ประกาศกรมวิทยาศาสตร์บริการ
เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๖

โดยที่เป็นการสมควรกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) เพื่อให้การเก็บรวบรวม ใช้ เปิดเผย และรักษาข้อมูลส่วนบุคคลของกรมวิทยาศาสตร์บริการ สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมถึงกฎหมายอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

อาศัยอำนาจตามความในมาตรา ๓๒ แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และที่แก้ไขเพิ่มเดิม ประกอบกับมติของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของกรมวิทยาศาสตร์บริการ ในการประชุมครั้งที่ ๓/๒๕๖๖ เมื่อวันที่ ๑๓ กรกฎาคม ๒๕๖๖ จึงให้ยกเลิกประกาศกรมวิทยาศาสตร์บริการ เรื่อง แนวนโยบายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๔ ลงวันที่ ๒๙ มิถุนายน ๒๕๖๔ และประกาศกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) พ.ศ. ๒๕๖๖ ดังต่อไปนี้

ข้อ ๑ หลักการและวัตถุประสงค์

กรมวิทยาศาสตร์บริการ ซึ่งต่อไปในนโยบายนี้เรียกว่า (“กรม”) ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลอื่นอันเกี่ยวกับผู้รับบริการ ผู้มาติดต่อ ผู้ปฏิบัติงาน หรือบุคคลที่เกี่ยวข้องกับการดำเนินงานของกรม เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเชื่อมั่นได้ว่ากรมมีความโปร่งใสและความรับผิดชอบในการเก็บรวบรวม ใช้ เปิดเผย และรักษาข้อมูลส่วนบุคคล ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) รวมถึงกฎหมายอื่นที่เกี่ยวข้อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล (“นโยบาย”) นี้จึงได้ถูกจัดทำขึ้นเพื่อกำหนดหลักเกณฑ์เกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผย และรักษา (รวมเรียกว่า “ประมวลผล”) ข้อมูลส่วนบุคคลซึ่งดำเนินการโดยกรม รวมถึงเจ้าหน้าที่และบุคคลที่เกี่ยวข้องผู้ดำเนินการแทนหรือในนามของกรม เพื่อให้การปฏิบัติงานของกรมเป็นไปตามกฎหมายมาตรฐานสากลในการคุ้มครองข้อมูลส่วนบุคคล อย่างมีประสิทธิภาพและเหมาะสม

ข้อ ๒ ขอบเขตการบังคับใช้

นโยบายฉบับนี้มีขอบเขตการบังคับใช้กับข้อมูลส่วนบุคคลของบุคคลซึ่งมีความสัมพันธ์กับกรมในปัจจุบันและที่อาจมีในอนาคต ซึ่งถูกประมวลผลข้อมูลส่วนบุคคลโดยกรม เจ้าหน้าที่หรือผู้ปฏิบัติงานในกรม คณะบุคคล พนักงานตามสัญญา หน่วยธุรกิจหรือหน่วยงานรูปแบบอื่นที่ดำเนินการโดยกรม และรวมถึงคู่สัญญาหรือบุคคลภายนอกที่ประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของกรม (“ผู้ประมวลผลข้อมูลส่วนบุคคล”) ภายใต้การดำเนินงานและบริการต่าง ๆ เช่น เว็บไซต์ ระบบ แอปพลิเคชัน เอกสาร หรือบริการในรูปแบบอื่นที่ควบคุมดูแลโดยกรม (รวมเรียกว่า “บริการ”)

บุคคลซึ่งมีความสัมพันธ์กับกรมตามความในวรรคแรก หมายความรวมถึง:

• ผู้รับบริการซึ่งเป็นบุคคลธรรมดา
• เจ้าหน้าที่หรือผู้ปฏิบัติงานในกรม
• คู่ค้าและผู้ให้บริการซึ่งเป็นบุคคลธรรมดา
• กรรมการ ที่ปรึกษา ผู้รับมอบอำนาจ ผู้แทน ตัวแทน ผู้ถือหุ้น ลูกจ้าง หรือบุคคลอื่น ที่มีความสัมพันธ์ในรูปแบบเดียวกันของนิติบุคคลที่มีความสัมพันธ์กับกรม
• ผู้เข้าชมหรือใช้งานเว็บไซต์ www.dss.go.th รวมถึงระบบ แอปพลิเคชัน อุปกรณ์ หรือช่องทางการสื่อสารอื่นซึ่งควบคุมดูแลโดยกรม
• บุคคลอื่นที่กรมเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ผู้สมัครงาน ครอบครัวของ ผู้ปฏิบัติงานในกรม ผู้ค้ำประกัน ผู้รับประโยชน์ในนิติกรรม เป็นต้น

นอกจากนโยบายฉบับนี้แล้ว กรมอาจกำหนดให้มีประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ให้เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์และเหตุผลอันชอบด้วยกฎหมายในการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล รวมถึงสิทธิในข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลพึงมีนั้นเป็นการเฉพาะเจาะจง

ทั้งนี้ ในกรณีที่มีความขัดแย้งกันในสาระสำคัญระหว่างความในประกาศเกี่ยวกับความเป็นส่วนตัวและนโยบายนี้ให้ถือตามความในประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของบริการนั้น

ข้อ ๓ คำจำกัดความ

• “กรม” หมายความว่า กรมวิทยาศาสตร์บริการ
• “บุคคล” หมายความว่า บุคคลธรรมดา
• “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
• “ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลที่เป็นเรื่องส่วนตัวโดยแท้ของบุคคล แต่มีความละเอียดอ่อนและสุ่มเสี่ยงต่อการถูกใช้ในการเลือกปฏิบัติอย่างไม่เป็นธรรม (Sensitive Personal Data) ตามที่ถูกบัญญัติไว้ในมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
• “เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลธรรมดาที่ข้อมูลส่วนบุคคลนั้นบ่งชี้ไปถึง และทำให้สามารถระบุตัวบุคคลนั้นได้ (Data Subject) แต่ไม่ใช่บุคคลที่เป็นเจ้าของสิทธิในข้อมูลส่วนบุคคล หรือบุคคลที่เป็นผู้สร้างหรือเก็บรวบรวมข้อมูลส่วนบุคคลนั้น และให้หมายความรวมถึงบุคคลดังต่อไปนี้ด้วย
  • ผู้แทนโดยชอบธรรมหรือศาลในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์
  • ผู้พิทักษ์ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ
  • ผู้อนุบาลในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ
• “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า กรม หรือบุคคล หรือคณะบุคคล หรือ นิติบุคคลอื่น ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผย และรักษาข้อมูลส่วนบุคคล (Data Controller)
• “การประมวลผลข้อมูลส่วนบุคคล” หมายความว่า การดำเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น เก็บรวบรวม บันทึก สำเนา จัดระเบียบ เก็บรักษา ปรับปรุง เปลี่ยนแปลง ใช้ กู้คืน เปิดเผย ส่งต่อ เผยแพร่ โอน รวม ลบ ทำลาย เป็นต้น
• “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคล หรือคณะบุคคล หรือ นิติบุคคลอื่น ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกรม (Data Processor)
• “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่ได้รับการแต่งตั้งจากกรม เพื่อให้ปฏิบัติหน้าที่ตามที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (Data Protection Officer: DPO)

ข้อ ๔ วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

กรมดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์หลายประการ ซึ่งขึ้นอยู่กับประเภทของการดำเนินงานหรือบริการหรือกิจกรรมที่เจ้าของข้อมูลส่วนบุคคลใช้บริการ ตลอดจนลักษณะความสัมพันธ์ของเจ้าของข้อมูลส่วนบุคคลกับกรมหรือข้อพิจารณาในแต่ละบริบทเป็นสำคัญ โดยวัตถุประสงค์ที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการใช้ข้อมูลส่วนบุคคลของกรมเป็นการทั่วไป ทั้งนี้ เฉพาะวัตถุประสงค์ที่เกี่ยวข้องกับการดำเนินงานหรือบริการที่เจ้าของข้อมูลส่วนบุคคลใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้กับข้อมูลของเจ้าของข้อมูลส่วนบุคคล

• เพื่อดำเนินการที่จำเป็นตามพันธกิจดังปรากฏในกฎกระทรวงแบ่งส่วนราชการกรมวิทยาศาสตร์บริการ กระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม พ.ศ. ๒๕๖๔ และกฎหมาย กฎ ระเบียบ ประกาศ หรือคำสั่งที่เกี่ยวข้อง หรือการดำเนินงานตามที่กรมได้รับมอบหมายเพื่อประโยชน์สาธารณะให้สำเร็จลุล่วง หรือเป็นการจำเป็นเพื่อใช้อำนาจทางกฎหมายตามที่กรมมีหน้าที่และอำนาจ
• เพื่อดำเนินการตามที่จำเป็นในการบริหารจัดการกรมด้านต่าง ๆ ได้แก่ การบริหารยุทธศาสตร์ การบริหารทรัพยากรบุคคล บัญชี การเงิน ทรัพย์สิน และการงบประมาณ การตรวจสอบ กฎหมาย การบริหารสัญญา การบริหารจัดการความเสี่ยง และธรรมาภิบาลองค์กร
• เพื่อดำเนินธุรกรรมต่าง ๆ ของกรม
• เพื่อให้บริการทางวิชาการและบริการอื่น ๆ แก่เจ้าของข้อมูลส่วนบุคคล รวมถึงบริหารจัดการบริการของกรมภายใต้สัญญา ข้อตกลง คำรับรองหรือตามพันธกิจของกรม
• จัดเตรียมเอกสารทางประวัติศาสตร์เพื่อประโยชน์สาธารณะ การค้นคว้า หรือจัดทำสถิติที่กรมได้รับมอบหมายให้ดำเนินการ
• เพื่อดำเนินการตามที่จำเป็นเพื่อปฏิบัติตามหน้าที่ที่กรมมีต่อหน่วยงานที่มีอำนาจกำกับดูแล ควบคุมหรือตรวจสอบกรม รวมถึงหน่วยงานด้านภาษีอากร เพื่อการบังคับใช้กฎหมาย หรือภาระผูกพันตามกฎหมายของกรม
• เพื่อดำเนินการตามที่จำเป็นเพื่อประโยชน์ที่ชอบด้วยกฎหมายของกรม หรือของบุคคลอื่น หรือของนิติบุคคลอื่นที่เกี่ยวข้องกับการดำเนินการของกรม
• เพื่อควบคุมดูแล ใช้งาน ติดตาม ตรวจสอบและบริหารจัดการบริการเพื่ออำนวยความสะดวกในด้านต่าง ๆ ซึ่งสอดคล้องกับความต้องการของเจ้าของข้อมูลส่วนบุคคล
• เพื่อเก็บรักษาและปรับปรุงข้อมูลอันเกี่ยวกับเจ้าของข้อมูลส่วนบุคคล รวมทั้งเอกสารที่มีการกล่าวอ้างถึงเจ้าของข้อมูลส่วนบุคคล
• เพื่อจัดทำบันทึกรายการการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
• เพื่อยืนยันตัวตน พิสูจน์ตัวตนและตรวจสอบข้อมูล เมื่อเจ้าของข้อมูลส่วนบุคคลใช้บริการหรือติดต่อประสานงานกับกรม หรือใช้สิทธิตามกฎหมาย
• เพื่อวิเคราะห์ข้อมูล แก้ไขปัญหาที่เกี่ยวข้องกับการดำเนินงาน รวมถึงปรับปรุงและพัฒนาคุณภาพการดำเนินงานและบริการของกรมให้ทันสมัย
• เพื่อส่งการแจ้งเตือน การยืนยันการทำคำสั่ง ติดต่อสื่อสารและแจ้งข่าวสารไปยังเจ้าของข้อมูลส่วนบุคคล
• เพื่อจัดทำและส่งมอบเอกสารหรือข้อมูลที่มีความเกี่ยวข้องและจำเป็น
• เพื่อยืนยันตัวตน ป้องกันการสแปม หรือการกระทำที่ไม่ได้รับอนุญาต หรือผิดกฎหมาย
• เพื่อตรวจสอบการเข้าถึงและการใช้บริการของกรมทั้งในภาพรวมและรายบุคคล รวมถึงเพื่อวัตถุประสงค์ที่เกี่ยวกับการค้นคว้าและการวิเคราะห์
• เพื่อป้องกัน หรือหยุดยั้งอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งรวมถึงการเฝ้าระวังโรคระบาดและโรคอุบัติใหม่
• เพื่อป้องกัน ตรวจจับ หลีกเลี่ยง และตรวจสอบการฉ้อโกง การละเมิดความปลอดภัย การกระทำที่ต้องห้ามหรือผิดกฎหมาย ซึ่งอาจก่อให้เกิดความเสียหายต่อทั้งกรมและเจ้าของข้อมูลส่วนบุคคล
• เพื่อปฏิบัติตามกฎหมาย ประกาศ คำสั่ง ดำเนินการทางกฎหมายหรือคดีความ การดำเนินการตามหมายหรือคำสั่งศาล รวมถึงการใช้สิทธิเกี่ยวกับข้อมูลของเจ้าของข้อมูลส่วนบุคคล

ข้อ ๕ การเก็บรวบรวมข้อมูลส่วนบุคคล

กรมจะเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ข้อมูลเฉพาะตัวบุคคล ข้อมูลเกี่ยวกับคุณลักษณะของบุคคล ข้อมูลทางการเงิน ข้อมูลสำหรับการติดต่อ ข้อมูลเกี่ยวกับการทำงานและการศึกษา ข้อมูลเกี่ยวกับความสัมพันธ์ทางสังคม ข้อมูลเกี่ยวกับการใช้บริการของกรม ข้อมูลส่วนบุคคลที่มีความอ่อนไหว โดยมีแหล่งที่มา และหลักการในการเก็บรวบรวมข้อมูลส่วนบุคคล ดังต่อไปนี้

๕.๑ แหล่งที่มาของข้อมูลส่วนบุคคล

โดยทั่วไปแล้วกรมจะเก็บรวบรวมหรือได้มาซึ่งข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลโดยการขอข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่อย่างไรก็ตามอาจมีบางกรณีที่กรมเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลมาจากแหล่งอื่นเพื่อให้บรรลุวัตถุประสงค์ในการดำเนินงานหรือบริการดังกล่าวข้างต้น ดังต่อไปนี้

• ข้อมูลส่วนบุคคลที่กรมเก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลอันเกิดจากความสมัครใจของเจ้าของข้อมูลในการทำแบบสอบถาม (survey) หรือการโต้ตอบทาง email หรือช่องทางการสื่อสารอื่น ๆ ระหว่างกรมและเจ้าของข้อมูลส่วนบุคคล
• ข้อมูลส่วนบุคคลที่กรมเก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลโดยตรงในช่องทางให้บริการต่าง ๆ เช่น ขั้นตอนการสมัคร ลงทะเบียน สมัครงาน ลงนามในสัญญา ข้อตกลง คำรับรอง เอกสาร ทำแบบสำรวจหรือใช้งานบริการ หรือช่องทางให้บริการอื่นที่ควบคุมดูแลโดยกรม หรือเมื่อเจ้าของข้อมูลส่วนบุคคลติดต่อสื่อสารกับกรม ณ ที่ทำการหรือผ่านช่องทางติดต่ออื่นที่ควบคุมดูแลโดยกรม เป็นต้น
• ข้อมูลที่กรมเก็บรวบรวมจากการที่เจ้าของข้อมูลส่วนบุคคลเข้าใช้งาน เว็บไซต์ หรือบริการอื่น ๆ ตามสัญญา ข้อตกลง คำรับรอง หรือตามพันธกิจ เช่น การติดตามพฤติกรรมการใช้งานเว็บไซต์ หรือบริการของกรมด้วยการใช้คุกกี้ (Cookies) หรือจากซอฟต์แวร์บนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น
• ข้อมูลส่วนบุคคลที่กรมเก็บรวบรวมจากแหล่งอื่นนอกจากเจ้าของข้อมูลส่วนบุคคล โดยที่แหล่งข้อมูลดังกล่าวมีหน้าที่และอำนาจ มีเหตุผลที่ชอบด้วยกฎหมาย หรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วในการเปิดเผยข้อมูลแก่กรม เช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ในการเชื่อมโยงบริการดิจิทัลของหน่วยงานของรัฐในการให้บริการเพื่อประโยชน์สาธารณะแบบเบ็ดเสร็จแก่เจ้าของข้อมูลส่วนบุคคลเอง การรับข้อมูลส่วนบุคคลจากหน่วยงานของรัฐแห่งอื่น รวมถึงจากความจำเป็นเพื่อให้ บริการตามสัญญาที่อาจมีการแลกเปลี่ยนข้อมูลส่วนบุคคลกับหน่วยงานคู่สัญญาได้

นอกจากนี้ ยังหมายความรวมถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลภายนอกแก่กรม ดังนี้ เจ้าของข้อมูลส่วนบุคคลมีหน้าที่รับผิดชอบในการแจ้งรายละเอียดตามนโยบายนี้หรือประกาศของการดำเนินงานหรือบริการ ตามแต่กรณี ให้บุคคลดังกล่าวทราบ ตลอดจนขอความยินยอมจากบุคคลนั้นหากเป็นกรณีที่ต้องได้รับความยินยอมในการเปิดเผยข้อมูลแก่กรม

ทั้งนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลที่มีความจำเป็นในการดำเนินงานหรือให้บริการของกรมอาจเป็นผลให้กรมไม่สามารถดำเนินงานหรือให้บริการนั้นแก่เจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ทั้งหมดหรือบางส่วน

๕.๒ หลักการในการเก็บรวบรวมข้อมูลส่วนบุคคล

๕.๒.๑ กรมจะเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์ในการดำเนินงานหรือบริการตามข้อ ๔ ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลเท่านั้น โดยกรมจะขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อน หรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่ในกรณีดังต่อไปนี้ กรมสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องขอความยินยอม:

• เป็นการจำเป็นเพื่อปฏิบัติหน้าที่ในการดำเนินภารกิจ เพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบหมายให้แก่กรม
• เพื่อการปฏิบัติหน้าที่ตามกฎหมาย
• เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของกรม หรือของบุคคล หรือนิติบุคคลอื่น เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
• เป็นการจำเป็นเพื่อการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
• เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา
• เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะหรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ โดยกรมจะจัดให้มีมาตรการป้องกันที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

ในกรณีที่กรมมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลเพื่อการปฏิบัติตามสัญญา ข้อตกลง หรือคำรับรอง การปฏิบัติหน้าที่ตามกฎหมายหรือเพื่อความจำเป็นในการเข้าทำสัญญา ข้อตกลง หรือคำรับรอง หากเจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลส่วนบุคคล หรือคัดค้านการดำเนินการประมวลผลตามวัตถุประสงค์ของกิจกรรม อาจมีผลทำให้กรมไม่สามารถดำเนินการหรือให้บริการตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอได้ทั้งหมดหรือบางส่วน

๕.๒.๒ การเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว กรมจะขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหวในลักษณะดังกล่าว ตามหลักเกณฑ์ที่กรมกำหนด โดยไม่ขัดต่อกฎหมาย

๕.๒.๓ การเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถ กรมได้คำนึงถึงการคุ้มครองข้อมูลส่วนบุคคลของบุคคลดังกล่าว ตามหลักเกณฑ์ที่กรมกำหนด โดยไม่ขัดต่อกฎหมาย

ข้อ ๖ การใช้และการเปิดเผยข้อมูลส่วนบุคคล

การใช้และการเปิดเผยข้อมูลส่วนบุคคลของกรมมีวัตถุประสงค์และหลักการดำเนินการที่สอดคล้องตามข้อ ๕.๒ โดยกรมอาจเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นอย่างจำกัด ให้แก่หน่วยงานหรือบุคคลภายนอก เช่น:

• หน่วยงานของรัฐซึ่งมีอำนาจหน้าที่ตามกฎหมาย หรือเป็นไปตามคำสั่งของหน่วยงานของรัฐ เช่น สำนักงานป้องกันและปราบปรามการฟอกเงิน สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ สำนักงานคณะกรรมการป้องกันและปราบปรามยาเสพติด สำนักงานประกันสังคม กรมสรรพากร กรมบังคับคดี สำนักงานตำรวจแห่งชาติ ศาล และหน่วยงานหรือบุคคลใด ๆ ตามที่กฎหมายหรือระเบียบที่เกี่ยวข้องกำหนด
• คณะกรรมการต่าง ๆ ที่เกี่ยวข้องกับการดำเนินการตามกฎหมาย หรือในการดำเนินภารกิจของกรม
• คู่สัญญา หรือคู่ความร่วมมือของกรม
• ผู้รับข้อมูลประเภทอื่น ที่จำเป็นเพื่อการดำเนินการเกี่ยวกับการดำเนินงานหรือบริการของกรม โดยไม่ขัดต่อกฎหมาย

ข้อ ๗ ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

กรมจะเก็บรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไว้ในระยะเวลาเท่าที่ข้อมูลนั้นยังมีความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลเท่านั้น ตามรายละเอียดที่ได้กำหนดไว้ในนโยบาย ประกาศหรือตามกฎหมายที่เกี่ยวข้อง

ทั้งนี้ เมื่อพ้นระยะเวลาและข้อมูลส่วนบุคคลสิ้นความจำเป็นตามวัตถุประสงค์ดังกล่าวแล้ว กรมจะทำการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามรูปแบบและมาตรฐานการลบทำลายข้อมูลส่วนบุคคลที่คณะกรรมการหรือกฎหมายจะได้ประกาศกำหนดหรือตามมาตรฐานสากล อย่างไรก็ดี ในกรณีที่มีข้อพิพาทการใช้สิทธิหรือคดีความอันเกี่ยวข้องกับข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล กรมขอสงวนสิทธิในการเก็บรักษาข้อมูลนั้นต่อไปจนกว่าข้อพิพาทนั้นจะได้มีคำสั่งหรือคำพิพากษาถึงที่สุด

ข้อ ๘ การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่กรมมีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ กรมจะดำเนินการเพื่อให้มั่นใจว่าประเทศปลายทางดังกล่าวมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ อย่างไรก็ดี ในกรณีที่ประเทศปลายทางไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ การส่งหรือโอนข้อมูลส่วนบุคคลดังกล่าว จะเป็นไปตามข้อยกเว้นตามหลักเกณฑ์ที่กรมกำหนดโดยไม่ขัดต่อกฎหมาย

ข้อ ๙ การให้บริการโดยบุคคลที่สามหรือผู้ให้บริการช่วง

กรมอาจมีการมอบหมายหรือจัดซื้อจัดจ้างบุคคลที่สาม (ผู้ประมวลผลข้อมูลส่วนบุคคล) ให้ทำการประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของกรม ซึ่งบุคคลที่สามดังกล่าวอาจเสนอบริการในลักษณะต่าง ๆ เช่น การเป็นผู้ดูแล (Hosting) รับงานบริการช่วง (Outsourcing) หรือเป็นผู้ให้บริการคลาวด์ (Cloud computing service/provider) หรือเป็นงานในลักษณะเดียวกันกับการจ้างทำของ

การมอบหมายให้บุคคลที่สามทำการประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลนั้น กรมจะจัดให้มีข้อตกลงระบุสิทธิและหน้าที่ของกรมในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและของบุคคลที่กรมมอบหมายในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงกำหนดรายละเอียดประเภทข้อมูลส่วนบุคคลที่กรมมอบหมายให้ประมวลผล รวมถึงวัตถุประสงค์ ขอบเขตในการประมวลผลข้อมูลส่วนบุคคล และข้อตกลงอื่น ๆ ที่เกี่ยวข้อง ซึ่งผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ประมวลผลข้อมูลส่วนบุคคลตามขอบเขตที่ระบุในข้อตกลงและตามคำสั่งของกรมเท่านั้น โดยไม่สามารถประมวลผลเพื่อวัตถุประสงค์อื่นได้

ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลมีการมอบหมายผู้ให้บริการช่วง (ผู้ประมวลผลช่วง) เพื่อทำการประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของผู้ประมวลผลข้อมูลส่วนบุคคล กรมจะกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีข้อตกลงระหว่างผู้ประมวลผลข้อมูลส่วนบุคคลกับผู้ประมวลผลช่วง ในรูปแบบและมาตรฐานที่ไม่ต่ำกว่าข้อตกลงระหว่างกรมกับผู้ประมวลผลข้อมูลส่วนบุคคล

ข้อ ๑๐ การเชื่อมต่อเว็บไซต์หรือบริการภายนอก

การดำเนินงานหรือบริการของกรมอาจมีการเชื่อมต่อไปยังเว็บไซต์หรือบริการของบุคคลที่สาม ซึ่งเว็บไซต์หรือบริการดังกล่าวอาจมีการประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่มีเนื้อหาสาระแตกต่างจากนโยบายนี้ กรมขอแนะนำให้เจ้าของข้อมูลส่วนบุคคลศึกษานโยบายการคุ้มครองข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการนั้น ๆ เพื่อทราบในรายละเอียดก่อนการเข้าใช้งาน ทั้งนี้ กรมไม่มีความเกี่ยวข้อง และไม่มีอำนาจควบคุมถึงมาตรการคุ้มครองข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการดังกล่าว และไม่สามารถรับผิดชอบต่อเนื้อหา นโยบาย ความเสียหาย หรือการกระทำอันเกิดจากเว็บไซต์หรือบริการของบุคคลที่สาม

ข้อ ๑๑ สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิ ดังต่อไปนี้

• สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (Right to Access) เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของตนเอง โดยสามารถแจ้งให้กรมทำสำเนาข้อมูลส่วนบุคคลดังกล่าว รวมถึงมีสิทธิให้กรมเปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม
• สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (Right to Rectification) เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการขอให้กรมแก้ไขข้อมูลที่ไม่ถูกต้อง ไม่เป็นปัจจุบัน ข้อมูลที่อาจก่อให้เกิดความเข้าใจผิด หรือเพิ่มเติมข้อมูลที่ไม่สมบูรณ์
• สิทธิในการโอนย้ายข้อมูลส่วนบุคคล (Right to Data Portability) เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนจากกรม ขอให้กรมส่งหรือโอนข้อมูลส่วนบุคคลดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่น และขอรับข้อมูลส่วนบุคคลที่กรมส่งหรือโอนไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่น
• สิทธิในการเพิกถอนความยินยอม (Right to Withdraw Consent) เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ตนได้ให้ความยินยอมกับกรม ได้ตลอดระยะเวลา อย่างไรก็ดี การเพิกถอนความยินยอมจะไม่ส่งผลกระทบต่อการประมวลผลข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบด้วยกฎหมาย
• สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (Right to Object) เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล ในกรณีที่กรมประมวลผลข้อมูลส่วนบุคคล เพื่อประโยชน์โดยชอบด้วยกฎหมายของกรมหรือของบุคคลหรือนิติบุคคลอื่น เพื่อปฏิบัติหน้าที่ เพื่อประโยชน์สาธารณะหรือใช้อำนาจรัฐของกรม เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง หรือเพื่อการวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ
• สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (Right to Restriction of Processing) เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคลได้ในระหว่างรอการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลตามที่ได้ร้องขอให้แก้ไขข้อมูลดังกล่าวให้ถูกต้อง หรือขอให้ระงับการใช้แทนการลบข้อมูลส่วนบุคคลหรือในระหว่างการพิสูจน์ของกรม เพื่อปฏิเสธการใช้สิทธิคัดค้านของเจ้าของข้อมูลส่วนบุคคล
• สิทธิในการลบข้อมูลส่วนบุคคล (Right to Erasure) เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้กรมลบ หรือทำลายข้อมูลส่วนบุคคลของตน หากพบว่าไม่มีความจำเป็นที่จะเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือในกรณีที่เจ้าของข้อมูลส่วนบุคคลถอนความยินยอมแล้วและกรมไม่มีอำนาจที่จะประมวลผลข้อมูลส่วนบุคคลนั้นต่อไป หรือในกรณีที่เจ้าของข้อมูลส่วนบุคคลได้ใช้สิทธิคัดค้านการประมวลผลข้อมูลส่วนบุคคลและกรมไม่สามารถอ้างเหตุปฏิเสธการคัดค้านได้ หรือในกรณีที่การประมวลข้อมูลส่วนบุคคลดังกล่าวไม่ชอบด้วยกฎหมาย

อย่างไรก็ดี กรมอาจปฏิเสธการใช้สิทธิดังกล่าวข้างต้นของเจ้าของข้อมูลส่วนบุคคลได้ ตามหลักเกณฑ์ที่กรมกำหนด โดยไม่ขัดต่อกฎหมาย

การใช้สิทธิต่าง ๆ ที่กล่าวมานั้น หากเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ที่มีอายุไม่เกิน ๑๐ ปี หรือเป็นคนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ การใช้สิทธิดังกล่าวจะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครอง ผู้อนุบาล หรือผู้พิทักษ์ ที่มีอำนาจกระทำการแทนผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ แล้วแต่กรณี

กรมจะจัดให้มีช่องทางเพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อมายังกรม เพื่อดำเนินการยื่นคำร้องขอดำเนินการตามสิทธิข้างต้นได้ ในกรณีที่กรมปฏิเสธคำร้องขอข้างต้น กรมจะต้องแจ้งเหตุผลของการปฏิเสธให้เจ้าของข้อมูลส่วนบุคคลทราบ

ข้อ ๑๒ การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

กรมจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม เพื่อป้องกันการสูญหาย การเข้าถึง การใช้ การเปลี่ยนแปลง การแก้ไข หรือการเปิดเผยข้อมูลส่วนบุคคล โดยไม่มีอำนาจ หรือโดยขัดต่อกฎหมาย ซึ่งสอดคล้องกับนโยบายและวิธีปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศของกรม

ในกรณีที่กรมให้หน่วยงานหรือบุคคลภายนอกดำเนินการเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลแทนกรม เช่น การวิเคราะห์เชิงสถิติ กรมจะกำหนดให้หน่วยงานหรือบุคคลภายนอกดังกล่าวเก็บรักษาข้อมูลส่วนบุคคลไว้เป็นความลับ และรักษาความปลอดภัยของข้อมูลส่วนบุคคลดังกล่าว รวมถึงป้องกันมิให้นำข้อมูลส่วนบุคคลไปเก็บรวบรวม ใช้ หรือเปิดเผยเพื่อการอื่นใด โดยไม่มีอำนาจ หรือโดยขัดต่อกฎหมาย

ข้อ ๑๓ การทบทวนปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคล

กรมอาจพิจารณาทบทวนและปรับปรุงนโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ตามที่เห็นสมควร และจะทำการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบผ่านช่องทางเว็บไซต์ของกรม https://www.dss.go.th/pdpa/ โดยมีวันที่มีผลบังคับใช้ของแต่ละฉบับแก้ไขกำกับอยู่ อย่างไรก็ดีกรมขอแนะนำให้เจ้าของข้อมูลส่วนบุคคลโปรดตรวจสอบเพื่อรับทราบนโยบายฉบับใหม่อย่างสม่ำเสมอผ่านเว็บไซต์ของกรมข้างต้น หรือแอปพลิเคชัน หรือช่องทางเฉพาะกิจกรรมที่กรมดำเนินการ โดยเฉพาะก่อนที่เจ้าของข้อมูลส่วนบุคคลจะทำการเปิดเผยข้อมูลส่วนบุคคลแก่กรม

การเข้าใช้งานบริการของกรมภายหลังการบังคับใช้นโยบายใหม่ ถือเป็นการรับทราบตามข้อตกลงในนโยบายใหม่แล้ว ทั้งนี้ โปรดหยุดการเข้าใช้งานหากเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับรายละเอียดในนโยบายฉบับนี้และโปรดติดต่อมายังกรมเพื่อชี้แจงข้อเท็จจริงต่อไป

ข้อ ๑๔ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

กรมได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อทำหน้าที่ตรวจสอบ กำกับและให้คำแนะนำในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึงการประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อ ๑๕ การร้องเรียนต่อหน่วยงานผู้มีอำนาจกำกับดูแล

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลพบว่ากรมมิได้ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนไปยังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือหน่วยงานที่มีอำนาจกำกับดูแลที่ได้รับการแต่งตั้งโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือตามกฎหมาย ทั้งนี้ ก่อนการร้องเรียนดังกล่าว กรมขอให้เจ้าของข้อมูลส่วนบุคคลโปรดติดต่อมายังกรม เพื่อให้กรมมีโอกาสได้รับทราบข้อเท็จจริงและได้ชี้แจงในประเด็นต่าง ๆ รวมถึงจัดการแก้ไขข้อกังวลของเจ้าของข้อมูลส่วนบุคคลก่อนในโอกาสแรก

ข้อ ๑๖ ช่องทางการติดต่อสอบถามหรือใช้สิทธิ

หากท่านมีข้อสงสัย ข้อเสนอแนะหรือข้อกังวลเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลของกรม หรือเกี่ยวกับนโยบายนี้ หรือท่านต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อสอบถามได้ที่

ประกาศ ณ วันที่ ๒๘ กันยายน พ.ศ. ๒๕๖๖

(นายปฐม สวรรค์ปัญญาเลิศ)

อธิบดีกรมวิทยาศาสตร์บริการ