ประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตประกาศคณะกรรมการคุ้มครองข้อมูลเครดิตเรื่องหลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดระบบและข้อกำหนดเพื่อประมวลผลข้อมูล[๑] คณะกรรมการคุ้มครองข้อมูลเครดิตอาศัยอำนาจตามความในมาตรา๑๗ แห่งพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. ๒๕๔๕ กำหนดหลักเกณฑ์วิธีการ และเงื่อนไข สำหรับบริษัทข้อมูลเครดิตในการประมวลผลข้อมูลเครดิต ดังนี้ข้อ ๑บริษัทข้อมูลเครดิตต้องจัดให้มีระบบจำแนกข้อมูล คือ(๑)ข้อเท็จจริงที่บ่งชี้ถึงตัวลูกค้าที่ขอสินเชื่อ(๒) ประวัติการได้รับอนุมัติสินเชื่อ(๓) ประวัติการชำระสินเชื่อและการชำระราคาสินค้าหรือบริการโดยบัตรเครดิต(๔)ข้อมูลที่บ่งชี้ถึงตัวสมาชิกผู้ให้ข้อมูลหรือเจ้าของข้อมูลข้อ ๒ เพื่อให้ข้อมูลมีความทันสมัยอยู่เสมอบริษัทข้อมูลเครดิตต้องกำหนดระเบียบปฏิบัติเพื่อให้สมาชิกแจ้งข้อมูลที่มีการเปลี่ยนแปลงให้บริษัทข้อมูลเครดิตทราบโดยเมื่อตรวจสอบพบความไม่ทันสมัยต้องแจ้งต่อสมาชิกผู้ส่งข้อมูลดังกล่าวเพื่อดำเนินการแก้ไขโดยทันทีข้อ ๓บริษัทข้อมูลเครดิตต้องจัดให้มีระบบการแก้ไขข้อมูลให้มีความถูกต้องโดยเมื่อตรวจสอบพบความไม่ถูกต้องต้องแจ้งต่อสมาชิกผู้ส่งข้อมูลดังกล่าวเพื่อดำเนินการแก้ไขโดยทันทีข้อ ๔บริษัทข้อมูลเครดิตต้องมีระบบรักษาความลับและความปลอดภัยของข้อมูลเพื่อป้องกันไม่ให้มีการนำข้อมูลไปใช้ผิดวัตถุประสงค์ของการประกอบธุรกิจข้อมูลเครดิตและไม่ให้ผู้ไม่มีสิทธิได้รับรู้ข้อมูลได้ล่วงรู้ข้อมูลดังกล่าวรวมทั้งระบบป้องกันไม่ให้ข้อมูลถูกแก้ไข ทำให้เสียหายหรือถูกทำลายโดยไม่ชอบหรือโดยไม่ได้รับอนุญาตอย่างน้อยดังนี้(๑)กำหนดให้สมาชิกหรือผู้ใช้บริการต้องมีระบบยืนยันผู้ใช้ โดยอย่างน้อยต้องกำหนดให้มีรหัสผู้ใช้งาน (UserID) และ รหัสผ่านเพื่อการใช้งาน(Password) เพื่อป้องกันการเรียกดูข้อมูลโดยไม่ได้รับอนุญาตหรือโดยบุคคลที่ไม่เกี่ยวข้อง(๒) การเข้าถึงและ/หรือแก้ไขข้อมูลของสมาชิกหรือผู้ใช้บริการทุกครั้งต้องมีระบบบันทึกและยืนยันไว้เพื่อเป็นหลักฐานที่อ้างอิงได้(๓) คอมพิวเตอร์ หรืออุปกรณ์ หรือเครื่องมือใด ๆทุกชนิด ที่เชื่อมต่อกับฐานข้อมูลของบริษัทข้อมูลเครดิตไม่ว่าจะใช้สายหรือไร้สายจะต้องได้รับการออกแบบติดตั้งระบบรักษาความปลอดภัยและมีระบบเตือนภัย (Alertreport) เพื่อป้องกันการดักหรือลักลอบดูหรือโจรกรรมข้อมูลหรือก่อความเสียหายที่อาจจะเกิดขึ้นหรือเกิดแก่ข้อมูลและ/หรือฐานข้อมูลของบริษัทข้อมูลเครดิต นอกจากนี้ต้องมีระเบียบปฏิบัติให้ผู้ที่เกี่ยวข้องมีการทดสอบหรือใช้ระบบรักษาความปลอดภัยดังกล่าวตามกำหนดเวลาที่ชัดเจนและเคร่งครัดข้อ ๕บริษัทข้อมูลเครดิตต้องจัดให้มีระบบการขอใช้ข้อมูลและระบบการรายงานข้อมูลตามปกติโดยอย่างน้อยต้องประกอบด้วย คู่มือการใช้งาน เพื่ออำนวยความสะดวกให้กับสมาชิกหรือผู้ใช้บริการข้อ ๖บริษัทข้อมูลเครดิตต้องจัดให้มีระบบในการอำนวยความสะดวกให้กับเจ้าของข้อมูลในการตรวจสอบข้อมูลเครดิตโดยบริษัทข้อมูลเครดิตต้องประกาศกำหนดวันและเวลาที่เจ้าของข้อมูลจะสามารถขอตรวจสอบข้อมูลเครดิตได้ตามความเหมาะสมข้อ ๗บริษัทข้อมูลเครดิตต้องมีระเบียบปฏิบัติที่ชัดเจนสำหรับเจ้าของข้อมูลที่ต้องการจะตรวจสอบและแก้ไขข้อมูลที่มีอยู่ในกรณีที่เกิดข้อโต้แย้งที่ไม่อาจหาข้อยุติได้หรือมีการแก้ไขข้อมูลระหว่างบริษัทข้อมูลเครดิตกับเจ้าของข้อมูลบริษัทข้อมูลเครดิตต้องบันทึกข้อโต้แย้งพร้อมหลักฐานประกอบของเจ้าของข้อมูลไว้ในระบบข้อมูลของเจ้าของข้อมูลเพื่อใช้ในการตรวจสอบและเป็นหลักฐานอ้างอิงต่อไปรวมทั้งต้องแจ้งข้อมูลที่แก้ไขให้แก่แหล่งข้อมูลสมาชิกหรือผู้ใช้บริการที่เกี่ยวข้องเพื่อนำไปแก้ไขข้อมูลให้ถูกต้องต่อไปด้วยข้อ ๘ หากมีข้อโต้แย้งเกิดขึ้นระหว่างสมาชิกหรือผู้ใช้บริการกับบริษัทข้อมูลเครดิต หรือกับเจ้าของข้อมูลและไม่อาจหาข้อยุติได้ให้บริษัทข้อมูลเครดิตต้องบันทึกข้อโต้แย้งนั้นในระบบข้อมูลของเจ้าของข้อมูลนั้นเพื่อใช้ในการตรวจสอบและเป็นหลักฐานอ้างอิงต่อไปพร้อมกับแจ้งให้บุคคลที่เกี่ยวข้องทราบด้วยข้อ ๙บริษัทข้อมูลเครดิตต้องมีระบบบันทึกการขอใช้ข้อมูลและการรายงานผลทุกครั้งเมื่อมีผู้เข้าถึงข้อมูลโดยระบบและการรายงานต้องสามารถระบุรหัสผู้ใช้งาน พร้อมทั้งวันที่เข้าถึงข้อมูลซึ่งสามารถตรวจสอบได้เมื่อมีปัญหาและข้อโต้แย้ง ทั้งนี้ ให้เก็บข้อมูลดังกล่าวมีกำหนดระยะเวลาไม่น้อยกว่าสองปีนับแต่วันที่มีการบันทึกของการเข้าถึงและออกจากข้อมูลเพื่อให้เจ้าของข้อมูลตรวจสอบได้ข้อ ๑๐บริษัทข้อมูลเครดิตต้องจัดให้มีระบบฐานข้อมูลของทะเบียนหนังสือคำยินยอมให้เปิดเผยข้อมูลจากเจ้าของข้อมูลไว้โดยอาจจัดเก็บในรูปแบบอิเล็คทรอนิกส์หรือเอกสารต้นฉบับซึ่งอย่างน้อยต้องเรียงลำดับชื่อหรือนามสกุลตามตัวอักษรวันที่ให้ความยินยอม และชื่อสมาชิกผู้รับใบให้คำยินยอมเพื่อประโยชน์ในการตรวจสอบคำยินยอมดังกล่าวกรณีมีการร้องขอจากเจ้าของข้อมูลหรือสมาชิกหรือผู้ใช้บริหาร หรือศาล หรือพนักงานสอบสวน ในการนี้ระบบฐานข้อมูลดังกล่าวต้องสามารถเข้าถึงได้อย่างรวดเร็วและถูกต้องข้อ ๑๑บริษัทข้อมูลเครดิตต้องจัดให้มีระบบสำรองข้อมูลและระบบประมวลผลสำรองเตรียมพร้อมอยู่เสมอหากเกิดปัญหาขึ้นกับระบบข้อมูลหลักข้อ ๑๒ บริษัทข้อมูลเครดิตต้องมีระบบหรือโปรแกรมที่พัฒนาขึ้นเพื่อทำลายข้อมูลที่มีอายุเกินกว่าที่คณะกรรมการกำหนด ทั้งนี้บริษัทข้อมูลเครดิตต้องมีคู่มือที่บ่งบอกถึงขั้นตอนและระเบียบวิธีปฏิบัติในการทำลายข้อมูลให้ชัดเจนข้อ ๑๓ บริษัทข้อมูลเครดิตจะต้องจัดให้มีผู้เชี่ยวชาญภายนอกซึ่งธนาคารแห่งประเทศไทยได้ให้ความเห็นชอบทำการตรวจสอบระบบที่เกี่ยวข้องกับการประมวลผลข้อมูลทุกระบบ (SystemAudit)และออกรายงานยืนยันความถูกต้องครบถ้วนของทุกระบบอย่างน้อยปีละหนึ่งครั้งประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ในประกาศนี้เป็นต้นไปประกาศณ วันที่ ๒๖ ธันวาคม พ.ศ. ๒๕๔๖ปรีดิยาธร เทวกุลประธานคณะกรรมการคุ้มครองข้อมูลเครดิตวฤษาย์/ผู้จัดทำ๒๑ตุลาคม ๒๕๕๒[๑]ราชกิจจานุเบกษา เล่ม ๑๒๕/ตอนพิเศษ ๑๗ ง/หน้า ๒๓/๒๔ มกราคม ๒๕๕๑