หน้า ๑๖
เล่ม ๑๔๐ ตอนพิเศษ ๙๘ ง ราชกิจจานุเบกษา ๒๗ เมษายน ๒๕๖๖

ประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย

พ.ศ. ๒๕๖๔

ตามที่ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออก และเสนอขายกรมธรรม์ประกันภัยของบริษัทประกันวินาศภัย และการดำเนินการ ของตัวแทนประกันวินาศภัย นายหน้าประกันวินาศภัย และธนาคาร พ.ศ. ๒๕๖๓ ข้อ ๓๕ กำหนดให้บริษัทและผู้เสนอขายต้องมีระบบหรือกระบวนการในการบริหารจัดการการได้มาของข้อมูล การเก็บรักษา และการปกป้องข้อมูลของลูกค้า ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล ประกอบกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ (๕) (จ) กำหนดห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิสาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อ เจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นการจำเป็นในการปฏิบัติ ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการ ที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ดังนั้น เพื่อให้ การทำธุรกรรมที่เกี่ยวกับธุรกิจประกันภัย ซึ่งเป็นธุรกรรมทางการเงินประเภทหนึ่งที่มีผลกระทบโดยตรง ต่อระบบเศรษฐกิจและการเงินของประเทศและต่อลูกค้า มีการคุ้มครองข้อมูลส่วนบุคคล ทั้งข้อมูล ส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นต่อการประมวลผลข้อมูลเพื่อการพิจารณารับ ประกันภัย การปฏิบัติตามสัญญาประกันภัย และการให้บริการแก่ลูกค้าอย่างมีประสิทธิภาพตามเจตนารมณ์ กฎหมายดังกล่าว และเป็นไปเพื่อประโยชน์สาธารณะ อันเป็นการคงไว้ซึ่งความน่าเชื่อถือของธุรกิจประกันภัย และคุ้มครองสิทธิประโยชน์ของประชาชนนั้น อาศัยอำนาจตามความในข้อ ๖ แห่งประกาศคณะกรรมการกำกับ และส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออก และเสนอขายกรมธรรม์ประกันภัย ของบริษัทประกันวินาศภัยและการดำเนินการของตัวแทนประกันวินาศภัย นายหน้าประกันวินาศภัย และธนาคาร พ.ศ. ๒๕๖๓ สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย จึงออกแนวปฏิบัติไว้แนบท้ายประกาศ ดังนี้

หน้า ๑๗
เล่ม ๑๔๐ ตอนพิเศษ ๙๘ ง ราชกิจจานุเบกษา ๒๗ เมษายน ๒๕๖๖

ทั้งนี้ ตั้งแต่วันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ เป็นต้นไป

ประกาศ ณ วันที่ ๒๘ ธันวาคม พ.ศ. ๒๕๖๔
สุทธิพล ทวีชัยการ
เลขาธิการ
คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

๑

แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย

ข้อ ๑ คำนิยาม
ในแนวทางปฏิบัตินี้

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลส่วนบุคคล ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ข้อมูลส่วนบุคคลที่อ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

“ลูกค้า” หมายความว่า ผู้ที่พนักงานหรือลูกจ้างของบริษัท ตัวแทนประกันชีวิต นายหน้าประกันชีวิต เชิญชวน ชักชวน หรือชี้ช่อง ให้ทำประกันภัยกับบริษัท และให้รวมถึงผู้เอาประกันภัย ผู้รับประโยชน์ ผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย ซึ่งเป็นบุคคลธรรมดาและเป็นเจ้าของข้อมูลส่วนบุคคล

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า ผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“การตลาดแบบตรง (direct marketing)” หมายความว่า การติดต่อสื่อสาร ไม่ว่าโดยวิธีการใด ๆ เพื่อการโฆษณาหรือการทำการตลาด โดยส่งตรงถึงบุคคลใดบุคคลหนึ่งโดยเฉพาะเจาะจง

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

“บริษัท” หมายความว่า บริษัทที่ได้รับใบอนุญาตประกอบธุรกิจประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย และหมายความรวมถึง สาขาของบริษัทประกันวินาศภัยต่างประเทศที่ได้รับใบอนุญาตประกอบธุรกิจประกันวินาศภัยในราชอาณาจักรตามกฎหมายว่าด้วยการประกันวินาศภัย

“ผู้เสนอขาย” หมายความว่า ตัวแทนประกันวินาศภัย นายหน้าประกันวินาศภัย

“ตัวแทนประกันวินาศภัย” หมายความว่า ตัวแทนประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย

“นายหน้าประกันวินาศภัย” หมายความว่า นายหน้าประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย

“เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

“ผู้ถือกรมธรรม์ประกันภัย” หมายความว่า ผู้ที่ระบุชื่อเป็นผู้ถือกรมธรรม์ประกันภัย ซึ่งเป็นผู้จัดให้มีการประกันภัยเพื่อประโยชน์ของผู้เอาประกันภัย

ข้อ ๒ ให้บริษัทและผู้เสนอขายนำแนวปฏิบัตินี้ไปใช้เป็นแนวทางในการบริหารจัดการการได้มาของข้อมูล การเก็บรักษา และการปกป้องข้อมูลของลูกค้า โดยบริษัทและผู้เสนอขายต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้องเป็นการเพิ่มเติม

๒

หมวด ๑

บริษัท

ข้อ ๓ บริษัทต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งลูกค้า ไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากบริษัทพบหรือทราบว่ามีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิม ซึ่งนอกเหนือจากที่ได้ระบุไว้ในนโยบายการ คุ้มครองข้อมูลส่วนบุคคล (privacy notice) ในปัจจุบัน หรือในกรณีที่มีการเปลี่ยนแปลงวัตถุประสงค์ในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทจะเพิ่มหรือเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลก็ได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม บริษัทจะต้องขอความยินยอม จากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการเพิ่มเติมด้วย

ทั้งนี้ บริษัทต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ครอบคลุม ถึงวัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วย โดยอาจแจ้งในช่องทางต่าง ๆ ที่บริษัท สามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจพิจารณาจากช่องทางที่บริษัทมีปฏิสัมพันธ์กับ ลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถเข้าถึงหรือทราบนโยบายการคุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) โดยอาจเป็นช่องทางเดียวกันกับช่องทางที่เคยแจ้ง นโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ก่อนหน้าก็ได้ และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับ ลูกค้า ให้บริษัทประกาศทางเว็บไซต์ของบริษัทด้วย

ข้อ ๔ ให้บริษัทแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ดังนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ-นามสกุล ที่อยู่ ตำแหน่ง โทรศัพท์ โทรสาร และ อีเมล เป็นต้น

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อใน ลัทธิ ศาสนา หรือปรัชญา พฤติกรรมทางการเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพ แรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อลูกค้า ในทำนองเดียวกันตามที่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

นอกจากแบ่งประเภทการจัดเก็บข้อมูลตาม (๑) และ (๒) แล้ว ในกรณีที่มีการประมวลผลข้อมูลที่ มีความเสี่ยงสูงอันจะส่งผลกระทบต่อสิทธิเสรีภาพของลูกค้าตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนด บริษัทต้องจัดให้มีการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๕ ให้บริษัทขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับกรณี ที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูลส่วนบุคคลตามข้อ ๔ ทั้งนี้ บริษัทอาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับการดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น บริษัทต้องขอความยินยอมเพื่อการตลาดแบบ ตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิ

๓

ประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของบริษัท บริษัทในเครือ หรือ
พันธมิตรทางธุรกิจของบริษัท โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้าน
การตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับบริษัทมาก่อนและไม่อาจคาดหมายว่าจะได้รับข้อมูล
ข่าวสารการตลาดจากบริษัท หรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) เป็นต้น ทั้งนี้ บริษัทต้อง
เปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอมได้เสมอ

(ข) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

บริษัทอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อ
วัตถุประสงค์ดังต่อไปนี้ เช่น

๑) ฐานการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งลูกค้าเป็นคู่สัญญาหรือเพื่อใช้ในการ
ดำเนินการตามคำขอของลูกค้าก่อนเข้าทำสัญญา (contractual basis) ตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการเข้าทำ
สัญญาประกันภัย เช่น การให้คำแนะนำ การอำนวยความสะดวกในการกรอกและนำส่งใบคำขอ
เอาประกันภัย การพิจารณารับประกันภัย และการส่งมอบกรมธรรม์ประกันภัย การปฏิบัติตามสิทธิหรือหน้าที่
ที่เกิดจากหรือเกี่ยวข้องกับสัญญาประกันภัย หรือการดำเนินการชดใช้ค่าสินไหมทดแทนและการดำเนินการที่
เกี่ยวข้อง เป็นต้น

๒) ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
(legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทางการตลาดแบบตรง
(direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิ
ประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของบริษัท บริษัทในเครือ หรือ
พันธมิตรทางธุรกิจ โดยมีลักษณะที่อยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์
ประกันภัยแก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัยนั้น ๆ หรือสินค้าที่คล้ายคลึง หรือสินค้าอื่น ๆ ของบริษัท
ในเครือหรือพันธมิตรทางธุรกิจที่น่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้า
รายดังกล่าวไม่เคยคัดค้านการส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ บริษัทต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน
(opt-out) ได้เสมอ

๓) ฐานการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล (legal obligation basis)
ตามมาตรา ๒๔ (๖) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่น การจัดทำฐานข้อมูลเกี่ยวกับ
การฉ้อฉลเพื่อการติดตามการฉ้อฉลและเพิ่มประสิทธิภาพการบริหารจัดการความเสี่ยงด้านการฉ้อฉลของบริษัท
ซึ่งเป็นการดำเนินการเพื่อปฏิบัติตามประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วย
หลักเกณฑ์ วิธีการ และเงื่อนไขในการกำหนดมาตรฐานขั้นต่ำในการบริหารจัดการความเสี่ยงของบริษัทประกัน
วินาศภัย ในส่วนที่เกี่ยวข้องกับการฉ้อฉล ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย
ว่าด้วยการให้บริษัทประกันวินาศภัยยื่นรายงานเกี่ยวกับการฉ้อฉลประกันภัย และกฎหมายอื่นที่เกี่ยวข้อง

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว

บริษัทจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอมโดยชัดแจ้ง (explicit consent basis)

๔

โดยทั่วไป บริษัทอาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหว ได้ต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากลูกค้าเท่านั้น โดยต้องขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น เพื่อการระบุและยืนยันตัวตนเองเทน้ำจากที่กฎหมายกำหนดไว้ หรือ เพื่อการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอ พิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการจากบริษัท บริษัทในเครือ และ พันธมิตรทางธุรกิจทุกกรณี โดยไม่คำนึงว่าเกินความคาดหมายของลูกค้าหรือไม่ ดังนั้น บริษัทจึงต้องพิจารณาว่า ข้อมูลส่วนบุคคลที่อ่อนไหวที่เก็บรวบรวมนั้นมีความสัมพันธ์กับประกันภัยประเภทนั้น ๆ อย่างไร หากไม่จำเป็นต้อง ใช้พิจารณาเพื่อให้บริการหรือทำสัญญาประกันภัย บริษัทอาจพิจารณาไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว ตั้งแต่แรก หรือดำเนินการขอความยินยอมให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(ข) ฐานทางกฎหมายอื่นซึ่งไม่ใช่ฐานความยินยอม

บริษัทอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม เช่น ฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญ ตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยได้จัดให้มีมาตรการที่ เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีหนึ่งกรณีใด ดังต่อไปนี้

๑) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า คู่สมรส บุคคล ในครอบครัว หรือบุคคลอื่นที่จำเป็นในการพิจารณารับประกันภัย การเอาประกันภัยต่อ พิจารณารับประกันภัยต่อ คำนวณเบี้ยประกันภัย ปฏิเสธการรับประกันภัยแต่ละประเภท หรือชดใช้ค่าสินไหมทดแทนตามสัญญาประกันภัย เช่น ข้อมูลสุขภาพหรือข้อมูลความพิการที่เป็นข้อมูลที่สำคัญที่ผู้เอาประกันภัยมีหน้าที่ต้องแลลงเพื่อให้บริษัทมี ข้อมูลเพียงพอเพื่อใช้ในการพิจารณารับประกันภัยประเภท สุขภาพ หรืออุบัติเหตุ แล้วแต่กรณี

๒) การเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานตาม ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยการให้บริษัทประกันวินาศภัยยื่น รายงานเกี่ยวกับการฉ้อฉลประกันภัย และกฎหมายอื่นที่เกี่ยวข้อง เพื่อใช้ในการจัดทำฐานข้อมูลเกี่ยวกับการฉ้อฉล ประกันภัย (watch-list) โดยสำนักงานจะเป็นศูนย์กลางในการบริหารจัดการข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย เพื่อการติดตามการฉ้อฉลประกันภัยและเพิ่มประสิทธิภาพการบริหารจัดการความเสี่ยงด้านการฉ้อฉลของบริษัท

๓) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้ สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วย คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย

ข้อ ๖ ในกรณีที่บริษัทต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล ให้บริษัทพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล ทั้งนี้ บริษัทอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(๑) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอ ความยินยอมผ่านทางโทรศัพท์ในบริบทของการเสนอขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการ ให้บริการหลังการขาย ทั้งนี้ บริษัทควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูล ส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มีการอาศัยความ

๕

ยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะเวลานานกว่านั้น ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความ ตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(๒) การขอความยินยอมจากผู้เยาว์ คนไร้ความสามารถ หรือ คนเสมือนไร้ความสามารถ ให้บริษัท ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๓) ในกรณีลูกค้าเป็นผู้เอาประกันภัย ซึ่งมีกรมธรรม์ประกันภัยหลายฉบับ ให้บริษัทพิจารณา ว่าควรขอความยินยอมแยกเป็นรายกรมธรรม์ประกันภัยหรือไม่ โดยพิจารณาจากวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่ามีความเกี่ยวเนื่องกับกรมธรรม์ประกันภัยฉบับอื่นหรือไม่ เช่น ในกรณีที่ ผู้เอาประกันภัยมีกรมธรรม์ประกันภัยหลายฉบับ โดยอาจมีทั้งกรมธรรม์ประกันภัยสุขภาพ กรมธรรม์ประกันภัย อุบัติเหตุ และกรมธรรม์ประกันภัยอุบัติเหตุการเดินทาง และบริษัทมีวัตถุประสงค์ที่ต้องการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลเกี่ยวเนื่องกับทุกกรมธรรม์ประกันภัย เช่น วัตถุประสงค์ในการดำเนินกิจกรรมทาง การตลาดแบบตรงของบริษัท ในกรณีดังกล่าว บริษัทอาจขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลเพื่อดำเนินกิจกรรมทางการตลาดแบบตรงของบริษัทไปได้ในการเสนอขายกรมธรรม์ประกันภัย ฉบับแรกครั้งเดียว โดยไม่จำเป็นต้องขอความยินยอมสำหรับวัตถุประสงค์ดังกล่าวในการเสนอขายกรมธรรม์ ประกันภัยฉบับอื่น ๆ อีก เนื่องจากความยินยอมที่ได้ขอไว้นั้นครอบคลุมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลของบริษัทแล้ว เป็นต้น

(๔) การขอความยินยอมในกรณีที่บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่น หรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งบริษัทไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้าในขั้นตอนแรกของการ เก็บรวบรวมข้อมูลส่วนบุคคล บริษัทอาจดำเนินการตามแนวทางดังต่อไปนี้ก็ได้

(ก) ในการทำสัญญาประกันภัยแบบกลุ่ม บริษัทอาจกำหนดเงื่อนไขในใบคำขอ เอาประกันภัย กรมธรรม์ประกันภัย หรือเอกสารอื่นใดให้ผู้ถือกรมธรรม์ประกันภัยให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทตามหลักเกณฑ์ที่กำหนดในข้อ ๘ และหากบริษัท เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม บริษัทอาจจัดให้ ผู้ถือกรมธรรม์ประกันภัยจัดทำเอกสารขอความยินยอมจากสมาชิกผู้เอาประกันภัยเพื่อให้บริษัทสามารถเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้ ทั้งนี้ บริษัทอาจพิจารณา แนบนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัท พร้อมทั้งเอกสารขอความยินยอมให้แก่ผู้ถือกรมธรรม์ ประกันภัย เพื่ออำนวยความสะดวกแก่ผู้ถือกรมธรรม์ประกันภัยในการไปแจ้งนโยบายดังกล่าวและขอความยินยอม แทนบริษัท โดยให้ผู้ถือกรมธรรม์ประกันภัยเก็บรักษาเอกสารขอความยินยอมนั้นไว้เป็นหลักฐาน ซึ่งบริษัทสามารถ ร้องขอได้หากเกิดข้อร้องเรียนขึ้นในอนาคต

(ข) การที่บริษัทได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากบุคคลอื่นที่บริษัทไม่มี นิติสัมพันธ์ด้วยมาก่อนเพื่อเสนอขายกรมธรรม์ประกันภัยของบริษัท ในการนี้ บริษัทต้องขอความยินยอมอีกครั้ง หรือให้บุคคลอื่นที่เปิดเผยข้อมูลส่วนบุคคลต่อบริษัทนั้น ขอความยินยอมให้บริษัทตั้งแต่ต้น โดยให้บริษัทอื่นที่ เปิดเผยข้อมูลส่วนบุคคลเก็บรักษาเอกสารขอความยินยอมนั้นไว้เป็นหลักฐานซึ่งบริษัทสามารถร้องขอได้หากเกิด ข้อร้องเรียนขึ้นในอนาคต

(ค) ในกรณีที่ลูกค้าเป็นผู้เอาประกันภัยที่ได้ให้ข้อมูลส่วนบุคคลของบุคคลอื่นที่เกี่ยวข้องแก่บริษัท เช่น คู่สมรส ผู้ชำระเบี้ยประกันภัย ผู้รับประโยชน์ตามกรมธรรม์ประกันภัย หรือบุคคลในครอบครัว บริษัทอาจ กำหนดเงื่อนไขในใบคำขอเอาประกันภัย กรมธรรม์ประกันภัย หรือเอกสารอื่นใดให้ผู้เอาประกันให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัท ตามหลักเกณฑ์ที่

๖

กำหนดในข้อ ๘ และหากบริษัทเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม อาจจัดให้ผู้เอาประกันภัยให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากบุคคลอื่นที่เกี่ยวข้องเหล่านั้นแล้วเพื่อให้บริษัทสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้

ข้อ ๗ บริษัทต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความยินยอมเมื่อใดก็ได้ และจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอม โดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ความยินยอม โดยไม่ได้มีขั้นตอนเพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และบริษัทต้องจัดให้มีระบบการบันทึกการถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย

ข้อ ๘ ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล บริษัทอาจดำเนินการตามหลักเกณฑ์ดังต่อไปนี้

(๑) แจ้งรายละเอียดต่าง ๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทแก่ลูกค้าก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยบริษัทอาจดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือแสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูลส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้าบริษัทอาจแจ้งรายละเอียดต่างๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทต้องมีการระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน (https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ บริษัทอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัท

(๒) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไปก่อนหรือพร้อมกับใบคำขอเอาประกันภัยหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือผ่านช่องทางการติดต่อสื่อสารอื่น ๆ ระหว่างบริษัทกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้าทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้บริษัทประกาศทางเว็บไซต์ของบริษัทด้วย

ข้อ ๙ ในกรณีที่บริษัทโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ ให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๗

ข้อ ๑๐ สถานะของบริษัท

บริษัทที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการประกอบธุรกิจประกันภัยในฐานะผู้รับประกันภัยหรือผู้รับประกันภัยต่อ มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ต่าง ๆ ตลอดจนระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลได้เอง เช่น เก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าและบุคคลที่เกี่ยวข้องเพื่อพิจารณารับประกันภัย การเอาประกันภัยต่อ พิจารณารับประกันภัยต่อ ปฏิบัติตามสัญญาประกันภัย พิจารณาและดำเนินการที่เกี่ยวข้องกับการจ่ายค่าสินไหมทดแทน จัดทำสมุดทะเบียนตามกฎหมาย เพื่อเป็นหลักฐานในการต่อสู้คดีตามกฎหมาย หรือเพื่อเสนอขายหรือการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) เป็นต้น มีลักษณะเป็นผู้ควบคุมข้อมูลส่วนบุคคล

อย่างไรก็ดี บริษัทในฐานะผู้รับประกันภัยหรือผู้รับประกันภัยต่ออาจมีลักษณะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้ หากได้ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในนามหรือตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นโดยเฉพาะ

ข้อ ๑๑ ในกรณีที่บริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล บริษัทยังมีหน้าที่อื่น ๆ เพิ่มเติมดังต่อไปนี้

(๑) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยหลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันวินาศภัย และกฎหมายอื่นที่เกี่ยวข้องกำหนด อย่างไรก็ดี บริษัทอาจคำนึงถึงประเด็นดังต่อไปนี้ ร่วมด้วย เช่น

(ก) อำนาจหน้าที่ของพนักงานแต่ละระดับที่เอื้อต่อการดูแลรักษาความปลอดภัยของข้อมูลส่วนบุคคล โดยสอดคล้องกับหลักการควบคุม การกำกับและตรวจสอบ (3 lines of defense)

(ข) การรักษาความมั่นคงปลอดภัยของข้อมูล โดยควรมีมาตรการเชิงเทคนิคและเชิงบริหารจัดการเพื่อรักษาความมั่นคงปลอดภัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น มีการกำหนดชั้นความลับของข้อมูล เก็บรักษา และทำลายข้อมูลให้เหมาะสมกับชั้นความลับ มีการบริหารจัดการการเข้าถึงรหัสข้อมูลที่เชื่อถือได้และเป็นมาตรฐานสากล ในการรักษาความมั่นคงปลอดภัยของข้อมูลที่เหมาะสมตามชั้นความลับและความสำคัญของข้อมูล จัดทำนโยบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย และรวมถึงจัดฝึกอบรมหรือสร้างความตระหนักรู้และการมีส่วนร่วมเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความปลอดภัยของแก่พนักงานและบุคลากร เช่น แนวทางการกำกับดูแลการเตรียมความพร้อมรับมือภัยคุกคามทางไซเบอร์ เหตุการละเมิดข้อมูลส่วนบุคคล แนวปฏิบัติด้านการเข้ารหัสข้อมูล (cryptography) มาตรการสำหรับการทำงานนอกบริษัท (Remote Working Policy) เช่น หากพนักงานนำเอกสารที่มีข้อมูลเกี่ยวกับลูกค้าไปทำงานนอกสถานที่จะต้องมั่นใจว่าจะไม่ทำเอกสารดังกล่าวสูญหายหรือลืมทิ้งไว้นอกสถานที่แต่อย่างใด เป็นต้น

(ค) กำหนดสิทธิและข้อจำกัดสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของบุคลากร พนักงาน หรือลูกจ้างของตนในแต่ละลำดับชั้นให้ชัดเจนและเป็นปัจจุบัน โดยเฉพาะเมื่อมีการเปลี่ยนแปลงตำแหน่งหรือการจ้างงาน จัดหาพื้นที่ปิดสำหรับการจัดเก็บเอกสารที่มีข้อมูลส่วนบุคคลโดยสามารถปิดล็อคได้ ตลอดจนมีการติดตามตรวจสอบการเข้าถึงระบบงานอย่างจริงจังสม่ำเสมอเพื่อตรวจจับความผิดปกติของการเข้าถึงข้อมูลและสามารถ

๘

แก้ไขปัญหาได้ทันท่วงที โดยมีการบันทึกข้อมูลและรายละเอียดที่สำคัญของบุคคลที่เข้าถึงระบบงานทุกครั้ง เช่น ช่วงเวลาที่เข้าถึง ชื่อและตำแหน่งหน้าที่ของบุคคลที่เข้าถึง เป็นต้น รวมถึงรายงานผลการตรวจจับต่อผู้บริหาร เช่น กำหนดมาตรการเพื่อควบคุมและป้องกันการรั่วไหลของข้อมูลโดยแบ่งแยกหน่วยงานเป็นสัดส่วนตามหลัก แปงแยกหน่วยงานและบุคลากรที่มีโอกาสได้รับข้อมูลจากการปฏิบัติงานออกจากหน่วยงานอื่นอย่างชัดเจน เพื่อ ป้องกันการรั่วไหลของข้อมูลดังกล่าว (Chinese wall) รวมถึงข้อมูลส่วนบุคคลระหว่างหน่วยงาน ซึ่งอาจส่งผล กระทบต่อเจ้าของข้อมูลส่วนบุคคลได้ และจัดเก็บและกำหนดการเข้าถึงข้อมูลเท่าที่จำเป็น (need to know basis) กำหนดแนวทางในการกำกับดูแลและตรวจสอบพนักงานที่มีหน้าที่ที่เกี่ยวข้องกับข้อมูลภายในซึ่งอาจถูก นำไปใช้อย่างไม่เหมาะสม รวมทั้งจัดให้มีการบันทึก การทำสำรองข้อมูลของการเข้าถึงหรือการเข้าใช้งานข้อมูล ส่วนบุคคลไว้ในระยะเวลาที่เหมาะสมหรือตามระยะเวลาที่กฎหมายกำหนด

(ง) ควบคุมและบริหารจัดการความเสี่ยงเกี่ยวกับผู้ให้บริการภายนอกหรือพันธมิตรทางธุรกิจ อย่างมีประสิทธิภาพและรัดกุมในการเข้าถึง การใช้ และการดูแลรักษาข้อมูลลูกค้า เช่น การจัดทำสัญญาระหว่าง บริษัทกับบุคคลดังกล่าวเพื่อกำหนดหน้าที่ในการดูแลรักษาความปลอดภัยของการใช้ข้อมูลส่วนบุคคล โดยอาจ อ้างอิงจากมาตรฐานของประเทศที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

(จ) มีการบริหารจัดการความเสี่ยง ตรวจสอบและประเมินความเสี่ยงด้านความมั่นคง ปลอดภัยของเว็บไซต์หรือของระบบสารสนเทศโดยครอบคลุมความเสี่ยงที่อาจกระทบกับความมั่นคงปลอดภัยของ ข้อมูลส่วนบุคคลที่เกี่ยวข้องอย่างน้อยปีละ ๑ ครั้ง หรือทุกครั้งที่มีการเปลี่ยนแปลงอย่างมีนัยสำคัญ

(ฉ) มีการติดตามดูแลระบบและการเฝ้าระวังภัยคุกคาม (security monitoring) โดยมี กระบวนการหรือเครื่องมือในการตรวจจับเหตุการละเมิดข้อมูลส่วนบุคคล เหตุการณ์ผิดปกติ หรือภัยคุกคามที่มี ผลกระทบต่อความมั่นคงปลอดภัยของระบบที่สำคัญ รวมถึง มีการบริหารจัดการช่องโหว่ (vulnerability management) ของระบบที่เหมาะสมตามระดับความเสี่ยง และจัดให้มีผู้เชี่ยวชาญจากภายนอกทำหน้าที่ทดสอบ เจาะระบบ โดยเฉพาะระบบงาน (application) และระบบเครือข่าย (network) ที่มีการเชื่อมต่อกับระบบเครือข่าย สื่อสารสาธารณะ (internet facing) อย่างสม่ำเสมอ หรือทุกครั้งที่มีการเปลี่ยนแปลงระบบอย่างมีนัยสำคัญ และ ดำเนินการให้มั่นใจว่ามีการแก้ไขข้อบกพร่องอย่างมีประสิทธิภาพ

(ช) กำหนดให้มีการใช้มาตรการที่เหมาะสมและเป็นการเฉพาะสำหรับการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคลที่อ่อนไหวตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(ซ) ควรจัดให้มีมาตรการที่รอบคอบในการรักษาความมั่นคงปลอดภัยสำหรับข้อมูล ส่วนบุคคลของบุคคลซึ่งเป็นผู้เยาว์โดยใช้วิธีการโดยเฉพาะและเหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลกำหนด

(๓) ในกรณีที่บริษัทต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

(๔) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อ พ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๕) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและ สำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๙

(๖) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๗) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของบริษัทแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท เช่น ตัวแทนประกันวินาศภัย ผู้ให้บริการภายนอกหรือบุคคลที่สามอื่นใด ให้จัดให้มีสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ (Data Processing Agreement) ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล เช่น นายหน้าประกันวินาศภัย บริษัทอาจพิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าว (Data Sharing Agreement) เพื่อตกลงหน้าที่เกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างกันก็ได้

(๘) ในกรณีที่บริษัทซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของบริษัทที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๑๒ ในกรณีที่บริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลขัดต่อกฎหมาย

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการณ์ละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า ผู้ควบคุมข้อมูลส่วนบุคคล สำนักงาน และสำนักงาน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) เข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตนกับผู้ควบคุมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) ในกรณีที่บริษัทซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของบริษัทที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดี หากบริษัทมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอยู่แล้ว บริษัทสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ในส่วนที่เกี่ยวข้องกับการดำเนินกิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล

๑๐

ข้อ ๑๓ กรณีบริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล ให้จัดทำนโยบายการเก็บรักษาข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลาที่เหมาะสม และจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า ทั้งนี้ บริษัทอาจกำหนดระยะเวลาขั้นต่ำในการเก็บรักษาข้อมูลส่วนบุคคลตามอายุความของสัญญาประกันภัย หรือจนกว่าจะสิ้นสุดความสัมพันธ์กับบริษัท เช่น กรณีที่บริษัทปฏิเสธการรับประกันภัย หรือผู้เอาประกันภัยขอยกเลิกหรือเวนคืนกรมธรรม์ประกันภัย อย่างไรก็ดี หากบริษัทมีความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นต่อไป บริษัทก็อาจเก็บรวบรวมข้อมูลส่วนบุคคลนั้นไว้ได้ เช่น เก็บรวบรวมข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ที่ถูกปฏิเสธการรับประกันภัยเพื่อประโยชน์ในการป้องกันการฉ้อฉล หรือเพื่อปฏิบัติตามกฎหมายอื่นที่เกี่ยวข้อง

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือบริษัทไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้บริษัทยุติการประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล บริษัทต้องจัดให้มีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วยเช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ในกรณีที่ลูกค้าเป็นผู้เอาประกันภัยที่มีหลายกรมธรรม์ประกันภัย ให้บริษัทพิจารณาลบหรือทำลายข้อมูลส่วนบุคคลเป็นรายกรมธรรม์ประกันภัย อย่างไรก็ดี แม้กรมธรรม์ประกันภัยใดกรมธรรม์ประกันภัยหนึ่งจะสิ้นระยะเวลาเอาประกันภัย ทำให้บริษัทไม่สามารถเก็บรวบรวมข้อมูลส่วนบุคคลบางอย่างได้อีกต่อไป เนื่องจากหมดความจำเป็น หากกรมธรรม์ประกันภัยอื่นยังมีผลบังคับอยู่ และบริษัทยังจำเป็นต้องเก็บรักษาข้อมูลส่วนบุคคลที่จำเป็นและเกี่ยวข้องที่บริษัทได้มาจากกรมธรรม์ประกันภัยที่สิ้นระยะเวลาเอาประกันภัยแล้ว บริษัทยังคงเก็บรวบรวมได้ต่อไป เช่น ข้อมูลชื่อ นามสกุล รายละเอียดตามกรมธรรม์ประกันภัยเดิมเฉพาะที่เกี่ยวข้องกับกรมธรรม์ประกันภัยอื่นยังมีผลบังคับอยู่

ข้อ ๑๔ กรณีบริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลที่บริษัทได้เก็บรวบรวมไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ บริษัทสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้บริษัทเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไปสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้บริษัทแจ้งให้ลูกค้าทราบผ่านช่องทางที่บริษัทมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการเผยแพร่ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล หรือข้อความสื่อสารทางโทรศัพท์ (SMS) และในกรณีที่บริษัทมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้บริษัทประกาศทางเว็บไซต์ของบริษัทด้วย ทั้งนี้ บริษัทต้องระบุช่องทางในการยกเลิกความยินยอมด้วย

๑๑

หากบริษัทต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่งเพื่อวัตถุประสงค์อื่นเพิ่มเติม จากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การเก็บรวบรวมและการใช้ข้อมูล ส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น บริษัทต้องดำเนินการให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กรณีบริษัทเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ให้จัดการข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือ เปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคลของบริษัทกำหนด

หมวด ๒

ตัวแทนประกันวินาศภัย

ข้อ ๑๕ ในกรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทใด ตัวแทนประกันวินาศภัยต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปหรือข้อมูลส่วนบุคคล ที่อ่อนไหวตามคำสั่งหรือข้อตกลงที่มีอยู่กับบริษัทนั้นเท่านั้น จึงถือเป็นการประมวลผลข้อมูลโดยอาศัยฐานทาง กฎหมายเดียวกันกับบริษัทนั้นได้ อย่างไรก็ดี ในกรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องพิจารณาฐานทางกฎหมายสำหรับแต่ละวัตถุประสงค์นั้นเป็นรายกรณีตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล

ข้อ ๑๖ ในกรณีที่บริษัทไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจำเป็นต้องขอความ ยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ประมวลผลข้อมูล ส่วนบุคคลของบริษัทขอความยินยอมจากลูกค้าตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแทนบริษัท ซึ่งรวมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ ความสามารถด้วย โดยตัวแทนประกันวินาศภัยอาจดำเนินการตามแนวทางดังต่อไปนี้

(๑) การขอความยินยอมจากลูกค้าต้องทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบ อิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็สามารถขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความยินยอมผ่านทางโทรศัพท์ในบริบทของบริการขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการให้บริการหลังการขาย ทั้งนี้ ตัวแทนประกันวินาศภัยควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยปฏิบัติตามแนวทางที่ บริษัทกำหนด

(๒) ในกรณีที่ตัวแทนประกันวินาศภัยเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่นหรือ บุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งตัวแทนประกันวินาศภัยไม่ได้มีความสัมพันธ์โดยตรงกับลูกค้าในขั้นตอนแรกของ การเก็บรวบรวมข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยอาจเก็บรวบรวมข้อมูลส่วนบุคคลโดยปฏิบัติตามแนวทาง ที่บริษัทกำหนด เช่น ในกรณีที่ตัวแทนประกันวินาศภัยได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากลูกค้า ปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา บริษัทอาจกำหนดให้ตัวแทนประกันวินาศภัยจัดให้บุคคลผู้ให้ข้อมูล เหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูล ส่วนบุคคลของบุคคลนั้นแก่ตัวแทนประกันวินาศภัยเพื่อการเสนอขายกรมธรรม์ประกันภัยในนามบริษัทแล้ว โดยเมื่อตัวแทนประกันวินาศภัยติดต่อกับผู้มุ่งหวังรายนั้นเป็นครั้งแรก บริษัทอาจกำหนดให้แจ้งนโยบายการ คุ้มครองข้อมูลส่วนบุคคล (privacy notice) ของบริษัท และขอความยินยอมจากผู้มุ่งหวังอีกครั้งเพื่อให้ตัวแทน

๑๒

ประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในนามของบริษัทเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

ข้อ ๑๗ ในกรณีที่ตัวแทนประกันวินาศภัยได้รับมอบหมายจากบริษัทให้รับคำขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากลูกค้า ให้ตัวแทนประกันวินาศภัยดำเนินการตามแนวทางการถอนความยินยอมที่บริษัทกำหนดตามข้อ ๗

ข้อ ๑๘ ให้ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทแก่ลูกค้าตามช่องทางและแนวทางที่บริษัทกำหนดตามข้อ ๘

ข้อ ๑๙ ในกรณีที่ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้รับมอบหมายจากบริษัทให้โอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ ให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามแนวทางที่บริษัทกำหนด

ข้อ ๒๐ สถานะของตัวแทนประกันวินาศภัย

(๑) กรณีตัวแทนประกันวินาศภัยเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า เพื่อทำการชักชวนให้บุคคลทำสัญญาประกันภัยกับบริษัทตามที่ได้รับมอบหมาย จึงเป็นการทำตามคำสั่งหรือในนามของบริษัท ดังนั้น ตัวแทนประกันวินาศภัยจึงมีลักษณะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท และต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทซึ่งระบุในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของบริษัทหรือในสัญญาระหว่างตัวแทนประกันวินาศภัยกับบริษัท

(๒) กรณีที่ตัวแทนประกันวินาศภัยไม่ปฏิบัติตามคำสั่งหรือกระทำการนอกเหนือจากวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของของบริษัท ตัวแทนประกันวินาศภัยจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับวัตถุประสงค์เหล่านั้น เช่น เพื่อการทำการตลาดแบบตรง (direct marketing) ของตัวแทนประกันวินาศภัยเอง หรือเพื่อกิจการอื่นใดของตัวแทนประกันวินาศภัยเป็นการส่วนตัวที่ไม่เกี่ยวข้องกับการทำหน้าที่เป็นตัวแทนประกันวินาศภัยของบริษัทใดบริษัทหนึ่ง เป็นต้น กรณีดังกล่าวจึงถือได้ว่าตัวแทนประกันวินาศภัยเป็นผู้มีอำนาจตัดสินใจในการประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงเพื่อการพิจารณาเลือกเสนอขายผลิตภัณฑ์ประกันภัยและบริการของบริษัทอื่นในกรณีที่เป็นตัวแทนประกันวินาศภัยของบริษัทมากกว่าหนึ่งแห่ง เนื่องจากตัวแทนประกันวินาศภัยมีสิทธิจะพิจารณาก่อนได้ว่าจะเสนอขายผลิตภัณฑ์ประกันภัยและบริการของบริษัทใดให้แก่ลูกค้าแต่ละราย อย่างไรก็ดี เมื่อตัวแทนประกันวินาศภัยทำการชักชวนให้ลูกค้าเข้าทำสัญญาประกันภัยกับบริษัทใดเป็นการเฉพาะแล้ว ตัวแทนประกันวินาศภัยจะมีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทนั้นตาม (๑)

ข้อ ๒๑ ในกรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยยังมีหน้าที่อื่น ๆ เพิ่มเติมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากบริษัทเท่านั้น เว้นแต่คำสั่งของบริษัทขัดต่อกฎหมาย

๑๓

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้บริษัททราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า บริษัท สำนักงาน และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) ตัวแทนประกันวินาศภัยที่ดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ใช่พนักงานหรือลูกจ้างของบริษัทต้องเข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตนกับบริษัทตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) ในกรณีที่ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้งคุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของตัวแทนประกันวินาศภัยที่มีต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดีหากตัวแทนประกันวินาศภัยมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอยู่แล้ว ตัวแทนประกันวินาศภัยสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ในส่วนที่เกี่ยวข้องกับการดำเนินกิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของบริษัท

ข้อ ๒๒ ในกรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดังต่อไปนี้

(๑) ตัวแทนประกันวินาศภัยต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งลูกค้าไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากตัวแทนประกันวินาศภัยพบหรือทราบว่ามีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิมซึ่งนอกเหนือจากที่ได้ระบุไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัยเอง หรือในกรณีที่มีการเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยจะเพิ่มหรือเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม ตัวแทนประกันวินาศภัยจะต้องขอความยินยอมจากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการเพิ่มเติมด้วย

ทั้งนี้ ตัวแทนประกันวินาศภัยจะต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัยให้ครอบคลุมถึงวัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วยโดยอาจแจ้งในช่องทางต่าง ๆ ที่ตัวแทนประกันวินาศภัยสามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจพิจารณาจากช่องทางที่ตัวแทนประกันวินาศภัยมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางลูกค้าสามารถเข้าถึงหรือทราบนโยบายการคุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมลหรือข้อความสื่อสารทางโทรศัพท์ (SMS) โดยอาจเป็นช่องทางเดียวกันกับช่องทางที่เคยแจ้งนโยบายการคุ้มครองข้อมูล

๑๔

ส่วนบุคคลไว้ก่อนหน้าก็ได้ และในกรณีที่ตัวแทนประกันวินาศภัยมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้าให้ตัวแทนประกันวินาศภัยประกาศทางเว็บไซต์ของตัวแทนประกันวินาศภัยด้วย

(๒) ให้ตัวแทนประกันวินาศภัยแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ตามแนวทางที่กำหนดไว้ข้อ ๔

(๓) ให้ตัวแทนประกันวินาศภัยขอความยินยอมจากลูกค้า ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าสำหรับกรณีที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูลส่วนบุคคลตามข้อ ๔ ทั้งนี้ ตัวแทนประกันวินาศภัยอาจพิจารณาอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับการดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(ก) ข้อมูลส่วนบุคคลทั่วไป

๑) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น ตัวแทนประกันวินาศภัยต้องขอความยินยอมเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของตัวแทนประกันวินาศภัย บริษัทในเครือ หรือพันธมิตรทางธุรกิจของตัวแทนประกันวินาศภัย โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้านการตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับตัวแทนประกันวินาศภัยมาก่อนและไม่อาจคาดหมายว่าจะได้รับข้อมูลข่าวสารการตลาดจากตัวแทนประกันวินาศภัย หรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) เป็นต้น ทั้งนี้ ตัวแทนประกันวินาศภัยต้องเปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอมได้เสมอ

๒) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

ตัวแทนประกันวินาศภัยอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมจากลูกค้าเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้ เช่น ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล (legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทางการตลาดเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของตัวแทนประกันวินาศภัย บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของของตัวแทนประกันวินาศภัย โดยมีลักษณะที่อยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์อื่น ๆ แก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัยนั้น ๆ ผ่านทางตัวแทนประกันวินาศภัย และเป็นผลิตภัณฑ์ที่เกี่ยวเนื่องหรือคล้ายคลึงซึ่งอยู่ในความคาดหมายของลูกค้าและน่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้ารายดังกล่าวไม่เคยคัดค้านการส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ ตัวแทนประกันวินาศภัยต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน (opt-out) ได้เสมอ

(ข) ข้อมูลส่วนบุคคลที่อ่อนไหว

ตัวแทนประกันวินาศภัยจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

๑๕

โดยทั่วไป ตัวแทนประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวได้ต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากลูกค้าเท่านั้น โดยต้องขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น เพื่อการระบุและยินตัวตนเองแทนที่อาจก็ที่กฎหมายกำหนดไว้ หรือเพื่อการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย ทุกกรณี โดยไม่คำนึงว่าเกินความคาดหมายของลูกค้าหรือไม่

ทั้งนี้ ในกรณีที่เป็นตัวแทนประกันวินาศภัยของบริษัทมากกว่าหนึ่งแห่งและสามารถพิจารณาเลือกเสนอขายผลิตภัณฑ์ประกันภัยและบริการของบริษัทอื่นที่ไม่เกี่ยวข้องกับการทำหน้าที่เป็นตัวแทนประกันวินาศภัยของบริษัทใดบริษัทหนึ่ง ตัวแทนประกันวินาศภัยไม่ควรเก็บข้อมูลส่วนบุคคลที่อ่อนไหวที่อาจได้รับมาจากการทำหน้าที่ของตัวแทนประกันวินาศภัย เว้นแต่จะดำเนินการขอความยินยอมให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในนามของตัวแทนประกันวินาศภัยเอง

นอกจากนี้ ตัวแทนประกันวินาศภัยสามารถอาศัยฐานทางกฎหมายอื่นโดยไม่ต้องขอความยินยอมจากลูกค้าเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น ฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย ทั้งนี้ ตัวแทนประกันวินาศภัยต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลร่วมด้วยตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) ในกรณีที่ตัวแทนประกันวินาศภัยต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้ตัวแทนประกันวินาศภัยพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ ตัวแทนประกันวินาศภัยอาจดำเนินการตามแนวทางดังต่อไปนี้

(ก) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความยินยอมผ่านทางโทรศัพท์ในบริบทของการเสนอขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการให้บริการหลังการขาย ทั้งนี้ ตัวแทนประกันวินาศภัยควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มีการอาศัยความยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะเวลานานกว่านั้น ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(ข) การขอความยินยอมผู้เยาว์ คนไร้ความสามารถ หรือ คนเสมือนไร้ความสามารถ ให้ตัวแทนประกันวินาศภัยปฏิบัติตามมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

(ค) การขอความยินยอมในกรณีที่ตัวแทนประกันวินาศภัยเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าจากแหล่งอื่นหรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งตัวแทนประกันวินาศภัยไม่ได้มีความสัมพันธ์โดยตรงกับ

๑๖

ลูกค้าในขั้นตอนแรกของการเก็บรวบรวมข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยอาจดำเนินการตามแนวทาง ดังต่อไปนี้

๑) การที่ตัวแทนประกันวินาศภัยได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ซึ่งเป็น ลูกค้าของพันธมิตรทางธุรกิจเพื่อประโยชน์ในการพิจารณาว่าจะเสนอขายกรมธรรม์ประกันภัยของบริษัทใดแก่ผู้มุ่งหวัง ดังกล่าว ในการนี้ ตัวแทนประกันวินาศภัยอาจกำหนดเงื่อนไขในสัญญาระหว่างตัวแทนประกันวินาศภัยกับพันธมิตร ทางธุรกิจว่าบุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการ คุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัย และได้รับความยินยอมจากผู้มุ่งหวังแล้วเพื่อให้ตัวแทน ประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อ วัตถุประสงค์ที่ต้องอาศัยความยินยอม

๒) ในกรณีที่ตัวแทนประกันวินาศภัยได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากลูกค้าปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา ตัวแทนประกันวินาศภัยอาจจัดให้บุคคลผู้ให้ข้อมูลเหล่านั้น ต้องให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูลส่วนบุคคลของ บุคคลนั้นแก่ตัวแทนประกันวินาศภัยเพื่อการเสนอขายกรมธรรม์ประกันภัยแล้ว

โดยเมื่อตัวแทนประกันวินาศภัยติดต่อกับผู้มุ่งหวังรายนั้นเป็นครั้งแรก ตัวแทนประกัน วินาศภัยอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ของตัวแทนประกันวินาศภัย และขอ ความยินยอมจากผู้มุ่งหวังอีกครั้งเพื่อให้ตัวแทนประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

(๕) ตัวแทนประกันวินาศภัยจะต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความ ยินยอมเมื่อใดก็ได้ และจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอน ความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลกำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ ความยินยอม โดยไม่ได้มีขั้นตอนเพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และ ตัวแทนประกันวินาศภัยต้องจัดให้มีระบบการบันทึกการถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย

(๖) ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ตัวแทนประกันวินาศภัย อาจดำเนินการตามหลักเกณฑ์ดังต่อไปนี้

(ก) แจ้งรายละเอียดต่าง ๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกัน วินาศภัยแก่ลูกค้าก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนด โดยตัวแทนประกันวินาศภัยอาจดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกัน วินาศภัยในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือแสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูล ส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่ตัวแทนประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ ในการติดต่อลูกค้า ตัวแทนประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันชีวิตแก่ ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการ ติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัยต้องมีการระบุวัตถุประสงค์ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัย เกี่ยวกับการเก็บรวบรวม ใช้ หรือ

๑๗

เปิดเผยข้อมูลส่วนบุคคลต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมาย
ว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย
ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน
(https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ ตัวแทน
ประกันวินาศภัยอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล
ของตัวแทนประกันวินาศภัย

(ข) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไปก่อนหรือพร้อมกับเอกสารที่ใช้
ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
หรือผ่านช่องทางการติดต่อสื่อสารอื่น ๆ ระหว่างตัวแทนประกันวินาศภัยกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้า
ทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่ตัวแทนประกันวินาศภัยมีการใช้งาน
เว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้ตัวแทนประกันวินาศภัยประกาศทางเว็บไซต์ของตัวแทนประกันวินาศภัยด้วย

(๗) ในกรณีที่ตัวแทนประกันวินาศภัยโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศ
ให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๘) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความ
เข้าใจผิด

(๙) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้
เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการ
ดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความ
มั่นคงปลอดภัยที่เหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๑๐) ในกรณีที่ตัวแทนประกันวินาศภัยต้องเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่
ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจาก
อำนาจหรือโดยมิชอบ

(๑๑) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล
เมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวม
ข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมาย
ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๑๒) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
และสำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๑๓) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อยตามที่
กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการคุ้มครอง
ข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๑๔) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของตัวแทนประกัน
วินาศภัยแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของตัวแทนประกันวินาศภัย ให้จัดให้มีสัญญาหรือข้อตกลงระหว่างกัน
เกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ ในกรณี
ที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยอาจ
พิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าวเพื่อให้ตัวแทนประกันวินาศภัยสามารถ
ปฏิบัติหน้าที่ได้สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลก็ได้

๑๘

(๑๕) ในกรณีที่ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของตัวแทนประกันวินาศภัยที่มีต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๑๖) ให้ตัวแทนประกันวินาศภัยซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำนโยบายการเก็บรักษา ข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลาที่ เหมาะสมและจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือตัวแทนประกันวินาศภัยไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้ตัวแทนประกันวินาศภัยยุติ การประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัย ต้องจัดให้มีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วยเช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๒๓ กรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้จัดการข้อมูล ส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่บริษัทกำหนด

กรณีที่ตัวแทนประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทนประกันวินาศภัยสามารถ เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอม และเผยแพร่ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้ตัวแทนประกันวินาศภัยเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าว ต่อไปสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้ตัวแทนประกันวินาศภัยแจ้งให้ลูกค้าทราบ ผ่านช่องทางที่ตัวแทนประกันวินาศภัยมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการ เผยแพร่ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) และ ในกรณีที่ตัวแทนประกันวินาศภัยมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้ตัวแทนประกันวินาศภัย ประกาศทางเว็บไซต์ของตัวแทนประกันวินาศภัยด้วย ทั้งนี้ ตัวแทนประกันวินาศภัยต้องระบุช่องทางในการยกเลิก ความยินยอมด้วย

หากตัวแทนประกันวินาศภัยต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคสองเพื่อ วัตถุประสงค์อื่นเพิ่มเติมจากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การเก็บ รวบรวมและการใช้ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น ตัวแทนประกันวินาศภัยต้องดำเนินการให้เป็นไปตาม กฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคล

๑๙

หมวด ๓

นายหน้าประกันวินาศภัย

ข้อ ๒๔ นายหน้าประกันวินาศภัยต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ ที่ได้แจ้งลูกค้าไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล หากนายหน้าประกันวินาศภัยพบหรือทราบว่า มีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นการเพิ่มเติมจากวัตถุประสงค์เดิม ซึ่งนอกเหนือจากที่ได้ระบุไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ในปัจจุบัน หรือในกรณีที่มี การเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นายหน้าประกันวินาศภัยจะเพิ่ม หรือเปลี่ยนแปลงวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลก็ได้

ในกรณีที่วัตถุประสงค์ใหม่นั้นจำเป็นต้องอาศัยฐานความยินยอม นายหน้าประกันวินาศภัยจะต้อง ขอความยินยอมจากลูกค้าสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่เป็นการ เพิ่มเติมด้วย

ทั้งนี้ นายหน้าประกันวินาศภัยต้องทำการปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคล ให้ครอบคลุมถึงวัตถุประสงค์ใหม่ดังกล่าวและแจ้งวัตถุประสงค์ใหม่นั้นให้ลูกค้าทราบด้วย โดยอาจแจ้งในช่องทางต่าง ๆ ที่นายหน้าประกันวินาศภัยสามารถพิสูจน์ได้ว่าเหมาะสมในการสื่อสารให้ลูกค้ารับทราบ โดยอาจพิจารณาจาก ช่องทางที่นายหน้าประกันวินาศภัยมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถเข้าถึงหรือทราบ นโยบายการคุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย เช่น การส่งทางไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) โดยอาจเป็นช่องทางเดียวกันกับช่องทางที่เคยแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลไว้ก่อนหน้าก็ได้ และในกรณีที่นายหน้าประกันวินาศภัยมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกัน วินาศภัยประกาศทางเว็บไซต์ของนายหน้าประกันวินาศภัยด้วย

ข้อ ๒๕ ให้นายหน้าประกันวินาศภัยแบ่งประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผย ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ตามแนวทางที่กำหนดไว้ข้อ ๔

ข้อ ๒๖ ให้นายหน้าประกันวินาศภัยขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลของลูกค้าสำหรับกรณีที่ไม่อาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๒๔ มาตรา ๒๕ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยพิจารณาตามประเภทข้อมูล ส่วนบุคคลตามข้อ ๔ ทั้งนี้ นายหน้าประกันวินาศภัยอาจอาศัยฐานในการประมวลผลข้อมูลส่วนบุคคลสำหรับการ ดำเนินการต่าง ๆ ตามแนวทางดังต่อไปนี้

(๑) ข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอม

ในการดำเนินการกิจกรรมทางการตลาดนั้น นายหน้าประกันวินาศภัยอาจต้องขอความ ยินยอมเพื่อการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูล ส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของนายหน้า ประกันวินาศภัย บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของนายหน้าประกันวินาศภัย โดยมีลักษณะที่ เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้านการตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ ทางธุรกิจกับนายหน้าประกันวินาศภัยมาก่อน หรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) และ ลูกค้าไม่อาจคาดหมายว่าจะได้รับข้อมูลข่าวสารการตลาดจากนายหน้าประกันวินาศภัย การส่งข้อความการสื่อสาร

๒๐

ด้านการตลาดเกี่ยวกับผลิตภัณฑ์อื่น ๆ ซึ่งไม่เกี่ยวข้องกับผลิตภัณฑ์ประกันภัยที่ลูกค้าซื้อผ่านทางนายหน้าประกันวินาศภัย เช่น การที่ธนาคารที่ได้รับใบอนุญาตเป็นนายหน้าประกันวินาศภัยประสงค์ส่งข้อความการสื่อสารด้านการตลาดเกี่ยวกับผลิตภัณฑ์ทางการเงินอื่น ๆ ของธนาคารให้แก่ลูกค้า เป็นต้น ทั้งนี้ นายหน้าประกันวินาศภัยต้องเปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอมได้เสมอ

(ข) ฐานทางกฎหมายอื่น ๆ ซึ่งไม่ใช่ฐานความยินยอม

นายหน้าประกันวินาศภัยอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้ เช่น

๑) ฐานเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล (legitimate interest basis) ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการดำเนินการกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของนายหน้าประกันวินาศภัย บริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของนายหน้าประกันวินาศภัย โดยมีลักษณะที่อยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูลข่าวสารเกี่ยวกับผลิตภัณฑ์ประกันภัยแก่ลูกค้ารายเดิมที่ซื้อผลิตภัณฑ์ประกันภัยนั้น ๆ หรือสินค้าที่คล้ายคลึง หรือสินค้าอื่น ๆ ของบริษัทในเครือหรือพันธมิตรทางธุรกิจของนายหน้าประกันวินาศภัย ที่น่าจะเป็นประโยชน์ต่อลูกค้าหรือส่งเสริมการใช้บริการของลูกค้า และโดยที่ลูกค้ารายดังกล่าวไม่เคยคัดค้านการส่งข้อมูลเช่นว่านั้น เป็นต้น ทั้งนี้ นายหน้าประกันวินาศภัยต้องเปิดโอกาสให้ลูกค้าใช้สิทธิคัดค้าน (opt-out) ได้เสมอ

(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว

นายหน้าประกันวินาศภัยจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

นายหน้าประกันวินาศภัยอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม เช่น ฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีหนึ่งกรณีใดดังต่อไปนี้

(ก) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า คู่สมรส และบุคคลในครอบครัว หรือบุคคลอื่น ที่จำเป็นเพื่อส่งต่อให้แก่บริษัทเพื่อนำไปพิจารณารับประกันภัย การเอาประกันภัยต่อพิจารณารับประกันภัยต่อ คำนวณเบี้ยประกันภัย ปฏิเสธการรับประกันภัยแต่ละประเภท หรือชดใช้ค่าสินไหมทดแทนตามสัญญาประกันภัย เช่น ข้อมูลสุขภาพหรือข้อมูลความพิการที่เป็นข้อมูลที่สำคัญที่ผู้เอาประกันภัยมีหน้าที่ต้องแถลงเพื่อให้บริษัทมีข้อมูลเพียงพอเพื่อใช้ในการพิจารณารับประกันภัยประเภทสุขภาพ อุบัติเหตุ หรือประกันการเดินทาง แล้วแต่กรณี หรือเพื่ออำนวยความสะดวกในการส่งมอบกรมธรรม์ให้แก่ผู้เอาประกันภัยตามที่ได้รับมอบหมายจากบริษัทหรือผู้เอาประกันภัย หรือเพื่อดำเนินการใดที่เกี่ยวข้องกับการเรียกร้องค่าสินไหมทดแทนตามที่ผู้เอาประกันภัยร้องขอ หรือเพื่อการเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า เช่น ผู้เอาประกันภัย

๒๑

ผู้เสียหาย ผู้กระทำละเมิด ผู้รับประโยชน์ หรือบุคคลที่เกี่ยวข้องอื่นใด ไปยังบุคคลที่สามหรือพันธมิตรทางธุรกิจ เช่น โรงพยาบาล อู่ซ่อมรถ หรือบริษัท

(ข) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงาน เพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการ กำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย

ข้อ ๒๗ ในกรณีที่นายหน้าประกันวินาศภัยต้องขอความยินยอม ในการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคล ให้นายหน้าประกันวินาศภัยพิจารณากำหนดวิธีการขอความยินยอมให้เหมาะสมกับการ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตน โดยสอดคล้องกับหลักเกณฑ์ในการขอความยินยอมตาม กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ นายหน้าประกันวินาศภัยอาจดำเนินการตามแนวทางดังต่อไปนี้

(๑) การขอความยินยอม ให้ทำโดยชัดแจ้งเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่ โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวก็อาจขอความยินยอมด้วยวิธีการอื่นได้ เช่น การขอความ ยินยอมผ่านทางโทรศัพท์ในบริบทของบริการขายและแนะนำผลิตภัณฑ์ทางโทรศัพท์ (telesales) หรือการ ให้บริการหลังการขาย ทั้งนี้ นายหน้าประกันวินาศภัยควรบันทึกเสียงที่ลูกค้าให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไว้เพื่อเป็นหลักฐานการให้ความยินยอมด้วย โดยควรเก็บรักษาไว้ตลอดระยะเวลาที่มี การอาศัยความยินยอมนั้นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และอาจเก็บรักษาไว้เป็นระยะ เวลานานกว่านั้น ภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง เช่น ตลอดระยะเวลาอายุความตามกฎหมายเกี่ยวกับข้อพิพาทที่เกี่ยวเนื่องกับการให้ความยินยอม

(๒) การขอความยินยอมผู้เอาว์ คนไร้ความสามารถ หรือ คนเสมือนไร้ความสามารถ ให้นายหน้า ประกันวินาศภัยปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๓) ในกรณีลูกค้าเป็นผู้เอาประกันภัยซึ่งมีกรมธรรม์ประกันภัยหลายฉบับ ให้นายหน้าประกัน วินาศภัยพิจารณาว่าควรขอความยินยอมแยกเป็นรายกรมธรรม์ประกันภัยหรือไม่ โดยพิจารณาจากวัตถุประสงค์ ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่ามีความเกี่ยวเนื่องกับกรมธรรม์ประกันภัยฉบับอื่นหรือไม่ ในกรณีที่ผู้เอาประกันมีกรมธรรม์ประกันภัยหลายฉบับ โดยอาจมีทั้งกรมธรรม์ประกันภัยสุขภาพ กรมธรรม์ ประกันภัยอุบัติเหตุ และกรมธรรม์ประกันอุบัติเหตุการเดินทาง โดยนายหน้าประกันวินาศภัยมีวัตถุประสงค์ที่ ต้องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวเนื่องกับทุกกรมธรรม์ประกันภัย เช่น วัตถุประสงค์ ในการดำเนินกิจกรรมทางการตลาดแบบตรงของนายหน้าประกันวินาศภัย ในกรณีดังกล่าว นายหน้าประกัน วินาศภัยอาจขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อดำเนินกิจกรรมทาง การตลาดแบบตรงของนายหน้าประกันวินาศภัยไปได้ในครั้งเดียวในการเสนอขายกรมธรรม์ประกันภัยฉบับแรก โดยไม่จำขอความยินยอมสำหรับวัตถุประสงค์ดังกล่าวในการเสนอขายกรมธรรม์ประกันภัยฉบับอื่น ๆ อีก เนื่องจาก ความยินยอมที่ได้ขอไว้นั้นครอบคลุมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนายหน้าประกัน วินาศภัยแล้ว เป็นต้น

(๔) การขอความยินยอมในกรณีที่นายหน้าประกันวินาศภัยเก็บรวบรวมข้อมูลส่วนบุคคลของ ลูกค้าจากแหล่งอื่นหรือบุคคลอื่นที่ไม่ใช่ลูกค้าโดยตรง ซึ่งนายหน้าประกันวินาศภัยไม่ได้มีความสัมพันธ์โดยตรงกับ ลูกค้าในขั้นตอนแรกของการเก็บรวบรวมข้อมูลส่วนบุคคล นายหน้าประกันวินาศภัยอาจดำเนินการตามแนวทาง ดังต่อไปนี้ก็ได้

(ก) ในการทำสัญญาประกันภัยแบบกลุ่ม นายหน้าประกันวินาศภัยอาจกำหนดให้ ผู้ถือกรมธรรม์ประกันภัยให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูล

๒๒

ส่วนบุคคลของนายหน้าประกันวินาศภัย ตามหลักเกณฑ์ที่กำหนดในข้อ ๒๙ และหากนายหน้าประกันวินาศภัยเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม นายหน้าประกันวินาศภัยอาจจัดให้ผู้ถือกรมธรรม์ประกันภัยจัดทำเอกสารขอความยินยอมจากสมาชิกผู้เอาประกันภัยเพื่อให้นายหน้าประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอมได้ ทั้งนี้ นายหน้าประกันวินาศภัยอาจพิจารณาแนบนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัย พร้อมทั้งเอกสารขอความยินยอมให้แก่ผู้ถือกรมธรรม์ประกันภัย เพื่ออำนวยความสะดวกแก่ผู้ถือกรมธรรม์ประกันภัยในการไปแจ้งนโยบายดังกล่าวและขอความยินยอมแทนนายหน้าประกันวินาศภัย โดยให้ผู้ถือกรมธรรม์ประกันภัยเก็บรักษาเอกสารขอความยินยอมนั้นไว้เป็นหลักฐาน ซึ่งนายหน้าประกันวินาศภัยสามารถร้องขอได้หากเกิดข้อร้องเรียนขึ้นในอนาคต

(ข) การที่นายหน้าประกันวินาศภัยได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) ซึ่งเป็นลูกค้าของพันธมิตรทางธุรกิจเพื่อประโยชน์ในการเสนอขายกรมธรรม์ประกันภัยของนายหน้าประกันวินาศภัยในการนี้ นายหน้าประกันวินาศภัยอาจกำหนดเงื่อนไขในสัญญาระหว่างนายหน้าประกันวินาศภัยกับพันธมิตรทางธุรกิจว่าบุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัย และได้รับความยินยอมจากผู้มุ่งหวังแล้วเพื่อให้นายหน้าประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

(ค) ในกรณีที่นายหน้าประกันวินาศภัยได้รับข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) จากลูกค้าปัจจุบันหรือบุคคลอ้างอิงที่แนะนำต่อกันมา ให้นายหน้าประกันวินาศภัยอาจจัดให้บุคคลผู้ให้ข้อมูลเหล่านั้นต้องให้คำรับรอง (representation and warranty) ว่าได้รับความยินยอมจากผู้มุ่งหวังเพื่อให้ข้อมูลส่วนบุคคลของบุคคลนั้นแก่นายหน้าประกันวินาศภัยเพื่อการเสนอขายกรมธรรม์ประกันภัยแล้ว

เมื่อนายหน้าประกันวินาศภัยติดต่อกับลูกค้ารายนั้นเป็นครั้งแรก ให้แจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัย และขอความยินยอมจากลูกค้าอีกครั้งเพื่อให้นายหน้าประกันวินาศภัยสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหวเพื่อวัตถุประสงค์ที่ต้องอาศัยความยินยอม

ข้อ ๒๘ นายหน้าประกันวินาศภัยจะต้องจัดให้ลูกค้าสามารถขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยลูกค้าจะถอนความยินยอมเมื่อใดก็ได้ โดยจะต้องกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เช่น ลูกค้าจะต้องสามารถขอถอนความยินยอมได้ผ่านช่องทางเดียวกันกับที่ใช้ในการให้ความยินยอม โดยไม่ได้มีขั้นตอนเพิ่มเติมที่กำหนดขึ้นเป็นอุปสรรคแก่การขอถอนความยินยอมเช่นว่านั้น และนายหน้าประกันวินาศภัยต้องจัดให้มีระบบการบันทึกการถอนความยินยอมดังกล่าวไว้เป็นหลักฐานด้วย ทั้งนี้ ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๒๙ ในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) นายหน้าประกันวินาศภัยอาจดำเนินการตามหลักเกณฑ์ดังต่อไปนี้

(๑) แจ้งรายละเอียดต่าง ๆ ในนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยแก่ลูกค้าก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

๒๓

โดยนายหน้าประกันวินาศภัยอาจดำเนินการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยในรูปแบบใดก็ได้ เช่น การแนบลิงก์ (link) หรือแสดง QR Code ไปยังนโยบายการคุ้มครองข้อมูลส่วนบุคคลบนหน้าเว็บไซต์หรือช่องทางการติดต่อสื่อสารอื่น ๆ เป็นต้น

ในกรณีที่นายหน้าประกันชีวิตเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า นายหน้าประกันชีวิตอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันชีวิตแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายในสามสิบวัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยต้องมีการระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน และระบุเชื่อมโยงไปยังเว็บไซต์ของสำนักงาน (https://www.oic.or.th) ซึ่งมีการเผยแพร่นโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงานไว้ ทั้งนี้ นายหน้าประกันวินาศภัยอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัย

ในกรณีที่นายหน้าประกันวินาศภัยทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นเพื่อวัตถุประสงค์ในการติดต่อลูกค้า นายหน้าประกันวินาศภัยอาจแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยแก่ลูกค้าภายหลังจากการเก็บรวบรวมข้อมูลส่วนบุคคลได้ภายใน ๓๐ วัน โดยควรแจ้งอย่างช้าที่สุดในการติดต่อสื่อสารกับลูกค้าในครั้งแรก เว้นแต่เข้าข้อยกเว้นที่ไม่ต้องแจ้งตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ นายหน้าประกันวินาศภัยอาจใช้แบบแนบท้ายแนวปฏิบัตินี้เป็นแนวทางในการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลดังกล่าว

(๒) จัดให้มีการแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยไปก่อนหรือพร้อมกับเอกสารที่ใช้ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือแบบขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือผ่านช่องทางการติดต่อสื่อสารอื่น ๆ ระหว่างนายหน้าประกันวินาศภัยกับลูกค้า เช่น การติดต่อสื่อสารซึ่งหน้า ทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ ตามที่เหมาะสม เป็นต้น และในกรณีที่นายหน้าประกันวินาศภัยมีการใช้งานเว็บไซต์ในการมีปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกันวินาศภัยประกาศทางเว็บไซต์ของนายหน้าประกันวินาศภัยด้วย

ข้อ ๓๐ ในกรณีที่นายหน้าประกันวินาศภัยโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลซึ่งอยู่ต่างประเทศให้ปฏิบัติตามหลักเกณฑ์การโอนข้อมูลส่วนบุคคลไปต่างประเทศตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๓๑ สถานะของนายหน้าประกันวินาศภัย

(๑) นายหน้าประกันวินาศภัย ไม่ว่าเป็นบุคคลธรรมดาหรือนิติบุคคล สามารถประกอบกิจการนายหน้าประกันวินาศภัยได้อย่างอิสระ ไม่ขึ้นตรงกับบริษัทใดเป็นการเฉพาะ เป็นผลให้นายหน้าประกันวินาศภัยมีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินกิจการของตนเพื่อวัตถุประสงค์ต่าง ๆ ตลอดจนระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลได้เอง เช่น การเปิดเผยข้อมูลส่วนบุคคลของผู้มุ่งหวัง (prospect) หรือลูกค้าไปยังบริษัทเพื่อขอใบเสนอราคากรุมธรรม์ประกันภัย เพื่อวิเคราะห์และเลือกสรรกรมธรรม์ของบริษัทที่ตรงกับความต้องการของลูกค้า เพื่อนำเสนอข้อมูลกรมธรรม์ประกันภัยของบริษัทต่าง ๆ แก่ผู้มุ่งหวัง (prospect) หรือลูกค้าพร้อมแนะนำผลิตภัณฑ์ประกันภัยหรือบริการที่เหมาะสม เพื่อดำเนินการ

๒๔

ในฐานะตัวแทนของผู้เอาประกันภัยในการประสานงานกับบริษัทเพื่อพิจารณารับประกันภัยของบริษัทและนำส่ง กรมธรรม์ประกันภัย การจ่ายเบี้ยประกันภัย หรือการเรียกร้องค่าสินไหมทดแทน เพื่อเก็บรักษาข้อมูลส่วนบุคคล เป็นฐานข้อมูลของนายหน้าประกันวินาศภัยเอง หรือเพื่อเสนอขายหรือการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) เป็นต้น ดังนั้น นายหน้าประกันวินาศภัยจึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล

(๒) นายหน้าประกันวินาศภัยอาจถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคลได้ในบางกรณี เช่น กรณีที่ นายหน้าประกันวินาศภัยได้รับคำสั่งให้ดำเนินกิจกรรมการประมวลผลข้อมูลส่วนบุคคลจากบริษัทเป็นการเฉพาะ เช่น นำส่งเอกสารที่เกี่ยวข้องต่าง ๆ นอกเหนือจากการดำเนินการในฐานะตัวแทนของผู้เอาประกันภัยในการ ประสานงานกับบริษัท เช่น เมื่อนายหน้าประกันภัยได้รับมอบหมายจากบริษัทให้นำส่งสื่อโฆษณาผลิตภัณฑ์ ประกันภัยแก่ลูกค้ากลุ่มหนึ่งกลุ่มใด โดยที่นายหน้าประกันภัยไม่ได้มีส่วนเกี่ยวข้องกับการริเริ่ม หรือได้รับประโยชน์ ร่วมนอกจากค่าดำเนินการ ในการส่งเอกสารจากดำเนินการเช่นว่านั้น

ข้อ ๓๒ ในกรณีที่นายหน้าประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคล นายหน้าประกันวินาศภัย ยังมีหน้าที่อื่น ๆ เพิ่มเติมตามกฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคลดังต่อไปนี้

(๑) ดำเนินการให้ข้อมูลส่วนบุคคลของลูกค้าถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความ เข้าใจผิด

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งต้องทบทวนมาตรการ ดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีและธุรกิจเปลี่ยนแปลงไป เพื่อให้ประสิทธิภาพในการรักษาความ มั่นคงปลอดภัยที่เหมาะสมตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) ในกรณีที่นายหน้าประกันวินาศภัยต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจ หรือโดยมิชอบ

(๔) จัดให้มีระบบการตรวจสอบเพื่อให้สามารถดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล เมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลหรือตามที่ลูกค้าร้องขอ หรือที่ลูกค้าได้ถอนความยินยอมแล้ว เว้นแต่เข้าข้อยกเว้นตามกฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

(๕) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและ สำนักงานตามหลักเกณฑ์และระยะเวลาที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลอย่างน้อย ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนดเพื่อให้ลูกค้า สำนักงาน และสำนักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๗) ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าในความครอบครองของนายหน้าประกัน วินาศภัยแก่ผู้ประมวลผลข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัย ให้จัดให้มีสัญญาหรือข้อตกลงระหว่างกัน เกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ (Data Processing Agreement) ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล นายหน้าประกันวินาศภัยอาจพิจารณาเข้าทำสัญญาที่เป็นลายลักษณ์อักษรกับบุคคลภายนอกดังกล่าว (Data Sharing Agreement) เพื่อตกลงหน้าที่เกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างกันก็ได้

๒๕

(๘) ในกรณีที่นายหน้าประกันวินาศภัยซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของนายหน้าประกันวินาศภัยที่มีต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ข้อ ๓๓ ในกรณีที่นายหน้าประกันวินาศภัยเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ดังต่อไปนี้

(๑) ดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจาก ผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลขัดต่อกฎหมาย

(๒) จัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยเป็นไปตามที่กฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๓) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายว่า ด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๔) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่ กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด เพื่อให้ลูกค้า ผู้ควบคุมข้อมูลส่วนบุคคล สำนักงาน และ สำนักงาน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(๕) เข้าทำสัญญาหรือข้อตกลงเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลระหว่างตนกับ ผู้ควบคุมข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

(๖) ในกรณีที่นายหน้าประกันวินาศภัยซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลของตนตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้การแต่งตั้ง คุณสมบัติและหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมทั้งหน้าที่ของนายหน้าประกันวินาศภัยที่มีต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล อย่างไรก็ดี หากนายหน้าประกันวินาศภัยมีหน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนในกรณีที่เป็นผู้ควบคุม ข้อมูลส่วนบุคคลอยู่แล้ว นายหน้าประกันวินาศภัยสามารถให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ ในส่วนที่เกี่ยวข้องกับการดำเนินกิจกรรมในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้

(๗) ต้องเก็บรักษาข้อมูลส่วนบุคคลตามคำสั่งและนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของ ผู้ควบคุมข้อมูลส่วนบุคคล

ข้อ ๓๔ กรณีนายหน้าประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคล ให้จัดทำนโยบายการเก็บ รักษาข้อมูลส่วนบุคคลภายในองค์กรเพื่อกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ซึ่งต้องกำหนดระยะเวลา ที่เหมาะสมและจำเป็นสำหรับข้อมูลส่วนบุคคลแต่ละประเภทและวัตถุประสงค์ที่ได้แจ้งลูกค้า อย่างไรก็ดี หากนายหน้า ประกันวินาศภัยมีความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นต่อไป นายหน้าประกันวินาศภัยก็อาจ เก็บรวบรวมข้อมูลส่วนบุคคลนั้นไว้ได้ เช่น เพื่อปฏิบัติตามกฎหมายอื่นที่เกี่ยวข้อง

กรณีที่ข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือนายหน้าประกันวินาศภัยไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ให้นายหน้าประกันวินาศภัย ยุติการประมวลผลข้อมูลส่วนบุคคลและดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นลูกค้าได้

๒๖

ในกรณีที่มีการเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคล นายหน้าประกันวินาศภัยต้องจัดมีมาตรการให้ผู้ให้บริการภายนอกลบหรือทำลายข้อมูลส่วนบุคคลตามระยะเวลาดังกล่าวด้วย เช่นกัน เช่น กำหนดเป็นหน้าที่ในสัญญาหรือข้อตกลงระหว่างกันเกี่ยวกับกิจกรรมการประมวลผลนั้น ๆ ตามที่กฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคลกำหนด

ข้อ ๑๕ กรณีนายหน้าประกันวินาศภัยเป็นผู้ควบคุมข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลที่นายหน้าประกันวินาศภัยได้เก็บรวบรวมไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ นายหน้าประกันวินาศภัยสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม โดยต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้ลูกค้าที่ไม่ประสงค์ให้นายหน้าประกันวินาศภัยเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวต่อไปสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

ทั้งนี้ การเผยแพร่ประชาสัมพันธ์ตามวรรคหนึ่ง ให้นายหน้าประกันวินาศภัยแจ้งให้ลูกค้าทราบผ่านช่องทางที่นายหน้าประกันวินาศภัยมีปฏิสัมพันธ์กับลูกค้าตามปกติ หรือช่องทางที่ลูกค้าสามารถทราบถึงการเผยแพร่ประชาสัมพันธ์ดังกล่าวได้โดยง่าย เช่น การส่งไปรษณีย์ อีเมล ข้อความสื่อสารทางโทรศัพท์ (SMS) และในกรณีที่นายหน้าประกันวินาศภัยมีการใช้งานเว็บไซต์ในการปฏิสัมพันธ์กับลูกค้า ให้นายหน้าประกันวินาศภัยประกาศทางเว็บไซต์ของนายหน้าประกันวินาศภัยด้วย ทั้งนี้ นายหน้าประกันวินาศภัยต้องระบุช่องทางในการยกเลิกความยินยอมด้วย

หากนายหน้าประกันวินาศภัยต้องการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามวรรคหนึ่ง เพื่อวัตถุประสงค์อื่นเพิ่มเติมจากวัตถุประสงค์เดิม หรือต้องการเปิดเผยหรือดำเนินการประการอื่นที่ไม่ใช่การเก็บรวบรวมและการใช้ข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้นั้น นายหน้าประกันวินาศภัยต้องดำเนินการให้เป็นไปตามกฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคล

กรณีนายหน้าประกันวินาศภัยเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ให้จัดการข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยไว้ก่อนวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕ ตามแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคลของนายหน้าประกันวินาศภัยกำหนด

๒๗

เอกสารแนบท้าย

ให้บริษัทและผู้เสนอขายที่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล ให้เหมาะสมและสะท้อนการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของแต่ละบุคคลหรือนิติบุคคล โดยอาจใช้เอกสารแนบท้ายนี้เป็นแนวทางในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล

แนวทางการกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล

นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ ("นโยบายฉบับนี้") จัดทำขึ้นโดย [โปรดระบุชื่อเจ้าของนโยบายฉบับนี้] ("บริษัท"/"ผู้เสนอขาย") [หมายเหตุถึงบริษัทฯ และผู้เสนอขาย: โปรดพิจารณากำหนดนิยามตามที่เหมาะสมกับรูปแบบในการประกอบธุรกิจ โดยบริษัทฯ และผู้เสนอขายที่เป็นนิติบุคคลอาจพิจารณาใช้คำว่า "บริษัทฯ" ส่วนผู้เสนอขายที่เป็นบุคคลธรรมดาอาจพิจารณาใช้คำว่า "ผู้เสนอขาย"] โดยนโยบายฉบับนี้มีวัตถุประสงค์เพื่อแจ้งให้ลูกค้า ("ลูกค้า" หรือ "ท่าน") ทราบเกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน ตลอดจนถึงสิทธิตามกฎหมายที่เกี่ยวกับข้อมูลส่วนบุคคลของท่าน

ข้อ ๑ คำนิยาม

ในนโยบายฉบับนี้

“ข้อมูลส่วนบุคคล”หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า ทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ ประกันภัย

[โปรดระบุคำนิยามอื่น ๆ]

ข้อ ๒ ข้อมูลส่วนบุคคลที่ [บริษัทฯ/ผู้เสนอขาย] เก็บรวบรวม

ข้อมูลส่วนบุคคลของท่านที่ [บริษัทฯ/ผู้เสนอขาย] เก็บรวบรวมมีดังนี้

[โปรดระบุประเภทข้อมูลส่วนบุคคลที่บริษัทฯ/ผู้เสนอขายเก็บรวบรวม]

ในกรณีที่ [บริษัทฯ/ผู้เสนอขาย] มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เพื่อปฏิบัติหน้าที่ตามกฎหมาย หรือการเข้าทำสัญญากับท่าน หากท่านไม่ให้ข้อมูลส่วนบุคคลบางอย่างที่จำเป็นต่อการดำเนินงานของ [บริษัทฯ/ผู้เสนอขาย] [บริษัทฯ/ผู้เสนอขาย] อาจไม่สามารถดำเนินการตามวัตถุประสงค์ ด้านล่างหรือให้บริการแก่ท่านได้อย่างเต็มรูปแบบ หรือท่านอาจจะไม่สามารถใช้บริการของ [บริษัทฯ/ผู้เสนอขาย] ได้อย่างเหมาะสม และอาจส่งผลกระทบต่อการปฏิบัติตามกฎหมายใด ๆ ที่ [บริษัทฯ/ผู้เสนอขาย] หรือท่านมีหน้าที่ต้องปฏิบัติตาม

หากท่านให้ข้อมูลส่วนบุคคลของบุคคลที่สามแก่ [บริษัทฯ/ผู้เสนอขาย] ท่านต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการขอความยินยอม หรือแจ้งนโยบายฉบับนี้แก่บุคคลที่สามในนามของ [บริษัทฯ/ผู้เสนอขาย] เพื่อให้ [บริษัทฯ/ผู้เสนอขาย] สามารถปฏิบัติงานต่อไปได้ตามวัตถุประสงค์ ที่กำหนดในนโยบายฉบับนี้และนโยบายการคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน

๒๘

ข้อ ๓ แหล่งที่มาของข้อมูลส่วนบุคคล

[บริษัทฯ/ผู้เสนอขาย] เก็บรวบรวมข้อมูลส่วนบุคคลของท่านผ่านทางช่องทางต่าง ๆ ดังนี้

(๑) [บริษัทฯ/ผู้เสนอขาย] ได้รับข้อมูลส่วนบุคคลจากท่านโดยตรง โดยบริษัทฯ จะเก็บรวบรวมข้อมูลส่วนบุคคลของท่านในขั้นตอนต่าง ๆ ดังต่อไปนี้ [โปรดระบุขั้นตอนที่เกี่ยวข้อง หรือช่องทางที่ใช้ในการเก็บรวบรวมข้อมูลส่วนบุคคล]

(๒) [บริษัทฯ/ผู้เสนอขาย] ได้รับข้อมูลส่วนบุคคลของท่านผ่านทางช่องทางอื่น ๆ ดังต่อไปนี้ [โปรดระบุบุคคลที่สามที่เปิดเผยข้อมูลหรือช่องทางอื่น ๆ ที่ใช้เก็บรวบรวมข้อมูลนั้น]

ข้อ ๔ วัตถุประสงค์ในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของ [บริษัทฯ/ผู้เสนอขาย]

(๑) เพื่อการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลต่อสำนักงาน เพื่อประโยชน์ในการกำกับดูแลและส่งเสริมธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย ตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของสำนักงาน ซึ่งสามารถตรวจดูได้ที่เว็บไซต์ของสำนักงาน (https://www.oic.or.th)

[โปรดระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลเพิ่มเติม]

หาก [บริษัทฯ/ผู้เสนอขาย] อาศัยความยินยอมจากท่านในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคล ท่านมีสิทธิถอนความยินยอมเมื่อใดก็ได้ ทั้งนี้ การถอนความยินยอมของท่านย่อมไม่กระทบถึงกิจกรรมที่เกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่ลูกค้าได้ให้ความยินยอมไปแล้วก่อนการถอนความยินยอม

ข้อ ๕ การเปิดเผยข้อมูลส่วนบุคคลของท่าน

[บริษัทฯ/ผู้เสนอขาย] อาจเปิดเผยข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอก ดังนี้

(๑) หน่วยงานของรัฐหรือหน่วยงานอื่นตามภารกิจ อำนาจหน้าที่ กฎหมาย และข้อผูกพันในการดำเนินงานของสำนักงานทั้งในและต่างประเทศ เช่น สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย สำนักงานป้องกันและปราบปรามการฟอกเงิน ธนาคารแห่งประเทศไทยคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ สำนักงานตำรวจแห่งชาติ

(๒) บุคคลภายนอกอื่น ๆ ที่เกี่ยวข้อง ได้แก่ บริษัทประกันภัย นายหน้าประกันวินาศภัย ตัวแทนประกันวินาศภัย ผู้ประเมินวินาศภัย นักคณิตศาสตร์ประกันภัย ผู้สำรวจภัย บริษัทกลางคุ้มครองผู้ประสบภัยจากรถ บริษัทประกันภัยต่อ สำนักงาน สาขาในไทยของบริษัทประกันภัยต่างประเทศ โรงพยาบาล ศูนย์กู้ชีพแพทยสภา ธนาคารหรือสถาบันการเงิน ศูนย์บริหารจัดการกล้องโทรทัศน์วงจรปิด ผู้ให้บริการด้านการบริหารจัดการค่าสินไหมทดแทน (TPA) อู่ซ่อมรถ ผู้เอาประกันภัย ผู้ถือกรมธรรม์ประกันภัย ผู้ชำระเบี้ยประกันภัย พยานผู้รับผลประโยชน์ ทายาทโดยธรรม ผู้มีส่วนได้เสีย คู่พิพาท คู่กรณี ผู้เสียหาย ผู้รับมอบอำนาจ เจ้าหนี้หรือลูกหนี้ของบริษัทฯ บุคคลอื่นใดที่มีความสัมพันธ์ ธุรกรรม หรือติดต่อกับทางบริษัทฯ เป็นต้น

[โปรดระบุประเภทของบุคคลภายนอกผู้รับข้อมูลส่วนบุคคลเพิ่มเติม]

๒๙

ข้อ ๖ การส่ง หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
[แล้วแต่การดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล]

ข้อ ๗ ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล
[แล้วแต่การดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล]

ข้อ ๘ สิทธิของท่านในฐานะลูกค้า
[โปรดแจ้งสิทธิ ภายใต้ข้อจำกัดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ลูกค้ามีสิทธิดังต่อไปนี้
(๑) สิทธิในการเข้าถึง (๒) สิทธิในการแก้ไขข้อมูลส่วนบุคคล (๓) สิทธิในการโอนย้ายข้อมูลส่วนบุคคล (๔) สิทธิ
ในการคัดค้าน (๕) สิทธิในการจำกัดการใช้งานข้อมูลส่วนบุคคล (๖) สิทธิในการถอนความยินยอม (๗) สิทธิในการ
ขอลบข้อมูลส่วนบุคคล และ (๘) สิทธิในการร้องเรียน]

ข้อ ๙ วิธีติดต่อ [บริษัทฯ/ผู้เสนอขาย]
ในกรณีที่ท่านมีข้อสงสัยเกี่ยวกับการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน
หรือต้องการใช้สิทธิในฐานะลูกค้า ท่านสามารถติดต่อ [บริษัทฯ/ผู้เสนอขาย] ได้ที่
[โปรดระบุช่องทางการติดต่อ ตัวอย่างเช่น

ชื่อ [บริษัทฯ/ผู้เสนอขาย]

• ที่อยู่: [โปรดระบุ]
• เบอร์โทร: [โปรดระบุ]
• อีเมล: [โปรดระบุ]

เจ้าหน้าที่คุ้มครองข้อมูล (DPO)

• ที่อยู่: [โปรดระบุ]
• เบอร์โทร: [โปรดระบุ]
• อีเมล: [โปรดระบุ]