Đã có Dự thảo Luật Bảo vệ dữ liệu cá nhân
Bộ Công an đang lấy ý kiến về Dự thảo Luật Bảo vệ dữ liệu cá nhân. Trong đó, có những nội dung đáng chú ý như dữ liệu cơ bản/nhạy cảm của cá nhân hay các bên khai thác dữ liệu của cá nhân. Cụ thể như sau. https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/9/24/dt-luat-du-lieu-ca-nhan.docx Dự thảo Luật Bảo vệ dữ liệu cá nhân (1) Dữ liệu cá nhân cơ bản và dữ liệu nhạy cảm Cụ thể, tại khoản 3 Điều 2 Dự thảo Luật Bảo vệ dữ liệu cá nhân có nêu rõ, dữ liệu cá nhân cơ bản là thông tin cơ bản của công dân hoặc các thông tin khác không phải dữ liệu cá nhân nhạy cảm, gắn liền với danh tính của công dân, bao gồm: - Họ, chữ đệm và tên khai sinh, bí danh (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số CMND, số định danh cá nhân, số hộ chiếu, số căn cước công dân, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng. - Các thông tin khác gắn liền với danh tính của công dân không thuộc quy định tại 4 Điều này. Bên cạnh, tại Dự thảo Luật cũng có đề cập đến dữ liệu cá nhân nhạy cảm là thông tin khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của tổ chức, cá nhân, gắn liền với quyền riêng tư của cá nhân, bao gồm: - Quan điểm chính trị, quan điểm tôn giáo. - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu. - Thông tin liên quan đến nguồn gốc chủng tộc, thông tin liên quan đến nguồn gốc dân tộc. - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân. - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân. - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân. - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật. - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Thông tin về người sử dụng đất, dữ liệu đất đai có chứa thông tin về người sử dụng đất. - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. (2) Sự đồng ý của chủ thể dữ liệu Cụ thể, sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, ngoại trừ trường hợp luật có quy định khác. Cụ thể, sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực nếu dựa trên sự tự nguyện và biết rõ các nội dung sau: - Loại dữ liệu cá nhân được xử lý. - Mục đích xử lý dữ liệu cá nhân. - Tổ chức, cá nhân được xử lý dữ liệu cá nhân. - Các quyền, nghĩa vụ của chủ thể dữ liệu. Không được kèm theo điều kiện bắt buộc phải đồng ý chuyển giao dữ liệu cá nhân của chủ thể dữ liệu cho các dịch vụ khác không đúng mục đích thu thập. Chủ thể dữ liệu có quyền từ chối điều kiện này. Sự đồng ý của chủ thể dữ liệu phải được đưa ra bởi một hành động khẳng định tạo ra một chỉ dẫn rõ ràng, cụ thể, như: Bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra. Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. - Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. - Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo. - Đối với xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. - Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản. - Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thể dữ liệu thuộc về Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. Thông qua việc ủy quyền theo quy định của Bộ luật Dân sự, tổ chức, cá nhân có thể thay mặt chủ thể dữ liệu thực hiện các thủ tục liên quan tới xử lý dữ liệu cá nhân của chủ thể dữ liệu với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân trong trường hợp chủ thể dữ liệu đã biết rõ và đồng ý theo quy định tại khoản 3 Điều 11 Dự thảo Luật, trừ trường hợp luật có quy định khác. (3) Mạng xã hội hoạt động tại Việt Nam không được yêu cầu chụp ảnh CCCD làm yếu tố xác thực tài khoản Cụ thể, tại Điều 31 Dự thảo Luật Bảo vệ dữ liệu cá nhân có đề xuất các tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông được cung cấp trực tiếp đến người xem thông qua không gian mạng (OTT) có trách nhiệm như sau: - Bảo vệ dữ liệu cá nhân của công dân Việt Nam khi hoạt động tại thị trường Việt Nam hoặc xuất hiện trên kho ứng dụng di động cung cấp cho thị trường Việt Nam. - Thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cài đặt và sử dụng mạng xã hội, dịch vụ OTT. Không thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng. - Không được yêu cầu chụp ảnh CCCD, CMND làm yếu tố xác thực tài khoản. - Cung cấp lựa chọn cho phép người dùng từ chối thu thập cookies và chia sẻ cookies. - Cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ OTT khi có sự đồng ý của người sử dụng. - Thông báo cụ thể, rõ ràng, bằng văn bản về việc chia sẻ dữ liệu cá nhân cũng như áp dụng biện pháp bảo mật khi thực hiện hoạt động quảng cáo, tiếp thị dựa trên dữ liệu cá nhân của khách hàng. - Nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của chủ thể dữ liệu là hành vi vi phạm pháp luật. Bên cạnh đó, tại Dự thảo Luật cũng nêu rõ, dữ liệu cá nhân đăng ký tài khoản mạng xã hội, dịch vụ OTT không phải là dữ liệu công khai và không thuộc trường hợp được xử lý mà không cần có sự đồng ý của chủ thể dữ liệu. Xem thêm: Thông tin về đời sống tình dục, xu hướng tình dục là dữ liệu nhạy cảm của cá nhân
Xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào?
Theo quy định pháp luật thì xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào? Cá nhân có quyền xóa dữ liệu về tình trạng hôn nhân không? Xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào? Theo quy định tại khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP có quy định dữ liệu cá nhân bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại khoản 4 Điều này. Như vậy, theo quy định trên thì tình trạng hôn nhân là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân cơ bản và được bảo vệ bởi pháp luật. Và căn cứ quy định tại Điều 4 Nghị định 13/2023/NĐ-CP, trong trường hợp cơ quan, tổ chức, cá nhân vi phạm về bảo vệ dữ liệu cá nhân thì sẽ bị xử lý như sau: - Xử lý kỷ luật; - Xử phạt vi phạm hành chính; - Xử lý hình sự. Theo đó, tùy vào tính chất và mức độ vi phạm mà hành vi xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân sẽ bị xử lý khác nhau. Trong đó, với mức cao nhất là xử lý hình sự. Cá nhân có quyền xóa dữ liệu về tình trạng hôn nhân không? Căn cứ theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu cá nhân có 11 quyền liên quan đến dữ liệu của mình. Cụ thể như sau: (1) Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (2) Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định này. (3) Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (4) Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. (5) Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (6) Quyền hạn chế xử lý dữ liệu - Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; - Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. (7) Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (8) Quyền phản đối xử lý dữ liệu - Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; - Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. (9) Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. (10) Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. (11) Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật Dân sự 2015, luật khác có liên quan và Nghị định này, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật Dân sự 2015. Như vậy, theo quy định nêu trên thì cá nhân là chủ thể của dữ liệu có quyền được xóa hoặc yêu cầu xóa dữ liệu cá nhân về tình trạng hôn nhân của mình, trừ trường hợp luật có quy định khác. Tóm lại, tùy vào tính chất và mức độ vi phạm mà hành vi xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân sẽ bị xử lý khác nhau bằng các biện pháp xử lý: kỷ luật, hành chính và hình sự.
Công dân có những quyền nào đối với dữ liệu về tình trạng sức khỏe và đời tư của mình hay không?
Dữ liệu cá nhân có bao gồm tình trạng sức khỏe và đời tư không? Công dân có quyền nào đối với dữ liệu về tình trạng sức khỏe và đời tư? Dữ liệu cá nhân có bao gồm tình trạng sức khỏe và đời tư không? Căn cứ theo quy định tại khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP có quy định như sau: - Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: + Quan điểm chính trị, quan điểm tôn giáo; + Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; + Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; + Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; + Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; + Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; + Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; + Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; + Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; + Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. Như vậy, theo quy định nêu trên thì tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân nhạy cảm và được bảo vệ bởi pháp luật. Công dân có những quyền gì đối với dữ liệu về tình trạng sức khỏe và đời tư? Căn cứ theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu cá nhân có 11 quyền liên quan đến dữ liệu cá nhân như sau: (1) Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (2) Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định này. (3) Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (4) Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. (5) Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (6) Quyền hạn chế xử lý dữ liệu - Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; - Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. (7) Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (8) Quyền phản đối xử lý dữ liệu - Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; - Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. (9) Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. (10) Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. (11) Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật Dân sự, luật khác có liên quan và Nghị định này, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật Dân sự 2015. Như vậy, theo quy định nêu trên, đối với dữ liệu về tình trạng sức khỏe và đời tư công dân có các quyền nêu trên. Tóm lại, tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân nhạy cảm và được bảo vệ bởi pháp luật.
Vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không?
Với việc phát triển của công nghệ, nhất là mạng xã hội ngày nay thì quy định của pháp luật có các nguyên tắc bảo vệ dữ liệu cá nhân nào? Nếu có vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không? Có bao nhiêu nguyên tắc bảo vệ dữ liệu cá nhân? Theo quy định tại Điều 3 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân nói rằng có các nguyên tắc bảo vệ dữ liệu cá nhân như sau: - Dữ liệu cá nhân được xử lý theo quy định của pháp luật. - Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân. - Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý. Dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý. - Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật. - Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác. - Bên Kiểm soát dữ liệu, Bên Kiểm soát và xử lý dữ liệu cá nhân phải chịu trách nhiệm tuân thủ các nguyên tắc xử lý dữ liệu được quy định từ khoản 1 tới khoản 7 Điều 3 Nghị định 13/2023/NĐ-CP và chứng minh sự tuân thủ của mình với các nguyên tắc xử lý dữ liệu đó. Như vậy, việc bảo vệ dữ liệu cá nhân được thực hiện theo nguyên tắc nêu trên. Nếu có vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không? Theo quy định tại Điều 4 Nghị định 13/2023/NĐ-CP về việc xử lý vi phạm quy định bảo vệ dữ liệu cá nhân như sau: Cơ quan, tổ chức, cá nhân vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính, xử lý hình sự theo quy định. Như vậy, tùy theo mức độ mà hành vi vi phạm về bảo vệ dữ liệu cá nhân sẽ bị xử phạt vi phạm hành chính hoặc xử lý hình sự theo quy định. Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân gồm những gì? Căn cứ theo Điều 5 Nghị định 13/2023/NĐ-CP quy định về việc quản lý nhà nước về bảo vệ dữ liệu cá nhân như sau: Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân gồm: - Trình cơ quan nhà nước có thẩm quyền ban hành hoặc ban hành theo thẩm quyền văn bản quy phạm pháp luật và chỉ đạo, tổ chức thực hiện văn bản quy phạm pháp luật về bảo vệ dữ liệu cá nhân. - Xây dựng và tổ chức thực hiện chiến lược, chính sách, đề án, dự án, chương trình, kế hoạch về bảo vệ dữ liệu cá nhân. - Hướng dẫn cơ quan, tổ chức, cá nhân về biện pháp, quy trình, tiêu chuẩn bảo vệ dữ liệu cá nhân theo quy định của pháp luật. - Tuyên truyền, giáo dục pháp luật về bảo vệ dữ liệu cá nhân; truyền thông, phổ biến kiến thức, kỹ năng bảo vệ dữ liệu cá nhân. - Xây dựng, đào tạo, bồi dưỡng cán bộ, công chức, viên chức và người được giao làm công tác bảo vệ dữ liệu cá nhân. - Thanh tra, kiểm tra việc thực hiện quy định của pháp luật về bảo vệ dữ liệu cá nhân; giải quyết khiếu nại, tố cáo và xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân theo quy định của pháp luật. - Thống kê, thông tin, báo cáo về tình hình bảo vệ dữ liệu cá nhân và việc thực hiện pháp luật về bảo vệ dữ liệu cá nhân cho cơ quan nhà nước có thẩm quyền. - Hợp tác quốc tế về bảo vệ dữ liệu cá nhân. Theo đó, Chính phủ thống nhất quản lý nhà nước về bảo vệ dữ liệu cá nhân.. Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân sẽ được thực hiện theo quy định nêu trên.
Thủ tục nộp hồ sơ báo cáo đánh giá tác động xử lý dữ liệu cá nhân
Hiện tại, việc thực hiện báo cáo đánh giá tác động xử lý dữ liệu cá nhân sẽ được thực hiện bởi Bên Kiểm soát dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân. Theo đó, các Bên Kiểm soát dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân cần thực hiện theo các bước được hướng dẫn tại Cổng Dịch vụ công Quốc gia (dichvucong.gov.vn). Dữ liệu cá nhân là gì? Căn cứ theo quy định tại Điều 2 Nghị định 13/2023/NĐ-CP về Giải thích từ ngữ thì Dữ liệu cá nhân được hiểu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Đánh giá tác động xử lý dữ liệu cá nhân là gì? Theo quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP về đánh giá tác động xử lý dữ liệu cá nhân thì việc đánh giá tác động xử lý dữ liệu cá nhân được hiểu là khi bên Kiểm soát dữ liệu cá nhân thì Bên Kiểm soát và xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, bao gồm: + Thông tin và chi tiết liên lạc của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân; + Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân và nhân viên bảo vệ dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân; + Mục đích xử lý dữ liệu cá nhân; + Các loại dữ liệu cá nhân được xử lý; + Tổ chức, cá nhân nhận dữ liệu cá nhân, bao gồm tổ chức, cá nhân ngoài lãnh thổ Việt Nam; + Trường hợp chuyển dữ liệu cá nhân ra nước ngoài; + Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xóa, hủy dữ liệu cá nhân (nếu có); + Mô tả về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng; + Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó. Thủ tục nộp hồ sơ báo cáo đánh giá tác động xử lý dữ liệu cá nhân Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an - https://baovedlcn.gov.vn/) hoặc tải mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 04 ban hành kèm theo Nghị định13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân và khoản 2 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Xử lý dữ liệu cá nhân (biểu mẫu Mẫu Đ24-DLCN-01, Mẫu Đ24-DLCN-02, Mẫu Đ24-DLCN-03). Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Nơi nộp hồ sơ: Nộp trực tiếp: tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Nộp trực tuyến: truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an - https://baovedlcn.gov.vn/) Dịch vụ bưu chính: tiếp nhận hồ sơ qua dịch vụ bưu chính công ích Khi chuẩn bị đầy đủ hồ sơ thì mình có thể nộp trực tiếp hoặc trực tuyến cho cơ quan có thẩm quyền để được kiểm tra và thông báo kết quả của báo cáo đánh giá tác động về việc xử lý dữ liệu cá nhân của doanh nghiệp. (Nguồn tham khảo: https://dichvucong.gov.vn/p/home/dvc-tthc-thu-tuc-hanh-chinh-chi-tiet.html?ma_thu_tuc=323750)
NÓNG: Bộ Công an đề xuất phạt đến 500 triệu đồng khi rao bán dữ liệu cá nhân để trục lợi
Bộ Công an vừa có tờ trình trình Chính phủ về dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng. Trong đó, Bộ Công an đã đề xuất các mức phạt tiền lên đến 500 triệu đồng với một số hành vi vi phạm liên quan đến dữ liệu cá nhân. Bộ Công an đề xuất phạt đến 500 triệu đồng nếu để lộ, mất dữ liệu cá nhân Ngày 02/5/2024 Bộ Công an đã trình Chính phủ dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (dự thảo). Trước thực trạng nhiều dữ liệu thông tin cá nhân bị sử dụng, đánh cắp, công khai, trao đổi, rao bán nhằm trục lợi, Bộ đã đề xuất mức phạt lên tới 500 triệu đồng. Cụ thể, các hành vi có thể bị áp dụng mức phạt lên tới 500 triệu đồng trong dự thảo bao gồm: - Theo khoản 1, khoản 3 điều 25 dự thảoquy định về vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân, trong đó: Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với các hành vi: + Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân; + Bên Xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân. + Không gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính theo Mẫu số 04 tại Phụ lục Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân; + Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Phạt tiền gấp 05 lần quy định trên nếu thực hiện những hành vi trên mà để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam. - Theo khoản 1, khoản 3 Điều 26 dự thảo quy định về vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài, trong đó: Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: + Bên chuyển dữ liệu ra nước ngoài không lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục theo quy định tại khoản 3, 4 và 5 Điều 25 Nghị định 13/2023/NĐ-CP ; + Không lập hoặc không lưu giữ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân; + Không gửi 01 bản chính hồ sơ tới Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo Mẫu số 06 tại Phụ lục Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân; + Không thông báo gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) thông tin về việc chuyển dữ liệu và chi tiết liên lạc của tổ chức, cá nhân phụ trách bằng văn bản sau khi việc chuyển dữ liệu diễn ra thành công; + Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). + Không chấp hành yêu cầu kiểm tra chuyển dữ liệu cá nhân ra nước ngoài của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Phạt tiền gấp 05 lần quy định trên đối với thực hiện hành vi trên mà để lộ, mất dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân của 1.000.000 công dân Việt Nam tới dưới 5.000.000 công dân Việt Nam ra nước ngoài. Như vậy, nếu như để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam hoặc để lộ, mất dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân của 1.000.000 công dân Việt Nam tới dưới 5.000.000 công dân Việt Nam ra nước ngoài thì mức phạt có thể gấp 5 lần 100 triệu, tức là sẽ lên đến 500 triệu đồng. Xem dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng ngày 02/5/2024: https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/05/08/du-thao-nan-ninh-mang.pdf Xem cập nhật mới nhất dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng Thẩm quyền xử phạt hành chính của Công an được quy định mới như thế nào? Theo Điều 42 dự thảo quy định thẩm quyền xử phạt vi phạm hành chính của Công an Nhân dân bao gồm: - Trưởng Công an cấp huyện, Trưởng phòng nghiệp vụ thuộc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao; Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Trưởng phòng An ninh chính trị nội bộ; Trưởng phòng Cảnh sát điều tra tội phạm về trật tự xã hội thuộc Công an cấp tỉnh có quyền: + Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính quy định tại Mục 1, 2, 3, 4, 5 Chương II dự thảo theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này; + Áp dụng biện pháp khắc phục hậu quả quy định tại điểm a, c, đ và k khoản 1 của Luật Xử lý vi phạm hành chính va Nghị định này. - Giám đốc Công an cấp tỉnh có quyền + Phạt tiền đến 50.000.000 đồng đối với các hành vi vi phạm hành chính quy định tại Mục 1, 2, 3, 4, 5 Chương II dự thảo theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính; + Áp dụng biện pháp khắc phục hậu quả quy định của Luật Xử lý vi phạm hành chính và Nghị định này; + Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm. - Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao có quyền: + Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính tại Chương II Nghị định này theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính; + Áp dụng biện pháp khắc phục hậu quả theo quy định của Luật Xử lý vi phạm hành chính và Nghị định này. + Quyết định mức phạt tiền đến gấp 5 lần mức phạt tiền đối với các hành vi hoặc 5% doanh thu năm tài chính liền trước hoặc số lợi thu được từ vi phạm hành chính của tổ chức, cá nhân vi phạm tại thị trường Việt Nam. - Cục trưởng Cục Quản lý xuất nhập cảnh có quyền quyết định áp dụng hình thức xử phạt trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm. Như vậy, Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao sẽ có quyền quyết định mức phạt tiền đến gấp 5 lần mức phạt tiền đối với các hành vi hoặc 5% doanh thu năm tài chính liền trước hoặc số lợi thu được từ vi phạm hành chính của tổ chức, cá nhân vi phạm tại thị trường Việt Nam. Xem dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng ngày 02/5/2024: https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/05/08/du-thao-nan-ninh-mang.pdf Xem cập nhật mới nhất dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng
Thủ tục thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân mới nhất
Thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân thủ tục hành chính được Bộ Công an công bố tại Quyết định 4660/QĐ-BCA-A05 về công bố thủ tục hành chính mới ban hành trong lĩnh vực bảo vệ dữ liệu cá nhân thuộc thẩm quyền giải quyết của Bộ Công an ngày 04 tháng 07 năm 2023. Trình tự thực hiện thông báo Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc tải mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân và khoản 2 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Xử lý dữ liệu cá nhân (biểu mẫu Mẫu Đ24-DLCN-01, Mẫu Đ24-DLCN-02, Mẫu Đ24-DLCN-03). Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Thời gian tiếp nhận hồ sơ: Giờ hành chính các ngày làm việc từ thứ 2 đến thứ 6 (trừ các ngày nghỉ lễ, tết theo quy định). Cách thức thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân - Trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. - Trực tuyến tại Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an). - Dịch vụ bưu chính: Tiếp nhận hồ sơ qua dịch vụ bưu chính công ích theo quy định tại Quyết định 45/2016/QĐ-TTg ngày 19/10/2016 của Thủ tướng Chính phủ về việc tiếp nhận hồ sơ, trả kết quả giải quyết thủ tục hành chính qua dịch vụ bưu chính công ích. Thành phần hồ sơ thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân - Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mẫu 04b (dành cho cá nhân) – 01 (một) bản chính. - Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mẫu 04a (dành cho tổ chức) – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân) theo mẫu Đ24-DLCN-01 – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Xử lý dữ liệu cá nhân) theo mẫu Đ24-DLCN-02 – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên thứ Ba) theo mẫu Đ24-DLCN-03 – 01 (một) bản chính. - Giấy chứng nhận đăng kí hoạt động/quyết định thành lập hoặc căn cước công dân/chứng minh thư/hộ chiếu của chủ hồ sơ - 01 (một) bản sao. - Quyết định hoăc giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ - 01 (một) bản sao. - Hợp đồng hoặc văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có) - 01 (một) bản sao. - Giấy tờ khác (các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp) - (bản sao). Yêu cầu, điều kiện thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân Khi có sự thay đổi nội dung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đã gửi cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Thời gian giải quyết thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: 10 Ngày làm việc. Kết quả thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Xác nhận đã tiếp nhận hồ sơ về bảo vệ dữ liệu cá nhân. Trên đây là thủ tục hành chính thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài
Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài là thủ tục hành chính được Bộ Công an công bố tại Quyết định 4660/QĐ-BCA-A05 về công bố thủ tục hành chính mới ban hành trong lĩnh vực bảo vệ dữ liệu cá nhân thuộc thẩm quyền giải quyết của Bộ Công an ngày 04 tháng 07 năm 2023. Trình tự thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc tải mẫu số 06 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 05 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài được quy định tại khoản khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP. Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Thời gian tiếp nhận hồ sơ: Giờ hành chính các ngày làm việc từ thứ 2 đến thứ 6 (trừ các ngày nghỉ lễ, tết theo quy định). Cách thức thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài - Trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. - Trực tuyến tại Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an). - Dịch vụ bưu chính: Tiếp nhận hồ sơ qua dịch vụ bưu chính công ích theo quy định tại Quyết định 45/2016/QĐ-TTg ngày 19/10/2016 của Thủ tướng Chính phủ về việc tiếp nhận hồ sơ, trả kết quả giải quyết thủ tục hành chính qua dịch vụ bưu chính công ích. Thành phần hồ sơ thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài - Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu 06b (dành cho cá nhân) - 01 (một) bản chính. - Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu 06a (dành cho tổ chức) - 01 (một) bản chính. - Hồ sơ Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu Đ25-DLCN-04 - 01 (một) bản chính. - Giấy chứng nhận đăng kí hoạt động/quyết định thành lập hoặc căn cước công dân/chứng minh thư/hộ chiếu của chủ hồ sơ - 01 (một) bản sao. - Quyết định hoăc giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ - 01 (một) bản sao. - Hợp đồng hoặc văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có) - 01 (một) bản sao. - Giấy tờ khác (các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp) - (bản sao). Yêu cầu điều kiện thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Tổ chức, cá nhân gửi trong thời gian 60 ngày kể từ ngày chuyển dữ liệu cá nhân ra nước ngoài. Thời gian giải quyết thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: 10 Ngày làm việc Kết quả thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Xác nhận đã tiếp nhận hồ sơ về bảo vệ dữ liệu cá nhân. Trên đây là thủ tục hành chính thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.
Tăng cường công tác bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP
Ngày 22/8/2023 Bộ Công an có ban hành Công văn 2916/BCA-A05 năm 2023 về việc tăng cường công tác bảo vệ dữ liệu cá nhân. Cụ thể, vẫn còn xảy ra tình trạng lộ, mất, chuyển giao trái phép dữ liệu cá nhân; vẫn còn diễn ra tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân, Bộ Công an yêu cầu tăng cường công tác bảo vệ dữ liệu cá nhân: (1) Các nội dung bảo vệ dữ liệu cá nhân cần quan tâm Ngày 17/4/2023, Chính phủ đã ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, quy định đầy đủ các vấn đề liên quan tới bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. - Nghị định đã xác lập quyền, nghĩa vụ của chủ thể dữ liệu. - Quy định về quy trình, cách thức áp dụng các biện pháp bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. - Xác định cơ quan chuyên trách bảo vệ dữ liệu cá nhân. - Lực lượng bảo vệ dữ liệu cá nhân. - Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. - Thủ tục hành chính về bảo vệ dữ liệu cá nhân. Trên đây là những quy định quan trọng, thiết thực để hạn chế tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân tràn lan như hiện nay. (2) Thực trạng triển khai Nghị định 13/2023/NĐ-CP từ ngày 01/7/2023 đến nay Tuy nhiên, kể từ khi Nghị định có hiệu lực (01/7/2023) đến nay, công tác triển khai Nghị định chưa được quan tâm đúng mức; nhiều tổ chức, cơ quan, doanh nghiệp nhà nước chưa triển khai các nhiệm vụ được quy định trong Nghị định 13/2023/NĐ-CP, để xảy ra tình trạng lộ, mất, chuyển giao trái phép dữ liệu cá nhân; vẫn còn diễn ra tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân. (3) 06 nhiệm vụ tăng cường công tác bảo vệ dữ liệu cá nhân Căn cứ chức năng, nhiệm vụ được giao, Bộ Công an đề nghị các bộ, ngành, cơ quan ngang bộ, cơ quan thuộc Chính phủ; UBND các tỉnh, thành phố trực thuộc Trung ương; các tổ chức chính trị, xã hội ở Trung ương; các tổ chức, doanh nghiệp nhà nước thuộc Trung ương khẩn trương triển khai một số nội dung sau đây: - Nghiên cứu, tổ chức triển khai và thực hiện nghiêm các quy định về bảo vệ dữ liệu cá nhân qua nhiều hình thức khác nhau, trong đó chú trọng tổ chức phổ biến, quán triệt tới toàn bộ cán bộ, công nhân viên về quyền và nghĩa vụ, xác định trách nhiệm cần triển khai thực hiện, bảo đảm về tiến độ thời gian theo quy định của pháp luật. - Chỉ đạo các đơn vị có hoạt động thu thập, xử lý dữ liệu cá nhân tiến hành rà soát tổng thể, phân loại dữ liệu cá nhân đã thu thập, đang xử lý, từ đó xác định trách nhiệm bảo vệ tương ứng với từng loại dữ liệu cá nhân theo quy định của Nghị định 13/2023/NĐ-CP . - Rà soát, đánh giá quy trình thu thập, xử lý dữ liệu cá nhân, đề xuất ban hành các biện pháp quản lý phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của cơ quan, đơn vị mình; xử lý nghiêm các hành vi chuyển giao dữ liệu cá nhân trái phép, mua bán dữ liệu cá nhân nếu phát hiện. - Chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân nếu cơ quan, tổ chức, cá nhân xử lý dữ liệu cá nhân nhạy cảm và trao đổi 01 bản chính văn bản nêu trên về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. - Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân trong trường hợp phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 03 tại Phụ lục của Nghị định 13/2023/NĐ-CP. - Lập hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo 03 hình thức: trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an hoặc theo đường bưu chính sau 60 ngày kể từ ngày xử lý dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân ra nước ngoài. Trong năm 2023 và các năm tiếp theo, Công an các đơn vị, địa phương sẽ tăng cường triển khai đấu tranh với hoạt động chuyển giao trái phép, mua bán dữ liệu cá nhân, xử lý nghiêm các hành vi vi phạm theo quy định của pháp luật. Xem thêm Công văn 2916/BCA-A05 năm 2023 ban hành ngày 22/8/2023.
Bộ TT&TT: Yêu cầu các đơn vị, DN công khai và cung cấp thông tin phát triển ngành
Ngày 11/9/2023, Bộ TT&TT đã ban hành Công văn 4646/BTTTT-VP về việc công bố công khai và cung cấp thông tin, số liệu phát triển ngành TT&TT. Văn bản được gửi đến các cơ quan, đơn vị, doanh nghiệp trực thuộc Bộ. Văn bản nêu rõ, năm 2023 được xác định là “Năm Dữ liệu số, tạo lập và khai thác dữ liệu để tạo ra giá trị mới”, là bảo vệ dữ liệu cá nhân; công bố, xây dựng dữ liệu cấp bộ ngành, địa phương; mở dữ liệu để kết nối chia sẻ; là an toàn dữ liệu. Năm 2023 cũng là năm tạo ra thay đổi căn bản để đánh giá của Liên minh Viễn thông Thế giới (ITU) về Chính phủ điện tử, Chính phủ số Việt Nam được chính xác thông qua việc cung cấp đầy đủ thông tin, số liệu cải thiện các thành phần đang có điểm thấp, để thứ hạng Việt Nam công bố vào năm 2024 sẽ tăng ít nhất 10 hạng, từ 86 xuống dưới 75. Trong bối cảnh chuyển đổi số hiện nay được Đảng và Nhà nước ta xác định là một phương thức phát triển mới có tính đột phá, giúp đẩy nhanh, rút ngắn tiến trình công nghiệp hóa, hiện đại hóa đất nước, việc công bố công khai và cung cấp thông tin, số liệu không chỉ có ý nghĩa rất lớn trong việc bảo đảm tính công khai, minh bạch trong chỉ đạo, điều hành của các cấp chính quyền từ Trung ương đến địa phương mà còn giúp các cơ quan, tổ chức, cá nhân trong và ngoài nước có thể dễ dàng tiếp cận nhanh chóng, chính xác, đầy đủ, kịp thời thông tin, số liệu phục vụ cho công tác nghiên cứu, đánh giá; giúp người lãnh đạo ra quyết định nhanh hơn, hiệu quả và thực chất hơn; giúp tăng cường và nâng cao tri thức con người Việt Nam và thúc đẩy nhanh tốc độ tăng trưởng kinh tế. Việc thường xuyên đo lường, cập nhật và công bố công khai thông tin, số liệu trong các ngành, lĩnh vực quản lý là nền tảng quan trọng cho việc thực thi và thúc đẩy phát triển ngành TT&TT theo đúng định hướng chiến lược phát triển đã ban hành, mang lại giá trị thực chất và đóng góp nhiều hơn nữa cho sự phát triển của đất nước. Để tạo điều kiện thuận lợi cho các cơ quan, tổ chức, cá nhân trong và ngoài nước tiếp cận, nghiên cứu và sử dụng thông tin, số liệu trong các ngành, lĩnh vực quản lý, Bộ TT&TT yêu cầu các cơ quan, đơn vị, doanh nghiệp thuộc Bộ thực hiện nghiêm quy định về việc công bố công khai và cung cấp thông tin, số liệu phát triển ngành, lĩnh vực quản lý, cụ thể như sau: Có trách nhiệm thường xuyên cập nhật, thực hiện chế độ báo cáo định kỳ, công bố công khai và cung cấp thông tin, số liệu phát triển ngành, lĩnh vực quản lý đảm bảo nguyên tắc “đúng, đủ, sạch, sống”, dễ dàng, thuận tiện tra cứu, sử dụng. Thực hiện công bố công khai thông tin, số liệu định kỳ hàng tháng, quý, 6 tháng và cả năm theo quy định của pháp luật có liên quan về công bố công khai thông tin, số liệu. Yêu cầu thực hiện công bố công khai thông tin, số liệu trên Cổng Thông tin điện tử Bộ TT&TT; Trang thông tin điện tử của cơ quan, đơn vị, doanh nghiệp (nếu có); Hệ thống theo dõi và đánh giá các chỉ số phát triển Bộ TT&TT… Theo Cổng TTĐT Bộ Thông tin và Truyền thông
Dấu hiệu nhận biết dữ liệu cá nhân nhạy cảm trong lĩnh vực tài chính ngân hàng
Ngân hàng và tổ chức tín dụng là một trong những lĩnh vực lưu trữ số lượng lớn dữ liệu cá nhân của khách hàng và một số thông tin khác, đặc biệt là phải bảo vệ dữ liệu cá nhân nhạy cảm. Vậy làm thế nào để nhận biết dữ liệu cá nhân nhạy cảm? 1. Dữ liệu cá nhân nhạy cảm bao gồm dữ liệu gì? Căn cứ khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP quy định dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: - Quan điểm chính trị, quan điểm tôn giáo; - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; - Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. Trên đây là 10 dữ liệu cá nhân nhạy cảm mà tổ chức tín dụng, ngân hàng cần phải hiểu rõ và có trách nhiệm bảo vệ các dữ liệu cá nhân nhạy cảm. 2. Ngân hàng bảo vệ dữ liệu cá nhân nhạy cảm theo nguyên tắc nào? Tổ chức tín dụng, ngân hàng căn cứ theo Điều 3 Nghị định 13/2023/NĐ-CP quy định nguyên tắc bảo vệ dữ liệu cá nhân như sau: - Dữ liệu cá nhân được xử lý theo quy định của pháp luật. - Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân. - Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý. Dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý. - Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật. - Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác. - Bên Kiểm soát dữ liệu, Bên Kiểm soát và xử lý dữ liệu cá nhân phải chịu trách nhiệm tuân thủ các nguyên tắc xử lý dữ liệu được quy định từ khoản 1 tới khoản 7 Điều này và chứng minh sự tuân thủ của mình với các nguyên tắc xử lý dữ liệu đó. 3. Trách nhiệm bảo vệ dữ liệu cá nhân nhạy cảm của tổ chức tín dụng Căn cứ Điều 28 Nghị định 13/2023/NĐ-CP quy định trách nhiệm bảo vệ dữ liệu cá nhân nhạy cảm của tổ chức, cá nhân như sau: (1) Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 và Điều 27 Nghị định 13/2023/NĐ-CP. - Các biện pháp bảo vệ dữ liệu cá nhân, bao gồm: + Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; + Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; + Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; + Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện; + Các biện pháp khác theo quy định của pháp luật. - Bảo vệ dữ liệu cá nhân cơ bản: + Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 Nghị định 13/2023/NĐ-CP. + Xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân, nêu rõ những việc cần thực hiện theo quy định Nghị định 13/2023/NĐ-CP. + Khuyến khích áp dụng các tiêu chuẩn bảo vệ dữ liệu cá nhân phù hợp với lĩnh vực, ngành nghề, hoạt động có liên quan tới xử lý dữ liệu cá nhân. + Kiểm tra an ninh mạng đối với hệ thống và phương tiện, thiết bị phục vụ xử lý dữ liệu cá nhân trước khi xử lý, xoá không thể khôi phục được hoặc hủy các thiết bị chứa dữ liệu cá nhân. (2) Chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin về bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Trường hợp Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu, Bên thứ ba là cá nhân thì trao đổi thông tin của cá nhân thực hiện. (3) Thông báo cho chủ thể dữ liệu biết việc dữ liệu cá nhân nhạy cảm của chủ thể dữ liệu được xử lý, trừ trường hợp quy định tại khoản 4 Điều 13, Điều 17 và Điều 18 Nghị định 13/2023/NĐ-CP. 4. Các hành vi bị nghiêm cấm mà tổ chức tín dụng không được thực hiện Căn cứ Điều 8 Nghị định 13/2023/NĐ-CP quy định các hành vi bị nghiêm cấm như sau: - Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác. - Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền. - Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật. Như vậy, tổ chức tín dụng, ngân hàng nhận biết dữ liệu cá nhân nhạy cảm cần bảo vệ theo quy định pháp luật bao gồm 10 dữ liệu cá nhân được xem là nhạy cảm như trên.
Bộ Công an trả lời về bảo vệ dữ liệu cá nhân khi sử dụng ứng dụng quản lý thông minh
Mới đây, Bộ Công an trả lời một người dân gửi thắc mắc đến về vấn đề bảo vệ dữ liệu cá nhân đối với việc sử dụng ứng dụng để quản lý các thiết bị thông minh. Theo đó, vướng mắc mà người dân gửi lên Cổng TTĐT Bộ Công an rằng: Hiện tại công ty người này có sử dụng ứng dụng để quản lý các thiết bị thông minh smart-home từ xa trên điện thoại, trong trường hợp công ty sử dụng số điện thoại hoặc thư điện tử (email) của người dùng để đăng ký sử dụng ứng dụng và ứng dụng này được cung cấp bởi bên thứ ba ở nước ngoài. Như vậy, trong trường hợp này công ty có thuộc đối tượng bị quản lý bởi Nghị định 13/2023/NĐ-CP về việc bảo vệ người dùng hay không? Nếu trong trường hợp thuộc đối tượng của Nghị định 13/2023/NĐ-CP thì công ty phải thực hiện những thủ tục hành chính gì đối với các cơ quan có liên quan? Theo đó, Bộ Công an có câu trả lời như sau: Trước tiên, cần làm rõ vai trò của công ty trong việc quản lý, sử dụng ứng dụng quản lý các thiết bị thông minh smart-home từ xa trên điện thoại? Do được cung cấp bởi bên thứ 3 ở nước ngoài, nên việc cung cấp ứng dụng có được hiểu là ứng dụng này thuộc sở hữu của công ty nước ngoài? Trường hợp: Nếu công ty là đại lý trung gian của công ty ở nước ngoài, kinh doanh các thiết bị smart-home do công ty nước ngoài cung cấp vào thị trường Việt Nam. Công ty bán sản phẩm, hướng dẫn người dùng cung cấp thông tin cá nhân để đăng ký sử dụng dịch vụ. Sau khi khai báo, sẽ phát sinh việc xử lý dữ liệu cá nhân của công dân Việt Nam. Như vậy, công ty (với vai trò đại lý trung gian) thuộc đối tượng điều chỉnh của Nghị định số 13/2023/NĐ-CP, phải thực hiện các thủ tục sau: (1) Có văn bản thỏa thuận hoặc ràng buộc với công ty ở nước ngoài về trách nhiệm của đại lý trong việc thu thập, xử lý dữ liệu cá nhân của công dân Việt Nam; (2) Thực hiện các quy định tại Nghị định 13/2023/NĐ-CP ; (3) Đề nghị công ty ở nước ngoài làm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của công dân Việt Nam, vai trò là Bên Kiểm soát và xử lý dữ liệu cá nhân, làm hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Trên đây là câu trả lời của Bộ Công an về vấn đề bảo vệ dữ liệu cá nhân đối với việc sử dụng ứng dụng để quản lý các thiết bị thông minh. Theo Cổng TTĐT Bộ Công an
Sử dụng dữ liệu khách hàng để mở tài khoản ngân hàng được hay không?
Vừa qua ghi nhận hàng trăm người dân tại tỉnh Quảng Trị đã đến Đội quản lý điện tại địa phương để phản ánh việc ký hợp đồng mua bán điện nhưng lại bị sử dụng để tạo tài khoản ngân hàng. Do đó, nhiều người lo lắng liệu dữ liệu cá nhân của mình khi giao kết với các tổ chức khác hiện nay có đang bị lợi dụng để trục lợi hay không? 1. Dữ liệu cá nhân bao gồm những nội dung nào? Căn cứ khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP quy định dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có). - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích. - Giới tính. - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ. - Quốc tịch. - Hình ảnh của cá nhân. - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số BHXH, số thẻ BHYT. - Tình trạng hôn nhân. - Thông tin về mối quan hệ gia đình (cha mẹ, con cái). - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng. - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. 2. Sử dụng dữ liệu khách hàng tạo tài khoản ngân hàng có vi phạm pháp luật? Sử dụng dữ liệu khách hàng để tạo tài khoản ngân hàng có được xem là hành vi bị nghiêm cấm thì theo Điều 8 Nghị định 13/2023/NĐ-CP được quy định như sau: - Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác. - Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền. - Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật. Do đó, việc sử dụng thông tin cá nhân để mở tài khoản ngân hàng trục lợi là hành vi bị nghiêm cấm vì đã gây ảnh hưởng tới quyền và lợi ích hợp pháp của cá nhân. 3. Mức phạt hành chính đối với hành vi sử dụng trái phép thông tin cá nhân Doanh nghiệp, tổ chức sử dụng thông tin khách hàng để mở tài khoản ngân hàng đã vi phạm Điều 48 Nghị định 15/2020/NĐ-CP (sửa đổi bởi Nghị định 14/2022/NĐ-CP) vi phạm thu thập, sử dụng thông tin cá nhân trái phép: - Phạt tiền từ 10 triệu đồng đến 20 triệu đồng đối với: + Thu thập thông tin cá nhân khi chưa có sự đồng ý của chủ thể thông tin cá nhân về phạm vi, mục đích của việc thu thập và sử dụng thông tin đó; + Cung cấp thông tin cá nhân cho bên thứ ba khi chủ thể thông tin cá nhân đã yêu cầu ngừng cung cấp. - Phạt tiền từ 40 triệu đồng đến 60 triệu đồng đối với: + Sử dụng không đúng mục đích thông tin cá nhân đã thỏa thuận khi thu thập hoặc khi chưa có sự đồng ý của chủ thể thông tin cá nhân; + Cung cấp hoặc chia sẻ hoặc phát tán thông tin cá nhân đã thu thập, tiếp cận, kiểm soát cho bên thứ ba khi chưa có sự đồng ý của chủ thông tin cá nhân; + Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác. Lưu ý: Quy định trên áp dụng đối với tổ chức vi phạm, trường hợp là cá nhân thì mức phạt bằng 1/2. Bên cạnh đó, áp dụng biện pháp khắc phục hậu quả bằng việc buộc hủy bỏ thông tin cá nhân do thực hiện hành vi vi phạm. Như vậy, hành vi sử dụng dữ liệu cá nhân, khách hàng để mở tài khoản ngân hàng để trục lợi mà cho có sự đồng ý của bên cung cấp dữ liệu thì được xem là hành vi bị nghiêm cấm, trường hợp vi phạm có thể bị phạt đến 60 triệu đồng.
Dữ liệu cá nhân – một định nghĩa toàn diện hơn so với trước đây
Dữ liệu cá nhân là gì? Có sự khác biệt nào về định nghĩa dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP so với các quy định về bảo vệ bí mật, thông tin cá nhân trước đây? Dữ liệu cá nhân là gì? Tại Điều 2 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân định nghĩa dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Trong đó, thông tin giúp xác định một con người cụ thể là thông tin hình thành từ hoạt động của cá nhân mà khi kết hợp với các dữ liệu, thông tin lưu trữ khác có thể xác định một con người cụ thể. Có thể thấy rằng định nghĩa về dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP mở rộng hơn nhiều so với các văn bản quy phạm pháp luật trước đây như Bộ luật dân sự 2015 chỉ đề cập đến bí mật cá nhân, hình ảnh của cá nhân, Luật an toàn thông tin mạng 2015 chỉ đề cập đến thông tin cá nhân là thông tin gắn với việc xác định danh tính của một người cụ thể,… Theo Nghị định 13/2023/NĐ-CP thì ngoài các thông tin cụ thể xác định danh tính của cá nhân như họ tên, hình ảnh,… thì các thông tin hình thành từ hoạt động của cá nhân mà khi kết hợp với các dữ liệu, thông tin khác có thể giúp xác định một con người cụ thể cũng được xem là dữ liệu cá nhân. Ví dụ: Nếu như chỉ nói đến có người họ Nguyễn tại một phòng ban nào đó mà phòng ban đó có nhiều người họ Nguyễn thì chưa thể xác định được người đó là người nào thì với thông tin này chưa phải là dữ liệu cá nhân. Tuy nhiên nếu nói đến người có họ đặc biệt hơn, trong phòng đó chỉ có 1 người có họ đó ví dụ như họ Chu chẳng hạn thì lúc đó dữ liệu người họ Chu làm việc tại Phòng ban A sẽ chính là dữ liệu cá nhân. Phân loại dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP thì dữ liệu cá nhân được chia làm 2 nhóm: Dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Ngoài những thông tin cơ bản bình thường mà chúng ta biết đó là dữ liệu cá nhân như họ tên, ngày tháng năm sinh, giới tính,… thì Nghị đinh 13/2023/NĐ-CP cũng nêu ra các dữ liệu cá nhân được xác định là nhạy cảm như quan điểm chính trị, tôn giáo,… để đưa ra biện pháp bảo vệ dữ liệu phù hợp. Bạn có thể tham khảo bảng sau để xác định loại dữ liệu: Dữ liệu cá nhân cơ bản Dữ liệu cá nhân nhạy cảm Dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc trường hợp dữ liệu cá nhân nhạy cảm được xác định tại Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP. Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: - Quan điểm chính trị, quan điểm tôn giáo; - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; - Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết.
Khẩn: Nghiêm cấm tự ý công bố dữ liệu cá nhân của học sinh, NLĐ trên môi trường điện tử
Ngày 12/7/2023, Sở Giáo dục và Đào tạo ban hành Công văn 3672/SGDĐT-VP về triển khai thực hiện quy định bảo vệ dữ liệu cá nhân. Trước tình hình nhiều phụ huynh học sinh và thí sinh nhận được tin trúng tuyển, tuy nhiên thời gian công bố điểm chuẩn chưa diễn ra và một số thí sinh cho hay họ không có đăng kỳ nguyện vọng nào vào các trường đó nhưng lại nhận được tin báo trúng tuyển. Trước sự việc đó, không khỏi khiến phụ huynh và thí sinh lo lắng dữ liệu cá nhân của thí sinh đã bị lộ ra bên ngoài và những kẻ xấu đang lợi dụng những dữ liệu này để đi lừa đảo nhằm chiếm đoạt tài sản. Xem và tải Công văn 3672/SGDĐT-VP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/07/14/3672cvbaomatdulieu_137202311.pdf Vì thế, ghi nhận nhiều trường hợp công bố thông tin người học, người lao động ngành GDĐT trên các kênh thông tin, phương tiện truyền thông dưới nhiều hình thức khác nhau; Đồng thời, căn cứ quy định tại Nghị định 13/2023/NĐ-CP (có hiệu lực từ ngày 01/7/2023), Sở GDĐT đề nghị thủ trưởng các đơn vị (chỉ đạo các đơn vị trực thuộc) rà soát, thực hiện nghiêm các nội dung sau: Xem bài viết liên quan: Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023 (1) Tuyệt đối không công bố dữ liệu cá nhân của người học, người lao động tại đơn vị dưới dạng danh sách file (word, excel, ảnh chụp, PDF, ...) thông tin chi tiết khi chưa có sự đồng ý của cá nhân đó trên các môi trường điện tử (mạng xã hội, trang thông tin điện tử, ...). Đồng thời rà soát, gỡ bỏ các file thông tin dữ liệu các nhân đã công bố trước đó. (2) Ban hành quy chế về quản lý, bảo mật dữ liệu cá nhân theo quy định tại Nghị định 13/2023/NĐ-CP và phân công lãnh đạo đơn vị phụ trách giám sát, chịu trách nhiệm về công tác bảo vệ dữ liệu cá nhân. (3) Khuyến khích đơn vị sử dụng các hệ thống, phần mềm có sẵn hoặc tự xây dựng hệ thống để phục vụ tra cứu thông tin đối với từng dữ liệu cá nhân cần công bố (kết quả khảo sát, thi, tuyển sinh, ...) trên môi trường mạng. Sở GD&ĐT đề nghị thủ trưởng các đơn vị quan tâm và triển khai thực hiện đầy đủ các nội dung trên. Thủ trưởng đơn vị chịu trách nhiệm trước Giám đốc Sở và trước pháp luật về các trường hợp vi phạm quy định về bảo vệ dữ liệu cá nhân tại đơn vị. Tham khảo: Biện pháp bảo vệ dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP quy định các biện pháp bảo vệ dữ liệu cá nhân bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp do cơ quan quản lý Nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; - Biện pháp điều tra, tố tụng do cơ quan Nhà nước có thẩm quyền thực hiện; - Các biện pháp khác theo quy định của pháp luật. Xem bài viết liên quan: Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023 Xem chi tiết tại Công văn 3672/SGDĐT-VP ngày 12/7/2023. Xem và tải Công văn 3672/SGDĐT-VP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/07/14/3672cvbaomatdulieu_137202311.pdf
Mọi trường hợp xử lý dữ liệu cá nhân đều bắt buộc phải có sự đồng ý của chủ thể dữ liệu
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bắt đầu có hiệu lực từ 01/7/2023. Theo đó, chủ thể có dữ liệu cá nhân được xử lý bởi một bên khác có các quyền và nghĩa vụ chi tiết để bảo vệ dữ liệu của mình. Sự đồng ý của chủ thể dữ liệu là việc thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu. Tuy nhiên có phải mọi trường hợp đều bắt buộc phải có sự đồng ý của chủ thể dữ liệu? 1. Dữ liệu cá nhân bao gồm những thông tin nào? Theo Khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không phải là dữ liệu cá nhân nhạy cảm. 2. Quyền của chủ thể dữ liệu Theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, quyền của chủ thể dữ liệu gồm: - Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định 13/2023/NĐ-CP. - Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. - Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền hạn chế xử lý dữ liệu + Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; + Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. - Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền phản đối xử lý dữ liệu + Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; + Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. - Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. - Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. - Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật dân sự 2015, luật khác có liên quan và Nghị định 13/2023/NĐ-CP, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật dân sự 2015. => Theo đó, chủ thể dữ liệu có các quyền đối với dữ liệu cá nhân của mình như trên. Trong đó có chủ thể dữ liệu có quyền được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình. 3. Trường hợp không cần sự đồng ý Tại Điều 17 Nghị định 13/2023/NĐ-CP quy định về việc xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu: - Trong trường hợp khẩn cấp, cần xử lý ngay dữ liệu cá nhân có liên quan để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác. Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba có trách nhiệm chứng minh trường hợp này. - Việc công khai dữ liệu cá nhân theo quy định của luật. - Việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật. - Để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật. - Phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành. Như vậy, khi xử lý dữ liệu cá nhân cần phải có sự đồng ý cho phép từ chủ thể dữ liệu. Tuy nhiên, không phải trường hợp nào xử lý dữ liệu cũng đều cần phải có sự đồng ý của chủ thể dữ liệu. Đối với 05 trường hợp ngoại lệ quy định Điều 17 Nghị định 13/2023/NĐ-CP nêu trên thì sẽ không cần phải có sự đồng ý.
Chuyển dữ liệu cá nhân sang nước ngoài cần đảm bảo quy định nào?
Hiện tại công ty tôi có sử dụng hệ thống của một doanh nghiệp nước ngoài để lưu trữ các thông tin như nhân sự của các đại lý (tên, mã nhân viên, sđt, ...), thông tin của đối tác cung cấp dịch vụ, thông tin cá nhân của khách hàng,... Server được đặt tại nước ngoài. Vậy khi tôi chuyển dữ liệu cá nhân trên sang nước ngoài thì cần đảm bảo gì? Và công ty tôi cần thực hiện gì khi sắp tới Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực? 1. Chuyển dữ liệu cá nhân sang nước ngoài bao gồm những công việc nào? Tại Khoản 14 Điều 2 Nghị định 13/2023/NĐ-CP quy định như sau: Chuyển dữ liệu cá nhân ra nước ngoài là hoạt động sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác chuyển dữ liệu cá nhân của công dân Việt Nam tới một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc sử dụng một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân của công dân Việt Nam, bao gồm: - Tổ chức, doanh nghiệp, cá nhân chuyển dữ liệu cá nhân của công dân Việt Nam cho tổ chức, doanh nghiệp, bộ phận quản lý ở nước ngoài để xử lý phù hợp với mục đích đã được chủ thể dữ liệu đồng ý; - Xử lý dữ liệu cá nhân của công dân Việt Nam bằng các hệ thống tự động nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân phù hợp với mục đích đã được chủ thể dữ liệu đồng ý. => Theo đó, chuyển dữ liệu cá nhân sang nước ngoài là việc tổ chức, doanh nghiệp, cá nhân sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác chuyển dữ liệu cá nhân của công dân Việt Nam sang nước ngoài để xử lý thông qua các hệ thống tự động với với mục đích đã được chủ thể dữ liệu đồng ý. 2. Quy định khi chuyển dữ liệu cá nhân ra nước ngoài Căn cứ theo Điều 25 Nghị định 13/2023/NĐ-CP quy định: Dữ liệu cá nhân của công dân Việt Nam được chuyển ra nước ngoài trong trường hợp Bên chuyển dữ liệu ra nước ngoài lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục theo quy định tại khoản 3, 4 và 5 Điều 25 Nghị định 13/2023/NĐ-CP. Bên chuyển dữ liệu ra nước ngoài bao gồm Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an. Bên chuyển dữ liệu sẽ gửi 01 bản chính hồ sơ tới Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo Mẫu số 06 Phụ lục tại Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân. Bên chuyển dữ sẽ thông báo gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) thông tin về việc chuyển dữ liệu và chi tiết liên lạc của tổ chức, cá nhân phụ trách bằng văn bản sau khi việc chuyển dữ liệu diễn ra thành công. Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) đánh giá, yêu cầu Bên chuyển dữ liệu ra nước ngoài hoàn thiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài trong trường hợp hồ sơ chưa đầy đủ và đúng quy định. Khi có sự thay đổi về nội dung hồ sơ đã gửi cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao), Anh cần phải cập nhật, bổ sung Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 05 Phụ lục tại Nghị định 13/2023/NĐ-CP. Thời gian hoàn thiện hồ sơ dành cho Bên chuyển dữ liệu ra nước ngoài là 10 ngày kể từ ngày yêu cầu. Căn cứ tình hình cụ thể, Bộ Công an quyết định việc kiểm tra chuyển dữ liệu cá nhân ra nước ngoài 01 lần/năm, trừ trường hợp phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP hoặc để xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam. => Theo đó, khi chuyển dữ liệu cá nhân ra nước ngoài thì cần phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục chuyển dữ liệu cá nhân ra nước ngoài theo quy định tại Nghị định 13/2023/NĐ-CP. 3. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Tại Khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài gồm: - Thông tin và chi tiết liên lạc của Bên chuyển dữ liệu và Bên tiếp nhận dữ liệu cá nhân của công dân Việt Nam; - Họ tên, chi tiết liên lạc của tổ chức, cá nhân phụ trách của Bên chuyển dữ liệu có liên quan tới việc chuyển và tiếp nhận dữ liệu cá nhân của công dân Việt Nam; - Mô tả và luận giải mục tiêu của các hoạt động xử lý dữ liệu cá nhân của Công dân Việt Nam sau khi được chuyển ra nước ngoài; - Mô tả và làm rõ loại dữ liệu cá nhân chuyển ra nước ngoài; - Mô tả và nêu rõ sự tuân thủ quy định bảo vệ dữ liệu cá nhân, chi tiết các biện pháp bảo vệ dữ liệu cá nhân được áp dụng; - Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó; - Sự đồng ý của chủ thể dữ liệu theo quy định tại Điều 11 Nghị định 13/2023/NĐ-CP trên cơ sở biết rõ cơ chế phản hồi, khiếu nại khi có sự cố hoặc yêu cầu phát sinh. Sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. - Có văn bản thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân của Công dân Việt Nam về việc xử lý dữ liệu cá nhân. Như vậy, quy định pháp luật không hạn chế việc chuyển dữ liệu của cá nhân ra ngoài lãnh thổ Việt Nam. Tuy nhiên, khi xử lý dữ liệu cá nhân của nhân viên, khách hàng, cần phải có sự đồng ý cho phép của họ và thực hiện các công việc về liên quan đến Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài quy định. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bắt đầu có hiệu lực từ 01/7/2023.
Nghị định 13/2023/NĐ-CP: quy định hiện hành về cung cấp dữ liệu cá nhân
Đây là nội dung cung cấp dữ liệu cá nhân được quy định tại Điều 14 Nghị định 13/2023/NĐ-CP do Chính phủ ban hành ngày 17/4/2023 về bảo vệ dữ liệu cá nhân Chủ thể dữ liệu, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân được làm gì? Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân: - Được cung cấp dữ liệu cá nhân của chủ thể dữ liệu cho tổ chức, cá nhân khác khi có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác; - Thay mặt chủ thể dữ liệu cung cấp dữ liệu cá nhân của chủ thể dữ liệu cho tổ chức hoặc cá nhân khác khi chủ thể dữ liệu đồng ý cho phép đại diện và ủy quyền, trừ trường hợp pháp luật có quy định khác. Việc cung cấp dữ liệu cá nhân của chủ thể dữ liệu được Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, trừ trường hợp luật có quy định khác. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không cung cấp dữ liệu cá nhân trong trường hợp: - Gây tổn hại tới quốc phòng, an ninh quốc gia, trật tự an toàn xã hội; - Việc cung cấp dữ liệu cá nhân của chủ thể dữ liệu có thể ảnh hưởng tới sự an toàn, sức khỏe thể chất hoặc tinh thần của người khác; - Chủ thể dữ liệu không đồng ý cung cấp, cho phép đại diện hoặc ủy quyền nhận dữ liệu cá nhân. Hình thức yêu cầu cung cấp dữ liệu cá nhân như thế nào? Hình thức yêu cầu cung cấp dữ liệu cá nhân: - Chủ thể dữ liệu trực tiếp hoặc ủy quyền cho người khác đến trụ sở Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân yêu cầu cung cấp dữ liệu cá nhân. Người tiếp nhận yêu cầu có trách nhiệm hướng dẫn tổ chức, cá nhân yêu cầu điền các nội dung vào Phiếu yêu cầu cung cấp dữ liệu cá nhân. Trường hợp tổ chức, cá nhân yêu cầu cung cấp thông tin không biết chữ hoặc bị khuyết tật không thể viết yêu cầu thì người tiếp nhận yêu cầu cung cấp thông tin có trách nhiệm giúp điền các nội dung vào Phiếu yêu cầu cung cấp dữ liệu cá nhân; - Gửi Phiếu yêu cầu cung cấp dữ liệu cá nhân theo Mẫu số 01, 02 tại Phụ lục của Nghị định 13/2023/NĐ-CP qua mạng điện tử, dịch vụ bưu chính, fax đến Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. Phiếu yêu cầu cung cấp dữ liệu cá nhân phải được thể hiện bằng tiếng Việt gồm các nội dung chính sau đây: - Họ, tên; nơi cư trú, địa chỉ; số chứng minh nhân dân, thể căn cước công dân hoặc số hộ chiếu của người yêu cầu; số fax, điện thoại, địa chỉ thư điện tử (nếu có); - Dữ liệu cá nhân được yêu cầu cung cấp, trong đó chỉ rõ tên văn bản, hồ sơ, tài liệu; - Hình thức cung cấp dữ liệu cá nhân; - Lý do, mục đích yêu cầu cung cấp dữ liệu cá nhân. Trường hợp yêu cầu cung cấp dữ liệu cá nhân quy định tại khoản 2 Điều 14 Nghị định 13/2023/NĐ-CP thì phải kèm theo văn bản đồng ý của cá nhân, tổ chức liên quan. Tiếp nhận yêu cầu cung cấp dữ liệu cá nhân Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm tiếp nhận yêu cầu cung cấp dữ liệu cá nhân và theo dõi quá trình, danh sách cung cấp dữ liệu cá nhân theo yêu cầu; Trường hợp dữ liệu cá nhân được yêu cầu không thuộc thẩm quyền thì Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân nhận được yêu cầu phải thông báo và hướng dẫn tổ chức, cá nhân yêu cầu đến cơ quan có thẩm quyền hoặc thông báo rõ ràng việc không thể cung cấp dữ liệu cá nhân. Giải quyết yêu cầu cung cấp dữ liệu cá nhân Khi nhận được yêu cầu cung cấp dữ liệu cá nhân hợp lệ, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm cung cấp dữ liệu cá nhân thông báo về thời hạn, địa điểm, hình thức cung cấp dữ liệu cá nhân; chi phí thực tế để in, sao, chụp, gửi thông tin qua dịch vụ bưu chính, fax (nếu có) và phương thức, thời hạn thanh toán; thực hiện việc cung cấp dữ liệu cá nhân theo trình tự, thủ tục quy định tại Điều 14 Nghị định 13/2023/NĐ-CP. Nghị định 13/2023/NĐ-CP có hiệu lực thi hành từ ngày 01/7/2023.
Chính phủ ban hành 05 biện pháp nhằm bảo vệ dữ liệu cá nhân
Bảo vệ dữ liệu cá nhân là nội dung trọng tâm tại Nghị định 13/2023/NĐ-CP được Chính phủ ban hành ngày 17/4/2023, trong đó quy định chi tiết các nội dung bảo vệ dữ liệu cá nhân. Cụ thể, nhằm bảo vệ dữ liệu cá nhân của công dân được pháp luật Việt Nam bảo vệ Chính phủ ban hành 05 biện pháp sau đây: (1) 05 biện pháp bảo vệ dữ liệu cá nhân Biện pháp bảo vệ dữ liệu cá nhân được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý dữ liệu cá nhân. Các biện pháp bảo vệ dữ liệu cá nhân, bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện. - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện. - Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan. - Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện. - Các biện pháp khác theo quy định của pháp luật. (2) Quy định về sự đồng ý của chủ thể dữ liệu - Sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác. - Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ các nội dung sau: + Loại dữ liệu cá nhân được xử lý. + Mục đích xử lý dữ liệu cá nhân. + Tổ chức, cá nhân được xử lý dữ liệu cá nhân. + Các quyền, nghĩa vụ của chủ thể dữ liệu. - Sự đồng ý của chủ thề dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. - Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân liệt kê các mục đích đề chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra. - Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. - Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. - Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo. - Đối với xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. - Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản. - Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thề dữ liệu thuộc về Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. - Thông qua việc ủy quyền theo quy định của Bộ luật Dân sự 2015, tổ chức, cá nhân có thể thay mặt chủ thể dữ liệu thực hiện các thủ tục liên quan tới xử lý dữ liệu cá nhân của chủ thê dữ liệu với Bên Kiểm soát dữ liệu cá nhân. Bên Kiểm soát và xử lý dữ liệu cá nhân trong trường hợp chủ thể dữ liệu đà biết rõ và đồng ý theo quy định tại khoản 3 Điều này, trừ trường hợp luật có quy định khác. Xem thêm Nghị định 13/2023/NĐ-CP có hiệu lực từ ngày 01/7/2023.
Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023
Chính phủ ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. Ngày 17/4/2023, Phó Thủ tướng Trần Lưu Quang vừa thay mặt Thủ tướng Chính phủ ký quyết định ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Theo đó, Nghị định 13/2023/NĐ-CP quy định chặt chẽ về các biện pháp, điều kiện bảo đảm bảo vệ dữ liệu cá nhân, cụ thể như sau: Xem và tải Nghị định 13/2023/NĐ-CP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/04/18/nghi-dinh-13-2023-nd-cp-bao-ve-du-lieu-ca-nhan.pdf Dữ liệu cá nhân được hiểu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân cơ bản gồm họ và tên, ngày tháng năm sinh, giới tính, nơi sinh, quốc tịch, hình ảnh cá nhân, số điện thoại, số CMND, số tài khoản, số định danh cá nhân, biển số xe, mã số thuế,... (1) Biện pháp bảo vệ dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP quy định các biện pháp bảo vệ dữ liệu cá nhân bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp do cơ quan quản lý Nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; - Biện pháp điều tra, tố tụng do cơ quan Nhà nước có thẩm quyền thực hiện; - Các biện pháp khác theo quy định của pháp luật. Xem bài viết liên quan: Hướng dẫn tra cứu thông tin cá nhân khi Sổ hộ khẩu giấy bị khai tử (2) Những hành vi bị nghiêm cấm trong bảo vệ dữ liệu cá nhân Chính phủ cũng đã ban hành một số hành vi bị nghiêm cấm trong Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Các hành vi này bao gồm việc xử lý dữ liệu cá nhân trái quy định pháp luật, xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. Ngoài ra, hành vi xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác cũng bị nghiêm cấm. Đáng chú ý tại Nghị định, việc xử lý dữ liệu cá nhân phải thông báo và nhận được sự đồng ý của chủ thể dữ liệu. Chủ thể dữ liệu cũng được yêu cầu bên kiểm soát dữ liệu cung cấp cho bản thân hoặc chỉnh sửa, xóa dữ liệu cá nhân của mình. (3) Quyền sử dụng dữ liệu cá nhân của chủ thể Cơ quan nhà nước có quyền sử dụng dữ liệu cá nhân trong trường hợp khẩn cấp Trong trường hợp khẩn cấp, để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác, và các trường hợp khẩn cấp về an ninh, quốc phòng, dịch bệnh, thảm họa,... bên kiểm soát dữ liệu và cơ quan nhà nước có thẩm quyền có thể xử lý dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu. Cơ quan, tổ chức có thẩm quyền cũng được ghi âm, ghi hình và xử lý dữ liệu cá nhân thu được từ hoạt động này tại nơi công cộng với mục đích bảo vệ an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân mà không cần sự đồng ý của chủ thể dữ liệu. Đối với trẻ em Với dữ liệu cá nhân của trẻ em, việc xử lý các dữ liệu này phải có sự đồng ý của trẻ em trong trường hợp trẻ từ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ, trừ một số trường hợp đặc biệt. Đối với hoạt động tiếp thị, quảng cáo Tổ chức, cá nhân chỉ được sử dụng dữ liệu cá nhân của khách hàng được thu thập qua hoạt động kinh doanh của mình khi có sự đồng ý của chủ thể dữ liệu. Việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh tiếp thị, giới thiệu sản phẩm phải được sự đồng ý của khách hàng, trên cơ sở biết rõ nội dung, phương thức, tần suất giới thiệu sản phẩm. Nghị định cũng quy định rõ, tổ chức, cá nhân liên quan tới xử lý dữ liệu phải áp dụng các biện pháp bảo vệ để ngăn chặn tình trạng thu thập dữ liệu trái phép từ hệ thống, dịch vụ của mình. Việc thiết lập các phần mềm, biện pháp kỹ thuật hoặc tổ chức thu thập, chuyển giao, mua, bán dữ liệu cá nhân khi không có sự đồng ý của chủ thể dữ liệu là vi phạm pháp luật. Xem bài viết liên quan: Bán thông tin cá nhân khách hàng là vi phạm pháp luật Cơ quan chuyên trách bảo vệ dữ liệu cá nhân Theo NNghị định 13/2023/NĐ-CP, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an), có trách nhiệm giúp Bộ Công an thực hiện quản lý Nhà nước về bảo vệ dữ liệu cá nhân. Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân cung cấp thông tin về chủ trương, đường lối, chính sách của Đảng, pháp luật của Nhà nước về bảo vệ dữ liệu cá nhân; Đồng thời, tuyên truyền, phổ biến chính sách, pháp luật về bảo vệ dữ liệu cá nhân; cập nhật thông tin, tình hình bảo vệ dữ liệu cá nhân; tiếp nhận thông tin, hồ sơ, dữ liệu về hoạt động bảo vệ dữ liệu cá nhân qua không gian mạng; cung cấp thông tin về kết quả đánh giá công tác bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.' Bên cạnh đó, Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân tiếp nhận thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân; cảnh báo, phối hợp cảnh báo về nguy cơ, hành vi xâm phạm dữ liệu cá nhân theo quy định của pháp luật; xử lý vi phạm về bảo vệ dữ liệu cá nhân theo quy định của pháp luật; thực hiện hoạt động khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Ngoài ra, Nghị định 13/2023 cũng quy định rõ điều kiện, quyền và nghĩa vụ của chủ thể dữ liệu, cùng với đó là trách nhiệm của các cơ quan, chủ thể, cá nhân trong việc bảo vệ dữ liệu cá nhân. Xem chi tiết tại Nghị định 13/2023/NĐ-CP có hiệu lực thi hành từ ngày 01/7/2023. Xem và tải Nghị định 13/2023/NĐ-CP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/04/18/nghi-dinh-13-2023-nd-cp-bao-ve-du-lieu-ca-nhan.pdf Xem bài viết liên quan: Hướng dẫn tra cứu thông tin cá nhân khi Sổ hộ khẩu giấy bị khai tử
Đã có Dự thảo Luật Bảo vệ dữ liệu cá nhân
Bộ Công an đang lấy ý kiến về Dự thảo Luật Bảo vệ dữ liệu cá nhân. Trong đó, có những nội dung đáng chú ý như dữ liệu cơ bản/nhạy cảm của cá nhân hay các bên khai thác dữ liệu của cá nhân. Cụ thể như sau. https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/9/24/dt-luat-du-lieu-ca-nhan.docx Dự thảo Luật Bảo vệ dữ liệu cá nhân (1) Dữ liệu cá nhân cơ bản và dữ liệu nhạy cảm Cụ thể, tại khoản 3 Điều 2 Dự thảo Luật Bảo vệ dữ liệu cá nhân có nêu rõ, dữ liệu cá nhân cơ bản là thông tin cơ bản của công dân hoặc các thông tin khác không phải dữ liệu cá nhân nhạy cảm, gắn liền với danh tính của công dân, bao gồm: - Họ, chữ đệm và tên khai sinh, bí danh (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số CMND, số định danh cá nhân, số hộ chiếu, số căn cước công dân, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng. - Các thông tin khác gắn liền với danh tính của công dân không thuộc quy định tại 4 Điều này. Bên cạnh, tại Dự thảo Luật cũng có đề cập đến dữ liệu cá nhân nhạy cảm là thông tin khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của tổ chức, cá nhân, gắn liền với quyền riêng tư của cá nhân, bao gồm: - Quan điểm chính trị, quan điểm tôn giáo. - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu. - Thông tin liên quan đến nguồn gốc chủng tộc, thông tin liên quan đến nguồn gốc dân tộc. - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân. - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân. - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân. - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật. - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Thông tin về người sử dụng đất, dữ liệu đất đai có chứa thông tin về người sử dụng đất. - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. (2) Sự đồng ý của chủ thể dữ liệu Cụ thể, sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, ngoại trừ trường hợp luật có quy định khác. Cụ thể, sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực nếu dựa trên sự tự nguyện và biết rõ các nội dung sau: - Loại dữ liệu cá nhân được xử lý. - Mục đích xử lý dữ liệu cá nhân. - Tổ chức, cá nhân được xử lý dữ liệu cá nhân. - Các quyền, nghĩa vụ của chủ thể dữ liệu. Không được kèm theo điều kiện bắt buộc phải đồng ý chuyển giao dữ liệu cá nhân của chủ thể dữ liệu cho các dịch vụ khác không đúng mục đích thu thập. Chủ thể dữ liệu có quyền từ chối điều kiện này. Sự đồng ý của chủ thể dữ liệu phải được đưa ra bởi một hành động khẳng định tạo ra một chỉ dẫn rõ ràng, cụ thể, như: Bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra. Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. - Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. - Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo. - Đối với xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. - Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản. - Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thể dữ liệu thuộc về Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. Thông qua việc ủy quyền theo quy định của Bộ luật Dân sự, tổ chức, cá nhân có thể thay mặt chủ thể dữ liệu thực hiện các thủ tục liên quan tới xử lý dữ liệu cá nhân của chủ thể dữ liệu với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân trong trường hợp chủ thể dữ liệu đã biết rõ và đồng ý theo quy định tại khoản 3 Điều 11 Dự thảo Luật, trừ trường hợp luật có quy định khác. (3) Mạng xã hội hoạt động tại Việt Nam không được yêu cầu chụp ảnh CCCD làm yếu tố xác thực tài khoản Cụ thể, tại Điều 31 Dự thảo Luật Bảo vệ dữ liệu cá nhân có đề xuất các tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông được cung cấp trực tiếp đến người xem thông qua không gian mạng (OTT) có trách nhiệm như sau: - Bảo vệ dữ liệu cá nhân của công dân Việt Nam khi hoạt động tại thị trường Việt Nam hoặc xuất hiện trên kho ứng dụng di động cung cấp cho thị trường Việt Nam. - Thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cài đặt và sử dụng mạng xã hội, dịch vụ OTT. Không thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng. - Không được yêu cầu chụp ảnh CCCD, CMND làm yếu tố xác thực tài khoản. - Cung cấp lựa chọn cho phép người dùng từ chối thu thập cookies và chia sẻ cookies. - Cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ OTT khi có sự đồng ý của người sử dụng. - Thông báo cụ thể, rõ ràng, bằng văn bản về việc chia sẻ dữ liệu cá nhân cũng như áp dụng biện pháp bảo mật khi thực hiện hoạt động quảng cáo, tiếp thị dựa trên dữ liệu cá nhân của khách hàng. - Nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của chủ thể dữ liệu là hành vi vi phạm pháp luật. Bên cạnh đó, tại Dự thảo Luật cũng nêu rõ, dữ liệu cá nhân đăng ký tài khoản mạng xã hội, dịch vụ OTT không phải là dữ liệu công khai và không thuộc trường hợp được xử lý mà không cần có sự đồng ý của chủ thể dữ liệu. Xem thêm: Thông tin về đời sống tình dục, xu hướng tình dục là dữ liệu nhạy cảm của cá nhân
Xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào?
Theo quy định pháp luật thì xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào? Cá nhân có quyền xóa dữ liệu về tình trạng hôn nhân không? Xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân bị xử lý thế nào? Theo quy định tại khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP có quy định dữ liệu cá nhân bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại khoản 4 Điều này. Như vậy, theo quy định trên thì tình trạng hôn nhân là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân cơ bản và được bảo vệ bởi pháp luật. Và căn cứ quy định tại Điều 4 Nghị định 13/2023/NĐ-CP, trong trường hợp cơ quan, tổ chức, cá nhân vi phạm về bảo vệ dữ liệu cá nhân thì sẽ bị xử lý như sau: - Xử lý kỷ luật; - Xử phạt vi phạm hành chính; - Xử lý hình sự. Theo đó, tùy vào tính chất và mức độ vi phạm mà hành vi xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân sẽ bị xử lý khác nhau. Trong đó, với mức cao nhất là xử lý hình sự. Cá nhân có quyền xóa dữ liệu về tình trạng hôn nhân không? Căn cứ theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu cá nhân có 11 quyền liên quan đến dữ liệu của mình. Cụ thể như sau: (1) Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (2) Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định này. (3) Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (4) Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. (5) Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (6) Quyền hạn chế xử lý dữ liệu - Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; - Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. (7) Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (8) Quyền phản đối xử lý dữ liệu - Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; - Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. (9) Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. (10) Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. (11) Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật Dân sự 2015, luật khác có liên quan và Nghị định này, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật Dân sự 2015. Như vậy, theo quy định nêu trên thì cá nhân là chủ thể của dữ liệu có quyền được xóa hoặc yêu cầu xóa dữ liệu cá nhân về tình trạng hôn nhân của mình, trừ trường hợp luật có quy định khác. Tóm lại, tùy vào tính chất và mức độ vi phạm mà hành vi xâm phạm dữ liệu về tình trạng hôn nhân của cá nhân sẽ bị xử lý khác nhau bằng các biện pháp xử lý: kỷ luật, hành chính và hình sự.
Công dân có những quyền nào đối với dữ liệu về tình trạng sức khỏe và đời tư của mình hay không?
Dữ liệu cá nhân có bao gồm tình trạng sức khỏe và đời tư không? Công dân có quyền nào đối với dữ liệu về tình trạng sức khỏe và đời tư? Dữ liệu cá nhân có bao gồm tình trạng sức khỏe và đời tư không? Căn cứ theo quy định tại khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP có quy định như sau: - Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: + Quan điểm chính trị, quan điểm tôn giáo; + Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; + Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; + Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; + Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; + Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; + Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; + Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; + Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; + Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. Như vậy, theo quy định nêu trên thì tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân nhạy cảm và được bảo vệ bởi pháp luật. Công dân có những quyền gì đối với dữ liệu về tình trạng sức khỏe và đời tư? Căn cứ theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu cá nhân có 11 quyền liên quan đến dữ liệu cá nhân như sau: (1) Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (2) Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định này. (3) Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (4) Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. (5) Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (6) Quyền hạn chế xử lý dữ liệu - Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; - Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. (7) Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. (8) Quyền phản đối xử lý dữ liệu - Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; - Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. (9) Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. (10) Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. (11) Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật Dân sự, luật khác có liên quan và Nghị định này, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật Dân sự 2015. Như vậy, theo quy định nêu trên, đối với dữ liệu về tình trạng sức khỏe và đời tư công dân có các quyền nêu trên. Tóm lại, tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu là một trong những dữ liệu cá nhân thuộc nhóm dữ liệu cá nhân nhạy cảm và được bảo vệ bởi pháp luật.
Vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không?
Với việc phát triển của công nghệ, nhất là mạng xã hội ngày nay thì quy định của pháp luật có các nguyên tắc bảo vệ dữ liệu cá nhân nào? Nếu có vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không? Có bao nhiêu nguyên tắc bảo vệ dữ liệu cá nhân? Theo quy định tại Điều 3 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân nói rằng có các nguyên tắc bảo vệ dữ liệu cá nhân như sau: - Dữ liệu cá nhân được xử lý theo quy định của pháp luật. - Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân. - Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý. Dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý. - Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật. - Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác. - Bên Kiểm soát dữ liệu, Bên Kiểm soát và xử lý dữ liệu cá nhân phải chịu trách nhiệm tuân thủ các nguyên tắc xử lý dữ liệu được quy định từ khoản 1 tới khoản 7 Điều 3 Nghị định 13/2023/NĐ-CP và chứng minh sự tuân thủ của mình với các nguyên tắc xử lý dữ liệu đó. Như vậy, việc bảo vệ dữ liệu cá nhân được thực hiện theo nguyên tắc nêu trên. Nếu có vi phạm về bảo vệ dữ liệu cá nhân thì có bị xử lý hình sự hay không? Theo quy định tại Điều 4 Nghị định 13/2023/NĐ-CP về việc xử lý vi phạm quy định bảo vệ dữ liệu cá nhân như sau: Cơ quan, tổ chức, cá nhân vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính, xử lý hình sự theo quy định. Như vậy, tùy theo mức độ mà hành vi vi phạm về bảo vệ dữ liệu cá nhân sẽ bị xử phạt vi phạm hành chính hoặc xử lý hình sự theo quy định. Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân gồm những gì? Căn cứ theo Điều 5 Nghị định 13/2023/NĐ-CP quy định về việc quản lý nhà nước về bảo vệ dữ liệu cá nhân như sau: Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân gồm: - Trình cơ quan nhà nước có thẩm quyền ban hành hoặc ban hành theo thẩm quyền văn bản quy phạm pháp luật và chỉ đạo, tổ chức thực hiện văn bản quy phạm pháp luật về bảo vệ dữ liệu cá nhân. - Xây dựng và tổ chức thực hiện chiến lược, chính sách, đề án, dự án, chương trình, kế hoạch về bảo vệ dữ liệu cá nhân. - Hướng dẫn cơ quan, tổ chức, cá nhân về biện pháp, quy trình, tiêu chuẩn bảo vệ dữ liệu cá nhân theo quy định của pháp luật. - Tuyên truyền, giáo dục pháp luật về bảo vệ dữ liệu cá nhân; truyền thông, phổ biến kiến thức, kỹ năng bảo vệ dữ liệu cá nhân. - Xây dựng, đào tạo, bồi dưỡng cán bộ, công chức, viên chức và người được giao làm công tác bảo vệ dữ liệu cá nhân. - Thanh tra, kiểm tra việc thực hiện quy định của pháp luật về bảo vệ dữ liệu cá nhân; giải quyết khiếu nại, tố cáo và xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân theo quy định của pháp luật. - Thống kê, thông tin, báo cáo về tình hình bảo vệ dữ liệu cá nhân và việc thực hiện pháp luật về bảo vệ dữ liệu cá nhân cho cơ quan nhà nước có thẩm quyền. - Hợp tác quốc tế về bảo vệ dữ liệu cá nhân. Theo đó, Chính phủ thống nhất quản lý nhà nước về bảo vệ dữ liệu cá nhân.. Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân sẽ được thực hiện theo quy định nêu trên.
Thủ tục nộp hồ sơ báo cáo đánh giá tác động xử lý dữ liệu cá nhân
Hiện tại, việc thực hiện báo cáo đánh giá tác động xử lý dữ liệu cá nhân sẽ được thực hiện bởi Bên Kiểm soát dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân. Theo đó, các Bên Kiểm soát dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân cần thực hiện theo các bước được hướng dẫn tại Cổng Dịch vụ công Quốc gia (dichvucong.gov.vn). Dữ liệu cá nhân là gì? Căn cứ theo quy định tại Điều 2 Nghị định 13/2023/NĐ-CP về Giải thích từ ngữ thì Dữ liệu cá nhân được hiểu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Đánh giá tác động xử lý dữ liệu cá nhân là gì? Theo quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP về đánh giá tác động xử lý dữ liệu cá nhân thì việc đánh giá tác động xử lý dữ liệu cá nhân được hiểu là khi bên Kiểm soát dữ liệu cá nhân thì Bên Kiểm soát và xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, bao gồm: + Thông tin và chi tiết liên lạc của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân; + Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân và nhân viên bảo vệ dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân; + Mục đích xử lý dữ liệu cá nhân; + Các loại dữ liệu cá nhân được xử lý; + Tổ chức, cá nhân nhận dữ liệu cá nhân, bao gồm tổ chức, cá nhân ngoài lãnh thổ Việt Nam; + Trường hợp chuyển dữ liệu cá nhân ra nước ngoài; + Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xóa, hủy dữ liệu cá nhân (nếu có); + Mô tả về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng; + Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó. Thủ tục nộp hồ sơ báo cáo đánh giá tác động xử lý dữ liệu cá nhân Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an - https://baovedlcn.gov.vn/) hoặc tải mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 04 ban hành kèm theo Nghị định13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân và khoản 2 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Xử lý dữ liệu cá nhân (biểu mẫu Mẫu Đ24-DLCN-01, Mẫu Đ24-DLCN-02, Mẫu Đ24-DLCN-03). Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Nơi nộp hồ sơ: Nộp trực tiếp: tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Nộp trực tuyến: truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an - https://baovedlcn.gov.vn/) Dịch vụ bưu chính: tiếp nhận hồ sơ qua dịch vụ bưu chính công ích Khi chuẩn bị đầy đủ hồ sơ thì mình có thể nộp trực tiếp hoặc trực tuyến cho cơ quan có thẩm quyền để được kiểm tra và thông báo kết quả của báo cáo đánh giá tác động về việc xử lý dữ liệu cá nhân của doanh nghiệp. (Nguồn tham khảo: https://dichvucong.gov.vn/p/home/dvc-tthc-thu-tuc-hanh-chinh-chi-tiet.html?ma_thu_tuc=323750)
NÓNG: Bộ Công an đề xuất phạt đến 500 triệu đồng khi rao bán dữ liệu cá nhân để trục lợi
Bộ Công an vừa có tờ trình trình Chính phủ về dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng. Trong đó, Bộ Công an đã đề xuất các mức phạt tiền lên đến 500 triệu đồng với một số hành vi vi phạm liên quan đến dữ liệu cá nhân. Bộ Công an đề xuất phạt đến 500 triệu đồng nếu để lộ, mất dữ liệu cá nhân Ngày 02/5/2024 Bộ Công an đã trình Chính phủ dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (dự thảo). Trước thực trạng nhiều dữ liệu thông tin cá nhân bị sử dụng, đánh cắp, công khai, trao đổi, rao bán nhằm trục lợi, Bộ đã đề xuất mức phạt lên tới 500 triệu đồng. Cụ thể, các hành vi có thể bị áp dụng mức phạt lên tới 500 triệu đồng trong dự thảo bao gồm: - Theo khoản 1, khoản 3 điều 25 dự thảoquy định về vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân, trong đó: Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với các hành vi: + Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân; + Bên Xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân. + Không gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính theo Mẫu số 04 tại Phụ lục Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân; + Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Phạt tiền gấp 05 lần quy định trên nếu thực hiện những hành vi trên mà để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam. - Theo khoản 1, khoản 3 Điều 26 dự thảo quy định về vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài, trong đó: Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: + Bên chuyển dữ liệu ra nước ngoài không lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục theo quy định tại khoản 3, 4 và 5 Điều 25 Nghị định 13/2023/NĐ-CP ; + Không lập hoặc không lưu giữ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân; + Không gửi 01 bản chính hồ sơ tới Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo Mẫu số 06 tại Phụ lục Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân; + Không thông báo gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) thông tin về việc chuyển dữ liệu và chi tiết liên lạc của tổ chức, cá nhân phụ trách bằng văn bản sau khi việc chuyển dữ liệu diễn ra thành công; + Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). + Không chấp hành yêu cầu kiểm tra chuyển dữ liệu cá nhân ra nước ngoài của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Phạt tiền gấp 05 lần quy định trên đối với thực hiện hành vi trên mà để lộ, mất dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân của 1.000.000 công dân Việt Nam tới dưới 5.000.000 công dân Việt Nam ra nước ngoài. Như vậy, nếu như để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam hoặc để lộ, mất dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân của 1.000.000 công dân Việt Nam tới dưới 5.000.000 công dân Việt Nam ra nước ngoài thì mức phạt có thể gấp 5 lần 100 triệu, tức là sẽ lên đến 500 triệu đồng. Xem dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng ngày 02/5/2024: https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/05/08/du-thao-nan-ninh-mang.pdf Xem cập nhật mới nhất dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng Thẩm quyền xử phạt hành chính của Công an được quy định mới như thế nào? Theo Điều 42 dự thảo quy định thẩm quyền xử phạt vi phạm hành chính của Công an Nhân dân bao gồm: - Trưởng Công an cấp huyện, Trưởng phòng nghiệp vụ thuộc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao; Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Trưởng phòng An ninh chính trị nội bộ; Trưởng phòng Cảnh sát điều tra tội phạm về trật tự xã hội thuộc Công an cấp tỉnh có quyền: + Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính quy định tại Mục 1, 2, 3, 4, 5 Chương II dự thảo theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này; + Áp dụng biện pháp khắc phục hậu quả quy định tại điểm a, c, đ và k khoản 1 của Luật Xử lý vi phạm hành chính va Nghị định này. - Giám đốc Công an cấp tỉnh có quyền + Phạt tiền đến 50.000.000 đồng đối với các hành vi vi phạm hành chính quy định tại Mục 1, 2, 3, 4, 5 Chương II dự thảo theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính; + Áp dụng biện pháp khắc phục hậu quả quy định của Luật Xử lý vi phạm hành chính và Nghị định này; + Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm. - Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao có quyền: + Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính tại Chương II Nghị định này theo chức năng, nhiệm vụ được giao; + Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn; + Tịch thu tang vật, phương tiện vi phạm hành chính; + Áp dụng biện pháp khắc phục hậu quả theo quy định của Luật Xử lý vi phạm hành chính và Nghị định này. + Quyết định mức phạt tiền đến gấp 5 lần mức phạt tiền đối với các hành vi hoặc 5% doanh thu năm tài chính liền trước hoặc số lợi thu được từ vi phạm hành chính của tổ chức, cá nhân vi phạm tại thị trường Việt Nam. - Cục trưởng Cục Quản lý xuất nhập cảnh có quyền quyết định áp dụng hình thức xử phạt trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm. Như vậy, Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao sẽ có quyền quyết định mức phạt tiền đến gấp 5 lần mức phạt tiền đối với các hành vi hoặc 5% doanh thu năm tài chính liền trước hoặc số lợi thu được từ vi phạm hành chính của tổ chức, cá nhân vi phạm tại thị trường Việt Nam. Xem dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng ngày 02/5/2024: https://cdn.thuvienphapluat.vn/uploads/danluatfile/2024/05/08/du-thao-nan-ninh-mang.pdf Xem cập nhật mới nhất dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng
Thủ tục thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân mới nhất
Thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân thủ tục hành chính được Bộ Công an công bố tại Quyết định 4660/QĐ-BCA-A05 về công bố thủ tục hành chính mới ban hành trong lĩnh vực bảo vệ dữ liệu cá nhân thuộc thẩm quyền giải quyết của Bộ Công an ngày 04 tháng 07 năm 2023. Trình tự thực hiện thông báo Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc tải mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 04 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được quy định tại khoản 1 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân và khoản 2 Điều 24 Nghị định 13/2023/NĐ-CP đối với Bên Xử lý dữ liệu cá nhân (biểu mẫu Mẫu Đ24-DLCN-01, Mẫu Đ24-DLCN-02, Mẫu Đ24-DLCN-03). Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Thời gian tiếp nhận hồ sơ: Giờ hành chính các ngày làm việc từ thứ 2 đến thứ 6 (trừ các ngày nghỉ lễ, tết theo quy định). Cách thức thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân - Trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. - Trực tuyến tại Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an). - Dịch vụ bưu chính: Tiếp nhận hồ sơ qua dịch vụ bưu chính công ích theo quy định tại Quyết định 45/2016/QĐ-TTg ngày 19/10/2016 của Thủ tướng Chính phủ về việc tiếp nhận hồ sơ, trả kết quả giải quyết thủ tục hành chính qua dịch vụ bưu chính công ích. Thành phần hồ sơ thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân - Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mẫu 04b (dành cho cá nhân) – 01 (một) bản chính. - Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mẫu 04a (dành cho tổ chức) – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân) theo mẫu Đ24-DLCN-01 – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Xử lý dữ liệu cá nhân) theo mẫu Đ24-DLCN-02 – 01 (một) bản chính. - Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên thứ Ba) theo mẫu Đ24-DLCN-03 – 01 (một) bản chính. - Giấy chứng nhận đăng kí hoạt động/quyết định thành lập hoặc căn cước công dân/chứng minh thư/hộ chiếu của chủ hồ sơ - 01 (một) bản sao. - Quyết định hoăc giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ - 01 (một) bản sao. - Hợp đồng hoặc văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có) - 01 (một) bản sao. - Giấy tờ khác (các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp) - (bản sao). Yêu cầu, điều kiện thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân Khi có sự thay đổi nội dung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đã gửi cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Thời gian giải quyết thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: 10 Ngày làm việc. Kết quả thực hiện thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Xác nhận đã tiếp nhận hồ sơ về bảo vệ dữ liệu cá nhân. Trên đây là thủ tục hành chính thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài
Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài là thủ tục hành chính được Bộ Công an công bố tại Quyết định 4660/QĐ-BCA-A05 về công bố thủ tục hành chính mới ban hành trong lĩnh vực bảo vệ dữ liệu cá nhân thuộc thẩm quyền giải quyết của Bộ Công an ngày 04 tháng 07 năm 2023. Trình tự thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Bước 1: Tổ chức, cá nhân truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc tải mẫu số 06 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Bước 2: Tổ chức, cá nhân cung cấp các thông tin theo hướng dẫn trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc khai theo mẫu số 05 ban hành kèm theo Nghị định 13/2023/NĐ-CP. Nội dung Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài được quy định tại khoản khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP. Bước 3: Tổ chức, cá nhân gửi hồ sơ qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an) hoặc gửi hồ sơ đã khai thông tin về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. Bước 4: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Thời gian tiếp nhận hồ sơ: Giờ hành chính các ngày làm việc từ thứ 2 đến thứ 6 (trừ các ngày nghỉ lễ, tết theo quy định). Cách thức thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài - Trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an. - Trực tuyến tại Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (theo thông báo của Bộ Công an). - Dịch vụ bưu chính: Tiếp nhận hồ sơ qua dịch vụ bưu chính công ích theo quy định tại Quyết định 45/2016/QĐ-TTg ngày 19/10/2016 của Thủ tướng Chính phủ về việc tiếp nhận hồ sơ, trả kết quả giải quyết thủ tục hành chính qua dịch vụ bưu chính công ích. Thành phần hồ sơ thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài - Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu 06b (dành cho cá nhân) - 01 (một) bản chính. - Thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu 06a (dành cho tổ chức) - 01 (một) bản chính. - Hồ sơ Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu Đ25-DLCN-04 - 01 (một) bản chính. - Giấy chứng nhận đăng kí hoạt động/quyết định thành lập hoặc căn cước công dân/chứng minh thư/hộ chiếu của chủ hồ sơ - 01 (một) bản sao. - Quyết định hoăc giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ - 01 (một) bản sao. - Hợp đồng hoặc văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có) - 01 (một) bản sao. - Giấy tờ khác (các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp) - (bản sao). Yêu cầu điều kiện thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Tổ chức, cá nhân gửi trong thời gian 60 ngày kể từ ngày chuyển dữ liệu cá nhân ra nước ngoài. Thời gian giải quyết thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: 10 Ngày làm việc Kết quả thực hiện thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Xác nhận đã tiếp nhận hồ sơ về bảo vệ dữ liệu cá nhân. Trên đây là thủ tục hành chính thông báo gửi Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.
Tăng cường công tác bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP
Ngày 22/8/2023 Bộ Công an có ban hành Công văn 2916/BCA-A05 năm 2023 về việc tăng cường công tác bảo vệ dữ liệu cá nhân. Cụ thể, vẫn còn xảy ra tình trạng lộ, mất, chuyển giao trái phép dữ liệu cá nhân; vẫn còn diễn ra tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân, Bộ Công an yêu cầu tăng cường công tác bảo vệ dữ liệu cá nhân: (1) Các nội dung bảo vệ dữ liệu cá nhân cần quan tâm Ngày 17/4/2023, Chính phủ đã ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, quy định đầy đủ các vấn đề liên quan tới bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. - Nghị định đã xác lập quyền, nghĩa vụ của chủ thể dữ liệu. - Quy định về quy trình, cách thức áp dụng các biện pháp bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. - Xác định cơ quan chuyên trách bảo vệ dữ liệu cá nhân. - Lực lượng bảo vệ dữ liệu cá nhân. - Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. - Thủ tục hành chính về bảo vệ dữ liệu cá nhân. Trên đây là những quy định quan trọng, thiết thực để hạn chế tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân tràn lan như hiện nay. (2) Thực trạng triển khai Nghị định 13/2023/NĐ-CP từ ngày 01/7/2023 đến nay Tuy nhiên, kể từ khi Nghị định có hiệu lực (01/7/2023) đến nay, công tác triển khai Nghị định chưa được quan tâm đúng mức; nhiều tổ chức, cơ quan, doanh nghiệp nhà nước chưa triển khai các nhiệm vụ được quy định trong Nghị định 13/2023/NĐ-CP, để xảy ra tình trạng lộ, mất, chuyển giao trái phép dữ liệu cá nhân; vẫn còn diễn ra tình trạng chuyển giao trái phép, mua bán dữ liệu cá nhân. (3) 06 nhiệm vụ tăng cường công tác bảo vệ dữ liệu cá nhân Căn cứ chức năng, nhiệm vụ được giao, Bộ Công an đề nghị các bộ, ngành, cơ quan ngang bộ, cơ quan thuộc Chính phủ; UBND các tỉnh, thành phố trực thuộc Trung ương; các tổ chức chính trị, xã hội ở Trung ương; các tổ chức, doanh nghiệp nhà nước thuộc Trung ương khẩn trương triển khai một số nội dung sau đây: - Nghiên cứu, tổ chức triển khai và thực hiện nghiêm các quy định về bảo vệ dữ liệu cá nhân qua nhiều hình thức khác nhau, trong đó chú trọng tổ chức phổ biến, quán triệt tới toàn bộ cán bộ, công nhân viên về quyền và nghĩa vụ, xác định trách nhiệm cần triển khai thực hiện, bảo đảm về tiến độ thời gian theo quy định của pháp luật. - Chỉ đạo các đơn vị có hoạt động thu thập, xử lý dữ liệu cá nhân tiến hành rà soát tổng thể, phân loại dữ liệu cá nhân đã thu thập, đang xử lý, từ đó xác định trách nhiệm bảo vệ tương ứng với từng loại dữ liệu cá nhân theo quy định của Nghị định 13/2023/NĐ-CP . - Rà soát, đánh giá quy trình thu thập, xử lý dữ liệu cá nhân, đề xuất ban hành các biện pháp quản lý phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của cơ quan, đơn vị mình; xử lý nghiêm các hành vi chuyển giao dữ liệu cá nhân trái phép, mua bán dữ liệu cá nhân nếu phát hiện. - Chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân nếu cơ quan, tổ chức, cá nhân xử lý dữ liệu cá nhân nhạy cảm và trao đổi 01 bản chính văn bản nêu trên về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. - Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân trong trường hợp phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 03 tại Phụ lục của Nghị định 13/2023/NĐ-CP. - Lập hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo 03 hình thức: trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an hoặc theo đường bưu chính sau 60 ngày kể từ ngày xử lý dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân ra nước ngoài. Trong năm 2023 và các năm tiếp theo, Công an các đơn vị, địa phương sẽ tăng cường triển khai đấu tranh với hoạt động chuyển giao trái phép, mua bán dữ liệu cá nhân, xử lý nghiêm các hành vi vi phạm theo quy định của pháp luật. Xem thêm Công văn 2916/BCA-A05 năm 2023 ban hành ngày 22/8/2023.
Bộ TT&TT: Yêu cầu các đơn vị, DN công khai và cung cấp thông tin phát triển ngành
Ngày 11/9/2023, Bộ TT&TT đã ban hành Công văn 4646/BTTTT-VP về việc công bố công khai và cung cấp thông tin, số liệu phát triển ngành TT&TT. Văn bản được gửi đến các cơ quan, đơn vị, doanh nghiệp trực thuộc Bộ. Văn bản nêu rõ, năm 2023 được xác định là “Năm Dữ liệu số, tạo lập và khai thác dữ liệu để tạo ra giá trị mới”, là bảo vệ dữ liệu cá nhân; công bố, xây dựng dữ liệu cấp bộ ngành, địa phương; mở dữ liệu để kết nối chia sẻ; là an toàn dữ liệu. Năm 2023 cũng là năm tạo ra thay đổi căn bản để đánh giá của Liên minh Viễn thông Thế giới (ITU) về Chính phủ điện tử, Chính phủ số Việt Nam được chính xác thông qua việc cung cấp đầy đủ thông tin, số liệu cải thiện các thành phần đang có điểm thấp, để thứ hạng Việt Nam công bố vào năm 2024 sẽ tăng ít nhất 10 hạng, từ 86 xuống dưới 75. Trong bối cảnh chuyển đổi số hiện nay được Đảng và Nhà nước ta xác định là một phương thức phát triển mới có tính đột phá, giúp đẩy nhanh, rút ngắn tiến trình công nghiệp hóa, hiện đại hóa đất nước, việc công bố công khai và cung cấp thông tin, số liệu không chỉ có ý nghĩa rất lớn trong việc bảo đảm tính công khai, minh bạch trong chỉ đạo, điều hành của các cấp chính quyền từ Trung ương đến địa phương mà còn giúp các cơ quan, tổ chức, cá nhân trong và ngoài nước có thể dễ dàng tiếp cận nhanh chóng, chính xác, đầy đủ, kịp thời thông tin, số liệu phục vụ cho công tác nghiên cứu, đánh giá; giúp người lãnh đạo ra quyết định nhanh hơn, hiệu quả và thực chất hơn; giúp tăng cường và nâng cao tri thức con người Việt Nam và thúc đẩy nhanh tốc độ tăng trưởng kinh tế. Việc thường xuyên đo lường, cập nhật và công bố công khai thông tin, số liệu trong các ngành, lĩnh vực quản lý là nền tảng quan trọng cho việc thực thi và thúc đẩy phát triển ngành TT&TT theo đúng định hướng chiến lược phát triển đã ban hành, mang lại giá trị thực chất và đóng góp nhiều hơn nữa cho sự phát triển của đất nước. Để tạo điều kiện thuận lợi cho các cơ quan, tổ chức, cá nhân trong và ngoài nước tiếp cận, nghiên cứu và sử dụng thông tin, số liệu trong các ngành, lĩnh vực quản lý, Bộ TT&TT yêu cầu các cơ quan, đơn vị, doanh nghiệp thuộc Bộ thực hiện nghiêm quy định về việc công bố công khai và cung cấp thông tin, số liệu phát triển ngành, lĩnh vực quản lý, cụ thể như sau: Có trách nhiệm thường xuyên cập nhật, thực hiện chế độ báo cáo định kỳ, công bố công khai và cung cấp thông tin, số liệu phát triển ngành, lĩnh vực quản lý đảm bảo nguyên tắc “đúng, đủ, sạch, sống”, dễ dàng, thuận tiện tra cứu, sử dụng. Thực hiện công bố công khai thông tin, số liệu định kỳ hàng tháng, quý, 6 tháng và cả năm theo quy định của pháp luật có liên quan về công bố công khai thông tin, số liệu. Yêu cầu thực hiện công bố công khai thông tin, số liệu trên Cổng Thông tin điện tử Bộ TT&TT; Trang thông tin điện tử của cơ quan, đơn vị, doanh nghiệp (nếu có); Hệ thống theo dõi và đánh giá các chỉ số phát triển Bộ TT&TT… Theo Cổng TTĐT Bộ Thông tin và Truyền thông
Dấu hiệu nhận biết dữ liệu cá nhân nhạy cảm trong lĩnh vực tài chính ngân hàng
Ngân hàng và tổ chức tín dụng là một trong những lĩnh vực lưu trữ số lượng lớn dữ liệu cá nhân của khách hàng và một số thông tin khác, đặc biệt là phải bảo vệ dữ liệu cá nhân nhạy cảm. Vậy làm thế nào để nhận biết dữ liệu cá nhân nhạy cảm? 1. Dữ liệu cá nhân nhạy cảm bao gồm dữ liệu gì? Căn cứ khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP quy định dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: - Quan điểm chính trị, quan điểm tôn giáo; - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; - Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết. Trên đây là 10 dữ liệu cá nhân nhạy cảm mà tổ chức tín dụng, ngân hàng cần phải hiểu rõ và có trách nhiệm bảo vệ các dữ liệu cá nhân nhạy cảm. 2. Ngân hàng bảo vệ dữ liệu cá nhân nhạy cảm theo nguyên tắc nào? Tổ chức tín dụng, ngân hàng căn cứ theo Điều 3 Nghị định 13/2023/NĐ-CP quy định nguyên tắc bảo vệ dữ liệu cá nhân như sau: - Dữ liệu cá nhân được xử lý theo quy định của pháp luật. - Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân. - Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý. Dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. - Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý. - Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật. - Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác. - Bên Kiểm soát dữ liệu, Bên Kiểm soát và xử lý dữ liệu cá nhân phải chịu trách nhiệm tuân thủ các nguyên tắc xử lý dữ liệu được quy định từ khoản 1 tới khoản 7 Điều này và chứng minh sự tuân thủ của mình với các nguyên tắc xử lý dữ liệu đó. 3. Trách nhiệm bảo vệ dữ liệu cá nhân nhạy cảm của tổ chức tín dụng Căn cứ Điều 28 Nghị định 13/2023/NĐ-CP quy định trách nhiệm bảo vệ dữ liệu cá nhân nhạy cảm của tổ chức, cá nhân như sau: (1) Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 và Điều 27 Nghị định 13/2023/NĐ-CP. - Các biện pháp bảo vệ dữ liệu cá nhân, bao gồm: + Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; + Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; + Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; + Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện; + Các biện pháp khác theo quy định của pháp luật. - Bảo vệ dữ liệu cá nhân cơ bản: + Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 Nghị định 13/2023/NĐ-CP. + Xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân, nêu rõ những việc cần thực hiện theo quy định Nghị định 13/2023/NĐ-CP. + Khuyến khích áp dụng các tiêu chuẩn bảo vệ dữ liệu cá nhân phù hợp với lĩnh vực, ngành nghề, hoạt động có liên quan tới xử lý dữ liệu cá nhân. + Kiểm tra an ninh mạng đối với hệ thống và phương tiện, thiết bị phục vụ xử lý dữ liệu cá nhân trước khi xử lý, xoá không thể khôi phục được hoặc hủy các thiết bị chứa dữ liệu cá nhân. (2) Chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin về bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Trường hợp Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu, Bên thứ ba là cá nhân thì trao đổi thông tin của cá nhân thực hiện. (3) Thông báo cho chủ thể dữ liệu biết việc dữ liệu cá nhân nhạy cảm của chủ thể dữ liệu được xử lý, trừ trường hợp quy định tại khoản 4 Điều 13, Điều 17 và Điều 18 Nghị định 13/2023/NĐ-CP. 4. Các hành vi bị nghiêm cấm mà tổ chức tín dụng không được thực hiện Căn cứ Điều 8 Nghị định 13/2023/NĐ-CP quy định các hành vi bị nghiêm cấm như sau: - Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác. - Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền. - Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật. Như vậy, tổ chức tín dụng, ngân hàng nhận biết dữ liệu cá nhân nhạy cảm cần bảo vệ theo quy định pháp luật bao gồm 10 dữ liệu cá nhân được xem là nhạy cảm như trên.
Bộ Công an trả lời về bảo vệ dữ liệu cá nhân khi sử dụng ứng dụng quản lý thông minh
Mới đây, Bộ Công an trả lời một người dân gửi thắc mắc đến về vấn đề bảo vệ dữ liệu cá nhân đối với việc sử dụng ứng dụng để quản lý các thiết bị thông minh. Theo đó, vướng mắc mà người dân gửi lên Cổng TTĐT Bộ Công an rằng: Hiện tại công ty người này có sử dụng ứng dụng để quản lý các thiết bị thông minh smart-home từ xa trên điện thoại, trong trường hợp công ty sử dụng số điện thoại hoặc thư điện tử (email) của người dùng để đăng ký sử dụng ứng dụng và ứng dụng này được cung cấp bởi bên thứ ba ở nước ngoài. Như vậy, trong trường hợp này công ty có thuộc đối tượng bị quản lý bởi Nghị định 13/2023/NĐ-CP về việc bảo vệ người dùng hay không? Nếu trong trường hợp thuộc đối tượng của Nghị định 13/2023/NĐ-CP thì công ty phải thực hiện những thủ tục hành chính gì đối với các cơ quan có liên quan? Theo đó, Bộ Công an có câu trả lời như sau: Trước tiên, cần làm rõ vai trò của công ty trong việc quản lý, sử dụng ứng dụng quản lý các thiết bị thông minh smart-home từ xa trên điện thoại? Do được cung cấp bởi bên thứ 3 ở nước ngoài, nên việc cung cấp ứng dụng có được hiểu là ứng dụng này thuộc sở hữu của công ty nước ngoài? Trường hợp: Nếu công ty là đại lý trung gian của công ty ở nước ngoài, kinh doanh các thiết bị smart-home do công ty nước ngoài cung cấp vào thị trường Việt Nam. Công ty bán sản phẩm, hướng dẫn người dùng cung cấp thông tin cá nhân để đăng ký sử dụng dịch vụ. Sau khi khai báo, sẽ phát sinh việc xử lý dữ liệu cá nhân của công dân Việt Nam. Như vậy, công ty (với vai trò đại lý trung gian) thuộc đối tượng điều chỉnh của Nghị định số 13/2023/NĐ-CP, phải thực hiện các thủ tục sau: (1) Có văn bản thỏa thuận hoặc ràng buộc với công ty ở nước ngoài về trách nhiệm của đại lý trong việc thu thập, xử lý dữ liệu cá nhân của công dân Việt Nam; (2) Thực hiện các quy định tại Nghị định 13/2023/NĐ-CP ; (3) Đề nghị công ty ở nước ngoài làm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của công dân Việt Nam, vai trò là Bên Kiểm soát và xử lý dữ liệu cá nhân, làm hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Trên đây là câu trả lời của Bộ Công an về vấn đề bảo vệ dữ liệu cá nhân đối với việc sử dụng ứng dụng để quản lý các thiết bị thông minh. Theo Cổng TTĐT Bộ Công an
Sử dụng dữ liệu khách hàng để mở tài khoản ngân hàng được hay không?
Vừa qua ghi nhận hàng trăm người dân tại tỉnh Quảng Trị đã đến Đội quản lý điện tại địa phương để phản ánh việc ký hợp đồng mua bán điện nhưng lại bị sử dụng để tạo tài khoản ngân hàng. Do đó, nhiều người lo lắng liệu dữ liệu cá nhân của mình khi giao kết với các tổ chức khác hiện nay có đang bị lợi dụng để trục lợi hay không? 1. Dữ liệu cá nhân bao gồm những nội dung nào? Căn cứ khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP quy định dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có). - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích. - Giới tính. - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ. - Quốc tịch. - Hình ảnh của cá nhân. - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số BHXH, số thẻ BHYT. - Tình trạng hôn nhân. - Thông tin về mối quan hệ gia đình (cha mẹ, con cái). - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng. - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. 2. Sử dụng dữ liệu khách hàng tạo tài khoản ngân hàng có vi phạm pháp luật? Sử dụng dữ liệu khách hàng để tạo tài khoản ngân hàng có được xem là hành vi bị nghiêm cấm thì theo Điều 8 Nghị định 13/2023/NĐ-CP được quy định như sau: - Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. - Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác. - Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền. - Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật. Do đó, việc sử dụng thông tin cá nhân để mở tài khoản ngân hàng trục lợi là hành vi bị nghiêm cấm vì đã gây ảnh hưởng tới quyền và lợi ích hợp pháp của cá nhân. 3. Mức phạt hành chính đối với hành vi sử dụng trái phép thông tin cá nhân Doanh nghiệp, tổ chức sử dụng thông tin khách hàng để mở tài khoản ngân hàng đã vi phạm Điều 48 Nghị định 15/2020/NĐ-CP (sửa đổi bởi Nghị định 14/2022/NĐ-CP) vi phạm thu thập, sử dụng thông tin cá nhân trái phép: - Phạt tiền từ 10 triệu đồng đến 20 triệu đồng đối với: + Thu thập thông tin cá nhân khi chưa có sự đồng ý của chủ thể thông tin cá nhân về phạm vi, mục đích của việc thu thập và sử dụng thông tin đó; + Cung cấp thông tin cá nhân cho bên thứ ba khi chủ thể thông tin cá nhân đã yêu cầu ngừng cung cấp. - Phạt tiền từ 40 triệu đồng đến 60 triệu đồng đối với: + Sử dụng không đúng mục đích thông tin cá nhân đã thỏa thuận khi thu thập hoặc khi chưa có sự đồng ý của chủ thể thông tin cá nhân; + Cung cấp hoặc chia sẻ hoặc phát tán thông tin cá nhân đã thu thập, tiếp cận, kiểm soát cho bên thứ ba khi chưa có sự đồng ý của chủ thông tin cá nhân; + Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác. Lưu ý: Quy định trên áp dụng đối với tổ chức vi phạm, trường hợp là cá nhân thì mức phạt bằng 1/2. Bên cạnh đó, áp dụng biện pháp khắc phục hậu quả bằng việc buộc hủy bỏ thông tin cá nhân do thực hiện hành vi vi phạm. Như vậy, hành vi sử dụng dữ liệu cá nhân, khách hàng để mở tài khoản ngân hàng để trục lợi mà cho có sự đồng ý của bên cung cấp dữ liệu thì được xem là hành vi bị nghiêm cấm, trường hợp vi phạm có thể bị phạt đến 60 triệu đồng.
Dữ liệu cá nhân – một định nghĩa toàn diện hơn so với trước đây
Dữ liệu cá nhân là gì? Có sự khác biệt nào về định nghĩa dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP so với các quy định về bảo vệ bí mật, thông tin cá nhân trước đây? Dữ liệu cá nhân là gì? Tại Điều 2 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân định nghĩa dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Trong đó, thông tin giúp xác định một con người cụ thể là thông tin hình thành từ hoạt động của cá nhân mà khi kết hợp với các dữ liệu, thông tin lưu trữ khác có thể xác định một con người cụ thể. Có thể thấy rằng định nghĩa về dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP mở rộng hơn nhiều so với các văn bản quy phạm pháp luật trước đây như Bộ luật dân sự 2015 chỉ đề cập đến bí mật cá nhân, hình ảnh của cá nhân, Luật an toàn thông tin mạng 2015 chỉ đề cập đến thông tin cá nhân là thông tin gắn với việc xác định danh tính của một người cụ thể,… Theo Nghị định 13/2023/NĐ-CP thì ngoài các thông tin cụ thể xác định danh tính của cá nhân như họ tên, hình ảnh,… thì các thông tin hình thành từ hoạt động của cá nhân mà khi kết hợp với các dữ liệu, thông tin khác có thể giúp xác định một con người cụ thể cũng được xem là dữ liệu cá nhân. Ví dụ: Nếu như chỉ nói đến có người họ Nguyễn tại một phòng ban nào đó mà phòng ban đó có nhiều người họ Nguyễn thì chưa thể xác định được người đó là người nào thì với thông tin này chưa phải là dữ liệu cá nhân. Tuy nhiên nếu nói đến người có họ đặc biệt hơn, trong phòng đó chỉ có 1 người có họ đó ví dụ như họ Chu chẳng hạn thì lúc đó dữ liệu người họ Chu làm việc tại Phòng ban A sẽ chính là dữ liệu cá nhân. Phân loại dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP thì dữ liệu cá nhân được chia làm 2 nhóm: Dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Ngoài những thông tin cơ bản bình thường mà chúng ta biết đó là dữ liệu cá nhân như họ tên, ngày tháng năm sinh, giới tính,… thì Nghị đinh 13/2023/NĐ-CP cũng nêu ra các dữ liệu cá nhân được xác định là nhạy cảm như quan điểm chính trị, tôn giáo,… để đưa ra biện pháp bảo vệ dữ liệu phù hợp. Bạn có thể tham khảo bảng sau để xác định loại dữ liệu: Dữ liệu cá nhân cơ bản Dữ liệu cá nhân nhạy cảm Dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc trường hợp dữ liệu cá nhân nhạy cảm được xác định tại Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP. Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm: - Quan điểm chính trị, quan điểm tôn giáo; - Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu; - Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc; - Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân; - Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân; - Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân; - Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; - Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán; - Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị; - Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết.
Khẩn: Nghiêm cấm tự ý công bố dữ liệu cá nhân của học sinh, NLĐ trên môi trường điện tử
Ngày 12/7/2023, Sở Giáo dục và Đào tạo ban hành Công văn 3672/SGDĐT-VP về triển khai thực hiện quy định bảo vệ dữ liệu cá nhân. Trước tình hình nhiều phụ huynh học sinh và thí sinh nhận được tin trúng tuyển, tuy nhiên thời gian công bố điểm chuẩn chưa diễn ra và một số thí sinh cho hay họ không có đăng kỳ nguyện vọng nào vào các trường đó nhưng lại nhận được tin báo trúng tuyển. Trước sự việc đó, không khỏi khiến phụ huynh và thí sinh lo lắng dữ liệu cá nhân của thí sinh đã bị lộ ra bên ngoài và những kẻ xấu đang lợi dụng những dữ liệu này để đi lừa đảo nhằm chiếm đoạt tài sản. Xem và tải Công văn 3672/SGDĐT-VP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/07/14/3672cvbaomatdulieu_137202311.pdf Vì thế, ghi nhận nhiều trường hợp công bố thông tin người học, người lao động ngành GDĐT trên các kênh thông tin, phương tiện truyền thông dưới nhiều hình thức khác nhau; Đồng thời, căn cứ quy định tại Nghị định 13/2023/NĐ-CP (có hiệu lực từ ngày 01/7/2023), Sở GDĐT đề nghị thủ trưởng các đơn vị (chỉ đạo các đơn vị trực thuộc) rà soát, thực hiện nghiêm các nội dung sau: Xem bài viết liên quan: Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023 (1) Tuyệt đối không công bố dữ liệu cá nhân của người học, người lao động tại đơn vị dưới dạng danh sách file (word, excel, ảnh chụp, PDF, ...) thông tin chi tiết khi chưa có sự đồng ý của cá nhân đó trên các môi trường điện tử (mạng xã hội, trang thông tin điện tử, ...). Đồng thời rà soát, gỡ bỏ các file thông tin dữ liệu các nhân đã công bố trước đó. (2) Ban hành quy chế về quản lý, bảo mật dữ liệu cá nhân theo quy định tại Nghị định 13/2023/NĐ-CP và phân công lãnh đạo đơn vị phụ trách giám sát, chịu trách nhiệm về công tác bảo vệ dữ liệu cá nhân. (3) Khuyến khích đơn vị sử dụng các hệ thống, phần mềm có sẵn hoặc tự xây dựng hệ thống để phục vụ tra cứu thông tin đối với từng dữ liệu cá nhân cần công bố (kết quả khảo sát, thi, tuyển sinh, ...) trên môi trường mạng. Sở GD&ĐT đề nghị thủ trưởng các đơn vị quan tâm và triển khai thực hiện đầy đủ các nội dung trên. Thủ trưởng đơn vị chịu trách nhiệm trước Giám đốc Sở và trước pháp luật về các trường hợp vi phạm quy định về bảo vệ dữ liệu cá nhân tại đơn vị. Tham khảo: Biện pháp bảo vệ dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP quy định các biện pháp bảo vệ dữ liệu cá nhân bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp do cơ quan quản lý Nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; - Biện pháp điều tra, tố tụng do cơ quan Nhà nước có thẩm quyền thực hiện; - Các biện pháp khác theo quy định của pháp luật. Xem bài viết liên quan: Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023 Xem chi tiết tại Công văn 3672/SGDĐT-VP ngày 12/7/2023. Xem và tải Công văn 3672/SGDĐT-VP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/07/14/3672cvbaomatdulieu_137202311.pdf
Mọi trường hợp xử lý dữ liệu cá nhân đều bắt buộc phải có sự đồng ý của chủ thể dữ liệu
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bắt đầu có hiệu lực từ 01/7/2023. Theo đó, chủ thể có dữ liệu cá nhân được xử lý bởi một bên khác có các quyền và nghĩa vụ chi tiết để bảo vệ dữ liệu của mình. Sự đồng ý của chủ thể dữ liệu là việc thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu. Tuy nhiên có phải mọi trường hợp đều bắt buộc phải có sự đồng ý của chủ thể dữ liệu? 1. Dữ liệu cá nhân bao gồm những thông tin nào? Theo Khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP dữ liệu cá nhân cơ bản bao gồm: - Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); - Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; - Giới tính; - Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; - Quốc tịch; - Hình ảnh của cá nhân; - Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; - Tình trạng hôn nhân; - Thông tin về mối quan hệ gia đình (cha mẹ, con cái); - Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; - Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không phải là dữ liệu cá nhân nhạy cảm. 2. Quyền của chủ thể dữ liệu Theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP, quyền của chủ thể dữ liệu gồm: - Quyền được biết Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền đồng ý Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định 13/2023/NĐ-CP. - Quyền truy cập Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền rút lại sự đồng ý Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác. - Quyền xóa dữ liệu Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền hạn chế xử lý dữ liệu + Chủ thể dữ liệu được yêu cầu hạn chế xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; + Việc hạn chế xử lý dữ liệu được thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, với toàn bộ dữ liệu cá nhân mà chủ thể dữ liệu yêu cầu hạn chế, trừ trường hợp luật có quy định khác. - Quyền cung cấp dữ liệu Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. - Quyền phản đối xử lý dữ liệu + Chủ thể dữ liệu được phản đối Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân xử lý dữ liệu cá nhân của mình nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu cá nhân hoặc sử dụng cho mục đích quảng cáo, tiếp thị, trừ trường hợp luật có quy định khác; + Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, trừ trường hợp luật có quy định khác. - Quyền khiếu nại, tố cáo, khởi kiện Chủ thể dữ liệu có quyền khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật. - Quyền yêu cầu bồi thường thiệt hại Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác. - Quyền tự bảo vệ Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật dân sự 2015, luật khác có liên quan và Nghị định 13/2023/NĐ-CP, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật dân sự 2015. => Theo đó, chủ thể dữ liệu có các quyền đối với dữ liệu cá nhân của mình như trên. Trong đó có chủ thể dữ liệu có quyền được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình. 3. Trường hợp không cần sự đồng ý Tại Điều 17 Nghị định 13/2023/NĐ-CP quy định về việc xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu: - Trong trường hợp khẩn cấp, cần xử lý ngay dữ liệu cá nhân có liên quan để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác. Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba có trách nhiệm chứng minh trường hợp này. - Việc công khai dữ liệu cá nhân theo quy định của luật. - Việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật. - Để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật. - Phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành. Như vậy, khi xử lý dữ liệu cá nhân cần phải có sự đồng ý cho phép từ chủ thể dữ liệu. Tuy nhiên, không phải trường hợp nào xử lý dữ liệu cũng đều cần phải có sự đồng ý của chủ thể dữ liệu. Đối với 05 trường hợp ngoại lệ quy định Điều 17 Nghị định 13/2023/NĐ-CP nêu trên thì sẽ không cần phải có sự đồng ý.
Chuyển dữ liệu cá nhân sang nước ngoài cần đảm bảo quy định nào?
Hiện tại công ty tôi có sử dụng hệ thống của một doanh nghiệp nước ngoài để lưu trữ các thông tin như nhân sự của các đại lý (tên, mã nhân viên, sđt, ...), thông tin của đối tác cung cấp dịch vụ, thông tin cá nhân của khách hàng,... Server được đặt tại nước ngoài. Vậy khi tôi chuyển dữ liệu cá nhân trên sang nước ngoài thì cần đảm bảo gì? Và công ty tôi cần thực hiện gì khi sắp tới Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực? 1. Chuyển dữ liệu cá nhân sang nước ngoài bao gồm những công việc nào? Tại Khoản 14 Điều 2 Nghị định 13/2023/NĐ-CP quy định như sau: Chuyển dữ liệu cá nhân ra nước ngoài là hoạt động sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác chuyển dữ liệu cá nhân của công dân Việt Nam tới một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc sử dụng một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân của công dân Việt Nam, bao gồm: - Tổ chức, doanh nghiệp, cá nhân chuyển dữ liệu cá nhân của công dân Việt Nam cho tổ chức, doanh nghiệp, bộ phận quản lý ở nước ngoài để xử lý phù hợp với mục đích đã được chủ thể dữ liệu đồng ý; - Xử lý dữ liệu cá nhân của công dân Việt Nam bằng các hệ thống tự động nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân phù hợp với mục đích đã được chủ thể dữ liệu đồng ý. => Theo đó, chuyển dữ liệu cá nhân sang nước ngoài là việc tổ chức, doanh nghiệp, cá nhân sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác chuyển dữ liệu cá nhân của công dân Việt Nam sang nước ngoài để xử lý thông qua các hệ thống tự động với với mục đích đã được chủ thể dữ liệu đồng ý. 2. Quy định khi chuyển dữ liệu cá nhân ra nước ngoài Căn cứ theo Điều 25 Nghị định 13/2023/NĐ-CP quy định: Dữ liệu cá nhân của công dân Việt Nam được chuyển ra nước ngoài trong trường hợp Bên chuyển dữ liệu ra nước ngoài lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục theo quy định tại khoản 3, 4 và 5 Điều 25 Nghị định 13/2023/NĐ-CP. Bên chuyển dữ liệu ra nước ngoài bao gồm Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an. Bên chuyển dữ liệu sẽ gửi 01 bản chính hồ sơ tới Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo Mẫu số 06 Phụ lục tại Nghị định 13/2023/NĐ-CP trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân. Bên chuyển dữ sẽ thông báo gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) thông tin về việc chuyển dữ liệu và chi tiết liên lạc của tổ chức, cá nhân phụ trách bằng văn bản sau khi việc chuyển dữ liệu diễn ra thành công. Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) đánh giá, yêu cầu Bên chuyển dữ liệu ra nước ngoài hoàn thiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài trong trường hợp hồ sơ chưa đầy đủ và đúng quy định. Khi có sự thay đổi về nội dung hồ sơ đã gửi cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao), Anh cần phải cập nhật, bổ sung Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 05 Phụ lục tại Nghị định 13/2023/NĐ-CP. Thời gian hoàn thiện hồ sơ dành cho Bên chuyển dữ liệu ra nước ngoài là 10 ngày kể từ ngày yêu cầu. Căn cứ tình hình cụ thể, Bộ Công an quyết định việc kiểm tra chuyển dữ liệu cá nhân ra nước ngoài 01 lần/năm, trừ trường hợp phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP hoặc để xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam. => Theo đó, khi chuyển dữ liệu cá nhân ra nước ngoài thì cần phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục chuyển dữ liệu cá nhân ra nước ngoài theo quy định tại Nghị định 13/2023/NĐ-CP. 3. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài Tại Khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài gồm: - Thông tin và chi tiết liên lạc của Bên chuyển dữ liệu và Bên tiếp nhận dữ liệu cá nhân của công dân Việt Nam; - Họ tên, chi tiết liên lạc của tổ chức, cá nhân phụ trách của Bên chuyển dữ liệu có liên quan tới việc chuyển và tiếp nhận dữ liệu cá nhân của công dân Việt Nam; - Mô tả và luận giải mục tiêu của các hoạt động xử lý dữ liệu cá nhân của Công dân Việt Nam sau khi được chuyển ra nước ngoài; - Mô tả và làm rõ loại dữ liệu cá nhân chuyển ra nước ngoài; - Mô tả và nêu rõ sự tuân thủ quy định bảo vệ dữ liệu cá nhân, chi tiết các biện pháp bảo vệ dữ liệu cá nhân được áp dụng; - Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó; - Sự đồng ý của chủ thể dữ liệu theo quy định tại Điều 11 Nghị định 13/2023/NĐ-CP trên cơ sở biết rõ cơ chế phản hồi, khiếu nại khi có sự cố hoặc yêu cầu phát sinh. Sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. - Có văn bản thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân của Công dân Việt Nam về việc xử lý dữ liệu cá nhân. Như vậy, quy định pháp luật không hạn chế việc chuyển dữ liệu của cá nhân ra ngoài lãnh thổ Việt Nam. Tuy nhiên, khi xử lý dữ liệu cá nhân của nhân viên, khách hàng, cần phải có sự đồng ý cho phép của họ và thực hiện các công việc về liên quan đến Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài quy định. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bắt đầu có hiệu lực từ 01/7/2023.
Nghị định 13/2023/NĐ-CP: quy định hiện hành về cung cấp dữ liệu cá nhân
Đây là nội dung cung cấp dữ liệu cá nhân được quy định tại Điều 14 Nghị định 13/2023/NĐ-CP do Chính phủ ban hành ngày 17/4/2023 về bảo vệ dữ liệu cá nhân Chủ thể dữ liệu, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân được làm gì? Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân: - Được cung cấp dữ liệu cá nhân của chủ thể dữ liệu cho tổ chức, cá nhân khác khi có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác; - Thay mặt chủ thể dữ liệu cung cấp dữ liệu cá nhân của chủ thể dữ liệu cho tổ chức hoặc cá nhân khác khi chủ thể dữ liệu đồng ý cho phép đại diện và ủy quyền, trừ trường hợp pháp luật có quy định khác. Việc cung cấp dữ liệu cá nhân của chủ thể dữ liệu được Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu, trừ trường hợp luật có quy định khác. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không cung cấp dữ liệu cá nhân trong trường hợp: - Gây tổn hại tới quốc phòng, an ninh quốc gia, trật tự an toàn xã hội; - Việc cung cấp dữ liệu cá nhân của chủ thể dữ liệu có thể ảnh hưởng tới sự an toàn, sức khỏe thể chất hoặc tinh thần của người khác; - Chủ thể dữ liệu không đồng ý cung cấp, cho phép đại diện hoặc ủy quyền nhận dữ liệu cá nhân. Hình thức yêu cầu cung cấp dữ liệu cá nhân như thế nào? Hình thức yêu cầu cung cấp dữ liệu cá nhân: - Chủ thể dữ liệu trực tiếp hoặc ủy quyền cho người khác đến trụ sở Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân yêu cầu cung cấp dữ liệu cá nhân. Người tiếp nhận yêu cầu có trách nhiệm hướng dẫn tổ chức, cá nhân yêu cầu điền các nội dung vào Phiếu yêu cầu cung cấp dữ liệu cá nhân. Trường hợp tổ chức, cá nhân yêu cầu cung cấp thông tin không biết chữ hoặc bị khuyết tật không thể viết yêu cầu thì người tiếp nhận yêu cầu cung cấp thông tin có trách nhiệm giúp điền các nội dung vào Phiếu yêu cầu cung cấp dữ liệu cá nhân; - Gửi Phiếu yêu cầu cung cấp dữ liệu cá nhân theo Mẫu số 01, 02 tại Phụ lục của Nghị định 13/2023/NĐ-CP qua mạng điện tử, dịch vụ bưu chính, fax đến Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. Phiếu yêu cầu cung cấp dữ liệu cá nhân phải được thể hiện bằng tiếng Việt gồm các nội dung chính sau đây: - Họ, tên; nơi cư trú, địa chỉ; số chứng minh nhân dân, thể căn cước công dân hoặc số hộ chiếu của người yêu cầu; số fax, điện thoại, địa chỉ thư điện tử (nếu có); - Dữ liệu cá nhân được yêu cầu cung cấp, trong đó chỉ rõ tên văn bản, hồ sơ, tài liệu; - Hình thức cung cấp dữ liệu cá nhân; - Lý do, mục đích yêu cầu cung cấp dữ liệu cá nhân. Trường hợp yêu cầu cung cấp dữ liệu cá nhân quy định tại khoản 2 Điều 14 Nghị định 13/2023/NĐ-CP thì phải kèm theo văn bản đồng ý của cá nhân, tổ chức liên quan. Tiếp nhận yêu cầu cung cấp dữ liệu cá nhân Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm tiếp nhận yêu cầu cung cấp dữ liệu cá nhân và theo dõi quá trình, danh sách cung cấp dữ liệu cá nhân theo yêu cầu; Trường hợp dữ liệu cá nhân được yêu cầu không thuộc thẩm quyền thì Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân nhận được yêu cầu phải thông báo và hướng dẫn tổ chức, cá nhân yêu cầu đến cơ quan có thẩm quyền hoặc thông báo rõ ràng việc không thể cung cấp dữ liệu cá nhân. Giải quyết yêu cầu cung cấp dữ liệu cá nhân Khi nhận được yêu cầu cung cấp dữ liệu cá nhân hợp lệ, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm cung cấp dữ liệu cá nhân thông báo về thời hạn, địa điểm, hình thức cung cấp dữ liệu cá nhân; chi phí thực tế để in, sao, chụp, gửi thông tin qua dịch vụ bưu chính, fax (nếu có) và phương thức, thời hạn thanh toán; thực hiện việc cung cấp dữ liệu cá nhân theo trình tự, thủ tục quy định tại Điều 14 Nghị định 13/2023/NĐ-CP. Nghị định 13/2023/NĐ-CP có hiệu lực thi hành từ ngày 01/7/2023.
Chính phủ ban hành 05 biện pháp nhằm bảo vệ dữ liệu cá nhân
Bảo vệ dữ liệu cá nhân là nội dung trọng tâm tại Nghị định 13/2023/NĐ-CP được Chính phủ ban hành ngày 17/4/2023, trong đó quy định chi tiết các nội dung bảo vệ dữ liệu cá nhân. Cụ thể, nhằm bảo vệ dữ liệu cá nhân của công dân được pháp luật Việt Nam bảo vệ Chính phủ ban hành 05 biện pháp sau đây: (1) 05 biện pháp bảo vệ dữ liệu cá nhân Biện pháp bảo vệ dữ liệu cá nhân được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý dữ liệu cá nhân. Các biện pháp bảo vệ dữ liệu cá nhân, bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện. - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện. - Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan. - Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện. - Các biện pháp khác theo quy định của pháp luật. (2) Quy định về sự đồng ý của chủ thể dữ liệu - Sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác. - Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ các nội dung sau: + Loại dữ liệu cá nhân được xử lý. + Mục đích xử lý dữ liệu cá nhân. + Tổ chức, cá nhân được xử lý dữ liệu cá nhân. + Các quyền, nghĩa vụ của chủ thể dữ liệu. - Sự đồng ý của chủ thề dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. - Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân liệt kê các mục đích đề chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra. - Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. - Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. - Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo. - Đối với xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. - Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản. - Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thề dữ liệu thuộc về Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân. - Thông qua việc ủy quyền theo quy định của Bộ luật Dân sự 2015, tổ chức, cá nhân có thể thay mặt chủ thể dữ liệu thực hiện các thủ tục liên quan tới xử lý dữ liệu cá nhân của chủ thê dữ liệu với Bên Kiểm soát dữ liệu cá nhân. Bên Kiểm soát và xử lý dữ liệu cá nhân trong trường hợp chủ thể dữ liệu đà biết rõ và đồng ý theo quy định tại khoản 3 Điều này, trừ trường hợp luật có quy định khác. Xem thêm Nghị định 13/2023/NĐ-CP có hiệu lực từ ngày 01/7/2023.
Đã có Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân áp dụng từ 01/7/2023
Chính phủ ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan. Ngày 17/4/2023, Phó Thủ tướng Trần Lưu Quang vừa thay mặt Thủ tướng Chính phủ ký quyết định ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Theo đó, Nghị định 13/2023/NĐ-CP quy định chặt chẽ về các biện pháp, điều kiện bảo đảm bảo vệ dữ liệu cá nhân, cụ thể như sau: Xem và tải Nghị định 13/2023/NĐ-CP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/04/18/nghi-dinh-13-2023-nd-cp-bao-ve-du-lieu-ca-nhan.pdf Dữ liệu cá nhân được hiểu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân cơ bản gồm họ và tên, ngày tháng năm sinh, giới tính, nơi sinh, quốc tịch, hình ảnh cá nhân, số điện thoại, số CMND, số tài khoản, số định danh cá nhân, biển số xe, mã số thuế,... (1) Biện pháp bảo vệ dữ liệu cá nhân Theo Nghị định 13/2023/NĐ-CP quy định các biện pháp bảo vệ dữ liệu cá nhân bao gồm: - Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện; - Biện pháp do cơ quan quản lý Nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan; - Biện pháp điều tra, tố tụng do cơ quan Nhà nước có thẩm quyền thực hiện; - Các biện pháp khác theo quy định của pháp luật. Xem bài viết liên quan: Hướng dẫn tra cứu thông tin cá nhân khi Sổ hộ khẩu giấy bị khai tử (2) Những hành vi bị nghiêm cấm trong bảo vệ dữ liệu cá nhân Chính phủ cũng đã ban hành một số hành vi bị nghiêm cấm trong Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Các hành vi này bao gồm việc xử lý dữ liệu cá nhân trái quy định pháp luật, xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. Ngoài ra, hành vi xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác cũng bị nghiêm cấm. Đáng chú ý tại Nghị định, việc xử lý dữ liệu cá nhân phải thông báo và nhận được sự đồng ý của chủ thể dữ liệu. Chủ thể dữ liệu cũng được yêu cầu bên kiểm soát dữ liệu cung cấp cho bản thân hoặc chỉnh sửa, xóa dữ liệu cá nhân của mình. (3) Quyền sử dụng dữ liệu cá nhân của chủ thể Cơ quan nhà nước có quyền sử dụng dữ liệu cá nhân trong trường hợp khẩn cấp Trong trường hợp khẩn cấp, để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác, và các trường hợp khẩn cấp về an ninh, quốc phòng, dịch bệnh, thảm họa,... bên kiểm soát dữ liệu và cơ quan nhà nước có thẩm quyền có thể xử lý dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu. Cơ quan, tổ chức có thẩm quyền cũng được ghi âm, ghi hình và xử lý dữ liệu cá nhân thu được từ hoạt động này tại nơi công cộng với mục đích bảo vệ an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân mà không cần sự đồng ý của chủ thể dữ liệu. Đối với trẻ em Với dữ liệu cá nhân của trẻ em, việc xử lý các dữ liệu này phải có sự đồng ý của trẻ em trong trường hợp trẻ từ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ, trừ một số trường hợp đặc biệt. Đối với hoạt động tiếp thị, quảng cáo Tổ chức, cá nhân chỉ được sử dụng dữ liệu cá nhân của khách hàng được thu thập qua hoạt động kinh doanh của mình khi có sự đồng ý của chủ thể dữ liệu. Việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh tiếp thị, giới thiệu sản phẩm phải được sự đồng ý của khách hàng, trên cơ sở biết rõ nội dung, phương thức, tần suất giới thiệu sản phẩm. Nghị định cũng quy định rõ, tổ chức, cá nhân liên quan tới xử lý dữ liệu phải áp dụng các biện pháp bảo vệ để ngăn chặn tình trạng thu thập dữ liệu trái phép từ hệ thống, dịch vụ của mình. Việc thiết lập các phần mềm, biện pháp kỹ thuật hoặc tổ chức thu thập, chuyển giao, mua, bán dữ liệu cá nhân khi không có sự đồng ý của chủ thể dữ liệu là vi phạm pháp luật. Xem bài viết liên quan: Bán thông tin cá nhân khách hàng là vi phạm pháp luật Cơ quan chuyên trách bảo vệ dữ liệu cá nhân Theo NNghị định 13/2023/NĐ-CP, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an), có trách nhiệm giúp Bộ Công an thực hiện quản lý Nhà nước về bảo vệ dữ liệu cá nhân. Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân cung cấp thông tin về chủ trương, đường lối, chính sách của Đảng, pháp luật của Nhà nước về bảo vệ dữ liệu cá nhân; Đồng thời, tuyên truyền, phổ biến chính sách, pháp luật về bảo vệ dữ liệu cá nhân; cập nhật thông tin, tình hình bảo vệ dữ liệu cá nhân; tiếp nhận thông tin, hồ sơ, dữ liệu về hoạt động bảo vệ dữ liệu cá nhân qua không gian mạng; cung cấp thông tin về kết quả đánh giá công tác bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.' Bên cạnh đó, Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân tiếp nhận thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân; cảnh báo, phối hợp cảnh báo về nguy cơ, hành vi xâm phạm dữ liệu cá nhân theo quy định của pháp luật; xử lý vi phạm về bảo vệ dữ liệu cá nhân theo quy định của pháp luật; thực hiện hoạt động khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Ngoài ra, Nghị định 13/2023 cũng quy định rõ điều kiện, quyền và nghĩa vụ của chủ thể dữ liệu, cùng với đó là trách nhiệm của các cơ quan, chủ thể, cá nhân trong việc bảo vệ dữ liệu cá nhân. Xem chi tiết tại Nghị định 13/2023/NĐ-CP có hiệu lực thi hành từ ngày 01/7/2023. Xem và tải Nghị định 13/2023/NĐ-CP https://cdn.thuvienphapluat.vn/uploads/danluatfile/2023/04/18/nghi-dinh-13-2023-nd-cp-bao-ve-du-lieu-ca-nhan.pdf Xem bài viết liên quan: Hướng dẫn tra cứu thông tin cá nhân khi Sổ hộ khẩu giấy bị khai tử
