ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง
อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต

โดยที่เป็นการสมควรกำหนดอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
ให้มีกำหนดเวลามากกว่ากรณีการประมวลผลข้อมูลทั่วไป
และกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิตในเรื่องดังกล่าว
เพื่อเป็นการให้ความคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูล
และเพื่อให้การจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติมีความน่าเชื่อถือและนำไปใช้ได้อย่างมีประสิทธิภาพยิ่งขึ้น

อาศัยอำนาจตามความในมาตรา
๑๓ และมาตรา ๑๖ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕
คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศไว้ ดังต่อไปนี้

ข้อ ๑[๑]  ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ
๒  เพื่อประโยชน์ในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
บริษัทข้อมูลเครดิตอาจประมวลผลข้อมูลของลูกค้าของสมาชิกในระบบฐานข้อมูล
เพื่อการดำเนินการตามวัตถุประสงค์ดังกล่าวได้เกินกว่าสามปีนับแต่วันที่บริษัทข้อมูลเครดิตได้รับข้อมูลจากสมาชิกหรือจากแหล่งข้อมูลที่เชื่อถือได้
โดยบริษัทข้อมูลเครดิตต้องดำเนินการตามหลักเกณฑ์และเงื่อนไขดังต่อไปนี้
(๑)
ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกทุกรายในระบบประมวลผลของบริษัท ซึ่งเป็นข้อมูลที่สามารถระบุตัวตนของลูกค้าของสมาชิกผู้เป็นเจ้าของข้อมูลได้มาแปลงให้อยู่ในรูปของรหัสที่ไม่สามารถระบุตัวตนของเจ้าของข้อมูลและไม่สามารถทำการสุ่มหาหรือคาดเดาเจ้าของข้อมูลได้
 ทั้งนี้ การแปลงให้อยู่ในรูปของรหัสดังกล่าวต้องกระทำด้วยวิธีการเข้ารหัสตามมาตรฐานสากลและมีความมั่นคงปลอดภัยในระดับสูง
(๒)
ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกที่ได้มีการแปลงข้อมูลให้อยู่ในรูปของรหัสตาม
(๑) แทนที่ข้อมูลที่ระบุตัวตนของลูกค้า อันได้แก่ ชื่อ นามสกุล
หมายเลขประจำตัวประชาชนหนังสือเดินทาง หรือเลขทะเบียนนิติบุคคล บ้านเลขที่ของลูกค้านั้น
แล้วนำมาจัดเก็บไว้ในระบบฐานข้อมูลสถิติโดยให้ดำเนินการเป็นรายเดือน
(๓)
บริษัทข้อมูลเครดิตต้องจัดเก็บเทปบันทึกข้อมูลชุดสำรองของระบบฐานข้อมูลสถิติเพื่อรองรับกรณีเกิดความเสียหายที่อาจเกิดขึ้นกับระบบฐานข้อมูลสถิติ
โดยให้จัดเก็บตามรอบระยะเวลาของการเปลี่ยนแปลงแก้ไขข้อมูล
(๔)
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบรักษาความปลอดภัยและระบบควบคุมการใช้งานสูตรตัวแปร
และคำสั่งโปรแกรม (Source Code) ที่ใช้ในการสร้างรหัสตาม (๑)
และข้อมูลที่จัดเก็บไว้ในระบบฐานข้อมูลสถิติ โดยอย่างน้อยต้องประกอบด้วย
(ก)
ระบบและมาตรการควบคุมทั้งในด้านกายภาพ (Physical Control) และด้านตรรกภาพ (Logical Control) ซึ่งอย่างน้อยต้องจัดให้มี
๑) การพิสูจน์ตัวตนของผู้ที่มีสิทธิเข้าถึงข้อมูล
การกำหนดสิทธิการเข้าถึงข้อมูลอย่างเหมาะสม และการควบคุมสิทธิในการเข้าถึงข้อมูล
โดยมีการทบทวนและการปรับปรุงสิทธิเป็นประจำ และ
๒) การควบคุมการบริหารจัดการ
เพื่อควบคุมการประมวลผลและการใช้งานโดยการให้ใช้สิทธิต้องได้รับอนุมัติจากผู้มีอำนาจอนุมัติ
ตลอดจนรองรับกรณีเมื่อมีความจำเป็นใช้งานตามวัตถุประสงค์ที่คณะกรรมการคุ้มครองข้อมูลเครดิตประกาศกำหนด
(ข)
ระบบบันทึกเหตุการณ์เพื่อการตรวจสอบ
ที่ครอบคลุมทั้งร่องรอยการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรม
ซึ่งอย่างน้อยต้องมี
๑)
การจัดเก็บบันทึกเหตุการณ์ที่มีข้อมูลเพียงพอที่จะใช้ในการระบุผู้รับผิดชอบตัวตนผู้เข้าถึงข้อมูล
วันและเวลาที่เข้าถึง กิจกรรมที่ดำเนินการ และข้อเท็จจริงอื่น ๆ
ที่เกิดขึ้นหรือเกี่ยวข้องตามที่เห็นสมควร
๒)
การจัดเก็บและสอบทานบันทึกเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิ (Unauthorized
Access Attempts) และการล่วงละเมิดด้านความปลอดภัย
(Security Violation)
๓) มาตรการจัดการแก้ไขหากเกิดเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิหรือการล่วงละเมิดด้านความปลอดภัย
และ
๔) ระบบควบคุมการเข้าถึงการบันทึกเหตุการณ์
เพื่อป้องกันการเปลี่ยนแปลง แก้ไข ลบ
หรือทำลายร่องรอยเพื่อการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรม

ข้อ
๓  ให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลที่เกิดขึ้นจากการประมวลผลข้อมูลในระบบฐานข้อมูลสถิติได้
เฉพาะให้แก่บุคคลหรือหน่วยงานและตามวัตถุประสงค์ ดังต่อไปนี้
(๑)
สมาชิก เฉพาะวัตถุประสงค์เพื่อการบริหารความเสี่ยงในการดำเนินธุรกิจของสมาชิก
(๒)
หน่วยงานภาครัฐ เฉพาะวัตถุประสงค์เพื่อการกำหนดนโยบายเกี่ยวกับการดำเนินการตามอำนาจหน้าที่
(๓) สถาบันการศึกษาหรือสถาบันวิจัย
เฉพาะวัตถุประสงค์เพื่อการศึกษาหรือการวิจัย
ในการเปิดเผยข้อมูลตามวรรคหนึ่ง
ให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลในลักษณะที่ไม่สามารถระบุตัวตนได้
ไม่ว่าจะเป็นข้อมูลภาพรวมหรือรายบุคคล โดยต้องมีข้อกำหนดห้ามผู้ได้รับข้อมูลดังกล่าวนำข้อมูลไปเปิดเผยแก่บุคคลภายนอกหรือผู้ไม่มีสิทธิได้รับรู้ข้อมูล
หรือเปิดเผยผิดจากวัตถุประสงค์ที่ได้แจ้งไว้ต่อบริษัทข้อมูลเครดิต

ข้อ
๔  บริษัทข้อมูลเครดิตต้องจัดให้มีระเบียบหรือคู่มือวิธีการปฏิบัติงานในการจัดทำ
จัดเก็บ และการใช้ข้อมูลในระบบฐานข้อมูลสถิติ

ข้อ
๕  ให้บริษัทข้อมูลเครดิตจัดทำรายงานการเปิดเผยข้อมูลในระบบฐานข้อมูลสถิติโดยอย่างน้อยต้องมีรายละเอียดของผู้ขอใช้ข้อมูล
ลักษณะของข้อมูล และวัตถุประสงค์ที่ใช้
และส่งให้แก่คณะกรรมการคุ้มครองข้อมูลเครดิตทุกไตรมาส  ทั้งนี้ ภายในสามสิบวันนับแต่วันสิ้นไตรมาส

ข้อ
๖  ในกรณีที่คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศหรือคำสั่งที่เกี่ยวข้องกับการประมวลผลข้อมูลของบริษัทข้อมูลเครดิต
การจัดระบบและข้อกำหนดเพื่อการประมวลผลข้อมูลอันมีผลแก่การประมวลผลข้อมูลของบริษัทข้อมูลเครดิต
เพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติหรือข้อมูลในระบบฐานข้อมูลสถิติ
ให้บริษัทข้อมูลเครดิตปฏิบัติให้สอดคล้องกับประกาศหรือคำสั่งดังกล่าวด้วย

ข้อ
๗  ข้อมูลของลูกค้าของสมาชิกในสื่อบันทึกข้อมูลซึ่งอยู่ในความครอบครองของบริษัทข้อมูลเครดิตก่อนวันที่ประกาศนี้มีผลใช้บังคับ
และมีอายุข้อมูลเกินกว่าที่กำหนดไว้ตามประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง อายุข้อมูลในการประมวลผลข้อมูล
การประมวลผลข้อมูลของบริษัทข้อมูลเครดิตและการส่งข้อมูลของสมาชิก ลงวันที่ ๕
กันยายน ๒๕๕๗ ให้บริษัทข้อมูลเครดิตดำเนินการตามข้อ ๒ และจัดทำระเบียบหรือคู่มือปฏิบัติงานตามข้อ
๔ ให้แล้วเสร็จภายในสองร้อยเจ็ดสิบวันนับแต่วันที่ประกาศนี้มีผลใช้บังคับ
และเมื่อดำเนินการดังกล่าวแล้วเสร็จให้บริษัทข้อมูลเครดิตทำลายสื่อบันทึกข้อมูลดังกล่าวทันทีแล้วรายงานให้คณะกรรมการคุ้มครองข้อมูลเครดิตทราบภายในสิบห้าวันนับแต่วันที่มีการทำลาย
ในกรณีที่บริษัทข้อมูลเครดิตไม่สามารถดำเนินการตามข้อ
๒ ภายในระยะเวลาที่กำหนดตามวรรคหนึ่ง
บริษัทข้อมูลเครดิตอาจขอขยายระยะเวลาพร้อมชี้แจงเหตุผลและความจำเป็นต่อประธานคณะกรรมการคุ้มครองข้อมูลเครดิตได้
 ทั้งนี้ ต้องขอขยายเป็นการล่วงหน้าก่อนครบกำหนดไม่น้อยกว่าสิบห้าวัน
 ในการนี้
ประธานคณะกรรมการคุ้มครองข้อมูลเครดิตอาจพิจารณาให้ขยายระยะเวลาการดำเนินการดังกล่าวออกไปอีกได้ไม่เกินสามสิบวันนับแต่กำหนดเวลาตามวรรคหนึ่งสิ้นสุดลง
และจะกำหนดหลักเกณฑ์ และเงื่อนไขใด ๆ ด้วยก็ได้

ประกาศ ณ วันที่ ๘
พฤศจิกายน พ.ศ. ๒๕๕๙
วิรไท  สันติประภพ
ประธานคณะกรรมการคุ้มครองข้อมูลเครดิต

วิศนี/ปริยานุช/จัดทำ
๘ ธันวาคม ๒๕๕๙
ปริญสินีย์/ตรวจ
๓๐ ธันวาคม
๒๕๕๙

[๑] ราชกิจจานุเบกษา
เล่ม ๑๓๓/ตอนพิเศษ ๒๗๗ ง/หน้า ๒๖/๑ ธันวาคม ๒๕๕๙