Phân công trách nhiệm
Xác định lãnh đạo phụ trách, nhân sự hoặc bộ phận bảo vệ dữ liệu và trách nhiệm của từng phòng ban.
Quy chế bảo vệ dữ liệu cá nhân là tài liệu quản trị giúp doanh nghiệp phân công trách nhiệm, kiểm soát hoạt động thu thập – sử dụng – lưu trữ – chia sẻ dữ liệu và xử lý yêu cầu của chủ thể dữ liệu. Từ ngày 01/01/2026, nội dung này cần được rà soát theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Một bản quy chế có giá trị không chỉ nêu cam kết bảo mật. Tài liệu phải phản ánh đúng luồng dữ liệu đang diễn ra trên website, ứng dụng, CRM, hồ sơ khách hàng, nhân sự, email, tổng đài, nền tảng đám mây và các nhà cung cấp dịch vụ. Quy chế cũng cần gắn với chính sách công khai, hợp đồng xử lý dữ liệu, hồ sơ đánh giá tác động và quy trình ứng phó sự cố.
Câu trả lời nhanh
Quy chế bảo vệ dữ liệu cá nhân thường là tài liệu áp dụng trong nội bộ doanh nghiệp, quy định vai trò, nguyên tắc, quy trình và trách nhiệm bảo vệ dữ liệu.
Quy chế không thay thế chính sách bảo mật công khai, hợp đồng với bên xử lý dữ liệu hoặc hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Doanh nghiệp cần rà soát quy chế theo Luật số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, cùng có hiệu lực từ ngày 01/01/2026. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ thời điểm này.
Nội dung trọng tâm gồm: phạm vi dữ liệu, vai trò các bên, mục đích và căn cứ xử lý, quyền của chủ thể dữ liệu, thời hạn lưu trữ, chia sẻ dữ liệu, bảo mật, ứng phó sự cố, xử lý nhà cung cấp và chuyển dữ liệu xuyên biên giới.
Nội dung chính
- Quy chế bảo vệ dữ liệu cá nhân là gì?
- Phân biệt quy chế, chính sách và hồ sơ tác động
- Doanh nghiệp nào cần xây dựng quy chế?
- Cập nhật pháp lý năm 2026
- Nội dung cần có trong quy chế
- Quy trình thực hiện quyền dữ liệu
- Sự đồng ý và căn cứ xử lý
- Nhà cung cấp và bên thứ ba
- Ứng phó sự cố dữ liệu
- Hồ sơ đánh giá tác động
- Chuyển dữ liệu xuyên biên giới
- Cách xây dựng quy chế
- Sai lầm thường gặp
- Câu hỏi thường gặp
Quy chế bảo vệ dữ liệu cá nhân là gì?
Quy chế bảo vệ dữ liệu cá nhân là tài liệu quản trị nội bộ quy định cách cơ quan hoặc doanh nghiệp tổ chức hoạt động bảo vệ dữ liệu. Quy chế thường xác định ai có quyền quyết định mục đích xử lý, bộ phận nào trực tiếp xử lý, dữ liệu được phép sử dụng trong phạm vi nào và cách kiểm soát rủi ro trong từng giai đoạn.
Pháp luật không yêu cầu mọi doanh nghiệp phải đặt tên tài liệu là “quy chế”. Tuy nhiên, Nghị định 356/2025/NĐ-CP coi chính sách, quy trình, quy định, biểu mẫu và các tài liệu liên quan là thành phần của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Vì vậy, một bộ quy chế được xây dựng đúng thực tế là bằng chứng quan trọng về cách doanh nghiệp tổ chức tuân thủ.
Chuẩn hóa cách xử lý dữ liệu
Quy định thống nhất việc thu thập, truy cập, sử dụng, chia sẻ, lưu trữ, chỉnh sửa, xóa và hủy dữ liệu.
Bảo đảm quyền của cá nhân
Thiết lập đầu mối, biểu mẫu, thời hạn và trình tự xử lý yêu cầu của khách hàng, người lao động hoặc người dùng.
Chứng minh khả năng tuân thủ
Kết nối quy chế với hồ sơ đánh giá tác động, hợp đồng, nhật ký xử lý, báo cáo sự cố và hoạt động kiểm tra.
Phân biệt quy chế nội bộ, chính sách bảo mật và hồ sơ đánh giá tác động
| Tài liệu | Mục đích | Đối tượng sử dụng | Nội dung trọng tâm |
|---|---|---|---|
| Quy chế bảo vệ dữ liệu cá nhân | Quản trị cách doanh nghiệp tổ chức và kiểm soát hoạt động xử lý dữ liệu. | Lãnh đạo, nhân sự, phòng ban, nhà thầu và người được phân quyền. | Vai trò, quy trình, trách nhiệm, phân quyền, lưu trữ, sự cố và kiểm tra. |
| Chính sách bảo mật hoặc thông báo xử lý dữ liệu | Giải thích minh bạch cho chủ thể dữ liệu về cách thông tin của họ được xử lý. | Khách hàng, người dùng, ứng viên, người lao động hoặc đối tác. | Loại dữ liệu, mục đích, phạm vi, thời hạn, bên nhận, quyền và đầu mối liên hệ. |
| Hồ sơ đánh giá tác động xử lý dữ liệu | Ghi nhận đầy đủ hoạt động xử lý, rủi ro, biện pháp bảo vệ và kết quả đánh giá tuân thủ. | Doanh nghiệp và cơ quan chuyên trách bảo vệ dữ liệu cá nhân. | Báo cáo Mẫu số 10, hợp đồng xử lý, chính sách, quy trình, quy định và tài liệu liên quan. |
| Hợp đồng hoặc thỏa thuận xử lý dữ liệu | Ràng buộc trách nhiệm giữa bên kiểm soát, bên xử lý, bên nhận dữ liệu và nhà cung cấp. | Các bên tham gia hoạt động xử lý. | Mục đích, phạm vi, bảo mật, nhà thầu phụ, yêu cầu quyền dữ liệu, sự cố và hoàn trả hoặc xóa dữ liệu. |
Doanh nghiệp không nên dùng một tài liệu cho mọi mục đích. Quy chế nội bộ có thể chứa quy trình và phân quyền không cần công khai; chính sách bảo mật lại phải dễ tiếp cận, minh bạch và phù hợp với nội dung thực tế mà chủ thể dữ liệu cần biết.
Doanh nghiệp nào cần xây dựng quy chế?
Bất kỳ tổ chức nào thường xuyên xử lý dữ liệu khách hàng, nhân sự, ứng viên, người dùng, đối tác hoặc người liên hệ đều nên có một bộ quy chế tương ứng với quy mô và mức độ rủi ro. Nhu cầu đặc biệt rõ trong các trường hợp sau:
Website hoặc ứng dụng có form, tài khoản người dùng hoặc đặt hàng.
Doanh nghiệp sử dụng CRM, tổng đài, email marketing hoặc chatbot.
Có hồ sơ nhân sự, ứng viên, chấm công hoặc camera.
Xử lý dữ liệu sức khỏe, tài chính, sinh trắc học hoặc vị trí.
Sử dụng cloud, phần mềm hoặc nhà cung cấp ở nước ngoài.
Chia sẻ dữ liệu với kế toán, marketing, vận chuyển hoặc đối tác.
Có hoạt động phân tích hành vi, chấm điểm hoặc ra quyết định tự động.
Xử lý dữ liệu của trẻ em hoặc nhóm chủ thể cần bảo vệ đặc biệt.
Quy mô nhỏ không đồng nghĩa không có rủi ro. Nghị định 356/2025/NĐ-CP có cơ chế lựa chọn hoặc miễn thực hiện một số nghĩa vụ trong thời hạn nhất định cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, doanh nghiệp siêu nhỏ và hộ kinh doanh, nhưng không phải là miễn trừ chung đối với mọi trách nhiệm bảo vệ dữ liệu.
Khung pháp lý bảo vệ dữ liệu cá nhân áp dụng từ năm 2026
Luật số 91/2025/QH15
Có hiệu lực từ ngày 01/01/2026; xác lập quyền của chủ thể dữ liệu, trách nhiệm các bên xử lý và chế tài tối đa.
Nghị định 356/2025/NĐ-CP
Có hiệu lực từ ngày 01/01/2026; quy định chi tiết dữ liệu cơ bản, dữ liệu nhạy cảm, thực hiện quyền, hồ sơ tác động và các biện pháp thi hành.
Nghị định 13/2023/NĐ-CP
Hết hiệu lực từ ngày 01/01/2026 và không còn là căn cứ chính để doanh nghiệp xây dựng quy chế mới.
Dữ liệu, an ninh mạng và chuyên ngành
Tùy hoạt động, doanh nghiệp còn phải đối chiếu pháp luật về dữ liệu, an ninh mạng, lao động, người tiêu dùng, thương mại điện tử và ngành nghề chuyên môn.
Luật năm 2025 ghi nhận các quyền cơ bản gồm quyền được biết, đồng ý hoặc không đồng ý, rút lại sự đồng ý, truy cập, chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý, khiếu nại, khởi kiện và yêu cầu bồi thường.
Quy chế bảo vệ dữ liệu cá nhân cần có những nội dung nào?
1. Phạm vi và đối tượng áp dụng
Xác định quy chế áp dụng cho nhân viên, cộng tác viên, người quản lý, đơn vị trực thuộc, nhà thầu, nhà cung cấp và mọi hệ thống có hoạt động xử lý dữ liệu cá nhân.
2. Thuật ngữ và vai trò của các bên
Làm rõ bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý, bên xử lý, bên thứ ba, chủ thể dữ liệu, dữ liệu cơ bản và dữ liệu nhạy cảm. Mỗi vai trò cần gắn với trách nhiệm cụ thể.
3. Danh mục dữ liệu được xử lý
Phân loại dữ liệu theo từng nhóm chủ thể và hệ thống: khách hàng, người dùng, ứng viên, người lao động, nhà cung cấp, người đại diện và người liên hệ. Dữ liệu nhạy cảm phải có phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật chặt chẽ hơn.
4. Mục đích và phạm vi xử lý
Mỗi loại dữ liệu phải gắn với mục đích cụ thể, rõ ràng và cần thiết. Quy chế nên ngăn việc sử dụng lại dữ liệu cho một mục đích mới khi chưa có căn cứ phù hợp hoặc chưa thực hiện nghĩa vụ thông báo cần thiết.
5. Nguồn và phương thức thu thập
Ghi nhận dữ liệu được thu thập trực tiếp, tự động qua website, từ camera, cookie, ứng dụng, đối tác, nguồn công khai hoặc hệ thống khác. Nguồn thu thập phải có khả năng truy xuất và kiểm tra.
6. Cơ chế thông báo và lấy sự đồng ý
Quy định nội dung thông báo, phương thức ghi nhận sự đồng ý, cách chứng minh, cơ chế rút lại và cách xử lý khi chủ thể dữ liệu không đồng ý. Sự đồng ý phải được tách bạch theo mục đích khi cần thiết.
7. Quyền của chủ thể dữ liệu
Thiết lập biểu mẫu, kênh tiếp nhận, cách xác minh danh tính, thời hạn phản hồi, phòng ban xử lý và trường hợp từ chối có căn cứ.
8. Thời hạn lưu trữ và tiêu hủy
Xây dựng lịch lưu trữ theo loại dữ liệu, hợp đồng, nghĩa vụ thuế – kế toán, lao động, tranh chấp và mục đích xử lý. Khi hết căn cứ lưu trữ, dữ liệu cần được xóa, hủy hoặc ẩn danh theo phương thức phù hợp.
9. Chia sẻ dữ liệu và quản lý nhà cung cấp
Quy định điều kiện chuyển giao dữ liệu, phê duyệt bên nhận, hợp đồng xử lý, nhà thầu phụ, kiểm tra tuân thủ, quyền truy cập và nghĩa vụ hoàn trả hoặc xóa dữ liệu khi kết thúc dịch vụ.
10. Biện pháp bảo vệ dữ liệu
Bao gồm phân quyền theo chức năng, xác thực phù hợp, mã hóa, sao lưu, nhật ký truy cập, quản lý thiết bị, kiểm tra lỗ hổng, bảo mật dữ liệu khi truyền và lưu trữ, cùng biện pháp vật lý tại nơi làm việc.
11. Quản lý sự cố và vi phạm
Xác định cách phát hiện, phân loại, cô lập, bảo toàn chứng cứ, đánh giá ảnh hưởng, thông báo, khắc phục và rút kinh nghiệm. Nhân viên cần biết kênh báo cáo ngay khi phát hiện mất thiết bị, gửi nhầm email, lộ tài khoản hoặc truy cập trái phép.
12. Đào tạo, kiểm tra và cập nhật
Quy chế nên có lịch đào tạo định kỳ, cơ chế kiểm tra tuân thủ, xử lý vi phạm nội bộ và quy trình cập nhật khi doanh nghiệp bổ sung hệ thống, thay đổi nhà cung cấp hoặc mở rộng mục đích xử lý.
Quy trình xử lý yêu cầu của chủ thể dữ liệu
Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát dữ liệu và bên kiểm soát – xử lý dữ liệu xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để thực hiện quyền của chủ thể dữ liệu.
| Nhóm yêu cầu | Thời hạn phản hồi ban đầu | Thời hạn thực hiện | Trường hợp liên quan bên thứ ba |
|---|---|---|---|
| Rút lại sự đồng ý, hạn chế hoặc phản đối xử lý | 02 ngày làm việc | 15 ngày | Có thể cần thực hiện trong 20 ngày khi yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý. |
| Xem, chỉnh sửa hoặc yêu cầu cung cấp dữ liệu | 02 ngày làm việc | 10 ngày | Có thể cần thực hiện trong 15 ngày khi phải yêu cầu bên xử lý hoặc bên thứ ba chỉnh sửa dữ liệu. |
Tùy tính chất và mức độ phức tạp, thời hạn có thể được gia hạn một lần theo giới hạn pháp luật quy định. Doanh nghiệp phải thông báo lý do và có khả năng chứng minh việc gia hạn là cần thiết, hợp lý.
Quy chế cần có cơ chế xác minh người yêu cầu. Việc cung cấp, chỉnh sửa hoặc xóa dữ liệu theo một yêu cầu giả mạo có thể tạo ra sự cố mới. Phương thức xác minh phải tương xứng với độ nhạy cảm của dữ liệu và không thu thập quá mức cần thiết.
Sự đồng ý có phải là căn cứ duy nhất để xử lý dữ liệu?
Không. Sự đồng ý là một căn cứ quan trọng nhưng Luật Bảo vệ dữ liệu cá nhân còn quy định các trường hợp xử lý không cần sự đồng ý. Quy chế không nên ghi đơn giản rằng “mọi hoạt động chỉ được thực hiện khi khách hàng đồng ý”, bởi cách diễn đạt này có thể không phù hợp với hoạt động thực hiện hợp đồng, nghĩa vụ pháp lý, bảo vệ quyền lợi hoặc các trường hợp luật định khác.
Đối với từng hoạt động, doanh nghiệp nên lập bảng xác định:
- Loại dữ liệu và nhóm chủ thể dữ liệu.
- Mục đích xử lý.
- Căn cứ xử lý và trường hợp ngoại lệ nếu có.
- Nội dung thông báo phải cung cấp.
- Cách ghi nhận và rút lại sự đồng ý khi áp dụng.
- Hậu quả hoặc giới hạn dịch vụ nếu chủ thể không cung cấp dữ liệu cần thiết.
Quản lý nhà cung cấp và bên thứ ba như thế nào?
Doanh nghiệp thường chia sẻ dữ liệu với nhà cung cấp hosting, cloud, CRM, tổng đài, email, kế toán, vận chuyển, tuyển dụng hoặc marketing. Quy chế cần yêu cầu đánh giá nhà cung cấp trước khi chuyển dữ liệu và duy trì hợp đồng có điều khoản xử lý dữ liệu.
Xác định vai trò của từng bên trong hoạt động xử lý.
Mô tả rõ loại dữ liệu, mục đích và phạm vi xử lý.
Giới hạn việc sử dụng dữ liệu ngoài chỉ dẫn hợp pháp.
Quy định về bảo mật, phân quyền và nhà thầu phụ.
Cơ chế hỗ trợ thực hiện quyền của chủ thể dữ liệu.
Thời hạn thông báo sự cố cho doanh nghiệp.
Quyền kiểm tra hoặc yêu cầu bằng chứng tuân thủ.
Hoàn trả, xóa hoặc hủy dữ liệu khi chấm dứt hợp đồng.
Quy trình ứng phó sự cố dữ liệu cần được tổ chức ra sao?
Tiếp nhận và ghi nhận sự cố
Thiết lập kênh khẩn cấp để nhân viên, khách hàng hoặc nhà cung cấp báo cáo sự cố và lưu thời điểm phát hiện.
Cô lập và bảo toàn chứng cứ
Ngăn truy cập tiếp diễn, khóa tài khoản, thu hồi quyền, lưu nhật ký và bảo toàn dữ liệu cần thiết để điều tra.
Đánh giá phạm vi ảnh hưởng
Xác định loại dữ liệu, số chủ thể, mức độ nhạy cảm, bên đã tiếp cận và hậu quả có thể xảy ra.
Thực hiện nghĩa vụ thông báo
Đối chiếu thời hạn, nội dung và đối tượng phải thông báo theo Luật, Nghị định 356/2025/NĐ-CP và quy định chuyên ngành.
Khắc phục và phòng ngừa tái diễn
Đặt lại thông tin xác thực, sửa lỗ hổng, thu hồi dữ liệu, hỗ trợ chủ thể bị ảnh hưởng và cập nhật quy trình.
Lập hồ sơ sự cố
Ghi nhận nguyên nhân, quyết định xử lý, bằng chứng, thông báo đã thực hiện và biện pháp cải tiến.
Quy chế liên quan thế nào đến hồ sơ đánh giá tác động?
Bên kiểm soát, bên kiểm soát và xử lý, bên xử lý dữ liệu cá nhân phải lập và lưu giữ hồ sơ đánh giá tác động từ thời điểm bắt đầu xử lý. Theo Nghị định 356/2025/NĐ-CP, hồ sơ gồm:
- Báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10.
- Hợp đồng hoặc thỏa thuận thể hiện trách nhiệm giữa các bên xử lý.
- Chính sách, quy trình, quy định, biểu mẫu và tài liệu liên quan về bảo vệ dữ liệu cá nhân.
Hồ sơ cần luôn sẵn sàng phục vụ kiểm tra và được nộp cho cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân. Quy chế vì vậy phải phản ánh đúng thực tế và thống nhất với Báo cáo Mẫu số 10, hợp đồng, sơ đồ hệ thống và biện pháp bảo vệ.
Xem thêm dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Khi nào cần rà soát chuyển dữ liệu cá nhân xuyên biên giới?
Yếu tố xuyên biên giới có thể phát sinh khi dữ liệu được chuyển, lưu trữ, truy cập hoặc xử lý bởi hệ thống hoặc bên nhận ở nước ngoài. Các tình huống thường gặp gồm:
- Sử dụng dịch vụ cloud có máy chủ hoặc đơn vị vận hành ở nước ngoài.
- Chuyển dữ liệu khách hàng hoặc nhân sự cho công ty mẹ, chi nhánh hoặc đối tác nước ngoài.
- Sử dụng CRM, email marketing, phân tích hành vi hoặc phần mềm quốc tế.
- Cho phép đội ngũ ở nước ngoài truy cập dữ liệu từ xa.
Quy chế cần quy định bước phê duyệt trước khi sử dụng dịch vụ có yếu tố xuyên biên giới, yêu cầu đánh giá bên nhận, hợp đồng, biện pháp bảo mật và hồ sơ đánh giá tác động chuyển dữ liệu theo trường hợp áp dụng.
Cách xây dựng quy chế bảo vệ dữ liệu cá nhân
Lập bản đồ dữ liệu
Xác định dữ liệu nào đang được thu thập, từ ai, qua kênh nào, lưu ở đâu, ai truy cập và chuyển cho bên nào.
Xác định vai trò và trách nhiệm
Phân loại bên kiểm soát, bên xử lý, bên thứ ba và chỉ định nhân sự hoặc bộ phận phụ trách bằng văn bản phù hợp.
Đánh giá khoảng trống
Đối chiếu thực tế với Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP, hợp đồng, chính sách và hệ thống kỹ thuật.
Xây dựng bộ tài liệu
Soạn quy chế, quy trình thực hiện quyền, quản lý sự cố, nhà cung cấp, lưu trữ – xóa dữ liệu và biểu mẫu cần thiết.
Đồng bộ với hệ thống và hợp đồng
Điều chỉnh website, CRM, quyền truy cập, hợp đồng với nhà cung cấp và thông báo bảo mật để thống nhất với quy chế.
Đào tạo và kiểm tra
Phổ biến tới người có quyền truy cập dữ liệu, kiểm tra khả năng thực hiện và khắc phục các điểm chưa phù hợp.
Cập nhật định kỳ
Rà soát khi thay đổi mục đích, hệ thống, nhà cung cấp, loại dữ liệu, thị trường hoặc quy định pháp luật.
Những sai lầm thường gặp khi xây dựng quy chế
Sao chép mẫu chung
Quy chế đề cập hệ thống hoặc biện pháp doanh nghiệp không sử dụng, trong khi bỏ sót luồng dữ liệu thực tế.
Chỉ dựa vào sự đồng ý
Không phân biệt căn cứ xử lý theo từng mục đích và không xử lý đúng các trường hợp luật cho phép không cần đồng ý.
Không phân vai các bên
Không xác định ai là bên kiểm soát, bên xử lý hoặc bên thứ ba nên hợp đồng và trách nhiệm bị bỏ trống.
Thời hạn lưu trữ quá chung
Ghi “lưu đến khi khách hàng yêu cầu xóa” nhưng không tính tới nghĩa vụ hợp đồng, thuế, kế toán, lao động hoặc tranh chấp.
Cam kết bảo mật tuyệt đối
Dùng tuyên bố không thể kiểm chứng thay vì mô tả biện pháp bảo vệ và quy trình ứng phó cụ thể.
Đẩy toàn bộ trách nhiệm cho khách hàng
Điều khoản miễn trách nhiệm khi bị tấn công không tự động loại trừ nghĩa vụ bảo vệ, thông báo, khắc phục hoặc bồi thường.
Luật Dương Trí hỗ trợ doanh nghiệp như thế nào?
Luật Dương Trí hỗ trợ doanh nghiệp xây dựng quy chế dựa trên hoạt động xử lý thực tế, thay vì chỉ thay tên doanh nghiệp trong một mẫu có sẵn. Phạm vi được xác định theo loại dữ liệu, hệ thống, nhà cung cấp, nhóm chủ thể và yếu tố xuyên biên giới.
Rà soát luồng dữ liệu
Kiểm tra website, CRM, cloud, hồ sơ nhân sự, marketing, camera, tổng đài và các bên nhận dữ liệu.
Xây dựng bộ quy chế và quy trình
Chuẩn hóa vai trò, thực hiện quyền, quản lý sự cố, nhà cung cấp, lưu trữ, xóa và bảo mật dữ liệu.
Đồng bộ hồ sơ tác động
Kết nối quy chế với Mẫu số 10, hợp đồng xử lý, sơ đồ luồng dữ liệu và kết quả đánh giá rủi ro.
Hỗ trợ triển khai
Hướng dẫn phân quyền, đào tạo nhân sự, cập nhật chính sách và chuẩn bị tài liệu phục vụ kiểm tra.
Căn cứ pháp lý áp dụng
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026.
- Nghị định số 356/2025/NĐ-CP quy định chi tiết và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Luật Dữ liệu số 60/2024/QH15 và văn bản hướng dẫn.
- Pháp luật về an ninh mạng, an toàn thông tin, lao động, người tiêu dùng, thương mại điện tử và ngành nghề có liên quan.
Câu hỏi thường gặp
Doanh nghiệp có bắt buộc phải ban hành quy chế bảo vệ dữ liệu cá nhân không?
Pháp luật không bắt buộc mọi doanh nghiệp phải sử dụng đúng tên “quy chế”. Tuy nhiên, doanh nghiệp cần có chính sách, quy trình, quy định, biểu mẫu và biện pháp bảo vệ phù hợp; các tài liệu này còn là thành phần của hồ sơ đánh giá tác động.
Quy chế có thể dùng thay chính sách bảo mật trên website không?
Không nên. Quy chế phục vụ quản trị nội bộ, còn chính sách bảo mật phải giải thích rõ cho người dùng về việc thu thập, sử dụng, chia sẻ, lưu trữ dữ liệu và cách thực hiện quyền.
Có quy chế rồi có cần lập hồ sơ đánh giá tác động không?
Có thể vẫn cần. Quy chế là một tài liệu trong hệ thống tuân thủ, không tự thay thế Báo cáo Mẫu số 10, hợp đồng xử lý và các thành phần hồ sơ đánh giá tác động.
Mọi hoạt động xử lý dữ liệu đều phải có sự đồng ý không?
Không. Luật quy định cả trường hợp cần sự đồng ý và trường hợp xử lý không cần sự đồng ý. Doanh nghiệp phải xác định đúng căn cứ cho từng mục đích và thực hiện nghĩa vụ thông báo tương ứng.
Doanh nghiệp nhỏ có được miễn toàn bộ nghĩa vụ không?
Không. Cơ chế dành cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, doanh nghiệp siêu nhỏ và hộ kinh doanh chỉ áp dụng với một số nghĩa vụ và có ngoại lệ. Các trách nhiệm cơ bản về xử lý đúng mục đích, bảo mật và tôn trọng quyền dữ liệu vẫn cần được thực hiện.
Dùng Google Workspace, CRM hoặc cloud nước ngoài có phải là chuyển dữ liệu xuyên biên giới không?
Cần xem vị trí lưu trữ, chủ thể nhận, quyền truy cập và cách dịch vụ xử lý dữ liệu. Trường hợp dữ liệu được chuyển, lưu trữ hoặc truy cập ở nước ngoài có thể phát sinh nghĩa vụ đánh giá tác động xuyên biên giới.
Quy chế nên được cập nhật bao lâu một lần?
Nên rà soát định kỳ và ngay khi thay đổi hệ thống, mục đích, loại dữ liệu, nhà cung cấp, thị trường, mô hình kinh doanh hoặc pháp luật áp dụng.
Điều khoản miễn trách nhiệm khi bị tấn công mạng có bảo vệ doanh nghiệp không?
Không tự động. Doanh nghiệp vẫn phải chứng minh đã thực hiện biện pháp bảo vệ phù hợp, xử lý sự cố, thông báo và khắc phục theo quy định; nếu gây thiệt hại có thể phát sinh trách nhiệm bồi thường.
Các nội dung pháp lý cần hoàn thiện cùng quy chế
Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
Nhận diện các hoạt động xử lý dữ liệu cá nhân
Quyền và nguyên tắc bảo vệ dữ liệu cá nhân
Rà soát bảo vệ dữ liệu trên không gian mạng
Soạn hợp đồng xử lý dữ liệu và bảo mật
Gửi yêu cầu rà soát hệ thống dữ liệu
Nhận diện các hoạt động xử lý dữ liệu cá nhân
Quyền và nguyên tắc bảo vệ dữ liệu cá nhân
Rà soát bảo vệ dữ liệu trên không gian mạng
Soạn hợp đồng xử lý dữ liệu và bảo mật
Gửi yêu cầu rà soát hệ thống dữ liệu
Xây dựng quy chế dựa trên luồng dữ liệu thực tế
Bạn có thể gửi mô tả hệ thống, biểu mẫu thu thập, chính sách đang sử dụng, danh sách nhà cung cấp và nhóm dữ liệu đang xử lý. Luật Dương Trí sẽ giúp xác định phạm vi quy chế, các tài liệu cần đồng bộ và những nghĩa vụ pháp lý cần ưu tiên.
