ประกาศกองทุนบำเหน็จบำนาญข้าราชการ
ประกาศกองทุนบำเหน็จบำนาญข้าราชการ
เรื่อง
นโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์[๑]
โดยที่เป็นการสมควรกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน
เพื่อให้การรวบรวม การจัดเก็บ และการนำข้อมูลส่วนบุคคลไปใช้
เป็นไปตามมาตรฐานของกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์
และเพื่อให้เกิดความมั่นคงปลอดภัยแก่ข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน
อาศัยอำนาจตามความในมาตรา ๒๔
แห่งพระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการ พ.ศ. ๒๕๓๙ เลขาธิการคณะกรรมการ กบข.
จึงออกประกาศไว้ ดังต่อไปนี้
ข้อ ๑ ประกาศนี้เรียกว่า
ประกาศกองทุนบำเหน็จบำนาญข้าราชการ เรื่อง
นโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์
ข้อ ๒ ในประกาศนี้
ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของบุคคลหรือผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน
เช่น การศึกษา ฐานะ การเงิน ประวัติสุขภาพ ประวัติอาชญากรรม หรือประวัติการทำงาน
เลขหมาย หรือรหัส
รวมทั้งข้อมูลเกี่ยวกับสิ่งบอกลักษณะอย่างอื่นที่ทำให้สามารถระบุตัวบุคคลหรือผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนได้
เช่น ลายพิมพ์นิ้วมือ รูปถ่าย หรือแผ่นบันทึกลักษณะเสียงของบุคคล
และให้หมายความรวมถึงข้อมูลเกี่ยวกับสิ่งเฉพาะตัวหรือสิ่งบอกลักษณะอย่างอื่นที่ทำให้สามารถระบุตัวบุคคลของผู้ที่ถึงแก่กรรมแล้วด้วย
กฎหมายของกองทุน หมายความว่า พระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการ
พ.ศ. ๒๕๓๙ และที่แก้ไขเพิ่มเติม รวมทั้งข้อบังคับ ระเบียบ ประกาศ คำสั่ง นโยบาย
และมติที่ออกโดยอาศัยอำนาจตามพระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการ พ.ศ. ๒๕๓๙
และที่แก้ไขเพิ่มเติมด้วย
ข้อ ๓ การเก็บรวบรวมข้อมูลส่วนบุคคลอย่างจำกัด
(๑)
กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็นตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดเท่านั้น
และในกรณีที่เป็น
(ก)
การรวบรวมและจัดเก็บข้อมูลส่วนบุคคลเพื่อจัดทำข้อมูลสถิติเกี่ยวกับประชากรทางเว็บไซต์กองทุนจะต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลส่วนบุคคลทราบก่อน
(ข)
การรวบรวมและจัดเก็บข้อมูลส่วนบุคคลนอกเหนือจากอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนด
กองทุนจะแจ้งวัตถุประสงค์
รวมทั้งวิธีการรวบรวมและจัดเก็บข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบเพื่อให้ความยินยอมก่อน
(๒)
กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลจากแหล่งข้อมูลดังต่อไปนี้
(ก) เจ้าของข้อมูลส่วนบุคคลโดยตรง
(ข) ส่วนราชการหรือหน่วยงานเจ้าสังกัดของเจ้าของข้อมูลส่วนบุคคล
(ค)
ส่วนราชการหรือหน่วยงานอื่นที่มีอำนาจหน้าที่รวบรวมและจัดเก็บข้อมูลส่วนบุคคล
(๓) กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลตามประเภทและชนิดของข้อมูลส่วนบุคคลนั้น
เช่น ประวัติส่วนตัว สถิติเกี่ยวกับประชากร ฐานะการเงิน ประวัติการทำงาน
ข้อมูลสำหรับการติดต่อ หรือข้อมูลเชิงพฤติกรรม โดยใช้วิธีดังต่อไปนี้
(ก) กรอกข้อมูลส่วนบุคคลในเอกสารและนำส่งเป็นกระดาษ
(ข)
กรอกข้อมูลส่วนบุคคลและนำส่งเป็นข้อมูลอิเล็กทรอนิกส์ผ่านทางเว็บไซต์หรือช่องทางสื่อสารทางอิเล็กทรอนิกส์อื่นใดที่กองทุนจัดไว้
(๔) กองทุนจะจัดเก็บบันทึกข้อมูลการเข้า ออกเว็บไซต์ (Log Files) ของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนเพื่อให้เป็นไปตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
และเพื่อการพัฒนาประสิทธิภาพการให้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน
ซึ่งอาจมีข้อมูลที่สามารถเชื่อมโยงกับข้อมูลส่วนบุคคลของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนด้วยก็ได้
ข้อ ๔ คุณภาพของข้อมูลส่วนบุคคล
(๑) ข้อมูลส่วนบุคคลที่กองทุนรวบรวมและจัดเก็บไว้จะต้องมีความถูกต้อง
ครบถ้วน และเป็นปัจจุบัน
(๒) ในกรณีที่แหล่งข้อมูลตามข้อ ๓ (๒)
ได้ให้หรือเปลี่ยนแปลงข้อมูลส่วนบุคคลและกองทุนได้รับทราบมาด้วยวิธีการใดตามข้อ ๓
(๓) กองทุนจะพิจารณานำข้อมูลส่วนบุคคลดังกล่าวไปรวมเข้ากับข้อมูลส่วนบุคคลที่กองทุนมีอยู่
เพื่อให้ข้อมูลส่วนบุคคลมีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน
ข้อ ๕ การบริหารจัดการข้อมูลส่วนบุคคล
(๑)
กองทุนจะบริหารจัดการข้อมูลส่วนบุคคลตามนโยบายที่กำหนดไว้ในประกาศนี้
และจะกำกับดูแลให้การนำข้อมูลส่วนบุคคลไปใช้เท่าที่จำเป็นในการปฏิบัติตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนด
เพื่อประโยชน์แก่ผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนหรือเพื่อพัฒนาการบริการของกองทุนในเรื่องต่าง
ๆ ให้มีประสิทธิภาพยิ่งขึ้นเท่านั้น
(๒) กองทุนจะจัดให้มีระบบการเก็บรักษาข้อมูลส่วนบุคคลที่มีประสิทธิภาพและมีความปลอดภัยในระดับที่เหมาะสม
(๓)
การกำหนดหรือเปลี่ยนแปลงนโยบายเกี่ยวกับข้อมูลส่วนบุคคลจะต้องเป็นไปตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดเท่านั้น
(๔) การดำเนินการใดของกองทุนที่มีลักษณะเป็นการเปลี่ยนแปลงวัตถุประสงค์หรือนโยบายเกี่ยวกับข้อมูลส่วนบุคคลซึ่งกระทบต่อสิทธิของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนอย่าง
มีนัยสำคัญ
กองทุนจะต้องแจ้งให้ผู้ใช้บริการดังกล่าวทราบล่วงหน้าทางเว็บไซต์ที่ให้บริการธุรกรรมทางอิเล็กทรอนิกส์หรือสื่ออื่นใดที่กองทุนใช้เพื่อการประชาสัมพันธ์กิจการของกองทุน
และจะต้องบันทึกสิ่งที่ดำเนินการนั้นไว้เป็นหลักฐานด้วย
ข้อ ๖ ข้อจำกัดการใช้ข้อมูลส่วนบุคคล
กองทุนจะให้ความสำคัญแก่การเก็บรักษาข้อมูลส่วนบุคคลโดยปฏิบัติตามแนวทางการเก็บรักษาข้อมูลความลับที่กำหนดไว้
และจะไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลให้บุคคลหรือหน่วยงานอื่นใดทราบโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ให้ไว้ก่อนหรือในขณะที่เปิดเผยข้อมูลส่วนบุคคลนั้น
เว้นแต่ในกรณีดังต่อไปนี้
(๑) การอนุญาตให้ใช้หรือเปิดเผยข้อมูลส่วนบุคคลแก่พนักงาน ลูกจ้าง
หรือผู้ที่ได้รับมอบหมายจากกองทุนซึ่งมีอำนาจหน้าที่ปฏิบัติงานเพื่อประโยชน์แก่กิจการของกองทุนและจำเป็นจะต้องใช้ข้อมูลส่วนบุคคลนั้นในการปฏิบัติงาน
(๒)
การอนุญาตให้บุคคลใดสามารถใช้ข้อมูลส่วนบุคคลได้ตามปกติภายใต้วัตถุประสงค์ของการจัดให้มีข้อมูลส่วนบุคคลนั้น
โดยไม่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล
(๓)
การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงานหรือหน่วยงานซึ่งมีอำนาจหน้าที่ตามกฎหมายในการเรียกให้กองทุนส่งข้อมูลส่วนบุคคล
(๔)
การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลใดเพื่อประโยชน์ในการศึกษาวิจัยโดยไม่ระบุชื่อหรือส่วนที่ทำให้ทราบว่าเป็นข้อมูลส่วนบุคคลของบุคคลใด
(๕) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงาน
หรือบุคคลใด
ซึ่งจำเป็นต้องใช้ข้อมูลส่วนบุคคลเพื่อการระงับอันตรายที่จะเกิดแก่ชีวิต ร่างกาย
ทรัพย์สิน อนามัย หรือเสรีภาพของบุคคล
(๖) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงาน
หรือบุคคลใด
ซึ่งจำเป็นต้องใช้ข้อมูลส่วนบุคคลเพื่อป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย
เพื่อการสืบสวนสอบสวน หรือเพื่อการดำเนินคดีตามกฎหมาย
(๗) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล
(๘)
การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลใดเพื่อให้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนมีความถูกต้องครบถ้วนสมบูรณ์
หรือเพื่อพัฒนาการให้การบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน
(๙)
กรณีอื่นใดที่กองทุนต้องปฏิบัติให้เป็นไปตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนด
การอนุญาตให้ใช้ การเปิดเผย
หรือการจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลภายนอกจะต้องอยู่ภายใต้หลักการรู้เท่าที่จำเป็น
(Need to Know Basis) และกองทุนจะต้องจัดให้มีสัญญาหรือข้อตกลงกำหนดเงื่อนไขการใช้ข้อมูลส่วนบุคคลที่เหมาะสม
รวมทั้งต้องกำหนดเกี่ยวกับการรักษาความลับของข้อมูลส่วนบุคคลดังกล่าวด้วย
เว้นแต่เป็นการอนุญาตให้ใช้ การเปิดเผย
หรือการจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงาน
หรือบุคคลภายนอกซึ่งมีอำนาจหน้าที่ตามกฎหมาย
ข้อ ๗ การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
กองทุนจะจัดให้มีการรักษาความปลอดภัยที่มีมาตรฐาน
เพื่อให้ระบบคอมพิวเตอร์และการทำธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนมีความมั่นคงปลอดภัย
ทั้งทางกายภาพและในกระบวนการรวบรวม การจัดเก็บ การเก็บรักษา
และการนำข้อมูลส่วนบุคคลไปใช้งาน
โดยจะต้องมีการควบคุมการเข้าถึงข้อมูลส่วนบุคคลอย่างเหมาะสม
และมีการป้องกันไม่ให้บุคคลที่ไม่มีอำนาจหน้าที่เกี่ยวข้องสามารถเข้าถึง แก้ไข
เปลี่ยนแปลง ทำลาย ทำให้สูญหาย นำไปใช้โดยไม่ได้รับอนุญาต
หรือเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ
ข้อ ๘ การเปิดเผยและเผยแพร่การดำเนินการ
แนวปฏิบัติ และนโยบายเกี่ยวกับข้อมูลส่วนบุคคล
(๑) กองทุนจะเปิดเผยและเผยแพร่การดำเนินการ แนวปฏิบัติ
และนโยบายเกี่ยวกับข้อมูลส่วนบุคคล
รวมทั้งวัตถุประสงค์ของการนำข้อมูลส่วนบุคคลที่รวบรวมและจัดเก็บไปใช้งาน
ตลอดจนการแก้ไขปรับปรุงการดำเนินการ แนวปฏิบัติ และนโยบายดังกล่าวผ่านทางเว็บไซต์ http://www.gpf.or.th ของกองทุนและผ่านสื่อที่กองทุนใช้เพื่อการประชาสัมพันธ์ตามความเหมาะสม
(๒) กองทุนจะจัดช่องทางสำหรับเจ้าของข้อมูลส่วนบุคคลเพื่อให้สามารถตรวจสอบความมีอยู่และความถูกต้องของข้อมูลส่วนบุคคล
รวมทั้งสามารถแก้ไขปรับปรุงข้อมูลส่วนบุคคลของตนเองได้ตามความเหมาะสม เช่น
เว็บไซต์ของกองทุน เจ้าหน้าที่ของกองทุน หรือช่องทางการสื่อสารอื่นที่เหมาะสม
(๓)
กองทุนจะจัดให้มีช่องทางให้ผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนสามารถติดต่อสอบถามหรือขอรับบริการกับเจ้าหน้าที่ของกองทุนผ่านทางเว็บไซต์หรือสถานที่ทำการของกองทุน
หรือส่วนราชการเจ้าสังกัดของผู้ใช้บริการ
หรือช่องทางการสื่อสารอื่นที่กองทุนจัดให้ตามความเหมาะสม
ข้อ ๙ การมีส่วนร่วมเกี่ยวกับข้อมูลส่วนบุคคล
(๑)
กองทุนจะแจ้งความมีอยู่ของข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลตามที่กองทุนได้รับการร้องขอภายในระยะเวลาที่สมควร
(๒) ในกรณีที่เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลมีการโต้แย้งคัดค้านเกี่ยวกับการรวบรวม
การจัดเก็บ การเก็บรักษา การใช้งาน ความถูกต้องครบถ้วน
หรือการอื่นใดเกี่ยวกับข้อมูลส่วนบุคคล
กองทุนจะต้องมีการบันทึกการโต้แย้งคัดค้านดังกล่าวไว้เป็นหลักฐานด้วย
ข้อ ๑๐ ความรับผิดชอบเกี่ยวกับข้อมูลส่วนบุคคล
กองทุนจะกำหนดให้หน่วยงานในสังกัดของกองทุนที่มีอำนาจหน้าที่ในการรวบรวม
การจัดเก็บ การใช้ การอนุญาตให้ใช้ และการควบคุมดูแลข้อมูลส่วนบุคคล
รวมทั้งผู้ที่ได้รับมอบหมายให้ปฏิบัติงานและใช้งานข้อมูลส่วนบุคคล ต้องปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนที่กำหนดไว้อย่างเคร่งครัด
ประกาศ
ณ วันที่ ๑๓ พฤศจิกายน พ.ศ. ๒๕๕๕
โสภาวดี
เลิศมนัสชัย
เลขาธิการคณะกรรมการ
กบข.
ปริยานุช/ผู้จัดทำ
๑๖ ธันวาคม
๒๕๕๗
ปริญสินีย์/ผู้ตรวจ
๑๖ ธันวาคม
๒๕๕๗
[๑] ราชกิจจานุเบกษา
เล่ม ๑๓๑/ตอนที่ ๑๓๓ ง/หน้า ๒๖๖/๑๑ ธันวาคม ๒๕๕๗
ที่มา: ระบบกลางกฎหมาย law.go.th (สำนักงานคณะกรรมการกฤษฎีกา).
