นโยบายการคุ้มครองข้อมูลส่วนบุคคล

บริษัท ปตท.สำรวจและผลิตปิโตรเลียม จำกัด (มหาชน) หรือ ปตท.สผ. และบริษัทย่อยของ ปตท.สผ. (ต่อไปนี้จะเรียกรวมว่า “บริษัท”) ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล จึงได้จัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Policy) ขึ้น โดยนโยบายนี้ได้อธิบายถึงวิธีการที่บริษัทปฏิบัติต่อข้อมูลส่วนบุคคลโดยทั่วไป เช่น การเก็บรวบรวม การจัดเก็บรักษา การใช้ การเปิดเผย รวมถึงสิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น สำหรับรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับกิจกรรมต่าง ๆ ของบริษัท บริษัทจะแจ้งรายละเอียดดังกล่าวในแนวปฏิบัติในการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนดต่อไป ทั้งนี้ เพื่อให้เจ้าของข้อมูลได้รับทราบถึงนโยบายในการคุ้มครองข้อมูลส่วนบุคคลของบริษัท บริษัทจึงประกาศนโยบายฯ ดังต่อไปนี้

1. คำนิยาม

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลที่กฎหมายจัดประเภทเป็นข้อมูลส่วนบุคคลอ่อนไหว ตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะประกาศกำหนด

“คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” หมายถึง คณะกรรมการที่ได้รับการแต่งตั้งขึ้น โดยมีหน้าที่และอำนาจกำกับดูแล ออกหลักเกณฑ์ มาตรการ หรือข้อปฏิบัติอื่นใดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

2. การเก็บรวบรวมข้อมูลส่วนบุคคล

บริษัทจะทำการเก็บรวบรวมข้อมูลส่วนบุคคลไม่ว่าจะโดยตรงจากเจ้าของข้อมูลส่วนบุคคลหรือจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคล โดยมีวัตถุประสงค์ ขอบเขต และใช้วิธีการที่ชอบด้วยกฎหมาย โดยในการเก็บรวบรวมนั้นจะทำเพียงเท่าที่จำเป็นแก่การดำเนินงานภายใต้วัตถุประสงค์ของบริษัทเท่านั้น โดยอาศัยฐานตามที่กฎหมายกำหนด ทั้งนี้ บริษัทจะดำเนินการแจ้งให้เจ้าของข้อมูลทราบถึงรายละเอียดตามที่กฎหมายกำหนด ในกรณีที่จำเป็นต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

บริษัทจะดำเนินการให้เจ้าของข้อมูลส่วนบุคคลให้ความยินยอมทางอิเล็กทรอนิกส์ หรือตามแบบวิธีการของบริษัท กรณีที่บริษัทจัดเก็บข้อมูลส่วนบุคคลที่อ่อนไหวของเจ้าของข้อมูล บริษัทจะขอความยินยอมจากเจ้าของข้อมูลโดยชัดแจ้งก่อนทำการเก็บรวบรวม เว้นแต่การเก็บข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลอ่อนไหวจะเข้าข้อยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือกฎหมายอื่นกำหนดไว้

ในบางกรณี บริษัทมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคล เพื่อเป็นการปฏิบัติหน้าที่ตามสัญญา หรือเพื่อเข้าทำสัญญากับเจ้าของข้อมูลส่วนบุคคล หรือเพื่อปฏิบัติหน้าที่ตามกฎหมาย รวมทั้งดำเนินการเพื่อให้เป็นไปตามวัตถุประสงค์ของบริษัท การปฏิเสธไม่ให้ข้อมูลส่วนบุคคลที่จำเป็นอาจทำให้บริษัทไม่สามารถปฏิบัติตามสัญญา เข้าทำสัญญากับเจ้าของข้อมูลส่วนบุคคล หรือปฏิบัติตามกฎหมายที่บริษัทมีหน้าที่ต้องปฏิบัติตาม และ/หรือไม่สามารถดำเนินการตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลได้

3. วัตถุประสงค์ในการเก็บรวบรวม หรือใช้ข้อมูลส่วนบุคคล

บริษัทจะทำการเก็บรวบรวม หรือใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูล เพื่อประโยชน์ในการดำเนินงานของบริษัท เช่น การจัดซื้อจัดจ้าง การทำสัญญา การทำธุรกรรมทางการเงิน การดำเนินกิจกรรมบริษัท การติดต่อประสานงานต่าง ๆ หรือเพื่อปรับปรุงคุณภาพการทำงานให้มีประสิทธิภาพมากยิ่งขึ้น เช่น การจัดทำฐานข้อมูล วิเคราะห์และพัฒนากระบวนการดำเนินงานของบริษัท และเพื่อวัตถุประสงค์อื่นใดที่ไม่ต้องห้ามตามกฎหมาย กฎหมายอนุญาตให้กระทำได้ และ/หรือเพื่อปฏิบัติตามกฎหมายหรือกฎระเบียบที่เกี่ยวข้องต่อการดำเนินงานของบริษัท โดยบริษัทจะจัดเก็บและใช้ข้อมูลดังกล่าวตามระยะเวลาเท่าที่จำเป็นตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลหรือตามที่กฎหมายกำหนดไว้เท่านั้น บริษัทจะไม่กระทำการใด ๆ แตกต่างจากที่ระบุในวัตถุประสงค์ของการเก็บรวบรวมข้อมูล เว้นแต่

(1) ได้แจ้งวัตถุประสงค์ใหม่ให้แก่เจ้าของข้อมูลทราบ และได้รับความยินยอมจากเจ้าของข้อมูล

(2) เป็นการปฏิบัติตามพระราชบัญญัติข้อมูลส่วนบุคคล หรือกฎหมายอื่นที่เกี่ยวข้อง

4. การเปิดเผยข้อมูลส่วนบุคคล

บริษัทจะเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปให้บุคคลอื่นตามที่กฎหมายอนุญาตให้กระทำได้ หรือได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และจะเปิดเผยตามวัตถุประสงค์ที่ได้มีการแจ้งไว้ อย่างไรก็ดี เพื่อให้เป็นประโยชน์ต่อการดำเนินงานของบริษัทและการให้บริการแก่เจ้าของข้อมูล บริษัทอาจมีความจำเป็นในการเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล ให้แก่บริษัทในเครือ หรือบุคคลอื่นทั้งในและต่างประเทศ เช่น ผู้ให้บริการต่าง ๆ ที่ต้องดำเนินงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล โดยในการเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลดังกล่าว บริษัทจะดำเนินการให้บุคคลเหล่านั้นเก็บรักษาข้อมูลส่วนบุคคลไว้เป็นความลับ และไม่นำไปใช้เพื่อวัตถุประสงค์อื่นนอกเหนือจากขอบเขตที่บริษัทได้กำหนดไว้

นอกจากนี้ บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล ภายใต้หลักเกณฑ์ที่กฎหมายกำหนด เช่น การเปิดเผยข้อมูลต่อหน่วยงานราชการ หน่วยงานภาครัฐ หน่วยงานกำกับดูแล รวมถึงในกรณีที่มีการร้องขอให้เปิดเผยข้อมูลโดยอาศัยอำนาจตามกฎหมาย เช่น การร้องขอข้อมูลเพื่อการฟ้องร้องหรือดำเนินคดีตามกฎหมาย หรือการร้องขอจากหน่วยงานเอกชน หรือบุคคลภายนอกอื่น ๆ ที่มีความเกี่ยวข้องกับกระบวนการทางกฎหมาย เมื่อกฎหมายอนุญาตให้กระทำได้ และ/หรือบริษัทมีหน้าที่ตามกฎหมายในการเปิดเผยข้อมูลดังกล่าว

5. การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

บริษัทอาจเปิดเผย และ/หรือโอนข้อมูลส่วนบุคคลของท่านไปยังบุคคลหรือหน่วยงานภายนอกที่ตั้งอยู่ในต่างประเทศ เช่น การส่งข้อมูลไปยังบริษัทในเครือที่ตั้งอยู่ต่างประเทศ หรือในกรณีที่พื้นที่จัดเก็บข้อมูลที่ตั้งอยู่นอกประเทศไทย

ในบางกรณี ประเทศปลายทางซึ่งข้อมูลส่วนบุคคลของท่านถูกส่งหรือโอนออกไปอาจมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลไม่เทียบเท่ามาตรฐานของประเทศไทย ในกรณีดังกล่าวบริษัทจะดำเนินการตามขั้นตอนและใช้มาตรการต่าง ๆ เพื่อให้มั่นใจว่ามีการคุ้มครองข้อมูลส่วนบุคคลที่ถูกส่งหรือโอนไปในระดับที่เพียงพอ และบุคคลหรือหน่วยงานที่รับโอนข้อมูลส่วนบุคคลนั้นมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม ซึ่งอาจรวมถึงการใช้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน หรือการโอนเป็นไปตามที่กฎหมายกำหนด โดยอาศัยความยินยอมจากท่าน หรือเป็นไปตามข้อยกเว้นตามที่กฎหมายกำหนด

6. การเก็บรักษาและระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทอาจเก็บรักษาข้อมูลส่วนบุคคลของท่านในรูปแบบเอกสาร (Hard Copy) และในรูปแบบข้อมูลอิเล็กทรอนิกส์ โดยจะจัดเก็บข้อมูลส่วนบุคคลไว้ตลอดระยะเวลาที่จำเป็นต้องใช้ข้อมูลเพื่อให้เป็นไปตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล รวมถึงจัดเก็บข้อมูลส่วนบุคคลดังกล่าวไว้ตามระยะเวลาการเก็บรักษาในกรณีที่บริษัทยังคงมีสิทธิหรือสามารถอ้างฐานในการเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว หรือตามระยะเวลาที่กฎหมายกำหนด หรือกฎหมายอนุญาตให้กระทำได้

7. แนวทางในการดำเนินการคุ้มครองข้อมูลส่วนบุคคล

บริษัทจะกำหนดมาตรการต่าง ๆ รวมถึงมาตรการด้านการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่สอดคล้องกับกฎหมาย ระเบียบ หลักเกณฑ์ และแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลให้แก่พนักงานของบริษัทและบุคคลอื่นที่เกี่ยวข้อง รวมถึงสนับสนุนและส่งเสริมให้พนักงานมีความรู้และตระหนักถึงหน้าที่และความรับผิดชอบในการเก็บรวบรวม การจัดเก็บรักษา การใช้ และการเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล โดยพนักงานของบริษัทต้องปฏิบัติตามนโยบายฯ และแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลตามที่บริษัทกำหนดไว้ เพื่อให้บริษัทสามารถปฏิบัติตามนโยบายและกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้อย่างถูกต้องและมีประสิทธิภาพ

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการดำเนินการ ดังต่อไปนี้

• 8.1 สิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไว้ ทั้งนี้ การเพิกถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไว้แล้ว
• 8.2 สิทธิในการเข้าถึงข้อมูลส่วนบุคคลและขอทำสำเนาข้อมูลส่วนบุคคล รวมถึงการขอให้เปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่ไม่ได้ให้ความยินยอม
• 8.3 สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
• 8.4 สิทธิในการลบข้อมูลส่วนบุคคล
• 8.5 สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล
• 8.6 สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล
• 8.7 สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล
• 8.8 สิทธิในการร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

เจ้าของข้อมูลสามารถขอใช้สิทธิดังกล่าวข้างต้นได้ โดยยื่นคำร้องขอใช้สิทธิต่อบริษัทเป็นลายลักษณ์อักษรหรือผ่านทางจดหมายอิเล็กทรอนิกส์ตาม แบบฟอร์มที่บริษัทกำหนด ผ่าน “ช่องทาง การติดต่อของบริษัท” ด้านล่าง โดยบริษัทจะพิจารณาและแจ้งผลการพิจารณาตามคำร้องฯ ของเจ้าของข้อมูล ภายใน 30 วัน นับแต่วันที่ได้รับคำร้องฯ ดังกล่าว ทั้งนี้ บริษัทอาจปฏิเสธสิทธิของเจ้าของข้อมูลได้ในกรณีที่มีกฎหมายกำหนดไว้

9. การทบทวนและเปลี่ยนแปลงนโยบายการคุ้มครองข้อมูลส่วนบุคคล

บริษัทอาจทำการปรับปรุงหรือแก้ไขนโยบายนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับข้อกำหนดตามกฎหมาย การเปลี่ยนแปลงการดำเนินงานของบริษัท รวมถึงข้อเสนอแนะและความคิดเห็นจากหน่วยงานต่าง ๆ โดยบริษัทจะประกาศแจ้งการเปลี่ยนแปลงให้ทราบอย่างชัดเจน ก่อนจะเริ่มดำเนินการเปลี่ยนแปลง

10. ช่องทางการติดต่อบริษัท

ฝ่ายบรรษัทภิบาล การปฏิบัติตามกฎเกณฑ์ และการควบคุมภายใน บริษัท ปตท.สำรวจและผลิตปิโตรเลียม จำกัด (มหาชน) 555/1 ศูนย์เอนเนอร์ยี่คอมเพล็กซ์ อาคารเอ ชั้นที่ 6, 19-36 ถนนวิภาวดีรังสิต แขวงจตุจักร เขตจตุจักร กรุงเทพฯ 10900

เลขที่ 12157-PCY-002-R01

บังคับใช้วันที่ 1 มิถุนายน 2565