ประกาศความเป็นส่วนตัว

1. ผู้ควบคุมข้อมูล ขอบเขต และคำจำกัดความ

1.1 สถานศึกษาเป็นผู้ควบคุมข้อมูลสำหรับกิจกรรมที่สถานศึกษาเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลใน MWKConnect ผู้พัฒนาหรือผู้ให้บริการโครงสร้างพื้นฐานซึ่งดำเนินการตามคำสั่งเป็นผู้ประมวลผลตามบทบาทจริง มิได้เป็นผู้ควบคุมข้อมูลเพียงเพราะเป็นผู้สร้างซอฟต์แวร์ รายละเอียดสถานศึกษาและช่องทางติดต่ออยู่ในข้อ 13

1.2 ประกาศครอบคลุมนักเรียน ผู้ปกครอง ครู บุคลากร ผู้ดูแลระบบ และผู้ใช้บริการที่ได้รับอนุญาต สำหรับงานบัญชีผู้ใช้ ทะเบียนและวัดผล (REG) ชั้นเรียน ตารางเรียน กิจกรรมและชุมนุม งานพฤติกรรมและดูแลช่วยเหลือนักเรียน (SBT) พอร์ทัลผู้ปกครอง ประกาศ การรายงาน การนำเข้าและส่งออกข้อมูล ตลอดจนคำขอบริการดิจิทัลและการเชื่อมต่อบัญชีที่เปิดใช้งาน

1.3 “ข้อมูลส่วนบุคคล” คือข้อมูลเกี่ยวกับบุคคลธรรมดาที่ทำให้ระบุตัวบุคคลได้โดยตรงหรือโดยอ้อม โดยไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “การประมวลผล” ในประกาศนี้หมายถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล “ข้อมูลอ่อนไหว” หมายถึงข้อมูลประเภทที่อยู่ภายใต้เงื่อนไขพิเศษของมาตรา 26

2. ประเภทข้อมูลส่วนบุคคลที่ระบบประมวลผล

รายการต่อไปนี้อธิบายข้อมูลที่ระบบรองรับ โดยจะใช้เฉพาะรายการที่จำเป็นต่อสถานะ หน้าที่ และบริการของแต่ละบุคคล ข้อมูลของบุคคลหนึ่งอาจมีไม่ครบทุกประเภท

3. แหล่งที่มาของข้อมูลและการแจ้งรายละเอียด

3.1 ข้อมูลมาจากเจ้าของข้อมูลโดยตรง ครูหรือเจ้าหน้าที่ที่มีหน้าที่ ผู้ปกครอง ระบบทะเบียนเดิม การนำเข้าแฟ้มข้อมูล และบริการยืนยันตัวตนที่ผู้ใช้เลือกเชื่อมต่อ รวมถึงข้อมูลที่ระบบสร้างขึ้นจากการใช้งาน

3.2 การรับข้อมูลจากบุคคลอื่นต้องตรวจสอบความเกี่ยวข้องและความชอบด้วยกฎหมาย สถานศึกษามีหน้าที่แจ้งรายละเอียดแก่เจ้าของข้อมูลตามเงื่อนไขมาตรา 25 ภายใน 30 วัน หรือเมื่อมีการติดต่อครั้งแรก หรือก่อนเปิดเผยครั้งแรกตามกรณี เว้นแต่มีข้อยกเว้นที่ใช้ได้ การให้ผู้กรอกข้อมูลแจ้งบุคคลอื่นไม่ทำให้หน้าที่ของสถานศึกษาสิ้นสุดลง

4. วัตถุประสงค์ ฐานกฎหมาย และขอบเขตอำนาจ

สถานศึกษาต้องเลือกฐานกฎหมายให้ตรงกับกิจกรรมจริง การอ้างหลายมาตราในตารางแสดงกรณีที่แตกต่างกัน มิใช่อนุญาตให้เลือกใช้แทนกันโดยไม่ตรวจสอบเงื่อนไข โดยเฉพาะฐานหน้าที่ตามกฎหมายต้องระบุหน้าที่ที่สถานศึกษาต้องปฏิบัติได้ และฐานประโยชน์โดยชอบต้องพิจารณาผลกระทบต่อเจ้าของข้อมูลด้วย

หากไม่ให้ข้อมูลที่จำเป็น สถานศึกษาอาจไม่สามารถยืนยันบัญชี จัดทำทะเบียน ประเมินผล ออกเอกสาร หรือให้บริการบางส่วนได้ โดยต้องแจ้งข้อมูลที่จำเป็นและผลกระทบ ณ จุดเก็บข้อมูล การไม่ให้ข้อมูลสำหรับกิจกรรมสมัครใจไม่ทำให้หมดสิทธิต่อบริการหลักที่ไม่ต้องใช้ข้อมูลนั้น

5. ข้อมูลอ่อนไหว ผู้เยาว์ และการขอความยินยอม

5.1 ข้อมูลเชื้อชาติ ศาสนา ความพิการ หรือข้อมูลอ่อนไหวในหลักฐานประกอบ จะประมวลผลได้ต่อเมื่อจำเป็นและได้รับความยินยอมโดยชัดแจ้ง หรือเข้าเงื่อนไขยกเว้นเฉพาะตามมาตรา 26 การอ้างประโยชน์สาธารณะที่สำคัญตามมาตรา 26 (5) (จ) ต้องมีความจำเป็นในการปฏิบัติตามกฎหมายเพื่อประโยชน์ดังกล่าวและมีมาตรการคุ้มครอง ไม่เกิดขึ้นเพียงเพราะผู้ประมวลผลเป็นโรงเรียน

5.2 การขอความยินยอมต้องแสดงวัตถุประสงค์อย่างชัดเจน แยกจากข้อความอื่น อ่านเข้าใจได้ และให้อิสระในการตัดสินใจ เจ้าของข้อมูลถอนความยินยอมผ่านช่องทางในข้อ 13 ได้โดยสะดวกเช่นเดียวกับการให้ความยินยอม การถอนมีผลต่อกิจกรรมที่ใช้ฐานความยินยอมและไม่ลบล้างการประมวลผลที่ชอบด้วยกฎหมายก่อนถอน

5.3 เมื่อจำเป็นต้องใช้ความยินยอมของผู้เยาว์อายุไม่เกิน 10 ปี ให้ขอจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทน สำหรับผู้เยาว์อายุเกิน 10 ปี ต้องขอจากผู้ใช้อำนาจปกครองด้วยหากเป็นการที่ผู้เยาว์ไม่อาจให้ความยินยอมโดยลำพัง ทั้งนี้ ต้องพิจารณาสถานะและข้อยกเว้นเรื่องความสามารถตามมาตรา 20 การเข้าสู่พอร์ทัลผู้ปกครองไม่ได้พิสูจน์อำนาจปกครองเพื่อทำนิติกรรมทุกประเภท

6. ผู้รับข้อมูลและการเชื่อมต่อบริการ

6.1 ผู้รับภายในและผู้ปกครอง: ข้อมูลใช้โดยครูที่ปรึกษา ครูผู้สอน เจ้าหน้าที่ทะเบียน ผู้รับผิดชอบพฤติกรรม ผู้บริหาร หรือผู้ดูแลระบบตามหน้าที่และขอบเขตที่ได้รับอนุญาต ผู้ปกครองเข้าถึงข้อมูลนักเรียนตามความสัมพันธ์ที่ผูกไว้และสิทธิที่สถานศึกษาตรวจสอบ การดาวน์โหลดเอกสารหรือส่งออกข้อมูลต้องจำกัดผู้รับและข้อมูลเท่าที่จำเป็น

6.2 หน่วยงานและผู้รับภายนอก: สถานศึกษาอาจส่งข้อมูลให้หน่วยงานต้นสังกัด หน่วยงานการศึกษาหรือหน่วยงานที่มีอำนาจตามกฎหมาย เฉพาะเรื่องที่มีหน้าที่หรือฐานกฎหมายรองรับ และใช้ผู้ให้บริการโฮสติ้ง คลาวด์ อีเมล หรือผู้บำรุงรักษาระบบตามข้อตกลง ผู้ประมวลผลตามคำสั่งต้องมีข้อตกลงควบคุมการดำเนินงาน ส่วนผู้รับที่กำหนดวัตถุประสงค์ของตนเองต้องรับผิดตามบทบาทผู้ควบคุมข้อมูลของตน

6.3 Google และ LINE: การเข้าสู่ระบบด้วย Google ใช้ผลตรวจสอบบัญชีและอีเมล โดยผูกตัวระบุ Google กับอีเมลของบัญชีตามเงื่อนไขระบบ ส่วน LINE Login ขอสิทธิ openid และ profile เพื่อรับ LINE User ID ชื่อที่แสดง และ URL รูปโปรไฟล์ ใช้ผูกกับบัญชี MWKConnect ที่ผู้ใช้เชื่อมไว้ การใช้ LINE ไม่ขอข้อความแชต รายชื่อเพื่อน หรือรหัสผ่าน LINE และไม่สร้างบัญชีจากชื่อหรือรูปโปรไฟล์โดยอัตโนมัติ ผู้ใช้ยกเลิกการเชื่อมต่อ LINE ได้จากหน้าบัญชี

6.4 MWKConnect SSO: แอปที่สถานศึกษาอนุมัติอาจรับตัวระบุผู้ใช้เฉพาะแอป ชื่อผู้ใช้ ชื่อบุคคล บทบาท URL รูปประจำตัว หรือผลการยืนยันบัญชีตามขอบเขตที่อนุญาต หน้าขออนุญาตแสดงแอปและสิทธิที่ร้องขอ ผู้ใช้ดูและเพิกถอนการอนุญาตได้จากรายการแอปที่เชื่อมต่อ การเพิกถอนยุติสิทธิผ่านระบบตามกลไกที่รองรับ แต่ไม่ลบสำเนาซึ่งแอปได้รับไปแล้วโดยอัตโนมัติ ผลยืนยันบัญชีไม่ใช่การรับรองตัวบุคคลตามทะเบียนราษฎร

6.5 API และบริการการศึกษา: การเชื่อมต่อ API ต้องได้รับอนุญาตและจำกัดตามสิทธิของระบบปลายทาง แยกจากการอนุญาต SSO ของผู้ใช้ การจัดสรร MWKsMail, Microsoft Office 365 หรือ Goodnotes Education ใช้ข้อมูลบัญชีและคำขอที่เกี่ยวข้อง ไม่ได้หมายความว่าผู้ให้บริการเหล่านี้ได้รับทะเบียน ผลการเรียน หรือข้อมูลพฤติกรรมทั้งหมด

7. การส่งหรือโอนข้อมูลไปต่างประเทศ

บริการโฮสติ้ง คลาวด์ Google, LINE และผู้ให้บริการดิจิทัลที่สถานศึกษาใช้ อาจเกี่ยวข้องกับผู้รับหรือการประมวลผลนอกประเทศไทยตามบริการและการตั้งค่าที่เลือก สถานศึกษาต้องตรวจสอบผู้รับ ประเทศปลายทาง ผู้ให้บริการช่วง และขอบเขตข้อมูลตามสัญญาที่ใช้จริง โดยเจ้าของข้อมูลสามารถขอรายละเอียดที่เกี่ยวข้องผ่านช่องทางในข้อ 13

เมื่อเข้าข่ายการส่งหรือโอนข้อมูลตามกฎหมาย ต้องพิจารณามาตรฐานการคุ้มครองของประเทศหรือองค์การปลายทาง ข้อยกเว้นที่ใช้ได้ หรือมาตรการคุ้มครองที่ทำให้บังคับใช้สิทธิและมีการเยียวยาที่มีประสิทธิภาพ การเข้ารหัสหรือใช้ผู้ให้บริการที่มีชื่อเสียงเพียงอย่างเดียวไม่ทดแทนกลไกการโอนตามกฎหมาย

8. ระยะเวลาเก็บรักษา การปิดบัญชี และการทำลายข้อมูล

8.1 ข้อมูลทะเบียน ผลการเรียน และเอกสารการศึกษา: เก็บตลอดเวลาที่จำเป็นต่อการจัดการศึกษา การออกหรือรับรองเอกสาร และการตรวจสอบย้อนหลัง รวมถึงหลังพ้นสภาพเมื่อมีหน้าที่ตามกฎหมายหรือระเบียบเอกสารที่ใช้กับข้อมูลประเภทนั้น การเก็บถาวรต้องมีเหตุและประเภทเอกสารที่รองรับเป็นการเฉพาะ

8.2 ข้อมูลบุคลากรและผู้ดำเนินการ: เก็บขณะปฏิบัติหน้าที่ และต่อเท่าที่จำเป็นต่อการตรวจสอบรายการที่บันทึกหรืออนุมัติ การรับรองเอกสาร หน้าที่ตามกฎหมาย หรือสิทธิเรียกร้อง โดยทบทวนความจำเป็นของข้อมูลติดต่อ ข้อมูลรับรอง และข้อมูลอื่นแยกจากประวัติการดำเนินงาน

8.3 บัญชี session และการเชื่อมต่อ: การปิดหรือระงับบัญชีเป็นการยุติสิทธิเข้าใช้ มิใช่การลบข้อมูลทุกระบบ session ผู้ใช้ทั่วไปตั้งค่าเริ่มต้น 3 วันนับจากเวลาเข้าสู่ระบบสำเร็จ โดยอายุคุกกี้และระยะหมดอายุขึ้นกับการตั้งค่าความปลอดภัย พอร์ทัลผู้ปกครองมีอายุไม่เกิน 30 วันและอาจกำหนดสั้นกว่า ทั้งสองกรณีสิ้นสุดก่อนกำหนดได้เมื่อออกจากระบบหรือเพิกถอน ข้อมูลเชื่อม LINE จะถูกนำออกจากบัญชีเมื่อยกเลิกการเชื่อมต่อ ส่วนประวัติเหตุการณ์ที่จำเป็นพิจารณาแยกต่างหาก

8.4 คำขอ ไฟล์แนบ สำเนาส่งออก และบันทึกระบบ: เก็บระหว่างดำเนินเรื่องและตรวจสอบผล และเก็บต่อเฉพาะระยะที่จำเป็นต่อข้อร้องเรียน ความปลอดภัย หรือหน้าที่ตามกฎหมาย สำเนาสำรองต้องอยู่ภายใต้วงรอบเก็บรักษาและการจำกัดสิทธิ เมื่อกู้คืนข้อมูลต้องพิจารณาคำขอลบหรือข้อจำกัดการใช้ที่เคยมีด้วย

8.5 ข้อมูลจราจรทางคอมพิวเตอร์: หากสถานศึกษาเข้าข่ายผู้ให้บริการตามกฎหมายและประกาศที่เกี่ยวข้อง ต้องเก็บข้อมูลจราจรไม่น้อยกว่า 90 วันนับแต่ข้อมูลเข้าสู่ระบบ และข้อมูลระบุตัวผู้ใช้เท่าที่จำเป็นไม่น้อยกว่า 90 วันหลังเลิกใช้บริการ ส่วนการเก็บนานกว่านั้นตามคำสั่งพนักงานเจ้าหน้าที่ต้องอยู่ในเงื่อนไขและเพดานที่มาตรา 26 กำหนด ข้อนี้ไม่ใช้กับข้อมูลทุกประเภทในฐานข้อมูล

8.6 เมื่อพ้นกำหนดหรือข้อมูลหมดความจำเป็นและไม่มีข้อยกเว้นให้เก็บต่อ สถานศึกษามีหน้าที่ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ เจ้าของข้อมูลขอทราบระยะหรือเหตุแห่งการเก็บข้อมูลของตนได้ กฎหมายคุ้มครองข้อมูลส่วนบุคคลไม่ได้กำหนดระยะเก็บข้อมูลนักเรียน 10 ปีหรือบุคลากร 16 ปีเป็นการทั่วไป จึงไม่ใช้ตัวเลขดังกล่าวเป็นเหตุเก็บข้อมูลทุกชนิด

9. คุกกี้ พื้นที่จัดเก็บบนอุปกรณ์ และบริการจากภายนอก

9.1 ระบบใช้คุกกี้สำหรับสถานะเข้าสู่ระบบและความปลอดภัย รวมถึงคุกกี้พอร์ทัลผู้ปกครองตามอายุในข้อ 8 และพื้นที่จัดเก็บของเบราว์เซอร์สำหรับตัวเลือกการแสดงผลหรือสถานะการเห็นประกาศ ผู้ใช้ล้างข้อมูลเหล่านี้ผ่านเบราว์เซอร์ได้ แต่อาจต้องเข้าสู่ระบบหรือตั้งค่าใหม่

9.2 MWKConnect รองรับการเพิ่มทางลัดหรือติดตั้งเป็นเว็บแอป (PWA) บนอุปกรณ์ที่รองรับ โดยใช้แคชส่วนประกอบสาธารณะของเว็บและหน้าสำหรับกรณีออฟไลน์ กลไกดังกล่าวไม่ได้เป็นการอนุญาตให้เผยแพร่ข้อมูลบัญชีหรือเอกสารส่วนบุคคล ผู้ใช้ควรล็อกอุปกรณ์และออกจากระบบเมื่อใช้อุปกรณ์ร่วมกัน

9.3 บางหน้าติดต่อ Cloudflare Turnstile เพื่อช่วยตรวจสอบการใช้งานอัตโนมัติ และโหลดแบบอักษรหรือส่วนประกอบเว็บจากผู้ให้บริการภายนอก การเชื่อมต่อทำให้ผู้ให้บริการได้รับข้อมูลทางเทคนิค เช่น IP Address ข้อมูลเบราว์เซอร์และคำขอเครือข่าย ตามลักษณะบริการ เมื่อใช้บริการยืนยันตัวตน Google หรือ LINE จะมีการติดต่อผู้ให้บริการนั้นด้วย

9.4 หากเพิ่มการติดตามเพื่อโฆษณาหรือการวิเคราะห์ที่ต้องอาศัยความยินยอม ต้องแจ้งวัตถุประสงค์ ผู้รับ และอายุข้อมูล พร้อมขอความยินยอมก่อนดำเนินการ และให้ถอนหรือปฏิเสธได้ การอ้างว่าเป็นคุกกี้ไม่ทำให้ยกเว้นการพิจารณาฐานกฎหมาย

10. การคำนวณอัตโนมัติและการจัดทำสถิติ

ระบบคำนวณผลรวม คะแนน สถานะการศึกษา หรือข้อมูลพฤติกรรมตามข้อมูลและกติกาที่กำหนด บางกระบวนการอาจมีการอนุมัติตามเงื่อนไขอัตโนมัติ ผู้รับผิดชอบต้องตรวจสอบความถูกต้องของข้อมูลและเกณฑ์ และเจ้าของข้อมูลสามารถขอให้หน่วยงานเจ้าของเรื่องตรวจสอบข้อมูลต้นทาง ผลคำนวณ หรือผลกระทบที่เกิดขึ้นได้

การจัดทำรายงานและสถิติต้องจำกัดการระบุตัวบุคคลตามความจำเป็น ข้อมูลที่เพียงแทนชื่อด้วยรหัสแต่ยังเชื่อมกลับไปหาบุคคลได้ยังเป็นข้อมูลส่วนบุคคล หากมีบริการใหม่ที่ส่งข้อความหรือไฟล์ไปประมวลผลโดยผู้ให้บริการอื่น ต้องแจ้งรายละเอียดและมีฐานกฎหมายก่อนดำเนินการ

11. ความมั่นคงปลอดภัยและการจัดการเหตุละเมิด

11.1 ระบบใช้การควบคุมสิทธิตามบัญชี บทบาท ความเกี่ยวข้องกับข้อมูลและขอบเขตหน่วยงาน การเก็บรหัสผ่านแบบแฮช การจัดการ session และการบันทึกกิจกรรมประกอบการตรวจสอบ สถานศึกษามีหน้าที่จัดให้มีมาตรการเชิงองค์กรและเทคนิค รวมถึงทางกายภาพที่จำเป็น ทบทวนสิทธิ ดูแลผู้ประมวลผล และประเมินความเสี่ยงให้เหมาะกับข้อมูลเด็กและข้อมูลอ่อนไหว

11.2 เมื่อทราบหรือได้รับแจ้งเหตุที่อาจเป็นการละเมิด ต้องตรวจสอบข้อเท็จจริงและความเสี่ยงโดยไม่ชักช้า ระงับหรือบรรเทาเหตุ และเก็บหลักฐานเท่าที่จำเป็น หากเหตุมีความเสี่ยงต่อสิทธิและเสรีภาพ ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่เข้าเงื่อนไขยกเว้นตามกฎหมาย หากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย

12. สิทธิของเจ้าของข้อมูลและข้อจำกัดตามกฎหมาย

• ถอนความยินยอม ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 19 สำหรับกิจกรรมที่ใช้ฐานนี้ โดยไม่กระทบการประมวลผลที่ชอบด้วยกฎหมายก่อนถอน
• เข้าถึง รับสำเนา และขอทราบการได้มาของข้อมูลที่ไม่ได้ให้ความยินยอม ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 30 การปฏิเสธต้องมีเหตุตามกฎหมายหรือคำสั่งศาล หรือเป็นกรณีเข้าถึงหรือรับสำเนาที่อาจเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่นตามเงื่อนไขมาตรานี้
• ขอรับหรือโอนข้อมูลโดยวิธีอัตโนมัติ ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 31 เมื่อข้อมูลและฐานประมวลผลเข้าเงื่อนไข สิทธินี้ไม่ครอบคลุมข้อมูลทุกประเภท และมีข้อยกเว้นสำหรับภารกิจสาธารณะ หน้าที่ตามกฎหมาย และสิทธิของบุคคลอื่น
• คัดค้าน ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 32 สำหรับกรณีที่กฎหมายกำหนด เช่น ฐานภารกิจสาธารณะหรือประโยชน์โดยชอบ ทั้งนี้ การปฏิเสธคำคัดค้านต้องแสดงเหตุที่กฎหมายอนุญาต
• ขอลบ ทำลาย หรือทำให้ไม่ระบุตัวบุคคล และขอระงับการใช้ ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 33 และ 34 เมื่อเข้าเงื่อนไข โดยอาจเก็บข้อมูลจำเป็นต่อหน้าที่หรือสิทธิเรียกร้องต่อได้ตามข้อยกเว้น
• ขอแก้ไขให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ทำให้เข้าใจผิด ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 35 และ 36 หากไม่ดำเนินการตามคำขอต้องบันทึกเหตุผลตามกฎหมาย
• ร้องเรียนการฝ่าฝืนกฎหมาย ตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรา 73 ต่อคณะกรรมการผู้เชี่ยวชาญผ่านสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยไม่ต้องรอให้กระบวนการภายในสถานศึกษาเสร็จสิ้นก่อน

การปิดบัญชีหรือถอนความยินยอมไม่ทำให้ผลการเรียน เอกสารการศึกษา หรือหลักฐานที่ยังมีเหตุให้เก็บถูกลบโดยอัตโนมัติ อย่างไรก็ดี สถานศึกษาจะอ้างความจำเป็นโดยรวมเพื่อปฏิเสธข้อมูลทุกชนิดไม่ได้ ต้องพิจารณาเป็นรายข้อมูล และแยกเก็บหรือจำกัดการใช้ในส่วนที่เหมาะสม

13. การยื่นคำขอ การแจ้งเหตุ และช่องทางติดต่อ

ยื่นคำขอที่สถานศึกษาหรือทางอีเมล โดยระบุชื่อ ช่องทางติดต่อ สิทธิที่ต้องการใช้ และข้อมูลหรือรายการที่เกี่ยวข้อง หากยื่นแทนผู้อื่นให้ระบุฐานะและอำนาจดำเนินการ สถานศึกษาอาจขอข้อมูลยืนยันตัวตนเท่าที่จำเป็นต่อความเสี่ยงของคำขอ ไม่ควรส่งรหัสผ่าน รหัสใช้ครั้งเดียว หรือเอกสารที่มีข้อมูลเกินจำเป็น

คำขอเข้าถึงตามมาตรา 30 ที่ไม่มีเหตุปฏิเสธจะดำเนินการโดยไม่ชักช้าและไม่เกิน 30 วันนับแต่ได้รับคำขอ ภายใต้หลักเกณฑ์และการขยายระยะเวลาที่กฎหมายอนุญาต ส่วนสิทธิอื่นใช้ระยะและหลักเกณฑ์ของสิทธินั้น สถานศึกษาต้องแจ้งผล เหตุผลเมื่อไม่สามารถดำเนินการทั้งหมด และช่องทางร้องเรียนที่เกี่ยวข้อง

14. การแก้ไขประกาศและวัตถุประสงค์ใหม่

สถานศึกษาจะทบทวนประกาศเมื่อบริการ ประเภทข้อมูล ผู้รับ หรือกฎหมายเปลี่ยนแปลง โดยแสดงฉบับ วันที่มีผล และแจ้งสาระสำคัญผ่านระบบหรือช่องทางที่เหมาะสม หากจะใช้ข้อมูลต่างจากวัตถุประสงค์เดิม ต้องมีบทกฎหมายอนุญาต หรือแจ้งวัตถุประสงค์ใหม่และขอความยินยอมก่อนดำเนินการตามเงื่อนไขกฎหมาย การใช้งานต่อหรือรับทราบฉบับใหม่ไม่ใช่ความยินยอมสำหรับกิจกรรมที่ต้องขอแยก

15. กฎหมายและแหล่งอ้างอิง

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ราชกิจจานุเบกษา / กรมประชาสัมพันธ์ (PDF)
2. พระราชบัญญัติการศึกษาแห่งชาติ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม — มาตรา 24 และ 26 สำนักงานรับรองมาตรฐานและประเมินคุณภาพการศึกษา (องค์การมหาชน) — เอกสารกฎหมายการศึกษา
3. พระราชบัญญัติคุ้มครองเด็ก พ.ศ. 2546 กรมกิจการเด็กและเยาวชน (PDF)
4. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ซึ่งแก้ไขเพิ่มเติมโดยฉบับที่ 2 พ.ศ. 2560 สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (PDF ฉบับรวม)
5. ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง หลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2564 ราชกิจจานุเบกษา / สำนักงานพัฒนาวิทยาศาสตร์และเทคโนโลยีแห่งชาติ (PDF)
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ราชกิจจานุเบกษา / กรมที่ดิน (PDF)
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ราชกิจจานุเบกษา / กรมที่ดิน (PDF)

ลิงก์กฎหมายเปิดในหน้าต่างใหม่ การอ้างอิงใช้ประกอบคำอธิบายข้างต้น โดยต้องพิจารณาข้อเท็จจริง ตัวบท ข้อยกเว้น และกฎหมายลำดับรองที่มีผลใช้บังคับร่วมกัน ข้อความในเอกสารนี้ไม่เพิ่มอำนาจให้สถานศึกษาเกินกฎหมาย และไม่ตัดสิทธิที่กฎหมายรับรอง