แนวปฏิบัติ Trustmark

มาตรฐานขั้นต่ำ 10 ด้าน สำหรับองค์กรที่ต้องปฏิบัติตาม

• แนวปฏิบัติ 1 — ภาพรวมกรอบการตรวจรับรองความสอดคล้อง (Trustmark)
• แนวปฏิบัติ 2.1.1 — คณะกรรมการหรือผู้บริหารสูงสุดมีหน้าที่รับผิดชอบโดยรวมในการคุ้มครองข้อมูลส่วนบุคคล
• แนวปฏิบัติ 2.1.2 — ผู้บริหารเป็นผู้นำ เป็นแบบอย่าง และส่งเสริมวัฒนธรรมเชิงบวกเชิงรุกในการปฏิบัติตามกฎหมาย
• แนวปฏิบัติ 2.1.3 — มีสายรายงานหรือบังคับบัญชาและการไหลเวียนของข้อมูลหรือส่วนงาน
• แนวปฏิบัติ 2.1.4 — มีนโยบายที่ชัดเจนในการกำหนดโครงสร้างองค์กรสำหรับการคุ้มครองข้อมูลส่วนบุคคลและกำกับดูแล
• แนวปฏิบัติ 2.1.5 — JD ระบุความรับผิดชอบและสายรายงานผู้บริหาร
• แนวปฏิบัติ 2.1.6 — JD เป็นปัจจุบัน เหมาะสมกับวัตถุประสงค์ และมีการทบทวนสม่ำเสมอ
• แนวปฏิบัติ 2.1.7 — DPO และผู้กำกับดูแลเข้าใจโครงสร้างองค์กรและความรับผิดชอบของตน
• แนวปฏิบัติ 2.1.8 — DPO มีหน้าที่รับผิดชอบตาม ม. 42
• แนวปฏิบัติ 2.1.9 — DPO มีอำนาจปฏิบัติหน้าที่ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ
• แนวปฏิบัติ 2.1.10 — DPO มีความรู้ความเชี่ยวชาญด้านกฎหมายและแนวปฏิบัติ
• แนวปฏิบัติ 2.1.11 — หากองค์กรไม่ต้องแต่งตั้ง DPO ต้องบันทึกการตัดสินใจหรือเหตุผลไว้ให้ตรวจสอบ
• แนวปฏิบัติ 2.1.12 — หากไม่ต้องแต่งตั้ง DPO ต้องมอบหมายผู้รับผิดชอบและสนับสนุนทรัพยากรให้เพียงพอ
• แนวปฏิบัติ 2.1.13 — สมาชิกในองค์กรทราบว่า DPO คือใคร มีหน้าที่อะไร และติดต่ออย่างไร
• แนวปฏิบัติ 2.1.14 — DPO มีส่วนร่วมให้ความเห็นทุกประเด็นที่เกี่ยวข้องกับ PDPA ในเวลาที่เหมาะสม
• แนวปฏิบัติ 2.1.15 — DPO ปฏิบัติหน้าที่อย่างเป็นอิสระ ไม่มีผลประโยชน์ทับซ้อน และมีส่วนร่วมตัดสินใจโดยตรง
• แนวปฏิบัติ 2.1.16 — DPO ให้คำแนะนำโดยตรงและแจ้งข้อกังวลต่อผู้บริหารระดับสูงสุดได้
• แนวปฏิบัติ 2.1.17 — องค์กรปฏิบัติตามคำแนะนำของ DPO หากไม่ดำเนินการต้องบันทึกเหตุผลไว้
• แนวปฏิบัติ 2.1.18 — DPO ให้ข้อมูลที่เป็นปัจจุบันแก่ผู้บริหารระดับสูงเป็นประจำเกี่ยวกับกฎหมายและการดำเนินการด้าน PDPA
• แนวปฏิบัติ 2.1.19 — เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA จัดการดูแลข้อมูลอย่างมีประสิทธิภาพและรักษาความปลอดภัยอย่างเหมาะสม
• แนวปฏิบัติ 2.1.20 — เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีหน้าที่และความรับผิดชอบที่ชัดเจน
• แนวปฏิบัติ 2.1.21 — มีเครือข่ายสนับสนุนหรือคณะทำงานด้าน PDPA ในส่วนงานย่อยเพื่อเพิ่มประสิทธิภาพ
• แนวปฏิบัติ 2.1.22 — เจ้าหน้าที่ที่ปฏิบัติงานด้าน PDPA มีอำนาจ ได้รับการสนับสนุนและทรัพยากรอย่างมีประสิทธิภาพ
• แนวปฏิบัติ 2.1.23 — ต้องจัดให้มีคณะทำงานของ DPO และ DPO เข้าร่วมประชุมกับคณะทำงานอย่างสม่ำเสมอ
• แนวปฏิบัติ 2.1.24 — DPO เป็นประธานคณะทำงาน หรือมีบทบาทสำคัญในคณะทำงานของ DPO
• แนวปฏิบัติ 2.1.25 — มีการกำหนดเป้าหมายคณะทำงานของ DPO อย่างชัดเจน
• แนวปฏิบัติ 2.1.26 — คณะทำงาน DPO มีการบันทึกรายงานการประชุม
• แนวปฏิบัติ 2.1.27 — ภาระงานของ DPO ครอบคลุมการดำเนินงานด้าน PDPA ระบุปัญหาความเสี่ยง และจัดทำตัวชี้วัด (KPI)
• แนวปฏิบัติ 2.1.28 — คณะทำงานของ DPO มีแผนงานหรือแผนปฏิบัติการที่ได้รับการติดตามอย่างสม่ำเสมอ
• แนวปฏิบัติ 2.1.29 — คณะกรรมการบริษัทหรือผู้บริหารระดับสูงพิจารณาประเด็น PDPA และความเสี่ยงที่คณะทำงาน DPO รายงาน
• แนวปฏิบัติ 2.1.30 — กลุ่มปฏิบัติการมีการพบปะและมีเจ้าหน้าที่ที่เกี่ยวข้องเข้าร่วมอย่างสม่ำเสมอ
• แนวปฏิบัติ 2.1.31 — กลุ่มปฏิบัติการมีการจัดทำรายงานการประชุมและแผนปฏิบัติการ
• แนวปฏิบัติ 2.1.32 — วาระการประชุมแสดงว่ากลุ่มปฏิบัติการหารือประเด็น PDPA อย่างเหมาะสมและมีการกำกับดูแลสม่ำเสมอ
• แนวปฏิบัติ 2.1.33 — ปัญหาและความเสี่ยงด้าน PDPA ที่เกิดขึ้นจะถูกรายงานไปยังคณะทำงานของ DPO
• แนวปฏิบัติ 2.1.34 — องค์กรจัดทำนโยบาย PDPA และกรอบการปฏิบัติงานจากแผนเชิงกลยุทธ์ รับรองโดยฝ่ายบริหารระดับสูง
• แนวปฏิบัติ 3.2.1 — องค์กรจัดทำนโยบาย PDPA ครอบคลุมครบถ้วน
• แนวปฏิบัติ 3.2.2 — องค์กรจัดทำนโยบายและแนวปฏิบัติ PDPA กำหนดบทบาทหน้าที่ชัดเจน
• แนวปฏิบัติ 3.2.3 — องค์กรทบทวนการปฏิบัติตามนโยบายและแนวปฏิบัติ PDPA
• แนวปฏิบัติ 3.2.4 — องค์กรทบทวนนโยบายและแนวปฏิบัติ PDPA ตามรอบระยะเวลาที่กำหนด
• แนวปฏิบัติ 3.3.1 — พนักงานอ่านและทำความเข้าใจนโยบายและขั้นตอนการปฏิบัติงาน PDPA
• แนวปฏิบัติ 3.3.2 — องค์กรแจ้งพนักงานทราบเกี่ยวกับนโยบายและแนวปฏิบัติใหม่
• แนวปฏิบัติ 3.3.3 — องค์กรจัดให้พนักงานเข้าถึงนโยบายและแนวปฏิบัติได้โดยง่าย
• แนวปฏิบัติ 3.3.4 — องค์กรจัดทำโปสเตอร์และเอกสารสร้างความตระหนักรู้ด้าน PDPA
• แนวปฏิบัติ 3.3.5 — องค์กรจัดทำนโยบายและแนวปฏิบัติเพื่อสร้างจิตสำนึกการกำหนดค่าเริ่มต้น
• แนวปฏิบัติ 3.4.1 — องค์กรกำหนดค่าเริ่มต้นคุ้มครองข้อมูลในการออกแบบระบบ ผลิตภัณฑ์ และบริการ
• แนวปฏิบัติ 3.4.2 — องค์กรมีวิธีปฏิบัติตามหลักจำกัดข้อมูล จำกัดวัตถุประสงค์ และทำข้อมูลแฝง
• แนวปฏิบัติ 3.4.3 — องค์กรมีนโยบายคุ้มครองข้อมูลส่วนบุคคลของกลุ่มเปราะบาง
• แนวปฏิบัติ 5.1.1 — พนักงานได้รับการฝึกอบรมเฉพาะทางเพื่อจัดการคำขอ รวมถึงการฝึกอบรมเพิ่มเติมอย่างสม่ำเสมอ
• แนวปฏิบัติ 5.1.2 — มีบุคคลหรือคณะทำงานเฉพาะที่มีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อคำขอใช้สิทธิ
• แนวปฏิบัติ 5.1.3 — องค์กรจัดสรรทรัพยากรอย่างเพียงพอเพื่อจัดการกับคำขอใช้สิทธิ เช่น แบบฟอร์มหรือระบบเทคโนโลยีสารสนเทศ
• แนวปฏิบัติ 5.1.4 — กรณีผู้รับผิดชอบด้านคำขอใช้สิทธิไม่สามารถปฏิบัติหน้าที่ได้ องค์กรจัดให้มีพนักงานคนอื่นหรือระบบเทคโนโลยีทำหน้าท
• แนวปฏิบัติ 5.1.5 — องค์กรมีความสามารถในการจัดการกับคำขอที่เพิ่มขึ้นได้ หรือยังบริหารจัดการได้แม้มีการลดจำนวนพนักงานที่รับผิดชอบคำ
• แนวปฏิบัติ 5.1.6 — องค์กรมีกระบวนการเพื่อให้แน่ใจว่าบันทึกการเข้าระบบมีความถูกต้องและได้รับการปรับปรุงให้เป็นปัจจุบันตามความเหมาะ
• แนวปฏิบัติ 5.1.7 — บันทึกการเข้าระบบแสดงวันที่ดำเนินการตามคำขอ และผลการดำเนินการตามคำขอ
• แนวปฏิบัติ 5.1.8 — องค์กรจัดให้มีรายการการตรวจสอบที่บันทึกขั้นตอนสำคัญในกระบวนการจัดการคำขอ
• แนวปฏิบัติ 5.1.9 — องค์กรจัดให้มีบันทึกของการตอบสนองต่อคำขอใช้สิทธิตามกฎหมาย รวมถึงข้อมูลที่เปิดเผยหรือไม่เปิดเผยจากคำขอ
• แนวปฏิบัติ 5.1.10 — องค์กรดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลทั้งหมดภายในระยะเวลาตามกฎหมาย
• แนวปฏิบัติ 5.1.11 — องค์กรบันทึกการปฏิเสธคำขอใช้สิทธิพร้อมเหตุผลใน ROPA และแจ้งเหตุผลไปยังเจ้าของข้อมูลส่วนบุคคล
• แนวปฏิบัติ 5.1.12 — เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมกันเป็นประจำเพื่อหารือปัญหาและจัดลำดับความสำคัญหรือยกระดับกรณีที
• แนวปฏิบัติ 5.1.13 — หากองค์กรต้องการขยายเวลาการจัดการคำขอใช้สิทธิ องค์กรจะรายงานความก้าวหน้าและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
• แนวปฏิบัติ 5.1.14 — เจ้าหน้าที่ที่รับผิดชอบในการจัดการคำขอจะประชุมหารือกันเป็นประจำเพื่อปรึกษาปัญหาเกี่ยวกับการจัดการคำขอใช้สิทธิข
• แนวปฏิบัติ 5.1.15 — องค์กรจัดทำรายงานการประเมินประสิทธิภาพของการจัดการคำขอเพื่อให้แน่ใจว่าคำขอได้รับการจัดการอย่างเหมาะสม
• แนวปฏิบัติ 5.1.16 — องค์กรรายงานต่อผู้บริหารระดับสูง เพื่อทบทวนและมีคำสั่งให้ดำเนินการจัดการคำขอใช้สิทธิ ตามความเหมาะสม
• แนวปฏิบัติ 5.1.17 — องค์กรวิเคราะห์แนวโน้มจากคำขอใช้สิทธิต่าง ๆ ที่มี เพื่อหาสาเหตุของคำขอ และจะได้นำไปปรับปรุงประสิทธิภาพหรือลดปร
• แนวปฏิบัติ 5.1.18 — องค์กรมีขั้นตอนและกระบวนการตามความเหมาะสม ได้สัดส่วนและสมเหตุสมผลในการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลที่เ
• แนวปฏิบัติ 5.1.19 — หากองค์กรมั่นใจว่าข้อมูลถูกต้องแล้ว จะต้องมีขั้นตอนในการอธิบายและแจ้งแก่เจ้าของข้อมูลส่วนบุคคล รวมถึงแจ้งสิทธิ
• แนวปฏิบัติ 5.1.20 — หากข้อมูลส่วนบุคคลได้รับการเปิดเผยให้กับผู้อื่น องค์กรจะต้องติดต่อแต่ละผู้รับข้อมูลเพื่อแจ้งให้ทราบถึงการแก้ไข
• แนวปฏิบัติ 5.1.21 — หากถูกร้ององค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไปบ้า
• แนวปฏิบัติ 5.1.22 — องค์กรจะลบข้อมูลส่วนบุคคลจากระบบสำรองข้อมูล รวมถึงระบบที่ใช้งานอยู่เมื่อจำเป็น และทำการชี้แจงให้บุคคลนั้นทราบอ
• แนวปฏิบัติ 5.1.23 — หากข้อมูลส่วนบุคคลได้รับการเผยแพร่สู่สาธารณะในรูปแบบออนไลน์ องค์กรจะดำเนินการตามขั้นตอนที่เหมาะสมเพื่อแจ้งให้ผ
• แนวปฏิบัติ 5.1.24 — หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งให้ทราบเกี่ยวกับการลบหรือทำลาย เว้
• แนวปฏิบัติ 5.1.25 — หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามหรือผู้ควบคุมข้อมูลส่วนบุคคล
• แนวปฏิบัติ 5.1.26 — องค์กรให้ความสำคัญเป็นพิเศษกับคำขอให้ลบซึ่งเกี่ยวเนื่องกับความยินยอมของผู้เยาว์ โดยเฉพาะอย่างยิ่งเมื่อเป็นการป
• แนวปฏิบัติ 5.1.27 — องค์กรสามารถระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลในลักษณะที่เหมาะสมกับประเภทของการประมวลผลและระบบที่เกี่ยวข
• แนวปฏิบัติ 5.1.28 — หากข้อมูลส่วนบุคคลถูกเปิดเผยต่อผู้อื่น องค์กรจะติดต่อผู้รับแต่ละรายเพื่อแจ้งเกี่ยวกับการระงับใช้ข้อมูลส่วนบุคค
• แนวปฏิบัติ 5.1.29 — หากถูกร้องขอ องค์กรสามารถระบุและแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าบุคคลที่สามรายใดได้รับข้อมูลส่วนบุคคลไป
• แนวปฏิบัติ 5.1.30 — เมื่อได้รับการร้องขอ องค์กรจะจัดเตรียมข้อมูลส่วนบุคคลที่อยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไป ด้วยเครื่
• แนวปฏิบัติ 5.1.31 — ในกรณีที่เป็นไปได้และหากบุคคลร้องขอ องค์กรสามารถส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง
• แนวปฏิบัติ 5.1.32 — องค์กรดำเนินการตรวจสอบเพิ่มเติมสำหรับกลุ่มเปราะบาง เช่น ผู้เยาว์ ผู้พิการ สำหรับการประมวลผลโดยระบบอัตโนมัติและ
• แนวปฏิบัติ 5.1.33 — องค์กรเก็บข้อมูลเท่าที่จำเป็นและมีนโยบายการเก็บรักษาข้อมูลที่ชัดเจนสำหรับโปรไฟลิ่งที่สร้างขึ้น
• แนวปฏิบัติ 5.1.34 — หากองค์กรใช้การประมวลผลโดยระบบอัตโนมัติ องค์กรมีกระบวนการที่บันทึกไว้เป็นหลักฐานว่าการตัดสินใจเหล่านี้เกิดขึ้น
• แนวปฏิบัติ 5.1.35 — ในกรณีที่การตัดสินใจเป็นไปโดยระบบอัตโนมัติ (ไม่มีบุคคลตรวจสอบ) และมีผลทางกฎหมายหรือในทำนองเดียวกันอย่างมีนัยสำ
• แนวปฏิบัติ 5.1.36 — องค์กรดำเนินการตรวจสอบความถูกต้องและอคติของระบบอัตโนมัติเป็นประจำ เพื่อให้แน่ใจว่าระบบทำงานตามที่ตั้งใจไว้ และ
• แนวปฏิบัติ 5.1.37 — ข้อมูลการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือช่องทางการติดต่ออื่น ๆ จะต้องเปิดเผยแก่สาธารณะ หากบุคคลต
• แนวปฏิบัติ 5.1.38 — องค์กรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเกี่ยวกับสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคค
• แนวปฏิบัติ 5.1.39 — องค์กรมีกระบวนการในการจัดการข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรายงานการแก้ไขปัญหาให้กับผู้บริ
• แนวปฏิบัติ 6.1.1 — มีการแจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อที่เกี่ยวข้อง ได้แก่ ข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและ
• แนวปฏิบัติ 6.1.2 — มีการแจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ฐานทางกฎหมายที่ใช้ และอาจรวมถึงประโยชน์โดยช
• แนวปฏิบัติ 6.1.3 — มีการแจ้งประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูลส่วนบุคคล ในกรณีที่ข้อมูลส่วนบุคคลดังกล่า
• แนวปฏิบัติ 6.1.4 — มีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึงรายละเอียดการส่งหรือโ
• แนวปฏิบัติ 6.1.5 — มีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน มี
• แนวปฏิบัติ 6.1.6 — มีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมถึงสิทธิในการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล (กรณีมีการขอควา
• แนวปฏิบัติ 6.1.7 — มีการแจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมาย หรือสัญญา หรือมีคว
• แนวปฏิบัติ 6.1.8 — ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งให้เจ้าของ
• แนวปฏิบัติ 6.2.1 — เจ้าของข้อมูลส่วนบุคคลได้รับแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลในขณะที่ข้อมูลส่วนบุคคล
• แนวปฏิบัติ 6.2.2 — ในกรณีของการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง องค์กรได้แจ้งการเก็บรวบ
• แนวปฏิบัติ 6.3.1 — ใช้กระบวนการเชิงรุกในการแจ้งให้บุคคลทราบถึงวัตถุประสงค์และรายละเอียดต่าง ๆ และมีวิธีเข้าถึงข้อมูลดังกล่าวได้ง่
• แนวปฏิบัติ 6.3.2 — องค์กรแจ้งให้ทราบในรูปแบบอิเล็กทรอนิกส์และเอกสาร โดยใช้เทคนิคที่เหมาะสมร่วมกัน
• แนวปฏิบัติ 6.3.3 — ภาษาและข้อความที่ใช้ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลมีความชัดเจนและสามารถเข้าใ
• แนวปฏิบัติ 6.3.4 — ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ ภาษาที่ใช้ในการสื่อสารต้องเหมาะสมกับช่วงวัยของผู้เยาว์ และต้องอธิบ
• แนวปฏิบัติ 6.4.1 — องค์กรมีขั้นตอนหรือแนวปฏิบัติสำหรับเจ้าของข้อมูลส่วนบุคคลในการเข้าถึงข้อมูลส่วนบุคคลที่องค์กรใช้ในการสร้างโปรไ
• แนวปฏิบัติ 6.4.2 — หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมาย
• แนวปฏิบัติ 6.4.3 — หากวัตถุประสงค์ไม่ชัดเจนในตอนแรก องค์กรจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่าองค์กรจะใช้หรือเปิดเผยข้อมูลส่วนบ
• แนวปฏิบัติ 6.4.4 — หากในกิจกรรมการประมวลผลนั้นมีการตัดสินใจโดยระบบอัตโนมัติเพียงอย่างเดียวและมีผลกระทบต่อสิทธิและหน้าที่ตามกฎหมาย
• แนวปฏิบัติ 6.5.1 — มีการสื่อสารและสร้างความตระหนักรู้แก่พนักงาน/เจ้าหน้าที่ของทั้งองค์กรเกี่ยวกับประกาศการคุ้มครองข้อมูลส่วนบุคคล
• แนวปฏิบัติ 6.5.2 — พนักงาน/เจ้าหน้าที่ที่อยู่หน้างาน (Frontline staff) ได้รับการอบรมเป็นพิเศษเกี่ยวกับข้อมูลต่าง ๆ ตามประกาศการคุ
• แนวปฏิบัติ 6.5.3 — พนักงาน/เจ้าหน้าที่ตระหนักและรับทราบถึงวิธีการต่าง ๆ ที่องค์กรใช้เป็นช่องทางในการแจ้งข้อมูลเกี่ยวกับวัตถุประสง
• แนวปฏิบัติ 6.6.1 — หากองค์กรจะใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่/เปลี่ยนแปลงวัตถุประสงค์ องค์กรมีขั้นตอนในการปรับปรุงประกาศก
• แนวปฏิบัติ 6.6.2 — องค์กรมีการทบทวนประกาศการคุ้มครองข้อมูลส่วนบุคคลโดยการพิจารณาเปรียบเทียบกับการบันทึกรายการของกิจกรรมการประมวลผ
• แนวปฏิบัติ 6.6.3 — องค์กรเก็บบันทึกประกาศการคุ้มครองข้อมูลส่วนบุคคลที่เคยใช้บังคับ รวมถึงวันที่ทำการเปลี่ยนแปลง เพื่อให้สามารถตรว
• แนวปฏิบัติ 6.6.4 — องค์กรดำเนินการทดสอบโดยผู้ใช้เพื่อประเมินประสิทธิภาพของการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์และรายละเอียดในการเก็
• แนวปฏิบัติ 6.6.5 — องค์กรวิเคราะห์ข้อร้องเรียนจากสาธารณะเกี่ยวกับวิธีที่องค์กรใช้ข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งข้อร้องเรียนใด
• แนวปฏิบัติ 6.7.1 — ประกาศการคุ้มครองข้อมูลส่วนบุคคลมีความชัดเจนและง่ายสำหรับสาธารณะในการเข้าถึง
• แนวปฏิบัติ 6.7.2 — องค์กรมีเครื่องมือให้กับเจ้าของข้อมูลส่วนบุคคล เช่น ระบบการบริการตนเองที่ปลอดภัย แดชบอร์ด และการแจ้งเตือนแบบทั
• แนวปฏิบัติ 6.7.3 — องค์กรกำหนดค่าเริ่มต้นความเป็นส่วนตัวที่ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงตัวเลือกและการควบคุมที
• แนวปฏิบัติ 6.7.4 — ในกรณีที่เกี่ยวข้อง องค์กรมีกระบวนการเพื่อช่วยให้ผู้เยาว์สามารถใช้สิทธิในการปกป้องความเป็นส่วนตัวของข้อมูลส่วน
• แนวปฏิบัติ 6.7.5 — องค์กรใช้มาตรการที่เหมาะสมเพื่อปกป้องผู้เยาว์ที่ใช้บริการดิจิทัลขององค์กร
• แนวปฏิบัติ 7.1.1 — องค์กรมีการทบทวนหรือจัดทำแผนผังข้อมูลเพื่อทำความเข้าใจการไหลเวียนของข้อมูลส่วนบุคคลในองค์กร
• แนวปฏิบัติ 7.1.2 — แผนผังข้อมูลมีความถูกต้องเป็นปัจจุบัน และมีผู้รับผิดชอบในการทบทวนให้ถูกต้องและเป็นปัจจุบันอยู่เสมอ
• แนวปฏิบัติ 7.1.3 — มีการตรวจสอบหารือกับส่วนงานที่เกี่ยวข้องเพื่อให้แผนผังข้อมูลถูกต้องและสอดคล้องกันในเชิงกระบวนการ
• แนวปฏิบัติ 7.2.2 — มีการทบทวนบันทึกรายการอย่างสม่ำเสมอว่าเป็นไปตามหลักการเก็บรวบรวมเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมา
• แนวปฏิบัติ 7.2.3 — มีการทบทวนบันทึกรายการอย่างสม่ำเสมอให้สอดคล้องกับนโยบายและแนวปฏิบัติขององค์กร และมอบหมายผู้รับผิดชอบในการทบทวน
• แนวปฏิบัติ 7.3.1 — บันทึกรายการมีรายการอย่างน้อยตามที่กำหนดไว้ในมาตรา 39
• แนวปฏิบัติ 7.3.2 — กรณีมีผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องกำกับให้ผู้ประมวลผลจัดทำบันทึกรายการตามที่กฎหมายกำหนด
• แนวปฏิบัติ 7.4.1 — บันทึกรายการมีการเชื่อมโยงไปยังเอกสารหรือข้อมูลต่าง ๆ ที่เกี่ยวข้องกับกิจกรรมนั้น
• แนวปฏิบัติ 7.5.1 — องค์กรกำหนดฐานทางกฎหมายที่เหมาะสมและสอดคล้องกับวัตถุประสงค์
• แนวปฏิบัติ 7.5.2 — องค์กรกำหนดและบันทึกฐานทางกฎหมายตามมาตรา 26 สำหรับการประมวลผลข้อมูลอ่อนไหว
• แนวปฏิบัติ 7.5.3 — กรณีประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม องค์กรได้พิจารณาความจำเป็นและกำหนดมาตรการตามกฎหมายที่เกี่ยวข้องแล้
• แนวปฏิบัติ 7.5.4 — ในการประมวลผลข้อมูลเกี่ยวกับประวัติอาชญากรรม หน่วยงานได้พิจารณาองค์ประกอบ 5 ประการตามที่กฎหมายกำหนด
• แนวปฏิบัติ 7.5.5 — องค์กรกำหนดฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลก่อนเริ่มกิจกรรมการประมวลผล
• แนวปฏิบัติ 7.5.6 — องค์กรมีการบันทึกเหตุผลและวิธีการในการกำหนดหรือเลือกฐานทางกฎหมายที่เหมาะสม
• แนวปฏิบัติ 7.6.1 — องค์กรแจ้งฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และมาตรา 26 ในประกาศการคุ้มครองข้อมูลส่วนบุคคล
• แนวปฏิบัติ 7.6.2 — กรณีมีความจำเป็นตามกฎหมายหรือเปลี่ยนแปลงวัตถุประสงค์ องค์กรแจ้งเจ้าของข้อมูลและบันทึกฐานทางกฎหมายนั้นลงในบันทึ
• แนวปฏิบัติ 7.6.3 — ประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กรอยู่ในรูปแบบที่เข้าถึงได้โดยง่ายและอ่านเข้าใจง่าย
• แนวปฏิบัติ 7.7.1 — ความยินยอมมีเงื่อนไขสอดคล้องกับมาตรา 19
• แนวปฏิบัติ 7.7.2 — มีการบันทึกวัตถุประสงค์ของการขอความยินยอมและตรวจสอบการให้ความยินยอมได้ รวมถึงจัดให้มีวิธีการเพิกถอนความยินยอม
• แนวปฏิบัติ 7.7.3 — องค์กรมีตัวอย่างที่ใช้ในการขอความยินยอมและวิธีการให้ความยินยอม เพื่อให้เจ้าของข้อมูลส่วนบุคคลเข้าใจเงื่อนไขและ
• แนวปฏิบัติ 7.8.1 — องค์กรมีกระบวนการในการทบทวนความยินยอมเพื่อตรวจสอบว่าวัตถุประสงค์ของการประมวลผลตามความยินยอมที่ได้รับมานั้นยังเ
• แนวปฏิบัติ 7.8.2 — องค์กรกำหนดช่วงเวลาที่เหมาะสมในการขอความยินยอมอีกครั้ง เพื่อทบทวนว่ายังมีเงื่อนไขสอดคล้องกับกฎหมายและวัตถุประส
• แนวปฏิบัติ 7.8.3 — องค์กรจัดให้มีเครื่องมือในการควบคุมหรือกำหนดความเป็นส่วนตัวโดยเจ้าของข้อมูลส่วนบุคคล เพื่อใช้จัดการความยินยอมด
• แนวปฏิบัติ 7.9.1 — องค์กรมีระบบในการตรวจสอบอายุและความสามารถของผู้เยาว์ และมีมาตรการตรวจสอบการได้รับความยินยอมจากผู้มีอำนาจกระทำแ
• แนวปฏิบัติ 7.9.2 — องค์กรมีมาตรการที่เหมาะสมในการตรวจสอบว่าบุคคลดังกล่าวสามารถให้ความยินยอมด้วยตนเองได้ หรือกรณีที่ต้องขอความยินย
• แนวปฏิบัติ 7.9.3 — กรณีให้บริการออนไลน์กับผู้เยาว์ องค์กรมีมาตรการประเมินความเสี่ยงเพื่อตรวจสอบอายุของผู้เยาว์ให้สอดคล้องกับระดับ
• แนวปฏิบัติ 7.9.4 — กรณีขอความยินยอมจากผู้เยาว์หรือบุคคลไร้ความสามารถ องค์กรมีมาตรการตรวจสอบว่าผู้ให้ความยินยอมแทนเป็นผู้มีอำนาจกร
• แนวปฏิบัติ 7.10.1 — มีการจัดทำการประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล เพื่อใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย
• แนวปฏิบัติ 7.10.2 — การประเมินมีการชั่งผลประโยชน์ตามหลักความได้สัดส่วน เพื่อให้มั่นใจว่าประโยชน์โดยชอบด้วยกฎหมายเหมาะสมเมื่อเทียบก
• แนวปฏิบัติ 7.10.3 — มีการจัดทำเป็นเอกสารการประเมิน เพื่อให้สามารถตรวจสอบได้ถึงการใช้แนวทางการประเมินและการตัดสินใจ
• แนวปฏิบัติ 7.10.4 — มีนโยบายและกระบวนการจัดทำการประเมินผลประโยชน์โดยชอบด้วยกฎหมายก่อนเริ่มดำเนินการ พร้อมรายงานการประชุม
• แนวปฏิบัติ 7.10.5 — มีการทบทวนการประเมินอย่างสม่ำเสมอ โดยเฉพาะกรณีที่มีความเปลี่ยนแปลงเกี่ยวกับกิจกรรมการประมวลผลที่อาจกระทบต่อผลก
• แนวปฏิบัติ 9.1.1 — องค์กรมีกระบวนการที่จะช่วยให้พนักงานรายงานและยกระดับการปกป้องข้อมูล และสามารถแจ้งข้อกังวลและความเสี่ยงด้านการก
• แนวปฏิบัติ 9.1.2 — องค์กรระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลในทะเบียนจัดการความเสี่ยงที่เหมาะสม ซึ่งรวมถึงการเชื่อมโยงที่ช
• แนวปฏิบัติ 9.1.3 — หากองค์กรมีการระบุความเสี่ยงด้านข้อมูลส่วนบุคคล องค์กรมีแผนปฏิบัติการ รายงานความคืบหน้า และการพิจารณาบทเรียนที
• แนวปฏิบัติ 9.1.4 — นโยบายความเสี่ยงด้านข้อมูลส่วนบุคคลจัดทำเป็นเอกสารแยกต่างหากหรือเป็นส่วนหนึ่งของนโยบายความเสี่ยงระดับองค์กร แล
• แนวปฏิบัติ 9.1.5 — องค์กรมีขั้นตอนอย่างเป็นทางการในการระบุ บันทึก และจัดการความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินสารสนเทศในทะเบียนคว
• แนวปฏิบัติ 9.1.6 — องค์กรมีมาตรการเพื่อลดความเสี่ยงที่ระบุในประเภทความเสี่ยง และองค์กรทดสอบมาตรการเหล่านี้เป็นประจำเพื่อให้แน่ใจว
• แนวปฏิบัติ 9.2.1 — องค์กรกำหนดให้มีการทำ DPIA ตั้งแต่เริ่มต้นของโครงการ ก่อนที่การประมวลผลข้อมูลส่วนบุคคลจะเริ่มต้น และ DPIA จะต้
• แนวปฏิบัติ 9.2.2 — องค์กรอ้างอิง DPIA ในนโยบายและขั้นตอนการจัดการความเสี่ยงโครงการ และนโยบายการบริหารจัดการการเปลี่ยนแปลงทั้งหมด
• แนวปฏิบัติ 9.2.3 — องค์กรมีการคาดการณ์ถึงความเสี่ยงและเหตุการณ์ที่อาจรุกล้ำความเป็นส่วนตัวก่อนที่จะเกิดขึ้นในขั้นตอนการออกแบบเริ่
• แนวปฏิบัติ 9.3.1 — นโยบาย DPIA ควรรวมถึงขั้นตอนที่ชัดเจนในการตัดสินใจว่าต้องทำ DPIA หรือไม่ สิ่งที่ DPIA ควรครอบคลุม ผู้อนุมัติ แ
• แนวปฏิบัติ 9.3.2 — องค์กรมีเกณฑ์เพื่อตรวจสอบคัดกรองว่าองค์กรต้องทำ DPIA หรือไม่ รวมถึงข้อควรพิจารณาที่เกี่ยวข้องทั้งหมดเกี่ยวกับข
• แนวปฏิบัติ 9.3.3 — หากเกณฑ์ตรวจสอบคัดกรองระบุว่าองค์กรไม่จำเป็นต้องทำ DPIA องค์กรจะบันทึกเหตุผลเอาไว้
• แนวปฏิบัติ 9.3.4 — ขั้นตอนขององค์กรรวมถึงข้อกำหนดในการขอคำแนะนำจาก DPO และเจ้าหน้าที่อื่น ๆ ภายในองค์กรที่เกี่ยวข้องในการจัดทำการ
• แนวปฏิบัติ 9.3.5 — ขั้นตอนขององค์กรรวมถึงการปรึกษาหารือกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทน และผู้มีส่วน
• แนวปฏิบัติ 9.3.6 — การฝึกอบรมพนักงานรวมถึงความจำเป็นในการประเมินเพื่อทำ DPIA ในระยะแรกของแผนหรือโครงการใด ๆ ที่เกี่ยวข้องกับข้อมู
• แนวปฏิบัติ 9.3.7 — องค์กรมอบหมายความรับผิดชอบในการจัดทำ DPIA ให้กับพนักงานที่มีอำนาจในโครงการ เช่น หัวหน้าโครงการ หรือผู้จัดการ
• แนวปฏิบัติ 9.4.1 — องค์กรมีเทมเพลต/แบบฟอร์มของ DPIA ที่เป็นมาตรฐาน มีโครงสร้างที่ชัดเจน และเป็นภาษาที่เข้าใจได้โดยง่าย
• แนวปฏิบัติ 9.4.2 — DPIA มีรายละเอียดอย่างน้อยดังนี้ ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล การประเมินความจำเป็น ความได
• แนวปฏิบัติ 9.4.3 — DPIA กำหนดความสัมพันธ์และแสดงทิศทางการไหลเวียนของข้อมูลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุ
• แนวปฏิบัติ 9.4.4 — DPIA ระบุมาตรการที่สามารถนำไปใช้เพื่อกำจัด บรรเทา หรือลดความเสี่ยงสูง
• แนวปฏิบัติ 9.4.5 — องค์กรมีการบันทึกการดำเนินการตาม DPIA พร้อมด้วยการควบคุมโดยเอกสารที่เหมาะสม และมีการตรวจสอบเป็นระยะ ๆ เพื่อให้
• แนวปฏิบัติ 9.4.6 — องค์กรบันทึกคำแนะนำของ DPO และรายละเอียดการให้คำปรึกษาอื่น ๆ ของ DPO เกี่ยวกับ DPIA ดังกล่าว
• แนวปฏิบัติ 9.4.7 — มีบุคคลที่เหมาะสมลงนามใน DPIA เช่น หัวหน้าโครงการ
• แนวปฏิบัติ 9.5.1 — องค์กรต้องไม่เริ่มการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงจนกว่าจะมีมาตรการบรรเทาผลกระทบตามที่กำหนดใน DPIA
• แนวปฏิบัติ 9.5.2 — องค์กรมีการกำหนดเวลาสำหรับการทบทวน DPIA เป็นประจำ หรือเมื่อลักษณะ ขอบเขต บริบท หรือวัตถุประสงค์ของการประมวลผลเ
• แนวปฏิบัติ 9.5.3 — องค์กรมีขั้นตอนในการปรึกษาผู้เชี่ยวชาญ หากไม่สามารถลดความเสี่ยงที่เหลืออยู่ได้
• แนวปฏิบัติ 9.5.4 — องค์กรบูรณาการผลลัพธ์จาก DPIA เข้ากับแผนงาน แผนปฏิบัติการโครงการ และบันทึกความเสี่ยงที่เกี่ยวข้อง รวมถึงทะเบีย
• แนวปฏิบัติ 9.5.5 — องค์กรมีขั้นตอนในการสื่อสารผลลัพธ์ของ DPIA ไปยังผู้มีส่วนได้ส่วนเสียที่เหมาะสม เช่น ผ่านรายงานสรุปอย่างเป็นทาง
• แนวปฏิบัติ 9.5.6 — องค์กรเผยแพร่ผลการพิจารณา DPIA หากเป็นไปได้ โดยเปิดเผยตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และมีรูปแบบกา
• แนวปฏิบัติ 10.1.1 — มีระบบ ตู้ บริเวณ หรือพื้นที่สำหรับจัดเก็บรายการข้อมูลต่าง ๆ และมีการจัดทำบัญชีทรัพย์สินสารสนเทศสำหรับใช้ในการ
• แนวปฏิบัติ 10.1.2 — มีการเฝ้าระวังและคอยตรวจสอบข้อมูลที่เข้าออกจากระบบ ข้อมูลที่ขาดหาย หรือข้อมูลที่ไม่ถูกส่งกลับคืนมา
• แนวปฏิบัติ 10.1.3 — องค์กรมีนโยบายและแนวปฏิบัติเพื่อจัดเก็บ แยกหมวดหมู่ และทำดัชนีสำหรับรายการข้อมูลส่วนบุคคลต่าง ๆ เพื่อสนับสนุนก
• แนวปฏิบัติ 10.1.4 — มีการจัดทำดัชนีสำหรับรายการข้อมูลที่จัดเก็บไว้นอกสถานที่ เพื่อให้สามารถเข้าถึงและติดตามข้อมูลได้อย่างถูกต้อง
• แนวปฏิบัติ 10.2.2 — มีมาตรการในการทำให้การส่งหรือโอนข้อมูลนั้นมีความมั่นคงปลอดภัย รวมทั้งมีมาตรการลดการส่งหรือโอนข้อมูลออกไปยังภาย
• แนวปฏิบัติ 10.5.1 — สำหรับเอกสารที่เป็นกระดาษ มีการใช้ถังขยะที่ล็อกได้เพื่อจัดเก็บข้อมูลส่วนบุคคลไว้ และใช้การย่อยเป็นชิ้นเล็ก ๆ ใ
• แนวปฏิบัติ 10.5.2 — สำหรับข้อมูลที่อยู่บนอุปกรณ์อิเล็กทรอนิกส์ มีการใช้วิธีการลบหรือทำลายที่มีความมั่นคงปลอดภัย หรือการทำลายสนามแม
• แนวปฏิบัติ 10.5.3 — มีการส่งขยะที่มีข้อมูลความลับไปกำจัดนอกสถานที่โดยวิธีการที่มีความมั่นคงปลอดภัย
• แนวปฏิบัติ 10.5.4 — มีการจัดทำสัญญากับผู้ให้บริการภายนอกเพื่อลบหรือทำลายข้อมูลส่วนบุคคล โดยผู้ให้บริการแสดงถึงมาตรฐานที่ใช้ในการลบ
• แนวปฏิบัติ 10.5.5 — มีการบันทึกไว้เป็นข้อมูลสำหรับอุปกรณ์หรือระบบที่มีข้อมูลความลับทั้งหมดที่ได้มีการส่งออกไปเพื่อกำจัดหรือทำลาย
• แนวปฏิบัติ 10.6.1 — มีการจัดทำบัญชีทรัพย์สินสารสนเทศ โดยบัญชีดังกล่าวได้รวมถึงเจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการ
• แนวปฏิบัติ 10.6.2 — มีการทบทวนบัญชีทรัพย์สินสารสนเทศเป็นระยะ ๆ เพื่อให้มั่นใจว่าข้อมูลมีความถูกต้องและเป็นปัจจุบัน
• แนวปฏิบัติ 10.6.3 — มีการประเมินความเสี่ยงสำหรับทรัพย์สินที่อยู่ในรายการบัญชีทรัพย์สินสารสนเทศ มีการดำเนินการตรวจสอบทางกายภาพ เพื่
• แนวปฏิบัติ 10.9.1 — มีการจำกัดการเข้าถึงระบบหรือแอปพลิเคชันที่ประมวลผลข้อมูลส่วนบุคคลโดยให้สิทธิการเข้าถึงให้น้อยที่สุดตามความจำเป
• แนวปฏิบัติ 10.9.2 — มีการกำหนดให้มีการตั้งรหัสผ่านให้มีความซับซ้อน รวมถึงการจำกัดจำนวนครั้งที่สามารถล็อกอินผิดพลาดในการเข้าสู่ระบบ
• แนวปฏิบัติ 10.9.3 — มีการบริหารจัดการรหัสผ่านให้มีความมั่นคงปลอดภัย เช่น การเปลี่ยนรหัสผ่านที่มาจากผู้ผลิต การควบคุมการใช้รหัสผ่าน
• แนวปฏิบัติ 10.9.4 — มีการป้องกันไฟล์แนบที่มีข้อมูลส่วนบุคคลและส่งมากับอีเมล โดยใช้การเข้ารหัสข้อมูล
• แนวปฏิบัติ 10.9.5 — มีการบันทึกล็อกสำหรับกิจกรรมการเข้าถึงระบบ เพื่อใช้ในการตรวจหาความผิดปกติต่าง ๆ
• แนวปฏิบัติ 10.9.6 — มีการใช้โปรแกรมป้องกันมัลแวร์และป้องกันไวรัสกับระบบที่มีความสำคัญ
• แนวปฏิบัติ 10.9.7 — โปรแกรมป้องกันมัลแวร์และไวรัสมีการอัปเดตฐานข้อมูลให้เป็นปัจจุบันและมีการตั้งค่าโปรแกรมป้องกันไวรัสให้ทำการสแกน

← ใช้คลังนี้กับ AI ของคุณ · สารบบทั้งหมด · ℹ️ เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย