นโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับการซื้อขายในตลาดรอง

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (สำนักงาน)

0. ขอบเขตของนโยบายนี้

นโยบายคุ้มครองข้อมูลส่วนบุคคลนี้ใช้สำหรับ ผู้ประกอบธุรกิจที่ได้รับใบอนุญาตจากสำนักงาน ผู้ประกอบวิชาชีพที่ได้รับความเห็นชอบจากสำนักงาน บุคลากรที่ได้รับความเห็นชอบจากสำนักงาน ซึ่งรวมถึงผู้ที่กระทำผิดตามพระราชบัญญัติ/พระราชกำหนด ภายใต้อำนาจหน้าที่ของสำนักงาน

1. ข้อมูลส่วนบุคคลที่สำนักงานรวบรวม

สำนักงานจะเก็บรวบรวมข้อมูลส่วนบุคคลดังต่อไปนี้

1.1 นิยามและตัวอย่างข้อมูลที่สำนักงานจัดเก็บ

1.2 แหล่งที่มาของข้อมูลส่วนบุคคล

1. สำนักงานได้รับข้อมูลส่วนบุคคลของท่านจาก
   1. เก็บข้อมูลความเกี่ยวข้องระหว่างบุคคลกลุ่มต่างๆ จากเคสตรวจสอบ
   2. กลุ่มตลาดหลักทรัพย์แห่งประเทศไทย บริษัทหลักทรัพย์ (บล.) และธนาคารพาณิชย์ (ธพ.)
   3. สมาคมตลาดตราสารหนี้ไทย
   4. ฐานข้อมูลของ Bloomberg
   5. ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล (Exchange, Broker และ Dealer) รายงานข้อมูลผ่านระบบรับส่งข้อมูลผู้ประกอบสินทรัพย์ดิจิทัล

2. วัตถุประสงค์ในการประมวลผลข้อมูล

3. การเปิดเผยข้อมูลส่วนบุคคล

เมื่อสำนักงานได้รับข้อมูลส่วนบุคคลจากแหล่งที่มาของข้อมูลส่วนบุคคลแล้ว สำนักงานมีภารกิจเปิดเผยข้อมูลส่วนบุคคลของท่าน ผ่านเว็ปไซต์สำนักงานตามอำนาจหน้าที่ในการเปิดเผยต่อสาธารณะ เพื่อประโยชน์ต่อนักลงทุน ผู้ประกอบธุรกิจและผู้ที่เกี่ยวข้อง

โดยการเปิดเผยข้อมูลส่วนบุคคลของท่านให้กับบุคคลอื่น จะดำเนินการภายใต้วัตถุประสงค์ที่กำหนด หรือวัตถุประสงค์อื่นที่กฎหมายกำหนดให้กระทำได้เท่านั้น ในกรณีที่กฎหมายกำหนดว่าต้องได้รับความยินยอมจากท่าน สำนักงานจะขอความยินยอมโดยชัดแจ้งจากท่านก่อน

สำนักงานจะดำเนินการให้เป็นไปตามมาตรฐานการรักษาความมั่นคงปลอดภัยที่เหมาะสม เช่น มาตรฐาน ISO27001 หรือ NIST เป็นต้น และกรณีที่สำนักงานส่งหรือโอนข้อมูลไปยังประเทศปลายทาง องค์กรระหว่างประเทศ หรือผู้รับข้อมูลในต่างประเทศ สำนักงานจะต้องแน่ใจว่าหน่วยงานปลายทางที่รับข้อมูลต้องมีมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ

4. การเก็บรักษาและระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

สำนักงานเก็บรักษาข้อมูลส่วนบุคคลของท่าน ดังนี้

1. การจัดเก็บ

สำนักงานจัดเก็บข้อมูลส่วนบุคคลตามลักษณะของข้อมูลที่ได้รับ โดย

• สำนักงานจัดเก็บข้อมูลในฐานข้อมูลกลางของสำนักงาน ที่มีการดูแลและรักษาความปลอดภัยของข้อมูล (Security) รวมถึงมีการกำหนดสิทธิในการเข้าถึงข้อมูล (Access Control)
• เอกสารหลักฐาน (Hard Copy) และข้อมูลที่อยู่ในสิ่งพิมพ์ (Printed Material) สำนักงานทำการสแกน (Scan) และจัดเก็บเข้าระบบบริหารจัดการเอกสารและข้อมูลอิเล็กทรอนิกส์ (Enterprise Content Management : ECM) ซึ่งเป็นระบบฐานข้อมูลเอกสารกลางของสำนักงาน ที่มีการดูแลและรักษาความปลอดภัยของข้อมูล (Security) การกำหนดสิทธิในการใช้ระบบรวมถึงมีการกำหนดสิทธิในการเข้าถึงข้อมูล (Access Control)

2. สถานที่จัดเก็บ

สำนักงานจัดเก็บข้อมูลส่วนบุคคลตามลักษณะของข้อมูลที่ได้รับ โดย

• ข้อมูลส่วนบุคคลจากระบบงานคอมพิวเตอร์ของสำนักงาน ถูกจัดเก็บในศูนย์ข้อมูลกลางของสำนักงานที่มีการควบคุมสิทธิการเข้าห้องศูนย์คอมพิวเตอร์ และจัดเก็บบนคลาวด์ (Cloud) โดยผู้ให้บริการระบบคลาวด์ (Cloud Provider) ที่สำนักงานใช้บริการเป็นผู้ให้บริการที่ได้มาตรฐานเป็นที่ยอมรับ อีกทั้งสำนักงานมีการตรวจสอบการบริการของผู้ให้บริการระบบคลาวด์ อย่างสม่ำเสมอ
• เอกสารหลักฐาน (Hard Copy) และสิ่งพิมพ์ (Printed Material) สถานที่จัดเก็บขึ้นกับการใช้งาน โดย
• เอกสารที่อยู่ระหว่างดำเนินการ จะถูกจัดเก็บในสถานที่ปลอดภัยในสำนักงาน เช่น ตู้เก็บส่วนกลางที่มีกุญแจล็อค มีการกำหนดสิทธิในการเข้าถึงเอกสารและมีทะเบียนจัดเก็บผู้ใช้งานเอกสาร
• เอกสารที่ดำเนินการแล้วเสร็จ จะถูกจัดเก็บที่โกดัง (Warehouse) ที่มีการรักษาความปลอดภัยของข้อมูลและระมัดระวังการเข้าถึงโดยผู้ไม่มีสิทธิ

3. ระยะเวลาจัดเก็บ

สำนักงานมีการกำหนดระยะเวลาจัดเก็บข้อมูลส่วนบุคคลตามนโยบายการเก็บรักษาข้อมูลส่วนบุคคล (Data Retention Policy)

5. ข้อมูลส่วนบุคคลของผู้เยาว์

สำนักงานไม่มีวัตถุประสงค์และภารกิจในการประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์เป็นการเฉพาะ แต่ในกรณีที่จำเป็นเกี่ยวข้องกับภารกิจของสำนักงาน อาจมีการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์ได้ โดยกรณีที่มีกิจกรรมใดที่เกี่ยวข้องกับสำนักงาน ย่อมสันนิษฐานไว้ก่อนว่าไม่ใช่กรณีที่ผู้เยาว์อาจดำเนินการเองได้โดยลำพัง และสำนักงานจะทำให้แน่ใจว่าได้มีการรับทราบหรือให้ความยินยอมจากผู้แทนโดยชอบธรรมหรือผู้ใช้อำนาจปกครองแล้วแต่กรณี ทั้งนี้ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

6. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิในการดำเนินการ ดังต่อไปนี้

1. สิทธิในการเพิกถอนความยินยอม (right to withdraw consent): ท่านมีสิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ท่านได้ให้ความยินยอมกับสำนักงานได้ ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของท่านอยู่กับสำนักงาน
2. สิทธิในการได้รับแจ้งข้อมูลส่วนบุคคล (right to be informed) ท่านมีสิทธิในการได้รับแจ้งถึงข้อมูลส่วนบุคคลที่สำนักงาน ก.ล.ต. จะทำการประมวลผลก่อนการเก็บรวบรวมหรือในขณะเก็บรวบรวม
3. สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (right of access): ท่านมีสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของท่านและขอให้สำนักงานทำสำเนาข้อมูลส่วนบุคคลดังกล่าวให้แก่ท่าน รวมถึงขอให้สำนักงานเปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่ท่านไม่ได้ให้ความยินยอมต่อสำนักงานได้
4. สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (right to rectification): ท่านมีสิทธิในการขอให้สำนักงานแก้ไขข้อมูลที่ไม่ถูกต้อง หรือ เพิ่มเติมข้อมูลที่ไม่สมบูรณ์
5. สิทธิในการลบข้อมูลส่วนบุคคล (right to erasure): ท่านมีสิทธิในการขอให้สำนักงานทำการลบข้อมูลของท่านด้วยเหตุบางประการได้
6. สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (right to restriction of processing): ท่านมีสิทธิในการระงับการใช้ข้อมูลส่วนบุคคลของท่านด้วยเหตุบางประการได้
7. สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล (right to data portability): ท่านมีสิทธิในการโอนย้ายข้อมูลส่วนบุคคลของท่านที่ท่านให้ไว้กับสำนักงานไปยังผู้ควบคุมข้อมูลรายอื่น หรือ ตัวท่านเองด้วยเหตุบางประการได้ ทั้งนี้ สำนักงานยังไม่มีระบบโอนย้ายข้อมูลอัตโนมัติรองรับ
8. สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (right to object): ท่านมีสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านด้วยเหตุบางประการได้

ท่านสามารถติดต่อมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer; DPO) ของสำนักงาน เพื่อดำเนินการยื่นคำร้องขอดำเนินการตามสิทธิข้างต้นได้ (รายละเอียดการติดต่อปรากฏในหัวข้อ “ช่องทางการติดต่อ” ด้านล่างนี้) หรือ ท่านสามารถศึกษารายละเอียดเงื่อนไข ข้อยกเว้นการใช้สิทธิต่าง ๆ ได้ที่เว็บไซต์กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (http://www.mdes.go.th)

ทั้งนี้ ท่านไม่จำเป็นต้องเสียค่าใช้จ่ายใด ๆ ในการดำเนินการตามสิทธิข้างต้น โดยสำนักงานจะพิจารณาและแจ้งผลการพิจารณาตามคำร้องของท่านภายใน 30 วันนับแต่วันที่สำนักงานได้รับคำร้องขอดังกล่าว

หากคำร้องของท่านถูกปฏิเสธ ทางสำนักงานจะแจ้งผลคำร้องพร้อมเหตุผลกลับไปยังช่องทางติดต่อที่ท่านกำหนดไว้ และหากท่านมีข้อสงสัยหรือข้อร้องเรียนใดเพิ่มเติมที่เกี่ยวข้องกับผลคำร้องของท่าน ท่านสามารถติดต่อมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer; DPO) ของสำนักงานได้

7. กิจกรรมสื่อสารและเผยแพร่ข้อมูลข่าวสารตลาดทุน

สำนักงานมีกิจกรรมสื่อสารและเผยแพรข้อมูลข่าวสารเกี่ยวกับตลาดทุนรวมถึงบริการของสำนักงานที่ท่านอาจสนใจเพื่อประโยชน์ในการดำเนินการและการกำกับดูแลตามภารกิจของสำนักงานอย่างเต็มประสิทธิภาพ โดยสำนักงานจะขอความยินยอมจากท่านเพื่อรับข้อมูลข่าวสารดังกล่าว และท่านอาจขอยกเลิกความยินยอมดังกล่าวเมื่อใดก็ได้ โดยท่านสามารถดำเนินการยกเลิกการรับแจ้งข้อมูลข่าวสารได้ ตามขั้นตอนดังนี้

1. จาก Email ข้อมูลข่าวสารที่สำนักงานส่งให้ ให้กดปุ่ม ยกเลิกติดตามข่าวสาร
2. ตรวจสอบความถูกต้องของ Email
3. กดยืนยัน เพื่อทำการยกเลิก

8. การเปลี่ยนแปลงนโยบายคุ้มครองข้อมูลส่วนบุคคล

สำนักงานจะทำการพิจารณาทบทวนนโยบายความเป็นส่วนตัวเป็นประจำเพื่อให้สอดคล้องกับแนวปฏิบัติ และ กฎหมาย ข้อบังคับที่เกี่ยวข้อง ทั้งนี้ หากมีการเปลี่ยนแปลงนโยบายความเป็นส่วนตัว สำนักงานจะแจ้งให้ท่านทราบด้วยการ update ข้อมูลลงในเว็ปไซต์ของสำนักงานโดยเร็วที่สุด ปัจจุบันนโยบายความเป็นส่วนตัวถูกทบทวนครั้งล่าสุดเมื่อวันที่ 8 เมษายน 2564

9. ช่องทางการติดต่อ

รายละเอียดผู้ควบคุมข้อมูล