นโยบายความมั่นคงปลอดภัยสารสนเทศและการคุ้มครองข้อมูลส่วนบุคคล

FORTSECURE GLOBAL CO., LTD.

1. วัตถุประสงค์ (Purpose)

นโยบายฉบับนี้ประกาศพันธสัญญาของผู้บริหารและหลักการบังคับใช้ในการคุ้มครองสารสนเทศและข้อมูลส่วนบุคคลตลอดวงจรชีวิตของข้อมูล โดยกำหนดบทบาทผู้รับผิดชอบ ข้อกำหนดการประมวลผลที่ชอบด้วยกฎหมาย มาตรฐานความมั่นคงปลอดภัยสารสนเทศและหลักการออกแบบโดยคำนึงถึงความเป็นส่วนตัว (Privacy by Design) สิทธิของเจ้าของข้อมูล การแจ้งให้ทราบและการจัดการเหตุการณ์ละเมิดข้อมูล การอนุมัติโดยผู้บริหาร การทบทวนเป็นระยะ และการวัดประสิทธิผลของนโยบาย

2. ขอบเขตและการบังคับใช้ (Scope and Applicability)

นโยบายนี้ใช้บังคับแก่พนักงาน ผู้บริหาร ผู้รับจ้าง ตัวแทน และบุคคลอื่นซึ่งปฏิบัติงานแทนหรือเพื่อประโยชน์ของบริษัท ตลอดจนสารสนเทศและข้อมูลส่วนบุคคลที่ได้รับการเก็บรวบรวม เข้าถึง ใช้ เปิดเผย โอน จัดเก็บ เก็บรักษา หรือทำลาย ในการดำเนินกิจกรรมของบริษัท ทั้งนี้ครอบคลุมข้อมูลติดต่อของลูกค้าและคู่ค้า ทะเบียนผู้เข้าอบรมและผู้เข้าร่วมสัมมนา ข้อมูลพนักงานและผู้สมัครงาน และข้อมูลผู้ตอบแบบสอบถาม ในกรณีที่มีการประมวลผลข้อมูลดังกล่าว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Thailand PDPA) ประกอบกับกฎเกณฑ์เพื่อการปฏิบัติงานหรือลำดับขั้นทางปกครองและประกาศที่เกี่ยวข้องซึ่งมีผลบังคับใช้ ให้ใช้บังคับแก่กิจกรรมของบริษัทในขอบเขตตามกฎหมายดังกล่าว บริษัทจะประเมินพันธกรณีตามกฎหมายที่ใช้บังคับแก่การประมวลผลแต่ละรายการ และดำเนินมาตรการทางกฎหมาย ทางเทคนิค และทางองค์กรที่เหมาะสม

3. คำนิยาม (Definitions)

• ข้อมูลส่วนบุคคล ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม
• ข้อมูลส่วนบุคคลที่มีความอ่อนไหว ข้อมูลส่วนบุคคลตามมาตรา 26 ของ PDPA ซึ่งการละเมิดอาจก่อความเสียหายอย่างมีนัยสำคัญ และต้องเป็นไปตามเงื่อนไขเพิ่มเติมก่อนเก็บรวบรวม ใช้ หรือเปิดเผย
• เจ้าของข้อมูล บุคคลซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล
• ผู้ควบคุมข้อมูล บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• ผู้ประมวลผลข้อมูล บุคคลหรือนิติบุคคลซึ่งดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล
• ผู้คุ้มครองข้อมูลส่วนบุคคล (DPO) บุคคลซึ่งได้รับการแต่งตั้งตามมาตรา 41 ของ PDPA
• สคส. (PDPC) สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
• ฝ่ายความเป็นส่วนตัว (Privacy Function / PO) หน่วยงานหรือพนักงานซึ่งบริษัทกำหนดให้ประสานงานการดำเนินการตามนโยบายนี้

4. ธรรมาภิบาล บทบาทหน้าที่ และความรับผิดชอบ (Governance, Responsibilities and Accountability)

4.1 ผู้บริหารและบทบาทระดับองค์กร

ประธานเจ้าหน้าที่บริหาร (CEO) หรือผู้บริหารที่ได้รับมอบอำนาจ เป็นผู้อนุมัตินโยบายฉบับนี้ จัดสรรทรัพยากรอย่างสมส่วนกับความเสี่ยง และกำหนดความรับผิดชอบในการนำนโยบายไปปฏิบัติอย่างชัดเจน บริษัทจะกำหนดพนักงานหรือหน่วยงานที่รับผิดชอบให้ประสานงานการดำเนินการ ดูแลรักษานโยบายและบันทึกต่าง ๆ เฝ้าระวังและติดตามผลการปฏิบัติตามข้อกำหนด และรายงานประเด็นสำคัญต่อผู้บริหาร

ในกรณีที่ต้องมี DPO ตามมาตรา 41 ของ PDPA หรือที่ได้รับการแต่งตั้งอย่างเป็นทางการ บริษัทจะจัดทำเอกสารการแต่งตั้ง และเปิดโอกาสให้ DPO ปฏิบัติหน้าที่ตามมาตรา 42 อย่างเต็มที่ ทั้งการให้คำปรึกษา การเฝ้าระวังและตรวจสอบ การประสานงานกับ สคส. และการรักษาความลับ DPO ต้องสามารถสื่อสารประเด็นถึงผู้บริหารสูงสุดได้ และปฏิบัติหน้าที่โดยปราศจากหน้าที่ที่ขัดกัน ทั้งนี้ ความรับผิดชอบเชิงปฏิบัติการในการประมวลผลที่ชอบด้วยกฎหมายยังคงเป็นของหน่วยงานที่เกี่ยวข้อง และของบริษัทในฐานะผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลแล้วแต่กรณี

4.2 การจัดสรรบทบาทระดับปฏิบัติการ

บทบาท	ความรับผิดชอบหลัก
CEO หรือผู้บริหารที่ได้รับมอบอำนาจ	อนุมัตินโยบาย จัดสรรทรัพยากร และกำกับดูแลภาพรวม
ฝ่ายความเป็นส่วนตัว (Privacy Function / PO)	จุดประสานกลาง ดูแลนโยบายและบันทึก ติดตามการปฏิบัติตาม และรายงานผล
ผู้คุ้มครองข้อมูลส่วนบุคคล (DPO) กรณีแต่งตั้ง	ให้คำปรึกษา เฝ้าระวัง ประสานงานกับ สคส. และรักษาความลับ
IT Security	ความมั่นคงปลอดภัยสารสนเทศ การจัดการเหตุการณ์ และการเก็บรักษาหลักฐาน
เจ้าของกระบวนการ / เจ้าของข้อมูลประจำส่วนงาน	ประมวลผลข้อมูลอย่างชอบด้วยกฎหมายในส่วนของตน และจัดทำบันทึกที่เกี่ยวข้อง

4.3 คำขอของเจ้าของข้อมูลและการร้องเรียน

ฝ่ายความเป็นส่วนตัว / PO เป็นจุดประสานกลางในการรับ ขึ้นทะเบียน ส่งต่อ และติดตามคำขอและข้อร้องเรียน DPO (กรณีแต่งตั้ง) ให้คำปรึกษาและเฝ้าระวังการดำเนินการตามความเหมาะสม เจ้าของกระบวนการที่เกี่ยวข้องตรวจสอบข้อเท็จจริง ดำเนินการแก้ไขหรือเปิดเผยข้อมูลเท่าที่ได้รับอนุญาต และจัดทำบันทึกที่จำเป็นเพื่อการตอบกลับอย่างถูกต้องตามกฎหมาย ทุกกรณีต้องมีผู้รับผิดชอบชัดเจน และดำเนินการให้แล้วเสร็จภายในกำหนดเวลาตามกฎหมายที่ใช้บังคับ

5. หลักการคุ้มครองความเป็นส่วนตัวและความมั่นคงปลอดภัยสารสนเทศ (Privacy and Information Security Principles)

บริษัทจะประมวลผลข้อมูลส่วนบุคคลอย่างชอบด้วยกฎหมาย เป็นธรรม โปร่งใส และเพื่อวัตถุประสงค์อันชอบธรรมที่กำหนดไว้เท่านั้น โดยเก็บรวบรวมเท่าที่จำเป็น รักษาความถูกต้องของข้อมูลในกรณีที่เกี่ยวข้อง และเก็บรักษาเพียงระยะเวลาที่จำเป็น บริษัทจะดำเนินมาตรการที่เหมาะสมเพื่อรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และความพร้อมใช้งาน (Availability) โดยสนับสนุนด้วยการประเมินความเสี่ยงและบันทึกการประมวลผลในกรณีที่กฎหมายกำหนด

5.1 การคุ้มครองตลอดวงจรชีวิตของข้อมูลส่วนบุคคล

• การเก็บรวบรวม ประเมินฐานความชอบด้วยกฎหมายและความจำเป็น แจ้งประกาศความเป็นส่วนตัวที่เหมาะสม เก็บรวบรวมเฉพาะข้อมูลที่จำเป็นต่อวัตถุประสงค์ที่กำหนด และใช้เงื่อนไขเพิ่มเติมสำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหว
• การใช้และการเปิดเผย จำกัดการเข้าถึงเฉพาะหน้าที่ที่ได้รับอนุญาต เปิดเผยหรือแบ่งปันเมื่อชอบด้วยกฎหมายและสมส่วนเท่านั้น และให้คำแนะนำพร้อมมาตรการคุ้มครองแก่ผู้ประมวลผลข้อมูล
• การจัดเก็บและการโอน ใช้การบริหารจัดการสิทธิ์การเข้าถึง การส่งข้อมูลอย่างปลอดภัย การเข้ารหัสที่เหมาะสม การสำรองข้อมูล การบันทึกกิจกรรม (Logging) และมาตรการคุ้มครองการโอนข้ามประเทศตามที่ใช้บังคับ
• การเก็บรักษาและการทำลาย กำหนดระยะเวลาเก็บรักษา ทบทวนข้อมูลที่เก็บรักษาอยู่ และลบ ทำให้เป็นอันตราย หรือทำลายข้อมูลอย่างปลอดภัยเมื่อไม่จำเป็นอีกต่อไป โดยคำนึงถึงหน้าที่เก็บรักษาตามกฎหมาย
• การเปลี่ยนแปลงและเหตุการณ์ ประเมินความเสี่ยงซ้ำเมื่อมีการเปลี่ยนแปลงสำคัญ และระบุ ควบคุม สืบสวน บันทึก แจ้ง และแก้ไขเหตุการณ์ด้านความมั่นคงปลอดภัยและข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด

5.2 การออกแบบโดยคำนึงถึงความเป็นส่วนตัวและโดยค่าเริ่มต้น (Privacy by Design and by Default)

ข้อกำหนดด้านความเป็นส่วนตัวและความปลอดภัยต้องได้รับการพิจารณาตั้งแต่เริ่มต้นของโครงการ แอปพลิเคชัน แคมเปญการตลาด แพลตฟอร์มการอบรม การให้บริการ การจัดซื้อจัดจ้าง และการปรับเปลี่ยนการประมวลผล ผู้รับผิดชอบต้องประเมินวัตถุประสงค์ ความจำเป็น การจำกัดการเก็บรวบรวม ฐานความชอบด้วยกฎหมาย การเข้าถึง การเก็บรักษา การแบ่งปันข้อมูล ผู้ให้บริการ และความเสี่ยงต่อบุคคล ก่อนเริ่มใช้งานจริง กิจกรรมที่มีความเสี่ยงสูงต้องเสนอเพื่อการประเมินผลกระทบด้านความเป็นส่วนตัว (Privacy Impact Assessment) ตามที่กฎหมายกำหนดหรือที่ระดับความเสี่ยงแสดงความจำเป็น ค่าเริ่มต้นของระบบต้องหลีกเลี่ยงการเก็บรวบรวม การเข้าถึง การเปิดเผย หรือการเก็บรักษาที่ไม่จำเป็น

5.3 มาตรการคุ้มครองขั้นต่ำ

มาตรการคุ้มครองต้องสมส่วนกับความอ่อนไหวของข้อมูลและความเสี่ยงของการประมวลผล และอาจรวมถึง การควบคุมการเข้าถึงตามบทบาท การยืนยันตัวตนด้วยปัจจัยหลายชั้น (MFA) การพัฒนาและการควบคุมการเปลี่ยนแปลงอย่างปลอดภัย การปกป้องอุปกรณ์ปลายทางและเครือข่าย การสำรองและกู้คืนข้อมูล การบริหารจัดการช่องโหว่ การบันทึกกิจกรรมและการเฝ้าระวัง ข้อผูกพันการรักษาความลับ การโอนและการทำลายข้อมูลอย่างปลอดภัย การอบรมบุคลากร และการกำกับดูแลผู้ประมวลผลข้อมูล รายละเอียดการควบคุมเชิงปฏิบัติให้บันทึกไว้ในมาตรฐานหรือขั้นตอนปฏิบัติรองรับตามความเหมาะสม

6. การปฏิบัติตามข้อกำหนดการประมวลผลตาม PDPA ของประเทศไทย

บริษัทจะจัดทำและรักษานโยบายและข้อตกลงการทำงานเพื่อปฏิบัติตามข้อกำหนดด้านล่างนี้ เท่าที่ใช้บังคับแก่การประมวลผลแต่ละรายการ การอ้างอิงมาตราในที่นี้มีไว้เพื่อความสามารถในการตรวจสอบย้อนกลับเท่านั้น และไม่แทนการประเมินกฎหมายทั้งฉบับหรือประกาศที่เกี่ยวข้อง

มาตรา	ข้อกำหนดหลัก
มาตรา 19	ฐานความชอบด้วยกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
มาตรา 21–24	การขอความยินยอม เงื่อนไข วิธีการขอ และการถอนความยินยอม
มาตรา 27	การเก็บรวบรวมข้อมูลเพื่อประวัติศาสตร์ สถิติ หรือการวิจัย
มาตรา 30–36	สิทธิของเจ้าของข้อมูล ได้แก่ สิทธิได้รับแจ้ง เข้าถึง แก้ไขให้ถูกต้อง โอนย้าย คัดค้าน ระงับการใช้ และขอให้ลบ ทำลาย หรือทำให้เป็นอันตราย
มาตรา 37	หน้าที่ของผู้ควบคุมข้อมูล และการแจ้งการละเมิดข้อมูลส่วนบุคคล
มาตรา 39	การจัดทำและการเก็บรักษาบันทึกการประมวลผล
มาตรา 40	หน้าที่ของผู้ประมวลผลข้อมูล

ข้อกำหนดเพิ่มเติมที่ใช้บังคับ ได้แก่ ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (มาตรา 26) การโอนข้อมูลข้ามประเทศ (มาตรา 28–29) หน้าที่ของผู้ควบคุมข้อมูลและการแจ้งการละเมิด (มาตรา 37) บันทึกการประมวลผล (มาตรา 39) ผู้ประมวลผลข้อมูล (มาตรา 40) และหน้าที่ของ DPO (มาตรา 41–42) ให้ครอบคลุมโดยระบบการบริหารจัดการความเป็นส่วนตัวของบริษัท

7. สิทธิของเจ้าของข้อมูล ประกาศความเป็นส่วนตัว และการร้องเรียน

บริษัทจะจัดช่องทางที่เข้าถึงได้ง่ายให้เจ้าของข้อมูลยื่นคำขอ ถอนความยินยอม (ในกรณีที่ใช้ความยินยอมเป็นฐานความชอบด้วยกฎหมาย) คัดค้าน และร้องเรียน ฝ่ายความเป็นส่วนตัวจะขึ้นทะเบียนคำขอ ตรวจสอบและยืนยันตัวตนอย่างสมส่วน ประเมินเงื่อนไขและข้อยกเว้นตามกฎหมายที่ใช้บังคับ ประสานงานกับเจ้าของข้อมูลประจำส่วนงานที่เกี่ยวข้อง บันทึกการตัดสินใจ ตอบกลับภายในกำหนดเวลาตาม PDPA และเก็บรักษาบันทึกที่เหมาะสม

ประกาศความเป็นส่วนตัวจะได้รับการดูแลรักษาให้ทันสมัยสำหรับกลุ่มและกิจกรรมที่เกี่ยวข้อง ทั้งลูกค้า ผู้เข้าอบรม พนักงานและผู้สมัครงาน ตลอดจนเจ้าของข้อมูลอื่นที่บริษัทประมวลผลข้อมูล โดยระบุฐานความชอบด้วยกฎหมายและช่องทางติดต่ออย่างเหมาะสม การเปลี่ยนแปลงที่มีผลต่อสาระสำคัญของประกาศหรือของการประมวลผล ต้องได้รับการแจ้งให้ทราบตามที่กฎหมายกำหนด

8. การจัดการเหตุการณ์ละเมิดข้อมูลส่วนบุคคลและความมั่นคงปลอดภัย

บุคคลใดที่ทราบหรือสงสัยว่าเกิดเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศหรือการละเมิดข้อมูลส่วนบุคคล ต้องรายงานโดยเร็วผ่านช่องทางรายงานเหตุการณ์ของบริษัท IT Security และเจ้าของกระบวนการที่รับผิดชอบต้องเก็บรักษาหลักฐาน ระบุขอบเขต ควบคุมเหตุการณ์ ประเมินผลกระทบ ดำเนินการแก้ไขให้เป็นปกติ และสื่อสารกับฝ่ายความเป็นส่วนตัวและ DPO (กรณีแต่งตั้ง)

บริษัทจะประเมินหน้าที่ในการแจ้งตามระบบกฎหมายที่ใช้บังคับ สำหรับกิจกรรมภายใต้ PDPA บริษัทจะประเมินหน้าที่และข้อยกเว้นการรายงานตามมาตรา 37(4) รวมถึงการแจ้งต่อ สคส. โดยไม่ชักช้า และในกรณีที่กฎหมายกำหนด ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตลอดจนการแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยไม่ชักช้าในกรณีที่มีความเสี่ยงสูง บริษัทจะบันทึกการตัดสินใจ กรอบเวลา การแจ้ง สาเหตุที่แท้จริง และการแก้ไขเชิงป้องกันของทุกเหตุการณ์

9. บุคคลที่สาม การโอนข้อมูลข้ามประเทศ และการบันทึก

บริษัทจะใช้ข้อตกลงในสัญญา มาตรการความปลอดภัย และการตรวจสอบความเชื่อมั่นที่เหมาะสมกับผู้ประมวลผลข้อมูลส่วนบุคคลและบุคคลที่สามที่เกี่ยวข้อง ทั้งคำสั่งการประมวลผล การรักษาความลับ ความร่วมมือเมื่อเกิดเหตุการณ์ และการส่งคืนหรือลบข้อมูลตามความเหมาะสม การโอนข้อมูลส่วนบุคคลออกนอกประเทศไทยต้องได้รับการประเมินตามมาตรา 28–29 ของ PDPA และกฎเกณฑ์ที่เกี่ยวข้อง พร้อมการบันทึกมาตรการคุ้มครองที่เกี่ยวข้อง

ให้มีการเก็บรักษาบันทึกการประมวลผล ทะเบียนข้อมูล ตารางกำหนดเก็บรักษา ประกาศความเป็นส่วนตัว คำขอ ข้อร้องเรียน บันทึกเหตุการณ์ ข้อตกลงกับผู้ให้บริการ ความยินยอม (ในกรณีที่ใช้) และผลการประเมินความเสี่ยง เท่าที่เหมาะสมหรือที่กฎหมายกำหนด

10. การสื่อสารนโยบายและการแจ้งการเปลี่ยนแปลง

บริษัทจะประกาศฉบับที่ได้รับอนุมัติของนโยบายนี้ ขั้นตอนปฏิบัติที่เกี่ยวข้อง และการเปลี่ยนแปลงสาระสำคัญ ไปยังพนักงาน ผู้รับจ้าง และผู้รับผิดชอบรายอื่น ผ่านช่องทางที่เหมาะสม เช่น อีเมลภายใน การเข้าสู่งาน (Onboarding) การอบรมสร้างความตระหนัก เอกสารควบคุมที่แชร์ร่วมกัน และการสื่อสารตามสัญญา ในกรณีที่การเปลี่ยนแปลงส่งผลต่อภายนอกหรือต่อเจ้าของข้อมูลอย่างมีนัยสำคัญ บริษัทจะปรับปรุงประกาศความเป็นส่วนตัว ข้อมูลบนเว็บไซต์ หรือช่องทางสื่อสารอื่นที่เกี่ยวข้อง

ฝ่ายความเป็นส่วนตัวจะประสานงานการเผยแพร่ จัดทำสรุปการแก้ไขสำคัญตามความเหมาะสม และเก็บรักษาบันทึกการออกเอกสาร วันที่มีผลบังคับใช้ และหลักฐานการรับทราบหรือการเผยแพร่ ตามระดับความเสี่ยงและข้อกำหนดที่ใช้บังคับ

11. การอนุมัตินโยบายและการควบคุมเอกสาร

นโยบายฉบับนี้และการแก้ไขสาระสำคัญต้องได้รับอนุมัติจาก CEO หรือผู้ได้รับมอบอำนาจอย่างเป็นทางการก่อนมีผลบังคับใช้ ฉบับควบคุมต้องระบุเจ้าของเอกสาร เลขฉบับ ผู้มีอำนาจอนุมัติ วันที่อนุมัติ วันที่มีผลบังคับใช้ และประวัติการทบทวน ฉบับที่ถูกแทนที่ให้เก็บรักษาตามระบบการเก็บรักษาเอกสารของบริษัท และปลดออกจากการใช้งาน

12. ความถี่ในการทบทวนและเหตุการณ์ที่กระตุ้นการทบทวน

บริษัทจะทบทวนนโยบายฉบับนี้และขั้นตอนความเป็นส่วนตัวที่เกี่ยวข้องอย่างน้อยหนึ่งครั้งทุก 12 เดือน และทุกครั้งที่เกิดการเปลี่ยนแปลงสำคัญในกฎหมายที่ใช้บังคับ ประกาศของหน่วยงานกำกับดูแล การประมวลผลข้อมูล เทคโนโลยี โครงสร้างความรับผิดชอบ การดำเนินงาน ผู้ให้บริการภายนอก แนวโน้มเหตุการณ์ หรือความเสี่ยงที่ระบุได้ ฝ่ายความเป็นส่วนตัวจะประสานงานการทบทวน รวบรวมข้อเสนอแนะจากผู้เกี่ยวข้อง และเสนอการแก้ไขสาระสำคัญเพื่อขออนุมัติจากผู้บริหาร

13. การวัดประสิทธิผลของนโยบายและตัวชี้วัด (KPI)

• บริษัทจะกำหนดและรักษาตัวชี้วัดผลการดำเนินงาน (KPI) เพื่อวัดประสิทธิผลของนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคล รวมถึงการระบุและลดช่องว่างการปฏิบัติตาม PDPA ประสิทธิผลของการแก้ไขเพื่อป้องกันการเกิดซ้ำ (Corrective Actions) และการบริหารความเสี่ยงที่กระทบการคุ้มครองข้อมูลส่วนบุคคล
• การกำหนดบทนิยาม วิธีการวัด เกณฑ์เป้าหมาย เกณฑ์การประเมิน ความถี่ในการวัด และหลักฐานประกอบของ KPI ให้เป็นไปตามมาตรฐาน การวัดผลการปฏิบัติงานของ DPO และการปรับปรุงอย่างต่อเนื่อง (DPO Performance Measurement and Continuous Improvement Standard) ของบริษัท โดยนโยบายฉบับนี้ไม่กำหนดระเบียบวิธี KPI แยกหรือขัดแย้งกันเป็นการเฉพาะ
• บริษัทจะตีความผล KPI ให้สอดคล้องกับมาตรฐานข้างต้น โดยคำนึงถึงความรับผิดชอบเชิงปฏิบัติการ และเอกราชในบทบาทการให้คำปรึกษาและการเฝ้าระวังของ DPO ตัวชี้วัดต้องไม่เป็นอุปสรรคต่อการรายงานเหตุการณ์ การส่งต่อประเด็นกังวล หรือการใช้สิทธิตามกฎหมายของเจ้าของข้อมูล
• บริษัทจะประเมินประสิทธิผลของนโยบายและแนวปฏิบัติคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยปีละครั้ง เพื่อสรุปว่าข้อกำหนดที่วางไว้ส่งเสริมการคุ้มครองข้อมูลส่วนบุคคล ลดช่องว่างการปฏิบัติตามกฎหมาย และบรรเทาความเสี่ยงที่เกี่ยวข้องหรือไม่

14. การประเมินผล การทบทวนโดยผู้บริหาร และการปรับปรุงอย่างต่อเนื่อง

• อย่างน้อยปีละครั้ง ฝ่ายความเป็นส่วนตัวจะประสานงานทบทวนประสิทธิผลของนโยบาย โดยใช้ผลการประเมินตามมาตรฐานการวัดผลฯ ประกอบกับผลการประเมินช่องว่าง PDPA แนวโน้มเหตุการณ์ บันทึกสิทธิและข้อร้องเรียน ข้อค้นพบภายใน และการเปลี่ยนแปลงด้านกฎเกณฑ์ที่เกี่ยวข้อง การทบทวนต้องระบุว่าข้อกำหนดของนโยบายยังมีประสิทธิผลหรือไม่ และช่องว่างสำคัญใดที่ต้องดำเนินการ
• การทบทวนโดยผู้บริหาร การอนุมัติแผนการปรับปรุง การติดตามการแก้ไข การส่งต่อประเด็น (Escalation) และการยืนยันประสิทธิผล ให้เป็นไปตามหลักธรรมาภิบาลและข้อกำหนดการบันทึกของมาตรฐานการวัดผลฯ การแก้ไขสาระสำคัญของนโยบายนี้หรือขั้นตอนปฏิบัติรองรับ ต้องเสนอขออนุมัติจากผู้บริหารผ่านระบบธรรมาภิบาลเอกสารของบริษัท
• บริษัทจะทบทวนผลการวัดประสิทธิผล ผลการประเมินการปฏิบัติตามข้อกำหนด ช่องว่างที่ระบบได้ และความเสี่ยงด้านความเป็นส่วนตัวที่เกี่ยวข้อง เพื่อประเมินความเหมาะสม ความเพียงพอ และประสิทธิผลอย่างต่อเนื่องของนโยบายและขั้นตอนปฏิบัติ ผลการทบทวนใช้ระบุโอกาสในการปรับปรุง ทั้งการแก้ไขนโยบายและขั้นตอนปฏิบัติ การเสริมสร้างการควบคุมด้านความปลอดภัยและความเป็นส่วนตัว การยกระดับการปฏิบัติจริง และการจัดสรรทรัพยากรเพิ่มเติมเมื่อจำเป็น
• ข้อเสนอการปรับปรุงจะเสนอต่อผู้บริหารที่มีอำนาจเพื่อพิจารณาอนุมัติ โดยบริษัทจะติดตามการนำไปปฏิบัติและประสิทธิผลของมาตรการที่อนุมัติไว้อย่างต่อเนื่อง สอดคล้องกับมาตรฐานการวัดผลฯ และแนวปฏิบัติที่ดีด้านการคุ้มครองข้อมูลส่วนบุคคล

15. ขั้นตอนปฏิบัติ แนวทาง และคำแนะนำเชิงปฏิบัติรองรับ

• บริษัทจะจัดทำ ดูแลรักษา และสื่อสารขั้นตอนปฏิบัติ แนวทาง และคำแนะนำเชิงปฏิบัติรองรับที่เหมาะสม เพื่อให้การนำนโยบายนี้ไปใช้เป็นไปอย่างสม่ำเสมอทั่วทั้งส่วนงานและกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง
• เอกสารรองรับดังกล่าวจะครอบคลุมข้อกำหนดเชิงปฏิบัติที่ใช้บังคับ ได้แก่ การบริหารจัดการความยินยอม การเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคล ประกาศความเป็นส่วนตัว สิทธิของเจ้าของข้อมูล การรับข้อร้องเรียน การจัดการเหตุการณ์ละเมิดข้อมูล การเก็บรักษาและการทำลายข้อมูล ความมั่นคงปลอดภัยสารสนเทศ และการประมวลผลโดยบุคคลที่สาม
• บริษัทจะดูแลให้พนักงาน ผู้รับจ้าง และผู้รับผิดชอบรายอื่นได้รับคำแนะนำและการชี้แนะที่เหมาะสมเกี่ยวกับหน้าที่คุ้มครองข้อมูลของตน
• เอกสารรองรับจะได้รับการทบทวนและปรับปรุงเป็นระยะ หรือเมื่อเกิดการเปลี่ยนแปลงสำคัญในข้อกำหนดทางกฎหมาย กระบวนการทางธุรกิจ เทคโนโลยี หรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคล

16. การปฏิบัติตามและข้อยกเว้น

บุคลากรและผู้เกี่ยวข้องทุกฝ่ายต้องปฏิบัติตามนโยบายนี้ และรายงานกรณีที่สงสัยว่ามีการไม่ปฏิบัติตาม ข้อยกเว้นจากข้อกำหนดภายในต้องจัดทำเป็นลายลักษณ์อักษร ผ่านการประเมินความเสี่ยง มีผู้รับผิดชอบกำกับ กำหนดกรอบเวลา และได้รับอนุมัติจากผู้บริหารที่มีอำนาจ ข้อยกเว้นภายในไม่อาจยกเว้นหรือแทนที่กฎหมายที่ใช้บังคับ ประเด็นสำคัญที่ยังไม่เป็นข้อยุติต้องส่งต่อถึงผู้บริหาร และกรณีเหมาะสม ถึง DPO ที่ได้รับการแต่งตั้งอย่างเป็นทางการ

---

การอนุมัตินโยบาย (Policy Approval): นโยบายฉบับนี้และการแก้ไขสาระสำคัญได้รับอนุมัติจาก CEO หรือผู้ได้รับมอบอำนาจอย่างเป็นทางการ ก่อนมีผลบังคับใช้