เพื่อให้เกิดความชัดเจนในการสื่อสารกับผู้มีส่วนเกี่ยวข้องในการดำเนินธุรกิจ และไม่ให้เกิดข้อกังวลเกี่ยวกับการตีความของคำบางคำในเอกสารฉบับนี้ บริษัทจึงได้จัดทำคำจำกัดความไว้ ดังนี้

“เรา” หรือ “บริษัท” หรือ “JOBshopthai” หมายถึง กลุ่มบริษัทอเด็คโก้ประเทศไทย ซึ่งประกอบไปด้วยบริษัทที่มีรายชื่อปรากฏตามเว็บไซต์หลักของบริษัทที่ https://adecco.co.th/th/contact มีการบังคับใช้อยู่ ณ เวลานั้น และให้หมายรวมถึงบุคคลคนเดียวหรือหลายคนที่ได้รับมอบหมายจากบริษัทให้กระทำการในนามของบริษัทด้วย

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลที่เกี่ยวกับบุคคลธรรมดาซึ่งสามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม

“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลที่ระบุตามมาตรา 26 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคล ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคล ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

“ลูกค้า” หรือ “คู่ค้า” หมายถึง บุคคลหรือนิติบุคคล ซึ่งรวมถึงบุคคลคนเดียวหรือหลายคนซึ่งเป็นผู้มีอำนาจหรือได้รับมอบหมายให้กระทำการแทนนิติบุคคล เพื่อเข้าเป็นคู่สัญญาทางธุรกิจกับบริษัท ในฐานะลูกค้าหรือคู่ค้า ไม่ว่าจะเป็นไปเพื่อการขายสินค้า ให้บริการ รับบริการในธุรกิจที่เกี่ยวกับกับบริษัท

“คนหางาน” หรือ “ผู้สมัครงาน” หมายถึง บุคคลผู้ให้ความสนใจให้บริษัทหางาน หรือได้สมัครงานกับบริษัท และให้รวมถึงผู้ที่เข้าเยี่ยมชมกิจกรรมหรืองานที่บริษัท ได้จัดให้มีขึ้นไม่ว่าจะเป็นการจัดกิจกรรมหรืองานในช่องทางออนไลน์ทุกชนิด หรือการจัดงานที่สถานที่จัดงาน และให้รวมถึงบุคคลผู้เข้าร่วมในการตอบคำถาม แบบสำรวจข้อมูล แบบสำรวจความพึงพอใจในการเข้าเยี่ยมชมเว็ปไซต์ สื่อออนไลน์ หรือการจัดงานของบริษัท

“พนักงาน” หมายถึง บุคคลที่ทำงานให้แก่บริษัทตามสัญญาจ้างงานที่ทำไว้กับบริษัท รวมถึงบุคคลที่ทำสัญญาจ้างงานกับบริษัทเพื่อทำงานให้แก่ลูกค้าของบริษัทด้วย

“ผู้เข้าชมเว็บไซต์” หมายถึง บุคคลผู้ใช้งานอินเทอร์เน็ตเพื่อเข้าสู่เว็บไซต์ของบริษัท

บริษัทจะพิจารณาอย่างรอบคอบในการเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลของท่าน ภายใต้วัตถุประสงค์แห่งการดำเนินธุรกิจโดยชอบด้วยกฎหมายด้วยเหตุดังต่อไปนี้

(1) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาที่ท่านเป็นคู่สัญญาทางธุรกิจกับบริษัท
(2) เป็นไปตามบทบัญญัติที่กฎหมายกำหนด
(3) เป็นความจำเป็นนอกเหนือจากที่กฎหมายกำหนด หรือเพื่อการปฏิบัติตามสัญญา หรือเป็นไปเพื่อสวัสดิการหรือประโยชน์ของท่านยิ่งกว่าการเป็นคู่สัญญาทั่วไป

ได้แก่ ข้อมูลเกี่ยวกับเชื้อชาติ, ศาสนา, หมู่เลือด, ผลการตรวจสุขภาพ, ประวัติการรักษาพยาบาล, ประวัติการประสบอันตรายทั้งเนื่องจากการทำงานหรือไม่เกี่ยวข้องกับการทำงานแต่ได้นำมาแสดงกับบริษัท, ผลการวินิจฉัยโรค, ข้อมูลสุขภาพ, ข้อมูลความพิการทางร่างกาย, ความคิดเห็นทางการเมือง สังคม วัฒนธรรม, ข้อมูลสหภาพแรงงาน, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ผลการประเมินการทำงาน, การแสดงความคิดเห็นในสื่อสังคมออนไลน์, การแสดงความคิดเห็นเกี่ยวกับบริษัทและบริการของบริษัท, ภาพสแกนใบหน้า ดวงตา หรือลายนิ้วมือ, ข้อมูลพันธุกรรม, ข้อมูลชีวภาพ, รวมถึงข้อมูลอื่นใดที่อาจกระทบกับเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด เป็นต้น

บริษัทอาจเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหวโดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ดังนี้
(1) ในกรณีที่บริษัทจำเป็นต้องดำเนินการเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม
(2) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคลแล้ว
(3) ในกรณีที่บริษัทจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
(4) ในกรณีที่บริษัทจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของพนักงาน การวินิจฉัยโรคทางการแพทย์ หรือประโยชน์สาธารณะด้านการสาธารณสุข รวมถึงให้เป็นไปตามที่กฎหมายว่าด้วยการคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถหรือการคุ้มครองทางสังคม การศึกษาวิจัยทางสถิติหรือประโยชน์สาธารณะอื่น และให้รวมถึงกรณีที่มีการดำเนินการเพื่อประโยชน์สาธารณะที่สำคัญ ซึ่งบริษัทได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

บริษัทยึดมั่นตามบทบัญญัติของกฎหมาย โดยจะเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลเท่านั้น เว้นแต่กรณีจำเป็นที่เจ้าของข้อมูลส่วนบุคคลไม่อาจให้หรือไม่ได้เป็นผู้ที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวไว้ บริษัทอาจเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น ทั้งนี้จะเป็นไปเฉพาะแต่กรณีที่บริษัทได้รับความยินยอมเป็นลายลักษณ์อักษรจากเจ้าของข้อมูลส่วนบุคคลแล้วท่านั้น โดยทั่วไปกรณีที่บริษัทอาจเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรงและจากแหล่งอื่น ได้แก่

(1) ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับสุขภาพหรือโรคประจำตัวของผู้สมัครงานหรือพนักงานที่บริษัท ลูกค้าของบริษัท หรือว่าที่นายจ้าง กำหนดให้ผู้สมัครงานหรือพนักงาน ต้องทำการตรวจสุขภาพของตนเองก่อนเข้าทำงาน โดยให้สถานพยาบาลที่ทำการตรวจสุขภาพส่งผลการตรวจให้แก่บริษัท รวมถึงผลการตรวจสุขภาพประจำปีของพนักงานด้วย

(2) ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับประวัติการถูกดำเนินคดีทางกฎหมาย หรือประวัติอาชญากรรม โดยบริษัทอาจกำหนดให้คนหางาน ผู้สมัครงาน หรือผู้ที่จะเข้าทำงานรายหนึ่งรายใดหรือตำแหน่งหนึ่งตำแหน่งใดทำการตรวจสอบประวัติอาชญากรรม หรือยินยอมให้บริษัททำการตรวจประวัติอาชญากรรมแทน และยินยอมให้บริษัทเก็บรวบรวม ใช้ หรือเปิดเผยได้ตามระยะเวลาที่บริษัทกำหนด

(3) ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับประวัติการทำงานก่อนหน้าที่จะทำงานกับบริษัท หรือบุคคลอ้างอิง โดยได้กำหนดให้เจ้าของข้อมูลส่วนบุคคลให้ความยินยอมโดยชัดแจ้งก่อนทุกครั้ง โดยบริษัทจะแจ้งการให้ความยินยอมให้แก่บุคคลภายนอกนั้น ๆ ทราบล่วงหน้าก่อนการส่งข้อมูลดังกล่าวมายังบริษัท

(1) กรณีลูกค้า หรือ คู่ค้า ที่เป็นบุคคลธรรมดาหรือนิติบุคคล (ให้รวมถึงบุคคลคนเดียวหรือหลายคนที่ได้รับมอบหมายให้เป็นผู้กระทำการแทนนิติบุคคล) หรือบุคคลที่เป็นบริวารหรือลูกจ้างของลูกค้าหรือคู่ค้า ที่ได้ยื่นคำขอหรือตกลงเข้าเป็นคู่สัญญากับบริษัท ที่ให้ความสนใจในบริการของบริษัท รวมถึงการติดต่อเพื่อบริการหลังการขาย การรีวิว การแสดงความคิดเห็น ความพึงพอใจในการใช้บริการ การติดต่อระหว่างเจ้าของข้อมูลส่วนบุคคลกับบริษัท ไม่ว่าจะเป็นทางโทรศัพท์ อีเมล แอปพลิเคชันของบริษัท แอปพลิเคชันที่ใช้ในการติดต่อสื่อสาร การบริการฝึกอบรม การจัดกิจกรรมเพื่อชิงรางวัล หรือการติดต่อโดยวิธีการอื่นใด บริษัทอาจดำเนินการบันทึกข้อมูลการติดต่อสื่อสารเหล่านั้นเพื่อวัตถุประสงค์ต่าง ๆ เช่น เพื่อใช้เป็นหลักฐาน เพื่อพัฒนาและปรับปรุงบริการ เพื่อติดตามความพึงพอใจของเจ้าของข้อมูลส่วนบุคคล เพื่อการฝึกอบรม เพื่อประเมินผลการทดสอบบุคลากร เพื่อวิเคราะห์ข้อมูล รวมถึงเพื่อพัฒนาระบบของบริษัท

(2) กรณีที่เป็นวิทยากรหรือผู้รับเชิญให้บรรยาย/ให้คำแนะนำเกี่ยวกับกระบวนการฝึกอบรม การสัมมนา หรือการประชุม บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นประวัติส่วนตัว ทั้งการศึกษา ประสบการณ์การทำงาน ความสามารถพิเศษ และภาพถ่ายขณะดำเนินกิจกรรม

บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในฐานะที่เป็นผู้ถือหุ้น กรรมการบริหาร ผู้มีอำนาจหรือผู้ได้รับมอบหมายให้มีอำนาจ หน้าที่รับผิดชอบเพื่อกระทำการในนามบริษัท เพื่อการลงนามผูกพันในสัญญาธุรกิจ แบบเอกสารตามที่หน่วยงานราชการหรือสถาบันการเงินกำหนด การอนุมัติการดำเนินการต่าง ๆ การมอบอำนาจในการดำเนินการทางธุรกิจ/ทางกฎหมาย/ทางธุรกรรมธนาคาร/การติดต่อหน่วยงานราชการ การดำเนินการทั่วไปในการเชิญประชุม แจ้งผลของการประชุม การจัดการเงินปันผล รายงานผลการดำเนินการของบริษัทตามระเบียบหรือตามที่กฎหมายกำหนด รวมถึงเพื่อการบริจาคหรือกิจกรรมอันเป็นสาธารณะกุศล

บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในขอบเขตหรือตามคำขอให้หางานเพื่อการค้นหางานที่เหมาะสมกับประสบการณ์และทักษะในการทำงานของคนหางาน การสรรหาและคัดเลือกบุคคลเข้าทำงานของผู้สมัครงาน การเข้าเป็นคู่สัญญาจ้างแรงงานของพนักงาน การยืนยันตัวตนเพื่อเข้าทำงานหรือเข้าใช้งานในระบบสารสนเทศภายใน การคำนวณและจ่ายค่าจ้าง ผลตอบแทน การประเมินผลการทำงาน การปรับค่าจ้าง การเก็บประวัติความประพฤติทางวินัยรวมถึงบทลงโทษ การฝึกอบรม สัมมนา กิจกรรมสันทนาการ การศึกษาดูงาน การท่องเที่ยว และการบริหารงานบุคคล การตรวจประวัติอาชญากรรม การเลื่อนและโยกย้ายตำแหน่งงาน การเบิกจ่ายเงินตามระเบียบการทำงาน การประสานงานแก่ผู้บริหารเรื่องการนัดพบแพทย์ การสำรองตั๋วโดยสาร การขอวีซ่า จองห้องพัก สถานที่บริการต่าง ๆ การตรวจสุขภาพทั้งตามที่กฎหมายกำหนดและที่บริษัทจัดให้ และรวมถึงการจัดสวัสดิการ สิทธิประโยชน์แก่พนักงานและครอบครัว การส่งข้อมูลให้หน่วยงานภายนอกอันเป็นการปฏิบัติตามกฎหมายที่เกี่ยวข้องกับสรรพากร ประกันสังคม การพัฒนาฝีมือแรงงาน กรมบังคับคดี และการบริหารสำนักงาน การติดต่อประสานงานภายใน การเบิกค่าใช้จ่าย การถือครองทรัพย์สิน การจัดการด้านธุรการอาคารสถานที่ การจัดการจดหมายและไปรษณีย์ การบันทึกการเข้า-ออกพื้นที่ทำงาน การตรวจสอบและตรวจประเมินทั้งจากหน่วยงานภายในและภายนอก รวมถึงการส่ง โอน หรือเปิดเผยให้แก่ผู้ให้บริการจัดส่งเพื่อการประสานงาน/ติดต่อลูกค้า การศึกษาและวิจัยเชิงวิเคราะห์เกี่ยวกับสถิติของการบรรจุบุคคลเข้าทำงาน การแจ้งข่าวสารหรือตำแหน่งงานที่เปิดรับสมัครในอนาคต รวมทั้งกิจกรรมที่เกี่ยวข้องกับการประชาสัมพันธ์หรือการสื่อสารทางการตลาดของบริษัท ผ่านทางอีเมล โทรศัพท์ จดหมาย และ/หรือวิธีการสื่อสารอื่นๆ

สำหรับบุคคลในครอบครัวของพนักงาน บริษัทจะพิจารณาเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นเพื่อประโยชน์กรณีที่ต้องปฏิบัติตามกฎหมายหรือเพื่อการดำเนินอื่นใดอันเป็นประโยชน์ของพนักงานหรือบุคคลในครอบครัวเป็นสำคัญ ทั้งนี้ บริษัทจะจัดให้บุคคลในครอบครัวที่จะถูกเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ความยินยอมไว้แก่บริษัท โดยผ่านการดำเนินการของพนักงาน อย่างไรก็ตาม กรณีที่พนักงานไม่ได้ดำเนินการให้สอดคล้องอย่างเหมาะสมเพื่อให้บริษัทปฏิบัติสอดคล้องต่อกฎหมาย พนักงานอาจได้รับผลกระทบไม่ว่าจะเป็นกรณีที่พนักงานไม่อาจใช้สิทธิประโยชน์หรือสวัสดิการที่สามารถได้รับจากการให้บริการโดยบริษัท ทั้งนี้ บริษัทสงวนสิทธิไม่จัด มอบ หรือจ่ายสิทธิประโยชน์หรือสวัสดิการ หากพนักงานหรือบุคคลในครอบครัวของพนักงานยังไม่ได้ดำเนินการให้สอดคล้องกับบทบัญญัติของกฎหมาย

บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ ลูกค้า และคู่ค้า ในขอบเขตของการขึ้นทะเบียนลูกค้าใหม่ คู่ค้าใหม่ เปิดบัญชีเจ้าหน้า หรือลูกหนี้การค้า การเสนอบริการหรือเสนอราคา การเจรจาต่อรอง การทำสัญญา การจัดกิจกรรมส่งเสริมการขาย การประชุม อบรม สัมมนาทั้งในและต่างประเทศ การรับรองทางธุรกิจ การหาคนหางาน การฝึกอบรม การทดสอบความสามารถด้านเทคนิค การโฆษณา การผลิตสื่อสิ่งพิมพ์ การจ่ายรางวัลตอบแทนการขาย การจัดซื้อจัดจ้าง การประเมิน การว่าจ้างตามสัญญาบริการต่าง ๆ การจัดส่งเอกสารและสินค้า

กรณีเป็นผู้ตรวจสอบ/ตรวจประเมินจากหน่วยงานภายนอก บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เฉพาะเท่าที่ใช้ในการยืนยันตัวตน และการขึ้นทะเบียนผู้สอบบัญชีรับอนุญาต

บริษัทจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึงข้อมูลใดๆ เกี่ยวกับการใช้สินค้าและบริการของผู้เข้าชมเว็บไซต์ เพื่อการวิเคราะห์หรือคาดการณ์เกี่ยวกับความชื่นชอบหรือพฤติกรรม การวิจัย/พัฒนา/ปรับปรุงเว็บไซต์และระบบการให้บริการของบริษัท ทั้งที่มีอยู่ในปัจจุบันหรือที่อาจมีขึ้นในอนาคต รวมถึงการวางแผนการตลาด เพื่อให้บริษัทสามารถนำเสนอสินค้าและบริการ สิทธิประโยชน์ รายการส่งเสริมการขายและข้อเสนอต่างๆ ของบริษัทที่เหมาะสมกับผู้เข้าชมเว็บไซต์

บริษัทได้กำหนดมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลโดยคำนึงถึงสิทธิขั้นพื้นฐานของข้อมูลส่วนบุคคลของท่าน ด้วยการออกแบบระบบสารสนเทศและระบบเครือข่ายและคอมพิวเตอร์ให้มีความมั่นคงปลอดภัยอย่างเหมาะสมที่สุด เพื่อสนับสนุนการดำเนินงานของบริษัทได้อย่างต่อเนื่อง และสอดคล้องกับบทบัญญัติของกฎหมายที่เกี่ยวข้อง รวมทั้งเป็นการป้องกันภัยคุกคามที่อาจก่อให้เกิดความเสียหายแก่บริษัท

(1) จัดให้มีการกำกับดูแลและการกำหนดนโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศเป็นลายลักษณ์อักษร และบริษัทต้องทำการสื่อสารนโยบายดังกล่าวเพื่อสร้างความเข้าใจและสามารถปฏิบัติตามได้อย่างถูกต้อง โดยเฉพาะอย่างยิ่งระหว่างหน่วยงานด้านเทคโนโลยีสารสนเทศและหน่วยงานด้านอื่นภายในบริษัท เพื่อให้มีการประสานงานและสามารถดำเนินธุรกิจได้ตามเป้าหมายที่ตั้งไว้

(2) จัดให้มีการทบทวนนโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีผลกระทบต่อการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัท

(3) กำหนดผู้ที่มีหน้าที่และความรับผิดชอบในการบริหารและจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศไว้เป็นการเฉพาะ เพื่อให้มั่นใจว่าบริษัทสามารถจัดหาวิธีการหรือแนวทางด้านเทคโนโลยีสารสนเทศเพื่อลดความเสี่ยงหรือจัดการความเสี่ยงที่มีอยู่ แล้วนำเสนอให้กับผู้บริหารเพื่อพิจารณาในการจัดการความเสี่ยงด้านระบบเทคโนโลยีสารสนเทศ

(4) ได้ระบุความเสี่ยงที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศเพื่อครอบคลุมความเสี่ยงสำคัญ เช่น ความเสี่ยงจากบุคลากร จาก Software และข้อมูลจากระบบเครือข่ายและอินเตอร์เน็ต จาก Hardware และอุปกรณ์คอมพิวเตอร์ จากการเงิน จากอุทกภัย วาตภัย อัคคีภัย แผ่นดินไหว อาคารพังถล่ม การโจรกรรม และ จากกระแสไฟฟ้าขัดข้อง

(5) กำหนดวิธีการในการบริหารจัดการความเสี่ยงให้อยู่ในระดับที่บริษัทยอมรับได้ จัดทำตารางลักษณะและรายละเอียดของความความเสี่ยง โดยมีหัวเรื่อง ชื่อความเสี่ยง ประเภทความเสี่ยง ลักษณะความเสี่ยง ปัจจัยความเสี่ยง และผลกระทบ เป็นต้น กำหนดระดับโอกาสการเกิดเหตุการณ์และระดับความรุนแรงของผลกระทบความเสี่ยง

(6) กำหนดตัวชี้วัดระดับความเสี่ยงด้านเทคโนโลยีสารสนเทศ รวมถึงจัดให้มีการติดตามและรายงานผลตัวชี้วัดต่อผู้ที่มีหน้าที่รับผิดชอบ เพื่อให้สามารถบริหารและจัดการความเสี่ยงได้อย่างเหมาะสมและทันต่อเหตุการณ์

(7) ห้ามบุคลากรของบริษัทใช้เครือข่ายคอมพิวเตอร์ เพื่อกระทำการอันผิดกฎหมายและขัดต่อศีลธรรมอันดีของสังคม เช่น การจัดทำเว็บไซต์เพื่อดำเนินการค้าขาย หรือเผยแพร่สิ่งที่ผิดกฎหมาย หรือขัดต่อศีลธรรมอันดี เป็นต้น

(8) ไม่อนุญาตให้ใช้เครือข่ายคอมพิวเตอร์ หรือเครื่องคอมพิวเตอร์ ด้วยชื่อบัญชีผู้ใช้ของผู้อื่น ทั้งที่ได้รับอนุญาต และไม่ได้รับอนุญาตจากเจ้าของชื่อบัญชีผู้ใช้

(9) ห้ามเข้าใช้ระบบคอมพิวเตอร์และข้อมูลที่มีการป้องกันการเข้าถึงของผู้อื่น เพื่อแก้ไข ลบ เพิ่มเติม หรือคัดลอก

(10) ห้ามเผยแพร่ข้อมูลของผู้อื่น หรือของหน่วยงาน โดยไม่ได้รับอนุญาตจากผู้เป็นเจ้าของข้อมูลนั้น ๆ

(11) ห้ามผู้ใดก่อกวน ขัดขวาง หรือทำลายให้ทรัพยากรและเครือข่ายคอมพิวเตอร์ของบริษัทเกิดความเสียหาย เช่น การส่งไวรัสคอมพิวเตอร์ การป้อนโปรแกรมที่ทำให้เครื่องคอมพิวเตอร์หรืออุปกรณ์เครือข่ายปฏิเสธการทำงาน เป็นต้น

(12) ห้ามผู้ใดลักลอบดักรับข้อมูลในเครือข่ายคอมพิวเตอร์ของบริษัท และของผู้อื่นที่อยู่ระหว่างการรับและส่งในเครือข่ายคอมพิวเตอร์

(13) ก่อนการใช้งานสื่อบันทึกพกพาต่าง ๆ หรือเปิดไฟล์ที่แนบมากับจดหมายอิเล็กทรอนิกส์ หรือไฟล์ที่ดาวน์โหลดมาจากอินเทอร์เน็ต ผู้ใช้งานต้องมีการตรวจสอบเพื่อหาไวรัสโดยโปรแกรมป้องกันไวรัสก่อนทุกครั้ง

(14) มอบหมายหน้าที่ให้กับผู้ใช้งานในฝ่ายเทคโนโลยี รับผิดชอบการดูแลระบบสารสนเทศที่บริษัทใช้งานให้มีความมั่นคงปลอดภัยของระบบสารสนเทศ และควบคุมการปฏิบัติงาน เพื่อให้คงไว้ซึ่งนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศของบริษัท

(15) พนักงานของบริษัททุกคนต้องรับผิดชอบในการปฏิบัติตามนโยบายและแนวปฏิบัติของบริษัท ในการรักษาความมั่นคงปลอดภัยระบบสารสนเทศของบริษัท รวมทั้งจะต้องไม่กระทำการละเมิดต่อกฎหมายที่เกี่ยวข้องกับการกระทำความผิดเกี่ยวกับคอมพิวเตอร์

(16) ไม่อนุญาตให้ผู้ใช้งานติดตั้ง แก้ไข เปลี่ยนแปลงโปรแกรมในเครื่องคอมพิวเตอร์ของบริษัท เว้นแต่ได้รับคำปรึกษาหรือคำแนะนำจากผู้ดูแลระบบ หรือได้รับอนุญาตจากผู้มีอำนาจสูงสุดของหน่วยงาน

(17) กำหนดเส้นทางการเชื่อมต่อระบบเครือข่ายเพื่อการเข้าใช้งานระบบอินเทอร์เน็ต โดยต้องผ่านระบบรักษาความปลอดภัย ได้แก่ Firewall โดยเครื่องคอมพิวเตอร์ของบริษัทก่อนทำการเชื่อมต่อระบบเครือข่าย ต้องมีการติดตั้งโปรแกรมป้องกันไวรัสและทำการอุดช่องโหว่ของระบบปฏิบัติการก่อน และภายหลังจากใช้งานระบบอินเทอร์เน็ตเสร็จแล้ว ให้ผู้ใช้งานทำการปิดเว็บบราวเซอร์เพื่อป้องกันการเข้าใช้งานโดยบุคคลอื่น

(18) ผู้ใช้งานต้องเข้าถึงแหล่งข้อมูลตามสิทธิ์ที่ได้รับตามหน้าที่ความรับผิดชอบเพื่อประสิทธิภาพของระบบเครือข่ายและความปลอดภัยของบริษัท โดยห้ามผู้ใช้งานเปิดเผยข้อมูลสำคัญที่เป็นความลับของบริษัท ยกเว้นเป็นไปตามหลักเกณฑ์การเปิดเผยอย่างเป็นทางการของบริษัท

(19) ผู้ใช้งานจะต้องใช้ระบบอินเทอร์เน็ต ในลักษณะที่ไม่เป็นการละเมิดของบุคคลอื่น ๆ และจะต้องไม่ก่อให้เกิดความเสียหายขึ้นต่อบริษัท รวมทั้งจะต้องไม่กระทำการใดอันเข้าข่ายความผิดตามพระราชบัญญัติว่าด้วยการกระทำผิดเกี่ยวกับคอมพิวเตอร์ หรือกฎหมายที่เกี่ยวข้องโดยเด็ดขาด ทั้งนี้ การใช้ระบบอินเทอร์เน็ตเพื่อการปฏิบัติงานของบริษัทในทุกกรณี ผู้ใช้งานจะต้องปฏิบัติตามขั้นตอนการปฏิบัติที่บริษัทกำหนดไว้อย่างเคร่งครัด

(20) จัดลำดับชั้นข้อมูลที่เป็นความลับ มีการแบ่งประเภทของข้อมูลตามภารกิจและการจัดลำดับความสำคัญของข้อมูล กำหนดวิธีบริหารจัดการกับข้อมูลแต่ละประเภท รวมถึงกำหนดวิธีปฏิบัติกับข้อมูลลับหรือข้อมูลสำคัญก่อนการยกเลิกหรือการนำกลับมาใช้ใหม่ โดยการรับส่งข้อมูลสำคัญผ่านระบบเครือข่ายสาธารณะ ต้องได้รับการเข้ารหัส ที่เป็นมาตรฐานสากล เช่น การใช้ Secure Socket Layer การใช้ Virtual Private Network (VPN) เป็นต้น

(21) มีมาตรการควบคุมความถูกต้องของข้อมูลที่จัดเก็บ นำเข้า ประมวลผล และแสดงผล ในกรณีที่มีการจัดเก็บข้อมูลเดียวกันไว้หลายที่ หรือมีการจัดเก็บชุดข้อมูลที่มีความสัมพันธ์กัน ต้องมีการควบคุมให้ข้อมูลมีความถูกต้องครบถ้วนตรงกัน รวมถึงมาตรการรักษาความปลอดภัยข้อมูลในกรณีที่นำเครื่องคอมพิวเตอร์ออกนอกพื้นที่ของบริษัท เช่น ส่งซ่อม เป็นต้น หรือทำลายข้อมูลที่เก็บอยู่ในสื่อบันทึกก่อน

(22) มีการควบคุมการเข้าถึงข้อมูลและอุปกรณ์ในการประมวลผลข้อมูล โดยคำนึงถึงการใช้งานและความมั่นคงปลอดภัยในการใช้งานระบบสารสนเทศ กำหนดกฎเกณฑ์ที่เกี่ยวกับการอนุญาตให้เข้าถึง กำหนดสิทธิ์เพื่อให้ผู้ใช้งานในทุกระดับได้รับรู้ เข้าใจ และสามารถปฏิบัติตามแนวทางที่กำหนดโดยเคร่งครัด และตระหนักถึงความสำคัญของการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ โดยกำหนดสิทธิ์การใช้ข้อมูลและระบบสารสนเทศ เช่น สิทธิ์การใช้โปรแกรมระบบสารสนเทศ สิทธิ์การใช้งานอินเทอร์เน็ต เป็นต้น ให้แก่ผู้ใช้งานให้เหมาะสมกับหน้าที่และความรับผิดชอบ โดยต้องให้สิทธิ์เฉพาะเท่าที่จำเป็นแก่การปฏิบัติหน้าที่ และได้รับความเห็นชอบจากผู้มีอำนาจหน้าที่เป็นลายลักษณ์อักษร รวมทั้งทบทวนสิทธิ์ดังกล่าวอย่างสม่ำเสมอ

(23) กรณีที่มีความจำเป็นที่ผู้ใช้งานซึ่งเป็นเจ้าของข้อมูลสำคัญมีการให้สิทธิ์ผู้ใช้งานรายอื่นให้สามารถเข้าถึงหรือแก้ไขเปลี่ยนแปลงข้อมูลของตนเองได้ เช่น การ Share Files เป็นต้น จะต้องเป็นการให้สิทธิ์เฉพาะรายหรือเฉพาะกลุ่มเท่านั้น และต้องยกเลิกการให้สิทธิ์ดังกล่าวในกรณีที่ไม่มีความจำเป็นแล้ว และเจ้าของข้อมูลต้องมีหลักฐานการให้สิทธิ์ดังกล่าว และต้องกำหนดระยะเวลาการใช้งาน และระงับการใช้งานทันทีเมื่อพ้นระยะเวลาดังกล่าว

(24) กรณีที่มีความจำเป็นต้องให้สิทธิ์บุคคลอื่น ให้มีสิทธิ์ใช้งานระบบสารสนเทศและระบบเครือข่ายในลักษณะฉุกเฉินหรือชั่วคราว ต้องมีขั้นตอนหรือวิธีปฏิบัติ และต้องมีการขออนุมัติจากผู้มีอำนาจหน้าที่ทุกครั้ง บันทึกเหตุผลและความจำเป็น รวมถึงต้องกำหนดระยะเวลาการใช้งาน และระงับการใช้งานทันทีเมื่อพ้นระยะเวลาดังกล่าว

(25) มีระบบตรวจสอบตัวตนจริงและสิทธิ์การเข้าใช้งานของผู้ใช้งาน ก่อนเข้าสู่ระบบสารสนเทศที่รัดกุมเพียงพอ เช่น กำหนดรหัสผ่านให้ยากแก่การคาดเดา เป็นต้น และต้องกำหนดให้ผู้ใช้งานแต่ละรายมีบัญชีผู้ใช้งานเป็นของตนเอง ทั้งนี้ การพิจารณาว่าการกำหนดรหัสผ่านมีความยากแก่การคาดเดาและการควบคุมการใช้รหัสผ่านมีความรัดกุมหรือไม่นั้น บริษัทจะใช้ปัจจัยดังต่อไปนี้ประกอบการพิจารณาในภาพรวม

(26) จะต้องยืนยันตัวตนก่อนเข้าใช้งานระบบด้วยรหัสผ่านที่ผู้ดูแลกำหนด ควรเปลี่ยนรหัสผ่านอย่างสม่ำเสมอ ในการเปลี่ยนรหัสผ่านแต่ละครั้ง ไม่ควรกำหนดให้ซ้ำของเดิม 3 ครั้งหลังสุด และเก็บรหัสไว้เป็นความลับ ไม่จดใส่กระดาษแล้วติดไว้หน้าเครื่อง กรณีผู้ใช้งานมีการใช้งานร่วมกันลักษณะ Shared Users ผู้ดูแลจะแจ้งผู้ใช้งานให้เปลี่ยนรหัสผ่านในการเข้าระบบงานนั้น เมื่อมีการเปลี่ยนแปลงของผู้ใช้งานในสังกัด

(27) จัดให้มีระบบการตรวจสอบรายชื่อผู้ใช้งานของระบบงานสำคัญอย่างสม่ำเสมอ และดำเนินการตรวจสอบบัญชีรายชื่อผู้ใช้งานที่มิได้มีสิทธิ์ใช้ งานระบบแล้ว เช่น บัญชีรายชื่อของผู้ใช้งานที่ลาออกแล้ว บัญชีรายชื่อที่ติดมากับระบบ เป็นต้น พร้อมทั้งระงับการใช้งานโดยทันทีเมื่อตรวจพบ เช่น Disable เพื่อปิดการใช้งาน หรือ ลบออกจากระบบ หรือเปลี่ยนรหัสผ่าน เป็นต้น

(28) จัดให้มี Data Center Room ให้เป็นสัดส่วน แบ่งส่วนระบบเครือข่าย ส่วนเครื่องคอมพิวเตอร์แม่ข่าย ส่วนเครื่องสำรองไฟฟ้า ส่วนแบตเตอรี่เครื่องสำรองไฟฟ้า เพื่อความสะดวกในการปฏิบัติงานและทำให้การควบคุมการเข้าถึงอุปกรณ์คอมพิวเตอร์สำคัญต่าง ๆ มีประสิทธิภาพมากขึ้น

(29) จัดทำข้อตกลงสำหรับการถ่ายโอนข้อมูล โดยคำนึงถึงความมั่นคงปลอดภัยของข้อมูล และผู้ดูแลระบบต้องควบคุมการปฏิบัติงานนั้น ๆ ให้มีความปลอดภัยทั้ง 3 ด้าน คือ การรักษาความลับ การรักษาความถูกต้องของข้อมูล และการรักษาความพร้อมที่จะให้บริการ โดยกำหนดให้มีการรลงนามในสัญญาระหว่างบริษัทและหน่วยงานภายนอกว่าจะไม่เปิดเผยความลับของบริษัท ตลอดจนมีมาตรการในการติดตามและตรวจสอบการปฏิบัติงานและคุณภาพการให้บริการของผู้ให้บริการภายนอกว่าเป็นไปตามสัญญาและข้อตกลง

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลเหล่านั้น หรือขอให้บริษัทส่งข้อมูลส่วนบุคคลให้แก่เจ้าของข้อมูลเองหรือผู้ควบคุมข้อมูลส่วนบุคคลอื่น (หากข้อมูลดังกล่าวอยู่ในรูปแบบที่สามารถดำเนินการดังกล่าวได้) รวมทั้ง เจ้าของข้อมูลส่วนบุคคลยังสามารถขอให้บริษัทเปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลหากข้อมูลดังกล่าวเป็นข้อมูลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมในการจัดเก็บ

เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคล ในกรณีดังต่อไปนี้

(1) ข้อมูลนั้นบริษัทจัดเก็บได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เฉพาะเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของบริษัทหรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่บริษัท และเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัทหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่บริษัท

(2) ข้อมูลนั้นเก็บ ใช้ หรือเปิดเผยเพื่อการตลาดแบบตรง

(3) ข้อมูลนั้นเก็บ ใช้ หรือเปิดเผยเพื่อการศึกษาวิจัย

เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอให้บริษัทลบ ทำลาย หรือระงับการใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่บริษัทเก็บรักษาไว้ หรือให้บริษัทดำเนินการให้ข้อมูลดังกล่าวกลายเป็นข้อมูลที่ไม่สามารถใช้ระบุตัวเจ้าของข้อมูลได้หากเจ้าของข้อมูลส่วนบุคคลเพิกถอนความยินยอมหรือคัดค้านการเก็บใช้ เปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคล หรือเมื่อไม่มีความจำเป็นที่จะต้องเก็บ ใช้ หรือเปิดเผยตามวัตถุประสงค์ที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไว้ หรือเมื่อบริษัทไม่ปฏิบัติตามกฎหมายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอให้บริษัทดำเนินการแก้ไขให้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่บริษัทจัดเก็บไว้เป็นข้อมูลที่ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

เจ้าของข้อมูลส่วนบุคคลมีสิทธิถอนความยินยอมในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลได้ แต่การถอนความยินยอมจะไม่กระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วก่อนหน้านี้ ทั้งนี้ การถอนความยินยอมดังกล่าวอาจทำให้บริษัทไม่สามารถให้บริการแก่เจ้าของข้อมูลส่วนบุคคลต่อไปได้

ในการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่ระบุไว้ในข้อ 9.1 ถึง 9.6 ข้างต้น เป็นสิทธิที่มีข้อจำกัดตามกฎหมายที่เกี่ยวข้อง และบริษัทอาจปฏิเสธการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลได้หากบริษัทมีเหตุโดยชอบด้วยกฎหมายในการปฏิเสธการใช้สิทธิดังกล่าว

อย่างไรก็ตาม การใช้สิทธิในฐานะเจ้าของข้อมูลส่วนบุคคลตามที่ระบุไว้ในเอกสารฉบับนี้ ย่อมจำกัดไว้แต่เพียงแต่การให้บริการพื้นฐานที่ไม่ทำให้บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลเกิดค่าใช้จ่ายที่เกินความจำเป็น หากการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลได้ก่อให้เกิดค่าธรรมเนียม ค่าใช้จ่ายเพื่อการดำเนินการตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลจะต้องรับผิดชดใช้คืนเงินค่าดำเนินการต่าง ๆ ที่มีการขอใช้สิทธิเช่นว่านั้นแก่บริษัท

บริษัทได้จัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลส่วนบุคคลของท่านเมื่อพ้นกำหนดระยะเวลาจัดเก็บ หรือเมื่อข้อมูลดังกล่าวไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ หรือตามที่ท่านร้องขอ หรือเมื่อท่านขอถอนความยินยอม เว้นแต่เป็นกรณีที่บริษัทต้องทำการเก็บรักษาเพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็น หรือเป็นไปตามข้อยกเว้นของกฎหมายที่บัญญัติไว้เป็นการเฉพาะ รวมถึงการใช้เพื่อการก่อสิทธิเรียกร้องตามกฎหมาย หรือเพื่อเป็นการปฏิบัติตามการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย