Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân từ 01/7/2023

1. Vai trò của doanh nghiệp trong xử lý dữ liệu cá nhân

Xử lý dữ liệu cá nhân là một/nhiều hoạt động tác động tới dữ liệu cá nhân như: Thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân… (theo khoản 7 Điều 2 Nghị định số 13/2023/NĐ-CP).

Đồng thời, khoản 9, 10, 11, 12 Điều này cũng quy định:

[…]

9. Bên Kiểm soát dữ liệu cá nhân là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

10. Bên Xử lý dữ liệu cá nhân là tổ chức, cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên Kiểm soát dữ liệu, thông qua một hợp đồng hoặc thỏa thuận với Bên Kiểm soát dữ liệu.

11. Bên Kiểm soát và xử lý dữ liệu cá nhân là tổ chức, cá nhân đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

12. Bên thứ ba là tổ chức, cá nhân ngoài Chủ thể dữ liệu, Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân được phép xử lý dữ liệu cá nhân.

[…]

Với những định nghĩa này, có thể thấy, đa số các doanh nghiệp đều đang tiến hành ít nhất 01 hoạt động xử lý dữ liệu cá nhân.

Và tùy thuộc vào phạm vi hoạt động xử lý dữ liệu cá nhân mà doanh nghiệp sẽ đóng vai trò tương ứng, có thể là Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân hoặc đồng thời là Bên kiểm soát và xử lý dữ liệu cá nhân.

Có thể hiểu đơn giản như sau:

- Bên Kiểm soát dữ liệu cá nhân: Là bên quyết định có thu thập dữ liệu cá nhân hay không, cách thức thu thập, mục đích và phương tiện xử lý các dữ liệu cá nhân đó. Ví dụ, các công ty thu thập thông tin khách hàng, đối tác, nhân sự...

- Bên Xử lý dữ liệu cá nhân: Là bên thực hiện việc xử lý dữ liệu thay cho Bên Kiểm soát dữ liệu, theo yêu cầu của Bên Kiểm soát dữ liệu. Ví dụ, các công ty cung cấp dịch vụ tư vấn nhân sự, kế toán, kiểm toán, in ấn, chuyển phát... được công ty khác cung cấp dữ liệu cá nhân để xử lý theo yêu cầu của công ty đó.

- Bên Kiểm soát và xử lý dữ liệu cá nhân: Là các doanh nghiệp tự thực hiện quy trình xử lý dữ liệu cá nhân.

Theo đó, doanh nghiệp cần xác định đúng vai trò của mình trong quá trình xử lý dữ liệu cá nhân để có các chính sách phù hợp, tuân thủ quy định của pháp luật.

Xem thêm: Doanh nghiệp cần biết: 5 việc phải làm để bảo vệ dữ liệu cá nhân

2. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Hầu hết các doanh nghiệp hiện nay đều đang là một chủ thể trong quá trình xử lý dữ liệu cá nhân. Do đó, các doanh nghiệp cần lưu ý về việc lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 24 Nghị định số 13/2023/NĐ-CP.

Cụ thể:

- Đối với doanh nghiệp là Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân với các nội dung:

• Thông tin và chi tiết liên lạc của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;

• Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân và nhân viên bảo vệ dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;

• Mục đích xử lý dữ liệu cá nhân;

• Các loại dữ liệu cá nhân được xử lý;

• Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xoá, hủy dữ liệu cá nhân (nếu có);

• Mô tả về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng;

• Đánh giá mức độ hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó;…

Mẫu Đ24-DLCN-01: Mẫu Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân dành cho Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân (ban hành kèm theo Quyết định số 4660/QĐ-BCA-A05)

https://cdn.luatvietnam.vn/uploaded/Others/2023/08/25/ho-so-danh-gia-tac-dong-xu-ly-du-lieu-ca-nhan-1_2508155931.doc

- Đối với doanh nghiệp là Bên Xử lý dữ liệu cá nhân tiến hành lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (nếu thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân).

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bên Xử lý dữ liệu cá nhân, bao gồm:

• Thông tin và chi tiết liên lạc của Bên Xử lý dữ liệu cá nhân;

• Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện xử lý dữ liệu cá nhân và nhân viên thực hiện xử lý dữ liệu cá nhân của Bên Xử lý dữ liệu cá nhân;

• Mô tả các hoạt động xử lý và các loại dữ liệu cá nhân được xử lý theo hợp đồng với Bên Kiểm soát dữ liệu cá nhân;

• Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xoá, hủy dữ liệu cá nhân (nếu có);

• Trường hợp chuyển dữ liệu cá nhân ra nước ngoài;

• Mô tả chung về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng;

• Hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó.

Mẫu Đ24-DLCN-02: Mẫu Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân dành cho Bên Xử lý dữ liệu cá nhân (ban hành kèm theo Quyết định số 4660/QĐ-BCA-A05)

3. Thủ tục thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu

Theo đó, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an. Đồng thời, phải gửi 01 bộ hồ sơ thông báo tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công An theo thủ tục sau:

Bước 1: Chuẩn bị 01 bộ hồ sơ gồm:

- 01 bản chính Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (dành cho tổ chức) - mẫu số 04a Phụ lục ban hành kèm theo Nghị định 13/2023/NĐ-CP.

- 01 bản chính Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân) hoặc Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (dành cho Bên Xử lý dữ liệu cá nhân)

- 01 bản sao Giấy chứng nhận đăng kí hoạt động/quyết định thành lập hoặc căn cước công dân/chứng minh thư/hộ chiếu của chủ hồ sơ

- 01 bản sao Quyết định/giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ (Các doanh nghiệp siêu nhỏ, nhỏ, vừa, doanh nghiệp khởi nghiệp được miễn trừ quy định về chỉ định cá nhân và bộ phận bảo vệ dữ liệu cá nhân trong 02 năm đầu từ khi thành lập doanh nghiệp)

- 01 bản sao Hợp đồng/văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có)

- Bản sao các Giấy tờ khác (các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp)

Bước 2: Gửi đến Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.

Bước 3: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an phản hồi thông tin về kết quả lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Lưu ý: Thời hạn gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là trong vòng 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân (có thể hiểu thời hạn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đối với đa số các doanh nghiệp đang hoạt động hiện nay chậm nhất là ngày 29/8/2023 - 60 ngày tính từ ngày 01/7/2023 - ngày Nghị định 13/2023/NĐ-CP có hiệu lực).