ประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการขึ้นทะเบียนกิจกรรมทางอิเล็กทรอนิกส์การขอรับความเห็นชอบการใช้บริการบุคคลภายนอก และการรับรองระบบสารสนเทศ พ.ศ. 2560

• จำนวนมาตรา: 8

มาตรา อารัมภบท

ประกาศสํานักงานคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย

เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการขึ้นทะเบียนกิจกรรมทางอิเล็กทรอนิกส์

การขอรับความเห็นชอบการใช้บริการบุคคลภายนอก และการรับรองระบบสารสนเทศ

พ.ศ. 2560

อาศัยอํานาจตามความในข้อ 18 (2) (3) และข้อ 19 (2) (4) แห่งประกาศคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออกกรมธรรม์ประกันภัย การเสนอขายกรมธรรม์ประกันภัย และการชดใช้เงิน หรือค่าสินไหมทดแทนตามสัญญาประกันภัย โดยใช้วิธีการทางอิเล็กทรอนิกส์ พ.ศ. 2560 สํานักงานคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย จึงออกประกาศไว้ ดังต่อไปนี้

มาตรา ข้อ ๑

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศสํานักงานคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการขึ้นทะเบียนกิจกรรมทางอิเล็กทรอนิกส์ การขอรับความเห็นชอบการใช้บริการบุคคลภายนอก และการรับรองระบบสารสนเทศ พ.ศ. 2560”

มาตรา ข้อ ๒

ข้อ ๒ ประกาศนี้ให้ใช้บังคับตั้งแต่วันประกาศเป็นต้นไป

มาตรา ข้อ ๓

ข้อ ๓ ในประกาศนี้

“สํานักงาน” หมายความว่า สํานักงานคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย

“บริษัท” หมายความว่า บริษัทประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย

“นายหน้าประกันวินาศภัย” หมายความว่า นายหน้าประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย ไม่รวมถึงธนาคาร

“ธนาคาร” หมายความว่า ธนาคารที่ได้รับใบอนุญาตเป็นนายหน้าประกันวินาศภัยตามกฎหมายว่าด้วยการประกันวินาศภัย

“ผู้ให้บริการซึ่งเป็นบุคคลภายนอก” หมายความว่า ผู้ซึ่งมีระบบสารสนเทศไว้ให้บริการในการเสนอขายกรมธรรม์ประกันภัยผ่านทางอิเล็กทรอนิกส์ การใช้วิธีการทางอิเล็กทรอนิกส์ประกอบการเสนอขายกรมธรรม์ประกันภัย การออกกรมธรรม์ประกันภัย หรือการชดใช้เงิน หรือค่าสินไหมทดแทนตามสัญญาประกันภัย ตามประกาศคณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย ว่าด้วยหลักเกณฑ์ วิธีการออกกรมธรรม์ประกันภัย การเสนอขายกรมธรรม์ประกันภัย และการชดใช้เงินหรือค่าสินไหมทดแทนตามสัญญาประกันภัย โดยใช้วิธีการทางอิเล็กทรอนิกส์

“ผู้ตรวจสอบอิสระ” หมายความว่า ผู้ตรวจสอบอิสระที่ได้รับประกาศนียบัตร Certified Information System Auditor (CISA), Certified Information Security Manager (CISM), Certified Information System Security Professional (CISSP) หรือ ISO 27001 Information Security Management หรือโดยหน่วยงานรับรองระบบสารสนเทศ (Certified Body)

“หน่วยงานรับรองระบบสารสนเทศ” หมายความว่า หน่วยงานที่ทําหน้าที่ตรวจรับรองระบบสารสนเทศตามมาตรฐานด้านความปลอดภัยของข้อมูล ได้แก่ The British Standards Institution (BSI) หรือ Bureau Veritas หรือหน่วยงานอื่นที่ได้รับการขึ้นทะเบียนจากหน่วยรับรองระบบงาน (Accreditation Body) ได้แก่ United Kingdom Accreditation Service (UKAS) ANSI - ASQ National Accreditation Board (ANAB) และสํานักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม (สมอ.) หรือหน่วยรับรองระบบงานอื่นที่สํานักงานยอมรับ

มาตรา ข้อ ๔

ข้อ ๔ ให้บริษัทที่ประสงค์จะขอขึ้นทะเบียนยื่นคําขอต่อสํานักงานตามแบบ อว. 1 ที่แนบท้ายประกาศนี้ พร้อมเอกสารหลักฐานประกอบคําขอ ดังต่อไปนี้เป็นอย่างน้อย

(1) เอกสารแสดงกิจกรรมและรายละเอียดที่ต้องการใช้วิธีการทางอิเล็กทรอนิกส์

(2) แผนผัง (Flow chart) และขั้นตอนของกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(3) เอกสารแสดงระบบสารสนเทศและวิธีการทางอิเล็กทรอนิกส์ที่ใช้เพื่อรองรับกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(4) แนวนโยบายและแนวปฏิบัติด้านการบริหารจัดการความเป็นส่วนตัวและข้อมูลส่วนบุคคล

(5) หนังสือรับรองการตรวจรับรองการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศในระดับเคร่งครัดสําหรับกิจกรรมตาม (1) โดยผู้ตรวจสอบอิสระตามหนังสือรับรองตามแบบ อว. 3 ที่แนบท้ายประกาศนี้ หรือประกาศนียบัตรที่ออกโดยหน่วยงานรับรองระบบสารสนเทศ ทั้งนี้ บริษัทต้องแสดงข้อมูลแก่สํานักงานจนเป็นที่พอใจได้ว่าระบบสารสนเทศที่ได้รับการรับรองตามประกาศนียบัตรดังกล่าวมีความมั่นคงปลอดภัยของระบบสารสนเทศในระดับเคร่งครัดสําหรับกิจกรรมตาม (1)

มาตรา ข้อ ๕

ข้อ ๕ ให้นายหน้าประกันวินาศภัย หรือธนาคารที่ประสงค์จะขอขึ้นทะเบียนยื่นคําขอต่อสํานักงานตามแบบ อว. 2 ที่แนบท้ายประกาศนี้ พร้อมเอกสารหลักฐานประกอบคําขอ ดังต่อไปนี้เป็นอย่างน้อย

(1) เอกสารแสดงกิจกรรมและรายละเอียดที่ต้องการใช้วิธีการทางอิเล็กทรอนิกส์

(2) แผนผัง (Flow chart) และขั้นตอนของกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(3) เอกสารแสดงระบบสารสนเทศและวิธีการทางอิเล็กทรอนิกส์ที่ใช้เพื่อรองรับกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(4) แนวนโยบายและแนวปฏิบัติด้านการบริหารจัดการความเป็นส่วนตัวและข้อมูลส่วนบุคคล

(5) หนังสือรับรองการตรวจรับรองการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศของบริษัท และนายหน้าประกันวินาศภัย หรือธนาคาร ในระดับเคร่งครัดสําหรับกิจกรรมตาม (1) โดยผู้ตรวจสอบอิสระตามหนังสือรับรองตามแบบ อว. 3 ที่แนบท้ายประกาศนี้ หรือประกาศนียบัตรที่ออกโดยหน่วยงานรับรองระบบสารสนเทศ ทั้งนี้ บริษัท และนายหน้าประกันวินาศภัย หรือธนาคารต้องแสดงข้อมูลแก่สํานักงานจนเป็นที่พอใจได้ว่าระบบสารสนเทศที่ได้รับการรับรองตามประกาศนียบัตรดังกล่าวมีความมั่นคงปลอดภัยของระบบสารสนเทศในระดับเคร่งครัดสําหรับกิจกรรมตาม (1)

มาตรา ข้อ ๖

ข้อ ๖ ในการขอขึ้นทะเบียนและขอรับความเห็นชอบการใช้บริการบุคคลภายนอกให้บริษัทดําเนินการหรือจัดการให้นายหน้าประกันวินาศภัย หรือธนาคาร ดําเนินการยื่นคําขอต่อสํานักงานตามแบบ อว. 4 ที่แนบท้ายประกาศนี้ พร้อมเอกสารหลักฐานประกอบคําขอ ดังต่อไปนี้เป็นอย่างน้อย

(1) เอกสารแสดงกิจกรรมและรายละเอียดที่ต้องการใช้วิธีการทางอิเล็กทรอนิกส์

(2) แผนผัง (Flow chart) และขั้นตอนของกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(3) เอกสารแสดงระบบสารสนเทศและวิธีการทางอิเล็กทรอนิกส์ที่ใช้เพื่อรองรับกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์

(4) หนังสือรับรองการตรวจรับรองการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศของผู้ให้บริการซึ่งเป็นบุคคลภายนอก และของบริษัท นายหน้าประกันวินาศภัย หรือธนาคารในระดับเคร่งครัดสําหรับกิจกรรมตาม (1) โดยผู้ตรวจสอบอิสระตามหนังสือรับรองตามแบบ อว. 3 ที่แนบท้ายประกาศนี้ หรือประกาศนียบัตรที่ออกโดยหน่วยงานรับรองระบบสารสนเทศ ทั้งนี้ บริษัท นายหน้าประกันวินาศภัย หรือธนาคาร ต้องแสดงข้อมูลแก่สํานักงานจนเป็นที่พอใจได้ว่าระบบสารสนเทศที่ได้รับการรับรองตามประกาศนียบัตรดังกล่าว มีความมั่นคงปลอดภัยของระบบสารสนเทศในระดับเคร่งครัดสําหรับกิจกรรมตาม (1)

(5) เอกสารแสดงเหตุผลและข้อมูลเกี่ยวกับการกําหนดนโยบาย กระบวนการและวิธีปฏิบัติที่ชัดเจน เช่น ระบบการประเมินความเสี่ยง การบริหารความเสี่ยง ขั้นตอนของการบริการ การควบคุมภายในการรักษาความปลอดภัย และแผนรองรับกรณีที่บุคคลภายนอกไม่สามารถให้บริการได้

(6) สําเนาสัญญาใช้บริการระบบสารสนเทศระหว่างผู้ให้บริการซึ่งเป็นบุคคลภายนอก และบริษัท นายหน้าประกันวินาศภัย หรือธนาคาร แล้วแต่กรณี ซึ่งครอบคลุมเงื่อนไข ดังต่อไปนี้

(ก) มาตรการรักษาความมั่นคงปลอดภัยเพื่อคุ้มครองข้อมูลส่วนบุคคล

(ข) การป้องกันการใช้หรือเปิดเผยโดยมิชอบ

(ค) การรายงานถึงความผิดปกติและการรายงานถึงการละเมิดข้อมูลส่วนบุคคล

(ง) การป้องกันการจ้างช่วง

(จ) สิทธิการตรวจสอบโดยบริษัทและสํานักงาน

(ฉ) การคืน ทําลาย หรือลบข้อมูลส่วนบุคคล

(ช) ผลของการละเมิดเงื่อนไข

มาตรา ข้อ ๗

ข้อ ๗ ในกรณีที่ บริษัท นายหน้าประกันวินาศภัย หรือธนาคารยื่นคําขอขึ้นทะเบียนหรือคําขอรับความเห็นชอบการใช้บริการบุคคลภายนอก พร้อมเอกสารหลักฐานประกอบคําขอไม่ถูกต้องครบถ้วน สํานักงานจะแจ้งให้บริษัท นายหน้าประกันวินาศภัย หรือธนาคารดําเนินการแก้ไขหรือยื่นเอกสารหลักฐานประกอบคําขอเพิ่มเติม ภายในระยะเวลาที่สํานักงานกําหนด

หากไม่ดําเนินการแก้ไข หรือยื่นเอกสารหลักฐานประกอบคําขอเพิ่มเติมให้ถูกต้องครบถ้วนภายในระยะเวลาดังกล่าว โดยปราศจากเหตุอันสมควร สํานักงานมีสิทธิปฏิเสธการพิจารณาคําขอดังกล่าวได้

มาตรา ข้อ ๘

ข้อ ๘ ในการพิจารณาคําขอขึ้นทะเบียน หรือคําขอรับความเห็นชอบการใช้บริการบุคคลภายนอก สํานักงานจะพิจารณาคําขอให้แล้วเสร็จภายในสามสิบวันนับแต่วันที่ได้รับคําขอพร้อมเอกสารประกอบคําขอครบถ้วนแล้ว เว้นแต่กรณีจําเป็นหรือมีเหตุอันสมควร สํานักงานอาจขยายระยะเวลาออกไปก็ได้ ทั้งนี้ ไม่เกินสองครั้ง และครั้งละไม่เกินสิบห้าวัน และเมื่อได้รับความเห็นชอบแล้ว บริษัท นายหน้าประกันวินาศภัย หรือธนาคาร แล้วแต่กรณี ต้องดําเนินการให้เป็นไปตามที่ยื่นขอขึ้นทะเบียน หรือขอรับความเห็นชอบไว้ตลอดเวลา

ในกรณีมีการแก้ไขเพิ่มเติม หรือเปลี่ยนแปลงข้อมูลที่เคยได้รับความเห็นชอบ ให้บริษัทนายหน้าประกันวินาศภัย หรือธนาคาร แล้วแต่กรณี ขอความเห็นชอบแก้ไขเพิ่มเติมหรือเปลี่ยนแปลงข้อมูลเป็นลายลักษณ์อักษร ทั้งนี้ หากเป็นการแก้ไขเพิ่มเติม หรือเปลี่ยนแปลงข้อมูลเกี่ยวกับกิจกรรมที่ใช้วิธีการทางอิเล็กทรอนิกส์ หรือระบบสารสนเทศที่ใช้กับกิจกรรม ให้บริษัท นายหน้าประกันวินาศภัย หรือธนาคาร ยื่นคําขอขึ้นทะเบียนหรือขอรับความเห็นชอบตามแบบ อว. 1 อว. 2 หรือ อว. 4 ฉบับใหม่ พร้อมเอกสารหลักฐานประกอบคําขอด้วย

บริษัท นายหน้าประกันวินาศภัย หรือธนาคารใด ยื่นคําขอขึ้นทะเบียน หรือคําขอรับความเห็นชอบการใช้บริการบุคคลภายนอก พร้อมเอกสารหลักฐานประกอบคําขอกับสํานักงานภายในหนึ่งร้อยแปดสิบวันนับแต่วันที่ประกาศนี้ใช้บังคับ ให้บริษัท นายหน้าประกันวินาศภัย หรือธนาคารนั้น สามารถดําเนินการตามที่ได้ยื่นคําขอไปพลางก่อนได้ จนกว่าสํานักงานจะแจ้งผลการพิจารณาเป็นอย่างอื่นเป็นลายลักษณ์อักษร ทั้งนี้ ภายในระยะเวลาไม่เกินเก้าสิบวันนับแต่วันที่สํานักงานได้รับคําขอพร้อมเอกสารประกอบคําขอครบถ้วนแล้ว

ผู้มีอํานาจลงนาม - ณ วันที่ 25 พฤษภาคม พ.ศ. 2560

สุทธิพล ทวีชัยการ

เลขาธิการ

คณะกรรมการกํากับและส่งเสริมการประกอบธุรกิจประกันภัย