ประกาศมหาวิทยาลัยเชียงใหม่
นโยบายคุ้มครองข้อมูลส่วนบุคคล มหาวิทยาลัยเชียงใหม่
(CMU Privacy Policy)
โดยที่เป็นการสมควรกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อเป็นหลักเกณฑ์ในการให้ความคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล และกำหนดมาตรการในการบริหารจัดการเกี่ยวกับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ที่มีประสิทธิภาพและเหมาะสม สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายหรือกฎอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
อาศัยอำนาจตามความในมาตรา 35 มาตรา 38 แห่งพระราชบัญญัติมหาวิทยาลัยเชียงใหม่ พ.ศ. 2551 ประกอบกับมติสภามหาวิทยาลัยเชียงใหม่ ในการประชุมครั้งที่ 10/2551 เมื่อวันที่ 27 กันยายน 2551 จึงออกประกาศดังต่อไปนี้
ข้อ 1 ประกาศนี้ เรียกว่า
“ประกาศมหาวิทยาลัยเชียงใหม่ เรื่อง นโยบายคุ้มครองข้อมูลส่วนบุคคล มหาวิทยาลัยเชียงใหม่ (CMU Privacy Policy)”
ข้อ 2 ประกาศนี้ ให้ใช้บังคับ
ตั้งแต่วันถัดจากวันประกาศเป็นต้นไป
ข้อ 3 ในประกาศนี้
- “มหาวิทยาลัย”
- หมายถึง มหาวิทยาลัยเชียงใหม่
- “อธิการบดี”
- หมายถึง อธิการบดีมหาวิทยาลัยเชียงใหม่
- “กฎหมายคุ้มครองข้อมูลส่วนบุคคล”
- หมายความว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมาย กฎ อื่นที่เกี่ยวข้อง
- “บุคคล”
- หมายความว่า บุคคลธรรมดา
- “ข้อมูลส่วนบุคคล”
- หมายความว่า ข้อมูลเกี่ยวกับบุคคล (Personal Data) ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลนิติบุคคล และข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
- “การประมวลผลข้อมูลส่วนบุคคล”
- หมายความว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Personal Data Processing)
- “เจ้าของข้อมูลส่วนบุคคล”
- หมายความว่า บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลที่ มหาวิทยาลัย เก็บรวบรวม ใช้ หรือเปิดเผย (Data Subject)
- “ผู้ควบคุมข้อมูลส่วนบุคคล”
- หมายความว่า มหาวิทยาลัย หรือบุคคล คณะบุคคล หรือ นิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Data Controller)
- “ผู้ประมวลผลข้อมูลส่วนบุคคล”
- หมายความว่า บุคคล คณะบุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคล คณะบุคคล หรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Processor)
- “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล”
- หมายความว่า บุคคล หรือคณะบุคคลซึ่งทำหน้าที่ตรวจสอบ กำกับและให้คำแนะนำในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตลอดจนประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO)
- “นโยบาย”
- หมายความว่า นโยบายคุ้มครองข้อมูลส่วนบุคคล มหาวิทยาลัยเชียงใหม่ (CMU Privacy Policy)
- “คุกกี้”
- หมายความว่า ไฟล์คอมพิวเตอร์เล็กๆ ที่จะเก็บข้อมูลส่วนบุคคลชั่วคราวที่จำเป็นลงในเครื่องคอมพิวเตอร์ของเจ้าของข้อมูลส่วนบุคคล (Cookies) เพื่อความสะดวกและรวดเร็วในการติดต่อสื่อสาร ซึ่งจะมีผลในขณะที่เข้าใช้งานระบบเว็บไซต์เท่านั้น
ข้อ 4 วัตถุประสงค์ของการคุ้มครองข้อมูลส่วนบุคคล
มหาวิทยาลัย ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลอื่นอันเกี่ยวกับเจ้าของข้อมูลส่วนบุคคล เพื่อให้เจ้าของข้อมูลส่วนบุคคลสามารถเชื่อมั่นได้ว่ามหาวิทยาลัยมีความโปร่งใสและความรับผิดชอบในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมาย กฎอื่นที่เกี่ยวข้องกับนโยบายการคุ้มครองข้อมูลส่วนบุคคลนี้ จึงได้ถูกจัดทำขึ้นเพื่อชี้แจงแก่เจ้าของข้อมูลส่วนบุคคลถึงรายละเอียดเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการโดยมหาวิทยาลัย รวมถึงเจ้าหน้าที่และบุคคล คณะบุคคล หรือนิติบุคคลที่เกี่ยวข้องผู้ดำเนินการแทนหรือในนามของมหาวิทยาลัย โดยมีเนื้อหาสาระตามประกาศนี้
ข้อ 5 ขอบเขตการบังคับใช้นโยบาย
นโยบายนี้ใช้บังคับกับข้อมูลส่วนบุคคลของบุคคลซึ่งมีความสัมพันธ์กับมหาวิทยาลัยในปัจจุบันและที่อาจมีในอนาคต ซึ่งถูกประมวลผลข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล ภายใต้ผลิตภัณฑ์และบริการต่าง ๆ เช่น เว็บไซต์ ระบบ แอปพลิเคชัน เอกสาร หรือบริการในรูปแบบอื่นที่ควบคุมดูแลโดยมหาวิทยาลัย (รวมเรียกว่า “บริการ”)
บุคคลมีความสัมพันธ์กับมหาวิทยาลัย ตามความในวรรคแรก รวมถึง:
- ผู้รับบริการซึ่งเป็นบุคคลธรรมดา
- พนักงานมหาวิทยาลัย
- คู่ค้าและผู้ให้บริการ
- กรรมการ ผู้รับมอบอำนาจ ผู้แทน ตัวแทน ผู้ถือหุ้น ลูกจ้าง หรือบุคคลอื่นที่มีความสัมพันธ์ในรูปแบบเดียวกันของนิติบุคคลที่มีความสัมพันธ์กับมหาวิทยาลัย
- ผู้ใช้งานผลิตภัณฑ์หรือบริการของมหาวิทยาลัย
- ผู้เข้าชมหรือใช้งานเว็บไซต์ https://www.cmu.ac.th/ รวมทั้งระบบ แอปพลิเคชัน อุปกรณ์ หรือ ช่องทางการสื่อสารอื่นซึ่งควบคุมดูแลโดยมหาวิทยาลัย
- บุคคลอื่นที่ มหาวิทยาลัย เก็บรวบรวมข้อมูลส่วนบุคคล เช่น ผู้สมัครงาน ครอบครัวของผู้ปฏิบัติงานในมหาวิทยาลัย ผู้ค้ำประกัน ผู้รับประโยชน์ในนิติกรรม เป็นต้น
นอกจากนโยบายฉบับนี้แล้ว มหาวิทยาลัยอาจกำหนดให้มีคำประกาศเกี่ยวกับความเป็นส่วนตัว (“ประกาศ”) เพื่อชี้แจงให้เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์และเหตุผลอันชอบด้วยกฎหมายในการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล รวมถึงสิทธิในข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลพึงมีในการประมวลผลข้อมูลส่วนบุคคลนั้นเป็นการเฉพาะเจาะจง
ข้อ 6 แหล่งที่มาของข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวม
มหาวิทยาลัย เก็บรวบรวมหรือได้มาซึ่งข้อมูลส่วนบุคคลประเภทต่าง ๆ จากแหล่งข้อมูลดังต่อไปนี้
- ข้อมูลส่วนบุคคลที่มหาวิทยาลัย เก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ในช่องทางให้บริการต่าง ๆ เช่น ขั้นตอนการสมัคร ลงทะเบียน สมัครงาน ลงนามในสัญญา เอกสาร ทำแบบสำรวจหรือใช้งานผลิตภัณฑ์ บริการ หรือช่องทางให้บริการอื่นที่ควบคุมดูแลโดยมหาวิทยาลัย หรือเมื่อเจ้าของข้อมูลส่วนบุคคลติดต่อสื่อสารกับมหาวิทยาลัย ณ ที่ทำการหรือผ่านช่องทางติดต่ออื่นที่ควบคุมดูแลโดย มหาวิทยาลัย เป็นต้น
- ข้อมูลที่มหาวิทยาลัย เก็บรวบรวมจากการที่เจ้าของข้อมูลส่วนบุคคลเข้าใช้งานเว็บไซต์ ผลิตภัณฑ์หรือบริการอื่น ๆ ตามสัญญาหรือตามพันธกิจ เช่น การติดตามพฤติกรรมการใช้งานเว็บไซต์ ผลิตภัณฑ์หรือบริการของมหาวิทยาลัย ด้วยการใช้คุกกี้ (Cookies) หรือจากซอฟต์แวร์บนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น
- ข้อมูลส่วนบุคคลที่มหาวิทยาลัย เก็บรวบรวมจากแหล่งอื่นนอกจากเจ้าของข้อมูลส่วนบุคคล โดยที่แหล่งข้อมูลดังกล่าวมีอำนาจหน้าที่ มีเหตุผลที่ชอบด้วยกฎหมายหรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วในการเปิดเผยข้อมูลแก่มหาวิทยาลัย เช่น การเชื่อมโยงบริการดิจิทัลของหน่วยงานของรัฐในการให้บริการเพื่อประโยชน์สาธารณะแบบเบ็ดเสร็จแก่เจ้าของข้อมูลส่วนบุคคลเอง การรับข้อมูลส่วนบุคคลจากหน่วยงานของรัฐแห่งอื่นในฐานะที่มหาวิทยาลัย มีหน้าที่ตามพันธกิจในการดำเนินการจัดให้มีศูนย์แลกเปลี่ยนข้อมูลกลางเพื่อสนับสนุนการดำเนินการของหน่วยงานของรัฐในการให้บริการประชาชนผ่านระบบดิจิทัล รวมถึงจากความจำเป็นเพื่อให้บริการตามสัญญาที่อาจมีการแลกเปลี่ยนข้อมูลส่วนบุคคลกับหน่วยงานคู่สัญญาได้
นอกจากนี้ ยังหมายความรวมถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลภายนอกแก่มหาวิทยาลัย ดังนี้ เจ้าของข้อมูลส่วนบุคคลมีหน้าที่รับผิดชอบในการแจ้งรายละเอียดตามนโยบายนี้หรือประกาศของผลิตภัณฑ์หรือบริการ ตามแต่กรณี ให้บุคคลดังกล่าวทราบ ตลอดจนขอความยินยอมจากบุคคลนั้นหากเป็นกรณีที่ต้องได้รับความยินยอมในการเปิดเผยข้อมูลแก่มหาวิทยาลัย
ข้อสังเกต: ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลที่มีความจำเป็นในการให้บริการของมหาวิทยาลัย อาจเป็นผลให้มหาวิทยาลัยไม่สามารถให้บริการนั้นแก่เจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ทั้งหมดหรือบางส่วน
ข้อ 7 หลักการในการเก็บรวบรวมข้อมูลส่วนบุคคล
มหาวิทยาลัยจะเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งต่อเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลเท่านั้น โดยมหาวิทยาลัยจะขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่ในกรณีดังต่อไปนี้ มหาวิทยาลัยสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้ โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล:
- การจัดทำเอกสารประวัติศาสตร์ วิจัยหรือสถิติที่สำคัญ: มหาวิทยาลัยสามารถจัดทำหรือสนับสนุนการจัดทำเอกสารประวัติศาสตร์ วิจัยหรือสถิติตามที่มหาวิทยาลัย อาจได้รับมอบหมาย เช่น การจัดให้มีทำเนียบผู้ดำรงตำแหน่ง ผู้บริหาร ผู้ทรงคุณวุฒิ คณะกรรมการ นักศึกษา นักศึกษาเก่าหรือ ผู้มีอุปการคุณต่อมหาวิทยาลัย การจัดทำสถิติการใช้บริการดิจิทัลภาครัฐ งานติดตามการดำเนินนโยบายรัฐบาลดิจิทัล เป็นต้น
- การจำเป็นเพื่อการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล: มหาวิทยาลัยสามารถใช้เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เช่น การให้บริการแอปพลิเคชันเพื่อเฝ้าระวังโรคระบาด เป็นต้น
- การปฏิบัติตามสัญญา: มหาวิทยาลัยสามารถปฏิบัติหน้าที่ตามสัญญา หรือดำเนินการอันเป็นความจำเป็นต่อการเข้าทำสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญากับมหาวิทยาลัย เช่น การจ้างงาน จ้างทำของ การทำบันทึกข้อตกลงความร่วมมือหรือสัญญาในรูปแบบอื่น เป็นต้น
- การดำเนินภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐ: มหาวิทยาลัยสามารถใช้อำนาจรัฐและดำเนินภารกิจเพื่อประโยชน์สาธารณะตามพันธกิจซึ่งกำหนดไว้ตามกฎหมาย เช่น พระราชบัญญัติมหาวิทยาลัยเชียงใหม่ พ.ศ. 2551 พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 รวมตลอดถึง กฎหมาย กฎ ข้อบังคับ ระเบียบ คำสั่งและหรือมติคณะรัฐมนตรีที่เกี่ยวข้องอื่นๆ เป็นต้น
- การจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย: มหาวิทยาลัยสามารถใช้ เพื่อประโยชน์โดยชอบด้วยกฎหมายของมหาวิทยาลัยและของบุคคลอื่น ซึ่งประโยชน์ดังกล่าวมีความสำคัญ ไม่น้อยไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เช่น เพื่อการรักษาทรัพย์สินของมหาวิทยาลัย เพื่อการรักษาความปลอดภัยภายในอาคารสถานที่หรือบริเวณพื้นที่ของมหาวิทยาลัย หรือ การประมวลผลข้อมูลส่วนบุคคลเพื่อกิจการภายในของมหาวิทยาลัยหรือตามพระราชบัญญัติมหาวิทยาลัยเชียงใหม่ พ.ศ. 2551 เป็นต้น
- การปฏิบัติหน้าที่ตามกฎหมาย: มหาวิทยาลัยสามารถปฏิบัติตามที่กฎหมายกำหนดหรือควบคุม เช่น การเก็บรวบรวมข้อมูลจราจรทางคอมพิวเตอร์ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2560 พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 กฎหมายว่าด้วยภาษีอากร รวมตลอดถึงการดำเนินการตามคำสั่งของผู้บังคับใช้กฎหมาย เจ้าพนักงานหรือศาล เป็นต้น
ข้อ 8 ประเภทของข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวม
มหาวิทยาลัย อาจเก็บรวบรวมหรือได้มาซึ่งข้อมูลดังต่อไปนี้ ซึ่งอาจรวมถึงข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ขึ้นอยู่กับบริการที่เจ้าของข้อมูลส่วนบุคคลใช้หรือบริบทความสัมพันธ์ที่เจ้าของข้อมูลส่วนบุคคลมีกับมหาวิทยาลัย รวมถึงข้อพิจารณาอื่นที่มีผลกับการเก็บรวบรวมข้อมูลส่วนบุคคล โดยประเภทของข้อมูลที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการเก็บรวบรวมข้อมูลส่วนบุคคลของมหาวิทยาลัยเป็นการทั่วไป ทั้งนี้ เฉพาะข้อมูลที่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการที่เจ้าของข้อมูลส่วนบุคคลใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้
- ข้อมูลเฉพาะตัวบุคคล: เป็นข้อมูลระบุชื่อเรียกของเจ้าของข้อมูลส่วนบุคคลหรือข้อมูลจากเอกสารราชการที่ระบุข้อมูลเฉพาะตัวของเจ้าของข้อมูลส่วนบุคคล เช่น คำนำหน้าชื่อ ชื่อ นามสกุล ชื่อกลาง ชื่อเล่น ลายมือชื่อ เลขที่บัตรประจำตัวประชาชน สัญชาติ เลขที่ใบขับขี่ เลขที่หนังสือเดินทาง ข้อมูลทะเบียนบ้าน หมายเลขใบประกอบการ หมายเลขใบอนุญาตการประกอบวิชาชีพ (สำหรับแต่ละอาชีพ) หมายเลขประจำตัวผู้ประกันตน หมายเลขประกันสังคม เป็นต้น
- ข้อมูลเกี่ยวกับคุณลักษณะของบุคคล: เป็นข้อมูลรายละเอียดเกี่ยวกับตัวเจ้าของข้อมูลส่วนบุคคล เช่น วันเดือนปีเกิด เพศ ส่วนสูง น้ำหนัก อายุ สถานภาพการสมรส สถานภาพการเกณฑ์ทหาร รูปถ่าย ภาษาพูด ข้อมูลพฤติกรรม ความชื่นชอบ ข้อมูลการเป็นบุคคลล้มละลาย ข้อมูลการเป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ เป็นต้น
- ข้อมูลสำหรับการติดต่อ: เป็นข้อมูลเพื่อการติดต่อเจ้าของข้อมูลส่วนบุคคล เช่น เบอร์โทรศัพท์บ้าน เบอร์โทรศัพท์เคลื่อนที่ หมายเลขโทรสาร อีเมล ที่อยู่ทางไปรษณีย์บ้าน ชื่อผู้ใช้งานในสังคมออนไลน์ (Line ID, MS Teams ฯลฯ) แผนที่ตั้งของที่พัก เป็นต้น
- ข้อมูลเกี่ยวกับการทำงานและการศึกษา: เป็นรายละเอียดการจ้างงาน รวมถึงประวัติการทำงานและประวัติการศึกษา เช่น ประเภทการจ้างงาน อาชีพ ยศ ตำแหน่ง หน้าที่ ความเชี่ยวชาญ สถานภาพใบอนุญาตทำงาน ข้อมูลบุคคลอ้างอิง หมายเลขประจำตัวผู้เสียภาษี ประวัติการดำรงตำแหน่ง ประวัติการทำงาน ข้อมูลเงินเดือน วันเริ่มงาน วันออกจากงาน ผลการประเมิน สวัสดิการและสิทธิประโยชน์ พัสดุในครอบครองของผู้ปฏิบัติงาน ผลงาน หมายเลขบัญชีธนาคาร สถาบันการศึกษา วุฒิการศึกษา ผลการศึกษา วันที่สำเร็จการศึกษา เป็นต้น
- ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัย: เป็นรายละเอียดเกี่ยวกับกรมธรรม์ประกันภัยผู้ปฏิบัติงาน เช่น ผู้รับประกันภัย ผู้เอาประกันภัย ผู้รับประโยชน์ หมายเลขกรมธรรม์ ประเภทกรมธรรม์ วงเงินคุ้มครอง ข้อมูลเกี่ยวกับการเคลม เป็นต้น
- ข้อมูลเกี่ยวกับความสัมพันธ์ทางสังคม: เป็นข้อมูลความสัมพันธ์ทางสังคมของเจ้าของข้อมูลส่วนบุคคล เช่น สถานภาพทางการเมือง การดำรงตำแหน่งทางการเมือง การดำรงตำแหน่งกรรมการ ความสัมพันธ์กับผู้ปฏิบัติงานของมหาวิทยาลัย ข้อมูลการเป็นผู้มีสัญญาจ้างกับมหาวิทยาลัย ข้อมูลการเป็นผู้มีส่วนได้เสียในกิจการที่ทำกับมหาวิทยาลัย เป็นต้น
- ข้อมูลเกี่ยวกับการใช้บริการของมหาวิทยาลัย: เช่น ชื่อบัญชีผู้ใช้งาน รหัสผ่าน หมายเลข PIN ข้อมูล Single Sign-on (SSO ID) รหัส OTP ข้อมูลการจราจรทางคอมพิวเตอร์ ข้อมูลระบุพิกัด ภาพถ่าย วิดีโอ บันทึกเสียง ข้อมูลพฤติกรรมการใช้งาน (เว็บไซต์ที่อยู่ในความดูแลของมหาวิทยาลัย เช่น https://www.cmu.ac.th/ หรือแอปพลิเคชันต่าง ๆ) ประวัติการสืบค้น คุกกี้หรือเทคโนโลยีในลักษณะเดียวกัน หมายเลขอุปกรณ์ (Device ID) ประเภทอุปกรณ์ รายละเอียดการเชื่อมต่อ ข้อมูล Browser ภาษาที่ใช้งาน ระบบปฏิบัติการที่ใช้งาน เป็นต้น
- ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน: เป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนของเจ้าของข้อมูลส่วนบุคคล เช่น เชื้อชาติ ข้อมูลศาสนา ข้อมูลความพิการ ข้อมูลความเห็นทางการเมือง ประวัติอาชญากรรม ข้อมูลชีวภาพ (ข้อมูลภาพจำลองใบหน้า) ข้อมูลเกี่ยวกับสุขภาพ เป็นต้น
ข้อ 9 คุกกี้ (Cookies)
มหาวิทยาลัยเก็บรวบรวมและใช้คุกกี้ รวมถึงเทคโนโลยีอื่นในลักษณะเดียวกันในเว็บไซต์ที่อยู่ภายใต้ความดูแลของมหาวิทยาลัย เช่น https://www.cmu.ac.th/ หรือบนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคลตามแต่บริการที่เจ้าของข้อมูลส่วนบุคคลใช้งาน ทั้งนี้ เพื่อการดำเนินการด้านความปลอดภัยในการให้บริการของมหาวิทยาลัย และเพื่อให้เจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้ใช้งานได้รับความสะดวกและประสบการณ์ที่ดีในการใช้งานบริการของมหาวิทยาลัย และข้อมูลเหล่านี้จะถูกนำไปเพื่อปรับปรุงเว็บไซต์ของมหาวิทยาลัยให้ตรงกับความต้องการของเจ้าของข้อมูลส่วนบุคคลมากยิ่งขึ้น โดยเจ้าของข้อมูลส่วนบุคคลสามารถตั้งค่าหรือลบการใช้งานคุกกี้ได้ด้วยตนเองจากการตั้งค่าในเว็บเบราว์เซอร์ (Web Browser) ของเจ้าของข้อมูลส่วนบุคคล
ข้อ 10 ข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถ
กรณีที่มหาวิทยาลัย ทราบว่าข้อมูลส่วนบุคคลที่จำเป็นต้องได้รับความยินยอมในการเก็บรวบรวม เป็นของเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ มหาวิทยาลัยจะไม่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นจนกว่าจะได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้อนุบาล หรือผู้พิทักษ์ตามแต่กรณี ทั้งนี้ เป็นไปตามเงื่อนไขที่กฎหมายกำหนด
กรณีที่มหาวิทยาลัย ไม่ทราบมาก่อนว่าเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ และมาพบในภายหลังว่ามหาวิทยาลัย ได้เก็บรวบรวมข้อมูลของเจ้าของข้อมูลส่วนบุคคลดังกล่าวโดยยังมิได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้อนุบาล หรือผู้พิทักษ์ตามแต่กรณี มหาวิทยาลัยจะดำเนินการลบ ทำลายข้อมูลส่วนบุคคลนั้นโดยเร็ว เว้นแต่ มีเหตุอันชอบด้วยกฎหมายประการอื่นนอกเหนือจากความยินยอมในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลดังกล่าว
ข้อ 11 วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล
มหาวิทยาลัย ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์หลายประการ ซึ่งขึ้นอยู่กับประเภทของบริการหรือกิจกรรมที่เจ้าของข้อมูลส่วนบุคคลได้ถูกประมวลผลข้อมูล ตลอดจนลักษณะความสัมพันธ์ของเจ้าของข้อมูลส่วนบุคคลกับมหาวิทยาลัย หรือข้อพิจารณาในแต่ละบริบทเป็นสำคัญ ทั้งนี้ มหาวิทยาลัยจะประมวลผลข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือขณะเก็บรวบรวมข้อมูลเท่านั้น
โดยวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลของมหาวิทยาลัย รวมถึงแต่ไม่จำกัดเพียงวัตถุประสงค์ที่ระบุดังต่อไปนี้:
- เพื่อดำเนินการตามที่จำเป็นในการดำเนินงานตามที่มหาวิทยาลัยได้รับมอบหมายให้สำเร็จลุล่วง หรือเป็นการจำเป็นเพื่อใช้อำนาจทางกฎหมายที่มหาวิทยาลัยมีอำนาจหน้าที่ในการดำเนินการ ตามพันธกิจดังปรากฏในพระราชบัญญัติมหาวิทยาลัย พ.ศ. 2551 และกฎหมาย กฎ ข้อบังคับ ประกาศหรือคำสั่งที่เกี่ยวข้อง เช่น เพื่อจัดการศึกษา เพื่อส่งเสริมวิชาการและวิชาชีพชั้นสูง เพื่อทำการวิจัยเพื่อความเป็นเลิศทางวิชาการและเกิดประโยชน์แก่สังคมเป็นส่วนรวม เพื่อบริการทางวิชาการแก่สังคม เพื่อทะนุบำรุงและส่งเสริมศิลปวัฒนธรรม เพื่ออนุรักษ์สิ่งแวดล้อม เป็นต้น
- เพื่อใช้ยืนยันตัวตน หรือพิสูจน์ตัวตนของเจ้าของข้อมูลส่วนบุคคลในการให้บริการของมหาวิทยาลัย
- เพื่อใช้วิเคราะห์ ปรับปรุง พัฒนาคุณภาพการให้บริการของมหาวิทยาลัย หรือเพื่อทำการวิจัยหรือบริการทางวิชาการ
- เพื่อดำเนินการตามที่จำเป็นในการบริหารจัดการภายในองค์กรของมหาวิทยาลัย รวมถึงการรับสมัครพนักงานมหาวิทยาลัย การสรรหาผู้ดำรงตำแหน่งต่างๆ ตามที่กำหนดในพระราชบัญญัติมหาวิทยาลัย พ.ศ. 2551 และกฎหมาย กฎ ข้อบังคับ ประกาศหรือคำสั่งที่เกี่ยวข้อง ตลอดจนการจัดการเกี่ยวกับสิทธิและสวัสดิการ
- เพื่อการประชาสัมพันธ์กิจกรรม โครงการของมหาวิทยาลัยหรือที่มหาวิทยาลัยร่วมมือกับหน่วยงานแห่งอื่น หรือการสื่อสารข้อมูลของมหาวิทยาลัย
- เพื่อควบคุมการดำเนินงานภายในมหาวิทยาลัยให้เป็นไปตามกฎหมาย กฎ ข้อบังคับ ประกาศหรือคำสั่งที่เกี่ยวข้อง หรือเพื่อการปฏิบัติตามกฎหมาย กฎ ข้อบังคับ ประกาศหรือคำสั่งที่เกี่ยวข้องที่มีผลบังคับใช้ หรือการดำเนินการเกี่ยวกับคดีความ ตลอดจนเป็นการปฏิบัติตามหน้าที่ที่มหาวิทยาลัยมีต่อหน่วยงานของรัฐแห่งอื่นที่มีอำนาจตามกฎหมาย
ข้อ 12 ประเภทบุคคลที่มหาวิทยาลัย เปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ภายใต้วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลที่ได้ระบุไว้ในนโยบายฉบับนี้ มหาวิทยาลัยอาจเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลให้แก่บุคคลดังต่อไปนี้:
- หน่วยงานของรัฐหรือผู้มีอำนาจที่มหาวิทยาลัยต้องเปิดเผยข้อมูล: เพื่อวัตถุประสงค์ในการดำเนินการตามกฎหมายหรือวัตถุประสงค์สำคัญอื่น การดำเนินการเพื่อประโยชน์สาธารณะ หน่วยงานผู้บังคับใช้กฎหมาย หรือมีอำนาจควบคุมกำกับดูแลหรือมีวัตถุประสงค์อื่นที่มีความสำคัญ เช่น คณะรัฐมนตรี รัฐมนตรีผู้รักษาการ กรมการปกครอง กรมสรรพากร สำนักงานตำรวจแห่งชาติ ศาล สำนักงานอัยการ กรมควบคุมโรค กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม กระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม สำนักงานปลัดสำนักนายกรัฐมนตรี กรมการกงสุล กองทุนเงินให้กู้ยืมเพื่อการศึกษา เป็นต้น
- คณะกรรมการต่าง ๆ ที่เกี่ยวข้องกับการดำเนินการตามกฎหมายของมหาวิทยาลัย: มหาวิทยาลัย อาจเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลแก่บุคคลผู้ดำรงตำแหน่งกรรมการในคณะต่าง ๆ เช่น สภามหาวิทยาลัย สภาวิชาการ สภาพนักงาน คณะกรรมการบริหารมหาวิทยาลัย คณะกรรมการบริหารงานบุคคล คณะกรรมการอุทธรณ์และร้องทุกข์ คณะกรรมการสืบสวน/สอบสวน คณะกรรมการสรรหา เป็นต้น
- คู่สัญญาซึ่งดำเนินการเกี่ยวกับสวัสดิการของผู้ปฏิบัติงานของมหาวิทยาลัย: บุคคลภายนอกที่มหาวิทยาลัย จัดซื้อจัดจ้างให้ดำเนินการเกี่ยวกับสวัสดิการ สิทธิประโยชน์ เช่น บริษัทประกันภัย โรงพยาบาล บริษัทผู้จัดทำ Payroll ธนาคาร ผู้ให้บริการโทรศัพท์ กองทุนสำรองเลี้ยงชีพ เป็นต้น
- พันธมิตรทางธุรกิจ: มหาวิทยาลัยอาจเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลแก่บุคคลที่ร่วมงานกับ มหาวิทยาลัย เพื่อประโยชน์ในการให้บริการแก่เจ้าของข้อมูลส่วนบุคคล เช่น หน่วยงานผู้ให้บริการที่เจ้าของข้อมูลส่วนบุคคลติดต่อผ่านบริการของมหาวิทยาลัย ผู้ให้บริการด้านการตลาด สื่อโฆษณา สถาบันการเงิน ผู้ให้บริการแพลตฟอร์ม ผู้ให้บริการโทรคมนาคม เป็นต้น
- ผู้ให้บริการ: มหาวิทยาลัย อาจมอบหมายให้บุคคลอื่นเป็นผู้ให้บริการแทน หรือสนับสนุนการดำเนินการของมหาวิทยาลัย เช่น ผู้ให้บริการด้านการจัดเก็บข้อมูล (เช่น คลาวด์ โกดังเอกสาร) ผู้พัฒนาระบบ ซอฟต์แวร์ แอปพลิเคชัน เว็บไซต์ ผู้ให้บริการจัดส่งเอกสาร ผู้ให้บริการด้านการชำระเงิน ผู้ให้บริการอินเทอร์เน็ต ผู้ให้บริการโทรศัพท์ ผู้ให้บริการด้าน Digital ID ผู้ให้บริการสื่อสังคมออนไลน์ ผู้ให้บริการด้านการบริหารความเสี่ยง ที่ปรึกษาภายนอก ผู้ให้บริการขนส่ง เป็นต้น
- ผู้รับข้อมูลประเภทอื่น: มหาวิทยาลัยอาจเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลให้แก่บุคคลผู้รับข้อมูลประเภทอื่น เช่น ผู้ติดต่อ มหาวิทยาลัย สมาชิกในครอบครัว มูลนิธิที่ไม่แสวงหากำไร วัด โรงพยาบาล สถานศึกษา หรือหน่วยงานอื่น ๆ เป็นต้น ทั้งนี้ เพื่อการดำเนินการเกี่ยวกับบริการของมหาวิทยาลัย การฝึกอบรม การรับรางวัล การร่วมทำบุญ บริจาค เป็นต้น
- การเปิดเผยข้อมูลต่อสาธารณะ: มหาวิทยาลัยอาจเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลต่อสาธารณะในกรณีที่จำเป็น เช่น การดำเนินการที่กำหนดให้ มหาวิทยาลัยต้องประกาศลงในราชกิจจานุเบกษา หรือมติคณะรัฐมนตรี เป็นต้น
ทั้งนี้ ประเภทของบุคคลผู้รับข้อมูลที่ระบุไว้ข้างต้น เป็นเพียงกรอบการเปิดเผยข้อมูลส่วนบุคคลของมหาวิทยาลัย เป็นการทั่วไป เฉพาะบุคคลผู้รับข้อมูลที่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการที่เจ้าของข้อมูลส่วนบุคคลใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้
ข้อ 13 การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ในบางกรณีมหาวิทยาลัยอาจจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไปยังต่างประเทศเพื่อดำเนินการตามวัตถุประสงค์ในการให้บริการแก่เจ้าของข้อมูลส่วนบุคคล เช่น เพื่อส่งข้อมูลส่วนบุคคลไปยังระบบคลาวด์ (Cloud) ที่มีแพลตฟอร์มหรือเครื่องแม่ข่าย (Server) อยู่ต่างประเทศ เพื่อสนับสนุนระบบเทคโนโลยีสารสนเทศที่ตั้งอยู่นอกประเทศไทย ทั้งนี้ ขึ้นอยู่กับบริการของ มหาวิทยาลัย ที่เจ้าของข้อมูลส่วนบุคคลใช้งานหรือมีส่วนเกี่ยวข้องเป็นรายกิจกรรม
กรณีที่ มหาวิทยาลัย มีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไปยังประเทศปลายทาง มหาวิทยาลัยจะดำเนินการเพื่อให้ข้อมูลส่วนบุคคลที่ส่งหรือโอนไปมีมาตรการคุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอตามมาตรฐานสากล หรือดำเนินการตามเงื่อนไขเพื่อให้สามารถส่งหรือโอนข้อมูลนั้นได้ตามกฎหมายกำหนด ณ ขณะที่มีการส่งข้อมูลส่วนบุคคลไปยังประเทศปลายทาง ได้แก่:
- เป็นการปฏิบัติตามกฎหมายที่กำหนดให้มหาวิทยาลัย ต้องส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ
- ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในกรณีที่ประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอ ทั้งนี้ ตามประกาศรายชื่อประเทศที่คณะกรรมการคุ้มครองส่วนบุคคลประกาศกำหนด
- เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญากับ มหาวิทยาลัย หรือเป็นการทำตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนการเข้าทำสัญญานั้น
- เป็นการกระทำตามสัญญาของมหาวิทยาลัย กับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือของบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้
- เป็นการจำเป็นเพื่อดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
มหาวิทยาลัยอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ทั้งนี้ มหาวิทยาลัยจะดำเนินการเพื่อให้มั่นใจว่าประเทศปลายทางดังกล่าวมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ อย่างไรก็ดี ในกรณีที่ประเทศปลายทางไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ การส่งหรือโอนข้อมูลส่วนบุคคลดังกล่าวจะเป็นไปตามข้อยกเว้นตามหลักเกณฑ์ที่มหาวิทยาลัยกำหนดโดยไม่ขัดต่อกฎหมาย
ข้อ 14 ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
มหาวิทยาลัย จะเก็บรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไว้ในระยะเวลาเท่าที่ข้อมูลนั้นยังมีความจำเป็นตามกฎหมาย กฎ ข้อบังคับ ระเบียบ ประกาศ คำสั่งที่มหาวิทยาลัยต้องปฏิบัติหรือ วัตถุประสงค์ในการเก็บรวบรวมข้อมูลเท่านั้น ซึ่งรายละเอียดขึ้นอยู่กับประเภทของบริการหรือกิจกรรมที่เจ้าของข้อมูลส่วนบุคคลได้ถูกประมวลผลข้อมูล ตลอดจนลักษณะความสัมพันธ์ของเจ้าของข้อมูลส่วนบุคคลกับมหาวิทยาลัย หรือข้อพิจารณาในแต่ละบริบทเป็นสำคัญ ทั้งนี้ เมื่อพ้นระยะเวลาและข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลสิ้นความจำเป็นตามกฎหมาย กฎ ข้อบังคับ ระเบียบ ประกาศ คำสั่ง หรือวัตถุประสงค์ดังกล่าวแล้ว มหาวิทยาลัยจะทำการลบ ทำลายข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนได้ต่อไป ตามรูปแบบและมาตรฐานการลบทำลายข้อมูลส่วนบุคคลที่คณะกรรมการหรือกฎหมายจะได้ประกาศกำหนดหรือตามมาตรฐานสากล
อย่างไรก็ดี ในกรณีที่มีข้อโต้แย้งเกิดขึ้น เกี่ยวกับสิทธิหรือหน้าที่ของบุคคลใดตามกฎหมาย ซึ่งจะต้องใช้สิทธิทางศาล ในกรณีเช่นนี้ถือว่ามหาวิทยาลัยมีความจำเป็นต้องเก็บข้อมูลส่วนบุคคลต่อไป จึงขอสงวนสิทธิในการเก็บรักษาข้อมูลนั้นต่อไปจนกว่าข้อโต้แย้งนั้นจะได้มีคำสั่งหรือคำพิพากษาถึงที่สุดและรวมตลอดถึงเท่าที่จำเป็นเพื่อปฏิบัติตามคำพิพากษาหรือคำสั่ง
ข้อ 15 การให้บริการโดยบุคคลที่สามหรือผู้ให้บริการช่วง
มหาวิทยาลัย อาจมอบหมายหรือจัดซื้อจัดจ้างผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งเป็นบุคคลที่สาม ให้ทำการประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของมหาวิทยาลัย ซึ่งผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจเสนอบริการในลักษณะต่าง ๆ เช่น การเป็นผู้ดูแล (Hosting) รับงานบริการช่วง (Outsourcing) หรือเป็น ผู้ให้บริการคลาวด์ (Cloud computing service/provider) หรือเป็นงานในลักษณะการจ้างทำของในรูปแบบอื่น
การมอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลทำการประมวลผลข้อมูลส่วนบุคคลในฐานะ ผู้ประมวลผลข้อมูลส่วนบุคคล หรือในฐานะอื่น เช่น ผู้ควบคุมข้อมูลส่วนบุคคลร่วม มหาวิทยาลัยจะจัดให้มีข้อตกลงระบุสิทธิและหน้าที่ของมหาวิทยาลัย ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและของบุคคลที่ มหาวิทยาลัยมอบหมายในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล หรือในฐานะอื่น ซึ่งรวมถึงกำหนดรายละเอียดประเภทข้อมูลส่วนบุคคลที่มหาวิทยาลัยมอบหมายให้ประมวลผลรวมถึงวัตถุประสงค์ ขอบเขตในการประมวลผลข้อมูลส่วนบุคคลและข้อตกลงอื่น ๆ ที่เกี่ยวข้อง ซึ่งผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ประมวลผลข้อมูลส่วนบุคคลตามขอบเขตที่ระบุในข้อตกลงและตามคำสั่งของมหาวิทยาลัยเท่านั้น โดยไม่สามารถประมวลผลเพื่อวัตถุประสงค์อื่นได้
ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลมีการมอบหมายผู้ให้บริการช่วง (ผู้ประมวลผลช่วง) เพื่อทำการประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของผู้ประมวลผลข้อมูลส่วนบุคคล ดังนี้ มหาวิทยาลัย ได้กำหนดให้เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องดำเนินการให้ผู้ประมวลผลข้อมูลส่วนบุคคล จัดให้มีเอกสารข้อตกลงระหว่างผู้ประมวลผลข้อมูลส่วนบุคคลกับผู้ให้บริการช่วง (ผู้ประมวลผลช่วง) เพื่อกำหนดสิทธิและหน้าที่ ความรับผิด และรายละเอียดในการประมวลผลข้อมูลส่วนบุคคลในรูปแบบและมาตรฐานที่ไม่ต่ำกว่าข้อตกลงระหว่างมหาวิทยาลัยกับผู้ประมวลผลข้อมูลส่วนบุคคล ทั้งนี้ เพื่อให้การปกป้องคุ้มครองข้อมูลส่วนบุคคลมีประสิทธิภาพ มหาวิทยาลัยได้กำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลต้องแจ้งการดำเนินการดังกล่าวให้มหาวิทยาลัยทราบด้วย
ข้อ 16 การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
มหาวิทยาลัย มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล โดยการจำกัดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลให้สามารถเข้าถึงได้โดยเจ้าหน้าที่เฉพาะรายหรือบุคคลที่มีอำนาจหน้าที่หรือได้รับมอบหมายที่มีความจำเป็นต้องใช้ข้อมูลดังกล่าวตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้แล้วเท่านั้น ซึ่งบุคคลดังกล่าวจะต้องยึดมั่นและปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของมหาวิทยาลัยอย่างเคร่งครัด ตลอดจนมีหน้าที่รักษาความลับของข้อมูลส่วนบุคคลที่ตนเองรับรู้จากการปฏิบัติการตามอำนาจหน้าที่ โดยมหาวิทยาลัย มีมาตรการรักษาความมั่นคงปลอดภัยข้อมูลทั้งในเชิงองค์กรหรือเชิงเทคนิคที่ได้มาตรฐานสากล และเป็นไปตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด
นอกจากนี้ เมื่อมหาวิทยาลัย มีการส่ง โอนหรือเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่สาม ไม่ว่าเพื่อการให้บริการตามพันธกิจ ตามสัญญา หรือข้อตกลงในรูปแบบอื่น มหาวิทยาลัยจะกำหนดมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลและการรักษาความลับที่เหมาะสมและเป็นไปตามที่กฎหมายกำหนด เพื่อยืนยันว่าข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวมจะมีความมั่นคงปลอดภัยอยู่เสมอ
ข้อ 17 การเชื่อมต่อเว็บไซต์หรือบริการภายนอก
บริการของมหาวิทยาลัยอาจมีการเชื่อมต่อไปยังเว็บไซต์หรือบริการของบุคคลที่สาม ซึ่งเว็บไซต์หรือบริการดังกล่าวอาจมีการประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่มีเนื้อหาสาระแตกต่างจากนโยบายนี้ มหาวิทยาลัย ขอแนะนำให้เจ้าของข้อมูลส่วนบุคคลศึกษานโยบายการคุ้มครองข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการนั้น ๆ เพื่อทราบรายละเอียดก่อนการเข้าใช้งาน
ทั้งนี้ มหาวิทยาลัย ไม่มีความเกี่ยวข้องและไม่มีอำนาจควบคุมถึงมาตรการคุ้มครองข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการของบุคคลที่สามดังกล่าวและไม่สามารถรับผิดชอบต่อเนื้อหา นโยบาย ความเสียหาย หรือการกระทำละเมิดอันเกิดจากเว็บไซต์หรือบริการของบุคคลที่สาม
ข้อ 18 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
มหาวิทยาลัย ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อทำหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ข้อ 19 สิทธิของเจ้าของข้อมูลส่วนบุคคล
สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลใช้บังคับแล้วนั้น เจ้าของข้อมูลส่วนบุคคลจะมีสิทธิ ดังต่อไปนี้:
1. สิทธิในการขอเข้าถึงข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึง รับสำเนาและขอให้เปิดเผยที่มาของข้อมูลส่วนบุคคลที่มหาวิทยาลัย เก็บรวบรวมไว้โดยปราศจากความยินยอมของเจ้าของข้อมูลส่วนบุคคล เว้นแต่กรณีที่มหาวิทยาลัย มีสิทธิปฏิเสธคำขอด้วยเหตุตามกฎหมายหรือคำสั่งศาล หรือกรณีที่จะมีผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
2. สิทธิในการขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง สมบูรณ์และเป็นปัจจุบัน
หากพบว่าข้อมูลส่วนบุคคลไม่ถูกต้อง ไม่ครบถ้วนหรือไม่เป็นปัจจุบัน มีสิทธิขอให้แก้ไขเพื่อให้มีความถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดได้
3. สิทธิในการลบหรือทำลายข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ มหาวิทยาลัย ลบหรือทำลายข้อมูลส่วนบุคคล หรือทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลได้ต่อไป
4. สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
5. สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล เว้นแต่กรณีที่ มหาวิทยาลัย มีเหตุในการปฏิเสธคำขอโดยชอบด้วยกฎหมาย
6. สิทธิในการขอถอนความยินยอม
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมแก่ มหาวิทยาลัย ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิถอนความยินยอมเมื่อใดก็ได้
7. สิทธิในการขอรับ ส่งหรือโอนข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการขอรับข้อมูลส่วนบุคคลจากมหาวิทยาลัย ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ และสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยวิธีการอัตโนมัติ
ข้อ 20 การไม่ปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคล
มหาวิทยาลัย รับทราบและจะดำเนินการให้บุคลากรของมหาวิทยาลัย หรือบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ทราบว่า การไม่ปฏิบัติตามนโยบายอาจมีผลเป็นความผิดและ ถูกลงโทษทางวินัยตามข้อบังคับของมหาวิทยาลัย (สำหรับพนักงานมหาวิทยาลัย) หรือตามข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (สำหรับผู้ประมวลผลข้อมูลส่วนบุคคล) ทั้งนี้ ตามแต่กรณีและความสัมพันธ์ที่เจ้าของข้อมูลส่วนบุคคลมีต่อมหาวิทยาลัย และอาจได้รับโทษตามที่กำหนดโดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งกฎหมายลำดับรอง กฎ ระเบียบ คำสั่งที่เกี่ยวข้อง
ข้อ 21 การร้องเรียนต่อหน่วยงานผู้มีอำนาจกำกับดูแล
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลพบว่า มหาวิทยาลัย มิได้ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และเจ้าของข้อมูลส่วนบุคคลได้แจ้งให้มหาวิทยาลัยแก้ไขข้อกังวลหรือขอให้ปฏิบัติให้ถูกต้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลแล้ว มหาวิทยาลัยเพิกเฉยไม่ดำเนินการตามเงื่อนไขหรือเงื่อนเวลาที่กฎหมาย กฎ ข้อบังคับ ระเบียบ ประกาศ คำสั่งกำหนด เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนไปยังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือหน่วยงานที่มีอำนาจกำกับดูแลที่ได้รับการแต่งตั้งโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือตามกฎหมายแล้วแต่กรณี
ข้อ 22 การปรับปรุงแก้ไขนโยบายการคุ้มครองข้อมูลส่วนบุคคล
มหาวิทยาลัย อาจพิจารณาปรับปรุง แก้ไขหรือเปลี่ยนแปลงนโยบายนี้ตามที่เห็นสมควร และจะเผยแพร่ให้เจ้าของข้อมูลส่วนบุคคลสามารถรับทราบ ผ่านช่องทางเว็บไซต์ https://www.cmu.ac.th/ หรือแอปพลิเคชัน หรือช่องทางเฉพาะกิจกรรมที่มหาวิทยาลัยดำเนินการ โดยปรากฏวันที่มีผลบังคับใช้ของแต่ละฉบับแก้ไขกำกับอยู่
อย่างไรก็ดี มหาวิทยาลัย แนะนำและสนับสนุนให้เจ้าของข้อมูลส่วนบุคคลทำการตรวจสอบเพื่อรับทราบนโยบายฉบับใหม่อย่างสม่ำเสมอผ่าน https://www.cmu.ac.th/ หรือ แอปพลิเคชัน หรือช่องทางเฉพาะกิจกรรมที่มหาวิทยาลัยดำเนินการ โดยเฉพาะก่อนที่เจ้าของข้อมูลส่วนบุคคลจะทำการเปิดเผยข้อมูลส่วนบุคคลแก่มหาวิทยาลัย
การเข้าใช้งานผลิตภัณฑ์หรือบริการของมหาวิทยาลัย ภายหลังการบังคับใช้นโยบายใหม่ ถือเป็นการรับทราบตามข้อตกลงในนโยบายใหม่แล้ว ทั้งนี้ กรณีที่เจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับรายละเอียดในนโยบายฉบับนี้ เจ้าของข้อมูลส่วนบุคคลสามารถหยุดใช้งานหรือใช้บริการ รวมถึงสามารถติดต่อมายังมหาวิทยาลัย เพื่อชี้แจงข้อเท็จจริงต่อไป
ข้อ 23 การติดต่อสอบถามหรือใช้สิทธิ
หากเจ้าของข้อมูลส่วนบุคคลมีข้อสงสัย ข้อเสนอแนะหรือข้อกังวลเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของมหาวิทยาลัย หรือเกี่ยวกับนโยบายนี้ หรือเจ้าของข้อมูลส่วนบุคคลต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลตามที่ระบุในข้อ 19 เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อสอบถามได้ที่: