สำนักงานปรมาณูเพื่อสันติ พ.ศ. ๒๕๖๘
สำนักงานปรมาณูเพื่อสันติตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลอื่นที่เกี่ยวข้อง (รวมเรียกว่า “ข้อมูล”) เพื่อให้สามารถเชื่อมั่นได้ว่าสำนักงานมีความโปร่งใสและความรับผิดชอบ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) รวมถึงกฎหมายอื่นที่เกี่ยวข้อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล (“นโยบาย”) นี้จึงได้ถูกจัดทำขึ้นเพื่อชี้แจงถึงรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้หรือเปิดเผย ข้อมูลส่วนบุคคล
“สำนักงาน” หมายถึง สำนักงานปรมาณูเพื่อสันติ
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลธรรมดา ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“การประมวลผลข้อมูลส่วนบุคคล” หมายถึง การดำเนินการใดๆ กับข้อมูลส่วนบุคคล เช่น เก็บรวบรวม บันทึก สำเนา จัดระเบียบ เก็บรักษา ปรับปรุง เปลี่ยนแปลง ใช้ กู้คืน เปิดเผย ส่งต่อ เผยแพร่ โอน รวม ลบ ทำลาย เป็นต้น
“เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลที่สำนักงานเก็บรวบรวม ใช้ หรือเปิดเผย
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง สำนักงานซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“บริการ” หมายถึง การติดต่อสื่อสาร การเข้ารับบริการ การประชาสัมพันธ์ การแจ้งข้อมูลข่าวสารต่าง ๆ และการมีนิติสัมพันธ์หรือปฏิสัมพันธ์กับสำนักงานไม่ว่าในทางใด ๆ รวมถึงการดำเนินการใด ๆ ตามหน้าที่และอำนาจตามกฎกระทรวงแบ่งส่วนราชการสำนักงานปรมาณูเพื่อสันติ กระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม พ.ศ. ๒๕๖๔
นโยบายนี้ใช้บังคับกับข้อมูลส่วนบุคคลของบุคคลซึ่งมีความสัมพันธ์กับสำนักงานในปัจจุบันและที่อาจมีในอนาคต ซึ่งถูกประมวลผลข้อมูลส่วนบุคคลโดยสำนักงาน ข้าราชการ พนักงาน ลูกจ้าง ตามส่วนงานของสำนักงาน ซึ่งแบ่งหน้าที่และอำนาจตามกฎกระทรวงแบ่งส่วนราชการสำนักงานปรมาณูเพื่อสันติ กระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม พ.ศ. ๒๕๖๔ และรวมถึงคู่สัญญาหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ประมวลผล ข้อมูลส่วนบุคคลแทนหรือในนามของสำนักงาน ภายใต้บริการต่าง ๆ เช่น เว็บไซต์ ระบบ แอปพลิเคชัน เอกสาร หรือบริการตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
สำนักงานเก็บรวบรวมหรือได้มาซึ่งข้อมูลส่วนบุคคล ซึ่งรวมถึงข้อมูลส่วนบุคคลอ่อนไหว จากแหล่งข้อมูลดังต่อไปนี้
๑) ข้อมูลส่วนบุคคลที่สำนักงานเก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลโดยตรงในช่องทางให้บริการต่างๆ เช่น การขอรับใบอนุญาตทางนิวเคลียร์และรังสี การลงนามในพันธกรณี การรับสมัครเจ้าหน้าที่ความปลอดภัยทางรังสี การกำกับดูแลทางนิวเคลียร์และรังสี การตรวจสอบทางนิวเคลียร์และรังสี การวิจัยและพัฒนาเพื่อสนับสนุนการกำกับดูแลความปลอดภัยทางนิวเคลียร์และรังสี เป็นต้น
๒) ข้อมูลที่สำนักงานเก็บรวบรวมจากการที่เจ้าของข้อมูลส่วนบุคคลเข้าใช้งานเว็บไซต์ หรือบริการตามสัญญาหรือตามพันธกิจ เช่น การติดตามพฤติกรรมการใช้งานเว็บไซต์ หรือบริการของสำนักงานด้วยการใช้คุกกี้ (cookies) หรือจากซอฟต์แวร์บนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น
๓) ข้อมูลส่วนบุคคลที่สำนักงานเก็บรวบรวมจากแหล่งอื่นนอกจากเจ้าของข้อมูลส่วนบุคคล โดยที่แหล่งข้อมูลดังกล่าวมีอำนาจหน้าที่ มีเหตุผลที่ชอบด้วยกฎหมายหรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วในการเปิดเผยข้อมูลแก่สำนักงาน เช่น การรับข้อมูลส่วนบุคคลจากหน่วยงานของรัฐ หน่วยงานเอกชน หน่วยงานกำกับดูแล ที่มีหน้าที่ดำเนินการแจ้งข้อมูลในการติดต่อของเจ้าของกรรมสิทธิ์หรือผู้ครอบครองคอมพิวเตอร์ หรือผู้ดูแลระบบคอมพิวเตอร์ เพื่อสนับสนุนการดำเนินงานของสำนักงาน ในการรับมือภัยคุกคามทางไซเบอร์ ความจำเป็นเพื่อให้บริการตามสัญญาที่อาจมีการแลกเปลี่ยนข้อมูลส่วนบุคคลกับหน่วยงานคู่สัญญาได้ เป็นต้น
นอกจากนี้ ยังหมายความรวมถึงกรณีบุคคลใดเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลอื่นแก่สำนักงาน ดังนี้ บุคคลผู้นั้นมีหน้าที่รับผิดชอบในการแจ้งรายละเอียดตามนโยบายนี้หรือประกาศของบริการ ตามแต่กรณีให้บุคคลดังกล่าวทราบ ตลอดจนขอความยินยอมจากบุคคลนั้นหากเป็นกรณีที่ต้องได้รับความยินยอมในการเปิดเผยข้อมูลแก่สำนักงาน
ทั้งนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลที่มีความจำเป็นในการให้บริการของสำนักงาน อาจเป็นผลให้ไม่สามารถให้บริการนั้นแก่เจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ทั้งหมดหรือบางส่วน
สำนักงานประมวลผลข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอ่อนไหว เพื่อการปฏิบัติหน้าที่ในฐานะหน่วยงานกลาง ที่มีหน้าที่ในการกำกับดูแลการใช้พลังงานนิวเคลียร์และรังสีซึ่งเป็นหน้าที่ตามกฎหมาย เพื่อให้การกำกับดูแล เป็นไปอย่างมีประสิทธิภาพ มีการคุ้มครองภายใต้การกำกับดูแลอย่างเหมาะสม และเพื่อการบริหารข้อมูลของสำนักงาน ตามวัตถุประสงค์ดังต่อไปนี้
ในกรณีที่สำนักงานมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการปฏิบัติตามสัญญา การปฏิบัติหน้าที่ตามกฎหมาย หรือเพื่อความจำเป็นในการเข้าทำสัญญา หากมีการปฏิเสธไม่ให้ข้อมูลส่วนบุคคลหรือคัดค้านการดำเนินการประมวลผลตามวัตถุประสงค์ของกิจกรรม อาจมีผลทำให้สำนักงานไม่สามารถดำเนินการหรือให้บริการตามที่มีการร้องขอได้ทั้งหมดหรือบางส่วน
สำนักงานเก็บรวบรวมและใช้คุกกี้รวมถึงเทคโนโลยีอื่นในลักษณะเดียวกันในเว็บไซต์ที่อยู่ภายใต้ความดูแล ของสำนักงาน เช่น www.oap.go.th หรือบนอุปกรณ์อื่น ๆ ตามแต่บริการที่ใช้งาน ทั้งนี้ เพื่อการดำเนินการ ด้านความปลอดภัยในการให้บริการของสำนักงาน และเพื่อให้ผู้ใช้งานได้รับความสะดวกและประสบการณ์ที่ดีในการใช้งานบริการ ของสำนักงาน และข้อมูลเหล่านี้จะถูกนำไปเพื่อปรับปรุงเว็บไซต์ของสำนักงานให้ตรงกับความต้องการของผู้รับบริการมากยิ่งขึ้น โดยผู้รับบริการสามารถตั้งค่าหรือลบการใช้งานคุกกี้ได้ด้วยตนเองจากการตั้งค่าในเว็บบราว์เซอร์ (Web Browser)
ตามพันธกิจและอำนาจหน้าที่ประสานและดำเนินการความร่วมมือกับหน่วยงานทั้งภายในประเทศและต่างประเทศ และดำเนินการให้เป็นไปตามพันธกรณีหรือความตกลงระหว่างประเทศ ในบางกรณีสำนักงานอาจจำเป็นต้องส่งหรือโอน ข้อมูลส่วนบุคคลไปยังต่างประเทศเพื่อดำเนินการตามวัตถุประสงค์ตามหน้าที่และอำนาจตามกฎหมายและเพื่อการให้บริการ เช่น เพื่อส่งข้อมูลไปยังระบบคลาวด์ (Cloud) ที่มีแพลตฟอร์มหรือเครื่องแม่ข่าย (Server) อยู่ต่างประเทศ (เช่น ประเทศสิงคโปร์ หรือสหรัฐอเมริกา เป็นต้น) เพื่อสนับสนุนระบบเทคโนโลยีสารสนเทศที่ตั้งอยู่นอกประเทศไทย
อย่างไรก็ตาม ในขณะที่จัดทำนโยบายฉบับนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังมิได้มีประกาศกำหนดรายการ ประเทศปลายทางที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ดังนี้ เมื่อสำนักงานมีความจำเป็นต้องส่งหรือโอน ข้อมูลส่วนบุคคลไปยังประเทศปลายทาง สำนักงานจะดำเนินการเพื่อให้ข้อมูลส่วนบุคคลที่ส่งหรือโอนไปมีมาตรการคุ้มครอง ข้อมูลส่วนบุคคลอย่างเพียงพอตามมาตรฐานสากล หรือดำเนินการตามเงื่อนไขเพื่อให้สามารถส่งหรือโอนข้อมูลนั้นได้ตามกฎหมาย
สำนักงานจะประมวลผลข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอ่อนไหว ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลเท่านั้น โดยระยะเวลาเก็บรักษาจะเปลี่ยนแปลงไปโดยขึ้นอยู่กับวัตถุประสงค์ที่กำหนด เมื่อพ้นระยะเวลาและข้อมูลส่วนบุคคลนั้น สิ้นความจำเป็นตามวัตถุประสงค์ดังกล่าวแล้ว สำนักงานจะทำการลบ ทำลายข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลนั้น ไม่สามารถระบุตัวตนได้ต่อไป โดยมีรายละเอียดดังต่อไปนี้
(๑) สำนักงานจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอ่อนไหวไม่เกิน ๑๐ ปี นับแต่วันแรกที่มาขอรับบริการ เพื่อประโยชน์ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
(๒) สำหรับข้อมูลการจราจรทางคอมพิวเตอร์ที่สำนักงานเก็บรวบรวมจากการเข้าถึงและการใช้งานระบบสารสนเทศ ระบบคอมพิวเตอร์ และเว็บไซต์ที่สำนักงานให้บริการ สำนักงานจะเก็บรักษาข้อมูลไว้ไม่น้อยกว่า ๙๐ วันนับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์ แต่ในกรณีจำเป็นพนักงานเจ้าหน้าที่จะสั่งให้ผู้ให้บริการผู้ใดเก็บรักษาข้อมูลการจราจรทางคอมพิวเตอร์ไว้เกินเก้าสิบวัน แต่ไม่เกินหนึ่งปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราวก็ได้ ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐
ทั้งนี้ ในกรณีที่มีข้อพิพาทการใช้สิทธิหรือคดีความอันเกี่ยวข้องกับข้อมูลส่วนบุคคล สำนักงานขอสงวนสิทธิในการเก็บรักษาข้อมูลนั้นต่อไป จนกว่าข้อพิพาทนั้นจะได้มีคำสั่งหรือคำพิพากษาถึงที่สุด รวมทั้งกรณีที่มีกฎหมายอื่นบัญญัติระยะเวลาการเก็บรักษาไว้เป็นอย่างอื่น สำนักงานอาจเก็บข้อมูลนั้นต่อไปตามระยะเวลาที่กฎหมายนั้นกำหนดแล้วแต่ระยะเวลาใดนานกว่ากัน และกรณีที่ข้อมูลส่วนบุคคลนั้นมีคุณค่าทางประวัติศาสตร์หรือจดหมายเหตุ หรือเพื่อประโยชน์สาธารณะ หรือไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล สำนักงานอาจเก็บรักษาข้อมูลนั้นไว้ตลอดไป
สำนักงานมีมาตรการในการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอ่อนไหวอย่างเหมาะสม ทั้งในเชิงเทคนิคและการบริหารจัดการ เพื่อป้องกันมิให้ข้อมูลสูญหายหรือมีการเข้าถึง ทำลาย ใช้ เปลี่ยนแปลงแก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ซึ่งสอดคล้องกับนโยบายและแนวปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศ (information security policy) ของสำนักงาน
มาตรการดังกล่าวครอบคลุมทั้งในรูปแบบเอกสารหรือในรูปแบบอิเล็กทรอนิกส์ ประกอบด้วยมาตรการเชิงองค์กร (organizational measures) มาตรการเชิงเทคนิค (technical measures) รวมไปถึงมาตรการทางกายภาพ (physical measures) ที่เหมาะสม โดยคำนึงถึงความสามารถในการธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคลตามระดับความเสี่ยง
การประมวลผลต้องเป็นไปโดยชอบด้วยกฎหมาย เป็นธรรม และโปร่งใสตามหลักธรรมาภิบาลข้อมูล (data governance) เท่าที่จำเป็นตามวัตถุประสงค์ที่เฉพาะเจาะจงและชัดเจน มีการปรับปรุงข้อมูลให้ถูกต้องเป็นปัจจุบัน และเมื่อหมดความจำเป็น สำนักงานจะดำเนินการทำลาย ลบ หรือทำให้ข้อมูลดังกล่าวไม่สามารถระบุตัวบุคคลได้ต่อไป นอกจากนี้ เมื่อมีการส่ง โอน หรือเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่สาม สำนักงานจะกำหนดมาตรการรักษาความปลอดภัยและการรักษาความลับที่เหมาะสม และเป็นไปตามที่กฎหมายกำหนด
การไม่ปฏิบัติตามนโยบายอาจมีผลเป็นความผิดและถูกลงโทษทางวินัยตามระเบียบราชการ (สำหรับข้าราชการ เจ้าหน้าที่ หรือลูกจ้างของสำนักงาน) หรือตามข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (สำหรับผู้ประมวลผลข้อมูลส่วนบุคคล) ทั้งนี้ ตามแต่กรณีและความสัมพันธ์ที่มีต่อสำนักงาน และอาจมีโทษอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นที่เกี่ยวข้อง
ในการปรับปรุงหรือเปลี่ยนแปลงนโยบาย สำนักงานอาจพิจารณาแก้ไขเปลี่ยนแปลงตามรอบระยะเวลาที่เหมาะสม หรือเมื่อมีเหตุอันสมควร และจะทำการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบผ่านช่องทางเว็บไซต์ www.oap.go.th โดยมีวันที่ของฉบับล่าสุดกำกับอยู่ตอนท้าย อย่างไรก็ดี สำนักงานขอแนะนำให้เจ้าของข้อมูลส่วนบุคคลโปรดตรวจสอบ เพื่อรับทราบประกาศฉบับใหม่อย่างสม่ำเสมอ โดยเฉพาะก่อนที่จะมีการเปิดเผยข้อมูลส่วนบุคคลแก่สำนักงาน
การรับบริการภายใต้นโยบายใหม่นี้ถือเป็นการรับทราบตามนโยบายนี้ การใช้งานต่อไปภายหลังจากที่นโยบายนี้มีการแก้ไข และนำขึ้นประกาศในช่องทางข้างต้นแล้ว จะถือว่าเจ้าของข้อมูลส่วนบุคคลได้รับทราบการเปลี่ยนแปลงดังกล่าวแล้ว
ประกาศ ณ วันที่ พฤษภาคม พ.ศ. ๒๕๖๘
(นายรุ่งเรือง กิจผาติ)
อธิบดีกรมวิทยาศาสตร์บริการ รักษาราชการแทน
เลขาธิการสำนักงานปรมาณูเพื่อสันติ