นโยบายการคุ้มครองข้อมูลส่วนบุคคล

ด้วยมหาวิทยาลัยเทคโนโลยีมหานครเป็นสถาบันอุดมศึกษาเอกชนที่มีภารกิจด้านการผลิตบัณฑิต การวิจัย การบริการวิชาการแก่สังคม และการทำนุบำรุงศิลปะและวัฒนธรรมของชาติ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของคณาจารย์ เจ้าหน้าที่ นักศึกษา ผู้ปกครองของนักศึกษา ตลอดจนผู้ที่มีหน้าที่เกี่ยวข้อง จึงเป็นสิ่งจำเป็นสำหรับการดำเนินกิจการตามภารกิจดังกล่าวให้สำเร็จลุล่วงไปได้ ดังนั้น เพื่อให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่ดำเนินการโดยมหาวิทยาลัยฯ สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
อาศัยอำนาจตามความในมาตรา ๔๓ แห่งพระราชบัญญัติสถาบันอุดมศึกษาเอกชน พ.ศ. ๒๕๔๖ แก้ไขเพิ่มเติม (ฉบับที่ ๒) พ.ศ. ๒๕๕๐ จึงกำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

ข้อ  ๑  ประกาศนี้เรียกว่า “ประกาศมหาวิทยาลัยเทคโนโลยีมหานคร เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕”

ข้อ  ๒  ประกาศนี้ให้ใช้บังคับนับตั้งแต่วันที่ประกาศเป็นต้นไป

ข้อ  ๓  ในประกาศนี้

“มหาวิทยาลัย” หมายความว่า มหาวิทยาลัยเทคโนโลยีมหานคร

“อธิการบดี” หมายความว่า อธิการบดีมหาวิทยาลัยเทคโนโลยีมหานคร

“ผู้บริหารหน่วยงาน” หมายความว่า ผู้ปฏิบัติงานในตำแหน่งที่มีอำนาจหน้าที่ในการบริหารหน่วยงานต่าง ๆ ภายในมหาวิทยาลัยเทคโนโลยีมหานคร

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลใด ๆ ที่เกี่ยวกับบุคคลที่ทำให้สามารถระบุตัวตนบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ไม่ว่าประเภทใดก็ตาม เช่น อักขระ ภาพนิ่ง ภาพเคลื่อนไหว วีดิทัศน์ หรือเสียง โดยสามารถสื่อสารออกมาในสื่อที่เป็นรูปแบบใดก็ได้ เช่น สื่อที่เป็นกระดาษ หรือสื่ออิเล็กทรอนิกส์

“เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลธรรมดาผู้มีสิทธิและหน้าที่ตามกฎหมาย ซึ่งข้อมูลส่วนบุคคลนั้นบ่งชี้ไปถึงบุคคลดังกล่าวได้ไม่ว่าทางตรงหรือทางอ้อม ได้แก่ คณาจารย์ เจ้าหน้าที่ นักศึกษา ผู้ปกครองของนักศึกษา ตลอดจนผู้เกี่ยวข้องกับการดำเนินกิจการของมหาวิทยาลัยเทคโนโลยีมหานคร

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า มหาวิทยาลัยเทคโนโลยีมหานครในฐานะที่เป็นผู้มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า ผู้ปฏิบัติงานของมหาวิทยาลัยเทคโนโลยีมหานคร ซึ่งได้รับมอบหมายจากผู้บริหารหน่วยงาน และจากมหาวิทยาลัยเทคโนโลยีมหานคร ให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของมหาวิทยาลัยเทคโนโลยีมหานคร

“ข้อมูลส่วนบุคคลประเภททั่วไป (Normal Personal Data)” หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับ ชื่อ นามสกุล หมายเลขประจำตัวประชาชน หมายเลขโทรศัพท์ ที่อยู่ รวมทั้งที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) คุกกี้ (Cookie) รหัสระบุเอกลักษณ์อุปกรณ์ (Device ID หรือ IMEI) ชื่อผู้ใช้งาน (user name) และรหัสผ่าน (password) ที่สามารถเชื่อมต่อเครื่องคอมพิวเตอร์แม่ข่าย (Server) ได้แม้ไม่เปิดเผยชื่อ-นามสกุลผู้ใช้เลยก็ตาม

“ข้อมูลส่วนบุคคลประเภทอ่อนไหว (Sensitive Personal Data)” หมายความว่า ข้อมูลเกี่ยวกับบุคคลที่โดยสภาพมีความละเอียดอ่อน และสามารถก่อให้เกิดความเสี่ยงต่อสิทธิเสรีภาพหรืออาจถูกใช้ในการเลือกปฏิบัติอย่างไม่เป็นธรรมต่อเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบด้วยข้อมูลส่วนบุคคลเกี่ยวกับ เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดที่มีลักษณะเดียวกัน

“ข้อมูลส่วนบุคคลจากกล้องวงจรปิด” หมายความว่า ภาพนิ่ง ภาพเคลื่อนไหว วีดิทัศน์ เสียง หรือภาพทรัพย์สิน ที่มหาวิทยาลัยเทคโนโลยีมหานครได้บันทึกไว้จากการติดตั้งกล้องวงจรปิดทั่วทั้งมหาวิทยาลัยเทคโนโลยีมหานคร เพื่อรักษาความปลอดภัยต่อชีวิต สุขภาพ และทรัพย์สินของมหาวิทยาลัยเทคโนโลยีมหานคร คณาจารย์ เจ้าหน้าที่ นักศึกษา ผู้ปกครองของนักศึกษา ตลอดจนผู้ที่เข้ามาในบริเวณมหาวิทยาลัยเทคโนโลยีมหานคร โดยการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลจากกล้องวงจรปิด จะกระทำเพื่อประโยชน์โดยชอบด้วยกฎหมาย โดยคำนึงถึงสิทธิขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคลเป็นสำคัญ

ข้อ  ๔  นโยบายของมหาวิทยาลัยในการคุ้มครองข้อมูลส่วนบุคคล 

1. การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ต้องดำเนินการภายใต้ขอบเขตที่กฎหมายกำหนด และเท่าที่จำเป็นเพื่อวัตถุประสงค์ในการดำเนินกิจการตามภารกิจของมหาวิทยาลัย
2. มหาวิทยาลัยจะจัดทำระบบเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยคำนึงถึงความเป็นส่วนตัวของเจ้าของข้อมูลส่วนบุคคล และสอดคล้องกับกฎหมายที่เกี่ยวข้อง
3. มหาวิทยาลัยจะจัดให้มีระบบรักษาความมั่นคงปลอดภัยในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลภายใต้มาตรฐานที่กฎหมายกำหนด 
4. มหาวิทยาลัยจะจำกัดการเข้าถึงข้อมูลส่วนบุคคลที่เป็นความลับตามข้อ ๖ (๒) และ (๔)
5. มหาวิทยาลัยจะแต่งตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยให้มีอำนาจหน้าที่ในการกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามประกาศฉบับนี้ รวมถึงเสนอความเห็นหรือปฏิบัติหน้าที่อื่นใดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามที่อธิการบดีมอบหมาย

ข้อ  ๕  หลักปฏิบัติในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

1. มหาวิทยาลัยจะเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เท่าที่จำเป็น เพื่อประโยชน์ในการดำเนินกิจการตามภารกิจของมหาวิทยาลัยเท่านั้น และจัดเก็บโดยมีการป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตและชอบด้วยกฎหมาย รวมถึงดำเนินการปรับปรุงหรือแก้ไขข้อมูลส่วนบุคคลให้มีความถูกต้อง สมบูรณ์ และเป็นปัจจุบันตามที่ได้รับแจ้งจากเจ้าของข้อมูลส่วนบุคคล
2. การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคล ต้องดำเนินการตามกฎหมายหรือตามขอบเขตหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล ตามที่ระบุไว้เท่านั้น
3. มหาวิทยาลัยจะเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็น ตามวัตถุประสงค์การใช้งานของมหาวิทยาลัยและเป็นไปตามกรอบระยะเวลาที่กฎหมายกำหนด

ข้อ  ๖  ประเภทของข้อมูลส่วนบุคคล

1. ข้อมูลส่วนบุคคลประเภททั่วไป (normal personal data)
2. ข้อมูลส่วนบุคคลประเภทอ่อนไหว (sensitive personal data)
3. ข้อมูลส่วนบุคคลจากกล้องวงจรปิด
4. ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการกระทำความผิดกฎหมาย ไม่ว่าจะเป็นความผิดในทางแพ่งหรือทางอาญาหรือกฎหมายอื่นใด มหาวิทยาลัยมีสิทธิเก็บรวบรวม ใช้ และเปิดเผยข้อมูลการกระทำความผิดกฎหมายของเจ้าของข้อมูลส่วนบุคคลได้ตามขอบเขตที่กฎหมายกำหนด

มหาวิทยาลัยอาจร้องขอข้อมูลส่วนบุคคลตามวรรคแรกเพิ่มเติมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้มหาวิทยาลัยสามารถดำเนินการใด ๆ ที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคลได้

ข้อ  ๗  มหาวิทยาลัยจะไม่เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่กรณีที่เป็นการปฏิบัติตามกฎหมาย หรือเพื่อประโยชน์สาธารณะ เพื่อการปฏิบัติตามสัญญา เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เพื่อวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์ หรือจดหมายเหตุ หรือการศึกษาวิจัย และเพื่อประโยชน์โดยชอบด้วยกฎหมายในการดำเนินกิจการของมหาวิทยาลัย

ข้อ  ๘  ความยินยอมของเจ้าของข้อมูลส่วนบุคคล 

เจ้าของข้อมูลส่วนบุคคลต้องยินยอมให้มหาวิทยาลัย หน่วยงานในเครือ หรือพันธมิตรของมหาวิทยาลัย เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยสมัครใจ ด้วยการจัดทำหลักฐานความยินยอมเป็นลายลักษณ์อักษรหรือโดยทางเอกสารอิเล็กทรอนิกส์ ทั้งนี้ หากเจ้าของข้อมูลส่วนบุคคล ให้ความยินยอมด้วยวาจา มหาวิทยาลัยจะทำการบันทึกภาพและเสียงการให้ความยินยอมดังกล่าวทุกครั้ง

เจ้าของข้อมูลส่วนบุคคลสามารถเพิกถอนความยินยอมได้ โดยการทำคำร้องแจ้งมายังมหาวิทยาลัย การเพิกถอนความยินยอมดังกล่าว จะต้องอยู่ภายใต้เงื่อนไขพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒หรือกฎหมายอื่น ๆ ที่เกี่ยวข้อง รวมถึงนโยบายคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย และหลักเกณฑ์อื่น ๆ ที่มหาวิทยาลัยกำหนด

ข้อ  ๙  เจ้าของข้อมูลส่วนบุคคลมีสิทธิ ดังต่อไปนี้

1. สิทธิที่จะได้รับแจ้งนโยบายการคุ้มครองข้อมูลส่วนบุคคลจากมหาวิทยาลัยโดยไม่ต้องร้องขอ 
2. สิทธิที่จะเข้าถึงข้อมูลส่วนบุคคลของตนเอง และสิทธิที่จะขอรับสำเนาข้อมูลส่วนบุคคลของตนเองในรูปแบบที่มหาวิทยาลัยสามารถให้บริการได้ รวมถึงสิทธิในการขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของตนเองไปยังบุคคลอื่นตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ
3. สิทธิในการแก้ไขข้อมูลส่วนบุคคลของตนเองให้ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน
4. สิทธิในการคัดค้าน หรือระงับ หรือเพิกถอนความยินยอมในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลของตนเอง โดยการถอนความยินยอมนั้นจะต้องไม่ส่งผลกระทบต่อการประมวลผลข้อมูลก่อนหน้านั้น
5. สิทธิในการขอให้ลบ หรือทำลายข้อมูลส่วนบุคคลของตนเองได้ โดยต้องไม่ขัดต่อกฎหมาย และต้องไม่ก่อให้เกิดความเสียหายต่อมหาวิทยาลัย

ทั้งนี้ การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามวรรคแรก จะต้องอยู่ภายใต้เงื่อนไขพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือกฎหมายอื่น ๆ ที่เกี่ยวข้อง รวมถึงนโยบายการคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย และหลักเกณฑ์อื่น ๆ ที่มหาวิทยาลัยกำหนด

ข้อ ๑๐ มหาวิทยาลัยจะจำกัดการเข้าถึง หรือเปิดเผยข้อมูลส่วนบุคคลของคณาจารย์ เจ้าหน้าที่ นักศึกษา ผู้ปกครองของนักศึกษา หรือผู้เกี่ยวข้อง ตามความจำเป็นที่บุคคล นิติบุคคล หรือหน่วยงานภายในมหาวิทยาลัย ต้องเข้าถึงข้อมูลเพื่อปฏิบัติหน้าที่ เพื่อประมวลผลข้อมูลส่วนบุคคล เพื่อการให้บริการ และเพื่อปกป้องส่วนได้เสียของมหาวิทยาลัยเท่านั้น โดยมหาวิทยาลัยจะป้องกันข้อมูลส่วนบุคคลจากการใช้ การเข้าถึง หรือการเปิดเผยข้อมูลจากบุคคล นิติบุคคล หรือหน่วยงานที่ไม่ได้รับอนุญาต

มหาวิทยาลัยอาจให้และหรือเปิดเผยข้อมูลส่วนบุคคลแก่หน่วยงานราชการต่าง ๆ มหาวิทยาลัยอื่นใด หรือหน่วยงานภายนอกใด ๆ เพื่อการดำเนินกิจการของมหาวิทยาลัยตามที่มีผู้ร้องขอภายใต้ข้อกำหนดของกฎหมาย

ข้อ ๑๑ เพื่อเป็นการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้ผู้บริหารหน่วยงานที่มีภารกิจเกี่ยวข้องกับข้อมูลส่วนบุคคลจัดทำแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลระดับหน่วยงาน หรือบันทึกรายการกิจกรรมประมวลผล (Records of Processing Activities: ROPA) ให้สอดคล้องกับประกาศฉบับนี้

กรณีพบการกระทำที่อาจไม่ถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้ผู้บริหารหน่วยงานดำเนินการปรับปรุงให้ถูกต้องตามกฎหมาย และรายงานให้อธิการบดีทราบโดยเร็ว