นโยบายและการคุ้มครองข้อมูลส่วนบุคคล

โรงเรียนวรรัตน์ศึกษา นนทบุรี ("โรงเรียน") ตระหนักถึงสิทธิด้านความเป็นส่วนตัวของนักเรียน ผู้ปกครอง ศิษย์เก่า บุคลากร และผู้มาติดต่อ ทั้งนี้ เพื่อปฏิบัติให้เป็นไปตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (PDPA) อย่างเคร่งครัด โรงเรียนจึงตรานโยบายการจัดเก็บใช้และเปิดเผยข้อมูลฉบับนี้ขึ้น โดยให้ถือเป็น "ข้อตกลงและเงื่อนไขทางกฎหมายที่ผูกพัน" ผู้รับบริการทุกท่านในทันทีที่มีสถานะความเกี่ยวข้องกับกิจกรรมของโรงเรียน

หมวดที่ 1 : ฐานแห่งความชอบธรรมในการประมวลผลข้อมูล

• ข้อ 1.1 ฐานการดำเนินภารกิจสาธารณะ และฐานประโยชน์อันชอบธรรม : โรงเรียนมีความจำเป็นและสงวนสิทธิ์เด็ดขาดในการเก็บรวบรวมใช้และเปิดเผยข้อมูลส่วนบุคคล เพื่อการบริหารจัดการทางการศึกษา การประเมินผล การแจ้งประกาศ และการรายงานต่อหน่วยงานราชการที่เกี่ยวข้อง
• ข้อ 1.2 ฐานสัญญา และฐานปฏิบัติตามกฎหมาย : ข้อมูลที่โรงเรียนร้องขอในขั้นตอนการสมัคร มอบตัว หรือลงทะเบียน ถือเป็นข้อมูลเชิงกฎหมายที่จำเป็นยิ่งยวด หากท่านปฏิเสธการให้ข้อมูล ย่อมส่งผลให้โรงเรียนไม่สามารถรับบุคคลเข้าศึกษาได้ หรือไม่สามารถออกเอกสารรับรองทางราชการให้ได้

หมวดที่ 2 : ประกาศการเปิดเผยข้อมูลสู่สาธารณะเพื่อความโปร่งใส

* หมวดนี้ถือเป็นข้อกำหนดอันเป็นสาระสำคัญ เพื่อคุ้มครองสภาพการดำเนินงานตามปกติของสถานศึกษา

• ข้อ 2.1 การประกาศรายชื่อนักเรียนอย่างเป็นทางการ: โรงเรียนถือเป็นสิทธิชอบธรรมโดยสมบูรณ์ที่จะ "ประกาศรายชื่อ-นามสกุล นามแฝง รหัสประจำตัว หรือรูปถ่ายนักเรียน" สู่พื้นที่สาธารณะ (ทั้งบอร์ดประกาศและบนเว็บไซต์อินเทอร์เน็ต) ในกรณีต่อไปนี้
  • การประกาศรายชื่อผู้มีสิทธิสอบ ผู้ผ่านการคัดเลือกเข้าเรียน และการจัดห้องเรียนประจำปี
  • การประกาศผลสัมฤทธิ์ การเลื่อนชั้น หรือรายงานผลการประเมินทางการศึกษาทั่วไป
  • การประกาศเกียรติคุณ ผู้ได้รับรางวัล ผู้ได้รับทุนการศึกษา หรือผู้สร้างชื่อเสียงให้โรงเรียน
  • การประกาศคำสั่งหรือกิจการอื่นใดทางราชการ ที่จำเป็นต้องยืนยันตัวตนเพื่อความโปร่งใสและตรวจสอบได้
  การกระทำดังกล่าวยึดถือเพื่อประโยชน์ทางการศึกษาและความโปร่งใสเป็นที่ตั้ง และ ถือว่าบิดามารดา/ผู้ปกครอง/นักเรียน ได้ทราบและยอมรับธรรมเนียมปฏิบัตินี้โดยปราศจากเงื่อนไขแล้ว เมื่อมอบตัวเข้าเป็นนักเรียน
• ข้อ 2.2 การห้ามเปิดเผยข้อมูลอ่อนไหว: โรงเรียน จะไม่มีการเปิดเผยข้อมูลความละเอียดอ่อนสูง ควบคู่กับรายชื่อสู่สาธารณะโดยเด็ดขาด อาทิ ข้อมูลความบกพร่องทางสุขภาพ สภาพจิตใจ ประวัติอาชญากรรม หรือพฤติกรรมเสื่อมเสีย ยกเว้นในกรณีที่มีคำสั่งศาล หรือต้องดำเนินการบังคับตามกฎหมาย

หมวดที่ 3 : การเผยแพร่สื่อประชาสัมพันธ์ และสิทธิการคัดค้าน (Opt-out)

• ข้อ 3.1 สื่อทัศนทัศน์และงาน PR ทั่วไป: การบันทึกภาพนิ่ง ภาพวิดีโอ ระบบกล้องวงจรปิด (CCTV) และภาพบรรยากาศในกิจกรรม พิธีการ หรือกีฬา ที่เกิดขึ้นในขอบเขตการดูแลของโรงเรียน ถือเป็นกรรมสิทธิ์ของโรงเรียน ภายใต้ฐานประโยชน์อันชอบธรรมสำหรับงานประชาสัมพันธ์องค์กร โดยมิต้องขออนุญาตล่วงหน้าเป็นรายบุคคล
• ข้อ 3.2 สิทธิการคัดค้านสำหรับภาพเจาะจง (Opt-out for Portrait): ในกรณีที่โรงเรียนประสงค์จะนำภาพถ่ายของนักเรียนในลักษณะเจาะจงใบหน้าไปใช้เพื่อการเผยแพร่เชิงพาณิชย์ หรือลงโฆษณา (Ads) บิดามารดาหรือผู้ปกครองมีสิทธิ์ คัดค้าน (Opt-out) ได้ตลอดเวลา โดยให้ส่งคำร้องมายังฝ่ายจัดการสารสนเทศของโรงเรียน หากไม่มีการส่งคำร้องคัดค้านเข้ามา จะถือว่าได้รับความยินยอมโดยปริยายเพื่อเป็นการลดขั้นตอนความยุ่งยาก
• ข้อ 3.3 การปลดเปลื้องความรับผิดทางกฎหมาย: หากมีบุคคลภายนอก หรือผู้ปกครองท่านอื่น นำประกาศรายชื่อ ผลสัมฤทธิ์ หรือภาพถ่ายที่โรงเรียนเผยแพร่โดยสุจริตและชอบด้วยกฎหมาย ไปบันทึก ทำซ้ำ แก้ไข บิดเบือน หรือส่งต่อในทางที่ผิดหลักกฎหมาย โรงเรียนขอสงวนสิทธิ์ "ปฏิเสธความรับผิดชอบ" ในความเสียหายใดๆ ที่เกิดขึ้นทั้งทางแพ่งและทางอาญาทุกกรณี ทั้งนี้ โรงเรียนพร้อมให้ความร่วมมือในการส่งข้อมูลจราจรคอมพิวเตอร์ (Log) แก่พนักงานสอบสวนเพื่อเอาผิดผู้กระทำผิดตัวจริงอย่างเต็มที่

หมวดที่ 4 : การส่งต่อข้อมูลให้บุคคลที่สาม (Third-Party Disclosure)

• ข้อ 4.1 การส่งข้อมูลเพื่อพันธกิจทางการศึกษา: โรงเรียนมีความจำเป็นต้องส่งข้อมูลส่วนบุคคลของนักเรียนให้แก่หน่วยงานที่เกี่ยวข้อง ได้แก่ กระทรวงศึกษาธิการ, สำนักงานเขตพื้นที่การศึกษา, สถาบันอุดมศึกษาที่เด็กนักเรียนยื่น Portfolio โดยกระทำภายใต้ฐานปฏิบัติตามกฎหมายเพื่อประโยชน์ของตัวนักเรียนเอง
• ข้อ 4.2 การประมวลผลผ่านผู้ให้บริการภายนอก (Data Processors): เพื่อความสะดวกในการบริหารจัดการ โรงเรียนมีการใช้บริการแพลตฟอร์มและบุคคลภายนอก (เช่น Google Workspace for Education, Microsoft 365, ระบบของธนาคารเพื่อการชำระเงิน, ประกันอุบัติเหตุ, สถานพยาบาล) ข้อมูลจะถูกเปิดเผยเท่าที่จำเป็น และอยู่ภายใต้เงื่อนไขการรักษาความปลอดภัยของแพลตฟอร์มระดับสากล

หมวดที่ 5 : ระยะเวลาในการเก็บรักษาข้อมูล (Data Retention Period)

• โรงเรียนมีนโยบายจำกัดระยะเวลาการจัดเก็บข้อมูลส่วนบุคคล (Data Minimization) ให้สั้นที่สุดเท่าที่จำเป็น ดังนี้
• ข้อ 5.1 ข้อมูลผู้สมัครสอบทั่วไป: ข้อมูลของผู้สมัครที่สอบไม่ผ่านการคัดเลือก หรือไม่มอบตัว จะถูกทำลายทิ้งภายใน 1 ปีการศึกษา
• ข้อ 5.2 ข้อมูลจราจร: ข้อมูลภาพกล้องวงจรปิด (CCTV) และข้อมูลจราจรทางคอมพิวเตอร์ (Log) บนเว็บไซต์ จะถูกจัดเก็บและเขียนทับหมุนเวียนอัตโนมัติตามระยะเวลามาตรฐาน (ประมาณ 90 วัน)
• ข้อ 5.3 ข้อมูลประวัติการศึกษา: ระเบียนผลการศึกษา (Transcript), สมุดพก, และเอกสารทางการเงิน/บัญชี จำต้องถูกเก็บรักษาไว้ อย่างถาวรหรือตามกำหนดอายุความสูงสุด ตามระเบียบของกระทรวงศึกษาธิการ เพื่อให้สามารถออกเอกสารย้อนหลังให้ศิษย์เก่าได้ตลอดเวลา

หมวดที่ 6 : สิทธิของผู้เป็นเจ้าของข้อมูล (Data Subject Rights)

• แม้โรงเรียนจะมีอำนาจหน้าที่ตามฐานกฎหมายข้างต้น แต่ท่านย่อมมีสิทธิตามกฎหมาย PDPA ทุกประการ ตราบเท่าที่ไม่ขัดกับภารกิจทางราชการและการเรียนการสอน ได้แก่ สิทธิขอเข้าถึงข้อมูล (Access), สิทธิขอแก้ไขให้ถูกต้อง (Rectification), สิทธิขอคัดค้าน (Object), และสิทธิเพิกถอนความยินยอม (Withdraw Consent)
• ข้อ 6.1 สิทธิในการขอลบหรือระงับการแสดงผลบนเว็บไซต์ (Take Down): หากท่านพบว่าการประกาศผลสอบหรือภาพถ่ายบนเว็บไซต์ก่อให้เกิดผลกระทบโดยตรง ท่านมีสิทธิยื่นคำร้องเพื่อขอ "ลบ หรือ ระงับการแสดงผล" บนเว็บไซต์เป็นการเฉพาะส่วน โดยผู้ดูแลระบบจะดำเนินการภายใน 24-48 ชั่วโมง
• ข้อ 6.2 สิทธิในการร้องเรียน (Complain): หากท่านพบว่ามีการล่วงละเมิดสิทธิ ท่านมีสิทธิร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ตามกระบวนการของรัฐ
• ข้อ 6.3 ข้อจำกัดสิทธิเด็ดขาด: โรงเรียน สงวนสิทธิ์เด็ดขาดในการ "ปฏิเสธ" คำร้อง ขอลบทิ้ง หรือขอเพิกถอน ในกรณีที่ข้อมูลนั้นประกอบขึ้นเป็น "หลักฐานทางราชการ" "ผลสอบแข่งขันรับทุน" หรือข้อมูลจำต้องถูกเก็บรักษาไว้ถาวรตามกฎกระทรวง ซึ่งเป็นเหตุผลทางกฎหมายที่ลบล้างสิทธิความต้องการส่วนบุคคลไม่ได้

หมวดที่ 7 : ความรับผิดชอบระดับปฏิบัติการ และนโยบายรับมือเหตุรั่วไหล (Data Breach)

• ข้อ 7.1 สำหรับบุคลากรภายใน: ครู ธุรการ หรือผู้ได้รับสิทธิ์ (Admin/Editor) ที่นำเข้าข้อมูลสู่เว็บไซต์สาธารณะ จะต้องตรวจสอบความถูกต้อง หากพบความจงใจหรือประมาทเลินเล่อเล็งเห็นผลให้นำข้อมูลที่เป็นภัยต่อตัวเด็กขึ้นเว็บไซต์ เจ้าของบัญชีรหัสนั้นต้องร่วมรับผิดทางวินัยและอาญา
• ข้อ 7.2 ความมั่นคงปลอดภัยทางไซเบอร์: ฐานข้อมูลส่วนบุคคลจะได้รับการคุ้มครองด้วยการเข้ารหัส ผู้ใดทำการแฮ็ก เจาะระบบ หรือดูดข้อมูล (Scraping) โดยมิได้รับอนุญาต จะถูกดำเนินคดีขั้นสูงสุดตาม พ.ร.บ. คอมพิวเตอร์ พ.ศ. 2550 ทันที
• ข้อ 7.3 การรับมือเหตุข้อมูลรั่วไหล (Data Breach Response): ในกรณีเหตุสุดวิสัยที่ระบบถูกโจมตีจนข้อมูลรั่วไหล โรงเรียนจะดำเนินการสั่งปิดกั้นระบบ และจะ แจ้งเหตุละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับแต่กู้ระบบสำเร็จ พร้อมแจ้งเตือนเจ้าของข้อมูลและจัดการตามมาตรการฉุกเฉินทางไซเบอร์

หมวดที่ 8 : การใช้คุกกี้ (Cookies) และเครื่องมือวิเคราะห์ (Google Analytics)

• ข้อ 8.1 การทำงานของคุกกี้: โรงเรียนมีการใช้งานคุกกี้ (Cookies) และ Google Analytics เพื่อเก็บรวบรวมข้อมูลสถิติบนเว็บไซต์ (Anonymous Data) ซึ่งรวมถึงชนิดของเบราว์เซอร์, ระบบปฏิบัติการ, หน้าเว็บไซต์ที่เข้าชม, ลิงก์ที่คลิก และภูมิศาสตร์โดยประมาณเพื่อประโยชน์ในการวิเคราะห์ประชากรเข้าชม
• ข้อ 8.2 วัตถุประสงค์การเก็บข้อมูล: ข้อมูลเหล่านี้ถูกใช้เพื่อปรับปรุงความเสถียรของเซิร์ฟเวอร์ และออกแบบประสบการณ์การใช้งานเว็บไซต์หน้าบ้านให้ดียิ่งขึ้น ไม่มีการนำไปใช้เพื่อวัตถุประสงค์ทางการตลาด ขายข้อมูล หรือทำ Retargeting Ads แก่บุคคลที่สาม
• ข้อ 8.3 สิทธิในการปฏิเสธ: ท่านสามารถตั้งค่าเว็บเบราว์เซอร์ให้ปฏิเสธการรับคุกกี้ได้ ซึ่งอาจทำให้ระบบการล็อกอินหรือการแสดงผลประกาศสอบบางประเภททำงานได้ไม่สมบูรณ์