บันทึกขอตกลงการประมวลผลขอมูล (Data Processing Agreement)

บันทึกขอตกลงการxxxxxxผลขอมูล (Data Processing Agreement)

(กรณีทั้งสองฝายเปนทั้ง controller และ processor เวอรชัน ๒ ฉบับแกไขxxxxxx ๑๗ เมษายน ๒๕๖๕)

ทําที่ ..........................................................

xxxxxx ............. เดือน .................. พ.ศ. ..............

บันทึกขอตกลงนี้ทําขึ้นระหวาง

บริษัท ........................................ มีสํานักงานตั้งxxxที่ ...................................................................

โด ย .. .. .. ... .. .. .. ... .. .. ... .. .. .. ... .. .. .. ... .. .. .. ... .. .. ... .. .. .. ... .. .. .. ... .. ตํ า แ ห น ง

........................................................................ เปนผูมีอํานาจลงนามผูกพัน ซึ่งตอไปในบันทึกขอตกลงนี้เรียกวา

“บริษัทฯ” กับ

มหาวิทยาลัยxxxxx (คณะแพทยศาสตรโรงพยาบาลรามาธิบดี) เลขที่ ๒๗๐ ถนนพระรามที่ ๖ แ ข ว ง ทุ งพ ญ า ไ ท เ ข ต ร า ช x x xx ก รุ ง เ ท พ ม ห า น ค ร ๑ ๐ ๔ ๐ ๐ โ ด ย

.............................................................................. ตําแหนง คณบดีคณะแพทยศาสตรโรงพยาบาลรามาธิบดี เปนผูมีอํานาจลงนามผูกพัน ซึ่งตอไปในบันทึกขอตกลงนี้เรียกวา “คณะฯ”

ตามxxxxxxxสองฝายไดทําสัญญา ฉบับลงxxxxxx

...................................... ทั้งสองฝายจึงตกลงทําบันทึกขอตกลงฉบับนี้ โดยใหบันทึกขอตกลงฉบับนี้เปนสวน หนึ่งของสัญญาดังกลาว ดังมีขอความตอไปนี้

บทนิยาม

ขอ ๑ หากไมไดมีการกําหนดไวเ ปนอยางอื่นในบันทึกขอตกลงนี้ ใหถอยคําในบันทึกขอตกลงนี้มี ความหมายดังตอไปนี้

“ขอมูล” (data) หมายความวา สิ่งที่สื่อความหมายใหรูขอความ เรื่องราว ขอเท็จจริง ความเห็น หรือสิ่งใด ๆ ไมวาการสื่อความหมายนั้นจะทําไดโดยสภาพของสิ่งนั้นเองหรือโดยผานวิธีการใด ๆ และไมวาจะ จัดทําไวในรูปของเอกสาร แฟม รายงาน หนังสือ แผนผัง แผนท่ี ภาพวาด ภาพถาย ฟลม การบันทึกภาพหรือ เสียง การบันทึกโดยเครื่องคอมพิวเตอร หรือวิธีอื่นใดที่ทําใหส่ิงที่บันทึกไวปรากฏได และใหหมายความรวมถึง ขอมูลอิเล็กทรอนิกสตามกฎหมายวาดวยธุรกรรมทางอิเล็กทรอนิกสดวย

“ขอมูลสวนบุคคล” (personal data) หมายถึง ขอมูลเก่ียวกับบุคคลซ่ึงทําใหxxxxxxระบุตัว บุคคลนั้นได ไมวาทางตรงหรือทางออม แตไมรวมถึงขอมูลของผูถึงแกกรรมโดยเฉพาะ

“เจาของขอมูลสวนบุคคล” (data subject) หมายถึง บุคคลธรรมดาซึ่งขอมูลสวนบุคคลเปน ขอมูลเกี่ยวกับผูนั้น และxxxxxxระบุตัวบุคคลนั้นได ไมวาทางตรงหรือทางออม และใหหมายความรวมถึงผูใช

-๒-

อํานาจxxxxxxxxxมีอํานาจกระทําการแทนผูxxxx ผูอนุบาลที่มีอํานาจกระทําการแทนคนไร ผูพิทักษที่มีอํานาจกระทําการแทนคนเสมือนไรความxxxxxxดวย

วามxxxxxx หรือ

“การxxxxxxผลขอมูล” (data processing) หมายxxx xxxกระทําอยางหนึ่งหรือหลายอยางxxxxx กระทําตอขอมูลหรือชุดขxxxx xxวาจะโดยวิธีการอัตโนมัติหรือไมก็ตาม ซึ่งรวมxxxxxxเก็บรวบรวม (collection) การบันทึก (recording) การจัดระบบ (organization) การจัดโครงสราง (structuring) การจัดเก็บหรือเก็บรักษา (storage) การดัดแปลงหรือการเปลี่ยนแปลงแกไข (adaptation or alteration) การคนคืน (retrieval) การ ปรึกษา (consultation) การใช (use) การเปดเผยโดยการสงผาน การเผยแพร หรือการทําใหพรอมใชงานโดย วิธีการอื่นใด (disclosure by transmission, dissemination or otherwise making available) การปรับแนว หรือการรวมเขากัน (alignment or combination) การจํากัด (restriction) การลบ (erasure) และการทําลาย (destruction)

“การลบ” (erasure) หมายxxx xxxทําใหขอมูลสวนบุคคลนั้นถูกลบออกจากระบบและไมอาจกู คืนได โดยเจาของขอมูลสวนบุคคล ผูควบคุมขอมูลสวนบุคคล หรือผูxxxxxxผลขอมูลสวนบุคคล ทั้งนี้ ไมวา ในเวลาใด ๆ

“ภัยคุกคามทางไซเบอร” (cyber threat) หมายความวา การกระทําหรือการดําเนินการใด ๆ โดยมิชอบ โดยใชคอมพิวเตอรหรือระบบคอมพิวเตอรหรือโปรแกรมไมพึงประสงคโดยมุงหมายใหxxxxxxx ประทุษรายตอระบบคอมพิวเตอร ขอมูลคอมพิวเตอร หรือขอมูลอ่ืxxxxเก่ียวของ และเปนภยันตรายท่ีใกลจะถึง ท่ีจะกอใหเกิดความเสียหายหรือสงผลกระทบตอการทํางานของคอมพิวเตอร ระบบคอมพิวเตอร หรือขอมูล อื่นที่เกี่ยวของ

“การละเมิดขอมูลสวนบุคคล” (personal data breach) หมายxxx xxxละเมิดมาตรการดาน ความม่นxxปลอดภัย ที่นําไปสูการทําลาย (destruction) การสูญหาย (loss) การเปลี่ยนแปลงแกไข (alteration) การเปดเผยโดยมิชอบหรือโดยปราศจากอํานาจ (unauthorized disclosure) หรือการเขาถึง (access) ขอมูลสวนบุคคลxxxxxรับการสงผาน (transmitted) การจัดเก็บ (stored) หรือการxxxxxxผลโดย วิธีการอื่นใด (otherwise processed) ที่เกิดขึ้นโดยอุบัติเหตุ (accidental) หรือโดยมิชอบดวยกฎหมาย (unlawful) xxxxxxxเกิดxxxxxxคุกคามทางไซเบอร หรือเกิดจากการกระทําของบุคคลภายในหรือภายนอก หรือ เหตุอื่นใด

“บันทึกขอตกลง” หมายถึง บันทึกขอตกลงการxxxxxxผลขอมูลและเอกสารแนบทายบันทึก ขอตกลงนี้ (ถามี)

“สัญญา” หมายถึง xxxxx xxxxxxxxxxxx

......................................

-๓-

ขอบเขตการบังคับใช

ขอ ๒ บันทึกขอตกลงนี้ ใชบังคับกบั การxxxxxxผลขอมูลสวนบุคคลระหวางบริษัทฯ และคณะฯ เพ่ือใหมีการคุมครองขอมูลสวนบุคคลอยางเหมาะสม และกําหนดหนาที่ความรับผิดชอบของคูสัญญาอยาง เหมาะสม และเพื่อใหการดําเนินการxxxxxxxx เปนไป

ตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล โดยบันทึกขอตกลงนี้ถือเปนสวนหนึ่งของสัญญา

.................................................................................. และให

.....................................

ความสัมพันธระหวางคูสัญญา

ีผลใชบ

ังคับตั้งแตxxxxxx. ถึงxxxxxx

ข ๓ ในการxxxxxxผลขอมูลสวนบุคคลxxxxxxxxและบันทึกขอตกลงน

สําหรับการ คณะฯ จะxxxในฐานะ “ผูควบคุมขอมูล

สวนบุคคล” (controller) ตลอดระยะเวลาของสัญญา และมีอํานาจหนาที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคล โดยคณะฯ ในฐานะผูควบคุมขอมูลสวนบุคคลมีหนาที่ตองปฏิบัติตามกฎหมาย วาดวยการคุมครองขอมูลสวนบุคคลที่มีผลใชบังคับกับกรณี สวนบริษัทฯ จะxxxในฐานะ “ผูxxxxxxผลขอมูล สวนบุคคล” (processor) ตลอดระยะเวลาของสัญญา และดําเนินการเกี่ยวกับการเก็บรวบรวม ใช หรือ เปดเผยขอมูลสวนบุคคลตามคําสั่งหรือในนามของคณะฯ และไมเปนผูควบคุมขอมูลสวนบุคคลในขอบเขตของ สัญญาและบันทึกขอตกลงนี้ โดยบริษัทฯ ในฐานะผูxxxxxxผลขอมูลสวนบุคคลมีหนาที่ตองปฏิบัติตาม กฎหมายวาดวยการคุมครองขอมูลสวนบุคคลที่มีผลใชบงั คับกับกรณี

ในขณะที่สําหรับการ บริษัทฯ จะxxxในฐานะ “ผู

ควบคุมขอมูลสวนบุคคล” (controller) ตลอดระยะเวลาของสัญญา และมีอํานาจหนาที่ตัดสินใจเกี่ยวกับการ เก็บรวบรวม ใช หรือเปดเผยขอมูลสวนบุคคล โดยบริษัทฯ ในฐานะผูควบคุมขอมูลสวนบุคคลมีหนาที่ตอง ปฏิบัติตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลท่ีมีผลใชบังคับกับกรณี สวนคณะฯ จะอยูในฐานะ “ผู xxxxxxผลขอมูลสวนบุคคล” (processor) ตลอดระยะเวลาของสัญญา และดําเนินการเกี่ยวกับการเก็บ รวบรวม ใช หรือเปดเผยขอมูลสวนบุคคลตามคําสั่งหรือในนามของบริษัทฯ และไมเปนผูควบคุมขอมูลสวน บุคคลในขอบเขตของสัญญาและบันทึกขอตกลงน้ี โดยคณะฯ ในฐานะผูxxxxxxผลขอมูลสวนบุคคลมีหนาที่ ตองปฏิบัติตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลที่มีผลใชบังคับกับกรณี

การxxxxxxผลขอมูลสวนบุคคล

-๔-

ข อ ๔ ผู ค ว บ คุ ม ข อ มู ล ส ว น บุ ค ค ล ต ร ะ ห นั ก แ ล ะ ย อ ม รั บ ว า ก า ร

................................................................... xxxxxxxx และ

บันทึกขอตกลงนี้ ถือเปนการมีคําสั่งใหผูxxxxxxผลขอมูลสวนบุคคลอาจทําการxxxxxxผลขอมูลสวนบุคคล ดังตอไปนี้ไมวาทั้งหมดหรือเพียงบางสวน เทาที่จําเปนเพื่อการดําเนินการxxxxxxxxหรือตามกฎหมาย

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูล ...........................................................................

- ขอมูลสวนบุคคลอื่นxxxxxมีการxxxxxxผลขอมูลสวนบุคคล เพ่ือใหเปนไปxxxxxxxxและบันทึก

ขอตกลงน

ขอ ๕ ผูxxxxxxผลขอมูลสวนบุคคลจะทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๔ เฉพาะเพ่ือให

xxxxxวัตถุประสงคของสัญญาและกระบวนการอื่น ๆ ที่เกี่ยวของเทานั้น ซึ่งรวมถึงกรณีใดกรณีหนึ่งตอไปนี้

(๑) เมื่อ xxxxxxxxxในการxxxxxxผลขอมูลสวนบุคคลที่สอดคลอง

กับกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลดังในตาราง โดยถือเปนการที่ผูควบคุมขอมูลสวนบุคคลมีคําสั่ง

ใหผูxxxxxxผลขอมxx สวนบุคคลอาจทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๔ ได

วัตถุประสงค	ฐานในการxxxxxxผลขอมูลสวนบุคคล
(ก)
(ข)

(๒) เม่ือบุคลากร พนักงาน หรือลูกจางของผูควบคุมขอมูลสวนบุคคลที่มีอํานาจหนาที่เกี่ยวกับการ

ปฏิบัติxxxxxxxxไดมีคําสั่งท่ีชอบดวยกฎหมายใหผูxxxxxxผลขอมูลสวนบุคคลดําเนินการ และเปนคําส่ังxxxxxเกิน วัตถุประสงคของสัญญา

(๓) เมื่อผูxxxxxxผลขอมูลสวนบุคคลไดรับคําสั่งที่เปนลายลักษณxxxxxจากผูควบคุมขอมูลสวน บุคคลและเปนคําสั่งxxxxxเกินวัตถุประสงคของสัญญา

(๔) เมื่อผูxxxxxxผลขอมูลสวนบุคคลมีเหตุจําเปนตองทําการxxxxxxผลขอมูลสวนบุคคลเพื่อให เปนไปตามกฎหมาย หรือกรณีอ่ืxxxxxxxxxxกระทําไดตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล โดยจะตอง แจงใหผูควบคุมขอมูลสวนบุคคลทราบโดยไมชักชาดวย

ขอ ๖ ในกรณีที่ผูxxxxxxผลขอมูลสวนบุคคลพิจารณาแลวเห็นวา การออกคําสั่งใหทําการ

xxxxxxผลขอมูลสวนบุคคลตามขอ ๕ นั้น เปนการออกคําสั่งที่ขัดตอกฎหมายหรือบทบัญญัติในการคุมครองขอมูล สวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล หรือxxxนอกเหนือไปจากวัตถุประสงคของสัญญา ผู

-๕-

xxxxxxผลขอมูลสวนบุคคลจะไมทําการxxxxxxผลขอมูลสวนบุคคลตามคําสั่งนั้น โดยไมถือวาเปนการกระทําผิด

สัญญาหรือบันทึกขอตกลงนี้ และผู ระมวลผลขอมูลสวนบุคคลxxxxx ใหผูควบคุมขอมูลสวนบุคคลทราบโดยxxxx

ในกรณีท่ีผูxxxxxxผลขอมูลสวนบุคคลทําการxxxxxxผลขอมูลสวนบุคคลตามขอ ๕ (๑) (๒) หรือ (๓) และปรากฏขอเท็จจริงวาการxxxxxxผลขอมูลสวนบุคคลดังกลาวขัดตอกฎหมายหรือบทบัญญัติใน การคุมครองขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล ความรับผิดในความเสียหาย หรือการกระทําดังกลาวใหเปนไปตามบันทึกขอตกลงนี้

ขอ ๗ เพื่อใหผูxxxxxxผลขอมูลสวนบุคคลxxxxxxทําการxxxxxxผลขอมูลสวนบุคคลxxxxxxxx

อยางถูกตองตามกฎหมาย ผูควบคุมขอมูลสวนบุคคลตกลงและร รองวา กอนการเป ดเผยขอมูลสวนบุคคลใหแกผ

xxxxxxผลขอมูลสวนบุคคล และกอนหรือในขณะท่ีผูxxxxxxผลขอมูลสวนบุคคลจะทําการxxxxxxผลขอมูล สวนบุคคลตามขอ ๕ ผูควบคุมขอมูลสวนบุคคลไดพิจารณาแลววา การxxxxxxผลขอมูลสวนบุคคลดังกลาว xx xxxในการxxxxxxผลขอมูลสวนบุคคล (lawful basis for processing personal data) ท่ีสอดคลองกับ กฎหมายวาดวยการคุมครองขอมูลสวนบุคคล และในกรณีท่ีตองไดรับความยินยอมจากเจาของขอมูลสวนบุคคล ผูควบคุมขอมูลสวนบุคคลรับรองวา ผูควบคุมขอมูลสวนบุคคลไดขอความยินยอมจากเจาของขอมูลสวนบุคคล และไดรับความยินยอมโดยชอบดวยกฎหมายแลว ทั้งน้ี เวนแตจะเปนขอมูลสวนบุคคลที่ผูควบคุมขอมูลสวน บุคคลไดเก็บรวบรวมไวกอนxxxxxxกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลใชบังคับ ซึ่งxxxxxxเก็บรวบรวม และใชขอมูลสวนบุคคลนั้นตอไปไดตามวัตถุประสงคเดิม

ขอ ๘ ผูควบคุมขอมูลสวนบุคคลรับทราบและตกลงที่จะปฏิบัติหนาที่ตามที่กฎหมายวาดวยการ

คุมครองขอมูลสวนบุคคลกําหนดใหเปนหนาที่ความรบั ผิดชอบของผูควบคุมขอมูลสวนบุคคล ตลอดจนหนาที่ความ รับผิดชอบตามกฎหมายอื่น ซึ่งรวมถึง

(๑) การแจงรายละเอียดในการเก็บรวบรวมขอมูลสวนบุคคลใหเจาของขอมูลสวนบุคคลทราบกอน หรือในขณะเก็บรวบรวมขอมูลสวนบุคคล (privacy notice)

(๒) การxxxxxxผลขอมูลสวนบุคคลตามวัตถุประสงคxxxxxแจงเจาของข ขณะท่ีเก็บรวบรวม

มูลสวนบุคคลไวกอนหรือใน

(๓) การเก็บรวบรวมขอมูลสวนบุคคลจากแหลงอื่นxxxxxใชจากเจาของขอมูลสวนบุคคลโดยตรง

(๔) การใชหรือเปดเผยขอมูลสวนบุคคล

(๕) การสงหรือโอนขอมูลสวนบุคคลไปยังตางประเทศ

(๖) การดําเนินการที่เกี่ยวกับxxxxxของเจาของขอมูลสวนบุคคล

(๗) การจัดใหมีมาตรการรักษาความม่นxxปลอดภัยที่เหมาะสม เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ และการทบทวนมาตรการ ดังกลาวเมื่อมีความจําเปนหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อใหมีประสิทธิภาพในการรักษาความมั่นคง

-๖-

ปลอดภัยที่เหมาะสม ทั้งนี้ ตองเปนไปตามมาตรฐานขั้นต่ําที่คณะกรรมการคุมครองขอมูลสวนบุคคลประกาศ กําหนด

เปดเผยขอ

(๘) การดําเนินการเพื่อปองกันมิใหบุคคลหรือนิติบุคคลอ่ืxxxxxxใชผูควบคุมขอมูลสวนบุคคลใชหรือ มูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ ในกรณีที่ตองใหขอมูลสวนบุคคลแกผูนั้น

(๙) การจัดใหมีระบบการตรวจสอบเพ่ือดําเนินการลบหรือทําลายขอมูลสวนบุคคลเมื่อพนกําหนด

ระยะเวลาการเก็บรักษา หรือxxxxxเก่ียวของหรือเกินความจําเปนตามวัตถุประสงคในการเก็บรวบรวมขอมูลสวน บุคคลนั้น หรือตามที่เจาของขอมูลสวนบุคคลรองขอ หรือที่เจาของขอมูลสวนบุคคลไดถอนความยินยอม เวนแตจะ เปนไปตามกฎหมายวาดว ยการคุมครองขอมูลสวนบุคคล

(๑๐) การแจงเหตุการละเมิดขอมูลสวนบุคคลแกสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคล และ/หรือเจาของขอมูลสวนบุคคล โดยไมชักชา ในกรณีที่กฎหมายวาดวยการคุมครองขอมูลสวนบุคคลกําหนดให ดําเนินการ

(๑๑) การแตงตั้งตัวแทนของผูควบคุมขอมูลสวนบุคคล (เฉพาะกรณีที่ผูควบคุมขอมูลสวนบุคคลxxx นอกราชอาณาจักร)

(๑๒) การจัดทําบันทึกรายการ (record of processing activities) เพื่อใหเจาของขอมูลสวนบุคคล และสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลxxxxxxตรวจสอบได

(๑๓) การจัดใหมีเจาหนาท่ีคุมครองขอมูลสวนบุคคล การแจงขอมูลเกี่ยวกับเจาหนา ที่คุมครองขอมูล สวนบุคคลใหเจาของขอมูลสวนบุคคลและสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลทราบ และการ สนับสนุนการปฏิบัติหนาที่ของเจาหนาที่คุมครองขอมูลสวนบุคคล ในกรณีที่กฎหมายวาดวยการคุมครองขอมูล สวนบุคคลกําหนดใหดําเนินการ

ขอ ๙ ผูxxxxxxผลขอมูลสวนบุคคลรับทราบและตกลงที่จะปฏิบัติหนาท่ีตามที่กฎหมายวาดวยการ

คุมครองขอมูลสวนบุคคลกําหนดใหเปนหนาที่ความรับผิดชอบของผูxxxxxxผลขอมูลสวนบุคคล ตลอดจนหนาที่ ความรับผิดชอบตามกฎหมายอื่น ซึ่งรวมถึง

(๑) การดําเนินการเกี่ยวกับการxxxxxxผลขอมูลสวนบุคคลตามคําสั่งxxxxxรับจากผูควบคุมขอมูลสวน บุคคลเทานั้น เวนแตคําสั่งนั้นขัดตอกฎหมายหรือบทบัญญัติในการคุมครองขอมูลสวนบุคคลตามกฎหมายวาดวย การคุมครองขอมูลสวนบุคคล

(๒) การจัดใหมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ รวมทั้งการแจงใหผูควบคุม ขอมูลสวนบุคคลทราบถึงเหตุการละเมิดขอมูลสวนบุคคลที่เกิดขึ้น

(๓) การจัดทําและเก็บรักษาบันทึกรายการของกิจกรรมการxxxxxxผลขอมูลสวนบุคคลไว ตาม กฎหมายวาดวยการคุมครองขอมูลสวนบุคคล

-๗-

(๔) การจัดใหมีเจาหนาที่คุมครองขอมูลสวนบุคคล การแจงขอมูลเกี่ยวกับเจาหนาที่คุมครองขอมูล สวนบุคคลใหเจาของขอมูลสวนบุคคลและสํานักงานคณะกรรมการคุมครองขอมูลสวนบุคคลทราบ และการ สนับสนุนการปฏิบัติหนาที่ของเจาหนาที่คุมครองขอมูลสวนบุคคล ในกรณีที่กฎหมายวาดวยการคุมครองขอมูล สวนบุคคลกําหนดใหดําเนินการ

ผูxxxxxxผลขอมูลสวนบุคคลชวง

ขอ ๑๐ เพื่อประโยชนในการปฏิบัติxxxxxxxx เมื่อมีความจําเปน ผูxxxxxxผลขอมูลสวนบุคคล อาจมอบหมายงานเกี่ยวกับการxxxxxxผลขอมูลสวนบุคคลทั้งหมดหรือแตบางสวนใหบุคคลอื่น (“ผู xxxxxxผลขอมูลสวนบุคคลชวง”) ดําเนินการแทนหรือชวยสนับสนุนในการดําเนินการได ทั้งนี้ ผูxxxxxxผล ขอมูลสวนบุคคลยังตองเปนผูรับผิดชอบในงานxxxxxมอบหมายไปxxxxxxxxและบันทึกขอตกลงนี้ รวมถึง จะตองดําเนินการใหผูxxxxxxผลขอมูลสวนบุคคลชวงรับทราบและปฏิบัติตามกฎหมายวาดวยการคุมครอง ขอมูลสวนบุคคล และสัญญาและบันทึกขอตกลงนี้ รวมทั้งจะตองดําเนินการใหผูxxxxxxผลขอมูลสวนบุคคล ชวงมีหนาที่ในการคุมครองขอมูลสวนบุคคลและจัดใหมีมาตรการรักษาความม่ันคงปลอดภัยที่เหมาะสมใน

ระดับxxxxxต่ํากวาหนาที่ความรับผิดชอบของผxxxxxxผลขอมxx สวนบุคคลตามบันทึกขอตกลงน

การขอใชxxxxxของเจาของขอมูลสวนบุคคลและการปฏิบัติตามกฎหมาย

ขอ ๑๑ ผูxxxxxxผลขอมูลสวนบุคคลจะใหความรวมมือ ชวยเหลือ และสนับสนุนใหผูควบคุม ขอมูลสวนบุคคลxxxxxxเขาถึงขอมูลสวนบุคคลของเจาของขอมูลสวนบุคคลและตอบxxxxตอคําขอของเจาของ ขอมูลสวนบุคคลที่เปนการขอใชxxxxxของเจาของขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวน

บุคคลxx

xยในเวลาอันxxxxx

ขอ ๑๒ ในกรณีท่ีผูxxxxxxผลขอมูลสวนบุคคลไดรับคําขอจากเจาของขอมูลสวนบุคคลที่เปน

การขอใชxxxxxของเจาของขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล ผูxxxxxxผล ขอมูลสวนบุคคลตองแจงใหผคู วบคุมขอมูลสวนบุคคลทราบและสงคําขอนั้นตอไปยังผูควบคุมขอมูลสวนบุคคล โดยไมชักชา โดยจะไมทําการตอบxxxxตอคําขอดังกลาวเอง เวนแตจะมีการตกลงไวเปนอยางอื่น

ขอ ๑๓ คูสัญญาจะใหความรวมมือ ชวยเหลือ และสนับสนุนการดําเนินการที่เกี่ยวของของ

คูสัญญาอีกฝายหนึ่งตามxxxxx เพื่อใหคูสัญญาอีกฝายหนึ่งนั้นxxxxxxปฏิบัติใหเปนไปตามกฎหมายและ พันธกรณีตาง ๆ ได หรือในกรณีที่มีคําสั่งโดยชอบดวยกฎหมายจากหนวยงานของรัฐหรือเจาหนาที่ของรัฐ เกี่ยวกับหนาที่ของคูสัญญา หรือเพื่อพิสูจนวาคูสัญญาไดปฏิบัติตามที่กฎหมายกําหนดและตามที่กําหนดใน สัญญาและบันทึกขอตกลงน้ี ในสวนท่ีเกี่ยวกับการxxxxxxผลขอมูลสวนบุคคลและการคุมครองขอมูลสวน บุคคล

-๘-

มาตรการรักษาความมั่นคงปลอดภัย

ขอ ๑๔ ผูxxxxxxผลขอมูลสวนบุคคลมีหนาที่จัดใหมีและธํารงรักษาไวซึ่งมาตรการรักษาความ มั่นคงปลอดภัยที่เหมาะสม xxxxxxxเปนมาตรการดานการบริหารจัดการขององคกร มาตรการดานกายภาพ มาตรการ

ดานเทคนิค และมาตรการอื่น ๆ ท่ีจําเปน เพื่อปองก การสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูล

สวนบุคคลโดยปราศจากอํานาจหรือโดยมิชอบ สําหรับการxxxxxxผลขอมูลสวนบุคคลxxxxxxxxและบันทึก ขอ ตกลงน้ี โดยจะตองเปนไปตามมาตรฐานขั้นต่ําที่คณะกรรมการคุมครองขอมูลสวนบุคคลประกาศกําหนด

ขอ ๑๕ ในการกําหนดมาตรการตามขอ ๑๔ ใหผูxxxxxxผลขอมูลสวนบุคคลคํานึงถึงหลักการ

บริหารความเส่ียง โดยอยางนอยตองประกอบดวยวิธีการและมาตรการ ดังตอไปนี้ เทาที่จําเปนและเหมาะสมกับ บริบท

(๑) Identify: การระบุความเสี่ยงxxxxxxจะเกิดขึ้นแกคอมพิวเตอร ขอมูลท้งที่เปนขอมูล

อิเล็กทรอนิกสและขอมูลในรูปแบบอื่น ระบบคอมพิวเตอร ขอมูลอื่นที่เก่ียวของกับระบบคอมพิวเตอร ทรัพยสิน และชีวิตรางxxxของบุคคล ในสวนที่เกี่ยวของกับการxxxxxxผลขอมูลสวนบุคคล

(๒) Protect: มาตรการปองกันความเสี่ยงxxxxxxจะเกิดขึ้น

(๓) Detect: มาตรการตรวจสอบและเฝาระวังภัยคุกคามทางไซเบอรและเหตุการละเมิดขอมูลสวน

บุคคล

(๔) Respond: มาตรการxxxxxเหตุเมื่อมีการตรวจพบภัยคุกคามทางไซเบอรหรือเหตุการละเมิด

ขอมูลสวนบุคคล

(๕) Recover: มาตรการรักษาและฟนฟูความxxxxxxxxxxเกิดxxxxxxคุกคามทางไซเบอรหรือเหตุการ ละเมิดขอมูลสวนบุคคล

ขอ ๑๖ มาตรการปองกันความเสี่ยงของผูxxxxxxผลขอมูลสวนบุคคลตามขอ ๑๕ (๒) ควร

ประกอบดวยมาตรการอยางนอยดังนี้ ในสวนที่เก่ียวกับระบบสารสนเทศที่มีการxxxxxxผลขอมูลสวนบุคคล เทาที่ xxxxxxจะกระทําได

(๑) มาตรการรักษาความมั่นคงปลอดภัยดานการบริหารจัดการ (administrative security) ซึ่งรวมxxx xxxกําหนดและสื่อสารนโยบายและแนวปฏิบัติในการคุมครองขอมูลสวนบุคคลและการรักษาความมั่นคงปลอดภัย ของระบบสารสนเทศ และการบริหารจัดการความเสี่ยงที่เกี่ยวของกับขอมูลสวนบุคคล

(๒) มาตรการรักษาความมั่นคงปลอดภัยดานกายภาพ (physical security) ของอุปกรณและ สวนxxxxxxxxxระบบสารสนเทศและขxxxxxxxจัดเก็บ

(๓) มาตรการรักษาความม่ันคงปลอดภัยดานผูใชงาน (user security) ซึ่งรวมxxxxxxฝกอบรมและ สรางเสริมความตระหนักรูและการดานความสําคัญของการคุมครองขอมูลสวนบุคคลและการรักษาความมั่นคง

-๙-

ปลอดภัย (security awareness training) แกบุคลากร พนักงาน ลูกจาง หรือบุคคลอื่น ที่เปนผูใชงานหรือ

ผูเ ก่ียวของกับระบบสารสนเทศและขอมูลสวนบุคคล การควบคุมการเขาถึงข มูลสวนบุคคลและอุปกรณท่ีใชใ นการ

จัดเก็บและการxxxxxxผลขอมูลสวนบุคคล (access control) การกําหนดxxxxxในการเขาถึงขอมูลสวนบุคคลหรือ ระบบสารสนเทศ และการบริหารจัดการการเขาถึงของผูใชงาน (user access management) โดยคํานึงถึงบทบาท หนาที่ ความจําเปนในการใชงาน และความมั่นคงปลอดภัยเปนสําคัญ การกําหนดหนาที่ความรับผิดชอบของ ผูใชงาน (user responsibilities) เพื่อปองกันการเขาถึงขอมูลสวนบุคคลโดยไมไดรับอนุญาต การเปดเผย การลวงรู หรือการลักลอบทําสําเนาขอมูลสวนบุคคล หรือการลักขโมยอุปกรณท่ีใชในการจัดเก็บหรือการxxxxxxผลขอมูล สวนบุคคล และการจัดใหมีวิธีการเพื่อใหxxxxxxตรวจสอบยอนหลังเกี่ยวกับการเขาถึง เปลี่ยนแปลง ลบ หรือถาย โอนขอมูลสวนบุคคล (audit trails) ใหเ หมาะสม

(๔) มาตรการรักษาความม่นxxปลอดภัยดานขอมูล (data security) ซ่ึงรวมถึงมาตรการควบคุมการ เขาถึงขxxxxxxxเก็บรักษาไวอยางเหมาะสม และการสํารองขอมูล

(๕) มาตรการรักษาความมั่นคงปลอดภัยดานระบบสารสนเทศ (systems security) ซึ่งรวมxxxxxx ปรับปรุงระบบปฏิบัติการและแอปพลิเคชันของเครื่องคอมพิวเตอรแมขาย (server) ใหเปนปจจุบันxxxxxxx xxxตั้ง คาความมั่นคงปลอดภัย (security configurations) ที่เหมาะสม การมีระบบสํารอง และการปองxxxxxxคุกคาม จากมัลแวร

(๖) มาตรการรักษาความม่ันคงปลอดภัยดานสินทรัพยสารสนเทศ (asset security) ซึ่งรวมถึงความ มั่นคงปลอดภัยทางกายภาพและการปรับปรุงระบบปฏิบัติการและแอปพลิเคชันของเครื่องคอมพิวเตอรลูกขายและ อุปกรณตาง ๆ (endpoints) ที่ใชงานระบบสารสนเทศใหเปนปจจุบันxxxเสมอ และการปองxxxxxxคุกคาม จากมัลแวร

(๗) มาตรการรักษาความมั่นคงปลอดภัยดานซอฟตแวรและแอปพลิเคชัน (software and application security) ซึ่งรวมxxxxxxออกแบบและทดสอบความมั่นคงปลอดภัยของซอฟตแวรและแอปพลิเคชัน การประเมินและกํากับดูแลกระบวนการพัฒนาซอฟตแวร (software development process) ที่เหมาะสมโดย คํานึงถึงความเส่ียงดานความมั่นคงปลอดภัยสารสนเทศ ไมวาจะเปนซอฟตแวรหรือแอปพลิเคชันที่พัฒนาเอง หรือ นํามาใชจากภายนอก หรือใหบุคคลภายนอกพัฒนาใหก็ตาม รวมทั้งกระบวนการบําxxxxxxxx (maintenance) ซอฟตแวรและแอปพลิเคชันที่เหมาะสม

(๘) มาตรการรักษาความมั่นคงปลอดภัยดานการส่ือสารและระบบเครือขาย (communication and network security) ซึ่งรวมถึงความม่ันคงปลอดภัยทางกายภาพของอุปกรณในระบบเครือขาย การออกแบบและ บริหารจัดการระบบเครือขายที่เหมาะสม การควบคุมการจราจรของขอมูลในระบบเครือขายโดยใช firewall การมี ระบบปองกันการโจมตี (intrusion prevention system) การปรับปรุงเฟรมแวร (firmware) และซอฟตแวรของ

-๑๐-

อุปกรณในระบบเครือขายใหเปนปจจุบัน และการเขารหัส (encryption) ของขxxxxxxxมีความxxxxxxxxxที่สงผานระบบ เครือขาย

ขอ ๑๗ ผูxxxxxxผลขอมูลสวนบุคคลจะตองทบทวนมาตรการตามขอ ๑๔ ขอ ๑๕ และขอ ๑๖ เม่ือ

มีความจําเปนหรือเมื่อเทคโนโลยีเปล่ียนแปลงไปเพื่อใหมีประสิทธิภาพในการรักษาความม่ันคงปลอดภัยที่เหมาะสม โดยคํานึงถึงความกาวหนาทางเทคโนโลยี คาใชจายในการดําเนินการ ลักษณะ ขอบเขต บริบท และวัตถุประสงค ของการxxxxxxผลขอมูลประกอบกัน

ขอ ๑๘ ผูxxxxxxผลขอมูลสวนบุคคลจะใชความxxxxxxตามxxxxxใหการเขาถึงและการ

xxxxxxผลขอมูลสวนบุคคลจํากัดเฉพาะบุคลากร พนักงาน และลูกจางของผูxxxxxxผลขอมูลสวนบุคคล หรือบุคคลxxxxxรับมอบหมาย ซึ่งมีความจําเปนในการเขาถึงหรือการxxxxxxผลขอมูลสวนบุคคลตามหลักความ จําเปนในการเขาถึงขอมูล (need-to-know basis) เพื่อดําเนินการใหเปนไปxxxxxxxxและบันทึกขอตกลงน้ี หรือเพื่อปฏิบัติการอื่นที่เปนไปตามกฎหมายเทานั้น และดําเนินการใหบุคคลดังกลาวรักษาความลับในการ xxxxxxผลขอมูลสวนบุคคล และปฏิบัติตามหนาที่ความรับผิดชอบของผูxxxxxxผลขอมูลสวนบุคคลใน สัญญาและบันทึกขอตกลงนี้

ขอ ๑๙ ผูควบคุมขอมูลสวนบุคคลมีหนาท่ีจัดใหมีมาตรการรักษาความมั่นคงปลอดภัยที่

เหมาะสม เพื่อปองกันการสูญหาย เขาถึง ใช เปลี่ยนแปลง แกไข หรือเปดเผยขอมูลสวนบุคคลโดยปราศจาก อํานาจหรือโดยมิชอบ สําหรับการxxxxxxผลขอมูลสวนบุคคลในสวนท่ีxxxนอกเหนือความควบคุมและความ รับผิดชอบของผูxxxxxxผลขอมูลสวนบุคคล ตลอดจนการxxxxxxผลขอมูลสวนบุคคลที่ผูควบคุมขอมูลสวน บุคคลดําเนินการ หรือบุคคลอื่นดําเนินการในนามผูxxxxxxผลขอมูลสวนบุคคล เพื่อเปดเผยโดยการสงผาน การเผยแพร หรือการทําใหพรอมใชงานโดยวิธีการอื่นใด ใหแกผูxxxxxxผลขอมูลสวนบุคคล กอนที่ผู xxxxxxผลขอ มูลสวนบุคคลจะทําการxxxxxxผลขอมูลสวนบุคคลนั้นในสวนของตน

เหตุการละเมิดขอมูลสวนบุคคล (Personal Data Breaches)

ขอ ๒๐ ผูxxxxxxผลขอมูลสวนบุคคลมีหนาที่สอดสองดูแลและมีมาตรการตรวจสอบและเฝา ระวัง (detective measures) การกระทําxxxxxxมีลักษณะเปนการเขาถึงหรือการxxxxxxผลขอมูลสวนบุคคล โดยปราศจากอํานาจหรือโดยมิชอบตามxxxxx และเมื่อทราบเหตุการละเมิดขอมูลสวนบุคคล ผูxxxxxxผล ขอมูลสวนบุคคลมีหนาที่ตอบxxxxตอเหตุดังกลาวในเบื้องตนตามxxxxxเพื่อลดความเสี่ยงหรือผลกระทบจาก เหตุดังกลาว ตลอดจนเพ่ือรวบรวมขอมูลจราจรทางคอมพิวเตอรและพยานหลักฐานที่เกี่ยวของสําหรับการ ดําเนินการตอไป

ขอ ๒๑ ผูxxxxxxผลขอมูลสวนบุคคลมีหนาท่ีแจงใหผูควบคุมขอมูลสวนบุคคลทราบถึงเหตุการ

ละเมิดขอมูลสวนบุคคลที่เกิดขึ้นจากการxxxxxxผลขอมูลสวนบุคคลในความรับผิดชอบของผูxxxxxxผล

-๑๑-

ขอมูลสวนบุคคลโดยไมชักชา ภายในสี่สิบแปดชั่วโมงนับแตทราบเหตุเทาที่จะxxxxxxกระทําได เวนแตการ ละเมิดดังกลาวไมมีความเสี่ยงที่จะมีผลกระทบตอxxxxxและเสรีภาพของบุคคล โดยอยางนอยจะตองใหขอมูล ตอไปนี้แกผูควบคุมขอมูลสวนบุคคลเปนลายลักษณxxxxxโดยเร็วเทาที่จะxxxxxxกระทําได

(๑) รายละเอียดของเหตุการละเมิดขอมูลสวนบุคคลที่เกิดขึ้น และผลxxxxxxเกิดขึ้น (๒) การดําเนินการxxxxxกระทําไปเพื่อตอบxxxxตอเหตุดังกลาว

(๓) ประเภทของขอมูลสวนบุคคลและเจาของขอมูลสวนบุคคลท่ีเกี่ยวของกับเหตุดังกลาว (หาก

เปนไปได)

(๔) ความเห็นตอเหตุดังกลาวและมาตรการที่ควรดําเนินการตอไป

ขอ ๒๒ การแจงเหตุการละเมิดขอมูลสวนบุคคลแกสํานักงานคณะกรรมการคุมครองขอมูลสวน

บุคคล และ/หรือเจาของขอมูลสวนบุคคล เปนหนาที่ความรับผิดชอบของผูควบคุมขอมูลสวนบุคคล โดยผู xxxxxxผลขอมูลสวนบุคคล จะตองใหความรวมมืออยางเต็มที่เพื่อใหผูควบคุมขอมูลสวนบุคคลxxxxxx ดําเนินการดังกลาว รวมทั้งการดําเนินการทางกฎหมายอยางอื่นที่เกี่ยวของได

ขอ ๒๓ หลังเกิดเหตุการละเมิดขอมูลสวนบุคคล คูสัญญามีหนาที่รับผิดชอบดําเนินการในสวน

ของตน เพื่อเยียวยาผูไดxxxxxกระทบจากเหตุดังกลาว และทบทวนและพิจารณาปรับปรุงมาตรการรักษาความ มั่นคงปลอดภัยเพื่อใหมีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสมและเพียงพอ

ข ๒๔ คูสัญญามีหนาท่ีใหความรวมมือ ชวยเหลือ และสนับสนุนการดําเนินการที่เกี่ยวของของ

คูสัญญาอีกฝายหนึ่งตามxxxxx เพื่อใหคูสัญญาอีกฝายหนึ่งนั้นxxxxxxปองกัน เฝาระวัง ตรวจสอบ ตอบxxxx แกไข และฟนฟูจากเหตุการละเมิดขอมูลสวนบุคคล ตลอดจนเก็บรวบรวมขอมูลจราจรทางคอมพิวเตอรและ พยานหลักฐานที่เกี่ยวของ และดําเนินการตามกฎหมายที่เกี่ยวของในสวนของตนได

การสงหรือโอนขอมูลสวนบุคคลไปตางประเทศ (Cross-Border Data Transfer)

ขอ ๒๕ ผูxxxxxxผลขอมูลสวนบุคคลจะไมสงหรือโอน (transfer) ขอมูลสวนบุคคลไป ตางประเทศหรือองคการระหวางประเทศ เวนแตจะไดรับความยินยอมจากผูควบคุมขอมูลสวนบุคคลเปนลาย ลักษณxxxxx หรือเปนไปตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล ท้งน้ี ไมรวมxxxxxxสงผาน (transit) ขอมูลสวนบุคคลในตางประเทศ xxxxxมีการเขาถึงขอมูลสวนบุคคลโดยบุคคลอื่นนอกเหนือจาก

บุคลากร พนักงาน และลูกจางของผูxxxxxxผลข มxx สวนบุคคลหรือผูxxxxxxผลขอมxx สวนบุคคลชxx

xxxลบและการเก็บรักษาขอมูลสวนบุคคล

ขอ ๒๖ ผูxxxxxxผลขอมูลสวนบุคคลมีหนาที่ดําเนินการลบหรือทําลาย หรือทําใหขอมูลสวน บุคคลตามบันทึกขอตกลงนี้ เปนขอมูลxxxxxxxxxxxระบุตัวบุคคลที่เปนเจาของขอมูลสวนบุคคลได ภายในเวลา

-๑๒-

..... ป นับแตxxxxxxสัญญาสิ้นสุดลง หรือเมื่อไมมีความจําเปนตองทําการxxxxxxผลขอมูลสวนบุคคลดังกลาวอีก ตอไป หรือกรณีที่มีเหตุอ่ืนตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล เวนแตจะไดรับอนุญาตเปนลาย ลักษณxxxxxจากผูควบคุมขอมูลสวนบุคคลใหเก็บรักษาขอมูลดังกลาวไวนานกวาน้ัน และผูควบคุมขอมูลสวน บุคคลอาจขอใหผูxxxxxxผลขอมูลสวนบุคคลแสดงหลักฐานตามxxxxxเพื่อพิสูจนการดําเนินการ หรือมี หนังสือยืนยันและรับรองวาไดดําเนินการดังกลาวแลว

ขอ ๒๗ ผูxxxxxxผลขอมูลสวนบุคคลอาจเก็บรักษาขอมูลสวนบุคคลไวเพื่อการกอตั้งxxxxx

เรียกรองตามกฎหมาย การปฏิบัติตามหรือการใชxxxxxเรียกรองตามกฎหมาย หรือการยกขึ้นตอx xxxxเรียกรอง

ตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย xxxxxขัดตอกฎหมายวาดวยการคุมครองขอมูลสวนบุคคล

ขอ ๒๘ ผูxxxxxxผลขอมูลสวนบุคคลอาจเก็บรักษาขอมูลสวนบุคคลเทาที่จําเปนเพื่อแสดงxxx xxxปฏิบัติxxxxxxxxและบันทึกขอตกลงนี้ได

ขอ ๒๙ เมื่อสัญญาสิ้นสุดลง หรือกอนที่ผูxxxxxxผลขอมูลสวนบุคคลจะดําเนินการลบหรือ

ทําลาย หรือทําใหขอมูลสวนบุคคลตามบันทึกขอตกลงน้ี เปนขอมูลxxxxxxxxxxxระบุตัวบุคคลท่ีเปนเจาของ ขอมูลสวนบุคคลได ผูควบคุมขอมูลสวนบุคคลอาจแจงใหผูxxxxxxผลขอมูลสวนบุคคลสงสําเนาขอมูลสวน บุคคลตามบันทึกขอตกลงนี้ใหแกผูควบคุมขอมูลสวนบุคคลได โดยไมกระทบตอxxxxxและหนาที่ของผู xxxxxxผลขอมูลสวนบุคคลในการเก็บรักษาขxxxxxxตามความจําเปนตามบันทึกขอตกลงนี้ โดยหนาที่ในการ ปฏิบัติการใหเปนไปตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลและกฎหมายอื่น ตอการxxxxxxผล

ขอมูลสวนบุคคลของขอมูลสวนบุคคลที่ผูxxxxxxผลขอมูลสวนบุคคลสงใหผ รับผิดชอบของผูควบคุมขอมูลสวนบุคคลเอง

ูควบคุมขอมูลสวนบุคคลเปนความ

ขอ ๓๐ เมื่อสัญญาส้ินสุดลง และ/หรือบันทึกขอตกลงนี้สิ้นสุดลง ในระหวางที่ผูxxxxxxผล

ขอมูลสวนบุคคลยังไมไดดําเนินการลบหรือทําลาย หรือทําใหข อมูลสวนบุคคลตามบันทึกขอตกลงน้ี เปนขอมูล xxxxxxxxxxxระบุตัวบุคคลที่เปนเจาของขอมูลสวนบุคคลได ตามขอ ๒๖ ใหผูxxxxxxผลขอมูลสวนบุคคลยังมี หนาท่ีความรับผิดชอบตามบันทึกขอตกลงนี้เทาที่จําเปนและไมขัดกับกฎหมาย เพ่ือประโยชนในการคุมครอง

ขอมูลสวนบุคคลที่ผ ระมวลผลขอมxx สวนบุคคลรับผิดชอบ

ขอบเขตของความรับผิด

ขอ ๓๑ เวนแตจะกําหนดไวเปนอยางอื่น ผูxxxxxxผลขอมูลสวนบุคคลไมตองรับผิดในความ เสียหายหรือการกระทําอันเกิดจากการปฏิบัติตามบันทึกขอตกลงนี้ หรือตามคําส่งของผูควบคุมขอมูลสวน บุคคล เพื่อใหxxxxxวัตถุประสงคในการxxxxxxผลขอมูลสวนบุคคลxxxxxxxx

ขอ ๓๒ ในกรณีที่ผูxxxxxxผลขอมูลสวนบุคคลตองรับผิดชดใชคาเสียหายหรือชําระคาปรับ อัน

เนื่องมาจากการปฏิบัติตามบันทึกขอตกลง หรือตามคําสั่งของผูควบคุมขอมูลสวนบุคคล เพื่อใหxxxxx

-๑๓-

วัตถุประสงคในการxxxxxxผลขอ มูลสวนบุคคลxxxxxxxx ไมวาจะดวยเหตุใดก็ตาม ผูxxxxxxผลขอมูลสวน บุคคลมีxxxxxเรียกรองใหผูควบคุมขอมูลสวนบุคคลชดใชเงินจํานวนดังกลาวใหแกผูxxxxxxผลขอมูลสวนบุคคล

เวนแตจะพิสูจนไดวาความรับผิดดังกลาวเปนการกระทําผิดโดยxxxxxหรือเปนความบกพรองของผูxxxxxxผล

ขอมูลสวนบุคคลเองหรือผ

ระมวลผลขอมูลสวนบุคคลชวงของผx

xxxxxผลขอมูลสวนบุคคล

การเปลี่ยนแปลงแกไขบันทึกขอตกลง

ขอ ๓๓ กรณีที่จําเปนตองมีการเปลี่ยนแปลงแกไขบันทึกขอตกลงเพื่อใหคูสัญญาxxxxxxทําการ xxxxxxผลขอมูลสวนบุคคลตามกฎหมายวาดวยการคุมครองขอมูลสวนบุคคลตอไปไดอยางเหมาะสมและมี ประสิทธิภาพ ใหคูสัญญาฝายที่ประสงคจะแกไขเพิ่มเติมบันทึกขอตกลงน้ี แจงใหอีกฝายทราบลวงหนาเปนเวลา ไมนอยกวา ๓๐ วัน และเม่ือท้ังสองฝายใหความยินยอมในการแกไขxxxxxเติมแลว ใหจัดทําบันทึกขอตกลงฉบับ แกไขเพิ่มเติมเปนหนังสือ และลงนามผูกพันโดยผูมีอํานาจลงนามผูกพันนิติบุคคล และใหถือวาการแกไขxxxxxเติม ดังกลาวเปนสวนหนึ่งของบันทึกขอตกลงนี้ โดยใหมีผลใชบังคับตั้งแตxxxxxxลงนามในบันทึกขอตกลงฉบับแกไข เพิ่มเติมนั้น เวน แตจะกําหนดเปนอยางอื่นในบันทึกขอตกลงฉบับแกไขดังกลาว

บันทึกขอตกลงนี้ทําขึ้นสองฉบับมีขอความถูกตองตรงกัน ท้งสองฝายไดอานและเขาใจบันทึก ขอตกลงนี้โดยละเอียดตลอดแลว เห็นวาตรงตามxxxxxรมณxxxxxใหไวตอกันทุกประการ จึงไดลงลายมือชื่อไว เปนสําคัญตอหนาพยานและแตละฝายตางไดยึดถือไวฝายละฉบับ

บริษัท ........................................ ลงชื่อ บริษัทฯ (...............................................................................) ........................................................................	มหาวิทยาลัยxxxxx ลงชื่อ คณะฯ (...............................................................................) ........................................................................
บริษัท ........................................ ลงชื่อ พยาน (...............................................................................)	ลงชื่อ พยาน (...............................................................................)