ระบบการจัดการความปลอดภัยของข้อมูล

การปฏิบัติตามนโยบายความเป็นส่วนตัว (Privacy Policy Compliance)

เอ็กโก กรุ๊ป ได้จัดทำแนวปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Procedure) เพื่อใช้เป็นแนวทางในการรักษาข้อมูลส่วนบุคคลของหุ้นส่วน คู่ค้า พันธมิตรทางธุรกิจ พนักงาน และผู้มีส่วนได้เสียที่เป็นไปตามนโยบายการคุ้มครองข้อมูลส่วนบุคคลขององค์กร (Personal Data Protection Policy) และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลปี 2562 ซึ่งสอดคล้องกับการประเมินความเสี่ยงของเอ็กโก กรุ๊ป โดยผู้รับผิดชอบที่เกี่ยวข้องกับการจัดการข้อมูลส่วนบุคคลจะได้รับคำแนะนำเกี่ยวกับกฎหมายที่เกี่ยวข้องและกรณีศึกษาที่เกิดขึ้น รวมถึงขั้นตอนการดำเนินงานในสถานการณ์ต่าง ๆ เพื่อให้ผู้รับผิดชอบสามารถรวบรวม ใช้งาน จัดการ เปิดเผย หรือกำจัดข้อมูลตามมาตรฐานที่อยู่ภายใต้การบังคับใช้ของกฎหมาย และเพื่อให้การดำเนินงานขององค์กรมีความมั่นคง ปลอดภัย น่าเชื่อถือ พร้อมทั้งรักษาความปลอดภัยให้เจ้าของข้อมูลส่วนบุคคล

แนวปฏิบัติตามกฏหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

เพื่อให้มั่นใจว่า เอ็กโก กรุ๊ป มีการคุ้มครองความเป็นส่วนตัวของข้อมูลที่น่าเชื่อถือและสอดคล้องกับนโยบายความเป็นส่วนตัว (Privacy Policy) ขององค์กร เอ็กโก กรุ๊ป จึงได้ดำเนินการตรวจสอบเรื่องความเป็นส่วนตัวของข้อมูล โดยฝ่ายตรวจสอบภายในขององค์กรและผู้ตรวจสอบจากภายนอก

การตรวจสอบภายใน (Internal Audits of the Privacy Policy Compliance) ฝ่ายตรวจสอบภายในขององค์กร (Internal Audit Division) จะตรวจสอบความเพียงพอและความเหมาะสม ของระบบการควบคุมภายใน รวมถึงติดตามการปฏิบัติตามนโยบายความเป็นส่วนตัว (Privacy Policy Compliance) อย่างสม่ำเสมอเพื่อเป็นการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (PDPA) และรายงานผลการตรวจสอบไปยังคณะกรรมการตรวจสอบ (Audit Committee) เพื่อขอการอนุมัติก่อนนำเสนอให้คณะกรรมการบริษัทรับทราบต่อไป

ในปี 2568 ฝ่ายตรวจสอบภายในได้ปฏิบัติงานตรวจสอบภายในการปฏิบัติตามกฎหมาย PDPA ครอบคลุม 30 หน่วยงานของเอ็กโก กรุ๊ป โดยการตรวจสอบภายในครอบคลุมถึงการบริหารจัดการข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยทางสารสนเทศของ เอ็กโก กรุ๊ป และการติดตามการปรับปรุงแก้ไขตามข้อเสนอแนะจากรายงานผลการตรวจสอบกระบวนการบริหารจัดการ ข้อมูลส่วนบุคคล (PDPA) โดยบริษัท อัลฟ่าเซค จำกัด (ALPHASEC Company Limited)

สรุปข้อสังเกตจากการตรวจสอบภายในเพื่อการปรับปรุงระบบการควบคุมภายใน:

• การติดตามผลการปรับปรุงแก้ไขตามข้อเสนอแนะของที่ปรึกษา
• การตรวจติดตามการดำเนินการให้เป็นไปตามนโยบายของ เอ็กโก กรุ๊ป และการควบคุมผู้รับจ้างให้ปฏิบัติตามสัญญาการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement DPA)
• แนวปฏิบัติในการกำหนดหลักเกณฑ์ด้านการแจ้งเหตุละเมิดตามประกาศของกฎหมาย
• การจัดเก็บข้อมูลส่วนบุคคลตามแนวปฏิบัติ
• การรับรู้และประสบการณ์ของพนักงาน เกี่ยวกับนโยบายและแนวปฏิบัติ PDPA ของ เอ็กโก กรุ๊ป มีระดับการรับรู้ในเกณฑ์ที่ดี

การตรวจสอบภายนอก เอ็กโก กรุ๊ป กำหนดให้การดำเนินงานได้รับการประเมินการดำเนินงานโดยผู้เชี่ยวชาญภายนอกทุกสามปี โดยในปี 2568 เอ็กโก กรุ๊ป ได้ว่าจ้างบริษัท อัลฟ่าเซค จำกัด (ALPHASEC Company Limited) ซึ่งเป็นหน่วยงานรับรองภายนอก เพื่อดำเนินการตรวจสอบและประเมินแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล โดยครอบคลุมด้านองค์กรและการกำกับดูแล ด้านนโยบายและแนวตอนปฏิบัติ ด้านการอบรมและการสร้างความตระหนักรู้ ด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล ด้านการแจ้งวัตถุประสงค์และความโปร่งใส ด้านการจัดทำบันทึกรายการและฐานทางกฎหมาย ด้านการเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอกหรือต่างประเทศ ด้านความเสี่ยงและการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล ด้านมาตรการรักษาความมั่นคงปลอดภัย และด้านการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล โดยขอบเขตการตรวจสอบครอบคลุมทุกหน่วยงานของ เอ็กโก กรุ๊ป และกระบวนการตรวจสอบใช้ระยะเวลาทั้งหมดสองเดือน

ผลการตรวจประเมินพบว่าแนวปฏิบัติและมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลของ เอ็กโก กรุ๊ป โดยภาพรวมสอดคล้องกับกฎหมายของประเทศไทย อย่างไรก็ตาม ผู้ตรวจประเมินได้ให้ข้อสังเกตและข้อเสนอแนะเพื่อยกระดับประสิทธิภาพแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลของ เอ็กโก กรุ๊ป ในประเด็นโครงสร้างการกำกับดูแล โครงการฝึกอบรม การประมวลผลข้อมูลส่วนบุคคล และการจัดทำนโยบายหรือขั้นตอนปฏิบัติสำหรับการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

นอกจากนี้ เอ็กโก กรุ๊ป ได้จัดให้มีการทวนสอบความปลอดภัยของข้อมูลเป็นประจำทุกปี โดยเป็นส่วนหนึ่งของการรับรองข้อมูลตามเกณฑ์ของมาตรฐาน Global Reporting Initiative (GRI) โดยหน่วยงานอิสระจากภายนอก (External Independent Assurance) ว่าด้วยรายงานการร้องเรียนที่มีหลักฐานเกี่ยวกับการละเมิดความเป็นส่วนตัวของลูกค้าและการสูญเสียข้อมูลของลูกค้า (GRI 418-1) (Substantiated Complaints Concerning Breaches of Customer Privacy and Losses of Customer Data) เพื่อตรวจสอบระดับการปฏิบัติตามมาตรการและข้อกำหนดของกฎระเบียบต่าง ๆ ภายใน เอ็กโก กรุ๊ป