นโยบายคุ้มครองข้อมูลส่วนบุคคล (Data Protection Policy) ของมหาวิทยาลัยราชภัฏสวนสุนันทา

มหาวิทยาลัยราชภัฏสวนสุนันทารวมถึงบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของมหาวิทยาลัยราชภัฏสวนสุนันทา (ซึ่งต่อไปนี้เรียกว่า “มหาวิทยาลัย”) ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลอื่นอันเกี่ยวกับเจ้าของข้อมูล (รวมเรียกว่า “ข้อมูล”) เพื่อให้เจ้าของข้อมูลสามารถเชื่อมั่นได้ว่า มหาวิทยาลัยมีความโปร่งใสและความรับผิดชอบในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลของเจ้าของข้อมูลสอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) รวมถึงกฎหมายอื่นที่เกี่ยวข้อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล (“นโยบาย”) นี้จึงได้ถูกจัดทำขึ้นเพื่อควบคุมการใช้ข้อมูลและป้องกันการรั่วไหลของข้อมูลส่วนบุคคล และเพื่อชี้แจงแก่เจ้าของข้อมูลถึงรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้หรือเปิดเผย (รวมเรียกว่า “ประมวลผล”) ข้อมูล
ส่วนบุคคล ซึ่งดำเนินการโดยมหาวิทยาลัย เจ้าหน้าที่และบุคคลที่เกี่ยวข้อง หรือผู้ดำเนินการแทนในนามของมหาวิทยาลัย จึงได้กำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย โดยมีเนื้อหาสาระดังต่อไปนี้

นโยบายนี้ใช้บังคับกับข้อมูลส่วนบุคคลของบุคคลซึ่งมีความสัมพันธ์กับ มหาวิทยาลัยในปัจจุบันและที่อาจมีในอนาคต ซึ่งถูกประมวลผลข้อมูลส่วนบุคคลโดยมหาวิทยาลัย ภายใต้กิจกรรม ผลิตภัณฑ์และบริการต่าง ๆ เช่น เว็บไซต์ ระบบ แอปพลิเคชัน เอกสาร หรือบริการในรูปแบบอื่นที่ควบคุมดูแลโดยมหาวิทยาลัย

นอกจากนโยบายฉบับนี้แล้ว มหาวิทยาลัยอาจกำหนดให้มีคำประกาศนโยบายความเป็นส่วนตัว (Privacy Policy) (“ประกาศ”) สำหรับการดำเนินงานต่าง ๆ หรือบริการของมหาวิทยาลัย เพื่อชี้แจงให้เจ้าของข้อมูลส่วนบุคคล ซึ่งเป็นผู้ใช้บริการได้ทราบถึงข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์และเหตุผลอันชอบด้วยกฎหมายในการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล รวมถึงสิทธิในข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลพึงมีในการดำเนินงานต่าง ๆ หรือบริการนั้นเป็นการเฉพาะเจาะจง

ทั้งนี้ ในกรณีที่มีความขัดแย้งกันในสาระสำคัญระหว่างความในประกาศเกี่ยวกับความเป็นส่วนตัวและนโยบายนี้ ให้ถือตามความในประกาศเกี่ยวกับความเป็นส่วนตัวของบริการนั้น

๑. วัตถุประสงค์

๑.๑. เพื่อใช้บังคับกับคณะกรรมการ ผู้บริหาร พนักงาน ลูกจ้าง นักศึกษา และผู้ที่ทำงานหรือปฏิบัติงานให้กับมหาวิทยาลัย

๑.๒. เพื่อกำหนดให้การปฏิบัติงานและการดำเนินการของมหาวิทยาลัยเกี่ยวกับข้อมูลส่วนบุคคลเป็นไปเป็นตามกฎหมายที่กำหนดและเทียบเท่ามาตรฐานสากล ซึ่งรวมถึงการประมวลผลข้อมูลส่วนบุคคลและมาตรการคุ้มครองข้อมูลส่วนบุคคล

๑.๓. เพื่อให้สามารถปฏิบัติตามข้อกำหนด พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๑.๔. เพื่อสร้างความมั่นใจให้กับเจ้าของข้อมูลส่วนบุคคลว่า การประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการโดยมหาวิทยาลัยนั้น มีมาตรการป้องกันและคุ้มครองอย่างเหมาะสมเป็นไปตามกฎหมายที่กำหนดและเทียบเท่ามาตรฐานสากล

๑.๕. เพื่อให้บุคลากรของมหาวิทยาลัยปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มหาวิทยาลัยได้กำหนดอย่างเคร่งครัด เพื่อป้องกันไม่ให้มีการล่วงละเมิดข้อมูลส่วนบุคคล และลดความเสี่ยงของมหาวิทยาลัย

๑.๖. เพื่อสามารถประกาศใช้ ประกาศ นโยบาย ข้อปฏิบัติที่เกี่ยวข้องได้อย่างถูกต้อง

๒. คำนิยาม

ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลธรรมดาที่เกี่ยวข้องกับมหาวิทยาลัย ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

ข้อมูลส่วนบุคคลอ่อนไหว หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่มหาวิทยาลัยได้ทำการเก็บรวบรวม ใช้ หรือเปิดเผย ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

ผู้เยาว์ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หมายถึง ผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ
โดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลบรรลุนิติภาวะตามมาตรา ๒๗ แห่งประมวลกฎหมายแพ่งและพาณิชย์ ผู้ไร้ความสามารถ และผู้เสมือนไร้ความสามารถ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยอาจจำเป็นต้องให้บิดามารดา ผู้ปกครอง ผู้อนุบาล หรือผู้พิทักษ์ของเจ้าของข้อมูลให้ความยินยอมหรือกรณีที่กฎหมายอนุญาตให้ทำได้ หากมหาวิทยาลัยทราบว่ามีการเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้เยาว์โดยไม่ได้รับความยินยอมจากบิดามารดา ผู้ปกครอง ผู้อนุบาล หรือผู้พิทักษ์ มหาวิทยาลัยจะดำเนินการลบข้อมูลนั้นจากระบบของมหาวิทยาลัย

การประมวลผลข้อมูลส่วนบุคคล หมายถึง การดำเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น เก็บรวบรวม บันทึก สำเนา จัดระเบียบ เก็บรักษา ปรับปรุง เปลี่ยนแปลง ใช้ กู้คืน เปิดเผย ส่งต่อ เผยแพร่ โอน รวม ลบ ทำลาย เป็นต้น

เจ้าของข้อมูลส่วนบุคคล หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวม ใช้ หรือเปิดเผย ดังนี้

๑) ผู้บริหาร บุคลากร ข้าราชการ พนักงานราชการ พนักงานมหาวิทยาลัย ลูกจ้างประจำพนักงานสัญญาจ้าง และผู้ปฏิบัติงานในมหาวิทยาลัย

๒) นักศึกษาปัจจุบัน ผู้ที่สำเร็จการศึกษาจากมหาวิทยาลัย

๓) บิดามารดา หรือผู้มีอำนาจปกครองของนักศึกษา หรือบุคคลที่ยังไม่บรรลุนิติภาวะตามกฎหมาย

๔) ผู้เข้าร่วมการวิจัย หรือผู้เข้าร่วมกิจกรรม

๕) คณะกรรมการ อนุกรรมการซึ่งทางมหาวิทยาลัยแต่งตั้งขึ้น

๖) คู่ค้าและผู้ให้บริการซึ่งเป็นบุคคลธรรมดา

๗) กรรมการมหาวิทยาลัย ผู้รับมอบอำนาจ ผู้แทน ตัวแทน ลูกจ้าง หรือบุคคลอื่นที่มีความสัมพันธ์ในรูปแบบเดียวกันของนิติบุคคลที่มีความสัมพันธ์กับมหาวิทยาลัย

๘) ผู้ใช้งานผลิตภัณฑ์หรือบริการของมหาวิทยาลัย

๙) ผู้เข้าชมหรือใช้งานเว็บไซต์ www.ssru.ac.th รวมทั้งระบบ แอปพลิเคชัน อุปกรณ์ หรือช่องทางการสื่อสารอื่นซึ่งควบคุมดูแลโดยมหาวิทยาลัย

๑๐) บุคคลอื่นที่มหาวิทยาลัยเก็บรวบรวมข้อมูลส่วนบุคคล เช่น ผู้สมัครงาน ครอบครัวของข้าราชการพนักงานมหาวิทยาลัย เจ้าหน้าที่ ผู้ค้ำประกัน ผู้รับประโยชน์ในกรมธรรม์ประกันภัย เป็นต้น และบุคคลอื่นที่มีส่วนเกี่ยวข้องกับมหาวิทยาลัย

ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามประกาศแต่งตั้งของมหาวิทยาลัย

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล มหาวิทยาลัยได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อทำหน้าที่ตรวจสอบ กำกับและให้คำแนะนำในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล รวมถึง การประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามประกาศแต่งตั้งของมหาวิทยาลัย

ผู้ประมวลผลข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคล ซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล มหาวิทยาลัยได้แต่งตั้งผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อทำหน้าที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลประจำหน่วยงานโดยมีตำแหน่งคณบดีหรือผู้อำนวยการสำนัก หรือรองคณบดีหรือรองผู้อำนวยการสำนักที่คณบดีหรือผู้อำนวยการสำนักมอบหมายให้เป็นผู้รับผิดชอบของหน่วยงานนั้น

๓. บทบาทและอำนาจหน้าที่คณะกรรมการด้านการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Committee : PDPC)

เพื่อขับเคลื่อนและดำเนินการให้เป็นไปตามเป้าหมาย มหาวิทยาลัยได้กำหนดบทบาทอำนาจหน้าที่ของ คณะกรรมการด้านการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Committee : PDPC) ไว้ดังนี้

๓.๑. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ของมหาวิทยาลัย มีบทบาทและอำนาจหน้าที่ ดังนี้

๑) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตามประกาศมหาวิทยาลัย ได้แก่ นโยบายคุ้มครองข้อมูลส่วนบุคคล นโยบายรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล และประกาศอื่นที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับมหาวิทยาลัย เพื่อให้สามารถปฏิบัติหน้าที่ได้

๒) ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามกรอบมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล คือ

- การธำรงไว้ซึ่งความลับ (confidentiality) ของข้อมูลส่วนบุคคล

- ความถูกต้องครบถ้วน (integrity) ของข้อมูลส่วนบุคคล

- สภาพพร้อมใช้งาน (availability) ของข้อมูลส่วนบุคคล

๓) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องดำเนินการป้องกันไม่ให้ผู้นั้น ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

๔) จัดให้มีระบบตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาเก็บรักษา หรือเกินความจำเป็นที่ระบุไว้ในวัตถุประสงค์ในการเก็บรวบรวมหรือไม่เกี่ยวข้อง หรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ที่กำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย

๕) เมื่อเกิดเหตุละเมิด หรือข้อมูลส่วนบุคคลรั่วไหล จะต้องแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน ๗๒ ชั่วโมง นับแต่ทราบเหตุ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เกิดการละเมิด
ที่มีความเสี่ยงสูง และมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลให้แจ้งเหตุการณ์การละเมิดต่อเจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้น ให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศ

๖) แต่งตั้งตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๕ วรรคสอง เป็นหนังสือซึ่งตัวแทนต้องอยู่ในราชอาณาจักรและได้รับมอบอำนาจให้กระทำการแทนโดยไม่จำกัดความรับผิดชอบที่เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยตามวัตถุประสงค์ของผู้ควบคุมข้อมูลส่วนบุคคล

๗) จัดทำบันทึกรายการประกาศมหาวิทยาลัย เรื่อง นโยบายคุ้มครองข้อมูลส่วนบุคคล (Data Protection Policy) อย่างน้อย ดังนี้

๑. ข้อมูลที่มีการเก็บรวบรวม

๒. วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท

๓. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล

๔. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

๕. สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น

๖. การใช้หรือเปิดเผยตามมาตรา ๒๗ วรรคสาม

๗. การปฏิเสธคำขอ หรือคัดค้านตามมาตรา ๓๐ วรรคสาม

๘. คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา ๓๗ (๑)

๙. ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) ตามมาตรา ๔๑

๑๐. รายงานต่อผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคล กรณีที่เกิดปัญหาในการปฏิบัติหน้าที่

๓.๒. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) ของมหาวิทยาลัย มีบทบาทและอำนาจหน้าที่ ดังนี้

๑) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ให้คำแนะนำแก่ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หรือผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) รวมทั้งลูกจ้างหรือ ผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.๒๕๖๒ และกฎหมายระเบียบอื่นที่เกี่ยวข้อง

๒) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ตรวจสอบการดำเนินงานของผู้ควบคุมข้อมูล
ส่วนบุคคล (Data Controller) หรือผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.๒๕๖๒ และกฎหมายระเบียบอื่นที่เกี่ยวข้อง

๓) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองส่วนบุคคล กรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หรือผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล

๔) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้
หรือได้มาเนื่องจากการปฏิบัติหน้าที่

๕) ให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) ปฏิบัติตามแนวปฏิบัติสำหรับการดำเนินการของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัย

๔. แหล่งที่มาของข้อมูลส่วนบุคคลที่มหาวิทยาลัยรวบรวม

มหาวิทยาลัยเก็บรวบรวมหรือได้มาซึ่งข้อมูลส่วนบุคคลประเภทต่าง ๆ จากแหล่งข้อมูลดังต่อไปนี้

๔.๑. การสมัครเข้าเป็นบุคลากร นักศึกษา พนักงานมหาวิทยาลัย ลูกจ้างของมหาวิทยาลัย

๔.๒. การโอนย้ายสังกัด หรือส่งต่อข้อมูลจากต้นสังกัดเดิม

๔.๓. หน่วยงานราชการที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคล เป็นต้น

ข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวมจากเจ้าของข้อมูลส่วนบุคคลโดยตรง โดยมีวัตถุประสงค์ ขอบเขต และใช้วิธีการที่ชอบด้วยกฎหมายและเป็นธรรม ซึ่งมหาวิทยาลัยจะดำเนินการอย่างจำกัดเพียงเท่าที่จำเป็นแก่การให้บริการทางการศึกษา การจัดกิจกรรมทางการศึกษา หรือในช่องทางให้บริการต่าง ๆ เช่น ขั้นตอนการสมัคร ลงทะเบียน สมัครงาน ลงนามในสัญญา เอกสาร ทำแบบสำรวจ หรือใช้งานบริการ หรือช่องทางให้บริการอื่นที่ควบคุมดูแลโดยมหาวิทยาลัย หรือเมื่อเจ้าของข้อมูลส่วนบุคคลติดต่อสื่อสารกับมหาวิทยาลัย ณ ที่ทำการหรือผ่านช่องทางติดต่ออื่นที่ควบคุมดูแลโดยมหาวิทยาลัย เป็นต้น

ข้อมูลที่มหาวิทยาลัยเก็บรวบรวมจากการที่เจ้าของข้อมูลส่วนบุคคลเข้าใช้งานเว็บไซต์ ผลิตภัณฑ์หรือบริการอื่น ๆ ตามสัญญาหรือตามพันธกิจของมหาวิทยาลัย เช่น การติดตามพฤติกรรมการใช้งานเว็บไซต์ หรือบริการของมหาวิทยาลัยด้วยการใช้คุกกี้ (Cookies) หรือจากซอฟต์แวร์บนอุปกรณ์ของเจ้าของข้อมูลส่วนบุคคลเป็นต้น

ข้อมูลส่วนบุคคลที่มหาวิทยาลัยเก็บรวบรวมจากแหล่งอื่น โดยที่แหล่งข้อมูลดังกล่าวมีอำนาจหน้าที่มีเหตุผลที่ชอบด้วยกฎหมายหรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วในการเปิดเผยข้อมูลแก่มหาวิทยาลัย เช่น การเชื่อมโยงบริการดิจิทัลของหน่วยงานของรัฐในการให้บริการเพื่อประโยชน์สาธารณะแบบเบ็ดเสร็จแก่เจ้าของข้อมูลส่วนบุคคลเอง การรับข้อมูลส่วนบุคคลจากหน่วยงานของรัฐแห่งอื่นในฐานะที่มหาวิทยาลัยมีหน้าที่ตามพันธกิจในการดำเนินการจัดให้มีศูนย์แลกเปลี่ยนข้อมูลกลางเพื่อสนับสนุนการดำเนินการของหน่วยงานของรัฐในการให้บริการประชาชนผ่านระบบดิจิทัล รวมถึงจากความจำเป็นเพื่อให้บริการตามสัญญาที่อาจมีการแลกเปลี่ยนข้อมูลส่วนบุคคลกับหน่วยงานคู่สัญญาได้

นอกจากนี้ ยังหมายความรวมถึงกรณีที่เจ้าของข้อมูลเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลภายนอกแก่มหาวิทยาลัย ดังนี้ เจ้าของข้อมูลมีหน้าที่รับผิดชอบในการแจ้งรายละเอียดตามนโยบายนี้หรือประกาศของผลิตภัณฑ์หรือบริการ ตามแต่กรณีให้บุคคลดังกล่าวทราบ ตลอดจนขอความยินยอมจากบุคคลนั้นหากเป็นกรณีที่ต้องได้รับความยินยอมในการเปิดเผยข้อมูลแก่มหาวิทยาลัย

ทั้งนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธไม่ให้ข้อมูลที่มีความจำเป็นแก่มหาวิทยาลัย อาจส่งผลให้ มหาวิทยาลัยไม่สามารถให้บริการนั้นแก่เจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ทั้งหมดหรือบางส่วน

๕. การเก็บรวบรวมข้อมูลส่วนบุคคลและฐานกฎหมายที่ใช้ในการประมวลผล

โดยมหาวิทยาลัยจะดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลเมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อน ยกเว้นในกรณีดังต่อไปนี้

๕.๑. เพื่อปฏิบัติตามสัญญา กรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อความจำเป็นต่อการให้บริการหรือปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลและมหาวิทยาลัย

๕.๒. เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ

๕.๓. เพื่อปฏิบัติตามกฎหมาย

๕.๔. เพื่อผลประโยชน์อันชอบโดยกฎหมายของมหาวิทยาลัยกรณีมีความจำเป็น เพื่อประโยชน์อันชอบธรรมในการดำเนินงานของมหาวิทยาลัยโดยมหาวิทยาลัยจะพิจารณาถึงสิทธิของเจ้าของข้อมูลเป็นสำคัญ เช่น เพื่อป้องกันการฉ้อโกง การรักษาความปลอดภัยในระบบเครือข่าย การปกป้องสิทธิเสรีภาพ และประโยชน์ของเจ้าของข้อมูลเป็นต้น

๕.๕. เพื่อการศึกษาวิจัยหรือสถิติ กรณีที่มีการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะหรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูล

๕.๖. เพื่อปฏิบัติภารกิจของรัฐ กรณีมีความจำเป็นต่อการปฏิบัติตามภารกิจเพื่อประโยชน์สาธารณะหรือการปฏิบัติหน้าที่ตามอำนาจรัฐที่มหาวิทยาลัยได้รับมอบหมาย

๕.๗. ในกรณีที่มหาวิทยาลัย มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เพื่อการปฏิบัติตามสัญญา การปฏิบัติหน้าที่ตามกฎหมายหรือเพื่อความจำเป็นในการเข้าทำสัญญาหากเจ้าของข้อมูลปฏิเสธไม่ให้ข้อมูลส่วนบุคคลหรือ คัดค้านการดำเนินการประมวลผลตามวัตถุประสงค์ของกิจกรรม อาจมีผลทำให้ มหาวิทยาลัยไม่สามารถดำเนินการหรือให้บริการตามที่เจ้าของข้อมูลร้องขอได้ทั้งหมดหรือบางส่วน

๖. ประเภทของข้อมูลส่วนบุคคลที่ มหาวิทยาลัยเก็บรวบรวม (Personal Data Classification)

ในการเก็บรวบรวม และเก็บรักษาข้อมูลส่วนบุคคล มหาวิทยาลัยคำนึงถึงสิทธิ เสรีภาพของบุคลากร นักศึกษา และผู้ที่เกี่ยวข้องกับมหาวิทยาลัยซึ่งถือเป็นเจ้าของข้อมูลส่วนบุคคล โดยจะใช้วิธีการที่ชอบด้วยกฎหมายและจำกัดเพียงเท่าที่จำเป็นตามวัตถุประสงค์การดำเนินงานของมหาวิทยาลัยอันประกอบด้วยดังนี้

ประเภทข้อมูลส่วนบุคคล	รายละเอียดและตัวอย่าง
ข้อมูลเฉพาะตัวบุคคล	ข้อมูลระบุชื่อเรียกของเจ้าของข้อมูลหรือข้อมูลจากที่ระบุข้อมูลเฉพาะตัวของเจ้าของข้อมูล เช่น ชื่อ-นามสกุล อายุ วันเกิด เพศ เลขประจำตัวประชาชน เลขที่หนังสือเดินทาง หมายเลขประจำตัว นักศึกษา ประวัติการศึกษา สถานภาพการเกณฑ์ทหาร ลายมือชื่อ สำเนาบัตรประชาชน สำเนาทะเบียนบ้าน สำเนาบัตรประจำตัวนักศึกษา ประวัติการทำงาน หมายเลขที่สามารถระบุตัวตนได้ เป็นต้น
ข้อมูลสำหรับการติดต่อ	ข้อมูลสำหรับการติดต่อเจ้าของข้อมูล เช่น ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อผู้ใช้งานในสังคมออนไลน์ เป็นต้น
ข้อมูลเอกสารทางราชการ	ข้อมูลเอกสารทางราชการของเจ้าของข้อมูล เช่น สำเนาบัตรประชาชนสำเนาทะเบียนบ้าน สำเนาหนังสือเดินทาง สำเนาบัตรประจำตัวนักศึกษา เป็นต้น
ข้อมูลทางการเงิน	ข้อมูลทางการเงินของเจ้าของข้อมูล เช่น ข้อมูลบัญชีธนาคาร สำเนาสมุดบัญชี ข้อมูลบัตรเครดิตหรือเดบิต สถานะการกู้ยืมเงินของกองทุนให้กู้ยืมเพื่อการศึกษา (กยศ.) หรือกองทุนเงินกู้ยืมเพื่อการศึกษาที่ผูกกับรายได้ในอนาคต (กรอ.), สถานภาพทางการเงิน เป็นต้น
ข้อมูลการที่เกี่ยวข้องกับการศึกษา	ข้อมูลการที่เกี่ยวข้องกับการศึกษาของเจ้าของข้อมูล เช่น ผลการศึกษาการลงทะเบียนวิชาเรียน ผลการคัดเลือกเข้าศึกษา วุฒิการศึกษา สถานะการศึกษา สาขาวิชา/แผนการเรียน/คณะ/วิทยาลัย งานวิจัย เป็นต้น
ข้อมูลบุคคลที่สาม	ข้อมูลบุคคลที่สามของเจ้าของข้อมูล เช่น ข้อมูลสมาชิกในครอบครัว ข้อมูลผู้รับผลประโยชน์จากสวัสดิการต่าง ๆ ข้อมูลผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น
ข้อมูลการเข้าร่วมกิจกรรมของมหาวิทยาลัย	ข้อมูลการเข้าร่วมกิจกรรมของมหาวิทยาลัยของเจ้าของข้อมูล เช่น ข้อมูลการลงทะเบียนเข้าร่วมกิจกรรมหรือแคมเปญต่าง ๆที่มหาวิทยาลัยได้จัดขึ้น เป็นต้น
ข้อมูลสถิติ	ข้อมูลสถิติของเจ้าของข้อมูล เช่น การเข้าชมเว็บไซต์ การเข้าใช้บริการต่าง ๆ ภายในโรงเรียน/มหาวิทยาลัย เป็นต้น
ข้อมูลที่ได้จากการเก็บรวบรวมของ มหาวิทยาลัย หรือระบบอัตโนมัติจากอุปกรณ์ต่าง ๆ ของมหาวิทยาลัย	ข้อมูลที่ได้จากการเก็บรวบรวมของมหาวิทยาลัย หรือระบบอัตโนมัติจากอุปกรณ์ต่าง ๆ ของมหาวิทยาลัย เช่น หมายเลข IP Address Cookie พฤติกรรมการใช้บริการ ประวัติการสั่งซื้อ ภาพถ่าย เป็นต้น
ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน	ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนของเจ้าของข้อมูล เช่น เชื้อชาติ ข้อมูลศาสนา ข้อมูลความพิการ ประวัติอาชญากรรม ข้อมูลชีวภาพ (ข้อมูลภาพจำลองใบหน้า) ข้อมูลเกี่ยวกับสุขภาพ เป็นต้น

๗. คุกกี้ (Cookies)

มหาวิทยาลัยเก็บรวบรวมและใช้คุกกี้รวมถึงเทคโนโลยีอื่นในลักษณะเดียวกันในเว็บไซต์ที่อยู่ภายใต้ความดูแลของ มหาวิทยาลัย เช่น www.ssru.ac.th หรือบนอุปกรณ์ของเจ้าของข้อมูลตามแต่ละบริการที่เจ้าของข้อมูลใช้งาน ทั้งนี้ เพื่อการดำเนินการด้านความปลอดภัยในการให้บริการของมหาวิทยาลัยและเพื่อให้เจ้าของข้อมูลซึ่งเป็นผู้ใช้งานได้รับความสะดวกและประสบการณ์ที่ดีในการใช้งานบริการของมหาวิทยาลัยและข้อมูลเหล่านี้จะถูกนำไป เพื่อปรับปรุงเว็บไซต์ของมหาวิทยาลัยให้ตรงกับความต้องการของเจ้าของข้อมูลมากยิ่งขึ้น โดยเจ้าของข้อมูลสามารถตั้งค่าหรือลบการใช้งานคุกกี้ได้ด้วยตนเองจากการตั้งค่าในเว็บเบราว์เซอร์ (Web Browser) ของเจ้าของข้อมูล

๘. วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล

มหาวิทยาลัยดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูล เพื่อวัตถุประสงค์หลายประการซึ่งขึ้นอยู่กับประเภทของการดำเนินการหรือบริการหรือกิจกรรมที่เจ้าของข้อมูลใช้บริการ ตลอดจนลักษณะความสัมพันธ์ของเจ้าของข้อมูลกับมหาวิทยาลัยหรือข้อพิจารณาในแต่ละบริบทเป็นสำคัญ โดยวัตถุประสงค์ที่ระบุไว้ดังต่อไปนี้เป็นเพียงกรอบการใช้ข้อมูลส่วนบุคคลของมหาวิทยาลัยเป็นการทั่วไป โดยทั้งนี้ เฉพาะวัตถุประสงค์ที่เกี่ยวข้องกับการดำเนินการหรือบริการที่เจ้าของข้อมูลใช้งานหรือมีความสัมพันธ์ด้วยเท่านั้นที่จะมีผลบังคับใช้กับข้อมูลของเจ้าของข้อมูล

๘.๑. การศึกษา วิจัย การส่งเสริมประยุกต์ พัฒนาวิชาการและวิชาชีพชั้นสูง ซึ่งเป็นไปตามวัตถุประสงค์ของการดำเนินงานของมหาวิทยาลัย เพื่อพัฒนาประเทศและสังคม และก่อให้เกิดประโยชน์แก่มหาวิทยาลัย

๘.๒. การให้บริการ หรือการดำเนินงานของมหาวิทยาลัยที่เกี่ยวข้องกับการส่งเสริมและการพัฒนา
ด้านกิจกรรมนักศึกษา ด้านการเรียนการสอนและการเรียนรู้ เพื่อสร้างประสบการณ์ ตลอดจนการสร้างเครือข่ายนักศึกษา

๘.๓. การดำเนินการคัดเลือกนักศึกษาเพื่อเข้ารับการศึกษา เช่น การสมัครเข้าเรียน การทดสอบ
การสัมภาษณ์, หรือวิธีการอื่นใด เพื่อให้ได้มาซึ่งนักศึกษาเข้าศึกษา

๘.๔. การดำเนินการด้านสหกิจที่เกี่ยวข้องกับวิชาชีพ รวมทั้งช่วยเหลือในการสมัครงานเพื่อให้ได้ร่วมงานกับสถานประกอบการภายนอก

๘.๕. การประชาสัมพันธ์ การทำแบบสอบถาม การสัมภาษณ์ การสำรวจความคิดเห็น หรือกิจกรรม
การให้บริการใด ๆ กับมหาวิทยาลัย

๘.๖. การประสานงานวิเทศสัมพันธ์กับสถาบันอื่นทั้งในและต่างประเทศ และส่งต่อข้อมูลให้กับหน่วยงานอื่น ๆ

๘.๗. จัดทำประวัติ บันทึกพฤติกรรม การดูแลบุคลากรและนักศึกษา

๘.๘. การประเมินความเหมาะสมด้านความสามารถและด้านคุณสมบัติของผู้สมัครเข้ารับการฝึกอบรมการบริการจัดการฝึกอบรมให้มีประสิทธิภาพ การดำเนินงานกิจกรรมสำหรับการพัฒนา การส่งเสริมการเรียนรู้และการสร้างเสริมประสบการณ์ ตลอดจนการสร้างเครือข่ายสำหรับผู้เข้ารับการฝึกอบรม

๘.๙. วิเคราะห์และติดตามการใช้บริการทางเว็บไซต์ หรือระบบออนไลน์อื่นใด และวัตถุประสงค์ในการตรวจสอบย้อนหลังในกรณีที่เกิดปัญหาการใช้งาน มหาวิทยาลัยจึงจัดเก็บบันทึกข้อมูลการเข้าออกเว็บไซต์ (Log Files) ของเจ้าของข้อมูลโดยระบบอัตโนมัติ

๘.๑๐. ส่งข้อความแจ้งเตือน หรือการเสนอความช่วยเหลือจากมหาวิทยาลัย

๘.๑๑. การจัดซื้อจัดจ้าง การทำสัญญากับทางมหาวิทยาลัย หรือหน่วยงานภายใน

๘.๑๒. การว่าจ้างหน่วยงานอื่นเพื่อให้ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคล เช่น การจัดส่งพัสดุไปรษณีย์

๘.๑๓. การดำเนินกิจกรรมใด ๆ ทางบัญชีและการเงิน เช่น การตรวจสอบบัญชี การแจ้งและเรียกเก็บหนี้การออกใบกำกับภาษี และหลักฐานการดำเนินธุรกรรมต่าง ๆ ที่กฎหมายกำหนด

๘.๑๔. เพื่อประโยชน์อันชอบด้วยกฎหมายของมหาวิทยาลัย เช่น การบันทึกภาพผ่านกล้อง CCTV การรักษาความปลอดภัย

๘.๑๕. การปฏิบัติตามกฎระเบียบของมหาวิทยาลัย

๘.๑๖. การสมัครงาน การเป็นพนักงาน หรือวัตถุประสงค์อื่นใดที่เกี่ยวข้อง

๘.๑๗. ใช้ในการสอบสวนและปฏิบัติตามกฎหมาย ข้อบังคับ หรือหน้าที่ตามกฎหมายของมหาวิทยาลัยเช่น การจัดการความเสี่ยงที่เกี่ยวข้องกับการร้องเรียน การดำเนินงานทางวินัย หรือที่เกี่ยวกับข้อพิพาทหรือคดีความ

๘.๑๘. เป็นช่องทางในการสื่อสาร ตอบคำถามหรือตอบสนองต่อคำขอของเจ้าของข้อมูล เช่น การรับเรื่องร้องเรียน ปัญหาการใช้บริการ

๘.๑๙. อำนวยความสะดวกและนำเสนอรายการสิทธิประโยชน์ต่าง ๆ แก่ผู้ใช้บริการ เช่น ทุนการศึกษา

๘.๒๐. จุดประสงค์ด้านการตลาด การส่งเสริมการให้บริการ และลูกค้าสัมพันธ์ เช่น การจัดกิจกรรมประชาสัมพันธ์ การให้คำแนะนำด้านการศึกษา การจำหน่าย&