คำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) สำนักงานคณะกรรมการอาหารและยา

1. ข้อมูลส่วนบุคคลคืออะไร

“ข้อมูลส่วนบุคคล” ในประกาศความเป็นส่วนตัว (Privacy Notice ) ฉบับนี้ หมายถึง ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ซึ่งอาจรวมถึงชื่อและข้อมูลทั่วไปของผู้ใช้งาน ข้อมูลการติดต่อ ข้อมูลส่วนตัว ข้อมูลที่ได้จากอุปกรณ์อิเล็กทรอนิกส์ ชื่อ-นามสกุล ภาพใบหน้า เลขประตัวพนักงาน หรือเลขที่อ้างอิงอื่นใด ที่สามารถระบุตัวเจ้าของข้อมูลส่วนบุคคลได้ โดยข้อมูลส่วนบุคคล ดังกล่าวอาจเก็บได้ในหลายรูปแบบ เช่น ในรูปแบบเอกสารที่เป็นกระดาษ หรือที่เก็บอยู่ในรูปแบบอิเล็กทรอนิกส์ในระบบสารสนเทศของอย.

ทั้งนี้ ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ซึ่งไม่อยู่ในนิยามของ “ข้อมูลส่วนบุคคล” ตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคค พ.ศ. ๒๕๖๒

2. หลักการคุ้มครองข้อมูลส่วนบุคคล

อย. จะปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังต่อไปนี้

2.1 หลักความชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส (Lawfulness, Fairness and Transparency) อย. มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยมีฐานทางกฎหมาย มีการแจ้งวัตถุประสงค์ ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวมและระยะเวลาในการเก็บรักษา

๒.2 หลักการจำกัดวัตถุประสงค์ (Purpose Limitation) อย. มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลภายใต้ขอบเขตและวัตถุประสงค์ที่อย. กำหนด และได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้แล้ว การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างจากวัตถุประสงค์ที่ได้แจ้งไว้จะกระทำไม่ได้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วหรือกฎหมายบัญญัติให้กระทำได้

2.3 หลักการเก็บรวบรวมข้อมูลส่วนบุคคลให้น้อยที่สุดเท่าที่จำเป็น (Data Minimization) อย. มีการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย

2.4 หลักความถูกต้องครบถ้วน (Accuracy) อย. จะต้องทำให้ข้อมูลส่วนบุคคลนั้นมีความครบถ้วน ถูกต้อง เป็นปัจจุบัน สมบูรณ์และไม่ก่อให้เกิดความเข้าใจผิด

2.5 หลักการเก็บรักษาข้อมูลส่วนบุคคลอย่างจำกัดระยะเวลา (Storage Limitation) อย. มีการกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล และดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล เมื่อพ้นระยะเวลาเก็บรักษาหรือเกินความจำเป็นตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ ยกเว้นกรณีที่มีกฎหมายกำหนด

2.6 หลักการรักษาความถูกต้องครบถ้วนและการรักษาความลับของข้อมูลส่วนบุคคล (Integrity and Confidentiality) อย. ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไขหรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

2.7 หลักความรับผิดชอบ (Accountability) อย. มีความรับผิดชอบต่อข้อมูลส่วนบุคคลและจะดำเนินการตามหลักการในข้อ ๑-๖

๓. ประเภทและข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย

๔. วัตถุประสงค์และฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

4.1 วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล

อย. จะเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมาย โดย อย.จะขอความยินยอม โดยชัดแจ้งจากท่านก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เพื่อวัตถุประสงค์ ดังต่อไปนี้

1. เพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐของอย. ซึ่งกำหนดไว้ตามกฎหมาย รวมถึง กฎ ระเบียบ คำสั่งและมติคณะรัฐมนตรีที่เกี่ยวข้อง

2. เพื่อการปฏิบัติหน้าที่ตามกฎหมาย อย. ในกรณีที่มีกฎหมายกำหนดให้ ต้องปฏิบัติเพื่อให้อย. สามารถปฏิบัติตามที่กฎหมายที่ควบคุม อย.

3. เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายระหว่างเจ้าของข้อมูลส่วนบุคคลกับอย. โดยประโยชน์ดังกล่าวมีความสำคัญไม่น้อยไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เช่น ในช่วงที่เจ้าของข้อมูลส่วนบุคคลสมัครลงทะเบียนขอรหัสผู้ใช้งานเพื่อขอรับบริการบนระบบสารสนเทศที่ให้บริการ

4. เพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นกับอย.

ยกเว้น แต่ในกรณีดังต่อไปนี้ อย.สามารถเก็บรวบรวมข้อมูลส่วนบุคคลของท่านได้โดยไม่ต้องขอความยินยอม

1. เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด

4.2 ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

อย. เก็บรวบรวมข้อมูลส่วนบุคคลของท่านตามความเหมาะสมและตามบริบทของการให้บริการ ทั้งนี้ ตามอำนาจหน้าที่ตามที่กฎหมายให้อำนาจไว้ เช่น ฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลที่อย. ใช้ ประกอบด้วย

๑. เพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐของอย.

๒. เพื่อการปฏิบัติหน้าที่ตามกฎหมาย

๓. เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย

๔. เป็นการจำเป็นเพื่อการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

๕. เพื่อการปฏิบัติตามสัญญา

๖. เพื่อการจัดทำเอกสารประวัติศาสตร์ วิจัยหรือสถิติที่สำคัญ

๗. ความยินยอมของท่าน

ในกรณีที่อย. มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของท่านเพื่อการปฏิบัติตามสัญญา การปฏิบัติหน้าที่ตามกฎหมาย หรือเพื่อความจำเป็นในการเข้าทำสัญญา หากท่านปฏิเสธไม่ให้ข้อมูลส่วนบุคคลหรือคัดค้านการดำเนินการประมวลผลตามวัตถุประสงค์ของกิจกรรม อาจมีผลทำให้อย.ไม่สามารถดำเนินการหรือให้บริการตามที่ท่านร้องขอได้ทั้งหมดหรือบางส่วน

๕. ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล

ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ร.บ.พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ.๒๕๒๖ และกฎหมายที่เกี่ยวข้อง อย. จะเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาที่จำเป็น เพื่อบรรลุวัตถุประสงค์ที่กำหนดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นๆ โดยระยะเวลาเก็บรักษา ข้อมูลส่วนบุคคลจะเปลี่ยนแปลงไปโดยขึ้นอยู่กับวัตถุประสงค์ที่กำหนดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หลังจากครบกำหนดระยะเวลาดังกล่าวข้างต้น อย. จะลบหรือทำลายข้อมูลส่วนบุคคล ดังกล่าว จากการจัดเก็บหรือระบบของอย. และผู้ซึ่งให้บริการแก่อย. (ถ้ามี) หรือทำให้ข้อมูลส่วนบุคคลของท่านเป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ เว้นแต่นิติสัมพันธ์ระหว่างท่านกับอย. ยังมิได้สิ้นสุดลง หรือ ข้อมูลส่วนบุคคลดังกล่าวจำเป็นต่อการก่อตั้งสิทธิเรียกร้องทางกฎหมายของอย. หรือกรณีมีข้อพิพาททั้งก่อนและในระหว่างดำเนินคดีทางศาลจนสิ้นสุดระยะเวลาบังคับคดีตามกฎหมาย

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคค พ.ศ. ๒๕๖๒ อย. มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับเจ้าของข้อมูลส่วนบุคคลไว้ให้อยู่ในสภาพที่สามารถใช้งานและ ตรวจสอบได้ไม่เกิน ๑๐ ปี นับแต่วันแรกที่มาขอรับบริการ เพื่อเป็นประโยชน์ในการให้บริการ ทั้งนี้ ทุก ๆ ปี อย. มีการทำลายข้อมูลส่วนบุคคลผู้รับบริการที่ไม่สามารถติดต่อและยืนยันตัวบุคคลได้ และข้อมูลอื่นที่หมดความจำเป็น แต่ก่อนการทำลายข้อมูลส่วนบุคคลของผู้รับบริการ อย. ยังคงเก็บรวบรวมข้อมูลของผู้รับบริการไว้ในรูปแบบที่สามารถอ้างอิงได้ในภายหลัง นอกจากนี้อย. มีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลเหล่านั้นไว้เพื่อเป็นพยานหลักฐานทางกฎหมายตลอดระยะเวลาตามอายุความของคดีที่อาจเกี่ยวข้องที่มีอายุความสูงสุด

สำหรับข้อมูลจราจรทางคอมพิวเตอร์ที่อย. เก็บรวบรวมจากการเข้าถึงและการใช้งานระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน และเว็บไซต์ ที่อย. ให้บริการแก่ผู้รับบริการ กฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์กำหนดให้ผู้ให้บริการต้องเก็บรักษาไว้ไม่น้อยกว่า ๙๐ วันนับแต่วันที่ข้อมูลนั้นเข้าสู่ระบบคอมพิวเตอร์ แต่ในกรณีจำเป็น พนักงานเจ้าหน้าที่จะสั่งให้ผู้ให้บริการผู้ใดเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้เกิน ๙๐ วันแต่ไม่เกิน ๒ ปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราวก็ได้ ดังนั้น อย. จะเก็บรวบรวมข้อมูลจราจรทางคอมพิวเตอร์ดังกล่าวไว้เป็นระยะเวลาไม่เกิน ๒ ปี เว้นแต่ กรณีที่อย. อาจต้องใช้ข้อมูลดังกล่าวเพื่อการตรวจสอบ พิสูจน์ บริหารจัดการความเสี่ยง วางแผน แก้ไขปัญหาที่เกี่ยวกับภัยคุกคามทางไซเบอร์หรือความเสี่ยงของระบบสารสนเทศ หรือใช้เป็นพยานหลักฐาน อย. อาจเก็บรวบรวมข้อมูลดังกล่าวไว้เป็นระยะเวลาเท่าที่จำเป็นแต่ไม่เกินระยะเวลาตามอายุความ ของคดีที่อาจเกี่ยวข้องที่มีอายุความสูงสุด

สำหรับข้อมูลส่วนบุคคลที่เป็นลักษณะของภาพ ภาพเคลื่อนไหว หรือเสียง ที่เก็บรวบรวมจากการ รับบริการหรือปรากฏตัวในพื้นที่ของอย. (เช่น จากกล้องวงจรปิด) อย. จะเก็บรวบรวมไว้เป็นระยะเวลาไม่เกิน 15 วัน นับจากวันที่เก็บรวบรวม เว้นแต่กรณีที่อย. อาจต้องใช้ข้อมูลดังกล่าวเพื่อการตรวจสอบ พิสูจน์ บริหารจัดการความเสี่ยง วางแผน แก้ไขปัญหาที่เกี่ยวกับการกระทำความผิด การป้องกันเหตุที่ไม่พึงประสงค์ หรือใช้เป็นพยานหลักฐาน อย. อาจเก็บรวบรวมข้อมูลดังกล่าวไว้เป็นระยะเวลาเท่าที่จำเป็นแต่ไม่เกินระยะเวลาตามอายุความของคดีที่อาจเกี่ยวข้องที่มีอายุความสูงสุด หรือกรณีที่ข้อมูลส่วนบุคคลดังกล่าวมีคุณค่าทางประวัติศาสตร์หรือจดหมายเหตุ หรือเป็นกรณีที่ควรเก็บรวบรวมไว้เป็นเวลานานเพื่อประโยชน์สาธารณะ หรือเป็นกรณีที่ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล อย. อาจเก็บรวบรวมไว้ตลอดไป

๖. ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย

อย. อาจเปิดเผยข้อมูลส่วนบุคคลของท่าน ภายใต้วัตถุประสงค์และตามหลักเกณฑ์ที่กฎหมายกำหนด ให้แก่บุคคลและหน่วยงานดังต่อไปนี้

๖.๑. หน่วยงานของรัฐที่มีหน้าที่กำกับดูแลตามกฎหมาย หรือที่ร้องขอให้เปิดเผยข้อมูลส่วนบุคคล โดยอาศัยอำนาจตามกฎหมาย หรือที่เกี่ยวข้องกับกระบวนการทางกฎหมาย หรือที่ได้รับอนุญาตตามกฎหมาย ที่เกี่ยวข้อง เช่น ศาล สำนักงานอัยการสูงสุด สำนักงานตำรวจแห่งชาติ สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ สภาผู้แทนราษฎร, วุฒิสภา, กรมสอบสวนคดีพิเศษ, สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ, สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตในภาครัฐ, สำนักงานการตรวจเงินแผ่นดิน, สำนักงานผู้ตรวจการแผ่นดิน, สำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติ, สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ, สำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ, สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ หรือหน่วยงานอื่นที่มี พนักงานสอบสวน เจ้าพนักงาน พนักงานฝ่ายปกครอง ตำรวจ หรือพนักงานเจ้าหน้าที่ที่มีหน้าที่และอำนาจ ดังกล่าวตามกฎหมาย เป็นต้น

๖.๒ บุคคลหรือหน่วยงานอื่นใดที่ท่านให้ความยินยอมให้เปิดเผยข้อมูลส่วนบุคคลของท่านต่อบุคคลหรือหน่วยงานนั้น ๆ

๖.๓ การเปิดเผยข้อมูลส่วนบุคคลของท่านให้กับบุคคลอื่น จะดำเนินการภายใต้วัตถุประสงค์ที่กำหนด หรือวัตถุประสงค์อื่นที่กฎหมายกำหนดให้กระทำได้เท่านั้น ในกรณีที่กฎหมายกำหนดว่าต้องได้รับความยินยอมจากท่าน อย. จะขอความยินยอมจากท่านก่อนตามหลักเกณฑ์ที่กฎหมายกำหนด

๖.๔ ในการเปิดเผยข้อมูลส่วนบุคคลของท่านให้กับบุคคลอื่น อย. จะจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคลที่ได้เปิดเผยและเพื่อปฏิบัติตามมาตรฐานและหน้าที่การคุ้มครองข้อมูลส่วนบุคคล ตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ ในกรณีที่อย. ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปต่างประเทศ อย. จะดำเนินการเพื่อทำให้แน่ใจว่าประเทศปลายทาง องค์การระหว่างประเทศ หรือผู้รับข้อมูลในต่างประเทศนั้นมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอหรือเพื่อทำให้แน่ใจว่าการส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปต่างประเทศเป็นไปตามหลักเกณฑ์ที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด โดยในบางกรณีอย. อาจขอความยินยอมของท่านสำหรับการส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศดังกล่าว

ทั้งนี้ อย. จะพิจารณาว่าการเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลหรือหน่วยงานดังกล่าว เป็นกรณีที่มีความจำเป็นและสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้อง และจะดำเนินการเพื่อป้องกันมิให้บุคคลหรือหน่วยงานนั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

๖.๕ ผู้ให้บริการคลาวด์ ผู้ให้บริการหรือพัฒนาระบบสารสนเทศ ระบบคอมพิวเตอร์ แอปพลิเคชัน และเว็บไซต์ ที่อย. ว่าจ้างเพื่อให้บริการแก่ผู้รับบริการ รวมถึงผู้ให้บริการหรือดำเนินการอย่างอื่นที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของอย. ถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ภายใต้ความรับผิดชอบของ อย. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งอย. จะมีข้อตกลงหรือสัญญาระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากอย. ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๗. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

อย. มีนโยบายรักษาความมั่นคงปลอดภัย ตาม (37) เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ

๘. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

๘.๑ สิทธิในการถอนความยินยอมที่เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเมื่อใดก็ได้ (Withdraw consent) ตามมาตรา ๑๙ วรรคห้าแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งนี้ ไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบ เฉพาะสำหรับข้อมูลส่วนบุคคลที่ได้เก็บรวบรวม ใช้ หรือเปิดเผยโดยใช้ฐานความยินยอม (consent) เป็นฐานทางกฎหมาย แต่ไม่รวมข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยได้โดยไม่ต้องขอความยินยอมตามมาตรา ๒๔ มาตรา ๒๖ และหรือมาตรา ๒๗ วรรคหนึ่ง

๘.๒ สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนหรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม (Right of Access) ตามมาตรา ๓๐ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๓ สิทธิขอรับข้อมูลส่วนบุคคลที่เกี่ยวกับตนได้ (Right to Data Portability) ในกรณีที่อย. ได้ทำให้ข้อมูลส่วนบุคคลนั้นอยู่ในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปได้ด้วยเครื่องมือหรืออุปกรณ์ ที่ทำงานได้โดยอัตโนมัติและสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้ด้วยวิธีการอัตโนมัติ รวมทั้งสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นเมื่อสามารถทำได้ด้วยวิธีการอัตโนมัติ และสิทธิขอรับข้อมูลส่วนบุคคลที่อย. ส่งหรือโอนข้อมูลส่วนบุคคลในรูปแบบดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้ ตามมาตรา ๓๑ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งนี้ ข้อมูลส่วนบุคคลดังกล่าวต้องเป็นข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือเป็นข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมเนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามมาตรา ๒๔ (๓) หรือเป็นข้อมูลส่วนบุคคลอื่นที่กำหนดในมาตรา ๒๔ ตามที่คณะกรรมการประกาศกำหนด ตามมาตรา ๓๑ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๔ สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ (Right to Object) โดยเป็นไปตามมาตรา ๓๒ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๕ สิทธิในการขอให้อย. ดำเนินการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (Right to Erasure or Right to Be Forgotten) ตามมาตรา ๓๓ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๖ สิทธิขอให้อย. ระงับการใช้ข้อมูลส่วนบุคคลได้ (Right to Restriction of Processing) ตามมาตรา ๓๔ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๗ สิทธิในการร้องขอให้อย. ดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด (Right to Rectification) ตามมาตรา ๓๖ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๘.๘ สิทธิร้องเรียน (Right to Complaint) ในกรณีที่อย. รวมทั้ง เลขาธิการ พนักงาน ลูกจ้าง นิสิต และนักศึกษาฝึกงานของอย. ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือประกาศที่ออกตามพระราชบัญญัติดังกล่าว ตามมาตรา ๗๓ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

อย. เคารพสิทธิของเจ้าของข้อมูลส่วนบุคคลภายใต้กฎหมายที่เกี่ยวข้อง ซึ่งเจ้าของข้อมูลส่วนบุคคล หรือผู้มีอำนาจกระทำการแทนสามารถติดต่ออย. ได้ที่ [email protected] เพื่อแจ้งความประสงค์ขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลดังกล่าวข้างต้นได้ โดยอย. จะดำเนินการพิจารณาคำร้องขอของท่าน และแจ้งผลให้ทราบภายใน 30 วันนับแต่วันที่ได้รับคำร้อง

ทั้งนี้ อย. อาจปฏิเสธการใช้สิทธิดังกล่าวข้างต้นของเจ้าของข้อมูลส่วนบุคคลได้หากเป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือกฎหมายอื่น

๙. ช่องทางการติดต่อสำนักงานและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

หากท่านมีข้อสงสัย ข้อเสนอแนะหรือข้อกังวลเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของ อย. หรือเกี่ยวกับนโยบายนี้ หรือท่านต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อสอบถามได้ที่

1. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สำนักงานคณะกรรมการอาหารและยา
88/24 ถนนติวานนท์ ตำบลตลาดขวัญ อำเภอเมือง จังหวัดนนทบุรี 11000 ช่องทางการติดต่อ : [email protected]
หมายเลขโทรศัพท์ : 0 2590 7000 ต่อ 97234

2. ผู้ควบคุมข้อมูลส่วนบุคคล สำนักงานคณะกรรมการอาหารและยา
88/24 ถนนติวานนท์ ตำบลตลาดขวัญ อำเภอเมือง จังหวัดนนทบุรี 11000 ช่องทางการติดต่อ : [email protected]
หมายเลขโทรศัพท์ : 0 2590 7000 ต่อ 97064