ประกาศมหาวิทยาลัยนวมินทราธิราช เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2564

ประกาศมหาวิทยาลัยนวมินทราธิราช
เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๔

ด้วยมหาวิทยาลัยมีการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลของผู้ปฏิบัติงานในมหาวิทยาลัย นักศึกษา ผู้รับบริการ เพื่อการดำเนินการด้านต่าง ๆ ตามวัตถุประสงค์ของมหาวิทยาลัย จึงเป็นการสมควรที่มหาวิทยาลัยจะกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Policy) ให้สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การดำเนินงานของมหาวิทยาลัยเป็นไปด้วยความเรียบร้อย มีการคุ้มครองข้อมูลส่วนบุคคลอย่างเหมาะสมและได้มาตรฐาน

อาศัยอำนาจตามความในมาตรา ๓๑ (๑) แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓ ประกอบมติที่ประชุมคณะกรรมการดำเนินงานข้อมูลส่วนบุคคล ในการประชุมครั้งที่ ๒/๒๕๖๔ เมื่อวันที่ ๑๕ กุมภาพันธ์ พ.ศ.๒๕๖๔ จึงออกประกาศไว้ดังต่อไปนี้

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศมหาวิทยาลัยนวมินทราธิราช เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๔”

ข้อ ๒ ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ ๒๗ พฤษภาคม พ.ศ.๒๕๖๔ เป็นต้นไป

ข้อ ๓ ในประกาศนี้

“มหาวิทยาลัย” หมายความว่า มหาวิทยาลัยนวมินทราธิราช

“ส่วนงาน” หมายความว่า ส่วนงานตามมาตรา ๙ แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ซึ่งรวมถึงข้อมูลส่วนบุคคลของผู้ปฏิบัติงานในมหาวิทยาลัย นักศึกษา ผู้รับบริการ แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม

“เจ้าของข้อมูลส่วนบุคคล” หมายความว่า ผู้เป็นเจ้าของข้อมูลส่วนบุคลตามประกาศนี้ และให้หมายความรวมถึงผู้ใช้อำนาจปกครองที่มีอำนาจกระทำแทนผู้เยาว์ ผู้อนุบาลที่มีอำนาจกระทำแทนคนไร้ความสามารถ หรือผู้พิทักษ์ที่มีอำนาจกระทำแทนคนเสมือนไร้ความสามารถ

“ผู้ปฏิบัติงานในมหาวิทยาลัย” หมายความว่า พนักงานมหาวิทยาลัย ข้าราชการและลูกจ้างของส่วนราชการซึ่งปฏิบัติงานในมหาวิทยาลัย และลูกจ้างของมหาวิทยาลัย

ข้อ ๔ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อการดำเนินงานด้านต่าง ๆ ของมหาวิทยาลัย มหาวิทยาลัยถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยและทุกส่วนงานจึงต้องปฏิบัติตามบทบัญญัติของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๕ มหาวิทยาลัยจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เท่าที่จำเป็นภายใต้ขอบเขต วัตถุประสงค์ และระยะเวลาในการดำเนินงานตามภาระหน้าที่ต่าง ๆ ของมหาวิทยาลัย และจะไม่นำไปใช้หรือเปิดเผยนอกเหนือขอบเขตและวัตถุประสงค์

ข้อ ๖ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานของมหาวิทยาลัยจะต้องเป็นไปตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดไว้ก่อน หรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว

กรณีที่มหาวิทยาลัยประสงค์จะใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่น มหาวิทยาลัยจะแจ้งความประสงค์ให้เจ้าของข้อมูลส่วนบุคคลทราบและขอความยินยอมก่อน เว้นแต่กฎหมายบัญญัติให้กระทำได้

ข้อ ๗ การขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีดังกล่าวได้ และการขอความยินยอมนั้น ต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว

เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมที่ได้ให้ไว้เสียเมื่อใดก็ได้ ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบ

การขอความยินยอมหรือการถอนความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ มหาวิทยาลัยจะดำเนินการให้เป็นตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลบัญญัติ

ข้อ ๘ ในการรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ซึ่งอาจรวมถึงข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนา หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่จะอยู่ภายใต้ข้อยกเว้นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่น

ข้อ ๙ มหาวิทยาลัยต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อปฏิบัติหน้าที่ตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด และมหาวิทยาลัยต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่

ข้อ ๑๐ เพื่อประโยชน์ในการดำเนินงานของมหาวิทยาลัยและการให้บริการแก่เจ้าของข้อมูลส่วนบุคคล มหาวิทยาลัยอาจมีความจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคล ให้แก่บุคคลธรรมดาหรือนิติบุคคลอื่นทั้งในและต่างประเทศ ที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคล หรือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยในการเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลธรรมดาหรือนิติบุคคลดังกล่าว มหาวิทยาลัยจะดำเนินการให้บุคคลเหล่านั้นเก็บรักษาข้อมูลส่วนบุคคลไว้เป็นความลับ และป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากขอบเขตที่มหาวิทยาลัยกำหนด หรือโดยปราศจากอำนาจหรือโดยมิชอบ

ข้อ ๑๑ ในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ มหาวิทยาลัยจะดำเนินการเพื่อให้มั่นใจว่า ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลดังกล่าว มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ เว้นแต่เป็นกรณีตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๑๒ มหาวิทยาลัยจะต้องจัดให้มีช่องทางและอำนวยความสะดวก ให้แก่เจ้าของข้อมูลส่วนบุคคลหรือผู้มีอำนาจกระทำการแทน ในการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ซึ่งรวมถึงสิทธิดังต่อไปนี้

(๑) สิทธิขอเข้าถึง ขอรับ หรือสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน ซึ่งอยู่ในความรับผิดชอบของมหาวิทยาลัย หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ตนไม่ได้ให้ความยินยอม

(๒) สิทธิขอให้มหาวิทยาลัยส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่น

(๓) สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตน

(๔) สิทธิขอให้มหาวิทยาลัยดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้

(๕) สิทธิขอให้มหาวิทยาลัยระงับการใช้ข้อมูลส่วนบุคคล

(๖) สิทธิขอให้มหาวิทยาลัยดำเนินการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

ทั้งนี้ มหาวิทยาลัยอาจปฏิเสธการใช้สิทธิดังกล่าวข้างต้นของเจ้าของข้อมูลส่วนบุคคลหรือผู้มีอำนาจกระทำการแทนได้หากไม่ขัดต่อกฎหมาย

ข้อ ๑๓ มหาวิทยาลัยและส่วนงานต้องจัดให้มีมาตรการ ในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลอย่างเหมาะสม เพื่อป้องกันการสูญหาย การเข้าถึง ทำลาย ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

ข้อ ๑๔ ในกรณีที่มีการละเมิดข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ให้มหาวิทยาลัยทราบ ตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่มหาวิทยาลัยประกาศกำหนด และมหาวิทยาลัยจะต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า กรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้มหาวิทยาลัยแจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมแนวทางการเยียวยาตามหลักเกณฑ์และวิธีการที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๑๕ มหาวิทยาลัยจะต้องให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตลอดจนหน่วยงานที่กำกับดูแลหรือมีหน้าที่และอำนาจตามกฎหมายที่เกี่ยวข้อง เพื่อให้การคุ้มครองข้อมูลส่วนบุคคลเป็นไปตามที่กฎหมายบัญญัติ

ข้อ ๑๖ มหาวิทยาลัยและส่วนงานมีหน้าที่กำกับดูแลให้ผู้ปฏิบัติงานในมหาวิทยาลัยและนักศึกษา ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่น ตลอดจนนโยบาย แนวปฏิบัติ และมาตรการคุ้มครองข้อมูลส่วนบุคคลที่มหาวิทยาลัยกำหนดขึ้นตามประกาศนี้

ข้อ ๑๗ มหาวิทยาลัยอาจจัดให้มีระบบการจัดการ การเก็บรวบรวม การใช้ การเปิดเผย และข้อร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในรูปแบบคณะกรรมการ ตามหลักเกณฑ์และวิธีการที่มหาวิทยาลัยกำหนด

ข้อ ๑๘ ผู้ปฏิบัติงานในมหาวิทยาลัยที่เกี่ยวข้องกับข้อมูลส่วนบุคคล มีหน้าที่เตรียมการ กำกับดูแล และดำเนินการ เพื่อให้การดำเนินงานของมหาวิทยาลัยและส่วนงาน สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๑๙ ให้อธิการบดีรักษาการตามประกาศนี้ และมีอำนาจออกประกาศ คำสั่ง หรือแนวทางปฏิบัติเพื่อปฏิบัติการให้เป็นไปตามประกาศนี้

ประกาศ ณ วันที่ ๓ พฤษภาคม พ.ศ.๒๕๖๔

(รองศาสตราจารย์อนันต์ มโนมัยพิบูลย์)
รักษาการแทนอธิการบดีมหาวิทยาลัยนวมินทราธิราช