กองทุนบำเหน็จบำนาญข้าราชการ (กบข.) ตระหนักและให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของ “บุคคลที่เกี่ยวกับการจัดซื้อจัดจ้างและการบริหารพัสดุ” โดย กบข. มีความรับผิดชอบในการรักษาความปลอดภัยแก่ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่อยู่ภายใต้ความดูแลของ กบข. และมุ่งมั่นที่จะจัดการข้อมูลส่วนบุคคลดังกล่าวด้วยวิธีการที่มั่นคงปลอดภัย ประกาศนี้จึงจัดทำขึ้นเพื่อให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ตลอดจนระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล รวมทั้งสิทธิของเจ้าของข้อมูลส่วนบุคคลในฐานะเจ้าของข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้ กบข. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะดำเนินการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่กำหนดไว้ในประกาศนี้

1. คำนิยาม

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมทั้งข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ กบข.

“เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลภายนอกที่เกี่ยวกับการจัดซื้อจัดจ้างและการบริหารพัสดุของ กบข.

“การประมวลผลข้อมูลส่วนบุคคล” หมายความว่า การดำเนินการหรือชุดการดำเนินการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลด้วยระบบอัตโนมัติหรือไม่ก็ได้ เช่น การเก็บรวบรวม การบันทึก การจัดระเบียบ การจัดโครงสร้าง การจัดเก็บ การดัดแปลง การปรับเปลี่ยน การกู้คืน การใช้ การเปิดเผยด้วยการส่ง การแพร่กระจาย หรือทำให้มีอยู่ การจัดวางให้ถูกตำแหน่ง การรวม การจำกัด การลบ และการทำลาย รวมทั้งการอื่นใดที่ถูกควบคุมโดยกฎหมายคุ้มครองข้อมูลส่วนบุคคล

2. วัตถุประสงค์และฐานกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

กบข. ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์และภายใต้ฐานทางกฎหมายดังต่อไปนี้

วัตถุประสงค์	ฐานกฎหมาย
(1) เพื่อดำเนินการเกี่ยวกับการจัดซื้อจัดจ้างและการบริหารพัสดุ เช่น (ก) การตรวจพิจารณาคุณสมบัติของคู่ค้าเพื่อจัดทำทะเบียน (Approved Vendor List) (ข) เพื่อการสืบและจัดทำราคากลาง การเปิดเผยราคากลาง (ค) เพื่อการขอหรือรับข้อเสนอของโครงการจัดซื้อจัดจ้างและและการบริหารพัสดุ (ง) เพื่อการพิจารณาคุณสมบัติ การมีส่วนได้เสีย ข้อเสนอโครงการ และข้อเสนอราคา (จ) เพื่อการประกาศผู้ชนะการเสนอราคา (ฉ) เพื่อการทำสัญญาหรือข้อตกลงในการสั่งซื้อสั่งจ้าง เช่น การตรวจสอบยืนยันตัวตน การตรวจสอบอำนาจ การมอบอำนาจและการรับมอบอำนาจ การจัดทำหลักประกัน การเสนอราคาและหลักประกันการปฏิบัติตามสัญญา (ช) เพื่อการติดต่อประสานงาน การส่งหรือขอเอกสารที่เกี่ยวข้อง การนำเสนองาน หรือการดำเนินงาน (ซ) เพื่อการปฏิบัติงานตามสัญญาหรือข้อตกลง	(1) ฐานภารกิจของรัฐ (Public Task) (2) ฐานการปฏิบัติตามกฎหมาย (Legal Obligation) (3) ฐานการปฏิบัติตามสัญญา (Contract) (4) ฐานประโยชน์อันชอบธรรม (Legitimate Interest)
(2) เพื่อการปฏิบัติตามกฎหมายว่าด้วยการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ กฎหมายว่าด้วยภาษีอากร กฎหมายว่าด้วยการตรวจเงินแผ่นดิน กฎหมายว่าด้วยข้อมูลข่าวสารของราชการ	ฐานการปฏิบัติตามกฎหมาย (Legal Obligation)
(3) เพื่อการปฏิบัติตามหน้าที่และอำนาจของคณะกรรมการพัสดุ รวมทั้งการบริหารสัญญา	ฐานการปฏิบัติตามกฎหมาย (Legal Obligation)
(4) เพื่อการใช้งานระบบสารสนเทศหรือการใช้บริการที่จำเป็นต้องมีการพิสูจน์และยืนยันตัวตน	(1) ฐานการปฏิบัติตามกฎหมาย (Legal Obligation) (2) ฐานประโยชน์อันชอบธรรม (Legitimate Interest)
(5) เพื่อใช้เอกสารหลักฐานทางกฎหมายหรือเป็นหลักฐานอ้างอิง รวมทั้งเพื่อใช้ในกรณีมีการร้องขอ ร้องเรียน ร้องทุกข์ กล่าวหา ฟ้องร้อง ดำเนินคดี บังคับคดี หรือเพื่อใช้ตามกระบวนการทางกฎหมายที่เกี่ยวข้อง ตลอดจนการก่อตั้ง ปฏิบัติตาม ยกขึ้นต่อสู้ หรือใช้สิทธิเรียกร้องตามกฎหมาย	(1) ฐานประโยชน์อันชอบธรรม (Legitimate Interest) (2) ฐานการปฏิบัติตามกฎหมาย (Legal Obligation)
(6) เพื่อการจัดเก็บข้อมูล Log ตามกฎหมายที่เกี่ยวข้อง การเฝ้าระวังเหตุการณ์ภัยคุกคามทางด้านความมั่นคงปลอดภัยไซเบอร์ การให้บริการและการแก้ไขปัญหาการใช้งานระบบโครงสร้างพื้นฐานสารสนเทศ	(1) ฐานการปฏิบัติตามกฎหมาย (Legal Obligation) (2) ฐานประโยชน์อันชอบธรรม (Legitimate Interest)
(7) เพื่อการรักษาความปลอดภัยภายในบริเวณอาคารสถานที่หรือพื้นที่ที่ต้องการมาตรการรักษาความปลอดภัยเป็นพิเศษ เช่น ศูนย์คอมพิวเตอร์	ฐานประโยชน์อันชอบธรรม (Legitimate Interest)

ข้อมูลส่วนบุคคลที่ กบข. เก็บรวบรวมเพื่อวัตถุประสงค์ดังกล่าวข้างต้นเป็นข้อมูลที่จำเป็นสำหรับการปฏิบัติงานของ กบข. หรือการปฏิบัติตามกฎหมายต่าง ๆ ที่ใช้บังคับกับ กบข. ทั้งนี้ หากเจ้าของข้อมูลส่วนบุคคลไม่ให้ข้อมูลส่วนบุคคลที่จำเป็นดังกล่าวแก่ กบข. การปฏิบัติหน้าที่ตามภารกิจของ กบข. อาจไม่บรรลุวัตถุประสงค์ตามความต้องการของเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีที่ กบข. ประสงค์จะประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลนอกเหนือจากวัตถุประสงค์ดังกล่าวข้างต้น กบข. จะดำเนินการแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลส่วนบุคคลทราบ เว้นแต่กรณีที่มีกฎหมายบัญญัติไว้ ทั้งนี้ หาก กบข. จำเป็นต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล กบข. จะขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเป็นรายกรณี นอกจากนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลได้ให้ข้อมูลของบุคคลอื่นแก่ กบข. เจ้าของข้อมูลส่วนบุคคลจะต้องรับผิดชอบในการแจ้งให้บุคคลเหล่านั้นทราบถึงประกาศนี้และดำเนินการขอความยินยอม (หากจำเป็น)

3. ข้อมูลส่วนบุคคลที่เก็บรวบรวมและใช้

กบข. เก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามรายการดังต่อไปนี้

• 3.1 รายการข้อมูลส่วนบุคคลที่เก็บรวบรวม
1. ข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ-นามสกุล เลขบัตรประจำตัวประชาชน ลายมือชื่อ หรือภาพถ่าย
2. ข้อมูลเกี่ยวกับการติดต่อ เช่น ที่อยู่ หมายเลขโทรศัพท์ หรือไปรษณีย์อิเล็กทรอนิกส์
3. ข้อมูลทางการเงิน เช่น บัญชีธนาคาร (เลขที่บัญชี ชื่อบัญชี ประเภทบัญชี หรือชื่อธนาคาร)
4. ข้อมูลเกี่ยวกับการศึกษา เช่น ประวัติการศึกษา ประสบการณ์ทำงาน ประวัติการฝึกอบรม ความเชี่ยวชาญ ผลงาน หรือตำแหน่งงาน
5. ข้อมูลที่ กบข. ได้จากบุคคลภายนอก เช่น ข้อมูลส่วนบุคคลจากระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (e-Government Procurement : e-GP)
6. ข้อมูลส่วนบุคคลอื่นที่ได้รับความยินยอมในระหว่างปฏิบัติงาน เช่น ข้อมูลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไว้ให้แก่ กบข. ในระหว่างการปฏิบัติงานหรือการเข้าร่วมกิจกรรมกับ กบข.
7. ข้อมูลจากการเข้าร่วมเสนองานหรือเข้าร่วมงานกับ กบข. เช่น ข้อมูลเกี่ยวกับการนำเสนองาน ข้อคิดเห็น ข้อแนะนำ ข้อมูลภาพถ่ายหรือภาพเคลื่อนไหว หรือข้อมูลการบันทึกเสียงจากการเข้าร่วมงานหรือเข้าร่วมกิจกรรม
8. ข้อมูลที่เก็บจากอุปกรณ์ดิจิทัลซึ่งรวมถึงข้อมูลเกี่ยวกับระบบคอมพิวเตอร์หรืออุปกรณ์เทคโนโลยีที่เจ้าของข้อมูลส่วนบุคคล ใช้เพื่อเข้าสู่ระบบช่องทางการให้บริการ เช่น เว็บไซต์ แอปพลิเคชัน หรือสื่อสังคมออนไลน์ที่ กบข. ใช้เป็นช่องทางในการให้บริการและติดต่อกับเจ้าของข้อมูลส่วนบุคคล โดยจะมีการรวบรวมข้อมูลเกี่ยวกับเจ้าของข้อมูลส่วนบุคคลและกิจกรรมออนไลน์ของเจ้าของข้อมูลส่วนบุคคล เช่น ข้อมูลการใช้งานหรือเข้าสู่ระบบ
• 3.2 การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลอ่อนไหว

ในกรณีที่จำเป็น กบข. จะประมวลผลข้อมูลส่วนบุคคลอ่อนไหวของเจ้าของข้อมูลส่วนบุคคลโดยได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล หรือมีข้อยกเว้นในการเก็บรวบรวมข้อมูลส่วนบุคคลอ่อนไหวโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง กบข. จะใช้ความพยายามอย่างดีที่สุดในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เพียงพอ เพื่อปกป้องคุ้มครองข้อมูลส่วนบุคคลอ่อนไหวของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ กบข. จะประมวลผลข้อมูลส่วนบุคคลอ่อนไหวดังกล่าวเพื่อวัตถุประสงค์ตามกฎหมายกำหนดไว้และตามวัตถุประสงค์ที่ กบข. แจ้งไว้

ในกรณีที่ กบข. อาศัยความยินยอมในการประมวลผลข้อมูลส่วนบุคคล หากเจ้าของข้อมูลส่วนบุคคลไม่มีความประสงค์ให้ กบข. เก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลอ่อนไหวของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลสามารถปฏิเสธการประมวลผลได้ในการขอความยินยอมในครั้งนั้น ๆ หรือแจ้งเพิกถอนความยินยอมในภายหลังได้ตลอดเวลาโดยติดต่อได้ที่ฝ่ายบริหารสำนักงาน กบข.

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลไม่ประสงค์ให้ทำการประมวลผลข้อมูลส่วนบุคคลอ่อนไหว แต่ข้อมูลส่วนบุคคลอ่อนไหวดังกล่าวปรากฏอยู่บนบัตรประจำตัวประชาชนหรือเอกสารอื่นใดที่เจ้าของข้อมูลส่วนบุคคลได้สมัครใจเปิดเผยไว้ต่อ กบข. หรือส่งมอบข้อมูลใด ๆ ที่ปรากฏข้อมูลส่วนบุคคลอ่อนไหวให้แก่ กบข. ไม่ว่าจะเป็นการส่งมอบข้อมูลในลักษณะเป็นเอกสารหรือสื่ออื่นใด กบข. แนะนำให้เจ้าของข้อมูลส่วนบุคคลเป็นผู้ปกปิดข้อมูลส่วนบุคคลอ่อนไหวเหล่านี้ด้วยตัวเอง โดยวิธีการขีดฆ่าข้อมูลส่วนบุคคลอ่อนไหว อย่างไรก็ตาม หากเจ้าของข้อมูลส่วนบุคคลมิได้ปกปิดข้อมูลด้วยตัวเอง กบข. ถือว่าเจ้าของข้อมูลส่วนบุคคลได้อนุญาตโดยชัดแจ้งให้ กบข. ทำการปกปิดข้อมูลส่วนบุคคลอ่อนไหวให้แก่เจ้าของข้อมูลส่วนบุคคล และให้ถือว่าข้อมูลส่วนบุคคลอ่อนไหวที่เจ้าของข้อมูลส่วนบุคคลส่งมอบมาและ กบข. ได้จัดการปกปิดข้อมูลส่วนบุคคลอ่อนไหวแล้วนั้น เป็นเอกสารที่สมบูรณ์ ใช้บังคับได้ตามกฎหมายทุกประการ และให้ กบข. สามารถนำไปประมวลผลได้ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้ หากเป็นกรณีที่ กบข. ไม่สามารถจัดการปกปิดข้อมูลส่วนบุคคลอ่อนไหวให้ได้เนื่องด้วยปัญหาเชิงเทคนิคหรือปัญหาอื่นใด กบข. จะทำการจัดเก็บข้อมูลส่วนบุคคลอ่อนไหวนี้ เพื่อเป็นส่วนหนึ่งของเอกสารยืนยันตัวตนของเจ้าของข้อมูลส่วนบุคคลเท่านั้น

• 3.3 ข้อมูลส่วนบุคคลของผู้เยาว์ คนเสมือนไร้ความสามารถ และคนไร้ความสามารถ

ในกรณีที่ กบข. ทราบว่า ข้อมูลส่วนบุคคลที่จำเป็นต้องได้รับความยินยอมในการเก็บรวบรวมเป็นของเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้เยาว์ คนเสมือนไร้ความสามารถ หรือคนไร้ความสามารถ กบข. จะไม่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นจนกว่าจะได้รับความยินยอมจากผู้ใช้อำนาจปกครอง ที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้พิทักษ์ หรือผู้อนุบาล แล้วแต่กรณี ทั้งนี้ เป็นไปตามเงื่อนไขที่กฎหมายกำหนดดังต่อไปนี้

1. ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ โดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าวให้ดำเนินการดังต่อไปนี้
• (ก) ในกรณีที่การให้ความยินยอมของผู้เยาว์ไม่ใช่การใด ๆ ซึ่งผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
• (ข) ในกรณีที่ผู้เยาว์มีอายุไม่เกินสิบปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์
2. ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ
3. ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลดังกล่าว ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ

ในกรณีที่ กบข. ไม่ทราบมาก่อนว่าเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนเสมือนไร้ความสามารถหรือคนไร้ความสามารถ และมาพบในภายหลังว่า กบข. ได้เก็บรวบรวมข้อมูลของเจ้าของข้อมูลส่วนบุคคลดังกล่าว โดยยังมิได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้พิทักษ์ หรือผู้อนุบาล แล้วแต่กรณี กบข. จะดำเนินการลบทำลายข้อมูลส่วนบุคคลนั้นโดยเร็ว หาก กบข. ไม่มีเหตุอันชอบด้วยกฎหมายประการอื่นนอกเหนือจากความยินยอมในการประมวลผลข้อมูลส่วนบุคคลดังกล่าว

4. การเปิดเผยข้อมูลส่วนบุคคล
• 4.1 กบข. อาจเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลต่อบุคคลภายนอกภายใต้วัตถุประสงค์ที่กำหนด หรือวัตถุประสงค์อื่นที่กฎหมายกำหนดให้กระทำได้เท่านั้น ดังต่อไปนี้
1. หน่วยงานภายใน กบข. และบริษัทในเครือของ กบข. ซึ่งหมายความรวมถึงเลขาธิการ พนักงาน หรือลูกจ้างของ กบข. เท่าที่เกี่ยวข้องและตามความจำเป็น (Need-to-Know Basis) ในการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
2. ผู้ให้บริการหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ กบข. มอบหมายให้ทำหน้าที่ดูแลรับผิดชอบ ให้บริการหรือบริหารจัดการเกี่ยวกับข้อมูลส่วนบุคคล เพื่อให้ช่วยหรือสนับสนุนการดำเนินงานของ กบข. ในการปฏิบัติหน้าที่ที่เกี่ยวข้องกับ กบข. หรือการให้บริการอื่นใดอันอาจเป็นประโยชน์ต่อเจ้าของข้อมูลส่วนบุคคลโดยการเข้าถึงหรือจัดการข้อมูลส่วนบุคคลตามที่ได้รับอนุญาตจาก กบข. เท่านั้น
• 4.2 ในกรณีที่ กบข. เปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลให้แก่บุคคลอื่น กบข. จะจัดให้มีมาตรการและดำเนินการตามมาตรการที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคลที่ได้เปิดเผยและเพื่อปฏิบัติตามมาตรฐาน และหน้าที่การคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด
5. สิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ในฐานะเจ้าของข้อมูลส่วนบุคคลย่อมมีสิทธิต่าง ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของตนเองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้

• 5.1 สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (Right of Access)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึง รับสำเนาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล รวมทั้งขอให้ กบข. เปิดเผยที่มาของข้อมูลส่วนบุคคลของตนที่ กบข. เก็บรวบรวมอยู่ เว้นแต่กรณีที่ กบข. มีสิทธิปฏิเสธคำขอของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายหรือคำสั่งศาล หรือในกรณีที่คำขอของเจ้าของข้อมูลส่วนบุคคลจะมีผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น

• 5.2 สิทธิในการขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (Right to Rectification)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอแก้ไขข้อมูลส่วนบุคคลของตนที่ไม่ถูกต้อง ไม่ครบถ้วนสมบูรณ์ ไม่เป็นปัจจุบัน หรือก่อให้เกิดความเข้าใจผิด เพื่อให้ข้อมูลส่วนบุคคลของตนมีความถูกต้อง ครบถ้วน สมบูรณ์ เป็นปัจจุบัน หรือไม่ก่อให้เกิดความเข้าใจผิด โดย กบข. จะยืนยันความถูกต้องของข้อมูลส่วนบุคคลที่ได้รับจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลดังกล่าวนั้นถูกต้องก่อนทำการแก้ไขข้อมูลส่วนบุคคล

• 5.3 สิทธิในการลบข้อมูลส่วนบุคคล (Right to Erasure)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะร้องขอให้ กบข. ลบข้อมูลส่วนบุคคลที่เกี่ยวข้องกับตนเองในกรณีที่เป็นไปตามเกณฑ์ดังต่อไปนี้

1. ข้อมูลส่วนบุคคลดังกล่าวไม่มีความจำเป็นตามวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคลดังกล่าวอีกต่อไป
2. เจ้าของข้อมูลส่วนบุคคลได้เพิกถอนความยินยอมและไม่มีมูลเหตุทางกฎหมายอื่นใดในการประมวลผลข้อมูลส่วนบุคคลดังกล่าว
3. ข้อมูลส่วนบุคคลดังกล่าวถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
• 5.4 สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล (Right to Restrict Processing)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ระงับการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้

1. เมื่ออยู่ในช่วงเวลาที่ กบข. ทำการตรวจสอบตามที่เจ้าของข้อมูลส่วนบุคคล ร้องขอให้แก้ไขข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลให้ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน
2. ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยมิชอบด้วยกฎหมาย
3. เมื่อข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ ที่ กบข. ได้แจ้งไว้ในการเก็บรวบรวมข้อมูล แต่เจ้าของข้อมูลส่วนบุคคลประสงค์ให้ กบข. เก็บรักษาข้อมูลนั้นต่อไปเพื่อประกอบการใช้สิทธิตามกฎหมาย ของเจ้าของข้อมูลส่วนบุคคล
4. เมื่ออยู่ในช่วงเวลาที่ กบข. กำลังพิสูจน์ให้เจ้าของข้อมูลส่วนบุคคลเห็นถึงเหตุอันชอบด้วยกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือตรวจสอบความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์สาธารณะอันเนื่องมาจากการที่เจ้าของข้อมูลส่วนบุคคล ได้ใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• 5.5 สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Right to Object)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอคัดค้านการประมวลผลข้อมูลส่วนบุคคลของตนด้วยเหตุผลที่ชอบด้วยทางกฎหมายดังต่อไปนี้

1. เพื่อดำเนินการตามภารกิจอันเป็นสาธารณประโยชน์หรือเพื่อการดำเนินการของหน่วยงานรัฐที่ได้รับสิทธิเป็นผู้ควบคุมข้อมูลส่วนบุคคลโดยสมบูรณ์
2. เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

เมื่อมีการคัดค้านแล้ว กบข. จะต้องพิสูจน์ความชอบธรรมของเหตุผลอันเป็นฐานของการประมวลผลข้อมูลส่วนบุคคลดังกล่าว และระงับการประมวลผลข้อมูลส่วนบุคคลจนกว่าจะดำเนินการแล้วเสร็จ

• 5.6 สิทธิที่จะเพิกถอนความยินยอม (Right to Withdraw Consent)

ในกรณีที่ กบข. อาศัยความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล ที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมกับ กบข. ได้ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลอยู่ในความครอบครองของ กบข. ทั้งนี้ การเพิกถอนความยินยอมไม่ส่งผลกระทบต่อการประมวลผลที่ให้ความยินยอมไปแล้ว

อย่างไรก็ตาม ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเพิกถอนความยินยอมเจ้าของข้อมูลส่วนบุคคลอาจได้รับผลกระทบไม่สามารถรับบริการที่การประมวลผลข้อมูลส่วนบุคคล จำเป็นต้องอาศัยฐานความยินยอม

• 5.7 สิทธิในการโอนย้ายข้อมูลส่วนบุคคล (Right to Data Portability)

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนเองในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้โดยอัตโนมัติ และสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ รวมทั้งมีสิทธิดังต่อไปนี้

1. ขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของตนในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นเมื่อสามารถทำได้ด้วยวิธีการอัตโนมัติ
2. ขอรับข้อมูลส่วนบุคคลที่ส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถกระทำได้

ข้อมูลส่วนบุคคลดังกล่าวต้องเป็นข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคล หรือเป็นข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือเป็นข้อมูลส่วนบุคคลอื่นที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

• 5.8 สิทธิในการยื่นข้อร้องเรียน

หากเจ้าของข้อมูลส่วนบุคคลมีความกังวลหรือมีข้อสงสัยเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของตนโดย กบข. โปรดติดต่อ กบข. ตามที่กำหนดไว้ในประกาศนี้ ในกรณีที่มีการฝ่าฝืนกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิยื่นข้อร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้

กบข. จะใช้ความพยายามอย่างเต็มความสามารถเพื่ออำนวยความสะดวกและดำเนินการตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคลโดยไม่ชักช้า เว้นแต่จะปรากฏข้อเท็จจริงว่าการดำเนินการตามคำร้องขอนั้นก่อให้เกิดภาระแก่ กบข. เกินสมควร หรือเสี่ยงต่อการละเมิดการคุ้มครองข้อมูลส่วนบุคคลของผู้อื่น หรือเป็นการขัดต่อกฎหมาย หรือกรณีที่เป็นการพ้นวิสัยในทางปฏิบัติตามคำร้องขอนั้น

6. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่ กบข. ส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ กบข. จะดำเนินการเพื่อทำให้แน่ใจว่า กบข. ได้ส่งหรือโอนไปยังประเทศปลายทาง องค์การระหว่างประเทศ หรือผู้รับข้อมูลในต่างประเทศที่มีมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ในบางกรณี กบข. อาจขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลสำหรับการถ่ายโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ทั้งนี้ ตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เว้นแต่กรณีดังต่อไปนี้

1. เป็นการปฏิบัติตามกฎหมาย
2. ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
3. เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
4. เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
5. เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่นเมื่อเจ้าของข้อมูลส่วนบุคคล ไม่สามารถให้ความยินยอมในขณะนั้นได้
6. เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
7. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

กบข. จะลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เมื่อข้อมูลส่วนบุคคลนั้นไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลนั้น หรือถูกจัดเก็บมาเป็นเวลาสิบปีนับแต่วันที่ข้อผูกพันตามนิติกรรมสัญญาเกี่ยวกับการจัดซื้อจัดจ้างและการบริหารพัสดุของกองทุนสิ้นสุดลง หรืออาจเก็บต่อไปตามระยะเวลาที่จำเป็นเพื่อการปฏิบัติตามกฎหมายหรือตามอายุความทางกฎหมายหรือเก็บไว้เป็นระยะเวลาห้าปีนับแต่วันสิ้นสุดระยะเวลาบังคับคดี และจะต้องทำลายข้อมูลส่วนบุคคลให้แล้วเสร็จภายในระยะเวลาหนึ่งปีนับแต่วันพ้นกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ทั้งนี้ กบข. อาจสงวนสิทธิ์ในการพิจารณาจัดเก็บข้อมูลส่วนบุคคลต่อไปเท่าที่จำเป็นเพื่อประโยชน์ในการใช้อ้างอิง

8. การรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล

กบข. จะดำเนินการเพื่อให้ข้อมูลส่วนบุคคลมีความถูกต้อง เป็นปัจจุบัน สมบูรณ์ ไม่ก่อให้เกิดความเข้าใจผิด และมีคุณภาพ รวมทั้งให้การคุ้มครองและรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่ กบข. กำหนด เพื่อมิให้ข้อมูลส่วนบุคคลเกิดการรั่วไหลหรือการเข้าถึงโดยไม่ได้รับอนุญาตหรือถูกนำไปใช้โดยผู้ที่ไม่มีสิทธิหรือโดยมิชอบด้วยกฎหมาย

9. การมีส่วนร่วมของเจ้าของข้อมูลส่วนบุคคล

กบข. อาจเปิดเผยข้อมูลส่วนบุคคลก็ต่อเมื่อได้รับคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล โดยส่งคำร้องขอการใช้สิทธิผ่านช่องทางการติดต่อกับ กบข. หรือทางไปรษณีย์อิเล็กทรอนิกส์ ได้แก่ saraban@gpf.or.th

ในกรณีที่เจ้าของข้อมูลส่วนบุคคล มีการคัดค้านการจัดเก็บ ความถูกต้อง หรือการกระทำใด ๆ เช่น การแจ้งปรับปรุงแก้ไขข้อมูลส่วนบุคคล กบข. จะดำเนินการบันทึกหลักฐานคำคัดค้านดังกล่าวไว้เป็นหลักฐานด้วย

กบข. อาจปฏิเสธคำขอการใช้สิทธิได้ตามกรณีที่มีกฎหมายกำหนด หรือในกรณีที่ข้อมูลส่วนบุคคลถูกทำให้ไม่ปรากฏชื่อหรือสิ่งบอกลักษณะอันสามารถระบุตัวเจ้าของข้อมูลส่วนบุคคลได้

10. ความรับผิดชอบของบุคคลซึ่งประมวลผลข้อมูลส่วนบุคคล

กบข. ได้กำหนดให้เจ้าหน้าที่เฉพาะผู้ที่มีหน้าที่เกี่ยวข้องในการจัดเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของกิจกรรมการประมวลผลที่จะสามารถเข้าถึงข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคลได้ โดย กบข. จะดำเนินการให้เจ้าหน้าที่ปฏิบัติตามประกาศนี้อย่างเคร่งครัด

11. การเปลี่ยนแปลงแก้ไขประกาศเกี่ยวกับความเป็นส่วนตัว

กบข. อาจพิจารณาแก้ไขเปลี่ยนแปลงตามที่เห็นสมควรและจะทำการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบผ่านช่องทางการติดต่อกับ กบข. ได้แก่ เว็บไซต์ (www.gpf.or.th) หรือช่องทางสื่อสารอื่น อย่างไรก็ตาม กบข. ขอแนะนำให้เจ้าของข้อมูลส่วนบุคคลโปรดตรวจสอบเพื่อรับทราบประกาศฉบับใหม่อย่างสม่ำเสมอ โดยเฉพาะก่อนที่เจ้าของข้อมูลส่วนบุคคลจะเปิดเผยข้อมูลส่วนบุคคลแก่ กบข.

ในการเข้าใช้งานระบบงานต่าง ๆ หรือบริการภายใต้กิจกรรมการประมวลผลข้อมูลส่วนบุคคลถือเป็นการรับทราบตามข้อตกลงในประกาศนี้หรือประกาศฉบับใหม่ที่ กบข. ได้แก้ไขเพิ่มเติมในอนาคต ถ้าหากเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับข้อตกลงในประกาศนี้หรือประกาศฉบับใหม่ เจ้าของข้อมูลส่วนบุคคลควรงดการเข้าใช้งานระบบงานต่าง ๆ หรือบริการภายใต้กิจกรรมการประมวลผลข้อมูลส่วนบุคคลของ กบข. ถ้าหากเจ้าของข้อมูลส่วนบุคคลยังคงใช้งานหรือใช้บริการต่อไปภายหลังจากที่ประกาศนี้มีการแก้ไขและประกาศในช่องทางข้างต้นแล้ว จะถือว่าเจ้าของข้อมูลส่วนบุคคลได้รับทราบการเปลี่ยนแปลงดังกล่าวแล้ว

12. การติดต่อสอบถาม

เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อกับ กบข. ในฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ตามข้อมูลดังต่อไปนี้

1. ผู้ควบคุมข้อมูลส่วนบุคคล
   กองทุนบำเหน็จบำนาญข้าราชการ (กบข.)
   เลขที่ 990 อาคารอับดุลราฮิม เพลส ถนนพระราม 4 แขวงสีลม เขตบางรัก กรุงเทพมหานคร 10500
   โทร. 0 2636 1000
   เว็บไซต์ : www.gpf.or.th
   หรือไปรษณีย์อิเล็กทรอนิกส์ : saraban@gpf.or.th
2. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
   กองทุนบำเหน็จบำนาญข้าราชการ (กบข.)
   เลขที่ 990 อาคารอับดุลราฮิม เพลส ถนนพระราม 4 แขวงสีลม เขตบางรัก กรุงเทพมหานคร 10500
   โทร. 0 2636 1000
   เว็บไซต์ : www.gpf.or.th
   หรือไปรษณีย์อิเล็กทรอนิกส์ :