หน้า ๑๔
เล่ม ๑๔๐ ตอนพิเศษ ๙๘ ง ราชกิจจานุเบกษา ๒๗ เมษายน ๒๕๖๖

ประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันชีวิต
พ.ศ. ๒๕๖๔

ตามที่ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออก และเสนอขายกรมธรรม์ประกันภัยของบริษัทประกันชีวิต และการดำเนินการของตัวแทน ประกันชีวิต นายหน้าประกันชีวิต และธนาคาร พ.ศ. ๒๕๖๓ ข้อ ๓๗ กำหนดให้บริษัทและผู้เสนอขาย ต้องมีระบบหรือกระบวนการในการบริหารจัดการการได้มาของข้อมูล การเก็บรักษา และการปกป้องข้อมูล ของลูกค้า ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ประกอบกับพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ (๕) (จ) กำหนดห้ามมิให้เก็บรวบรวมข้อมูล ส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่ คณะกรรมการกำกับครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยขัดแจ้ง จากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐาน และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ดังนั้น เพื่อให้การทำธุรกรรมที่เกี่ยวกับธุรกิจประกันภัย ซึ่งเป็นธุรกรรมทางการเงินประเภทหนึ่งที่มีผลกระทบโดยตรงต่อระบบเศรษฐกิจและการเงินของประเทศ และต่อลูกค้า มีการคุ้มครองข้อมูลส่วนบุคคล ทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหว ที่จำเป็นต่อการประมวลผลข้อมูลเพื่อการพิจารณารับประกันภัย การปฏิบัติตามสัญญาประกันภัย และการให้บริการแก่ลูกค้าอย่างมีประสิทธิภาพตามเจตนารมณ์กฎหมายดังกล่าว และเป็นไป เพื่อประโยชน์สาธารณะ อันเป็นการคงไว้ซึ่งความน่าเชื่อถือของธุรกิจประกันภัยและคุ้มครองสิทธิประโยชน์ ของประชาชนนั้น อาศัยอำนาจตามความในข้อ ๖ แห่งประกาศคณะกรรมการกำกับและส่งเสริม การประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออก และเสนอขายกรมธรรม์ประกันภัย ของบริษัทประกันชีวิตและการดำเนินการของตัวแทนประกันชีวิต นายหน้าประกันชีวิต และธนาคาร พ.ศ. ๒๕๖๓ สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยจึงออกแนวปฏิบัติไว้ แนบท้ายประกาศ ดังนี้

หน้า ๑๕
เล่ม ๑๔๐ ตอนพิเศษ ๙๘ ง ราชกิจจานุเบกษา ๒๗ เมษายน ๒๕๖๖

ทั้งนี้ ตั้งแต่วันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ เป็นต้นไป

ประกาศ ณ วันที่ ๒๘ ธันวาคม พ.ศ. ๒๕๖๔
สุทธิพล ทวีชัยการ
เลขาธิการ
คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

๑

แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันชีวิต

ข้อ ๑ คำนิยาม
ในแนวทางปฏิบัตินี้

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ข้อมูลส่วนบุคคลที่อ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

“ลูกค้า” หมายความว่า ผู้ที่พนักงานหรือลูกจ้างของบริษัท ตัวแทนประกันชีวิต นายหน้าประกันชีวิต เชิญชวน ชักชวน หรือชี้ช่อง ให้ทำประกันภัยกับบริษัท และให้รวมถึงผู้เอาประกันภัย ผู้รับประโยชน์ ผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย ซึ่งเป็นบุคคลธรรมดาและเป็นเจ้าของข้อมูลส่วนบุคคล

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า ผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“การตลาดแบบตรง (direct marketing)” หมายความว่า การติดต่อสื่อสาร ไม่ว่าโดยวิธีการใด ๆ เพื่อการโฆษณาหรือการทำการตลาด โดยส่งตรงถึงบุคคลใดบุคคลหนึ่งโดยเฉพาะเจาะจง

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

“บริษัท” หมายความว่า บริษัทที่ได้รับใบอนุญาตประกอบธุรกิจประกันชีวิตตามกฎหมายว่าด้วยการประกันชีวิต และหมายความรวมถึงสาขาของบริษัทประกันชีวิตต่างประเทศที่ได้รับใบอนุญาตประกอบธุรกิจประกันชีวิตในราชอาณาจักรตามกฎหมายว่าด้วยการประกันชีวิต

“ผู้เสนอขาย” หมายความว่า ตัวแทนประกันชีวิต นายหน้าประกันชีวิต

“ตัวแทนประกันชีวิต” หมายความว่า ตัวแทนประกันชีวิตตามกฎหมายว่าด้วยการประกันชีวิต

“นายหน้าประกันชีวิต” หมายความว่า นายหน้าประกันชีวิตตามกฎหมายว่าด้วยการประกันชีวิต

“เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ผู้ถือกรมธรรม์ประกันภัย” หมายความว่า ผู้ที่ระบุชื่อเป็นผู้ถือกรมธรรม์ประกันภัย ซึ่งเป็นผู้จัดให้มีการประกันภัยเพื่อประโยชน์ของผู้เอาประกันภัย

ข้อ ๒ ให้บริษัทและผู้เสนอขายนำแนวปฏิบัตินี้ไปใช้เป็นแนวทางในการบริหารจัดการการได้มาของข้อมูล การเก็บรักษา และการปกป้องข้อมูลของลูกค้า โดยบริษัทและผู้เสนอขายต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้องเป็นการเพิ่มเติม

๒

หมวด ๑

บริษัท

ข้อ ๓ บริษัทต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งลูกค้าไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากบริษัทพบหรือทราบว่ามีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิม ซึ่งนอกเหนือจากที่ได้ระบุไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ในปัจจุบัน หรือในกรณีที่มีการเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทจะเพิ่มหรือเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลก็ได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม บริษัทจะต้องขอความยินยอมจากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการเพิ่มเติมด้วย

ทั้งนี้ บริษัทต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ครอบคลุมถึงวัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วย โดยอาจแจ้งในช่องทางต่าง ๆ ที่บริษัทสามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจพิจารณาจากช่องทางที่บริษัทมีปฏิสัมพันธ์กับลูกค้าตามปกติหรือช่องทางที่ลูกค้าสามารถเข้าถึงหรือทราบนโยบายการคุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) โดยอาจเป็นช่องทางเดียวกันกับช่องทางที่เคยแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ก่อนหน้าก็ได้ และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้ บริษัทประกาศทางเว็บไซต์ของบริษัทด้วย

ข้อ ๔ ให้บริษัทแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ดังนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ-นามสกุล ที่อยู่ ตำแหน่ง โทรศัพท์ โทรสาร และ อีเมล เป็นต้น

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิสาสนา หรือปรัชญา พฤติกรรมทางการเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อลูกค้า ในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

นอกจากแบ่งประเภทการจัดเก็บข้อมูลตาม (๑) และ (๒) แล้ว ในกรณีที่มีการประมวลผลข้อมูลที่มีความเสี่ยงสูงอันจะส่งผลกระทบต่อสิทธิเสรีภาพของลูกค้าตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด บริษัทต้องจัดให้มีการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๕ ให้บริษัทขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับกรณีที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูลส่วนบุคคลตามข้อ ๔ ทั้งนี้ บริษัทอาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับการดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น บริษัทต้องขอความยินยอมเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิ

๓

ประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของบริษัท บริษัทในเครือ หรือ
พันธมิตรทางธุรกิจของบริษัท โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้าน
การตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับบริษัทมาก่อนและไม่อาจคาดหมายว่าจะได้รับข้อมูล
ข่าวสารการตลาดจากบริษัท หรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) เป็นต้น ทั้งนี้ บริษัทต้อง
เปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอมได้เสมอ

(ข) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

บริษัทอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
เพื่อวัตถุประสงค์ดังต่อไปนี้ เช่น

๑) ฐานการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งลูกค้าเป็นคู่สัญญาหรือเพื่อใช้ในการ
ดำเนินการตามคำขอของลูกค้าก่อนเข้าทำสัญญา (contractual basis) ตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการเข้าทำ
สัญญาประกันภัย เช่น การให้คำแนะนำ การอำนวยความสะดวกในการกรอกและนำส่งใบคำขอเอาประกันภัย
การพิจารณารับประกันภัย การส่งมอบกรมธรรม์ประกันภัย การปฏิบัติตามสิทธิหรือหน้าที่ที่เกิดจากหรือเกี่ยวข้อง
กับสัญญาประกันภัย หรือการดำเนินการชดใช้ค่าสินไหมทดแทนและการดำเนินการที่เกี่ยวข้อง เป็นต้น

๒) ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
(legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทางการตลาดแบบตรง
(direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิ
ประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของบริษัท บริษัทในเครือ หรือ
พันธมิตรทางธุรกิจ โดยมีลักษณะที่อยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์
ประกันภัยแก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัยนั้น ๆ หรือสินค้าที่คล้ายคลึง หรือสินค้าอื่น ๆ ของบริษัท
ในเครือหรือพันธมิตรทางธุรกิจที่น่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้า
รายดังกล่าวไม่เคยคัดค้านการส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ บริษัทต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน
(opt-out) ได้เสมอ

๓) ฐานการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล (legal obligation basis)
ตามมาตรา ๒๔ (๖) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่น การจัดทำฐานข้อมูลเกี่ยวกับ
การฉ้อฉลเพื่อการติดตามการฉ้อฉลและเพิ่มประสิทธิภาพการบริหารจัดการความเสี่ยงด้านการฉ้อฉลของบริษัท
ซึ่งเป็นการดำเนินการเพื่อปฏิบัติตามประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วย
หลักเกณฑ์ วิธีการ และเงื่อนไขในการกำหนดมาตรฐานขั้นต่ำในการบริหารจัดการความเสี่ยงของบริษัทประกันชีวิต
ในส่วนที่เกี่ยวข้องกับการฉ้อฉล ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยการ
ให้บริษัทประกันชีวิตยื่นรายงานเกี่ยวกับการฉ้อฉลประกันภัย และกฎหมายอื่นที่เกี่ยวข้อง

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว

บริษัทจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอมโดยชัดแจ้ง (explicit consent basis)

โดยทั่วไป บริษัทอาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวได้ต่อเมื่อ
ได้รับความยินยอมโดยชัดแจ้งจากลูกค้าเท่านั้น โดยต้องขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผย

๔

ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น เพื่อการระบุและยืนยันตัวตนเองเหนือจากที่กฎหมายกำหนดไว้ หรือเพื่อการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอ พิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการจากบริษัท บริษัทในเครือ และ พันธมิตรทางธุรกิจทุกกรณี โดยไม่คำนึงว่าเกินความคาดหมายของลูกค้าหรือไม่ ดังนั้น บริษัทจึงต้องพิจารณาว่า ข้อมูลส่วนบุคคลที่อ่อนไหวที่เก็บรวบรวมนั้นมีความสัมพันธ์กับประกันภัยประเภทนั้น ๆ อย่างไร หากไม่จำเป็นต้องใช้พิจารณาเพื่อให้บริการหรือทำสัญญาประกันภัย บริษัทอาจพิจารณาไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว ตั้งแต่แรก หรือดำเนินการขอความยินยอมให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ข) ฐานทางกฎหมายอื่นซึ่งไม่ใช่ฐานความยินยอม

บริษัทอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม เช่น ฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญ ตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีหนึ่งกรณีใดดังต่อไปนี้

๑) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า คู่สมรส บุคคล ในครอบครัว หรือบุคคลอื่นที่จำเป็นในการพิจารณารับประกันภัย การเอาประกันภัยต่อ พิจารณารับประกันภัยต่อ คำนวณเบี้ยประกันภัย ปฏิเสธการรับประกันภัยแต่ละประเภท หรือขอใช้ค่าสินไหมทดแทนตามสัญญาประกันภัย เช่น ข้อมูลสุขภาพหรือข้อมูลความพิการที่เป็นข้อมูลที่สำคัญที่ผู้เอาประกันภัยมีหน้าที่ต้องแถลงเพื่อให้บริษัท มีข้อมูลเพียงพอเพื่อใช้ในการพิจารณารับประกันชีวิต สุขภาพ หรืออุบัติเหตุ แล้วแต่กรณี

๒) การเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานตาม ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยการให้บริษัทประกันชีวิตยื่นรายงาน เกี่ยวกับการฉ้อฉลประกันภัย และกฎหมายอื่นที่เกี่ยวข้อง เพื่อใช้ในการจัดทำฐานข้อมูลเกี่ยวกับการฉ้อฉล ประกันภัย (watch-list) โดยสำนักงานจะเป็นศูนย์กลางในการบริหารจัดการข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย เพื่อการติดตามการฉ้อฉลประกันภัยและเพิ่มประสิทธิภาพการบริหารจัดการความเสี่ยงด้านการฉ้อฉลของบริษัท

๓) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้ สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วย คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันชีวิต

ข้อ ๖ ในกรณีที่บริษัทต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้บริษัทพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ บริษัทอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(๑) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่ โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความ ยินยอมผ่านทางโทรศัพท์ในบริบทของการเสนอขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือ การให้บริการหลังการขาย ทั้งนี้ บริษัทควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มีการอาศัย ความยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะเวลานานกว่านั้น

๕

ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความ ตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(๒) การขอความยินยอมจากผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ ให้บริษัท ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๓) ในกรณีลูกค้าเป็นผู้เอาประกันภัยซึ่งมีกรมธรรม์ประกันภัยหลายฉบับ ให้บริษัทพิจารณาว่าควรขอความยินยอมแยกเป็นรายกรมธรรม์ประกันภัยหรือไม่ โดยพิจารณาจากวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่ามีความเกี่ยวเนื่องกับกรมธรรม์ประกันภัยฉบับอื่นหรือไม่ เช่น ในกรณีที่ผู้เอาประกันภัยมีกรมธรรม์ประกันภัยหลายฉบับ โดยอาจมีทั้งกรมธรรม์ประกันชีวิต กรมธรรม์ประกันภัยสุขภาพ และกรมธรรม์ประกันภัยอุบัติเหตุ และบริษัทมีวัตถุประสงค์ที่ต้องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวเนื่องกับทุกกรมธรรม์ประกันภัย เช่น วัตถุประสงค์ในการดำเนินกิจกรรมทางการตลาดแบบตรงของบริษัท ในกรณีดังกล่าว บริษัทอาจขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อดำเนินกิจกรรมทางการตลาดแบบตรงของบริษัทไปได้ในการเสนอขายกรมธรรม์ประกันภัยฉบับแรกครั้งเดียว โดยไม่จำเป็นต้องขอความยินยอมสำหรับวัตถุประสงค์ดังกล่าวในการเสนอขายกรมธรรม์ประกันภัยฉบับอื่น ๆ อีก เนื่องจากความยินยอมที่ได้ขอไว้นั้นครอบคลุมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทแล้ว เป็นต้น

(๔) การขอความยินยอมในกรณีที่บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่น หรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งบริษัทไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้า ในขั้นตอนแรกของการเก็บรวบรวม ข้อมูลส่วนบุคคล บริษัทอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(ก) ในการทำสัญญาประกันภัยแบบกลุ่ม บริษัทอาจกำหนดเงื่อนไขในใบคำขอเอาประกันภัย กรมธรรม์ประกันภัย หรือเอกสารอื่นใดให้ผู้ถือกรมธรรม์ประกันภัยให้คำรับรอง (representation and warranty) ว่า ได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทตามหลักเกณฑ์ที่กำหนดในข้อ ๘ และหากบริษัทเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม บริษัทอาจจัดให้ผู้ถือกรมธรรม์ ประกันภัยจัดทำเอกสารขอความยินยอมจากสมาชิกผู้เอาประกันภัยเพื่อให้บริษัทสามารถเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้ ทั้งนี้ บริษัทอาจพิจารณาแนบนโยบายการคุ้มครอง ข้อมูลส่วนบุคคลของบริษัท พร้อมทั้งเอกสารขอความยินยอมให้แก่ผู้ถือกรมธรรม์ประกันภัย เพื่ออำนวยความสะดวกแก่ ผู้ถือกรมธรรม์ประกันภัยในการไปแจ้งนโยบายดังกล่าวและขอความยินยอมแทนบริษัท โดยให้ผู้ถือกรมธรรม์ ประกันภัยเก็บรักษาเอกสารขอความยินยอมนั้นไว้เป็นหลักฐาน ซึ่งบริษัทสามารถร้องขอได้หากเกิดข้อร้องเรียนขึ้น ในอนาคต

(ข) การที่บริษัทได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากบุคคลอื่นที่บริษัทไม่มี นิติสัมพันธ์ด้วยมาก่อนเพื่อเสนอขายกรมธรรม์ประกันภัยของบริษัท ในการนี้ บริษัทต้องขอความยินยอมอีกครั้งหรือ ให้บุคคลอื่นที่เปิดเผยข้อมูลส่วนบุคคลต่อบริษัทนั้น ขอความยินยอมให้บริษัทตั้งแต่ต้น โดยให้บริษัทอื่นที่เปิดเผย ข้อมูลส่วนบุคคลเก็บรักษาเอกสารขอความยินยอมนั้นไว้เป็นหลักฐาน ซึ่งบริษัทสามารถร้องขอได้หากเกิด ข้อร้องเรียนขึ้นในอนาคต

(ค) ในกรณีที่ลูกค้าเป็นผู้เอาประกันภัยที่ได้ให้ข้อมูลส่วนบุคคลของบุคคลอื่นที่เกี่ยวข้องแก่ บริษัท เช่น คู่สมรส ผู้ชำระเบี้ยประกันภัย ผู้รับประโยชน์ตามกรมธรรม์ประกันภัย หรือบุคคลในครอบครัว บริษัท อาจกำหนดเงื่อนไขในใบคำขอเอาประกันภัย กรมธรรม์ประกันภัย หรือเอกสารอื่นใดให้ผู้เอาประกันให้คำรับรอง (representation and warranty) ว่า ได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทตามหลักเกณฑ์ที่ กำหนดในข้อ ๘ และหากบริษัทเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้อง

๖

อาศัยความยินยอม อาจจัดให้ผู้เอาประกันภัยให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอม จากบุคคลอื่นที่เกี่ยวข้องเหล่านั้นแล้วเพื่อให้บริษัทสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้

ข้อ ๗ บริษัทต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความยินยอมเมื่อใด ก็ได้ และจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอม โดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ความยินยอม โดยไม่ได้มีขั้นตอน เพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และบริษัทต้องจัดให้มีระบบการบันทึกการ ถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย

ข้อ ๘ ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล บริษัทอาจดำเนินการตามหลักเกณฑ์ ดังต่อไปนี้

(๑) แจ้งรายละเอียดต่างๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทแก่ลูกค้าก่อนหรือ ขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยบริษัทอาจ ดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือ แสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูลส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า บริษัท อาจแจ้งรายละเอียดต่างๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทแก่ลูกค้าภายหลังจากการเก็บรวบรวม ข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่ เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทต้องมีการระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจ ประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วย การประกันชีวิต ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน (https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ บริษัทอาจใช้ แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัท

(๒) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไปก่อนหรือพร้อมกับใบคำขอ เอาประกันภัยหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือผ่านช่องทางการ ติดต่อสื่อสารอื่น ๆ ระหว่างบริษัทกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้าทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้บริษัทประกาศทาง เว็บไซต์ของบริษัทด้วย

ข้อ ๙ ในกรณีที่บริษัทโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ ให้ปฏิบัติตาม หลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๗

ข้อ ๑๐ สถานะของบริษัท

บริษัทที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการประกอบธุรกิจประกันภัยในฐานะผู้รับประกันภัยหรือผู้รับประกันภัยต่อ มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ต่าง ๆ ตลอดจนระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลได้เอง เช่น เก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าและบุคคลที่เกี่ยวข้องเพื่อพิจารณารับประกันภัย การเอาประกันภัยต่อ พิจารณารับประกันภัยต่อ ปฏิบัติตามสัญญาประกันภัย พิจารณาและดำเนินการที่เกี่ยวข้องกับการจ่ายค่าสินไหมทดแทน จัดทำสมุดทะเบียนตามกฎหมาย เพื่อเป็นหลักฐานในการต่อสู้คดีตามกฎหมาย หรือเพื่อเสนอขายหรือการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) เป็นต้น มีลักษณะเป็นผู้ควบคุมข้อมูลส่วนบุคคล

อย่างไรก็ดี บริษัทในฐานะผู้รับประกันภัยหรือผู้รับประกันภัยต่ออาจมีลักษณะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้ หากได้ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในนามหรือตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นโดยเฉพาะ

ข้อ ๑๑ ในกรณีที่บริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล บริษัทยังมีหน้าที่อื่น ๆ เพิ่มเติมดังต่อไปนี้

(๑) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต และกฎหมายอื่นที่เกี่ยวข้องกำหนด อย่างไรก็ดี บริษัทอาจคำนึงถึงประเด็นดังต่อไปนี้ ร่วมด้วย เช่น

(ก) อำนาจหน้าที่ของพนักงานแต่ละระดับที่เอื้อต่อการดูแลรักษาความปลอดภัยของข้อมูลส่วนบุคคล โดยสอดคล้องกับหลักการควบคุม การกำกับและตรวจสอบ (in lines of defense)

(ข) การรักษาความมั่นคงปลอดภัยของข้อมูล โดยควรมีมาตรการเชิงเทคนิคและเชิงบริหารจัดการเพื่อรักษาความมั่นคงปลอดภัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น มีการกำหนดขั้นความลับของข้อมูล เก็บรักษา และทำลายข้อมูลให้เหมาะสมกับขั้นความลับ มีการบริหารจัดการการเข้าถึงรหัสข้อมูลที่เชื่อถือได้และเป็นมาตรฐานสากลในการรักษาความมั่นคงปลอดภัยของข้อมูลที่เหมาะสมตามขั้นความลับและความสำคัญของข้อมูล จัดทำนโยบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย และรวมถึงจัดฝึกอบรมหรือสร้างความตระหนักรู้และการมีส่วนร่วมเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความปลอดภัยของข้อมูล แก่พนักงานและบุคลากร เช่น แนวทางการกำกับดูแลการเตรียมความพร้อมรับมือภัยคุกคามทางไซเบอร์ เหตุการละเมิดข้อมูลส่วนบุคคล แนวปฏิบัติด้านการเข้ารหัสข้อมูล (cryptography) มาตรการสำหรับการทำงานนอกบริษัท (Remote Working Policy) เช่น หากพนักงานนำเอกสารที่มีข้อมูลเกี่ยวกับลูกค้าไปทำงานนอกสถานที่จะต้องมั่นใจว่าจะไม่ทำเอกสารดังกล่าวสูญหายหรือลืมทิ้งไว้นอกสถานที่แต่อย่างใด เป็นต้น

(ค) กำหนดสิทธิและข้อจำกัดสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของบุคลากร พนักงาน หรือลูกจ้างของตนในแต่ละลำดับชั้นให้ชัดเจนและเป็นปัจจุบัน โดยเฉพาะเมื่อมีการเปลี่ยนแปลงตำแหน่งหรือการจ้างงาน จัดหาพื้นที่ปิดสำหรับการจัดเก็บเอกสารที่มีข้อมูลส่วนบุคคลโดยสามารถปิดล็อคได้ ตลอดจนมีการติดตามตรวจสอบการเข้าถึงระบบงานอย่างจริงจังสม่ำเสมอเพื่อตรวจสอบความผิดปกติของการเข้าถึงข้อมูลและสามารถแก้ไขปัญหา

๘

ได้ทันท่วงที โดยมีการบันทึกข้อมูลและรายละเอียดที่สำคัญของบุคคลที่เข้าถึงระบบงานทุกครั้ง เช่น ช่วงเวลาที่เข้าถึง ชื่อและตำแหน่งหน้าที่ของบุคคลที่เข้าถึง เป็นต้น รวมถึงรายงานผลการตรวจจับต่อผู้บริหาร เช่น กำหนดมาตรการเพื่อควบคุมและป้องกันการรั่วไหลของข้อมูลโดยแบ่งแยกหน่วยงานเป็นสัดส่วนตามหลักแบ่งแยกหน่วยงานและบุคลากรที่มีโอกาสได้รับข้อมูลจากการปฏิบัติงานออกจากหน่วยงานอื่นอย่างชัดเจน เพื่อป้องกันการรั่วไหลของข้อมูลดังกล่าว (Chinese wall) รวมถึงข้อมูลส่วนบุคคลระหว่างหน่วยงาน ซึ่งอาจส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลได้ และจัดเก็บและกำหนดการเข้าถึงข้อมูลเท่าที่จำเป็น (need to know basis) กำหนดแนวทางในการกำกับดูแลและตรวจสอบพนักงานที่มีหน้าที่ที่เกี่ยวข้องกับข้อมูลภายในซึ่งอาจถูกนำไปใช้อย่างไม่เหมาะสม รวมทั้งจัดให้มีการบันทึก การทำสำรองข้อมูลของการเข้าถึงหรือการเข้าใช้งานข้อมูลส่วนบุคคลไว้ในระยะเวลาที่เหมาะสมหรือตามระยะเวลาที่กฎหมายกำหนด

(ง) ควบคุมและบริหารจัดการความเสี่ยงเกี่ยวกับผู้ให้บริการภายนอกหรือพันธมิตรทางธุรกิจอย่างมีประสิทธิภาพและรัดกุมในการเข้าถึง การใช้ และการดูแลรักษาข้อมูลลูกค้า เช่น การจัดทำสัญญาระหว่างบริษัทกับบุคคลดังกล่าวเพื่อกำหนดหน้าที่ในการดูแลรักษาความปลอดภัยของการใช้ข้อมูลส่วนบุคคล โดยอาจอ้างอิงจากมาตรฐานของประเทศที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

(จ) มีการบริหารจัดการความเสี่ยง ตรวจสอบและประเมินความเสี่ยงด้านความมั่นคงปลอดภัยของเว็บไซต์หรือของระบบสารสนเทศโดยครอบคลุมความเสี่ยงที่อาจกระทบกับความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เกี่ยวข้องอย่างน้อยปีละ ๑ ครั้ง หรือทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ

(ฉ) มีการติดตามดูแลระบบและการเฝ้าระวังภัยคุกคาม (security monitoring) โดยมีกระบวนการหรือเครื่องมือในการตรวจจับเหตุการละเมิดข้อมูลส่วนบุคคล เหตุการณ์ผิดปกติ หรือภัยคุกคามที่มีผลกระทบต่อความมั่นคงปลอดภัยของระบบที่สำคัญ รวมถึง มีการบริหารจัดการช่องโหว่ (vulnerability management) ของระบบที่เหมาะสมตามระดับความเสี่ยง และจัดให้มีผู้เชี่ยวชาญจากภายนอกทำหน้าที่ทดสอบเจาะระบบ โดยเฉพาะระบบงาน (application) และระบบเครือข่าย (network) ที่มีการเชื่อมต่อกับระบบเครือข่ายสื่อสารสาธารณะ (internet facing) อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ และดำเนินการให้มั่นใจว่ามีการแก้ไขข้อบกพร่องอย่างมีประสิทธิภาพ

(ช) กำหนดให้มีการใช้มาตรการที่เหมาะสมและเป็นการเฉพาะสำหรับการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่อ่อนไหวตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(ซ) ควรจัดให้มีมาตรการที่รอบคอบในการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลของบุคคลซึ่งเป็นผู้เยาว์โดยใช้วิธีการโดยเฉพาะและเหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) ในกรณีที่บริษัทต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

(๔) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๕) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและสำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๙

(๖) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อย ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๗) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของบริษัทแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท เช่น ตัวแทนประกันชีวิต ผู้ให้บริการภายนอกหรือบุคคลที่สามอื่นใด ให้จัดให้มีสัญญา หรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ (Data Processing Agreement) ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล เช่น นายหน้าประกันชีวิต บริษัทอาจพิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าว (Data Sharing Agreement) เพื่อตกลงหน้าที่เกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างกันก็ได้

(๘) ในกรณีที่บริษัทซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของบริษัทที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๑๒ ในกรณีที่บริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลขัดต่อกฎหมาย

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า ผู้ควบคุมข้อมูลส่วนบุคคล สำนักงาน และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) เข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตนกับผู้ควบคุมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) ในกรณีที่บริษัทซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของบริษัทที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดี หากบริษัทมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอยู่แล้ว บริษัทสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ในส่วนที่เกี่ยวข้องกับการดำเนินกิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล

๑๐

ข้อ ๑๓ กรณีบริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล ให้จัดทำนโยบายการเก็บรักษาข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลาที่เหมาะสมและจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า ทั้งนี้ บริษัทอาจกำหนดระยะเวลาขั้นต่ำในการเก็บรักษาข้อมูลส่วนบุคคลตามอายุความของสัญญาประกันภัย หรือจนกว่าจะสิ้นสุดความสัมพันธ์กับบริษัท เช่น กรณีที่บริษัทปฏิเสธการรับประกันภัย หรือผู้เอาประกันภัยขอยกเลิกหรือเวนคืนกรมธรรม์ประกันภัยอย่างไรก็ดี หากบริษัทมีความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นต่อไป บริษัทก็อาจเก็บรวบรวมข้อมูลส่วนบุคคลนั้นไว้ได้ เช่น เก็บรวบรวมข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ที่ถูกปฏิเสธการรับประกันภัยเพื่อประโยชน์ในการป้องกันการฉ้อฉล หรือเพื่อปฏิบัติตามกฎหมายอื่นที่เกี่ยวข้อง

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือบริษัทไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้บริษัทยุติการประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล บริษัทต้องจัดให้มีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วยเช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ในกรณีที่ลูกค้าเป็นผู้เอาประกันภัยที่มีหลายกรมธรรม์ประกันภัย ให้บริษัทพิจารณาลบหรือทำลายข้อมูลส่วนบุคคลเป็นรายกรมธรรม์ประกันภัย อย่างไรก็ดี แม้กรมธรรม์ประกันภัยใดกรมธรรม์ประกันภัยหนึ่งจะสิ้นระยะเวลาเอาประกันภัย ทำให้บริษัทไม่สามารถเก็บรวบรวมข้อมูลส่วนบุคคลบางอย่างได้อีกต่อไปเนื่องจากหมดความจำเป็น หากกรมธรรม์ประกันภัยอื่นยังมีผลบังคับอยู่ และบริษัทยังจำเป็นต้องเก็บรักษาข้อมูลส่วนบุคคลที่จำเป็นและเกี่ยวข้องที่บริษัทได้มาจากกรมธรรม์ประกันภัยที่สิ้นระยะเวลาเอาประกันภัยแล้ว บริษัทยังคงเก็บรวบรวมได้ต่อไป เช่น ข้อมูลชื่อ นามสกุล รายละเอียดตามกรมธรรม์ประกันภัยเดิมเฉพาะที่เกี่ยวข้องกับกรมธรรม์ประกันภัยอื่นยังมีผลบังคับอยู่

ข้อ ๑๔ กรณีบริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลที่บริษัทได้เก็บรวบรวมไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ บริษัทสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้บริษัทเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไปสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้บริษัทแจ้งให้ลูกค้าทราบผ่านช่องทางที่บริษัทมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการเผยแพร่ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล หรือข้อความสื่อสารทางโทรศัพท์ (SMS) และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้บริษัทประกาศทางเว็บไซต์ของบริษัทด้วย ทั้งนี้ บริษัทต้องระบุช่องทางในการยกเลิกความยินยอมด้วย

หากบริษัทต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่งเพื่อวัตถุประสงค์อื่นเพิ่มเติม จากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น บริษัทต้องดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

กรณีบริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ให้จัดการข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคลของบริษัทกำหนด

๑๑

หมวด ๒

ตัวแทนประกันชีวิต

ข้อ ๑๕ ในกรณีที่ตัวแทนประกันชีวิตเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทใด ตัวแทนประกันชีวิตต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปหรือข้อมูลส่วนบุคคลที่อ่อนไหวตามคำสั่งหรือข้อตกลงที่มีอยู่กับบริษัทนั้นเท่านั้น จึงถือเป็นการประมวลผลข้อมูลโดยอาศัยฐานทางกฎหมายเดียวกันกับบริษัทนั้นได้ อย่างไรก็ดี ในกรณีที่ตัวแทนประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องพิจารณาฐานทางกฎหมายสำหรับแต่ละวัตถุประสงค์นั้นเป็นรายกรณีตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๑๖ ในกรณีที่บริษัทไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจำเป็นต้องขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ตัวแทนประกันชีวิตซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทขอความยินยอมจากลูกค้าตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแทนบริษัท ซึ่งรวมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถด้วย โดยตัวแทนประกันชีวิตอาจดำเนินการตามแนวทางดังต่อไปนี้

(๑) การขอความยินยอมจากลูกค้าต้องทำโดยขัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็สามารถขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความยินยอมผ่านทางโทรศัพท์ในบริบทของบริการขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการให้บริการหลังการขาย ทั้งนี้ ตัวแทนประกันชีวิตควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยปฏิบัติตามแนวทางที่บริษัทกำหนด

(๒) ในกรณีที่ตัวแทนประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่นหรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งตัวแทนประกันชีวิตไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้าในขั้นตอนแรกของการเก็บรวบรวมข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตอาจเก็บรวบรวมข้อมูลส่วนบุคคลโดยปฏิบัติตามแนวทางที่บริษัทกำหนด เช่น ในกรณีที่ตัวแทนประกันชีวิตได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากลูกค้าปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา บริษัทอาจกำหนดให้ตัวแทนประกันชีวิตจัดให้บุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูลส่วนบุคคลของบุคคลนั้นแก่ตัวแทนประกันชีวิตเพื่อการเสนอขายกรมธรรม์ประกันภัยในนามบริษัทแล้ว โดยเมื่อตัวแทนประกันชีวิตติดต่อกับผู้มุ่งหวังรายนั้นเป็นครั้งแรก บริษัทอาจกำหนดให้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ของบริษัท และขอความยินยอมจากผู้มุ่งหวังอีกครั้งเพื่อให้ตัวแทนประกันชีวิตสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในนามของบริษัทเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

ข้อ ๑๗ ในกรณีที่ตัวแทนประกันชีวิตได้รับมอบหมายจากบริษัทให้รับคำขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากลูกค้า ให้ตัวแทนประกันชีวิตดำเนินการตามแนวทางการถอนความยินยอมที่บริษัทกำหนดตามข้อ ๗

ข้อ ๑๘ ให้ตัวแทนประกันชีวิตซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัท แก่ลูกค้าตามช่องทางและแนวทางที่บริษัทกำหนดตามข้อ ๘

๑๒

ข้อ ๑๙ ในกรณีที่ตัวแทนประกันชีวิตซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้รับมอบหมายจาก บริษัทให้โอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ ให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคล ไปต่างประเทศตามแนวทางที่บริษัทกำหนด

ข้อ ๒๐ สถานะของตัวแทนประกันชีวิต

(๑) กรณีตัวแทนประกันชีวิตเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า เพื่อทำการ ชักชวนให้บุคคลทำสัญญาประกันภัยกับบริษัทตามที่ได้รับมอบหมาย จึงเป็นการทำตามคำสั่งหรือในนามของบริษัท ดังนั้น ตัวแทนประกันชีวิตจึงมีลักษณะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท และต้องเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทซึ่งระบุ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทหรือในสัญญาระหว่างตัวแทนประกันชีวิตกับบริษัท

(๒) กรณีที่ตัวแทนประกันชีวิตไม่ปฏิบัติตามคำสั่งหรือกระทำการนอกเหนือจากวัตถุประสงค์ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของของบริษัท ตัวแทนประกันชีวิตจะถือเป็นผู้ควบคุมข้อมูล ส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับวัตถุประสงค์เหล่านั้น เช่น เพื่อการทำ การตลาดแบบตรง (direct marketing) ของตัวแทนประกันชีวิตเอง หรือเพื่อกิจการอื่นใดของตัวแทนประกันชีวิต เป็นการส่วนตัวที่ไม่เกี่ยวข้องกับการทำหน้าที่เป็นตัวแทนประกันชีวิตของบริษัทใดบริษัทหนึ่ง เป็นต้น กรณีดังกล่าว จึงถือได้ว่าตัวแทนประกันชีวิตเป็นผู้มีอำนาจตัดสินใจในการประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงเพื่อการ พิจารณาเลือกเสนอขายผลิตภัณฑ์ประกันภัยและบริการของบริษัทอื่นในกรณีที่เป็นตัวแทนประกันชีวิตของบริษัท มากกว่าหนึ่งแห่ง เนื่องจากตัวแทนประกันชีวิตมีสิทธิจะพิจารณาก่อนได้ว่าจะเสนอขายผลิตภัณฑ์ประกันภัยและ บริการของบริษัทใดให้แก่ลูกค้าแต่ละราย อย่างไรก็ดี เมื่อตัวแทนประกันชีวิตทำการชักชวนให้ลูกค้าเข้าทำสัญญา ประกันภัยกับบริษัทใดเป็นการเฉพาะแล้ว ตัวแทนประกันชีวิตจะมีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ บริษัทนั้นตาม (๑)

ข้อ ๒๑ ในกรณีที่ตัวแทนประกันชีวิตเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตยังมี หน้าที่อื่น ๆ เพิ่มเติมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจาก บริษัทเท่านั้น เว้นแต่คำสั่งของบริษัทขัดต่อกฎหมาย

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้บริษัททราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่ กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า บริษัท สำนักงาน และสำนักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) ตัวแทนประกันชีวิตที่ดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ใช่พนักงาน หรือลูกจ้างของบริษัทต้องเข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตน กับบริษัทตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๑๓

(๖) ในกรณีที่ตัวแทนประกันชีวิตซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของตัวแทนประกันชีวิตที่มีต่อเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดี หากตัวแทนประกัน ชีวิตมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอยู่แล้ว ตัวแทนประกันชีวิตสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ในส่วนที่เกี่ยวข้องกับการดำเนิน กิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของบริษัท

ข้อ ๒๒ ในกรณีที่ตัวแทนประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดังต่อไปนี้

(๑) ตัวแทนประกันชีวิตต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้ แจ้งลูกค้าไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากตัวแทนประกันชีวิตพบหรือทราบว่า มีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิม ซึ่งนอกเหนือจากที่ได้ระบุไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตเอง หรือในกรณีที่มี การเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตจะเพิ่มหรือ เปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลก็ได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม ตัวแทนประกันชีวิตจะต้องขอ ความยินยอมจากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการ เพิ่มเติมด้วย

ทั้งนี้ ตัวแทนประกันชีวิตจะต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทน ประกันชีวิตให้ครอบคลุมถึงวัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วย โดยอาจแจ้ง ในช่องทางต่าง ๆ ที่ตัวแทนประกันชีวิตสามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจ พิจารณาจากช่องทางที่ตัวแทนประกันชีวิตมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางลูกค้าสามารถเข้าถึงหรือ ทราบนโยบายการคุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมลหรือข้อความสื่อสารทาง โทรศัพท์ (SMS) โดยอาจเป็นช่องทางเดียวกันกับช่องทางที่เคยแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ก่อน หน้าที่ได้ และในกรณีที่ตัวแทนประกันชีวิตมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้า ให้ตัวแทนประกันชีวิต ประกาศทางเว็บไซต์ของตัวแทนประกันชีวิตด้วย

(๒) ให้ตัวแทนประกันชีวิตแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยตามที่ กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ตามแนวทางที่กำหนดไว้ข้อ ๔

(๓) ให้ตัวแทนประกันชีวิตขอความยินยอมจากลูกค้า ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลของลูกค้าสำหรับกรณีที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูล ส่วนบุคคลตามข้อ ๔ ทั้งนี้ ตัวแทนประกันชีวิตอาจพิจารณาอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับ การดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(ก) ข้อมูลส่วนบุคคลทั่วไป

๑) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น ตัวแทนประกันชีวิตต้องขอความยินยอม เพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริม

๑๔

การขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของตัวแทนประกันชีวิต บริษัทในเครือ หรือพันธมิตรทางธุรกิจของตัวแทนประกันชีวิต โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้านการตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับตัวแทนประกันชีวิตมาก่อน และไม่อาจคาดหมายว่าจะได้รับข้อมูลข่าวสารการตลาดจากตัวแทนประกันชีวิต หรือการซื้อข้อมูลลูกค้าจาก ผู้ประกอบการรายอื่น (ซื้อ lead) เป็นต้น ทั้งนี้ ตัวแทนประกันชีวิตต้องเปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอม ได้เสมอ

๒) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

ตัวแทนประกันชีวิตอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมจากลูกค้าเพื่อเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้ เช่น ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของ ผู้ควบคุมข้อมูลส่วนบุคคล (legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทาง การตลาดเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูล ส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของตัวแทน ประกันชีวิต บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของของตัวแทนประกันชีวิต โดยมีลักษณะที่อยู่ในความ คาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์อื่น ๆ แก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัย นั้น ๆ ผ่านทางตัวแทนประกันชีวิต และเป็นผลิตภัณฑ์ที่เกี่ยวเนื่องหรือคล้ายคลึงซึ่งอยู่ในความคาดหมายของลูกค้า และน่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้ารายดังกล่าวไม่เคยคัดค้าน การส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ ตัวแทนประกันชีวิตต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน (opt-out) ได้เสมอ

(ข) ข้อมูลส่วนบุคคลที่อ่อนไหว

ตัวแทนประกันชีวิตจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป โดยทั่วไป ตัวแทนประกันชีวิตสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่อ่อนไหวได้ต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากลูกค้าเท่านั้น โดยต้องขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น เพื่อการระบุและยินตัวตนเองเหนือจากที่กฎหมายกำหนดไว้ หรือเพื่อการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขายทุกกรณี โดยไม่คำนึงว่าเกินความคาดหมายของลูกค้าหรือไม่

ทั้งนี้ ในกรณีที่เป็นตัวแทนประกันชีวิตของบริษัทมากกว่าหนึ่งแห่งและสามารถพิจารณา เลือกเสนอขายผลิตภัณฑ์ประกันภัยและบริการของบริษัทอื่นที่ไม่เกี่ยวข้องกับการทำหน้าที่เป็นตัวแทนประกันชีวิตของ บริษัทใดบริษัทหนึ่ง ตัวแทนประกันชีวิตไม่ควรเก็บข้อมูลส่วนบุคคลที่อ่อนไหวที่อาจได้รับมาจากการทำหน้าที่ของ ตัวแทนประกันชีวิต เว้นแต่จะดำเนินการขอความยินยอมให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลในนามของตัวแทนประกันชีวิตเอง

นอกจากนี้ ตัวแทนประกันชีวิตสามารถอาศัยฐานทางกฎหมายอื่นโดยไม่ต้องขอความ ยินยอมจากลูกค้าเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น ฐานเป็นการจำเป็น ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบ

๑๕

ธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันชีวิต ทั้งนี้ ตัวแทนประกันชีวิตต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลร่วมด้วยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) ในกรณีที่ตัวแทนประกันชีวิตต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ตัวแทนประกันชีวิตพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ ตัวแทนประกันชีวิตอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(ก) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความยินยอมผ่านทางโทรศัพท์ในบริบทของการเสนอขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการให้บริการหลังการขาย ทั้งนี้ ตัวแทนประกันชีวิตควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มีการอาศัยความยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะเวลานานกว่านั้น ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(ข) การขอความยินยอมผู้เยาว์ คนไร้ความสามารถ หรือ คนเสมือนไร้ความสามารถ ให้ตัวแทนประกันชีวิตปฏิบัติตามมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

(ค) การขอความยินยอมในกรณีที่ตัวแทนประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่นหรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งตัวแทนประกันชีวิตไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้าในขั้นตอนแรกของการเก็บรวบรวมข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตอาจดำเนินการตามแนวทางดังต่อไปนี้

๑) การที่ตัวแทนประกันชีวิตได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ซึ่งเป็นลูกค้าของพันธมิตรทางธุรกิจเพื่อประโยชน์ในการพิจารณาว่าจะเสนอขายกรมธรรม์ประกันภัยของบริษัทใดแก่ผู้มุ่งหวังดังกล่าว ในการนี้ ตัวแทนประกันชีวิตอาจกำหนดเงื่อนไขในสัญญาระหว่างตัวแทนประกันชีวิตกับพันธมิตรทางธุรกิจว่าบุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิต และได้รับความยินยอมจากผู้มุ่งหวังแล้วเพื่อให้ตัวแทนประกันชีวิตสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

๒) ในกรณีที่ตัวแทนประกันชีวิตได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากลูกค้าปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา ตัวแทนประกันชีวิตอาจจัดให้บุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูลส่วนบุคคลของบุคคลนั้นแก่ตัวแทนประกันชีวิตเพื่อการเสนอขายกรมธรรม์ประกันภัยแล้ว

โดยเมื่อตัวแทนประกันชีวิตติดต่อกับผู้มุ่งหวังรายนั้นเป็นครั้งแรก ตัวแทนประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ของตัวแทนประกันชีวิต และขอความยินยอมจากผู้มุ่งหวังอีกครั้งเพื่อให้ตัวแทนประกันชีวิตสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

(๕) ตัวแทนประกันชีวิตจะต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความยินยอมเมื่อใดก็ได้ และจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอน

๑๖

ความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ความยินยอม โดยไม่ได้มีขั้นตอนเพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และตัวแทนประกันชีวิตต้องจัดให้มีระบบการบันทึกการถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย

(๖) ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ตัวแทนประกันชีวิตอาจดำเนินการตามหลักเกณฑ์ดังต่อไปนี้

(ก) แจ้งรายละเอียดต่างๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตแก่ลูกค้าก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยตัวแทนประกันชีวิตอาจดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือแสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูลส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่ตัวแทนประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า ตัวแทนประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตต้องมีการระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตัวแทนประกันชีวิต เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันชีวิตตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน (https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ ตัวแทนประกันชีวิตอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิต

(ข) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไปก่อนหรือพร้อมกับเอกสารที่ใช้ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลหรือผ่านช่องทางการติดต่อสื่อสารอื่น ๆ ระหว่างตัวแทนประกันชีวิตกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้าทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่ตัวแทนประกันชีวิตมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้ตัวแทนประกันชีวิตประกาศทางเว็บไซต์ของตัวแทนประกันชีวิตด้วย

(๗) ในกรณีที่ตัวแทนประกันชีวิตโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ ให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๘) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

(๙) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๑๗

(๑๐) ในกรณีที่ตัวแทนประกันชีวิตต้องเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

(๑๑) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๑๒) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและสำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๑๓) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด) เพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๑๔) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของตัวแทนประกันชีวิตแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของตัวแทนประกันชีวิต ให้จัดให้มีสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตอาจพิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าวเพื่อให้ตัวแทนประกันชีวิตสามารถปฏิบัติหน้าที่ได้ สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลก็ได้

(๑๕) ในกรณีที่ตัวแทนประกันชีวิตซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของตัวแทนประกันชีวิตที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๑๖) ให้ตัวแทนประกันชีวิตซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำนโยบายการเก็บรักษาข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลาที่เหมาะสมและจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือตัวแทนประกันชีวิตไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้ตัวแทนประกันชีวิตยุติการประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตต้องจัดให้มีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วยเช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๒๓ กรณีที่ตัวแทนประกันชีวิตเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ให้จัดการข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่บริษัทกำหนด

๑๘

กรณีที่ตัวแทนประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทนประกันชีวิตสามารถเก็บรวมรวม และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้ตัวแทนประกันชีวิตเก็บรวมรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไป สามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้ตัวแทนประกันชีวิตแจ้งให้ลูกค้าทราบผ่าน ช่องทางที่ตัวแทนประกันชีวิตมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการเผยแพร่ ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) และในกรณีที่ ตัวแทนประกันชีวิตมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้ตัวแทนประกันชีวิตประกาศทางเว็บไซต์ของ ตัวแทนประกันชีวิตด้วย ทั้งนี้ ตัวแทนประกันชีวิตต้องระบุช่องทางในการยกเลิกความยินยอมด้วย

หากตัวแทนประกันชีวิตต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคสอง เพื่อวัตถุประสงค์อื่นเพิ่มเติมจากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การ เก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น ตัวแทนประกันชีวิตต้องดำเนินการให้เป็นไปตาม กฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคล

หมวด ๓

นายหน้าประกันชีวิต

ข้อ ๒๔ นายหน้าประกันชีวิตต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้ แจ้งลูกค้าไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากนายหน้าประกันชีวิตพบหรือทราบว่ามีวัตถุประสงค์ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิม ซึ่งนอกเหนือจากที่ได้ ระบุไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ในปัจจุบัน หรือในกรณีที่มีการเปลี่ยนแปลง วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นายหน้าประกันชีวิตจะเพิ่มหรือเปลี่ยนแปลง วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลก็ได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม นายหน้าประกันชีวิตจะต้องขอ ความยินยอมจากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการ เพิ่มเติมด้วย

ทั้งนี้ นายหน้าประกันชีวิตต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ครอบคลุมถึง วัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วย โดยอาจแจ้งในช่องทางต่าง ๆ ที่นายหน้า ประกันชีวิตสามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจพิจารณาจากช่องทางที่นายหน้า ประกันชีวิตมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถเข้าถึงหรือทราบนโยบายการคุ้มครอง ข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) โดยอาจเป็น ช่องทางเดียวกันกับช่องทางที่เคยแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ก่อนหน้าก็ได้ และในกรณีที่นายหน้า ประกันชีวิตมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกันชีวิตประกาศทางเว็บไซต์ของ นายหน้าประกันชีวิตด้วย

ข้อ ๒๕ ให้นายหน้าประกันชีวิตแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผย ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ตามแนวทางที่กำหนดไว้ข้อ ๔

๑๙

ข้อ ๒๖ ให้นายหน้าประกันชีวิตขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าสำหรับกรณีที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูลส่วนบุคคลตามข้อ ๔ ทั้งนี้ นายหน้าประกันชีวิตอาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับการดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น นายหน้าประกันชีวิตอาจต้องขอความยินยอมเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของนายหน้าประกันชีวิต บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของนายหน้าประกันชีวิต โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้านการตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับนายหน้าประกันชีวิตมาก่อนหรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) และลูกค้าไม่อาจคาดหมายว่าจะได้รับข้อมูลข่าวสารการตลาดจากนายหน้าประกันชีวิต การส่งข้อความการสื่อสารด้านการตลาดเกี่ยวกับผลิตภัณฑ์อื่น ๆ ซึ่งไม่เกี่ยวข้องกับผลิตภัณฑ์ประกันภัยที่ลูกค้าซื้อผ่านทางนายหน้าประกันชีวิต เช่น การที่ธนาคารที่ได้รับใบอนุญาตเป็นนายหน้าประกันชีวิตประสงค์ส่งข้อความการสื่อสารด้านการตลาดเกี่ยวกับผลิตภัณฑ์ทางการเงินอื่น ๆ ของธนาคารให้แก่ลูกค้า เป็นต้น ทั้งนี้ นายหน้าประกันชีวิตต้องเปิดโอกาสให้ลูกค้าใช้สิทธิออนความยินยอมได้เสมอ

(ข) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

นายหน้าประกันชีวิตอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้ เช่น

๑) ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล (legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของนายหน้าประกันชีวิต บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของนายหน้าประกันชีวิต โดยมีลักษณะที่อยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์ประกันภัยแก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัยนั้น ๆ หรือสินค้าที่คล้ายคลึง หรือสินค้าอื่น ๆ ของบริษัทในเครือหรือพันธมิตรทางธุรกิจของนายหน้าประกันชีวิตที่น่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้ารายดังกล่าวไม่เคยคัดค้านการส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ นายหน้าประกันชีวิตต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน (opt-out) ได้เสมอ

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว

นายหน้าประกันชีวิตจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

นายหน้าประกันชีวิตอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม เช่น ฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวข้องกับประโยชน์

๒๐

สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีหนึ่งกรณีใดดังต่อไปนี้

(ก) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า คู่สมรส และบุคคลในครอบครัว หรือบุคคลอื่น ที่จำเป็นเพื่อส่งต่อให้แก่บริษัทเพื่อนำไปพิจารณารับประกันภัย การเอาประกันภัยต่อพิจารณารับประกันภัยต่อ คำนวณเบี้ยประกันภัย ปฏิเสธการรับประกันภัยแต่ละประเภท หรือชดใช้ค่าสินไหมทดแทนตามสัญญาประกันภัย เช่น ข้อมูลสุขภาพหรือข้อมูลความพิการที่เป็นข้อมูลที่สำคัญที่ผู้เอาประกันภัยมีหน้าที่ต้องแถลงเพื่อให้บริษัทมีข้อมูลเพียงพอเพื่อใช้ในการพิจารณารับประกันภัยประเภทชีวิต สุขภาพ หรืออุบัติเหตุแล้วแต่กรณี หรือเพื่ออำนวยความสะดวกในการส่งมอบกรมธรรม์ให้แก่ผู้เอาประกันภัยตามที่ได้รับมอบหมายจากบริษัทหรือผู้เอาประกันภัย หรือเพื่อดำเนินการใดที่เกี่ยวข้องกับการเรียกร้องค่าสินไหมทดแทนตามที่ผู้เอาประกันภัยร้องขอ หรือเพื่อการเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า เช่น ผู้เอาประกันภัย ผู้เสียหาย ผู้กระทำละเมิด ผู้รับประโยชน์ หรือบุคคลที่เกี่ยวข้องอื่นใด ไปยังบุคคลที่สามหรือพันธมิตรทางธุรกิจ เช่น โรงพยาบาล หรือบริษัท

(ข) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันชีวิต

ข้อ ๒๗ ในกรณีที่นายหน้าประกันชีวิตต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้นายหน้าประกันชีวิตพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ นายหน้าประกันชีวิตอาจดำเนินการตามแนวทางดังต่อไปนี้

(๑) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความยินยอมผ่านทางโทรศัพท์ในบริบทของบริการขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการให้บริการหลังการขาย ทั้งนี้ นายหน้าประกันชีวิตควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มีการอาศัยความยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะเวลานานกว่านั้น ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(๒) การขอความยินยอมจากผู้เยาว์ คนไร้ความสามารถ หรือ คนเสมือนไร้ความสามารถ ให้นายหน้าประกันชีวิตปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๓) ในกรณีลูกค้าเป็นผู้เอาประกันภัยซึ่งมีกรมธรรม์ประกันภัยหลายฉบับ ให้นายหน้าประกันชีวิตพิจารณาว่าควรขอความยินยอมแยกเป็นรายกรมธรรม์ประกันภัยหรือไม่ โดยพิจารณาจากวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่ามีความเกี่ยวเนื่องกับกรมธรรม์ประกันภัยฉบับอื่นหรือไม่ ในกรณีที่ผู้เอาประกันมีกรมธรรม์ประกันภัยหลายฉบับ โดยอาจมีทั้งกรมธรรม์ประกันชีวิต กรมธรรม์ประกันภัยสุขภาพ และกรมธรรม์ประกันอุบัติเหตุ โดยนายหน้าประกันชีวิตมีวัตถุประสงค์ที่ต้องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวเนื่องกับทุกกรมธรรม์ประกันภัย เช่น วัตถุประสงค์ในการดำเนินกิจกรรมทางการตลาดแบบตรงของนายหน้าประกันชีวิต ในกรณีดังกล่าว นายหน้าประกันชีวิตอาจขอความยินยอมสำหรับการ

๒๑

เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อดำเนินกิจกรรมทางการตลาดแบบตรงของนายหน้าประกันชีวิตไปได้ ในครั้งเดียวในการเสนอขายกรมธรรม์ประกันภัยฉบับแรก โดยไม่จำขอความยินยอมสำหรับวัตถุประสงค์ดังกล่าว ในการเสนอขายกรมธรรม์ประกันภัยฉบับอื่น ๆ อีกเนื่องจากความยินยอมที่ได้ขอไว้นั้นครอบคลุมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตแล้ว เป็นต้น

(๔) การขอความยินยอมในกรณีที่นายหน้าประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้า จากแหล่งอื่นหรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งนายหน้าประกันชีวิตไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้า ในขั้นตอนแรกของการเก็บรวบรวมข้อมูลส่วนบุคคล นายหน้าประกันชีวิตอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(ก) ในการทำสัญญาประกันภัยแบบกลุ่ม นายหน้าประกันชีวิตอาจกำหนดให้ผู้ถือกรมธรรม์ ประกันภัยให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ นายหน้าประกันชีวิต ตามหลักเกณฑ์ที่กำหนดในข้อ ๒๙ และหากนายหน้าประกันชีวิตเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม นายหน้าประกันชีวิตอาจจัดให้ผู้ถือกรมธรรม์ ประกันภัยจัดทำเอกสารขอความยินยอมจากสมาชิกผู้เอาประกันภัยเพื่อให้นายหน้าประกันชีวิตสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้ ทั้งนี้ นายหน้าประกันชีวิตอาจ พิจารณาแนบนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิต พร้อมทั้งเอกสารขอความยินยอม ให้แก่ผู้ถือกรมธรรม์ประกันภัย เพื่ออำนวยความสะดวกแก่ผู้ถือกรมธรรม์ประกันภัยในการไปแจ้งนโยบายดังกล่าว และขอความยินยอมแทนนายหน้าประกันชีวิต โดยให้ผู้ถือกรมธรรม์ประกันภัยเก็บรักษาเอกสารขอความยินยอม นั้นไว้เป็นหลักฐาน ซึ่งนายหน้าประกันชีวิตสามารถร้องขอได้หากเกิดข้อร้องเรียนขึ้นในอนาคต

(ข) การที่นายหน้าประกันชีวิตได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ซึ่งเป็น ลูกค้าของพันธมิตรทางธุรกิจเพื่อประโยชน์ในการเสนอขายกรมธรรม์ประกันภัยของนายหน้าประกันชีวิต ในการนี้ นายหน้าประกันชีวิตอาจกำหนดเงื่อนไขในสัญญาระหว่างนายหน้าประกันชีวิตกับพันธมิตรทางธุรกิจว่าบุคคล ผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูล ส่วนบุคคลของนายหน้าประกันชีวิต และได้รับความยินยอมจากผู้มุ่งหวังแล้วเพื่อให้นายหน้าประกันชีวิตสามารถ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัย ความยินยอม

(ค) ในกรณีที่นายหน้าประกันชีวิตได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จาก ลูกค้าปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา นายหน้าประกันชีวิตอาจจัดให้บุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้ คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูลส่วนบุคคลของบุคคลนั้น แก่นายหน้าประกันชีวิตเพื่อการเสนอขายกรมธรรม์ประกันภัยแล้ว

เมื่อนายหน้าประกันชีวิตติดต่อกับลูกค้ารายนั้นเป็นครั้งแรก ให้แจ้งนโยบายการคุ้มครองข้อมูล ส่วนบุคคลของนายหน้าประกันชีวิต และขอความยินยอมจากลูกค้าอีกครั้งเพื่อให้นายหน้าประกันชีวิตสามารถ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัย ความยินยอม

ข้อ ๒๘ นายหน้าประกันชีวิตจะต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความ ยินยอมเมื่อใดก็ได้ โดยจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอน ความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ความยินยอม

๒๒

โดยไม่ได้มีขั้นตอนเพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และนายหน้าประกันชีวิตต้องจัดให้มีระบบการบันทึกการถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย ทั้งนี้ ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๒๙ ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) นายหน้าประกันชีวิตอาจดำเนินการตามหลักเกณฑ์ดังต่อไปนี้

(๑) แจ้งรายละเอียดต่าง ๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตแก่ลูกค้าก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยนายหน้าประกันชีวิตอาจดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือแสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูลส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่นายหน้าประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า นายหน้าประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตต้องมีการระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันชีวิต ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน (https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ นายหน้าประกันชีวิตอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิต

ในกรณีที่นายหน้าประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า นายหน้าประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายใน ๓๐ วัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ นายหน้าประกันชีวิตอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลดังกล่าว

(๒) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตไปก่อนหรือพร้อมกับเอกสารที่ใช้ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือผ่านช่องทางการติดต่อสื่อสารอื่น ๆ ระหว่างนายหน้าประกันชีวิตกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้า ทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่นายหน้าประกันชีวิตมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกันชีวิตประกาศทางเว็บไซต์ของนายหน้าประกันชีวิตด้วย

ข้อ ๓๐ ในกรณีที่นายหน้าประกันชีวิตโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๒๓

ข้อ ๓๑ สถานะของนายหน้าประกันชีวิต

(๑) นายหน้าประกันชีวิต ไม่ว่าเป็นบุคคลธรรมดาหรือนิติบุคคล สามารถประกอบกิจการนายหน้าประกันชีวิตได้อย่างอิสระ ไม่ขึ้นตรงกับบริษัทใดเป็นการเฉพาะ เป็นผลให้นายหน้าประกันชีวิตมีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินกิจการของตนเพื่อวัตถุประสงค์ต่าง ๆ ตลอดจนระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลได้เอง เช่น การเปิดเผยข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) หรือลูกค้าไปยังบริษัทเพื่อขอใบเสนอราคากรมธรรม์ประกันภัย เพื่อวิเคราะห์และเลือกสรรกรมธรรม์ของบริษัทที่ตรงกับความต้องการของลูกค้า เพื่อนำเสนอข้อมูลกรมธรรม์ประกันภัยของบริษัทต่าง ๆ แก่ผู้มุ่งหวัง (prospect) หรือลูกค้าพร้อมแนะนำผลิตภัณฑ์ประกันภัยหรือบริการที่เหมาะสม เพื่อดำเนินการในฐานะตัวแทนของผู้เอาประกันภัยในการประสานงานกับบริษัทเพื่อพิจารณารับประกันภัยของบริษัทและนำส่งกรมธรรม์ประกันภัย การจ่ายเบี้ยประกันภัย หรือการเรียกร้องค่าสินไหมทดแทน เพื่อเก็บรักษาข้อมูลส่วนบุคคลเป็นฐานข้อมูลของนายหน้าประกันชีวิตเอง หรือเพื่อเสนอขายหรือการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) เป็นต้น ดังนั้น นายหน้าประกันชีวิตจึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล

(๒) นายหน้าประกันชีวิตอาจถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้ในบางกรณี เช่น กรณีที่นายหน้าประกันชีวิตได้รับคำสั่งให้ดำเนินกิจกรรมการประมวลผลข้อมูลส่วนบุคคลจากบริษัทเป็นการเฉพาะ เช่น นำส่งเอกสารที่เกี่ยวข้องต่าง ๆ นอกเหนือจากการดำเนินการในฐานะตัวแทนของผู้เอาประกันภัยในการประสานงานกับบริษัท เช่น เมื่อนายหน้าประกันภัยได้รับมอบหมายจากบริษัทให้นำส่งสื่อโฆษณาผลิตภัณฑ์ประกันภัยแก่ลูกค้ากลุ่มหนึ่งกลุ่มใด โดยที่นายหน้าประกันภัยไม่ได้มีส่วนเกี่ยวข้องกับการริเริ่ม หรือได้รับประโยชน์ร่วมนอกจากค่าดำเนินการ ในการส่งเอกสารจากดำเนินการเช่นว่านั้น

ข้อ ๓๒ ในกรณีที่นายหน้าประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคล นายหน้าประกันชีวิตยังมีหน้าที่อื่น ๆ เพิ่มเติมตามกฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) ในกรณีที่นายหน้าประกันชีวิตต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

(๔) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๕) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและสำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๒๔

(๖) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อย ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนดเพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๗) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของนายหน้าประกัน ชีวิตแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของนายหน้าประกันชีวิต ให้จัดให้มีสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับ กิจกรรมการประมวลผลนั้น ๆ (Data Processing Agreement) ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล นายหน้าประกันชีวิตอาจพิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าว (Data Sharing Agreement) เพื่อตกลงหน้าที่เกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างกันก็ได้

(๘) ในกรณีที่นายหน้าประกันชีวิตซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครอง ข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและ หน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของนายหน้าประกันชีวิตที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูล ส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๓๓ ในกรณีที่นายหน้าประกันชีวิตเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจาก ผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลขัดต่อกฎหมาย

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่ กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า ผู้ควบคุมข้อมูลส่วนบุคคล สำนักงาน และ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) เข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตนกับ ผู้ควบคุมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) ในกรณีที่นายหน้าประกันชีวิตซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของนายหน้าประกันชีวิตที่มีต่อเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดี หากนายหน้าประกัน ชีวิตมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอยู่แล้ว นายหน้าประกันชีวิตสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ในส่วนที่เกี่ยวข้องกับการดำเนิน กิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของ ผู้ควบคุมข้อมูลส่วนบุคคล

๒๕

ข้อ ๓๔ กรณีนายหน้าประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคล ให้จัดทำนโยบายการเก็บรักษาข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลาที่เหมาะสมและจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า อย่างไรก็ดี หากนายหน้าประกันชีวิตมีความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นต่อไป นายหน้าประกันชีวิตก็อาจเก็บรวบรวมข้อมูลส่วนบุคคลนั้นไว้ได้ เช่น เพื่อปฏิบัติตามกฎหมายอื่นที่เกี่ยวข้อง

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือนายหน้าประกันชีวิตไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้นายหน้าประกันชีวิตยุติการประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล นายหน้าประกันชีวิตต้องจัดมีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วยเช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๓๕ กรณีนายหน้าประกันชีวิตเป็นผู้ควบคุมข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลที่นายหน้าประกันชีวิตได้เก็บรวบรวมไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ นายหน้าประกันชีวิตสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้นายหน้าประกันชีวิตเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไปสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้นายหน้าประกันชีวิตแจ้งให้ลูกค้าทราบผ่านช่องทางที่นายหน้าประกันชีวิตมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการเผยแพร่ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) และในกรณีที่นายหน้าประกันชีวิตมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกันชีวิตประกาศทางเว็บไซต์ของนายหน้าประกันชีวิตด้วย ทั้งนี้ นายหน้าประกันชีวิตต้องระบุช่องทางในการยกเลิกความยินยอมด้วย

หากนายหน้าประกันชีวิตต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่งเพื่อวัตถุประสงค์อื่นเพิ่มเติมจากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น นายหน้าประกันชีวิตต้องดำเนินการให้เป็นไปตามกฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคล

กรณีนายหน้าประกันชีวิตเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ให้จัดการข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตกำหนด

๒๖

เอกสารแนบท้าย

ให้บริษัทและผู้เสนอขายที่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล ให้เหมาะสมและสะท้อนการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของแต่ละบุคคลหรือนิติบุคคล โดยอาจใช้เอกสารแนบท้ายนี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล

แนวทางการกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ (“นโยบายฉบับนี้”) จัดทำขึ้นโดย [โปรดระบุชื่อเจ้าของนโยบายฉบับนี้] (“บริษัท”/“ผู้เสนอขาย”) [หมายเหตุถึงบริษัทฯ และผู้เสนอขาย: โปรดพิจารณากำหนดนิยามตามที่เหมาะสมกับรูปแบบในการประกอบธุรกิจ โดยบริษัทฯ และผู้เสนอขายที่เป็นนิติบุคคลอาจพิจารณาใช้คำว่า "บริษัท" ส่วนผู้เสนอขายที่เป็นบุคคลธรรมดาอาจพิจารณาใช้คำว่า "ผู้เสนอขาย"] โดยนโยบายฉบับนี้มีวัตถุประสงค์เพื่อแจ้งให้ลูกค้า (“ลูกค้า” หรือ “ท่าน”) ทราบเกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน ตลอดจนถึงสิทธิตามกฎหมายที่เกี่ยวกับข้อมูลส่วนบุคคลของท่าน

ข้อ ๑ คำนิยาม

ในนโยบายฉบับนี้

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า ทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ ประกันภัย

[โปรดระบุคำนิยามอื่น ๆ]

ข้อ ๒ ข้อมูลส่วนบุคคลที่ [บริษัทฯ/ผู้เสนอขาย] เก็บรวบรวม

ข้อมูลส่วนบุคคลของท่านที่[บริษัทฯ/ผู้เสนอขาย]เก็บรวบรวมมีดังนี้

[โปรดระบุประเภทข้อมูลส่วนบุคคลที่บริษัทฯ/ผู้เสนอขายเก็บรวบรวม]

ในกรณีที่ [บริษัทฯ/ผู้เสนอขาย] มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เพื่อปฏิบัติหน้าที่ตามกฎหมาย หรือการเข้าทำสัญญากับท่าน หากท่านไม่ให้ข้อมูลส่วนบุคคลบางอย่างที่จำเป็นต่อการดำเนินงานของ [บริษัทฯ/ผู้เสนอขาย] [บริษัทฯ/ผู้เสนอขาย] อาจไม่สามารถดำเนินการตามวัตถุประสงค์ ด้านล่างหรือให้บริการแก่ท่านได้อย่างเต็มรูปแบบ หรือท่านอาจจะไม่สามารถใช้บริการของ [บริษัทฯ/ผู้เสนอขาย] ได้อย่างเหมาะสม และอาจส่งผลกระทบต่อการปฏิบัติตามกฎหมายใด ๆ ที่ [บริษัทฯ/ผู้เสนอขาย] หรือท่านมีหน้าที่ต้องปฏิบัติตาม

หากท่านให้ข้อมูลส่วนบุคคลของบุคคลที่สามแก่ [บริษัทฯ/ผู้เสนอขาย] ท่านต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการขอความยินยอม หรือแจ้งนโยบายฉบับนี้แก่บุคคลที่สามในนามของ [บริษัทฯ/ผู้เสนอขาย] เพื่อให้ [บริษัทฯ/ผู้เสนอขาย] สามารถปฏิบัติงานต่อไปได้ตามวัตถุประสงค์ที่กำหนดในนโยบายฉบับนี้และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน

๒๗

ข้อ ๓ แหล่งที่มาของข้อมูลส่วนบุคคล
[บริษัทฯ/ผู้เสนอขาย] เก็บรวบรวมข้อมูลส่วนบุคคลของท่านผ่านทางช่องทางต่าง ๆ ดังนี้
(๑) [บริษัทฯ/ผู้เสนอขาย] ได้รับข้อมูลส่วนบุคคลจากท่านโดยตรง โดยบริษัทฯ จะเก็บรวบรวม
ข้อมูลส่วนบุคคลของท่านในขั้นตอนต่าง ๆ ดังต่อไปนี้ [โปรดระบุขั้นตอนที่เกี่ยวข้อง หรือช่องทางที่ใช้ในการ
เก็บรวบรวมข้อมูลส่วนบุคคล]
(๒) [บริษัทฯ/ผู้เสนอขาย] ได้รับข้อมูลส่วนบุคคลของท่านผ่านทางช่องทางอื่น ๆ ดังต่อไปนี้ [โปรด
ระบุบุคคลที่สามที่เปิดเผยข้อมูลหรือช่องทางอื่น ๆ ที่ใช้เก็บรวบรวมข้อมูลนั้น]

ข้อ ๔ วัตถุประสงค์ในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของ [บริษัทฯ/
ผู้เสนอขาย]
(๑) เพื่อการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลต่อสำนักงาน เพื่อประโยชน์ในการ
กำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ
ประกันภัย และกฎหมายว่าด้วยการประกันชีวิต ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานซึ่งสามารถ
ตรวจดูได้ที่เว็บไซต์ของสำนักงาน (https://www.oic.or.th)
[โปรดระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลเพิ่มเติม]

หาก [บริษัทฯ/ผู้เสนอขาย] อาศัยความยินยอมจากท่านในการเก็บรวบรวม ใช้ และ/หรือเปิดเผย
ข้อมูลส่วนบุคคล ท่านมีสิทธิถอนความยินยอมเมื่อใดก็ได้ ทั้งนี้ การถอนความยินยอมของท่านย่อมไม่กระทบถึง
กิจกรรมที่เกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่ลูกค้าได้ให้ความยินยอมไปแล้วก่อน
การถอนความยินยอม

ข้อ ๕ การเปิดเผยข้อมูลส่วนบุคคลของท่าน
[บริษัทฯ/ผู้เสนอขาย] อาจเปิดเผยข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอก ดังนี้
(๑) หน่วยงานของรัฐหรือหน่วยงานอื่นตามภารกิจ อำนาจหน้าที่ กฎหมาย และข้อผูกพันในการ
ดำเนินงานของสำนักงานทั้งในและต่างประเทศ เช่น สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ
ประกันภัย สำนักงานป้องกันและปราบปรามการฟอกเงิน ธนาคารแห่งประเทศไทยคณะกรรมการป้องกันและ
ปราบปรามการทุจริตแห่งชาติ สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ สำนักงานตำรวจแห่งชาติ
(๒) บุคคลภายนอกอื่น ๆ ที่เกี่ยวข้อง ได้แก่ บริษัทประกันภัย นายหน้าประกันชีวิต ตัวแทน
ประกันชีวิต นักคณิตศาสตร์ประกันภัย บริษัทประกันภัยต่อ สำนักงานสาขาในไทยของบริษัทประกันภัย
ต่างประเทศ โรงพยาบาล ศูนย์กู้ชีพ แพทยสภา ธนาคารหรือสถาบันการเงิน ศูนย์บริหารจัดการกล้องโทรทัศน์วงจรปิด
ผู้ให้บริการด้านการบริหารจัดการค่าสินไหมทดแทน (TPA) ผู้เอาประกันภัย ผู้ถือกรมธรรม์ประกันภัย ผู้ชำระเบี้ย
ประกันภัย พยาน ผู้รับผลประโยชน์ ทายาทโดยธรรม ผู้มีส่วนได้เสีย คู่พิพาท คู่กรณี ผู้เสียหาย ผู้รับมอบอำนาจ
เจ้าหนี้หรือลูกหนี้ของบริษัทฯ บุคคลอื่นใดที่มีความสัมพันธ์ ธุรกรรม หรือติดต่อกับทางบริษัทฯ เป็นต้น
[โปรดระบุประเภทของบุคคลภายนอกผู้รับข้อมูลส่วนบุคคลเพิ่มเติม]

ข้อ ๖ การส่ง หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
[แล้วแต่การดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล]

๒๘

ข้อ ๗ ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล
[แล้วแต่การดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล]

ข้อ ๘ สิทธิของท่านในฐานะลูกค้า
[โปรดแจ้งสิทธิ ภายใต้ข้อจำกัดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ลูกค้ามีสิทธิดังต่อไปนี้
(๑) สิทธิในการเข้าถึง (๒) สิทธิในการแก้ไขข้อมูลส่วนบุคคล (๓) สิทธิในการโอนย้ายข้อมูลส่วนบุคคล (๔) สิทธิ
ในการคัดค้าน (๕) สิทธิในการจำกัดการใช้งานข้อมูลส่วนบุคคล (๖) สิทธิในการถอนความยินยอม (๗) สิทธิในการ
ขอลบข้อมูลส่วนบุคคล และ (๘) สิทธิในการร้องเรียน]

ข้อ ๙ วิธีติดต่อ [บริษัทฯ/ผู้เสนอขาย]
ในกรณีที่ท่านมีข้อสงสัยเกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน
หรือต้องการใช้สิทธิในฐานะลูกค้า ท่านสามารถติดต่อ [บริษัทฯ/ผู้เสนอขาย] ได้ที่
[โปรดระบุช่องทางการติดต่อ ตัวอย่างเช่น

ชื่อ [บริษัทฯ/ผู้เสนอขาย]

• ที่อยู่: [โปรดระบุ]
• เบอร์โทร: [โปรดระบุ]
• อีเมล: [โปรดระบุ]

เจ้าหน้าที่คุ้มครองข้อมูล (DPO)

• ที่อยู่: [โปรดระบุ]
• เบอร์โทร: [โปรดระบุ]
• อีเมล: [โปรดระบุ]