Credit Reporting Agencies Act 2010 s 26

Penyimpanan dan keselamatan maklumat kredit

(1) Sesuatu agensi pelaporan kredit hendaklah, apabila memproses apa-apa maklumat kredit, mengambil langkah praktik untuk melindungi maklumat kredit itu daripada apa-apa kehilangan, salah guna, ubah suaian, akses atau penzahiran tanpa kebenaran atau tidak sengaja, pengubahan atau pemusnahan dengan mengambil kira— (a) jenis maklumat kredit dan kemudaratan yang mungkin diakibatkan oleh kehilangan, salah guna, ubah suaian, akses atau penzahiran tanpa kebenaran atau tidak sengaja, pengubahan atau pemusnahan itu; (b) tempat atau lokasi di mana maklumat kredit itu disimpan; (c) apa-apa langkah keselamatan yang dimasukkan ke dalam mana-mana kelengkapan yang dalamnya maklumat kredit itu disimpan; (d) langkah yang diambil bagi memastikan kebolehpercayaan, integriti dan kewibawaan personel yang mempunyai akses kepada maklumat kredit itu; dan (e) langkah yang diambil bagi memastikan pemindahan maklumat kredit itu secara selamat. (2) Jika pemprosesan maklumat kredit dijalankan oleh pemproses maklumat kredit bagi pihak agensi pelaporan kredit, agensi pelaporan kredit itu hendaklah, bagi maksud melindungi maklumat kredit itu daripada apa-apa kehilangan, salah guna, ubah suaian, akses atau penzahiran yang tidak dibenarkan atau tidak sengaja, pengubahan atau pemusnahan, memastikan bahawa pemproses maklumat kredit itu— (a) memberikan jaminan yang mencukupi berkenaan dengan langkah keselamatan teknikal dan organisasi yang mengawal pemprosesan yang akan dijalankan; dan (b) mengambil tindakan yang munasabah untuk memastikan pematuhan langkah itu. (3) Tanpa mengehadkan keluasan subseksyen (1) dan (2), suatu agensi pelaporan kredit hendaklah mengambil langkah yang berikut untuk memelihara maklumat kredit yang dipegangnya daripada akses yang tidak dibenarkan atau salah guna: (a) membangunkan dasar dan tatacara bertulis yang hendak diikuti oleh pemproses maklumat kreditnya, pekerja, ejen dan kontraktornya, atau mana-mana orang lain yang memberikan perkhidmatan kepadanya; (b) mengenakan kawalan pengesahan akses seperti menggunakan kata laluan, token tauliah, tandatangan digital atau mekanisme lain; (c) memberikan maklumat dan latihan kepada pekerjanya untuk memastikan pematuhan dasar, tatacara dan kawalan itu; (d) memastikan bahawa suatu perjanjian langganan yang mematuhi Jadual Keempat diadakan sebelum menzahirkan maklumat kredit kepada orang yang melanggan; (e) mengenal pasti dan menyiasat pelanggaran yang mungkin terjadi terhadap perjanjian langganan, dasar, tatacara dan kawalan itu; (f) mengambil tindakan yang segera dan berkesan berkenaan dengan apa-apa pelanggaran yang dikenal pasti; (g) mengkaji semula secara sistematik keberkesanan dasar, tatacara dan kawalan itu dan meremedi apa-apa kekurangan dengan segera; dan (h) menyenggarakan suatu log akses. (4) Tanpa menjejaskan seksyen 27, suatu agensi pelaporan kredit hendaklah memastikan bahawa jika maklumat kredit itu perlu diberikan kepada seseorang yang berkaitan dengan pemberian suatu perkhidmatan kepada agensi pelaporan kredit, agensi pelaporan kredit itu hendaklah mengambil semua langkah yang munasabah untuk menghalang apa-apa kehilangan, salah guna, ubah suaian, akses atau penzahiran tanpa kebenaran atau tidak sengaja, pengubahan atau pemusnahan maklumat kredit itu. (5) Kawalan pengesahan akses yang dikehendaki di bawah perenggan (3)(b) hendaklah termasuk, berkenaan dengan sesuatu akses yang dibuat, suatu cara untuk mengenal pasti kedua-dua orang yang melanggan dan orang tertentu bagi orang yang melanggan itu yang mempunyai akses kepada maklumat kredit itu, atau orang lain yang mempunyai akses kepada maklumat kredit itu. (6) Log akses yang dikehendaki di bawah perenggan (3)(h)— (a) hendaklah termasuk suatu rekod mengenai masa dan tarikh akses kepada maklumat kredit itu, identiti orang yang melanggan atau orang lain yang mempunyai akses kepada maklumat kredit itu, dan maksud yang berhubungan dengan setiap akses itu; dan (b) hendaklah mengenal pasti atau memberikan suatu cara untuk mengenal pasti orang tertentu bagi orang yang melanggan yang telah mengakses maklumat kredit itu dan pelanggan tertentu yang maklumat kreditnya telah diakses. (7) Sesuatu agensi pelaporan kredit hendaklah memastikan bahawa log akses mengandungi rekod mengenai semua akses yang dibuat bagi suatu tempoh tidak kurang daripada dua tahun sebelum tarikh akses itu. (8) Sesuatu agensi pelaporan kredit yang melanggar seksyen ini melakukan suatu kesalahan dan boleh, apabila disabitkan, didenda tidak melebihi lima ratus ribu ringgit atau dipenjarakan selama tempoh tidak melebihi dua tahun atau kedua-duanya.