ประกาศกองทุนบำเหน็จบำนาญข้าราชการประกาศกองทุนบำเหน็จบำนาญข้าราชการเรื่องนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์[๑] โดยที่เป็นการสมควรกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนเพื่อให้การรวบรวม การจัดเก็บ และการนำข้อมูลส่วนบุคคลไปใช้เป็นไปตามมาตรฐานของกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์และเพื่อให้เกิดความมั่นคงปลอดภัยแก่ข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนอาศัยอำนาจตามความในมาตรา ๒๔แห่งพระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการ พ.ศ. ๒๕๓๙ เลขาธิการคณะกรรมการ กบข.จึงออกประกาศไว้ ดังต่อไปนี้ข้อ ๑ ประกาศนี้เรียกว่าประกาศกองทุนบำเหน็จบำนาญข้าราชการ เรื่องนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ข้อ ๒ ในประกาศนี้ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของบุคคลหรือผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนเช่น การศึกษา ฐานะ การเงิน ประวัติสุขภาพ ประวัติอาชญากรรม หรือประวัติการทำงานเลขหมาย หรือรหัสรวมทั้งข้อมูลเกี่ยวกับสิ่งบอกลักษณะอย่างอื่นที่ทำให้สามารถระบุตัวบุคคลหรือผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนได้เช่น ลายพิมพ์นิ้วมือ รูปถ่าย หรือแผ่นบันทึกลักษณะเสียงของบุคคลและให้หมายความรวมถึงข้อมูลเกี่ยวกับสิ่งเฉพาะตัวหรือสิ่งบอกลักษณะอย่างอื่นที่ทำให้สามารถระบุตัวบุคคลของผู้ที่ถึงแก่กรรมแล้วด้วยกฎหมายของกองทุน หมายความว่า พระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการพ.ศ. ๒๕๓๙ และที่แก้ไขเพิ่มเติม รวมทั้งข้อบังคับ ระเบียบ ประกาศ คำสั่ง นโยบายและมติที่ออกโดยอาศัยอำนาจตามพระราชบัญญัติกองทุนบำเหน็จบำนาญข้าราชการ พ.ศ. ๒๕๓๙และที่แก้ไขเพิ่มเติมด้วยข้อ ๓ การเก็บรวบรวมข้อมูลส่วนบุคคลอย่างจำกัด(๑)กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็นตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดเท่านั้นและในกรณีที่เป็น(ก)การรวบรวมและจัดเก็บข้อมูลส่วนบุคคลเพื่อจัดทำข้อมูลสถิติเกี่ยวกับประชากรทางเว็บไซต์กองทุนจะต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลส่วนบุคคลทราบก่อน(ข)การรวบรวมและจัดเก็บข้อมูลส่วนบุคคลนอกเหนือจากอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดกองทุนจะแจ้งวัตถุประสงค์รวมทั้งวิธีการรวบรวมและจัดเก็บข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบเพื่อให้ความยินยอมก่อน(๒)กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลจากแหล่งข้อมูลดังต่อไปนี้(ก) เจ้าของข้อมูลส่วนบุคคลโดยตรง(ข) ส่วนราชการหรือหน่วยงานเจ้าสังกัดของเจ้าของข้อมูลส่วนบุคคล(ค)ส่วนราชการหรือหน่วยงานอื่นที่มีอำนาจหน้าที่รวบรวมและจัดเก็บข้อมูลส่วนบุคคล(๓) กองทุนจะรวบรวมและจัดเก็บข้อมูลส่วนบุคคลตามประเภทและชนิดของข้อมูลส่วนบุคคลนั้นเช่น ประวัติส่วนตัว สถิติเกี่ยวกับประชากร ฐานะการเงิน ประวัติการทำงานข้อมูลสำหรับการติดต่อ หรือข้อมูลเชิงพฤติกรรม โดยใช้วิธีดังต่อไปนี้(ก) กรอกข้อมูลส่วนบุคคลในเอกสารและนำส่งเป็นกระดาษ(ข)กรอกข้อมูลส่วนบุคคลและนำส่งเป็นข้อมูลอิเล็กทรอนิกส์ผ่านทางเว็บไซต์หรือช่องทางสื่อสารทางอิเล็กทรอนิกส์อื่นใดที่กองทุนจัดไว้(๔) กองทุนจะจัดเก็บบันทึกข้อมูลการเข้า ออกเว็บไซต์ (Log Files) ของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนเพื่อให้เป็นไปตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์และเพื่อการพัฒนาประสิทธิภาพการให้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนซึ่งอาจมีข้อมูลที่สามารถเชื่อมโยงกับข้อมูลส่วนบุคคลของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนด้วยก็ได้ข้อ ๔ คุณภาพของข้อมูลส่วนบุคคล(๑) ข้อมูลส่วนบุคคลที่กองทุนรวบรวมและจัดเก็บไว้จะต้องมีความถูกต้องครบถ้วน และเป็นปัจจุบัน(๒) ในกรณีที่แหล่งข้อมูลตามข้อ ๓ (๒)ได้ให้หรือเปลี่ยนแปลงข้อมูลส่วนบุคคลและกองทุนได้รับทราบมาด้วยวิธีการใดตามข้อ ๓(๓) กองทุนจะพิจารณานำข้อมูลส่วนบุคคลดังกล่าวไปรวมเข้ากับข้อมูลส่วนบุคคลที่กองทุนมีอยู่เพื่อให้ข้อมูลส่วนบุคคลมีความถูกต้อง ครบถ้วน และเป็นปัจจุบันข้อ ๕ การบริหารจัดการข้อมูลส่วนบุคคล(๑)กองทุนจะบริหารจัดการข้อมูลส่วนบุคคลตามนโยบายที่กำหนดไว้ในประกาศนี้และจะกำกับดูแลให้การนำข้อมูลส่วนบุคคลไปใช้เท่าที่จำเป็นในการปฏิบัติตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดเพื่อประโยชน์แก่ผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนหรือเพื่อพัฒนาการบริการของกองทุนในเรื่องต่างๆ ให้มีประสิทธิภาพยิ่งขึ้นเท่านั้น(๒) กองทุนจะจัดให้มีระบบการเก็บรักษาข้อมูลส่วนบุคคลที่มีประสิทธิภาพและมีความปลอดภัยในระดับที่เหมาะสม(๓)การกำหนดหรือเปลี่ยนแปลงนโยบายเกี่ยวกับข้อมูลส่วนบุคคลจะต้องเป็นไปตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดเท่านั้น(๔) การดำเนินการใดของกองทุนที่มีลักษณะเป็นการเปลี่ยนแปลงวัตถุประสงค์หรือนโยบายเกี่ยวกับข้อมูลส่วนบุคคลซึ่งกระทบต่อสิทธิของผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนอย่างมีนัยสำคัญกองทุนจะต้องแจ้งให้ผู้ใช้บริการดังกล่าวทราบล่วงหน้าทางเว็บไซต์ที่ให้บริการธุรกรรมทางอิเล็กทรอนิกส์หรือสื่ออื่นใดที่กองทุนใช้เพื่อการประชาสัมพันธ์กิจการของกองทุนและจะต้องบันทึกสิ่งที่ดำเนินการนั้นไว้เป็นหลักฐานด้วยข้อ ๖ ข้อจำกัดการใช้ข้อมูลส่วนบุคคลกองทุนจะให้ความสำคัญแก่การเก็บรักษาข้อมูลส่วนบุคคลโดยปฏิบัติตามแนวทางการเก็บรักษาข้อมูลความลับที่กำหนดไว้และจะไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลให้บุคคลหรือหน่วยงานอื่นใดทราบโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ให้ไว้ก่อนหรือในขณะที่เปิดเผยข้อมูลส่วนบุคคลนั้นเว้นแต่ในกรณีดังต่อไปนี้(๑) การอนุญาตให้ใช้หรือเปิดเผยข้อมูลส่วนบุคคลแก่พนักงาน ลูกจ้างหรือผู้ที่ได้รับมอบหมายจากกองทุนซึ่งมีอำนาจหน้าที่ปฏิบัติงานเพื่อประโยชน์แก่กิจการของกองทุนและจำเป็นจะต้องใช้ข้อมูลส่วนบุคคลนั้นในการปฏิบัติงาน(๒)การอนุญาตให้บุคคลใดสามารถใช้ข้อมูลส่วนบุคคลได้ตามปกติภายใต้วัตถุประสงค์ของการจัดให้มีข้อมูลส่วนบุคคลนั้นโดยไม่ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล(๓)การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงานหรือหน่วยงานซึ่งมีอำนาจหน้าที่ตามกฎหมายในการเรียกให้กองทุนส่งข้อมูลส่วนบุคคล(๔)การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลใดเพื่อประโยชน์ในการศึกษาวิจัยโดยไม่ระบุชื่อหรือส่วนที่ทำให้ทราบว่าเป็นข้อมูลส่วนบุคคลของบุคคลใด(๕) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงานหรือบุคคลใดซึ่งจำเป็นต้องใช้ข้อมูลส่วนบุคคลเพื่อการระงับอันตรายที่จะเกิดแก่ชีวิต ร่างกายทรัพย์สิน อนามัย หรือเสรีภาพของบุคคล(๖) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงานหรือบุคคลใดซึ่งจำเป็นต้องใช้ข้อมูลส่วนบุคคลเพื่อป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายเพื่อการสืบสวนสอบสวน หรือเพื่อการดำเนินคดีตามกฎหมาย(๗) การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล(๘)การเปิดเผยหรือจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลใดเพื่อให้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนมีความถูกต้องครบถ้วนสมบูรณ์หรือเพื่อพัฒนาการให้การบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุน(๙)กรณีอื่นใดที่กองทุนต้องปฏิบัติให้เป็นไปตามอำนาจหน้าที่และขอบเขตวัตถุประสงค์ที่กฎหมายของกองทุนกำหนดการอนุญาตให้ใช้ การเปิดเผยหรือการจัดส่งข้อมูลส่วนบุคคลแก่หน่วยงานหรือบุคคลภายนอกจะต้องอยู่ภายใต้หลักการรู้เท่าที่จำเป็น(Need to Know Basis) และกองทุนจะต้องจัดให้มีสัญญาหรือข้อตกลงกำหนดเงื่อนไขการใช้ข้อมูลส่วนบุคคลที่เหมาะสมรวมทั้งต้องกำหนดเกี่ยวกับการรักษาความลับของข้อมูลส่วนบุคคลดังกล่าวด้วยเว้นแต่เป็นการอนุญาตให้ใช้ การเปิดเผยหรือการจัดส่งข้อมูลส่วนบุคคลแก่เจ้าพนักงาน หน่วยงานหรือบุคคลภายนอกซึ่งมีอำนาจหน้าที่ตามกฎหมายข้อ ๗ การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลกองทุนจะจัดให้มีการรักษาความปลอดภัยที่มีมาตรฐานเพื่อให้ระบบคอมพิวเตอร์และการทำธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนมีความมั่นคงปลอดภัยทั้งทางกายภาพและในกระบวนการรวบรวม การจัดเก็บ การเก็บรักษาและการนำข้อมูลส่วนบุคคลไปใช้งานโดยจะต้องมีการควบคุมการเข้าถึงข้อมูลส่วนบุคคลอย่างเหมาะสมและมีการป้องกันไม่ให้บุคคลที่ไม่มีอำนาจหน้าที่เกี่ยวข้องสามารถเข้าถึง แก้ไขเปลี่ยนแปลง ทำลาย ทำให้สูญหาย นำไปใช้โดยไม่ได้รับอนุญาตหรือเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบข้อ ๘ การเปิดเผยและเผยแพร่การดำเนินการแนวปฏิบัติ และนโยบายเกี่ยวกับข้อมูลส่วนบุคคล(๑) กองทุนจะเปิดเผยและเผยแพร่การดำเนินการ แนวปฏิบัติและนโยบายเกี่ยวกับข้อมูลส่วนบุคคลรวมทั้งวัตถุประสงค์ของการนำข้อมูลส่วนบุคคลที่รวบรวมและจัดเก็บไปใช้งานตลอดจนการแก้ไขปรับปรุงการดำเนินการ แนวปฏิบัติ และนโยบายดังกล่าวผ่านทางเว็บไซต์ ของกองทุนและผ่านสื่อที่กองทุนใช้เพื่อการประชาสัมพันธ์ตามความเหมาะสม(๒) กองทุนจะจัดช่องทางสำหรับเจ้าของข้อมูลส่วนบุคคลเพื่อให้สามารถตรวจสอบความมีอยู่และความถูกต้องของข้อมูลส่วนบุคคลรวมทั้งสามารถแก้ไขปรับปรุงข้อมูลส่วนบุคคลของตนเองได้ตามความเหมาะสม เช่นเว็บไซต์ของกองทุน เจ้าหน้าที่ของกองทุน หรือช่องทางการสื่อสารอื่นที่เหมาะสม(๓)กองทุนจะจัดให้มีช่องทางให้ผู้ใช้บริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนสามารถติดต่อสอบถามหรือขอรับบริการกับเจ้าหน้าที่ของกองทุนผ่านทางเว็บไซต์หรือสถานที่ทำการของกองทุนหรือส่วนราชการเจ้าสังกัดของผู้ใช้บริการหรือช่องทางการสื่อสารอื่นที่กองทุนจัดให้ตามความเหมาะสมข้อ ๙ การมีส่วนร่วมเกี่ยวกับข้อมูลส่วนบุคคล(๑)กองทุนจะแจ้งความมีอยู่ของข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลตามที่กองทุนได้รับการร้องขอภายในระยะเวลาที่สมควร(๒) ในกรณีที่เจ้าของข้อมูลส่วนบุคคลหรือผู้แทนที่มีอำนาจตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลมีการโต้แย้งคัดค้านเกี่ยวกับการรวบรวมการจัดเก็บ การเก็บรักษา การใช้งาน ความถูกต้องครบถ้วนหรือการอื่นใดเกี่ยวกับข้อมูลส่วนบุคคลกองทุนจะต้องมีการบันทึกการโต้แย้งคัดค้านดังกล่าวไว้เป็นหลักฐานด้วยข้อ ๑๐ ความรับผิดชอบเกี่ยวกับข้อมูลส่วนบุคคลกองทุนจะกำหนดให้หน่วยงานในสังกัดของกองทุนที่มีอำนาจหน้าที่ในการรวบรวมการจัดเก็บ การใช้ การอนุญาตให้ใช้ และการควบคุมดูแลข้อมูลส่วนบุคคลรวมทั้งผู้ที่ได้รับมอบหมายให้ปฏิบัติงานและใช้งานข้อมูลส่วนบุคคล ต้องปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบริการธุรกรรมทางอิเล็กทรอนิกส์ของกองทุนที่กำหนดไว้อย่างเคร่งครัดประกาศณ วันที่ ๑๓ พฤศจิกายน พ.ศ. ๒๕๕๕โสภาวดีเลิศมนัสชัยเลขาธิการคณะกรรมการกบข.ปริยานุช/ผู้จัดทำ๑๖ ธันวาคม๒๕๕๗ปริญสินีย์/ผู้ตรวจ๑๖ ธันวาคม๒๕๕๗[๑] ราชกิจจานุเบกษาเล่ม ๑๓๑/ตอนที่ ๑๓๓ ง/หน้า ๒๖๖/๑๑ ธันวาคม ๒๕๕๗