เมื่อเปิดเว็บไซต์หนึ่งขึ้นมา ข้อมูลบางประเภทอาจถูกส่งระหว่างอุปกรณ์กับระบบโดยที่ผู้เข้าชมไม่ได้กรอกแบบฟอร์มใด ๆ ขณะที่ข้อมูลอีกส่วนเกิดจากการติดต่อสอบถามหรือการเลือกใช้ฟังก์ชันเฉพาะ
ข้อมูลแต่ละประเภทมีวัตถุประสงค์และความจำเป็นแตกต่างกัน จึงไม่ควรถูกนำมาใช้หรือจัดเก็บโดยไม่มีขอบเขตที่ชัดเจน
นโยบายความเป็นส่วนตัว BSX8 ฉบับนี้จัดทำเป็นแนวทางสำหรับอธิบายว่าผู้ดำเนินงานควรแจ้งเรื่องใดแก่เจ้าของข้อมูล ตั้งแต่การเก็บรวบรวม การนำไปใช้ การเปิดเผย ไปจนถึงการจัดการคำร้องเกี่ยวกับสิทธิส่วนบุคคล
เนื้อหาต้องได้รับการปรับให้ตรงกับระบบและวิธีดำเนินงานจริงก่อนนำไปใช้เป็นนโยบายที่มีผลบังคับ
การเก็บข้อมูลไม่ได้มีเพียงกรณีที่ผู้เข้าชมพิมพ์ชื่อหรือข้อมูลติดต่อเท่านั้น บางระบบอาจประมวลผลข้อมูลทางเทคนิคเพื่อให้เว็บไซต์ทำงานหรือดูแลความปลอดภัย
อย่างไรก็ตาม ประเภทข้อมูลที่ BSX8 เก็บจริงยังต้องได้รับการตรวจสอบจากผู้ดูแลระบบก่อน จึงไม่ควรสรุปว่าเว็บไซต์มีการเก็บข้อมูลทุกประเภทตามตัวอย่างด้านล่าง
ประเภทข้อมูลที่อาจเกี่ยวข้อง | ตัวอย่าง | ประเด็นที่ต้องชี้แจง |
|---|---|---|
ข้อมูลติดต่อ | ชื่อ อีเมล หรือข้อความสอบถาม | เหตุผลและระยะเวลาที่เก็บ |
ข้อมูลทางเทคนิค | IP Address ประเภทเบราว์เซอร์ | วัตถุประสงค์ในการประมวลผล |
ข้อมูลการใช้งาน | หน้าที่เข้าชมหรือการตั้งค่า | เก็บด้วยเครื่องมือใด |
ข้อมูลบัญชี | ข้อมูลที่จำเป็นต่อระบบบัญชี หากมี | วิธีรักษาความปลอดภัยและสิทธิผู้ใช้ |
คุกกี้ | ตัวระบุหรือค่าการตั้งค่า | ประเภท อายุ และวิธีควบคุม |
ผู้เข้าชมที่ต้องการดูภาพรวมหมวดข้อมูลของเว็บไซต์สามารถเริ่มจาก หน้าหลัก BSX8 โดยข้อมูลทั่วไปที่เข้าถึงได้ไม่ควรทำให้ผู้ใช้ต้องเปิดเผยข้อมูลส่วนบุคคลเกินความจำเป็น
คำอธิบายที่ระบุเพียงว่าเก็บข้อมูลเพื่อพัฒนาบริการอาจกว้างเกินไปสำหรับเจ้าของข้อมูลที่ต้องการเข้าใจว่าข้อมูลของตนถูกนำไปทำอะไร
วัตถุประสงค์ควรมีความชัดเจนเพียงพอ และสอดคล้องกับกิจกรรมที่เกิดขึ้นจริง เช่น การตอบกลับคำถาม การรักษาความปลอดภัย หรือการจัดการคำร้องที่ผู้ใช้ส่งเข้ามา
หากผู้เข้าชมติดต่อเพื่อแจ้งข้อความผิดในบทความ อาจไม่มีเหตุผลที่จะต้องขอข้อมูลส่วนบุคคลจำนวนมากเพื่อรับเรื่องดังกล่าว
การเก็บข้อมูลอย่างเหมาะสมจึงควรพิจารณาว่าข้อมูลรายการใดจำเป็นต่อวัตถุประสงค์ และสามารถบรรลุเป้าหมายโดยใช้ข้อมูลที่น้อยกว่าได้หรือไม่
หลักการนี้ยังช่วยลดความเสี่ยงจากการจัดเก็บข้อมูลที่ไม่มีความจำเป็นในระยะยาว
คุกกี้เป็นข้อมูลขนาดเล็กที่เว็บไซต์อาจจัดเก็บไว้ผ่านเบราว์เซอร์ เพื่อรองรับฟังก์ชันหรือจดจำการตั้งค่าบางประเภท
แต่คุกกี้ไม่ได้มีหน้าที่เหมือนกันทั้งหมด
บางประเภทเกี่ยวข้องกับการทำงานที่จำเป็นของเว็บไซต์ ขณะที่บางประเภทอาจใช้เพื่อวิเคราะห์การเข้าชมหรือกิจกรรมทางการตลาด
เว็บไซต์ควรระบุประเภทคุกกี้ที่ใช้งานจริง วัตถุประสงค์ อายุการเก็บ และผู้ให้บริการที่เกี่ยวข้อง พร้อมจัดให้มีวิธีควบคุมตามข้อกำหนดของกฎหมาย
หากเว็บไซต์ใช้คุกกี้ที่ต้องได้รับความยินยอม ควรมีช่องทางให้ผู้ใช้เลือกยอมรับหรือปฏิเสธได้อย่างเหมาะสม และสามารถเปลี่ยนแปลงการตั้งค่าหรือถอนความยินยอมได้ตามกฎหมาย
ไม่ควรถือว่าการปิดหน้าต่างแจ้งเตือนหรือเพียงเข้าเว็บไซต์เป็นการให้ความยินยอมที่ใช้ได้ในทุกสถานการณ์
บริการออนไลน์อาจใช้ระบบจากผู้ให้บริการภายนอก เช่น ผู้ให้บริการโฮสติ้ง เครื่องมือวิเคราะห์ หรือระบบรับข้อความ
หาก BSX8 ใช้บริการเหล่านี้จริง ต้องตรวจสอบว่ามีข้อมูลใดถูกส่งต่อ ผู้รับข้อมูลมีบทบาทใด และมีมาตรการคุ้มครองข้อมูลที่เหมาะสมหรือไม่
ควรแยกให้ชัดระหว่างผู้ประมวลผลข้อมูลที่ทำงานตามคำสั่งของเว็บไซต์ กับบุคคลหรือองค์กรที่นำข้อมูลไปใช้เพื่อวัตถุประสงค์ของตนเอง
ผู้เข้าชมสามารถศึกษาข้อมูลเกี่ยวกับตัวตนและขอบเขตการดำเนินงานของเว็บไซต์เพิ่มเติมผ่าน หน้าเกี่ยวกับ BSX8 โดยข้อมูลผู้ดำเนินงานที่เผยแพร่ต้องสามารถตรวจสอบได้จริง
ระยะเวลาการจัดเก็บควรสัมพันธ์กับวัตถุประสงค์ของการใช้ข้อมูล ไม่ควรกำหนดให้เก็บตลอดไปโดยไม่มีเหตุผลรองรับ
สำหรับข้อมูลแต่ละประเภท ผู้รับผิดชอบควรพิจารณาระยะเวลาที่จำเป็น ข้อกำหนดทางกฎหมาย และวิธีดำเนินการเมื่อหมดความจำเป็น
การลบข้อมูลอาจเกี่ยวข้องกับการลบออกจากระบบหลัก ระบบสำรอง หรือการทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามความเหมาะสม
อย่างไรก็ตาม ไม่ควรรับรองว่าจะลบข้อมูลทุกกรณีได้ทันที เพราะบางรายการอาจจำเป็นต้องเก็บไว้ตามกฎหมายหรือเพื่อการใช้สิทธิเรียกร้องที่ชอบด้วยกฎหมาย
ความปลอดภัยของข้อมูลเป็นกระบวนการที่ต้องดูแลต่อเนื่อง ไม่ใช่สิ่งที่รับประกันได้จากการมีสัญลักษณ์รูปกุญแจหรือข้อความว่าเว็บไซต์ปลอดภัยเพียงอย่างเดียว
มาตรการที่ควรพิจารณาอาจรวมถึงการจำกัดสิทธิการเข้าถึง การจัดการรหัสผ่าน การบันทึกเหตุการณ์ด้านความปลอดภัย และการทบทวนความเสี่ยงของระบบ
แต่ก่อนกล่าวว่า BSX8 มีการใช้มาตรการเหล่านี้แล้ว จำเป็นต้องตรวจสอบการดำเนินงานจริง
ผู้ดำเนินงานควรมีกระบวนการตรวจสอบและประเมินเหตุการณ์ รวมถึงการแจ้งหน่วยงานกำกับดูแลหรือเจ้าของข้อมูลเมื่อเข้าเงื่อนไขที่กฎหมายกำหนด
ควรมีการจัดเก็บหลักฐานเหตุการณ์อย่างเหมาะสม และดำเนินมาตรการเพื่อจำกัดผลกระทบโดยไม่ปกปิดข้อมูลสำคัญ
ทั้งนี้ ความรับผิดชอบด้านข้อมูลส่วนบุคคลควรสอดคล้องกับ ข้อตกลงและเงื่อนไขการใช้งาน แต่ไม่สามารถนำข้อความในข้อตกลงมาใช้ตัดสิทธิตามกฎหมายของเจ้าของข้อมูลได้
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง เจ้าของข้อมูลอาจมีสิทธิหลายประการ โดยแต่ละสิทธิมีเงื่อนไขและข้อยกเว้นตามกฎหมาย
สิทธิขอเข้าถึงข้อมูล
ขอทราบหรือขอรับสำเนาข้อมูลส่วนบุคคลของตนตามเงื่อนไขที่กฎหมายกำหนด
สิทธิขอแก้ไขข้อมูล
ขอให้ปรับปรุงข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบัน
สิทธิขอลบข้อมูล
ขอให้ลบหรือทำลายข้อมูลในกรณีที่กฎหมายรองรับ
สิทธิคัดค้านหรือจำกัดการประมวลผล
ใช้สิทธิตามเหตุและเงื่อนไขที่กฎหมายกำหนด
สิทธิขอให้โอนย้ายข้อมูล
ขอรับหรือส่งต่อข้อมูลในกรณีที่เข้าเงื่อนไขตามกฎหมาย
นอกจากนี้ เจ้าของข้อมูลอาจมีสิทธิถอนความยินยอมในกรณีที่การประมวลผลอาศัยความยินยอม และสิทธิร้องเรียนต่อหน่วยงานที่มีอำนาจตามกฎหมาย
การใช้สิทธิเหล่านี้ไม่ควรมีขั้นตอนที่ยุ่งยากเกินความจำเป็น และผู้ดำเนินงานควรแจ้งผลการพิจารณาตามระยะเวลาที่กฎหมายกำหนด
เมื่อมีผู้ยื่นคำร้องเกี่ยวกับข้อมูลส่วนบุคคล ผู้รับผิดชอบต้องตรวจสอบให้แน่ใจว่าผู้ร้องมีสิทธิเข้าถึงข้อมูลดังกล่าว เพื่อป้องกันการเปิดเผยข้อมูลแก่บุคคลที่ไม่มีสิทธิ
อย่างไรก็ตาม กระบวนการยืนยันตัวตนต้องไม่เรียกเก็บข้อมูลมากเกินความจำเป็น
เว็บไซต์ควรระบุช่องทางติดต่อ ขั้นตอนดำเนินการ และระยะเวลาตอบกลับอย่างชัดเจน โดยไม่กำหนดข้อมูลเหล่านี้ขึ้นมาเองก่อนที่ผู้ดำเนินงานจะยืนยันว่ามีระบบรองรับจริง
หากมีการเปิดรับความคิดเห็น ผู้เข้าชมอาจเปิดเผยข้อมูลส่วนบุคคลไว้ในข้อความโดยไม่ได้ตั้งใจ
ผู้ดูแลเว็บไซต์ควรมีแนวทางลดการเปิดเผยข้อมูลที่ไม่จำเป็น โดยเฉพาะเบอร์โทรศัพท์ รายละเอียดบัญชี หรือข้อมูลที่อาจกระทบต่อบุคคลอื่น
ในกรณีการเผยแพร่รีวิวจริง ควรมีฐานทางกฎหมายที่เหมาะสมสำหรับการใช้ข้อมูล และไม่สร้างตัวตนหรือประสบการณ์ขึ้นมาเพื่อให้ดูเหมือนเป็นความคิดเห็นของลูกค้าจริง
ผู้เข้าชมสามารถศึกษาหลักการประเมินความน่าเชื่อถือของความคิดเห็นได้จาก หน้ารีวิวผู้ใช้งาน BSX8 โดยไม่ควรเข้าใจว่าตัวอย่างสถานการณ์จำลองเป็นหลักฐานจากลูกค้าจริง
เว็บไซต์ที่มีเนื้อหาเกี่ยวข้องกับกิจกรรมซึ่งมีข้อจำกัดด้านอายุควรกำหนดมาตรการคุ้มครองผู้เยาว์ให้เหมาะสมกับประเภทบริการและกฎหมายที่เกี่ยวข้อง
การเก็บข้อมูลส่วนบุคคลของผู้เยาว์อาจมีข้อกำหนดเพิ่มเติมเกี่ยวกับความยินยอมหรือการดำเนินการโดยผู้มีอำนาจปกครอง
นอกจากนี้ ผู้ดำเนินงานไม่ควรนำข้อมูลส่วนบุคคลมาใช้เพื่อส่งเสริมพฤติกรรมที่มีความเสี่ยงทางการเงิน โดยเฉพาะกับบุคคลที่อาจมีความเปราะบาง
ข้อมูลเกี่ยวกับการตระหนักถึงความเสี่ยงและการขอความช่วยเหลือสามารถศึกษาได้จาก แนวทางการเล่นอย่างมีความรับผิดชอบ
นโยบายควรได้รับการทบทวนเมื่อมีการเปลี่ยนแปลงวิธีเก็บ ใช้ หรือเปิดเผยข้อมูล รวมถึงเมื่อมีข้อกำหนดทางกฎหมายที่ส่งผลต่อการดำเนินงาน
การปรับปรุงที่มีผลสำคัญต่อเจ้าของข้อมูลควรแจ้งให้ทราบตามความเหมาะสม และไม่ควรใช้การเปลี่ยนวันที่บนเอกสารแทนการตรวจสอบสาระจริง
ผู้ดำเนินงานควรแสดงวันที่มีผลบังคับใช้และช่องทางติดต่อที่เป็นปัจจุบัน เพื่อช่วยให้เจ้าของข้อมูลทราบว่านโยบายฉบับใดใช้บังคับอยู่
ก่อนเผยแพร่นโยบายฉบับนี้เป็นทางการ BSX8 จำเป็นต้องระบุข้อมูลผู้ควบคุมข้อมูลส่วนบุคคลตามข้อเท็จจริง รวมถึงช่องทางรับคำร้องที่สามารถใช้งานได้
รายละเอียดที่ต้องระบุ | สถานะปัจจุบัน |
|---|---|
ชื่อผู้ควบคุมข้อมูลส่วนบุคคล | รอการยืนยัน |
ที่อยู่สำหรับติดต่อ | รอการยืนยัน |
อีเมลรับคำร้อง | รอการยืนยัน |
ผู้รับผิดชอบด้านข้อมูลส่วนบุคคล หากกฎหมายกำหนด | รอการตรวจสอบ |
วันที่นโยบายมีผลบังคับใช้ | รอการกำหนด |
รายชื่อผู้ประมวลผลข้อมูลที่ต้องเปิดเผย | รอตรวจสอบระบบจริง |
ในกรณีที่มีผู้รับผิดชอบจัดทำหรือทบทวนเอกสาร ควรแสดงข้อมูลตามบทบาทจริง โดยสามารถเชื่อมโยงรายละเอียดผู้จัดทำเนื้อหาได้จาก หน้าเกี่ยวกับผู้เขียน BSX8 แต่ต้องไม่ทำให้เข้าใจว่าผู้เขียนบทความเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลโดยอัตโนมัติ
ประเภทข้อมูลที่เก็บจริงต้องได้รับการยืนยันจากผู้ดูแลระบบก่อน โดยอาจมีข้อมูลทางเทคนิค ข้อมูลติดต่อ หรือข้อมูลที่จำเป็นต่อฟังก์ชันเฉพาะของเว็บไซต์ ทั้งนี้ นโยบายฉบับเผยแพร่ต้องระบุเฉพาะข้อมูลที่มีการประมวลผลจริง
สำหรับคุกกี้ที่กฎหมายกำหนดให้ต้องได้รับความยินยอม ผู้ใช้ควรมีทางเลือกที่เหมาะสมในการยอมรับ ปฏิเสธ หรือถอนความยินยอม ส่วนคุกกี้ที่จำเป็นต่อการทำงานอาจมีหลักเกณฑ์แตกต่างกัน
ควรยื่นคำร้องผ่านช่องทางที่ผู้ควบคุมข้อมูลประกาศไว้ โดยสิทธิในการลบข้อมูลขึ้นอยู่กับเหตุและข้อยกเว้นตามกฎหมาย รวมถึงหน้าที่จัดเก็บข้อมูลบางประเภทที่ยังมีผลบังคับ
ไม่ HTTPS ช่วยป้องกันการสื่อสารระหว่างอุปกรณ์กับเว็บไซต์ในบางด้าน แต่ความปลอดภัยโดยรวมยังขึ้นอยู่กับการจัดการระบบ สิทธิการเข้าถึง และมาตรการอื่นที่เหมาะสม
เจ้าของข้อมูลอาจมีสิทธิร้องเรียนต่อผู้ควบคุมข้อมูลหรือหน่วยงานกำกับดูแลที่มีอำนาจตามกฎหมาย โดยควรเก็บรายละเอียดเหตุการณ์และหลักฐานที่เกี่ยวข้องไว้ประกอบการดำเนินการ
ความไว้วางใจเรื่องข้อมูลส่วนบุคคลไม่ได้เกิดจากการเขียนนโยบายให้ยาวหรือใช้คำศัพท์ทางกฎหมายจำนวนมาก แต่เกิดจากการเปิดเผยสิ่งที่เว็บไซต์ทำจริงอย่างชัดเจน และให้เจ้าของข้อมูลสามารถใช้สิทธิของตนได้ตามกฎหมาย
สำหรับ BSX8 นโยบายความเป็นส่วนตัวควรเป็นเอกสารที่สะท้อนกระบวนการจัดการข้อมูลจริง ไม่กล่าวอ้างมาตรการที่ยังไม่ได้ดำเนินการ และได้รับการปรับปรุงเมื่อระบบหรือวิธีประมวลผลมีการเปลี่ยนแปลง