นโยบายการคุ้มครองข้อมูลส่วนบุคคล

กรมป้องกันและบรรเทาสาธารณภัย กระทรวงมหาดไทย

1. บทนำ

กรมป้องกันและบรรเทาสาธารณภัย (ต่อไปในนโยบายนี้เรียกว่า “ปภ.”) ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลที่เกี่ยวกับท่าน (รวมเรียกว่า “ข้อมูล”) เพื่อให้ท่านสามารถเชื่อได้ว่า ปภ. มีความโปร่งใสและความรับผิดชอบในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) รวมถึงกฎหมายอื่น ที่เกี่ยวข้อง อาศัยอำนาจตามความในมาตรา 23 และมาตรา 24 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 จึงได้จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคล (“นโยบาย”) เพื่อให้เจ้าของข้อมูลส่วนบุคคลรับทราบรายละเอียดเกี่ยวกับการเก็บรวมรวม ใช้หรือเปิดเผย (รวมเรียกว่า “ประมวลผล”) ข้อมูลส่วนบุคคลซึ่งดำเนินการ ปภ. รวมถึงเจ้าหน้าที่และบุคคลที่เกี่ยวข้องผู้ดำเนินการแทนในนาม ปภ. โดยมีเนื้อหาสาระสำคัญดังต่อไปนี้

2. ขอบเขตการบังคับใช้นโยบาย

นโยบายนี้ใช้บังคับกับข้อมูลส่วนบุคคลที่มีความสัมพันธ์กับ ปภ. ในปัจจุบันและที่อาจมีในอนาคต ซึ่งถูกประมวลผลข้อมูลส่วนบุคคลโดย ปภ. เจ้าหน้าที่ พนักงานตามสัญญา หน่วยธุรกิจหรือหน่วยงานรูปแบบอื่นที่ดำเนินการโดย ปภ. และรวมถึงคู่สัญญาหรือบุคคลภายนอกที่ประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของ ปภ. (“ผู้ประมวลผลข้อมูลส่วนบุคคล”) ภายใต้ผลิตภัณฑ์และบริการต่างๆ เช่น เว็บไซต์ ระบบ แอปพลิเคชัน เอกสาร หรือบริการรูปแบบอื่นที่ควบคุมดูแลโดย ปภ. (รวมเรียกว่า “บริการ”)

บุคคลที่มีความสัมพันธ์กับ ปภ. ตามความในวรรคแรก รวมถึง

1. ลูกค้าบุคคลธรรมดา
2. เจ้าหน้าที่หรือผู้ปฏิบัติงาน ลูกจ้าง
3. คู่ค้าและผู้ให้บริการซึ่งเป็นบุคคลธรรมดา
4. กรรมการ ผู้รับมอบอำนาจ ผู้แทน ตัวแทน ผู้ถือหุ้น ลูกจ้าง หรือบุคคลอื่นที่มีความสัมพันธ์ในรูปแบบเดียวกันของนิติบุคคลที่มีความสัมพันธ์กับ ปภ.
5. ผู้ใช้งานผลิตภัณฑ์หรือบริการของ ปภ.
6. ผู้เข้าชมหรือใช้งานเว็บไซต์ www.disaster.go.th รวมทั้งระบบ แอปพลิเคชัน อุปกรณ์ หรือช่องทางการสื่อสารอื่นๆ ซึ่งควบคุมดูแลโดย ปภ.
7. บุคคลอื่นที่ ปภ. เก็บรวบรวมข้อมูลส่วนบุคคล เช่น ผู้สมัครงาน ครอบครัวของเจ้าหน้าที่ ผู้ค้ำประกัน ผู้รับผลประโยชน์ในกรมธรรม์ประกันภัย เป็นต้น

ข้อ 1) ถึง 6) รวมเรียกว่า “ท่าน”

นอกจากนโยบายฉบับนี้แล้ว ปภ. อาจกำหนดให้มี คำประกาศเกี่ยวกับความเป็นส่วนตัว (“ประกาศ”) สำหรับผลิตภัณฑ์หรือบริการของ ปภ. เพื่อชี้แจงให้เจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้ใช้บริการได้ทราบถึงข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์และเหตุผลอันชอบด้วยกฎหมายในการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล รวมถึงสิทธิในข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลพึงมี ในผลิตภัณฑ์หรือบริการนั้นเป็นการเฉพาะเจาะจง

ทั้งนี้ ในกรณีที่มีความขัดแย้งกันในสาระสำคัญระหว่างความในประกาศเกี่ยวกับความเป็นส่วนตัวและนโยบายนี้ ให้ถือตามความในประกาศเกี่ยวกับความเป็นส่วนตัวของบริการนั้น

3. คำนิยาม

“ปภ.” หมายถึง กรมป้องกันและบรรเทาสาธารณภัย กระทรวงมหาดไทย

“ปภ.” หมายถึง กรมป้องกันและบรรเทาสาธารณภัย กระทรวงมหาดไทย

“กฎหมายคุ้มครองข้อมูลส่วนบุคคล” หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และที่จะมีการแก้ไขเพิ่มเติม รวมถึงกฎ ระเบียบ และคำสั่งที่เกี่ยวข้อง

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลธรรมดา ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา 26แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

“การประมวลผลข้อมูลส่วนบุคคล” หมายถึง การดำเนินการใดๆ กับข้อมูลส่วนบุคคล เช่น เก็บรวบรวม บันทึก สำเนา จัดระเบียบ ปรับปรุง เก็บรักษา เปลี่ยนแปลง ใช้ กู้คืน เปิดเผย ส่งต่อ เผยแพร่ โอน รวม ลบ ทำลาย เป็นต้น

“เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวม ใช้ หรือเปิดเผย

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าว ไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

4. แหล่งที่มาของข้อมูลส่วนบุคคล

ปภ. เก็บรวบรวมหรือได้มาซึ่งข้อมูลส่วนบุคคลประเภทต่างๆ จากแหล่งข้อมูลดังต่อไปนี้

1) ข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลโดยตรงในช่องทางให้บริการต่างๆ เช่น ขั้นตอนการสมัคร ลงทะเบียน สมัครงาน ลงนามในสัญญา เอกสาร ทำแบบสำรวจ การยื่นคำขอ การพิจารณาอนุญาต หรือบริการ หรือช่องทางบริการอื่นที่ควบคุมโดย ปภ. เป็นต้น

2) ข้อมูลที่ ปภ. เก็บรวบรวมจากการที่เจ้าของข้อมูลส่วนบุคคลเข้าใช้งานเว็บไซต์ หรือบริการอื่นๆ ตามสัญญาหรือตามพันธกิจ เช่น การติดตามพฤติกรรมการใช้งานเว็บไซต์ ผลิตภัณฑ์หรือบริการของ ปภ. ด้วยการใช้คุกกี้ (Cookies) หรือจากซอฟต์แวร์บนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น

3) ข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวมจากแหล่งอื่นนอกจากเจ้าของข้อมูลส่วนบุคคล โดยที่แหล่งข้อมูลดังกล่าวมีอำนาจหน้าที่ มีเหตุผลที่ชอบด้วยกฎหมายหรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วในการเปิดเผยข้อมูลแก่ ปภ. เช่น การเชื่อมโยงบริการดิจิทัลของหน่วยงานของรัฐในการให้บริการเพื่อประโยชน์สาธารณะแบบเบ็ดเสร็จแก่เจ้าของข้อมูลส่วนบุคคลเอง การรับข้อมูลส่วนบุคคลจากหน่วยงานของรัฐแห่งอื่นในฐานะที่ ปภ. มีหน้าที่ตามพันธกิจในการดำเนินการแลกเปลี่ยนข้อมูลเพื่อสนับสนุนการดำเนินการของหน่วยงานของรัฐในการให้บริการประชาชนผ่านระบบดิจิทัล รวมถึงจากความจำเป็นเพื่อให้บริการตามสัญญาที่อาจมีการแลกเปลี่ยนข้อมูลส่วนบุคคลกับหน่วยงานคู่สัญญาได้

นอกจากนี้ ยังหมายความรวมถึงกรณีที่ท่านเป็นผู้ให้ข้อมูลส่วนบุคคลภายนอกแก่ ปภ. ดังนี้ ท่านมีหน้าที่รับผิดชอบในการแจ้งรายละเอียดตามนโยบายนี้หรือประกาศของผลิตภัณฑ์หรือบริการตามแต่กรณี ให้บุคคลดังกล่าวทราบ ตลอดจนขอความยินยอมจากบุคคลนั้นหากเป็นกรณีที่ต้องได้รับความยิมยอมในการเปิดเผยข้อมูลแก่ ปภ.

ทั้งนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลที่มีความจำเป็นในการให้บริการ ของ ปภ. อาจเป็นผลให้ไม่สามารถให้บริการนั้นแก่เจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ทั้งหมดหรือบางส่วน

5. ฐานกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล

ปภ. พิจารณากำหนดฐานข้อมูลในการเก็บรวบรวมข้อมูลส่วนบุคคลของท่านตามความเหมาะสมและตามบริบทของการให้บริการ ทั้งนี้ ฐานกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลที่ ปภ. ใช้ ประกอบด้วย

ในกรณีที่ ปภ. มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของท่านเพื่อปฏิบัติตามสัญญาการปฏิบัติหน้าที่ตามกฎหมายหรือเพื่อความจำเป็นในการเข้าทำสัญญา หากท่านปฏิเสธไม่ให้ข้อมูลส่วนบุคคล หรือคัดค้านการดำเนินการประมวลผลตามวัตถุประสงค์ของกิจกรรม อาจมีผลทำให้ ปภ. ไม่สามารถดำเนินการหรือให้บริการตามที่ท่านร้างขอได้ทั้งหมดหรือบางส่วน

6. ประเภทข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวม

ปภ. อาจเก็บรวบรวมหรือได้มาซึ่งข้อมูลดังต่อไปนี้ ซึ่งอาจรวมถึงข้อมูลส่วนบุคคลของท่าน ทั้งนี้ขึ้นอยู่กับงานบริการที่ท่านใช้หรือบริบทความสัมพันธ์ที่ท่านมีกับ ปภ. รวมถึงข้อพิจารณาอื่นที่มีผลกับการเก็บรวบรวมข้อมูลส่วนบุคคล โดยประเภทของข้อมูลที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการเก็บรวบรวมข้อมูลส่วนบุคคลของ ปภ. เป็นการทั่วไป ทั้งนี้ เฉพาะข้อมูลที่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการที่ท่านใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้

7. คุกกี้ (Cookies)

ปภ. เก็บรวบรวมและใช้คุกกี้รวมถึงเทคโนโลยีอื่นในลักษณะเดียวกันในเว็บไซต์ที่อยู่ภายใต้ความดูแลของ ปภ. เช่น www.disaster.go.th หรือบนอุปกรณ์ของท่านตามแต่บริการที่ท่านใช้งาน ทั้งนี้ เพื่อการดำเนินการด้านความปลอดภัยในการให้บริการของ ปภ. และเพื่อให้ท่านซึ่งเป็นผู้ใช้งานได้รับความสะดวกและประสบการณ์ที่ดีในการใช้งานบริการของ ปภ. และข้อมูลเหล่านี้จะถูกนำไปเพื่อปรับปรุงเว็บไซต์ ของ ปภ. ให้ตรงกับความต้องการของท่านมากยิ่งขึ้น โดยท่านสามารถตั้งค่าหรือลบการใช้งานคุกกี้ ได้ด้วยตนเองจากการตั้งค่าในเว็บเบราว์เซอร์ (Web Browser) ของท่าน

8. ข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถและคนเสมือนไร้ความสามารถ

กรณีที่ ปภ. ทราบว่าข้อมูลส่วนบุคคลที่จำเป็นต้องได้รับความยินยอมในการเก็บรวบรวม เป็นของเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้เยาว์ คนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ ปภ. จะไม่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นจนกว่าจะได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้อนุบาล หรือผู้พิทักษ์ตามแต่กรณีทั้งนี้เป็นไปตามเงื่อนไขที่กฎหมายกำหนด

กรณีที่ ปภ. ไม่ทราบมาก่อนว่าเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถหรือ คนเสมือนไร้ความสามารถ และมาพบในภายหลังว่า ปภ. ได้เก็บรวบรวมข้อมูลของเจ้าของข้อมูลส่วนบุคคลดังกล่าวโดยยังมิได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้อนุบาลหรือผู้พิทักษ์ตามแต่กรณี ดังนี้ ปภ. จะดำเนินการลบทำลายข้อมูลส่วนบุคคลนั้นโดยเร็วหาก ปภ. ไม่มีเหตุ อันชอบด้วยกฎหมายประการอื่นนอกเหนือจากความยินยอมในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลดังกล่าว

9. วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล

ปภ. ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์หลายประการ ซึ่งขึ้นอยู่กับ ประเภทของผลิตภัณฑ์หรือบริการหรือกิจกรรมที่ท่านใช้บริการ ตลอดจนลักษณะความสัมพันธ์ของท่าน กับ ปภ. หรือข้อพิจารณาในแต่ละบริบทเป็นสำคัญ โดยวัตถุประสงค์ที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการใช้ ข้อมูลส่วนบุคคลของ ปภ. เป็นการทั่วไป ทั้งนี้เฉพาะวัตถุประสงค์ที่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการที่ท่าน ใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้กับข้อมูลของท่าน

1. เพื่อดำเนินการตามที่จำเป็นในการดำเนินประโยชน์สาธารณะที่ ปภ. ได้รับมอบหมายให้ สำเร็จลุล่วง หรือเป็นการจำเป็นเพื่อใช้อำนาจทางกฎหมายที่ ปภ. มีอำนาจหน้าที่ในการดำเนินการตามพันธกิจ ดังปรากฏในพระราชบัญญัติป้องกันและบรรเทาสาธารณภัย พ.ศ. 2550 และ กฎหมาย กฎ ระเบียบหรือคำสั่งที่เกี่ยวข้อง
2. เพื่อให้บริการและบริหารจัดการบริการของ ปภ. ทั้งบริการภายใต้สัญญาที่มีต่อท่าน หรือ ตามพันธกิจของ ปภ.
3. เพื่อการดำเนินการทางธุรกรรมของ ปภ.
4. ควบคุมดูแล ใช้งาน ติดตาม ตรวจสอบและบริหารจัดการบริการเพื่ออำนวยความสะดวก และสอดคล้องกับความต้องการของท่าน
5. เพื่อเก็บรักษาและปรับปรุงข้อมูลอันเกี่ยวกับท่าน รวมทั้งเอกสารที่มีการกล่าวอ้างถึงท่าน
6. จัดทำบันทึกรายการการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
7. วิเคราะห์ข้อมูล รวมถึงแก้ไขปัญหาที่เกี่ยวกับบริการของ ปภ.
8. เพื่อดำเนินการตามที่จำเป็นในการบริหารจัดการภายใน ปภ. รวมถึงการรับสมัครงาน การสรรหากรรมการหรือผู้ดำรงตำแหน่งต่าง ๆ การประเมินคุณสมบัติ
9. ป้องกัน ตรวจจับ หลีกเลี่ยง และตรวจสอบการฉ้อโกง การละเมิดความปลอดภัย หรือ การกระทำที่ต้องห้าม หรือผิดกฎหมาย และอาจเกิดความเสียหายต่อทั้ง ปภ. และเจ้าของข้อมูลส่วนบุคคล
10. การยืนยันตัวตน พิสูจน์ตัวตนและตรวจสอบข้อมูลเมื่อท่านสมัครใช้บริการของ ปภ. หรือ ติดต่อใช้บริการ หรือใช้สิทธิตามกฎหมาย
11. ปรับปรุงและพัฒนาคุณภาพผลิตภัณฑ์และบริการให้ทันสมัย
12. การประเมินและบริหารจัดการความเสี่ยง
13. ส่งการแจ้งเตือน การยืนยันการทำคำสั่ง ติดต่อสื่อสารและแจ้งข่าวสารไปยังท่าน
14. เพื่อจัดทำและส่งมอบเอกสารหรือข้อมูลที่มีความเกี่ยวข้องและจำเป็น
15. ยืนยันตัวตน ป้องกันการสแปม หรือการกระทำที่ไม่ได้รับอนุญาต หรือผิดกฎหมาย
16. ตรวจสอบว่าเจ้าของข้อมูลส่วนบุคคลเข้าถึงและใช้บริการของ ปภ. อย่างไร ทั้งในภาพรวม และรายบุคคล และเพื่อวัตถุประสงค์ที่เกี่ยวกับการค้นคว้า และการวิเคราะห์
17. ดำเนินการตามที่จำเป็นเพื่อปฏิบัติตามหน้าที่ที่ ปภ. มีต่อหน่วยงานที่มีอำนาจควบคุม หน่วยงานด้านภาษีการบังคับใช้กฎหมาย หรือภาระผูกพันตามกฎหมายของ ปภ.
18. ดำเนินการตามที่จำเป็นเพื่อประโยชน์ที่ชอบด้วยกฎหมายของ ปภ. หรือของบุคคลอื่น หรือ ของนิติบุคคลอื่นที่เกี่ยวข้องกับการการดำเนินการของ ปภ.
19. ป้องกัน หรือหยุดยั้งอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งรวมถึงการเฝ้าระวัง โรคระบาด
20. จัดเตรียมเอกสารทางประวัติศาสตร์เพื่อประโยชน์สาธารณะ การค้นคว้า หรือจัดทำสถิติ ที่ ปภ. ได้รับมอบหมายให้ดำเนินการ
21. เพื่อการปฏิบัติตามกฎหมาย ประกาศ คำสั่งที่มีผลบังคับใช้หรือการดำเนินการเกี่ยวกับ คดีความ การดำเนินการเกี่ยวกับข้อมูลตามหมายศาล รวมถึงการใช้สิทธิเกี่ยวกับข้อมูลของท่าน

10. ประเภทบุคคลที่ ปภ. เปิดเผยข้อมูลส่วนบุคคลของท่าน

ภายใต้วัตถุประสงค์ที่ได้ระบุไว้ในข้อ ๙ ข้างต้น ปภ. อาจเปิดเผยข้อมูลส่วนบุคคลของท่านให้แก่ บุคคลดังต่อไปนี้ ทั้งนี้ ประเภทของบุคคลผู้รับข้อมูลที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการเปิดเผยข้อมูล ส่วนบุคคลของ ปภ. เป็นการทั่วไป เฉพาะบุคคลผู้รับข้อมูลที่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการที่ท่านใช้งาน หรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้

11. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในบางกรณี ปภ. อาจจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ เพื่อดำเนินการตามวัตถุประสงค์ในการให้บริการแก่ท่าน เช่น เพื่อส่งข้อมูลส่วนบุคคลไปยังระบบคลาวด์ (Cloud) ที่มีแพลตฟอร์มหรือเครื่องแม่ข่าย (Server) อยู่ต่างประเทศ เพื่อสนับสนุนระบบเทคโนโลยีสารสนเทศที่ตั้งอยู่นอกประเทศไทย ทั้งนี้ขึ้นอยู่กับบริการของ ปภ. ที่ท่านใช้งานหรือมีส่วนเกี่ยวข้อง เป็นรายกิจกรรม

อย่างไรก็ตาม ในขณะที่จัดทำนโยบายฉบับนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังมิได้ มีประกาศกำหนดรายการประเทศปลายทางที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ดังนั้นเมื่อ มีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังประเทศปลายทาง ปภ. จะดำเนินการเพื่อให้ข้อมูลส่วนบุคคลที่ส่งหรือโอนไปมีมาตรการคุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอตามมาตรฐานสากล หรือดำเนินการตามเงื่อนไขให้สามารถส่งหรือโอนข้อมูลได้ตามกฎหมาย ได้แก่

1. เป็นการปฏิบัติตามกฎหมายที่กำหนดให้ต้องส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ
2. ได้แจ้งให้ท่านทราบและได้รับความยินยอมจากท่านในกรณีที่ประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอ ทั้งนี้ตามประกาศรายชื่อประเทศที่คณะกรรมการคุ้มครองส่วนบุคคลประกาศกำหนด
3. เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาที่ท่านเป็นคู่สัญญากับ ปภ. หรือเป็นการทำตามคำขอ ของท่านก่อนการเข้าทำสัญญานั้น
4. เป็นการกระทำตามสัญญาของ ปภ. กับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของท่าน
5. เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของท่านหรือของบุคคลอื่น เมื่อท่านไม่สามารถให้ความยินยอมในขณะนั้นได้
6. เป็นการจำเป็นเพื่อดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ

12. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคลของท่าน

ปภ. จะเก็บรักษาข้อมูลส่วนบุคคลของท่านไว้ในระยะเวลาเท่าที่ข้อมูลนั้นยังมีความจำเป็น ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลเท่านั้น ตามรายละเอียดที่ได้กำหนดไว้ในนโยบาย ประกาศหรือ ตามกฎหมายที่เกี่ยวข้อง ทั้งนี้เมื่อพ้นระยะเวลาและข้อมูลส่วนบุคคลของท่านสิ้นความจำเป็นตามวัตถุประสงค์ดังกล่าวแล้ว ปภ. จะทำการลบ ทำลายข้อมูลส่วนบุคคลของท่าน หรือทำให้ข้อมูลส่วนบุคคล ของท่านไม่สามารถระบุตัวตนได้ต่อไป ตามรูปแบบและมาตรฐานการลบทำลายข้อมูลส่วนบุคคล ที่คณะกรรมการหรือกฎหมายจะได้ประกาศกำหนดหรือตามมาตรฐานสากล อย่างไรก็ดีในกรณีที่มีข้อพิพาท การใช้สิทธิหรือคดีความอันเกี่ยวข้องกับข้อมูลส่วนบุคคลของท่าน ปภ. ขอสงวนสิทธิในการเก็บรักษาข้อมูล นั้นต่อไปจนกว่าข้อพิพาทนั้นจะได้มีคำสั่งหรือคำพิพากษาถึงที่สุด

13. การให้บริการโดยบุคคลที่สามหรือผู้ให้บริการช่วง

ปภ. อาจมีการมอบหมายหรือจัดซื้อจัดจ้างบุคคลที่สาม (ผู้ประมวลผลข้อมูลส่วนบุคคล) ให้ทำการ ประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของ ปภ. ซึ่งบุคคลที่สามดังกล่าวอาจเสนอบริการในลักษณะต่าง ๆ เช่น การเป็นผู้ดูแล (Hosting) รับงานบริการช่วง (Outsourcing) หรือเป็นผู้ให้บริการคลาวด์ (Cloud computing service/provider) หรือเป็นงานในลักษณะการจ้างทำของในรูปแบบอื่น

การมอบหมายให้บุคคลที่สามทำการประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูล ส่วนบุคคลนั้น ปภ. จะจัดให้มีข้อตกลงระบุสิทธิและหน้าที่ของ ปภ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และของบุคคลที่ ปภ. มอบหมายในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงกำหนดรายละเอียดประเภท ข้อมูลส่วนบุคคลที่ ปภ. มอบหมายให้ประมวลผล รวมถึงวัตถุประสงค์ขอบเขตในการประมวลผลข้อมูลส่วนบุคคลและข้อตกลงอื่น ๆ ที่เกี่ยวข้อง ซึ่งผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ประมวลผลข้อมูล ส่วนบุคคลตามขอบเขตที่ระบุในข้อตกลงและตามคำสั่งของ ปภ. เท่านั้นโดยไม่สามารถประมวลผล เพื่อวัตถุประสงค์อื่นได้

ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลมีการมอบหมายผู้ให้บริการช่วง (ผู้ประมวลผลช่วง) เพื่อทำ การประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของผู้ประมวลผลข้อมูลส่วนบุคคล ดังนี้ ปภ. จะกำกับให้ ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเอกสารข้อตกลงระหว่างผู้ประมวลผลข้อมูลส่วนบุคคลกับ ผู้ประมวลผลช่วง ในรูปแบบและมาตรฐานที่ไม่ต่ำกว่าข้อตกลงระหว่าง ปภ. กับผู้ประมวลผลข้อมูลส่วนบุคคล

14. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

ปภ. มีมาตรการปกป้องข้อมูลส่วนบุคคล โดยการจำกัดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลให้สามารถ เข้าถึงได้โดยเจ้าหน้าที่เฉพาะรายหรือบุคคลที่มีอำนาจหน้าที่หรือได้รับมอบหมายที่มีความจำเป็นต้อง ใช้ข้อมูลดังกล่าวตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้แล้วเท่านั้น ซึ่งบุคคลดังกล่าวจะต้อง ยึดมั่น และปฏิบัติตามมาตรการปกป้องข้อมูลส่วนบุคคลของ ปภ. อย่างเคร่งครัด ตลอดจนมีหน้าที่ รักษาความลับของข้อมูลส่วนบุคคลที่ตนเองรับรู้จากการปฏิบัติการตามอำนาจหน้าที่ โดย ปภ. มีมาตรการรักษาความปลอดภัยข้อมูลทั้งในเชิงองค์กรหรือเชิงเทคนิคที่ได้มาตรฐานสากล และเป็นไปตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

นอกจากนี้ เมื่อ ปภ. มีการส่ง โอนหรือเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่สาม ไม่ว่าเพื่อการให้บริการตามพันธกิจ ตามสัญญา หรือข้อตกลงในรูปแบบอื่น ปภ. จะกำหนดมาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคลและการรักษาความลับที่เหมาะสมและเป็นไปตามที่กฎหมายกำหนด เพื่อยืนยันว่าข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวมจะมีความมั่นคงปลอดภัยอยู่เสมอ

15. การเชื่อมต่อเว็บไซต์หรือบริการภายนอก

บริการของ ปภ. อาจมีการเชื่อมต่อไปยังเว็บไซต์หรือบริการของบุคคลที่สาม ซึ่งเว็บไซต์หรือบริการ ดังกล่าวอาจมีการประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่มีเนื้อหาสาระแตกต่างจากนโยบายนี้ ปภ. ขอแนะนำให้ท่านศึกษานโยบายการคุ้มครองข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการนั้น ๆ เพื่อทราบ ในรายละเอียดก่อนการเข้าใช้งาน ทั้งนี้ ปภ. ไม่มีความเกี่ยวข้องและไม่มีอำนาจควบคุมถึงมาตรการคุ้มครอง ข้อมูลส่วนบุคคลของเว็บไซต์หรือบริการดังกล่าวและไม่สามารถรับผิดชอบต่อเนื้อหา นโยบาย ความเสียหาย หรือการกระทำอันเกิดจากเว็บไซต์หรือบริการของบุคคลที่สาม

16. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

ปภ. ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อทำหน้าที่ตรวจสอบ กำกับและให้คำแนะนำ ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึงการประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

17. สิทธิของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคล ไว้หลายประการ ทั้งนี้สิทธิดังกล่าวจะเริ่มมีผลบังคับใช้เมื่อกฎหมายในส่วนของสิทธินี้มีผลใช้บังคับ โดยรายละเอียดของสิทธิต่าง ๆ ประกอบด้วย

1. สิทธิในการขอเข้าถึงข้อมูลส่วนบุคคล ท่านมีสิทธิขอเข้าถึง รับสำเนาและขอให้เปิดเผยที่มาของ ข้อมูลส่วนบุคคลที่ ปภ. เก็บรวบรวมไว้โดยปราศจากความยินยอมของท่าน เว้นแต่กรณีที่ ปภ. มีสิทธิปฏิเสธ คำขอของท่านด้วยเหตุตามกฎหมายหรือคำสั่งศาล หรือกรณีที่การใช้สิทธิของท่านจะมีผลกระทบที่อาจ ก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
2. สิทธิในการขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง สมบูรณ์และเป็นปัจจุบัน หากท่านพบว่าข้อมูล ส่วนบุคคลของท่านไม่ถูกต้อง ไม่ครบถ้วนหรือไม่เป็นปัจจุบัน ท่านมีสิทธิขอให้แก้ไขเพื่อให้มีความถูกต้อง เป็นปัจจุบัน สมบูรณ์และไม่ก่อให้เกิดความเข้าใจผิดได้
3. สิทธิในการลบหรือทำลายข้อมูลส่วนบุคคล ท่านมีสิทธิขอให้ ปภ. ลบหรือทำลายข้อมูล ส่วนบุคคลของท่าน หรือทำให้ข้อมูลส่วนบุคคลของท่านไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลได้ต่อไป ทั้งนี้การใช้สิทธิลบหรือทำลายข้อมูลส่วนบุคคลนี้จะต้องอยู่ภายใต้เงื่อนไขตามที่กฎหมายกำหนด
4. สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล ท่านมีสิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคล ของท่าน ทั้งนี้ ในกรณีดังต่อไปนี้
   • ก) เมื่ออยู่ในช่วงเวลาที่ ปภ. ทำการตรวจสอบตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคล ให้แก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง สมบูรณ์และเป็นปัจจุบัน
   • ข) ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้หรือเปิดเผยโดยมิชอบ ด้วยกฎหมาย
   • ค) เมื่อข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ ตามวัตถุประสงค์ที่ ปภ. ได้แจ้งในการเก็บรวบรวม แต่เจ้าของข้อมูลส่วนบุคคลประสงค์ ให้ ปภ. เก็บรักษาข้อมูลนั้นต่อไปเพื่อประกอบการใช้สิทธิตามกฎหมาย
   • ง) เมื่ออยู่ในช่วงเวลาที่ ปภ. กำลังพิสูจน์ถึงเหตุอันชอบด้วยกฎหมายในการเก็บรวบรวม ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล หรือตรวจสอบความจำเป็นในการเก็บ รวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์สาธารณะ อันเนื่องมาจากการที่ เจ้าของข้อมูลส่วนบุคคลได้ใช้สิทธิคัดค้าน การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล
5. สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล ท่านมีสิทธิคัดค้านการเก็บรวบรวม ใช้หรือ เปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับท่าน เว้นแต่กรณีที่ ปภ. มีเหตุในการปฏิเสธคำขอโดยชอบด้วยกฎหมาย (เช่น ปภ. สามารถแสดงให้เห็นว่าการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของท่านมีเหตุอันชอบ ด้วยกฎหมายยิ่งกว่า หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง ทางกฎหมาย หรือเพื่อประโยชน์สาธารณะของ ปภ.)
6. สิทธิในการขอถอนความยินยอม ในกรณีที่ท่านได้ให้ความยินยอมแก่ ปภ. ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล (ไม่ว่าความยินยอมนั้นจะได้ให้ไว้ก่อนหรือหลังพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลใช้บังคับ) ท่านมีสิทธิถอนความยินยอมเมื่อใดก็ได้ตลอดระยะเวลาที่ ข้อมูลส่วนบุคคลของท่านถูกเก็บรักษาโดย ปภ. เว้นแต่มีข้อจำกัดสิทธิโดยกฎหมายให้ ปภ. จำเป็นต้อง เก็บรักษา ข้อมูลต่อไปหรือยังคงมีสัญญาระหว่างท่านกับ ปภ. ที่ให้ประโยชน์แก่ท่านอยู่
7. สิทธิในการขอรับ ส่ง หรือโอนข้อมูลส่วนบุคคล ท่านมีสิทธิในการขอรับข้อมูลส่วนบุคคลของ ท่านจาก ปภ. ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ที่ทำงานได้ โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยวิธีการอัตโนมัติรวมถึงอาจขอให้ ปภ. ส่งหรือ โอนข้อมูลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ทั้งนี้การใช้สิทธินี้จะต้องอยู่ภายใต้เงื่อนไข ตามที่กฎหมายกำหนด

18. โทษของการไม่ปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคล

การไม่ปฏิบัติตามนโยบายอาจมีผลเป็นความผิดและถูกลงโทษทางวินัยตามกฎเกณฑ์ของ ปภ. (สำหรับเจ้าหน้าที่หรือผู้ปฏิบัติงานของ ปภ.) หรือตามข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (สำหรับ ผู้ประมวลผลข้อมูลส่วนบุคคล) ทั้งนี้ตามแต่กรณีและความสัมพันธ์ที่ท่านมีต่อ ปภ. และอาจได้รับโทษตามที่ กำหนดโดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมทั้งกฎหมายลำดับรอง กฎ ระเบียบ คำสั่งที่เกี่ยวข้อง

19. การร้องเรียนต่อหน่วยงานผู้มีอำนาจกำกับดูแล

ในกรณีที่ท่านพบว่า ปภ. มิได้ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียน ไปยังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือหน่วยงานที่มีอำนาจกำกับดูแลที่ได้รับการแต่งตั้ง โดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือตามกฎหมาย ทั้งนี้ก่อนการร้องเรียนดังกล่าว ปภ. ขอให้ ท่านโปรดติดต่อมายัง ปภ. เพื่อให้ ปภ. มีโอกาสได้รับทราบข้อเท็จจริงและได้ชี้แจงในประเด็นต่าง ๆ รวมถึง จัดการแก้ไขข้อกังวลของท่านก่อนในโอกาสแรก

20. การปรับปรุงแก้ไขนโยบายการคุ้มครองข้อมูลส่วนบุคคล

ปภ. อาจพิจารณาปรับปรุง แก้ไขหรือเปลี่ยนแปลงนโยบายนี้ตามที่เห็นสมควร และจะทำการแจ้งให้ ท่านทราบผ่านช่องทางเว็บไซต์ www.disaster.go.th โดยมีวันที่มีผลบังคับใช้ของแต่ละฉบับแก้ไขกำกับอยู่ อย่างไรก็ดี ปภ. ขอแนะนำให้ท่านโปรดตรวจสอบเพื่อรับทราบนโยบายฉบับใหม่อย่างสม่ำเสมอ ผ่านแอปพลิเคชัน หรือช่องทางเฉพาะกิจกรรมที่ ปภ. ดำเนินการ โดยเฉพาะก่อนที่ท่านจะทำการเปิดเผย ข้อมูลส่วนบุคคลแก่ ปภ.

การเข้าใช้งานผลิตภัณฑ์หรือบริการของ ปภ. ภายหลังการบังคับใช้นโยบายใหม่ ถือเป็นการรับทราบ ตามข้อตกลงในนโยบายใหม่แล้ว ทั้งนี้โปรดหยุดการเข้าใช้งานหากท่านไม่เห็นด้วยกับรายละเอียดในนโยบาย ฉบับนี้และโปรดติดต่อมายัง ปภ. เพื่อชี้แจงข้อเท็จจริงต่อไป

21. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

กรมป้องกันและบรรเทาสาธารณภัย ได้ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) เพื่อตรวจสอบการดำเนินการของกรมป้องกันและบรรเทาสาธารณภัย ที่เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

22. การติดต่อสอบถามหรือใช้สิทธิ์

หากท่านมีข้อสงสัย ข้อเสนอแนะหรือข้อกังวลเกี่ยวกับการเก็บรวบรวม ใช้และเปิดเผยข้อมูล ส่วนบุคคลของ ปภ. หรือเกี่ยวกับนโยบายนี้หรือท่านต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อสอบถามได้ที

1. 1) ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)
   ชื่อ: กรมป้องกันและบรรเทาสาธารณภัย
   สถานที่ติดต่อ: เลขที่ 3/12 ถนนอู่ทองนอก แขวงดุสิต เขตดุสิต กรุงเทพมหานคร 10300
   เบอร์โทรศัพท์: 02-637-3000
2. 2) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Office: DPO)
   สถานที่ติดต่อ: เลขที่ 3/12 ถนนอู่ทองนอก แขวงดุสิต เขตดุสิต กรุงเทพมหานคร 10300
   เบอร์โทรศัพท์: 02-637-3608
   ช่องการติดต่อ: itc@disaster.go.th