บันทึกขอตกลงการประมวลผลขอมูล (Data Processing Agreement)

บันทึกขอตกลงการxxxxxxผลขอมูล (Data Processing Agreement)

(กรณีคณะฯ เปน processor เวอรชนั ๒ ฉบับแกไขxxxxxx ๑๗ เมษายน ๒๕๖๕)

ทําที่ ..........................................................

xxxxxx ............. เดือน .................. พ.ศ. ..............

บันทึกขอตกลงนี้ทําขึ้นระหวาง

บริษัท ........................................ มีสํานักงานตั้งxxxที่ ...................................................................

โด ย .. .. .. ... .. .. .. ... .. .. ... .. .. .. ... .. .. .. ... .. .. .. ... .. .. ... .. .. .. ... .. .. .. ... .. ตํ า แ ห น ง

........................................................................ เปนผูมีอํานาจลงนามผูกพัน ซึ่งตอไปในบันทึกขอตกลงนี้เรียกวา

“บริษัทฯ” กับ

มหาวิทยาลัยxxxxx (คณะแพทยศาสตรโรงพยาบาลรามาธิบดี) เลขที่ ๒๗๐ ถนนพระรามที่ ๖ แ ข ว ง ทุ งพ ญ า ไ ท เ ข ต ร า ช x x xx ก รุ ง เ ท พ ม ห า น ค ร ๑ ๐ ๔ ๐ ๐ โ ด ย

.............................................................................. ตําแหนง คณบดีคณะแพทยศาสตรโรงพยาบาลรามาธิบดี เปนผูมีอํานาจลงนามผูกพัน ซึ่งตอไปในบันทึกขอตกลงนี้เรียกวา “คณะฯ”

ตามxxxxxxxสองฝายไดทําสัญญา ฉบับลงxxxxxx

...................................... ทั้งสองฝายจึงตกลงทําบันทึกขอตกลงฉบับนี้ โดยใหบันทึกขอตกลงฉบับนี้เปนสวน หนึ่งของสัญญาดังกลาว ดังมีขอความตอไปนี้

บทนิยาม

ขอ ๑ หากไมไดมีการกําหนดไวเปนอยางอื่นในบันทึกขอตกลงนี้ ใหถอยคําในบันทึกขอตกลงน้ีมี ความหมายดังตอไปนี้

“ขอมูล” (data) หมายความวา สิ่งที่สื่อความหมายใหรูขอความ เรื่องราว ขอเท็จจริง ความเห็น หรือสิ่งใด ๆ ไมวาการสื่อความหมายนั้นจะทําไดโดยสภาพของสิ่งนั้นเองหรือโดยผานวิธีการใด ๆ และไมวาจะ จัดทําไวในรูปของเอกสาร แฟม รายงาน หนังสือ แผนผัง แผนที่ ภาพวาด ภาพถาย ฟลม การบันทึกภาพหรือ เสียง การบันทึกโดยเคร่ืองคอมพิวเตอร หรือวิธีอ่ืนใดที่ทําใหสิ่งที่บันทึกไวปรากฏได และใหหมายความรวมถึง ขอมูลอิเล็กทรอนิกสตามกฎหมายวาดวยธุรกรรมทางอิเล็กทรอนิกสดวย

“ขอมูลสวนบุคคล” (personal data) หมายถึง ขอมูลเกี่ยวกับบุคคลซึ่งทําใหxxxxxxระบุตัว บุคคลนั้นได ไมวาทางตรงหรือทางออม แตไมรวมถึงขอมูลของผูถึงแกกรรมโดยเฉพาะ

“เจาของขอมูลสวนบุคคล” (data subject) หมายถึง บุคคลธรรมดาซึ่งขอมูลสวนบุคคลเปน ขอมูลเกี่ยวกับผูนั้น และxxxxxxระบุตัวบุคคลนั้นได ไมวาทางตรงหรือทางออม และใหหมายความรวมถึงผูใช

-๒-

อํานาจxxxxxxxxxมีอํานาจกระทําการแทนผูxxxx ผูอนุบาลที่มีอํานาจกระทําการแทนคนไร ผูพิทักษที่มีอํานาจกระทําการแทนคนเสมือนไรความxxxxxxดวย

วามxxxxxx หรือ

“การxxxxxxผลขอมูล” (data processing) หมายxxx xxxกระทําอยางหนึ่งหรือหลายอยางxxxxx กระทําตอขอมูลหรือชุดขxxxx xxวาจะโดยวิธีการอัตโนมัติหรือไมก็ตาม ซึ่งรวมxxxxxxเก็บรวบรวม (collection) การบันทึก (recording) การจัดระบบ (organization) การจัดโครงสราง (structuring) การจัดเก็บหรือเก็บรักษา (storage) การดัดแปลงหรือการเปลี่ยนแปลงแกไข (adaptation or alteration) การคนคืน (retrieval) การ ปรึกษา (consultation) การใช (use) การเปดเผยโดยการสงผาน การเผยแพร หรือการทําใหพรอมใชงานโดย วิธีการอื่นใด (disclosure by transmission, dissemination or otherwise making available) การปรับแนว หรือการรวมเขากัน (alignment or combination) การจํากัด (restriction) การลบ (erasure) และการทําลาย (destruction)

“การลบ” (erasure) หมายxxx xxxทําใหขอมูลสวนบุคคลน้ันถูกลบออกจากระบบและไมอาจกู คืนได โดยเจาของขอมูลสวนบุคคลหรือคูสัญญาฝายหนึ่งฝายใด ทั้งนี้ ไมวาในเวลาใด ๆ

“ภัยคุกคามทางไซเบอร” (cyber threat) หมายความวา การกระทําหรือการดําเนินการใด ๆ โดยมิชอบ โดยใชคอมพิวเตอรหรือระบบคอมพิวเตอรหรือโปรแกรมไมพึงประสงคโดยมุงหมายใหxxxxxxx

ประทุษรายตอระบบคอมพิวเตอร ขอมูลคอมพิวเตอร หรือขอมูลอื่นที่เก่ียวของ และเปนภยันตรายที่ใกล ะถึง

ที่จะกอใหเกิดความเสียหายหรือสงผลกระทบตอการทํางานของคอมพิวเตอร ระบบคอมพิวเตอร หรือขอมูล อื่นที่เกี่ยวของ

“การละเมิดขอมูลสวนบุคคล” (personal data breach) หมายxxx xxxละเมิดมาตรการดาน ความมั่นคงปลอดภัย ที่นําไปสูการทําลาย (destruction) การสูญหาย (loss) การเปลี่ยนแปลงแกไข (alteration) การเปดเผยโดยมิชอบหรือโดยปราศจากอํานาจ (unauthorized disclosure) หรือการเขาถึง (access) ขอมูลสวนบุคคลxxxxxรับการสงผาน (transmitted) การจัดเก็บ (stored) หรือการxxxxxxผลโดย วิธีการอ่ืนใด (otherwise processed) ที่เกิดขึ้นโดยอุบัติเหตุ (accidental) หรือโดยมิชอบดวยกฎหมาย (unlawful) xxxxxxxเกิดxxxxxxคุกคามทางไซเบอร หรือเกิดจากการกระทําของบุคคลภายในหรือภายนอก หรือ เหตุอื่นใด

“บันทึกขอตกลง” หมายถึง บันทึกขอตกลงการxxxxxxผลขอมูลและเอกสารแนบทายบันทึก ขอตกลงนี้ (ถามี)

“สัญญา” หมายถึง xxxxx xxxxxxxxxxxx

......................................

ขอบเขตการบังคับใช

ขอ ๒ บันทึกขอตกลงนี้ ใชบังคับก

-๓-

การxxxxxxผลขอมูลสวนบุคคลระหวางบริษัทฯ และคณะฯ

เพ่ือใหมีการคุมครองขอมูลสวนบุคคลอยางเหมาะสม และกําหนดหนาที่ความรับผิดชอบของคูสัญญาอยาง เหมาะสม และเพื่อใหการดําเนินการxxxxxxxx เปนไป

ตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล โดยบันทึกขอตกลงนี้ถือเปนสวนหนึ่งของสัญญา

.................................................................................. และให

.....................................

ีผลใชบ

ังคับตั้งแตxxxxxx. ถึงxxxxxx

ความสัมพันธระหวางคูสัญญา

ขอ ๓ ในการxxxxxxผลขอมูลสวนบุคคลxxxxxxxxและบันทึกขอตกลงนี้

บริษัทฯ จะxxxในฐานะผูควบคุมขอมูลสวนบุคคล (controller) ตลอดระยะเวลาของสัญญา และ มีอํานาจหนาที่ตัดสินใจเก่ียวกับการเก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคล โดยบริษัทฯ ในฐานะผู ควบคุมขอมูลสวนบุคคลมีหนาท่ีตองปฏิบัติตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลที่มีผลใชบังคับกับ กรณี

คณะฯ จะxxxในฐานะผูxxxxxxผลขอมูลสวนบุคคล (processor) ตลอดระยะเวลาของสัญญา และดําเนินการเกี่ยวกับการเก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคลตามคําสั่งหรือในนามของบริษัทฯ และไมเปนผูควบคุมขอมูลสวนบุคคลในขอบเขตของสัญญาและบันทึกขอตกลงน้ี โดยคณะฯ ในฐานะผ xxxxxxผลขอมูลสวนบุคคลมีหนาที่ตองปฏิบัติตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลที่มีผลใชบังคับ กับกรณี

การxxxxxxผลขอมูลสวนบุคคล

ขอ ๔ บริษัทฯ ตระหนักและยอมรับวา การ xxx

xxxxx และบันทึกขอตกลงนี้ ถือเปนการมีคําสั่งใหคณะฯ

อาจทําการxxxxxxผลขอมูลสวนบุคคลดังตอไปนี้ไมวาทั้งหมดหรือเพียงบางสวน เทาท่ีจําเปนเพื่อการ ดําเนินการxxxxxxxxหรือตามกฎหมาย

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

ขอตกลงน

-๔-

- ขอมูลสวนบุคคลอื่นxxxxxมีการxxxxxxผลขอมูลสวนบุคคล เพื่อใหเปนไปxxxxxxxxและบันทึก

ขอ ๕ คณะฯ จะทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๔ เฉพาะเพื่อใหxxxxxวัตถุประสงคของ

สัญญาและกระบวนการอื่น ๆ ที่เกี่ยวของเทานั้น ซึ่งรวมถึงกรณีใดกรณีหนึ่งตอไปนี้

(๑) เมื่อ xxxxxxxxxในการxxxxxxผลขอมูลสวนบุคคลที่สอดคลอง

กับกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลดังในตาราง โดยถือเปนการที่บริษัทฯ มีคําสั่งใหคณะฯ อาจทํา การxxxxxxผลขอมูลสวนบุคคลตามขอ ๔ ได

วัตถุประสงค	ฐานในการxxxxxxผลขอมูลสวนบุคคล
(ก)
(ข)

(๒) เมื่อบุคลากร พนักงาน หรือลูกจางของบริษัทฯ ที่มีอํานาจหนาที่เกี่ยวกับการปฏิบัติxxxxxxxx ไดมีคําสั่งที่ชอบดวยกฎหมายใหคณะฯ ดําเนินการ และเปนคําสั่งxxxxxเกินวัตถุประสงคของสัญญา

(๓) เมื่อคณะฯ ไดรับคําส่งที่เปนลายลักษณxxxxxจากบริษัทฯ และเปนคําสั่งxxxxxเกินวัตถุประสงค

ของสัญญา

(๔) เม่ือคณะฯ มีเหตุจําเปนตองทําการxxxxxxผลขอมูลสวนบุคคลเพ่ือใหเปนไปตามกฎหมาย หรือ

กรณีอื่นที่xxxxxxกระทําไดตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล โดยจะตองแจงใหบริษัทฯ ทราบโดย ไมชักชาดวย

ขอ ๖ ในกรณีที่คณะฯ พิจารณาแลวเห็นวา การออกคําสั่งใหทาการํ xxxxxxผลขอมู ลสวนบุคคลตาม

ขอ ๕ นั้น เปนการออกคําสั่งที่ขัดตอกฎหมายหรือบทบัญญัติในการคุมครองขอมูลสวนบุคคลตามกฎหมายวาดวย การคุมครองขอมูลสวนบุคคล หรือxxxนอกเหนือไปจากวัตถุประสงคของสัญญา คณะฯ จะไมทําการxxxxxxผล ขอมูลสวนบุคคลตามคําสั่งน้ัน โดยไมถือวาเปนการกระทําผิดสัญญาหรือบันทึกขอตกลงนี้ และคณะฯ จะแจงให บริษัทฯ ทราบโดยพลนั

ในกรณีที่คณะฯ ทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๕ (๑) (๒) หรือ (๓) และปรากฏ ขอเท็จจริงวาการxxxxxxผลขอมูลสวนบุคคลดังกลาวขัดตอกฎหมายหรือบทบัญญัติในการคุมครองขอมูลสวน บุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล ความรับผิดในความเสียหายหรือการกระทําดังกลาว ใหเปนไปตามบันทึกขอตกลงนี้

ขอ ๗ เพื่อใหคณะฯ xxxxxxทําการxxxxxxผลขอมูลสวนบุคคลxxxxxxxxอยางถูกตองตาม

กฎหมาย บริษัทฯ ตกลงและรับรองวา กอนการเปดเผยขอมูลสวนบุคคลใหแกคณะฯ และกอนหรือในขณะที่ คณะฯ จะทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๕ บริษัทฯ ไดพิจารณาแลววา การxxxxxxผลขอมูลสวน บุคคลดังกลาว xxxxxในการxxxxxxผลขอมูลสวนบุคคล (lawful basis for processing personal data) ที่ สอดคลองกับกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล และในกรณีที่ตองไดรับความยินยอมจากเจาของ

-๕-

ขอมูลสวนบุคคล บริษัทฯ รับรองวา บริษัทฯ ไดขอความยินยอมจากเจาของขอมูลสวนบุคคลและไดรับความ ยินยอมโดยชอบดวยกฎหมายแลว ทั้งนี้ เวนแตจะเปนขอมูลสวนบุคคลท่ีบริษัทฯ ไดเก็บรวบรวมไวกอนxxxxxx กฎหมายวาดวยการคุมครองขอมูลสวนบุคคลใชบังคับ ซึ่งxxxxxxเก็บรวบรวมและใชขอมูลสวนบุคคลนั้นตอไปได ตามวัตถุประสงคเดิม

ขอ ๘ บริษัทฯ รับทราบและตกลงที่จะปฏิบัติหนาท่ีตามท่ีกฎหมายวาดวยการคุมครองขอมูลสวน

บุคคลกําหนดใหเปนหนาที่ความรับผิดชอบของผูควบคุมขอมูลสวนบุคคล ตลอดจนหนาที่ความรับผิดชอบตาม กฎหมายอื่น ซึ่งรวมถึง

(๑) การแจงรายละเอียดในการเก็บรวบรวมขอมูลสวนบุคคลใหเจาของขอมูลสวนบุคคลทราบกอน หรือในขณะเก็บรวบรวมขอมูลสวนบุคคล (privacy notice)

(๒) การxxxxxxผลขอมูลสวนบุคคลตามวัตถุประสงคxxxxxแจงเจาของข ขณะที่เก็บรวบรวม

มูลสวนบุคคลไวกอนหรือใน

(๓) การเก็บรวบรวมขอมูลสวนบุคคลจากแหลงอื่นxxxxxใชจากเจาของขอมูลสวนบุคคลโดยตรง

(๔) การใชหรือเปดเผยขอมูลสวนบุคคล

(๕) การสงหรือโอนขอมูลสวนบุคคลไปยังตางประเทศ

(๖) การดําเนินการที่เกี่ยวกับxxxxxของเจาของขอมูลสวนบุคคล

(๗) การจัดใหมีมาตรการรักษาความม่นxxปลอดภัยที่เหมาะสม เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ และการทบทวนมาตรการ ดังกลาวเมื่อมีความจําเปนหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อใหมีประสิทธิภาพในการรักษาความมั่นคง ปลอดภัยที่เหมาะสม ทั้งนี้ ตองเปนไปตามมาตรฐานขั้นต่ําที่คณะกรรมการคุมครองขอมูลสวนบุคคลประกาศ กําหนด

เปดเผยขอ

(๘) การดําเนินการเพื่อปองกันมิใหบุคคลหรือนิติบุคคลอ่ืxxxxxxใชผูควบคุมขอมูลสวนบุคคลใชหรือ มูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ ในกรณีที่ตองใหขอมูลสวนบุคคลแกผูนั้น

(๙) การจัดใหมีระบบการตรวจสอบเพ่ือดําเนินการลบหรือทําลายขอมูลสวนบุคคลเม่ือพนกําหนด

ระยะเวลาการเก็บรักษา หรือxxxxxเกี่ยวของหรือเกินความจําเปนตามวัตถุประสงคในการเก็บรวบรวมขอมูลสวน บุคคลนั้น หรือตามที่เจาของขอมูลสวนบุคคลรองขอ หรือที่เจาของขอมูลสวนบุคคลไดถอนความยินยอม เวนแตจะ เปนไปตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล

(๑๐) การแจงเหตุการละเมิดขอมูลสวนบุคคลแกสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคล และ/หรือเจาของขอมูลสวนบุคคล โดยไมชักชา ในกรณีท่ีกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลกําหนดให ดําเนินการ

-๖-

(๑๑) การแตงตั้งตัวแทนของผูควบคุมขอมูลสวนบุคคล (เฉพาะกรณีที่ผูควบคุมขอมูลสวนบุคคลอยู นอกราชอาณาจักร)

(๑๒) การจัดทําบันทึกรายการ (record of processing activities) เพื่อใหเจาของขอมูลสวนบุคคล และสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลxxxxxxตรวจสอบได

(๑๓) การจัดใหมีเจาหนาที่คุมครองขอมูลสวนบุคคล การแจงขอมูลเกี่ยวกับเจาหนาที่คุมครองขอมูล สวนบุคคลใหเจาของขอมูลสวนบุคคลและสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลทราบ และการ สนับสนุนการปฏิบัติหนาที่ของเจาหนาที่คุมครองขอมูลสวนบุคคล ในกรณีที่กฎหมายวาดวยการคุมครองขอมูล สวนบุคคลกําหนดใหดําเนินการ

ขอ ๙ คณะฯ รับทราบและตกลงที่จะปฏิบัติหนาที่ตามที่กฎหมายวาดวยการคุมครองขอมูลสวน

บุคคลกําหนดใหเปนหนาที่ความรับผิดชอบของผูxxxxxxผลขอมูลสวนบุคคล ตลอดจนหนาที่ความรับผิดชอบตาม กฎหมายอื่น ซึ่งรวมถึง

(๑) การดําเนินการเกี่ยวกับการxxxxxxผลขอมูลสวนบุคคลตามคําสั่งxxxxxร ับจากผูควบคุมขอมูลสวน บุคคลเทานั้น เวนแตคําสั่งนั้นขัดตอกฎหมายหรือบทบัญญัติในการคุมครองขอมูลสวนบุคคลตามกฎหมายวาดวย การคุมครองขอมูลสวนบุคคล

(๒) การจัดใหมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ รวมทั้งการแจงใหผูควบคุม ขอมูลสวนบุคคลทราบถึงเหตุการละเมิดขอมูลสวนบุคคลที่เกิดขึ้น

(๓) การจัดทําและเก็บรักษาบันทึกรายการของกิจกรรมการxxxxxxผลขอมูลสวนบุคคลไว ตาม กฎหมายวาดวยการคุมครองขอมูลสวนบุคคล

(๔) การจัดใหมีเจาหนาที่คุมครองขอมูลสวนบุคคล การแจงขอมูลเกี่ยวกับเจาหนาที่คุมครองขอมูล สวนบุคคลใหเจาของขอมูลสวนบุคคลและสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลทราบ และการ สนับสนุนการปฏิบัติหนาที่ของเจาหนาที่คุมครองขอมูลสวนบุคคล ในกรณีท่ีกฎหมายวาดวยการคุมครองขอมูล สวนบุคคลกําหนดใหดําเนินการ

ผูxxxxxxผลขอมูลสวนบุคคลชวง

ขอ ๑๐ เพื่อประโยชนในการปฏิบัติxxxxxxxx เมื่อมีความจําเปน คณะฯ อาจมอบหมายงาน เก่ียวกบการxxxxxxผลขอมูลสวนบุคคลทั้งหมดหรือแตบางสวนใหบุคคลอื่น (“ผูxxxxxxผลขอมูลสวนบุคคล ชวง”) ดําเนินการแทนหรือชวยสนับสนุนในการดําเนินการได ทั้งนี้ คณะฯ ยังตองเปนผูรับผิดชอบในงานxxxxx มอบหมายไปxxxxxxxxและบันทึกขอตกลงนี้ รวมถึงจะตองดําเนินการใหผูxxxxxxผลขอมูลสวนบุคคลชวง รับทราบและปฏิบัติตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล และสัญญาและบันทึกขอตกลงนี้ รวมทั้ง

-๗-

จะตองดําเนินการใหผูxxxxxxผลขอมูลสวนบุคคลชวงมีหนาที่ในการคุมครองขอมูลสวนบุคคลและจัดใหมี มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมในระดับxxxxxต่ํากวาหนาที่ความรับผิดชอบของคณะฯ ตาม บันทึกขอตกลงนี้

การขอใชxxxxxของเจาของขอมูลสวนบุคคลและการปฏิบัติตามกฎหมาย

ขอ ๑๑ คณะฯ จะใหความรวมมือ ชวยเหลือ และสนับสนุนใหบริษัทฯ xxxxxxเขาถึงขอมูลสวน บุคคลของเจาของขอมูลสวนบุคคลและตอบxxxxตอคําขอของเจาของขอมูลสวนบุคคลท่ีเปนการขอใชxxxxxของ

เจาของขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลxx xยในเวลาอันxxxxx

ขอ ๑๒ ในกรณีที่คณะฯ ไดรับคําขอจากเจาของขอมูลสวนบุคคลที่เปนการขอใชxxxxxของเจาของ ขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล คณะฯ ตองแจง ใหบริษัทฯ ทราบและสงคํา ขอนั้นตอไปยังบริษัทฯ โดยไมชักชา โดยจะไมทําการตอบxxxxตอคําขอดังกลาวเอง เวนแตจะมีการตกลงไว เปนอยางอื่น

ขอ ๑๓ คูสัญญาจะใหความรวมมือ ชวยเหลือ และสนับสนุนการดําเนินการที่เกี่ยวของของ

คูสัญญาอีกฝายหนึ่งตามxxxxx เพื่อใหคูสัญญาอีกฝายหนึ่งนั้นxxxxxxปฏิบัติใหเปนไปตามกฎหมายและ พันธกรณีตาง ๆ ได หรือในกรณีที่มีคําส่งโดยชอบดวยกฎหมายจากหนวยงานของรัฐหรือเจาหนาที่ของรัฐ เกี่ยวกับหนาที่ของคูสัญญา หรือเพื่อพิสูจนวาคูสัญญาไดปฏิบัติตามที่กฎหมายกําหนดและตามท่ีกําหนดใน สัญญาและบันทึกขอตกลงนี้ ในสวนท่ีเก่ียวกับการxxxxxxผลขอมูลสวนบุคคลและการคุมครองขอมูลสวน บุคคล

มาตรการรักษาความมั่นคงปลอดภัย

ขอ ๑๔ คณะฯ มีหนาที่จัดใหมีและธํารงรักษาไวซึ่งมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม xxxx xxxเปนมาตรการดานการบริหารจัดการขององคกร มาตรการดานกายภาพ มาตรการดา นเทคนิค และมาตรการอื่น ๆ ที่จําเปน เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจาก อํานาจหรือโดยมิชอบ สําหรับการxxxxxxผลขอมูลสวนบุคคลxxxxxxxxและบันทึกขอตกลงนี้ โดยจะตองเปนไป ตามมาตรฐานขั้นต่ําที่คณะกรรมการคุมครองขอมูลสวนบุคคลประกาศกําหนด

ขอ ๑๕ ในการกําหนดมาตรการตามขอ ๑๔ ใหคณะฯ คํานึงถึงหลักการบริหารความเสี่ยง โดยอยาง

นอยตองประกอบดวยวิธีการและมาตรการ ดังตอไปนี้ เทาที่จําเปนและเหมาะสมกับบริบท

(๑) Identify: การระบุความเสี่ยงxxxxxxจะเกิดขึ้นแกคอมพิวเตอร ขอมูลxxxxxxxเปนขอมูล อิเล็กทรอนิกสและขอมูลในรูปแบบอื่น ระบบคอมพิวเตอร ขอมูลอื่นที่เกี่ยวของกับระบบคอมพิวเตอร ทรัพยสิน และชีวิตรางxxxของบุคคล ในสวนที่เกี่ยวของกับการxxxxxxผลขอมูลสวนบุคคล

บุคคล

-๘-

(๒) Protect: มาตรการปองกันความเส่ียงxxxxxxจะเกิดขึ้น

(๓) Detect: มาตรการตรวจสอบและเฝาระวังภัยคุกคามทางไซเบอรและเหตุการละเมิดขอมูลสวน

(๔) Respond: มาตรการxxxxxเหตุเมื่อมีการตรวจพบภัยคุกคามทางไซเบอรหรือเหตุการละเมิด

ขอมูลสวนบุคคล

(๕) Recover: มาตรการรักษาและฟนฟูความxxxxxxxxxxเกิดxxxxxxคุกคามทางไซเบอรหรือเหตุการ ละเมิดขอมูลสวนบุคคล

ขอ ๑๖ มาตรการปองกันความเสี่ยงของคณะฯ ตามขอ ๑๕ (๒) ควรประกอบดวยมาตรการอยาง

นอยดังนี้ ในสวนที่เกี่ยวกับระบบสารสนเทศที่มีการxxxxxxผลขอมูลสวนบุคคล เทาที่xxxxxxจะกระทําได

(๑) มาตรการรักษาความมั่นคงปลอดภัยดานการบริหารจัดการ (administrative security) ซึ่งรวมxxx xxxกําหนดและสื่อสารนโยบายและแนวปฏิบัติในการคุมครองขอมูลสวนบุคคลและการรักษาความมั่นคงปลอดภัย ของระบบสารสนเทศ และการบริหารจัดการความเสี่ยงที่เกี่ยวของกับขอมูลสวนบุคคล

(๒) มาตรการรักษาความมั่นคงปลอดภัยดานกายภาพ (physical security) ของอุปกรณและ สวนxxxxxxxxxระบบสารสนเทศและขxxxxxxxจัดเก็บ

(๓) มาตรการรักษาความม่ันคงปลอดภัยดานผูใชงาน (user security) ซึ่งรวมxxxxxxฝกอบรมและ สรางเสริมความตระหนักรูและการดานความสําคัญของการคุมครองขอมูลสวนบุคคลและการรักษาความมั่นคง ปลอดภัย (security awareness training) แกบุคลากร พนักงาน ลูกจาง หรือบุคคลอ่ืx xxxเปนผูใชงานหรือ

ผูเกี วของกับระบบสารสนเทศและขอมูลสวนบุคคล การควบคุมการเขาถงขอมูึ ลสวนบุคคลและอุปกรณท่ีใชใ นการ

จัดเก็บและการxxxxxxผลขอมูลสวนบุคคล (access control) การกําหนดxxxxxในการเขาถึงขอมูลสวนบุคคลหรือ ระบบสารสนเทศ และการบริหารจัดการการเขาถึงของผูใชงาน (user access management) โดยคํานึงถึงบทบาท หนาที่ ความจําเปนในการใชงาน และความมั่นคงปลอดภัยเปนสําคัญ การกําหนดหนาที่ความรับผิดชอบของ ผูใชงาน (user responsibilities) เพื่อปองกันการเขาถึงขอมูลสวนบุคคลโดยไมไดรับอนุญาต การเปดเผย การลวงรู หรือการลักลอบทําสําเนาขอมูลสวนบุคคล หรือการลักขโมยอุปกรณท่ีใชในการจัดเก็บหรือการxxxxxxผลขอมูล สวนบุคคล และการจัดใหมีวิธีการเพื่อใหxxxxxxตรวจสอบยอนหลังเกี่ยวกับการเขาถึง เปลี่ยนแปลง ลบ หรือถาย โอนขอมูลสวนบุคคล (audit trails) ใหเหมาะสม

(๔) มาตรการรักษาความม่นxxปลอดภัยดานขอมูล (data security) ซึ่งรวมถึงมาตรการควบคุมการ เขาถึงขxxxxxxxเก็บรักษาไวอยางเหมาะสม และการสํารองขอมูล

(๕) มาตรการรักษาความมั่นคงปลอดภัยดานระบบสารสนเทศ (systems security) ซึ่งรวมxxxxxx ปรับปรุงระบบปฏิบัติการและแอปพลิเคชันของเครื่องคอมพิวเตอรแมขาย (server) ใหเปนปจจุบันxxxxxxx xxxตั้ง

-๙-

คาความมั่นคงปลอดภัย (security configurations) ที่เหมาะสม การมีระบบสํารอง และการปองxxxxxxคุกคาม จากมัลแวร

(๖) มาตรการรักษาความม่ันคงปลอดภัยดานสินทรัพยสารสนเทศ (asset security) ซึ่งรวมถึงความ มั่นคงปลอดภัยทางกายภาพและการปรับปรุงระบบปฏิบัติการและแอปพลิเคชันของเครื่องคอมพิวเตอรลูกขายและ อุปกรณตาง ๆ (endpoints) ที่ใชงานระบบสารสนเทศใหเปนปจจุบันxxxเสมอ และการปองxxxxxxคุกคาม จากมัลแวร

(๗) มาตรการรักษาความมั่นคงปลอดภัยดานซอฟตแวรและแอปพลิเคชัน (software and application security) ซึ่งรวมxxxxxxออกแบบและทดสอบความมั่นคงปลอดภัยของซอฟตแวรและแอปพลิเคชัน การประเมินและกํากับดูแลกระบวนการพัฒนาซอฟตแวร (software development process) ที่เหมาะสมโดย คํานึงถึงความเสี่ยงดานความมั่นคงปลอดภัยสารสนเทศ ไมวาจะเปนซอฟตแวรหรือแอปพลิเคชันที่พัฒนาเอง หรือ นํามาใชจากภายนอก หรือใหบุคคลภายนอกพัฒนาใหก็ตาม รวมท้ังกระบวนการบําxxxxxxxx (maintenance) ซอฟตแวรและแอปพลิเคชันที่เหมาะสม

(๘) มาตรการรักษาความมั่นคงปลอดภัยดานการส่ือสารและระบบเครือขาย (communication and network security) ซึ่งรวมถึงความมั่นคงปลอดภัยทางกายภาพของอุปกรณในระบบเครือขาย การออกแบบและ บริหารจัดการระบบเครือขายที่เหมาะสม การควบคุมการจราจรของขอมูลในระบบเครือขายโดยใช firewall การมี ระบบปองกันการโจมตี (intrusion prevention system) การปรับปรุงเฟรมแวร (firmware) และซอฟตแวรของ อุปกรณในระบบเครือขายใหเปนปจจุบัน และการเขารหัส (encryption) ของขxxxxxxxมีความxxxxxxxxxที่สงผานระบบ เครือขาย

ขอ ๑๗ คณะฯ จะตองทบทวนมาตรการตามขอ ๑๔ ขอ ๑๕ และขอ ๑๖ เม่ือมีความจําเปนหรือเมื่อ

เทคโนโลยีเปลี่ยนแปลงไปเพื่อใหมีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคํานึงถึง ความกาวหนาทางเทคโนโลยี คาใชจายในการดําเนินการ ลักษณะ ขอบเขต บริบท และวัตถุประสงคของการ xxxxxxผลขอมูลประกอบกัน

ขอ ๑๘ คณะฯ จะใชความxxxxxxตามxxxxxใหการเขาถึงและการxxxxxxผลขอมูลสวน

บุคคลจํากัดเฉพาะบุคลากร พนักงาน และลูกจางของคณะฯ หรือบุคคลxxxxxร ับมอบหมาย ซึ่งมีความจําเปนใน การเขาถึงหรือการxxxxxxผลขอมูลสวนบุคคลตามหลักความจําเปนในการเขาถึงขอมูล (need-to-know basis) เพื่อดําเนินการใหเปนไปxxxxxxxxและบันทึกขอตกลงนี้หรือเพื่อปฏิบัติการอื่นที่เปนไปตามกฎหมาย เทานั้น และดําเนินการใหบุคคลดังกลาวรักษาความลับในการxxxxxxผลขอมูลสวนบุคคล และปฏิบัติตาม หนาที่ความรับผิดชอบของคณะฯ ในสัญญาและบันทึกขอตกลงนี้

ขอ ๑๙ บริษัทฯ มีหนาที่จัดใหมีมาตรการร ษาความมน่ั xxปลอดภัยท่ีเหมาะสม เพื่อปองกันการ

สูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ สําหรับ

การxxxxxxผลข

-๑๐-

มูลสวนบุคคลในสวนที่xxxนอกเหนือความควบคุมและความรับผิดชอบของคณะฯ ตลอดจน

การxxxxxxผลขอมูลสวนบุคคลที่บริษัทฯ ดําเนินการ หรือบุคคลอื่นดําเนินการในนามบริษัทฯ เพื่อเปดเผย โดยการสงผาน การเผยแพร หรือการทําใหพรอมใชงานโดยวิธีการอื่นใด ใหแกคณะฯ กอนที่คณะฯ จะทําการ

xxxxxxผลขอมูลสวนบุคคลน ในสวนของตน

เหตุการละเมิดขอมูลสวนบุคคล (Personal Data Breaches)

ขอ ๒๐ คณะฯ มีหนาที่สอดสองดูแลและมีมาตรการตรวจสอบและเฝาระวัง (detective measures) การกระทําxxxxxxมีลักษณะเปนการเขาถึงหรือการxxxxxxผลขอมูลสวนบุคคลโดยปราศจาก อํานาจหรือโดยมิชอบตามxxxxx และเมื่อทราบเหตุการละเมิดขอมูลสวนบุคคล คณะฯ มีหนาที่ตอบxxxxตอ เหตุดังกลาวในเบื้องตนตามxxxxxเพื่อลดความเส่ียงหรือผลกระทบจากเหตุดังกลาว ตลอดจนเพ่ือรวบรวม ขอมูลจราจรทางคอมพิวเตอรและพยานหลักฐานที่เกี่ยวของสําหรับการดําเนินการตอไป

ขอ ๒๑ คณะฯ มีหนาที่แจงใหบริษัทฯ ทราบถึงเหตุการละเมิดขอมูลสวนบุคคลที่เกิดขึ้นจากการ

xxxxxxผลขอมูลสวนบุคคลในความรับผิดชอบของคณะฯ โดยไมชักชา ภายในสี่สิบแปดชั่วโมงนับแตทราบ เหตุเทาที่จะxxxxxxกระทําได เวนแตการละเมิดดังกลาวไมมีความเสี่ยงท่ีจะมีผลกระทบตอxxxxxและเสรีภาพ ของบุคคล โดยอยางนอยจะตองใหขอมูลตอไปนี้แกบริษัทฯ เปนลายลักษณxxxxxโดยเร็วเทาที่จะxxxxxx กระทําได

เปนไปได)

(๑) รายละเอียดของเหตุการละเมิดขอมูลสวนบุคคลที่เกิดขึ้น และผลxxxxxxเกิดขึ้น (๒) การดําเนินการxxxxxกระทําไปเพื่อตอบxxxxตอเหตุดังกลาว

(๓) ประเภทของขอมูลสวนบุคคลและเจาของขอมูลสวนบุคคลที่เกี่ยวของกับเหตุดังกลาว (หาก

(๔) ความเห็นตอเหตุดังกลาวและมาตรการที่ควรดําเนินการตอไป

ขอ ๒๒ การแจงเหตุการละเมิดขอมูลสวนบุคคลแกสํานักงานคณะกรรมการคุมครองขอมูลสวน

บุคคล และ/หรือเจาของขอมูลสวนบุคคล เปนหนาที่ความรับผิดชอบของบริษัทฯ ในฐานะผู วบคุมขอมูลสวน

บุคคล โดยคณะฯ ในฐานะผูxxxxxxผลขอมูลสวนบุคคล จะตองใหความรวมมืออยางเต็มที่เพื่อใหบริษัทฯ xxxxxxดําเนินการดังกลาว รวมทั้งการดําเนินการทางกฎหมายอยางอื่นที่เกี่ยวของได

ขอ ๒๓ หลังเกิดเหตุการละเมิดขอมูลสวนบุคคล คูสัญญามีหนาที่รับผิดชอบดําเนินการในสวน

ของตน เพื่อเยียวยาผูไดxxxxxกระทบจากเหตุดังกลาว และทบทวนและพิจารณาปรับปรุงมาตรการรักษาความ มั่นคงปลอดภัยเพื่อใหมีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสมและเพียงพอ

ขอ ๒๔ คูสัญญามีหนาที่ใหความรวมมือ ชวยเหลือ และสนับสนุนการดําเนินการที่เกี่ยวของของ

คูสัญญาอีกฝายหนึ่งตามxxxxx เพื่อใหคูสัญญาอีกฝายหนึ่งนั้นxxxxxxปองกัน เฝาระวัง ตรวจสอบ ตอบxxxx

-๑๑-

แกไข และฟนฟูจากเหตุการละเมิดขอมูลสวนบุคคล ตลอดจนเก็บรวบรวมขอมูลจราจรทางคอมพิวเตอรและ พยานหลักฐานที่เกี่ยวของ และดําเนินการตามกฎหมายที่เกี่ยวของในสวนของตนได

การสงหรือโอนขอมูลสวนบุคคลไปตางประเทศ (Cross-Border Data Transfer)

ขอ ๒๕ คณะฯ จะไมสงหรือโอน (transfer) ขอมูลสวนบุคคลไปตางประเทศหรือองคการ ระหวางประเทศ เวนแตจะไดรับความยินยอมจากบริษัทฯ เปนลายลักษณxxxxx หรือเปนไปตามกฎหมายวา ดวยการคุมครองขอมูลสวนบุคคล ทั้งนี้ ไมรวมxxxxxxสงผาน (transit) ขอมูลสวนบุคคลในตางประเทศ xxxxxมี การเขาถึงขอมูลสวนบุคคลโดยบุคคลอื่นนอกเหนือจากบุคลากร พนักงาน และลูกจางของคณะฯ หรือผู xxxxxxผลขอมูลสวนบุคคลชxx

xxxลบและการเก็บรักษาขอมูลสวนบุคคล

ขอ ๒๖ คณะฯ มีหนาที่ดําเนินการลบหรือทําลาย หรือทําใหขอมูลสวนบุคคลตามบันทึกขอตกลง

นี้ เปนขอมูลxxxxxxxxxxxระบุตัวบุคคลที่เปนเจ ของขอมูลสวนบุคคลได ภายในเวลา ป นับแตxxxxxxสัญญา

ส้ินสุดลง หรือเมื่อไมมีความจําเปนตองทําการxxxxxxผลขอมูลสวนบุคคลดังกลาวอีกตอไป หรือกรณีที่มีเหตุ อื่นตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล เวนแตจะไดรับอนุญาตเปนลายลักษณxxxxxจากบริษัทฯ ใหเก็บรักษาขอมูลดังกลาวไวนานกวาน้ัน และบริษัทฯ อาจขอใหคณะฯ แสดงหลักฐานตามxxxxxเพ่ือพิสูจน การดําเนินการ หรือมีหนังสือยืนยันและรับรองวาไดดําเนินการดังกลาวแลว

ขอ ๒๗ คณะฯ อาจเก็บรักษาขอมูลสวนบุคคลไวเพ่ือการกอตั้งxxxxxเรียกรองตามกฎหมาย การ

ปฏิบัติตามหรือการใชxxxxxเรียกรองตามกฎหมาย หรือการยกขึ้นตอสูxxxxxเรียกรองตามกฎหมาย หรือเพื่อการ ปฏิบัติตามกฎหมาย xxxxxขัดตอกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล

ขอ ๒๘ คณะฯ อาจเก็บรักษาขอมูลสวนบุคคลเทาที่จําเปนเพื่อแสดงxxxxxxปฏิบัติxxxxxxxx

และบันทึกขอตกลงนี้ได

ขอ ๒๙ เม่ือสัญญาสิ้นสุดลง หรือกอนท่ีคณะฯ จะดําเนินการลบหรือทําลาย หรือทําใหขอมูล สวนบุคคลตามบันทึกขอตกลงนี้ เปนขอมูลxxxxxxxxxxxระบุตัวบุคคลที่เปนเจาของขอมูลสวนบุคคลได บริษัทฯ อาจแจงใหคณะฯ สงสําเนาขอมูลสวนบุคคลตามบันทึกขอตกลงน้ีใหแกบริษัทฯ ได โดยไมกระทบตอxxxxxและ

หนาที่ของคณะฯ ในการเก็บร ษาขxxxxxxตามความจําเปนตามบันทึกขอตกลงน้ี โดยหนาที่ในการปฏิบัติการ

ใหเปนไปตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลและกฎหมายอ่ืน ตอการxxxxxxผลขอมูลสวน บุคคลของขอมูลสวนบุคคลที่คณะฯ สงใหบริษัทฯ เปนความรับผิดชอบของบริษัทฯ เอง

ขอ ๓๐ เมื่อสัญญาสิ้นสุดลง และ/หรือบันทึกขอตกลงนี้สิ้นสุดลง ในระหวางที่คณะฯ ยังไมได

ดําเนินการลบหรือทําลาย หรือทําใหขอมูลสวนบุคคลตามบันทึกขอตกลงน้ี เปนขอมูลxxxxxxxxxxxระบุตัว

-๑๒-

บุคคลที่เปนเจาของขอมูลสวนบุคคลได ตามขอ ๒๖ ใหคณะฯ ยังมีหนาที่ความรับผิดชอบตามบันทึกขอตกลงน

เทาที่จําเปนและไมขัดกับกฎหมาย เพ่ือประโยชนในการคุมครองขอมูลสวนบุคคลที่คณะฯ รับผิดชอบในฐานะ

ผูxxxxxxผลขอ มxx สวนบุคคล

ขอบเขตของความรับผิด

ขอ ๓๑ เวนแตจะกําหนดไวเปนอยางอื่น คณะฯ ไมตองรับผิดในความเสียหายหรือการกระทํา อันเกิดจากการปฏิบัติตามบันทึกขอตกลงนี้ หรือตามคําส่งของบริษัทฯ เพื่อใหxxxxxวัตถุประสงคในการ xxxxxxผลขอมูลสวนบุคคลxxxxxxxx

ขอ ๓๒ ในกรณีที่คณะฯ ตองรับผิดชดใชคาเสียหายหรือชําระคาปรับ อันเนื่องมาจากการปฏิบัติ

ตามบันทึกขอตกลง หรือตามคําส่งของบริษัทฯ เพื่อใหxxxxxวัตถุประสงคในการxxxxxxผลขอมูลสวนบุคคล xxxxxxxx ไมวาจะดวยเหตุใดก็ตาม คณะฯ มีxxxxxเรียกรองใหบริษัทฯ ชดใชเงินจํานวนดังกลาวใหแกคณะฯ เวนแตจะพิสูจนไดวาความรับผิดดังกลาวเปนการกระทําผิดโดยxxxxxหรือเปนความบกพรองของคณะฯ เอง

หรือผู ระมวลผลขอมxx สวนบุคคลชวงของคณะฯ

การเปลี่ยนแปลงแกไขบันทึกขอตกลง

ขอ ๓๓ กรณีที่จําเปนตองมีการเปลี่ยนแปลงแกไขบันทึกขอตกลงเพื่อใหคูสัญญาxxxxxxทําการ xxxxxxผลขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลตอไปไดอยางเหมาะสมและมี ประสิทธิภาพ ใหคูสัญญาฝายที่ประสงคจะแกไขเพิ่มเติมบันทึกขอตกลงนี้ แจงใหอีกฝายทราบลวงหนาเปนเวลา ไมนอยกวา ๓๐ วัน และเมื่อทั้งสองฝายใหความยินยอมในการแกไขxxxxxเติมแลว ใหจัดทําบันทึกขอตกลงฉบับ แกไขเพิ่มเติมเปนหนังสือ และลงนามผูกพันโดยผูมีอํานาจลงนามผูกพันนิติบุคคล และใหถือวาการแกไขเพิ่มเติม ดังกลาวเปนสวนหนึ่งของบันทึกขอตกลงนี้ โดยใหมีผลใชบังคับตั้งแตxxxxxxลงนามในบันทึกขอตกลงฉบับแกไข เพิ่มเติมนั้น เวนแตจะกําหนดเปนอยางอื่นในบันทึกขอตกลงฉบับแกไขดังกลาว

บันทึกขอตกลงนี้ทําขึ้นสองฉบับมีขอความถูกตองตรงกัน ท้งสองฝายไดอานและเขาใจบันทึก ขอตกลงนี้โดยละเอียดตลอดแลว เห็นวาตรงตามxxxxxรมณxxxxxใหไวตอกันทุกประการ จึงไดลงลายมือชื่อไว เปนสําคัญตอหนาพยานและแตละฝายตางไดยึดถือไวฝายละฉบับ

บริษัท ........................................
ลงชื่อ บริษัทฯ มหาวิทยาลัยxxxxx
ลงชื่อ คณะฯ

(...............................................................................)

-๑๓-

(...............................................................................)

........................................................................	........................................................................
บริษัท ........................................ ลงชื่อ พยาน (...............................................................................)	ลงชื่อ พยาน (...............................................................................)