ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดระบบและข้อกำหนดเพื่อประมวลผลข้อมูล

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง
หลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดระบบและข้อกำหนดเพื่อประมวลผลข้อมูล[๑]

คณะกรรมการคุ้มครองข้อมูลเครดิตอาศัยอำนาจตามความในมาตรา
๑๗ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕ กำหนดหลักเกณฑ์
วิธีการ และเงื่อนไข สำหรับบริษัทข้อมูลเครดิตในการประมวลผลข้อมูลเครดิต ดังนี้

ข้อ ๑ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบจำแนกข้อมูล คือ
(๑)
ข้อเท็จจริงที่บ่งชี้ถึงตัวลูกค้าที่ขอสินเชื่อ
(๒) ประวัติการได้รับอนุมัติสินเชื่อ
(๓) ประวัติการชำระสินเชื่อและการชำระราคาสินค้าหรือบริการโดยบัตรเครดิต
(๔)
ข้อมูลที่บ่งชี้ถึงตัวสมาชิกผู้ให้ข้อมูลหรือเจ้าของข้อมูล

ข้อ ๒  เพื่อให้ข้อมูลมีความทันสมัยอยู่เสมอ
บริษัทข้อมูลเครดิตต้องกำหนดระเบียบปฏิบัติเพื่อให้สมาชิกแจ้งข้อมูลที่มีการเปลี่ยนแปลงให้บริษัทข้อมูลเครดิตทราบ
โดยเมื่อตรวจสอบพบความไม่ทันสมัย
ต้องแจ้งต่อสมาชิกผู้ส่งข้อมูลดังกล่าวเพื่อดำเนินการแก้ไขโดยทันที

ข้อ ๓ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบการแก้ไขข้อมูลให้มีความถูกต้อง
โดยเมื่อตรวจสอบพบความไม่ถูกต้อง
ต้องแจ้งต่อสมาชิกผู้ส่งข้อมูลดังกล่าวเพื่อดำเนินการแก้ไขโดยทันที

ข้อ ๔ 
บริษัทข้อมูลเครดิตต้องมีระบบรักษาความลับและความปลอดภัยของข้อมูลเพื่อป้องกันไม่ให้มีการนำข้อมูลไปใช้ผิดวัตถุประสงค์ของการประกอบธุรกิจข้อมูลเครดิตและไม่ให้ผู้ไม่มีสิทธิได้รับรู้ข้อมูลได้ล่วงรู้ข้อมูลดังกล่าว
รวมทั้งระบบป้องกันไม่ให้ข้อมูลถูกแก้ไข ทำให้เสียหายหรือถูกทำลายโดยไม่ชอบหรือโดยไม่ได้รับอนุญาตอย่างน้อย
ดังนี้
(๑)
กำหนดให้สมาชิกหรือผู้ใช้บริการต้องมีระบบยืนยันผู้ใช้ โดยอย่างน้อยต้องกำหนดให้มี
รหัสผู้ใช้งาน (User
ID) และ รหัสผ่านเพื่อการใช้งาน
(Password) เพื่อป้องกันการเรียกดูข้อมูลโดยไม่ได้รับอนุญาต
หรือโดยบุคคลที่ไม่เกี่ยวข้อง
(๒) การเข้าถึง
และ/หรือแก้ไขข้อมูลของสมาชิกหรือผู้ใช้บริการทุกครั้ง
ต้องมีระบบบันทึกและยืนยันไว้เพื่อเป็นหลักฐานที่อ้างอิงได้
(๓) คอมพิวเตอร์ หรืออุปกรณ์ หรือเครื่องมือใด ๆ
ทุกชนิด ที่เชื่อมต่อกับฐานข้อมูลของบริษัทข้อมูลเครดิตไม่ว่าจะใช้สายหรือไร้สาย
จะต้องได้รับการออกแบบติดตั้งระบบรักษาความปลอดภัยและมีระบบเตือนภัย (Alert
report) เพื่อป้องกันการดักหรือลักลอบดูหรือโจรกรรมข้อมูล
หรือก่อความเสียหายที่อาจจะเกิดขึ้นหรือเกิดแก่ข้อมูล
และ/หรือฐานข้อมูลของบริษัทข้อมูลเครดิต นอกจากนี้
ต้องมีระเบียบปฏิบัติให้ผู้ที่เกี่ยวข้องมีการทดสอบ
หรือใช้ระบบรักษาความปลอดภัยดังกล่าวตามกำหนดเวลาที่ชัดเจนและเคร่งครัด

ข้อ ๕ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบการขอใช้ข้อมูลและระบบการรายงานข้อมูลตามปกติ
โดยอย่างน้อยต้องประกอบด้วย คู่มือการใช้งาน เพื่ออำนวยความสะดวกให้กับสมาชิกหรือผู้ใช้บริการ

ข้อ ๖ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบในการอำนวยความสะดวกให้กับเจ้าของข้อมูลในการตรวจสอบข้อมูลเครดิต
โดยบริษัทข้อมูลเครดิตต้องประกาศกำหนดวันและเวลาที่เจ้าของข้อมูลจะสามารถขอตรวจสอบข้อมูลเครดิตได้ตามความเหมาะสม

ข้อ ๗ 
บริษัทข้อมูลเครดิตต้องมีระเบียบปฏิบัติที่ชัดเจนสำหรับเจ้าของข้อมูลที่ต้องการจะตรวจสอบและแก้ไขข้อมูลที่มีอยู่
ในกรณีที่เกิดข้อโต้แย้งที่ไม่อาจหาข้อยุติได้หรือมีการแก้ไขข้อมูลระหว่างบริษัทข้อมูลเครดิตกับเจ้าของข้อมูล
บริษัทข้อมูลเครดิตต้องบันทึกข้อโต้แย้งพร้อมหลักฐานประกอบของเจ้าของข้อมูลไว้ในระบบข้อมูลของเจ้าของข้อมูล
เพื่อใช้ในการตรวจสอบและเป็นหลักฐานอ้างอิงต่อไป
รวมทั้งต้องแจ้งข้อมูลที่แก้ไขให้แก่แหล่งข้อมูลสมาชิกหรือผู้ใช้บริการที่เกี่ยวข้องเพื่อนำไปแก้ไขข้อมูลให้ถูกต้องต่อไปด้วย

ข้อ ๘  หากมีข้อโต้แย้งเกิดขึ้นระหว่างสมาชิก
หรือผู้ใช้บริการกับบริษัทข้อมูลเครดิต หรือกับเจ้าของข้อมูลและไม่อาจหาข้อยุติได้
ให้บริษัทข้อมูลเครดิตต้องบันทึกข้อโต้แย้งนั้นในระบบข้อมูลของเจ้าของข้อมูลนั้นเพื่อใช้ในการตรวจสอบและเป็นหลักฐานอ้างอิงต่อไป
พร้อมกับแจ้งให้บุคคลที่เกี่ยวข้องทราบด้วย

ข้อ ๙ 
บริษัทข้อมูลเครดิตต้องมีระบบบันทึกการขอใช้ข้อมูลและการรายงานผลทุกครั้งเมื่อมีผู้เข้าถึงข้อมูล
โดยระบบและการรายงานต้องสามารถระบุรหัสผู้ใช้งาน พร้อมทั้งวันที่เข้าถึงข้อมูล
ซึ่งสามารถตรวจสอบได้เมื่อมีปัญหาและข้อโต้แย้ง  ทั้งนี้ ให้เก็บข้อมูลดังกล่าวมีกำหนดระยะเวลาไม่น้อยกว่าสองปีนับแต่วันที่มีการบันทึกของการเข้าถึงและออกจากข้อมูลเพื่อให้เจ้าของข้อมูลตรวจสอบได้

ข้อ ๑๐ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบฐานข้อมูลของทะเบียนหนังสือคำยินยอมให้เปิดเผยข้อมูลจากเจ้าของข้อมูลไว้
โดยอาจจัดเก็บในรูปแบบอิเล็คทรอนิกส์หรือเอกสารต้นฉบับซึ่งอย่างน้อยต้องเรียงลำดับชื่อหรือนามสกุลตามตัวอักษร
วันที่ให้ความยินยอม และชื่อสมาชิกผู้รับใบให้คำยินยอม
เพื่อประโยชน์ในการตรวจสอบคำยินยอมดังกล่าวกรณีมีการร้องขอจากเจ้าของข้อมูลหรือสมาชิก
หรือผู้ใช้บริหาร หรือศาล หรือพนักงานสอบสวน ในการนี้
ระบบฐานข้อมูลดังกล่าวต้องสามารถเข้าถึงได้อย่างรวดเร็วและถูกต้อง

ข้อ ๑๑ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบสำรองข้อมูลและระบบประมวลผลสำรองเตรียมพร้อมอยู่เสมอ
หากเกิดปัญหาขึ้นกับระบบข้อมูลหลัก

ข้อ ๑๒  บริษัทข้อมูลเครดิตต้องมีระบบหรือโปรแกรมที่พัฒนาขึ้นเพื่อทำลายข้อมูลที่มีอายุเกินกว่าที่คณะกรรมการกำหนด  ทั้งนี้
บริษัทข้อมูลเครดิตต้องมีคู่มือที่บ่งบอกถึงขั้นตอนและระเบียบวิธีปฏิบัติในการทำลายข้อมูลให้ชัดเจน

ข้อ ๑๓  บริษัทข้อมูลเครดิตจะต้องจัดให้มีผู้เชี่ยวชาญภายนอก
ซึ่งธนาคารแห่งประเทศไทยได้ให้ความเห็นชอบ
ทำการตรวจสอบระบบที่เกี่ยวข้องกับการประมวลผลข้อมูลทุกระบบ (System
Audit)
และออกรายงานยืนยันความถูกต้องครบถ้วนของทุกระบบอย่างน้อยปีละหนึ่งครั้ง

ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ในประกาศนี้เป็นต้นไป

ประกาศ
ณ วันที่ ๒๖ ธันวาคม พ.ศ. ๒๕๔๖
ปรีดิยาธร  เทวกุล
ประธานคณะกรรมการคุ้มครองข้อมูลเครดิต

วฤษาย์/ผู้จัดทำ
๒๑
ตุลาคม ๒๕๕๒

[๑]
ราชกิจจานุเบกษา เล่ม ๑๒๕/ตอนพิเศษ ๑๗ ง/หน้า ๒๓/๒๔ มกราคม ๒๕๕๑