั้ง หากเกินกำหนด บัญชีผู้ใช้จะถูกล็อกชั่วคราว - การปลดล็อกบัญชีต้องผ่านการยืนยันตัวตนจากฝ่ายไอทีหรือผู้ดูแลระบบ หรือผ่านรหัสยืนยันทางอีเมลหรือโทรศัพท์ - บันทึกและตรวจสอบเหตุการณ์ล็อกอินผิดพลาดเพื่อตรวจจับความผิดปกติ และแจ้งเตือนผู้ดูแลระบบ **3. การอบรมและสร้างความตระหนัก** - จัดอบรมความรู้ด้านการตั้งรหัสผ่านและการรักษาความปลอดภัยข้อมูลส่วนบุคคลแก่พนักงานที่เกี่ยวข้อง - จัดทำคู่มือการใช้งานระบบที่ชัดเจนเกี่ยวกับนโยบายรหัสผ่านและมาตรการป้องกันล็อกอินผิดพลาด ### ตัวอย่างหนังสือรายงานการอบรมความปลอดภัยข้อมูลส่วนบุคคล - **วันที่:** 5 เมษายน 2568 - **เรื่อง:** รายงานการอบรมความปลอดภัยข้อมูลส่วนบุคคลและเทคโนโลยีสารสนเทศ - **เรียน:** ผู้จัดการฝ่ายบุคคล ตามที่ฝ่ายเทคโนโลยีสารสนเทศได้จัดอบรมเรื่อง "การตั้งรหัสผ่านที่มีความปลอดภัยและการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต" ให้แก่พนักงานเมื่อวันที่ 3 เมษายน 2568 จึงขอรายงานให้ทราบเพื่อเป็นหลักฐานและติดตามผล (ลงชื่อ) เจ้าหน้าที่ฝ่ายไอที ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-2.md ============================================================ โนด: แนวปฏิบัติ 10.9.3 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-3.md # 10.9.3 มีการบริหารจัดการรหัสผ่านให้มีความมั่นคงปลอดภัย เช่น การเปลี่ยนรหัสผ่านที่มาจากผู้ผลิต การควบคุมการใช้รหัสผ่านที่มีการแชร์ใช้งานร่วมกัน และการจัดเก็บรหัสผ่านให้มีความมั่นคงปลอดภัย ## สิ่งที่ต้องทำ องค์กรต้องบริหารจัดการรหัสผ่านให้มีความมั่นคงปลอดภัยอย่างครบถ้วน เช่น การเปลี่ยนรหัสผ่านเริ่มต้นที่มาจากผู้ผลิต การควบคุมการใช้รหัสผ่านที่มีการแชร์ใช้งานร่วมกัน และการจัดเก็บรหัสผ่านให้มีความมั่นคงปลอดภัย ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดการรหัสผ่านให้มีความมั่นคงปลอดภัย 2. หนังสือประกอบการอบรมความปลอดภัยด้านการคุ้มครองข้อมูลส่วนบุคคล ประเภทเทคโนโลยีสารสนเทศและการจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การบริหารจัดการรหัสผ่านอย่างมั่นคงปลอดภัย ทั้งการเปลี่ยนรหัสผ่านเริ่มต้น การห้ามใช้ร่วมกัน และการจัดเก็บที่ปลอดภัย เป็นมาตรการควบคุมการยืนยันตัวตนที่ลดความเสี่ยงในการถูกเข้าถึงโดยไม่ได้รับอนุญาต ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการบริหารจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล **1. วัตถุประสงค์และขอบเขต** เพื่อกำหนดแนวทางและมาตรการบริหารจัดการรหัสผ่านในการเข้าถึงระบบและข้อมูลส่วนบุคคล โดยใช้บังคับกับพนักงาน เจ้าหน้าที่ และบุคคลภายนอกที่ได้รับอนุญาตให้เข้าถึงระบบหรือข้อมูลส่วนบุคคลขององค์กร **2. การเปลี่ยนรหัสผ่านเริ่มต้น** ผู้ใช้ต้องเปลี่ยนรหัสผ่านที่มาจากผู้ผลิตทันทีหลังจากได้รับสิทธิเข้าใช้งานครั้งแรก **3. การควบคุมการใช้รหัสผ่านร่วมกัน** - ห้ามใช้รหัสผ่านร่วมกันระหว่างผู้ใช้งานโดยเด็ดขาด - รหัสผ่านต้องเป็นความลับและไม่เปิดเผยแก่บุคคลอื่น **4. การจัดเก็บรหัสผ่าน** - ห้ามบันทึกรหัสผ่านในรูปแบบที่สามารถเข้าถึงได้ง่าย เช่น ไฟล์ข้อความ หรือโน้ตบนโต๊ะทำงาน - แนะนำให้ใช้โปรแกรมจัดการรหัสผ่านที่มีความปลอดภัยสูง **5. การเปลี่ยนรหัสผ่านและการตรวจสอบ** - เปลี่ยนรหัสผ่านอย่างสม่ำเสมอตามรอบเวลาที่กำหนด - ฝ่ายไอทีตรวจสอบความปลอดภัยของรหัสผ่านและแจ้งเตือนเมื่อพบความเสี่ยงหรือการละเมิด ### ตัวอย่างหนังสือประกอบการอบรม - **เรื่อง:** การบริหารจัดการรหัสผ่านเพื่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ตามที่องค์กรได้กำหนดนโยบายการบริหารจัดการรหัสผ่านตามมาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ในวันที่ [ระบุวันที่] ฝ่ายเทคโนโลยีสารสนเทศได้จัดการอบรมพนักงานและเจ้าหน้าที่ที่เกี่ยวข้อง โดยมีเนื้อหาสำคัญ ได้แก่ - การเปลี่ยนรหัสผ่านเริ่มต้นทันทีหลังรับสิทธิใช้งาน - การห้ามใช้รหัสผ่านร่วมกันระหว่างผู้ใช้งาน - การจัดเก็บและรักษารหัสผ่านอย่างปลอดภัย - การเปลี่ยนรหัสผ่านตามรอบเวลาที่กำหนด - แนวทางการตรวจสอบและแก้ไขปัญหาเกี่ยวกับรหัสผ่าน การอบรมนี้มีวัตถุประสงค์เพื่อเสริมสร้างความรู้ ความเข้าใจ และการปฏิบัติที่ถูกต้องในการบริหารจัดการรหัสผ่าน เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต - **สถานที่:** [สถานที่] วันที่ [ ] เดือน [ ] พ.ศ. [ ] - (ลงชื่อ) ........................................ ตำแหน่ง ........................................ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-3.md ============================================================ โนด: แนวปฏิบัติ 10.9.4 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-4.md # 10.9.4 มีการป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลและส่งมากับอีเมล โดยใช้การเข้ารหัสข้อมูล ## สิ่งที่ต้องทำ องค์กรต้องป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลซึ่งส่งผ่านทางอีเมล โดยใช้การเข้ารหัสข้อมูล และจัดทำเอกสารสนับสนุนจากการพิจารณา เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตระหว่างการส่ง ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการคุ้มครองไฟล์ที่มีข้อมูลส่วนบุคคล 2. มาตรฐานการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต 3. รายงานผลการตรวจสอบข้อร้องเรียนการใช้ไฟล์ที่มีข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงและการเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การเข้ารหัสไฟล์แนบที่มีข้อมูลส่วนบุคคลก่อนส่งผ่านอีเมลเป็นมาตรการป้องกันการเข้าถึงข้อมูลระหว่างการส่งโดยผู้ที่ไม่มีสิทธิ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (4) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การกำหนดสิทธิและการบริหารจัดการสิทธิของผู้ใช้งาน และการตรวจสอบทบทวนสิทธิการเข้าถึง กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการคุ้มครองไฟล์ที่มีข้อมูลส่วนบุคคลและการเข้ารหัสข้อมูล - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลด้วยการเข้ารหัสข้อมูล **1. วัตถุประสงค์และขอบเขต** เพื่อกำหนดแนวทางในการป้องกันไฟล์ที่มีข้อมูลส่วนบุคคลซึ่งส่งผ่านทางอีเมลด้วยมาตรการเข้ารหัสข้อมูล ครอบคลุมการส่งไฟล์แนบที่มีข้อมูลส่วนบุคคลผ่านระบบอีเมลขององค์กรโดยบุคลากรทุกคนที่เกี่ยวข้อง **2. แนวทางปฏิบัติ** - ไฟล์แนบที่มีข้อมูลส่วนบุคคลทุกประเภทที่ส่งทางอีเมล ต้องถูกเข้ารหัสด้วยมาตรฐานการเข้ารหัสที่ได้รับการยอมรับ - ผู้ส่งต้องแจ้งรหัสผ่านสำหรับถอดรหัสไฟล์แนบแยกต่างหากจากการส่งอีเมล เช่น ผ่านช่องทางโทรศัพท์หรือข้อความ - ห้ามส่งไฟล์แนบข้อมูลส่วนบุคคลโดยไม่มีการเข้ารหัสข้อมูล - ระบบอีเมลขององค์กรจะตั้งค่าหรือใช้เครื่องมือป้องกันการส่งไฟล์แนบที่ไม่มีการเข้ารหัสตามนโยบายนี้ - ฝ่ายเทคโนโลยีสารสนเทศมีหน้าที่ตรวจสอบและบันทึกการส่งไฟล์แนบที่เข้ารหัสอย่างสม่ำเสมอ ### มาตรฐานการป้องกันการเข้าถึง การรวบรวม และการใช้งานโดยไม่ได้รับอนุญาต - การส่งไฟล์แนบที่มีข้อมูลส่วนบุคคลผ่านช่องทางอีเมล ต้องเป็นไปตามนโยบายการเข้ารหัสไฟล์แนบ - ห้ามเปิดเผยรหัสผ่านหรือกุญแจการถอดรหัสแก่บุคคลที่ไม่มีสิทธิ - ต้องจัดเก็บบันทึกและตรวจสอบการส่งไฟล์แนบที่เข้ารหัสเป็นระยะ - ฝ่ายความปลอดภัยของข้อมูลต้องรายงานการละเมิดหรือข้อร้องเรียนที่เกี่ยวข้องโดยทันที ### ตัวอย่างรายงานผลการตรวจสอบข้อร้องเรียน - **วันที่ตรวจสอบ:** [ระบุวันที่] - **ผู้ตรวจสอบ:** [ชื่อเจ้าหน้าที่] - **รายละเอียดข้อร้องเรียน:** มีข้อสงสัยการส่งไฟล์ข้อมูลส่วนบุคคลผ่านอีเมลโดยไม่ได้เข้ารหัส **ผลการตรวจสอบ** - พบว่าผู้ส่งไฟล์แนบไม่ปฏิบัติตามนโยบายการเข้ารหัสไฟล์แนบ - ได้ดำเนินการแจ้งเตือนและให้คำแนะนำแก่ผู้เกี่ยวข้องทันที - ได้กำหนดมาตรการเสริมเพื่อป้องกันไม่ให้เกิดเหตุการณ์ซ้ำ เช่น การอบรมเพิ่มเติม และการตั้งค่าระบบบล็อกการส่งไฟล์ที่ไม่เข้ารหัส **สรุป:** การปฏิบัติงานอยู่ในระหว่างการปรับปรุงเพื่อให้สอดคล้องกับนโยบายและกฎหมายที่เกี่ยวข้อง ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-4.md ============================================================ โนด: แนวปฏิบัติ 10.9.5 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-5.md # 10.9.5 มีการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบ เพื่อใช้ในการตรวจหาความผิดปกติต่าง ๆ ## สิ่งที่ต้องทำ องค์กรต้องบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบ เพื่อใช้ในการตรวจหาความผิดปกติต่าง ๆ และจัดทำเอกสารสนับสนุน เพื่อให้สามารถตรวจสอบและติดตามเหตุการณ์ที่อาจก่อให้เกิดความเสี่ยงต่อความมั่นคงปลอดภัยของข้อมูล ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคล 2. ทะเบียนการประมวลผลข้อมูลส่วนบุคคลผ่านระบบเทคโนโลยีสารสนเทศ ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การบันทึกล็อกกิจกรรมการเข้าถึงระบบเป็นมาตรการตรวจสอบย้อนหลังที่ช่วยตรวจหาและสอบสวนความผิดปกติหรือการเข้าถึงโดยไม่ได้รับอนุญาต ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (6) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบย้อนหลังการเข้าถึงและใช้งานข้อมูล กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศ - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบที่มีการประมวลผลข้อมูลส่วนบุคคล **1. วัตถุประสงค์และขอบเขต** เพื่อกำหนดแนวทางและมาตรการในการบันทึกข้อมูลกิจกรรมการเข้าถึงระบบเทคโนโลยีสารสนเทศที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล สำหรับใช้ในการตรวจสอบและติดตามความผิดปกติ ครอบคลุมระบบเทคโนโลยีสารสนเทศทั้งหมดที่มีการประมวลผลข้อมูลส่วนบุคคลภายในองค์กร **2. แนวทางปฏิบัติ** - ระบบที่เกี่ยวข้องต้องบันทึกล็อกกิจกรรมการเข้าถึงระบบทุกครั้ง เช่น การเข้าสู่ระบบ การออกจากระบบ การเข้าสู่ระบบที่ล้มเหลว และการดำเนินการสำคัญอื่น ๆ ที่เกี่ยวข้อง - ข้อมูลล็อกต้องเก็บรักษาในรูปแบบที่ปลอดภัย และสามารถเรียกดูได้เมื่อต้องการตรวจสอบ - กำหนดระยะเวลาการเก็บรักษาข้อมูลล็อกตามข้อกำหนดทางกฎหมายหรือมาตรฐานขององค์กร - ฝ่ายเทคโนโลยีสารสนเทศมีหน้าที่ตรวจสอบล็อกเป็นระยะเพื่อค้นหาความผิดปกติ เช่น การพยายามเข้าถึงโดยไม่ได้รับอนุญาต - เมื่อพบความผิดปกติ ต้องจัดทำรายงานและดำเนินการแก้ไขตามขั้นตอนที่กำหนด ### ตัวอย่างทะเบียนการประมวลผลข้อมูลส่วนบุคคลผ่านระบบเทคโนโลยีสารสนเทศ ทะเบียนต้องระบุรายละเอียดอย่างน้อยดังนี้ - รายการระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคล - ข้อมูลกิจกรรมที่บันทึกในล็อก เช่น เวลาเข้าถึง ผู้ใช้ และประเภทกิจกรรม - รายงานการตรวจสอบความผิดปกติและการดำเนินการแก้ไข - เอกสารการบำรุงรักษาและสำรองข้อมูลล็อก ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-5.md ============================================================ โนด: แนวปฏิบัติ 10.9.6 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-6.md # 10.9.6 มีการใช้โปรแกรมป้องกันมัลแวร์และป้องกันไวรัสกับระบบที่มีความสำคัญ ## สิ่งที่ต้องทำ องค์กรต้องใช้โปรแกรมป้องกันมัลแวร์และป้องกันไวรัสกับระบบที่มีความสำคัญ และมีการทดสอบประสิทธิภาพของมาตรการป้องกันโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล 2. สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล 3. รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหายและการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสกับระบบที่มีความสำคัญ พร้อมการทดสอบประสิทธิภาพ เป็นมาตรการทางเทคนิคที่ป้องกันระบบจากภัยคุกคามทางไซเบอร์ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (5) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบและประเมินความมั่นคงปลอดภัยของระบบ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการจัดหาและติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัส **1. วัตถุประสงค์และขอบเขต** เพื่อกำหนดแนวทางในการจัดหาและติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสสำหรับระบบเทคโนโลยีสารสนเทศที่มีการประมวลผลข้อมูลส่วนบุคคลที่สำคัญ ครอบคลุมทุกระบบที่ใช้ในการประมวลผลข้อมูลส่วนบุคคล โดยเฉพาะระบบที่มีความสำคัญสูงต่อการดำเนินงาน **2. แนวทางปฏิบัติ** - โปรแกรมป้องกันมัลแวร์และไวรัสต้องเป็นผลิตภัณฑ์ที่ได้รับการรับรองและมีประสิทธิภาพสูง - ทุกระบบที่มีความสำคัญต้องติดตั้งโปรแกรมป้องกันมัลแวร์และไวรัสอย่างครบถ้วน - มีการปรับปรุงโปรแกรมและฐานข้อมูลไวรัสอย่างสม่ำเสมอ - มีการทดสอบการทำงานของโปรแกรมป้องกันอย่างน้อยปีละหนึ่งครั้งโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอกที่มีความเชี่ยวชาญ - จัดทำรายงานผลการทดสอบและจัดเก็บเป็นหลักฐานการตรวจสอบ ### สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล สัญญาจ้างผู้รับจ้างเพื่อทดสอบประสิทธิภาพของมาตรการป้องกันมัลแวร์และไวรัสของระบบประมวลผลข้อมูลส่วนบุคคล โดยมีสาระสำคัญดังนี้ - **ข้อ 1 วัตถุประสงค์:** ทดสอบระบบเพื่อประเมินประสิทธิภาพของมาตรการป้องกันมัลแวร์และไวรัส ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศที่เกี่ยวข้อง - **ข้อ 2 ขอบเขตของงาน:** ตรวจสอบและประเมินประสิทธิภาพของโปรแกรมป้องกันมัลแวร์และไวรัส ทดสอบการสแกน การตอบสนอง และความสามารถในการป้องกันภัยคุกคาม พร้อมจัดทำรายงานผลการประเมินและจัดส่งภายใน 30 วัน - **ข้อ 3 ความลับของข้อมูล:** ผู้รับจ้างต้องไม่เปิดเผยหรือใช้ข้อมูลของผู้ว่าจ้างโดยมิชอบ ต้องรักษาความลับอย่างเคร่งครัด และทำลายข้อมูลหลังสิ้นสุดสัญญา ### รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล - **ชื่อหน่วยงาน:** [ชื่อองค์กร] - **วันที่ทดสอบ:** [ระบุวันที่] - **ระบบที่ทดสอบ:** ฐานข้อมูลผู้ใช้บริการ ระบบบุคลากร และระบบจัดเก็บเอกสาร **วิธีการทดสอบ** - การสแกนเต็มระบบ - การจำลองเหตุการณ์มัลแวร์จากตัวอย่างจริง - การทดสอบการตอบสนองแบบเรียลไทม์ - การทดสอบช่องโหว่ของระบบ **ผลการทดสอบ** - การสแกนระบบ: ไม่พบมัลแวร์หรือภัยคุกคามในระบบทั้งหมด - ฐานข้อมูลไวรัส: เป็นปัจจุบัน ณ วันที่ทดสอบ - การป้องกันแบบเรียลไทม์: เปิดใช้งานอยู่ตลอดเวลา **ข้อเสนอแนะ** - ควรตั้งเวลาปรับปรุงฐานข้อมูลไวรัสแบบอัตโนมัติทุกวัน - ควรตั้งค่าการแจ้งเตือนเมื่อพบความเสี่ยงให้ชัดเจน - ควรทบทวนนโยบายและแนวทางการตอบสนองเมื่อเกิดภัยคุกคามเป็นประจำทุกปี ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-6.md ============================================================ โนด: แนวปฏิบัติ 10.9.7 ลิงก์อ้างอิง: https://link.pdpalawbase.com/guideline/10-9-7.md # 10.9.7 โปรแกรมป้องกันมัลแวร์และไวรัสมีการอัปเดตฐานข้อมูลให้เป็นปัจจุบันและมีการตั้งค่าโปรแกรมป้องกันไวรัสให้ทำการสแกนระบบที่มีความสำคัญอย่างสม่ำเสมอ ## สิ่งที่ต้องทำ องค์กรต้องดูแลให้โปรแกรมป้องกันมัลแวร์และไวรัสมีการปรับปรุงฐานข้อมูลให้เป็นปัจจุบัน และตั้งค่าโปรแกรมป้องกันไวรัสให้ทำการสแกนระบบที่มีความสำคัญอย่างสม่ำเสมอ รวมถึงมีการทดสอบโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอก ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ## หลักฐาน 1. นโยบายการจัดหาโปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล 2. สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล 3. รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล ## สภาพบังคับ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหายและการเข้าถึงข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ การปรับปรุงฐานข้อมูลไวรัสให้เป็นปัจจุบันและการตั้งค่าสแกนระบบสำคัญอย่างสม่ำเสมอ พร้อมการทดสอบประสิทธิภาพ เป็นมาตรการทางเทคนิคที่รักษาประสิทธิภาพการป้องกันระบบจากภัยคุกคามทางไซเบอร์ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2) (3) (5) ที่กำหนดให้มีการควบคุมการเข้าถึงข้อมูล การบริหารจัดการการเข้าถึงของผู้ใช้งาน และการตรวจสอบและประเมินความมั่นคงปลอดภัยของระบบ กรณีไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ## ตัวอย่างเอกสาร ### นโยบายการจัดหาและใช้โปรแกรมรักษาความมั่นคงปลอดภัยแก่ระบบประมวลผลข้อมูลส่วนบุคคล - **องค์กร:** [ชื่อองค์กร] - **เรื่อง:** นโยบายการจัดหาและใช้โปรแกรมป้องกันมัลแวร์และไวรัส **1. วัตถุประสงค์และขอบเขต** เพื่อกำหนดแนวทางการจัดหาและใช้โปรแกรมป้องกันมัลแวร์และไวรัสที่มีประสิทธิภาพในระบบประมวลผลข้อมูลส่วนบุคคล ครอบคลุมระบบงาน เซิร์ฟเวอร์ อุปกรณ์ปลายทาง และระบบเครือข่ายที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลทุกประเภทในความรับผิดชอบขององค์กร **2. แนวทางปฏิบัติ** 1. โปรแกรมป้องกันมัลแวร์และไวรัสที่เลือกใช้ต้องสามารถปรับปรุงฐานข้อมูลไวรัสโดยอัตโนมัติและต่อเนื่องจากผู้พัฒนา 2. โปรแกรมต้องสามารถตั้งเวลาให้สแกนระบบและไฟล์ในเครื่องปลายทางและเซิร์ฟเวอร์สำคัญได้โดยอัตโนมัติ และตรวจสอบประวัติการสแกนย้อนหลังได้ 3. ผู้ดูแลระบบต้องตรวจสอบสถานะการปรับปรุงและการสแกนอย่างน้อยเดือนละ 1 ครั้ง และจัดทำรายงานสรุป 4. ต้องมีการประเมินประสิทธิภาพของโปรแกรมโดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบภายนอกอย่างน้อยปีละ 1 ครั้ง 5. การจัดหาโปรแกรมต้องดำเนินการตามกระบวนการจัดซื้อจัดจ้างขององค์กร และพิจารณาข้อกำหนดด้านความมั่นคงปลอดภัยเป็นสำคัญ ### สัญญาจ้างบริการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล สัญญาจ้างผู้รับจ้างเพื่อทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล โดยมีสาระสำคัญดังนี้ - **ข้อ 1 วัตถุประสงค์:** ทดสอบการป้องกันระบบเพื่อประเมินจุดอ่อนและความเสี่ยงด้านความมั่นคงปลอดภัย รวมถึงการสแกนมัลแวร์และไวรัส การตั้งค่าความปลอดภัย และกระบวนการจัดการความเสี่ยง - **ข้อ 2 ขอบเขตของงาน:** ตรวจสอบระบบป้องกันมัลแวร์และไวรัส รวมถึงการปรับปรุงฐานข้อมูลไวรัสและการตั้งค่าการสแกน ดำเนินการทดสอบเจาะระบบและประเมินช่องโหว่อย่างน้อยปีละ 1 ครั้ง และจัดทำรายงานผลพร้อมข้อเสนอแนะเชิงเทคนิค - **ข้อ 3 ความลับ:** ผู้รับจ้างต้องรักษาความลับของข้อมูลส่วนบุคคลและข้อมูลระบบของผู้ว่าจ้างทั้งหมด ห้ามนำไปเผยแพร่หรือใช้งานโดยมิได้รับอนุญาตเป็นลายลักษณ์อักษร ### รายงานการทดสอบการป้องกันระบบประมวลผลข้อมูลส่วนบุคคล - **วันที่ดำเนินการทดสอบ:** [ระบุวันที่] - **ผู้ดำเนินการทดสอบ:** [ชื่อบริษัท/บุคคลผู้รับจ้าง] **ขอบเขต** - ตรวจสอบการติดตั้งและการปรับปรุงโปรแกรมป้องกันไวรัสในเซิร์ฟเวอร์หลักและเครื่องลูกข่าย - วิเคราะห์ช่องโหว่ระบบที่เกี่ยวข้องกับข้อมูลส่วนบุคคล รวมถึงบริการฐานข้อมูล ระบบจัดเก็บ และระบบคลาวด์ - การทดสอบเจาะระบบเบื้องต้น **ผลการตรวจสอบ** - ระบบป้องกันไวรัสได้รับการปรับปรุงฐานข้อมูลล่าสุด ณ วันที่ทดสอบ - การตั้งค่าให้สแกนระบบสำคัญมีความถี่ระดับรายวัน - ไม่พบการติดมัลแวร์หรือเหตุการณ์ต้องสงสัย ณ เวลาทดสอบ **ข้อเสนอแนะ** - เพิ่มระบบแจ้งเตือนอัตโนมัติเมื่อพบมัลแวร์ - ทบทวนการกำหนดสิทธิการเข้าถึงของผู้ใช้งานระดับผู้ดูแลระบบ ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/guideline/10-9-7.md