นโยบายการคุ้มครองข้อมูลส่วนบุคคล

     ด้วยความก้าวหน้าของเทคโนโลยีสารสนเทศ รวมทั้งระบบสื่อสารได้พัฒนาไปอย่างรวดเร็ว ทําให้การเข้าถึงการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล สามารถทําได้โดยง่าย สะดวก และรวดเร็ว อันอาจนํามาซึ่งความเสียหายต่อเจ้าของข้อมูล
     บริษัทตระหนักถึงความสําคัญของการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy) ซึ่งเป็นสิทธิขั้นพื้นฐานสําคัญในความเป็นส่วนตัว (Privacy Right) ที่ต้องได้รับความคุ้มครองตามรัฐธรรมนูญแห่งราชอาณาจักรไทย และหลักปฏิญญาสากลว่าด้วยสิทธิมนุษยชน (Universal Declaration of Human Rights) ซึ่งบุคคลใดจะถูกแทรกแซงตามอําเภอใจในความเป็นส่วนตัว ครอบครัว ที่อยู่อาศัย หรือการสื่อสารหรือจะถูกลบหลู่เกียรติยศและชื่อเสียงไม่ได้ ทุกคนมีสิทธิที่จะได้รับความคุ้มครองของกฎหมายต่อการแทรกแซงสิทธิหรือการลบหลู่ดังกล่าวนั้น รวมถึงเพื่อสนับสนุนและเคารพการปกป้อง สิทธิมนุษยชนตามที่ประกาศใช้ในระดับสากลตามหลักการของข้อตกลงแห่งสหประชาชาติ (UN Global Compact) รวมถึงกฎหมายที่ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล บริษัทจึงได้ประกาศนโยบายเพื่อเป็นหลักในการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy) ของลูกค้า ดังนี้

2.1) ให้ประกาศฉบับนี้ มีผลใช้บังคับกับคณะกรรมการบริษัท ผู้บริหาร และพนักงานทุกระดับของบริษัท ที่อยู่ภายใน กลุ่มบริษัท เอสซี รวมถึงผู้มีส่วนได้ส่วนเสียกับบริษัท
2.2) ให้ประกาศฉบับนี้ มีผลใช้บังคับกับทุกกิจกรรมการดําเนินงานของบริษัทที่เกี่ยวข้องกับข้อมูลส่วนบุคคล เป็นต้นว่า ช่องทางการจัดเก็บข้อมูล ประเภทและรูปแบบของข้อมูลที่จัดเก็บ วัตถุประสงค์ของบริษัทในการนําข้อมูลส่วนบุคคลไปใช้ การแบ่งปันข้อมูลดังกล่าวให้กับบุคคลอื่น ตลอดจนวิธีการที่บริษัทดําเนินการปกป้องข้อมูลส่วนบุคคลของลูกค้า
2.3) สำหรับข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้ก่อนที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ ให้บริษัทฯ สามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นได้ต่อไปตามวัตถุประสงค์เดิม โดยการเปิดเผยและการดำเนินการอื่นที่ไม่ใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลข้างต้นให้ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

“นโยบายคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า นโยบาย ที่บริษัทฯ จัดทำเพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงการประมวลผลข้อมูลของบริษัท และรายละเอียดต่าง ๆ ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้กำหนดไว้
“ บริษัท ” หมายความว่า บริษัทที่อยู่ภายในกลุ่มบริษัท เอส ซี
“ ข้อมูลส่วนบุคคล ” หมายความว่า ข้อมูลเกี่ยวกับบุคคล ซึ่งทําให้สามารถระบุถึงตัวบุคคลนั้นได้ เป็นต้นว่า ชื่อ สกุล ที่อยู่ วันเดือนปีเกิด เพศ ประวัติการศึกษา หมายเลขโทรศัพท์ เลขประจําตัวประชาชน เลขหมาย รหัส และให้หมายความรวมถึงข้อมูลอื่นใด เกี่ยวกับบุคคลใดบุคคลหนึ่ง ซึ่งทําให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม
“ เจ้าของข้อมูล ” หมายความว่า บุคคลซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล เป็นต้นว่า ลูกค้า พนักงาน บุคคลภายนอก
“ บุคคล ” หมายความว่า บุคคลธรรมดา
“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทาง การเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูล ส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“การประมวลผล” หมายความว่า การเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล
“ผู้ควบคุมข้อมูลส่วนบุคคล หรือ ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลอื่นซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้บุคคลหรือนิติบุคคลที่ดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

บริษัทฯ จะเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ข้อมูลเฉพาะบุคคล ข้อมูลที่เกี่ยวข้องกับประวัติส่วนตัว หรือความสนใจส่วนบุคคล ข้อมูลทางการเงิน ข้อมูลส่วนบุคคลที่มีความอ่อนไหว โดยมีแหล่งที่มา และหลักการในการเก็บรวบรวมข้อมูลส่วนบุคคล โดยบริษัทฯ อาจได้รับข้อมูลส่วนบุคคลจาก 2 ช่องทาง ดังนี้

4.1) เก็บรวบรวมโดยตรงจากเจ้าของข้อมูลส่วนบุคคลจากความสมัครใจของท่าน เช่น ข้อมูลและเอกสารที่เกี่ยวข้องกับกระบวนการสรรหาพนักงาน เช่น Resume, Curriculum Vitae (CV), แบบฟอร์มสมัครงาน ความเห็นประกอบการสรรหาพนักงาน ทั้งในรูปแบบกระดาษและรูปแบบออนไลน์ การตอบแบบสอบถาม (Survey) ของ บริษัทฯ โดยทางบริษัทจะเก็บรวบรวมข้อมูลส่วนบุคคลดังต่อไปนี้

4.2) เก็บรวบรวมจากบุคคลที่สามหรือแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น การสืบค้นข้อมูลส่วนบุคคลผ่านระบบเว็บไซต์ หรือการสอบถามจากบุคคลที่สาม โดยบริษัทฯ เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งดังกล่าว รวมถึงจะดำเนินการขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจากเจ้าของข้อมูล ส่วนบุคคล เว้นแต่กรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมหรือแจ้งเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด

5.1) บริษัทฯ จะเก็บข้อมูลส่วนบุคคลที่จำเป็นต่อการดำเนินงานของบริษัทฯ เท่านั้น ทั้งนี้ บริษัทฯ อาจมีวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลที่แตกต่างกันไปตามแต่กรณี ดังนี้

5.2) ในกรณีเจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความ จำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญาหรือต้องให้ข้อมูลด้วยประการอื่นใด หากเจ้าของข้อมูลไม่ให้ข้อมูล เช่นว่านั้น อาจส่งผลให้ธุรกรรมหรือกิจกรรมอื่นใดที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคลถูกระงับ หรือหยุดลงชั่วคราวจนกว่าบริษัทฯจะได้รับข้อมูลของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ เนื่องจากบริษัทฯ ไม่สามารถประมวลผลข้อมูลเหล่านั้นได้ หรือ กฎหมายกำหนดห้ามมิให้มีการดำเนินธุรกรรมหรือกิจกรรมนั้นอีกต่อไป เป็นต้น

6.1) การใช้หรือการเปิดเผยข้อมูลส่วนบุคคล ให้เป็นไปตามวัตถุประสงค์หรือเป็นการจําเป็นเพื่อประโยชน์ที่มี ความเกี่ยวข้องโดยตรงกับวัตถุประสงค์ของการเก็บรวบรวม และต้องได้รับความยินยอมจากเจ้าของข้อมูลที่ให้ไว้ก่อน หรือในขณะนั้น เว้นแต่ในกรณีดังต่อไปนี้ ไม่จําเป็นต้องขอความยินยอม

6.1.1) เพื่อประโยชน์เกี่ยวกับการวางแผนหรือการสถิติหรือสํามะโนต่าง ๆ ของหน่วยงานของรัฐ

6.1.2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

6.1.3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะโดยชอบด้วยกฎหมาย และ/หรือ เพื่อปฏิบัติตามกฎหมาย

6.1.4) เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา

6.1.5) เพื่อประโยชน์แก่การสืบสวนสอบสวนของพนักงานเจ้าหน้าที่ตามกฎหมาย หรือในการพิจารณา พิพากษาคดีของศาล เป็นการปฏิบัติตามที่กฎหมายกําหนด หรือตามคําสั่งศาล ทั้งนี้บริษัทฯ อาจเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นให้แก่หน่วยงานหรือบุคคลภายนอกภายใต้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลนั้น เว้นแต่จะได้กระทำภายในกรอบที่กฎหมายให้อำนาจไว้ ทั้งนี้ ข้อมูลส่วนบุคคลอาจถูกเปิดเผยให้แก่บุคคลภายนอก องค์กร หรือหน่วยงานของรัฐ โดยอ้างอิงตามวัตถุประสงค์ที่กำหนดไว้ในข้อ 5)

6.2) การเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว บริษัทฯ จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อน หรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหวดังกล่าว ตามหลักเกณฑ์ที่บริษัทฯ กำหนดโดยไม่ขัดต่อกฎหมาย

บริษัทฯ จะเก็บรักษาข้อมูลส่วนบุคคลตามระยะเวลาดังต่อไปนี้

7.1) ตามระยะเวลาที่กฎหมายกำหนดเกี่ยวกับการเก็บรักษาข้อมูลส่วนบุคคลไว้โดยเฉพาะ เช่นพระราชบัญญัติการบัญชี พ.ศ. 2543 พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ประมวลรัษฎากร หรือตามที่ระบุไว้ในกฎหมายอื่น ๆ

7.2) ในกรณีที่กฎหมายไม่ได้กำหนดระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคลไว้โดยเฉพาะ บริษัทฯ จะกำหนดระยะเวลาในการจัดเก็บตามความจำเป็นที่เหมาะสมในการปฏิบัติงานของบริษัทฯ เมื่อพ้นระยะเวลาการเก็บรักษาดังกล่าว บริษัทฯ จะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

บริษัทกําหนดให้พนักงานหรือหน่วยงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล ต้องให้ความสําคัญและรับผิดชอบในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามนโยบายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลนี้ อย่างเคร่งครัด โดยมีฝ่ายสารสนเทศและฝ่ายทรัพยากรบุคคล ซึ่งทําหน้าที่กํากับดูแลภาพรวมตามนโยบายให้เป็นไปอย่างมีประสิทธิผล

9.1) สิทธิในการเพิกถอนความยินยอม (right to withdraw consent): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมกับทางบริษัทได้ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลอยู่กับทางบริษัท

9.2) สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (right of access): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลและขอให้บริษัทฯ ทำสำเนาข้อมูลส่วนบุคคลดังกล่าว รวมถึงขอให้บริษัทฯ เปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมต่อบริษัทฯ ให้แก่เจ้าของข้อมูลส่วนบุคคลได้

9.3) สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (right to rectification): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการขอให้บริษัทแก้ไขข้อมูลที่ไม่ถูกต้อง หรือ เพิ่มเติมข้อมูลที่ไม่สมบูรณ์

9.4) สิทธิในการลบข้อมูลส่วนบุคคล (right to erasure): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการขอให้บริษัททำการลบข้อมูลของเจ้าของข้อมูลส่วนบุคคลด้วยเหตุบางประการได้

9.5) สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (right to restriction of processing): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการระงับการใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลด้วยเหตุบางประการได้

9.6) สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล (right to data portability): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการโอนย้ายข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลให้ไว้กับบริษัทฯ ไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น หรือ ตัวเจ้าของข้อมูลส่วนบุคคลเองด้วยเหตุบางประการได้ อย่างไรก็ดี บริษัทฯ อาจปฏิเสธการใช้สิทธิดังกล่าวข้างต้นของเจ้าของข้อมูลส่วนบุคคลได้ตามหลักเกณฑ์ที่บริษัทฯ กำหนด โดยไม่ขัดต่อกฎหมาย เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อมายังเจ้าหน้าที่ DPO เพื่อดำเนินการยื่นคำร้องขอดำเนินการตามสิทธิข้างต้นได้ที่

9.7) สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (right to object): เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลด้วยเหตุบางประการได้

อย่างไรก็ดี บริษัทฯ อาจปฏิเสธการใช้สิทธิดังกล่าวข้างต้นของเจ้าของข้อมูลส่วนบุคคลได้ตามหลักเกณฑ์ที่ บริษัทฯ กำหนด โดยไม่ขัดต่อกฎหมาย

เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อมายังเจ้าหน้าที่ DPO เพื่อดำเนินการยื่นคำร้องขอดำเนินการตามสิทธิข้างต้นได้ที่

เพื่อประโยชน์ในการรักษาความลับและความปลอดภัยของข้อมูลส่วนบุคคล บริษัทได้มีมาตรการ ดังนี้

10.1) กําหนดสิทธิ์ในการเข้าถึง การใช้ การเปิดเผย การประมวลผลข้อมูลส่วนบุคคล รวมถึงการแสดงหรือยืนยันตัวบุคคล ผู้เข้าถึงหรือใช้ข้อมูลส่วนบุคคล ตามแนวนโยบายสารสนเทศของบริษัทอย่างเคร่งครัด

10.2) ในการส่ง การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ รวมถึงการนําข้อมูลส่วนบุคคลไปเก็บบนฐานข้อมูลใน ระบบอื่นใด ซึ่งผู้ให้บริการรับโอนข้อมูลหรือบริการเก็บรักษาข้อมูลอยู่ต่างประเทศ ประเทศปลายทางที่เก็บ รักษาข้อมูลต้องมีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่าหรือดีกว่ามาตรการตามนโยบายนี้

10.3) ในกรณีที่มีการฝ่าฝืนมาตรการการรักษาความมั่นคงปลอดภัยของบริษัท จนเป็นเหตุให้มีการละเมิดข้อมูลส่วนบุคคล หรือข้อมูลส่วนบุคคลรั่วไหลสู่สาธารณะ บริษัทจะดําเนินการแจ้งเจ้าของข้อมูลให้ทราบโดยเร็ว รวมทั้งแจ้งแผนการเยียวยาความเสียหายจากการละเมิดหรือการรั่วไหลของข้อมูลส่วนบุคคลสู่สาธารณะ ในกรณีที่เกิดจากความบกพร่องของบริษัท ทั้งนี้ บริษัทจะไม่รับผิดชอบในกรณีความเสียหายใด อันเกิด จากการใช้หรือการเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่สาม รวมถึงการละเลย หรือเพิกเฉยการออกจากระบบ (Log out) ฐานข้อมูล หรือระบบสื่อสารสังคมออนไลน์ของบริษัท โดยการกระทําของเจ้าของข้อมูลหรือบุคคลอื่นซึ่งได้รับความยินยอมจากเจ้าของข้อมูล

10.4) บริษัทมีการดําเนินการสอบทานและประเมินประสิทธิภาพของระบบรักษาข้อมูลส่วนบุคคลโดยหน่วยงานตรวจสอบภายใน

ผู้มีหน้าที่รับผิดชอบในการดําเนินงานเรื่องใดเรื่องหนึ่งตามหน้าที่ของตน หากละเลย หรือละเว้นไม่สั่งการ หรือไม่ดําเนินการ หรือสั่งการ หรือดําเนินการอย่างใดอย่างหนึ่งในหน้าที่ของตน อันเป็นการฝ่าฝืนนโยบายและแนวปฏิบัติ เกี่ยวกับเรื่องข้อมูลส่วนบุคคล จนเป็นเหตุให้เกิดความผิดตามกฎหมายและ/หรือความเสียหายขึ้น ผู้นั้นต้องรับโทษ ทางวินัยตามระเบียบของบริษัท โดยบริษัทจะไม่ประนีประนอมให้กับความผิดใด ๆ ที่ผู้มีหน้าที่รับผิดชอบได้กระทําขึ้น และผู้นั้นต้องรับโทษทางกฎหมายตามความผิดที่เกิดขึ้น ทั้งนี้ หากความผิดดังกล่าวก่อให้เกิดความเสียหายแก่บริษัทและหรือบุคคลอื่นใด บริษัทอาจพิจารณาดําเนินคดีตามกฎหมายเพิ่มเติมต่อไป

บริษัทจะทําการทบทวนนโยบายนี้อย่างน้อยปีละ 1 ครั้ง หรือกรณีที่กฎหมายมีการเปลี่ยนแปลงแก้ไข