คำสั่งและประกาศใช้Order and adoption
OFFICIAL-ORDERคำสั่งโรงเรียนสุมณฑาศึกษา
เรื่อง ประกาศใช้นโยบายคุ้มครองข้อมูลส่วนบุคคล โรงเรียนสุมณฑาศึกษา (ฉบับแก้ไข พ.ศ. 2569)
โดยที่โรงเรียนมีหน้าที่จัดการศึกษา ดูแลความปลอดภัยและสวัสดิภาพของนักเรียน บริหารบุคลากร การเงิน ระบบสารสนเทศ การสื่อสาร และกิจกรรม ซึ่งจำเป็นต้องประมวลผลข้อมูลของนักเรียน ผู้ปกครอง ครู บุคลากร ผู้สมัคร คู่ค้า ผู้มาติดต่อ และบุคคลอื่นที่เกี่ยวข้อง
- ให้ประกาศใช้นโยบายฉบับแก้ไขตามรายละเอียดในหน้าเว็บและเอกสารแนบท้ายคำสั่ง
- ให้ทุกฝ่ายจัดทำบัญชีข้อมูล วัตถุประสงค์ ฐานกฎหมาย ผู้รับข้อมูล ระยะเวลาเก็บ และมาตรการความปลอดภัย
- ให้ฝ่ายวิชาการ ฝ่ายงบประมาณและแผน ฝ่ายบริหารงานบุคลากร และฝ่ายบริหารงานทั่วไป กำหนดผู้ประสานงานด้านข้อมูลส่วนบุคคล
- ห้ามบุคลากรใช้ข้อมูลเพื่อประโยชน์ส่วนตัว เปิดเผยผ่านบัญชีส่วนตัว หรือส่งผ่านช่องทางที่โรงเรียนไม่อนุมัติ เว้นแต่มีฐานกฎหมายและอำนาจหน้าที่
- ให้หน่วยงานเทคโนโลยีสารสนเทศใช้สิทธิแบบน้อยที่สุด การยืนยันตัวตน การบันทึกเหตุการณ์ การสำรองข้อมูล และการทดสอบกู้คืน
- ให้มีระบบรับคำขอใช้สิทธิ ร้องเรียน และจัดการเหตุละเมิด รวมถึงแจ้งสำนักงาน PDPC ภายใน 72 ชั่วโมงเมื่อกฎหมายกำหนด
- ให้ผู้อำนวยการหรือผู้ได้รับมอบหมายเป็นผู้รักษาการและออกแนวปฏิบัติเพิ่มเติมที่ไม่ขัดต่อกฎหมาย
สั่ง ณ วันที่ 22 กรกฎาคม พ.ศ. 2569
ลงชื่อ ............................................................
(............................................................)
ผู้อำนวยการโรงเรียนสุมณฑาศึกษา / ผู้มีอำนาจลงนาม
Order of Sumontrasuksa School
Subject: Adoption of the Sumontrasuksa School Personal Data Protection Policy (Revised Edition 2026)
The School provides education, safeguards student welfare and administers personnel, finance, information systems, communications and activities, requiring processing of data relating to students, parents, personnel, applicants, vendors, visitors and others.
- The revised Policy set out on this page and in the annex is adopted.
- Every division shall maintain an inventory of data, purposes, legal bases, recipients, retention and safeguards.
- The four School divisions shall designate privacy coordinators.
- Personnel must not use School data for personal benefit, disclose it through personal accounts or transmit it through unapproved channels without authority and a legal basis.
- IT shall apply least privilege, authentication, logging, backups and recovery testing.
- The School shall maintain rights-request, complaint and breach processes, including PDPC notification within 72 hours where required.
- The School Director or delegate oversees implementation and may issue lawful supplementary procedures.
Ordered on 22 July 2026
Signed ............................................................
(............................................................)
School Director / Authorized Signatory
รายละเอียดนโยบายPolicy details
12 MODULES01วัตถุประสงค์และขอบเขตPurpose and scopeบุคคล ระบบ อุปกรณ์ และกิจกรรมที่อยู่ภายใต้นโยบายPersons, systems, devices and activities covered by the Policy.+
- ใช้กับข้อมูลที่โรงเรียนเก็บ ใช้ เปิดเผย ส่ง โอน เก็บรักษา หรือลบ ทั้งเอกสารและดิจิทัล
- ครอบคลุมนักเรียน ผู้สมัคร ศิษย์เก่า ผู้ปกครอง ครู บุคลากร ผู้สมัครงาน กรรมการ วิทยากร คู่ค้า ผู้รับจ้าง ผู้มาติดต่อ และผู้ใช้ระบบ
- ครอบคลุมระบบทะเบียน การเงิน ห้องพยาบาล ระบบช่วยเหลือนักเรียน CCTV เว็บไซต์ แอป อีเมล สื่อสังคม กิจกรรมนอกสถานที่ AI และคลาวด์ที่อนุมัติ
- Applies to data collected, used, disclosed, transferred, retained or deleted in paper or digital form.
- Covers students, applicants, alumni, parents, teachers, personnel, job applicants, committee members, speakers, vendors, contractors, visitors and system users.
- Covers registration, finance, health-room and student-support systems, CCTV, websites, apps, email, social media, off-site activities and approved AI/cloud services.
02คำนิยามสำคัญKey definitionsข้อมูลส่วนบุคคล ข้อมูลอ่อนไหว ผู้ควบคุม และผู้ประมวลผลPersonal data, sensitive data, controller and processor.+
- ข้อมูลส่วนบุคคล คือข้อมูลเกี่ยวกับบุคคลที่ทำให้ระบุตัวได้โดยตรงหรือโดยอ้อม ไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
- ข้อมูลอ่อนไหว รวมเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม สุขภาพ ความพิการ สหภาพแรงงาน พันธุกรรม และชีวภาพ
- ผู้ควบคุมข้อมูล คือโรงเรียนในส่วนที่กำหนดวัตถุประสงค์และวิธีการ ส่วนผู้ประมวลผลทำตามคำสั่งโรงเรียน
- เหตุละเมิด คือการสูญหาย ทำลาย เปลี่ยนแปลง เข้าถึง ใช้ หรือเปิดเผยโดยไม่ได้รับอนุญาต
- Personal data is information relating to an identifiable person, excluding information relating solely to a deceased person.
- Sensitive data includes race, ethnicity, political opinions, religion, sexual behaviour, criminal records, health, disability, trade-union information, genetic and biometric data.
- The controller determines purposes and means; a processor acts on School instructions.
- A breach is unauthorized loss, destruction, alteration, access, use or disclosure.
03โครงสร้างกำกับดูแลและความรับผิดชอบGovernance and responsibilityผู้บริหาร ผู้ประสานงาน ผู้ดูแลระบบ และผู้ใช้งานข้อมูลManagement, coordinators, administrators and data users.+
- คณะกรรมการบริหารกำหนดนโยบาย ผู้อำนวยการเป็นผู้รักษาการและจัดสรรทรัพยากร
- แต่ละฝ่ายต้องมีเจ้าของกระบวนงานและผู้ประสานงานข้อมูลส่วนบุคคล
- ผู้ดูแลระบบใช้สิทธิเท่าที่จำเป็น มีบันทึกการเข้าถึง และห้ามเข้าดูข้อมูลเกินหน้าที่
- บุคลากรทุกคนต้องรักษาความลับ ใช้ข้อมูลเฉพาะหน้าที่ และรายงานเหตุทันที
- แต่งตั้ง DPO เมื่อเข้าเงื่อนไขตามกฎหมาย หรือกำหนดผู้ประสานงานกลาง
- The Management Committee sets policy; the Director oversees implementation and resources.
- Each division designates a process owner and privacy coordinator.
- Administrators use least privilege, maintain access logs and must not view data beyond duty.
- All personnel preserve confidentiality, use data only for duty and report incidents immediately.
- A DPO is appointed where legally required, otherwise a central privacy coordinator is designated.
04ประเภทข้อมูลที่ประมวลผลCategories of personal dataข้อมูลระบุตัว การศึกษา สุขภาพ การเงิน เทคโนโลยี ภาพและเสียงIdentity, education, health, finance, technology, image and audio data.+
IDENTITY
ชื่อ วันเกิด รูป ที่อยู่ โทรศัพท์ อีเมล เลขนักเรียน และข้อมูลผู้ปกครอง
Name, birth date, photo, address, phone, email, student ID and parent details.
EDUCATION
สมัคร เข้าเรียน ผลการเรียน พฤติกรรม ผลงาน การประเมิน และการสำเร็จการศึกษา
Applications, attendance, grades, behaviour, work, assessments and graduation.
HEALTH
โรคประจำตัว แพ้ยา ความพิการ อุบัติเหตุ การช่วยเหลือ และคุ้มครองเด็ก
Medical conditions, allergies, disability, accidents, support and child protection.
FINANCE
ค่าธรรมเนียม ใบเสร็จ บัญชีธนาคาร เงินอุดหนุน ทุน และสัญญา
Fees, receipts, bank data, subsidies, scholarships and contracts.
TECH
บัญชี IP address log อุปกรณ์ คุกกี้ และบันทึกความปลอดภัย
Accounts, IP addresses, logs, devices, cookies and security records.
MEDIA
CCTV ภาพ เสียง วิดีโอ ไลฟ์ และตำแหน่งเมื่อจำเป็น
CCTV, images, audio, video, livestreams and necessary location data.
05วัตถุประสงค์และฐานกฎหมายPurposes and legal basesการศึกษา ความปลอดภัย สัญญา หน้าที่ตามกฎหมาย และประโยชน์โดยชอบEducation, safety, contract, legal duties and legitimate interests.+
- รับสมัคร ลงทะเบียน จัดการเรียน วัดผล ออกเอกสาร และดูแลนักเรียน: สัญญา ขั้นตอนก่อนสัญญา หน้าที่ตามกฎหมาย และประโยชน์โดยชอบ
- สุขภาพ ความปลอดภัย สวัสดิภาพ และคุ้มครองเด็ก: ประโยชน์สำคัญต่อชีวิต หน้าที่ตามกฎหมาย และข้อยกเว้นข้อมูลสุขภาพ
- การเงิน บัญชี ภาษี เงินอุดหนุน และตรวจสอบ: สัญญาและหน้าที่ตามกฎหมาย
- บุคลากร การสรรหา การจ้าง และสวัสดิการ: สัญญา หน้าที่ตามกฎหมาย และประโยชน์โดยชอบ
- ประชาสัมพันธ์หรือการตลาดที่ไม่จำเป็นต่อการศึกษา: ความยินยอมหรือประโยชน์โดยชอบหลังประเมินผลกระทบ
- Admissions, registration, teaching, assessment, certification and administration: contract, pre-contract steps, legal obligation and legitimate interests.
- Health, safety, welfare and child protection: vital interests, legal duties and applicable health-data exceptions.
- Finance, accounting, tax, subsidies and audit: contract and legal obligation.
- Recruitment, employment and benefits: contract, legal obligation and legitimate interests.
- Non-essential publicity or marketing: consent or legitimate interests after a balancing assessment.
06ข้อมูลของเด็กและผู้เยาว์Children's and minors' dataประโยชน์สูงสุดของเด็กและความยินยอมที่ชอบด้วยกฎหมายBest interests and legally valid consent.+
- ยึดประโยชน์สูงสุด ความปลอดภัย ศักดิ์ศรี และพัฒนาการของเด็ก
- แจ้งข้อมูลด้วยภาษาที่เหมาะสมกับวัยและเข้าใจง่าย
- เมื่ออาศัยความยินยอม ให้ดำเนินการตามมาตรา 20 และขอจากผู้ใช้อำนาจปกครองเมื่อกฎหมายกำหนด
- เด็กอายุต่ำกว่า 10 ปี ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครอง
- รับฟังความเห็นของเด็กตามวัยและวุฒิภาวะ
- ห้ามเผยแพร่ข้อมูลระบุตัวเด็กในคดี ความรุนแรง สุขภาพ หรือการคุ้มครองเด็กโดยไม่มีฐานกฎหมายและมาตรการเข้มงวด
- Prioritize the child's best interests, safety, dignity and development.
- Provide age-appropriate and understandable privacy information.
- Where consent is required, comply with section 20 and obtain parental-authority consent where required.
- For children under ten, consent must come from the person exercising parental responsibility.
- Consider the child's views according to age and maturity.
- Do not publish identifying information in violence, health, legal or child-protection cases without a legal basis and strict safeguards.
07ข้อมูลอ่อนไหวSensitive personal dataสุขภาพ ความพิการ ชีวภาพ ศาสนา และประวัติอาชญากรรมHealth, disability, biometric, religion and criminal-record data.+
- ประมวลผลเฉพาะเมื่อจำเป็นและมีฐานตามกฎหมาย เช่น ความยินยอมโดยชัดแจ้ง ชีวิต/สุขภาพ การแพทย์ แรงงาน สวัสดิการ หรือสิทธิเรียกร้อง
- ข้อมูลสุขภาพเข้าถึงได้เฉพาะผู้มีหน้าที่และผู้จำเป็นต้องทราบ
- ชีวภาพสำหรับยืนยันตัวตนหรือเช็กชื่อต้องประเมินความจำเป็น ผลกระทบ และทางเลือกอื่น
- ข้อมูลศาสนาเก็บเฉพาะเมื่อจำเป็นต่อบริการที่ร้องขอหรือกฎหมายกำหนด
- ประวัติอาชญากรรมใช้ภายใต้การควบคุมหรือมาตรการที่กฎหมายกำหนด
- Process only where necessary and legally permitted, including explicit consent, vital/health interests, medical, labour, welfare or legal-claims grounds.
- Health data is limited to care personnel and strict need-to-know access.
- Biometric attendance or authentication requires necessity, impact and alternatives assessment.
- Religion data is collected only for requested services or legal requirements.
- Criminal records require competent-authority control or legally required safeguards.
08การเปิดเผย ผู้รับข้อมูล และการโอนDisclosure, recipients and transfersหน่วยงานรัฐ ผู้ให้บริการ คู่สัญญา ผู้ปกครอง และต่างประเทศAuthorities, providers, vendors, parents and international transfers.+
- อาจเปิดเผยแก่หน่วยงานการศึกษา รัฐ สาธารณสุข บริษัทประกัน ผู้ตรวจสอบ ธนาคาร ผู้ให้บริการระบบ คลาวด์ การชำระเงิน ขนส่ง อาหาร กิจกรรม และคู่สัญญาเท่าที่จำเป็น
- ผู้ประมวลผลต้องมีสัญญากำหนดคำสั่ง ความลับ ความปลอดภัย การแจ้งเหตุ การคืน/ลบ และการตรวจสอบ
- ผู้ปกครองได้รับข้อมูลของบุตรตามสิทธิ แต่ไม่มีสิทธิได้รับข้อมูลนักเรียนอื่น
- โรงเรียนไม่ขายข้อมูลและไม่ให้คู่ค้าใช้เพื่อโฆษณาของตนโดยไม่มีฐานกฎหมาย
- การโอนไปต่างประเทศต้องประเมินมาตรฐานปลายทาง สัญญา การเข้ารหัส และกลไกตามกฎหมาย
- Data may be shared with education, government and health authorities, insurers, auditors, banks, system/cloud, payment, transport, food and event providers, and other vendors where necessary.
- Processors require agreements covering instructions, confidentiality, security, incident reporting, deletion/return and audit.
- Parents receive their child's data according to their rights, not another student's data.
- The School does not sell data or permit vendor advertising use without a legal basis.
- International transfers require assessment of destination standards, contracts, encryption and legal transfer mechanisms.
09เว็บไซต์ คุกกี้ CCTV สื่อสังคม และ AIWebsites, cookies, CCTV, social media and AIกติกาเฉพาะสำหรับเทคโนโลยีและสื่อดิจิทัลSpecific rules for technology and digital media.+
COOKIES
คุกกี้จำเป็นใช้เพื่อความปลอดภัยและการทำงาน ส่วนวิเคราะห์หรือการตลาดขอความยินยอมเมื่อกฎหมายกำหนดและถอนง่าย
Necessary cookies support security and operation; analytics or marketing cookies require consent where applicable and easy withdrawal.
CCTV
มีป้ายแจ้งก่อนเข้าพื้นที่ ใช้เพื่อความปลอดภัย ไม่ติดในพื้นที่ส่วนตัว และไม่บันทึกเสียงเว้นแต่จำเป็นและชอบด้วยกฎหมาย
Prior notice is displayed; CCTV is for safety, not private areas, and no audio unless necessary and lawful.
SOCIAL
บัญชีทางการต้องมีผู้ดูแลที่ได้รับมอบหมาย ตรวจสอบสิทธิก่อนเผยแพร่ และไม่จัดการเหตุอ่อนไหวในที่สาธารณะ
Official accounts require authorized admins, permission checks and non-public handling of sensitive incidents.
AI
ต้องมีมนุษย์กำกับ ตรวจสอบความถูกต้อง อคติ ลิขสิทธิ์ และความลับ ห้ามตัดสินผลสำคัญของนักเรียนด้วยระบบอัตโนมัติเพียงอย่างเดียว
Human oversight, accuracy, bias, copyright and confidentiality checks are required; significant student decisions cannot be solely automated.
10การเก็บรักษา การลบ และการทำลายRetention, deletion and destructionอายุข้อมูล การพักใช้ การเก็บถาวร และการทำลายที่ตรวจสอบได้Retention periods, legal holds, archives and auditable destruction.+
- กำหนดระยะเวลาจากกฎหมาย วัตถุประสงค์ สิทธิเรียกร้อง ความเสี่ยง และคุณค่าทางประวัติศาสตร์
- ข้อมูลหมดความจำเป็นต้องลบ ทำลาย หรือทำให้ไม่ระบุตัว
- ข้อพิพาท การตรวจสอบ หรือคำสั่งหน่วยงานอาจพักการลบเฉพาะข้อมูลที่เกี่ยวข้อง
- เอกสารและข้อมูลดิจิทัลต้องทำลายอย่างปลอดภัย รวมระบบหลัก สำรอง และอุปกรณ์
- ระเบียนถาวรต้องจำกัดการเข้าถึงและใช้เพื่อวัตถุประสงค์เหมาะสม
- Retention is based on law, purpose, claims, risk and archival value.
- Data no longer needed must be deleted, destroyed or irreversibly anonymized.
- Disputes, audits or authority orders may suspend deletion only for relevant data.
- Paper and digital data must be securely destroyed across primary systems, backups and devices.
- Permanent records require restricted access and appropriate use.
11มาตรการความมั่นคงปลอดภัยและเหตุละเมิดSecurity and breach responseมาตรการเชิงบริหาร เทคนิค กายภาพ และการแจ้งเหตุ 72 ชั่วโมงAdministrative, technical, physical controls and 72-hour notification.+
ADMIN
นโยบาย บัญชีข้อมูล ประเมินความเสี่ยง อบรม ตรวจสอบ และแผนตอบสนองเหตุ
Policies, inventories, risk assessments, training, audits and incident plans.
TECH
least privilege, MFA, encryption, logging, patching, backup, malware protection และ segmentation
Least privilege, MFA, encryption, logging, patching, backups, malware protection and segmentation.
PHYSICAL
ควบคุมพื้นที่ ตู้เอกสาร ห้องเซิร์ฟเวอร์ การขนส่ง การทำลาย และอุปกรณ์
Area controls, cabinets, server rooms, transport, destruction and device management.
12สิทธิ คำขอ และการร้องเรียนRights, requests and complaintsถอนความยินยอม เข้าถึง แก้ไข โอน คัดค้าน ลบ จำกัด และร้องเรียนWithdrawal, access, correction, portability, objection, erasure, restriction and complaint.+
WITHDRAW
ถอนความยินยอม
Withdraw consent.
ACCESS
เข้าถึงและขอสำเนา
Access and copies.
RECTIFY
แก้ไขข้อมูล
Rectification.
PORT
ขอโอนข้อมูล
Portability.
OBJECT
คัดค้าน
Object.
ERASE
ลบหรือทำลาย
Erasure.
RESTRICT
จำกัดการใช้
Restriction.
COMPLAIN
ร้องเรียน
Complaint.
วงจรการจัดการข้อมูลPersonal-data lifecycle
DATA-LIFECYCLEMINIMIZATION
เก็บเฉพาะข้อมูลที่จำเป็น
Collect only necessary data.
ACCURACY
ถูกต้อง ครบถ้วน เป็นปัจจุบัน
Accurate, complete and current.
SECURITY
มาตรการตามความเสี่ยง
Risk-based safeguards.
ACCOUNTABILITY
มีผู้รับผิดชอบและหลักฐาน
Ownership and evidence.
ตารางระยะเวลาเก็บรักษาRetention schedule
RETENTION| ประเภทข้อมูลRecord category | ระยะเวลามาตรฐานStandard retention |
|---|---|
| ระเบียนนักเรียนหลัก ใบแสดงผล และหลักฐานสำเร็จการศึกษาCore student registers, transcripts and graduation evidence | เก็บถาวรหรือเป็นไปตามกฎหมายการศึกษาPermanent or as required by education law |
| แฟ้มการเรียน การเข้าเรียน พฤติกรรม และการช่วยเหลือนักเรียนLearning, attendance, behaviour and support records | 10 ปีหลังพ้นสภาพนักเรียน10 years after leaving |
| ข้อมูลสุขภาพ อุบัติเหตุ และการพยาบาลHealth, accident and first-aid records | 10 ปีหลังพ้นสภาพหรือหลังเหตุสิ้นสุด10 years after leaving or incident closure |
| ผู้สมัครเรียนหรือสมัครงานที่ไม่รับเข้าUnsuccessful admission/job applicants | 2 ปีหลังปิดกระบวนการ2 years after process closure |
| ข้อมูลบุคลากรและสัญญาจ้างPersonnel data and employment contracts | 10 ปีหลังสิ้นสุดการจ้าง10 years after employment ends |
| การเงิน บัญชี ภาษี ใบเสร็จ และเงินอุดหนุนFinance, accounting, tax, receipts and subsidy records | 10 ปีหลังสิ้นรอบบัญชีหรือโครงการ10 years after fiscal period or project |
| CCTV | ไม่เกิน 90 วัน เว้นแต่เกี่ยวข้องกับเหตุNo more than 90 days unless related to an incident |
| บันทึกผู้มาติดต่อและการเข้าอาคารVisitor and building-access logs | 1 ปี1 year |
| บันทึกเว็บไซต์และจราจรคอมพิวเตอร์Website access and computer-traffic logs | อย่างน้อย 90 วัน หรือตามกฎหมาย/คำสั่งAt least 90 days or as legally ordered |
| คำขอใช้สิทธิ ความยินยอม และข้อร้องเรียนRights requests, consent and complaints | 5 ปีหลังปิดเรื่อง5 years after closure |
| เอกสารคู่ค้าและผู้รับจ้างVendor and contractor records | 10 ปีหลังสิ้นสุดสัญญา10 years after contract termination |
แบบคำขอใช้สิทธิData-subject rights request
REQUESTช่องทางติดต่อและร้องเรียนContact and complaints
CONTACTผู้ควบคุมข้อมูลส่วนบุคคลData controller
โรงเรียนสุมณฑาศึกษา / Sumontrasuksa School
เลขที่ 2 หมู่ที่ 2 ถนนสุมณฑา ตำบลท่ายาง อำเภอทุ่งใหญ่ จังหวัดนครศรีธรรมราช 80240
2 Moo 2, Sumontha Road, Tha Yang, Thung Yai, Nakhon Si Thammarat 80240, Thailand
Tel: 075-489-237
Email: info@sumontarsuksa.ac.th
PDPC THAILAND
เจ้าของข้อมูลมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเมื่อเห็นว่าการประมวลผลฝ่าฝืนกฎหมาย
A data subject may complain to the PDPC Office where processing is believed to violate applicable law.