นโยบายการจัดเก็บและทำลายข้อมูลส่วนบุคคล
นโยบายการจัดเก็บและทำลายข้อมูลส่วนบุคคลฉบับนี้ ถูกจัดทำขึ้นเพื่อเป็นแนวทาง หรือข้อกำหนดในเชิงภาพรวม เกี่ยวกับหลักเกณฑ์ และระยะเวลาขั้นต่ำในการเก็บรักษาข้อมูลส่วนบุคคล (Personal Data Retention) รวมถึงการทำลายข้อมูลส่วนบุคคล (Personal Data Disposal) ในฐานะ MARCO เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ซึ่งครอบคลุมทั้งข้อมูลส่วนบุคคลในรูปของเอกสารกระดาษ และข้อมูลอิเล็กทรอนิกส์ เพื่อให้สามารถนำมาใช้ หรืออ้างอิงถึงในภายหลังได้ตามความจำเป็นและเหมาะสม ทั้งนี้ เพื่อเป็นแนวทางในการปฏิบัติงานสำหรับพนักงาน MARCO และผู้ที่มีส่วนเกี่ยวข้องในการจัดเก็บและทำลายข้อมูลส่วนบุคคลหรือเอกสารต่าง ๆ ให้สอดคล้องกับกฏเกณฑ์ทางการ หรือกฎหมายอื่นๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล เช่น พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นต้น
คำจำกัดความ
|
“MARCO” |
หมายถึง |
บริษัท มาโค เทคโนโลยี จำกัด |
|
“เอกสาร” |
หมายถึง |
กระดาษหรือวัตถุอื่นใดซึ่งได้ทำให้ปรากฏความหมายด้วยตัวอักษร ตัวเลข ผัง หรือแผนแบบอย่างอื่นจะเป็นโดยวิธีพิมพ์ ถ่ายภาพหรือวิธีอื่นอันเป็นหลักฐานแห่งความหมายนั้น |
|
“ข้อมูลส่วนบุคคลอิเล็กทรอนิกส์” |
หมายถึง |
เอกสาร หรือข้อมูลส่วนบุคคลที่ถูกสร้างให้อยู่ในรูปอิเล็กทรอนิกส์ และจัดเก็บในระบบงานของ MARCO |
|
“พนักงาน” |
หมายถึง |
พนักงานของบริษัทในกลุ่ม MARCO |
|
“การลบข้อมูลแบบถาวร” |
หมายถึง |
การลบข้อมูลอิเล็กทรอนิกส์ ที่ไม่สามารถกู้ข้อมูลที่ลบแล้วกลับคืนมาได้โดยการเลือกใช้เครื่องมือที่เหมาะสมในการลบข้อมูล |
|
“ผู้มีอำนาจอนุมัติ” |
หมายถึง |
ผู้ที่ได้รับมอบหมายจาก MARCO ให้มีอำนาจในการอนุมัติใดๆ |
|
“หน่วยงานเจ้าของข้อมูลส่วนบุคคล” |
หมายถึง |
ผู้บริหารของฝ่ายงานทางธุรกิจ หรือผู้บริหาร ซึ่งเป็นผู้รับผิดชอบหลักโดยตรงต่อข้อมูลส่วนบุคคล และเป็นผู้อนุมัติการเข้าถึงข้อมูลส่วนบุคคล โดยเจ้าของข้อมูลส่วนบุคคล จะต้องเป็นผู้ที่มีความรู้ความเข้าใจในข้อมูลส่วนบุคคล และกระบวนการทำงานทางธุรกิจที่เกี่ยวข้องในขอบเขตความรับผิดชอบของตน |
|
“หน่วยงานเจ้าของเอกสาร” |
หมายถึง |
หน่วยงานซึ่งเป็นเจ้าของ มีหน้าที่หลักโดยตรงต่อเอกสารนั้น ๆ และเป็นผู้อนุมัติการเข้าถึงเอกสาร |
|
“เจ้าของข้อมูลส่วนบุคคล” |
หมายถึง |
บุคคลธรรมดาที่สามารถระบุตัวตนได้จากข้อมูลส่วนบุคคล (ไม่ใช่เป็นเจ้าของในลักษณะทรัพยสิทธิ หรือเป็นผู้ที่สร้างข้อมูลนั้นขึ้นมา)
|
|
“ข้อมูลส่วนบุคคล” |
หมายถึง |
ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม |
หน้าที่และความรับผิดชอบ
- คณะกรรมการผู้บริหาร (Management Committee) ของ MARCO มีหน้าที่กำกับดูแลให้มีการคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายและกฎเกณฑ์ทางการ
- ผู้บริหารระดับสูง มีหน้าที่ควบคุมดูแลการปฏิบัติงานในการเก็บรวบรวม และทำลายข้อมูลส่วนบุคคลให้ถูกต้องตามกฎหมายและกฎเกณฑ์ทางการ รวมถึงจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลให้มีประสิทธิผล
- ฝ่ายบริหารอาคารและงานกลางของธนาคาร มีหน้าที่รับผิดชอบบริหารจัดการเอกสารกระดาษของ MARCO ในเชิงภาพรวม ทั้งในส่วนของการจัดเก็บเอกสาร และการทำลายเอกสาร ประสานงานกับฝ่ายงานที่เกี่ยวข้อง เพื่อให้การบริหารจัดการเอกสารเป็นไปตามนโยบาย หรือระเบียบปฏิบัติที่เกี่ยวข้อง
- หน่วยงานเจ้าของข้อมูลส่วนบุคคล มีหน้าที่
– ระบุระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล ให้สอดคล้องกับความจำเป็นในการใช้งาน รวมถึงกฏหมาย/กฏเกณฑ์ทางการต่าง ๆ และระเบียบปฏิบัติงานที่เกี่ยวข้อง
– กำกับดูแลคลังเอกสารของหน่วยงาน
– อนุมัติก่อนทำลายข้อมูลส่วนบุคคล
– เป็นผู้รับผิดชอบหลักโดยตรงต่อข้อมูลส่วนบุคคล และเป็นผู้อนุมัติการเข้าถึงข้อมูลส่วนบุคคล
5. พนักงานมีหน้าที่ปฏิบัติตามนโยบายฉบับนี้ และระเบียบปฏิบัติของ MARCO รวมถึงกฎหมายและกฎเกณฑ์ทางการต่างๆ ที่เกี่ยวข้องโดยเคร่งครัด
บททั่วไป
3.1.1 การคุ้มครองข้อมูลส่วนบุคคลตามนโยบายฉบับนี้ครอบคลุมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลทุกประเภท เช่น ลูกค้า พนักงาน หรือผู้ให้บริการภายนอก เป็นต้น
3.1.2 คณะกรรมการบริหาร MARCO ( MARCO Management Committee) มีอำนาจพิจารณาอนุมัติ เปลี่ยนแปลงแก้ไขหรือทบทวนนโยบายฉบับนี้ตามความเหมาะสม
3.1.3 ฝ่าย Operation มีหน้าที่ดำเนินการทบทวนนโยบายอย่างสม่ำเสมอตามความเหมาะสม หรือเมื่อมีการเปลี่ยนแปลงสาระสำคัญที่มีผลกระทบต่อการปฏิบัติงานตามนโยบายนี้
3.2.1 นโยบายนี้ ครอบคลุมถึงข้อมูลส่วนบุคคลในรูปของเอกสารกระดาษ และข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ การกำหนดระยะเวลาขั้นต่ำในการเก็บรักษาข้อมูลส่วนบุคคล และการทำลายข้อมูลส่วนบุคคล
3.3.1 เมื่อเสร็จสิ้นการใช้ข้อมูลส่วนบุคคลแล้ว ไม่อนุญาตให้จัดเก็บข้อมูลส่วนบุคคลไว้ในเครื่องคอมพิวเตอร์ส่วนบุคคล (Notebook / PC) ต้องลบทิ้งทันที เว้นแต่เป็นไปตามสิทธิการเข้าถึงข้อมูล
3.3.2 กำหนดให้มีการจัดเก็บเอกสารข้อมูลส่วนบุคคลให้เหมาะสมกับขั้นตอนการปฏิบัติงาน โดยเฉพาะเอกสารที่อยู่ในระหว่างการปฏิบัติงาน (Work in Process) ต้องมีการกำหนดผู้รับผิดชอบในการควบคุมดูแลการใช้งานอย่างเหมาะสม รวมถึงการเบิก คืน ยืมเอกสาร ทั้งนี้ อยู่ในความรับผิดชอบของหัวหน้างานโดยตรง
3.3.3 การจัดเก็บ และทำลาย เอกสารข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ ต้องสอดคล้องกับนโยบายและมาตรฐานการจำแนกชั้นความลับและการจัดการข้อมูล
นโยบาย
4.1 หลักเกณฑ์การกำหนดระยะเวลาการจัดเก็บที่เหมาะสม
MARCO มีการจัดเก็บเอกสารที่มีข้อมูลส่วนบุคคลหรือข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ตามความจำเป็นเหมาะสม โดยพิจารณากำหนดระยะเวลาจัดเก็บจากมิติผลกระทบ ความถี่ในการใช้งาน และความเสี่ยง ซึ่งให้จัดเก็บตามระยะเวลาที่จำเป็น โดยจัดเก็บในรูปแบบที่เหมาะสม และเป็นไปตามมาตรฐานการรักษาความปลอดภัยข้อมูลของ MARCO และกฎหมายที่เกี่ยวข้อง
4.2 แนวปฏิบัติในการกำหนดระยะเวลาการจัดเก็บเอกสารที่มีข้อมูลส่วนบุคคล หรือข้อมูลส่วนบุคคลอิเล็กทรอนิกส์
MARCO กำหนดกระบวนการในการพิจารณาจัดกลุ่ม และระยะเวลาการจัดเก็บเอกสารที่มีข้อมูลส่วนบุคคล หรือข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ เป็นการทำงานร่วมกันระหว่างหน่วยงานที่เกี่ยวข้อง โดยมีฝ่ายงานที่ช่วยกลั่นกรองและให้คำปรึกษาเกี่ยวกับอายุเอกสารที่มีข้อมูลส่วนบุคคล หรืออายุข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ดังนี้
- ฝ่าย Operation ให้คำปรึกษาเกี่ยวกับอายุเอกสารตามข้อกำหนดของหน่วยงานทางการ
- ฝ่าย Operation ให้คำปรึกษาเกี่ยวกับอายุเอกสารข้อกำหนดของกฎหมาย
- ฝ่าย Financial and Accounting ให้คำปรึกษาเกี่ยวกับอายุเอกสารตามข้อกำหนดของสรรพากร/มาตรฐานบัญชี
4.3 การจัดเก็บข้อมูลส่วนบุคคล (Personal Data Retention)
4.3.1 การจัดเก็บเอกสารที่มีข้อมูลส่วนบุคล ต้องมีการเก็บรักษาในที่ปลอดภัย และต้องใช้งานด้วย
ความระมัดระวัง
1) ข้อมูลส่วนบุคคลในเอกสารกระดาษ กำหนดให้จัดเก็บตามลักษณะการใช้งานเอกสาร โดย
1.1) เอกสารอยู่ระหว่างปฏิบัติงาน ต้องมีการกำหนดผู้รับผิดชอบควบคุม ดูแลการใช้งานให้เหมาะสม มีทะเบียนการเบิก คืน ยืมเอกสาร รวมถึงต้องอยู่ในความรับผิดชอบของหัวหน้างาน
1.2) เอกสารเสร็จสิ้นการปฏิบัติงาน ให้จัดเก็บในที่ปลอดภัย และมีกำหนดสิทธิการเข้าถึงเอกสาร
2) ข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ ให้จัดเก็บในที่ปลอดภัยตามมาตรฐานของ IT Security และมีการกำหนดสิทธิการเข้าถึงข้อมูล
4.3.2 การเก็บรักษาข้อมูลส่วนบุคคลในเอกสารกระดาษ และข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ ให้จัดเก็บโดยพิจารณาแนวทางการกำหนดระยะเวลาเก็บรักษาในข้อ 4.1 และ 4.2
4.4 การทำลายข้อมูลส่วนบุคคล (Personal Data Disposal)
เมื่อไม่มีความจำเป็นต้องใช้งานแล้ว หรือครบอายุการจัดเก็บ หรือเจ้าของข้อมูลส่วนบุคคลแจ้งความประสงค์ ให้
ดำเนินการลบข้อมูลส่วนบุคคลอิเล็กทรอนิกส์ หรือทำลายเอกสารที่มีข้อมูลส่วนบุคคล โดย
4.4.1 ข้อมูลส่วนบุคคลในเอกสารกระดาษ
- หากบริเวณนั้นมีตู้ทำลายเอกสาร ให้ทำลายโดยผ่านตู้ทำลายเอกสารประจำชั้น ในแต่ละอาคาร
- หากบริเวณนั้นไม่มีตู้ทำลายเอกสาร หรือมีปริมาณเอกสารจำนวนมาก ให้ส่งคลังเอกสาร เพื่อทำลาย
4.4.2 ข้อมูลส่วนบุคคลอิเล็กทรอนิกส์
- ลบข้อมูลแบบถาวร หรือ
- ดำเนินการย้ายข้อมูลให้อยู่ในรูปแบบข้อมูลสำรอง* โดยพิจารณาจากความถี่ของการเข้าถึงข้อมูลบนระบบงาน และ/หรือจากสถานะของข้อมูลตามเงื่อนไขการให้บริการ เช่น ข้อมูลผลิตภัณฑ์หรือบริการที่ลูกค้ายกเลิกแล้ว (หมดความสัมพันธ์ทางกฎหมายแล้ว) ก่อนดำเนินการย้ายข้อมูลให้อยู่ในรูปแบบข้อมูลสำรอง หรือ
- ทำให้ข้อมูลไม่สามารถระบุตัวตนได้ (Anonymized)
โดยอาจใช้เครื่องมือที่เหมาะสมในการลบข้อมูล ซึ่งต้องเป็นไปตามมาตรฐานของ MARCO
หมายเหตุ *การย้ายข้อมูลให้อยู่ในรูปแบบข้อมูลสำรอง (Back up/Archive) ต้องมีการควบคุมสิทธิอย่างเคร่งครัดและควบคุมการเข้าถึงข้อมูลที่ต้องได้รับการอนุมัติจากผู้มีอำนาจของหน่วยงานเจ้าของข้อมูลส่วนบุคคล และ DPO ของ MARCO
ทั้งนี้ ให้มีการดำเนินการสอดคล้องกับวิธีการทำลายเอกสารที่กำหนดในมาตรฐานการจำแนกชั้นความลับและการจัดการข้อมูล
เรื่องอื่นๆ
กรณีที่มีการแก้ไขหรือเปลี่ยนแปลงกฎหมายหรือข้อกำหนดของหน่วยงานทางการที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลที่นอกเหนือจากที่กำหนดไว้ในนโยบายฉบับนี้ ให้ถือปฏิบัติตามกฎหมายหรือข้อกำหนดของหน่วยงานทางการที่แก้ไขหรือเปลี่ยนแปลงนั้น
5.2 การจัดทำระเบียบ คำสั่ง และคู่มือปฏิบัติงาน
ฝ่ายงานที่เกี่ยวข้องต้องจัดให้มีระเบียบปฏิบัติ คำสั่ง และคู่มือปฏิบัติงานที่เกี่ยวข้องกับนโยบายนี้ตามความเหมาะสม และทบทวนระเบียบปฏิบัติ คำสั่ง และคู่มือปฏิบัติงานดังกล่าวอย่างสม่ำเสมอ
