Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân

 

NGHỊ ĐỊNH

QUY ĐỊNH CHI TIẾT MỘT SỐ ĐIỀU VÀ BIỆN PHÁP THI HÀNH LUẬT BẢO VỆ DỮ LIỆU CÁ NHÂN

Căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15;

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;

Căn cứ Luật Dữ liệu số 60/2024/QH15;

Căn cứ Luật sửa đổi, bổ sung một số điều của Luật Đấu thầu, Luật Đầu tư theo phương thức đối tác công tư, Luật Hải quan, Luật Thuế giá trị gia tăng, Luật Thuế xuất khẩu, thuế nhập khẩu, Luật Đầu tư, Luật Đầu tư công, Luật quản lý sử dụng tài sản công số 90/2025/QH15;

Theo đề nghị của Bộ trưởng Bộ Công an;

Chính phủ ban hành Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Nghị định này quy định chi tiết khoản 2, khoản 3 Điều 2; khoản 5 Điều 4; khoản 3 Điều 6📌

Trong Luật này, các từ ngữ dưới đây được hiểu như sau: … 2. Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.

3. Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành. …

Điều 4. Quyền và nghĩa vụ của chủ thể dữ liệu cá nhân … 5. Khi nhận được yêu cầu của chủ thể dữ liệu cá nhân để thực hiện quyền của chủ thể dữ liệu cá nhân quy định tại khoản 1 Điều này, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải kịp thời thực hiện trong thời hạn theo quy định của pháp luật.

Chính phủ quy định chi tiết khoản này. …

Điều 6. Hợp tác quốc tế về bảo vệ dữ liệu cá nhân … 3. Chính phủ quy định trách nhiệm thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân.

Xem nội dung VB; khoản 5 Điều 9; khoản 3 Điều 17; khoản 7 Điều 20📌

Điều 17. Chuyển giao dữ liệu cá nhân … 3. Chính phủ quy định chi tiết Điều này. …

Điều 20. Chuyển dữ liệu cá nhân xuyên biên giới … 7. Chính phủ quy định chi tiết các khoản 1, 5 và 6 Điều này; quy định thành phần hồ sơ, điều kiện, trình tự, thủ tục đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Xem nội dung VB; khoản 7 Điều 21; khoản 4 Điều 22; khoản 5 Điều 23📌

Điều 22. Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới … 4. Chính phủ quy định chi tiết Điều này.

Điều 23. Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân … 5. Chính phủ quy định nội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân.

Xem nội dung VB; khoản 3 Điều 27; khoản 6 Điều 30; điểm b khoản 4 Điều 31📌

Điều 30. Bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây … 6. Chính phủ quy định chi tiết Điều này.

Điều 31. Bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học … 4. Việc bảo vệ dữ liệu sinh trắc học quy định như sau: … b) Trường hợp xử lý dữ liệu sinh trắc học gây thiệt hại cho chủ thể dữ liệu cá nhân thì tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải thông báo cho chủ thể dữ liệu cá nhân đó theo quy định của Chính phủ.

Xem nội dung VB; khoản 3 Điều 33; Điều 35; khoản 4 Điều 38 Luật Bảo vệ dữ liệu cá nhân📌

Điều 35. Kiểm tra hoạt động bảo vệ dữ liệu cá nhân

Việc kiểm tra hoạt động bảo vệ dữ liệu cá nhân được thực hiện theo quy định của Luật này và theo quy định của Chính phủ. …

Điều 38. Hiệu lực thi hành … 4. Chính phủ quy định chi tiết khoản 2 và khoản 3 Điều này.

Xem nội dung VB và quy định các biện pháp để tổ chức thi hành Luật về nghiên cứu, phát triển các giải pháp bảo vệ dữ liệu cá nhân, cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân; trách nhiệm của các bộ, ngành, địa phương trong bảo vệ dữ liệu cá nhân; kinh phí bảo đảm hoạt động bảo vệ dữ liệu cá nhân.

Điều 2. Đối tượng áp dụng

1. Cơ quan, t ổ chức, cá nhân Việt Nam;

2. Cơ quan, t ổ chức, cá nhân nước ngoài tại Việt Nam;

3. Cơ quan, t ổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.

Điều 3. Danh mục dữ liệu cá nhân cơ bản

D ữ liệu cá nhân cơ bản bao gồm:

1. H ọ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);

2. Ngày, tháng, năm sinh; ngày, tháng, năm ch ết hoặc mất tích;

3. Gi ới tính;

4. Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thư ờng trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;

5. Qu ốc tịch;

6. Hình ảnh của cá nhân;

7. S ố điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;

8. Tình tr ạng hôn nhân;

9. Thông tin v ề mối quan hệ gia đình (cha mẹ, con, vợ, chồng);

10. Thông tin v ề tài khoản số của cá nhân;

11. Các thông tin khác g ắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại Điều 4 Nghị định này.

Điều 4. Danh mục dữ liệu cá nhân nhạy cảm

1. D ữ liệu cá nhân nhạy cảm bao gồm:

a) D ữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;

b) Quan điểm về chính trị, tôn giáo, tín ngưỡng;

c) Thông tin v ề đời sống riêng tư, bí mật cá nhân, bí mật gia đình;

d) Tình tr ạng sức khỏe;

đ) D ữ liệu sinh trắc học, đặc điểm di truyền;

e) D ữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;

g) D ữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;

h) V ị trí của cá nhân được xác định qua dịch vụ định vị;

i) Thông tin tên đăng nh ập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;

k) Tên đăng nh ập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;

l) D ữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;

m) D ữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

2. Trong quá trình x ử lý dữ liệu cá nhân nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.

Chương II

YÊU CẦU, ĐIỀU KIỆN BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 5. Thực hiện quyền của chủ thể dữ liệu cá nhân

1. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân phù hợp với hoạt động xử lý dữ liệu cá nhân và trách nhiệm các bộ phận có liên quan; đảm bảo chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại khoản 1 Điều 4 của Luật Bảo vệ dữ liệu cá nhân📌

1. Quyền của chủ thể dữ liệu cá nhân bao gồm:

a) Được biết về hoạt động xử lý dữ liệu cá nhân;

b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;

c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;

d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;

đ) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;

e) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.

Xem nội dung VB.

2. Khi nh ận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục của chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân và thực hiện trong thời hạn 15 ngày, trừ trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân theo quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân📌

1. Các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân bao gồm:

a) Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên. Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có trách nhiệm chứng minh trường hợp này;

b) Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;

c) Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;

d) Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;

đ) Trường hợp khác theo quy định của pháp luật.

2. Cơ quan, tổ chức, cá nhân có liên quan phải thiết lập cơ chế giám sát khi xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân bao gồm:

a) Thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân;

b) Triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân;

c) Thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;

d) Có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

Xem nội dung VB.Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân của chủ thể dữ liệu cá nhân thì thực hiện trong thời hạn 20 ngày.

Tùy theo tính ch ất, mức độ phức tạp của yêu cầu, trường hợp cần gia hạn thời gian xử lý thì kéo dài thêm tối đa 01 lần gia hạn trong thời hạn không quá 15 ngày, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân thông báo cho chủ thể dữ liệu cá nhân lý do cần gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

3. Khi nh ận được yêu cầu xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân, cung cấp dữ liệu cá nhân theo đúng thủ tục của chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục và thực hiện trong thời hạn 10 ngày. Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba chỉnh sửa dữ liệu cá nhân của chủ thể dữ liệu cá nhân thì thực hiện trong thời hạn 15 ngày.

Tùy theo tính ch ất, mức độ phức tạp của yêu cầu, trường hợp cần gia hạn thời gian xử lý thì kéo dài thêm tối đa 01 lần gia hạn trong thời hạn không quá 10 ngày, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân thông báo cho chủ thể dữ liệu cá nhân lý do cần gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

4. Khi nh ận được yêu cầu xóa dữ liệu cá nhân theo đúng thủ tục của chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục và thực hiện trong thời hạn 20 ngày. Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba cung cấp, xóa, hạn chế xử lý dữ liệu của chủ thể dữ liệu cá nhân thì thực hiện trong thời hạn 30 ngày.

Tùy theo tính ch ất, mức độ phức tạp của yêu cầu, trường hợp cần gia hạn thời gian xử lý thì kéo dài thêm tối đa 01 lần gia hạn trong thời hạn không quá 20 ngày, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân thông báo cho chủ thể dữ liệu cá nhân lý do cần gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

5. Khi nh ận được yêu cầu thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo đúng thủ tục của chủ thể dữ liệu cá nhân, cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục và thực hiện trong thời hạn 15 ngày.

Tùy theo tính ch ất, mức độ phức tạp của yêu cầu, trường hợp cần gia hạn thời gian xử lý thì kéo dài thêm tối đa 01 lần gia hạn trong thời hạn không quá 15 ngày, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân thông báo cho chủ thể dữ liệu cá nhân lý do cần gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Điều 6. Phương thức thể hiện sự đồng ý của chủ thể dữ liệu cá nhân

1. Các phương th ức xin sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm khả năng kiểm chứng được về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý, bao gồm:

a) B ằng văn bản;

b) B ằng cuộc gọi ghi âm;

c) Cú pháp đ ồng ý qua tin nhắn điện thoại;

d) Qua thư đi ện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý;

đ) B ằng các phương thức khác phù hợp có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

2. Bên ki ểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu cá nhân phải lưu trữ sự đồng ý của chủ thể dữ liệu. Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thể dữ liệu thuộc về bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

3. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không được thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Các thiết lập mặc định sẵn có phải đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân, tôn trọng các quyền của chủ thể dữ liệu cá nhân.

4. Đ ối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

Điều 7. Chuyển giao dữ liệu cá nhân

1. T ổ chức, cá nhân chuyển giao dữ liệu cá nhân theo điểm a, điểm c, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân📌

1. Việc chuyển giao dữ liệu cá nhân được thực hiện trong các trường hợp sau đây:

a) Chuyển giao dữ liệu cá nhân khi có sự đồng ý của chủ thể dữ liệu cá nhân; … c) Chuyển giao dữ liệu cá nhân để tiếp tục xử lý dữ liệu cá nhân trong trường hợp chia, tách, sáp nhập cơ quan, tổ chức, đơn vị hành chính và tổ chức lại, chuyển đổi hình thức sở hữu doanh nghiệp nhà nước; chia, tách, sáp nhập, hợp nhất, kết thúc hoạt động đơn vị, tổ chức; đơn vị, tổ chức được thành lập trên cơ sở kết thúc hoạt động của đơn vị, tổ chức khác;

d) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao dữ liệu cá nhân cho bên xử lý dữ liệu cá nhân, bên thứ ba để xử lý dữ liệu cá nhân theo quy định;

Xem nội dung VB phải xác lập thỏa thuận về việc chuyển giao dữ liệu cá nhân với bên nhận dữ liệu cá nhân, trong đó nêu rõ các nội dung sau:

a) Mục đích chuyển giao dữ liệu cá nhân;

b) Đ ối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được chuyển giao phù hợp với mục đích chuyển giao;

c) Th ời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân sau khi hoàn thành mục đích chuyển giao;

d) Cơ s ở pháp lý của việc chuyển giao dữ liệu cá nhân;

đ) Trách nhi ệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân;

e) Trách nhi ệm thực hiện các quyền của chủ thể dữ liệu cá nhân;

g) Trách nhi ệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân.

2. Vi ệc chuyển giao dữ liệu cá nhân nhạy cảm phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao.

3. Trư ờng hợp chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân📌

1. Việc chuyển giao dữ liệu cá nhân được thực hiện trong các trường hợp sau đây:

a) Chuyển giao dữ liệu cá nhân khi có sự đồng ý của chủ thể dữ liệu cá nhân; … d) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao dữ liệu cá nhân cho bên xử lý dữ liệu cá nhân, bên thứ ba để xử lý dữ liệu cá nhân theo quy định;

Xem nội dung VB có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân, tổ chức, cá nhân tuân thủ các quy định như sau:

a) Ph ải thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;

b) Ch ỉ được xử lý dữ liệu cá nhân đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;

c) Lo ại dữ liệu cá nhân chuyển giao phải giới hạn trong phạm vi mục đích chuyển giao;

d) Không đư ợc thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý;

đ) Xác đ ịnh rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân;

e) Ph ải có thỏa thuận chuyển giao, xử lý dữ liệu cá nhân trước khi chuyển và cam kết trách nhiệm, nghĩa vụ với chủ thể dữ liệu cá nhân.

4. Trư ờng hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức phải xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba.

5. D ữ liệu cá nhân phải được khử nhận dạng trước khi giao dịch trên sàn dữ liệu.

6. Cơ quan, t ổ chức, cá nhân thực hiện cung cấp dữ liệu cá nhân theo khoản 2 Điều 15 của Luật Bảo vệ dữ liệu cá nhân📌

a) Cung cấp cho chủ thể dữ liệu cá nhân theo yêu cầu của chủ thể dữ liệu cá nhân phù hợp quy định của pháp luật, thỏa thuận với chủ thể dữ liệu, trừ trường hợp việc cung cấp đó có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, tài sản của người khác;

b) Cung cấp cho cơ quan, tổ chức, cá nhân khác khi được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác.

Xem nội dung VB dựa trên từng yêu cầu cụ thể của chủ thể dữ liệu thì không được coi là chuyển giao dữ liệu và không phải thực hiện theo quy định tại Điều này.

Điều 8. Bảo vệ dữ liệu cá nhân trong hoạt động tài chính, ngân hàng, hoạt động thông tin tín dụng

1. T ổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng có trách nhiệm áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân được ban hành và áp dụng tại Việt Nam; thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần; ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân.

2. T ổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng là bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân khi xin sự đồng ý của chủ thể dữ liệu cá nhân phải đảm bảo nêu rõ:

a) Các mục đích xử lý dữ liệu cá nhân, bao gồm hoạt động chấm điểm, xếp hạng tín dụng, đánh giá thông tin tín dụng, đánh giá mức độ tín nhiệm về tín dụng nếu có;

b) Ngu ồn thu thập dữ liệu cá nhân và các bên thu thập, chia sẻ dữ liệu cá nhân liên quan;

c) Th ời gian lưu trữ dữ liệu cá nhân;

d) Cơ ch ế, cách thức rút lại sự đồng ý và chính sách xóa, hủy dữ liệu cá nhân theo quy định.

3. Trong th ời hạn không quá 72 giờ sau khi phát hiện lộ, mất dữ liệu nhạy cảm của chủ thể dữ liệu cá nhân trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng, tổ chức, cá nhân trực tiếp thu thập dữ liệu cá nhân của chủ thể dữ liệu có trách nhiệm thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân. Nội dung thông báo cần đảm bảo tối thiểu các nội dung quy định tại khoản 1 Điều 28 Nghị định này.

Điều 9. Bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn

1. X ử lý dữ liệu lớn có chứa dữ liệu cá nhân là hoạt động xử lý dữ liệu cá nhân ở quy mô lớn, có tính liên tục, tích hợp từ nhiều nguồn khác nhau, có khả năng phân tích hành vi, dự đoán xu hướng hoặc phân loại người dùng.

2. Trư ờng hợp xử lý dữ liệu lớn có chứa dữ liệu cá nhân, cơ quan, tổ chức, cá nhân có liên quan có trách nhiệm:

a) Tuân th ủ các quy định về bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu ngay từ thời điểm bắt đầu xử lý;

b) Ch ỉ thu thập, xử lý và lưu trữ dữ liệu cá nhân đúng phạm vi, phù hợp với mục đích cụ thể, rõ ràng;

c) Xây d ựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định pháp luật;

d) T ổ chức đào tạo, phổ biến và nâng cao nhận thức về bảo mật dữ liệu cá nhân và các biện pháp bảo vệ dữ liệu cá nhân cho nhân viên định kỳ, đặc biệt là nhân sự trực tiếp xử lý dữ liệu cá nhân. Tăng cường nhận thức về tầm quan trọng của bảo vệ dữ liệu cá nhân trong tổ chức;

đ) Có th ỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ đảm bảo tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân;

e) Có cơ ch ế thông báo và giải thích phù hợp cho chủ thể dữ liệu về việc dữ liệu cá nhân của họ được sử dụng trong hệ thống phân tích dữ liệu lớn.

3. Cơ quan, t ổ chức, cá nhân áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu lớn, bao gồm:

a) Áp d ụng các biện pháp bảo đảm an ninh mạng, bảo mật dữ liệu, phòng chống thất thoát dữ liệu cá nhân trong quá trình lưu trữ, xử lý, truyền tải dữ liệu cá nhân;

b) S ử dụng phương thức xác thực mạnh, yêu cầu tối thiểu xác thực đa yếu tố (mật khẩu, mã PIN kết hợp với mật khẩu dùng một lần, thiết bị ký số hoặc yếu tố sinh trắc học), phù hợp với mức độ nhạy cảm của dữ liệu cá nhân; phân quyền truy cập để đảm bảo chỉ những người có quyền mới có thể truy cập dữ liệu cá nhân;

c) Th ực hiện mã hóa, ẩn danh dữ liệu cá nhân (quá trình tách các dữ liệu xác định một con người cụ thể để lưu trữ và bảo mật riêng biệt, các dữ liệu cá nhân sau quá trình này được sử dụng để xử lý mà không thể xác định một con người cụ thể) trong quá trình chuyển giao, cung cấp dữ liệu cá nhân, trừ trường hợp pháp luật chuyên ngành có quy định khác hoặc khi việc xử lý yêu cầu dữ liệu ở dạng bản rõ để phục vụ phòng, chống tội phạm, phòng chống rửa tiền, bảo đảm an ninh quốc gia, xử lý khiếu nại, tranh chấp của khách hàng. Trong các trường hợp này, cơ quan, tổ chức phải áp dụng bổ sung các giải pháp bảo mật để bảo đảm dữ liệu cá nhân không bị truy cập, sử dụng trái phép;

d) Th ực hiện giám sát liên tục, sử dụng các công cụ giám sát để theo dõi hoạt động truy cập dữ liệu cá nhân và phát hiện các hành vi bất thường;

đ) Th ực hiện kiểm tra, đánh giá định kỳ về an ninh mạng và bảo mật dữ liệu để phát hiện, ngăn chặn và khắc phục lỗ hổng bảo mật.

Điều 10. Bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo

1. Các t ổ chức, cá nhân được quyền sử dụng dữ liệu cá nhân để nghiên cứu, phát triển các thuật toán tự học, hệ thống trí tuệ nhân tạo và các hệ thống tự động khác nhưng cần bảo đảm tuân thủ các quy định về bảo vệ dữ liệu cá nhân.

2. D ữ liệu từ kết quả suy luận của trí tuệ nhân tạo nếu có thể được sử dụng để xác định hoặc giúp xác định một con người cụ thể thì phải được áp dụng các biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

3. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân tự động, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu; đưa ra các lựa chọn để chủ thể dữ liệu có quyền không tham gia.

4. Vũ tr ụ ảo (metaverse) là một vũ trụ kỹ thuật số kết hợp các khía cạnh của truyền thông xã hội, trò chơi trực tuyến, thực tế tăng cường (AR), thực tế ảo (VR), Internet và tiền điện tử để cho phép người dùng sử dụng công nghệ thực tế ảo để tương tác.

5. Các t ổ chức, cá nhân áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo, gồm:

a) Nghiên c ứu, xây dựng và triển khai hệ thống đáp ứng các tiêu chuẩn an ninh mạng, tiêu chuẩn bảo vệ dữ liệu toàn diện cho các hệ thống trí tuệ nhân tạo, đặc biệt chú trọng các yếu tố: bảo mật thông tin, độ tin cậy của thuật toán, tính ổn định hệ thống và khả năng phòng chống tấn công mạng;

b) Thi ết lập cơ chế giám sát hoạt động của hệ thống trí tuệ nhân tạo trên hai phương diện: giám sát của cơ quan nhà nước có thẩm quyền; trách nhiệm giải trình đối với chủ thể dữ liệu cá nhân của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

c) Xây d ựng cơ chế bảo vệ dữ liệu cá nhân theo tiêu chuẩn phù hợp, phát triển hệ thống giám sát và cảnh báo sớm các nguy cơ an ninh mạng;

d) Thi ết lập cơ chế kiểm soát, ngăn chặn việc lợi dụng trí tuệ nhân tạo, vũ trụ ảo vào các hoạt động xâm phạm an ninh quốc gia, trật tự an toàn xã hội;

đ) Th ực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

6. Ch ủ thể dữ liệu cá nhân phải có quyền chỉnh sửa, ẩn danh, xóa hồ sơ nhận dạng, kể cả khi nền tảng lưu trữ lịch sử hành vi.

Điều 11. Bảo vệ dữ liệu cá nhân trong công nghệ chuỗi khối

1. Các cơ quan, t ổ chức, cá nhân có liên quan khi xử lý dữ liệu cá nhân trong công nghệ chuỗi khối có trách nhiệm tuân thủ các quy định về bảo vệ dữ liệu cá nhân ngay trong quá trình nghiên cứu, phát triển các sản phẩm, dịch vụ, ứng dụng, hệ thống sử dụng công nghệ chuỗi khối và trong quá trình xử lý dữ liệu cá nhân.

2. Cơ quan, t ổ chức, cá nhân áp dụng các biện pháp bảo vệ dữ liệu cá nhân khi xử lý dữ liệu cá nhân trong công nghệ chuỗi khối, bao gồm:

a) Ch ỉ áp dụng các thuật toán mã hóa, thuật toán băm, thuật toán ký số đảm bảo an toàn;

b) Không lưu tr ữ trực tiếp dữ liệu cá nhân trên chuỗi khối, chỉ lưu trữ khi dữ liệu cá nhân đã được khử nhận dạng hoặc lưu trữ giá trị băm của dữ liệu cá nhân;

c) Th ực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

Điều 12. Bảo vệ dữ liệu cá nhân trong điện toán đám mây

1. Các cơ quan, t ổ chức, cá nhân có liên quan phải áp dụng các biện pháp kỹ thuật và tổ chức để ngăn chặn dữ liệu cá nhân bị truy cập trái phép khi triển khai dịch vụ điện toán đám mây.

2. Các t ổ chức, cá nhân ký kết hợp đồng có liên quan tới xử lý dữ liệu cá nhân với các tổ chức cung cấp dịch vụ điện toán đám mây có trách nhiệm như sau:

a) Nêu rõ trong n ội dung hợp đồng về việc chấp hành quy định của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân; cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân; chấp hành quy định về thủ tục hành chính liên quan tới bảo vệ dữ liệu cá nhân theo quy định của pháp luật;

b) Xác đ ịnh rõ luồng xử lý dữ liệu cá nhân, vai trò các bên trong hoạt động cung cấp dịch vụ điện toán đám mây và trách nhiệm tương ứng;

c) Có yêu c ầu về các biện pháp bảo mật, kỹ thuật, tổ chức và được nêu rõ trong hợp đồng;

d) Thông báo ngay l ập tức cho các bên liên quan bất kỳ sự thay đổi nào có thể ảnh hưởng tới dữ liệu cá nhân;

đ) Tuân th ủ thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân;

e) B ảo đảm thực hiện các quyền của chủ thể dữ liệu cá nhân;

g) Th ực hiện đầy đủ các biện pháp kỹ thuật để bảo đảm quyền truy cập dữ liệu cá nhân được phân cấp một cách hợp lý.

3. Các t ổ chức cung cấp dịch vụ điện toán đám mây:

a) Ch ấp hành các quy định về bảo vệ dữ liệu cá nhân của Việt Nam, cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân, chấp hành quy định về thủ tục hành chính liên quan tới bảo vệ dữ liệu cá nhân theo quy định của pháp luật;

b) Đ ề nghị các nhà thầu phụ thực hiện các quy định và nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định của pháp luật;

c) Áp d ụng các biện pháp kỹ thuật và tổ chức ở mức phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của mình;

d) Th ực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

4. D ữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và truyền, kèm theo phân quyền truy cập nghiêm ngặt.

Điều 13. Điều kiện của nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức

1. Vi ệc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó; thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức đó.

2. Nhân s ự bảo vệ dữ liệu cá nhân được cơ quan, tổ chức chỉ định phải đáp ứng đủ các điều kiện năng lực như sau:

a) Có trình đ ộ cao đẳng trở lên;

b) Có ít nh ất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ;

c) Đã đư ợc đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

3. Trư ờng hợp cơ quan, tổ chức thành lập bộ phận bảo vệ dữ liệu cá nhân, các nhân sự trong bộ phận phải đáp ứng đủ các điều kiện năng lực quy định tại khoản 2 Điều này.

4. Cơ quan, t ổ chức chịu trách nhiệm đánh giá, lựa chọn nhân sự bảo vệ dữ liệu cá nhân.

5. Cơ quan, t ổ chức ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân, có thể thỏa thuận về các trường hợp miễn trừ trách nhiệm khi xảy ra vi phạm hoặc thiệt hại đối với dữ liệu cá nhân được bảo vệ.

6. Cơ quan, t ổ chức chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân có trách nhiệm đào tạo, bồi dưỡng kiến thức, kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự bảo vệ dữ liệu cá nhân.

Điều 14. Nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức

1. B ộ phận bảo vệ dữ liệu cá nhân có chức năng, nhiệm vụ như sau:

a) T ổ chức xây dựng chính sách, quy trình, quy định, biểu mẫu để tuân thủ các quy định pháp luật về bảo vệ dữ liệu cá nhân;

b) T ổ chức triển khai thực hiện các quyền của chủ thể dữ liệu cá nhân;

c) Đ ịnh kỳ tổ chức đánh giá thực trạng tuân thủ pháp luật về bảo vệ dữ liệu cá nhân của tổ chức bằng báo cáo đánh giá mức độ thực hiện các nghĩa vụ theo quy định pháp luật để đề xuất các biện pháp nâng cao hiệu quả tuân thủ pháp luật, phòng ngừa và kiểm soát rủi ro trong hoạt động xử lý dữ liệu cá nhân;

d) Th ực hiện lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, tiếp nhận và báo cáo vi phạm về bảo vệ dữ liệu cá nhân và thực hiện các yêu cầu khác của cơ quan có thẩm quyền theo quy định;

đ) Xây d ựng kế hoạch và triển khai đào tạo, bồi dưỡng định kỳ về bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức;

e) T ổ chức triển khai thực hiện các biện pháp kỹ thuật bảo mật dữ liệu cá nhân, tiêu chuẩn, quy chuẩn bảo vệ dữ liệu cá nhân, kế hoạch ứng cứu khẩn cấp sự cố bảo vệ dữ liệu cá nhân;

g) Nghiên c ứu và đề xuất các quyết định liên quan đến bảo vệ dữ liệu cá nhân.

2. Nhân s ự bảo vệ dữ liệu cá nhân có nhiệm vụ như sau:

a) Tham mưu xây d ựng chính sách, quy trình, quy định, biểu mẫu để tuân thủ các quy định pháp luật về bảo vệ dữ liệu cá nhân;

b) Tham gia tri ển khai thực hiện các quyền của chủ thể dữ liệu cá nhân;

c) Tham gia ho ạt động định kỳ đánh giá thực trạng tuân thủ pháp luật về bảo vệ dữ liệu cá nhân và đề xuất các biện pháp nâng cao hiệu quả tuân thủ pháp luật, phòng ngừa và kiểm soát rủi ro;

d) Th ực hiện lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, tiếp nhận và báo cáo vi phạm về bảo vệ dữ liệu cá nhân và thực hiện các yêu cầu khác của cơ quan có thẩm quyền theo quy định;

đ) Tham gia các chương trình, khóa h ọc bồi dưỡng về bảo vệ dữ liệu cá nhân;

e) Tham gia th ực hiện các biện pháp kỹ thuật bảo mật dữ liệu cá nhân, tiêu chuẩn, quy chuẩn bảo vệ dữ liệu cá nhân, kế hoạch ứng cứu khẩn cấp sự cố bảo vệ dữ liệu cá nhân.

Điều 15. Cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân

1. Cá nhân cung c ấp dịch vụ bảo vệ dữ liệu cá nhân là người đáp ứng đủ các điều kiện năng lực quy định tại khoản 2 Điều này, được cơ quan, tổ chức thuê làm nhân sự bảo vệ dữ liệu cá nhân.

2. Cá nhân cung c ấp dịch vụ bảo vệ dữ liệu cá nhân phải đáp ứng đủ các điều kiện năng lực như sau:

a) Có trình đ ộ cao đẳng trở lên;

b) Có ít nh ất 03 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ;

c) Đã đư ợc đào tạo, bồi dưỡng chuyên sâu kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

3. Cơ quan, t ổ chức có nhu cầu thuê cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân tiến hành xem xét điều kiện năng lực theo khoản 2 Điều này, giao kết hợp đồng sử dụng nhân sự bảo vệ dữ liệu cá nhân; công khai thông tin về nhân sự bảo vệ dữ liệu cá nhân cho chủ thể dữ liệu cá nhân và các bên liên quan được biết.

4. Cá nhân cung c ấp dịch vụ bảo vệ dữ liệu cá nhân có trách nhiệm:

a) Th ực hiện dịch vụ theo đúng phạm vi và nhiệm vụ trong hợp đồng, thỏa thuận;

b) Không l ợi dụng việc cung cấp dịch vụ để thực hiện các hành vi vi phạm pháp luật;

c) Th ực hiện xóa, hủy dữ liệu cá nhân xử lý trong quá trình cung cấp dịch vụ sau khi đã hoàn thành hợp đồng và theo quy định pháp luật.

Điều 16. Tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân

1. T ổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân:

a) Là t ổ chức, doanh nghiệp có chức năng, nhiệm vụ hoặc ngành nghề, lĩnh vực kinh doanh về công nghệ, pháp lý hoặc tư vấn về công nghệ, pháp lý được cơ quan, tổ chức thuê để tư vấn việc tuân thủ quy định bảo vệ dữ liệu cá nhân và thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân theo thỏa thuận;

b) Có t ối thiểu 03 nhân sự đáp ứng đủ các điều kiện năng lực theo khoản 2 Điều 15 Nghị định này;

c) Đã cung c ấp các sản phẩm, dịch vụ liên quan đến bảo mật, an ninh mạng, công nghệ thông tin, đánh giá tiêu chuẩn, tư vấn về bảo vệ dữ liệu cá nhân.

2. T ổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân phải xây dựng hồ sơ năng lực chứng minh khả năng bảo vệ dữ liệu cá nhân và cung cấp cho cơ quan, tổ chức có nhu cầu sử dụng dịch vụ. Hồ sơ phải thể hiện ngành nghề, lĩnh vực kinh doanh; quy mô, phạm vi, kinh nghiệm cung cấp dịch vụ; chính sách cung cấp dịch vụ; tiêu chuẩn, trình độ, năng lực nhân sự; các văn bản, giấy tờ minh chứng có liên quan.

3. Cơ quan, t ổ chức có nhu cầu thuê dịch vụ bảo vệ dữ liệu cá nhân tiến hành xem xét hồ sơ năng lực, giao kết hợp đồng sử dụng dịch vụ và thỏa thuận xử lý dữ liệu cá nhân với tổ chức bảo vệ dữ liệu cá nhân; công khai thông tin về tổ chức bảo vệ dữ liệu cá nhân đó cho chủ thể dữ liệu cá nhân và các bên liên quan được biết.

4. Cơ quan, t ổ chức tùy theo nhu cầu có thể đồng thời chỉ định nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân và thuê cá nhân, tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

5. Căn c ứ vào thỏa thuận với cơ quan, tổ chức thuê dịch vụ bảo vệ dữ liệu cá nhân, tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân thực hiện các nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân cho cơ quan, tổ chức đó.

6. T ổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân có trách nhiệm:

a) Th ực hiện dịch vụ theo đúng phạm vi và nhiệm vụ trong hợp đồng, thỏa thuận;

b) Không l ợi dụng việc cung cấp dịch vụ để thực hiện các hành vi vi phạm pháp luật;

c) Th ực hiện xóa, hủy dữ liệu cá nhân xử lý trong quá trình cung cấp dịch vụ sau khi đã hoàn thành hợp đồng và theo quy định pháp luật.

Chương III

HỒ SƠ, TRÌNH TỰ, THỦ TỤC VỀ DỮ LIỆU CÁ NHÂN

Điều 17. Chuyển dữ liệu cá nhân xuyên biên giới

1. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và bên thứ ba thực hiện hoạt động chuyển dữ liệu cá nhân xuyên biên giới trong các trường hợp sau đây:

a) Ho ạt động lưu trữ dữ liệu cá nhân có sự chuyển giao dữ liệu cá nhân thu thập, lưu trữ tại Việt Nam đến hệ thống máy chủ đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc trên dịch vụ điện toán đám mây của nhà cung cấp dịch vụ ở nước ngoài;

b) Ho ạt động chuyển dữ liệu cá nhân từ cơ quan, tổ chức, cá nhân từ Việt Nam cho bên nhận là tổ chức, cá nhân ở nước ngoài;

c) Ho ạt động xử lý dữ liệu cá nhân được thu thập tại Việt Nam và chuyển đến nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để tiếp tục xử lý.

2. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân quyết định yêu cầu bên chuyển dữ liệu xuyên biên giới ngừng chuyển dữ liệu cá nhân xuyên biên giới trong trường hợp:

a) Khi phát hi ện dữ liệu cá nhân được chuyển được sử dụng vào hoạt động xâm phạm quốc phòng, an ninh quốc gia;

b) Có hành vi vi ph ạm các quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia.

3. Các trư ờng hợp khác ngoài các trường hợp theo quy định tại điểm a, b, c khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân📌

a) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;

b) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;

c) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;

Xem nội dung VB không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Ho ạt động báo chí, truyền thông theo quy định của pháp luật;

b) Vi ệc chuyển dữ liệu cá nhân xuyên biên giới đã được công khai theo quy định của pháp luật;

c) Trong các tình hu ống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân xuyên biên giới để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật;

d) Ho ạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật;

đ) Vi ệc cung cấp dữ liệu cá nhân xuyên biên giới để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

Điều 18. Điều kiện, trình tự, thủ tục, thành phần hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

1. Cơ quan, t ổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới theo quy định tại khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân📌

1. Các trường hợp chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;

b) Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;

c) Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

Xem nội dung VB phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định tại Điều này.

2. H ồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Báo cáo đánh giá tác đ ộng chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09 tại Phụ lục của Nghị định này;

b) B ản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới;

c) Chính sách, quy trình, quy đ ịnh, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới.

3. Báo cáo đánh giá tác đ ộng chuyển dữ liệu cá nhân xuyên biên giới bao gồm các nội dung:

a) Thông tin và chi ti ết liên lạc của bên chuyển dữ liệu cá nhân, bên nhận dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và các bên khác có liên quan đến hoạt động chuyển dữ liệu cá nhân xuyên biên giới;

b) Chi ti ết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (nếu có) của bên chuyển dữ liệu cá nhân, bên nhận dữ liệu cá nhân;

c) Mô t ả và luận giải mục đích chuyển dữ liệu cá nhân xuyên biên giới, loại dữ liệu cá nhân chuyển xuyên biên giới, chi tiết các hoạt động chuyển và xử lý dữ liệu cá nhân xuyên biên giới và sơ đồ luồng xử lý dữ liệu cá nhân;

d) Mô t ả và luận giải về việc thực hiện xin sự đồng ý của chủ thể dữ liệu cá nhân, chính sách lưu trữ, xóa, hủy dữ liệu cá nhân;

đ) Phương án b ảo đảm an toàn dữ liệu cá nhân sau khi chuyển xuyên biên giới, các biện pháp bảo vệ dữ liệu cá nhân, tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng;

e) Sơ đ ồ hệ thống, mô tả tính năng của hệ thống lưu trữ, xử lý dữ liệu cá nhân sau khi tiếp nhận dữ liệu cá nhân xuyên biên giới;

g) Quy trình v ề việc bên tiếp nhận dữ liệu cá nhân xuyên biên giới chuyển giao, cung cấp dữ liệu cá nhân cho bên thứ ba;

h) Kết qu ả tự đánh giá tuân thủ quy định về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới;

i) Đánh giá m ức độ bảo vệ dữ liệu cá nhân của bên nhận dữ liệu cá nhân; mức độ ảnh hưởng, rủi ro của việc chuyển và xử lý dữ liệu cá nhân xuyên biên giới; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, rủi ro đó.

4. H ồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Bên chuy ển dữ liệu cá nhân xuyên biên giới nộp 01 bản chính hồ sơ đầy đủ bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân kèm theo Mẫu số 01a/01b tại Phụ lục của Nghị định này trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới.

5. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân đánh giá và trả kết quả đối với hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 15 ngày.

6. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân đánh giá, yêu cầu bên chuyển dữ liệu cá nhân xuyên biên giới hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày đối với trường hợp hồ sơ chưa đầy đủ và đúng quy định. Trường hợp bên chuyển dữ liệu cá nhân không thực hiện hoàn thiện hồ sơ theo đúng quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét áp dụng các quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

7. Bên chuy ển dữ liệu cá nhân xuyên biên giới cập nhật, bổ sung hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định của Điều 20 Nghị định này.

Điều 19. Điều kiện, trình tự, thủ tục, thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

1. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân.

2. H ồ sơ đánh giá tác động xử lý dữ liệu cá nhân của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân bao gồm:

a) Báo cáo đánh giá tác đ ộng xử lý dữ liệu cá nhân theo Mẫu số 10 tại Phụ lục của Nghị định này;

b) B ản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân, thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân trong hoạt động xử lý dữ liệu cá nhân;

c) Chính sách, quy trình, quy đ ịnh, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân.

3. Báo cáo đánh giá tác đ ộng xử lý dữ liệu cá nhân bao gồm các nội dung:

a) Thông tin và chi ti ết liên lạc của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba;

b) Chi ti ết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (nếu có) của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba;

c) Mô t ả và luận giải mục đích xử lý dữ liệu cá nhân, loại dữ liệu cá nhân xử lý, chi tiết các hoạt động xử lý dữ liệu cá nhân và sơ đồ luồng dữ liệu cá nhân;

d) Mô t ả và luận giải về việc thực hiện xin sự đồng ý của chủ thể dữ liệu cá nhân, chính sách lưu trữ, xóa, hủy dữ liệu cá nhân;

đ) Phương án b ảo đảm an toàn dữ liệu cá nhân, các biện pháp bảo vệ dữ liệu cá nhân, sơ đồ thiết kế hệ thống, tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng;

e) Kết qu ả đánh giá tuân thủ quy định về bảo vệ dữ liệu cá nhân;

g) Đánh giá m ức độ ảnh hưởng, rủi ro của hoạt động xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, rủi ro đó.

4. H ồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân và nộp 01 bản chính bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân kèm theo Mẫu số 02a/02b tại Phụ lục của Nghị định này trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.

5. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân đánh giá và trả kết quả đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 15 ngày.

6. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân đánh giá, yêu cầu bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời hạn 30 ngày đối với trường hợp hồ sơ chưa đầy đủ và đúng quy định. Trường hợp bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân không thực hiện hoàn thiện hồ sơ theo đúng quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét áp dụng các quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

7. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân cập nhật, bổ sung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định của Điều 20 Nghị định này.

Điều 20. Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

1. H ồ sơ chuyển dữ liệu cá nhân xuyên biên giới và hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ trong các trường hợp sau:

a) Khi phát sinh mục đích chuyển dữ liệu cá nhân mới, mục đích xử lý dữ liệu cá nhân mới;

b) Khi phát sinh ho ặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba.

2. Các trư ờng hợp thay đổi cần cập nhật ngay trong thời hạn 10 ngày bao gồm:

a) Khi cơ quan, t ổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;

b) Khi có s ự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;

c) Khi phát sinh ho ặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

3. Vi ệc cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện theo Mẫu số 03a/03b tại Phụ lục của Nghị định này, nộp bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Điều 21. Dịch vụ xử lý dữ liệu cá nhân

1. D ịch vụ cung cấp và vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát, bên kiểm soát và xử lý tiến hành xử lý dữ liệu cá nhân.

2. D ịch vụ chấm điểm, xếp hạng, đánh giá mức độ tín nhiệm của chủ thể dữ liệu cá nhân.

3. D ịch vụ thu thập, xử lý dữ liệu cá nhân trực tuyến từ trang web, ứng dụng, phần mềm và mạng xã hội.

4. D ịch vụ thu thập, xử lý dữ liệu cá nhân qua trang web, ứng dụng, phần mềm chăm sóc sức khỏe, theo dõi sức khỏe, dịch vụ y tế.

5. D ịch vụ thu thập, xử lý dữ liệu cá nhân qua ứng dụng, phần mềm giáo dục có yếu tố giám sát như điểm danh, ghi hình, chấm điểm hành vi, nhận diện cảm xúc.

6. D ịch vụ phân tích và khai thác dữ liệu cá nhân, gồm: sử dụng các công cụ phân tích để tìm kiếm thông tin, xu hướng và mẫu từ dữ liệu cá nhân; áp dụng các phương pháp khai thác dữ liệu để trích xuất giá trị từ dữ liệu cá nhân, dự đoán hành vi người dùng hoặc tối ưu hóa dịch vụ.

7. D ịch vụ mã hóa dữ liệu cá nhân trong quá trình truyền tải và lưu trữ.

8. D ịch vụ xử lý dữ liệu cá nhân tự động dựa trên công nghệ dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo.

9. D ịch vụ nền tảng ứng dụng cung cấp dữ liệu vị trí cá nhân.

Điều 22. Điều kiện của tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Là t ổ chức, doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam, đáp ứng các điều kiện quy định tại Điều này.

2. Điều kiện về nhân sự:

a) Ngư ời đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân của tổ chức là công dân Việt Nam, thường trú tại Việt Nam;

b) Có đ ội ngũ quản lý, điều hành đáp ứng được yêu cầu chuyên môn xử lý dữ liệu cá nhân;

c) Có t ối thiểu 03 nhân sự đủ điều kiện năng lực theo quy định tại khoản 2 Điều 13 Nghị định này.

3. Có h ạ tầng, hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với dịch vụ xử lý dữ liệu cá nhân.

4. Có k ết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong trường hợp có chuyển dữ liệu cá nhân xuyên biên giới.

Điều 23. Trách nhiệm của tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Tuân th ủ đầy đủ các quy định pháp luật về bảo vệ dữ liệu cá nhân; trách nhiệm, nghĩa vụ của bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân.

2. Xây d ựng khung quản trị rủi ro về bảo vệ dữ liệu cá nhân phù hợp với dịch vụ cung cấp.

3. Th ực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

4. Áp d ụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng.

5. Xây d ựng quy định về trách nhiệm và quyền hạn của tổ chức trong xử lý dữ liệu cá nhân.

6. B ảo đảm xử lý dữ liệu cá nhân đúng mục đích, giới hạn việc thu thập, chuyển giao, lưu trữ phù hợp và theo quy định pháp luật; ngăn chặn truy cập, thu thập, sử dụng, tiết lộ trái phép hoặc các rủi ro tương tự trong hoạt động xử lý dữ liệu cá nhân.

7. Trư ờng hợp là bên xử lý dữ liệu cá nhân, tổ chức yêu cầu bên kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu theo quy định trước khi cung cấp dịch vụ, bảo đảm chủ thể dữ liệu cá nhân được biết về loại dữ liệu cá nhân xử lý, mục đích xử lý và tổ chức cung cấp dịch vụ xử lý dữ liệu cá nhân.

8. T ổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân thực hiện việc xác thực danh tính tổ chức theo quy định pháp luật về định danh và xác thực điện tử.

Điều 24. Thẩm quyền cấp, cấp lại, cấp đổi, thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. B ộ Công an cấp, cấp lại, cấp đổi, thu hồi Giấy chứng nhận đủ điều kiện cung cấp dịch vụ xử lý dữ liệu cá nhân.

2. B ộ trưởng Bộ Công an giao trách nhiệm cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thực hiện việc cấp, cấp lại, cấp đổi, thu hồi Giấy chứng nhận đủ điều kiện cung cấp dịch vụ xử lý dữ liệu cá nhân theo quy định.

Điều 25. Hồ sơ, trình tự, thủ tục về việc cấp Chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. H ồ sơ đề nghị cấp Chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, gồm:

a) Đơn đ ề nghị cấp Chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo Mẫu số 04 tại Phụ lục của Nghị định này;

b) B ản sao Giấy chứng nhận đăng ký doanh nghiệp;

c) Văn b ản chỉ định bộ phận bảo vệ dữ liệu cá nhân hoặc hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhân theo quy định;

d) Đ ề án đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;

đ) B ằng cấp và các giấy tờ chứng minh khác của nhân sự quy định tại điểm c khoản 2 Điều 22 Nghị định này;

e) T ổ chức không phải nộp giấy tờ quy định tại điểm b khoản này trong trường hợp cơ quan nhà nước khai thác được trên cơ sở dữ liệu.

2. Đ ề án đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân bao gồm các nội dung:

a) S ự cần thiết, mục tiêu;

b) N ội dung, lĩnh vực đề nghị phê duyệt;

c) Ngành ngh ề, lĩnh vực kinh doanh, phương án kinh doanh;

d) Quy mô ho ạt động xử lý dữ liệu cá nhân dự kiến;

đ) Khung qu ản trị rủi ro về bảo vệ dữ liệu cá nhân;

e) K ế hoạch đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ;

g) Vi ệc áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân;

h) Phương án s ử dụng dịch vụ về định danh và xác thực điện tử;

i) Trách nhi ệm và quyền hạn của tổ chức trong xử lý dữ liệu cá nhân;

k) Nhân s ự đủ điều kiện theo quy định.

3. T ổ chức nộp 01 bộ hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân đánh giá hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 10 ngày. Trường hợp hồ sơ chưa đầy đủ và đúng quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thông báo bằng văn bản cho tổ chức đề nghị bổ sung, hoàn thiện hồ sơ trong thời hạn 15 ngày và nêu rõ lý do.

4. Trong th ời hạn 30 ngày kể từ ngày nhận đầy đủ hồ sơ hợp lệ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thẩm định, xem xét, quyết định cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo Mẫu số 05 tại Phụ lục của Nghị định này. Giấy chứng nhận đủ điều kiện cung cấp dịch vụ xử lý dữ liệu cá nhân là bản giấy, bản điện tử; bản giấy được cấp trong trường hợp nộp hồ sơ trực tiếp hoặc qua dịch vụ bưu chính hoặc theo yêu cầu khi nộp hồ sơ trực tuyến qua cổng dịch vụ công. Trường hợp không cấp, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thông báo bằng văn bản cho tổ chức và nêu rõ lý do.

Điều 26. Hồ sơ, trình tự, thủ tục về việc cấp lại, cấp đổi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. C ấp lại khi bị mất, bị hỏng bản giấy Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.

a) Trư ờng hợp tổ chức có nhu cầu cấp lại bản giấy thì gửi đơn đề nghị theo Mẫu số 05 tại Phụ lục của Nghị định này bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

b) Trong th ời hạn 05 ngày làm việc kể từ ngày nhận được đơn đề nghị theo quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét, cấp lại Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; trường hợp không cấp phải có thông báo bằng văn bản nêu rõ lý do.

2. C ấp đổi khi bị sai thông tin hoặc thay đổi nội dung Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.

a) H ồ sơ gồm: Đơn đề nghị theo Mẫu số 06 tại Phụ lục của Nghị định này; Giấy tờ, tài liệu chứng minh nội dung sai thông tin, thay đổi nội dung thông tin trên Giấy chứng nhận đã được cấp.

b) T ổ chức nộp 01 bộ hồ sơ nêu trên bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Trong thời hạn 05 ngày làm việc kể từ ngày nhận đủ hồ sơ quy định tại điểm a khoản này, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét, quyết định cấp đổi Chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; trường hợp không cấp phải có thông báo bằng văn bản nêu rõ lý do.

Điều 27. Thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Thu h ồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân trong các trường hợp sau:

a) Khi không b ảo đảm một trong các điều kiện tại khoản 1, khoản 2 Điều 26 Nghị định này;

b) Không kinh doanh d ịch vụ từ 12 tháng trở lên;

c) B ị giải thể hoặc phá sản theo quy định của pháp luật;

d) Không kh ắc phục vi phạm về bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng, an ninh dữ liệu theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Ch ủ động đề nghị xin đình chỉ hoặc chấm dứt hoạt động.

2. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân quyết định việc thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo Mẫu số 07 tại Phụ lục của Nghị định này.

3. T ổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân có trách nhiệm nộp lại Giấy chứng nhận đã được cấp cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 05 ngày làm việc kể từ khi nhận được quyết định thu hồi.

4. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân khi ban hành Quyết định việc thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân và thông báo trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Điều 28. Nội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

1. N ội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân, gồm:

a) Mô t ả tính chất của việc vi phạm quy định bảo vệ dữ liệu cá nhân, bao gồm: thời gian, địa điểm, hành vi, tổ chức, cá nhân, các loại dữ liệu cá nhân và số lượng dữ liệu liên quan;

b) Chi ti ết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;

c) Mô t ả các hậu quả, thiệt hại có thể xảy ra của việc vi phạm quy định bảo vệ dữ liệu cá nhân;

d) Mô t ả biện pháp được đưa ra để giải quyết, giảm thiểu tác hại của hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.

2. Bên ki ểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý bên thứ ba gửi thông báo vi phạm quy định về dữ liệu cá nhân đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 tại Phụ lục của Nghị định này.

Điều 29. Thông báo vi phạm đối với dữ liệu vị trí cá nhân và dữ liệu sinh trắc học

1. Khi x ảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm:

a) Thông báo cho ch ủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm;

b) Báo cáo cho cơ quan nhà nư ớc có thẩm quyền theo quy định tại Điều 28 Nghị định này;

c) Ghi nh ận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý. Tổ chức phải lưu hồ sơ vi phạm trong thời gian tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.

2. Thông báo cho ch ủ thể dữ liệu theo điểm a khoản 1 Điều này phải bao gồm tối thiểu các nội dung sau:

a) Th ời điểm và hình thức phát hiện vi phạm;

b) Lo ại dữ liệu bị ảnh hưởng (vị trí, sinh trắc học hoặc cả hai);

c) M ức độ nghiêm trọng và các rủi ro có thể xảy ra đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu;

d) Bi ện pháp đã, đang và sẽ được thực hiện để khắc phục sự cố và giảm thiểu thiệt hại;

đ) Hư ớng dẫn chủ thể dữ liệu thực hiện các biện pháp phòng ngừa, ngăn chặn tiếp theo;

e) Thông tin liên h ệ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; bộ phận tiếp nhận, xử lý sự cố dữ liệu cá nhân tại tổ chức.

3. Trư ờng hợp tổ chức, cá nhân không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời hạn nêu tại khoản 1 Điều này vì lý do kỹ thuật hoặc khẩn cấp, phải thực hiện:

a) Thông báo công khai b ằng phương tiện điện tử chính thức của tổ chức qua trang thông tin điện tử, ứng dụng;

b) G ửi thông báo cho chủ thể dữ liệu cá nhân liên quan ngay khi điều kiện kỹ thuật cho phép.

4. Trư ờng hợp tổ chức, cá nhân không thực hiện thông báo đúng hạn hoặc cố tình trì hoãn, né tránh nghĩa vụ thông báo sẽ bị xem xét xử lý vi phạm theo quy định của pháp luật.

Chương IV

THỰC THI CÔNG TÁC BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 30. Trách nhiệm thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân

1. Cơ quan chuyên trách v ề bảo vệ dữ liệu cá nhân có trách nhiệm giúp Bộ Công an thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân.

2. B ộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân đối với các ngành, lĩnh vực thuộc phạm vi quản lý theo quy định của pháp luật và chức năng, nhiệm vụ được giao.

3. Ủy ban nhân dân cấp tỉnh thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân theo quy định của pháp luật và chức năng, nhiệm vụ được giao.

Điều 31. Kiểm tra hoạt động bảo vệ dữ liệu cá nhân

1. Ki ểm tra hoạt động bảo vệ dữ liệu cá nhân được tiến hành thường xuyên, đột xuất, trong trường hợp sau đây:

a) Khi có căn c ứ nghi vấn về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;

b) Khi có ch ỉ đạo của cơ quan, người có thẩm quyền quản lý nhà nước về bảo vệ dữ liệu cá nhân;

c) Th ực hiện công tác quản lý nhà nước theo quy định của pháp luật.

2. Đ ối tượng kiểm tra hoạt động bảo vệ dữ liệu cá nhân bao gồm:

a) Cơ quan, t ổ chức, cá nhân có hoạt động xử lý dữ liệu cá nhân;

b) T ổ chức, cá nhân kinh doanh dịch vụ xử lý dữ liệu cá nhân;

c) Cơ quan, t ổ chức, cá nhân phải thực hiện hoạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;

d) Cơ quan, t ổ chức, cá nhân có liên quan đến các vụ, việc vi phạm quy định về bảo vệ dữ liệu cá nhân.

3. N ội dung kiểm tra công tác bảo vệ dữ liệu cá nhân:

a) Hi ện trạng tuân thủ công tác bảo vệ dữ liệu cá nhân;

b) Ho ạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;

c) Ho ạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân.

4. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân ban hành quyết định kiểm tra và thông báo cho đối tượng kiểm tra quy định tại khoản 2 Điều này trước 15 ngày về thời gian, nội dung và thành phần đoàn kiểm tra. Trường hợp kiểm tra đột xuất để kịp thời xác minh, phát hiện, ngăn chặn hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền tiến hành kiểm tra ngay mà không cần thông báo trước.

5. Đ ối tượng kiểm tra phải chuẩn bị đầy đủ các nội dung kiểm tra phù hợp theo quy định tại khoản 3 Điều này và theo yêu cầu cụ thể tại quyết định kiểm tra do cơ quan chuyên trách về bảo vệ dữ liệu cá nhân ban hành.

Điều 32. Nghiên cứu, phát triển các giải pháp bảo vệ dữ liệu cá nhân

Cơ quan, t ổ chức, doanh nghiệp và cá nhân tham gia nghiên cứu, phát triển, ứng dụng các giải pháp bảo vệ dữ liệu cá nhân, bao gồm:

1. Xây d ựng hệ thống phần mềm, trang thiết bị bảo vệ dữ liệu cá nhân;

2. Phương pháp th ẩm định phần mềm, trang thiết bị bảo vệ dữ liệu cá nhân đạt chuẩn;

3. Phương pháp ki ểm tra phần cứng, phần mềm được cung cấp thực hiện đúng chức năng;

4. Ghi nh ận và quản lý sự tuân thủ quy định về bảo vệ dữ liệu cá nhân;

5. Gi ải quyết nguy cơ lộ, mất dữ liệu cá nhân;

6. Sáng ki ến kỹ thuật nâng cao nhận thức, kỹ năng về bảo vệ dữ liệu cá nhân;

7. X ử lý dữ liệu cá nhân phục vụ công tác thống kê, khoa học;

8. Gi ải pháp cho chủ thể dữ liệu cá nhân kiểm soát dữ liệu cá nhân của mình, cung cấp và chia sẻ dữ liệu theo cơ chế tiết lộ có chọn lọc, ứng dụng công nghệ cao, công nghệ chiến lược phù hợp với các tiêu chuẩn, quy chuẩn quốc tế;

9. Tiêu chu ẩn bảo vệ dữ liệu cá nhân;

10. Các gi ải pháp bảo vệ dữ liệu cá nhân khác phù hợp với quy định pháp luật.

Điều 33. Nội dung quản lý nhà nước về bảo vệ dữ liệu cá nhân

1. Ban hành theo th ẩm quyền hoặc trình cơ quan nhà nước có thẩm quyền ban hành văn bản quy phạm pháp luật về bảo vệ dữ liệu cá nhân; tổ chức thực hiện pháp luật về bảo vệ dữ liệu cá nhân.

2. Xây d ựng và tổ chức thực hiện chiến lược, chính sách, đề án, dự án, chương trình, kế hoạch về bảo vệ dữ liệu cá nhân.

3. Hư ớng dẫn cơ quan, tổ chức, cá nhân về biện pháp, quy trình, tiêu chuẩn, quy chuẩn bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

4. Tuyên truy ền, giáo dục pháp luật về bảo vệ dữ liệu cá nhân; truyền thông, phổ biến kiến thức, kỹ năng bảo vệ dữ liệu cá nhân.

5. Xây d ựng, đào tạo, bồi dưỡng, phát triển nguồn nhân lực về bảo vệ dữ liệu cá nhân.

6. Thanh tra, ki ểm tra, khen thưởng, giải quyết khiếu nại, tố cáo và xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

7. Th ống kê, thông tin, báo cáo về tình hình bảo vệ dữ liệu cá nhân và việc thực hiện pháp luật về bảo vệ dữ liệu cá nhân cho cơ quan nhà nước có thẩm quyền.

8. T ổ chức sơ kết, tổng kết, nghiên cứu khoa học về bảo vệ dữ liệu cá nhân; nghiên cứu, ứng dụng tiến bộ khoa học và công nghệ về bảo vệ dữ liệu cá nhân.

9. H ợp tác quốc tế về bảo vệ dữ liệu cá nhân.

Điều 34. Trách nhiệm của Bộ Công an

1. Giúp Chính ph ủ thống nhất thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân.

2. Ch ủ trì xây dựng, ban hành hoặc trình cơ quan nhà nước có thẩm quyền ban hành và hướng dẫn thi hành văn bản quy phạm pháp luật hướng dẫn thực hiện các quy định pháp luật về bảo vệ dữ liệu cá nhân.

3. Hư ớng dẫn, triển khai hoạt động bảo vệ dữ liệu cá nhân, bảo vệ quyền của chủ thể dữ liệu trước các hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân.

4. Ch ủ trì, phối hợp với Bộ Khoa học và Công nghệ xây dựng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân được ban hành và áp dụng tại Việt Nam.

5. Xây d ựng, quản lý, vận hành cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

6. Tri ển khai tuyên truyền, phổ biến, giáo dục pháp luật và hướng dẫn, bồi dưỡng kiến thức, kỹ năng về bảo vệ dữ liệu cá nhân cho lực lượng bảo vệ dữ liệu cá nhân.

7. Đánh giá, sơ k ết, tổng kết kết quả công tác bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.

8. Thúc đ ẩy nghiên cứu khoa học về bảo vệ dữ liệu cá nhân; nghiên cứu, ứng dụng tiến bộ khoa học và công nghệ về bảo vệ dữ liệu cá nhân để đổi mới trong lĩnh vực bảo vệ dữ liệu cá nhân.

9. Tri ển khai các hoạt động hợp tác quốc tế về bảo vệ dữ liệu cá nhân.

Điều 35. Trách nhiệm của Bộ Quốc phòng

1. Ph ối hợp với Bộ Công an, các cơ quan, tổ chức có liên quan bố trí lực lượng, phương tiện để bảo vệ dữ liệu cá nhân, phát hiện, ngăn chặn các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân thuộc phạm vi quản lý.

2. Trong ph ạm vi chức năng, nhiệm vụ được giao, chủ trì, phối hợp với Bộ Công an thực hiện đánh giá kết quả công tác bảo vệ dữ liệu cá nhân đối với các cơ quan, tổ chức, cá nhân thuộc phạm vi quản lý; thúc đẩy áp dụng các biện pháp bảo vệ dữ liệu cá nhân; nghiên cứu, ứng dụng các công nghệ bảo mật tiên tiến trong xử lý và bảo vệ dữ liệu cá nhân phục vụ hoạt động quốc phòng; thực hiện hợp tác quốc tế về bảo vệ dữ liệu cá nhân thuộc phạm vi quản lý theo quy định của pháp luật.

3. T ổ chức tuyên truyền, phổ biến, giáo dục pháp luật và kiến thức, kỹ năng bảo vệ dữ liệu cá nhân cho sĩ quan, quân nhân chuyên nghiệp, cán bộ, công chức, viên chức thuộc phạm vi quản lý.

4. Thanh tra, ki ểm tra, giám sát, xử lý vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các cơ quan, tổ chức, cá nhân thuộc phạm vi quản lý của Bộ Quốc phòng theo quy định pháp luật và chức năng, nhiệm vụ được giao.

Điều 36. Trách nhiệm của Bộ Khoa học và Công nghệ

1. Ph ối hợp với Bộ Công an trong xây dựng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân được ban hành và áp dụng tại Việt Nam.

2. Ph ối hợp với Bộ Công an và các cơ quan có liên quan trong việc nghiên cứu, phát triển, làm chủ, ứng dụng các biện pháp bảo vệ dữ liệu cá nhân áp dụng các công nghệ tiên tiến, công nghệ cao, công nghệ chiến lược, hình thành các giải pháp, sản phẩm, dịch vụ bảo vệ dữ liệu cá nhân trong quá trình phát triển chính phủ số, kinh tế số, xã hội số thông qua các chương trình khoa học và công nghệ.

Điều 37. Trách nhiệm của bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ

1. Th ực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân đối với các ngành, lĩnh vực thuộc phạm vi quản lý theo quy định của pháp luật.

2. Xây d ựng và triển khai các nội dung, nhiệm vụ bảo vệ dữ liệu cá nhân tại Nghị định này.

3. B ổ sung các quy định bảo vệ dữ liệu cá nhân trong xây dựng, triển khai các nhiệm vụ của các bộ, ngành.

4. B ố trí nhân sự và bộ phận bảo vệ dữ liệu cá nhân tại các đơn vị thuộc phạm vi quản lý; bảo đảm đáp ứng năng lực, phù hợp với vị trí việc làm và yêu cầu chuyên môn về bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

5. B ố trí kinh phí phục vụ hoạt động bảo vệ dữ liệu cá nhân theo phân cấp quản lý ngân sách hiện hành.

6. T ổ chức tuyên truyền, phổ biến pháp luật, bồi dưỡng chuyên môn, kỹ năng cho cán bộ, công chức, viên chức và các đơn vị thuộc phạm vi quản lý về bảo vệ dữ liệu cá nhân.

7. Ph ối hợp với Bộ Công an trong công tác thanh tra, kiểm tra, giám sát, xử lý vi phạm quy định về bảo vệ dữ liệu cá nhân thuộc phạm vi quản lý.

8. Ph ối hợp với Bộ Công an, Bộ Khoa học và Công nghệ trong việc xây dựng hướng dẫn và triển khai áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân cho các đơn vị, tổ chức, cá nhân thuộc phạm vi quản lý.

Điều 38. Trách nhiệm của Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương

1. Th ực hiện quản lý nhà nước đối với bảo vệ dữ liệu cá nhân đối với các ngành, lĩnh vực quản lý theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

2. Tri ển khai các quy định về bảo vệ dữ liệu cá nhân tại Nghị định này.

3. B ố trí nhân sự và bộ phận bảo vệ dữ liệu cá nhân tại các đơn vị thuộc phạm vi quản lý; bảo đảm đáp ứng điều kiện năng lực, phù hợp với vị trí việc làm và yêu cầu chuyên môn về bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

4. B ố trí kinh phí phục vụ hoạt động bảo vệ dữ liệu cá nhân theo phân cấp quản lý ngân sách hiện hành.

5. T ổ chức tuyên truyền, phổ biến pháp luật và kiến thức, kỹ năng bảo vệ dữ liệu cá nhân cho cán bộ, công chức, viên chức, người dân và doanh nghiệp trên địa bàn.

6. T ổ chức bồi dưỡng nâng cao năng lực cho đội ngũ làm công tác bảo vệ dữ liệu cá nhân tại các cấp hành chính; lồng ghép nội dung bảo vệ dữ liệu cá nhân trong các chương trình cải cách hành chính và chuyển đổi số.

7. Xây d ựng hệ thống thống kê, tổng hợp và báo cáo định kỳ về tình hình bảo vệ dữ liệu cá nhân tại địa phương gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo quy định.

Điều 39. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân và Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân

1. Cơ quan chuyên trách b ảo vệ dữ liệu cá nhân là đơn vị trực thuộc Bộ Công an, có trách nhiệm giúp Bộ trưởng Bộ Công an thực hiện chức năng quản lý nhà nước về bảo vệ dữ liệu cá nhân.

2. C ổng thông tin quốc gia về bảo vệ dữ liệu cá nhân là nơi cung cấp thông tin tuyên truyền chủ trương, đường lối, chính sách của Đảng, pháp luật của Nhà nước về bảo vệ dữ liệu cá nhân; hỗ trợ hướng dẫn, nâng cao nhận thức, kỹ năng bảo vệ dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân; tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan; thực hiện hoạt động khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

Điều 40. Kinh phí bảo đảm hoạt động bảo vệ dữ liệu cá nhân

1. Kinh phí th ực hiện bảo vệ dữ liệu cá nhân bao gồm ngân sách nhà nước; ủng hộ của cơ quan, tổ chức, cá nhân trong và ngoài nước; nguồn thu từ hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân; viện trợ quốc tế và các nguồn thu hợp pháp khác.

2. Kinh phí b ảo vệ dữ liệu cá nhân của cơ quan nhà nước do ngân sách nhà nước bảo đảm, được bố trí trong dự toán ngân sách nhà nước hằng năm. Việc quản lý, sử dụng kinh phí từ ngân sách nhà nước được thực hiện theo quy định của pháp luật về ngân sách nhà nước.

3. Kinh phí b ảo vệ dữ liệu cá nhân của tổ chức, doanh nghiệp do các tổ chức, doanh nghiệp tự bố trí và thực hiện theo quy định.

Chương V

TỔ CHỨC THỰC HIỆN

Điều 41. Quy định về việc áp dụng khoản 2, khoản 3 của Điều 38 Luật Bảo vệ dữ liệu cá nhân📌

3. Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Xem nội dung VB

1. Doanh nghi ệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân📌

1. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.

2. Đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và được cập nhật theo quy định tại Điều 22 của Luật này.

3. Bên xử lý dữ liệu cá nhân lập và lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo thỏa thuận với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.

4. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân đánh giá, yêu cầu bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp hồ sơ chưa đầy đủ và đúng quy định.

5. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân cập nhật, bổ sung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi có sự thay đổi về nội dung hồ sơ đã gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

6. Cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động xử lý dữ liệu cá nhân quy định tại Điều này.

7. Chính phủ quy định thành phần hồ sơ, điều kiện, trình tự, thủ tục đánh giá tác động xử lý dữ liệu cá nhân.

Điều 22. Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

1. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được cập nhật định kỳ 06 tháng khi có sự thay đổi hoặc cập nhật ngay trong các trường hợp quy định tại khoản 2 Điều này.

2. Các trường hợp thay đổi cần cập nhật ngay bao gồm:

a) Khi cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;

b) Khi có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;

c) Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

3. Việc cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

4. Chính phủ quy định chi tiết Điều này. …

Điều 33. Lực lượng bảo vệ dữ liệu cá nhân … 2. Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Xem nội dung VB trong thời gian 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

2. H ộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân📌

1. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.

2. Đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và được cập nhật theo quy định tại Điều 22 của Luật này.

3. Bên xử lý dữ liệu cá nhân lập và lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo thỏa thuận với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.

4. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân đánh giá, yêu cầu bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp hồ sơ chưa đầy đủ và đúng quy định.

5. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân cập nhật, bổ sung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi có sự thay đổi về nội dung hồ sơ đã gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

6. Cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động xử lý dữ liệu cá nhân quy định tại Điều này.

7. Chính phủ quy định thành phần hồ sơ, điều kiện, trình tự, thủ tục đánh giá tác động xử lý dữ liệu cá nhân.

Điều 22. Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

1. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được cập nhật định kỳ 06 tháng khi có sự thay đổi hoặc cập nhật ngay trong các trường hợp quy định tại khoản 2 Điều này.

2. Các trường hợp thay đổi cần cập nhật ngay bao gồm:

a) Khi cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;

b) Khi có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;

c) Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

3. Việc cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

4. Chính phủ quy định chi tiết Điều này. …

Điều 33. Lực lượng bảo vệ dữ liệu cá nhân … 2. Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Xem nội dung VB, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

Điều 42. Hiệu lực và trách nhiệm thi hành

1. Nghị định này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026.

2. Ngh ị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành.

3. S ửa đổi khoản 2 Điều 16 của Nghị định số 165/2025/NĐ-CP📌

Trường hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới và quản lý, bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân thực hiện theo quy định của Điều 12 và khoản 11 Điều 17 Nghị định này; không phải đánh giá tác động theo pháp luật về bảo vệ dữ liệu cá nhân.

Xem nội dung VB ngày 30 tháng 6 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Dữ liệu như sau:

“2. Vi ệc bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân thực hiện theo quy định của Luật Bảo vệ dữ liệu cá nhân và văn bản quy định chi tiết thi hành.

Trư ờng hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới là dữ liệu cá nhân, chủ quản dữ liệu cốt lõi, dữ liệu quan trọng thực hiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định của pháp luật về bảo vệ dữ liệu cá nhân; không phải thực hiện đánh giá rủi ro, đánh giá tác động chuyên, xử lý dữ liệu xuyên biên giới theo quy định của Nghị định này.”

4. B ộ Công an chịu trách nhiệm hướng dẫn, kiểm tra, đôn đốc việc thực hiện Nghị định này.

5. B ộ trưởng các bộ, Thủ trưởng cơ quan ngang bộ, cơ quan thuộc Chính phủ, Chủ tịch Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương và các cơ quan, tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Nghị định này.

 

 

PHỤ LỤC

DANH MỤC HỒ SƠ VÀ BIỂU MẪU (Kèm theo Ngh ị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ)

 

Mẫu số 01a

 

THÔNG BÁO GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU CÁ NHÂN XUYÊN BIÊN GIỚI

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an.

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, ………………………¹ xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, như sau:

1. Thông tin v ề tổ chức, doanh nghiệp

– Tên giao d ịch tiếng Việt – Tên viết tắt tiếng Việt: ……………………………………………..

– Tên giao d ịch tiếng Anh – Tên viết tắt tiếng Anh: ……………………………………………..

– Đ ịa chỉ trụ sở chính: ……………………………………………………………………………………

– Đ ịa chỉ trụ sở giao dịch: ………………………………………………………………………………

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: …… do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế: ……………………………………………………………..

– Đi ện thoại: …………………………… Website: ………………………………………………………

– B ộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân của bên chuyển dữ liệu cá nhân: ……………………………………….

H ọ và tên: ……………………………………………………………………………………………………..

Ch ức vụ: ……………………………………………………………………………………………………….

S ố điện thoại liên lạc (cố định và di động): ………………………………………………………..

Email: …………………………………………………………………………………………………………..

2. H ồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (bao gồm các hồ sơ theo mẫu, tài liệu, văn bản, hình ảnh kèm theo)

a) ……………………………………………………………………………………………………….

b) ……………………………………………………………………………………………………….

3. Cam k ết

………………..² xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên t ổ chức, doanh nghiệp.

² Tên t ổ chức, doanh nghiệp.

 

Mẫu số 01b

 

THÔNG BÁO GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU CÁ NHÂN XUYÊN BIÊN GIỚI

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an.

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, Tôi xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, như sau:

1. Thông tin v ề người nộp hồ sơ

– Tên cá nhân: …………………………………………………………………………………………….

– Đ ịa chỉ: …………………………………………………………………………………………………….

S ố CMTND/Thẻ căn cước công dân/Hộ chiếu…………………………………………………

c ấp ngày ………/……../………….. tại…………………………………………………………………

– S ố điện thoại:…………………………………………………………………………………………..

– Email:……………………………………………………………………………………………………..

– Đơn v ị công tác (nếu có):…………………………………………………………………………..

2. H ồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (bao gồm các hồ sơ theo mẫu, tài liệu, văn bản, hình ảnh kèm theo)

a) …………………………………………………………………………………………………………………….

b) ……………………………………………………………………………………………………………………..

3. Cam k ết

Tôi xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của nội dung thay đổi cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

Mẫu số 02a

 

THÔNG BÁO GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, …………………..¹ xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề tổ chức, doanh nghiệp

– Tên t ổ chức, doanh nghiệp (tiếng Việt – tiếng nước ngoài):…………………………….

– Đ ịa chỉ trụ sở chính:……………………………………………………………………………………….

– Đ ịa chỉ trụ sở giao dịch:…………………………………………………………………………………..

– Lo ại hình doanh nghiệp (trong nước/ngoài nước):………………………………………………

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: ……. do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế:……………………………………………………………………………………………….

– Ngư ời đại diện theo pháp luật:…………………………………………………………………….

– Đi ện thoại: …………………………. Website:……………………………………………………….

– B ộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân:………………………………………………………………………………………..

H ọ và tên:…………………………………………………………………………………………………….

Ch ức vụ:……………………………………………………………………………………………………..

S ố điện thoại liên lạc (cố định và di động):……………………………………………………….

Email:…………………………………………………………………………………………………………..

2. H ồ sơ đánh giá tác động xử lý dữ liệu cá nhân (bao gồm các hồ sơ theo mẫu, tài liệu, văn bản, hình ảnh kèm theo)

a) ………………………………………………………………………………………………………….

b) ………………………………………………………………………………………………………….

3. Cam k ết

……………………² xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên t ổ chức, doanh nghiệp.

² Tên t ổ chức, doanh nghiệp.

 

Mẫu số 02b

 

THÔNG BÁO GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an.

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, Tôi xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề người nộp hồ sơ

– Tên cá nhân: …………………………………………………………………………….

– Đ ịa chỉ: …………………………………………………………………………………….

S ố CMTND/Thẻ căn cước công dân/Hộ chiếu…………………………………………………………

c ấp ngày ………/………/…………….. tại……………………………………………………………………..

– S ố điện thoại:…………………………………………………………………………………………………..

– Email:…………………………………………………………………………………………………………….

– Đơn v ị công tác (nếu có):…………………………………………………………………………………..

2. H ồ sơ đánh giá tác động xử lý dữ liệu cá nhân (bao gồm các hồ sơ theo mẫu, tài liệu, văn bản, hình ảnh kèm theo)

a) ……………………………………………………………………………………………………………

b) ……………………………………………………………………………………………………………

3. Cam k ết

Tôi xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của nội dung thay đổi cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

Mẫu số 03a

 

THÔNG BÁO THAY ĐỔI NỘI DUNG HỒ SƠ ……..¹

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an.

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, ………………..² xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề tổ chức, doanh nghiệp

– Tên t ổ chức, doanh nghiệp:………………………………………………………………….

– Đ ịa chỉ trụ sở chính:…………………………………………………………………………….

– Đ ịa chỉ trụ sở giao dịch:……………………………………………………………………….

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: ……… do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế: ………………………………………………………………….

– Đi ện thoại: ………………………………… Website……………………………………………………

– Nhân s ự chịu trách nhiệm bảo vệ dữ liệu cá nhân:…………………………………………….

H ọ và tên:……………………………………………………………………………………………………….

Ch ức danh:………………………………………………………………………………………………………

S ố điện thoại liên lạc (cố định và di động):……………………………………………………………

Email:……………………………………………………………………………………………………………..

2. Mô t ả tóm tắt thay đổi nội dung hồ sơ

– N ội dung thay đổi:………………………………………………………………………………………….

– Lý do thay đ ổi:……………………………………………………………………………………………….

3. Tài li ệu kèm theo

a) ………………………………………………………………………………………………………………

b) ………………………………………………………………………………………………………………

4. Cam k ết

……………………..³ xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của nội dung thay đổi cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

^{_____________________________}

¹ Tên h ồ sơ: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hoặc Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.

² Tên t ổ chức, doanh nghiệp.

³ Tên t ổ chức, doanh nghiệp.

 

Mẫu số 03b

C ỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc —————

….., ngày … tháng … năm ….

THÔNG BÁO THAY ĐỔI NỘI DUNG HỒ SƠ……..¹

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, Tôi xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề người gửi hồ sơ

– Tên cá nhân:…………………………………………………………………………………………….

– Đ ịa chỉ:…………………………………………………………………………………………………

S ố CMTND/Thẻ căn cước công dân/Hộ chiếu……………………………………………. cấp ngày …../…../….. tại ……………………………………………………………………………………………

– S ố điện thoại:…………………………………………………………………………………………….

– Email:……………………………………………………………………………………………………….

– Đơn v ị công tác (nếu có):…………………………………………………………………………….

2. Mô t ả tóm tắt thay đổi nội dung hồ sơ

– N ội dung thay đổi:………………………………………………………………………………………..

– Lý do thay đ ổi:……………………………………………………………………………………………..

3. Tài li ệu kèm theo

a) …………………………………………………………………………………………………………………

b) …………………………………………………………………………………………………………………

4. Cam k ết

Tôi xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của nội dung thay đổi cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên h ồ sơ: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hoặc Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

 

Mẫu số 04

 

ĐƠN ĐỀ NGHỊ CẤP GIẤY CHỨNG NHẬN ĐỦ ĐIỀU KIỆN KINH DOANH DỊCH VỤ XỬ LÝ DỮ LIỆU CÁ NHÂN

Kính g ửi: Bộ Công an.

Căn c ứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân…………………¹ xin gửi Bộ Công an đơn đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề tổ chức đề nghị cấp Giấy chứng nhận

– Tên giao d ịch tiếng Việt – Tên viết tắt tiếng Việt:………………………………………………

– Tên giao d ịch tiếng Anh – Tên viết tắt tiếng Anh:………………………………………………

– Đ ịa chỉ trụ sở chính:…………………………………………………………………………………….

– Đ ịa chỉ trụ sở giao dịch:……………………………………………………………………………….

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: …… do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế:………………………………………………………………….

– Đi ện thoại: ……………………………………. Fax:…………………………………………………..

– Website: ……………………………………………….. Email:………………………………………..

– Tên và đ ịa chỉ liên hệ của người đại diện theo pháp luật:

……………………………………………………………………………………………………………………

– Nhân s ự chịu trách nhiệm bảo vệ dữ liệu cá nhân:…………………………………………..

(1) H ọ và tên:……………………………………………………………………………………………….

Ch ức danh:…………………………………………………………………………………………………

S ố điện thoại liên lạc:……………………………………………………………………………………

Email:…………………………………………………………………………………………………………

(2) H ọ và tên:……………………………………………………………………………………………….

Ch ức danh:…………………………………………………………………………………………………

S ố điện thoại liên lạc:…………………………………………………………………………………..

Email:…………………………………………………………………………………………………………

(3) H ọ và tên:………………………………………………………………………………………………

Ch ức danh:…………………………………………………………………………………………………

S ố điện thoại liên lạc:……………………………………………………………………………………

Email:……………………………………………………………………………………………………..

2. Danh mục các dịch vụ xử lý dữ liệu cá nhân xin cấp Giấy chứng nhận

3. Hồ sơ đề nghị cấp Giấy chứng nhận

4. Cam kết

………………………² xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của đơn đề nghị cùng các tài liệu kèm theo và cam kết thực hiện đúng các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên t ổ chức, doanh nghiệp.

² Tên t ổ chức, doanh nghiệp.

 

Mẫu số 05

 

GIẤY CHỨNG NHẬN ĐỦ ĐIỀU KIỆN KINH DOANH DỊCH VỤ XỬ LÝ DỮ LIỆU CÁ NHÂN …………………………….

Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Căn cứ Nghị định số 02/2025/NĐ-CP ngày 18 tháng 02 năm 2025 của Chính phủ quy định về chức năng, nhiệm vụ, quyền hạn và tổ chức bộ máy của Bộ Công an;

Xét hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân ngày… tháng… năm … của……………………⁽¹⁾ ;

Theo đề nghị của……………………………………………………………………………………

CHỨNG NHẬN

Điều 1. …………………………⁽¹⁾ đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân có thông tin như sau:

1. Tên giao d ịch của doanh nghiệp bằng tiếng Việt hoặc tiếng nước ngoài:

…………………………………………………………………………………………………………………………..

2. H ọ và tên người đại diện theo pháp luật……………………………………………………………….

3. Gi ấy phép đăng ký doanh nghiệp/quyết định thành lập số:……………………………………… cấp ngày… tháng… năm…….; cơ quan cấp:………………………………………..

4. Mã s ố thuế:…………………………………………………………………………………………………………

5. Đ ịa chỉ trụ sở chính tại Việt Nam:…………………………………………………………………………..

6. S ố điện thoại:………………………………………………………………………………………………………

7. E-mail:………………………………………………………………………………………………………………..

Điều 2. ………………………⁽¹⁾phải thực hiện đúng các quy định tại Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân và các quy định khác của pháp luật có liên quan.

Điều 3. Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân này có hiệu lực kể từ ngày ký.

 

 

⁽¹⁾ Tên t ổ chức đề nghị.

 

Mẫu số 06

 

ĐƠN ĐỀ NGHỊ CẤP LẠI/CẤP ĐỔI GIẤY CHỨNG NHẬN ĐỦ ĐIỀU KIỆN KINH DOANH DỊCH VỤ XỬ LÝ DỮ LIỆU CÁ NHÂN

Kính g ửi: Bộ Công an.

Căn c ứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Căn c ứ Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân số ………………. ngày …./…./…… của Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

…………………..¹ xin g ửi Bộ Công an đơn đề nghị cấp lại/cấp đổi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, như sau:

1. Thông tin v ề tổ chức đề nghị cấp Giấy chứng nhận

– Tên giao d ịch tiếng Việt – Tên viết tắt tiếng Việt:…………………………………………….

– Tên giao d ịch tiếng Anh – Tên viết tắt tiếng Anh:…………………………………………….

– Đ ịa chỉ trụ sở chính:……………………………………………………………………………………

– Đ ịa chỉ trụ sở giao dịch:……………………………………………………………………………….

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: …….. do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế:…………………………………………………………………………….

– Đi ện thoại: ……………………….. Fax: …………………………………………………………….

– Website: …………………………………………….. Email: ……………………………………………

– Tên và đ ịa chỉ liên hệ của người đại diện theo pháp luật:

………………………………………………………………………………………………………………………

– Nhân s ự chịu trách nhiệm bảo vệ dữ liệu cá nhân:……………………………………………..

(1) H ọ và tên:…………………………………………………………………………………………………..

Ch ức danh:…………………………………………………………………………………………………….

S ố điện thoại liên lạc:……………………………………………………………………………………….

Email:…………………………………………………………………………………………………………….

(2) H ọ và tên:………………………………………………………………………………………………….

Ch ức danh:…………………………………………………………………………………………………….

S ố điện thoại liên lạc:………………………………………………………………………………………

Email:…………………………………………………………………………………………………………….

(3) H ọ và tên:………………………………………………………………………………………………….

Ch ức danh:…………………………………………………………………………………………………….

S ố điện thoại liên lạc:……………………………………………………………………………………….

Email:…………………………………………………………………………………………………………….

2. N ội dung cấp lại/thay đổi

– Lý do c ấp lại/thay đổi Giấy chứng nhận:

……………………………………………………………………………………………………………………..

– N ội dung thay đổi Giấy chứng nhận:

……………………………………………………………………………………………………………………..

3. Gi ấy tờ và tài liệu kèm theo

a) ………………………………………………………………………………………………………………….

b) ………………………………………………………………………………………………………………….

4. Cam k ết

……………………² xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của đơn đề nghị cùng các tài liệu kèm theo và cam kết tuân thủ các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên t ổ chức, doanh nghiệp.

² Tên t ổ chức, doanh nghiệp.

 

Mẫu số 07

 

QUYẾT ĐỊNH

Về việc thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

………………………………………..

Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Căn cứ Nghị định số 02/2025/NĐ-CP ngày 18 tháng 02 năm 2025 của Chính phủ quy định về chức năng, nhiệm vụ, quyền hạn và tổ chức bộ máy của Bộ Công an;

Theo đề nghị của……………………………………………………………………………………….

QUYẾT ĐỊNH:

Điều 1. Thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân có thông tin như sau:

1. S ố Giấy chứng nhận: ……………… cấp ngày…. tháng…. năm…………..

2. Tên t ổ chức:…………………………………………………………………………………………….

3. H ọ và tên người đại diện theo pháp luật………………………………………………………

4. Mã s ố thuế:………………………………………………………………………………………….

5. Đ ịa chỉ trụ sở chính tại Việt Nam:…………………………………………………………….

Điều 2. Quyết định này có hiệu lực thi hành kể từ ngày ký.

Điều 3. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao và tổ chức có tên tại Điều 1 chịu trách nhiệm thi hành Quyết định này.

 

 

Mẫu số 08

 

THÔNG BÁO VI PHẠM QUY ĐỊNH BẢO VỆ DỮ LIỆU CÁ NHÂN

Kính g ửi: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an.

Th ực hiện quy định về bảo vệ dữ liệu cá nhân, …………………..¹ xin gửi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân, Bộ Công an thông báo vi phạm quy định bảo vệ dữ liệu cá nhân, như sau:

1. Thông tin v ề tổ chức, doanh nghiệp

– Tên t ổ chức, doanh nghiệp:………………………………………………………………………..

– Đ ịa chỉ trụ sở chính:…………………………………………………………………………………..

– Đ ịa chỉ trụ sở giao dịch:………………………………………………………………………………

– Quy ết định thành lập/Giấy chứng nhận đăng ký doanh nghiệp/Giấy chứng nhận đăng ký kinh doanh/Giấy chứng nhận đầu tư số: …… do …. cấp ngày … tháng … năm … tại …

– Mã s ố thuế:……………………………………………………………….

– Đi ện thoại: ……………………… Website:………………………………………………………

– Nhân s ự chịu trách nhiệm bảo vệ dữ liệu cá nhân:

H ọ và tên:………………………………………………………………………………………………….

Ch ức danh:………………………………………………………………………………………………..

S ố điện thoại liên lạc:…………………………………………………………………………………..

Email:………………………………………………………………………………………………………..

2. Mô t ả hành vi vi phạm quy định bảo vệ dữ liệu cá nhân

– Th ời gian:…………………………………………………………………………………………………

– Đ ịa điểm:………………………………………………………………………………………………….

– Hành vi:……………………………………………………………………………………………………

– T ổ chức, cá nhân liên quan:………………………………………………………………………..

– Các lo ại dữ liệu cá nhân và số lượng dữ liệu liên quan:………………………………….

– Nhân s ự chịu trách nhiệm bảo vệ dữ liệu cá nhân:…………………………………………

H ọ và tên:……………………………………………………………………………………………………

Ch ức danh:…………………………………………………………………………………………………..

S ố điện thoại liên lạc:……………………………………………………………………….

Email:…………………………………………………………………………………………………………..

– H ậu quả xảy ra:…………………………………………………………………………………………….

– Bi ện pháp áp dụng:……………………………………………………………………………………….

3. Tài li ệu kèm theo

a) ………………………………………………………………………………………………………………….

b) ………………………………………………………………………………………………………………….

4. Cam k ết

…………………….² xin cam k ết chịu trách nhiệm về tính chính xác và tính hợp pháp của thông báo cùng các tài liệu kèm theo và cam kết tuân thủ các quy định của pháp luật.

 

 

^{______________________________}

¹ Tên t ổ chức, doanh nghiệp.

² Tên t ổ chức, doanh nghiệp.

 

Mẫu 09

HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU CÁ NHÂN XUYÊN BIÊN GIỚI

 

Mẫu số 10

HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN