นโยบายความเป็นส่วนตัว

นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ ใช้บังคับกับพนักงานของ บริษัท คาริบเบี่ยน อินเตอร์เนชั่นแนล อินดัสเตรียล จำกัด และบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของบริษัทฯ

“ข้อมูลส่วนบุคคล” (Personal Data) หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” (Sensitive data) หมายถึง ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

“เจ้าของข้อมูลส่วนบุคคล” (Data Subject) หมายความว่า บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล

“ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลอื่นซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลที่ดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

“การประมวลผล” (Processing) หมายถึง การเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล

4.1 การกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล

บริษัทฯ จัดให้มีคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยให้มีบทบาท หน้าที่ และความรับผิดชอบตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ และตามที่กฎหมายกำหนด

4.2 การประมวลผลข้อมูลส่วนบุคคล

1. บริษัทฯ จะดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์ของบริษัทฯ และให้ถูกต้องตามกฎหมาย เป็นธรรม โปร่งใส
2. บริษัทฯ จะแจ้งให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงรายละเอียดวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล สิทธิของเจ้าของข้อมูล ก่อนดำเนินการขอความยินยอม เพื่อแสดงให้เห็นถึงความโปร่งใส และสอดคล้องตามที่กฎหมายบัญญัติ
3. บริษัทฯ จะต้องขอความยินยอมโดยชัดแจ้งในการเก็บรวบรวม ใช้ และเปิดเผยจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือขณะเก็บข้อมูลส่วนบุคคลตามแบบวิธีการที่บริษัทฯ กำหนด เว้นแต่จะเข้าข้อยกเว้นตามกฎหมาย
4. บริษัทฯ จะจัดให้มีกลไกการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคล รวมทั้งกลไกการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
5. ในกรณีที่บริษัทฯ ส่ง โอน หรือให้บุคคลอื่นใช้ข้อมูลส่วนบุคคล บริษัทฯ จะจัดทำข้อตกลงกับผู้รับ/ผู้ใช้ข้อมูลดังกล่าวให้สอดคล้องกับกฎหมายและนโยบายของบริษัทฯ
6. บริษัทฯ จะรักษาความลับของข้อมูลส่วนบุคคลตามมาตรการของบริษัทฯ เพื่อให้เกิดความเป็นธรรม โปร่งใสแก่เจ้าของข้อมูลส่วนบุคคล

4.3 การรองรับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. บริษัทฯ จัดให้มีมาตรการและช่องทางในการรับคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
2. ผู้ควบคุมข้อมูลส่วนบุคคลของบริษัทฯ จะพิจารณาและดำเนินตามคำขอโดยไม่ชักช้า แต่ไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
3. บริษัทฯ จัดให้มีช่องทางในการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะแจ้งไปยังสำนักคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในเวลาที่กฎหมายกำหนด รวมถึงแจ้งแนวทางเยียวยาให้เจ้าของข้อมูลทราบโดยไม่ชักช้า

4.4 การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

1. บริษัทฯ จัดให้มีมาตรการรักษาความปลอดภัยเพื่อป้องกันการทำลาย การแก้ไข และการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ตามหลักเกณฑ์ที่กฎหมายกำหนด
2. เก็บรวบรวมข้อมูลส่วนบุคคลเฉพาะเท่าที่จำเป็นตามวัตถุประสงค์ที่แจ้งไว้ และไม่เก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหว เว้นแต่เข้าเงื่อนไขตามกฎหมาย
3. ประเมินความเสี่ยงและกำหนดมาตรการบรรเทาความเสี่ยงอย่างเหมาะสม
4. จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลเมื่อ:
   • ก. ระยะเวลาเก็บรักษาสิ้นสุดลงตามที่แจ้ง หรือครบตามที่กฎหมายกำหนด
   • ข. หมดความจำเป็นตามวัตถุประสงค์
   • ค. เจ้าของข้อมูลถอนความยินยอมและไม่มีฐานกฎหมายอื่นรองรับ
   • ง. ข้อมูลถูกเก็บ/ใช้/เปิดเผยโดยไม่ชอบด้วยกฎหมาย

4.5 การกำกับให้เกิดการปฏิบัติตามมาตรการคุ้มครองข้อมูลส่วนบุคคล

1. ติดตามการเปลี่ยนแปลงของกฎหมาย และปรับปรุงนโยบาย/มาตรการให้ทันสมัยและสอดคล้องอยู่เสมอ
2. ทบทวนนโยบายและแนวทางปฏิบัติอย่างน้อยปีละ 1 ครั้ง

5.1 คณะกรรมการบริษัท มีบทบาท หน้าที่ และความรับผิดชอบดังนี้

• เลือกตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างโครงสร้างการกำกับดูแล
• กำหนดนโยบายและแนวทางปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล
• กำกับดูแลและสนับสนุนให้นำนโยบายไปปฏิบัติอย่างเป็นรูปธรรม และสอดคล้องกฎหมาย

5.2 ผู้บริหาร มีบทบาท หน้าที่ และความรับผิดชอบดังนี้

• ติดตามควบคุมให้หน่วยงานปฏิบัติตามนโยบาย
• สนับสนุน/ส่งเสริมการสร้างความตระหนักรู้แก่พนักงาน

5.3 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีบทบาท หน้าที่ และความรับผิดชอบดังนี้

• กำหนดโครงสร้างควบคุมภายในและแนวทางตอบสนองเหตุการณ์ผิดปกติด้านข้อมูลส่วนบุคคล
• ประเมินผลการปฏิบัติตามนโยบาย และรายงานให้คณะกรรมการทราบอย่างน้อยปีละครั้ง
• บริหารจัดการความเสี่ยงที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
• กำหนด/ทบทวนมาตรฐานและแนวปฏิบัติให้สอดคล้องกับกฎหมาย

5.4 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้

• ให้คำแนะนำด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลและสร้าง Awareness ในองค์กร
• ตรวจสอบการปฏิบัติตามนโยบาย
• ประสานงานเมื่อเกิดเหตุข้อมูลรั่วไหล แจ้ง สคส. ภายใน 72 ชั่วโมง
• แจ้งวัตถุประสงค์และสิทธิแก่เจ้าของข้อมูลก่อน/ขณะเก็บข้อมูล
• ดำเนินการตามคำขอใช้สิทธิ (แก้ไข เปลี่ยนแปลง ลบ/ทำลาย) พร้อมเก็บหลักฐานธุรกรรม
• ดูแลรักษาและป้องกันการใช้/เปิดเผยข้อมูลตามวัตถุประสงค์หรือความยินยอม
• รักษาความลับขององค์กรอันได้มาจากการปฏิบัติหน้าที่

5.5 พนักงานของบริษัทฯ มีบทบาท หน้าที่ และความรับผิดชอบดังนี้

• ปฏิบัติให้สอดคล้องกับนโยบายและแนวปฏิบัติ
• รายงานเหตุการณ์ผิดปกติ/การไม่ปฏิบัติตามกฎหมายให้ผู้บังคับบัญชาทราบ

คณะกรรมการบริษัท ผู้บริหาร คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมไปถึงพนักงานของบริษัทฯ ทุกคนที่ไม่ปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ อาจมีความผิดและถูกลงโทษทางวินัย รวมถึงอาจได้รับโทษตามที่กฎหมายกำหนด

หมายเหตุ: หากมีการกำหนดวันที่มีผลบังคับใช้ของนโยบาย โปรดระบุวัน/เดือน/ปี เพื่อแสดงไว้ ณ ส่วนนี้