เมื่อเปิดเว็บไซต์ กรอกแบบฟอร์ม หรือเลือกใช้งานฟังก์ชันบางอย่าง อาจมีข้อมูลบางประเภทถูกส่งผ่านระบบโดยที่ผู้ใช้ไม่ได้สังเกตเห็นทั้งหมด คำถามสำคัญจึงไม่ใช่เพียงว่าเว็บไซต์เก็บข้อมูลอะไร แต่รวมถึงเก็บไปเพื่ออะไร ใครสามารถเข้าถึงได้ และเจ้าของข้อมูลมีสิทธิ์จัดการอย่างไร
สำหรับ JEDI2 นโยบายความเป็นส่วนตัวควรทำหน้าที่อธิบายกระบวนการเหล่านี้อย่างชัดเจน โดยใช้ภาษาที่เข้าใจง่าย ไม่ซ่อนรายละเอียดสำคัญไว้ภายใต้ถ้อยคำทางเทคนิคที่ซับซ้อน
เนื้อหาหน้านี้เป็นต้นฉบับนโยบายสำหรับปรับใช้กับเว็บไซต์ โดยส่วนที่เกี่ยวข้องกับกระบวนการจัดเก็บข้อมูลจริงต้องได้รับการยืนยันจากผู้ดำเนินงานก่อนเผยแพร่เป็นนโยบายอย่างเป็นทางการ
หลายคนอาจเข้าใจว่าเว็บไซต์จะได้รับข้อมูลส่วนบุคคลก็ต่อเมื่อผู้ใช้ลงทะเบียนหรือกรอกแบบฟอร์มเท่านั้น แต่ในทางปฏิบัติ การเข้าชมหน้าเว็บก็อาจเกี่ยวข้องกับข้อมูลทางเทคนิคบางประเภทได้
ตัวอย่างเช่น หมายเลข IP ประเภทอุปกรณ์ เบราว์เซอร์ หรือข้อมูลการเชื่อมต่อ ซึ่งอาจเป็นข้อมูลส่วนบุคคลได้ขึ้นอยู่กับบริบทและความสามารถในการระบุตัวบุคคล
อย่างไรก็ตาม การที่เว็บไซต์ทั่วไปสามารถเก็บข้อมูลประเภทเหล่านี้ได้ ไม่ได้หมายความว่า JEDI2 เก็บข้อมูลทั้งหมดดังกล่าวจริง
ผู้เข้าชมสามารถเริ่มจาก หน้าหลัก JEDI2 เพื่อศึกษาประเภทเนื้อหาที่เว็บไซต์จัดไว้ และใช้หน้านโยบายนี้ตรวจสอบการจัดการข้อมูลที่เกี่ยวข้องกับบริการเหล่านั้น
เพื่อให้เข้าใจง่ายขึ้น สามารถแบ่งข้อมูลที่เว็บไซต์ออนไลน์อาจประมวลผลออกเป็นกลุ่มตามลักษณะการใช้งาน
ประเภทข้อมูล | ตัวอย่าง | วัตถุประสงค์ที่อาจเกี่ยวข้อง |
|---|---|---|
ข้อมูลระบุตัวตน | ชื่อหรือข้อมูลติดต่อ | การติดต่อและจัดการบัญชี |
ข้อมูลทางเทคนิค | IP อุปกรณ์ เบราว์เซอร์ | ความปลอดภัยและการทำงานของระบบ |
ข้อมูลการใช้งาน | หน้าที่เข้าชม การตั้งค่า | การปรับปรุงประสบการณ์เว็บไซต์ |
ข้อมูลการติดต่อ | ข้อความสอบถาม | การตอบคำถามและจัดการข้อร้องเรียน |
ข้อมูลธุรกรรม | รายการและหลักฐานที่เกี่ยวข้อง | การตรวจสอบรายการเมื่อมีบริการดังกล่าว |
ตารางนี้แสดงประเภทข้อมูลที่ อาจ เกี่ยวข้องกับเว็บไซต์ ไม่ใช่คำยืนยันว่า JEDI2 เก็บข้อมูลทุกประเภท
ก่อนเผยแพร่ ผู้ควบคุมข้อมูลควรตรวจสอบระบบจริงและระบุรายการข้อมูลที่เก็บให้ครบถ้วน รวมถึงวัตถุประสงค์และฐานทางกฎหมายที่ใช้สำหรับแต่ละกิจกรรมการประมวลผล
การมีข้อมูลไม่ได้หมายความว่าเว็บไซต์สามารถนำข้อมูลนั้นไปใช้กับวัตถุประสงค์ใดก็ได้
การประมวลผลข้อมูลส่วนบุคคลควรมีวัตถุประสงค์ที่ชัดเจน มีฐานทางกฎหมายที่เหมาะสม และจำกัดการใช้ข้อมูลให้สอดคล้องกับวัตถุประสงค์ดังกล่าว
ตัวอย่างเช่น ข้อมูลที่ผู้ใช้ส่งมาเพื่อสอบถามปัญหาอาจจำเป็นสำหรับการตอบกลับ แต่ไม่ควรถูกนำไปใช้เพื่อส่งข้อความประชาสัมพันธ์โดยอัตโนมัติ หากไม่มีฐานทางกฎหมายรองรับ
ในส่วนของกิจกรรมที่มีการลงทะเบียนหรือขอข้อมูลผู้เข้าร่วม รายละเอียดควรสอดคล้องกับสิ่งที่ประกาศใน หน้ารวมโปรโมชั่นและกิจกรรม JEDI2
ผู้ใช้ควรทราบตั้งแต่ต้นว่าข้อมูลใดจำเป็น ข้อมูลใดเป็นทางเลือก และจะเกิดอะไรขึ้นหากไม่ให้ข้อมูลบางประเภท
Cookies เป็นข้อมูลขนาดเล็กที่เว็บไซต์อาจใช้เพื่อจดจำการตั้งค่า สนับสนุนการทำงานของระบบ หรือวิเคราะห์การเข้าชม
แต่ Cookies ไม่ได้มีวัตถุประสงค์เหมือนกันทุกประเภท
ตัวอย่างประเภท Cookies ที่อาจพบในเว็บไซต์
Cookies ที่จำเป็น
ช่วยสนับสนุนการทำงานพื้นฐานของเว็บไซต์ เช่น การรักษาสถานะการใช้งานและความปลอดภัย
Cookies เพื่อการวิเคราะห์
อาจใช้ศึกษาพฤติกรรมการเข้าชม เพื่อประเมินประสิทธิภาพและปรับปรุงเว็บไซต์
Cookies ด้านการตั้งค่าและการตลาด
อาจใช้จดจำความต้องการของผู้ใช้หรือสนับสนุนการนำเสนอเนื้อหาตามความสนใจ ขึ้นอยู่กับระบบที่ติดตั้ง
การใช้ Cookies บางประเภทอาจต้องได้รับความยินยอมก่อน ทั้งนี้ขึ้นอยู่กับวัตถุประสงค์ เทคโนโลยี และกฎหมายที่เกี่ยวข้อง
เว็บไซต์ควรมีวิธีให้ผู้ใช้จัดการตัวเลือกอย่างเหมาะสม และการถอนความยินยอมควรทำได้โดยไม่ยากเกินสมควร
เว็บไซต์ออนไลน์อาจต้องใช้ผู้ให้บริการภายนอกในบางส่วน เช่น ระบบโฮสติง ผู้ให้บริการด้านความปลอดภัย หรือระบบรับส่งข้อความ
หากบุคคลภายนอกเข้ามามีบทบาทเกี่ยวกับข้อมูลส่วนบุคคล ผู้ดำเนินงานควรตรวจสอบความเหมาะสมของผู้ให้บริการ กำหนดขอบเขตการประมวลผล และจัดให้มีมาตรการคุ้มครองที่สอดคล้องกับกฎหมาย
กรณีที่มีการส่งข้อมูลไปต่างประเทศ ก็ควรประเมินข้อกำหนดทางกฎหมายและมาตรการคุ้มครองที่เกี่ยวข้องก่อนดำเนินการ
รายละเอียดผู้ดำเนินงานและผู้รับผิดชอบเว็บไซต์ควรเชื่อมโยงกับข้อมูลที่เปิดเผยใน หน้าเกี่ยวกับเรา JEDI2 โดยชื่อองค์กรและช่องทางติดต่อต้องเป็นข้อมูลจริงที่ตรวจสอบได้
คำถามนี้ไม่มีคำตอบเดียวสำหรับข้อมูลทุกประเภท เพราะระยะเวลาการจัดเก็บควรพิจารณาจากวัตถุประสงค์ ความจำเป็น และภาระหน้าที่ตามกฎหมาย
ตัวอย่างเช่น ข้อมูลที่ใช้ตอบคำถามทั่วไปอาจไม่จำเป็นต้องเก็บในระยะเวลาเท่ากับเอกสารที่กฎหมายกำหนดให้จัดเก็บ
เมื่อข้อมูลหมดความจำเป็น เว็บไซต์ควรมีแนวทางลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ตามความเหมาะสม เว้นแต่มีเหตุทางกฎหมายที่อนุญาตหรือกำหนดให้เก็บต่อ
ก่อนเผยแพร่นโยบายฉบับจริง JEDI2 จำเป็นต้องกำหนดระยะเวลาเก็บรักษาหรือเกณฑ์ที่ใช้กำหนดระยะเวลาสำหรับข้อมูลแต่ละประเภทอย่างชัดเจน
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง เจ้าของข้อมูลอาจมีสิทธิ์หลายประการ โดยเงื่อนไขและข้อยกเว้นขึ้นอยู่กับกฎหมายที่บังคับใช้
สิทธิ์ที่ควรทำความเข้าใจ ได้แก่
สิทธิ์ในการเข้าถึงข้อมูล เพื่อขอทราบรายละเอียดข้อมูลส่วนบุคคลที่เกี่ยวข้องกับตน
สิทธิ์ในการแก้ไขข้อมูล เมื่อพบว่าข้อมูลไม่ถูกต้องหรือไม่เป็นปัจจุบัน
สิทธิ์ในการขอลบข้อมูล ภายใต้เงื่อนไขทางกฎหมายที่เกี่ยวข้อง
สิทธิ์ในการคัดค้านหรือจำกัดการประมวลผล ในกรณีที่กฎหมายรองรับ
สิทธิ์ในการถอนความยินยอม เมื่อการประมวลผลอาศัยความยินยอมเป็นฐาน
สิทธิ์ในการร้องเรียน ต่อหน่วยงานกำกับดูแลที่มีอำนาจตามกฎหมาย
ผู้ใช้ควรสามารถตรวจสอบขั้นตอนการใช้สิทธิ์ได้จากนโยบายฉบับจริง โดยไม่ต้องเปิดเผยข้อมูลเกินความจำเป็น
สำหรับประเด็นที่เกี่ยวกับสิทธิ์และหน้าที่ในการใช้บริการ ควรอ่าน ข้อตกลงและเงื่อนไข JEDI2 ประกอบกัน เพราะเอกสารทั้งสองมีวัตถุประสงค์แตกต่างกัน
ความปลอดภัยของข้อมูลไม่ได้ขึ้นอยู่กับผู้ให้บริการเพียงฝ่ายเดียว ผู้ใช้เองก็ควรระมัดระวังการเปิดเผยข้อมูลสำคัญด้วย
ตัวอย่างเช่น ไม่ใช้รหัสผ่านเดียวกันกับหลายบริการ หลีกเลี่ยงการส่งรหัสยืนยันผ่านข้อความส่วนตัว และตรวจสอบที่อยู่เว็บไซต์ก่อนกรอกข้อมูล
ส่วนผู้ดำเนินงานควรจัดให้มีมาตรการด้านเทคนิคและองค์กรที่เหมาะสมกับความเสี่ยง เช่น การควบคุมสิทธิ์เข้าถึง การเข้ารหัสเมื่อเหมาะสม การบันทึกเหตุการณ์ด้านความปลอดภัย และแนวทางรับมือการละเมิดข้อมูล
อย่างไรก็ตาม ไม่ควรอ้างว่า JEDI2 ใช้มาตรการใดแล้วจนกว่าจะมีการยืนยันจากผู้ดูแลระบบจริง
หากเกิดเหตุละเมิดข้อมูลที่เข้าเงื่อนไขการแจ้งตามกฎหมาย ผู้ควบคุมข้อมูลต้องดำเนินการแจ้งหน่วยงานที่เกี่ยวข้องและเจ้าของข้อมูลตามหลักเกณฑ์ที่ใช้บังคับ
การเผยแพร่บทความหรือรีวิวอาจมีข้อมูลของบุคคลอื่นปรากฏอยู่ เช่น ชื่อ รูปภาพ หรือข้อความแสดงความคิดเห็น
เว็บไซต์จึงควรพิจารณาว่ามีสิทธิ์นำข้อมูลนั้นมาเผยแพร่หรือไม่ และจำเป็นต้องปกปิดข้อมูลบางส่วนเพื่อคุ้มครองเจ้าของข้อมูลหรือไม่
สำหรับ หน้าประสบการณ์และรีวิวผู้ใช้ JEDI2 ควรแยกรีวิวที่ได้รับอนุญาตให้เผยแพร่จากตัวอย่างสมมติอย่างชัดเจน โดยไม่เปิดเผยข้อมูลระบุตัวบุคคลโดยไม่มีฐานทางกฎหมายรองรับ
เช่นเดียวกับข้อมูลผู้จัดทำบทความใน หน้าเกี่ยวกับผู้เขียน ซึ่งควรเผยแพร่เฉพาะรายละเอียดที่เจ้าของข้อมูลได้รับทราบและมีฐานทางกฎหมายที่เหมาะสม
การปรับเปลี่ยนบริการหรือเทคโนโลยีอาจทำให้แนวทางประมวลผลข้อมูลเปลี่ยนแปลงตามไปด้วย
เมื่อมีการเปลี่ยนแปลงที่มีสาระสำคัญ เว็บไซต์ควรทบทวนนโยบายและแจ้งรายละเอียดให้ผู้ใช้ทราบด้วยวิธีที่เหมาะสม
ในกรณีที่มีการนำข้อมูลไปใช้เพื่อวัตถุประสงค์ใหม่ ต้องตรวจสอบว่ามีฐานทางกฎหมายรองรับหรือจำเป็นต้องขอความยินยอมเพิ่มเติมหรือไม่
ไม่ควรถือว่าการเผยแพร่นโยบายฉบับใหม่เพียงอย่างเดียวเป็นการได้รับความยินยอมต่อการใช้ข้อมูลทุกประเภท
ยังไม่ได้รับการยืนยันรายการข้อมูลที่เก็บจริงจากผู้ดำเนินงาน บทความนี้จึงอธิบายประเภทข้อมูลที่เว็บไซต์ออนไลน์อาจประมวลผล ซึ่งต้องตรวจสอบและปรับให้ตรงกับระบบจริงก่อนเผยแพร่
เป็นไปได้ เนื่องจากเว็บไซต์อาจประมวลผลข้อมูลทางเทคนิค เช่น IP หรือข้อมูลเบราว์เซอร์ แต่ต้องตรวจสอบระบบที่ใช้งานจริงเพื่อยืนยันประเภทและวัตถุประสงค์ของข้อมูล
อาจสามารถใช้สิทธิ์ขอลบข้อมูลได้ตามเงื่อนไขของกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยอาจมีข้อยกเว้นในกรณีที่กฎหมายกำหนดให้เก็บข้อมูลไว้
ขึ้นอยู่กับวัตถุประสงค์และกฎหมายที่เกี่ยวข้อง Cookies ที่ไม่จำเป็นบางประเภทอาจต้องได้รับความยินยอมก่อนใช้งาน
ควรติดต่อผู้ควบคุมข้อมูลผ่านช่องทางทางการเพื่อขอแก้ไข พร้อมให้ข้อมูลที่จำเป็นสำหรับยืนยันคำขอ โดยไม่ส่งข้อมูลอ่อนไหวเกินความจำเป็น
เจ้าของข้อมูลอาจมีสิทธิ์ร้องเรียนต่อหน่วยงานกำกับดูแลที่เกี่ยวข้องตามกฎหมาย โดยควรตรวจสอบขั้นตอนและเขตอำนาจของหน่วยงานนั้นก่อนดำเนินการ
การคุ้มครองข้อมูลส่วนบุคคลไม่ควรเป็นเพียงข้อความที่แสดงไว้ท้ายเว็บไซต์ แต่ควรสะท้อนวิธีเก็บ ใช้ ดูแล และจัดการข้อมูลที่เกิดขึ้นจริง
สำหรับ JEDI2 นโยบายความเป็นส่วนตัวที่เหมาะสมจึงต้องอธิบายข้อมูลอย่างตรงไปตรงมา เปิดโอกาสให้เจ้าของข้อมูลใช้สิทธิ์ตามกฎหมาย และระบุผู้รับผิดชอบที่สามารถติดต่อได้
เมื่อมีการยืนยันเทคโนโลยีที่ใช้งาน ประเภทข้อมูล วัตถุประสงค์ ระยะเวลาการเก็บรักษา และผู้ควบคุมข้อมูลครบถ้วนแล้ว จึงควรนำร่างนี้ไปปรับเป็นนโยบายที่สอดคล้องกับการดำเนินงานจริงและกฎหมายที่เกี่ยวข้อง