QUY ĐỊNH BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG DOANH NGHIỆP THEO NGHỊ ĐỊNH 13

Sự ra đời của Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đánh dấu bước ngoặt lớn trong hành lang pháp lý an ninh mạng tại Việt Nam. Quy định này áp dụng trực tiếp cho tất cả các tổ chức, doanh nghiệp có hoạt động thu thập, xử lý dữ liệu cá nhân của công dân Việt Nam (bao gồm thông tin khách hàng, đối tác và cả người lao động nội bộ).

Doanh nghiệp không tuân thủ sẽ đối mặt với các khoản phạt hành chính cực kỳ nặng nề và rủi ro đình chỉ hoạt động kinh doanh.

1. Dữ liệu cá nhân gồm những gì?

Nghị định 13 phân loại dữ liệu cá nhân thành hai nhóm chính mà doanh nghiệp cần phân biệt rõ để áp dụng mức độ bảo mật tương ứng:

• Dữ liệu cá nhân cơ bản: Gồm họ tên; ngày tháng năm sinh; giới tính; địa chỉ nơi ở; quốc tịch; số điện thoại; số CCCD/Hộ chiếu; địa chỉ email; thông tin về lịch sử hoạt động trên không gian mạng (IP, cookies...).
• Dữ liệu cá nhân nhạy cảm: Gồm dữ liệu về quan điểm chính trị, tôn giáo; dữ liệu về sức khỏe (hồ sơ bệnh án); dữ liệu di truyền, sinh trắc học (vân tay, mống mắt, nhận diện khuôn mặt); dữ liệu về vị trí thực tế của cá nhân; dữ liệu về các mối quan hệ xã hội và dữ liệu về tài chính (thông tin tài khoản ngân hàng, lịch sử giao dịch).

2. Nghĩa vụ bắt buộc của doanh nghiệp dưới vai trò Bên xử lý dữ liệu

Doanh nghiệp khi thu thập thông tin khách hàng hoặc quản lý thông tin nhân viên bắt buộc phải thực hiện 3 nghĩa vụ cốt lõi:

• Phải có sự đồng ý của chủ thể dữ liệu: Mọi hoạt động thu thập, phân tích, chia sẻ hoặc lưu trữ dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý tự nguyện, rõ ràng của chủ thể dữ liệu (người dùng/khách hàng/nhân viên). Sự đồng ý này phải được thể hiện bằng định dạng có thể in, sao chép bằng văn bản hoặc xác nhận điện tử (checkbox rõ ràng, không được chọn sẵn).
• Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Doanh nghiệp bắt buộc phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gửi về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu.
• Bổ nhiệm nhân sự bảo vệ dữ liệu: Đối với các doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm quy mô lớn, bắt buộc phải thành lập bộ phận hoặc bổ nhiệm nhân sự phụ trách bảo vệ dữ liệu cá nhân và khai báo thông tin nhân sự này với Bộ Công an.

3. Căn cứ pháp lý áp dụng

Các quy định về bảo vệ dữ liệu được thực thi dựa trên:

• Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật An toàn thông tin mạng số 86/2015/QH13.
• Luật An ninh mạng số 24/2018/QH14.

4. Các rủi ro xử phạt khi doanh nghiệp vi phạm Nghị định 13

Bộ Công an và các cơ quan thanh tra chuyên ngành thực hiện kiểm tra kiểm soát chặt chẽ việc tuân thủ Nghị định 13 của các doanh nghiệp, đặc biệt là các doanh nghiệp công nghệ, thương mại điện tử, tài chính và nhân sự:

• Phạt tiền hành chính: Tùy vào tính chất vi phạm (như xử lý dữ liệu không có sự đồng ý của chủ thể, chuyển dữ liệu ra nước ngoài trái phép, không lập hồ sơ đánh giá tác động), doanh nghiệp có thể bị phạt hành chính với mức phạt lên tới hàng trăm triệu đồng.
• Hình phạt bổ sung: Doanh nghiệp có thể bị đình chỉ hoạt động xử lý dữ liệu cá nhân từ 01 đến 03 tháng, tước quyền sử dụng các giấy phép liên quan, hoặc bị buộc nộp lại toàn bộ số lợi bất hợp pháp có được từ hành vi vi phạm.