PDPA
นโยบายคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy)
ทบทวนอย่างน้อยปีละ 1 ครั้ง
กลุ่มบริษัท เอเอสซี กรุ๊ป (ASC Group) ตระหนักถึงความสำคัญของการคุ้มครองสิทธิในข้อมูลส่วนบุคคล และมุ่งมั่นบริหารจัดการข้อมูลด้วยความรับผิดชอบ โปร่งใส และเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) อย่างเคร่งครัด
1. บทนำและวัตถุประสงค์
กลุ่มบริษัท เอเอสซี กรุ๊ป (ASC Group) ดำเนินธุรกิจในฐานะผู้ให้บริการบริหารจัดการระบบเทคโนโลยีสารสนเทศแบบครบวงจร (IT Outsourcing Services) และบริการที่ปรึกษาด้านเทคโนโลยีสารสนเทศแก่ลูกค้าองค์กร ประกอบด้วยบริษัทในเครือดังนี้
- บริษัท แอดวานซ์ซิสเต็มส์ คอนซัลติ้ง จำกัด (Advanced Systems Consulting Co., Ltd.)
- บริษัท แอดวานซ์ เพอร์ซเนล แอนด์ โซลูชั่น จำกัด (Advanced Personnel and Solution Co., Ltd.)
- บริษัท แอดวานซ์แอดมินิสเตรชั่น จำกัด (Advanced Administration Co., Ltd.)
- บริษัท เดอะวันจ็อบส์ จำกัด (The1Jobs Co., Ltd.)
- บริษัท แอดวานซ์ ไอเซอร์วิส จำกัด (Advanced iService Co., Ltd.)
วัตถุประสงค์ของนโยบายฉบับนี้
ในการดำเนินธุรกิจดังกล่าว กลุ่มบริษัทฯ มีความจำเป็นต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของพนักงาน ผู้สมัครงาน คู่ค้า และบุคคลที่เกี่ยวข้อง นโยบายฉบับนี้กำหนดขึ้นเพื่อ
- คุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
- กำหนดแนวปฏิบัติการใช้งานระบบ AI เพื่อช่วยในการปฏิบัติงานบริการบริหารจัดการระบบสารสนเทศ (IT Outsourcing Services) อย่างถูกต้องตามกฎหมาย
- สร้างความเชื่อมั่นให้ลูกค้าและคู่ค้าว่าข้อมูลถูกจัดการอย่างปลอดภัยและโปร่งใส
- กำหนดสิทธิ์และความรับผิดชอบของพนักงานทุกท่านในการจัดการข้อมูลส่วนบุคคล
2. ขอบเขตการบังคับใช้
นโยบายนี้มีผลบังคับใช้กับพนักงานทุกท่านในกลุ่มบริษัท ASC Group
- พนักงานประจำ พนักงานสัญญาจ้าง พนักงานชั่วคราวและนักศึกษาฝึกงาน — ทุกระดับและทุกตำแหน่ง รวมถึงฝ่ายสรรหา (Recruit) และฝ่ายดูแลสวัสดิการพนักงาน (HR)
- ผู้บริหาร กรรมการ และที่ปรึกษาของบริษัท
- บุคคลภายนอก ผู้รับเหมา (Vendor/Contractor) ที่เข้าถึงข้อมูลหรือระบบของบริษัท
- พนักงานที่ปฏิบัติงาน ณ สถานที่ลูกค้า (On-site) ในฐานะตัวแทนของ ASC Group
3.1 ข้อมูลส่วนบุคคลทั่วไป
ข้อมูลที่สามารถระบุตัวตนได้ไม่ว่าทางตรงหรือทางอ้อม เช่น
- ข้อมูลประจำตัว: ชื่อ-นามสกุล วันเดือนปีเกิด เลขบัตรประชาชน หมายเลขพาสปอร์ต
- ข้อมูลติดต่อ: ที่อยู่ เบอร์โทรศัพท์ อีเมล Line ID
- ข้อมูลการทำงาน: ตำแหน่ง แผนก ประวัติการทำงาน เงินเดือน
- ข้อมูลทางเทคนิค: IP Address, User Account, Log การเข้าใช้ระบบ, Device ID
- ข้อมูลลูกค้า (ที่พนักงานเข้าถึงในฐานะ IT Outsource): ชื่อ ติดต่อ ข้อมูลระบบ
3.2 ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Personal Data — มาตรา 26)
ข้อมูลต่อไปนี้ต้องได้รับความยินยอมโดยชัดแจ้งก่อนทุกครั้ง
| ประเภท | ตัวอย่างในบริบท IT Outsource |
|---|---|
| เชื้อชาติ / ชาติพันธุ์ | ข้อมูลในระบบ HR ของบริษัทหรือลูกค้า |
| ความคิดเห็นทางการเมือง | ข้อมูลที่อาจปรากฏใน Log หรือระบบสื่อสาร |
| ความเชื่อทางศาสนา / ปรัชญา | ข้อมูลวันหยุด ระบบ Leave Management (HRM Leave) |
| พฤติกรรมทางเพศ | ห้ามเก็บรวบรวมหรือประมวลผลโดยเด็ดขาด |
| ประวัติอาชญากรรม | เก็บได้ไม่เกิน 6 เดือนหลังสิ้นวัตถุประสงค์ |
| ข้อมูลสุขภาพ / ความพิการ | ระบบ HR, ประกันสุขภาพ, ใบรับรองแพทย์ |
| ข้อมูลชีวภาพ (Biometric) | ระบบสแกนนิ้ว/ใบหน้าเพื่อควบคุมการเข้าออก |
| ข้อมูลพันธุกรรม | ห้ามเก็บรวบรวมโดยเด็ดขาด |
4. ฐานกฎหมายในการประมวลผลข้อมูล
บริษัทประมวลผลข้อมูลส่วนบุคคลภายใต้ฐานกฎหมาย 7 ฐาน ตาม PDPA มาตรา 24 และ 26
| ฐานกฎหมาย | ตัวอย่างการใช้ในธุรกิจ IT Outsource |
|---|---|
| Consent (ความยินยอม) | การใช้ระบบ AI วิเคราะห์พฤติกรรม, การเก็บ Biometric, การส่งข้อมูลให้บุคคลที่สาม — ต้องขอยินยอมก่อนทุกครั้ง ถอนได้ทุกเมื่อ |
| Contract (สัญญา) | การประมวลผลข้อมูลพนักงานเพื่อจ่ายเงินเดือน, การดูแลระบบ IT ให้ลูกค้าตามสัญญา Service Agreement |
| Legal Obligation (กฎหมาย) | การส่งข้อมูลภาษีให้กรมสรรพากร, ประกันสังคม, การเก็บ Log ตาม PDPA และ พ.ร.บ. คอมพิวเตอร์ |
| Vital Interest (ชีวิต) | การแชร์ข้อมูลสุขภาพกรณีฉุกเฉิน, การแจ้งเหตุ Data Breach ที่อาจกระทบชีวิต |
| Public Task (ภารกิจของรัฐ) | การให้ข้อมูลตามคำสั่งศาล, หน่วยงานกำกับดูแลเช่น ETDA, ธนาคารแห่งประเทศไทย |
| Legitimate Interest (ประโยชน์โดยชอบ) | การวิเคราะห์ Security Log, ระบบ AI ตรวจจับภัยคุกคาม, การปรับปรุงประสิทธิภาพ IT Service — ต้องไม่กระทบสิทธิ์ผู้ใช้เกินสมควร |
| Research / Statistics (วิจัย/สถิติ) | การวิเคราะห์สถิติ Incident, รายงาน SLA Performance, การปรับปรุงระบบ AI — ใช้เฉพาะ Anonymized data |
5. วัตถุประสงค์การเก็บรวบรวม ใช้ เปิดเผยข้อมูล
บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็น ภายใต้วัตถุประสงค์ต่อไปนี้
- การบริหารจัดการพนักงาน: จ่ายเงินเดือน ประกันสุขภาพ การฝึกอบรม การประเมินผล
- การบริการจัดหาพนักงาน: คัดสรรและประเมินประวัติผู้สมัครงาน (Resume) ให้สอดคล้องกับความต้องการและคุณสมบัติที่ลูกค้ากำหนด
- การให้บริการ: Software Development
- การรักษาความมั่นคงปลอดภัยไซเบอร์: ตรวจสอบ Log ป้องกันการโจมตี ตอบสนองต่อ Incident
- การปฏิบัติตามสัญญาลูกค้า: ดูแลระบบ IT ตาม SLA ที่ตกลงกับลูกค้าองค์กร
- การพัฒนาและปรับปรุงระบบ AI: วิเคราะห์ประสิทธิภาพ ปรับปรุง Model (ใช้ข้อมูล Anonymized)
- การปฏิบัติตามกฎหมาย: รายงานต่อหน่วยงานกำกับ เก็บบันทึกตามข้อกำหนด
6. การใช้งานระบบ AI เพื่อช่วยในการปฏิบัติงาน
บริษัทนำระบบ AI มาใช้เพื่อเพิ่มประสิทธิภาพการให้บริการ IT Outsource ภายใต้หลักการ Human-in-the-loop และ PDPA มาตรา 24
AI เป็นเครื่องมือช่วยตัดสินใจ ไม่ใช่ผู้ตัดสินใจแทนมนุษย์ ผลลัพธ์ทุกอย่างต้องผ่านการตรวจสอบและอนุมัติโดยพนักงานก่อนเสมอ
| ระบบ AI | วัตถุประสงค์ | ข้อมูลที่ AI ประมวลผล |
|---|---|---|
| Security AI (SIEM/SOAR) | ตรวจจับภัยคุกคาม, วิเคราะห์ Anomaly ใน Log, แจ้งเตือน Incident | Network Log, System Event Log, Access Log — ไม่ระบุตัวตนผู้ใช้ |
| Monitoring AI | ตรวจสอบประสิทธิภาพระบบ, แจ้งเตือนก่อน Downtime, วิเคราะห์ Capacity | Performance Metrics, System Health Data, Alert Log |
| AI Code Assistant | ช่วย Developer ตรวจสอบ Code, แนะนำ Best Practice, ค้นหา Bug | Source Code ที่ไม่มีข้อมูลส่วนบุคคล, Comment, Documentation |
| AI Report Generator | สรุปรายงาน SLA, วิเคราะห์แนวโน้ม, สร้าง Dashboard อัตโนมัติ | Aggregated Performance Data, Anonymized Statistics เท่านั้น |
| Recruit AI (ฝ่ายสรรหา) | คัดกรอง Resume เบื้องต้น, จัดลำดับผู้สมัคร, วิเคราะห์ความเหมาะสม | ข้อมูลผู้สมัครที่ได้รับ Consent ก่อนเสมอ — ไม่รวมข้อมูลอ่อนไหว |
| HR AI (ฝ่ายสวัสดิการพนักงาน) | วิเคราะห์การใช้สวัสดิการ, แจ้งเตือนวันหมดอายุประกัน, สรุปรายงาน Leave | ข้อมูลพนักงานภายใน (ชื่อ วันลา สวัสดิการ) — ไม่รวมข้อมูลสุขภาพโดยตรง |
6.2 หลักการใช้งาน AI ที่พนักงานทุกท่านต้องปฏิบัติ
- ตรวจสอบความถูกต้องของผลลัพธ์จาก AI ทุกครั้งก่อนนำไปใช้งาน — ห้ามส่งต่อหรือนำไปใช้โดยไม่ตรวจสอบ
- ห้ามป้อนข้อมูลส่วนบุคคลของลูกค้าหรือพนักงานเข้าระบบ AI สาธารณะบนบัญชีส่วนตัวโดยเด็ดขาด
- ใช้เฉพาะเครื่องมือ AI ที่บริษัทอนุมัติและติดตั้งให้เท่านั้น — ดูรายการ Approved Tools ที่ฝ่าย IT
- ข้อมูลของลูกค้า (Client Data) ถือเป็นความลับสูงสุด ห้ามนำเข้า AI ใด ๆ นอกจากที่ระบุในสัญญา Data Processing Agreement กับลูกค้า
- รายงาน AI Error หรือผลลัพธ์ที่ผิดปกติต่อหัวหน้างานและฝ่าย IT ทันที
6.3 ข้อห้ามในการใช้งาน AI
ห้ามนำข้อมูลต่อไปนี้เข้าระบบ AI ทุกกรณี — ฝ่าฝืนถือเป็นความผิดทางวินัยและอาจมีโทษตามกฎหมาย
- ข้อมูลอ่อนไหวของพนักงานหรือลูกค้า: ศาสนา สุขภาพ ชีวภาพ เชื้อชาติ ประวัติอาชญากรรม
- ข้อมูลลับทางธุรกิจของลูกค้า (Confidential Client Data) เว้นแต่มี DPA และ NDA รองรับ
- Credential ทุกประเภท: Password, API Key, Token, Certificate, Connection String
- ข้อมูลทางการเงิน: หมายเลขบัญชีธนาคาร บัตรเครดิต ข้อมูลงบการเงิน
- Source Code ที่มีข้อมูลส่วนบุคคลฝังอยู่ หรือ Code ของระบบ Production ลูกค้า
- ข้อมูลที่อยู่ภายใต้ข้อตกลง NDA กับลูกค้าหรือคู่ค้า
7. ระยะเวลาเก็บรักษาข้อมูล
| ประเภทข้อมูล | ระยะเวลา | การดำเนินการหลังครบกำหนด |
|---|---|---|
| ข้อมูลพนักงาน (ระหว่างจ้างงาน) | ตลอดระยะการจ้างงาน | ลบหรือ Anonymize ภายใน 90 วันหลังพ้นสภาพ |
| ข้อมูลพนักงานหลังพ้นสภาพ | ไม่น้อยกว่า 2 ปี (สูงสุด 10 ปีตามกฎหมายแพ่ง) | ลบหรือทำให้ไม่สามารถระบุตัวตนได้ |
| ข้อมูลประวัติอาชญากรรม | ไม่เกิน 6 เดือนนับจากสิ้นวัตถุประสงค์ | ลบและทำลายถาวรทันที |
| Security Log / Audit Log | 1 ปี (ตาม พ.ร.บ. คอมพิวเตอร์) | Archive หรือลบตามนโยบาย Log Management |
| ข้อมูลลูกค้า (Client Data) | ตามที่ระบุใน Service Agreement / DPA | ส่งคืนหรือลบตามคำสั่งลูกค้าหลังสิ้นสัญญา |
| AI Training Data (Anonymized) | ตามวงจรชีวิต AI Model (สูงสุด 3 ปี) | ลบพร้อมกับการปลดระวาง Model |
| ข้อมูลผู้สมัครงาน — ไม่ผ่านการคัดเลือก | 1 ปีนับจากวันสมัคร | ลบจากระบบทั้งหมดโดยอัตโนมัติ รวมถึงระบบ AI |
| ข้อมูลผู้สมัครงาน — ผ่านการคัดเลือก | โอนสู่แฟ้มพนักงาน ไม่เกิน 10 ปีหลังพ้นสภาพ | ประมวลผลต่อตามนโยบายข้อมูลพนักงาน |
| ข้อมูลนักศึกษาฝึกงาน (ระหว่างฝึกงาน) | ตลอดระยะฝึกงาน | ลบหรือ Anonymize ภายใน 30 วันหลังสิ้นสุดการฝึกงาน |
| ข้อมูลนักศึกษาฝึกงาน (หลังสิ้นสุด) | 2 ปีนับจากวันสิ้นสุดการฝึกงาน | ลบถาวร เว้นแต่บรรจุเป็นพนักงาน |
8. มาตรการความมั่นคงปลอดภัย (CIA Triad)
บริษัทจัดการข้อมูลส่วนบุคคลตามมาตรฐาน CIA Triad ตาม PDPA มาตรา 37
- Confidentiality (ความลับ): Role-Based Access Control (RBAC) ทุกระบบ, Multi-Factor Authentication (MFA), เข้ารหัสข้อมูลในระหว่างส่ง (TLS 1.3) และเมื่อจัดเก็บ (AES-256), Audit Log บันทึกการเข้าถึงข้อมูลทุกครั้ง, VPN สำหรับการทำงานจากระยะไกล
- Integrity (ความถูกต้อง): Digital Signature และ Checksum ตรวจสอบความสมบูรณ์, Version Control และ Change Management, Audit Trail ทุกการแก้ไขข้อมูล, การ Backup อัตโนมัติและตรวจสอบความสมบูรณ์, AI Output Validation ก่อนนำไปใช้งาน
- Availability (ความพร้อมใช้): Backup อัตโนมัติทุก 24 ชั่วโมง, Disaster Recovery Plan (RTO ไม่เกิน 4 ชั่วโมง), High Availability สำหรับระบบสำคัญ (99.9% SLA), การทดสอบ DR ปีละ 2 ครั้ง, แจ้งเตือนอัตโนมัติเมื่อระบบขัดข้อง
9. การเปิดเผยข้อมูลส่วนบุคคล
บริษัทเปิดเผยข้อมูลส่วนบุคคลเฉพาะตามวัตถุประสงค์ที่แจ้งไว้ และต่อบุคคลต่อไปนี้เท่านั้น
- บริษัทในเครือของ ASC Group — ตามความจำเป็นในการให้บริการ
- ลูกค้าองค์กร (Client) — เฉพาะข้อมูลที่เกี่ยวข้องกับงานที่มอบหมาย ภายใต้ NDA/DPA
- ผู้ให้บริการ Cloud และ AI Platform — ที่มีสัญญา Data Processing Agreement (DPA) รองรับ
- หน่วยงานราชการ — ตามคำสั่งศาลหรือกฎหมายเท่านั้น
- ห้ามเปิดเผยข้อมูลลูกค้าต่อบุคคลที่สามโดยไม่ได้รับอนุญาตเป็นลายลักษณ์อักษร
10. สิทธิ์ของเจ้าของข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิ์ตาม PDPA 8 ประการ
| สิทธิ์ | รายละเอียด |
|---|---|
| สิทธิ์รับทราบ (Right to be Informed) | ได้รับแจ้งวัตถุประสงค์การเก็บข้อมูลและการนำไปใช้กับ AI ก่อนทุกครั้ง |
| สิทธิ์เข้าถึง (Right of Access) | ขอดูข้อมูลส่วนบุคคลและผลการประมวลผลโดย AI ของท่านได้ |
| สิทธิ์แก้ไข (Right to Rectification) | ขอให้แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วนได้ |
| สิทธิ์ลบ (Right to Erasure) | ขอให้ลบข้อมูลได้เมื่อหมดความจำเป็น หรือเมื่อถอนความยินยอม |
| สิทธิ์ระงับ (Right to Restriction) | ขอให้หยุดประมวลผลข้อมูลชั่วคราวระหว่างตรวจสอบข้อร้องเรียน |
| สิทธิ์โอนย้าย (Right to Portability) | ขอรับข้อมูลในรูปแบบดิจิทัลที่อ่านได้โดยเครื่อง (CSV, JSON) |
| สิทธิ์คัดค้าน (Right to Object) | คัดค้านการนำข้อมูลเข้าระบบ AI หรือการประมวลผลที่ใช้ฐาน Legitimate Interest |
| สิทธิ์ถอนยินยอม (Right to Withdraw) | ถอนความยินยอมได้ทุกเมื่อ ไม่กระทบสิทธิ์ที่เคยได้รับก่อนหน้า |
11. ความรับผิดชอบของพนักงาน
- ปฏิบัติตามนโยบายนี้และนโยบายที่เกี่ยวข้องอย่างเคร่งครัด
- ไม่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนอกเหนือจากวัตถุประสงค์ที่กำหนด
- ไม่นำข้อมูลลูกค้าออกนอกระบบของบริษัท เว้นแต่ได้รับอนุญาต
- รายงานเหตุการณ์ Data Breach ต่อ PDPA Officer ภายใน 1 ชั่วโมง
- ผ่านการอบรม PDPA และนโยบาย AI ก่อนเริ่มงาน และทบทวนทุกปี
- ใช้เฉพาะอุปกรณ์และระบบที่บริษัทอนุมัติในการเข้าถึงข้อมูลส่วนบุคคล
- ล็อกหน้าจอทันทีเมื่อออกจากพื้นที่ทำงาน (Unattended Screen Policy)
12. บทลงโทษการฝ่าฝืนนโยบาย
โทษทางวินัยภายในบริษัท และโทษตามกฎหมาย PDPA มาตรา 82–90
- ระดับ 1 — ตักเตือนด้วยวาจา: ใช้ AI โดยไม่ตรวจสอบผลลัพธ์, ลืมล็อกหน้าจอ
- ระดับ 2 — หนังสือเตือน: นำข้อมูลส่วนบุคคลเข้า AI สาธารณะโดยประมาท, เข้าถึงข้อมูลเกินสิทธิ์
- ระดับ 3 — พักงาน / ปลดออก: จงใจฝ่าฝืน, นำข้อมูลลูกค้ารั่วไหล, ใช้ข้อมูลเพื่อประโยชน์ส่วนตัว
- โทษทางปกครอง: ปรับสูงสุด 5,000,000 บาท ต่อกรรม (คณะกรรมการ PDPA)
- โทษทางแพ่ง: ค่าสินไหมทดแทน และค่าเสียหายเชิงลงโทษสูงสุด 2 เท่า
- โทษทางอาญา: จำคุกไม่เกิน 1 ปี และ/หรือปรับไม่เกิน 1,000,000 บาท (กรณีเจตนา)
- ความรับผิดต่อลูกค้า: ค่าปรับตาม SLA และค่าเสียหายตามสัญญา IT Outsource
13. การเปลี่ยนแปลงและทบทวนนโยบาย
บริษัทจะทบทวนนโยบายนี้อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงสำคัญ เช่น กฎหมาย PDPA การเพิ่มระบบ AI ใหม่ หรือเหตุการณ์ Data Breach การเปลี่ยนแปลงจะแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน
14. ข้อมูลติดต่อ PDPA Officer
| รายการ | รายละเอียด |
|---|---|
| ผู้ควบคุมข้อมูลส่วนบุคคล | กลุ่มบริษัท เอเอสซี กรุ๊ป (ASC Group) |
| ที่อยู่ | เลขที่ 25 อาคารกรุงเทพประกันภัย ชั้น 18 ยูนิต 7 ถนนสาทรใต้ แขวงทุ่งมหาเมฆ เขตสาทร กรุงเทพฯ 10120 |
| โทรศัพท์ | 02-679-1940-3, 02-677-4072-3 กด 511 |
| อีเมล PDPA Officer | thammanoon@grpasc.com |
| ระยะเวลาตอบกลับ | ภายใน 30 วันนับจากวันรับคำขอ (เร่งด่วน: ภายใน 72 ชั่วโมง) |
| Data Breach Hotline | แจ้งฝ่าย IT ทันที และแจ้ง thammanoon@grpasc.com ภายใน 1 ชั่วโมง |