PDPC_Guideline - Privacy Notice
แนวทางการดำเนินการในการแจ้งวัตถุประสงค์
และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
เพื่อให้การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และบรรดากฎระเบียบ และประกาศต่าง ๆ ที่ออกตามพระราชบัญญัตินี้ โดยเฉพาะที่เกี่ยวกับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เป็นไปตามเจตนารมณ์ของกฎหมาย รวมทั้งเพื่อให้มีความชัดเจนอันจะเป็นแนวทางให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ที่เกี่ยวข้องนำไปปรับใช้และปฏิบัติให้ถูกต้อง อีกทั้งจะทำให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงประโยชน์และผลกระทบที่อาจเกิดขึ้น อันจะเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ อาศัยอำนาจตามความในมาตรา ๑๖ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเห็นสมควรที่จะวางแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลไว้ดังนี้
๑. ความหมาย
เพื่อประโยชน์ในการดำเนินการตามแนวทางนี้
“หน่วยงานควบคุมและกำกับดูแล” หมายความว่า หน่วยงานของรัฐหรือเอกชนที่มีหน้าที่และอำนาจในการควบคุม กำกับดูแล และตรวจสอบการดำเนินงานของหน่วยงาน กิจการ หรือการประกอบธุรกิจ ตามที่มีกฎหมายบัญญัติ
“สภาวิชาชีพ” หมายความว่า สภาวิชาชีพที่จัดตั้งขึ้นตามกฎหมายว่าด้วยวิชาชีพหรือสภาวิชาชีพต่าง ๆ มีฐานะเป็นนิติบุคคล ซึ่งมีหน้าที่และอำนาจในการกำกับดูแลการประกอบวิชาชีพตามที่กำหนดไว้ในกฎหมายว่าด้วยวิชาชีพหรือสภาวิชาชีพนั้น ๆ
“สมาคมและกลุ่มอุตสาหกรรม” หมายความว่า สมาคมหรือหน่วยงานที่เป็นการรวมกลุ่มของหน่วยงานหรือกิจการซึ่งรวมถึงกิจการในเชิงพาณิชย์ อุตสาหกรรม หรือการบริการด้วย เพื่อวัตถุประสงค์ในการส่งเสริมกิจการและประสานงานกับหน่วยงานของรัฐที่เกี่ยวข้อง
๒. ประเภทและลักษณะในการการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล
การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคล แบ่งเป็น ๒ ลักษณะ ดังนี้
๒.๑ กรณีที่มีกฎหมายเฉพาะหรือหน่วยงานควบคุมและกำกับดูแล รวมทั้งกำหนดหลักเกณฑ์วิธีการ หรือแนวทางการดำเนินการเป็นการเฉพาะ
- ๒ -
ตามนัยมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในกรณีที่มี หน่วยงานควบคุมและกำกับดูแล สภาวิชาชีพ สมาคมและกลุ่มอุตสาหกรรม หรือหน่วยงานที่มีกฎหมายเฉพาะ กำหนดเรื่องการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นการเฉพาะที่ไม่ขัด หรือแย้งกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายเฉพาะนั้นให้อำนาจหน่วยงาน ดังกล่าวในการกำหนดหลักเกณฑ์ วิธีการ หรือแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นการเฉพาะ ให้ผู้ควบคุมข้อมูลส่วนบุคคลที่อยู่ในความควบคุมและกำกับ ดูแลปฏิบัติตามหลักเกณฑ์ วิธีการ หรือแนวทางการดำเนินการดังกล่าว โดยหลักเกณฑ์ วิธีการ หรือแนวทาง การดำเนินการดังกล่าวควรมีมาตรฐานไม่ต่ำกว่าแนวทางการดำเนินการ
๒.๒ กรณีที่ไม่มีกฎหมายเฉพาะหรือหน่วยงานควบคุมและกำกับดูแล รวมทั้งกำหนด หลักเกณฑ์ วิธีการ หรือแนวทางการดำเนินการ เป็นการเฉพาะ
ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ในกรณีที่ ไม่มีกฎหมายเฉพาะหรือหน่วยงานเฉพาะกำกับดูแล ผู้ควบคุมข้อมูลส่วนบุคคลควรดำเนินการตามแนวทาง การดำเนินการนี้ เพื่อให้เป็นมาตรฐานที่สอดคล้องกัน
๓. หลักการในการแจ้งวัตถุประสงค์และรายละเอียดแก่เจ้าของข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูล ส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยการแจ้งวัตถุประสงค์ ดังกล่าวจะต้องอยู่ภายใต้หลักการ ดังต่อไปนี้
๓.๑ ความเป็นธรรม (Fairness)
ผู้ควบคุมข้อมูลส่วนบุคคลพึงทราบว่าการนำข้อมูลส่วนบุคคลที่ได้จากการเก็บรวบรวม ไปใช้หรือเปิดเผย ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงถึงผลกระทบที่อาจเกิดขึ้นแก่เจ้าของข้อมูลส่วนบุคคล เป็นหลักการแจ้งวัตถุประสงค์และรายละเอียดจึงเป็นสิ่งที่จำเป็นตามกฎหมาย โดยการแจ้งวัตถุประสงค์ และรายละเอียดดังกล่าวอาจทำในรูปแบบหนังสือแจ้งเตือน (privacy notice)
วัตถุประสงค์และรายละเอียดที่แจ้งแก่เจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บ รวบรวมข้อมูลส่วนบุคคล ต้องระบุถึงผลกระทบที่จะเกิดจากการใช้และเปิดเผยข้อมูลส่วนบุคคล และผู้ควบคุม ข้อมูลส่วนบุคคลต้องมั่นใจว่าภาษาและข้อความที่ใช้ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บ รวบรวมข้อมูลส่วนบุคคลมีความชัดแจ้งและสามารถเข้าใจได้โดยง่าย
๓.๒ การจำกัดวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล (Purpose Limitation)
การแจ้งวัตถุประสงค์และรายละเอียดแก่เจ้าของข้อมูลส่วนบุคคลต้องระบุวัตถุประสงค์ โดยเฉพาะเจาะจง ชัดแจ้ง และเป็นวัตถุประสงค์ที่ชอบด้วยกฎหมาย การกำหนดวัตถุประสงค์ที่จำกัดและ ชัดเจนจะใช้เป็นหลักฐานในการพิจารณาว่า ผู้ควบคุมข้อมูลส่วนบุคคลมีเจตนาในการใช้ข้อมูลส่วนบุคคลอย่าง ถูกต้อง หรือเกินจากขอบเขตในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือไม่
- ๓ -
๓.๓ ความยินยอม (Consent)
ผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อาจดำเนินการได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามข้อยกเว้นที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนดให้กระทำได้ (“ฐานทางกฎหมาย หรือ Lawful Basis”) ตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้แก่
- เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
- เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
- เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล
- เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ในกรณีที่เป็นข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (ข้อมูลชีวมาตรหรือ biometrics) หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อาจดำเนินการได้โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล จะเป็นไปตามข้อยกเว้นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ด้วยเหตุนี้ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจึงเป็นฐานทางกฎหมายที่ผู้ควบคุมข้อมูลส่วนบุคคลสามารถใช้เพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ หากไม่เป็นไปตามข้อยกเว้นตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี ก็จะต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
ในกรณีที่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การแจ้งวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อขอความยินยอมโดยชัดแจ้งจึงเป็นสาระสำคัญของการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลที่ต้องดำเนินการเพื่อให้การขอความยินยอมเป็นไปตามกฎหมาย การแจ้งวัตถุประสงค์และรายละเอียดจึงต้องเป็นไปโดยชัดแจ้ง เพื่อให้เจ้าของข้อมูลส่วนบุคคลทำความเข้าใจได้โดยง่าย โดยปราศจากกลุ่มฉลด หลอกลวง หรือการทำให้สำคัญผิด
- ๔ -
๓.๔ การอ้างประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest)
หากผู้ควบคุมข้อมูลส่วนบุคคลอ้างว่าการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่าการดำเนินการดังกล่าวควรใช้ความระมัดระวังเป็นพิเศษเพื่อปกป้องประโยชน์ และป้องกันผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง
๔. ประเภทของการเก็บรวบรวมข้อมูลส่วนบุคคล
การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย สามารถทำได้ ๒ วิธี คือ
๔.๑ การเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง
การเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งเจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
(๑) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย ซึ่งรวมถึงวัตถุประสงค์ตามที่มาตรา ๒๔ ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และฐานหรือเหตุผลในทางกฎหมายที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้
(๒) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมาย หรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
(๓) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวม
(๔) ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
(๕) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย
(๖) ข้อมูล ชื่อ และรายละเอียด รวมถึงสถานที่ติดต่อ และวิธีการติดต่อของผู้ควบคุมข้อมูลส่วนบุคคล
(๗) ข้อมูล ชื่อ และรายละเอียด รวมถึงสถานที่ติดต่อ และวิธีการติดต่อของตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคล (ถ้ามี)
(๘) ข้อมูล ชื่อ และรายละเอียด รวมถึงสถานที่ติดต่อ และวิธีการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล (ถ้ามี)
(๙) รายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
- ๕ -
(๑๐) สิทธิของเจ้าของข้อมูลส่วนบุคคล รวมถึงสิทธิในการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
หมายเหตุ ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่าผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูลส่วนบุคคลไว้เป็นระยะเวลานานเท่าใด ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้ผู้ควบคุมข้อมูลส่วนบุคคลกำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม โดยอาจแจ้งรายละเอียด หลักเกณฑ์หรือเงื่อนไขที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ข้อมูลส่วนบุคคลไว้ตามระยะเวลาที่มีกฎหมายกำหนดไว้เป็นการเฉพาะ (เช่น ประมวลรัษฎากร เป็นต้น) หรือเก็บรวบรวมไว้ตลอดระยะเวลาที่ต้องปฏิบัติตามสัญญา เป็นต้น และผู้ควบคุมข้อมูลส่วนบุคคลพึงทราบว่า เมื่อระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้สิ้นสุดลง ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลดังกล่าวโดยทันที
ตัวอย่าง
ธนาคาร ก เก็บรวบรวมข้อมูลส่วนบุคคลจากลูกค้าของธนาคารซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลโดยตรง ซึ่งลูกค้าของธนาคารแต่ละคนจะต้องกรอกแบบฟอร์มเพื่อเปิดบัญชีธนาคาร และธนาคาร ก มีหน้าที่ที่จะต้องแจ้งลูกค้าของธนาคารในแบบฟอร์มก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าของธนาคารว่า ธนาคาร ก จะแจ้งรายละเอียดเกี่ยวกับดำเนินการ ดังต่อไปนี้
๑) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เป็นไปเพื่อวัตถุประสงค์อะไร
๒) การใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว มีกรณีใดบ้าง
๓) ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้เพื่อนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยนานเท่าใด
๔) ประเภทของบุคคลหรือหน่วยงานที่ธนาคารต้องเปิดเผยข้อมูลส่วนบุคคล ประกอบด้วยหน่วยงานประเภทใดบ้าง เพื่อวัตถุประสงค์อะไร
๕) รายละเอียดและช่องทางการติดต่อกับธนาคารหรือตัวแทนของธนาคาร ทำได้ด้วยวิธีใดบ้าง
๖) สิทธิต่าง ๆ ตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล (ลูกค้าของธนาคาร) เช่น
- สิทธิในการถอนความยินยอม (มาตรา ๑๙ วรรคห้า)
- สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ตนไม่ได้ให้ความยินยอม (มาตรา ๓๐ วรรคหนึ่ง)
-
๖ -
-
สิทธิในการขอรับข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูลส่วนบุคคล ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ รวมทั้งสิทธิในการขอให้ส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นเมื่อสามารถทำได้ด้วยวิธีการอัตโนมัติ และสิทธิขอรับข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้ (มาตรา ๓๑ วรรคหนึ่ง)
-
สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (มาตรา ๓๒ วรรคหนึ่ง)
-
สิทธิในการขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (มาตรา ๓๓ วรรคหนึ่ง)
-
สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล (มาตรา ๓๔ วรรคหนึ่ง)
-
สิทธิในการขอให้ดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด (มาตรา ๓๖ วรรคหนึ่ง)
-
สิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (มาตรา ๗๓ วรรคหนึ่ง)
๔.๒ การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น (other sources) ที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ไม่สามารถทำได้ตามมาตรา ๒๕ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เว้นแต่กรณี ดังต่อไปนี้
(๑) ผู้ควบคุมข้อมูลส่วนบุคคลได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า แต่ต้องไม่เกิน ๓๐ วันนับแต่วันที่ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
(๒) เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖
ในการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ไม่ว่าด้วยวิธีการใด ซึ่งไม่ใช่การเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ ผู้ควบคุมข้อมูลส่วนบุคคลพึงทราบว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นนั้น ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลเพื่อขอความยินยอมโดยไม่ชักช้า แต่ต้องไม่เกิน ๓๐ วันนับแต่วันที่เก็บรวบรวมข้อมูลส่วนบุคคล
- ๗ -
ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ให้ครบถ้วนด้วย เว้นแต่เป็นกรณีตามข้อ ๕ โดยในการแจ้งวัตถุประสงค์และรายละเอียดดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายใน ๓๐ วันนับแต่วันที่เก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่กรณีที่นำข้อมูลส่วนบุคคลไปใช้เพื่อการติดต่อกับเจ้าของข้อมูลส่วนบุคคลต้องแจ้งในการติดต่อครั้งแรก และกรณีที่จะนำข้อมูลส่วนบุคคลไปเปิดเผย ต้องแจ้งก่อนที่จะนำข้อมูลส่วนบุคคลไปเปิดเผยเป็นครั้งแรกด้วย
ตัวอย่าง
หน่วยงาน ข ได้รับชื่อ ที่อยู่ และหมายเลขโทรศัพท์ติดต่อของสมาชิกจากเลขานุการของหน่วยงาน ค เพื่อส่งจดหมายเชิญให้สมาชิกของหน่วยงาน ค ให้เข้าร่วมการเสวนาเรื่องการคุ้มครองเด็ก (ซึ่งเจ้าของข้อมูลส่วนบุคคลที่เป็นสมาชิกของหน่วยงาน ค แต่ละรายไม่ทราบถึงการส่งข้อมูลดังกล่าวของเลขานุการของหน่วยงาน ค ไปยังหน่วยงาน ข ในการนี้ หน่วยงาน ข มีหน้าที่ต้องแจ้งวัตถุประสงค์ใหม่ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้สมาชิกของหน่วยงาน ค ทราบ ในการติดต่อกับสมาชิกของหน่วยงาน ค ครั้งแรก และหากจะเก็บรวบรวมข้อมูลดังกล่าวไปใช้สำหรับการติดต่ออย่างอื่นในอนาคต (ซึ่งไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖) หน่วยงาน ข จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า แต่ต้องไม่เกิน ๓๐ วันนับแต่วันที่ได้เก็บรวบรวมข้อมูลส่วนบุคคล และได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย
คำอธิบาย
เพื่อป้องกันความเสี่ยงและผลกระทบจากการใช้และเปิดเผยข้อมูลส่วนบุคคล (โดยที่เจ้าของข้อมูลส่วนบุคคลเดิมไม่ได้ให้ความยินยอมและไม่ได้รับทราบ) ก่อนที่ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูลส่วนบุคคลควรจะมีการดำเนินการ ดังต่อไปนี้
(ก) มาตรการประเมินผลกระทบจากการใช้ข้อมูลส่วนบุคคล (DPIA: Data Protection Impact Assessment) เพื่อระบุและประเมินความเสี่ยงหรือความเสียหายที่อาจจะเกิดขึ้นจากการใช้หรือเปิดเผยข้อมูลส่วนบุคคล หรือพิจารณาว่าการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของผู้ควบคุมข้อมูลส่วนบุคคลอาจกระทบต่อสิทธิเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคลหรือไม่ โดยเฉพาะถ้ามีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว (ที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมและไม่ได้รับทราบ) กับเทคโนโลยีสมัยใหม่ โดยที่เทคโนโลยีดังกล่าวอาจทำให้เกิดการประมวลผลหรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลจำนวนมาก เช่น การใช้ปัญญาประดิษฐ์ หรือ artificial intelligence (AI) เป็นต้น จากการนำข้อมูลส่วนบุคคลดังกล่าวมาใช้
(ข) การกำหนดระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้
- ๘ -
(ค) การแจ้งวัตถุประสงค์หรือรายละเอียด
(ง) การพิจารณาฐานหรือเหตุผลทางกฎหมายที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้
การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์หรือรายละเอียด ต้องกระทำในรูปแบบและข้อความที่เจ้าของข้อมูลส่วนบุคคลเข้าใจได้โดยง่าย
๕. ข้อยกเว้นของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง
สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรงตามมาตรา ๒๕ ผู้ควบคุมข้อมูลส่วนบุคคลอาจไม่ต้องดำเนินการแจ้งวัตถุประสงค์ใหม่ที่เก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบตามมาตรา ๒๑ และแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ตามที่ระบุใน ๔.๒ เมื่อทำการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้
๕.๑ เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่หรือรายละเอียดนั้นอยู่แล้ว
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลทราบว่า เจ้าของข้อมูลส่วนบุคคลเดิมได้ทราบวัตถุประสงค์ใหม่หรือรายละเอียดการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นทั้งหมดอยู่แล้ว ผู้ควบคุมข้อมูลส่วนบุคคลอาจไม่มีความจำเป็นต้องแจ้งวัตถุประสงค์และรายละเอียดการเก็บรวบรวมข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลอีก เว้นแต่เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์หรือรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นเพียงบางส่วน ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์และรายละเอียดทั้งหมดแก่เจ้าของข้อมูลส่วนบุคคลให้ครบถ้วนตาม ๔.๒
ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตรวจสอบเพื่อยืนยันว่า เจ้าของข้อมูลส่วนบุคคลได้ทราบวัตถุประสงค์ใหม่และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นแล้ว
๕.๒ ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดดังกล่าวไม่สามารถทำได้หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในกรณีนี้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิเสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
คำอธิบาย
ผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่า การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ เป็นไปเพื่อคุ้มครองสิทธิส่วนบุคคลตามรัฐธรรมนูญและกฎหมาย การใช้ข้อยกเว้นตามมาตรา ๒๕ ตามที่ระบุในข้อ ๕ ของแนวทางการดำเนินการนี้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่และภาระในการพิสูจน์ (burden of proof) ว่าการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลเข้าข้อยกเว้น โดยเฉพาะการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่แจ้งวัตถุประสงค์โดยอ้างเหตุว่า การแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดไม่สามารถทำได้หรือจะเป็นอุปสรรคต่อการใช้
- ๙ -
หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลที่นำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย ต้องมีหลักฐานที่ชัดเจนว่า ผู้ควบคุมข้อมูลส่วนบุคคลได้จัดให้มีมาตรการที่เหมาะสมและได้มาตรฐานเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคล เก็บรวบรวมจากแหล่งอื่น โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจดำเนินการได้ ๒ วิธี คือ
๑) ประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล (privacy policy) และระบุความจำเป็นในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ว่ามีการให้ความคุ้มครองข้อมูลส่วนบุคคลที่ได้มาตรฐานให้สาธารณชนรับทราบเป็นการทั่วไป หรือ
๒) มีการประเมินผลกระทบจากการใช้ข้อมูลส่วนบุคคล หรือ DPIA
ตัวอย่าง
ห้องสมุดสาธารณะสำหรับประชาชนแห่งหนึ่งมีโครงการจะใช้ข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมข้อมูลในเชิงสถิติของผู้ใช้หรือสมาชิกห้องสมุดในรอบ ๑๐๐ ปี นับแต่การก่อตั้งห้องสมุดสาธารณะ โดยการเก็บรวบรวมข้อมูลส่วนบุคคลที่ผ่านมาดังกล่าว มีเพียงชื่อและนามสกุลของผู้ใช้หรือสมาชิก โดยไม่มีที่อยู่และหมายเลขโทรศัพท์ติดต่อของสมาชิกแต่อย่างใด ในกรณีนี้ถือว่า การแจ้งวัตถุประสงค์ใหม่ดังกล่าวโดยส่งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้แก่สมาชิกห้องสมุดที่มีสมาชิกมากกว่า ๑๐๐ ปี ไม่สามารถกระทำได้เนื่องจากเป็นการยากที่ห้องสมุดสาธารณะจะหาที่อยู่ของสมาชิกให้ครบทุกคนได้ ในรอบ ๑๐๐ ปี ที่ห้องสมุดเปิดทำการ เพื่อแจ้งวัตถุประสงค์ใหม่และการเก็บรวบรวมเพียงชื่อและนามสกุล ดังกล่าว โดยไม่มีที่อยู่และหมายเลขโทรศัพท์ติดต่อ ไม่ได้ก่อให้เกิดผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในลักษณะที่เป็นสาระสำคัญแต่อย่างใด
นอกจากนี้ ห้องสมุดสาธารณะแห่งนี้ควรมีการดำเนินการดังต่อไปนี้
๑) ประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล (privacy policy) ในเว็บไซต์หรือพื้นที่สาธารณชนทั่วไปเขาถึงได้ ว่าผู้ควบคุมข้อมูลส่วนบุคคล (ห้องสมุดสาธารณะ) ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อะไรและมีมาตรการป้องกันผลกระทบจากการใช้หรือเปิดเผยข้อมูลส่วนบุคคลอย่างไร และ
๒) จัดทำ DPIA เพื่อประเมินผลกระทบจากการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว
คำอธิบาย
การพิจารณาว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะอ้างข้อยกเว้นในเรื่องปัญหาหรืออุปสรรคที่ทำให้ไม่สามารถแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดได้หรือไม่นั้น ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาปัจจัย ดังต่อไปนี้ประกอบกัน
(๑) จำนวนและปริมาณข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผย
(๒) อายุของเจ้าของข้อมูลส่วนบุคคล และ
(๓) มาตรการป้องกันความเสียหายจากการใช้หรือเปิดเผยข้อมูลส่วนบุคคล
- ๑๐ -
ตัวอย่าง
มหาวิทยาลัย ง มีการเก็บรวบรวมข้อมูลส่วนบุคคล ได้แก่ ชื่อและนามสกุลของนักศึกษา รวมถึงข้อมูลของผู้ปกครองหรือผู้แทนโดยชอบธรรมของผู้เยาว์ ในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว มหาวิทยาลัย ง จะมีข้อมูลส่วนบุคคลของผู้ที่ติดต่อได้ในกรณีเร่งด่วน (emergency contact) มากกว่า ๑๐,๐๐๐ ราย โดยข้อมูลทั้งหมดนักศึกษาเป็นผู้ให้ข้อมูลส่วนบุคคลดังกล่าว (โดยไม่ได้มาจากเจ้าของข้อมูลส่วนบุคคลโดยตรง) มหาวิทยาลัย ง ไม่มีความจำเป็นต้องแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีฉุกเฉินเพื่อให้เจ้าของข้อมูลส่วนบุคคล คือ ผู้ปกครองหรือผู้แทนโดยชอบธรรมของนักศึกษาให้ความยินยอมก่อนมหาวิทยาลัย ง เพียงดำเนินการประเมินความเสี่ยงโดยอาจจัดทำ DPIA หรือมีข้อกำหนดมาตรฐานว่าจะใช้ข้อมูลฉุกเฉินในกรณีที่จำเป็นเร่งด่วนเท่านั้น โดยอาจนำข้อมูลส่วนบุคคลดังกล่าวมาเก็บรวบรวมในระบบคอมพิวเตอร์ที่จำกัดจำนวนบุคคลที่สามารถเข้าถึงและใช้ข้อมูลส่วนบุคคลนั้นได้ และมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
๕.๓ การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องกระทำโดยเร่งด่วนตามที่กฎหมายกำหนด ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
ตัวอย่าง
หน่วยงานของรัฐ จ พบว่ามีการทุจริตและประพฤติมิชอบในองค์กร ฉ โดยมีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลของผู้กระทำความผิดและผู้ที่เกี่ยวข้องเพื่อรวบรวมพยานหลักฐานและดำเนินคดี เพื่อยื่นคำร้องต่อศาลเพื่อจับกุมผู้กระทำความผิดและอายัดบัญชีของผู้กระทำความผิดเพื่อป้องกันความเสียหาย และการจำหน่ายจ่ายโอนทรัพย์สินไปต่างประเทศ ถือเป็นกรณีเร่งด่วนตามกฎหมายที่สามารถทำได้
๕.๔ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ซึ่งล่วงรู้หรือได้มาซึ่งข้อมูลส่วนบุคคลจากหน้าที่หรือจากการประกอบอาชีพหรือวิชาชีพและต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียดบางประการตามมาตรา ๒๓ ไว้เป็นความลับตามที่กฎหมายกำหนด
คำอธิบาย
ข้อยกเว้นในกรณีนี้เป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้ข้อมูลส่วนบุคคลมาจากแหล่งอื่น ที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคล ไม่ต้องแจ้งวัตถุประสงค์ใหม่และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลเนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
- ๑๑ -
ตามหน้าที่ หรือจากการประกอบอาชีพหรือวิชาชีพ และต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียด บางประการไว้เป็นความลับ ซึ่งการแจ้งข้อมูลดังกล่าวอาจทำให้การดำเนินการตามวัตถุประสงค์ได้รับ ผลกระทบได้ เช่น ผู้มีหน้าที่ หรือประกอบอาชีพหรือวิชาชีพเกี่ยวกับบัญชีภาษี สุขภาพ สังคมสงเคราะห์ กฎหมาย หรือทรัพยากรบุคคล เป็นต้น
๖. การแจ้งวัตถุประสงค์และรายละเอียดของการเก็บรวบรวมข้อมูลส่วนบุคคลแก่เจ้าของ ข้อมูลส่วนบุคคล ต้องกระทำโดยชัดแจ้ง โดยอาจทำได้หลายวิธี เช่น การแจ้งเป็นหนังสือ การแจ้งทาง วาจา การแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทาง อิเล็กทรอนิกส์อื่นใด เช่น การระบุรายละเอียดใน URL หรือ QR code เป็นต้น
การแจ้งวัตถุประสงค์และรายละเอียดของการเก็บรวบรวมข้อมูลส่วนบุคคลอาจทำในรูปแบบ อิเล็กทรอนิกส์ เช่น หน้าต่างหรือจอเล็ก ๆ (small screen) ที่มุมจอคอมพิวเตอร์หรือโทรศัพท์มือถือ เพื่อแสดง ให้เจ้าของข้อมูลส่วนบุคคลทราบก็ได้โดยอาจดำเนินการในรูปแบบดังในตัวอย่าง ต่อไปนี้
๖.๑ วิธีการที่หัวข้อและมีการขีดเส้นใต้ข้อความเพื่อเชื่อมต่อ (link) ไปยังวัตถุประสงค์และ รายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (layered approach) หรือประเภทตาราง dashboard ตัวอย่างข้อความประเภท Layered Approach
| ✓ How will we use the information about you? |
|---|
| Process your order, manage your account and post offers of other products and services we have to you (if you agree). |
| Will be shared with – members of our group of companies (if you agree). Won’t be shared – for marketing purposes outside of our group. Please follow this link for further information. |
หมายเหตุ อ้างอิงข้อมูลจาก https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/ the-right-to-be-informed/ what-methods-can-we-use-to-provide-privacy-information/
- ๑๒ -
ตัวอย่างข้อความประเภทตาราง Dashboard
| My Account Dashboard | |
|---|---|
| My account details | Who can see my details? |
| My devices | Who can share my info |
| My display preferences | What ads do I want? |
| View and manage your security settings | What we do with your personal data |
| Our lawful basis for using your personal data | |
| How to access my personal data |
หมายเหตุ อ้างอิงข้อมูลจาก https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/ the-right-to-be-informed/ what-methods-can-we-use-to-provide-privacy-information/
- ๑๓ -
Create an account
We use your email address as part of allowing you access to your account, and in order to contact you with important information about any changes to your account. Please follow this link for further information.
หมายเหตุ อ้างอิงข้อมูลจาก https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/ the-right-to-be-informed/ what-methods-can-we-use-to-provide-privacy-information/
- ๑๔ -
๖.๒ วิธีการใช้อุปกรณ์ เช่น โทรศัพท์มือถือ ในการแจ้งข้อมูล (Providing Privacy Information on Mobile Devices)
หมายเหตุ อ้างอิงข้อมูลจาก https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/ the-right-to-be-informed/ what-methods-can-we-use-to-provide-privacy-information/
- ๑๕ -
คำอธิบาย
ตัวอย่างข้างต้นทั้ง ๓ ประเภท คือ การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการทางเทคนิค ที่เป็นการเชื่อมต่อแบบไฮเปอร์ลิงก์ (hyperlink) ไปยังแหล่งข้อมูลในรูปแบบต่าง ๆ เพื่อให้เจ้าของข้อมูล ส่วนบุคคลสามารถกดเข้าไปดูวัตถุประสงค์และรายละเอียดได้ โดยจะต้องแสดงข้อความที่เชื่อมต่อดังกล่าว ในพื้นที่ที่เห็นเด่นชัด และอธิบายรายละเอียดและผลกระทบของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามที่ระบุในข้อ ๔ ของแนวทางการดำเนินการนี้
๗. อื่น ๆ
เพื่อความสะดวกและเพื่อให้การบังคับใช้กฎหมายมีประสิทธิภาพ หน่วยงานควบคุมและกำกับ ดูแล สภาวิชาชีพ หรือสมาคมและกลุ่มอุตสาหกรรม อาจกำหนดรูปแบบ วิธีการ แนวทาง หรือตัวอย่างการแจ้ง วัตถุประสงค์และรายละเอียดที่เหมาะสม เพื่อให้มีการปฏิบัติที่เป็นไปในทิศทางเดียวกันได้และอาจประสานงาน กับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้ ความเห็นหรือให้คำปรึกษาได้