ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตเรื่องอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติและการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต โดยที่เป็นการสมควรกำหนดอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติให้มีกำหนดเวลามากกว่ากรณีการประมวลผลข้อมูลทั่วไป และกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิตในเรื่องดังกล่าวเพื่อเป็นการให้ความคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลและเพื่อให้การจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติมีความน่าเชื่อถือและนำไปใช้ได้อย่างมีประสิทธิภาพยิ่งขึ้นอาศัยอำนาจตามความในมาตรา๑๓ และมาตรา ๑๖ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศไว้ ดังต่อไปนี้ข้อ ๑[๑] ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไปข้อ๒เพื่อประโยชน์ในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติบริษัทข้อมูลเครดิตอาจประมวลผลข้อมูลของลูกค้าของสมาชิกในระบบฐานข้อมูลเพื่อการดำเนินการตามวัตถุประสงค์ดังกล่าวได้เกินกว่าสามปีนับแต่วันที่บริษัทข้อมูลเครดิตได้รับข้อมูลจากสมาชิกหรือจากแหล่งข้อมูลที่เชื่อถือได้โดยบริษัทข้อมูลเครดิตต้องดำเนินการตามหลักเกณฑ์และเงื่อนไขดังต่อไปนี้(๑)ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกทุกรายในระบบประมวลผลของบริษัทซึ่งเป็นข้อมูลที่สามารถระบุตัวตนของลูกค้าของสมาชิกผู้เป็นเจ้าของข้อมูลได้มาแปลงให้อยู่ในรูปของรหัสที่ไม่สามารถระบุตัวตนของเจ้าของข้อมูลและไม่สามารถทำการสุ่มหาหรือคาดเดาเจ้าของข้อมูลได้ ทั้งนี้ การแปลงให้อยู่ในรูปของรหัสดังกล่าวต้องกระทำด้วยวิธีการเข้ารหัสตามมาตรฐานสากลและมีความมั่นคงปลอดภัยในระดับสูง(๒)ให้บริษัทข้อมูลเครดิตนำข้อมูลของลูกค้าของสมาชิกที่ได้มีการแปลงข้อมูลให้อยู่ในรูปของรหัสตาม(๑) แทนที่ข้อมูลที่ระบุตัวตนของลูกค้า อันได้แก่ ชื่อ นามสกุลหมายเลขประจำตัวประชาชนหนังสือเดินทาง หรือเลขทะเบียนนิติบุคคล บ้านเลขที่ของลูกค้านั้นแล้วนำมาจัดเก็บไว้ในระบบฐานข้อมูลสถิติโดยให้ดำเนินการเป็นรายเดือน(๓)บริษัทข้อมูลเครดิตต้องจัดเก็บเทปบันทึกข้อมูลชุดสำรองของระบบฐานข้อมูลสถิติเพื่อรองรับกรณีเกิดความเสียหายที่อาจเกิดขึ้นกับระบบฐานข้อมูลสถิติโดยให้จัดเก็บตามรอบระยะเวลาของการเปลี่ยนแปลงแก้ไขข้อมูล(๔)บริษัทข้อมูลเครดิตต้องจัดให้มีระบบรักษาความปลอดภัยและระบบควบคุมการใช้งานสูตรตัวแปรและคำสั่งโปรแกรม (Source Code) ที่ใช้ในการสร้างรหัสตาม (๑)และข้อมูลที่จัดเก็บไว้ในระบบฐานข้อมูลสถิติ โดยอย่างน้อยต้องประกอบด้วย(ก)ระบบและมาตรการควบคุมทั้งในด้านกายภาพ (Physical Control) และด้านตรรกภาพ (Logical Control) ซึ่งอย่างน้อยต้องจัดให้มี๑) การพิสูจน์ตัวตนของผู้ที่มีสิทธิเข้าถึงข้อมูลการกำหนดสิทธิการเข้าถึงข้อมูลอย่างเหมาะสม และการควบคุมสิทธิในการเข้าถึงข้อมูลโดยมีการทบทวนและการปรับปรุงสิทธิเป็นประจำ และ๒) การควบคุมการบริหารจัดการเพื่อควบคุมการประมวลผลและการใช้งานโดยการให้ใช้สิทธิต้องได้รับอนุมัติจากผู้มีอำนาจอนุมัติตลอดจนรองรับกรณีเมื่อมีความจำเป็นใช้งานตามวัตถุประสงค์ที่คณะกรรมการคุ้มครองข้อมูลเครดิตประกาศกำหนด(ข)ระบบบันทึกเหตุการณ์เพื่อการตรวจสอบที่ครอบคลุมทั้งร่องรอยการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรมซึ่งอย่างน้อยต้องมี๑)การจัดเก็บบันทึกเหตุการณ์ที่มีข้อมูลเพียงพอที่จะใช้ในการระบุผู้รับผิดชอบตัวตนผู้เข้าถึงข้อมูลวันและเวลาที่เข้าถึง กิจกรรมที่ดำเนินการ และข้อเท็จจริงอื่น ๆที่เกิดขึ้นหรือเกี่ยวข้องตามที่เห็นสมควร๒)การจัดเก็บและสอบทานบันทึกเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิ (UnauthorizedAccess Attempts)และการล่วงละเมิดด้านความปลอดภัย (Security Violation)๓) มาตรการจัดการแก้ไขหากเกิดเหตุการณ์ความพยายามเข้าถึงระบบโดยผู้ไม่มีสิทธิหรือการล่วงละเมิดด้านความปลอดภัยและ๔) ระบบควบคุมการเข้าถึงการบันทึกเหตุการณ์เพื่อป้องกันการเปลี่ยนแปลง แก้ไข ลบหรือทำลายร่องรอยเพื่อการตรวจสอบและร่องรอยกิจกรรมการทำธุรกรรมข้อ๓[๒] ให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลที่เกิดขึ้นจากการประมวลผลข้อมูลในระบบฐานข้อมูลสถิติได้เฉพาะให้แก่บุคคลหรือหน่วยงานและตามวัตถุประสงค์ ดังต่อไปนี้(๑) สมาชิกเฉพาะวัตถุประสงค์เพื่อการบริหารความเสี่ยงในการดำเนินธุรกิจของสมาชิก(๒) หน่วยงานภาครัฐเฉพาะวัตถุประสงค์เพื่อการกำหนดนโยบายหรือดำเนินภารกิจตามอำนาจหน้าที่เพื่อส่งเสริมและสนับสนุนนโยบายรัฐ(๓) สถาบันการศึกษา หรือสถาบันวิจัย เฉพาะวัตถุประสงค์เพื่อการศึกษาการวิจัย หรือการดำเนินการตามภารกิจสนับสนุนนโยบายรัฐในการเปิดเผยข้อมูลตามวรรคหนึ่งให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลในลักษณะที่ไม่สามารถระบุตัวตนได้ไม่ว่าจะเป็นข้อมูลภาพรวมหรือรายบุคคลโดยต้องเปิดเผยให้บุคคลหรือหน่วยงานผู้ขอข้อมูลเป็นผู้รับข้อมูลดังกล่าวโดยตรงและมีข้อกำหนดห้ามผู้ได้รับข้อมูลนำข้อมูลไปเปิดเผยแก่บุคคลภายนอกหรือผู้ไม่มีสิทธิได้รับรู้ข้อมูลหรือเปิดเผยผิดจากวัตถุประสงค์ที่ได้แจ้งไว้ต่อบริษัทข้อมูลเครดิตข้อ ๓/๑[๓] บุคคลหรือหน่วยงานผู้ขอข้อมูลตามข้อ ๓อาจมอบหมายหรือว่าจ้างบุคคลภายนอกให้เป็นผู้ดำเนินการตามวัตถุประสงค์ภายใต้หน้าที่และความรับผิดชอบของตนก็ได้โดยจะต้องดำเนินการควบคุมโดยเคร่งครัดเพื่อป้องกันมิให้บุคคลผู้ได้รับมอบหมายหรือรับจ้างนำข้อมูลที่ได้รับจากตนไปเปิดเผยหรือใช้ประโยชน์เป็นอย่างอื่นผิดไปจากวัตถุประสงค์ภายใต้ความในวรรคหนึ่ง ในกรณีที่หน่วยงานตาม (๒) และ (๓)เป็นผู้ขอข้อมูลและได้มอบหมายหรือว่าจ้างบุคคลภายนอกให้เป็นผู้ดำเนินการตามวัตถุประสงค์อาจมีหนังสือแจ้งให้บริษัทข้อมูลเครดิตเปิดเผยข้อมูลให้บุคคลดังกล่าวเป็นผู้รับข้อมูลโดยตรงภายใต้ความรับผิดชอบของตนก็ได้ ทั้งนี้ให้มีหนังสือแจ้งบริษัทข้อมูลเครดิตเมื่อการมอบหมายหรือว่าจ้างนั้นสิ้นสุดลงด้วยข้อ๔บริษัทข้อมูลเครดิตต้องจัดให้มีระเบียบหรือคู่มือวิธีการปฏิบัติงานในการจัดทำจัดเก็บ และการใช้ข้อมูลในระบบฐานข้อมูลสถิติข้อ๕ให้บริษัทข้อมูลเครดิตจัดทำรายงานการเปิดเผยข้อมูลในระบบฐานข้อมูลสถิติโดยอย่างน้อยต้องมีรายละเอียดของผู้ขอใช้ข้อมูลลักษณะของข้อมูล และวัตถุประสงค์ที่ใช้และส่งให้แก่คณะกรรมการคุ้มครองข้อมูลเครดิตทุกไตรมาส ทั้งนี้ ภายในสามสิบวันนับแต่วันสิ้นไตรมาสข้อ๖ในกรณีที่คณะกรรมการคุ้มครองข้อมูลเครดิตออกประกาศหรือคำสั่งที่เกี่ยวข้องกับการประมวลผลข้อมูลของบริษัทข้อมูลเครดิตการจัดระบบและข้อกำหนดเพื่อการประมวลผลข้อมูลอันมีผลแก่การประมวลผลข้อมูลของบริษัทข้อมูลเครดิตเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติหรือข้อมูลในระบบฐานข้อมูลสถิติให้บริษัทข้อมูลเครดิตปฏิบัติให้สอดคล้องกับประกาศหรือคำสั่งดังกล่าวด้วยข้อ๗ ข้อมูลของลูกค้าของสมาชิกในสื่อบันทึกข้อมูลซึ่งอยู่ในความครอบครองของบริษัทข้อมูลเครดิตก่อนวันที่ประกาศนี้มีผลใช้บังคับและมีอายุข้อมูลเกินกว่าที่กำหนดไว้ตามประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตเรื่อง อายุข้อมูลในการประมวลผลข้อมูลการประมวลผลข้อมูลของบริษัทข้อมูลเครดิตและการส่งข้อมูลของสมาชิก ลงวันที่ ๕กันยายน ๒๕๕๗ ให้บริษัทข้อมูลเครดิตดำเนินการตามข้อ ๒และจัดทำระเบียบหรือคู่มือปฏิบัติงานตามข้อ ๔ให้แล้วเสร็จภายในสองร้อยเจ็ดสิบวันนับแต่วันที่ประกาศนี้มีผลใช้บังคับและเมื่อดำเนินการดังกล่าวแล้วเสร็จให้บริษัทข้อมูลเครดิตทำลายสื่อบันทึกข้อมูลดังกล่าวทันทีแล้วรายงานให้คณะกรรมการคุ้มครองข้อมูลเครดิตทราบภายในสิบห้าวันนับแต่วันที่มีการทำลายในกรณีที่บริษัทข้อมูลเครดิตไม่สามารถดำเนินการตามข้อ๒ ภายในระยะเวลาที่กำหนดตามวรรคหนึ่งบริษัทข้อมูลเครดิตอาจขอขยายระยะเวลาพร้อมชี้แจงเหตุผลและความจำเป็นต่อประธานคณะกรรมการคุ้มครองข้อมูลเครดิตได้ ทั้งนี้ต้องขอขยายเป็นการล่วงหน้าก่อนครบกำหนดไม่น้อยกว่าสิบห้าวัน ในการนี้ประธานคณะกรรมการคุ้มครองข้อมูลเครดิตอาจพิจารณาให้ขยายระยะเวลาการดำเนินการดังกล่าวออกไปอีกได้ไม่เกินสามสิบวันนับแต่กำหนดเวลาตามวรรคหนึ่งสิ้นสุดลงและจะกำหนดหลักเกณฑ์ และเงื่อนไขใด ๆ ด้วยก็ได้ประกาศ ณ วันที่ ๘พฤศจิกายน พ.ศ. ๒๕๕๙วิรไท สันติประภพประธานคณะกรรมการคุ้มครองข้อมูลเครดิต ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่องอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติและการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต(ฉบับที่ ๒)[๔]พิมพ์มาดา/จัดทำ๖ พฤศจิกายน๒๕๖๐นุสรา/ตรวจ๓๐ เมษายน ๒๕๖๑[๑] ราชกิจจานุเบกษาเล่ม ๑๓๓/ตอนพิเศษ ๒๗๗ ง/หน้า ๒๖/๑ ธันวาคม ๒๕๕๙[๒] ข้อ ๓แก้ไขเพิ่มเติมโดยประกาศคณะกรรมการคุ้มครองข้อมูลเครดิต เรื่องอายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติ และการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต(ฉบับที่ ๒)[๓] ข้อ ๓/๑ เพิ่มโดยประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตเรื่อง อายุข้อมูลในการประมวลผลข้อมูลเพื่อการจัดทำคะแนนเครดิตหรือรายงานเชิงสถิติและการกำหนดหลักเกณฑ์และเงื่อนไขเกี่ยวกับการประมวลผลของบริษัทข้อมูลเครดิต (ฉบับที่๒)[๔] ราชกิจจานุเบกษาเล่ม ๑๓๔/ตอนพิเศษ ๒๒๘ ง/หน้า ๒๓/๑๘ กันยายน ๒๕๖๐