1. ขอบเขตและวัตถุประสงค์ของนโยบาย

• นโยบายนี้วางกรอบหลักการและแนวทางในการดำเนินการที่สำคัญสำหรับการคุ้มครองข้อมูลส่วนบุคคลของบริษัท แอ็ดวานซ์ อินโนเวชั่น เทคโนโลยี จำกัด (“บริษัทฯ”) เพื่อให้การดำเนินงานทั้งปวงเป็นไปตามหน้าที่และความรับผิดชอบของบริษัทฯ ในฐานะที่เป็นผู้ควบคุมข้อมูลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ”)
• นโยบายนี้ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลทั้งปวงที่เกิดขึ้นตามขอบเขตและวัตถุประสงค์ของบริษัทฯ ซึ่งรวมถึงการประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการโดยบุคคลหรือนิติบุคคลภายนอก หรือโดยอุปกรณ์หรือระบบภายนอกภายใต้ขอบเขตและวัตถุประสงค์ดังกล่าวด้วย
• นโยบายนี้ไม่ครอบคลุมถึงการประมวลผลข้อมูลส่วนบุคคลโดยบุคลากรของบริษัทฯ ซึ่งได้ดำเนินการเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้น อันไม่เกี่ยวข้องกับขอบเขตและวัตถุประสงค์ของบริษัทฯ
• การปฏิบัติตามนโยบายนี้ ครอบคลุมถึงการดำเนินการตามแนวปฏิบัติหรือข้อหารือที่จะได้ออกในรายละเอียดต่อไปตามนโยบายนี้ รวมถึงประกาศหรือระเบียบอื่นของบริษัทฯ ที่เกี่ยวข้องกับการบริหารจัดการข้อมูล

2. หลักการคุ้มครองข้อมูลส่วนบุคคล

การประมวลผลข้อมูลส่วนบุคคลของบริษัทฯ ต้องดำเนินการตามหลักการดังต่อไปนี้

• เป็นการประมวลผลข้อมูลส่วนบุคคลโดยชอบด้วยกฎหมาย มีความโปร่งใส และตรวจสอบได้ (lawfulness, fairness and transparency)
• เป็นการประมวลผลข้อมูลส่วนบุคคลภายในขอบเขตและวัตถุประสงค์ที่กำหนด โดยไม่นำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยนอกขอบเขตและวัตถุประสงค์ของการประมวลผลข้อมูลนั้น (purpose limitation)
• เป็นการประมวลผลข้อมูลส่วนบุคคลเท่าที่จำเป็น เกี่ยวข้อง และเพียงพอต่อขอบเขตและวัตถุประสงค์ของการประมวลผลข้อมูลนั้น (data minimization)
• เป็นการประมวลผลข้อมูลส่วนบุคคลที่ถูกต้องและดำเนินการให้ข้อมูลเป็นปัจจุบันในกรณีที่จำเป็น (accuracy)
• เป็นการจัดเก็บข้อมูลส่วนบุคคลตามระยะเวลาเท่าที่จำเป็นต่อการประมวลผลข้อมูลนั้น (storage limitation)
• เป็นการประมวลผลข้อมูลส่วนบุคคลที่มีมาตรการเพื่อการรักษาความมั่นคงปลอดภัยของข้อมูล (integrity, confidentiality and availability)

3. หน้าที่และความรับผิดชอบ

• คณะผู้บริหารของบริษัทฯ มีหน้าที่ในทางบริหารที่จะรับผิดชอบในการดำเนินการให้เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ และกฎเกณฑ์ที่เกี่ยวข้อง โดยดำเนินการผ่านคณะกรรมการตรวจสอบที่มีหน้าที่กำกับดูแลและติดตามการปฏิบัติตามนโยบาย และระเบียบต่าง ๆ ที่เกี่ยวข้อง
• ส่วนงานและบุคลากรทุกคนมีความรับผิดชอบต้องดำเนินการตามนโยบายนี้ โดยมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ เป็นผู้ติดตามตรวจสอบและดำเนินการให้เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ
• กิจกรรมการประมวลผลข้อมูลส่วนบุคคลจะต้องถูกบันทึกไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลกำหนด การริเริ่ม แก้ไข ปรับปรุง หรือยุติกิจกรรมการประมวลผลข้อมูลส่วนบุคคลใด ๆ ของส่วนงานจะต้องเสนอขอความเห็นจากคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามแบบบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
• ในกรณีที่มีข้อพิจารณาทางกฎหมาย หรือความจำเป็นในการจัดให้มีเอกสาร ข้อตกลง หรือแบบฟอร์มใดที่เกี่ยวข้อง ส่วนงานจะต้องหารือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ซึ่งอาจรวมถึงการประชุมร่วมกันกับคณะทำงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

4. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ดังต่อไปนี้

• กำหนดและติดตามตรวจสอบการดำเนินการตามนโยบายและมาตรการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ เพื่อให้การประมวลผลข้อมูลส่วนบุคคลของบริษัทฯ เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ และกฎเกณฑ์ที่เกี่ยวข้อง
• จัดทำนโยบายและคู่มือการปฏิบัติตามนโยบายนี้ เพื่อใช้อบรมและเป็นแนวปฏิบัติแก่ส่วนงานและบุคลากรต่าง ๆ รวมถึงนโยบายการจัดเก็บบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลเพื่อให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (“สคส.”) สามารถตรวจสอบได้
• ให้คำแนะนำแก่ส่วนงานต่าง ๆ รวมทั้งบุคลากรของบริษัทฯ เกี่ยวกับการปฏิบัติตามนโยบายนี้
• ตรวจสอบการดำเนินงานของส่วนงานต่าง ๆ รวมทั้งบุคลากรของบริษัทฯ เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลตามนโยบายนี้
• ประสานงานและให้ความร่วมมือกับ สคส. ในกรณีที่มีประเด็นปัญหาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทฯ รวมทั้งบุคลากรของบริษัทฯ ในการปฏิบัติตามนโยบายนี้
• รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่ตามนโยบายนี้
• รายงานไปยังผู้บริหารของบริษัทฯ โดยตรงในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ตามนโยบายนี้
• สนับสนุนและให้คำแนะนำเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลของส่วนงานต่าง ๆ
• ให้คำปรึกษาหารือเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและเป็นที่ติดต่อประสานงานสำหรับเจ้าของข้อมูล เพื่อรับเรื่องและดำเนินการเกี่ยวกับการใช้สิทธิของเจ้าของข้อมูล
• ติดตามตรวจสอบและแก้ไขข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
• จัดเก็บบันทึกรายการเกี่ยวกับเหตุการละเมิดข้อมูลส่วนบุคคลและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลไปยัง สคส. ตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ กำหนด
• บันทึกความเห็นต่อประเด็นหารือต่าง ๆ เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทฯ
• ประสานงานและให้ความร่วมมือกับบุคคลภายนอกเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทฯ
• ดำเนินการอื่น ๆ ตามที่ได้รับมอบหมายตามนโยบายนี้

5. กรณีละเมิดการคุ้มครองข้อมูลส่วนบุคคล

• เหตุการณ์ละเมิดข้อมูลส่วนบุคคลอาจเกิดขึ้นในกรณีใดดังต่อไปนี้
  • การละเมิดความลับข้อมูลส่วนบุคคล โดยมีการเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อบกพร่อง หรืออุบัติเหตุ
  • การละเมิดความถูกต้องครบถ้วนของข้อมูล โดยมีการเปลี่ยนแปลง แก้ไขข้อมูลให้ไม่ถูกต้อง โดยปราศจากอำนาจ หรือโดยมิชอบ
  • การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล โดยทำให้ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือทำลายข้อมูลส่วนบุคคล หรือทำให้ไม่อยู่ในสภาพพร้อมใช้งานได้ตามปกติ
• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะดำเนินการตรวจสอบเหตุการละเมิดการคุ้มครองข้อมูลส่วนบุคคล ภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ เพื่อดำเนินการตามมาตรการที่เหมาะสม บรรเทาผลกระทบ และป้องกันเหตุการละเมิดข้อมูลส่วนบุคคลที่จะเกิดขึ้นในอนาคต
• ในกรณีที่สมควรตามสภาพและความร้ายแรงของเหตุละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลไปยังเจ้าของข้อมูลส่วนบุคคลและ สคส. ตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ กำหนด โดยมีหลักเกณฑ์ดังต่อไปนี้

• กรณีที่ระบบเทคโนโลยีสารสนเทศหรือกระบวนงานที่เกี่ยวข้องไม่สามารถใช้งานได้ ให้บุคลากรหรือส่วนงานที่พบเหตุแจ้งไปยังฝ่ายเทคโนโลยีสารสนเทศของบริษัทฯ ภายใน 4 ชั่วโมงนับจากเมื่อทราบเหตุนั้น และให้ฝ่ายเทคโนโลยีสารสนเทศประสานงานกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อดำเนินการตามที่เหมาะสม
• กรณีเหตุการณ์อื่น ๆ ที่เกี่ยวข้องกับการละเมิดข้อมูลส่วนบุคคล ให้บุคลากรหรือส่วนงานที่พบเหตุแจ้งโดยตรงไปยังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยเร็วที่สุดเพื่อดำเนินการตามที่เหมาะสม

6. การปฏิบัติตามนโยบาย

• การละเมิดไม่ปฏิบัติตามนโยบายนี้และมาตรการที่เกี่ยวข้อง ถือเป็นกรณีผิดวินัยร้ายแรง
• บุคลากรหรือบุคคลอื่นที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลตามขอบเขตและวัตถุประสงค์ของบริษัทฯ อาจต้องมีความรับผิดเป็นการส่วนตัวภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ และกฎเกณฑ์ที่เกี่ยวข้องจากการกระทำของตนตามสภาพและความร้ายแรงของเหตุการณ์ที่เกิดขึ้น

7. การทบทวนและปรับปรุงแก้ไข

ให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทบทวนและเสนอปรับปรุงแก้ไขนโยบายนี้และมาตรการต่าง ๆ ที่เกี่ยวข้องอย่างน้อยทุก 2 ปี โดยคำนึงถึงหลักเกณฑ์และวิธีการที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด รวมถึงกฎ ระเบียบ และประกาศอื่น ๆ ที่อาจมีขึ้นในอนาคตที่ส่งผลต่อการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ