บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล

ความมุ่งหมายของบันทึกฉบับนี้

เอกสารฉบับนี้คือบันทึกรายการที่มาตรา 39 แห่งพระราชบัญญัติกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดทำ โดยระบุรายละเอียดของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นทางการยิ่งกว่าประกาศความเป็นส่วนตัว ทั้งนี้ เอกสารทั้งสองฉบับจัดทำขึ้นจากชุดข้อมูลเดียวกัน จึงไม่อาจขัดหรือแย้งกันได้

ผู้ควบคุมข้อมูลส่วนบุคคล

BIRSA (สโมสรนักศึกษาหลักสูตร BIR) หลักสูตรการเมืองและการระหว่างประเทศ (BIR) คณะรัฐศาสตร์ มหาวิทยาลัยธรรมศาสตร์ เป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับกิจกรรมการประมวลผลทั้งหมดที่ปรากฏด้านล่าง

ที่อยู่: หลักสูตร BIR คณะรัฐศาสตร์ มหาวิทยาลัยธรรมศาสตร์ 2 ถนนพระจันทร์ กรุงเทพฯ 10200

อีเมล: birsa@tu.ac.th หรือ birstudentassociation@gmail.com

สิทธิของเจ้าของข้อมูลส่วนบุคคลและวิธีการเข้าถึงข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามที่ระบุไว้ในประกาศความเป็นส่วนตัวของ BIRSA อันได้แก่ สิทธิขอเข้าถึงและขอรับสำเนาข้อมูล สิทธิขอให้โอนย้ายข้อมูล สิทธิขอให้แก้ไขข้อมูลให้ถูกต้อง สิทธิขอให้ลบหรือทำลายข้อมูล สิทธิคัดค้านการประมวลผล สิทธิขอให้ระงับการใช้ข้อมูล สิทธิขอถอนความยินยอม และสิทธิร้องเรียน ทั้งนี้ ท่านสามารถยื่นคำร้องผ่านขั้นตอนที่ /privacy/your-data หรือติดต่อ BIRSA ทางอีเมลโดยตรง

• สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล (30)
• สิทธิขอให้โอนย้ายข้อมูลส่วนบุคคล (31)
• สิทธิขอให้แก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (35 and 36)
• สิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคล (33)
• สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (32)
• สิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคล (34)
• สิทธิขอถอนความยินยอม (19)
• สิทธิร้องเรียน (73)

BIRSA จะดำเนินการตามคำขอเข้าถึงข้อมูลส่วนบุคคลโดยไม่ชักช้า แต่ต้องไม่เกิน 30 วันนับแต่วันที่ได้รับคำขอ ตามมาตรา 30 แห่งพระราชบัญญัติ

ดูรายละเอียดสิทธิฉบับเต็ม

มาตรการรักษาความมั่นคงปลอดภัย (มาตรา 37(1))

มาตรการที่ BIRSA จัดให้มีเพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ มีดังนี้

• รหัสผ่านของเจ้าหน้าที่จัดเก็บในรูปแบบที่ผ่านการแปลงค่าด้วยวิธี scrypt ซึ่งเป็นการแปลงค่าทางเดียวที่ไม่อาจย้อนกลับเป็นรหัสผ่านเดิมได้ แม้โดย BIRSA เอง
• เซสชันการเข้าใช้งานระบบใช้คุกกี้ที่ลงลายมือชื่อทางการเข้ารหัสด้วยวิธี HMAC จึงไม่อาจปลอมแปลงหรือแก้ไขโดยผู้เข้าชมได้
• เจ้าหน้าที่เข้าถึงและดำเนินการได้เฉพาะเท่าที่บทบาทหน้าที่และขอบเขตชมรมของตนกำหนดไว้ เจ้าหน้าที่ของชมรมหนึ่งไม่อาจเข้าถึงข้อมูลผู้ยืมของอีกชมรมหนึ่งได้
• เว็บไซต์ดำเนินการภายใต้ Content Security Policy ที่เข้มงวด ซึ่งจำกัดสคริปต์และทรัพยากรที่หน้าเว็บสามารถเรียกใช้ได้
• แบบฟอร์มทุกรายการมีการจำกัดอัตราการส่งข้อมูล เพื่อป้องกันการส่งข้อมูลจำนวนมากจนกระทบต่อการให้บริการ
• ข้อมูลทั้งหมดระหว่างการรับส่งได้รับการเข้ารหัสด้วยโพรโทคอล TLS
• ระบบจัดให้มีการตรวจสอบและลบหรือทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวบุคคลได้โดยอัตโนมัติ เมื่อพ้นกำหนดระยะเวลาการเก็บรักษาสองปี ตามมาตรา 37(3) แห่งพระราชบัญญัติ

การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ในกรณีที่ BIRSA ทราบว่ามีเหตุการละเมิดข้อมูลส่วนบุคคลซึ่งมีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของท่าน มาตรา 37(4) แห่งพระราชบัญญัติกำหนดให้ต้องแจ้งเหตุดังกล่าวแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ และในกรณีที่การละเมิดมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบพร้อมแนวทางการเยียวยาโดยไม่ชักช้าด้วย

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

BIRSA ไม่มีหน้าที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 แห่งพระราชบัญญัติ เนื่องจากมิได้เป็นหน่วยงานของรัฐ มิได้มีกิจกรรมหลักในการตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก และมิได้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา 26 เป็นกิจกรรมหลัก อย่างไรก็ดี BIRSA ยังคงจัดให้มีช่องทางติดต่อตามที่มาตรา 23(5) แห่งพระราชบัญญัติกำหนด สำหรับผู้ที่มีข้อสงสัยเกี่ยวกับบันทึกฉบับนี้หรือเกี่ยวกับข้อมูลส่วนบุคคลของตน

ติดต่อ BIRSA