ตามประกาศมหาวิทยาลัยศรีปทุม เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคลมหาวิทยาลัยศรีปทุม (Personal data protection policy Sripatum University) ลงวันที่ 2 มิถุนายน พ.ศ.2563 ไปแล้วนั้น เพื่อให้มีความครอบคลุมและเกิดประโยชน์สูงสุด ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มหาวิทยาลัยจึงแก้ไขเพิ่มเติมข้อความในประกาศมหาวิทยาลัยศรีปทุม เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคลมหาวิทยาลัยศรีปทุม ลงวันที่ 2 มิถุนายน พ.ศ.2563 โดยมีรายละเอียด ดังนี้
ข้อ 1 ให้เพิ่มความต่อไปนี้ในข้อ 3
“เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายถึง บุคคลผู้ทำหน้าที่คุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย (Data Protection Officer : DPO) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
“คุกกี้” หมายถึง ข้อความขนาดเล็กที่ถูกดาวน์โหลดไปยังอุปกรณ์คอมพิวเตอร์หรืออุปกรณ์มือถือของเจ้าของข้อมูล ซึ่งเป็นไฟล์ที่เว็บไซต์ต่างๆที่เจ้าของข้อมูลเข้าชมสร้างขึ้น ทำหน้าที่บันทึกข้อมูลและการตั้งค่าต่าง ๆ เช่น บันทึกข้อมูลการตั้งค่าภาษาในอุปกรณ์บนอุปกรณ์ของเจ้าของข้อมูล บันทึกสถานการณ์เข้าใช้งานในปัจจุบันของเจ้าของข้อมูล ลงบนบราวเซอร์ของเจ้าของข้อมูลเมื่อเข้าไปในเว็บ เพื่อช่วยให้เจ้าของข้อมูลสามารถเข้าใช้งานเว็บไซต์หรือแอปพลิเคชั่น (รวมเรียกว่า “บริการ”) ได้อย่างต่อเนื่อง โดยจุดประสงค์หลักก็คือการทำให้มหาวิทยาลัยสามารถจัดเก็บข้อมูลบางอย่างไว้ที่เว็บบราวเซอร์ของเจ้าของข้อมูล เช่น ข้อมูลแบบฟอร์มที่เคยกรอก ข้อมูลที่บันทึกว่าเคยมีการเข้ามาที่เว็บไซต์แห่งนี้ ข้อมูลการตั้งค่าต่างๆ ของเว็บไซต์ รวมถึงมีการรวบรวมข้อมูลเกี่ยวกับประวัติการเข้าใช้งานบริการที่เจ้าของข้อมูลชื่นชอบในรูปแบบไฟล์ โดยคุกกี้ไม่ได้ทำให้เกิดอันตรายต่ออุปกรณ์ของเจ้าของข้อมูล และเนื้อหาในคุกกี้จะถูกเรียกออกมาดูหรืออ่านได้โดยบริการที่สร้างคุกกี้ดังกล่าวเท่านั้น
ข้อ 2 ให้ยกเลิกความใน 4.2 และให้ใช้ความต่อไปนี้แทน
“4.2 การใช้และเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยจะดำเนินการเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายและภายใต้ความยินยอมของเจ้าของข้อมูลที่ได้ให้ไว้กับมหาวิทยาลัยเท่านั้น ซึ่งการเปิดเผยข้อมูลดังกล่าวมหาวิทยาลัยอาจเปิดเผย ให้แก่หน่วยงานหรือบุคคลภายนอก เช่น
(1) พันธมิตรทางธุรกิจของมหาวิทยาลัย
(2) เครื่องมือทางการตลาดออนไลน์
(3) บริษัทหรือที่ปรึกษาด้านการตลาด
(4) ที่ปรึกษาทางธุรกิจหรือทางวิชาชีพ
(5) ธนาคารคู่สัญญา
(6) หน่วยงานที่นักศึกษามีความประสงค์จะฝึกงานหรือสมัครเข้าทำงาน
(7) หน่วยงานของรัฐที่เกี่ยวข้องกับการดำเนินงานของมหาวิทยาลัยด้านการศึกษา เช่น กระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัย และนวัตกรรม (อว.) และสำนักงานคณะกรรมการการอุดมศึกษา ประกันสังคม กองทุนเงินให้กู้ยืมเพื่อการศึกษา กองทุนเงินกู้ยืมเพื่อการศึกษาที่ผูกกับรายได้ในอนาคต เป็นต้น”
ข้อ 3 ให้ยกเลิกความใน ข้อ 5 และให้ใช้ความต่อไปนี้แทน
“ข้อ 5 วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
มหาวิทยาลัยมีวัตถุประสงค์ในการจัดการศึกษา เพื่อมุ่งให้ความรู้ ความชำนาญแก่ผู้ศึกษา สนองความต้องการโดยให้สอดคล้องกับภาวะเศรษฐกิจและสังคมของชาติ เน้นการปฏิบัติภารกิจของสถาบันอุดมศึกษาในด้านการเรียน การสอน การวิจัย การให้บริการทางวิชาการแก่สังคม และการทำนุบำรุงศิลปวัฒนธรรมอันดีงามของชาติ ทั้งนี้ มหาวิทยาลัยจะเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคล เท่าที่จำเป็นตามวัตถุประสงค์การดำเนินงานของมหาวิทยาลัยและพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ภายใต้ฐานดังต่อไปนี้
5.1 ฐานสัญญา (Contract)
เป็นการจำเป็นที่เจ้าของข้อมูลจะต้องให้ข้อมูลส่วนบุคคลแก่มหาวิทยาลัยเมื่อเจ้าของข้อมูลได้ใช้บริการหรือติดต่อเกี่ยวกับข้อเสนอการให้บริการหรือเข้าทำสัญญากับมหาวิทยาลัย เพื่อมหาวิทยาลัยจะได้นำข้อมูลดังกล่าวไปประมวลผลเกี่ยวกับการให้บริการหรือการเข้าทำสัญญาหรือเพื่อให้มหาวิทยาลัยได้ติดต่อสื่อสารหรือเพื่อติดตามและแจ้งผลเกี่ยวกับการปฏิบัติตามสัญญาให้แก่เจ้าของข้อมูลทราบ
5.2 ฐานความยินยอม (Consent)
กรณีจำเป็นมหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลเพื่อออกแบบหรือพัฒนาเกี่ยวกับการศึกษาหรือการบริการเพื่อนำเสนอการจัดกิจกรรมทางการตลาดที่เกี่ยวกับการศึกษาของมหาวิทยาลัย หรือเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล
5.3 ฐานประโยชน์อันชอบธรรม (Legitimate Interest)
กรณีจำเป็นเมื่อเจ้าของข้อมูลให้ความยินยอมกับมหาวิทยาลัย มหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลเพื่อการออกแบบ หรือเพื่อการพัฒนาเกี่ยวกับการศึกษา หรือการบริการเพื่อนำเสนอกิจกรรมทางการตลาดที่เกี่ยวกับการศึกษา หรือเพื่อการบริหารจัดการภายใต้การดำเนินงานของมหาวิทยาลัย
5.4 ฐานจดหมายเหตุ วิจัย หรือสถิติ
มหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือการศึกษา วิจัย การจัดทำสถิติ ซึ่งได้จัดให้มีมาตรการที่เหมาะสม
5.5 ฐานประโยชน์สำคัญต่อชีวิต (Vital Interest)
กรณีจำเป็นมหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลเพื่อประโยชน์ในการระงับอันตรายเกี่ยวกับชีวิต สุขภาพ หรือความปลอดภัยของเจ้าของข้อมูลหรือบุคคลอื่น
5.6 ฐานภารกิจของรัฐ (Public Task)
กรณีจำเป็นมหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติในการใช้อำนาจรัฐที่ได้มอบหมายให้แก่มหาวิทยาลัย
5.7 ฐานหน้าที่ตามกฎหมาย (Legal Obligation)
กรณีมีความจำเป็นมหาวิทยาลัยอาจนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปใช้ในการประมวลผลข้อมูลเพื่อปฏิบัติตามกฎหมายทั้งที่มีผลใช้บังคับในปัจจุบันและที่จะมีการแก้ไขหรือเพิ่มเติมในอนาคต”
ข้อ 4 ให้ยกเลิกความใน ข้อ 7 และให้ใช้ความต่อไปนี้แทน
“ข้อ 7 ระยะเวลาในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
มหาวิทยาลัยจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลเท่าที่จำเป็นเพื่อให้บรรลุตามวัตถุประสงค์แต่ละประเภท เว้นแต่ มหาวิทยาลัยอาจยังคงจัดเก็บข้อมูลส่วนบุคคลของเจ้าของข้อมูลต่อไปหากเห็นว่ายังมีความจำเป็นหรือกฎหมายกำหนดให้มีระยะเวลาการเก็บรักษาที่นานขึ้น
ทั้งนี้ มหาวิทยาลัยจะลบหรือทำลายข้อมูลส่วนบุคคลของเจ้าของข้อมูลเมื่อหมดความจำเป็นหรือสิ้นสุดระยะเวลาตามวัตถุประสงค์นั้น”
ข้อ 5 ให้เพิ่มความต่อไปนี้ต่อท้ายจาก ข้อ 9 ดังนี้
“ข้อ 10 การเปิดเผยและโอนข้อมูลส่วนบุคคลไปต่างประเทศ
ในกรณีที่มหาวิทยาลัยมีการเปิดเผย ส่ง หรือโอนข้อมูลส่วนบุคคลไปต่างประเทศมหาวิทยาลัยจะดำเนินการเพื่อให้มั่นใจว่าประเทศปลายทางดังกล่าวมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอและมหาวิทยาลัยอาจขอความยินยอมจากเจ้าของข้อมูลสำหรับการเปิดเผย ส่ง หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามที่กฎหมายกำหนด”
ข้อ 6 ให้เพิ่มความต่อไปนี้ต่อท้ายจาก ข้อ 10 ดังนี้
“ข้อ 11 สิทธิในฐานะเจ้าของข้อมูล
เจ้าของข้อมูลมีสิทธิในการดำเนินการตามขอบเขตที่กฎหมายอนุญาตให้กระทำได้ ดังต่อไปนี้
11.1 สิทธิในการขอเพิกถอนความยินยอม
กรณีเจ้าของข้อมูลให้ความยินยอมเพื่อให้มหาวิทยาลัย เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล เจ้าของข้อมูลมีสิทธิที่จะถอนความยินยอมเมื่อใดก็ได้ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของเจ้าของข้อมูลอยู่กับมหาวิทยาลัย เว้นแต่มีข้อจำกัดสิทธินั้นโดยกฎหมายหรือมีสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูล ทั้งนี้การถอนความยินยอมของเจ้าของข้อมูลจะไม่กระทบต่อการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลที่ได้ให้ความยินยอมไปแล้วโดยชอบด้วยกฎหมาย
11.2 สิทธิในการขอเข้าถึงข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตนที่อยู่ในความรับผิดชอบของมหาวิทยาลัย หรือขอให้มหาวิทยาลัยเปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่เจ้าของข้อมูลไม่ได้ให้ความยินยอม
11.3 สิทธิในการขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
เจ้าของข้อมูลมีสิทธิขอให้มหาวิทยาลัยแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
11.4 สิทธิในการขอลบหรือทำลายข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิขอให้มหาวิทยาลัยลบหรือทำลายข้อมูลส่วนบุคคลของเจ้าของข้อมูลได้ หากพบว่าข้อมูลดังกล่าวหมดความจำเป็นที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้นตามวัตถุประสงค์ของมหาวิทยาลัยแล้ว หรือกรณีที่เจ้าของข้อมูลได้ถอนความยินยอมและมหาวิทยาลัยไม่มีอำนาจดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของเจ้าของข้อมูลได้ หรือเจ้าของข้อมูลได้ใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลและมหาวิทยาลัยไม่สามารถอ้างเหตุปฏิเสธการคัดค้านได้ หรือในกรณีที่มหาวิทยาลัยได้ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลโดยไม่ชอบด้วยกฎหมาย
11.5 สิทธิในการขอระงับการใช้ข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิขอให้มหาวิทยาลัยระงับการใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลได้ ในกรณีที่มหาวิทยาลัยดำเนินการระหว่างการตรวจสอบความถูกต้องตามคำขอใช้สิทธิแก้ไขข้อมูลส่วนบุคคลของเจ้าของข้อมูล หรือขอให้ระงับการใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลแทนการลบหรือทำลายข้อมูลส่วนบุคคลที่เป็นข้อมูลไม่ชอบด้วยกฎหมาย หรือเป็นข้อมูลที่หมดความจำเป็นแล้ว หรือข้อมูลส่วนบุคคลของเจ้าของข้อมูลอยู่ระหว่างการพิสูจน์กรณีที่เจ้าของข้อมูลได้คัดค้านมหาวิทยาลัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลเพื่อปฏิเสธการใช้สิทธิคัดค้านของเจ้าของข้อมูลดังกล่าว
11.6 สิทธิในการขอรับ ขอให้ส่ง หรือโอนข้อมูลส่วนบุคคลของเจ้าของข้อมูล
เจ้าของข้อมูลมีสิทธิขอรับข้อมูลส่วนบุคคลในกรณีที่มหาวิทยาลัยได้ทำให้ข้อมูลนั้นอยู่ในรูปแบบที่สามารถอ่าน ใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้ด้วยวิธีการอัตโนมัติ และเจ้าของข้อมูลมีสิทธิขอให้มหาวิทยาลัยส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลอื่น รวมทั้งมีสิทธิขอรับข้อมูลส่วนบุคคลที่มหาวิทยาลัยได้ส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลอื่นดังกล่าวได้โดยตรงเว้นแต่ไม่สามารถดำเนินการได้เพราะเหตุทางเทคนิค
11.7 สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิขอคัดค้านมหาวิทยาลัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลเมื่อใดก็ได้ที่ได้ดำเนินการภายใต้ฐานประโยชน์โดยชอบด้วยกฎหมาย เว้นแต่มหาวิทยาลัยแสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นความจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ
11.8 สิทธิในการร้องเรียน
เจ้าของข้อมูลมีสิทธิในการร้องเรียนต่อผู้มีอำนาจตามกฎหมายที่เกี่ยวข้อง หากเจ้าของข้อมูลเชื่อว่าการที่มหาวิทยาลัยดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลเป็นการกระทำในลักษณะที่ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายที่เกี่ยวข้อง”
ข้อ 7 ให้เพิ่มความต่อไปนี้ต่อท้ายจาก ข้อ 11 ดังนี้
“ข้อ 12 การเปลี่ยนแปลงประกาศนโยบาย
มหาวิทยาลัยอาจปรับปรุง เปลี่ยนแปลง หรือแก้ไขประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้เพื่อให้สอดคล้องกับการดำเนินงานของมหาวิทยาลัยและกฎหมายที่เกี่ยวข้อง โดยจะประกาศให้ทราบผ่านเว็บไซต์ของมหาวิทยาลัยที่ www.spu.ac.th www.chonburi.spu.ac.th www.khonkaen.spu.ac.th”
ข้อ 8 ให้เพิ่มความต่อไปนี้ต่อท้ายจาก ข้อ 12 ดังนี้
“ข้อ 13 บทกำหนดโทษ
มหาวิทยาลัยกำหนดให้หน่วยงานหรือผู้ปฏิบัติงานของมหาวิทยาลัยที่เกี่ยวข้องกับข้อมูลส่วนบุคคลมีหน้าที่รับผิดชอบในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเคร่งครัดหากไม่ปฏิบัติหรือฝ่าฝืนตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย จะต้องถูกลงโทษทางวินัยตามระเบียบของมหาวิทยาลัย และอาจต้องรับโทษตามที่กฎหมายกำหนด”
(ดร.รัชนีพร พุคยาภรณ์ พุกกะมาน)
อธิการบดี
