Title: ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต (ฉบับ Update ล่าสุด)

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง
อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต

โดยที่เป็นการสมควรกำหนดอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
ให้มีกำหนดเวลามากกว่ากรณีการประมวลผลข้อมูลทั่วไป และกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิตในเรื่องดังกล่าว
เพื่อเป็นการให้ความคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูล
และเพื่อให้การจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติมีความน่าเชื่อถือและนำไปใช้ได้อย่างมีประสิทธิภาพยิ่งขึ้น

อาศัยอำนาจตามความในมาตรา
๑๓ และมาตรา ๑๖ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕
คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศไว้ ดังต่อไปนี้

ข้อ ๑[๑]  ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ
๒ 
เพื่อประโยชน์ในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
บริษัทข้อมูลเครดิตอาจประมวลผลข้อมูลของลูกค้าของสมาชิกในระบบฐานข้อมูล
เพื่อการดำเนินการตามวัตถุประสงค์ดังกล่าวได้เกินกว่าสามปีนับแต่วันที่บริษัทข้อมูลเครดิตได้รับข้อมูลจากสมาชิกหรือจากแหล่งข้อมูลที่เชื่อถือได้
โดยบริษัทข้อมูลเครดิตต้องดำเนินการตามหลักเกณฑ์และเงื่อนไขดังต่อไปนี้
(๑)
ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกทุกรายในระบบประมวลผลของบริษัท
ซึ่งเป็นข้อมูลที่สามารถระบุตัวตนของลูกค้าของสมาชิกผู้เป็นเจ้าของข้อมูลได้มาแปลงให้อยู่ในรูปของรหัสที่ไม่สามารถระบุตัวตนของเจ้าของข้อมูลและไม่สามารถทำการสุ่มหาหรือคาดเดาเจ้าของข้อมูลได้  ทั้งนี้ การแปลงให้อยู่ในรูปของรหัสดังกล่าวต้องกระทำด้วยวิธีการเข้ารหัสตามมาตรฐานสากลและมีความมั่นคงปลอดภัยในระดับสูง
(๒)
ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกที่ได้มีการแปลงข้อมูลให้อยู่ในรูปของรหัสตาม
(๑) แทนที่ข้อมูลที่ระบุตัวตนของลูกค้า อันได้แก่ ชื่อ นามสกุล
หมายเลขประจำตัวประชาชนหนังสือเดินทาง หรือเลขทะเบียนนิติบุคคล บ้านเลขที่ของลูกค้านั้น
แล้วนำมาจัดเก็บไว้ในระบบฐานข้อมูลสถิติโดยให้ดำเนินการเป็นรายเดือน
(๓)
บริษัทข้อมูลเครดิตต้องจัดเก็บเทปบันทึกข้อมูลชุดสำรองของระบบฐานข้อมูลสถิติเพื่อรองรับกรณีเกิดความเสียหายที่อาจเกิดขึ้นกับระบบฐานข้อมูลสถิติ
โดยให้จัดเก็บตามรอบระยะเวลาของการเปลี่ยนแปลงแก้ไขข้อมูล
(๔)
บริษัทข้อมูลเครดิตต้องจัดให้มีระบบรักษาความปลอดภัยและระบบควบคุมการใช้งานสูตรตัวแปร
และคำสั่งโปรแกรม (Source Code) ที่ใช้ในการสร้างรหัสตาม (๑)
และข้อมูลที่จัดเก็บไว้ในระบบฐานข้อมูลสถิติ โดยอย่างน้อยต้องประกอบด้วย
(ก)
ระบบและมาตรการควบคุมทั้งในด้านกายภาพ (Physical Control) และด้านตรรกภาพ (Logical Control) ซึ่งอย่างน้อยต้องจัดให้มี
๑) การพิสูจน์ตัวตนของผู้ที่มีสิทธิเข้าถึงข้อมูล
การกำหนดสิทธิการเข้าถึงข้อมูลอย่างเหมาะสม และการควบคุมสิทธิในการเข้าถึงข้อมูล
โดยมีการทบทวนและการปรับปรุงสิทธิเป็นประจำ และ
๒) การควบคุมการบริหารจัดการ
เพื่อควบคุมการประมวลผลและการใช้งานโดยการให้ใช้สิทธิต้องได้รับอนุมัติจากผู้มีอำนาจอนุมัติ
ตลอดจนรองรับกรณีเมื่อมีความจำเป็นใช้งานตามวัตถุประสงค์ที่คณะกรรมการคุ้มครองข้อมูลเครดิตประกาศกำหนด
(ข)
ระบบบันทึกเหตุการณ์เพื่อการตรวจสอบ
ที่ครอบคลุมทั้งร่องรอยการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรม
ซึ่งอย่างน้อยต้องมี
๑)
การจัดเก็บบันทึกเหตุการณ์ที่มีข้อมูลเพียงพอที่จะใช้ในการระบุผู้รับผิดชอบตัวตนผู้เข้าถึงข้อมูล
วันและเวลาที่เข้าถึง กิจกรรมที่ดำเนินการ และข้อเท็จจริงอื่น ๆ
ที่เกิดขึ้นหรือเกี่ยวข้องตามที่เห็นสมควร
๒)
การจัดเก็บและสอบทานบันทึกเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิ (Unauthorized
Access Attempts)
และการล่วงละเมิดด้านความปลอดภัย (Security Violation)
๓) มาตรการจัดการแก้ไขหากเกิดเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิหรือการล่วงละเมิดด้านความปลอดภัย
และ
๔) ระบบควบคุมการเข้าถึงการบันทึกเหตุการณ์
เพื่อป้องกันการเปลี่ยนแปลง แก้ไข ลบ
หรือทำลายร่องรอยเพื่อการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรม

ข้อ
๓[๒]  ให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลที่เกิดขึ้นจากการประมวลผลข้อมูลในระบบฐานข้อมูลสถิติได้
เฉพาะให้แก่บุคคลหรือหน่วยงานและตามวัตถุประสงค์ ดังต่อไปนี้
(๑) สมาชิก
เฉพาะวัตถุประสงค์เพื่อการบริหารความเสี่ยงในการดำเนินธุรกิจของสมาชิก
(๒) หน่วยงานภาครัฐ
เฉพาะวัตถุประสงค์เพื่อการกำหนดนโยบายหรือดำเนินภารกิจตามอำนาจหน้าที่เพื่อส่งเสริมและสนับสนุนนโยบายรัฐ
(๓) สถาบันการศึกษา หรือสถาบันวิจัย เฉพาะวัตถุประสงค์เพื่อการศึกษา
การวิจัย หรือการดำเนินการตามภารกิจสนับสนุนนโยบายรัฐ
ในการเปิดเผยข้อมูลตามวรรคหนึ่ง
ให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลในลักษณะที่ไม่สามารถระบุตัวตนได้
ไม่ว่าจะเป็นข้อมูลภาพรวมหรือรายบุคคล
โดยต้องเปิดเผยให้บุคคลหรือหน่วยงานผู้ขอข้อมูลเป็นผู้รับข้อมูลดังกล่าวโดยตรงและมีข้อกำหนดห้ามผู้ได้รับข้อมูล
นำข้อมูลไปเปิดเผยแก่บุคคลภายนอกหรือผู้ไม่มีสิทธิได้รับรู้ข้อมูล
หรือเปิดเผยผิดจากวัตถุประสงค์ที่ได้แจ้งไว้ต่อบริษัทข้อมูลเครดิต

ข้อ ๓/๑[๓]  บุคคลหรือหน่วยงานผู้ขอข้อมูลตามข้อ ๓
อาจมอบหมายหรือว่าจ้างบุคคลภายนอกให้เป็นผู้ดำเนินการตามวัตถุประสงค์ภายใต้หน้าที่และความรับผิดชอบของตนก็ได้
โดยจะต้องดำเนินการควบคุมโดยเคร่งครัดเพื่อป้องกันมิให้บุคคลผู้ได้รับมอบหมายหรือรับจ้างนำข้อมูลที่ได้รับจากตนไปเปิดเผยหรือใช้ประโยชน์เป็นอย่างอื่นผิดไปจากวัตถุประสงค์
ภายใต้ความในวรรคหนึ่ง ในกรณีที่หน่วยงานตาม (๒) และ (๓)
เป็นผู้ขอข้อมูลและได้มอบหมายหรือว่าจ้างบุคคลภายนอกให้เป็นผู้ดำเนินการตามวัตถุประสงค์
อาจมีหนังสือแจ้งให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลให้บุคคลดังกล่าวเป็นผู้รับข้อมูลโดยตรงภายใต้ความรับผิดชอบของตนก็ได้  ทั้งนี้
ให้มีหนังสือแจ้งบริษัทข้อมูลเครดิตเมื่อการมอบหมายหรือว่าจ้างนั้นสิ้นสุดลงด้วย

ข้อ
๔ 
บริษัทข้อมูลเครดิตต้องจัดให้มีระเบียบหรือคู่มือวิธีการปฏิบัติงานในการจัดทำ
จัดเก็บ และการใช้ข้อมูลในระบบฐานข้อมูลสถิติ

ข้อ
๕ 
ให้บริษัทข้อมูลเครดิตจัดทำรายงานการเปิดเผยข้อมูลในระบบฐานข้อมูลสถิติโดยอย่างน้อยต้องมีรายละเอียดของผู้ขอใช้ข้อมูล
ลักษณะของข้อมูล และวัตถุประสงค์ที่ใช้
และส่งให้แก่คณะกรรมการคุ้มครองข้อมูลเครดิตทุกไตรมาส  ทั้งนี้ ภายในสามสิบวันนับแต่วันสิ้นไตรมาส

ข้อ
๖ 
ในกรณีที่คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศหรือคำสั่งที่เกี่ยวข้องกับการประมวลผลข้อมูลของบริษัทข้อมูลเครดิต
การจัดระบบและข้อกำหนดเพื่อการประมวลผลข้อมูลอันมีผลแก่การประมวลผลข้อมูลของบริษัทข้อมูลเครดิต
เพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติหรือข้อมูลในระบบฐานข้อมูลสถิติ
ให้บริษัทข้อมูลเครดิตปฏิบัติให้สอดคล้องกับประกาศหรือคำสั่งดังกล่าวด้วย

ข้อ
๗  ข้อมูลของลูกค้าของสมาชิกในสื่อบันทึกข้อมูลซึ่งอยู่ในความครอบครองของบริษัทข้อมูลเครดิตก่อนวันที่ประกาศนี้มีผลใช้บังคับ
และมีอายุข้อมูลเกินกว่าที่กำหนดไว้ตามประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง อายุข้อมูลในการประมวลผลข้อมูล
การประมวลผลข้อมูลของบริษัทข้อมูลเครดิตและการส่งข้อมูลของสมาชิก ลงวันที่ ๕
กันยายน ๒๕๕๗ ให้บริษัทข้อมูลเครดิตดำเนินการตามข้อ ๒
และจัดทำระเบียบหรือคู่มือปฏิบัติงานตามข้อ ๔
ให้แล้วเสร็จภายในสองร้อยเจ็ดสิบวันนับแต่วันที่ประกาศนี้มีผลใช้บังคับ
และเมื่อดำเนินการดังกล่าวแล้วเสร็จให้บริษัทข้อมูลเครดิตทำลายสื่อบันทึกข้อมูลดังกล่าวทันทีแล้วรายงานให้คณะกรรมการคุ้มครองข้อมูลเครดิตทราบภายในสิบห้าวันนับแต่วันที่มีการทำลาย
ในกรณีที่บริษัทข้อมูลเครดิตไม่สามารถดำเนินการตามข้อ
๒ ภายในระยะเวลาที่กำหนดตามวรรคหนึ่ง
บริษัทข้อมูลเครดิตอาจขอขยายระยะเวลาพร้อมชี้แจงเหตุผลและความจำเป็นต่อประธานคณะกรรมการคุ้มครองข้อมูลเครดิตได้  ทั้งนี้
ต้องขอขยายเป็นการล่วงหน้าก่อนครบกำหนดไม่น้อยกว่าสิบห้าวัน  ในการนี้
ประธานคณะกรรมการคุ้มครองข้อมูลเครดิตอาจพิจารณาให้ขยายระยะเวลาการดำเนินการดังกล่าวออกไปอีกได้ไม่เกินสามสิบวันนับแต่กำหนดเวลาตามวรรคหนึ่งสิ้นสุดลง
และจะกำหนดหลักเกณฑ์ และเงื่อนไขใด ๆ ด้วยก็ได้

ประกาศ ณ วันที่ ๘
พฤศจิกายน พ.ศ. ๒๕๕๙
วิรไท  สันติประภพ
ประธานคณะกรรมการคุ้มครองข้อมูลเครดิต

ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง
อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต
(ฉบับที่ ๒)[๔]

พิมพ์มาดา/จัดทำ
๖ พฤศจิกายน
๒๕๖๐

นุสรา/ตรวจ
๓๐ เมษายน ๒๕๖๑

[๑] ราชกิจจานุเบกษา
เล่ม ๑๓๓/ตอนพิเศษ ๒๗๗ ง/หน้า ๒๖/๑ ธันวาคม ๒๕๕๙

[๒] ข้อ ๓
แก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง
อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต
(ฉบับที่ ๒)

[๓] ข้อ ๓/๑ เพิ่มโดยประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ
และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต (ฉบับที่
๒)

[๔] ราชกิจจานุเบกษา
เล่ม ๑๓๔/ตอนพิเศษ ๒๒๘ ง/หน้า ๒๓/๑๘ กันยายน ๒๕๖๐