Hướng dẫn soạn hồ sơ đánh giá tác động xử lý dữ liệu cá nhân 2024

Nghị định 13 về bảo vệ dữ liệu cá nhân đã thiết lập 5 thủ tục hành chính quan trọng mà doanh nghiệp cần nắm vững để đảm bảo tuân thủ. Trong số đó, thủ tục lập và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đóng vai trò then chốt, có thể ảnh hưởng trực tiếp đến hoạt động kinh doanh. Vậy thủ tục này đòi hỏi những gì, yêu cầu ra sao và tác động như thế nào đến doanh nghiệp? Hãy cùng DPVN tìm hiểu sâu hơn để có cái nhìn toàn diện và chính xác nhất.

Để xác định được vai trò của doanh nghiệp trong việc xử lý dữ liệu cá nhân, trước tiên chúng ta cần làm rõ xử lý dữ liệu cá nhân là gì?

Theo Điều 2, khoản 7, Nghị định 13/2023/NĐ-CP, Xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, như: thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan.

Ví dụ như:

• Thu thập: Lấy thông tin từ các nguồn khác nhau (ví dụ: biểu mẫu đăng ký, khảo sát, hệ thống camera).
• Ghi nhận: Ghi lại thông tin trên giấy tờ hoặc máy tính (ví dụ: nhập thông tin khách hàng vào cơ sở dữ liệu).
• Phân tích: Nghiên cứu thông tin để hiểu rõ hơn về hành vi, sở thích (ví dụ: phân tích dữ liệu mua hàng để đề xuất sản phẩm phù hợp).
• Lưu trữ: Bảo quản thông tin trong hệ thống (ví dụ: lưu trữ thông tin nhân viên trên máy chủ).
• Chỉnh sửa: Thay đổi, bổ sung hoặc xóa thông tin (ví dụ: cập nhật địa chỉ khách hàng).
• Chia sẻ: Cung cấp thông tin cho người khác (ví dụ: chia sẻ thông tin khách hàng với đối tác).
• Xóa: Loại bỏ thông tin khỏi hệ thống (ví dụ: xóa thông tin khách hàng theo yêu cầu).

Cũng theo khoản 9, khoản 10, khoản 11, khoản 12 tại điều này có quy định về các bên tham gia quá trình xử lý dữ liệu cá nhân bao gồm: Bên kiểm soát dữ liệu cá nhân; Bên xử lý dữ liệu cá nhân; Bên kiểm soát và xử lý dữ liệu cá nhân; Bên thứ ba (ngoài các bên nêu trên)

9. Bên Kiểm soát dữ liệu cá nhân là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

10. Bên Xử lý dữ liệu cá nhân là tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát dữ liệu, thông qua một hợp đồng hoặc thỏa thuận với Bên Kiểm soát dữ liệu.

11. Bên Kiểm soát và xử lý dữ liệu cá nhân là tổ chức, cá nhân đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

12. Bên thứ ba là tổ chức, cá nhân ngoài Chủ thể dữ liệu, Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân được phép xử lý dữ liệu cá nhân.

Dựa vào quy định nêu trên, chúng ta có thể thấy rõ, hầu hết các doanh nghiệp đều đang thực hiện ít nhất một hoạt động xử lý dữ liệu cá nhân. Tùy thuộc vào phạm vi hoạt động xử lý dữ liệu, doanh nghiệp sẽ đóng vai trò là Bên Kiểm soát dữ liệu, Bên Xử lý dữ liệu hoặc bên đồng thời vừa kiểm soát vừa xử lý dữ liệu.

Ví dụ:

• Công ty thu thập thông tin khách hàng, nhân viên…

-> Doanh nghiệp là Bên Kiểm soát dữ liệu cá nhân quyết định mục đích và phương pháp thu thập, sử dụng dữ liệu cá nhân.

• Công ty cung cấp dịch vụ nhân sự, kế toán xử lý dữ liệu theo yêu cầu của doanh nghiệp khác.

-> Doanh nghiệp đóng vai trò là Bên Xử lý dữ liệu cá nhân thực hiện xử lý dữ liệu theo yêu cầu của Bên Kiểm soát.

-> Bên Kiểm soát và xử lý dữ liệu cá nhân: Tự thực hiện toàn bộ quy trình xử lý dữ liệu cá nhân.

Nói cách khác, Bên Kiểm soát là người “ra lệnh”, Bên Xử lý là người “thi hành” và có những doanh nghiệp vừa “ra lệnh” vừa “thi hành”. Doanh nghiệp cần xác định rõ vai trò của mình (Bên Kiểm soát, Bên Xử lý hoặc cả hai) trong quá trình xử lý dữ liệu cá nhân để xây dựng và áp dụng các chính sách phù hợp, đảm bảo tuân thủ đầy đủ quy định của pháp luật.

Để làm rõ hơn về định nghĩa và vai trò của các bên tham gia quá trình xử lý dữ liệu cá nhân, Quý doanh nghiệp tìm hiểu thông qua bài viết: 6 tiêu chí phân biệt giữa bên kiểm soát và bên xử lý dữ liệu cá nhân 2024

Theo Điều 24 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là hồ sơ mà tổ chức, cá nhân ngay từ khi bắt đầu xử lý dữ liệu có nghĩa vụ lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Hồ sơ này phải được lập thành văn bản có giá trị pháp lý.

Cũng theo Điều 24 Nghị định 13/2023/NĐ-CP, đối tượng thực hiện lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là Bên kiểm soát dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân.

Cụ thể bao gồm: Công dân Việt Nam, Người Việt Nam định cư ở nước ngoài, Người nước ngoài, Cán bộ, công chức, viên chức, Doanh nghiệp, Doanh nghiệp có vốn đầu tư nước ngoài, Tổ chức (không bao gồm doanh nghiệp, hợp tác xã), Tổ chức nước ngoài, Hợp tác xã.

Tuỳ theo từng vai trò của các bên tham gia quá trình xử lý dữ liệu cá nhân khác nhau, thông tin về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân sẽ khác nhau. Cụ thể ở đây chia ra làm 2 trường hợp:

• Hồ sơ của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;
• Hồ sơ của Bên Xử lý dữ liệu cá nhân.

Để hoàn thiện đầy đủ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân nộp Cục An ninh mạng, cần chuẩn bị các thông tin và tài liệu sau:

Thông tin về tổ chức hoặc cá nhân:

• Thu thập thông tin và chi tiết liên lạc của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân.
• Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân.
• Họ tên và chi tiết liên lạc của nhân viên bảo vệ dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân.

Tài liệu cần chuẩn bị (theo mẫu):

• Mô tả các hoạt động xử lý dữ liệu cá nhân và mục đích của các hoạt động đó.
  Các loại dữ liệu cá nhân được xử lý.
• Tổ chức, cá nhân nhận dữ liệu cá nhân, bao gồm tổ chức, cá nhân ngoài lãnh thổ Việt Nam.
• Trường hợp chuyển dữ liệu cá nhân ra nước ngoài.
• Thời gian cho phép xử lý dữ liệu cá nhân; thời gian dự kiến để xóa, hủy dữ liệu cá nhân (nếu có).
• Mô tả về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng.

Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân:

• Hậu quả, thiệt hại không mong muốn có khả năng xảy ra
• Các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó

Các tác động cụ thể:

• Tác động về quyền của chủ thể dữ liệu;
• Tác động về kinh tế;
• Tác động về xã hội;
• Tác động về thủ tục hành chính;
• Tác động đối với hệ thống pháp luật;
• Tác động đối với lợi ích của chủ thể dữ liệu;
• Lấy ý kiến đánh giá tác động;
• Giám sát và đánh giá;

Có 04 điều các cá nhân, tổ chức cần lưu ý khi lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân:

• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải được lập thành văn bản có giá trị pháp lý bởi bên kiểm soát hoặc xử lý dữ liệu.
• Hồ sơ này phải luôn sẵn sàng để kiểm tra và một bản chính phải được gửi đến Cục An ninh mạng (Bộ Công an) trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu.
• Cục An ninh mạng có quyền yêu cầu bên kiểm soát hoặc xử lý dữ liệu hoàn thiện hồ sơ nếu chưa đầy đủ.
• Bên kiểm soát hoặc xử lý dữ liệu phải cập nhật hồ sơ khi có thay đổi và gửi cho Cục An ninh mạng theo mẫu quy định.

Theo Điều 4 Nghị định 13/2023/NĐ-CP, vi phạm quy định bảo vệ dữ liệu cá nhân có thể bị xử lý kỷ luật, hành chính hoặc hình sự tùy theo mức độ. Dự thảo Nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng đề xuất mức phạt tiền cụ thể:

• Phạt tiền từ 60 – 80 triệu đồng nếu không lập, lưu giữ hoặc hồ sơ không đầy đủ nội dung theo quy định, hoặc không được lập thành văn bản có giá trị pháp lý.
• Phạt tiền từ 80 – 100 triệu đồng nếu không đảm bảo hồ sơ sẵn có và không gửi bản chính cho cơ quan chức năng trong vòng 60 ngày làm việc.

Điều này cho thấy việc không thông báo hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có thể bị xử phạt nặng. Do đó, các tổ chức cần nghiêm túc thực hiện việc lập và thông báo hồ sơ này theo quy định để tránh rủi ro pháp lý. Cụ thể, cần chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (để nộp và lưu trữ tại doanh nghiệp) và hồ sơ liên quan đến chuyển dữ liệu cá nhân ra nước ngoài.

Tìm hiểu chi tiết thêm về Dự thảo Nghị định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (Lần 3)