มาตรการรักษาความมั่นคงปลอดภัย

หลักการและเหตุผล

บริษัท จระเข้คอร์ปอเรชั่น จำกัด และบริษัทในกลุ่มภายในประเทศ (รวมเรียกว่า "กลุ่มบริษัท") เคารพสิทธิความเป็นส่วนตัวของข้อมูลส่วนบุคคล และเพื่อให้เป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ.2565 "กฎหมาย" กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องดำเนินการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล

วัตถุประสงค์ เพื่อคุ้มครองสิทธิในความเป็นส่วนตัวของเจ้าของข้อมูลส่วนบุคคลและอำนาจในการควบคุมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งกฎหมายรับรองไว้ให้ ด้วยเหตุนี้การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล เป็นหน้าที่ประการหนึ่งตามกฎหมายที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล รวมถึงผู้ประมวลผลข้อมูลส่วนบุคคล จะต้องปฏิบัติ เพื่อป้องกันมิให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งจะทำให้เกิดการละเมิดข้อมูลส่วนบุคคล

การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

กลุ่มบริษัทจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล โดยครอบคลุมการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามกฎหมาย ทั้งมาตรการป้องกันด้านการบริหารจัดการ มาตรการป้องกันด้านเทคนิค และมาตรการป้องกันทางกายภาพ โดยดำเนินการดังนี้

1. มาตรการป้องกันด้านการบริหารจัดการ
   1. กลุ่มบริษัทมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามนโยบายนี้ ให้แก่คณะกรรมการ กรรมการ ผู้บริหาร พนักงาน ผู้ปฏิบัติงานทุกระดับ ลูกจ้างทุกประเภทของบริษัท ตลอดจนคู่ค้า พันธมิตรทางธุรกิจ และหรือผู้มีส่วนได้เสียของบริษัททราบ รวมถึงสร้างเสริมความตระหนักรู้ ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลให้กับกลุ่มบุคคลดังกล่าวปฏิบัติตามมาตรการที่กำหนดอย่างเคร่งครัด
   2. กลุ่มบริษัทมีมาตรฐานการป้องกันความเสี่ยงที่อาจเกิดขึ้น การตรวจสอบและเฝ้าระวังภัยคุกคามและเหตุการณ์ละเมิดข้อมูลส่วนบุคคล โดยเป็นไปตามนโยบายการรักษาความปลอดภัยทางสารสนเทศ มีการกำหนดหน้าที่รับผิดชอบให้แก่ตัวแทนบริษัทในการดำเนินการเมื่อเกิดเหตุละเมิด และการรักษาและฟื้นฟูความเสียหายที่เกิดจากภัยคุกคามและเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ดังนี้
      1. กำหนดวิธีปฏิบัติกรณีมีเหตุละเมิด
      2. กำหนดวิธีปฏิบัติให้ตัวแทนของบริษัท ต้องดำเนินการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบถึงเหตุละเมิดข้อมูลส่วนบุคคลได้ภายใน 72 ชั่วโมง นับตั้งแต่ทราบเหตุ
      3. การแจ้งเหตุละเมิดตามข้อ 2.1.2.2. อาจได้รับยกเว้นไม่ต้อง หากไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ทั้งนี้ เมื่อมีเหตุการณ์ละเมิดข้อมูลส่วนบุคคล บริษัทจะทบทวนมาตรการรักษาความมั่นคงปลอดภัยทุกครั้ง
   3. กลุ่มบริษัทมีการกำหนดผู้ดูแลข้อมูล การอนุญาตหรือการกำหนดสิทธิการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้งาน (User Responsivities) แบ่งเป็นรูปแบบต่างๆ เช่น สิทธิในการเข้าดู แก้ไขเพิ่มเติม เปิดเผยและเผยแพร่ การตรวจสอบคุณภาพข้อมูล ตลอดจนการลบทำลาย
   4. กลุ่มบริษัทจัดให้มีการจำกัดการเข้าถึงข้อมูลส่วนบุคคล ของผู้ใช้งาน (User Access Management) เฉพาะ ผู้ที่ได้รับอนุญาตเท่านั้น
   5. กลุ่มบริษัทจัดให้มีวิธีการเพื่อตรวจสอบย้อนหลัง เกี่ยวกับการเข้าถึง เปลี่ยนแปลง ลบ สำเนา ถ่ายโอน ข้อมูลส่วนบุคคลให้สอดคล้องเหมาะสม
   6. ในกรณีที่มีการฝ่าฝืนไม่ปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยนี้ เนื่องจากความบกพร่องของบริษัทฯ และทำให้เกิดการละเมิดหรือการรั่วไหลของข้อมูลส่วนบุคคล กลุ่มบริษัทจะแจ้งให้เจ้าของข้อมูลทราบถึงรายละเอียดของเหตุการณ์และแผนเยียวยาความเสียหายจากการละเมิดหรือรั่วไหลดังกล่าวโดยเร็ว
      อย่างไรก็ตาม กลุ่มบริษัทจะไม่รับผิดชอบในความเสียหายใดๆ อันเกิดจากการใช้ การเปิดเผย รวมถึงการประมาทเลินเล่อของเจ้าของข้อมูล หรือบุคคลอื่นที่ได้รับความยินยอมจากเจ้าของข้อมูล
   7. การลบทำลายข้อมูลส่วนบุคคล เมื่อข้อมูลส่วนบุคคลพ้นระยะเวลาการใช้งานหรือไม่มีความจำเป็นในการเก็บรักษา กลุ่มบริษัทจะลบทำลายออกจากระบบ หรือทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ เว้นแต่ในกรณีที่ต้องเก็บรักษาข้อมูลส่วนบุคคลไว้ตามที่กฎหมายกำหนด
   8. กลุ่มบริษัทมีการดำเนินการสอบทานและประเมินประสิทธิภาพของระบบรักษาข้อมูลส่วนบุคคลโดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล(DPO) ร่วมกับหน่วยงานตรวจสอบภายใน และหน่วยงานที่เกี่ยวข้อง
   9. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
   10. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
   11. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
   12. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
   13. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
   14. กลุ่มบริษัทมีมาตรการรักษาความมั่นคง
2. มาตรการป้องกันด้านเทคนิค
   1. กลุ่มบริษัทมีการบริหารจัดการสิทธิ์ผู้ใช้งานที่เหมาะสม ซึ่งรวมถึงการให้สิทธิ์หรือลงทะเบียน การถอนสิทธิ์ การทบทวนสิทธิ์ และปรับปรุงสิทธิ์
   2. กลุ่มบริษัทมีระบบสำรองและกู้คืนข้อมูล เพื่อให้ระบบ และหรือ บริการต่าง ๆ ยังสามารถดำเนินการได้อย่างต่อเนื่อง ทั้งนี้เป็นไปตามหลักเกณฑ์และวิธีปฏิบัติทางสารสนเทศของกลุ่มบริษัท
3. มาตรการป้องกันทางกายภาพ
   1. กลุ่มบริษัทมีการควบคุมการเข้าถึงข้อมูลส่วนบุคคล อุปกรณ์ในการจัดเก็บและประมวลผลข้อมูลส่วนบุคคล โดยคำนึงถึงความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลเป็นที่ตั้ง
   2. กลุ่มบริษัทมีการกำหนดผู้ได้รับอนุญาตเข้าถึงอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล ตามหน้าที่ความรับผิดชอบเพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต การเปิดเผย การล่วงรู้ การลักลอบสำเนาข้อมูลส่วนบุคคล การลักขโมยอุปกรณ์จัดเก็บ หรือประมวลผลข้อมูลส่วนบุคคล และการดำเนินการป้องกัน ระมัดระวังไม่ให้ข้อมูลรั่วไหล หรือถูกละเมิด
4. กรณีต้องให้ข้อมูลส่วนบุคคลแก่บุคคล หรือนิติบุคคลอื่น

   กลุ่มบริษัทจะกำหนดให้ผู้รับข้อมูลส่วนบุคคล จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเทียบเท่าหรือดีกว่ามาตรการตามนโยบายนี้ เพื่อป้องกันการสูญหาย การเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบหรือกระทำโดยปราศจากอานาจโดยชอบด้วยกฎหมาย รวมทั้งต้องแจ้งให้กลุ่มบริษัททราบหากเกิดเหตุละเมิดข้อมูลส่วนบุคคล ทั้งนี้ความเข้มข้นของมาตรการ ให้เป็นไปตามระดับความเสี่ยง หรือความเสียหายที่อาจเกิดขึ้นหากข้อมูลส่วนบุคคลรั่วไหล ถูกแก้ไข ถูกคัดลอก หรือถูกทาลาย โดยมิชอบ

5. กรณีที่มีการฝ่าฝืนมาตรการรักษาความมั่นคงปลอดภัยของบริษัทในกลุ่ม

   หากฝ่าฝืนจนเป็นเหตุให้มีการละเมิดข้อมูลส่วนบุคคล หรือข้อมูลส่วนบุคคลรั่วไหลสู่สาธารณะ บริษัทจะดำเนินการแจ้งเจ้าของข้อมูลให้ทราบโดยเร็วรวมพร้อมแจ้ง แนวทางการเยียวยา

การทบทวนมาตรการ

กลุ่มบริษัทจัดให้มีการทบทวนมาตรการรักษาความมั่นคงปลอดภัย ของผู้ควบคุมข้อมูลส่วนบุคคลเป็นประจำทุกปี เมื่อมีความจำเป็น และ/หรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป

คำสงวนสิทธิ์

กลุ่มบริษัทจะไม่รับผิดชอบกรณีที่ความเสียหายใดๆ อันเกิดจากการใช้หรือการเปิดเผยข้อมูลส่วนบุคคลของ บุคคลที่สาม รวมถึงการละเลยหรือเพิกเฉย การออกจากระบบ (L๐g Out) ฐานข้อมูลหรือระบบสื่อสารสังคมออนไลน์โดยการกระทำของเจ้าของข้อมูลหรือบุคคลอื่นซึ่งได้รับความยินยอมจากเจ้าของข้อมูล

ช่องทางการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บริษัท จระเข้ คอร์ปอเรชั่น จำกัด
เลขที่ 10 ถนนกรุงเทพกรีฑา แขวงทับช้าง เขตสะพานสูง กรุงเทพมหานคร รหัสไปรษณีย์ 10250
โทรศัพท์ 02-7201000 [email protected]
(เวลาทำการ จันทร์-ศุกร์ 08.00 – 17.00 น.)