ประกวดราคาจ้างเหมาบริการจัดหาแรงงานเพื่อสนับสนุนการปฏิบัติงาน ประจําปีงบประมาณ 2570

• เพื่อจัดหาแรงงานสนับสนุนการปฏิบัติงานกำกับดูแลการให้บริการรถไฟฟ้าขนส่งมวลชนของ รฟม.
• เพื่อให้มีพนักงานปฏิบัติงานภายในห้องควบคุมการเดินรถ (Central Control Room) จำนวน 16 คน
• เพื่อให้การบริหารจัดการการเดินรถในโครงการรถไฟฟ้าสายต่างๆ เป็นไปอย่างมีประสิทธิภาพและต่อเนื่อง

• จัดหาพนักงานปฏิบัติงานห้องควบคุมการเดินรถ จำนวน 16 คน (สายละ 4 คน)
• จัดหาผู้ประสานงานและควบคุมการทำงาน จำนวน 1 คน
• จัดการฝึกอบรมพนักงานตามหลักสูตรของ รฟม. หรือผู้รับสัมปทาน
• ดำเนินการตรวจสอบประวัติอาชญากรรมและตรวจร่างกายพนักงาน
• จัดหาอุปกรณ์สื่อสาร (โทรศัพท์มือถือ 4 เครื่อง และ 4G Router 4 เครื่อง) ตามสเปกที่กำหนด
• จัดหาระบบ/แอปพลิเคชันตรวจสอบเวลาเข้า-ออกงาน
• ปฏิบัติตามนโยบาย PDPA และนโยบายความมั่นคงปลอดภัยสารสนเทศของ รฟม.

• พนักงานปฏิบัติงานจ้างเหมา จำนวน 16 คน
• ผู้ประสานงานและควบคุมการทำงาน จำนวน 1 คน
• โทรศัพท์มือถือ (สเปกตามที่กำหนด) จำนวน 4 เครื่อง
• อุปกรณ์กระจายสัญญาณ 4G Router จำนวน 4 เครื่อง
• รายงานสรุปเหตุการณ์ประจำสัปดาห์และประจำเดือน
• แฟ้มประวัติพนักงานทุกคน

1 ตุลาคม 2569 ถึง 30 กันยายน 2570 (รวมระยะเวลา 12 เดือน)

• Standards Compliance: ต้องมีใบรับรองมาตรฐาน ISO 9001:2015 และ ISO 45001:2018
• Experience: มีผลงานจัดหาพนักงานเกี่ยวกับระบบรางหรือประเภทเดียวกัน
• Previous Project Cost: สัญญาผลงานเดิมต้องมีมูลค่าไม่น้อยกว่า 5,000,000 บาท
• Technical Capabilities: มีความสามารถในการจัดหาระบบตรวจสอบเวลาและอุปกรณ์สื่อสารตามสเปก
• Personnel: พนักงานต้องมีวุฒิปริญญาตรี (วิศวกรรมศาสตร์, วิทยาศาสตร์, ครุศาสตร์อุตสาหกรรม หรือสาขาที่เกี่ยวข้อง)

พิจารณาตัดสินโดยใช้หลักเกณฑ์ราคาต่ำสุด (Lowest Price) โดยพิจารณาจากราคารวมทั้งสิ้น

• โทรศัพท์มือถือ: จอ OLED 6.1 นิ้ว, RAM 8GB+, Storage 128GB+, รองรับ 5G, กล้อง 50MP+
• 4G Router: ความเร็วไม่น้อยกว่า 15 Mbps แบบไม่จำกัด
• ระบบปฏิบัติการ: Android เวอร์ชันล่าสุด
• มาตรฐานความปลอดภัย: ต้องปฏิบัติตามนโยบายความมั่นคงปลอดภัยสารสนเทศของ รฟม. (ฉบับปรับปรุงครั้งที่ 14)

• ชำระเงินเป็นรายงวด (12 งวด)
• จ่ายเงินภายใน 45 วัน นับจากวันที่คณะกรรมการตรวจรับพัสดุตรวจรับงาน
• มีค่าปรับกรณีพนักงานไม่ครบจำนวน (ร้อยละ 0.1 ของมูลค่าสัญญาต่อผลัดต่อโครงการ)
• มีค่าปรับกรณีมาสาย/ไม่ประจำจุด (ชั่วโมงละ 100 บาท)
• มีค่าปรับกรณีเปิดเผยข้อมูลความลับ (ร้อยละ 0.1 ของมูลค่าสัญญา)

• ถาม: พนักงานต้องมีวุฒิการศึกษาอะไร? ตอบ: ปริญญาตรี สาขาวิศวกรรมศาสตร์ วิทยาศาสตร์ ครุศาสตร์อุตสาหกรรม หรือสาขาที่เกี่ยวข้อง
• ถาม: ผู้รับจ้างต้องรับผิดชอบค่าใช้จ่ายอะไรบ้าง? ตอบ: ค่าจ้างพนักงาน, ค่าฝึกอบรม, ค่าตรวจร่างกาย, ค่าตรวจสอบประวัติอาชญากรรม และค่าอุปกรณ์สื่อสาร
• ถาม: โทรศัพท์มือถือที่จัดหาต้องเป็นของใคร? ตอบ: ต้องส่งมอบให้เป็นทรัพย์สินของ รฟม. เมื่อสิ้นสุดสัญญา
• ถาม: หากพนักงานลาออก ผู้รับจ้างต้องทำอย่างไร? ตอบ: ต้องจัดหาพนักงานทดแทนพร้อมส่งแฟ้มประวัติภายในวันเริ่มงาน
• ถาม: การคำนวณค่าล่วงเวลาคิดอย่างไร? ตอบ: คิดตามอัตรา 1.5 เท่า (วันทำงาน), 1 เท่า (วันหยุด), 3 เท่า (ล่วงเวลาวันหยุด) โดยคำนวณจากค่าจ้างรายชั่วโมง
• ถาม: ผู้ประสานงานต้องมีคุณสมบัติอย่างไร? ตอบ: วุฒิปริญญาตรีทุกสาขา และมีความรู้ในการบริหารสัญญา
• ถาม: หากพนักงานหลับในเวลาทำงานจะมีบทลงโทษอย่างไร? ตอบ: ถือเป็นข้อห้ามความประพฤติ หากฝ่าฝืนอาจถูกสั่งเปลี่ยนตัวพนักงาน
• ถาม: รฟม. มีการตรวจสอบข้อมูลส่วนบุคคลอย่างไร? ตอบ: ผู้รับจ้างต้องปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างเคร่งครัด
• ถาม: อุปกรณ์ 4G Router ต้องมีความเร็วเท่าใด? ตอบ: ไม่น้อยกว่า 15 Mbps แบบไม่จำกัด
• ถาม: หากรัฐบาลปรับค่าแรงขั้นต่ำ ผู้รับจ้างขอเพิ่มค่าจ้างได้หรือไม่? ตอบ: สามารถเจรจาตกลงกันได้ตามสัดส่วนที่เพิ่มขึ้น แต่ขึ้นอยู่กับงบประมาณของ รฟม.

ขอบเขตของงานจางเหมาบริการจัดหาแรงงานเพื่อสนับสนุนการปฏิบัติงาน ประจําปงบประมาณ 2570 (ตั้งแตวันที่ 1 ตุลาคม 2569 ถึงวันที่ 30 กันยายน 2570 ระยะเวลา 12เดือน)

1. ความเปนมา
   การรถไฟฟาขนสงมวลชนแหงประเทศไทย (รฟม.) มีความจําเปนตองจางเหมาบริการจัดหาแรงงานเพื่อสนับสนุน การปฏิบัติงานกํากับดูแลการใหบริการรถไฟฟาขนสงมวลชน ของ รฟม. จํานวน 16 คน ตําแหนงพนักงานปฏิบัติงาน จางเหมาภายในหองควบคุมการเดินรถ (Central Control Room) โครงการรถไฟฟามหานคร สายเฉลิมรัชมงคล โครงการรถไฟฟามหานคร สายฉลองรัชธรรม โครงการรถไฟฟามหานคร สายนัคราพิพัฒน และโครงการรถไฟฟา มหานคร สายวิวัฒนนคร

2. วัตถุประสงค
   รฟม. มีความประสงคจะจัดจางผูรับจางเหมาบริการจัดหาแรงงานเพื่อสนับสนุนการปฏิบัติงานของ รฟม. ประจําปงบประมาณ 2570 (ตั้งแตวันที่ 1 ตุลาคม 2569 ถึงวันที่ 30 กันยายน 2570 ระยะเวลา 12 เดือน) จํานวน 16 คน โดยใหปฏิบัติงาน ณ หองควบคุมการเดินรถ ของโครงการรถไฟฟามหานคร สายเฉลิมรัชมงคล จํานวน 4 คน โครงการ รถไฟฟามหานคร สายฉลองรัชธรรม จํานวน 4 คน โครงการรถไฟฟามหานคร สายนัคราพิพัฒน จํานวน 4 คน โครงการ รถไฟฟามหานคร สายวิวัฒนนคร จํานวน 4 คน หรือตามที่ รฟม. กําหนด

3. คุณสมบัติของผูยื่นขอเสนอ
   3.1 มีความสามารถตามกฎหมาย
   3.2 ไมเปนบุคคลลมละลาย
   3.3 ไมอยูระหวางเลิกกิจการ
   3.4 ไมเปนบุคคลซึ่งอยูระหวางถูกระงับการยื่นขอเสนอหรือทําสัญญากับหนวยงานของรัฐไวชั่วคราวเนื่องจากเปน ผูที่ไมผานเกณฑการประเมินผลการปฏิบัติงานของผูประกอบการตามระเบียบที่รัฐมนตรีวาการกระทรวงการคลัง กําหนดตามที่ประกาศเผยแพรในระบบเครือขายสารสนเทศของกรมบัญชีกลาง
   3.5 ไมเปนบุคคลซึ่งถูกระบุชื่อไวในบัญชีรายชื่อผูทิ้งงานและไดแจงเวียนชื่อใหเปนผูทิ้งงานของหนวยงานของรัฐ ในระบบเครือขายสารสนเทศของกรมบัญชีกลาง ซึ่งรวมถึงนิติบุคคลที่ผูทิ้งงานเปนหุนสวนผูจัดการ กรรมการ ผูจัดการ ผูบริหาร ผูมีอานาจในการดําเนินงานในกิจการของนิติบุคคลนั้นดวย
   3.6 มีคุณสมบัติและไมมีลักษณะตองหามตามที่คณะกรรมการนโยบายการจัดซื้อจัดจางและการบริหาร พัสดุภาครัฐกําหนดในราชกิจจานุเบกษา
   3.7 เปนนิติบุคคลผูมีอาชีพรับจางงานที่ประกวดราคาอิเล็กทรอนิกสดังกลาว
   3.8 ไมเปนผูมีผลประโยชนรวมกันกับผูยื่นขอเสนอรายอื่นที่เขายื่นขอเสนอใหแก การรถไฟฟาขนสงมวลชน แหงประเทศไทย ณ วันประกาศประกวดราคาอิเล็กทรอนิกส หรือไมเปนผูกระทําการอันเปนการขัดขวาง การแขงขันอยางเปนธรรม ในการประกวดราคาอิเล็กทรอนิกสครั้งนี้
   3.9 ไมเปนผูไดรับเอกสิทธิ์หรือความคุมกันซึ่งอาจปฏิเสธไมยอมขึ้นศาลไทย เวนแตรัฐบาลของผูยื่นขอเสนอ ไดมีคําสั่งใหสละเอกสิทธิ์และความคุมกันเชนวานั้น
   3.10 ผูยื่นขอเสนอที่ยื่นขอเสนอในรูปแบบของ “กิจการรวมคา” ตองมีคุณสมบัติดังนี้ (1) การกําหนดสัดสวนในการเขารวมคาของคูสัญญา
   กรณีที่ขอตกลงฯ กําหนดใหผูเขารวมคารายใดรายหนึ่งเปนผูเขารวมคาหลัก ขอตกลงฯ จะตองมี การกําหนดสัดสวนหนาที่ และความรับผิดชอบในปริมาณงาน สิ่งของ หรือมูลคาตามสัญญาของผูเขารวมคา หลักมากกวาผูเขารวมคารายอื่นทุกราย
   (2) กรณีที่ขอตกลงฯ กําหนดใหผูเขารวมคารายใดรายหนึ่งเปนผูเขารวมคาหลัก กิจการรวมคานั้นตองใช ผลงานของผูเขารวมคาหลักรายเดียวเปนผลงานของกิจการรวมคาที่ยื่นขอเสนอ สําหรับขอตกลงฯ ที่ไมได กําหนดใหผูเขารวมคารายใดเปนผูเขารวมคาหลัก ผูเขารวมคาทุกรายจะตองมีคุณสมบัติครบถวนตามเงื่อนไขที่ กําหนดไวในเอกสารเชิญชวน
   /(3) การยื่น…

• 2 -
  (3) การยื่นขอเสนอของกิจการรวมคา
  (3.1) กรณีที่ขอตกลงฯ กําหนดใหมีการมอบหมายผูเขารวมคารายใดรายหนึ่ง เปนผูยื่นขอเสนอ ในนามกิจการรวมคา การยื่นขอเสนอดังกลาวไมตองมีหนังสือมอบอํานาจ
  สําหรับขอตกลงฯ ที่ไมไดกําหนดใหผูเขารวมคารายใดเปนผูยื่นขอเสนอ ผูเขารวมคาทุกราย จะตองลงลายมือชื่อในหนังสือมอบอํานาจใหผูเขารวมคารายใดรายหนึ่งเปนผูยื่นขอเสนอในนามกิจการรวมคา (3.2) การยื่นขอเสนอดวยวิธีประกวดราคาอิเล็กทรอนิกส (e – bidding) ใหผูเขารวมคาที่ไดรับ มอบหมายหรือมอบอํานาจตามขอ (3.1) ดําเนินการซื้อเอกสารประกวดราคาอิเล็กทรอนิกส กรณีที่มี การจําหนายเอกสารซื้อหรือจาง
  3.11 ผูยื่นขอเสนอตองลงทะเบียนที่มีขอมูลถูกตองในระบบจัดซื้อจัดจางภาครัฐดวยอิเล็กทรอนิกส (Electronic Government Procurement : e-GP) ของกรมบัญชีกลาง
  3.12 ผูยื่นขอเสนอตองมีมูลคาสุทธิของกิจการ ดังนี้

1. กรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทยหรือตางประเทศ ซึ่งไดจดทะเบียนเกิน กวา 1 ป ตองมีมูลคาสุทธิของกิจการ จากผลตางระหวางสินทรัพยสุทธิหักดวยหนี้สินสุทธิ ที่ปรากฏในงบแสดง ฐานะการเงินที่มีการตรวจรับรองแลว ซึ่งจะตองแสดงคาเปนบวก 1 ปสุดทายกอนวันยื่นขอเสนอ งบแสดง ฐานะการเงิน 1 ปสุดทายกอนวันยื่นขอเสนอ หมายถึง งบแสดงฐานะการเงินยอนไป กอนวันที่หนวยงานของ รัฐกําหนดใหเปนวันยื่นขอเสนอ 1 ปปฏิทิน เวนแตกรณีนิติบุคคลที่จัดตั้งขึ้น ตามกฎหมายไทย หากวันยื่น ขอเสนอเปนชวงระยะเวลาที่กรมพัฒนาธุรกิจการคากําหนดใหนิติบุคคล ยื่นงบแสดงฐานะการเงินกับ กรมพัฒนาธุรกิจการคา ซึ่งจะอยูในชวงเดือนมกราคม - เดือนพฤษภาคม ของทุกป โดยนิติบุคคลที่เปนผูยื่น ขอเสนอนั้นยังอยูในชวงของการยื่นงบแสดงฐานะการเงินกับกรมพัฒนาธุรกิจการคา คือ ชวงเดือนมกราคม - เดือนพฤษภาคม กรณีนี้ใหสามารถยื่นงบแสดงฐานะการเงินยอนไปอีก 1 ป ได
2. กรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทย ซึ่งยังไมมีการรายงาน งบแสดงฐานะ การเงินกับกรมพัฒนาธุรกิจการคา หรือกรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายตางประเทศซึ่ง ยังไมมีการรายงานงบแสดงฐานะการเงิน ใหพิจารณาการกําหนดมูลคาของทุนจดทะเบียน โดยผูยื่นขอเสนอ จะตองมีทุนจดทะเบียนที่เรียกชําระมูลคาหุนแลว ณ วันที่ยื่นขอเสนอ ดังนี้
   มูลคาการจัดซื้อจัดจางเกิน 10 ลานบาท แตไมเกิน 20 ลานบาท ตองมีทุนจดทะเบียนไมต่ํากวา 3 ลานบาท
3. สําหรับการจัดซื้อจัดจางครั้งหนึ่งที่มีวงเงินเกิน 500,000 บาทขึ้นไป กรณีผูยื่นขอเสนอเปนบุคคล ธรรมดาใหพิจารณาจากหนังสือรับรองบัญชีเงินฝากไมเกิน 90 วัน กอนวันยื่นขอเสนอ โดยตองมีเงินฝาก คงเหลือในบัญชีธนาคารเปนมูลคา 1 ใน 4 ของมูลคางบประมาณของโครงการหรือรายการ ที่ยื่นขอเสนอในแต ละครั้ง และหากเปนผูชนะการจัดซื้อจัดจางหรือเปนผูไดรับการคัดเลือกจะตองแสดง หนังสือรับรองบัญชีเงิน ฝากที่มีมูลคาดังกลาวอีกครั้งหนึ่งในวันลงนามในสัญญา
4. กรณีที่ผูยื่นขอเสนอไมมีมูลคาสุทธิของกิจการหรือทุนจดทะเบียน หรือมี แตไมเพียงพอที่จะเขายื่น ขอเสนอ สามารถดําเนินการไดดังนี้
   (1) กรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทย หรือบุคคลธรรมดาที่ถือสัญชาติไทย ผูยื่นขอเสนอสามารถขอวงเงินสินเชื่อ โดยตองมีวงเงินสินเชื่อ 1 ใน 4 ของมูลคางบประมาณของโครงการหรือรายการ ที่ยื่นขอเสนอในแตละครั้ง จะเปนสินเชื่อที่ธนาคารภายในประเทศ หรือบริษัทเงินทุนหรือบริษัทเงินทุนหลักทรัพยที่ ไดรับอนุญาตใหประกอบกิจการเงินทุนเพื่อการพาณิชยและประกอบธุรกิจ ค้ําประกันตามประกาศของธนาคารแหง ประเทศไทย ตามรายชื่อบริษัทเงินทุนที่ธนาคารแหงประเทศไทย แจงเวียนใหทราบ โดยพิจารณาจากยอดเงินรวมของ วงเงินสินเชื่อที่สํานักงานใหญรับรอง หรือที่สํานักงานสาขารับรอง (กรณีไดรับมอบอํานาจจากสํานักงานใหญ) ซึ่งออกใหแกผูยื่นขอเสนอ นับถึงวันยื่นขอเสนอไมเกิน 90 วัน
   /(2) กรณี…

• 3 -
  (2) กรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายตางประเทศ หรือ บุคคลธรรมดาที่มิได ถือสัญชาติไทย ผูยื่นขอเสนอสามารถขอวงเงินสินเชื่อ โดยตองมีวงเงินสินเชื่อ 1 ใน 4 ของมูลคางบประมาณ ของโครงการหรือรายการที่ยื่นขอเสนอในแตละครั้ง จะเปนสินเชื่อที่ธนาคารภายในประเทศ หรือบริษัทเงินทุน หรือบริษัทเงินทุนหลักทรัพยที่ไดรับอนุญาตใหประกอบกิจการเงินทุน เพื่อการพาณิชยและประกอบธุรกิจ ค้ําประกันตามประกาศของธนาคารแหงประเทศไทย ตามรายชื่อบริษัทเงินทุนที่ธนาคารแหงประเทศไทยแจง เวียนใหทราบ หรือเปนสินเชื่อที่ธนาคารตางประเทศหรือบริษัทเงินทุนหลักทรัพยที่ไดรับอนุญาตใหประกอบ กิจการเงินทุนเพื่อการพาณิชยและประกอบธุรกิจค้ําประกันตามประกาศของธนาคารกลางตางประเทศนั้น ตามรายชื่อบริษัทที่ธนาคารกลางตางประเทศนั้นแจงเวียนใหทราบ โดยพิจารณาจากยอดเงินรวมของวงเงิน สินเชื่อที่สํานักงานใหญรับรอง หรือที่สํานักงานสาขารับรอง (กรณีไดรับมอบอํานาจจากสํานักงานใหญ) ซึ่งออกใหแกผูยื่นขอเสนอ นับถึงวันยื่นขอเสนอไมเกิน 90 วัน)

5. กรณีผูยื่นขอเสนอเปนนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายตางประเทศ หรือบุคคลธรรมดาที่มิไดถือ สัญชาติไทยตามขอ 2 ขอ 3 และขอ 4 (2) มูลคาจะตองเปนไปตามอัตราแลกเปลี่ยนเงินตรา ตามประกาศที่ ธนาคารแหงประเทศไทยกําหนด ในชวงระหวางวันที่เผยแพรประกาศและเอกสารประกวดราคาในระบบจัดซื้อ จัดจางภาครัฐดวยอิเล็กทรอนิกส (e - GP) จนถึงวันเสนอราคา
   ทั้งนี้ ผูยื่นขอเสนอจะตองยื่นเอกสารที่แสดงใหเห็นถึงขอมูลเกี่ยวกับมูลคาสุทธิ ของกิจการแลวแต กรณี ประกอบกับเอกสารดังกลาวจะตองผานการรับรองตามระเบียบกระทรวง การตางประเทศวาดวยการรับรอง เอกสาร พ.ศ. 2539 และที่แกไขเพิ่มเติม กําหนด โดยจะตองยื่นเอกสารดังกลาวในวันยื่นขอเสนอ หากผูยื่น ขอเสนอมิไดมีการยื่นเอกสารดังกลาวมาพรอมกับการยื่นขอเสนอใหถือวา ผูยื่นขอเสนอรายนั้นยื่นเอกสารไม ครบถวนตามเงื่อนไขที่กําหนดไวในเอกสารประกวดราคา
6. กรณีตามขอ 1 - ขอ 5 ไมใชบังคับกับกรณีดังตอไปนี้
   (6.1) กรณีที่ผูยื่นขอเสนอเปนหนวยงานของรัฐภายในประเทศ
   (6.2) นิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทยที่อยูระหวางการฟนฟูกิจการ ตามพระราชบัญญัติ ลมละลาย พ.ศ. 2483 และที่แกไขเพิ่มเติม
   (6.3) งานจางกอสรางที่กรมบัญชีกลางไดขึ้นทะเบียนผูประกอบการงานกอสรางแลว และงานจาง กอสรางที่หนวยงานของรัฐที่ไดมีการจัดทําบัญชีผูประกอบการงานกอสรางที่มีคุณสมบัติเบื้องตนไวแลวกอน วันที่พระราชบัญญัติการจัดซื้อจัดจางฯ มีผลใชบังคับ
   (6.4) การจัดซื้อจัดจางตามมาตรา 56 วรรคหนึ่ง (2) (ข) และ (ค) แหงพระราชบัญญัติการจัดซื้อ จัดจางฯ
   (6.5) การซื้ออสังหาริมทรัพยและการเชาอสังหาริมทรัพย
   (6.6) กรณีงานจางบริการหรืองานจางเหมาบริการกับบุคคลธรรมดา เชน จางพนักงานขับรถ ครูชาวตางชาติ พนักงานเก็บขยะ พนักงานบันทึกขอมูล เปนตน
   3.13 ผูยื่นขอเสนอจะตองมีมาตรฐานระบบการจัดการคุณภาพ (Quality Management System : QMS) ที่เปนที่ยอมรับในระดับสากล ISO 9001:2015 และ ISO 45001:2018 เพื่อควบคุมระบบบริหารคุณภาพของ องคกรและเปนมาตรฐานสากลที่ใหขอกําหนดสําหรับระบบการจัดการอาชีวอนามัยและความปลอดภัย ดวยจุดประสงคเพื่อปรับปรุงความปลอดภัยและสุขภาพที่ดีแกลูกจางและบุคลากรอื่น ๆ เนื่องจากผูรับจาง จะตองสงพนักงานเขาปฏิบัติงานในพื้นที่โครงการรถไฟฟาซึ่งมีมาตรฐาน กฏ ระเบียบ ในการปฏิบัติตนและ ปฏิบัติงานที่เขมงานเปนไปตามมาตรฐานสากล โดยผูรับจางจะตองแสดงเอกสารสําเนาใบรับรองระบบบริหาร คุณภาพ ISO 9001:2015 และ ISO 45001:2018 ที่ยังไมหมดอายุหรือเอกสารหลักฐานแสดงการขอใบรับรอง หรือตออายุ
   3.14 ผูยื่นขอเสนอตองมีประสบการณผลงานจัดหาพนักงานเขาดําเนินการเกี่ยวของกับ ระบบราง เชน ใหบริการเกี่ยวกับระบบราง ซอมบํารุงระบบราง เปนตน หรือประสบการณประเภทเดียวกับงานจางครั้งนี้ โดยตองยื่นเอกสาร ดังนี้
   /3.14.1 สําเนา…

• 4 -
  3.14.1 สําเนาสัญญา จํานวน 1 สัญญา
  3.14.2 ขอบเขตของงาน จํานวน 1 ฉบับ
  3.14.3 หนังสือรับรองผลงาน จํานวน 1 ฉบับ
  โดยขอ 3.14.1 - 3.14.3 จะตองเปนสัญญาเดียวกันที่มีระยะเวลาไมนอยกวา 1 ป และมีวงเงินคาจางไม นอยกวา 5,000,000 บาท (หาลานบาทถวน) อีกทั้งตองเปนสัญญาที่ดําเนินการสิ้นสุดแลวภายในระยะเวลาไม เกิน 5 ป นับถึงวันที่ยื่นขอเสนอตามประกาศประกวดราคาอิเล็กทรอนิกสครั้งนี้ จากสวนงานราชการ หนวยงานตามกฎหมายวาดวยระเบียบการบริหารราชการสวนทองถิ่น หนวยงานอื่นซึ่งกฎหมายบัญญัติใหมี ฐานะเปนราชการบริหารสวนทองถิ่น หรือรัฐวิสาหกิจ หรือเอกชนที่ รฟม. เชื่อถือได

4. หลักเกณฑในการพิจารณา
   ในการพิจารณาผูชนะการยื่นขอเสนอการจัดจางในครั้งนี้ รฟม. จะพิจารณาตัดสินโดยใชหลักเกณฑราคาต่ําสุด และพิจารณาจากราคารวม
5. ขอบเขตของงานและหนาที่ความรับผิดชอบของผูรับจาง
   ในการดําเนินการตามสัญญาจางนี้ ผูรับจางตองจัดหาพนักงาน ตําแหนงพนักงานปฏิบัติงานจางเหมาภายใน หองควบคุมการเดินรถ หรือตามที่ รฟม. กําหนด จํานวน 16 คน
   โดยปฏิบัติงานในหองควบคุมการเดินรถเปนประจําทุกวัน
   เวลาทํางาน : เริ่มตั้งแต เวลา 06:00 – 24:00 น.
   ผลัดที่ 1 06:00 – 15:00 น. (รวมพัก) จํานวน 1 คน ตอโครงการรถไฟฟา
   ผลัดที่ 2 15:00 – 24:00 น. (รวมพัก) จํานวน 1 คน ตอโครงการรถไฟฟา
   เพื่อปฏิบัติงานตามโครงการรถไฟฟามหานครสายตาง ๆ ทั้งนี้ ใหมีผูประสานงานและควบคุมการทํางาน จํานวน 1 คน โดยผูรับจางตองรับภาระการจายคาจางของผูประสานงานและควบคุมการทํางานเอง
   5.1 กอนเริ่มการปฏิบัติงานตามสัญญาจาง วันที่ 1 ตุลาคม 2569 หรือวันที่ รฟม. กําหนด ผูรับจางตองดําเนินการ จัดหาบุคคลากรและอุปกรณที่เกี่ยวของกับการปฏิบัติงาน โดยมีรายละเอียด ดังนี้
   5.1.1 กอนวันเริ่มปฏิบัติงานตามสัญญา 1 ตุลาคม 2569 ผูรับจางที่ผานการคัดเลือกจะตองจัดหาพนักงาน เขาอบรมตามวัน เวลา ที่ รฟม. กําหนด โดย รฟม. จะมีหนังสือแจงเปนทางการ ซึ่งผูรับจางจะตองสงพนักงานเขามา เรียนรูเกี่ยวกับการปฏิบัติงานภายในหองควบคุมการเดินรถ โดยภาระคาใชจายในการเรียนรูเปนของผูรับจาง ทั้งนี้ รฟม. มีสิทธิในการตรวจคุณสมบัติและทดสอบความสามารถในการปฏิบัติงานของพนักงานของผูรับจางทุกคนที่ผู รับจางจัดสงมาใหจนเปนที่พอใจ โดยพนักงานปฏิบัติงานจางเหมาจะตองผานเกณฑการอบรมหลักสูตรที่เกี่ยวของ กับการปฏิบัติงานในหองควบคุมการเดินรถที่จัดอบรมโดย รฟม. หรือผูรับสัมปทาน โครงการรถไฟฟา หากพิจารณา เห็นวาพนักงานคนหนึ่งคนใดมีคุณสมบัติไมถูกตองตามคุณสมบัติที่กําหนดในขอบเขตของงานหรือไมมีความสามารถ ในการปฏิบัติงาน ซึ่งอาจทําให รฟม. เสียหายได ผูรับจางตองเปลี่ยนหรือจัดหาพนักงานที่มีคุณสมบัติมาปฏิบัติงาน ทดแทนภายในเวลาที่ รฟม. กําหนด
   5.1.2 จัดใหพนักงานปฏิบัติงานจางเหมา ซึ่งปฏิบัติหนาที่ภายในหองควบคุมการเดินรถ ยื่นคําขอจัดทําบัตร อนุญาตเขาพื้นที่ปฏิบัติงาน (Access Card) ของโครงการรถไฟฟาแตละสายตามหนาที่และพื้นที่ที่ไดรับมอบหมายให ปฏิบัติงาน
   5.1.3 จัดใหพนักงานของผูรับจางเขารับการตรวจรางกายจากแพทยแผนปจจุบันชั้น 1 ที่มีใบประกอบ โรคศิลป โดยผูรับจางจะตองจัดสงใบรับรองการตรวจรางกายของแพทยให รฟม. ตรวจสอบความถูกตอง ดวยคาใชจายของผูรับจาง
   5.1.4 ดําเนินการใหสํานักงานตํารวจแหงชาติตรวจสอบประวัติอาชญากรรมของพนักงานของผูรับจางที่จะ จัดสงให รฟม. ดวยคาใชจายของผูรับจาง นับจากวันที่บริษัทของผูรับจางเหมาบริการมีหนังสือสงตัวใหเปนพนักงาน ตัวจริง และใหนําผลการตรวจสอบประวัติอาชญากรรมที่ออกโดยกองทะเบียนประวัติอาชญากร สํานักงานตํารวจ แหงชาติให รฟม. นับตั้งแตวันที่กองทะเบียนประวัติอาชญากรอนุมัติสถานะการยื่นขอตรวจสอบประวัติ และให ติดตอเขารับเอกสารผลการตรวจได
   /พนักงานของ…

• 5 -
  พนักงานของผูรับจางจะตองไมมีประวัติอาชญากรรมเกี่ยวกับความผิดทางอาญา เวนแตโทษสําหรับ ความผิดที่ไดกระทําโดยประมาทหรือความผิดลหุโทษ ทั้งนี้ รฟม. ไมอนุญาตใหพนักงานของผูรับจางที่มีประวัติ อาชญากรรมเกี่ยวกับความผิดทางอาญาดังกลาวเขาทํางาน หากพบวาพนักงานของผูรับจางมีประวัติอาชญากรรม ดังกลาว ผูรับจางจะตองเปลี่ยนตัวพนักงานดังกลาว และจัดหาพนักงานของผูรับจางมาปฏิบัติงานแทน ทั้งนี้ หาก ผูรับจางไมสามารถจัดหาพนักงานของผูรับจางได บริษัทจะถูกปรับในอัตราตามหลักเกณฑที่ รฟม. กําหนดในขอ 11
  5.1.5 จัดสงสําเนาบัตรประจําตัวประชาชน สําเนาทะเบียนบาน หลักฐานแสดงคุณวุฒิการศึกษา ใบรับรองแพทย หลักฐานตามคุณสมบัติเฉพาะในแตละตําแหนง หนังสือรับรองประสบการณเฉพาะตําแหนงที่ระบุปประสบการณ หรือหลักฐานอื่น ๆ (หากมี) ของพนักงานของผูรับจางที่ผานการทดสอบจาก รฟม. ตามที่กําหนดในเงื่อนไข และ จัดสงสัญญาจางให รฟม. ตรวจสอบความถูกตองกอนที่พนักงานของผูรับจางจะเขามาปฏิบัติงานที่ รฟม.
  5.1.6 จัดใหพนักงานมีชุดแตงกายของบริษัทฯ อีกทั้งติดบัตรแสดงตัวตนตลอดเวลาที่ปฏิบัติงาน หรือตามที่ รฟม. กําหนด
  5.1.7 จัดสงแฟมประวัติพนักงานของผูรับจางทุกคนที่จะจัดสงให รฟม. และที่อาจตองสงมาทดแทนใน วันเริ่มงานวันแรกของพนักงานของผูรับจางซึ่งประกอบดวย
  5.1.7.1 แบบฟอรมทะเบียนประวัติขอมูลพนักงาน (แบบฟอรมตามที่ รฟม. กําหนด) 5.1.7.2 ทะเบียนประวัติของพนักงานของผูรับจางตองระบุชื่อ นามสกุล อายุ เพศ รูปถาย ที่อยู การศึกษา ประวัติการทํางานอื่น ๆ เพื่อประกอบการพิจารณาเขาปฏิบัติงาน
  5.1.7.3 สําเนาบัตรประจําตัวประชาชน และสําเนาทะเบียนบาน
  5.1.7.4 สําเนาวุฒิการศึกษา
  5.1.7.5 ใบรับรองแพทย 4 โรค ไดแก
• โรคเทาชางในระยะที่ปรากฏอาการเปนที่รังเกียจแกสังคม
• โรคติดยาเสพติดใหโทษ
• โรคพิษสุราเรื้อรัง
• โรคติดตอรายแรงหรือโรคเรื้อรังที่ปรากฏอาการเดนชัดหรือรุนแรง และเปนอุปสรรคตอ การปฏิบัติงานในหนาที่
  ทั้งนี้ ตองแสดงผลการตรวจสารเสพติด เชน มอรฟน แอมเฟตามีน เปนตน ซึ่งตองมีผลเปน Negative ดวย โดยการตรวจรางกายนี้ผูรับจางตองเปนผูสงใหตรวจสอบและรับผิดชอบคาใชจายเอง 5.1.7.6 หนังสือรับรองประสบการณเฉพาะตําแหนงที่ระบุปประสบการณ
  5.1.7.7 หลักฐานการตรวจสอบประวัติอาชญากรรมจากสํานักงานตํารวจแหงชาติ 5.1.7.8 หลักฐานอื่น ๆ (หากมี)
  โดยแฟมประวัติทั้งหมดจะเก็บรักษาไว ณ ฝายปฏิบัติการ กองกํากับการเดิน จํานวน 1 ชุด ในกรณีที่มีการเปลี่ยนแปลงตัวพนักงานของผูรับจาง ผูรับจางจะตองจัดสงแฟมประวัติใหแก รฟม. ภายใน 1 วัน นับจากวันที่มีการเปลี่ยนแปลง สําหรับเอกสารตาง ๆ ที่เปนสําเนาจะตองมีการรับรองความถูกตองดวย ทั้งนี้ ผูรับจางตองสงมอบหลักฐานการทําหนังสือยินยอมของพนักงานในการใหผูรับจางเปดเผยขอมูลสวนบุคคล แก รฟม. และ รฟม. จะเก็บรวบรวมและเปดเผยขอมูลสวนบุคคลเทาที่จําเปน ซึ่งจะดําเนินการตาม
  พระราชบัญญัติคุมครองขอมูลสวนบุคคล พ.ศ. 2562 อยางเครงครัด
  5.1.8 จัดใหมีผูประสานงานและควบคุมการทํางาน จํานวน 1 คน ที่สามารถติดตอไดตลอด 24 ชั่วโมง พรอมประสานงานทั้งในสถานการณปกติและสถานการณฉุกเฉิน โดยผูรับจางตองรับภาระการจายคาจางของ ผูประสานงานและควบคุมงานเอง
  /5.1.9 จัดให…
• 6 -
  5.1.9 จัดใหมีอุปกรณสื่อสารโทรศัพทเคลื่อนที่ จํานวน 4 เครื่อง โดยแบงเปนโครงการรถไฟฟาสายละ 1 เครื่อง สําหรับพนักงานของผูรับจางเองที่ปฏิบัติงานในหองควบคุมการเดินรถ ตลอดสัญญา ตลอดระยะเวลา ตามสัญญา ซึ่ง รฟม. มีสิทธิ์ในการบริหารจัดการโทรศัพทเคลื่อนที่และติดตั้งแอปพลิเคชันเฉพาะที่ รฟม. กําหนด โดย พนักงานของผูรับจางตองปฏิบัติตามประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย เรื่อง นโยบายคุมครองขอมูล สวนบุคคล พ.ศ. 2569 (ภาคผนวก ก.) และประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย เรื่อง นโยบายการรักษา ความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ (ฉบับปรับปรุงครั้งที่ 14) (ภาคผนวก ข.) โดยอุปกรณดังกลาวตอง เปนผลิตภัณฑใหม ไมเคยผานการใชงานมากอน และตองมีคุณลักษณะเฉพาะรวมถึงสมรรถนะการทํางานเทียบเทา หรือดีกวาคุณลักษณะเฉพาะที่กําหนดไว และสงมอบโทรศัพทเคลื่อนที่ จํานวน 4 เครื่องใหเปนทรัพยสินของ รฟม. เมื่อสิ้นสุดสัญญาในสภาพสมบูรณพรอมใชงาน ทั้งนี้ ใหมีรายละเอียดอยางนอย ดังตอไปนี้
  5.1.9.1 เปนเครื่องโทรศัพทเคลื่อนที่แบบหนาจอสัมผัส พรอมติดตั้งระบบปฏิบัติการ Android เวอรชันลาสุด
  5.1.9.2 มีหนวยประมวลผลกลาง CPU แบบ 6 Core (หรือดีกวา)
  5.1.9.3 มีหนวยความจําหลัก (RAM) ขนาดไมนอยกวา 8 GB
  5.1.9.4 มีหนวยจัดเก็บขอมูล (Internal Storage) ความจุไมนอยกวา 128 GB 5.1.9.5 มีระบบยืนยันตัวบุคคลดวยการสแกนใบหนา (Face Recognition) หรือดีกวา 5.1.9.6 มีระบบเครือขายไรสายตามมาตรฐาน IEEE 802.11ax (Wi-Fi 6) หรือดีกวา 5.1.9.7 มีจอภาพขนาดไมนอยกวา 6.1 นิ้ว แบบ OLED หรือดีกวา รองรับ Multi-Touch และเคลือบ สารปองกันรอยนิ้วมือ อีกทั้งติดตั้ง ฟลมกันรอยหนาจอแบบกระจก
  5.1.9.8 มีแบตเตอรี่แบบ Lithium-ion และอุปกรณแปลงไฟฟา (Adapter) รองรับการชารจไว (Fast Charging) ไมนอยกวา 25W สําหรับตอใชงานกับไฟฟา 220V และ มีสายสัญญาณ USB-C หรือดีกวา สําหรับรับ-สงขอมูล และชารจไฟฟาได ความยาวไมนอยกวา 1 เมตร
  5.1.9.9 ระบบรองรับ Nano SIM และ/หรือ eSIM ระบบเครือขายรองรับการใชงาน 5G โดยสามารถโทรไดไมนอยกวา 300 นาที และใชงานเครือขายอินเตอรเน็ตแบบไมจํากัดขอมูล และไมจํากัด ชั่วโมงการใชงาน โดยมีความเร็วการรับสงขอมูลไมนอยกวา 20 Mbps โดยผูรับจางตองเปนผูดําเนินการ ในการลงทะเบียน และรับผิดชอบคาใชจายการใชบริการที่เกิดขึ้นทั้งหมดตลอดระยะเวลาสัญญา
  5.1.9.10 มีกลองถายภาพดานหลังความละเอียดไมนอยกวา 50 ลานพิกเซล พรอมระบบกันสั่น (OIS) ระบบอัตโนมัติในการปรับโฟกัสภาพ (Auto Focus) หรือดีกวา และสามารถบันทึกภาพเคลื่อนไหวได 5.1.9.11 ตัวเครื่องตองเปนผลิตภัณฑใหม ไมเคยผานการใชงานมากอน และมีการรับประกันจากผูผลิต หรือผูแทนจําหนายในประเทศไทยไมนอยกวา 1 ป
  5.1.10 จัดใหมีอุปกรณกระจายสัญญาณเครือขายแบบ 4G (4G Router Wi-Fi) พรอม SIM Card ความเร็วไมนอยกวา 15 Mbps แบบไมจํากัด เพื่อใชสําหรับสงขอมูลและปฏิบัติงานจํานวน 4 เครื่อง โดยแบงเปน โครงการรถไฟฟาสายละ 1 เครื่อง สําหรับพนักงานของผูรับจางเองที่ปฏิบัติงานในหองควบคุมการเดินรถตลอดสัญญา และสงมอบอุปกรณกระจายสัญญาณเครือขายแบบ 4G (4G Router Wi-Fi) ใหเปนทรัพยสินของ รฟม. เมื่อสิ้นสุด สัญญาในสภาพสมบูรณพรอมใชงาน
  5.1.11 จัดใหมี SIM Card จํานวน 3 SIM สําหรับผูประสานงานของ รฟม. ระบบเครือขายรองรับการใช งาน 5G โดยสามารถโทรไดไมนอยกวา 300 นาที และใชงานเครือขายอินเตอรเน็ตแบบไมจํากัดขอมูล และไม จํากัดชั่วโมงการใชงาน โดยมีความเร็วการรับสงขอมูลไมนอยกวา 20 Mbps โดยผูรับจางตองเปนผูดําเนินการ ในการลงทะเบียน และรับผิดชอบคาใชจายการใชบริการที่เกิดขึ้นทั้งหมดตลอดระยะเวลาสัญญา
  /5.1.12จัดหา…
• 7 -
  5.1.12 จัดหาระบบหรือแอปพลิเคชันสําหรับตรวจสอบเวลาเขา – ออกงานของพนักงานในแตละผลัด รวมถึงแตละโครงการรถไฟฟาผานอุปกรณกระจายสัญญาณเครือขายแบบ 4G (4G Router Wi-Fi) ตามขอ 5.1.10 เพื่อใชในการตรวจสอบระยะเวลาการเขา – ออกงานของพนักงานของผูรับจาง
  5.2 ผูรับจางตองดําเนินงานตามสัญญาจาง (เริ่มปฏิบัติงานตั้งแตวันที่ 1 ตุลาคม 2569 – 30 กันยายน 2570 หรือ วันที่ รฟม. กําหนด) โดยมีรายละเอียด ดังนี้
  5.2.1 กรณีที่พนักงานของผูรับจางมีการลา ขาดงาน หรือหยุดงาน และ/หรือขาดคุณสมบัติของ พนักงาน ผูรับจางตองปฏิบัติดังนี้
• กรณีที่พนักงานของผูรับจางลา หรือหยุดงาน ผูรับจางตองจัดสงพนักงานทดแทนภายในเวลา ผลัดที่ 1 เวลา 06:00 น. และผลัดที่ 2 เวลา 15:00 น.
• กรณีที่พนักงานของผูรับจางลาออก ผูรับจางตองจัดสงพนักงานมาทดแทน พรอมทั้งตองจัดสง แฟมประวัติตามขอ 5.1.7 ให รฟม. ในวันเริ่มปฏิบัติงานของพนักงานดังกลาว
• กรณีที่พนักงานของผูรับจางขาดงาน ผูรับจางตองจัดสงพนักงานที่ผานการอบรมตามขอ 5.1.2 มาทดแทนใหครบจํานวน
• กรณีที่พนักงานของผูรับจางมีผลการประเมินต่ํากวาเกณฑที่ รฟม. กําหนด หรือ รฟม. ประเมินแลววา ไมมีความสามารถในการปฏิบัติงานตามที่ไดรับมอบหมายได รฟม. มีสิทธิ์ขอเปลี่ยนตัว พนักงานของผูรับจาง โดยจะแจงใหทราบลวงหนาไมนอยกวา 1 วันทําการ และผูรับจางจะตองจัดสงพนักงาน ทดแทน ซึ่งผานการอบรมตามขอ 5.1.2 ใหมาปฏิบัติงานให รฟม. ในวันถัดไป
  5.2.2 จัดใหมีการปฐมนิเทศพนักงาน เพื่อใหเขาใจสิทธิ หลักเกณฑ ขอกฎหมายตาง ๆ เพื่อใหพนักงานของ ผูรับจางมีความรูและความเขาใจอยางชัดเจนเกี่ยวกับระเบียบ ขอปฏิบัติของผูรับจาง และของ รฟม.รวมทั้งชี้แจง ลักษณะงานที่รับผิดชอบ และจัดใหมีการอบรมใหความรูเกี่ยวกับขอกําหนดของขอบเขตของงานจางเหมาบริการ จัดหาแรงงานของ รฟม. และใหพนักงานของผูรับจางตองปฏิบัติตามขอกําหนดในการปฏิบัติงานและขอกําหนด เกี่ยวกับความประพฤติ ดังนี้
  ขอกําหนดในการปฏิบัติงาน
  (1) เคารพและปฏิบัติตามขอกําหนดสัญญาในการทํางานโดยเครงครัด
  (2) เชื่อฟงและปฏิบัติตาม รฟม. กําหนด
  (3) ปฏิบัติหนาที่ดวยความซื่อสัตย ขยันหมั่นเพียร เสียสละ อดทน และมีความตั้งใจจริง (4) ไมแจงหรือรายงานเท็จ หรือปกปดขอเท็จจริงเกี่ยวกับการทํางานตอ รฟม.
  (5) ไมละทิ้งหนาที่ ขาดงานหรือหยุดงานโดยไมมีเหตุผลอันสมควร
  (6) จะตองเปนผูตรงตอเวลา ไมมาปฏิบัติงานสาย
  (7) ไมจงใจหรือเจตนาที่จะปฏิบัติงานใหลาชา
  (8) ผูประสานงานและควบคุมการทํางานตองคอยดูแลมิใหพนักงานลงเวลาปฏิบัติงานเท็จ (9) หามนําเครื่องมือ เครื่องใช หรือทรัพยสินอื่นใดของ รฟม. ไปใชประโยชนสวนตัวหรือผูอื่น เวน แตจะไดรับอนุญาตจากผูมีอํานาจอนุมัติ
  (10) ไมเปดเผยขอความใด ๆ อันเปนเรื่องความลับเกี่ยวกับการดําเนินงานของ รฟม.
  ขอกําหนดเกี่ยวกับความประพฤติ
  (1) ไมประพฤติตนไปในทางที่จะนําความเสื่อมเสียชื่อเสียงมาสู รฟม.
  (2) ไมใชกริยาวาจาไมสุภาพตอผูปฏิบัติงานของ รฟม. และผูอื่น
  (3) ไมกระทําหรือสนับสนุนใหมีการทะเลาะวิวาท หรือทํารายรางกายเพื่อนรวมงานและผูอื่น (4) ไมแพรขาวอกุศลใสรายผูอื่น แอบอางทําใหเกิดความเสียหายแก รฟม. หรือกอใหเกิด ความแตกแยกความสามัคคีในระหวางเพื่อนรวมงานดวยกัน
  (5) หามนําสิ่งเสพติด สุรา ของมึนเมา บุหรี่ไฟฟา และของผิดกฎหมายเขามาในบริเวณที่ทําการ ของ รฟม.
  (6) หามเลนการพนันทุกชนิด
  /(7) ไมหลับ…
• 8 -
  (7) ไมหลับระหวางการทํางาน
  (8) ไมเสพสิ่งเสพติด สุรา หรือสิ่งมึนเมาอยางอื่นระหวางทํางาน หรือทํางานในสภาพมึนเมา (9) ไมเปนผูกระทํา หรือใหความรวมมือในการโจรกรรม หรือทําลายทรัพยสินของ รฟม. หรือ ทรัพยสินของราชการ หรือกระทําการอยางใดอันเปนผลทําให รฟม. ได รับความเสียหาย
  (10) สูบบุหรี่ ณ สถานที่ที่ รฟม. จัดให
  (11) หามนําอาวุธทุกชนิดเขามาในบริเวณที่ทําการของ รฟม.
  (12) หามดําเนินการหรือกระทําการใด ๆ ในทางที่ขัดตอกฎหมาย และศีลธรรมอันดี
  (13) หามบันทึกเสียง ภาพนิ่งและภาพเคลื่อนไหว ภายในหองควบคุมการเดินรถ ยกเวนไดรับการ อนุญาตจาก รฟม.
  (14) กรณีพนักงานของผูรับจางนําความเสื่อมเสียชื่อเสียงมาสู รฟม. โดยมีการลงขาวสื่อมวลชนทําให รฟม. เสียภาพลักษณ ผูรับจางตองโฆษณาทางสื่อโฆษณาตามที่กําหนดเพื่อเผยแพรขาว ชี้แจงขอเท็จจริงและ รฟม. ขอสงวนสิทธิ์เรียกคาเสียหายที่เกิดขึ้นจากเหตุการณดังกลาว (ถามี)
  5.2.3 ในกรณีที่ผูรับจางตองการยาย/เปลี่ยนแปลงพนักงานของผูรับจาง ผูรับจางจะตองแจงให รฟม. ทราบ ลวงหนาไมนอยกวา 5 วันทําการ และพนักงานของผูรับจางที่มาทดแทนจะตองมีคุณสมบัติครบถวนตามที่กําหนดไว และตองนํามาทดแทนในวันที่มีการยายหรือเปลี่ยนแปลง
  5.2.4 ผูรับจางตองทําบัตรประจําตัวใหแกพนักงานของผูรับจางและบัตรผานเขา – ออกสถานที่ดวยคาใชจาย ของผูรับจางเอง พรอมทั้งจัดสงสรุปรายชื่อพรอมลายมือชื่อของพนักงานของผูรับจางที่ไดรับการปฐมนิเทศและไดรับ บัตรประจําตัวภายใน 10 วันทําการนับแตวันเริ่มปฏิบัติงาน
  ในกรณีที่แตละโครงการรถไฟฟากําหนดใหมีบัตรผานเขา – ออก สถานที่ ผูรับจางจะตองควบคุมให พนักงานของผูรับจางเก็บรักษาบัตรดังกลาวไวเปนอยางดี ในกรณีที่บัตรชํารุดเสียหายหรือสูญหาย ใหถือเปน คาใชจายของ ผูรับจางซึ่งจะเรียกเก็บหรือหักคาใชจายดังกลาวจากพนักงานของผูรับจางมิได 5.2.5 ตองปฏิบัติงานอื่นในสวนที่เกี่ยวของกับระบบการบริหารจัดการที่ รฟม. กําหนด ไดแก ระบบ การจัดการอาชีวอนามัยและความปลอดภัย หรือระเบียบอื่น ๆ ที่อาจเกิดขึ้นในอนาคต

6. ผูรับจางจะตองจัดหาพนักงานตามคุณสมบัติและเงื่อนไขการจาง ดังตอไปนี้
   ผูรับจางจะตองดําเนินการจัดหาพนักงานปฏิบัติงานจางเหมาภายในหองควบคุมการเดินรถและผูประสานงานและ ควบคุมการทํางาน ดังนี้
   6.1 พนักงานปฏิบัติงานจางเหมาภายในหองควบคุมการเดินรถ จํานวน 16 คน
   อัตราคาจางใหเปนไปตามกฎหมายแรงงาน
   ขอบเขตของงาน ปฏิบัติงานภายในหองควบคุมการเดินรถไฟฟา ติดตาม ตรวจสอบ กํากับดูแลการใหบริการ รถไฟฟาขนสงมวลชน รายงานเหตุการณไมปกติที่เกิดขึ้นในระหวางปฏิบัติงานใหแกผูบังคับบัญชา จัดทํารายงาน บันทึกเหตุการณภายในหองควบคุมการเดินรถ และปฏิบัติงานอื่นที่ไดรับมอบหมาย
   คุณสมบัติทั่วไป

1. มีสัญชาติไทย
2. มีอายุตั้งแต 20 ปบริบูรณ และไมเกิน 35 ปบริบูรณ นับถึงวันที่เริ่มปฏิบัติงานกับ รฟม. 3) มีความประพฤติดี กิริยาวาจาสุภาพเรียบรอย และไมเปนผูบกพรองในศีลธรรมอันดี
3. ไมเปนผูมีรางกายทุพพลภาพจนไมสามารถปฏิบัติงานได ไรความสามารถ จิตฟนเฟอน ไมสมประกอบ หรือไมเปนโรค ดังนี้

• โรคเทาชางในระยะที่ปรากฏอาการเปนที่รังเกียจแกสังคม
• โรคติดยาเสพติดใหโทษ
• โรคพิษสุราเรื้อรัง
• โรคติดตอรายแรงหรือโรคเรื้อรังที่ปรากฏอาการเดนชัดหรือรุนแรง และเปนอุปสรรคตอการปฏิบัติหนาที่ /ทั้งนี้ ตอง…
• 9 -
  ทั้งนี้ ตองแสดงผลการตรวจสารเสพติด เชน มอรฟน แอมเฟตามีน เปนตน ซึ่งตองมีผลเปน Negative ดวย โดยการตรวจรางกายนี้ผูรับจางตองเปนผูสงใหตรวจสอบและรับผิดชอบคาใชจายเอง

5. มีอัธยาศัยและมนุษยสัมพันธดี สามารถปฏิบัติงานรวมกับเพื่อนรวมงานได
6. ตองเปนผูที่อุทิศตนเพื่อการปฏิบัติงานของ รฟม.
7. มีความรับผิดชอบตอหนาที่ที่ไดรับมอบหมายและปฏิบัติงานตามคําสั่งของ รฟม.
8. ผูสมัครที่เปนชายตองพนจากการรับราชการทหารกองประจําการแลว โดยมีหลักฐานของทางราชการ รับรองวาพนจากการรับราชการทหารกองประจําการ หรือพนจากการตรวจเลือกทหารกองเกินเขารับราชการทหาร กองประจําการแลวโดยไมตองเปนทหาร หรือหลักฐานอื่นที่แสดงวาไมตองเปนทหาร
   คุณสมบัติเฉพาะตําแหนง
9. เพศชาย/หญิง
10. วุฒิการศึกษาไมต่ํากวาปริญญาตรีวิศวกรรมศาสตร วิทยาศาสตร ครุศาสตรอุตสาหกรรม หรือสาขาที่เกี่ยวของ 3) สามารถใชโปรแกรมคอมพิวเตอร MICROSOFT OFFICE ได
11. สามารถทํางานหมุนเวียนเปนกะได
12. สามารถปฏิบัติงานนอกสถานที่ตามที่ไดรับมอบหมายได
13. สามารถสื่อสารภาษาอังกฤษได
    ลักษณะงานที่ปฏิบัติ 1) ตรวจสอบการปฏิบัติงานภายในหองควบคุมการเดินรถ บันทึกเหตุการณตาง ๆ ที่เกิดขึ้น ความตรงตอเวลา ของการเดินรถ จัดทําเอกสารหรือรายงานหรือไฟลงานนําเสนออื่น ๆ พรอมทั้งรายงานเหตุการณตอผูบังคับบัญชา พรอมทั้งจัดทํา จัดเก็บ และรายงานขอมูลตามแบบฟอรมที่ รฟม. กําหนด
14. ตองจัดทํารายงานเหตุการณการใหบริการเดินรถใหเสร็จสิ้นภายในผลัด
15. เมื่อสิ้นสุดสัปดาหตองจัดสงรายงานสรุปเหตุการณภายในหองควบคุมการเดินรถประจําสัปดาห และนําสงให รฟม. ตรวจสอบทุกวันจันทร หรือตามที่ รฟม. กําหนด
16. ทุกสิ้นเดือนตองจัดสงสรุปผลรายงานการปฏิบัติงานตามรูปแบบที่ รฟม. กําหนด
17. สนับสนุนงานอื่นๆ ของ รฟม. ตามที่ไดรับมอบหมาย
    6.2 ผูประสานงานและควบคุมการทํางาน ตามขอ 5.1.8 จํานวน 1 คน
    ขอบเขตงาน
    มีความพรอมในการประสานงานระหวาง รฟม. ผูรับจาง และพนักงานของผูรับจาง ทั้งในสถานการณปกติและ สถานการณฉุกเฉิน ซึ่งสามารถติดตอได ตองเปนผูวางแผนงานในแตละวัน บริหารจัดการสงพนักงานเขาปฏิบัติงาน ตามโครงการรถไฟฟามหานครสายตาง ๆ จัดหาพนักงานมาทดแทน กําหนดรายชื่อพนักงานที่เขาปฏิบัติงาน จัดทํารายงานการปฏิบัติงาน จัดทําสรุปรายเดือนโดยตองตรวจสอบคาจางเหมาบริการ คาทํางานลวงเวลา คาปรับ กรณีปฏิบัติงานลาชา และคาปรับกรณีไมมาปฏิบัติงานใหถูกตองครบถวนดวย รวมถึงการจัดสงสรุปรายงาน ผลการปฏิบัติงานภายในหองควบคุมการเดินรถ หรือตามที่ไดรับมอบหมาย
    คุณสมบัติทั่วไป
18. เพศชาย/หญิง มีสัญชาติไทย
19. มีอายุไมต่ํากวา 30 ปบริบูรณ นับถึงวันที่เริ่มปฏิบัติงานกับ รฟม.
20. มีฝมือดี มีสุขภาพแข็งแรง มีความซื่อสัตย อดทน มีกิริยามารยาทเรียบรอยสุภาพ และไมเปนผูบกพรอง ในศีลธรรมอันดี มีคุณสมบัติตรงตามที่กําหนดในขอบเขตของงานจางนี้ พรอมที่จะปฏิบัติงานให รฟม. 4) มีอัธยาศัยและมนุษยสัมพันธดี สามารถปฏิบัติงานรวมกับเพื่อนรวมงานได
21. ตองเปนผูที่อุทิศตนเพื่อการปฏิบัติงานของ รฟม.
22. มีความรับผิดชอบตอหนาที่ที่ไดรับมอบหมายและปฏิบัติงานตามคําสั่งของ รฟม. 7) ผูสมัครที่เปนชายตองพนจากการรับราชการทหารกองประจําการแลว โดยมีหลักฐานของทางราชการรับรอง วาพนจากการรับราชการทหารกองประจําการ หรือพนจากการตรวจเลือกทหารกองเกินเขารับราชการทหาร กองประจําการแลวโดยไมตองเปนทหาร หรือหลักฐานอื่นที่แสดงวาไมตองเปนทหาร 8) สามารถปฏิบัติตามระเบียบขอบังคับในการทํางานและตองรักษาความลับของ รฟม. ได
    /คุณสมบัติ…

• 10 -
  คุณสมบัติเฉพาะ

1. วุฒิการศึกษาไมต่ํากวาปริญญาตรีทุกสาขา
2. มีความรูในสัญญา และการบริหารงานตามที่ รฟม. กําหนด และสามารถตัดสินใจแกไขปญหาเฉพาะหนาไดดี 7. ระยะเวลาดําเนินการ
   ระยะเวลาดําเนินการและการปฏิบัติงานของพนักงานผูรับจาง มีดังนี้
   7.1 เริ่มปฏิบัติงานตั้งแตวันที่ 1 ตุลาคม พ.ศ. 2569 ถึงวันที่ 30 กันยายน พ.ศ. 2570 (รวม 12 เดือน) 7.2 วันและเวลาการทํางาน
   รฟม. จะจัดตารางการปฏิบัติงานใหพนักงานในแตละสาย โดยอางอิงจากวันทําการและวันหยุดในเดือนนั้น ซึ่งผูรับจางตองจัดใหพนักงานของผูรับจางปฏิบัติงานตามที่ รฟม. กําหนด
   วันทํางาน : ปฏิบัติงานในหองควบคุมการเดินรถเปนประจําทุกวัน
   เวลาทํางาน : เริ่มตั้งแต เวลา 06:00 – 24:00 น.
   ผลัดที่ 1 06:00 – 15:00 น. (รวมพัก) จํานวน 1 คน ตอโครงการรถไฟฟา
   ผลัดที่ 2 15:00 – 24:00 น. (รวมพัก) จํานวน 1 คน ตอโครงการรถไฟฟา

8. วงเงินในการจัดหา
   วงเงินทั้งสิ้น 12,000,000 บาท (สิบสองลานบาทถวน) ซึ่งเปนราคาที่รวมภาษีมูลคาเพิ่ม ภาษีอื่นๆ (ถามี) และ คาใชจายทั้งปวงไวดวยแลว
9. คาจางและการจายเงิน
   9.1 รฟม. จะชําระเงินตามสัญญานี้ เปนการชําระแบบรายงวด ซึ่งไดรวมภาษีมูลคาเพิ่มตลอดจนภาษีอาการอื่น ๆ และคาใชจายทั้งปวงแลว โดยมีรายละเอียดการชําระเงินแบงออกเปน 12 งวด ซึ่ง รฟม. ตกลงจายคาจางใหผูรับจาง เปนรายเดือนเมื่อผูรับจางไดปฏิบัติงานใหแลวเสร็จตามสัญญา พรอมทั้งสงมอบเอกสาร ตามขอ 5.2.6 ตําแหนงพนักงานปฏิบัติงานจางเหมาภายในหองควบคุมการเดินรถ อัตราคาจางใหเปนไปตามกฎหมายแรงงาน ทั้งนี้ กรณีมีการทํางานลวงเวลาของพนักงานของผูรับจาง จะตองมีหลักฐานการอนุมัติการทํางานลวงเวลาจาก ผูอํานวยการฝาย/สํานัก ประกอบดวย โดย รฟม. จะชําระใหเมื่อผูรับจางไดดําเนินการยื่นขอรับคาจางพรอม รายละเอียดตามที่ รฟม. กําหนด และ รฟม. ตกลงจะจายใหภายใน 45 วัน นับจากวันที่ คณะกรรมการตรวจ รับพัสดุของ รฟม. ไดตรวจรับงานเรียบรอยแลว
   9.2 การคิดคาจางใหเริ่มตั้งแตวันที่พนักงานของผูรับจางเขาปฏิบัติงาน คํานวณจากการลงเวลาเขา – ออก งานในแตละวันของแตละคนตามที่ปรากฏในหลักฐานการลงเวลาปฏิบัติงาน และจะไมพิจารณาการขออนุมัติ ลงเวลาทํางาน ยกเวนในกรณีที่ตองไปปฏิบัติงานนอกสถานที่ตามที่ผูบังคับบัญชามอบหมาย หรือกรณีอุปกรณ หรือระบบการลงเวลาปฏิบัติงานเสียพรอมกันทุกเครื่อง ซึ่งเปนเหตุใหพนักงานของผูรับจางทุกคนไมสามารถลง เวลาปฏิบัติงานได
10. การทํางานลวงเวลา (หากมี)
    10.1 ในกรณีที่ รฟม. มีความจําเปนตองใหพนักงานของผูรับจางทํางานลวงเวลาในวันทําการปกติ ทํางานใน วันหยุด และทํางานลวงเวลาในวันหยุด รฟม. สามารถกําหนดระยะเวลาการทํางานดังกลาวตามความจําเปน ภายใต เงื่อนไขและการปฏิบัติงานเปนคราว ๆ ไป
    10.2 หลักเกณฑการจายคาทํางานลวงเวลาในวันทํางานปกติ คาทํางานในวันหยุด คาทํางานลวงเวลาในวันหยุด ใหคิดเฉลี่ยคาจาง 30 วันตอเดือน ตามหลักเกณฑ ดังนี้
    10.2.1 การทํางานลวงเวลาในวันทําการปกติ พนักงานของผูรับจางจะไดรับคาลวงเวลาในอัตรา 1.5 เทา ของคาจาง
    10.2.2 การทํางานในวันหยุด พนักงานของผูรับจางจะไดรับคาทํางานในวันหยุดงานในอัตรา 1 เทา ของคาจาง
    10.2.3 การทํางานลวงเวลาในวันหยุด พนักงานของผูรับจางจะไดรับคาลวงเวลาในวันหยุดในอัตรา 3 เทาของคาจาง
    10.2.4 คาจางที่ใชในการคํานวณคาลวงเวลาในขอ 10.2.1 - 10.2.3 ใหคํานวณจากคาจางที่ผูรับจาง จายใหกับพนักงานของผูรับจางแตละตําแหนง ดังนี้
    /คาลวงเวลา…

• 11 -
  คาลวงเวลา (รายชั่วโมง) = คาจาง* ÷ 30 วัน
  8 ชั่วโมง
  *คาจาง หมายถึง คาจางตอเดือนแตละตําแหนง ไมรวมคาดําเนินการและภาษีมูลคาเพิ่ม โดยใชราคาคาจาง ตามขอ 12
  ทั้งนี้ จะคํานวณคาลวงเวลาเมื่อพนักงานของผูรับจางปฏิบัติงานเต็มทุก 1 ชั่วโมง (เศษของชั่วโมงไมนํามาคํานวณ)

11. คาปรับ
    11.1 ในกรณีที่ผูรับจางไมสงมอบ หรือจัดหาพนักงานของผูรับจางมาปฏิบัติงานไมครบจํานวนตามสัญญา จางเหมาบริการ ตอ 1 ผลัด ตอ 1 โครงการรถไฟฟา ดังที่ระบุไวในตารางผลัด ที่ รฟม. กําหนด ผูรับจางยินยอมให รฟม. ปรับในอัตรา รอยละ 0.1 ของมูลคาสัญญาจางตามสัญญา ตอ 1 ผลัด ตอ 1 โครงการรถไฟฟา
    11.2 ในกรณีที่พนักงานของผูรับจางมาปฏิบัติงานลาชากวากําหนดหรือออกกอนเวลาหรือไมครบจํานวน ตามสัญญาจาง ดังที่ระบุไวในตารางผลัด ผูรับจางยินยอมให รฟม. ปรับชั่วโมงละ 100 บาท (หนึ่งรอยบาทถวน) ตอ 1 ผลัด ตอ 1 โครงการรถไฟฟา โดยที่เศษของชั่วโมงใหคิดเปน 1 ชั่วโมง ทั้งนี้ หากมาลาชาเกินกวา 2 ชั่วโมงจะถือวาขาดงานและจะดําเนินการปรับตามขอ 11.1
    11.3 ในกรณีที่พนักงานของผูรับจางที่มาปฏิบัติหนาที่มีความจําเปนตองออกจากพื้นที่ที่รับผิดชอบชั่วคราว เชน ไปรับประทานอาหาร เขาหองน้ํา เปนตน ใหพนักงานของผูรับจาง แจงใหผูประสานงานของ รฟม. ที่รับผิดชอบ ทราบกอนออกจากพื้นที่และจะออกจากพื้นที่ไดเมื่อไดรับอนุญาตแลวเทานั้น กรณี รฟม. ตรวจสอบพบวาพนักงาน ของผูรับจางมาปฏิบัติหนาที่ แตไมอยูประจําจุดที่รับผิดชอบ ผูรับจางยินยอมให รฟม. ปรับชั่วโมงละ 100 บาท (หนึ่งรอยบาทถวน) ตอคน โดยที่เศษของชั่วโมงใหคิดเปน 1 ชั่วโมง
    11.4 ในกรณีที่ผูรับจางสงออกขอมูลภายใน รฟม. ไปยังบุคคลหรือหนวยงานภายนอก รฟม. โดยไมไดรับ ความเห็นชอบจาก รฟม. ผูรับจางยินยอมให รฟม. ปรับในอัตรา รอยละ 0.1 ของมูลคาสัญญาจางตามสัญญา ตอ การที่ รฟม. ตรวจพบ 1 ครั้ง
12. การทําสัญญาจาง
    ผูชนะการยื่นขอเสนองานจางในครั้งนี้ (ผูรับจาง) จะตองแยกคาจางที่เสนอราคาไดออกเปนคาจาง เหมาบริการ ภาษีมูลคาเพิ่มของพนักงานของผูรับจางแตละตําแหนง คาใชจายในการบริหารและคาใชจายอื่น ๆ ที่เสนอใหชัดเจนกอนลงนามในสัญญา
13. ขอกําหนดอื่น ๆ
    13.1 ในกรณีที่ผูรับจางไมปฏิบัติตามสัญญาขอใดขอหนึ่ง รฟม. มีสิทธิบอกเลิกสัญญาได และหาก รฟม. บอกเลิกสัญญาแลว ผูรับจางตองยินยอมให รฟม. ดําเนินการดังตอไปนี้
    13.1.1 เรียกคาจางที่เพิ่มขึ้น หาก รฟม. ตองทําการจางบุคคลอื่นใหมาปฏิบัติงานตอไปจนครบ กําหนดตามเวลาสัญญานี้
    13.1.2 เรียกคาเสียหายอื่น ๆ จากผูรับจาง
    13.1.3 ยึดหรือระงับการจายเงินคาจางที่คางชําระเพื่อนํามาชําระเปนคาเสียหาย 13.1.4 ยึดหลักประกันสัญญาทั้งหมดหรือบางสวนตามแต รฟม. จะเห็นสมควรและหากเงินประกัน ไมเพียงพอที่จะชําระคาเสียหาย ผูรับจางตองยินยอมชําระสวนที่ยังขาดอยูจนครบถวนภายใน 7 (เจ็ด) วัน นับแตวันที่ไดรับแจงจาก รฟม.
    13.1.5 ยินยอมชําระดอกเบี้ยที่เกิดจากการผิดนัด และ/หรือ คาใชจายและคาเสียหายที่เกิดขึ้น เนื่องจากการผิดสัญญาแก รฟม. ตามที่กฎหมายกําหนด
    /13.2 ผูรับจาง…

• 12 -
  13.2 ผูรับจางตองปฏิบัติตามกฎหมายแรงงาน กฎ ระเบียบ ขอบังคับ คําสั่ง แนวปฏิบัติของ รฟม. และ กฎหมายอื่น ๆ ที่เกี่ยวของทั้งหมดอยางเครงครัด (รวมถึงการสงเงินเขากองทุนสงเคราะหลูกจางมีผลบังคับใช 1 ตุลาคม 2569) หากมีความเสียหายใด ๆ เกิดขึ้นจากการไมปฏิบัติตามขอสัญญานี้ ผูรับจางตองรับผิดชอบ ความเสียหายที่เกิดขึ้นทั้งหมดทั้งในปจจุบัน และที่จะเกิดขึ้นในอนาคตอยางเครงครัด
  13.3 ในกรณีที่รัฐบาลประกาศเปลี่ยนแปลงกําหนดอัตราคาแรงขั้นต่ําภายหลังสัญญานี้มีผลใชบังคับ ผูรับจาง อาจรองขอเพิ่มอัตราคาจางเฉพาะคาแรงพนักงานของผูรับจางตามอัตราสวนตางของคาจางขั้นต่ําที่รัฐบาลกําหนด เพิ่มขึ้น โดย รฟม. และผูรับจางจะตองเจรจาตกลงกันในรายละเอียดอีกครั้งหนึ่ง ทั้งนี้ รฟม. จะพิจารณาดวยเหตุผล ที่สมควรและเปนธรรม หากไมสามารถตกลงตามที่ผูรับจางรองขอไดเนื่องจากเหตุขัดของดานงบประมาณหรือ เหตุอื่นใด ผูรับจางตองรับผิดชอบคาใชจายที่เพิ่มขึ้น และจะไมเรียกรองคาเสียหายใด ๆ ทั้งสิ้น 13.4 ตองรับผิดชอบในความเสียหายทั้งหมดที่เกิดขึ้นตอทรัพยสิน ชีวิต รางกายกับบุคคลใด ๆ ไมวาจะเปน พนักงานลูกจางของ รฟม. หรือตัวแทนพนักงานของผูรับจาง หรือบุคคลอื่นในทุกกรณีความเสียหายอันเกิดจาก การกระทําหรืองดเวนการกระทําโดยจงใจ หรือความประมาทเลินเลอของผูรับจางหรือพนักงานของผูรับจาง 13.5 หากเกิดความเสียหายตอ รฟม. และสามารถคิดมูลคาความเสียหายเปนตัวเงินได รฟม. อาจกําหนดให ผูรับจางชดใชดวยเงินสด หรือให รฟม. หักเงินจากยอดเงินที่ รฟม. ตองจายใหแกผูรับจาง โดย รฟม. จะดําเนินการ ตามกฎหมายที่เกี่ยวของ
  13.6 รฟม. สงวนสิทธิที่จะบอกเลิกหรือเปลี่ยนแปลงสัญญากอนที่จะครบกําหนดในเวลาใดก็ไดและไมวา จะดวยเหตุผลใดก็ตาม รวมทั้งเปลี่ยนแปลงสถานที่ จํานวนพนักงานของผูรับจางและเวลาที่จะปฏิบัติงานได ตามความเหมาะสมและความจําเปน ทั้งนี้ รฟม. จะตองปรับลดหรือเพิ่มคาจางตามสัดสวนของพนักงานของ ผูรับจางที่ปฏิบัติงานจริงโดยจะแจงใหผูรับจางทราบเปนหนังสือลวงหนาไมนอยกวา 5 วันทําการ กอนวันบอกเลิก หรือเปลี่ยนแปลงสัญญา
  13.7 หากมีเหตุให รฟม. เชื่อไดวาผูรับจางไมสามารถปฏิบัติงานใหแลวเสร็จภายในระยะเวลาที่กําหนด หรือผูรับจางทําผิดสัญญาขอหนึ่งขอใดก็ดี หรือดําเนินการโดยไรประสิทธิภาพ รฟม. สามารถบอกเลิกสัญญาได โดยไมจําเปนตองแจงใหทราบลวงหนา
  13.8 หากพนักงานของผูรับจางทําการประทวง กอเหตุทะเลาะวิวาท หรือกระทําการใดที่สงผลกระทบตอ การปฏิบัติงานของ รฟม. ชื่อเสียง ภาพลักษณ รฟม. จะปรับครั้งละ 10,000 บาท (หนึ่งหมื่นบาทถวน) 13.9 ผูรับจางจะตองลงนามในสัญญาวาจะไมเปดเผยความลับของ รฟม. (Non-Disclosure Agreement: NDA) ผูรับจางและพนักงานของผูรับจางทุกคนจะตองเก็บความลับของขอมูล ภาพถายภายในพื้นที่หองควบคุมหรือ เอกสารตาง ๆ ของ รฟม. โดยหามเผยแพรสูภายนอกหรือกระทําการใดให รฟม. เกิดความเสียหาย โดยผูรับจาง จะตองรับผิดชอบตอความเสียหายที่เกิดขึ้น ทั้งนี้ รฟม. จะมีการตรวจสอบการสงออกขอมูลจากเครื่องคอมพิวเตอร และ โทรศัพทเคลื่อนที่ เปนประจํา โดยหากตรวจพบวาผูรับจางมีการเปดเผยขอมูลของ รฟม. สูบุคคลหรือหนวยงานภายนอก โดยไมไดรับ ความเห็นชอบจาก รฟม. จะตองมีโทษปรับตาม ขอ 11.4 และ รฟม. จะดําเนินการตามกฎหมาย

14. เอกสารหลักฐานที่ใชประกอบการพิจารณา
    14.1 เอกสารสําเนาใบรับรองระบบบริหารคุณภาพ ISO 9001:2015 และ ISO 45001:2018 ที่ยังไม หมดอายุหรือเอกสารหลักฐานแสดงการขอใบรับรองหรือตออายุ
    14.2 เอกสารสําเนาสัญญา จํานวน 1 สัญญา
    ขอบเขตของงาน จํานวน 1 ฉบับ
    หนังสือรับรองผลงาน จํานวน 1 ฉบับ
    /โดยเอกสาร…

• 13 -
  โดยเอกสารหลักฐานดังกลาวจะตองเปนสัญญาเดียวกันที่มีระยะเวลาไมนอยกวา 1 ป และมีวงเงิน คาจาง ไมนอยกวา 5,000,000 บาท (หาลานบาทถวน) ตองเปนสัญญาที่ดําเนินการสิ้นสุดแลวภายใน ระยะเวลาไมเกิน 5 ป นับถึงวันที่ยื่นขอเสนอตามประกาศประกวดราคาอิเล็กทรอนิกสครั้งนี้

15. ผูประสานงานของ รฟม.
    ผูอํานวยการกองกํากับการเดินรถ โทรศัพท 0 2716 4000 ตอ 6102
    การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
    MASS RAPID TRANSIT AUTHORITY OF THAILAND
    รัฐวิสาหกิจภายใต้ก ากับของรัฐมนตรีว่าการกระทรวงคมนาคม
    A STATE ENTERPRISE UNDER SUPERVISION OF MINISTER OF TRANSPORT
    ประกาศการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
    เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2569
    …………………………………………..
    ด้วยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 ประกอบกับข้อ 4 และข้อ 5 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม ข้อมูลส่วนบุคคล พ.ศ. 2565 ก าหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจาก อ านาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป เพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม
    การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย (รฟม.) ตระหนักและให้ความส าคัญในการคุ้มครอง ข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของ รฟม. จึงเห็นสมควรปรับปรุงประกาศการรถไฟฟ้า ขนส่งมวลชนแห่งประเทศไทย เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2568 ลงวันที่ 21 กรกฎาคม 2568 โดยอาศัยอ านาจตามความในมาตรา 24 วรรคหนึ่ง แห่งพระราชบัญญัติการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย พ.ศ. 2543 ผู้ว่าการการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย จึงออกประกาศไว้ดังต่อไปนี้
    ข้อ 1 ประกาศนี้เรียกว่า “ประกาศการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย เรื่อง นโยบาย การคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2569”
    ข้อ 2 ประกาศนี้ให้ใช้บังคับเมื่อพ้นก าหนด 7 วัน นับถัดจากวันที่ประกาศเป็นต้นไป
    ข้อ 3 ให้ยกเลิกประกาศการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย เรื่อง นโยบายการคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2568 ลงวันที่ 21 กรกฎาคม 2568
    ข้อ 4 หลักการส าคัญในการคุ้มครองข้อมูลส่วนบุคคล
    รฟม. จะเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยอยู่บนพื้นฐานหลักการส าคัญ ในการคุ้มครองข้อมูลส่วนบุคคล ดังนี้
    /(1) เก็บรวบรวม …
    175 ถนนพ ร ะ ร า ม 9 แ ข ว ง ห้ ว ย ข ว า ง เ ขตห้ ว ย ข ว า ง ก รุ งเทพม ห า น ค ร 1 0 3 10 โท ร ศัพท์ 0 2 71 6 4 0 0 0 โท ร ส า ร 0 2 71 6 4 0 1 9 175 Rama IX Road, Huai Khwang, Bangkok 10310, Thailand, Tel .66 2716 4000 Fax.66 2716 4019 http://www.mrta.co.th

• 2 -
  (1) เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเป็นไปโดยชอบด้วยกฎหมาย เป็นธรรม และมีความโปร่งใส ต่อเจ้าของข้อมูลส่วนบุคคล (Lawfulness, Fairness and Transparency) (2) เก็บรวบรวมข้อมูลส่วนบุคคลด้วยวิธีการที่ชอบด้วยกฎหมาย และจัดเก็บข้อมูล เท่าที่จ าเป็นตามวัตถุประสงค์ในการด าเนินงาน และตามที่กฎหมายก าหนดเท่านั้น (Purpose Limitation) โดยจะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่เป็นกรณีที่กฎหมายก าหนดให้สามารถประมวลผลข้อมูลส่วนบุคคลได้โดยไม่ต้องได้รับความยินยอม (3) เก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จ าเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมาย (Data Minimization)
  (4) ท าให้ข้อมูลส่วนบุคคลมีความถูกต้องและเป็นปัจจุบัน พร้อมใช้งาน รวมถึงต้องมี การด าเนินการเพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลที่ไม่ถูกต้องจะได้รับการปรับปรุงแก้ไข (Accuracy) (5) ประมวลผลข้อมูลส่วนบุคคลตามระยะเวลาเท่าที่จ าเป็นต่อการประมวลผล ข้อมูลส่วนบุคคล (Storage Limitation) เว้นแต่กรณีมีกฎหมายก าหนดไว้ต้องจัดเก็บข้อมูลส่วนบุคคลไว้ นานกว่าระยะเวลาเท่าที่จ าเป็นดังกล่าว
  (6) การประมวลผลข้อมูลส่วนบุคคลต้องมีมาตรการในการรักษาความมั่นคงปลอดภัย ที่เหมาะสม รวมถึงมีการป้องกันการประมวลผลข้อมูลส่วนบุคคลโดยไม่มีสิทธิหรือโดยไม่ชอบด้วยกฎหมาย และป้องกันการสูญหายโดยอุบัติเหตุ การถูกท าลาย หรือถูกท าให้เสียหาย (Integrity and Confidentiality)
  ข้อ 5 ขอบเขตการบังคับใช้
  นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ มีขอบเขตการบังคับใช้ครอบคลุม การประมวลผลข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของ รฟม. โดย รฟม. จะเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย
  ส าหรับข้อมูลส่วนบุคคลที่ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ รฟม. จะเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปตามวัตถุประสงค์เดิม
  ข้อ 6 หลักการส าคัญในการประมวลผลข้อมูลส่วนบุคคล
  รฟม. จะประมวลผลข้อมูลส่วนบุคคลโดยปฏิบัติตามหลักการส าคัญในการประมวลผล ข้อมูลส่วนบุคคล ดังนี้
  (1) ต้องแจ้งรายละเอียดการประมวลผลข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคล ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล
  (2) ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนการประมวลผลข้อมูล ส่วนบุคคล เว้นแต่กรณีดังต่อไปนี้สามารถประมวลผลข้อมูลส่วนบุคคลได้โดยไม่ต้องได้รับความยินยอม (ก) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวข้องกับการจัดท าเอกสารประวัติศาสตร์
  หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวข้องกับการศึกษาวิจัย หรือสถิติ /(ข) เพื่อ …
• 3 -
  (ข) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
  (ค) เพื่อปฏิบัติตามกฎหมาย
  (ง) เป็นการจ าเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา
  หรือเพื่อใช้ในการด าเนินการตามค าขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าท าสัญญา (จ) เป็นการจ าเป็นเพื่อการปฏิบัติหน้าที่ในการด าเนินภารกิจเพื่อประโยชน์สาธารณะ
  ของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อ านาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล (ฉ) เป็นการจ าเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
  หรือบุคคล หรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความส าคัญน้อยกว่า สิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
  (3) ไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว รวมถึงการเก็บรวบรวม ข้อมูลส่วนบุคคลของผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ เว้นแต่ได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคลหรือผู้มีอ านาจกระท าแทนเจ้าของข้อมูลส่วนบุคคลโดยชัดแจ้ง หรือได้รับยกเว้น ตามที่กฎหมายก าหนด
  (4) ไม่เปิดเผยข้อมูลส่วนบุคคลที่มีการจัดเก็บรวบรวมไว้ให้กับบุคคลอื่น เว้นแต่ได้รับ ความยินยอมจากเจ้าของข้อมูลโดยท าหนังสือให้ความยินยอมเปิดเผยข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร หรือกรณีตามมาตรา 80 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือตามมาตรา 24 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540
  ข้อ 7 สิทธิของเจ้าของข้อมูลส่วนบุคคล
  เจ้าของข้อมูลส่วนบุคคลมีสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้ (1) สิทธิในการขอเพิกถอนความยินยอม (มาตรา 19 วรรคห้า)
  (2) สิทธิในการขอเข้าถึงและขอรับส าเนาข้อมูลส่วนบุคคล (มาตรา 30 วรรคหนึ่ง)
  (3) สิทธิในการขอให้โอนย้ายข้อมูลส่วนบุคคล (มาตรา 31 วรรคหนึ่ง)
  (4) สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (มาตรา 32 วรรคหนึ่ง)
  (5) สิทธิในการขอให้ลบหรือท าลายข้อมูลส่วนบุคคล (มาตรา 33 วรรคหนึ่ง)
  (6) สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล (มาตรา 34 วรรคหนึ่ง)
  (7) สิทธิในการขอแก้ไขข้อมูลส่วนบุคคล (มาตรา 36 วรรคหนึ่ง)
  (8) สิทธิในการร้องเรียนกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูล ส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลฝ่าฝืน หรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้(มาตรา 73 วรรคหนึ่ง)
  ข้อ 8 บทก าหนดโทษ
  ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือผู้มีอ านาจหน้าที่รับผิดชอบ ในการด าเนินงานเรื่องใดเรื่องหนึ่งตามหน้าที่ของตน หากละเลยหรือละเว้นไม่ปฏิบัติตามนโยบายการคุ้มครองข้อมูล ส่วนบุคคล อาจมีผลให้ได้รับโทษทางวินัยตามระเบียบของ รฟม. และอาจได้รับโทษที่ก าหนดโดยพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งกฎหมายล าดับรอง กฎ ระเบียบ หรือค าสั่งที่เกี่ยวข้อง
  /ข้อ 9 ช่องทาง…
• 4 -
  ข้อ 9 ช่องทางการติดต่อ
  หากเจ้าของข้อมูลส่วนบุคคลมีข้อสงสัย ข้อเสนอแนะ ข้อกังวลเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของ รฟม. หรือต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูล ส่วนบุคคลสามารถติดต่อสอบถามได้ที่
  (1) ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)
  การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย (รฟม.)
  175 ถนนพระราม 9 แขวงห้วยขวาง เขตห้วยขวาง กรุงเทพมหานคร 10310
  หมายเลขโทรศัพท์ 0 2716 4000
  ช่องทางการติดต่อ [email protected]
  (2) เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO)
  คณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
  175 ถนนพระราม 9 แขวงห้วยขวาง เขตห้วยขวาง กรุงเทพมหานคร 10310
  หมายเลขโทรศัพท์ 0 2716 4000
  ช่องทางการติดต่อ [email protected]
  ข้อ10 แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของ รฟม.
  แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของ รฟม. มีรายละเอียดตามเอกสารแนบท้าย ประกาศ ประกอบด้วย
  หมวด 1 แนวปฏิบัติส าหรับผู้ควบคุมข้อมูลส่วนบุคคล
  หมวด 2 แนวปฏิบัติส าหรับผู้ประมวลผลข้อมูลส่วนบุคคล
  ประกาศ ณ วันที่ พฤษภาคม พ.ศ. 2569
  8
  (นายกาจผจญ อุดมธรรมภักดี)
  ผู้ว่าการการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
  เอกสารแนบท้ายประกาศ การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
  เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล
  พ.ศ. 2569
  แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของ รฟม.
  สารบัญ
  เรื่อง หน้า ค านิยาม ……………………………………………………………………………………………………………………………………….1 หมวด 1 แนวปฏิบัติส าหรับผู้ควบคุมข้อมูลส่วนบุคคล……………………………………………………………………….3
  ส่วนที่ 1 ระบบบริหารจัดการด้านการคุ้มครองข้อมูลส่วนบุคคล…………………………………………………………3 ส่วนที่ 2 การประมวลผลข้อมูลส่วนบุคคล……………………………………………………………………………………….6 ส่วนที่ 3 มาตรการรักษาความมั่นคงปลอดภัยส าหรับข้อมูลส่วนบุคคล………………………………………………14 ส่วนที่ 4 การส่งมอบข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่น และการใช้หรือเปิดเผยข้อมูลส่วนบุคคล
  ที่ได้รับมอบจากบุคคลหรือนิติบุคคลอื่น…………………………………………………………………………….17 ส่วนที่ 5 การควบคุมการลบหรือท าลายข้อมูลส่วนบุคคล…………………………………………………………………19 ส่วนที่ 6 การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล…………………………………………………………………………..23 หมวด 2 แนวปฏิบัติส าหรับผู้ประมวลผลข้อมูลส่วนบุคคล……………………………………………………………….24
• 1 -
  ค านิยาม
  ค านิยามที่ใช้ในแนวปฏิบัตินี้ ประกอบด้วย

1. ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอ านาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
2. รฟม. หมายถึง การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทยซึ่งมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล 3. ผู้ว่าการ หมายถึง ผู้ว่าการการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
3. ผู้บริหารรฟม. หมายถึง กลุ่มพนักงานบริหารระดับสูง (ระดับ 11-14) และกลุ่มพนักงานระดับบังคับบัญชา (ระดับ 8-10)
4. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล หมายถึง ฝ่าย/ส านัก/ส านักงาน ที่รับผิดชอบในการก าหนด วัตถุประสงค์ และก าหนดรายการข้อมูลส่วนบุคคลที่ต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของ กิจกรรมนั้น ๆ ในนามของ รฟม. รวมถึงพนักงาน รฟม. ที่ได้รับมอบหมายให้เก็บรวบรวม ใช้ เปิดเผย และเข้าถึงข้อมูลส่วนบุคคล ตามวัตถุประสงค์ของกิจกรรมนั้น ๆ ในนามของ รฟม.
5. คณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หมายถึง กลุ่มของบุคคลซึ่งได้รับมอบหมายจากผู้ว่าการ ให้ท าหน้าที่เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตามมาตรา 42 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562
6. ผู้ประมวลผลข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งด าเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลตามค าสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคล ซึ่งด าเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
7. ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งท าให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือ ทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
8. การปกปิดข้อมูล (Data Masking) หมายถึง การปกปิดข้อมูลจริงเพื่อให้ข้อมูลนั้นแสดงเป็นข้อมูลหลอก หรือนามแฝง
9. ข้อมูลนิรนาม (Anonymization Data) หมายถึง ข้อมูลที่ผ่านกระบวนการซึ่งท าให้ไม่สามารถระบุ ตัวตนหรือแสดงตัวตนได้ทั้งในปัจจุบันและอนาคต และไม่เป็นข้อมูลส่วนบุคคลตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล
10. การจัดท าข้อมูลนิรนาม (Data Anonymization) หมายความว่า กระบวนการท าให้ข้อมูลส่วนบุคคล ไม่สามารถระบุหรือเชื่อมโยงข้อมูลไปถึงตัวบุคคลได้ทั้งในปัจจุบันและอนาคต โดยใช้เทคนิคหลายเทคนิค ร่วมกันจนมั่นใจว่าไม่สามารถระบุตัวตนได้ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
11. การจัดท าข้อมูลแฝง (Data Pseudonymization) หมายความว่า กระบวนการเปลี่ยนแปลงข้อมูลส่วนบุคคล ด้วยการใช้อักขระแฝงหรือวิธีการอื่นใด เช่น การเข้ารหัสข้อมูล (Encryption) การเข้าฟังก์ชันแฮช (Hashing) การเก็บข้อมูลแยกส่วนโดยเชื่อมผ่านโทเค็น (Tokenization) โดยยังสามารถเชื่อมโยงข้อมูลเพื่อระบุตัวตนได้ เมื่อมีข้อมูลเพิ่มเติมประกอบและไม่ถือเป็นข้อมูลนิรนาม
12. การประมวลผลข้อมูลส่วนบุคคล หมายถึง การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล 14. เจ้าของข้อมูลส่วนบุคคล หมายถึง บุคคลที่ข้อมูลส่วนบุคคลสามารถระบุถึงตัวบุคคลนั้น ไม่รวมผู้ถึงแก่กรรม และนิติบุคคล
13. ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) หมายถึง ข้อตกลง ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมการด าเนินงานตาม หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562

• 2 -

16. ความมั่นคงปลอดภัย หมายถึง การธ ารงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ
17. การละเมิดข้อมูลส่วนบุคคล หมายถึงการละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ท าให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ ไม่ว่าจะ เกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระท าโดยปราศจากอ านาจหรือโดยมิชอบ การกระท า ความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด ซึ่งเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้องกับการละเมิดประเภทใดประเภทหนึ่งหรือ หลายประเภท ดังต่อไปนี้
    (1) การละเมิดความลับของข้อมูลส่วนบุคคล (Confidentiality Breach) ซึ่งมีการเข้าถึงหรือเปิดเผย ข้อมูลส่วนบุคคล โดยปราศจากอ านาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ (2) การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (Integrity Breach) ซึ่งมีการเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอ านาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ
    (3) การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (Availability Breach) ซึ่งท าให้ไม่สามารถ เข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการท าลายข้อมูลส่วนบุคคล ท าให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพ ที่พร้อมใช้งานได้ตามปกติ
18. ผู้พบเห็นเหตุการณ์ หมายถึง ผู้พบเห็นเหตุการละเมิดข้อมูลส่วนบุคคล
19. ผู้ดูแลระบบ หมายถึง พนักงาน รฟม. ที่ได้รับมอบหมายจากผู้บังคับบัญชาให้มีหน้าที่รับผิดชอบในการดูแล รักษาระบบสารสนเทศและพนักงานของผู้รับจ้างที่รับผิดชอบติดตั้งหรือบ ารุงรักษาระบบสารสนเทศให้ รฟม. 20. ระบบปัญญาประดิษฐ์ (AI System) หมายถึง ระบบที่ขับเคลื่อนด้วยกลไกของเครื่องจักร (machine based system) ซึ่งท างานเพื่อบรรลุวัตถุประสงค์ที่ก าหนดไว้อย่างชัดแจ้งหรือโดยปริยาย โดยอาศัย
    การอนุมานจากข้อมูลที่ได้รับเพื่อสร้างผลลัพธ์ ไม่ว่าจะเป็นการคาดการณ์ การสร้างเนื้อหา การให้ ค าแนะน า หรือการตัดสินใจ ซึ่งผลลัพธ์ดังกล่าวสามารถส่งผลกระทบต่อสภาพแวดล้อมทั้งใน ทางกายภาพและโลกเสมือนจริงได้ ทั้งนี้ ระบบปัญญาประดิษฐ์แต่ละประเภทจะมีความแตกต่างกัน ในด้านระดับความเป็นอิสระ (Autonomy) และความสามารถในการปรับตัว (Adaptiveness) ภายหลังจากการน าไปใช้งานจริง
20. Prompt หมายถึง ข้อความหรือค าสั่งที่มนุษย์ก าหนดเพื่อให้ Generative AI สร้างผลลัพธ์(Output) ที่ดีที่สุดและตรงตามความต้องการ

• 3 -
  หมวด 1
  แนวปฏิบัติส าหรับผู้ควบคุมข้อมูลส่วนบุคคล
  ส่วนที่ 1
  ระบบบริหารจัดการด้านการคุ้มครองข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อให้การปฏิบัติงานของ รฟม. เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 • เพื่อเป็นแนวปฏิบัติในการบริหารจัดการการคุ้มครองข้อมูลส่วนบุคคลอย่างชัดเจนและมีประสิทธิภาพ
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 37ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ และต้องทบทวน มาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษา ความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ าที่คณะกรรมการประกาศก าหนด
  มาตรา 77 ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งด าเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ท าให้เกิด ความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการด าเนินการนั้นจะเกิดจากการกระท าโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่ผู้ควบคุม ข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจะพิสูจน์ได้ว่า
  (1) ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระท าหรือละเว้นการกระท าของ เจ้าของข้อมูลส่วนบุคคลนั้นเอง
  (2) เป็นการปฏิบัติตามค าสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอ านาจตามกฎหมาย มาตรา 79 ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติ ตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 โดยประการที่น่าจะท าให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจ าคุกไม่เกินหกเดือน หรือปรับ ไม่เกินห้าแสนบาท หรือทั้งจ าทั้งปรับ
  ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายส าหรับ ตนเองหรือผู้อื่น ต้องระวางโทษจ าคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจ าทั้งปรับ ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้
• 4 -
  มาตรา 80 ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นน าไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจ าคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจ าทั้งปรับ ความในวรรคหนึ่ง มิให้น ามาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้
  (1) การเปิดเผยตามหน้าที่
  (2) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี
  (3) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอ านาจหน้าที่ตามกฎหมาย (4) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล
  (5) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ
  มาตรา 81 ในกรณีที่ผู้กระท าความผิดตามพระราชบัญญัตินี้เป็นนิติบุคคล ถ้าการกระท าความผิด ของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระท าของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบ ในการด าเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระท าการและ ละเว้นไม่สั่งการหรือไม่กระท าการจนเป็นเหตุให้นิติบุคคลนั้นกระท าความผิด ผู้นั้นต้องรับโทษตามที่ บัญญัติไว้ส าหรับความผิดนั้น ๆ ด้วย
  • ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม ข้อมูลส่วนบุคคล พ.ศ. 2565
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A5
  ผู้รับผิดชอบ
  • ผู้ว่าการ
  • คณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
  • ผู้บริหาร รฟม.
  • ฝทท.
  แนวปฏิบัติ

1. ผู้ว่าการต้องก าหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคล และทบทวน/ปรับปรุงนโยบายอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยส าคัญ โดยนโยบายการคุ้มครองข้อมูลส่วนบุคคลต้องผ่านการพิจารณา ให้ข้อสังเกตจากคณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
2. ผู้ว่าการต้องจัดให้มีบุคลากรด าเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลและก าหนดหน้าที่ความรับผิดชอบ รวมทั้งปรับปรุงโครงสร้างดังกล่าวตามความจ าเป็น
3. ผู้ว่าการต้องจัดให้มีทรัพยากรที่จ าเป็นต่อการบริหารจัดการด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอ รวมถึงสร้างความร่วมมือระหว่างหน่วยงานที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

• 5 -

4. ผู้ว่าการต้องก าหนดแนวปฏิบัติที่เกี่ยวข้องกับระบบการบริหารจัดการด้านการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วย
   4.1 แนวปฏิบัติในการจัดท าและควบคุมบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล 4.2 แนวปฏิบัติในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
   4.3 แนวปฏิบัติในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล โดยครอบคลุมหลักเกณฑ์และวิธีการในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคลแก่ส านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือเจ้าของข้อมูล ส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
   4.4 แนวปฏิบัติในการจัดการค าขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล โดยครอบคลุมการบันทึกการปฏิเสธ ค าขอใช้สิทธิของเจ้าของ
   4.5 แนวปฏิบัติการประเมินผลกระทบด้านความเป็นส่วนตัว (Privacy Impact Assessment) 4.6 แนวปฏิบัติการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment) 4.7 แนวปฏิบัติการจัดเก็บข้อมูลส่วนบุคคล โดยครอบคลุมการจัดท าข้อมูลนิรนาม
   4.8 แนวปฏิบัติการประเมินมาตรฐานในการคุ้มครองข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคล 5. ผู้ว่าการต้องก าหนดให้มีการทบทวน/ปรับปรุงแนวปฏิบัติที่สนับสนุนการท างานต่าง ๆ อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยส าคัญ เพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม 6. ผู้ว่าการต้องประกาศนโยบาย แนวปฏิบัติ และมาตรการคุ้มครองข้อมูลส่วนบุคคลให้บุคลากร รฟม. รับทราบ และถือปฏิบัติ
5. ผู้บริหาร รฟม. ต้องแสดงเจตนารมณ์หรือสื่อสารอย่างสม่ าเสมอเพื่อให้บุคลากร รฟม. ทุกคนได้เห็นถึงความส าคัญ ของการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลโดยเคร่งครัด
6. การสร้างความตระหนักด้านการคุ้มครองข้อมูลส่วนบุคคล
   8.1 ผู้บริหาร รฟม. ทุกระดับชั้น มีหน้าที่สนับสนุนและส่งเสริมการคุ้มครองข้อมูลส่วนบุคคลแก่พนักงาน รฟม. ต่อไปนี้
   (1) จูงใจให้พนักงานเจ้าหน้าที่ปฏิบัติตามนโยบายการคุ้มครองข้อมูลส่วนบุคคล
   (2) สร้างความตระหนักถึงการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับหน้าที่ความรับผิดชอบของตนเอง และของ รฟม.
   8.2 ฝทท. ต้องจัดให้มีฝึกอบรมหรือประชาสัมพันธ์แก่พนักงานเจ้าหน้าที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อสร้างความตระหนักด้านการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ใช้งานเป็นประจ าทุกปี

• 6 -
  ส่วนที่ 2
  การประมวลผลข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อก าหนดแนวทางในการเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 21 ผู้ควบคุมข้อมูลส่วนบุคคลต้องท าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม
  การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ตาม วรรคหนึ่งจะกระท ามิได้ เว้นแต่
  (1) ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อน เก็บรวบรวม ใช้ หรือเปิดเผยแล้ว
  (2) บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระท าได้
  มาตรา 23 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของ ข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่ เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
  (1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการน าข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึง วัตถุประสงค์ตามที่มาตรา 24 ให้อ านาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของ ข้อมูลส่วนบุคคล
  (2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมาย หรือสัญญาหรือมีความจ าเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าท าสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้ จากการไม่ให้ข้อมูลส่วนบุคคล
  (3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ในกรณี ที่ไม่สามารถก าหนดระยะเวลาดังกล่าวได้ชัดเจน ให้ก าหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐาน ของการเก็บรวบรวม
  (4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย (5) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อในกรณีที่มี ตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทน หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
  (6) สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา 19 วรรคห้า มาตรา 30 วรรคหนึ่ง มาตรา 31 วรรคหนึ่ง มาตรา 32 วรรคหนึ่ง มาตรา 33 วรรคหนึ่ง มาตรา 34 วรรคหนึ่ง มาตรา 36 วรรคหนึ่ง และ มาตรา 37 วรรคหนึ่ง
• 7 -
  มาตรา 24 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลท าการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
  (1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดท าเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศก าหนด (2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
  (3) เป็นการจ าเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ ในการด าเนินการตามค าขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าท าสัญญานั้น
  (4) เป็นการจ าเป็นเพื่อการปฏิบัติหน้าที่ในการด าเนินภารกิจเพื่อประโยชน์สาธารณะของ ผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อ านาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล (5) เป็นการจ าเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของ บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความส าคัญน้อยกว่า สิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
  (6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
  มาตรา 25 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลท าการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น ที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่
  (1) ได้แจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นให้แก่เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคล
  (2) เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
  ให้น าบทบัญญัติเกี่ยวกับการแจ้งวัตถุประสงค์ใหม่ตามมาตรา 21 และการแจ้งรายละเอียด ตามมาตรา 23 มาใช้บังคับกับการเก็บรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมตามวรรคหนึ่ง โดยอนุโลม เว้นแต่กรณีดังต่อไปนี้
  (1) เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่หรือรายละเอียดนั้นอยู่แล้ว (2) ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดดังกล่าว ไม่สามารถท าได้หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งเพื่อให้ บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในกรณีนี้ผู้ควบคุม ข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของ ข้อมูลส่วนบุคคล
  (3) การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลต้องกระท าโดยเร่งด่วนตามที่กฎหมายก าหนด ซึ่งได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
• 8 -
  (4) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ซึ่งล่วงรู้หรือได้มาซึ่งข้อมูลส่วนบุคคลจากหน้าที่หรือ จากการประกอบอาชีพหรือวิชาชีพและต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียดบางประการตามมาตรา 23 ไว้เป็นความลับตามที่กฎหมายก าหนด
  การแจ้งรายละเอียดตามวรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคล ทราบภายในสามสิบวันนับแต่วันที่เก็บรวบรวมตามมาตรานี้ เว้นแต่กรณีที่น าข้อมูลส่วนบุคคลไปใช้ เพื่อการติดต่อกับเจ้าของข้อมูลส่วนบุคคลต้องแจ้งในการติดต่อครั้งแรก และกรณีที่จะน าข้อมูลส่วนบุคคล ไปเปิดเผย ต้องแจ้งก่อนที่จะน าข้อมูลส่วนบุคคลไปเปิดเผยเป็นครั้งแรก
  มาตรา 26 ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล ในท านองเดียวกันตามที่คณะกรรมการประกาศก าหนดโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของ ข้อมูลส่วนบุคคล เว้นแต่
  (1) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูล ส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม
  (2) เป็นการด าเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของมูลนิธิสมาคม หรือองค์กรที่ไม่แสวงหาก าไรที่มีวัตถุประสงค์เกี่ยวกับการเมือง ศาสนา ปรัชญา หรือสหภาพแรงงาน ให้แก่สมาชิก ผู้ซึ่งเคยเป็นสมาชิก หรือผู้ซึ่งมีการติดต่ออย่างสม่ าเสมอกับมูลนิธิ สมาคม หรือองค์กร ที่ไม่แสวงหาก าไรตามวัตถุประสงค์ดังกล่าวโดยไม่ได้เปิดเผยข้อมูลส่วนบุคคลนั้นออกไปภายนอกมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหาก าไรนั้น
  (3) เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล (4) เป็นการจ าเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมายการปฏิบัติตามหรือการใช้สิทธิ เรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  (5) เป็นการจ าเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการท างานของ ลูกจ้างการวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ทั้งนี้ ในกรณีที่ไม่ใช่การปฏิบัติ ตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มี หน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่าง เจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์
  (ข) ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันด้านสุขภาพจากโรคติดต่อ อันตรายหรือโรคระบาดที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือ คุณภาพของยา เวชภัณฑ์ หรือเครื่องมือแพทย์ซึ่งได้จัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครอง สิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตาม หน้าที่หรือตามจริยธรรมแห่งวิชาชีพ
• 9 -
  (ค) การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับ การรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจ าเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูล ส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐาน และประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
  (ง) การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระท าเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จ าเป็นเท่านั้น และได้จัดให้มีมาตรการ ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการ ประกาศก าหนด
  (จ) ประโยชน์สาธารณะที่ส าคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ ขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
  ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยี ที่เกี่ยวข้องกับการน าลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ท าให้สามารถยืนยัน ตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจ าลองใบหน้า ข้อมูลจ าลองม่านตา หรือ ข้อมูลจ าลองลายนิ้วมือ
  ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระท าภายใต้ การควบคุมของหน่วยงานที่มีอ านาจหน้าที่ตามกฎหมายหรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคล ตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด
  มาตรา 27 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับ ยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
  บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยตามวรรคหนึ่ง จะต้องไม่ใช้หรือ เปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น
  ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอ ความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการ ตามมาตรา 39
  มาตรา 39 ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการอย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูล ส่วนบุคคลและส านักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ (1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
  (2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
  (3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
  (4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
• 10 -
  (5) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูล ส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
  (6) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม
  (7) การปฏิเสธค าขอหรือการคัดค้านตามมาตรา 30 วรรคสาม มาตรา 31 วรรคสาม มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง
  (8) ค าอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) ความในวรรคหนึ่งให้น ามาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 5 วรรคสอง โดยอนุโลม
  ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้น ามาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
  มาตรา 40 ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (1) ด าเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งที่ได้รับจาก ผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่ค าสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูล ส่วนบุคคลตามพระราชบัญญัตินี้
  (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ รวมทั้งแจ้งให้ ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
  (3) จัดท าและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์ และวิธีการที่คณะกรรมการประกาศก าหนด
  ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) ส าหรับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลส าหรับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
  การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุม ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุม การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
  ความใน (3) อาจยกเว้นมิให้น ามาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามมาตรา 26
• 11 -
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A7.2 A7.3 และ A7.4
  ผู้รับผิดชอบ
  • เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
  แนวปฏิบัติ

1. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องก าหนดวัตถุประสงค์ในการเก็บรวบรวม ใช้ และ เปิดเผยข้อมูลส่วนบุคคลให้ชัดเจน
2. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องก าหนดรายการข้อมูลส่วนบุคคลที่ต้องเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคลเท่าที่จ าเป็นตามวัตถุประสงค์อันชอบด้วยกฎหมายและอยู่ภายใต้การด าเนินงาน ของ รฟม. เท่านั้น
3. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องไม่เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จาก เจ้าของข้อมูลส่วนบุคคลโดยตรง เว้นแต่เป็นวัตถุประสงค์อันชอบด้วยกฎหมายและอยู่ภายใต้การด าเนินงาน ของ รฟม. เท่านั้น
4. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องจัดท า หรือทบทวน/ปรับปรุงบันทึกกิจกรรมการประมวลผล ข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA) เพื่อควบคุมการประมวลผลข้อมูลส่วนบุคคลและ ให้เจ้าของข้อมูลส่วนบุคคลตรวจสอบได้ ทั้งนี้ ในการทบทวน/ปรับปรุงให้ด าเนินการอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยส าคัญ โดยอย่างน้อยต้องประกอบไปด้วยรายละเอียดตามมาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
   (1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
   (2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
   (3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
   (4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
   (5) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคล และเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
   (6) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม
   (7) การปฏิเสธค าขอหรือการคัดค้านตามมาตรา 30 วรรคสาม มาตรา 31 วรรคสาม มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง
   (8) ค าอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
   (9) ฐานการประมวลผลข้อมูลส่วนบุคคลตามกฎหมาย
   (10) วิธีการแจ้งรายละเอียดการประมวลผลข้อมูลส่วนบุคคล
   (11) วิธีการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (หากมี)

• 12 -

5. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดท า หรือทบทวน/ปรับปรุงหนังสือแจ้งการประมวลผล ข้อมูลส่วนบุคคล (Privacy Notice) เพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม ข้อมูลส่วนบุคคลถึงรายละเอียดของการประมวลผลข้อมูลส่วนบุคคล โดยอย่างน้อยต้องประกอบไปด้วย รายละเอียดตามมาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
   (1) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคล
   (2) ฐานการประมวลผลข้อมูลส่วนบุคคลตามกฎหมาย และต้องแจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคล ต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจ าเป็นต้องให้ข้อมูลส่วนบุคคล เพื่อเข้าท าสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
   (3) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
   (4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล ทั้งนี้ ในกรณีที่ไม่สามารถก าหนดระยะเวลาดังกล่าวได้ชัดเจน ให้ก าหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเป็นเวลา 10 ปี
   (5) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย (6) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคลประกอบด้วย สถานที่ติดต่อ และวิธีการติดต่อ (7) ข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลประกอบด้วย สถานที่ติดต่อ และวิธีการติดต่อ (8) สิทธิของเจ้าของข้อมูลส่วนบุคคล
   (9) ฐานการประมวลผลข้อมูลส่วนบุคคลตามกฎหมาย
   (10) กรณีน าระบบปัญญาประดิษฐ์มาประมวลผลให้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย ทั้งนี้ การทบทวน/ปรับปรุงหนังสือแจ้งการประมวลผลข้อมูลส่วนบุคคล (Privacy Notice) ให้ด าเนินการ เมื่อมีการเปลี่ยนแปลงรายละเอียดของบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA)
6. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บ รวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดของการประมวลผลข้อมูลส่วนบุคคล ตามข้อ 4. ผ่านช่องทางใดก็ได้ เช่น การแจ้งเป็นหนังสือ การแจ้งทางข้อความโทรศัพท์มือถือ การแจ้งทางอีเมล หรือโดยวิธีการทาง อิเล็กทรอนิกส์อื่นใด เช่น QR Code หรือ URL เป็นต้น
7. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล หากจ าเป็นต้องขอความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลให้ปฏิบัติตามแนวปฏิบัติในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล 8. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องประเมินผลกระทบด้านความเป็นส่วนตัว (Privacy Impact Assessment: PIA) และประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) ตามแนวปฏิบัติที่ รฟม. ก าหนด รวมถึงก าหนดมาตรการรักษาความมั่นคง ปลอดภัยส าหรับข้อมูลส่วนบุคคลที่เหมาะสม ทั้งนี้หากมีการน าระบบปัญญาประดิษฐ์มาใช้งานให้ประเมิน ผลกระทบให้ครอบคลุมระบบปัญญาประดิษฐ์ด้วย
8. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ก ากับดูแลสัญญาจ้างที่มีการประมวลผลข้อมูลส่วนบุคคล ต้องควบคุมและตรวจสอบการด าเนินงานของผู้ประมวลผลข้อมูลส่วนบุคคล รวมถึงลูกจ้างของผู้ประมวลผล ข้อมูลส่วนบุคคลให้ประมวลผลข้อมูลส่วนบุคคลเป็นไปตามที่สัญญาจ้างก าหนดและเป็นไปตามกฎหมาย คุ้มครองข้อมูลส่วนบุคคล

• 13 -

10. การประมวลผลข้อมูลส่วนบุคคลด้วยระบบปัญญาประดิษฐ์
    เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องควบคุมดูแลการประมวลผลข้อมูลส่วนบุคคลตลอด วงจรชีวิตของระบบปัญญาประดิษฐ์ (AI Lifecycle) ได้แก่
    10.1 ระยะการพัฒนา (Development Phase)
    (1) การวางแผนและการออกแบบ

• ออกแบบระบบปัญญาประดิษฐ์ให้รองรับการประมวลผลข้อมูลส่วนบุคคลเฉพาะที่จ าเป็นและ น้อยที่สุด
• หากจ าเป็นต้องใช้เทคโนโลยีให้เลือกใช้เทคโนโลยีที่เสริมสร้างความเป็นส่วนตัว (Privacy Enhancing Technologies: PETs)
• คัดกรองข้อมูลส่วนบุคคลที่จะน ามาใช้กับระบบปัญญาประดิษฐ์ โดยก าหนดให้แหล่งที่มา ของข้อมูลเป็นแหล่งที่เก็บรวบรวมข้อมูลโดยชอบด้วยกฎหมาย มีฐานทางกฎหมายรองรับ และพิจารณาถึงความสามารถในการระบุตัวตน (Identifiability) ของเจ้าของข้อมูลส่วนบุคคล (2) การจัดเตรียมข้อมูล
• หลีกเลี่ยงการน าข้อมูลส่วนบุคคลจริงมาใช้งานเพื่อลดความเสี่ยงในการระบุตัวตนของ เจ้าของข้อมูลส่วนบุคคล
• ปกปิดข้อมูลส่วนบุคคล โดยใช้ข้อมูลส่วนบุคคลเฉพาะเท่าที่จ าเป็นและใช้ภายใต้วัตถุประสงค์ อันชอบด้วยกฎหมายเท่านั้น
• หากมีความจ าเป็นต้องน าข้อมูลส่วนบุคคลจริงมาใช้ฝึกฝนโมเดล ให้เข้ารหัสและท าข้อมูล ส่ วนบุคคลให้เป็นข้อมูลนิ รน าม (Data Anonymization) ห รือข้อมูลแฝง (Data Pseudonymization) ก่อนน ามาใช้งาน
  (3) การฝึกฝนโมเดล ให้ใช้ข้อมูลส่วนบุคคลนิรนาม (Data Anonymization) หรือข้อมูลแฝง (Data Pseudonymization) เท่านั้น
  (4) การทดสอบ ให้แยกสภาพแวดล้อมการทดสอบออกจากระบบที่ใช้งานจริง
  10.2 ระยะการน าไปใช้งาน (Deployment Phase)
  (1) การน าไปใช้งานจริง ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบผ่านหนังสือแจ้งการประมวลผล ข้อมูลส่วนบุคคล (Privacy Notice) ถึงวัตถุประสงค์การน าระบบปัญญาประดิษฐ์มาใช้ในการ ตัดสินใจหรือประมวลผลข้อมูลส่วนบุคคล
  (2) ให้ท าลายข้อมูลส่วนบุคคลเมื่อยุติการใช้งาน เช่น ข้อมูลส่วนบุคคลที่ใช้ฝึกฝนโมเดล หรือข้อมูล ที่อยู่ในหน่วยความจ าของระบบปัญญาประดิษฐ์
• 14 -
  ส่วนที่ 3
  มาตรการรักษาความมั่นคงปลอดภัยส าหรับข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อก าหนดมาตรการรักษาความมั่นคงปลอดภัยในการป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ และต้องทบทวน มาตรการดังกล่าวเมื่อมีความจ าเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษา ความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ าที่คณะกรรมการประกาศก าหนด
  • ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม ข้อมูลส่วนบุคคล พ.ศ. 2565
  • ประกาศการรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของ ระบบเทคโนโลยีสารสนเทศ
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A6
  ผู้รับผิดชอบ
  • เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
  แนวปฏิบัติ

1. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล โดยครอบคลุม ทั้งในรูปแบบเอกสาร อิเล็กทรอนิกส์ หรืออื่นใดให้สอดคล้องกับนโยบายการรักษาความมั่นคงปลอดภัยของระบบ เทคโนโลยีสารสนเทศระเบียบ หรือข้อบังคับขององค์กร
2. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องประมวลผลข้อมูลส่วนบุคคลอย่างระมัดระวัง และประมวลผล เพื่อปฏิบัติงานของ รฟม. เท่านั้น
3. การบริหารจัดการข้อมูลส่วนบุคคล
   3.1 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องก าหนดรายการข้อมูลส่วนบุคคล ระบุผู้รับผิดชอบ ดูแลข้อมูลส่วนบุคคล จัดประเภทข้อมูลส่วนบุคคล ก าหนดล าดับชั้นความลับ และก าหนดการเข้าถึง ข้อมูลส่วนบุคคล เพื่อควบคุมดูแลข้อมูลส่วนบุคคลตลอดวงจรชีวิตข้อมูล

• 15 -
  3.2 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องจัดท าป้ายก ากับข้อมูลส่วนบุคคล (Labeling) ให้ชัดเจน พร้อมทั้งจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่สอดคล้องกับประเภทข้อมูล ส่วนบุคคลและระดับชั้นความลับที่ รฟม. ก าหนด

4. การควบคุมการเข้าถึงข้อมูลส่วนบุคคล
   4.1 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องก าหนดสิทธิ์ในการเข้าถึงข้อมูลส่วนบุคคลที่เหมาะสม และสอดคล้องกับหน้าที่ความรับผิดชอบของผู้ประมวลผลข้อมูลส่วนบุคคล พร้อมทั้งทบทวนเมื่อมี การเปลี่ยนแปลง
   4.2 ขั้นตอนปฏิบัติในการจัดเก็บข้อมูลส่วนบุคคล
   เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องปฏิบัติดังนี้
   4.2.1 จัดประเภทข้อมูลส่วนบุคคล ดังนี้
   (1) ข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ-นามสกุล ที่อยู่ หมายเลขโทรศัพท์ เป็นต้น
   (2) ข้อมูลส่วนบุคคลอ่อนไหว เช่น
   • เชื้อชาติ
   • เผ่าพันธุ์
   • ความคิดเห็นทางการเมือง
   • ความเชื่อในลัทธิ ศาสนา หรือปรัชญา
   • พฤติกรรมทางเพศ
   • ประวัติอาชญากรรม
   • ข้อมูลสุขภาพ ความพิการ หรือข้อมูลสุขภาพจิต
   • ข้อมูลสหภาพแรงงาน
   • ข้อมูลพันธุกรรม
   • ข้อมูลชีวภาพ
   • ข้อมูลทางชีวมิติ (Biometric) เช่น รูปภาพใบหน้า ลายนิ้วมือ ฟิล์มเอกซเรย์ข้อมูล สแกนม่านตา ข้อมูลอัตลักษณ์เสียง และข้อมูลพันธุกรรม
   • ข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลในท านองเดียวกันตามที่คณะกรรมการประกาศ ก าหนด
   4.2.2 จัดแบ่งระดับความส าคัญของข้อมูลออกเป็น 3 ระดับ คือ
   (1) ข้อมูลที่มีระดับความส าคัญมาก หมายถึง ข้อมูลที่ใช้ส าหรับสนับสนุนการตัดสินใจของผู้บริหาร (2) ข้อมูลที่มีระดับความส าคัญปานกลาง หมายถึง ข้อมูลที่ใช้ปฏิบัติงานเฉพาะกลุ่มงาน แผนก กอง หรือฝ่ายภายในองค์กร
   (3) ข้อมูลที่มีระดับความส าคัญน้อย หมายถึง ข้อมูลที่พนักงาน/ลูกจ้างภายใน รฟม. สามารถ เข้าถึงร่วมกันได้หรือสามารถเผยแพร่ได้
   4.2.3 จัดแบ่งล าดับชั้นความลับของข้อมูลตามที่ รฟม. ก าหนด

• 16 -
  4.2.4 จัดแบ่งระดับชั้นการเข้าถึงข้อมูลส่วนบุคคล
  (1) ระดับชั้นส าหรับผู้บริหาร เข้าถึงได้ตามอ านาจหน้าที่และภารกิจที่ได้รับมอบหมาย (2) ระดับชั้นส าหรับผู้ปฏิบัติงานทั่วไป เข้าถึงข้อมูลที่ได้รับมอบหมายตามอ านาจหน้าที่ (3) ระดับชั้นส าหรับผู้ดูแลระบบหรือผู้ที่ได้รับมอบหมาย มีสิทธิ์ในการบริหารจัดการระบบ และเข้าถึงข้อมูลที่ได้รับมอบหมายตามอ านาจหน้าที่
  4.3 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องพิจารณาข้อก าหนดต่าง ๆ ที่มีผลทางกฎหมาย ซึ่งเกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล เช่น พระราชบัญญัติ ข้อก าหนดทางกฎหมาย ข้อก าหนด ในสัญญา และข้อก าหนดทางด้านการคุ้มครองข้อมูลส่วนบุคคลอื่น ๆ เป็นต้น เพื่อก าหนดสิทธิ์การเข้าถึง ข้อมูลส่วนบุคคล
  4.4 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องควบคุมการใช้งานข้อมูลส่วนบุคคลให้มีการใช้งาน ที่สอดคล้องกับกฎหมาย พระราชบัญญัติ กฎระเบียบ ข้อบังคับที่เกี่ยวข้อง เช่น พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562

5. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลต้องปกปิดข้อมูล (Data Masking) ให้สอดคล้องกับประเภท ข้อมูลส่วนบุคคลและระดับชั้นความลับที่ รฟม. ก าหนด
6. การน าระบบปัญญาประดิษฐ์มาใช้ประมวลผลข้อมูลส่วนบุคคล
   6.1 หากมีความจ าเป็นต้องใช้ข้อมูลส่วนบุคคลจริงมาใช้งานกับระบบปัญญาประดิษฐ์เช่น การฝึกฝนโมเดล ฯลฯ เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดท าข้อมูลส่วนบุคคลจริงให้เป็นข้อมูลนิรนาม (Data Anonymization) หรือข้อมูลแฝง (Data Pseudonymization)
   6.2 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดเก็บจราจรทางคอมพิวเตอร์ (Log File) ให้ครอบคลุม Metadata การโต้ตอบระหว่างผู้ใช้งานและระบบปัญญาประดิษฐ์เพื่อใช้สืบสวน ในภายหลัง ได้แก่ Prompt Input, Model Version, System Prompt และ Output
   6.3 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ห้ามป้อนข้อมูลส่วนบุคคลลงในระบบปัญญาประดิษฐ์ สาธารณะเช่น ChatGPT เป็นต้น

• 17 -
  ส่วนที่ 4
  การส่งมอบข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่น
  และการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมอบจากบุคคลหรือนิติบุคคลอื่น
  วัตถุประสงค์
  • เพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ รฟม. ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจาก อ านาจหรือโดยมิชอบ
  • เพื่อควบคุมให้ รฟม. ใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาจากบุคคลหรือนิติบุคคลอื่นตามวัตถุประสงค์ ที่ก าหนดไว้
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 27 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับ ยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
  บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยตามวรรคหนึ่ง จะต้องไม่ใช้หรือ เปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น
  ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอ ความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการ ตามมาตรา 39
  มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (2) ในกรณีที่ต้องให้ข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ต้องด าเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ มาตรา 40 ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุม ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุม การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A7.2 และ A7.3
  ผู้รับผิดชอบ
  • เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
• 18 -
  แนวปฏิบัติ

1. การส่งมอบข้อมูลส่วนบุคคลแก่บุคคลหรือนิติบุคคลอื่น
   1.1 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องไม่เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับ การยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26 แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562
   1.2 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องบันทึกการเปิดเผยข้อมูลส่วนบุคคลที่ได้รับ ยกเว้นไม่ต้องขอความยินยอมในบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
   1.3 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดท าข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) กับผู้ประมวลผลข้อมูลส่วนบุคคลเมื่อมีการส่งมอบข้อมูล ส่วนบุคคลให้ผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมให้ผู้ประมวลผลข้อมูลส่วนบุคคล (ภายนอก) ด าเนินการตามที่ รฟม. ก าหนด
   1.4 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดท าข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA) กับบุคคลหรือนิติบุคคลอื่น
   1.5 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องส่งมอบข้อมูลส่วนบุคคลด้วยวิธีการที่ปลอดภัย และสอดคล้องกับระดับชั้นความลับของข้อมูลตามที่ รฟม. ก าหนด
   1.6 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องบันทึกข้อมูลของผู้ร้องขอก่อนส่งมอบข้อมูล ส่วนบุคคล ดังนี้
   (1) ชื่อ-นามสกุล
   (2) ข้อมูลส าหรับการติดต่อ เช่น หมายเลขโทรศัพท์ อีเมล
   (3) วัน เดือน ปี ที่ให้ข้อมูล
   (4) ฐานทางกฎหมายที่ใช้ส าหรับเข้าถึงข้อมูลส่วนบุคคล
   (5) วัตถุประสงค์การน าไปใช้งาน และ/หรือเปิดเผย
2. การใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมอบมาจากบุคคลหรือนิติบุคคลอื่น
   2.1 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องไม่เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับการยกเว้นไม่ต้อง ขอความยินยอมตามมาตรา 24 หรือมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
   2.2 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยข้อมูล ส่วนบุคคลจากบุคคลหรือนิติบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่น นอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น

• 19 -
  ส่วนที่ 5
  การควบคุมการลบหรือท าลายข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อควบคุมการลบหรือท าลายข้อมูลส่วนบุคคล เมื่อพ้นก าหนดระยะเวลาการเก็บรักษา หรือเกินความจ าเป็น ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ ข้อมูลส่วนบุคคลได้ถอนความยินยอม
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 24 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลท าการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
  (1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดท าเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ตามที่คณะกรรมการประกาศก าหนด
  (4) เป็นการจ าเป็นเพื่อการปฏิบัติหน้าที่ในการด าเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุม ข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อ านาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล มาตรา 26 ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็น ทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของ ข้อมูลส่วนบุคคลในท านองเดียวกันตามที่คณะกรรมการประกาศก าหนด โดยไม่ได้รับความยินยอม โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
  (5) เป็นการจ าเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
  (ก) เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการท างานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์การจัดการ ด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ทั้งนี้ ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมาย และข้อมูลส่วนบุคคลนั้น อยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษา ข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูล ส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์
  (ข) ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันด้านสุขภาพจากโรคติดต่อ อันตรายหรือโรคระบาดที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือคุณภาพ ของยา เวชภัณฑ์ หรือเครื่องมือแพทย์ ซึ่งได้จัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิ และเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่ หรือตามจริยธรรมแห่งวิชาชีพ
• 20 -
  มาตรา 33 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลด าเนินการลบหรือท าลาย หรือท าให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังต่อไปนี้
  (1) เมื่อข้อมูลส่วนบุคคลหมดความจ าเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
  (2) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลไม่มีอ านาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลนั้นได้ต่อไป
  (3) เมื่อเจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามมาตรา 32 (1) และผู้ควบคุมข้อมูลส่วนบุคคลไม่อาจปฏิเสธค าขอตามมาตรา 32 (1) (ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตามมาตรา 32 (2)
  (4) เมื่อข้อมูลส่วนบุคคลได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมายตามที่ ก าหนดไว้ในหมวดนี้
  ความในวรรคหนึ่งมิให้น ามาใช้บังคับกับการเก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพ ในการแสดงความคิดเห็น การเก็บรักษาไว้เพื่อวัตถุประสงค์ตามมาตรา 24 (1) หรือ (4) หรือมาตรา 26 (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
  ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ท าให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่เปิดเผยต่อสาธารณะ และผู้ควบคุมข้อมูลส่วนบุคคลถูกขอให้ลบหรือท าลายหรือท าให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้รับผิดชอบ ด าเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายเพื่อให้เป็นไปตามค าขอนั้น โดยแจ้งผู้ควบคุมข้อมูลส่วนบุคคลอื่น ๆ เพื่อให้ได้รับค าตอบในการด าเนินการให้เป็นไปตามค าขอ
  กรณีผู้ควบคุมข้อมูลส่วนบุคคลไม่ด าเนินการตามวรรคหนึ่งหรือวรรคสาม เจ้าของข้อมูล ส่วนบุคคล มีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลด าเนินการได้ คณะกรรมการอาจประกาศก าหนดหลักเกณฑ์ในการลบหรือท าลาย หรือท าให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลตามวรรคหนึ่งก็ได้ มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (3) จัดให้มีระบบการตรวจสอบเพื่อด าเนินการลบหรือท าลายข้อมูลส่วนบุคคลเมื่อพ้นก าหนด ระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจ าเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูล ส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ในการใช้เสรีภาพในการแสดงความคิดเห็นการเก็บรักษาไว้เพื่อวัตถุประสงค์ ตามมาตรา 24 (1) หรือ (4) หรือมาตรา 26 (5) (ก) หรือ (ข) การใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือ เพื่อการปฏิบัติตามกฎหมาย ทั้งนี้ ให้น าความในมาตรา 33 วรรคห้า มาใช้บังคับกับการลบหรือท าลายข้อมูล ส่วนบุคคลโดยอนุโลม
• 21 -
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A5
  ผู้รับผิดชอบ
  • เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
  แนวปฏิบัติ

1. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องจัดเก็บข้อมูลส่วนบุคคลไว้ในระยะเวลาเท่าที่ข้อมูล นั้นยังมีความจ าเป็นตามวัตถุประสงค์ที่ระบุไว้ในบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA)
2. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องทบทวนข้อมูลส่วนบุคคลที่อยู่ในความดูแลของตน ที่ครบก าหนดระยะเวลาใช้งานตามวัตถุประสงค์อย่างสม่ าเสมอ
3. เมื่อพ้นระยะเวลาและข้อมูลส่วนบุคคลสิ้นความจ าเป็นตามวัตถุประสงค์แล้ว เจ้าของกิจกรรมการประมวลผล ข้อมูลส่วนบุคคลต้องลบ ท าลาย หรือท าให้เป็นข้อมูลนิรนามตามรูปแบบและมาตรฐานการลบท าลายข้อมูล ส่วนบุคคลที่คณะกรรมการหรือกฎหมายได้ประกาศก าหนด หรือตามมาตรฐานสากลหรือตามที่นโยบาย การรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศของ รฟม. ก าหนด หรือตามระเบียบ ข้อบังคับอื่น ๆ ของ รฟม.
4. ในกรณีที่มีข้อพิพาทการใช้สิทธิหรือคดีความอันเกี่ยวข้องกับข้อมูลส่วนบุคคล เจ้าของกิจกรรมการประมวลผล ข้อมูลส่วนบุคคลสามารถขอสงวนสิทธิในการเก็บรักษาข้อมูลนั้นต่อไปจนกว่าข้อพิพาทนั้นจะได้มีค าสั่งหรือ ค าพิพากษาถึงที่สุด
5. ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเจ้าของกิจกรรมการประมวลผลข้อมูล ส่วนบุคคลต้องปฏิบัติตามแนวปฏิบัติขั้นตอนจัดการค าขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล (ในส่วนของ สิทธิในการขอให้ลบหรือท าลายข้อมูลส่วนบุคคล) และหากจ าเป็นต้องปฏิเสธค าขอใช้สิทธิของเจ้าของ ข้อมูลส่วนบุคคลต้องบันทึกการปฏิเสธค าขอใช้สิทธิของเจ้าของข้อมูลในบันทึกกิจกรรมการประมวลผล ข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA)
6. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล สามารถยกเว้นการลบ ท าลาย หรือท าให้ข้อมูลส่วนบุคคลไม่ สามารถระบุตัวตนได้ ในกรณีที่เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลมีเหตุผลความจ าเป็น ที่เหนือกว่าสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายเช่น

• เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดท าเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์ สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
• เพื่อการปฏิบัติหน้าที่ในการด าเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อ านาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
• 22 -
• เพื่อประเมินความสามารถในการท างานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการ ด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและ การให้บริการด้านสังคมสงเคราะห์ การป้องกันด้านสุขภาพจากโรคติดต่ออันตรายหรือโรคระบาด ที่อาจติดต่อหรือแพร่เข้ามาในราชอาณาจักร หรือการควบคุมมาตรฐานหรือคุณภาพของยา เวชภัณฑ์ หรือเครื่องมือแพทย์
• เพื่อการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย 7. กรณีประมวลผลข้อมูลส่วนบุคคลด้วยระบบปัญญาประดิษฐ์
  7.1 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องใช้งานระบบปัญญาประดิษฐ์ที่ออกแบบ สถาปัตยกรรมระบบให้รองรับการลบข้อมูลออกจากระบบจัดเก็บข้อมูลหรือมีมาตรการทดแทน เช่น การกรองผลลัพธ์ (Output Filtering) ในกรณีที่มีการร้องขอให้ลบข้อมูลส่วนบุคคล
  7.2 เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องลบหรือท าลายข้อมูลจราจรทางคอมพิวเตอร์ (Log File) และชุดข้อมูลส าหรับปรับปรุงโมเดล (Fine-tuning Sets) เมื่อพ้นความจ าเป็น หากมี ข้อจ ากัดทางเทคนิคที่ไม่สามารถลบข้อมูลโดยตรงได้ให้พิจารณาใช้มาตรการทดแทน เช่น การ ก าหนดมาตรการควบคุม (Guardrails) เพื่อปิดกั้นมิให้โมเดลประมวลผลหรือแสดงข้อมูลที่เกี่ยวข้อง กับเจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิขอลบข้อมูล
• 23 -
  ส่วนที่ 6
  การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้เป็นไปตามหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคลที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศก าหนด
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (4) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ส านักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระท าได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบ ต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและ เสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา โดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการ ประกาศก าหนด
  • ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคล พ.ศ. 2565
  ผู้รับผิดชอบ
  • เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
  • ผู้ว่าการ
  • คณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
  • ผู้พบเห็นเหตุการณ์
  แนวปฏิบัติ

1. ผู้พบเห็นเหตุการณ์ต้องแจ้งให้ รฟม. รับทราบเหตุการละเมิดข้อมูลส่วนบุคคลตามแนวปฏิบัติในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคล
2. เมื่อได้รับแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ผู้ว่าการ และคณะกรรมการเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องปฏิบัติตามแนวปฏิบัติในการแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคล
3. เจ้าของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ต้องให้ความร่วมมือกับเจ้าหน้าที่ของส านักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล เมื่อถูกร้องขอให้ส่งเอกสารหรือข้อมูลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึง การชี้แจงข้อเท็จจริงเพื่อสนับสนุนการตรวจสอบและการปฏิบัติงานของเจ้าหน้าที่ของส านักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล

• 24 -
  หมวด 2
  แนวปฏิบัติส าหรับผู้ประมวลผลข้อมูลส่วนบุคคล
  วัตถุประสงค์
  • เพื่อเป็นแนวปฏิบัติให้ผู้ประมวลผลข้อมูลส่วนบุคคลน าไปปฏิบัติให้สอดคล้องกับกฎหมายคุ้มครอง ข้อมูลส่วนบุคคล
  กฎหมายที่เกี่ยวข้อง
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  มาตรา 40 ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้
  (1) ด าเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งที่ได้รับจาก ผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่ค าสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูล ส่วนบุคคลตามพระราชบัญญัตินี้
  (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ รวมทั้งแจ้งให้ ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
  (3) จัดท าและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์ และวิธีการที่คณะกรรมการประกาศก าหนด
  ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) ส าหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลส าหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
  การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุม ข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุม การด าเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
  ความใน (3) อาจยกเว้นมิให้น ามาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ตามหลักเกณฑ์ที่คณะกรรมการประกาศก าหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามมาตรา 26
  • ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดท าและเก็บรักษา บันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลส าหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565
  อ้างอิงมาตรฐาน
  • ISO/IEC 27701:2019 Annex A 8
• 25 -
  ผู้รับผิดชอบ
  • ผู้ประมวลผลข้อมูลส่วนบุคคล
  แนวปฏิบัติ

1. ผู้ประมวลผลข้อมูลส่วนบุคคลต้องเก็บรวบรวมข้อมูลส่วนบุคคลตามที่ รฟม. ก าหนดเท่านั้น 2. ผู้ประมวลผลข้อมูลส่วนบุคคลต้องไม่เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูล ส่วนบุคคลโดยตรง เว้นแต่เป็นวัตถุประสงค์อันชอบด้วยกฎหมายและอยู่ภายใต้การด าเนินงานของ รฟม. เท่านั้น 3. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องรักษาความมั่นคงปลอดภัยส าหรับข้อมูลส่วนบุคคล เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอ านาจหรือโดยมิชอบ โดยให้ปฏิบัติ ตามกฎหมาย ระเบียบ ข้อบังคับ และนโยบายของ รฟม. อย่างเคร่งครัด
2. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องจัดท าบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA) เพื่อควบคุมการประมวลผลข้อมูลส่วนบุคคลและให้เจ้าของข้อมูลส่วนบุคคล ตรวจสอบได้ ทั้งนี้ ในการทบทวน/ปรับปรุงให้ด าเนินการอย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงอย่าง มีนัยส าคัญ โดยอย่างน้อยต้องประกอบด้วยรายละเอียดตามมาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
   (1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
   (2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
   (3) ข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลส่วนบุคคล
   (4) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
   (5) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
   (6) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคล และเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น
   (7) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม
   (8) การปฏิเสธค าขอหรือการคัดค้านตามมาตรา 30 วรรคสาม มาตรา 31 วรรคสาม มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง
   (9) ค าอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
   (10) ฐานการประมวลผลข้อมูลส่วนบุคคลตามกฎหมาย
   (11) วิธีการแจ้งรายละเอียดการประมวลผลข้อมูลส่วนบุคคล
   (12) วิธีการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (หากมี)
3. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องใช้ข้อมูลส่วนบุคคลอย่างระมัดระวัง และใช้เพื่อปฏิบัติงานของ รฟม. เท่านั้น รวมทั้งต้องปฏิบัติตามกฎหมาย ระเบียบ ข้อบังคับ และนโยบาย ของ รฟม.
4. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องควบคุมการเข้าถึงข้อมูลส่วนบุคคล ดังนี้
   6.1 ต้องก าหนดสิทธิ์ในการเข้าถึงข้อมูลส่วนบุคคลที่เหมาะสมและสอดคล้องกับหน้าที่ความรับผิดชอบ ของผู้ประมวลผลข้อมูลส่วนบุคคล พร้อมทั้งทบทวนเมื่อมีการเปลี่ยนแปลง

• 26 -
  6.2 ขั้นตอนปฏิบัติในการจัดเก็บข้อมูลส่วนบุคคล
  6.2.1 จัดประเภทข้อมูลส่วนบุคคล ดังนี้
  (1) ข้อมูลส่วนบุคคลทั่วไป เช่น ชื่อ-นามสกุล ที่อยู่ หมายเลขโทรศัพท์ เป็นต้น
  (2) ข้อมูลส่วนบุคคลอ่อนไหว เช่น
  • เชื้อชาติ
  • เผ่าพันธุ์
  • ความคิดเห็นทางการเมือง
  • ความเชื่อในลัทธิ ศาสนาหรือปรัชญา
  • พฤติกรรมทางเพศ
  • ประวัติอาชญากรรม
  • ข้อมูลสุขภาพ ความพิการ หรือข้อมูลสุขภาพจิต
  • ข้อมูลสหภาพแรงงาน
  • ข้อมูลพันธุกรรม
  • ข้อมูลชีวภาพ
  • ข้อมูลทางชีวมิติ (Biometric) เช่น รูปภาพใบหน้า ลายนิ้วมือ ฟิล์มเอกซเรย์ข้อมูล สแกนม่านตา ข้อมูลอัตลักษณ์เสียง และข้อมูลพันธุกรรม เป็นต้น
  • ข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลในท านองเดียวกันตามที่คณะกรรมการประกาศ ก าหนด
  6.2.2 จัดแบ่งระดับความส าคัญของข้อมูล ออกเป็น 3 ระดับ คือ
  (1) ข้อมูลที่มีระดับความส าคัญมาก หมายถึง ข้อมูลที่ใช้ส าหรับสนับสนุนการตัดสินใจของผู้บริหาร (2) ข้อมูลที่มีระดับความส าคัญปานกลาง หมายถึง ข้อมูลที่ใช้ปฏิบัติงานเฉพาะกลุ่มงาน แผนก กอง หรือฝ่ายภายในองค์กร
  (3) ข้อมูลที่มีระดับความส าคัญน้อย หมายถึง ข้อมูลที่พนักงาน/ลูกจ้างภายใน รฟม. สามารถ เข้าถึงร่วมกันได้หรือสามารถเผยแพร่ได้
  6.2.3 จัดแบ่งล าดับชั้นความลับของข้อมูลตามที่ รฟม. ก าหนด
  6.2.4 จัดแบ่งระดับชั้นการเข้าถึง
  (1) ระดับชั้นส าหรับผู้บริหาร เข้าถึงได้ตามอ านาจหน้าที่และภารกิจที่ได้รับมอบหมาย (2) ระดับชั้นส าหรับผู้ปฏิบัติงานทั่วไป เข้าถึงข้อมูลที่ได้รับมอบหมายตามอ านาจหน้าที่ (3) ระดับชั้นส าหรับผู้ดูแลระบบหรือผู้ที่ได้รับมอบหมาย มีสิทธิ์ในการบริหารจัดการระบบ และเข้าถึงข้อมูลที่ได้รับมอบหมายตามอ านาจหน้าที่
  6.3 ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องพิจารณาข้อก าหนดต่าง ๆ ที่มีผลทางกฎหมาย ซึ่งเกี่ยวข้องกับ การคุ้มครองข้อมูลส่วนบุคคล เช่น พระราชบัญญัติ ข้อก าหนดทางกฎหมาย ข้อก าหนดในสัญญา และ ข้อก าหนดทางด้านการคุ้มครองข้อมูลส่วนบุคคลอื่น ๆ รวมทั้งระเบียบ ข้อบังคับ ของ รฟม. เป็นต้น เพื่อก าหนดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคล
• 27 -

7. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องควบคุมการใช้งานข้อมูลส่วนบุคคลให้มีการใช้งานที่สอดคล้องตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายล าดับรองที่เกี่ยวข้อง 8. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) ที่ตกลงไว้กับ รฟม. เท่านั้น
8. เมื่อผู้ประมวลผลข้อมูลส่วนบุคคลพบเหตุการละเมิดข้อมูลส่วนบุคคล ต้องแจ้งให้รฟม. รับทราบตามช่องทาง และแนวปฏิบัติที่ รฟม. ก าหนด
9. ผู้ประมวลผลข้อมูลส่วนบุคคล ต้องให้ความร่วมมือกับเจ้าหน้าที่ของส านักงานคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล และ รฟม. เมื่อถูกร้องขอให้ส่งเอกสารหรือข้อมูลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึง การชี้แจงข้อเท็จจริงเพื่อสนับสนุนการตรวจสอบและการปฏิบัติงานของเจ้าหน้าที่ของส านักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล

การรถไฟฟ้าขนส่งมวลชนแห่งประเทศไทย
MASS RAPID TRANSIT AUTHORITY OF THAILAND
รัฐวิสาหกิจภายใตกํากับของรัฐมนตรีวาการกระทรวงคมนาคม
A STATE ENTERPRISE UNDER SUPERVISION OF MINISTER OF TRANSPORT
ประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย
เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ (ฉบับปรับปรุงครั้งที่ 14)
ดวยพระราชกฤษฎีกากําหนดหลักเกณฑและวิธีการในการทําธุรกรรมทางอิเล็กทรอนิกสภาครัฐ พ.ศ. 2549 มาตรา 5 กําหนดใหหนวยงานของรัฐตองจัดทําแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัย ดานสารสนเทศ เพื่อใหการดําเนินการใด ๆ ดวยวิธีการทางอิเล็กทรอนิกสกับหนวยงานของรัฐหรือโดยหนวยงานของรัฐ มีความมั่นคงปลอดภัยและเชื่อถือได จึงสงผลใหระบบเทคโนโลยีสารสนเทศของการรถไฟฟาขนสงมวลชนแหงประเทศไทย (รฟม.) ตองมีการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศอยางครบถวนเพื่อธํารงไวซึ่งความลับ
(Confidentiality) ความถูกตองครบถวน (Integrity) และสภาพพรอมใชงาน (Availability) ของสารสนเทศ รวมทั้ง คุณสมบัติอื่น ไดแก ความถูกตองแทจริง (Authenticity) ความรับผิด (Accountability) การหามปฏิเสธความรับผิดชอบ (Non-repudiation) และความนาเชื่อถือ (Reliability)
ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่องแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศของหนวยงานของรัฐ (ฉบับที่ 2) พ.ศ. 2556 ขอ 14 กําหนดใหหนวยงานของรัฐตองกําหนด ความรับผิดชอบที่ชัดเจน กรณีระบบคอมพิวเตอรหรือขอมูลสารสนเทศเกิดความเสียหายหรืออันตรายใด ๆ แกองคกรหรือ ผูหนึ่งผูใด อันเนื่องมาจากความบกพรอง ละเลย หรือฝาฝนการปฏิบัติตามนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศ ทั้งนี้ ใหผูบริหารระดับสูงสุดของหนวยงาน (Chief Executive Officer: CEO) เปนผูรับผิดชอบ ตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้น
อาศัยอํานาจตามความในมาตรา 25 แหงพระราชบัญญัติการรถไฟฟาขนสงมวลชนแหงประเทศไทย พ.ศ. 2543 ผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย จึงออกประกาศการรถไฟฟาขนสงมวลชนแหงประเทศไทย เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ ดังตอไปนี้

1. วัตถุประสงคและขอบเขต
   เพื่อใหการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เปนไปอยางเหมาะสม มีประสิทธิภาพ มีความมั่นคงปลอดภัย และสามารถดําเนินงานไดอยางตอเนื่อง รวมทั้งปองกันปญหาและลดผลกระทบจากการใชงานระบบเทคโนโลยีสารสนเทศ ในลักษณะที่ไมถูกตองหรือจากการถูกคุกคามจากภัยตาง ๆ จึงไดกําหนดนโยบายเพื่อควบคุมการรักษาความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศ ดังนี้
   1.1 การเขาถึงหรือควบคุมการใชงานสารสนเทศครอบคลุม 4 ดาน คือ
   1.1.1 การเขาถึงระบบสารสนเทศ (Access control) ตองตรวจสอบการอนุมัติสิทธิ์การเขาถึงระบบและ กําหนดรหัสผาน การลงทะเบียนผูใชงานเพื่อใหผูใชที่มีสิทธิ์(User authentication) เทานั้นที่สามารถ เขาถึงระบบไดรวมถึงมีการเก็บบันทึกขอมูลการเขาถึงระบบ (Access log)และขอมูลจราจรทางคอมพิวเตอร ทั้งนี้ การใหสิทธิ์การใชงานระบบสารสนเทศนั้นตองใหสิทธิ์อยางเหมาะสมและเพียงพอ (Need to know and Need to use)
   /1.1.2 การเขาถึง…
   175 ถนนพระราม 9 แขว งห้วยขวาง เขตห้วยขวา ง กร ุงเท พมหา น คร 103 10 โทร ศัพท 0 271
   ์ 6 40 00 โทร สา ร 0 271 6 40 19
   175 Rama IX Ro ad, Hu ai Khwang, Bangkok 10310, Thailand, Tel .66 27 16 40 00 Fax. 66 27 16 40 19 http://www.mrta.co.th

• 2 – 2 -
  1.1.2 การเขาถึงระบบเครือขาย(Networkaccesscontrol)ตองกําหนดเสนทางการเชื่อมตอระบบคอมพิวเตอร การรับ - สง หรือการไหลเวียนขอมูลหรือสารสนเทศจะตองผานระบบการรักษาความปลอดภัยที่องคกร จัดสรรไวเชน Firewall IDS/IPS Proxy หรือการตรวจสอบไวรัสคอมพิวเตอรเปนตน เพื่อควบคุมและ ปองกันภัยคุกคามอยางเปนระบบ
  1.1.3 การเขาถึงระบบปฏิบัติการ (Operating system access control) เพื่อปองกันการเขาถึงระบบปฏิบัติการ โดยไมไดรับอนุญาต โดยกําหนดใหมีการยืนยันตัวตนเพื่อระบุถึงตัวตนของผูใชงาน รวมทั้งกําหนดใหมี การจํากัดระยะเวลาในการเชื่อมตอเพื่อใหมีความมั่นคงปลอดภัยมากยิ่งขึ้น
  1.1.4 การเขาถึงโปรแกรมประยุกตหรือแอปพลิเคชันและสารสนเทศ (Applicationand Information access control)ตองกําหนดสิทธิ์การเขาถึงระบบเทคโนโลยีสารสนเทศโดยใหสิทธิ์เฉพาะระบบงานสารสนเทศ ที่ตองปฏิบัติตามหนาที่เทานั้น รวมทั้งมีการทบทวนสิทธิ์การเขาใชงานระบบสารสนเทศอยางสม่ําเสมอ
  1.2 มีระบบสารสนเทศและระบบสํารองที่อยูในสภาพพรอมใชงาน รวมทั้งมีแผนเตรียมพรอมในกรณีฉุกเฉินหรือ กรณีที่ไมสามารถดําเนินการตามวิธีการทางอิเล็กทรอนิกสไดเพื่อใหสามารถใชงานสารสนเทศไดตามปกติ อยางตอเนื่อง
  1.3 ตรวจสอบและประเมินความเสี่ยงของระบบสารสนเทศอยางสม่ําเสมอ

2. แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ รฟม.
   แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ รฟม. ใชแนวทางและกระบวนการ อางอิงตาม 1) ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่องแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศของหนวยงานรัฐ พ.ศ. 2553 2) ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่อง มาตรฐาน การรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามวิธีการแบบปลอดภัย พ.ศ. 2555 และ 3) มาตรฐาน ISO/IEC 27001:2022 โดยแบงแนวปฏิบัติออกเปน 17 สวน ตามเอกสารแนบทายประกาศ ดังตอไปนี้
   2.1 นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร (สวนที่ 1)
   2.2 ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร (สวนที่ 2)
   2.3 การรักษาความมั่นคงปลอดภัยทางกายภาพและสิ่งแวดลอม (สวนที่ 3)
   2.4 การจัดการทรัพยสิน (สวนที่ 4)
   2.5 การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ (สวนที่ 5)
   2.6 การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ (สวนที่ 6)
   2.7 การควบคุมการเขาถึงระบบเครือขายไรสาย (สวนที่ 7)
   2.8 การควบคุมหนวยงานภายนอกและผูใชงาน (บุคคลภายนอก) เขาถึงระบบเทคโนโลยีสารสนเทศ (สวนที่ 8) 2.9 การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. (สวนที่ 9)
   2.10 การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน(สวนที่ 10)
   2.11 การใชงานจดหมายอิเล็กทรอนิกส(สวนที่ 11)
   2.12 การสํารองขอมูลและการเก็บรักษาขอมูลจราจรทางคอมพิวเตอร (สวนที่ 12)
   2.13 การตรวจสอบและประเมินความเสี่ยง (สวนที่ 13)
   2.14 การถายโอน และการแลกเปลี่ยนขอมูลสารสนเทศ (สวนที่ 14)
   2.15 การควบคุมการเขารหัส (สวนที่ 15)
   2.16 การนําอุปกรณสวนตัวมาใชงาน (Bring your own device) (สวนที่ 16)
   2.17 การใชบริการ Cloud (Cloud Services) (สวนที่ 17)
   /แนวปฏิบัติ …

• 3 – 3 -
  แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยระบบเทคโนโลยีสารสนเทศตามขอ 2. จัดเปนมาตรฐานดานความมั่นคง ปลอดภัยในการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. ซึ่งบุคลากรของ รฟม. หนวยงานภายนอก รวมถึงผูใชบริการ ระบบสารสนเทศของ รฟม. ที่เกี่ยวของจะตองปฏิบัติตามอยางเครงครัด

3. กรณีระบบคอมพิวเตอรหรือขอมูลสารสนเทศเกิดความเสียหาย หรืออันตรายใด ๆ แกองคกรหรือผูหนึ่งผูใด อันเนื่องมาจากความบกพรอง ละเลย หรือฝาฝนการปฏิบัติตามแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยดานสารสนเทศผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย(ChiefExecutive Officer: CEO) เปนผูรับผิดชอบ ตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้น และดําเนินการตรวจสอบขอเท็จจริงกรณีที่ระบบคอมพิวเตอรหรือ ขอมูลสารสนเทศเกิดความเสียหายหรืออันตรายใด ๆ แกหนวยงานหรือผูหนึ่งผูใด รวมทั้งใหพิจารณาลงโทษตามเหตุอันควร
   นโยบายนี้ใหใชบังคับเมื่อพนกําหนด 7 วัน นับแตวันที่ผูมีอํานาจลงนาม
   15
   ประกาศ ณ วันที่ กันยายน พ.ศ. 2568
   (นายกาจผจญ อุดมธรรมภักดี)
   ผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย

สารบัญ
เรื่อง หนา คํานิยาม……………………………………………………………………………………………………………………………………………………….1 สวนที่ 1 นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร……………………………………………………………….3 สวนที่ 2 ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร………………………………………………………………………………………………..4 สวนที่ 3 การรักษาความมั่นคงปลอดภัยทางดานกายภาพและสิ่งแวดลอม………………………………………………………………7 สวนที่ 4 การจัดการทรัพยสิน ………………………………………………………………………………………………………………………….8 สวนที่ 5 การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ…………………………………………………………………..10 สวนที่ 6 การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ……………………………………………………………………………….12 สวนที่ 7 การควบคุมการเขาถึงระบบเครือขายไรสาย……………………………………………………………………………………….22 สวนที่ 8 การควบคุมหนวยงานภายนอกหรือผูใชงานภายนอกเขาถึงระบบเทคโนโลยีสารสนเทศ……………………………..23 สวนที่ 9 การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ ของ รฟม. ………………………………………………………………25 สวนที่ 10 การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน……………………………………………………………………………………28 สวนที่ 11 การใชงานจดหมายอิเล็กทรอนิกส…………………………………………………………………………………………………..32 สวนที่ 12 การสํารองขอมูลและการเก็บรักษาขอมูลจราจรทางคอมพิวเตอร…………………………………………………………33 สวนที่ 13 การตรวจสอบและประเมินความเสี่ยง………………………………………………………………………………………………35 สวนที่ 14 การถายโอน และแลกเปลี่ยนขอมูลสารสนเทศ………………………………………………………………………………….38 สวนที่ 15 การควบคุมการเขารหัส…………………………………………………………………………………………………………………39 สวนที่ 16 การนําอุปกรณสวนตัวมาใชงาน (Bring your own device)……………………………………………………………….40 สวนที่ 17 การใชบริการ Cloud (Cloud Services)………………………………………………………………………………..…………..49
1
เอกสารแนบทายประกาศ การรถไฟฟาขนสงมวลชนแหงประเทศไทย
เรื่อง นโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ
แนวปฏิบัติในการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ ของ รฟม.
คํานิยาม
คํานิยามที่ใชในนโยบายนี้ ประกอบดวย

1. รฟม. หมายถึง การรถไฟฟาขนสงมวลชนแหงประเทศไทย
2. ฝทท. หมายถึง ฝายเทคโนโลยีสารสนเทศ
3. ฝทบ. หมายถึง ฝายทรัพยากรบุคคล
4. ผูบริหารระดับสูงสุด หมายถึงผูวาการการรถไฟฟาขนสงมวลชนแหงประเทศไทย
5. ผูบังคับบัญชา หมายถึง ผูมีอํานาจสั่งการตามโครงสรางการบริหารของ รฟม.
6. ผูใชงาน หมายถึง บุคคลที่ไดรับอนุญาตใหสามารถเขาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เพื่อประโยชน ในการดําเนินงานของ รฟม. ดังนี้

• ผูใชงานภายใน หมายถึง บุคลากรของ รฟม.
• ผูใชงานภายนอก หมายถึง บุคคลภายนอกที่ รฟม. อนุญาตใหเขามาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. เชน ที่ปรึกษา ผูปฏิบัติงานตามสัญญา หรือนิสิตนักศึกษาฝกงาน เปนตน

7. ผูใชบริการ หมายถึงผูที่สมัครใชบริการระบบงานสารสนเทศของ รฟม. ผานเครือขายสาธารณะ (Internet) 8. หนวยงานภายนอก หมายถึง องคกรตาง ๆ รวมถึงผูรับจาง ซึ่ง รฟม. อนุญาตใหมีสิทธิ์ในการเขาถึง หรือใชขอมูล หรือสินทรัพยตาง ๆ ของ รฟม. โดยจะไดรับสิทธิ์ในการใชระบบตามประเภทงานตามอํานาจและตองรับผิดชอบ ในการรักษาความลับของขอมูล
8. ผูดูแลระบบ หมายถึง พนักงานที่ไดรับมอบหมายจากผูบังคับบัญชาใหมีหนาที่รับผิดชอบในการดูแลรักษาระบบ สารสนเทศ และพนักงานของผูรับจางที่รับผิดชอบติดตั้งหรือบํารุงรักษาระบบสารสนเทศให รฟม. 10. เจาของขอมูล หมายถึง ผูไดรับมอบอํานาจจากผูบังคับบัญชาใหรับผิดชอบขอมูลของระบบงานโดยเจาของขอมูล เปนผูรับผิดชอบขอมูลนั้น ๆ หรือไดรับผลกระทบโดยตรงหากขอมูลเหลานั้นเกิดสูญหาย
9. มาตรฐาน หมายถึง บรรทัดฐานที่บังคับใชในการปฏิบัติการจริงเพื่อใหไดตามวัตุประสงคหรือเปาหมาย 12. ขั้นตอนปฏิบัติ หมายถึง รายละเอียดที่บอกขั้นตอนเปนขอ ๆ ที่ตองนํามาปฏิบัติเพื่อใหไดมาซึ่งมาตรฐานตามที่ได กําหนดไวตามวัตถุประสงค
10. แนวปฏิบัติ หมายถึง แนวทางที่ตองปฏิบัติตามเพื่อใหสามารถบรรลุวัตถุประสงคหรือเปาหมายไดงายขึ้น 14. ระบบเทคโนโลยีสารสนเทศ (Information technology system) หมายถึง ระบบงานของ รฟม. ที่นําเอาเทคโนโลยี สารสนเทศ ระบบคอมพิวเตอร และระบบเครือขายสื่อสารขอมูลมาชวยในการสรางสารสนเทศที่ รฟม. สามารถ นํามาใชประโยชนในการวางแผน การบริหาร การสนับสนุน การใหบริการ การพัฒนาและควบคุมการติดตอสื่อสาร ซึ่งมีองคประกอบ ไดแก ระบบคอมพิวเตอร ระบบเครือขาย โปรแกรม ขอมูลและสารสนเทศ เปนตน 15. ขอมูลคอมพิวเตอรหมายถึง ขอมูล ขอความ คําสั่ง ชุดคําสั่ง หรือสิ่งอื่นใด ที่อยูในระบบคอมพิวเตอรในสภาพที่ระบบ คอมพิวเตอรอาจประมวลผลได และใหหมายความรวมถึงขอมูลอิเล็กทรอนิกสตามกฎหมายวาดวยธุรกรรม อิเล็กทรอนิกส
11. ขอมูลจราจรทางคอมพิวเตอร (Trafficlog) หมายถึง ขอมูลเกี่ยวกับการติดตอสื่อสารของระบบคอมพิวเตอร ซึ่งแสดงถึง แหลงกําเนิด ตนทาง ปลายทาง เวลา วันที่ ปริมาณ ระยะเวลา หรืออื่น ๆ ที่เกี่ยวของกับการติดตอสื่อสารของ ระบบคอมพิวเตอรนั้น
12. สารสนเทศ (Information) หมายถึง ขอเท็จจริงที่ไดจากขอมูลนํามาผานการประมวลผล การจัดระเบียบใหขอมูล ซึ่งขอมูลอาจอยูในรูปของตัวเลข ขอความ หรือภาพกราฟกใหเปนระบบที่ผูใชสามารถเขาใจไดงาย และสามารถ นําไปใชประโยชนในการบริหาร การวางแผน การตัดสินใจ และอื่น ๆ
    2
13. ระบบคอมพิวเตอร (Computer system) หมายถึง อุปกรณหรือชุดอุปกรณของคอมพิวเตอรที่เชื่อมการทํางาน เขาดวยกันโดยไดมีการกําหนดคําสั่ง ชุดคําสั่งหรือสิ่งอื่นใด และแนวปฏิบัติงานใหอุปกรณหรือชุดอุปกรณทําหนาที่ ประมวลผลขอมูลโดยอัตโนมัติ
14. ระบบเครือขายสื่อสารขอมูล (Network system) หมายถึง ระบบที่สามารถใชในการติดตอสื่อสารหรือการสงขอมูล และสารสนเทศระหวางระบบเทคโนโลยีสารสนเทศตาง ๆ ของ รฟม. เชน ระบบแลน (LAN) ระบบอินทราเน็ต (Intranet) ระบบอินเทอรเน็ต (Internet) เปนตน
15. สิทธิ์ของผูใชงาน หมายถึง สิทธิ์ทั่วไป สิทธิ์จําเพาะ สิทธิพิเศษ และสิทธิ์อื่นใด ที่เกี่ยวของกับระบบสารสนเทศ ของหนวยงาน
16. ความมั่นคงปลอดภัยดานสารสนเทศ หมายถึง การธํารงไวซึ่งความลับ (Confidentiality) ความถูกตองครบถวน (Integrity) และสภาพพรอมใชงาน (Availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ไดแก ความถูกตองแทจริง (Authenticity) ความรับผิด (Accountability) การหามปฏิเสธความรับผิด (Non-repudiation) และความนาเชื่อถือ (Reliability)
17. เหตุการณดานความมั่นคงปลอดภัย หมายถึง เหตุการณที่แสดงใหเห็นความเปนไปไดที่จะเกิดการฝาฝนนโยบาย ดานความมั่นคงปลอดภัย มาตรการปองกันที่ลมเหลว หรือเหตุการณอันไมอาจรูไดวาอาจเกี่ยวของกับความมั่นคงปลอดภัย 23. สถานการณดานความมั่นคงปลอดภัยที่ไมพึงประสงคหรือไมอาจคาดคิด หมายถึง สถานการณดานความมั่นคงปลอดภัย ที่ไมพึงประสงคหรือไมอาจคาดคิด (Unwanted or unexpected) ซึ่งอาจทําใหระบบขององคกรถูกบุกรุก หรือโจมตีและความมั่นคงปลอดภัยถูกคุกคาม
18. การเขาถึงหรือควบคุมการใชงานสารสนเทศ หมายถึง การอนุญาต การกําหนดสิทธิ์หรือการมอบอํานาจใหผูใชงาน เขาถึงหรือใชงานเครือขายหรือระบบสารสนเทศ ทั้งทางอิเล็กทรอนิกสและทางกายภาพ ตลอดจนอาจกําหนดขอปฏิบัติ เกี่ยวกับการเขาถึงโดยมิชอบเอาไวดวยก็ได
19. สินทรัพย (Assets) หมายถึง สินทรัพยดานระบบเทคโนโลยีสารสนเทศและการสื่อสารของ รฟม. เชน อุปกรณ คอมพิวเตอร อุปกรณระบบเครือขาย ซอฟตแวรที่มีคาลิขสิทธิ์ขอมูล ระบบขอมูล ฯลฯ
20. จดหมายอิเล็กทรอนิกส (Email) หมายถึง ระบบที่บุคคลใชในการรับ - สงขอความระหวางกัน โดยผานเครื่อง คอมพิวเตอรและเครือขายที่เชื่อมโยงถึงกัน ขอมูลที่สงจะเปนไดทั้งตัวอักษร ภาพถาย ภาพกราฟก ภาพเคลื่อนไหว และเสียง ผูสงสามารถสงขาวสารไปยังผูรับคนเดียวหรือหลายคนก็ได โดยขาวสารที่สงนั้นจะถูกเก็บไวในตูจดหมาย (Mail box) ที่กําหนดไวสําหรับผูใชงาน ผูรับสามารถเปดอาน พิมพลงกระดาษ หรือจะลบทิ้งก็ได
21. ชุดคําสั่งไมพึงประสงค (Malicious code) หมายถึง ชุดคําสั่งที่มีผลทําใหคอมพิวเตอร หรือระบบคอมพิวเตอร หรือชุดคําสั่งอื่นเกิดความเสียหาย ถูกทําลาย ถูกแกไขเปลี่ยนแปลงหรือเพิ่มเติม ขัดของหรือปฏิบัติงานไมตรง ตามคําสั่งที่กําหนดไว
22. เครื่องคอมพิวเตอรหมายถึง เครื่องคอมพิวเตอรแบบตั้งโตะ และเครื่องคอมพิวเตอรแบบพกพา 29. อุปกรณเคลื่อนที่ (Mobile device) หมายถึง อุปกรณอิเล็กทรอนิกสแบบพกพา ซึ่งมีความสามารถในการเชื่อมตอกับ อุปกรณอื่นเพื่อรับสงขอมูลผานระบบเครือขายโทรคมนาคมไรสายหรือโดยอาศัยคลื่นแมเหล็กไฟฟาเปนสื่อกลาง เชน Tablet, Smart Phone
23. ทรัพยสินของ รฟม. หมายถึง ครุภัณฑ รฟม. และทรัพยสินที่ไมมีการขึ้นทะเบียนครุภัณฑที่ รฟม. จัดสรร งบประมาณเพื่อเปนคาใชจายใหทั้งหมดหรือบางสวน
24. อุปกรณสวนตัว หมายถึง อุปกรณที่ไมใชทรัพยสินของ รฟม. ที่ผูใชงานนํามาเชื่อมตอกับระบบสารสนเทศของ รฟม. เชน เครื่องคอมพิวเตอรสวนบุคคล (Personal computer) เครื่องคอมพิวเตอรพกพา (Notebook) อุปกรณเคลื่อนที่ (Mobile device) Removable media หรืออุปกรณคอมพิวเตอรของโครงการรถไฟฟา เปนตน
    3
    สวนที่ 1
    นโยบายการบริหารจัดการความมั่นคงปลอดภัยสําหรับผูบริหาร
    วัตถุประสงค
    ▪ เพื่อใหการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศขององคกรมีความสอดคลองกับมาตรฐานสากลและ กฎหมายดานความมั่นคงปลอดภัยที่เกี่ยวของ
    ผูรับผิดชอบ
    ▪ ผูบริหารสูงสุด
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    แนวปฏิบัติ
25. จัดใหมีการทําและทบทวนหรือปรับปรุงนโยบายความมั่นคงปลอดภัย และแนวปฏิบัติที่สนับสนุนการทํางานตาง ๆ อยางนอยปละ 1 ครั้ง โดยพิจารณาจากปจจัยนําเขา ดังนี้
    1.1 กลยุทธการดําเนินงานขององคกร
    1.2 ขอมูลกฎหมาย ระเบียบ ขอบังคับตาง ๆ ที่ตองปฏิบัติตาม
    1.3 การปรับปรุงนโยบายความมั่นคงปลอดภัยสําหรับปถัดไป
    1.4 ผลการประเมินความเสี่ยงและแผนลดความเสี่ยง
    1.5 ผลการแจงเตือนโดยระบบปองกันการบุกรุกในปที่ผานมา
    1.6 ผลของการตรวจสอบขอมูลการปดชองโหว (Patch) สําหรับระบบตาง ๆ ในปที่ผานมา 1.7 การจัดทําและตอสัญญาบํารุงรักษาระบบและอุปกรณตาง ๆ
    1.8 แผนการอบรมทางดานความมั่นคงปลอดภัยประจําปซึ่งรวมถึงการสรางความตระหนัก 1.9 ผลการทดสอบแผนกูคืนในปที่ผานมา
    1.10 ขอมูลภัยคุกคามตาง ๆ ที่เคยเกิดขึ้นในอดีตและปจจุบัน รวมทั้งภัยคุกคามที่ไดรับแจงจากหนวยงานภายนอก 1.11 ผลการตรวจสอบการปฏิบัติตามนโยบายความมั่นคงปลอดภัยโดยผูตรวจสอบภายในหรือโดยผูตรวจสอบ อิสระดานความมั่นคงปลอดภัยจากภายนอก
26. จัดใหมีทรัพยากรดานบุคลากร งบประมาณ การบริหารจัดการ และวัตถุดิบที่เพียงพอตอการบริหารจัดการความ มั่นคงปลอดภัยสารสนเทศในแตละปงบประมาณ
27. จัดใหมีบุคลากรดําเนินงานดานความมั่นคงปลอดภัยสารสนเทศและกําหนดหนาที่ความรับผิดชอบรวมทั้ง ปรับปรุงโครงสรางดังกลาวตามความจําเปน
28. แสดงเจตนารมณหรือสื่อสารอยางสม่ําเสมอเพื่อใหผูใชงานทั้งหมดไดเห็นถึงความสําคัญของการปฏิบัติตาม นโยบายความมั่นคงปลอดภัยและนโยบายสนับสนุนตาง ๆ โดยเครงครัดและเปนผูรับผิดชอบตอความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้นกับสารสนเทศขององคกร รวมถึงสรางความรวมมือระหวางหนวยงาน ที่เกี่ยวของกับความมั่นคงปลอดภัยสารสนเทศ
    4
    สวนที่ 2
    ความมั่นคงปลอดภัยที่เกี่ยวกับบุคลากร
    วัตถุประสงค
    ▪ เพื่อใหผูใชงานเขาใจถึงบทบาท หนาที่ความรับผิดชอบ ทั้งกอนการจางงาน ระหวางการจางงาน และสิ้นสุดหรือ เปลี่ยนแปลงการจางงาน ตลอดจนตระหนักถึงภัยคุกคามและปญหาที่เกี่ยวของกับความมั่นคงปลอดภัยของ ระบบเทคโนโลยีสารสนเทศเพื่อลดความเสี่ยงอันเกิดจากการขโมย การฉอโกง การใชงานระบบเทคโนโลยี สารสนเทศผิดวัตถุประสงคและความผิดพลาดในการปฏิบัติหนาที่ ซึ่งอาจสงผลกระทบหรือทําให รฟม.
    เกิดความเสียหาย
    ผูรับผิดชอบ
    ▪ ผูอํานวยการฝายเทคโนโลยีสารสนเทศ ผูอํานวยการฝายทรัพยากรบุคคล ผูอํานวยการฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานบุคลากร (People Controls)
    แนวปฏิบัติ
29. การสรางความมั่นคงปลอดภัยกอนการจางงาน (Prior to Employment) เพื่อคัดสรรบุคลากรกอนที่จะเขามา ปฏิบัติงาน และเพื่อลดความเสี่ยงจากการปฏิบัติงานผิดพลาด การขโมย การปลอมแปลง และการนําระบบ สารสนเทศหรือทรัพยากรสารสนเทศของ รฟม. ไปใชในทางที่ไมเหมาะสม รวมทั้งเพื่อใหผูใชงานเขาใจในหนาที่ ความรับผิดชอบของตนเอง
    1.1 การตรวจสอบคุณสมบัติของผูสมัคร (Screening)
    ฝทบ. หรือฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก/บุคคลภายนอกตองตรวจสอบ คุณสมบัติของผูสมัคร (ทั้งกรณีการจางเปนพนักงาน ลูกจาง การวาจางหนวยงานภายนอก/บุคคลภายนอก เพื่อปฏิบัติงานให รฟม. รวมทั้งนิสิตนักศึกษาฝกงาน) โดยผูสมัครตองไมเคยกระทําผิดกฎหมาย ระเบียบ ขอบังคับ หรือจริยธรรม รวมทั้งไมมีประวัติในการบุกรุก แกไข ทําลาย หรือโจรกรรมขอมูลในระบบเทคโนโลยี สารสนเทศมากอน และมีคุณสมบัติตามที่ รฟม. กําหนด
    1.2 การกําหนดเงื่อนไขการจางงาน (Terms and Conditions of Employment) การวาจางใหมีเงื่อนไข การจางงานใหครอบคลุมในเรื่องดังตอไปนี้
    1.2.1 กําหนดหนาที่ความรับผิดชอบดานความมั่นคงปลอดภัยดานสารสนเทศอยางเปนลายลักษณอักษร (Information Security Roles and Responsibilities) แกผูใชงาน โดยกําหนดใหสอดคลองกับ นโยบายความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศของ รฟม.
    1.2.2 กําหนดใหมีการลงนามในสัญญาวาจะไมเปดเผยความลับของ รฟม. (Non-Disclosure Agreement: NDA)
    1.2.3 ระบบเทคโนโลยีสารสนเทศที่สรางหรือพัฒนาโดยผูใชงานในระหวางการวาจางถือเปนสินทรัพย ของ รฟม.
    1.2.4 กําหนดความรับผิดชอบหรือบทลงโทษ หากผูใชงานไมปฏิบัติตามนโยบายการรักษาความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศ รฟม. รวมทั้ง กฎหมาย ระเบียบ ขอบังคับ หรือขอกําหนดอื่น ๆ ที่เกี่ยวของกับการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยีสารสนเทศ
    5
30. การสรางความมั่นคงปลอดภัยในระหวางการจางงาน (During Employment) เพื่อสรางความตระหนักแกผูใชงาน เกี่ยวกับภัยที่เกี่ยวของกับการปฏิบัติงานสารสนเทศ รวมถึงใหความรูเพื่อใหสามารถปองกันภัยดังกลาวได 2.1 หนาที่ในการบริหารจัดการทางดานความมั่นคงปลอดภัย (Management Responsibilities) ผูบริหาร รฟม. ทุกระดับชั้นมีหนาที่สนับสนุนและสงเสริมเรื่องดังตอไปนี้แกผูใชงาน
    2.1.1 ประกาศนโยบายการรักษาความมั่นคงปลอดภัยดานสารสนเทศของ รฟม. เปนลายลักษณอักษรใหทุกคน รับทราบและปฏิบัติตาม
    2.1.2 จูงใจใหผูใชงานปฏิบัติตามนโยบายการรักษาความมั่นคงปลอดภัยดานสารสนเทศของ รฟม. 2.1.3 สรางความตระหนักถึงความมั่นคงปลอดภัยดานสารสนเทศที่เกี่ยวของกับหนาที่ความรับผิดชอบ ของตนเองและของ รฟม.
    2.2 การสรางความตระหนัก การใหความรู และการอบรมดานความมั่นคงปลอดภัยใหแกผูใชงาน (Information Security Awareness, Education and Training) การสรางความตระหนักในการรักษาความมั่นคงปลอดภัย อยางสม่ําเสมอ
    2.2.1 ผูดูแลระบบตองแจงเตือนภัยคุกคาม และชองโหวที่สงผลกระทบตอความมั่นคงปลอดภัยของระบบ เทคโนโลยีสารสนเทศแกผูใชงานที่เกี่ยวของ นอกจากนี้ตองแจงเตือนใหผูใชงานเพิ่มความระมัดระวัง ความเสี่ยงตาง ๆ เชน ไวรัสคอมพิวเตอร เทคนิคการหลอกลอทางจิตวิทยา (Social Engineering) และชองโหวทางเทคนิค เปนตน
    2.2.2 ฝทท. ตองดําเนินการฝกอบรม หรือประชาสัมพันธเพื่อสรางความตระหนักดานความมั่นคงปลอดภัย ของระบบเทคโนโลยีสารสนเทศแกผูใชงานเปนประจําทุกป
    2.2.3 ฝทท. ตองแจงผูใชงานใหทราบ เมื่อมีการเปลี่ยนแปลงนโยบายการรักษาความมั่นคงปลอดภัย สารสนเทศของ รฟม. รวมทั้งอธิบายผลกระทบจากการเปลี่ยนแปลงดังกลาว
    2.3 การแจงเหตุการณไมปกติ
    ผูใชงานตองแจงเหตุการณไมปกติดานเทคโนโลยีสารสนเทศที่พบผานชองทางที่ รฟม. กําหนดโดยเร็วที่สุด 2.4 การกําหนดบทลงโทษ
    2.4.1 ความรับผิดตามกฎหมาย
    นโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยดานสารสนเทศนี้ไมไดกอใหเกิดสิทธิ์ ทางกฎหมายที่ทําใหผูใชงานพนผิดแมจะไดปฏิบัติตามนโยบายและแนวปฏิบัติในการรักษาความมั่นคง ปลอดภัยสารสนเทศและผูใชงานตกลงยินยอมที่จะไมดําเนินการใด ๆ ทางกฎหมายตอ รฟม. ซึ่งได ปฏิบัติตามระเบียบนี้ แตอยางไรก็ตามหากผูใชงานกระทําการละเมิดหรือกระทําผิดตามนโยบาย และแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยสารสนเทศ อาจเปนความผิดทางวินัยและเปนเหตุ ใหถูกลงโทษทางวินัยได รฟม. ไมมีสวนรับผิดชอบตอการละเมิดทรัพยสินทางปญญาที่เกิดจาก การใชระบบคอมพิวเตอร
    2.4.2 การพิจารณาโทษผูกระทําผิด
    ผูใชงานที่กระทําความผิด ฝทท. จะเพิกถอนสิทธิ์การใชงานและอาจเปนความผิดทางวินัย หรือ ความผิดตามกฎหมายที่เกี่ยวของ

1. พนักงาน/ลูกจางที่ฝาฝนหรือละเมิดนโยบายการรักษาความมั่นคงปลอดภัยของระบบเทคโนโลยี สารสนเทศ รฟม. ตองถูกลงโทษตามกระบวนการทางวินัยของ รฟม. รวมถึงกฎหมายที่เกี่ยวของ 2) หนวยงานภายนอก/บุคคลภายนอกที่กระทําความผิด จะมีโทษตามที่ระบุไวในสัญญาหรือ ถูกเพิกถอนสิทธิ์การใชงาน รวมถึงดําเนินการตามกฎหมายที่เกี่ยวของ
   6

3. การสิ้นสุดหรือการเปลี่ยนแปลงการจางงาน (Termination and Change of Employment) เพื่อกําหนดหนาที่ความรับผิดชอบเมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน ซึ่งรวมไปถึงการคืนทรัพยสินและ การถอดถอนสิทธิ์ในการเขาถึง
   3.1 การแจงการสิ้นสุดหรือเปลี่ยนแปลงการจางงาน
   3.1.1 ฝทบ. ตองแจงใหฝทท. ทราบทันทีหากพนักงานมีการลาออก โยกยาย เกษียณ หรือเสียชีวิตเพื่อ ฝทท. จะไดตรวจสอบและบริหารจัดการสิทธิ์ในการเขาถึงระบบเทคโนโลยีสารสนเทศ
   3.1.2 ฝาย/สํานัก/สํานักงาน ที่กํากับดูแลงานที่มีการวาจางหนวยงานภายนอก/บุคคลภายนอก ตองแจงให ฝทท. ทราบทันทีในกรณีที่ผูรับจางภายนอกสิ้นสุดสัญญาจางหรือมีการยกเลิกสัญญาจาง เพื่อให ฝทท. ตรวจสอบการใชงานระบบสารสนเทศและถอดถอนสิทธิ์ในการเขาถึงระบบสารสนเทศของ รฟม.
   3.2 การคืนสินทรัพยของ รฟม.
   ผูดูแลระบบตองตรวจสอบเพื่อเรียกคืนสินทรัพยของ รฟม. จากผูใชงาน เมื่อการสิ้นสุดหรือการเปลี่ยนแปลง การจางงาน
   3.3 การถอดถอนสิทธิ์ในการเขาถึง
   3.3.1 ผูดูแลระบบตองถอดถอนสิทธิ์ในการเขาถึงของผูใชงาน เมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน 3.3.2 การถอดถอนสิทธิ์ในการเขาถึงหมายรวมถึง ทางกายภาพ (Physical) และทางตรรกะ (Logical) เชน กุญแจ บัตรแสดงตน บัตรประจําตัวผูใชงาน และบัญชีผูใชงาน เปนตน
   3.3.3 ในกรณีที่ผูใชงานที่สิ้นสุดหรือเปลี่ยนแปลงการจางงาน มีการใชบัญชีผูใชงานรวมกัน (Shared User ID) กับผูใชงานอื่น ผูบังคับบัญชาตองเปลี่ยนรหัสผานทันทีหลังจากสิ้นสุดหรือเปลี่ยนแปลงการจางงาน
   7
   สวนที่ 3
   การรักษาความมั่นคงปลอดภัยทางดานกายภาพและสิ่งแวดลอม
   วัตถุประสงค
   ▪ เพื่อควบคุมและปองกันการรักษาความมั่นคงปลอดภัยที่เกี่ยวของกับการเขาถึงอาคารสถานที่ และพื้นที่จัดเก็บ ขอมูลคอมพิวเตอร (Data Storage Area)
   ผูรับผิดชอบ
   ▪ ผูดูแลระบบ
   ▪ ผูอํานวยการฝายจัดซื้อและบริการ
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
   แนวปฏิบัติ
4. ผูดูแลระบบ ตองออกแบบ และติดตั้งอุปกรณหรือระบบสนับสนุน (Facilities) เพื่อปองกันความมั่นคงปลอดภัย ดานกายภาพ เชน อุปกรณดับเพลิง ระบบสํารองไฟฟา เครื่องกําเนิดไฟฟา ระบบปรับอากาศและควบคุมความชื้น ระบบเตือนภัยน้ํารั่ว และตองมีการบํารุงรักษาอยางสม่ําเสมอ
5. ผูดูแลระบบตองติดตั้งอุปกรณสารสนเทศในตูแร็ก (Rack) หรือสถานที่ที่มีความมั่นคงปลอดภัยและมีการปดล็อค 3. ผูดูแลระบบ ตองมีการปองกันสายเคเบิลที่ใชเพื่อการสื่อสารหรือสายไฟ มิใหมีการดักรับสัญญาณ (Interception) หรือมีความเสียหายเกิดขึ้น โดยจะตองเดินสายเคเบิลผานทอรอยสายหรือทางเดินสายที่มั่นคงปลอดภัยจากการเขาถึง และไมเดินสายผานพื้นที่ที่เขาถึงไดอยางสาธารณะ รวมทั้งสายเคเบิลสื่อสารและสายไฟฟาตองแยกจากกันโดยมี ระยะหางที่เหมาะสม
6. การกําหนดบริเวณที่มีการรักษาความมั่นคงปลอดภัย
   กําหนดพื้นที่ของระบบเทคโนโลยีสารสนเทศตาง ๆ อยางเหมาะสม เพื่อเปนการเฝาระวัง ควบคุม การรักษาความมั่นคง ปลอดภัยจากผูที่ไมไดรับอนุญาต รวมทั้งปองกันความเสียหายอื่น ๆ ที่อาจเกิดขึ้นไดโดยแบงแยกบริเวณพื้นที่ใชงาน ระบบเทคโนโลยีสารสนเทศออกเปน
   4.1 พื้นที่ทํางาน (Working area) หมายถึง พื้นที่ติดตั้งเครื่องคอมพิวเตอรสวนบุคคลและคอมพิวเตอรพกพา ที่ประจําโตะทํางาน
   4.2 พื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data storage area) หมายถึง พื้นที่ศูนยของขอมูล (Data center) 5. การควบคุมการเขาออก อาคาร สถานที่
   5.1 กําหนดสิทธิ์ของผูใชงานและหนวยงานภายนอกในการเขาถึงสถานที่ โดยแบงแยกได ดังนี้ 5.1.1 ผูดูแลระบบตองกําหนดสิทธิ์แกผูใชงานที่มีสิทธิ์เขา - ออก และกําหนดชวงระยะเวลาที่มีสิทธิ์ ในการเขา - ออกแตละพื้นที่ใชงานระบบเทคโนโลยีสารสนเทศอยางชัดเจน
   5.1.2 เจาหนาที่รักษาความปลอดภัย (รปภ.) จะตองใหหนวยงานภายนอก/บุคคลภายนอกแลกบัตรที่สามารถ ระบุตัวตนของบุคคลนั้น ๆ กอนเขาถึงอาคารของ รฟม. เชน บัตรประจําตัวประชาชน ใบอนุญาตขับขี่ เปนตน แลวบันทึกขอมูลบัตรในสมุดบันทึกหรือระบบงานสารสนเทศ
   5.1.3 หนวยงานภายนอก/บุคคลภายนอกที่มาติดตอตองติดบัตรผูติดตอ (Visitor) ตรงจุดที่สามารถเห็นได ชัดเจนตลอดเวลาที่อยูใน รฟม.และคืนบัตรผูติดตอ (Visitor) กอนออกจากอาคารของ รฟม.
   5.1.4 เจาหนาที่รักษาความปลอดภัย (รปภ.) ตองตรวจสอบผูติดตอ อุปกรณ พรอมลงเวลาออกที่สมุด บันทึกหรือระบบสารสนเทศใหถูกตอง
   5.2 ผูดูแลระบบ ตองควบคุมการเขา –ออกพื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data Storage Area) ไมใหผูไมมีสิทธิ์ เขาถึงได โดยกําหนดพื้นที่การสงมอบสินคาและพื้นที่การเตรียมหรือประกอบอุปกรณสารสนเทศ (Unpack Area) กอนนําเขาพื้นที่จัดเก็บขอมูลคอมพิวเตอร (Data storage area) และตองควบคุม การ เขา - ออก เพื่อหลีกเลี่ยงการเขาถึงระบบสารสนเทศและขอมูลสารสนเทศโดยไมไดรับอนุญาต โดยปฏิบัติตามขั้นตอนที่ รฟม. กําหนด
   8
   สวนที่ 4
   การจัดการทรัพยสิน
   วัตถุประสงค
   ▪ เพื่อบริหารจัดการทรัพยสินสารสนเทศ ตั้งแตการจัดหา การใชงาน จนถึงการยกเลิกใชงาน โดยมีการระบุ ทรัพยสินขององคกรและกําหนดหนาที่ความรับผิดชอบในการปกปองทรัพยสินสารสนเทศอยางเหมาะสม ผูรับผิดชอบ
   ▪ ผูบังคับบัญชา
   ▪ ผูดูแลระบบ
   ▪ เจาของขอมูล
   ▪ ผูใชงาน
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
   ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
   ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
   แนวปฏิบัติ
7. หนาที่ความรับผิดชอบตอทรัพยสินสารสนเทศ (Responsibility for Assets)
   1.1 เจาของขอมูลและผูดูแลระบบ ตองรวมกันจัดทําบัญชีทรัพยสิน/ทะเบียนทรัพยสิน (Asset Inventory) และทบทวนทะเบียนทรัพยสินอยางนอยปละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสําคัญ 1.2 เจาของขอมูลและผูดูแลระบบ ตองระบุเจาของทรัพยสินสารสนเทศทุกรายการ เพื่อรับผิดชอบดูแล ความมั่นคงปลอดภัยสารสนเทศตลอดวงจรอายุการใชงาน
   1.3 เจาของขอมูลและผูดูแลระบบ ตองเรียกคืนทรัพยสินสารสนเทศเมื่อสิ้นสุดหรือเปลี่ยนแปลงการจางงาน 1.4 ผูใชงานตองใชทรัพยสินสารสนเทศของ รฟม. อยางระมัดระวัง และใชเพื่อปฏิบัติงานของ รฟม. เทานั้น รวมทั้งตองปฏิบัติตามกฎหมาย ระเบียบ ขอบังคับ และนโยบาย ของ รฟม.
8. การจําแนกประเภทของทรัพยสินสารสนเทศ (Asset Classification)
   2.1 เจาของขอมูลและผูดูแลระบบ ตองจําแนกประเภททรัพยสินตามขั้นตอนที่ รฟม. กําหนด และทบทวน การจําแนกดังกลาวอยางสม่ําเสมอ
   2.2 เจาของขอมูลและผูดูแลระบบ ตองจัดทําปายชื่อทรัพยสินสารสนเทศ (Labeling) ใหชัดเจน พรอมทั้งจัดใหมี มาตรการดูแลการรักษาความมั่นคงปลอดภัยสารสนเทศที่สอดคลองกับประเภททรัพยสินตามระดับชั้นความลับ ที่ รฟม. กําหนด
9. การจัดการสื่อบันทึกขอมูล (Media Handling)
   3.1 เจาของขอมูล ผูดูแลระบบ และผูใชงานตองควบคุมการใชงานและจัดเก็บสื่อบันทึกแบบถอดหรือตอพวง กับเครื่องคอมพิวเตอรได (Removable Media) ตามที่ รฟม. กําหนด
   3.2 เจาของขอมูลตองมีการเขารหัสขอมูลที่ออนไหว (Sensitive Data) ของ รฟม. ที่จัดเก็บอยูในสื่อบันทึก แบบถอดได
   3.3 เจาของขอมูล ผูดูแลระบบ และผูใชงานตองทําลายขอมูลสําคัญในอุปกรณสื่อบันทึกขอมูล แฟมขอมูล ตามขั้นตอนที่ รฟม. กําหนด โดยไมสามารถกูคืนขอมูลกลับมาไดอีกกอนจะกําจัดอุปกรณดังกลาวหรือ กอนที่จะอนุญาตใหผูอื่นนําอุปกรณนั้นไปใชงานตอเพื่อปองกันไมใหมีการเขาถึงขอมูลที่สําคัญได โดยพิจารณาวิธีการทําลายขอมูลบนสื่อบันทึกขอมูลแตละประเภท ดังนี้
   9
   ประเภทสื่อบันทึกขอมูล
   วิธีทําลาย
   กระดาษ
   ใหหั่นดวยเครื่องทําลายเอกสาร
   Flash Drive
   1. ทําลายขอมูลบน Flash Drive ตามมาตรฐาน DOD5220.22M ของกระทรวงกลาโหมสหรัฐอเมริกา ซึ่งเปนการเขียนทับขอมูลเดิมหลายรอบ

2. ใชวิธีทุบหรือบดใหเสียหาย
   แผน CD/DVD
   ใหหั่นดวยเครื่องทําลายเอกสาร
   เทป
   ใชวิธีทุบหรือบดใหเสียหายหรือเผาทําลาย
   ฮารดดิสก
   1. ทําลายขอมูลบนฮารดดิสกตามมาตรฐาน
      DOD5220.22M ของกระทรวงกลาโหมสหรัฐอเมริกา ซึ่งเปนการเขียนทับขอมูลเดิมหลายรอบ
3. ใชวิธีทุบหรือบดใหเสียหาย

3.4 เจาของขอมูล ผูดูแลระบบ และผูใชงาน ตองมีการปองกันสื่อบันทึกขอมูลที่ใชจัดเก็บขอมูลสารสนเทศ ในกรณี ที่มีการเคลื่อนยายเพื่อปองกันการเขาถึงขอมูลสารสนเทศโดยไมไดรับอนุญาต ถูกนําไปใชงานผิดวัตถุประสงค รวมถึงปองกันสื่อบันทึกขอมูลไมใหไดรับความเสียหาย โดยรักษาความปลอดภัยสารสนเทศตามขั้นตอนที่ รฟม. กําหนด
4. การบริหารจัดการคาคอนฟกูเรชัน (Configuration Management)
4.1 ผูบังคับบัญชาตองกําหนดใหมีแนวทางการบริหารจัดการคาคอนฟกูเรชัน (Configuration Management) 4.2 ผูดูแลระบบตองกําหนดคา Minimum Baseline Standard เพื่อเปนมาตรฐานในการการตั้งคาของ ระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และอุปกรณเครือขายสื่อสารตาง ๆอยางเปนลายลักษณอักษร และตองการทบทวนปรับปรุงใหเปนปจจุบันอยางนอยปละ 1 ครั้ง
4.3 ผูดูแลระบบตองควบคุมการเปลี่ยนแปลงการตั้งคาของระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และ อุปกรณเครือขายสื่อสารตาง ๆ ตามขั้นตอนปฏิบัติการควบคุมการเปลี่ยนแปลงหรือแกไขระบบที่ รฟม. กําหนด
4.4 ผูดูแลระบบตองควบคุมเวอรชันของคาคอนฟกูเรชัน (System Configuration Version Control) 4.5 ผูดูแลระบบตองมีการสอบทานคาคอนฟกูเรชันของระบบปฏิบัติการ ระบบฐานขอมูล ระบบงาน และ อุปกรณเครือขายสื่อสารตาง ๆ อยางนอยปละ 1 ครั้ง
10
สวนที่ 5
การจัดหา การพัฒนา และการบํารุงรักษาระบบสารสนเทศ
วัตถุประสงค
▪ เพื่อควบคุมการจัดหา พัฒนา และบํารุงรักษาระบบสารสนเทศ ใหมีการกําหนดมาตรการการรักษาความมั่นคง ปลอดภัย เพื่อปองกันความผิดพลาด สูญหาย และการเปลี่ยนแปลงแกไขระบบ
ผูรับผิดชอบ
▪ ผูบังคับบัญชา
▪ ผูดูแลระบบ
อางอิงมาตรฐาน: ISO/IEC 27001:2022
▪ มาตรการควบคุมดานองคกร (Organizational Controls)
▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
แนวปฏิบัติ

1. ผูบังคับบัญชา ตองควบคุมใหมีการกําหนดขอตกลงและความรับผิดชอบที่เกี่ยวของกับความเสี่ยงดานความมั่นคง ปลอดภัยสารสนเทศลงในสัญญากับผูใหบริการภายนอก โดยใหครอบคลุมรวมถึงผูรับจางชวงดวย 2. ผูบังคับบัญชาตองควบคุมใหมีขอตกลง (Sign Off) กอนเริ่มใชงานระบบจริง (Production) หรือกอนเริ่ม Go Live 3. ผูดูแลระบบ ตองจัดทําขอกําหนดโดยระบุถึงการควบคุมความมั่นคงปลอดภัยดานสารสนเทศที่สอดคลองกับ นโยบายและแนวปฏิบัติดานความมั่นคงปลอดภัยสารสนเทศขององคกร เชน วิธีการแบบปลอดภัยในการพัฒนา โปรแกรมตามมาตรฐาน OWASP (Open Web Application Security Project) Top 10 หรือมาตรฐาน CWE (Common Weakness Enumeration) Top 25 หรือมาตรฐานที่ยอมรับในสากล
2. ผูดูแลระบบตองออกแบบโครงสรางการจัดวางระบบงานและเสนอผูบังคับบัญชาเห็นชอบกอนเริ่ม Go Live 5. ผูดูแลระบบ ตองมีการออกแบบระบบเพื่อตรวจสอบขอมูลที่จะรับเขาสูแอปพลิเคชัน ขอมูลที่เกิดจากการ ประมวลผล และขอมูลที่อยูระหวางการประมวลผล เพื่อตรวจหาและปองกันความไมถูกตองที่เกิดขึ้นกับขอมูล เชน หนวยความจําลน (Buffer Overflows) การใชตัวแปรผิดประเภท และตองมีมาตรการปองกันหรือควบคุม ความลมเหลวระหวางการประมวลผล (Rollback)
3. ผูดูแลระบบตองมีการควบคุมการเขาถึงและควบคุมการเปลี่ยนแปลงหรือแกไขระบบตามขั้นตอนที่ รฟม. กําหนด เพื่อควบคุมผลกระทบที่เกิดขึ้น
4. ผูดูแลระบบตองจํากัดใหมีการเปลี่ยนแปลงใด ๆ ตอซอฟตแวรที่ใชงาน (Software Package) โดยเปลี่ยนแปลง เฉพาะที่จําเปนเทานั้น และควบคุมทุก ๆ การเปลี่ยนแปลงอยางเขมงวดตามขั้นตอนที่ รฟม. กําหนด 8. ผูดูแลระบบตองจํากัดการเขาถึง Source Code ใหเขาถึงไดเฉพาะผูที่มีสิทธิ์เทานั้น
5. ผูดูแลระบบตองจัดทํา Source Code Review เพื่อหาขอผิดพลาดหรือสิ่งผิดปกติและปรับปรุง Source Code ใหมีคุณภาพ
6. ผูดูแลระบบตองควบคุมการจัดสง Source Code ผานชองทางที่มั่นคงปลอดภัยและเปนชองทางที่ รฟม. กําหนดใหใชงานเทานั้น
7. ผูดูแลระบบตองปดบังขอมูลสวนบุคคล (Data Masking) ที่จัดเก็บอยูในระบบงานสารสนเทศดวยวิธีการที่ เหมาะสม
8. ผูดูแลระบบตองแสดงขอมูลของผูใชงานอยางรัดกุม เชน การปดบังขอมูลสําคัญของผูใชงาน (Sensitive Data Masking) เปนตน
   11
9. กรณีของแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device) ใหผูดูแลระบบดําเนินการ ดังนี้ 13.1 ปดบังหนาจอเมื่อยอแอปพลิเคชัน (Application Blurring) เพื่อลดความเสี่ยงที่ขอมูลสําคัญของผูใชงาน จะรั่วไหล
   13.2 ขอสิทธิ์เขาถึงทรัพยากรหรือบริการโดยแอปพลิเคชัน (Application Permission) บนอุปกรณเคลื่อนที่ ของผูใชงานเทาที่จําเปน และมีกระบวนการทบทวนการขอสิทธิ์เปนประจําเพื่อปองกันการละเมิดสิทธิ์ ความเปนสวนตัวของผูใชงาน
10. ผูดูแลระบบตองควบคุมขอมูลที่นํามาใชในการทดสอบระบบ (Test Data) อยางเหมาะสม โดยไมนําขอมูลจริง มาทดสอบ กรณีจําเปนตองใชขอมูลจริงตองไดรับอนุญาตขอมูลจากเจาของกอนนํามาใชงาน และทําลายขอมูล อยางเหมาะสมตามขั้นตอนที่ รฟม. กําหนด
11. ผูดูแลระบบตองแยกระบบสารสนเทศสําหรับการพัฒนา ทดสอบ และใชงานจริงออกจากกันเพื่อลดความเสี่ยง ที่เกิดจากการเปลี่ยนแปลงระบบสารสนเทศโดยไมไดรับอนุญาต และตองมีการกําหนดสิทธิ์การเขาถึงระบบ สารสนเทศที่พัฒนา ทดสอบ หรือใชงานจริง ทั้งระบบสารสนเทศใหม และการปรับปรุงแกไขระบบสารสนเทศเดิม
12. ผูดูแลระบบตองมีการกําหนดขั้นตอนการทดสอบระบบสารสนเทศกอนนําไปใชงานจริง ทั้งในกรณีปรับปรุงระบบ สารสนเทศเดิมและการพัฒนาระบบสารสนเทศใหม
13. ผูดูแลระบบตองติดตั้งซอฟตแวรบนระบบสารสนเทศที่ใหบริการ (Production) ตามขั้นตอนที่ รฟม. กําหนด และจํากัดสิทธิ์การติดตั้งซอฟตแวรเพื่อใหระบบสารสนเทศตาง ๆ มีความถูกตองครบถวนและนาเชื่อถือ 18. ผูดูแลระบบตองนําซอฟตแวรที่ไมละเมิดลิขสิทธิ์มาติดตั้งบนระบบสารสนเทศที่ใหบริการ (Production) 19. ผูดูแลระบบตองกํากับดูแลใหผูรับจางปฏิบัติตามสัญญาหรือขอตกลงการใหบริการที่ระบุไว โดยครอบคลุมถึง ดานความมั่นคงปลอดภัยสารสนเทศ และการปฏิบัติตามขั้นตอนที่เกี่ยวของตาง ๆ ที่ รฟม. กําหนดไว 20. ผูดูแลระบบ ตองติดตาม ตรวจสอบรายงาน หรือบันทึกการใหบริการของบุคคล/หนวยงานภายนอกที่ใหบริการแก หนวยงานตามสัญญาวาจางอยางสม่ําเสมอ
14. ผูดูแลระบบ ตองดูแลใหทรัพยสินสารสนเทศไดรับการบํารุงรักษาและซอมแซมตามความตองการ รวมทั้งตอง มีการบันทึกประวัติการทํางานผิดปกติ การบํารุงรักษา และการซอมแซมอุปกรณนั้น ๆ อยางสม่ําเสมอ 22. ผูดูแลระบบจะตองปดชองโหวของระบบสารสนเทศที่มีระดับความรุนแรงในระดับวิกฤติ (Critical) และระดับสูง (High) ทั้งหมดกอนนําไปใชงานจริง (Production) หรือกอนเริ่ม Go Live โดยเฉพาะระบบที่ใหบริการผานเครือขาย อินเทอรเน็ต (Internet Facing) และระบบที่มีความสําคัญตอการดําเนินงานของ รฟม.
15. ผูดูแลระบบตองพิจารณาเลือกใช Version ของ Software ดังนี้
    23.1 กรณีนํา Softwareเดิมมาใชในการจัดหาหรือพัฒนาระบบ จะตองนําผลการตรวจสอบชองโหวและผลการทดสอบ เจาะระบบมาประกอบการพิจารณาคัดเลือกเวอรชันของ Software ดวย เพื่อปองกันไมใหเกิดชองโหวเดิม รวมถึงเพื่อลดภาระงานในการปดชองโหวเดิมซ้ํา
    23.2 กรณีเปน Software ที่ไมเคยนํามาใชงานใหเลือกใชSoftware เวอรชันลาสุด
    12
    สวนที่ 6
    การควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศ
    วัตถุประสงค
    ▪ เพื่อควบคุมการเขาถึงระบบเทคโนโลยีสารสนเทศตั้งแตการกําหนดสิทธิ์ กําหนดประเภทของขอมูล จัดลําดับ ความสําคัญหรือลําดับชั้นความลับของขอมูล ระดับชั้นการเขาถึง เวลาที่เขาถึงได และชองทางการเขาถึง ทั้งนี้ เพื่อควบคุมและปองกันการเขาถึง การลวงรู และการแกไขระบบสารสนเทศของ รฟม. โดยไมไดรับอนุญาต ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ เจาของขอมูล
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
16. การควบคุมการเขาถึงระบบสารสนเทศ (Access Control)
    1.1 เจาของขอมูลและผูดูแลระบบ ตองรวมกันกําหนดสิทธิ์ในการเขาถึงระบบสารสนเทศ (Authorization Matrix) ที่เหมาะสมและสอดคลองกับหนาที่ความรับผิดชอบของผูใชงาน และทบทวนเมื่อมีการเปลี่ยนแปลง 1.2 เจาของขอมูลและผูดูแลระบบ ตองรวมกันกําหนดระดับการอนุมัติ (Authorization Level) การเขาถึงระบบ เทคโนโลยีสารสนเทศ
    1.3 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการแบงแยกหนาที่ความรับผิดชอบ (Segregation of duties) ในการเขาถึงระบบเทคโนโลยีสารสนเทศอยางเหมาะสม เชน มีการแบงแยกหนาที่ระหวางการแจงความประสงค การเขาถึงและการอนุมัติการเขาถึง เปนตน
    1.4 กรณีของแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device) ผูดูแลระบบตองปฏิบัติ ดังนี้ 1.4.1 ไมอนุญาตใหอุปกรณเคลื่อนที่ที่ใชระบบปฏิบัติการลาสมัย (Obsolete Operating System) เขาใชงาน แอปพลิเคชัน หรือหากอนุญาตใหใชบริการไดควรมีมาตรการรองรับเพื่อลดความเสี่ยงที่ รฟม. จะไดรับ รวมถึงลดผลกระทบตอผูใชงานตามความเหมาะสม เชน การเพิ่มมาตรการยืนยันตัวตน เปนตน 1.4.2 ไมอนุญาตใหอุปกรณที่มีการปรับแตงการเขาถึงระบบปฏิบัติการ (Rooted/Jailbroken) เขาใชงาน แอปพลิเคชัน เพื่อลดความเสี่ยงที่ผูไมประสงคดีสามารถเขาถึงขอมูลสําคัญของผูใชงานและละเมิด หรือหลีกเลี่ยงมาตรการการรักษาความมั่นคงปลอดภัยที่ รฟม. กําหนดไว
    1.4.3 ไมอนุญาตใหผูใชงานใชแอปพลิเคชันเวอรชันต่ํากวาที่ รฟม. กําหนด เพื่อใหแอปพลิเคชันมีการ รักษาความมั่นคงปลอดภัยเปนไปตามมาตรฐานของ รฟม.
    1.5 ขั้นตอนปฏิบัติเพื่อการจัดเก็บขอมูล
    เจาของขอมูล ผูดูแลระบบ และผูใชงาน ตองปฏิบัติดังนี้
    1.5.1 แบงประเภทขอมูล ดังนี้

1. ขอมูลและสารสนเทศสําหรับสนับสนุนการตัดสินใจของผูบริหาร ไดแก ขอมูลสารสนเทศที่มี ความสําคัญหรือมีความจําเปนเรงดวนที่ตองติดตามอยางใกลชิดเพื่อประกอบการตัดสินใจ
   เชิงนโยบาย กําหนดนโยบาย และการวางแผนของผูบริหารระดับสูง
   13
2. ขอมูลและสารสนเทศสนับสนุนเชิงยุทธศาสตร (Strategy Data) ไดแก ขอมูลและสารสนเทศ เชิงวิชาการเพื่อสนับสนุนการดําเนินงานตามพันธกิจและยุทธศาสตรของ รฟม. ใหบรรลุเปาหมาย รวมทั้งขอมูลที่เผยแพรแกผูรับบริการภายนอก
3. ขอมูลและสารสนเทศที่สนับสนุนการปฏิบัติงานประจํา (Operation Data) ไดแก ขอมูลที่ สนับสนุนการทํางานทั่วไปของ รฟม.
   1.5.2 จัดแบงระดับความสําคัญของขอมูล ออกเปน 3 ระดับ คือ
4. ขอมูลที่มีระดับความสําคัญมาก หมายถึง ขอมูลที่ใชสําหรับสนับสนุนการตัดสินใจของผูบริหาร 2) ขอมูลที่มีระดับความสําคัญปานกลาง หมายถึง ขอมูลที่ใชปฏิบัติงานเฉพาะกลุมงาน แผนก กอง หรือฝาย/สํานัก/สํานักงาน ภายในองคกร
5. ขอมูลที่มีระดับความสําคัญนอย หมายถึง ขอมูลที่พนักงาน/ลูกจางภายใน รฟม. สามารถ เขาถึงรวมกันไดหรือสามารถเผยแพรได
   1.5.3 จัดแบงลําดับชั้นความลับของขอมูลตามที่ รฟม. กําหนด
   1.5.4 จัดแบงระดับชั้นการเขาถึง
6. ระดับชั้นสําหรับผูบริหาร เขาถึงไดตามอํานาจหนาที่และภารกิจที่ไดรับมอบหมาย
7. ระดับชั้นสําหรับผูปฏิบัติงานทั่วไป เขาถึงขอมูลที่ไดรับมอบหมายตามอํานาจหนาที่
8. ระดับชั้นสําหรับผูดูแลระบบหรือผูที่ไดมอบหมาย มีสิทธิ์ในการบริหารจัดการระบบและเขาถึง ขอมูลที่ไดรับมอบหมายตามอํานาจหนาที่
   1.6 เจาของขอมูลและผูดูแลระบบตองกําหนดเวลาการเขาถึงระบบสารสนเทศ
   1.7 ผูดูแลระบบตองจํากัดชองทางการเขาถึงระบบเทคโนโลยีสารสนเทศตามชองทาง ดังนี้ 1) เครือขายภายในของ รฟม.
9. เครือขายภายนอก รฟม.
10. เครือขายอื่นที่จัดไวให เชน ระบบเครือขายสื่อสารขอมูล GIN
    1.8 ผูดูแลระบบตองกํากับดูแล Default Permission ของไฟล (File) และ โฟลเดอร (Folder) ที่สรางขึ้นใหมี การจํากัดสิทธิ์ในการเขาถึง
    1.9 เจาของขอมูลและผูดูแลระบบ ตองพิจารณาขอกําหนดตาง ๆ ที่มีผลทางกฎหมายซึ่งเกี่ยวของกับการรักษา ความมั่นคงปลอดภัยสารสนเทศของ รฟม. เชน พระราชบัญญัติ ขอกําหนดทางกฎหมาย ขอกําหนดในสัญญา และขอกําหนดทางดานความมั่นคงปลอดภัยอื่น ๆ เปนตน เพื่อกําหนดสิทธิ์การเขาถึงสารสนเทศและระบบ เทคโนโลยีสารสนเทศของ รฟม.
    1.10 เจาของขอมูลและผูดูแลระบบ ตองมีการสอบทานสิทธิ์ในการเขาถึงระบบเทคโนโลยีสารสนเทศอยางสม่ําเสมอ พรอมทั้งเพิกถอนสิทธิ์เมื่อพบเห็นสิทธิ์ที่ไมถูกตองตามสิทธิ์ในการเขาถึง (Authorization Matrix) 2. การบริหารจัดการการเขาถึงของผูใชงาน (User Access Management)
    ใหมีการควบคุมการลงทะเบียนผูใชงาน การบริหารจัดการรหัสผาน การบริหารจัดการสิทธิ์การใชงานระบบเทคโนโลยี สารสนเทศ และการทบทวนสิทธิ์การเขาถึงของผูใชงาน
    2.1 การลงทะเบียนผูใชงาน (User Registration)
    2.1.1 ผูดูแลระบบตองบริหารจัดการและควบคุมบัญชีชื่อผูใชงาน (Username) มิใหมีการใชงานบัญชี ชื่อผูใชงานซ้ํากัน ทั้งนี้ ในสวนของพนักงาน/ลูกจาง รฟม. ใหกําหนดชื่อผูใชงาน (Username) ตามมาตรฐานจดหมายอิเล็กทรอนิกส (Email) ที่ใชในองคกร
    2.1.2 เจาของขอมูลตองเปนผูอนุมัติการสรางบัญชีผูใชงานชั่วคราว (Temporary User) และตองจํากัด ชวงเวลาการใชงานเทาที่จําเปน
    14
    2.2 การบริหารจัดการรหัสผาน (User Password Management)
    2.2.1 ผูดูแลระบบตองกําหนดรหัสผานแบบชั่วคราวโดยใชวิธีการสุม และบังคับใหมีการเปลี่ยนรหัสผาน เมื่อผูใชงานเขาใชงานระบบในครั้งแรก
    2.2.2 ผูดูแลระบบตองกําหนดความยาวของรหัสผาน ดังนี้
11. ผูดูแลระบบมีความยาวอยางนอย 16 หลัก
12. ผูใชงานมีความยาวอยางนอย 12 หลัก
    2.2.3 ผูดูแลระบบตองกําหนดใหมีการยืนยันตัวตนแบบหลายปจจัย (Multi-Factor Authentication) ตามความเหมาะสม
    2.2.4 ผูดูแลระบบตองกําหนดใหรหัสผานมีความซับซอน โดยประกอบดวย ตัวอักษร ตัวเลข และอักขระ พิเศษ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
    2.2.5 ผูดูแลระบบตองกําหนดใหมีการเปลี่ยนแปลงรหัสผาน ดังนี้
13. ผูดูแลระบบตองเปลี่ยนรหัสผานทุก ๆ 3 เดือน และไมซ้ํากับรหัสผานเดิม 3 ครั้งกอนหนา 2) ผูใชงานตองเปลี่ยนรหัสผานทุก ๆ 6 เดือน และไมซ้ํากับรหัสผานเดิม 3 ครั้งกอนหนา 3) ผูใชงานเชิงระบบ (System account) ใหพิจารณาเปลี่ยนรหัสผานตามความเหมาะสม 2.2.6 ผูดูแลระบบตองกําหนดใหมีการเขารหัสขอมูลรหัสผานในระบบ
    2.2.7 ผูดูแลระบบตองจัดใหมีการควบคุมรหัสผานอยางเขมงวด
    2.2.8 ผูดูแลระบบตองจัดสงบัญชีชื่อผูใชงาน (Username) และรหัสผาน (Password) ดวยวิธีการที่ปลอดภัย 2.2.9 ผูดูแลระบบตองควบคุมดูแลระบบปฏิบัติการ ระบบฐานขอมูล และระบบงานสารสนเทศ (Application) ที่จัดเก็บบัญชีผูใชงานและรหัสผานอยางเขมงวด โดยใหเขาถึงไดเฉพาะผูดูแลระบบที่ไดรับอนุญาต เทานั้น
    2.2.10 ผูดูแลระบบตองกําหนดวิธีการหรือกระบวนการยืนยันตัวตนที่ปลอดภัย เชน กรณีที่ลืมรหัสผาน 2.2.11 ผูดูแลระบบตองกําหนดใหผูใชบริการ ใชรหัสผานอยางมั่นคงปลอดภัย ดังนี้
    กรณีแอปพลิเคชันทั่วไป
14. กําหนดความยาวรหัสผานอยางนอย 12 หลัก ซึ่งประกอบดวย ตัวอักษร ตัวเลข และ อักขระพิเศษ เชน (a-Z) (0-9) (@ , # , & , “ , ‘ , *, =, < , > , % , $ , + , ?) เปนตน
15. รหัสผานตองไมเปนคําที่คาดเดาไดงาย เชน คําที่อยูในพจนานุกรม ชื่อ-นามสกุล วันเดือนปเกิด ที่อยู หรือเบอรโทรศัพท เปนตน
16. ไมบังคับใหเปลี่ยนรหัสผาน ทั้งนี้ขึ้นอยูกับความสมัครใจในการเปลี่ยนรหัสผาน และระบบ ตองรองรับการเปลี่ยนรหัสผานในกรณีตาง ๆ ดวยวิธีการที่ปลอดภัย
    กรณีแอปพลิเคชันที่ใชงานผานอุปกรณเคลื่อนที่ (Mobile device)
17. กําหนดรหัสผานโดยใช PIN code หรือรหัสผานที่ซับซอน (PIN/Password Complexity) โดยกรณี PIN Code ตองใชรหัสผาน 6 หลักขึ้นไป
18. ไมบังคับใหเปลี่ยนรหัสผาน ทั้งนี้ขึ้นอยูกับความสมัครใจในการเปลี่ยนรหัสผาน และ ระบบตองรองรับการเปลี่ยนรหัสผานในกรณีตาง ๆ ดวยวิธีการที่ปลอดภัย
    2.2.12 ผูดูแลระบบและผูใชงานตองใชรหัสผานอยางปลอดภัย ดังนี้
19. ตองกําหนดรหัสผานที่ไมสามารถคาดเดาไดงาย เชน คําที่อยูในพจนานุกรม “qwerty” “abcde” “12345” ชื่อ-นามสกุล วันเดือนปเกิด ที่อยู หรือเบอรโทรศัพท เปนตน
20. ตองไมใชงานรหัสผานโดยการเขาใชงานโดยอัตโนมัติ ไดแก การกําหนดคา “Remember Password” เปนตน
    15
21. ตองเก็บรหัสผานไวเปนความลับเฉพาะบุคคล ไมเปดเผยใหผูอื่นรับทราบ และไมพิมพ รหัสผานในลักษณะเปดเผย เชน พิมพรหัสผานตอหนาผูใชงานคนอื่น เปนตน
22. ตองไมใชบัญชีชื่อผูใชงานและรหัสผานรวมกันกับผูอื่น แมวาบัญชีชื่อผูใชงานจะไดรับการ อนุญาตจากเจาของชื่อผูใชงานบุคคลนั้นก็ตาม
23. ตองเปลี่ยนแปลงรหัสผานเมื่อมีการแจงเตือนจากระบบ หรือสงสัยวารหัสผานลวงรู โดยบุคคลอื่น
    2.3 การบริหารจัดการสิทธิ์ (Privilege Management)
    2.3.1 ผูบังคับบัญชาตองกําหนดใหมีขั้นตอนปฏิบัติสําหรับการลงทะเบียน การเพิ่มสิทธิ์การเพิกถอนสิทธิ์ การเปลี่ยนแปลงสิทธิ์ และการทบทวนสิทธิ์ของผูใชงานอยางเปนลายลักษณอักษร
    2.3.2 กําหนดสิทธิ์ที่เหมาะสมกับผูใชงานตามความจําเปนและสอดคลองกับหนาที่ความรับผิดชอบและ จัดเก็บประวัติ (Log) การลงทะเบียน การเพิ่มสิทธิ์การเพิกถอนสิทธิ์ และการเปลี่ยนแปลงสิทธิ์ ของผูใชงาน
    2.3.3 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการควบคุมและจํากัดสิทธิ์ในการใชงานระบบตาม ความจําเปนในการใชงานเทานั้น
24. สิทธิ์ในการสรางขอมูล (Create)
25. สิทธิ์ในการอานขอมูลหรือเรียกดูขอมูล (Read)
26. สิทธิ์ในการปรับปรุงขอมูล (Modify / Update)
27. สิทธิ์ในการลบขอมูล (Delete)
28. สิทธิ์ในการมอบหมายสิทธิ์ในการดําเนินการแทน (Assign)
29. สิทธิ์ในการรับรองความถูกตองครบถวนของขอมูล (Approve/Authenticate)
30. ไมมีสิทธิ์
    2.3.4 เจาของขอมูลและผูดูแลระบบตองเปนผูอนุมัติการใหสิทธิ์เพื่อเขาถึงสารสนเทศหรือระบบ เทคโนโลยีสารสนเทศใด ๆ อยางเปนลายลักษณอักษร
    2.3.5 เจาของขอมูลและผูดูแลระบบ ตองจํากัดจํานวนผูใชงานที่ทําหนาที่เปนผูใหสิทธิ์กับผูใชงาน ใหนอยที่สุดตามความเหมาะสม
    2.3.6 เจาของขอมูลและผูดูแลระบบ ตองจํากัดระยะเวลาการใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. แกหนวยงานภายนอกที่เขามาปฏิบัติงานรวมกับ รฟม.
    2.3.7 เจาของขอมูลและผูดูแลระบบ ตองจัดใหมีการถอดถอนสิทธิ์หรือเปลี่ยนแปลงสิทธิ์การเขาถึงทันที เมื่อผูใชงานเกษียณ เปลี่ยนแปลงหนาที่ความรับผิดชอบ เปลี่ยนแปลงการจางงาน หรือไมมีความจําเปน ในการใชงานระบบเทคโนโลยีสารสนเทศ
    2.3.8 ผูดูแลระบบตองลบหรือระงับการใชงานสิทธิ์ของผูใชงานที่มากับระบบ (Default User) ในกรณีที่มี ความจําเปนตองใชงานตองกําหนดรหัสผานอยางมั่นคงปลอดภัย
    2.4 การทบทวนสิทธิ์การเขาถึงของผูใชงาน (Review of User Access Rights)
    2.4.1 เจาของขอมูลและผูดูแลระบบ ตองมีการสอบทานสิทธิ์การเขาถึงของผูใชงานระบบเมื่อ รฟม. มีการ เปลี่ยนแปลงระบบเทคโนโลยีสารสนเทศหรือโครงสรางองคกร
    2.4.2 ผูดูแลระบบ ตองมีการสอบทานและระงับการใชงานบัญชีผูใชงานที่ไมไดใชงานนานเกิน 180 วัน หากผูใชงานตองการกลับมาใชงานจะตองยืนยันตัวตนให ฝทท. ทราบ ทั้งนี้ ระยะเวลาที่ไมไดใชงาน ของบัญชีผูใชงานอาจจะขึ้นอยูกับแตละระบบสารสนเทศ
    16

3. การปองกันอุปกรณที่ไมมีผูดูแล และการควบคุมการไมทิ้งสินทรัพยสารสนเทศสําคัญไวในที่ที่ไมปลอดภัย 3.1 การปองกันอุปกรณที่ไมมีผูดูแล (Unattended User Equipment)
   3.1.1 ผูดูแลระบบตองจัดใหมีมาตรการสําหรับปองกันระบบคอมพิวเตอร ระบบเครือขายสื่อสารขอมูล และระบบเทคโนโลยีสารสนเทศ โดยการกําหนดคาของระบบ (Configuration) ใหมีการล็อกหนาจอ สําหรับอุปกรณที่ไมมีพนักงานดูแล หรือล็อกอุปกรณอยูเสมอ
   3.1.2 ผูใชงานและหนวยงานภายนอก/บุคคลภายนอก ตองล็อกหนาจออัตโนมัติเมื่อไมมีการใชงานระบบ เทคโนโลยีสารสนเทศของ รฟม. ตามระยะเวลาที่กําหนด โดยตองพักหนาจอ(ScreenSaver)อัตโนมัติ หลังจากที่ไมมีการใชงานคอมพิวเตอรเปนระยะเวลานานกวา15 นาทีผูใชงานและหนวยงานภายนอก/ บุคคลภายนอกจะใชงานตอไดเมื่อมีการใสรหัสผานที่ถูกตอง
   3.1.3 ผูใชงานตอง Logout ออกจากเครื่องคอมพิวเตอรเมื่อมีความจําเปนตองละทิ้งเครื่องคอมพิวเตอร 3.1.4 ผูใชงานตองปองกันไมใหผูอื่นใชอุปกรณ เชน กลองดิจิทัล เครื่องสําเนาเอกสาร เครื่องสแกน เอกสารโดยไมไดรับอนุญาต
   3.2 การควบคุมสินทรัพยสารสนเทศและการใชงานระบบคอมพิวเตอร(Clear Desk and Clear Screen Control) 3.2.1 ผูบังคับบัญชาตองกําหนดใหมีผูรับผิดชอบในการดูแลสถานที่ที่มีการรับ - สงแฟกซหรือจดหมาย เขา – ออก
   3.2.2 ผูใชงานตองออกจากระบบคอมพิวเตอร (Logout) ทันที เมื่อจําเปนตองปลอยทิ้งโดยไมมีผูดูแล 3.2.3 ผูใชงานตองจัดเก็บขอมูลสําคัญแยกตางหาก และปองกันใหมีความปลอดภัยอยางพอเพียง 3.2.4 ผูใชงานตองนําเอกสารออกจากเครื่องพิมพทันทีที่พิมพงานเสร็จ
4. การควบคุมการเขาถึงเครือขาย (Network Access Control)
   ใหมีการควบคุมการใชงานบริการเครือขาย การควบคุมการพิสูจนตัวตนสําหรับผูใชงานที่อยูภายนอก รฟม. การควบคุม การพิสูจนตัวตนอุปกรณบนเครือขาย การปองกันพอรต (Port) ที่ใชสําหรับตรวจสอบและปรับแตงระบบ การแบงแยก เครือขาย (Segregation in networks) อยางเหมาะสม การควบคุมการเชื่อมตอทางเครือขาย และการควบคุม การกําหนดเสนทางบนเครือขาย
   4.1 การใชงานบริการเครือขาย (Use of Network Services)
   4.1.1 ผูดูแลระบบตองควบคุมการเผยแพรแผนผังระบบเครือขายสื่อสารขอมูล (Network Diagram) รวมถึงโครงสราง IP Address ชื่อระบบ และชื่ออุปกรณสารสนเทศแกผูที่ไมไดรับอนุญาตหรือ หนวยงานภายนอก/บุคคลภายนอก
   4.1.2 ผูดูแลระบบตองควบคุมการใชงานระบบเครือขายสื่อสารขอมูลเพื่อปองกันการเขาถึงระบบเครือขาย สื่อสารขอมูลและบริการของระบบเครือขายสื่อสารขอมูลโดยไมไดรับอนุญาต
   4.1.3 ผูดูแลระบบตองควบคุมการเชื่อมตอเครือขายภายนอก เพื่อใชงานอินเทอรเน็ต ซึ่งอาจเปนชองทางให หนวยงานภายนอก/บุคคลภายนอกเขาถึงสารสนเทศหรือระบบเทคโนโลยีสารสนเทศของ รฟม. โดยมิไดรับอนุญาต
   4.1.4 ผูใชงานตองแจงความประสงคในการขอใชงานบริการเครือขายแก ฝทท. และสามารถใชบริการ เครือขายไดหลังจากไดรับการอนุมัติจาก ฝทท. แลว
   4.1.5 ผูใชงาน ตองไมใชระบบเครือขายสื่อสารขอมูลเพื่อเปนชองทางในการเจาะระบบ (Hacking) หรือ การสแกนชองโหวของระบบโดยมิไดรับอนุญาต
   4.2 การพิสูจนตัวตนของผูใชงานที่อยูภายนอก รฟม. (User Authentication for External Connections) ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนผานระบบ Active Directory ของ รฟม. กอนอนุญาตให ผูใชงานที่อยูภายนอก รฟม. เขาใชงานเครือขายและระบบสารสนเทศของ รฟม.
   17
   4.3 การพิสูจนตัวตนของอุปกรณในระบบเครือขายสื่อสารขอมูล (Equipment Identification in Networks) ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนของอุปกรณในระบบเครือขายสื่อสารขอมูล ไดแก การตรวจสอบ MAC Address
   4.4 การปองกันพอรตที่ใชสําหรับตรวจสอบและปรับแตงระบบ (Remote Diagnostic and Configuration Port Protection)
   ผูดูแลระบบตองระงับบริการและพอรต (Port) ที่ไมมีความจําเปนตองใชบนเครื่องคอมพิวเตอรหรือ อุปกรณเครือขาย
   4.5 ผูดูแลระบบตองติดตั้งระบบตรวจจับการบุกรุก (Instrusion Prevention System/ Instrusion Detection System) ของระบบเครือขาย
   4.6 การแบงแยกเครือขาย (Segregation in Networks)
   4.6.1 ผูดูแลระบบตองจัดใหมีการแบงแยกเครือขายตามกลุมของผูใชงาน หรือกลุมของระบบเทคโนโลยี สารสนเทศ เพื่อควบคุมการใชงานในแตละเครือขายยอยอยางเหมาะสม โดยพิจารณาจากความตองการ ในการเขาถึงขอมูล ระดับความสําคัญของขอมูล รวมถึงการพิจารณาดานราคา ประสิทธิภาพ และ ผลกระทบทางดานความปลอดภัยดังตอไปนี้

1. เครือขายที่อนุญาตใหเขาถึงจากภายนอกและเครือขายที่ใชภายใน รฟม.
2. เครือขายแอปพลิเคชัน (Application) ที่มีความสําคัญกับเครือขายอื่น ๆ ที่มีความสําคัญ นอยกวา
3. เครือขายสําหรับเครื่องใหบริการ (Server Farm) กับเครือขายของผูใชงาน ควรมีการ ติดตั้งอุปกรณที่สามารถแบงแยกเครือขายไดเชน Firewall หรือ Switch ที่สามารถ
   แบง VLAN ไดเปนตน
   4.6.2 ผูดูแลระบบจะกําหนดเสนทางบนเครือขายที่เขมงวด เพื่อจํากัดการเขาถึงระยะไกลไปเฉพาะเครือขาย ที่กําหนดเทานั้น
   4.6.3 ผูดูแลระบบตองตั้งคา (Configuration) อุปกรณเครือขายเชน Firewall หรือ Router มิใหสามารถ บริหารจัดการจากภายนอกเครือขายไดเวนแตในกรณีฉุกเฉินซึ่งตองไดรับการอนุญาตจากผูดูแลระบบ เทานั้น
   4.7 การควบคุมการเชื่อมตอทางเครือขาย (Network Connection Control)
   4.7.1 ผูดูแลระบบตองจํากัดการใชงานเครือขายของผูใชงานในการเชื่อมตอกับเครือขายของ รฟม. เชน Router หรือFirewall เปนตน พรอมทั้งติดตั้งระบบควบคุมเพื่อกลั่นกรองขอมูลที่รับ -สง เชน Web Filtering, Email Filtering เปนตน เพื่อทําใหการเชื่อมตอมีความปลอดภัย
   4.7.2 ผูดูแลระบบตองติดตั้ง Firewall ระหวางเครือขายของ รฟม. กับเครือขายภายนอก ทั้งนี้ การติดตั้ง Firewall ตองพิจารณาเรื่องดังตอไปนี้
4. การปองกันการจราจรจากภายนอก ตองถูกกําหนดใหใชเสนทางที่ผาน First Tier Firewall ที่มีความมั่นคงปลอดภัยเพื่อปองกันทรัพยสินสารสนเทศของ รฟม. และ
   โครงสรางพื้นฐานที่มีความสําคัญจากการเขาถึงที่ไมไดรับอนุญาต
5. Firewall ตองระบุตัวตนและพิสูจนตัวตนของผูใชงานกอนที่จะใหสิทธิ์การเขาถึง อินเทอรเฟส (Interface) เพื่อการบริหารจัดการ Firewall
6. Firewall ตองตั้งคาใหระงับบัญชีผูใชงานหลังจากมีความพยายามที่จะเขาสูระบบ ไมสําเร็จ 5 ครั้ง การยกเลิกการระงับตองดําเนินการโดย ฝทท.
7. ไมอนุญาตใหพิสูจนตัวตนผานทางอินเทอรเฟส (Interface) การจัดการ Firewall จากระยะไกล (Remote)
   18
8. ผูที่ไดรับการมอบหมายจาก ฝทท. เทานั้นที่มีสิทธิ์ที่จะเปลี่ยนการตั้งคาดานความปลอดภัย บน Firewall
9. Firewall ตองตั้งคาใหบันทึกเหตุการณดานความมั่นคงปลอดภัย
10. Firewall ตองไดรับการสอบทาน ทดสอบ และตรวจสอบอยางสม่ําเสมอ
11. Firewall ตองถูกบริหารจัดการผานทางการติดตอสื่อสารที่มีการเขารหัส
12. ตองปดบริการและพอรต (Port) ที่ไมจําเปนตองใชบน Firewall
13. Firewall ประเภทซอฟตแวร(Software) ตองติดตั้งบนเครื่องคอมพิวเตอรแมขาย แยกตางหาก
14. Firewall ตองสามารถปองกันตัวเองจากการโจมตีDOS (Denial of service) ได อยางเชน Ping, Sweeps หรือ TCP SYN Floods เปนตน
15. ตองใชเวอรชันของซอฟตแวร (Software) Firewall และระบบปฏิบัติการที่เจาของ ผลิตภัณฑยังใหการสนับสนุน
16. ผูดูแล Firewallตองติดตามขอมูลชองโหวจากผูใหบริการ (Vendor) เพื่อรับทราบขาวสาร การ Upgrade และแพ็ตช (Patch) ที่จําเปน และตองติดตั้งแพ็ตช(Patch) ทั้งหมด
    ที่เกี่ยวของ
    4.7.3 ผูดูแลระบบตองติดตั้ง Firewall เพื่อแบงแยก Zone ใหมีการใช DMZ (Demilitarized zone) โดยตองพิจารณาเรื่องดังตอไปนี้
17. เครื่องคอมพิวเตอรแมขายที่ใหบริการผานอินเทอรเน็ต เชน FTP, Email, Web และ External DNS server เปนตน ตองติดตั้งอยูใน DMZ
18. การเขาถึงจากระยะไกลตองพิสูจนตัวตนที่ Firewall หรือผานบริการที่อยูใน DMZ
19. DNS Servers ตองไมอนุญาตใหมีการแลกเปลี่ยนโซน (Zone Transfers) เวนแต มีเหตุจําเปน
    4.8 การควบคุมการกําหนดเสนทางบนเครือขาย (Network Routing Control)
    ผูดูแลระบบตองควบคุมการกําหนดเสนทางบนเครือขายเพื่อใหมั่นใจวาการเชื่อมตอเครื่องคอมพิวเตอร และการไหลเวียนของสารสนเทศบนเครือขาย โดยมีกลไกในการตรวจสอบที่อยูปลายทางและตนทางของ การเชื่อมตอ เชน การควบคุมโดย Firewall หรือ Proxy เปนตน

5. การควบคุมการเขาถึงระบบปฏิบัติการ (Operating system Access Control)
   ใหมีการควบคุมการเขาถึงระบบปฏิบัติการอยางมั่นคงปลอดภัย การควบคุมการระบุและพิสูจนตัวตนของผูใชงาน การควบคุมระบบบริหารจัดการรหัสผาน การควบคุมการใชงานโปรแกรมประเภทยูทิลิตี้ (System Utilities) การควบคุมการหมดเวลาการใชงานระบบเทคโนโลยีสารสนเทศ และควบคุมการจํากัดระยะเวลาการเชื่อมตอ ระบบเทคโนโลยีสารสนเทศ
   5.1 ขั้นตอนปฏิบัติในการเขาถึงระบบอยางมั่นคงปลอดภัย (Secure Logon Procedures) 5.1.1 ผูดูแลระบบ ตองจัดใหมีการควบคุมการเขาถึงระบบปฏิบัติการอยางมั่นคงปลอดภัย โดยขั้นตอน การเขาสูระบบตองเปดเผยขอมูลเกี่ยวกับระบบใหนอยที่สุดเพื่อหลีกเลี่ยงผูใชงานที่ไมไดรับอนุญาต ซึ่งขั้นตอนการ Logon ตองพิจารณา ดังนี้

1. หากกระบวนการเขาสูระบบไมสําเร็จ ระบบตองไมแสดงขอมูลของระบบหรือแอปพลิเคชัน (Application) ที่ใชงานอยู
2. ระบบตองแสดงขอความเตือนผูใชงานวาสามารถเขาใชงานเครื่องคอมพิวเตอรไดเฉพาะ ผูที่มีสิทธิ์เทานั้น
3. หากกระบวนการเขาสูระบบไมสําเร็จ ระบบตองไมแสดงขอมูลที่สามารถระบุตัวตนของระบบ เชน เครือขายที่ใชงาน สถานที่ตั้งของระบบ หรือชื่อเครื่องคอมพิวเตอรแมขาย เปนตน
   19
4. ระบบตองไมแสดงขอความที่ชี้เฉพาะเหตุของการเขาสูระบบไมสําเร็จ เชน ไมแสดงขอความวา บัญชีผูใชงานผิด หรือ รหัสผานผิด เปนตน
5. หามเขาสูระบบจากบัญชีผูใชงานสวนบุคคลเดียวกันมากกวาหนึ่ง Session ในระบบเดียวกัน 6) ระบบตองจํากัดจํานวนครั้งในการพยายามเขาสูระบบที่ไมสําเร็จ และตองพิจารณาเงื่อนไข ตอไปนี้
   (ก) การเก็บบันทึกผลการเขาสูระบบทั้งที่สําเร็จและไมสําเร็จ
   (ข) หนวงระยะเวลาในการเขาใชงานระบบครั้งตอไป
   (ค) การตัดการเชื่อมตอ
   (ง) การแสดงขอความเตือนที่หนาจอของผูดูแลระบบเมื่อมีการเขาสูระบบเกินจํานวนครั้ง ที่จํากัดไว
6. ระบบตองแสดงวัน เวลา ในการเขาสูระบบที่สําเร็จในครั้งกอน พรอมทั้งบันทึกจํานวนครั้ง ที่พยายามเขาไมสําเร็จนับแตการเขาสูระบบที่สําเร็จในครั้งกอนของผูใชงาน
7. ระบบตองไมสงรหัสผานแบบ Clear Text ผานระบบเครือขายสื่อสารขอมูล
8. ผูดูแลระบบตองกําหนดจํานวนครั้งที่ยอมใหใสรหัสผานผิดไดไมเกิน 5 ครั้ง
   5.2 การระบุและพิสูจนตัวตนของผูใชงาน (User Identification and Authentication) ผูดูแลระบบ ตองจัดใหผูใชงานมีบัญชีผูใชงานของแตละบุคคลเพื่อใชพิสูจนตัวตนในการเขาถึงระบบเทคโนโลยี สารสนเทศ และตองใชระบบเทคโนโลยีสารสนเทศพิสูจนตัวตนผูใชงานในการเขาถึงระบบปฏิบัติการผานระบบ Active Directory (AD) หรือ Lightweight Directory Access Protocol (LDAP) ทุกครั้ง พรอมทั้งบันทึก ขอมูลการเขาถึง
   5.3 การใชงานโปรแกรมประเภทยูทิลิตี้(Use of System Utilities)
   ผูดูแลระบบ ตองควบคุมการใชงานโปรแกรมประเภทยูทิลิตี้บนระบบที่ใชงานจริง (Production System)ดังนี้ 5.3.1 ตองจัดทําบัญชีโปรแกรมประเภทยูทิลิตี้ (System Utilities) ที่นํามาใชงาน
   5.3.2 กําหนดความรับผิดชอบในการใชโปรแกรมประเภทยูทิลิตี้ (System Utilities) แตละรายการ อยางชัดเจนและสื่อสารใหผูเกี่ยวของทราบเพื่อถือปฏิบัติ
   5.3.3 ใหมีการพิสูจนตัวตน และกําหนดสิทธิ์ในการใชงานโปรแกรมประเภทยูทิลิตี้เฉพาะกลุมคนที่มี หนาที่รับผิดชอบ
   5.3.4 มีการบันทึกเหตุการณ (Log) การใชงานโปรแกรมประเภทยูทิลิตี้ และตองสอบทานจากผูดูแลระบบ อยางสม่ําเสมอ
   5.3.5 ตองทําการเพิกถอนหรือระงับโปรแกรมประเภทยูทิลิตี้ที่ไมจําเปน
   5.4 การหมดเวลาการใชงานระบบสารสนเทศ (Session Timeout)
   5.4.1 ผูดูแลระบบตองกําหนด Session Timeout ของระบบเทคโนโลยีสารสนเทศที่ไมมีการใชงานภายใน ระยะเวลา 15 นาทีหากระบบใดที่ไมสามารถกําหนด Session Timeout ภายในระยะเวลา 15 นาทีได ใหกําหนดเปนระยะเวลานอยที่สุดที่จะสามารถกําหนดไดทั้งนี้ ถาระบบที่ไมสามารถตัดการเชื่อมตอ แบบอัตโนมัติไดกําหนดใหใชโปรแกรมพักหนาจอที่ตองใสรหัสผานหรือกําหนดใหมีการล็อกหนาจอ
   5.4.2 ผูดูแลระบบ และผูใชงาน ตองตั้งคาใหมีโปรแกรมพักหนาจอที่ตองใสรหัสผานสําหรับเครื่อง คอมพิวเตอรสวนบุคคล เครื่องคอมพิวเตอรแบบพกพา และเครื่องคอมพิวเตอรแมขาย ทั้งนี้ โปรแกรมพักหนาจอกําหนดใหปอนรหัสผานหลังจากที่มีการทิ้งเครื่องดังกลาวไวโดยไมมีการใชงาน เปนระยะเวลา 15 นาที
   20
   5.5 การจํากัดระยะเวลาการเชื่อมตอระบบสารสนเทศ (Limitation of Connection Time) 5.5.1 ผูดูแลระบบ ตองจํากัดระยะเวลาในการเชื่อมตอระบบสารสนเทศที่มีความสําคัญสูง โดยตอง คํานึงถึงระยะเวลาที่จําเปนในกระบวนการดําเนินงานทางธุรกิจ ไดแก กําหนดใหเขาใชงานได ในชวงเวลาทําการของ รฟม. 08.00 น. –17.00 น.และเชื่อมตอเพื่อใชงานไดครั้งละไมเกิน 3 ชั่วโมง 5.5.2 ผูใชงาน หากมีความจําเปนตองใชงานนอกเวลาที่กําหนดตองขออนุมัติจากผูบังคับบัญชาเทานั้น 6. การควบคุมการเขาถึงโปรแกรมประยุกตและสารสนเทศ (Application and Information Access Control) ใหมีการจํากัดการเขาถึงสารสนเทศ และการแยกระบบเทคโนโลยีสารสนเทศที่มีความสําคัญสูงไวในบริเวณที่ ควบคุมเฉพาะ
   6.1 การจํากัดการเขาถึงสารสนเทศ (Information Access Restriction)
   6.1.1 เจาของขอมูลและผูดูแลระบบตองกําหนดสิทธิ์การเขาถึงแกผูใชงานเทาที่จําเปนตองใชในการ ปฏิบัติงาน โดยการใหสิทธิ์ตองพิจารณาในเรื่องดังตอไปนี้
9. การจํากัดไมใหใชตัวเลือก (Options) ที่ไมไดรับอนุญาต
10. การจํากัดการเขาถึง Command Line
11. การจํากัดการเขาถึงขอมูลและฟงกชันการใชงานของแอปพลิเคชัน (Application) ที่ไมเกี่ยวของ กับหนาที่ความรับผิดชอบ
12. การจํากัดระดับสิทธิ์ในการเขาถึงไฟลเชน อานอยางเดียว เปนตน
13. การควบคุมการแจกจาย การเขาถึงขอมูล การนําขอมูลออกจากระบบสารสนเทศ เชน รายงาน เปนตน
    6.1.2 เจาของขอมูลและผูดูแลระบบ ควรกําหนดใหระบบสารสนเทศรองรับการกําหนดสิทธิ์ในการเขาถึง แบบกลุมได
    6.2 การแยกระบบสารสนเทศที่ไวตอการรบกวน (Sensitive System Isolation) มีผลกระทบตอคนกลุมใหญ หรือระบบที่มีความสําคัญตอหนวยงาน ตองดําเนินการดังนี้
    6.2.1 เจาของขอมูลและผูดูแลระบบ แยกระบบซึ่งไวตอการรบกวนออกจากระบบอื่น ๆ และควบคุม สภาพแวดลอมของระบบโดยเฉพาะ ไดแก ระบบ File Sharing ระบบสารสนเทศทางการเงิน และระบบ Active Directory (AD) โดยเขาถึงไดทั้งอุปกรณคอมพิวเตอรและสื่อสารเคลื่อนที่และ การปฏิบัติงานจากภายนอกองคกร (Mobile Computing and Teleworking)
    6.2.2 ผูดูแลระบบตองควบคุมอุปกรณคอมพิวเตอรและอุปกรณเคลื่อนที่และการปฏิบัติงานจาก ภายนอกหนวยงาน (Mobile Computing and Teleworking) ที่เกี่ยวของกับระบบดังกลาว 6.2.3 เจาของขอมูลที่เปนเจาของระบบสารสนเทศที่มีความสําคัญสูงตองเปนผูอนุญาต ในกรณีที่ระบบ สารสนเทศที่มีความสําคัญสูงมีความจําเปนตองทํางานรวมกับระบบสารสนเทศอื่นที่มีความสําคัญ นอยกวา

7. การควบคุมการปฏิบัติงานจากภายนอก รฟม. (Teleworking)
   7.1 ผูดูแลระบบตองกําหนดใหมีการพิสูจนตัวตนกอนการใชงาน และเชื่อมตอผานชองทางที่มีความปลอดภัย ที่มีเทคโนโลยีเขารหัสปองกัน
   7.2 ผูดูแลระบบตองทําการถอดถอนสิทธิ์ในการเขาถึงของผูใชงานจากภายนอกสํานักงาน เมื่อครบกําหนด ระยะเวลาที่ขออนุญาต
   7.3 ผูใชงาน หากจําเปนตองมีการปฏิบัติงานจากภายนอกสํานักงานของ รฟม. ตองไดรับการอนุญาตจาก ผูบังคับบัญชาอยางเปนลายลักษณอักษร ในกรณีเรงดวนสามารถดําเนินการกอน โดยแจงใหผูบังคับบัญชา รับทราบดวย โดยผูบังคับบัญชาตองพิจารณาเงื่อนไขในการเตรียมการ ดังตอไปนี้
   21

1. ความมั่นคงปลอดภัยทางกายภาพและสภาพแวดลอมของการปฏิบัติงานจากภายนอก รฟม. 2) ความมั่นคงปลอดภัยทางการสื่อสาร โดยยึดจากระดับความสําคัญ (Sensitivity) ของขอมูล ที่จะถูกเขาถึงและสงผานชองทางการเชื่อมตอสื่อสาร (Communication Link) รวมถึงระดับ ความสําคัญ (Sensitivity) ของระบบภายใน รฟม.
   7.4 ผูใชงานตองจัดเก็บเอกสารที่เปนความลับในอุปกรณที่ล็อกไดและมีการควบคุมการเขาถึง โดยใชหลักเกณฑ การรักษาความลับเชนเดียวกับสารสนเทศที่อยูในสํานักงานของ รฟม.
   7.5 ผูใชงาน ตองติดตั้งโปรแกรมปองกันไวรัสและ Personal Firewall สําหรับอุปกรณสวนตัวที่ใชเชื่อมตอ เครือขายของ รฟม. จากภายนอก

8. ผูบังคับบัญชา ตองควบคุมการใชงานขอมูลสวนบุคคลใหมีการใชงานที่สอดคลองกับกฎหมาย พระราชบัญญัติ กฎระเบียบ ขอบังคับที่เกี่ยวของ เชน พระราชบัญญัติคุมครองขอมูลสวนบุคคล พ.ศ. 2562
   22
   สวนที่ 7
   การควบคุมการเขาถึงระบบเครือขายไรสาย
   วัตถุประสงค
   ▪ เพื่อกําหนดมาตรการในการควบคุมการเขาถึงระบบเครือขายไรสาย (Wireless LAN) ของ รฟม. โดยการกําหนด สิทธิ์ของผูใชงานในการเขาถึงระบบใหเหมาะสมตามหนาที่ความรับผิดชอบในการปฏิบัติงาน รวมทั้งมีการทบทวน สิทธิ์การเขาถึงอยางสม่ําเสมอ
   ▪ เพื่อสรางความมั่นคงปลอดภัยของการใชงานระบบเครือขายไรสาย
   ผูรับผิดชอบ
   ▪ ผูดูแลระบบ
   ▪ ผูใชงาน
   อางอิงมาตรฐาน: ISO/IEC 27001:2022
   ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
   ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
   แนวปฏิบัติ
9. ผูใชงานที่ตองการเขาถึงระบบเครือขายไรสายของ รฟม. ตองลงทะเบียนกับผูดูแลระบบ และตองไดรับการ อนุญาตจาก ฝทท. อยางเปนลายลักษณอักษร
10. ผูดูแลระบบตองกําหนดมาตรฐานความปลอดภัยของระบบเครือขายไรสายไมต่ํากวามาตรฐาน WPA2 3. ผูดูแลระบบตองลงทะเบียนกําหนดสิทธิ์ผูใชงานในการเขาถึงระบบเครือขายไรสายใหเหมาะสมกับหนาที่ ความรับผิดชอบในการปฏิบัติงาน รวมทั้งมีการทบทวนสิทธิ์การเขาถึงอยางสม่ําเสมอ
11. ผูดูแลระบบตองลงทะเบียนอุปกรณทุกตัวที่ใชติดตอระบบเครือขายไรสาย
12. ผูดูแลระบบ ตองกําหนดตําแหนงการวางอุปกรณ Access Point (AP) ไมใหสัญญาณของอุปกรณรั่วไหลออกไป นอกบริเวณที่ใชงาน เพื่อปองกันไมใหผูโจมตีใช Access Point (AP) ของ รฟม. รับ - สงสัญญาณได 6. ผูดูแลระบบตองเลือกใชกําลังสงใหเหมาะสมกับพื้นที่ใชงานและตองสํารวจวาสัญญาณรั่วไหลออกไปภายนอก หรือไม นอกจากนี้การใชเสาอากาศพิเศษที่สามารถกําหนดทิศทางการแพรกระจายของสัญญาณอาจชวยลดการ รั่วไหลของสัญญาณใหดีขึ้น
13. ผูดูแลระบบตองเปลี่ยนคา SSID (Service Set Identifier) ที่ถูกกําหนดเปนคา Default มาจากผูผลิตทันทีที่นํา Access Point (AP) มาใชงาน
14. ผูดูแลระบบตองเปลี่ยนคาชื่อ Login และรหัสผานสําหรับการตั้งคาการทํางานของอุปกรณไรสาย และผูดูแลระบบ ตองเลือกใชชื่อ Login และรหัสผานที่มีความคาดเดาไดยากเพื่อปองกันผูโจมตีไมใหสามารถเดาหรือเจาะรหัส ไดโดยงาย
15. ผูดูแลระบบตองควบคุม MAC address ชื่อผูใช (Username) และรหัสผาน (Password) ของผูใชงานที่มีสิทธิ์ ในการเขาใชงานระบบเครือขายไรสาย โดยอนุญาตเฉพาะผูใชงานที่ไดรับอนุญาตใหเขาใชเครือขายไรสายไดอยาง ถูกตองเทานั้น
16. ผูดูแลระบบตองตรวจสอบความมั่นคงปลอดภัยของระบบเครือขายไรสายอยางสม่ําเสมอ และบันทึกเหตุการณ นาสงสัยที่เกิดขึ้นในระบบเครือขายไรสายตามขั้นตอนที่ รฟม. กําหนด
    23
    สวนที่8
    การควบคุมหนวยงานภายนอกและผูใชงานภายนอกเขาถึงระบบเทคโนโลยีสารสนเทศ
    วัตถุประสงค
    ▪ เพื่อควบคุมหนวยงานภายนอกและผูใชงานภายนอกที่มีการเขาใชงานระบบเทคโนโลยีสารสนเทศของ รฟม. ใหเปนไปอยางมั่นคงปลอดภัย
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูบังคับบัญชา
    ▪ หนวยงานภายนอก
    ▪ ผูใชงาน (บุคคลภายนอก)
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
    แนวปฏิบัติ
17. ผูดูแลระบบตองประเมินความเสี่ยงจากการเขาถึงระบบเทคโนโลยีสารสนเทศ หรืออุปกรณที่ใชในการประมวลผล โดยหนวยงานภายนอกและผูใชงานภายนอก และกําหนดมาตรการรองรับหรือแกไขที่เหมาะสมกอนที่จะอนุญาตให เขาถึงระบบเทคโนโลยีสารสนเทศของ รฟม.
18. การควบคุมการเขาใชงานระบบเทคโนโลยีสารสนเทศของหนวยงานภายนอกและผูใชงานภายนอก 2.1 เจาของขอมูลตองเปนผูอนุญาตการใหสิทธิ์แกหนวยงานภายนอกและผูใชงานภายนอกที่ตองการสิทธิ์ในการ เขาใชงานระบบสารสนเทศของ รฟม. อยางเปนลายลักษณอักษร
    2.2 ผูบังคับบัญชาตองกําหนดใหมีการลงนามการไมเปดเผยขอมูลที่สําคัญและเปนความลับของ รฟม. 2.3 ผูบังคับบัญชา ตองควบคุมใหมีการกําหนดขอตกลงและความรับผิดชอบที่เกี่ยวของกับความเสี่ยง ดานความมั่นคงปลอดภัยสารสนเทศลงในสัญญากับหนวยงานภายนอกที่ใหบริการดานสารสนเทศและ บริการดานการสื่อสาร โดยใหครอบคลุมรวมถึงผูรับจางชวง
    2.4 ผูบังคับบัญชาตองกําหนดใหจัดทําเอกสารแบบฟอรมสําหรับใหหนวยงานภายนอกและผูใชงานภายนอก ระบุเหตุผลความจําเปนที่ตองเขาใชงานระบบเทคโนโลยีสารสนเทศ ซึ่งมีรายละเอียด ดังนี้
    2.4.1 เหตุผลในการขอใช
    2.4.2 ระยะเวลาในการใช
    2.4.3 การตรวจสอบความปลอดภัยของอุปกรณที่เชื่อมตอเครือขาย
    2.4.4 การตรวจสอบ MAC address ของเครื่องคอมพิวเตอรที่เชื่อมตอ
    2.5 ผูดูแลระบบมีสิทธิ์ในการตรวจสอบการใชงานระบบเทคโนโลยีสารสนเทศของหนวยงานภายนอกและ ผูใชงานภายนอก เพื่อควบคุมการใชงานไดอยางมั่นคงปลอดภัยตามสัญญา
    2.6 ผูดูแลระบบตองควบคุมใหหนวยงานภายนอกจัดทําแผนการดําเนินงาน คูมือการปฏิบัติงานและเอกสารที่ เกี่ยวของ รวมทั้งตองปรับปรุงใหทันสมัยอยูเสมอ เพื่อใชสําหรับควบคุมหรือตรวจสอบการทํางาน และ เพื่อใหมั่นใจวาการปฏิบัติงานเปนไปตามขอบเขตที่ไดกําหนดไว
19. ผูดูแลระบบตองแจงแนวปฏิบัติตาง ๆ ที่เกี่ยวของแกหนวยงานภายนอกและผูใชงานภายนอกเพื่อใหปฏิบัติตาม
    24
20. ผูดูแลระบบ ตองกํากับดูแลหนวยงานภายนอกและผูใชงานภายนอกใหปฏิบัติตามสัญญาหรือขอตกลงการ ใหบริการที่ระบุไว ซึ่งตองครอบคลุมถึงดานความมั่นคงปลอดภัย
21. ผูดูแลระบบ ตองติดตาม ตรวจสอบรายงานหรือบันทึกการใหบริการของหนวยงานภายนอกตามที่วาจางอยาง สม่ําเสมอตามสัญญาวาจาง
22. ผูดูแลระบบ ตองกําหนดขั้นตอนและชองทางในการติดตอกับหนวยงานภายนอกที่มีหนาที่ในการกํากับดูแล หรือ หนวยงานที่เกี่ยวของกับการบังคับใชกฎหมาย รวมทั้งหนวยงานที่ควบคุมดูแลสถานการณฉุกเฉินภายใต สถานการณตาง ๆ ไวอยางชัดเจน
23. ผูดูแลระบบ ตองมีขั้นตอนและชองทางในการติดตอกับหนวยงานภายนอกที่มีความเชี่ยวชาญเฉพาะดานหรือ หนวยงานที่มีความเชี่ยวชาญดานความมั่นคงปลอดภัยดานสารสนเทศภายใตสถานการณตาง ๆ ไวอยางชัดเจน 8. ผูดูแลระบบตองควบคุมการเปลี่ยนแปลงของหนวยงานภายนอกที่สงผลกระทบตอการใหบริการขององคกร และ ตองประเมินความเสี่ยงอยางเหมาะสมเพื่อควบคุมผลกระทบอันเนื่องมาจากการเปลี่ยนแปลงนั้น 9. หนวยงานภายนอกและผูใชงานภายนอก ตองใชงานทรัพยสินสารสนเทศของ รฟม. ดวยความระมัดระวัง และ รักษาความลับของ รฟม. ไมนําไปเปดเผย และตองขออนุญาตพรอมทั้งปฏิบัติตามเงื่อนไขในการเขาถึงระบบ สารสนเทศของ รฟม. ทุกครั้ง
24. หนวยงานภายนอกและผูใชงานภายนอกตองแจงเหตุการณไมปกติตาง ๆ ดานเทคโนโลยีสารสนเทศที่พบผาน ชองทางที่ รฟม. กําหนดโดยเร็วที่สุด
25. หนวยงานภายนอกและผูใชงานภายนอกตองจัดเก็บบัญชีผูใชงานที่ รฟม. จัดทําไวใหใชงานเปนความลับ เฉพาะ บุคคล ไมเปดเผยใหผูอื่นรับทราบ
    25
    สวนที่ 9
    การใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ ของ รฟม.
    วัตถุประสงค
    ▪ เพื่อควบคุมการใชงานทรัพยสินของ รฟม. ประเภทเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ใหเหมาะสม ทั้งนี้ เพื่อปองกัน การสูญหาย เสียหาย หรือถูกเขาถึงขอมูลโดยไมไดรับอนุญาต
    ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานบุคลากร (People Controls)
    ▪ มาตรการควบคุมดานกายภาพ (Physical Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
26. การใชงานทั่วไป
    1.1 ผูดูแลระบบตองกําหนดบัญชีซอฟตแวรมาตรฐาน (Software Standard) ที่อนุญาตใหติดตั้งบนเครื่อง คอมพิวเตอรของผูใชงาน และปรับปรุงใหเปนปจจุบันเสมอ
    1.2 ผูดูแลระบบตองเปนผูกําหนดการตั้งชื่อเครื่องคอมพิวเตอร (Computer Name) เทานั้น 1.3 ผูใชงานตองติดตั้งโปรแกรมสําหรับควบคุมการใชงานอุปกรณเคลื่อนที่ (Mobile Device Management: MDM) รวมถึงอุปกรณอื่น ๆ ที่ รฟม. ไมสามารถควบคุมการใชงานผานระบบ Active Directory (AD) ได 1.4 ผูใชงานตองใชงานอยางมีประสิทธิภาพเพื่องานของ รฟม.
    1.5 ผูใชงานตองไมติดตั้งโปรแกรมที่ละเมิดลิขสิทธิ์บนเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. 1.6 ผูใชงานตองขอนุญาตติดตั้งโปรแกรมในเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ตามขั้นตอนที่ รฟม. กําหนด 1.7 ผูใชงานตองไมติดตั้งและแกไขเปลี่ยนแปลงโปรแกรมในเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ของ รฟม. การดําเนินการดังกลาวตองดําเนินการโดยผูดูแลระบบเทานั้น
    1.8 ผูใชงานตองศึกษาและปฏิบัติตามคูมือการใชงานเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่อยางละเอียด เพื่อใหสามารถใชงานอยางปลอดภัยและมีประสิทธิภาพ
    1.9 ผูใชงานตองไมดัดแปลงแกไขสวนประกอบตาง ๆ ของคอมพิวเตอรและอุปกรณเคลื่อนที่ และรักษาใหมีสภาพเดิม 1.10 ผูใชงานตองแจงซอมเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ที่อยูในความรับผิดชอบของ ฝทท. ใหฝทท. เปนผูดําเนินการเทานั้น
    1.11 ผูใชงานตองอัปเดต Patch และระบบปฏิบัติการใหทันสมัยอยูเสมอ
    1.12 ผูใชงานตองไมสราง Shortcut ไวบน Desktop ที่เชื่อมตอไปยังขอมูลสําคัญของ รฟม. 1.13 กรณีเครื่องคอมพิวเตอรแบบพกพาและอุปกรณเคลื่อนที่ผูใชงานตองปฏิบัติเพิ่มเติม ดังนี้ 1.13.1 ตองติดตั้ง Application จาก Official Store หรือเว็บไซตที่ใหบริการผานโปรโตคอล HTTPS 1.13.2 ไมปรับแตงการเขาถึงระบบปฏิบัติการ (Rooted/Jailbroken)
    1.13.3 ในกรณีที่มีการใชงานอุปกรณประเภทพกพาในที่สาธารณะ หองประชุม และพื้นที่ภายนอก อื่น ๆ ที่ไมมีการปองกัน หรือไมไดอยูในบริเวณของ รฟม. ใหปองกันการเขาถึงที่ไมไดรับอนุญาต เชน ไมเปดการเชื่อมตอแบบไรสายโดยไมมีการเขารหัสขอมูล เปนตน
    26
    1.13.4 ตองระมัดระวังการเคลื่อนยาย โดยตองใสกระเปาเพื่อปองกันอันตรายที่เกิดจากการกระทบกระเทือน เชน การตกจากโตะทํางานหรือหลุดมือ เปนตน
    1.13.5 ไมใสในกระเปาเดินทางที่เสี่ยงตอการถูกกดทับโดยไมไดตั้งใจจากการมีของหนักทับหรืออาจถูก จับโยนได
    1.13.6 การใชงานเปนระยะเวลานานเกินไป ในสภาพที่มีอากาศรอนจัดตองปดเครื่องคอมพิวเตอรเพื่อเปน การพักเครื่องสักระยะหนึ่งกอนเปดใชงานใหมอีกครั้ง
    1.13.7 หลีกเลี่ยงการใชนิ้วหรือของแข็ง เชน ปลายปากกา กดสัมผัสหนาจอ LCD ใหเปนรอย ขีดขวนหรือ ทําใหจอ LCD ของเครื่องคอมพิวเตอรแบบพกพาแตกเสียหายได
    1.13.8 ไมวางของทับบนหนาจอและแปนพิมพ
    1.13.9 การเคลื่อนยายเครื่องขณะที่เครื่องเปดใชงานอยู ใหทําการยกจากฐานภายใตแปนพิมพ หามยายเครื่องโดยการดึงหนาจอภาพขึ้น
    1.13.10 ไมคลื่อนยายเครื่องในขณะที่ Harddisk กําลังทํางาน
    1.13.11 ไมใชหรือวางใกลสิ่งที่เปนของเหลว ความชื้น เชน อาหาร น้ํา กาแฟ เครื่องดื่มตาง ๆ เปนตน 1.13.12 ไมวางใกลอุปกรณที่มีสนามแมเหล็กไฟฟาแรงสูง เชน แมเหล็ก โทรทัศน ไมโครเวฟ ตูเย็น เปนตน 1.13.13 ไมติดตั้งหรือวางในที่ที่มีการสั่นสะเทือน เชน ในยานพาหนะที่กําลังเคลื่อนที่
    1.13.14 การเช็ดทําความสะอาดหนาจอภาพตองเช็ดอยางเบามือที่สุด และตองเช็ดไปในแนวทาง เดียวกันหามเช็ดแบบหมุนวน เพราะจะทําใหหนาจอมีรอยขีดขวนได
    1.13.15 รับผิดชอบในการปองกันการสูญหาย เชน ตองล็อกเครื่องขณะที่ไมไดใชงาน ไมวางเครื่องทิ้งไวในที่ สาธารณะ หรือในบริเวณที่มีความเสี่ยงตอการสูญหาย
    1.13.16 นําติดตัวไปดวยเสมอ เชน ไมละทิ้ง อุปกรณประมวลผลประเภทพกพาในรถยนตหองพัก ในโรงแรม หรือหองประชุม เปนตน ในกรณีที่มีความจําเปนตองละทิ้งใหจัดเก็บไวในสถานที่ มั่นคงปลอดภัย
    1.13.17 ไมเก็บหรือใชงานในสถานที่ที่มีความรอน ความชื้นหรือฝุนละอองสูงและตองระวังปองกันการ ตกกระทบ
    1.13.18 ไมเปลี่ยนแปลงแกไขสวนประกอบยอย (Sub Component) ที่ติดตั้งอยูภายใน เชน แบตเตอรี่ หนวยความจํา
27. แนวปฏิบัติในการใชรหัสผาน
    ใหผูใชงานปฏิบัติตามการใชงานรหัสผาน (Password Use) (สวนที่ 6)
28. การปองกันจากโปรแกรมชุดคําสั่งไมพึงประสงค (Malicious Code)
    3.1 ผูดูแลระบบตองควบคุมการ Update ระบบปฏิบัติการ เว็บเบราวเซอรและโปรแกรมใชงานตาง ๆ อยางสม่ําเสมอ เพื่อปดชองโหว (Vulnerability) ที่เกิดขึ้นจากซอฟตแวรเปนการปองกันการโจมตีจาก ภัยคุกคามตาง ๆ
    3.2 ผูดูแลระบบตองติดตั้งและปรับปรุงโปรแกรมปองกันไวรัสใหทันสมัยอยูเสมอ
    3.3 ผูใชงานตองไมปดหรือยกเลิกระบบการปองกันไวรัสที่ติดตั้งอยู
    3.4 ผูใชงานตองตรวจสอบหาไวรัสจากสื่อบันทึกตาง ๆ เชน Thumb drive และ Data storage อื่น ๆ กอน นํามาใชงานรวมกับเครื่องคอมพิวเตอรของ รฟม.
    3.5 ผูใชงาน หากพบหรือสงสัยวาเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ติดชุดคําสั่งไมพึงประสงค ใหรีบยกเลิก เชื่อมตอเครื่องเขากับระบบเครือขายสื่อสารขอมูลเพื่อปองกันการแพรกระจายของชุดคําสั่งที่ไมพึงประสงค ไปยังเครื่องอื่น ๆ ไดและแจง ฝทท. ทราบทันที
    27
29. การสํารองขอมูลและการกูคืน
    4.1 ผูใชงานตองรับผิดชอบในการสํารองขอมูลจากเครื่องคอมพิวเตอรและอุปกรณเคลื่อนที่ไวบนสื่อบันทึกอื่น ๆเชน ระบบ File Sharing, CD, DVD, External harddisk เปนตน
    4.2 ผูใชงานมีหนาที่เก็บรักษาสื่อขอมูลสํารอง (Backup Media) ไวในสถานที่ที่เหมาะสม ไมเสี่ยงตอการรั่วไหลของ ขอมูลและทดสอบการกูคืนขอมูลที่สํารองไวอยางสม่ําเสมอ
30. ผูดูแลระบบ ตองควบคุมใหเครื่องคอมพิวเตอรไดรับการปรับตั้งคาอยางเหมาะสม เพื่อปองกันการใชงานหรือ ติดตั้ง Mobile Code เชน Active X, Java จากแหลงที่ไมนาเชื่อถือ
    28
    สวนที่ 10
    การใชงานอินเทอรเน็ตและสื่อสังคมออนไลน
    วัตถุประสงค
    ▪ เพื่อควบคุมการใชงานอินเทอรเน็ตและการใชงานสื่อสังคมออนไลน (Social Network) ของ รฟม. ใหมีความปลอดภัย และปองกันการละเมิดพระราชบัญญัติวาดวยการกระทําความผิดเกี่ยวกับคอมพิวเตอร จนสงผลกระทบตอ รฟม. ผูรับผิดชอบ
    ▪ ผูดูแลระบบ
    ▪ ผูใชงาน
    อางอิงมาตรฐาน: ISO/IEC 27001:2022
    ▪ มาตรการควบคุมดานองคกร (Organizational Controls)
    ▪ มาตรการควบคุมดานเทคโนโลยี (Technological Controls)
    แนวปฏิบัติ
31. ผูดูแลระบบตองควบคุมการเชื่อมตอทางเครือขายสําหรับการเขาถึงอินเทอรเน็ตโดยพิจารณาเรื่องดังตอไปนี้ 1) ผูดูแลระบบตองไมอนุญาตใหใชงานอุปกรณ VideoStreaming อุปกรณ Audio streaming หรือ Download ไฟลที่มีขนาดใหญ ในกรณีที่จําเปนตองไดรับการอนุญาตจากผูบังคับบัญชากอนเทานั้น

2. ผูดูแลระบบตองจํากัดการใชงานอินเทอรเน็ตเพื่อเรื่องสวนตัวหรือที่ไมใชการดําเนินงานของ รฟม. ใหนอยที่สุด เทาที่เปนไปได เชน การระงับการเขาถึง Website ที่ไมจําเป ็น การระงับการเขาถึง Website ที่มีเนื้อหาตองหาม ตามพระราชบัญญัติวาดวยการกระทําความผิดเกี่ยวกับคอมพิวเตอร
3. ผูดูแลระบบตองปองกันไมใหมีการรับสงขอมูลที่ไมเหมาะสมจากภายนอก รฟม. เชน
   (ก) Executable เชน .EXE .COM เปนตน
   (ข) ไฟล(File) เสียง เชน AUD .WAV และ .MP3 เปนตน
   (ค) ไฟล(File) วีดิทัศนเชน .MPG .MPEG .MOV และ .AVI เปนตน
   (ง) Peer to Peer เชน .torrent เปนตน
   ในกรณีที่มีความจําเปนตองไดรับอนุญาตจากผูบังคับบัญชา และ ฝทท.
4. ผูดูแลระบบตองกําหนดเสนทางการเชื่อมตอระบบคอมพิวเตอรเพื่อการเขาใชงานอินเทอรเน็ตที่ตองเชื่อมตอ ผานระบบรักษาความปลอดภัยที่ รฟม. จัดสรรไวเทานั้น เชน Proxy,Firewall เปนตน
5. ผูดูแลระบบตองทดสอบเสนทางสําหรับการเชื่อมตออินเทอรเน็ตขององคกรระหวางเสนทางที่ใชงานจริงและ เสนทางสํารองอยางนอยปละ 2 ครั้ง
6. ผูใชงานตองไมเชื่อมตอระบบคอมพิวเตอรผานชองทางอื่น ยกเวนมีความจําเปนและขออนุญาตจาก ฝทท. เปนลายลักษณอักษรแลว
7. ผูใชงานตองขออนุญาตติดตั้งซอฟตแวร (Software) ที่ Download จากอินเทอรเน็ต และการติดตั้งตองดําเนินการ โดยผูที่ไดรับมอบหมายจากผูดูแลระบบเทานั้น

2. ผูใชงานตองไมมีเจตนาปดบังหรือบิดเบือนตัวตนเมื่อมีการใชงานอินเทอรเน็ต
3. ผูใชงานติดตั้งโปรแกรมปองกันไวรัส พรอมทั้งตองปรับปรุง Virus Signature ที่เครื่องคอมพิวเตอรสวนบุคคลและ เครื่องคอมพิวเตอรพกพาใหมีความทันสมัยอยูเสมอ กอนทําการเชื่อมตออินเทอรเน็ตผานเว็บเบราวเซอร (Web Browser) และตองปดชองโหวของระบบปฏิบัติการที่เว็บเบราวเซอรติดตั้งอยู
4. ผูใชงานจะตองตรวจสอบไวรัส (Virus Scanning) กอนการรับ - สงขอมูลคอมพิวเตอรผานทางอินเทอรเน็ต
   29
5. ผูใชงานตองไมใชเครือขายอินเทอรเน็ตของ รฟม. เพื่อหาประโยชนในเชิงธุรกิจสวนตัว และทําการเขาสู เว็บไซตที่ ไมเหมาะสม เชน เว็บไซตที่ขัดตอศีลธรรม เว็บไซตที่มีเนื้อหาที่ขัดตอชาติ ศาสนา พระมหากษัตริย หรือเว็บไซตที่ เปนภัยตอสังคม เปนตน
6. ผูใชงานจะถูกกําหนดสิทธิ์ในการเขาถึงแหลงขอมูลตามหนาที่ความรับผิดชอบเพื่อประสิทธิภาพของเครือขายและ ความปลอดภัยทางขอมูลของ รฟม.
7. ผูใชงานตองหลีกเลี่ยงการกระทําที่สิ้นเปลืองทรัพยากรของเครือขายอินเทอรเน็ต ดังนี้ (ก) สงจดหมายอิเล็กทรอนิกสลูกโซ
   (ข) ใชเวลาในการเขาถึงอินเทอรเน็ตเกินความจําเปนยกเวนเพื่อปฏิบัติงานให รฟม.
   (ค) เลนเกม Online
   (ง) เขาหองพูดคุย Online ที่ไมไดมีวัตถุประสงคเพื่อปฏิบัติงานให รฟม.
8. ผูใชงานตองไมเผยแพรขอมูลที่เปนการหาประโยชนสวนตัวหรือขอมูลที่ไมเหมาะสมทางศีลธรรม หรือขอมูลที่ ละเมิดสิทธิ์ของผูอื่น หรือขอมูลที่อาจกอความเสียหายใหกับ รฟม.
9. ผูใชงานตองไมเปดเผยขอมูลสําคัญที่เปนความลับเกี่ยวกับงานของ รฟม.
10. ผูใชงานตองไมนําเขาขอมูลคอมพิวเตอรใด ๆ ที่มีลักษณะอันเปนเท็จ อันเปนความผิดเกี่ยวกับความมั่นคง แหงราชอาณาจักร อันเปนความผิดเกี่ยวกับการกอการราย หรือภาพที่มีลักษณะอันลามก และไมทําการเผยแพร หรือสงตอขอมูลคอมพิวเตอรดังกลาวผานอินเทอรเน็ต
11. ผูใชงานตองไมนําเขาขอมูลคอมพิวเตอรที่เปนภาพของผูอื่นและภาพนั้นเปนภาพที่เกิดจากการสรางขึ้น ตัดตอ เติมหรือดัดแปลงดวยวิธีการทางอิเล็กทรอนิกส หรือวิธีการอื่นใด ที่จะทําใหผูอื่นเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือไดรับความอับอาย
12. ผูใชงานมีหนาที่ตรวจสอบความถูกตองและความนาเชื่อถือของขอมูลคอมพิวเตอรที่อยูบนอินเทอรเน็ตกอนนํา ขอมูลไปใชงาน
13. ผูใชงานตองคํานึงวาขอมูลจากอินเทอรเน็ตอาจไมมีความทันสมัยหรือไมมีความถูกตอง ผูใชงานตองตรวจสอบ ความถูกตองของขอมูลจากแหลงที่นาเชื่อถือกอนที่จะเผยแพรขอมูลดังกลาว
14. ผูใชงานตองระมัดระวังการดาวนโหลดโปรแกรมใชงานจากอินเทอรเน็ต ซึ่งรวมถึง Patch หรือ Fixesตาง ๆ จากผูขาย ตองเปนไปโดยไมละเมิดทรัพยสินทางปญญา
15. ผูใชงานตองไมใชขอความที่ยั่วยุ ใหรายในการเสนอความคิดเห็นที่จะทําใหเกิดความเสื่อมเสียตอชื่อเสียงของ รฟม. การทําลายความสัมพันธกับเจาหนาที่ของหนวยงานอื่น ๆ
16. ผูใชงานตองไมบันทึกรหัสผานใน Web Browser (Remember Password) เพื่อปองกันบุคคลอื่นที่สามารถ เขาถึงคอมพิวเตอรของผูใชงานนํารหัสผานดังกลาวไปใชงานในอินเทอรเน็ตโดยไมไดรับอนุญาต 17. ผูใชงานตองไม Download เอกสาร หรือสารสนเทศตาง ๆ เชน ขอมูล รูปภาพ วิดีโอ เสียง และซอฟตแวร (Software) ที่ละเมิดลิขสิทธิ์ หรือผิดกฎหมาย
17. ผูใชงานตองปดเว็บเบราวเซอรเพื่อปองกันการเขาใชงานโดยบุคคลอื่น ๆ ภายหลังจากใชงานอินเทอรเน็ตเสร็จแลว 19. การใชงานสื่อสังคมออนไลน (Social Network)
    19.1 ผูใชงานตองระมัดระวังในการนําเสนอขอมูลขาวสาร การสงขอความ หรือการแสดงความคิดเห็นผาน สื่อสังคมออนไลนเพื่อไมกอใหเกิดความเสียหายแก รฟม.
    19.2 ผูใชงานตองระมัดระวังในการใชสื่อสังคมออนไลน เนื่องจากพื้นที่บนสื่อสังคมออนไลนเปนพื้นที่ สาธารณะไมใชพื้นที่สวนบุคคล ซึ่งขอมูลการใชงานตาง ๆ จะถูกบันทึกไวและอาจมีผลทางกฎหมาย ถึงแมจะเปนการแสดงความคิดเห็นในนามชื่อบัญชีสวนตัว และพึงตระหนักถึงผลกระทบที่อาจเกิดขึ้น กับ รฟม. ได
    30
    19.3 ผูใชงานที่ใชสื่อสังคมออนไลนเปนเครื่องมือสื่อสารขอมูลในกิจการของ รฟม. หรือชื่อบุคคลที่ทําใหเขาใจ ไดวาเปนบุคคลในสังกัด ตองแสดงภาพ และขอมูลใหถูกตองชัดเจนในขอมูล โปรไฟล (Profile) และ พึงใชดวยความสุภาพและมีวิจารณญาณ
    19.4 ผูใชงานควรตั้งคําถามที่ใชในกรณีกูคืนบัญชีผูใชงานหรือกูคืนรหัสผาน (Forgot Your Password) ควรเลือกใชขอมูลหรือคําถามที่เปนสวนบุคคลและเปนขอมูลที่ผูอื่นคาดเดาไดยากเพื่อปองกันการสุมคําถาม จากผูประสงคราย
    19.5 ผูใชงานตองไมใชระบบอีเมลของเว็บไซตประเภทสื่อสังคมออนไลน หากจําเปนตองใชจะตองระมัดระวัง ในการคลิกลิงกที่นาสงสัย โดยเฉพาะอีเมลแจงเตือนจากเว็บไซตตาง ๆ ในลักษณะเชื้อเชิญใหคลิกลิงก ที่แนบมาในอีเมล ผูใชงานตองสงสัยวาลิงกดังกลาวเปนลิงกที่ไมปลอดภัย (ลิงกที่ถูกสรางมาเพื่อใชขโมย ขอมูลสวนบุคคล ดวยการนําไปสูเว็บไซตที่ดูนาเชื่อถือที่ผูประสงครายสรางไวเพื่อใหผูใชงานกรอกขอมูล สวนบุคคล เชน รหัสผาน เปนตน)
    19.6 ผูใชงานตองศึกษาการตั้งคาความเปนสวนตัวหรือ “Privacy Settings” ใหเขาใจเปนอยางดีและ ปรับแตงการตั้งคาความเปนสวนตัวใหเหมาะสมเพื่อปองกันการถูกละเมิดความเปนสวนตัวซึ่ง อาจจะสงผลกระทบตอตนเองหรือ รฟม.
    19.7 ผูใชงานตองใชงานสื่อสังคมออนไลนอยางเหมาะสม โดยไมละเมิดกฎหมายและไมกอใหเกิดความเสียหายหรือ สงผลกระทบตอการทํางานขององคกร
    19.8 ผูใชงานควรปดการใชงานระบบโพสตขอความสาธารณะทุก ๆ สวนของเว็บไซตประเภท Social Network หากจําเปนตองใชงานตองปรับคาใหมีการตรวจสอบขอความกอนเพื่อหลีกเลี่ยงโอกาสแพรกระจายลิงก ที่ไมปลอดภัยจากผูประสงคราย ซึ่งเปนหนึ่งในเทคนิคที่ใชในการโจมตีประเภท Spear Phishing
    19.9 ผูใชงานตองตรวจสอบกอนจะรับเพื่อนเขากลุมในเว็บไซตประเภท Social Network โดยตองแนใจวา ขอมูลสวนตัวของเพื่อนคนนั้น เชน รูปถายและประวัติสวนตัวไมถูกแกไขเพื่อปลอมแปลงตัวตนจาก ผูประสงครายที่หวังแอบอางเพื่อคุกคามเปาหมาย
    19.10 ผูใชงานตองตระหนักไวเสมอวาขอมูลตาง ๆ ที่ผูใชงานเผยแพรไวบนบริการสื่อสังคมออนไลนนั้นคงอยู ถาวรและผูอื่นอาจเขาถึงและเผยแพรขอมูลเหลานั้นได
    19.11 ผูใชงานตองมีขอพิจารณาในการรับเพื่อนเขากลุมที่ชัดเจน และควรประกาศขอความปฏิเสธความ รับผิดชอบที่เกี่ยวกับเนื้อหาหรือขอความแสดงความคิดเห็นซึ่งถูกโพสตจากเพื่อนในกลุมที่อาจปรากฏใน เว็บไซตประเภท Social Network ของผูใชงานเอง
    19.12 ผูใชงานตองติดตั้งซอฟตแวรปองกันไวรัส และอัปเดตฐานขอมูลไวรัสของโปรแกรมอยูเสมอ และตอง หลีกเลี่ยงการใชโปรแกรมที่ละเมิดลิขสิทธิ์เพราะอาจจะมีโปรแกรมประสงครายแฝงตัวอยูภายในเพื่อ ลักลอบ ปลอมแปลง หรือขโมยขอมูลสําคัญของผูใชงานได
    19.13 ผูใชงานตองระมัดระวังการใชถอยคําและภาษาที่อาจเปนการดูหมิ่น ยุยง ทาทาย หรือเปนการละเมิดตอ บุคคลอื่น กรณีบุคคลอื่นมีความคิดเห็นที่แตกตางพึงงดเวนการโตตอบดวยถอยคํารุนแรง 19.14 ผูใชงานตองระมัดระวังกระบวนการหาขาว หรือภาพจากสื่อสังคมออนไลน โดยมีการตรวจสอบอยางถี่ถวน รอบดานและตองอางอิงแหลงที่มาเมื่อนําเสนอ เวนแตสามารถตรวจสอบและอางอิงจากแหลงขาว ไดโดยตรง
    19.15 หากผูใชงานตองการใชสื่อสังคมออนไลนเปนเครื่องมือในการรายงานขาวในนามของบุคคลธรรมดาตอง แสดงใหชัดเจนวา ขอความใดเปน “ขาว” ขอความใดเปน “ความคิดเห็นสวนตัว”
    19.16 การสงตอหรือเผยแพรขอมูลในสื่อสังคมออนไลน (Social Media)
    31
    19.16.1 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลที่เปนเท็จ ขาวลือ ขาวไมปรากฏที่มา เปนเพียงการ คาดเดา หรือสงผลเสียหายกับบุคคล สังคม หรือ รฟม.
    19.16.2 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลเรื่องบุคคลเสียชีวิต เด็กและเยาวชน ผูสูญหาย ผูตองหา เวนเสียแตตรวจสอบขอเท็จจริงแลวและเห็นวาเปนประโยชนตอสาธารณะ
    19.16.3 ผูใชงานตองไมสงตอหรือเผยแพรขอมูลที่กระทบตอสิทธิความเปนสวนตัว และศักดิ์ศรีความ เปนมนุษย
    19.17 ผูใชงานตองตั้งคาความปลอดภัยของการใชงานสื่อสังคมออนไลน และระมัดระวังการถูกนําขอมูลจากชื่อบัญชี ไปใชโดยไมเหมาะสม ผิดวัตถุประสงค และลักษณะการแอบอางโดยบุคคลอื่น
18. ผูใชงานตองใชงานอินเทอรเน็ตและสื่อสังคมออนไลนโดยตระหนักถึงพระราชบัญญัติการกระทําความผิดเกี่ยวกับ คอมพิวเตอรที่บังคับใชอยูเสมอ