แนวทางปฏิบัติในการเก็บเอกสารข้อมูลส่วนบุคคลสำหรับผู้ปฏิบัติงาน ณ ศูนย์การค้า

แนวทางปฏิบัติในการเก็บเอกสารข้อมูลส่วนบุคคลสำหรับผู้ปฏิบัติงาน ณ ศูนย์การค้า

เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“พระราชบัญญัติ”) บริษัท ซีพี แอ็กซ์ตร้า จำกัด (มหาชน) (“บริษัท”) จึงได้จัดทำแนวทางปฏิบัติในการจัดเก็บเอกสารที่ปรากฏข้อมูลส่วนบุคคลของลูกค้า พนักงานประจำ/ พนักงานชั่วคราวของบริษัท พนักงานหรือตัวแทนของผู้จัดหาสินค้า พนักงานหรือตัวแทนของบริษัทผู้ให้บริการขนส่งสินค้า พนักงานของร้านค้าผู้เช่าพื้นที่ รวมถึงบุคคลอื่นใดที่เข้ามาใช้บริการภายในบริเวณพื้นที่ศูนย์การค้าของบริษัท รวมถึงพื้นที่จอดรถ พื้นที่รับ-ส่งสินค้า หรือบริเวณอื่นใดที่อยู่ภายใต้ความควบคุมดูแลของบริษัท

วัตถุประสงค์ เพื่อให้พนักงานของบริษัท ผู้มีหน้าที่เกี่ยวข้องในการจัดเก็บ ใช้ ประมวลผล รวมถึงส่งต่อเอกสารข้อมูลส่วนบุคคลดังกล่าวตระหนักถึงวิธีการในการปฏิบัติตน การเก็บรักษาข้อมูลดังกล่าว เพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล การเข้าถึงหรือนำไปใช้ซึ่งเอกสารข้อมูลส่วนบุคคลโดยผู้ไม่มีอำนาจ ซึ่งอาจนำมาสู่การที่บริษัทถูกลงโทษ เนื่องจากการฝ่าฝืนข้อกำหนดในพระราชบัญญัติ

หน่วยงานเป้าหมาย ทุกหน่วยงานที่ปฏิบัติงานอยู่ภายในศูนย์การค้าของบริษัทในทุก Platforms (Hypermarket, Supermarket, Go Fresh Mini Supermarket) (รวมเรียกว่า “ศูนย์การค้า”) รวมถึงพนักงานที่ทำหน้าที่ขนส่งสินค้าไปสู่ศูนย์การค้า หรือขนส่งสินค้าจากศูนย์การค้าถึงลูกค้า

คำนิยาม

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลที่สามารถระบุไปถึงตัวตนของบุคคลธรรมดาคนใดคนหนึ่งได้ ไม่ว่าจะเป็นพนักงาน ลูกค้า หรือบุคคลธรรมดาอื่นใด ทั้งโดยตรงหรือโดยอ้อม เช่น ชื่อ-สกุล เบอร์โทรศัพท์ ที่อยู่ อีเมล เลขบัตรประจำตัว ข้อมูลบันทึกที่ใช้ในการติดตามตรวจสอบกิจกรรมของบุคคล ข้อมูลตำแหน่งที่อยู่ ทะเบียนรถยนต์/จักรยานยนต์ เป็นต้น

“เอกสารข้อมูลส่วนบุคคล” หมายถึง เอกสารใด ๆ ซึ่งปรากฏข้อมูลส่วนบุคคล เช่น ใบบันทึกการส่งของของพนักงาน สำเนาบัตรประชาชน สำเนาทะเบียนบ้าน ใบสมัครสมาชิกมายโลตัสที่ลูกค้ากรอกข้อมูลแล้ว ใบกำกับภาษี เอกสารประกอบการคืนสินค้า เอกสารรับสินค้า เอกสารรายชื่อพนักงานส่งสินค้า ใบปะหน้า คำบันทึกการให้การ เอกสารลงทะเบียนเข้าศูนย์การค้า เป็นต้น

หลักการทั่วไป:

1. ท่านจะต้องจัดให้มีพื้นที่ในศูนย์การค้าที่สามารถปิดล็อคได้ เพื่อใช้สำหรับจัดเก็บเอกสารข้อมูลส่วนบุคคล โดยจะต้องพิจารณาให้พื้นที่ดังกล่าว เป็นพื้นที่เฉพาะซึ่งสามารถจำกัดบุคคลที่เข้าถึงยังพื้นที่ดังกล่าวได้ และ ควรจัดให้มีกล้องวงจรปิดครอบคลุมบริเวณดังกล่าว (ถ้ามี)

2. ในการจัดเก็บเอกสารข้อมูลส่วนบุคคล ท่านจะต้องคว่ำหน้าเอกสารด้านที่บันทึกข้อมูลส่วนบุคคลลง กรณีหากไม่สามารถหลีกเลี่ยงได้ ท่านจะต้องปะหน้าเอกสารส่วนบุคคลดังกล่าวด้วยเอกสารเปล่า หรือจัดใส่ซองเอกสารทันทีเมื่อใช้เอกสารข้อมูลส่วนบุคคลแล้วเสร็จ

3. ท่านจะต้องดูแล ไม่ให้เอกสารส่วนบุคคลอยู่ในบริเวณที่สามารถมองเห็นได้โดยทั่วไป ท่านจะต้องพิจารณาว่าเอกสารข้อมูลส่วนบุคคลจะถูกใช้งานเฉพาะกลุ่มพนักงานที่มีความจำเป็นจะต้องให้เอกสารข้อมูลส่วนบุคคลดังกล่าวในการปฏิบัติหน้าที่เพื่อบริษัทเท่านั้น

4. หมั่นตรวจสอบเอกสารข้อมูลส่วนบุคคลอยู่เสมอ กรณีหากไม่มีความจำเป็นจะต้องใช้เอกสารข้อมูลส่วนบุคคลดังกล่าวอีกต่อไป หรือเอกสารข้อมูลส่วนบุคคลดังกล่าวล่วงพ้นระยะเวลาการเก็บรักษาข้อมูลตามแนวทางปฏิบัติฉบับนี้ หรือนโยบายการจัดเก็บข้อมูล ท่านจะต้องทำลายเอกสารดังกล่าว ด้วยเครื่องทำลายเอกสาร หรือการฉีกทำลายเอกสารข้อมูลส่วนบุคคลทิ้ง

5. นอกจากเอกสารที่จำเป็นจะต้องบันทึกข้อมูลส่วนบุคคล ท่านจะต้องไม่จดบันทึกข้อมูลส่วนบุคคลของลูกค้าลงเอกสารใด ๆ และพิจารณาเก็บเอกสารส่วนบุคคลเท่าที่มีความจำเป็นและสามารถระบุวัตถุประสงค์ที่แน่นอนได้เท่านั้น

6. กรณีหากท่านพบเห็น หรือมีเหตุอันควรสงสัยว่าข้อมูลส่วนบุคคล หรือเอกสารข้อมูลส่วนบุคคล หายหรือมีการเปิดเผยไปยังบุคคลผู้ไม่มีส่วนเกี่ยวข้องในการใช้งานข้อมูลส่วนบุคคลดังกล่าว ท่านจะต้องรายงานไปยังผู้จัดการของท่าน หรือรายงานมายัง สายตรงโปร่งใส

ตัวอย่างเหตุอันควรรายงานเหตุการณ์ด้านข้อมูล

· กรณีท่านรับทราบว่าเอกสารข้อมูลส่วนบุคคลหาย

· กรณีที่มีการวางเอกสารข้อมูลส่วนบุคคลไว้ในสถานที่ที่ไม่ปลอดภัย หรือสถานที่ที่อาจเข้าถึงได้ทั่วไป

· การให้เอกสารข้อมูลส่วนบุคคลให้กับลูกค้า หรือพนักงานผิดราย

7. แจ้งลูกค้าหรือคู่ค้าหรือบุคคลที่มาติดต่อ ผู้ซึ่งนำส่งสำเนาบัตรประชาชนให้ขีดฆ่าด้วยการถมดำเพื่อปิดข้อมูลข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) เช่น ศาสนา หมู่โลหิต ที่ปรากฏอยู่บนสำเนาบัตรดังกล่าว ให้ไม่สามารถมองเห็นได้ ก่อนนำส่งสำเนาหรือเอกสารดังกล่าวด้วย เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และนโยบายคุ้มครองข้อมูลส่วนบุคคลของบริษัท

สถานที่และระยะเวลาในการจัดเก็บเอกสารข้อมูลส่วนบุคคล (ไม่รวมถึงเอกสารข้อมูลส่วนบุคคลพนักงาน)

การปรับปรุง: แนวทางปฏิบัติฉบับนี้จัดทำขึ้นในวันที่ 1 มิ.ย. 2564 และมีการปรับปรุงล่าสุดวันที่ 30 กันยายน 2565 ทั้งนี้ แนวทางปฏิบัตินี้อาจมีการเปลี่ยนแปลงไปตามความเหมาะสม

Privacy Team,
Business Integrity, CP Axtra Public Co., Ltd.

การขีดฆ่าด้วยการถมดำเพื่อปิดข้อมูลส่วนบุคคลที่มีความอ่อนไหว

เนื่องจากสำเนาและ/หรือภาพถ่ายบัตรประจำตัวประชาชน รวมถึงเอกสารแสดงตัวตน อาจมีข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) เช่น ศาสนา หมู่โลหิต ปรากฏอยู่บนสำเนาและ/หรือภาพถ่ายเอกสารดังกล่าว ซึ่งบริษัท ไม่มีวัตถุประสงค์และนโยบายในการเก็บรวมรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Data) ของคู่ค้า พันธมิตรทางธุรกิจ และ/หรือ ผู้เช่าพื้นที่ ที่ปรากฏอยู่บนเอกสารดังกล่าวแต่อย่างใด

ดังนั้น จึงขอเรียนแจ้งและขอความร่วมมือจากทุกท่านให้ทำการขีดฆ่าด้วยการถมดำเพื่อปิดข้อมูลข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data)ดังกล่าว ให้ไม่สามารถมองเห็นได้ ก่อนนำส่งสำเนาหรือเอกสารดังกล่าวด้วยเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และนโยบายคุ้มครอง