Xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân. Việc xử lý dữ liệu cá nhân phải tuân thủ các quy định pháp luật để bảo vệ quyền và thông tin cá nhân của người dùng. Trong bài viết dưới đây, NPLaw gửi đến bạn đọc một số giải đáp về xử lý dữ liệu cá nhân theo pháp luật hiện hành.
Theo quy định Hiến pháp năm 2013, công dân Việt Nam có quyền bất khả xâm phạm, quyền giữ bí mật về dữ liệu cá nhân. Theo đó, liệu cá nhân được pháp luật bảo vệ, các hành vi xâm phạm dữ liệu cá nhân được xử lý nghiêm minh theo quy định pháp luật. Các chủ thể có liên quan phải đảm bảo tuân thủ quy định trong quá trình thu thập, sử dụng và bảo mật dữ liệu cá nhân. Các quy định này nhằm đảm bảo rằng dữ liệu cá nhân được bảo vệ chặt chẽ, tránh rủi ro lạm dụng hoặc mất mát dữ liệu gây hậu quả tiêu cực cho chủ thể dữ liệu.
Theo quy định tại khoản 7 Điều 2 Nghị định 13/2023/NĐ-CP “Xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, như: thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan”.
Vậy, có thể hiểu ngắn gọn việc xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân.
.jpg)
Theo khoản 3 Điều 3 Nghị định 13/2023/NĐ-CP: “Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân”.
Như vậy, dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được đăng ký, tuyên bố về xử lý dữ liệu cá nhân.
Theo Điều 17 Nghị định 13/2023/NĐ-CP quy định xử lý dữ liệu cá nhân trong các trường hợp sau thì không cần sự đồng ý của chủ thể dữ liệu:
- Trong trường hợp khẩn cấp, cần xử lý ngay dữ liệu cá nhân có liên quan để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác. Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba có trách nhiệm chứng minh trường hợp này.
- Việc công khai dữ liệu cá nhân theo quy định của luật.
- Việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật.
- Để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật.
- Phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành.
Như vậy, nếu việc xử lý dữ liệu cá nhân thuộc một trong những trường hợp nêu trên thì không cần sự đồng ý của chủ thể dữ liệu.
Theo khoản 2 Điều 11 Nghị định 13/2023/NĐ-CP quy định về sự đồng ý của chủ thể dữ liệu như sau:
“2. Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ các nội dung sau:
a) Loại dữ liệu cá nhân được xử lý;
b) Mục đích xử lý dữ liệu cá nhân;
c) Tổ chức, cá nhân được xử lý dữ liệu cá nhân;
d) Các quyền, nghĩa vụ của chủ thể dữ liệu”.
Như vậy, sự đồng ý của chủ thể dữ liệu trong xử lý dữ liệu cá nhân chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ 04 nội dung theo quy định trên.
.jpg)
Theo quy định tại Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý của chủ thể dữ liệu như sau:
- Sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này.
- Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.
Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý.
Như vậy, sự đồng ý của chủ thể dữ liệu phải được thể hiện một cách rõ ràng, cụ thể bằng văn, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật động ý hoặc qua một hành động khác thể hiện điều này.
Theo Điều 39 Nghị định 13/2023/NĐ-CP quy định trách nhiệm của bên xử lý dữ liệu cá nhân như sau:
-Chỉ tiếp nhận dữ liệu cá nhân sau khi có hợp đồng hoặc thỏa thuận về xử lý dữ liệu với Bên Kiểm soát dữ liệu cá nhân.
-Xử lý dữ liệu cá nhân theo đúng hợp đồng hoặc thỏa thuận ký kết với Bên Kiểm soát dữ liệu cá nhân.
-Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân quy định tại Nghị định này và các văn bản pháp luật khác có liên quan.
-Bên Xử lý dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
-Xóa, trả lại toàn bộ dữ liệu cá nhân cho Bên Kiểm soát dữ liệu cá nhân sau khi kết thúc xử lý dữ liệu.
-Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân.
Như vậy, bên xử lý dữ liệu cá nhân phải tuân thủ 06 trách nhiệm theo quy định nêu trên.
Theo khoản 2 Điều 20 Nghị định 13/2023/NĐ-CP quy định về xử lý dữ liệu cá nhân của trẻ em như sau: “Việc xử lý dữ liệu cá nhân của trẻ em phải có sự đồng ý của trẻ em trong trường hợp trẻ em từ đủ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định, trừ trường hợp quy định tại Điều 17 Nghị định này. Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba phải xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em.”
Như vậy, việc xử lý dữ liệu cá nhân của trẻ em phải có sự đồng ý của trẻ em trong trường hợp trẻ em từ đủ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định nêu trên.
Theo khoản 4 Điều 24 Nghị định 13/2023/NĐ-CP quy định về đánh giá tác động xử lý dữ liệu cá nhân như sau: “Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an và gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính theo Mẫu số 04 tại Phụ lục của Nghị định này trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân”.
Như vậy, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải đảm bảo luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an theo quy định.
Theo khoản 2 Điều 13 Nghị định 13/2023/NĐ-CP nội dung thông báo cho chủ thể dữ liệu về xử lý dữ liệu cá nhân gồm:
- Mục đích xử lý;
-Loại dữ liệu cá nhân được sử dụng có liên quan tới mục đích xử lý quy định tại điểm a khoản 2 Điều này;
-Cách thức xử lý;
-Thông tin về các tổ chức, cá nhân khác có liên quan tới mục đích xử lý quy định tại điểm a khoản 2 Điều này;
- Hậu quả, thiệt hại không mong muốn có khả năng xảy ra;
- Thời gian bắt đầu, thời gian kết thúc xử lý dữ liệu.
Như vậy, Thông báo xử lý dữ liệu cá nhân phải có 6 nội dung nêu trên.
Theo khoản 1, 2 Điều 24 Nghị định 13/2023/NĐ-CP:
-Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân.
-Bên Xử lý dữ liệu cá nhân tiến hành lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân.
Vậy, khi xử lý dữ liệu cá nhân thì doanh nghiệp cần phải đánh giá tác động xử lý dữ liệu cá nhân.
Trên đây là bài viết của NPLaw phân tích một số quy định về xử lý dữ liệu cá nhân. Với đội ngũ luật sư, chuyên viên pháp lý giàu kinh nghiệm, NPLaw cung cấp dịch vụ pháp lý uy tín, chuyên nghiệp, đảm bảo quyền và lợi ích hợp pháp cho quý khách hàng.
CÔNG TY LUẬT TNHH NGỌC PHÚ
Hotline: 0913449968
Email: legal@nplaw.vn
.png)
