ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต
เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดระบบและข้อกำหนดเพื่อประมวลผลข้อมูล

โดยที่เทคโนโลยีสารสนเทศมีการเปลี่ยนแปลงอย่างรวดเร็ว การนำเทคโนโลยีมาใช้ในการประมวลผลข้อมูลของบริษัทข้อมูลเครดิต ควรมุ่งเน้นการรักษาและเสริมสร้างความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ การบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ การปฏิบัติตามกฎหมายและหลักเกณฑ์ที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศ การตรวจสอบด้านเทคโนโลยีสารสนเทศ ตลอดจนการบริหารจัดการด้านเทคโนโลยีสารสนเทศที่มีประสิทธิภาพและรัดกุม เพื่อให้การประมวลผลข้อมูลของบริษัทข้อมูลเครดิตมีความน่าเชื่อถือสามารถให้บริการแก่สมาชิก ผู้ใช้บริการ และเจ้าของข้อมูลได้อย่างต่อเนื่อง รวมถึงคุ้มครองข้อมูลของเจ้าของข้อมูลไม่ให้ถูกนำไปใช้ผิดวัตถุประสงค์ของทางธุรกิจข้อมูลเครดิต ซึ่งอาจสร้างความเสียหายต่อเจ้าของข้อมูล สมาชิก ผู้ใช้บริการ หรือระบบให้บริการและฐานข้อมูลได้

อาศัยอำนาจตามความในมาตรา ๑๗ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕ คณะกรรมการคุ้มครองข้อมูลเครดิตกำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขสำหรับบริษัทข้อมูลเครดิตในการประมวลผลข้อมูลเครดิต ดังนี้

**ข้อ ๑** ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

**ข้อ ๒** ให้ยกเลิกประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดระบบและข้อกำหนดเพื่อประมวลผลข้อมูล ลงวันที่ ๒๖ ธันวาคม ๒๕๔๖

**ข้อ ๓** การจัดระบบและข้อกำหนดเพื่อการประมวลผลข้อมูลเครดิต (๑) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบจำแนกข้อมูล คือ

*   **(ก)** ข้อเท็จจริงที่บ่งชี้ถึงตัวลูกค้าที่ขอสินเชื่อ
*   **(ข)** ประวัติการได้รับอนุมัติสินเชื่อ
*   **(ค)** ประวัติการชำระสินเชื่อและการชำระราคาสินค้าหรือบริการโดยบัตรเครดิต
*   **(ง)** ข้อมูลที่บ่งชี้ถึงตัวสมาชิกผู้ให้ข้อมูลหรือเจ้าของข้อมูล
*   **(ฮ)** เพื่อให้ข้อมูลมีความทันสมัยอยู่เสมอ บริษัทข้อมูลเครดิตต้องจัดให้มีระบบที่จะปรับปรุงฐานข้อมูล เมื่อมีสมาชิกผู้ให้ใหม่มาเป็นสมาชิก โดยเมื่อบริษัทหักเลขประจำตัวประชาชนไทย หากพบความไม่ถูกต้อง มายังแจ้งต่อสมาชิกผู้ส่งใหม่นำเสนอเพื่อดำเนินการแก้ไขโดยทันที
*   **(ฉ)**
    *   (๑) หากพบความไม่ถูกต้อง มายังแจ้งต่อสมาชิกผู้ส่งใหม่นำเสนอเพื่อดำเนินการแก้ไขโดยทันที

(๔) บริษัทข้อมูลเครดิตต้องจัดให้มีนโยบาย กระบวนการ และระบบบริหารความลับและความปลอดภัยของข้อมูล เพื่อป้องกันไม่ให้มีการนำข้อมูลไปใช้ผิดวัตถุประสงค์ของการประกอบธุรกิจข้อมูลเครดิต และไม่ให้ผู้ใดมีสิทธิ์ได้รับข้อมูลได้ล่วงรู้ข้อมูลดังกล่าว รวมทั้งต้องจัดให้มีระบบท่องกันไม่ให้ข้อมูลถูกแก้ไข ทำให้เสียหาย หรือถูกทำลายโดยไม่ชอบหรือโดยไม่ได้รับอนุญาตอย่างน้อย ดังนี้

(ก) กำหนดให้สมาชิกหรือผู้ใช้บริการต้องมีการระบุและพิสูจน์ตัวตนด้วยวิธีการที่รัดกุม เพื่อป้องกันการเรียกดูข้อมูลโดยไม่ได้รับอนุญาต หรือโดยบุคคลที่ไม่เกี่ยวข้อง

(ข) การเข้าถึง และ/หรือ แก้ไขข้อมูลของสมาชิกหรือผู้ใช้บริการทุกครั้ง ต้องมีระบบจัดเก็บบันทึกเหตุการณ์ (Logging) เพื่อไว้เป็นหลักฐานอ้างอิง และเป็นไปตามกฎหมายที่เกี่ยวข้อง

(ค) การรักษาความมั่นคงปลอดภัยในการปฏิบัติงานด้านเทคโนโลยีสารสนเทศ (IT Operation Security) ต้องเป็นไปตามมาตรฐานสากล เช่น การรักษาความมั่นคงปลอดภัยของเครื่องแม่ข่าย (Server) และอุปกรณ์ที่ใช้ปฏิบัติงานของผู้ใช้เทคโนโลยีสารสนเทศ (Endpoint) รวมถึงการติดตามดูแลและเฝ้าระวังภัยคุกคาม (Security Monitoring)

(๕) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบการขอใช้ข้อมูลและระบบรายงานข้อมูลตามปกติ โดยอย่างน้อยต้องประกอบด้วยคู่มือการใช้งาน เพื่ออำนวยความสะดวกให้กับสมาชิกหรือผู้ใช้บริการ

(๖) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบในการอำนวยความสะดวกให้กับเจ้าของข้อมูลในการตรวจสอบข้อมูลเครดิต โดยบริษัทข้อมูลเครดิตต้องประกาศกำหนดวัน เวลา และช่องทางที่เจ้าของข้อมูลจะสามารถตรวจสอบข้อมูลเครดิตได้ตามความเหมาะสม มีระเบียบ วิธีปฏิบัติที่ชัดเจนสำหรับเจ้าของข้อมูลที่ต้องการจะตรวจสอบและแก้ไขข้อมูลที่มีอยู่ ในกรณีที่เกิดข้อโต๊ะแย้งที่ไม่อาจหาข้อยุติได้หรือมีการแก้ไขข้อมูลระหว่างบริษัท ข้อมูลเครดิตกับเจ้าของข้อมูล บริษัทข้อมูลเครดิตต้องบันทึกข้อโต๊ะแย้งพร้อมหลักฐานประกอบของเจ้าของข้อมูลไว้ในระบบของมูลของเจ้าของข้อมูลเพื่อใช้ในการตรวจสอบและเป็นหลักฐานอ้างอิงต่อไป และหากมีการแก้ไขข้อมูลระหว่างบริษัทและมูลเครดิตกับเจ้าของข้อมูล บริษัทห้องมูลเครดิตต้องแจ้งช่องทางที่แก้ไขให้แก่แหล่งช่วยเหลือสมาชิก หากผู้ใช้บริการที่เกี่ยวข้องเพื่อนำไปแก้ไขเองโดยตรง ก็ย่อมเป็นผลจากการทำลายความส่วนบุคคล

(๗) กรุณาเกิดช้อโต๊ะแย้งระหว่างสมาชิก หากผู้ใช้บริการกับบริษัทร่วมมือเครื่องดิน จะทำให้มีความยากลำบากในการตรวจสอบและเป็นหลักฐานอ้างอิงในภายหลัง หากเกิดช้อโต๊ะแย้งระหว่างสมาชิกและระบบจะทำให้มีความยากลำบากในการตรวจสอบและเป็นหลักฐานอ้างอิงในภายหลัง

(๙) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบทฐานข้อมูลของทะเบียนหนังสือคำยินยอมให้เปิดเผย
ข้อมูลจากเจ้าของข้อมูลไว้ในรูปแบบอิเล็กทรอนิกส์ หรือเอกสารต้นฉบับเพื่อประโยชน์ในการตรวจสอบ
คำยินยอมดังกล่าวกรณีมีการร้องขอจากเจ้าของข้อมูล หรือสมาชิก หรือผู้ใช้บริการ หรือศาล
หรือพนักงานสอบสวน โดยระบุฐานข้อมูลดังกล่าวต้องสามารถเข้าถึงได้อย่างรวดเร็วและถูกต้อง
(๑๐) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบสำรองข้อมูลและระบบประมวลผลสำรอง
เตรียมพร้อม หากเกิดปัญหาขึ้นกับระบบข้อมูลหลัก
(๑๑) บริษัทข้อมูลเครดิตต้องจัดให้มีระบบ หรือโปรแกรม รวมทั้งวิธีการอื่นใดในการทำลาย
ข้อมูลที่มีอายุเกินกว่าที่คณะกรรมการกำหนด เพื่อให้ข้อมูลนั้นไม่สามารถนำกลับมาใช้ได้อีกไม่ว่าด้วย
กรณีใด ๆ ทั้งนี้ บริษัทข้อมูลเครดิตต้องมีคู่มือที่บ่งบอกถึงขั้นตอนและระเบียบวิธีปฏิบัติในการทำลาย
ข้อมูลให้ชัดเจน
(๑๒) บริษัทข้อมูลเครดิตต้องจัดให้มีผู้เชี่ยวชาญภายนอก ซึ่งควรมีความรู้ความสามารถ
และประสบการณ์เพียงพอเพื่อตรวจสอบความถูกต้องครบถ้วนของการประมวลผลของระบบสำคัญ
อย่างน้อยตามที่กำหนดในมาตรา ๑๗ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕
และความมั่นคงปลอดภัยของเทคโนโลยีสารสนเทศ พร้อมทั้ง
ออกรายงานและรับรองผลการตรวจสอบอย่างน้อยปีละหนึ่งครั้ง
(๑๓) ให้บริษัทข้อมูลเครดิตนำส่งสำเนารายงานดังกล่าวต่อธนาคารแห่งประเทศไทย โดยให้ธนาคาร
แห่งประเทศไทยสามารถสอบถามข้อมูลเพิ่มเติมจากผู้เชี่ยวชาญภายนอกดังกล่าวได้
(๑๔) บริษัทข้อมูลเครดิตต้องจัดให้มีการบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ
ให้สอดรับกับความเสี่ยงที่มี โดยให้ครอบคลุมถึง
(๑) การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศและความเสี่ยงจากภัยไซเบอร์
(๒) บาทบาทหุ้นาที่และความรับผิดชอบของคณะกรรมการและผู้บริหารระดับสูง
(๓) การจัดโครงสร้างองค์กรตามหลักการของ Three lines of defense
(๔) การมืนโยบายที่เกี่ยวข้องกับการกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ
และการส่งเสริมให้บุคลากรมีความรู้และตระหนักถึงความเสี่ยงด้านเทคโนโลยีสารสนเทศ
(๕) การบริหารจัดการโครงการด้านเทคโนโลยีสารสนเทศ และการดูแลความมั่นคงปลอดภัย
ด้านเทคโนโลยีสารสนเทศ (IT security) ตามมาตรฐานสากล
(٩) การปฏิบัติตามเป็นไปตามกฎหมายและหลักเกณฑ์ที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศ