นโยบายคุ้มครองข้อมูลส่วนบุคคล

บริษัท ที.ไอ.ไอ. จำกัด (สถาบันประกันภัยไทย) ในฐานะสถาบันเพื่อการศึกษา ส่งเสริม พัฒนาความรู้ การประกันชีวิต และการประกันวินาศภัย ทั้งในรูปแบบออนไลน์และออฟไลน์ ซึ่งอาจจัดขึ้น ณ สถานที่ฝึกอบรมของบริษัท หรือ สถานที่ของผู้ว่าจ้างการฝึกอบรม ขอประกาศแจ้งให้ท่านทราบถึง นโยบายคุ้มครองข้อมูลส่วนบุคคล ซึ่งสถาบันให้ความสำคัญและคำนึงถึงความปลอดภัยในการเก็บรวบรวม ใช้ เปิดเผย และรักษาความปลอดภัยของข้อมูลส่วนบุคคลของผู้ฝึกอบรม รวมถึงข้อมูลส่วนบุคคลภายใต้สัญญาว่าจ้างหรือสัญญาให้บริการระหว่างสถาบันกับผู้ว่าจ้าง ผู้ให้บริการ หรือคู่ค้าและพันธมิตรทางธุรกิจ

บริษัทได้ระบุสาระสำคัญในการเก็บรวบรวม ใช้ เปิดเผย และประมวลผลข้อมูลส่วนบุคคล วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล ระยะเวลาในการเก็บ การส่งหรือโอนข้อมูลออกไป มาตรการรักษาความปลอดภัยในข้อมูล ตลอดจนสิทธิของเจ้าของข้อมูลส่วนบุคคล ซึ่งเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยหากท่านเจ้าของข้อมูลส่วนบุคคลประสงค์จะใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามประกาศแจ้งนโยบายฉบับนี้ ท่านสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ตามข้อมูลการติดต่อท้ายประกาศฉบับนี้

คำจำกัดความ

“สถาบัน” หมายถึง บริษัท ที.ไอ.ไอ. จำกัด (สถาบันประกันภัยไทย)

“กฎหมายคุ้มครองข้อมูลส่วนบุคคล” หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กฎกระทรวง ประกาศ ระเบียบ แนวปฏิบัติ หรือข้อแนะนำที่ออกตามความแห่งพระราชบัญญัติดังกล่าว

“ข้อมูลส่วนบุคคล” หรือ “Personal Data” หมายถึง ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ เช่น ชื่อ-นามสกุล หมายเลขบัตรประจำตัวประชาชน หมายเลขบัตรเครดิต เลขบัญชีธนาคาร อีเมล หมายเลขโทรศัพท์ วันเกิดและสถานที่เกิด รูปภาพใบหน้า น้ำหนัก ส่วนสูง เป็นต้น

“ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน” หรือ “Sensitive Data” หมายถึง ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ ข้อมูลชีวมิติ(Biometric) หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในลักษณะที่จะทำให้เกิดการเลือกปฏิบัติหรือมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล ในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

“เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลตามที่กำหนดในนโยบายคุ้มครองข้อมูลส่วนบุคคลนี้”

“ผู้ควบคุมข้อมูลส่วนบุคคล” หรือ “Data Controller” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หรือ “Data Processor” หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (ตัวอย่างของผู้ประมวลผลข้อมูลส่วนบุคคล เช่น คู่สัญญาที่รับจ้างจัดทำระบบการฝึกอบรมแบบออนไลน์หรือ E-Learning วิทยากร รับจ้างจัดทำบัญชี ตรวจสอบบัญชี ทำการตลาด ทำเว็บไซต์ จัดทำระบบ IT และเครื่องมือบริหารจัดการข้อมูลทาง IT สำนักงานทนายความ ที่ปรึกษากฎหมาย เป็นต้น)

“กิจกรรมการประมวลผลข้อมูลส่วนบุคคล” หมายถึง การดำเนินการหรือชุดการดำเนินการใด ๆ ซึ่งกระทำต่อข้อมูลส่วนบุคคลหรือชุดข้อมูลส่วนบุคคล ไม่ว่าจะโดยวิธีการอัตโนมัติหรือไม่ เช่น การเก็บรวบรวม บันทึก จัดระบบ จัดโครงสร้าง เก็บรักษา เปลี่ยนแปลงหรือปรับเปลี่ยน การรับ พิจารณา ใช้ เปิดเผยด้วยวิธีการส่งต่อ เผยแพร่ หรือกระทำการอื่นใดซึ่งทำให้เกิดความพร้อมการใช้งาน การจัดวางหรือผสมเข้าด้วยกัน การจำกัด การลบ หรือการทำลาย หรือการเข้าถึงเข้าดูข้อมูล ซึ่งมีความเกี่ยวข้องกับข้อมูลส่วนบุคคล

“ผู้เข้าอบรม” หมายถึง บุคคลธรรมดาซึ่งเข้ารับการฝึกอบรมหรือสัมมนา ไม่ว่าจะในรูปแบบออนไลน์หรือ ออฟไลน์ หรือ E-learning หรือ เข้าอบรมแบบ Face to face และไม่ว่าจะในสถานที่ที่สถาบันจัดอบรมหรือ ในสถานที่ที่ผู้ว่าจ้างจัดไว้

“บริษัทผู้ว่าจ้างฝึกอบรม”  หมายถึง นิติบุคคลใดๆที่ว่าจ้างให้สถาบัน ดำเนินการจัดฝึกอบรม สัมมนา ให้กับบุคลากรของนิติบุคคลนั้นๆ ไม่ว่าจะในรูปแบบออนไลน์หรือ ออฟไลน์ หรือ E-learning หรือ เข้าอบรมแบบ Face to face และไม่ว่าจะในสถานที่ที่สถาบันจัดอบรมหรือ ในสถานที่ที่ผู้ว่าจ้างจัดไว้

“คู่ค้า” หรือ “ผู้ให้บริการ” หรือ “Vendor” หรือ “Service Provider” หมายถึง คู่สัญญาของสถาบันซึ่งได้ทำนิติกรรมสัญญาต่อกัน ในลักษณะที่คู่ค้า หรือผู้ให้บริการรับจ้างดำเนินการหรือให้บริการอย่างหนึ่งอย่างใดต่อสถาบัน (อาจรวมถึงการพัฒนาระบบอิเล็กทรอนิกส์ ซอฟแวร์ แอปพลิเคชั่นเพื่อรองรับการบริหารจัดการข้อมูล การฝึกอบรมในรูปแบบต่างๆ การขายสินค้า/ผลิตภัณฑ์ ซึ่งอาจมีการให้บริการบำรุงรักษาหรือดูแลระบบหรือสินค้าหลังการขาย) โดยการปฏิบัติตามสัญญามีกระบวนการที่คู่สัญญาต้องเข้าถึงข้อมูลส่วนบุคคล รับ ส่ง หรือทั้งรับและส่ง ซึ่งข้อมูลส่วนบุคคลให้แก่กัน

“คปภ.” หมายถึง สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.)

“พันธมิตรทางธุรกิจ” หมายถึง บุคคลหรือนิติบุคคลที่มีความสัมพันธ์กับสถาบันในลักษณะคู่สัญญาหรือที่มีข้อตกลงกับสถาบันเกี่ยวกับความร่วมมือหรือการพึ่งพาอาศัยในการทำธุรกิจซึ่งกันและกันกับสถาบัน

“บุคคลที่สาม” หมายถึง บุคคลหรือนิติบุคคลภายนอก ซึ่งสถาบันไม่มีสัญญาหรือความผูกพันทางกฎหมายโดยตรง แต่เป็นบุคคลหรือนิติบุคคลฝ่ายที่คู่ค้า ผู้ให้บริการ พันธมิตรทางธุรกิจ ได้ว่าจ้างช่วง หรือได้ร่วมกันดำเนินการอย่างหนึ่งอย่างใด เพื่อรองรับการปฏิบัติตามสัญญา ให้บริการ หรือดำเนินกิจกรรมการประมวลผลใด ๆ ที่เกี่ยวข้องกับสถาบัน

“ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง” หมายถึง เมื่อมีกรณีที่สถาบัน ปฏิบัติหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่ผู้ควบคุมข้อมูลส่วนบุคคลผู้ว่าจ้าง  และสถาบันได้จัดจ้างหรือใช้บริการ ผู้ประมวลผลข้อมูลส่วนบุคคลรายอื่น เพื่อประโยชน์ในการให้บริการแก่ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ว่าจ้างสถาบัน ทั้งนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง อาจเป็นฝ่ายที่สถาบันเป็นผู้ว่าจ้าง หรือ เป็นพันธมิตรทางธุรกิจของสถาบันก็ได้ 

1. ประเภทข้อมูลส่วนบุคคลตามมาตรา 24 และวัตถุประสงค์ในการเก็บรวบรวม

ตาราง 1

2. ประเภทข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 และวัตถุประสงค์ในการเก็บรวบรวม

ตาราง 2

3. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

ตาราง 3

4. หลักการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (การขอความยินยอมสำหรับวัตถุประสงค์ที่ไม่เข้าข้อยกเว้นตามกฎหมาย)

            (1) การขอความยินยอมการเก็บรวบรวมข้อมูลที่ไม่เข้าข้อยกเว้นตามกฎหมาย

            สถาบันมีการใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมไว้เพื่อวัตถุประสงค์อื่นที่ไม่เข้าข้อยกเว้นตามกฎหมายในมาตรา 24 และมาตรา 26 ได้แก่

                   (1.1) วัตถุประสงค์เพื่อนำส่งข่าวสาร แนะนำหลักสูตรการฝึกอบรมต่างๆ เสนอโปรโมชั่น รายการส่งเสริมการขาย แคมเปญใหม่ ๆ และประชาสัมพันธ์คอร์สการอบรมของสถาบันสำหรับผู้ที่เคยเข้าอบรมและลูกค้าบริษัทผู้ว่าจ้างฝึกอบรม            (สำหรับข้อมูลส่วนบุคคลตามมาตรา 24)

                   (1.2) วัตถุประสงค์เพื่อให้พันธมิตรทางธุรกิจหรือคู่ค้า เสนอหลักสูตรการฝึกอบรมต่างๆและโปรโมชั่น รายการส่งเสริมการขายและแคมเปญใหม่ ๆ ที่ร่วมกับสถาบันแก่ผู้ที่เคยเข้าอบรมและลูกค้าบริษัทผู้ว่าจ้างฝึกอบรม (สำหรับข้อมูลส่วนบุคคลตามมาตรา 24)

                   (1.3) วัตถุประสงค์เพื่อป้องกันหรือระงับอันตรายต่อสุขภาพของผู้เข้าอบรม (สำหรับข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามมาตรา 26)

                   (1.4) วัตถุประสงค์เพื่อบันทึกเป็นข้อมูลประกอบการฝึกอบรม กรณีมีการเลื่อนหรือเปลี่ยนแปลงกำหนดการในการฝึกอบรมของผู้อบรม (สำหรับข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามมาตรา 26)

                   (1.5) วัตถุประสงค์เพื่อเป็นหลักฐานประกอบการขอเลื่อนการเข้าสอบตามหลักสูตรต่างๆของสถาบัน (สำหรับข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามมาตรา 26)

                   (1.6) เพื่อวัตถุประสงค์ในการใช้ประชาสัมพันธ์ โดยอาจนำไปจัดทำเป็นสื่อประชาสัมพันธ์ของผู้ควบคุมข้อมูลส่วนบุคคลในรูปแบบต่างๆ

                   (1.7) (กรณีข้อมูลชีวมิติ) เพื่อยืนยันตัวตนของเจ้าของข้อมูลสำหรับการเข้าระบบการอบรมหรือการสอบแบบ Online หรือ E-learning

            (2) การขอความยินยอมกรณีข้อมูลที่เก็บไว้ก่อนกฎหมายบังคับใช้

            สถาบันได้แจ้งข้อมูลการบังคับใช้กฎหมาย และวัตถุประสงค์ที่สถาบันได้เก็บรวบรวมข้อมูลส่วนบุคคลของผู้ที่เคยเข้าอบรมและผู้เข้าอบรมในปัจจุบันตลอดจนคู่ค้า ผู้ให้บริการและพันธมิตรทางธุรกิจบนหน้าเว็บไซต์ของสถาบัน รวมถึงช่องทางบริการเครือข่ายสังคมของสถาบัน (Social Network Service) (ถ้ามี) เพื่อให้ทราบถึงการใช้สิทธิ ดังต่อไปนี้ (ข้อความที่แจ้งจะขึ้นอยู่กับความเหมาะสมและข้อจำกัดของช่องทางในการแจ้ง)

• ข้อมูลส่วนบุคคลของผู้ที่เคยเข้าอบรมและผู้เข้าอบรมในปัจจุบันตลอดจนคู่ค้า ผู้ให้บริการและพันธมิตรทางธุรกิจ ที่สถาบันได้เก็บรวบรวมก่อนวันที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลบังคับใช้ สถาบันจะเก็บรวบรวม ใช้ เปิดเผย ตามวัตถุประสงค์เดิม(เป็นไปตามนโยบายคุ้มครองข้อมูลส่วนบุคคลนี้)
• หากเจ้าของข้อมูลส่วนบุคคล ประสงค์จะใช้สิทธิในการเพิกถอน ระงับหรือคัดค้านการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูล สามารถติดต่อหรือแจ้งเรื่องต่อสถาบัน ผ่านช่องทางที่ระบุไว้ในข้อความส่วนท้ายของประกาศนโยบายนี้ ที่ หรือช่องทางบริการเครือข่ายสังคมของสถาบัน (Social Network Service) (ถ้ามี)

5. การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคล

            สถาบันมีโอกาสได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นซึ่งมิใช่ตัวเจ้าของข้อมูลส่วนบุคคลนั้น ในกรณีที่สถาบันเป็นผู้ประมวลผลข้อมูลส่วนบุคคล โดยได้รับมอบหมายจากบริษัทผู้ว่าจ้าง(ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล) ให้จัดฝึกอบรมให้แก่บุคลากร โดยจะได้รับข้อมูลต่อไปนี้              

     ตาราง 4

หมายเหตุ   หากมีกรณีที่สถาบันได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยไม่เข้าข้อยกเว้นตามกฎหมายในมาตรา 24 และ มาตรา 26 สถาบันจะดำเนินการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายใน 30 (สามสิบ) วันนับจากวันที่ได้รับข้อมูลนั้น

6. การประมวลผลข้อมูลส่วนบุคคล

6.1 กิจกรรมการประมวลผลข้อมูลส่วนบุคคล

สถาบันมีการดำเนินการประมวลผลข้อมูลเองและมีการส่งข้อมูลให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการ ดังต่อไปนี้

ตาราง 5

6.2 การเปิดเผย โอน(ส่ง) ข้อมูลออกไปภายนอกองค์กร

จากกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามตาราง 5 และเพื่อประโยชน์ในการบริหารกิจการของสถาบัน ทำให้สถาบันจำเป็นต้องส่งข้อมูลส่วนบุคคลของผู้เข้าอบรมให้แก่บุคคลหรือนิติบุคคลภายนอก ได้แก่

– หน่วยงานของรัฐ (คปภ.) กรณีที่สถาบันมีหน้าที่เปิดเผยหรือส่งข้อมูลผู้สอบผ่านหลักสูตรตามกฎหมาย เช่น คปภ.

– บริษัทผู้ว่าจ้าง ในกรณีที่สถาบันได้รับการว่าจ้างให้ฝึกอบรมหลักสูตรต่างๆให้แก่บุคลากรของบริษัทผู้ว่าจ้าง

– ผู้ให้บริการระบบ E-learning กรณีที่มีการอบรมแบบ E-learning ซึ่งสถาบันได้เช่าใช้ หรือ ว่าจ้างให้ผู้ให้บริการระบบดังกล่าวบริหารจัดการ การเรียนในระบบ E-learning สำหรับหลักสูตรประกันภัย

– ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง ที่สถาบันได้ว่าจ้างหรือเป็นพันธมิตรร่วมกัน เพื่อประโยชน์ในการให้บริการฝึกอบรม ทดสอบ ให้แก่ลูกค้าหรือผู้ควบคุมข้อมูลส่วนบุคคลที่ว่าจ้างสถาบัน

– ผู้ให้บริการที่ให้บริการด้านการพัฒนาระบบอิเล็กทรอนิกส์และเทคโนโลยีสารสนเทศ ซึ่งเป็นระบบงานภายในซึ่งเกี่ยวข้องกับการเก็บบันทึกและการบริหารจัดการข้อมูลของผู้เข้าอบรม (ถ้ามี)

– คู่ค้า/Vendor/Outsource Agent/พันธมิตรทางธุรกิจ ที่มีสัญญาหรือข้อตกลงระหว่างกันในการว่าจ้างให้ดำเนินการอย่างหนึ่งอย่างใดที่สถาบันจำเป็นต้องส่งข้อมูลส่วนบุคคลของผู้เข้าอบรม เพื่อให้คู่ค้า/Vendor/Outsource Agent/พันธมิตรทางธุรกิจดำเนินการตามหน้าที่หรือพันธกิจตามสัญญาหรือข้อตกลงนั้น

– วิทยากร

– ผู้ตรวจสอบบัญชี ที่ปรึกษา สำนักงานทนายความ ผู้ตรวจสอบภายใน ซึ่งต้องใช้ข้อมูลส่วนบุคคลในการปฏิบัติงานให้แก่สถาบัน 

6.3 การส่ง (โอน) ข้อมูลออกไปยังต่างประเทศ

            สถาบันมีการนำส่งข้อมูลส่วนบุคคลของผู้เข้าอบรม คู่ค้า หรือผู้ให้บริการไปยังต่างประเทศ  ANZIIF (AUSTRALIA) หลักสูตรประกันวินาศภัย

7. ฐานะของสถาบันตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

            สถาบันเป็นผู้ควบคุมข้อมูลส่วนบุคคล ในฐานะที่สถาบัน เป็นผู้จัดหลักสูตรการฝึกอบรมให้แก่บุคคลทั่วไป หรือผู้ที่มีคุณสมบัติในการสอบเพื่อได้รับอนุญาต หรือต่ออายุการได้รับอนุญาตเป็นนายหน้า/ตัวแทนประกันภัย  สถาบันมีการเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลของผู้เข้าอบรม เพื่อประโยชน์ทางธุรกิจและเพื่อการดำเนินการทางการตลาดของสถาบัน และประโยชน์ในการแจ้งข้อเสนอหรือโฆษณาบริการฝึกอบรมที่สถาบันจัดทำขึ้นร่วมกันพันธมิตรทางธุรกิจหรือคู่ค้า  

            สถาบันเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ในกรณีที่สถาบันได้รับการว่าจ้าง จากบริษัทผู้ว่าจ้าง ให้ดำเนินการจัดฝึกอบรมให้พนักงานหรือบุคลากรของบริษัทผู้ว่าจ้าง สถาบันทำหน้าที่เก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล ตามขอบเขตที่ได้รับมอบหมายภายใต้สัญญาว่าจ้างหรือตามคำสั่งของบริษัทผู้ว่าจ้างซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล  

8. หลักการปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลกับพันธมิตรทางธุรกิจหรือคู่ค้า

            8.1 การปฏิบัติกรณีสถาบันเป็นผู้ประมวลผลข้อมูลส่วนบุคคล

 สถาบันมีการกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลของตนเอง และปฏิบัติตามนโยบายที่

เกี่ยวข้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล (รวมถึงมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลและแนวปฏิบัติต่าง ๆ ที่เกี่ยวข้อง) และสถาบันคาดหวังว่าผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นคู่สัญญากับสถาบันจะมีมาตรฐานในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลไม่น้อยกว่ามาตรฐานที่สถาบันปฏิบัติ ทั้งนี้ สถาบันได้มีการประกาศแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลของสถาบัน และมีการจัดทำบันทึกรายการกิจกรรมการประมวลผลตามหลักเกณฑ์ที่กฎหมายกำหนด

8.2 การกำกับดูแลพันธมิตรทางธุรกิจ/คู่ค้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลข้อมูลส่วนบุคคลให้แก่สถาบัน

สถาบันได้มีการประกาศแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคล เพื่อให้พันธมิตรทางธุรกิจ/คู่ค้า

ผู้ให้บริการ ทราบถึงมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลของสถาบัน และสถาบันจัดให้ผู้ประมวลผลข้อมูลส่วนบุคคลที่สถาบันมอบหมายให้ดำเนินการ ลงนามในข้อตกลงผู้ประมวลผล (Data Processing Agreement)  เพื่อกำหนดความรับผิดชอบ และมาตรฐานในการรักษาความปลอดภัยของข้อมูลส่วนบุคคลที่ได้ดำเนินการประมวลผลตามขอบเขตแห่งสัญญาหรือข้อตกลงในการว่าจ้าง ซึ่งสถาบันคาดหวังว่า พันธมิตรทางธุรกิจ/คู่ค้าจะมีมาตรฐานในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลไม่น้อยกว่ามาตรฐานที่สถาบันปฏิบัติ

9. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

สถาบันจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ซึ่งครอบคลุมถึงมาตรการป้องกันด้านการบริหารจัดการ (Administrative Safeguard) มาตรการป้องกันด้านเทคนิค (Technical Safeguard) และมาตรการป้องกันทางกายภาพ (Physical Safeguard) ในเรื่องการเข้าถึงหรือควบคุมการใช้งานข้อมูลส่วนบุคคล (Access Control) ดังต่อไปนี้

1. การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและอุปกรณ์ในการจัดเก็บและประมวลผลข้อมูลส่วนบุคคลโดยคำนึงถึงการใช้งานและความมั่นคงปลอดภัย กล่าวคือ มีการกำหนดอำนาจในการเข้าถึงข้อมูลส่วนบุคคลในระบบต่าง ๆ โดยพิจารณาถึงความจำเป็นในการใช้ข้อมูลของแต่ละส่วนงาน
2. การกำหนดเกี่ยวกับการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงข้อมูลส่วนบุคคล สถาบันมีการกำหนดระดับ/ชั้นในการเข้าถึงข้อมูลส่วนบุคคล (การกำหนดชั้นความลับในการเข้าถึงเพื่อดู แก้ไข และเปลี่ยนแปลงข้อมูลส่วนบุคคลในระบบอิเล็กทรอนิกส์)
3. การบริหารจัดการการเข้าถึงของผู้ใช้งาน (User Access Management) เพื่อควบคุมการเข้าถึงข้อมูลส่วนบุคคลเฉพาะผู้ที่ได้รับอนุญาตแล้ว กล่าวคือ สถาบันได้กำหนดวิธีการเข้าถึงของบุคลากรในส่วนงานที่เกี่ยวข้อง เช่น การกำหนดให้ใช้ User ID หรืออนุมัติสิทธิการเข้าถึงด้วยรหัสประจำตัวพนักงานโดยฝ่าย IT
4. การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (User Responsibilities) เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต การเปิดเผย การล่วงรู้ หรือการลักลอบทำสำเนาข้อมูลส่วนบุคคล การลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล กล่าวคือ การป้องกันมิให้บุคลากรที่สามารถเข้าถึงข้อมูลส่วนบุคคลใช้อุปกรณ์หรือกระบวนการใดในการนำข้อมูลออกจากระบบ หรือยักยอกข้อมูล หรือลักข้อมูลด้วยอุปกรณ์อย่างหนึ่งอย่างใดได้
5. การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง ลบ หรือถ่ายโอนข้อมูลส่วนบุคคล ให้สอดคล้องเหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล กล่าวคือ เมื่อมีการกำหนดสิทธิการเข้าถึง แก้ไข เปลี่ยนแปลง ลบ ข้อมูลส่วนบุคคลในระบบ สถาบันได้จัดให้มีโปรแกรมในการติดตามและตรวจสอบย้อนหลังถึงการทำกิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในระบบได้ สามารถติดตามร่องรอยการเข้าถึงและดำเนินการอย่างหนึ่งอย่างใดกับข้อมูลในระบบได้

10. การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

เมื่อเจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต่อสถาบันแล้ว เจ้าของข้อมูลส่วนบุคคลย่อมมีสิทธิขอให้บริษัทดำเนินการดังต่อไปนี้

1. สิทธิในการขอถอนความยินยอม

เมื่อได้ให้ความยินยอมแล้ว เจ้าของข้อมูลส่วนบุคคลจะเพิกถอนการยินยอมให้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อใดก็ได้ เว้นแต่มีข้อจำกัดสิทธิห้ามเพิกถอนตามกฎหมายหรือตามสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล

ทั้งนี้ การเพิกถอนการยินยอมไม่กระทบต่อการเก็บรวบรวม/ใช้/เปิดเผยข้อมูลส่วนบุคคล ที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบ และสถาบันจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบที่อาจเกิดขึ้นเมื่อมีการถอนความยินยอม

2. สิทธิในการเข้าถึงและขอสำเนาข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตนที่อยู่ในความรับผิดชอบของสถาบันและมีสิทธิขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ตนไม่ได้ให้ความยินยอม

3. สิทธิในการขอรับข้อมูลและขอให้ส่งต่อ/โอนข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลของตนจากสถาบันได้ ในกรณีที่สถาบันจัดให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่อ่าน/ใช้งานโดยทั่วไปได้และเปิดเผยได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ และเจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้สถาบันส่งหรือโอนข้อมูลส่วนบุคคลของตนในรูปแบบอัตโนมัติข้างต้นไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น เมื่อกระทำได้ด้วยวิธีการอัตโนมัติและเจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลของตนที่สถาบันส่งหรือโอนข้อมูลไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้

อนึ่ง การใช้สิทธิข้อนี้ เจ้าของข้อมูลส่วนบุคคลต้องให้ความยินยอมโดยชัดแจ้งในการขอให้สถาบันส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ซึ่งไม่อยู่ในหลักการตามนโยบายของสถาบัน

4. สิทธิในการคัดค้านการเก็บรวบรวม/ใช้/เปิดเผยข้อมูลของตน

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะคัดค้านมิให้สถาบันเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ เว้นแต่เป็นการดำเนินการที่สถาบันต้องปฏิบัติตามกฎหมายและเป็นกรณีการเก็บรวบรวม หรือใช้ข้อมูลส่วนบุคคลนั้นเพื่อเป็นพยานหลักฐานสำหรับการดำเนินคดีที่อาจเกิดขึ้นระหว่างสถาบันกับลูกค้าหรือเจ้าของข้อมูลส่วนบุคคลภายในอายุความแห่งกฎหมาย

5. สิทธิในการขอให้ลบ/ทำลายหรือทำให้ข้อมูลนั้นไม่เป็นข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้สถาบันดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลนั้นไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ หากว่าข้อมูลส่วนบุคคลนั้นหมดความจำเป็นในการเก็บรักษาตามวัตถุประสงค์ที่เคยได้แจ้งไว้ หรือดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลนั้นไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ เปิดเผย และสถาบันไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลนั้นอีกต่อไป หรือดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลนั้นไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ เมื่อเจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านการเก็บรวบรวมใช้เปิดเผยข้อมูลนั้น และสถาบันไม่สามารถปฏิเสธคำคัดค้านนั้นได้ หรือดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลนั้นไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม/ใช้/เปิดเผยโดยไม่ชอบด้วยกฎหมาย ทั้งนี้ สถาบันอาจคัดค้านการใช้สิทธินี้ ถ้าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นกรณีที่สถาบันดำเนินการเพื่อปฏิบัติตามกฎหมาย หรือเพื่อเป็นพยานหลักฐานสำหรับการดำเนินคดีที่อาจเกิดขึ้นระหว่างสถาบันกับเจ้าของข้อมูลส่วนบุคคลภายในอายุความแห่งกฎหมาย

6. สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะขอให้สถาบันระงับการใช้ข้อมูลส่วนบุคคลได้ ในกรณีที่อยู่ระหว่างการตรวจสอบ เมื่อเจ้าของข้อมูลส่วนบุคคลขอให้สถาบันดำเนินการให้ข้อมูลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด และสถาบันยังไม่ดำเนินการทำให้เจ้าของข้อมูลส่วนบุคคลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ หรือเมื่อข้อมูลส่วนบุคคลนั้นเป็นข้อมูลที่ต้องลบ ทำลาย เนื่องจากสถาบันเก็บรวบรวม/ใช้/เปิดเผยโดยไม่ชอบด้วยกฎหมาย แต่เจ้าของข้อมูลส่วนบุคคลขอให้ระงับการใช้แทนการลบ ทำลาย หรือเมื่อข้อมูลส่วนบุคคลนั้นหมดความจำเป็นในการเก็บรักษาตามวัตถุประสงค์ แต่เจ้าของข้อมูลส่วนบุคคลจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามกฎหมาย หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเมื่อสถาบันอยู่ระหว่างการตรวจสอบข้อพิสูจน์ กรณีปฏิเสธคำคัดค้านของเจ้าของข้อมูลส่วนบุคคล เรื่องการคัดค้านในการเก็บรวบรวม/ใช้/เปิดเผยข้อมูลส่วนบุคคล

7. สิทธิในการขอให้ดำเนินการให้ข้อมูลถูกต้องและเป็นปัจจุบัน

เจ้าของข้อมูลส่วนบุคคลใช้สิทธิร้องขอให้สถาบันดำเนินการให้ข้อมูลส่วนบุคคลนั้น ถูกต้อง เป็นปัจจุบัน สมบูรณ์และไม่ก่อให้เกิดความเข้าใจผิดได้       

8. สิทธิในการยื่นเรื่องร้องเรียน

            เจ้าของข้อมูลส่วนบุคคลมีสิทธิยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในกรณีที่เชื่อว่า สถาบันได้ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมายหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่บังคับใช้อยู่

การเก็บค่าธรรมเนียมในการดำเนินการตามสิทธิ

ทั้งนี้ ในกรณีที่ไม่ขัดต่อกฎหมายที่เกี่ยวข้อง สถาบันอาจมีการเรียกเก็บค่าธรรมเนียมในอัตราที่สมเหตุสมผลสำหรับการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคล และสถาบันขอสงวนสิทธิ์ในการขอหลักฐานยืนยันการแสดงตนของเจ้าของข้อมูลส่วนบุคคล อย่างไรก็ตาม สถาบันอาจปฏิเสธที่จะดำเนินการตามคำขอที่มีลักษณะเป็นการร้องขอซ้ำ ๆ หรือที่ไม่มีเหตุผลสมควร หรือต้องใช้ความพยายามทางเทคนิคที่เกินกว่าภาระหน้าที่ตามกฎหมาย หรือไม่สามารถปฏิบัติได้อย่างแน่แท้ 

การคัดค้านหรือปฏิเสธการใช้สิทธิ

• สถาบันอาจคัดค้านหรือปฏิเสธการใช้สิทธิของท่าน หากข้อมูลส่วนบุคคลที่ท่านขอให้สถาบันดำเนินการ เป็นข้อมูลส่วนบุคคลที่สถาบัน เก็บ รวบรวม ใช้ หรือเปิดเผย โดยมีวัตถุประสงค์เพื่อ
• ปฏิบัติตามกฎหมายที่สถาบัน มีหน้าที่ต้องปฏิบัติตามอย่างเคร่งครัด
• เป็นการจำเป็นเพื่อให้เกิดสิทธิเรียกร้องตามกฎหมาย หรือเป็นการปฏิบัติตาม หรือใช้สิทธิเรียกร้องตามกฎหมาย หรือยกขึ้นเพื่อต่อสู้สิทธิเรียกร้อง

กรณีที่ท่านมีข้อสงสัยหรือประสงค์จะใช้สิทธิเจ้าของข้อมูลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อได้ที่

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถาบันประกันภัยไทย   

บริษัท กฎหมายและธุรกิจ อินเตอร์ คอนซัลแตนท์ จำกัด

399/48 ซอยทองหล่อ 21 ถนนสุขุมวิท เขตวัฒนา กรุงเทพฯ 10110

โทร. 02-185-1895 (ฝ่ายประสานงาน DPO)    E-mail : dpo@tiins.com