นโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประกอบธุรกิจ

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (สำนักงาน)

0. ขอบเขตของนโยบายนี้

นโยบายคุ้มครองข้อมูลส่วนบุคคลนี้ใช้สำหรับ ผู้ประกอบธุรกิจที่ได้รับใบอนุญาตจากสำนักงาน ผู้ประกอบวิชาชีพที่ได้รับความเห็นชอบจากสำนักงาน บุคลากรที่ได้รับความเห็นชอบจากสำนักงาน ซึ่งรวมถึงผู้ที่กระทำผิดตามพระราชบัญญัติ/พระราชกำหนด ภายใต้อำนาจหน้าที่ของสำนักงาน

1. ข้อมูลส่วนบุคคลที่สำนักงานรวบรวม

สำนักงานจะเก็บรวบรวมข้อมูลส่วนบุคคลดังต่อไปนี้

1.1 นิยามและตัวอย่างข้อมูลที่สำนักงานจัดเก็บ

1.2 แหล่งที่มาของข้อมูลส่วนบุคคล

สำนักงานได้รับข้อมูลส่วนบุคคลของท่านจาก 3 ช่องทาง ดังนี้

1. สำนักงานได้รับข้อมูลส่วนบุคคลจากท่านโดยตรง โดยสำนักงานจะเก็บรวบรวมข้อมูลส่วนบุคคลของท่านจาก

1.1 ระบบให้ความเห็นชอบบุคลากรในธุรกิจตลาดทุน (บุคคล/นิติบุคคล)

1.2 ระบบจัดการเอกสาร/ข้อมูลของสำนักงาน (ECM)

2. สำนักงานได้รับข้อมูลส่วนบุคคลของท่านจากการที่ท่านได้มอบหมายให้บริษัทหรือตัวแทนดำเนินการผ่านระบบ/จากการที่บริษัทจัดทำและนำส่งสำนักงาน

2.1 ระบบให้ความเห็นชอบบุคลากรในธุรกิจตลาดทุน (บุคคล/นิติบุคคล)

2.2 ระบบให้ใบอนุญาตประกอบธุรกิจ (Licensing)

2.3 ระบบรับแบบรายงาน (OFAR) เช่น ผู้ถือหุ้นกู้ที่ได้จากนายทะเบียนหลักทรัพย์

2.4 ระบบจัดการเอกสาร/ข้อมูลของสำนักงาน (ECM)

2.5 ข้อมูลที่ได้จากดำเนินการเพื่อการกำกับและตรวจสอบความเสี่ยงที่เกี่ยวกับการประกอบธุรกิจ

3. สำนักงานได้รับข้อมูลส่วนบุคคลของท่านจากความร่วมมือด้านข้อมูลจากหน่วยงานภาครัฐ ได้แก่

3.1 ข้อมูลเพื่อการตรวจสอบการให้ความเห็นชอบและการกระทำผิดจากธนาคารแห่งประเทศไทย (ธปท.) สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) และกรมสรรพากร ในกรณีที่ไม่พบการกระทำผิดสำนักงานจะไม่จัดเก็บข้อมูลดังกล่าว

3.2 ข้อมูลเพื่อการตรวจสอบการกระทำผิดจากฐานข้อมูลการบูรณาการฐานข้อมูลประชาชนและการบริการภาครัฐ (https://linkagemgmt.bora.dopa.go.th) ได้แก่ข้อมูลจากกรมบังคับคดี สำนักงานป้องกันและปราบปรามการฟอกเงิน (ป.ป.ง.) กรมสอบสวนคดีพิเศษ (DSI) และสำนักงานคณะกรรมการป้องกันและปราบปรามยาเสพติด (ป.ป.ส.) เป็นต้น ในกรณีที่ไม่พบการกระทำผิดสำนักงานจะไม่จัดเก็บข้อมูล

3.3 ข้อมูลเพื่อการตรวจสอบและยืนยันตัวตนจากกรมการปกครอง โดยสำนักงานจัดเก็บข้อมูลในฐานข้อมูลส่วนบุคคลของสำนักงาน

2. วัตถุประสงค์ในการประมวลผลข้อมูล

3. การเปิดเผยข้อมูลส่วนบุคคล

เมื่อสำนักงานได้รับข้อมูลส่วนบุคคลจากแหล่งที่มาของข้อมูลส่วนบุคคลแล้ว สำนักงานมีภารกิจเปิดเผยข้อมูลส่วนบุคคลของท่าน ผ่านเว็ปไซต์สำนักงานตามอำนาจหน้าที่ในการเปิดเผยต่อสาธารณะ เพื่อประโยชน์ต่อนักลงทุน ผู้ประกอบธุรกิจและผู้ที่เกี่ยวข้อง

สำนักงานมีการเปิดเผยหรือส่งข้อมูลส่วนบุคคลเพื่อใช้ในกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามภารกิจของสำนักงานและหน่วยงานที่เกี่ยวข้องดังต่อไปนี้

• ตลาดหลักทรัพย์แห่งประเทศไทย
• กระทรวงการคลัง
• ธปท.
• คปภ.
• หน่วยงานอื่น ๆ เช่น ศูนย์ดำรงธรรม สภาวิชาชีพบัญชี เพื่อการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) ของสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) (สพร.) สำนักหอจดหมายเหตุแห่งชาติ กรมบังคับคดี สำนักงานป้องกันและปราบปรามการฟอกเงิน (ป.ป.ง.) กรมสอบสวนคดีพิเศษ (DSI) และสำนักงานคณะกรรมการป้องกันและปราบปรามยาเสพติด (ป.ป.ส.) เป็นต้น
• สำนักงานสอบบัญชี
• หน่วยงานกำกับดูแลที่เกี่ยวข้องกับตลาดทุนในและต่างประเทศ
• หน่วยงานกำกับดูแลต่างประเทศ

โดยการเปิดเผยข้อมูลส่วนบุคคลของท่านให้กับบุคคลอื่น จะดำเนินการภายใต้วัตถุประสงค์ที่กำหนด หรือวัตถุประสงค์อื่นที่กฎหมายกำหนดให้กระทำได้เท่านั้น ในกรณีที่กฎหมายกำหนดว่าต้องได้รับความยินยอมจากท่าน สำนักงานจะขอความยินยอมโดยชัดแจ้งจากท่านก่อน

ทั้งนี้ สำนักงานจะดำเนินการให้เป็นไปตามมาตรฐานการรักษาความมั่นคงปลอดภัยที่เหมาะสม เช่น มาตรฐาน ISO27001 หรือ NIST เป็นต้น และกรณีที่สำนักงานส่งหรือโอนข้อมูลไปยังประเทศปลายทาง องค์กรระหว่างประเทศ หรือผู้รับข้อมูลในต่างประเทศ สำนักงานจะต้องแน่ใจว่าหน่วยงานปลายทางที่รับข้อมูลต้องมีมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

4. การเก็บรักษาและระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

สำนักงานเก็บรักษาข้อมูลส่วนบุคคลของท่าน ดังนี้

1. การจัดเก็บ

สำนักงานจัดเก็บข้อมูลส่วนบุคคลตามลักษณะของข้อมูลที่ได้รับ โดย

• สำนักงานจัดเก็บข้อมูลในฐานข้อมูลกลางของสำนักงาน ที่มีการดูแลและรักษาความปลอดภัยของข้อมูล (Security) รวมถึงมีการกำหนดสิทธิในการเข้าถึงข้อมูล (Access Control)
• เอกสารหลักฐาน (Hard Copy) และข้อมูลที่อยู่ในสิ่งพิมพ์ (Printed Material) สำนักงานทำการสแกน (Scan) และจัดเก็บเข้าระบบบริหารจัดการเอกสารและข้อมูลอิเล็กทรอนิกส์ (Enterprise Content Management : ECM) ซึ่งเป็นระบบฐานข้อมูลเอกสารกลางของสำนักงาน ที่มีการดูแลและรักษาความปลอดภัยของข้อมูล (Security) การกำหนดสิทธิในการใช้ระบบ รวมถึงมีการกำหนดสิทธิในการเข้าถึงข้อมูล (Access Control)

2. สถานที่จัดเก็บ

สำนักงานจัดเก็บข้อมูลส่วนบุคคลตามลักษณะของข้อมูลที่ได้รับ โดย

• ข้อมูลส่วนบุคคลจากระบบงานคอมพิวเตอร์ของสำนักงาน ถูกจัดเก็บในศูนย์ข้อมูลกลางของสำนักงานที่มีการควบคุมสิทธิการเข้าห้องศูนย์คอมพิวเตอร์ และจัดเก็บบนคลาวด์ (Cloud) โดยผู้ให้บริการระบบคลาวด์ (Cloud Provider) ที่สำนักงานใช้บริการเป็นผู้ให้บริการที่ได้มาตรฐานเป็นที่ยอมรับ อีกทั้งสำนักงานมีการตรวจสอบการบริการของผู้ให้บริการระบบคลาวด์ อย่างสม่ำเสมอ
• เอกสารหลักฐาน (Hard Copy) และสิ่งพิมพ์ (Printed Material) สถานที่จัดเก็บขึ้นกับการใช้งาน โดย
• เอกสารที่อยู่ระหว่างดำเนินการ จะถูกจัดเก็บในสถานที่ปลอดภัยในสำนักงาน เช่น ตู้เก็บส่วนกลางที่มีกุญแจล็อค มีการกำหนดสิทธิในการเข้าถึงเอกสารและมีทะเบียนจัดเก็บผู้ใช้งานเอกสาร
• เอกสารที่ดำเนินการแล้วเสร็จ จะถูกจัดเก็บที่โกดัง (Warehouse) ที่มีการรักษาความปลอดภัยของข้อมูลและระมัดระวังการเข้าถึงโดยผู้ไม่มีสิทธิ

3. ระยะเวลาจัดเก็บ

สำนักงานมีการกำหนดระยะเวลาจัดเก็บข้อมูลส่วนบุคคลตามนโยบายการเก็บรักษาข้อมูลส่วนบุคคล (Data Retention Policy)

5. ข้อมูลส่วนบุคคลของผู้เยาว์

สำนักงานไม่มีวัตถุประสงค์และภารกิจในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์เป็นการเฉพาะ แต่ในกรณีที่จำเป็นเกี่ยวข้องกับภารกิจของสำนักงาน อาจมีการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ได้ โดยกรณีที่มีกิจกรรมใดที่เกี่ยวข้องกับสำนักงาน ย่อมสันนิษฐานไว้ก่อนว่าไม่ใช่กรณีที่ผู้เยาว์อาจดำเนินการเองได้โดยลำพัง และสำนักงานจะทำให้แน่ใจว่าได้มีการรับทราบหรือให้ความยินยอมจากผู้แทนโดยชอบธรรมหรือผู้ใช้อำนาจปกครองแล้วแต่กรณี ทั้งนี้ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

6. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิในการดำเนินการ ดังต่อไปนี้

1. สิทธิในการเพิกถอนความยินยอม (right to withdraw consent): ท่านมีสิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ท่านได้ให้ความยินยอมกับสำนักงานได้ ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของท่านอยู่กับสำนักงาน
2. สิทธิในการได้รับแจ้งข้อมูลส่วนบุคคล (right to be informed) ท่านมีสิทธิในการได้รับแจ้งถึงข้อมูลส่วนบุคคลที่สำนักงาน ก.ล.ต. จะทำการประมวลผลก่อนการเก็บรวบรวมหรือในขณะเก็บรวบรวม
3. สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (right of access): ท่านมีสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของท่านและขอให้สำนักงานทำสำเนาข้อมูลส่วนบุคคลดังกล่าวให้แก่ท่าน รวมถึงขอให้สำนักงานเปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่ท่านไม่ได้ให้ความยินยอมต่อสำนักงานได้
4. สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (right to rectification): ท่านมีสิทธิในการขอให้สำนักงานแก้ไขข้อมูลที่ไม่ถูกต้อง หรือ เพิ่มเติมข้อมูลที่ไม่สมบูรณ์
5. สิทธิในการลบข้อมูลส่วนบุคคล (right to erasure): ท่านมีสิทธิในการขอให้สำนักงานทำการลบข้อมูลของท่านด้วยเหตุบางประการได้
6. สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (right to restriction of processing): ท่านมีสิทธิในการระงับการใช้ข้อมูลส่วนบุคคลของท่านด้วยเหตุบางประการได้
7. สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล (right to data portability): ท่านมีสิทธิในการโอนย้ายข้อมูลส่วนบุคคลของท่านที่ท่านให้ไว้กับสำนักงานไปยังผู้ควบคุมข้อมูลรายอื่น หรือ ตัวท่านเองด้วยเหตุบางประการได้ ทั้งนี้ สำนักงานยังไม่มีระบบโอนย้ายข้อมูลอัตโนมัติรองรับ
8. สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (right to object): ท่านมีสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านด้วยเหตุบางประการได้

ท่านสามารถติดต่อมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer; DPO) ของสำนักงาน เพื่อดำเนินการยื่นคำร้องขอดำเนินการตามสิทธิข้างต้นได้ (รายละเอียดการติดต่อปรากฏในหัวข้อ “ช่องทางการติดต่อ” ด้านล่างนี้) หรือ ท่านสามารถศึกษารายละเอียดเงื่อนไข ข้อยกเว้นการใช้สิทธิต่าง ๆ ได้ที่เว็บไซต์กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (http://www.mdes.go.th)

ทั้งนี้ ท่านไม่จำเป็นต้องเสียค่าใช้จ่ายใด ๆ ในการดำเนินตามสิทธิข้างต้น โดยสำนักงานจะพิจารณาและแจ้งผลการพิจารณาตามคำร้องของท่านภายใน 30 วันนับแต่วันที่สำนักงานได้รับคำร้องขอดังกล่าว

หากคำร้องของท่านถูกปฏิเสธ ทางสำนักงานจะแจ้งผลคำร้องพร้อมเหตุผลกลับไปยังช่องทางติดต่อที่ท่านกำหนดไว้ และหากท่านมีข้อสงสัยหรือข้อร้องเรียนใดเพิ่มเติมที่เกี่ยวข้องกับผลคำร้องของท่าน ท่านสามารถติดต่อมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer; DPO) ของสำนักงานได้

7. กิจกรรมสื่อสารและเผยแพร่ข้อมูลข่าวสารตลาดทุน

สำนักงานมีกิจกรรมสื่อสารและเผยแพรข้อมูลข่าวสารเกี่ยวกับตลาดทุน รวมถึงบริการของสำนักงานที่ท่านอาจสนใจเพื่อประโยชน์ในการดำเนินการและการกำกับดูแลตามภารกิจของสำนักงานอย่างเต็มประสิทธิภาพ โดยสำนักงานจะขอความยินยอมจากท่านเพื่อรับข้อมูลข่าวสารดังกล่าว และท่านอาจขอยกเลิกความยินยอมดังกล่าวเมื่อใดก็ได้ โดยท่านสามารถดำเนินการยกเลิกการรับแจ้งข้อมูลข่าวสารได้ ตามขั้นตอนดังนี้

1. จาก Email ข้อมูลข่าวสารที่สำนักงานส่งให้ ให้กดปุ่ม ยกเลิกติดตามข่าวสาร
2. ตรวจสอบความถูกต้องของ Email
3. กดยืนยัน เพื่อทำการยกเลิก

8. การเปลี่ยนแปลงนโยบายคุ้มครองข้อมูลส่วนบุคคล

สำนักงานจะทำการพิจารณาทบทวนนโยบายความเป็นส่วนตัวเป็นประจำเพื่อให้สอดคล้องกับแนวปฏิบัติ และกฎหมายข้อบังคับที่เกี่ยวข้อง ทั้งนี้ หากมีการเปลี่ยนแปลงนโยบายความเป็นส่วนตัว สำนักงานจะแจ้งให้ท่านทราบด้วยการ update ข้อมูลลงในเว็ปไซต์ของสำนักงานโดยเร็วที่สุด ปัจจุบันนโยบายความเป็นส่วนตัวถูกทบทวนครั้งล่าสุดเมื่อวันที่ 8 เมษายน 2564

9. ช่องทางการติดต่อ

รายละเอียดผู้ควบคุมข้อมูล