Trong bối cảnh chuyển đổi số mạnh mẽ, dữ liệu cá nhân (DLCN) ngày càng trở thành tài sản quan trọng đối với doanh nghiệp, đặc biệt là các công ty sản xuất hàng điện tử, điện lạnh, điện thoại và linh kiện công nghệ cao. Việc xây dựng quy trình bảo vệ dữ liệu cá nhân không chỉ giúp doanh nghiệp tuân thủ pháp luật mà còn nâng cao uy tín, tạo niềm tin với khách hàng và đối tác.
Bài viết này Luật Kỳ Vọng Việt sẽ giới thiệu quy trình bảo vệ dữ liệu cá nhân hiệu quả dành cho doanh nghiệp trong lĩnh vực sản xuất điện tử.
1. Xác định và phân loại dữ liệu cá nhân (DLCN)
Căn cứ pháp lý: Khoản 2, 3 Điều 2 Nghị định 13/2023/NĐ-CP
| Nhóm đối tượng | Dữ liệu cá nhân được thu thập | Mục đích xử lý | |
| Dữ liệu cá nhân cơ bản (khoản 3 Điều 2) | Dữ liệu cá nhân nhạy cảm (khoản 4 Điều 2) | ||
| Nhân viên và ứng viên | Họ tên, ngày sinh, giới tính, địa chỉ, số điện thoại, email, mã số thuế cá nhân, thông tin ngân hàng, gia đình, tình trạng hôn nhân, trình độ, chức danh. | Dữ liệu sức khỏe, sinh trắc học (vân tay, khuôn mặt), thông tin công đoàn, chính trị (nếu có)… | Tuyển dụng, ký kết HĐLĐ, trả lương, đóng BHXH, chấm công, quản lý nội bộ. |
| Nhà cung cấp, đối tác, khách hàng | Họ tên, chức vụ, email, số điện thoại, địa chỉ, tài khoản ngân hàng… | Thông tin thương mại, tài chính nhạy cảm trong hợp đồng, dữ liệu, hình ảnh ở camera… | Ký kết, thực hiện, thanh toán, đối soát hợp đồng, lưu trữ kế toán. |
| Người truy cập web (Nếu có) | IP, cookies, lịch sử truy cập, loại trình duyệt, vị trí truy cập… | Dữ liệu hành vi người dùng nếu có thu thập (heatmap, hành vi click)… | Cải thiện UX, bảo mật hệ thống, tiếp thị lại (nếu có đồng ý) |
2. Căn cứ xử lý DLCN
Căn cứ pháp lý: Khoản 8 Điều 2, Điều 3, 9, 11, 13, 17 Nghị định 13/2023/NĐ-CP
a. Nguyên tắc xử lý DLCN:
Trong quá trình xử lý DLCN Công ty cần đảm bảo thực hiện 8 nguyên tắc sau để bảo vệ DLCN:
- Không được tự ý thu thập, xử lý, chia sẻ nếu không được luật cho phép.
- Phải thông báo rõ cho cá nhân biết dữ liệu gì bị xử lý, vì mục đích gì…
- Dữ liệu chỉ được dùng đúng mục đích đã thông báo.
- Chỉ lấy dữ liệu liên quan cần thiết trong phạm vi mục đích xử lý và không được bán dữ liệu cá nhân.
- Dữ liệu phải được cập nhật kịp thời và thường xuyên theo mục đích sử dụng.
- Phải có biện pháp bảo vệ an toàn dữ liệu: sử dụng công nghệ bảo mật, khóa truy cập, chống rò rỉ, đánh cắp dữ liệu…
- Hết thời gian xử lý phải xóa/hủy trừ khi pháp luật yêu cầu lưu trữ thêm.
- Công ty phải có tài liệu, hồ sơ, quy trình để chứng minh đã tuân thủ các nguyên tắc trên.
b. Thông báo xử lý DLCN:
Công ty có trách nhiệm thông báo cho chủ thể dữ liệu một lần duy nhất trước khi tiến hành xử lý dữ liệu. Thông báo này là bước độc lập, không đồng nghĩa với việc đã có sự đồng ý của chủ thể dữ liệu. Trường hợp không cần sự đồng ý của chủ thể Công ty vẫn phải thực hiện thông báo.
Nội dung thông báo:
- Mục đích cụ thể việc xử lý dữ liệu (quản lý nhân sự, trả lương, bán hàng, đảm bảo an ninh,…)
- Phải liệt kê rõ các loại dữ liệu sẽ xử lý (ví dụ: họ tên, CCCD, ảnh, vân tay, dữ liệu sinh trắc học…)
- Nêu rõ xử lý bằng cách nào (thu thập trực tiếp, nhập vào phần mềm, lưu trữ, phân tích, truyền tải, chia sẻ…)
- Thông tin về bên liên quan gồm các tổ chức/cá nhân sẽ tiếp nhận hoặc xử lý dữ liệu (bên thứ ba, đơn vị lưu trữ, ngân hàng, BHXH…)
- Cảnh báo nếu có khả năng rủi ro cho chủ thể (mất mát, rò rỉ, lộ thông tin, vi phạm riêng tư…)
- Nêu rõ thời điểm bắt đầu và thời gian kết thúc xử lý (có thể ghi cụ thể hoặc theo mốc: trong thời gian hợp đồng, 5 năm sau khi nghỉ việc,…)
- Thông báo phải được thể hiện dưới hình thức có thể in hoặc lưu trữ được như: file PDF; văn bản giấy…
Trường hợp Công ty không cần thông báo trước:
- Chủ thể DLCN đã biết rõ và đồng ý toàn bộ với nội dung Thông báo trước khi đồng ý cho Công ty thu thập DLCN.
- DLCN được xử lý bởi cơ quan nhà nước có thẩm quyền với mục đích phục vụ hoạt động của cơ quan nhà nước. Theo quy định của pháp luật.
c. Xin sự đồng ý của chủ thể DLCN:
Công ty phải thực hiện xin sự đồng ý của chủ thể DLCN trước khi xử lý. Sự đồng ý là việc thể hiện rõ ràng, tự nguyên, khẳng định việc cho phép xử lý dữ liệu cá nhân. Được thể hiện bằng hành vi rõ ràng (văn bản, giọng nói, đánh dấu vào ô đồng ý,…). Đồng ý là nguyên tắc cốt lõi, nếu không có sự đồng ý của chủ thể DLCN là vi phạm pháp luật. Trừ một số trường hợp đặc biệt do luật quy định.
Trường hợp không cần sự đồng ý
- Khi việc xử lý dữ liệu cá nhân nhằm mục đích bảo vệ tính mạng hoặc sức khỏe của chủ thể dữ liệu. Hoặc người khác trong tình huống khẩn cấp.
- Khi dữ liệu cá nhân đã được công khai theo quy định pháp luật.
- Khi việc xử lý dữ liệu phục vụ ứng phó trong tình trạng khẩn cấp như về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm. Khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật.
- Khi việc xử lý dữ liệu nhằm thực hiện hợp đồng mà chủ thể dữ liệu là một bên trong hợp đồng. Hoặc để thực hiện các bước trước khi giao kết hợp đồng theo yêu cầu của chính chủ thể.
- Nếu có quy định cụ thể trong các luật chuyên ngành (ví dụ: Luật BHXH, Luật Thuế, Luật An ninh mạng…), cho phép xử lý dữ liệu cá nhân mà không cần đồng ý, Công ty có thể thực hiện theo các quy định đó.
d. Lập Hồ sơ Đánh giá tác động DLCN:
Kể từ thời điểm Công ty bắt đầu xử lý DLCN của bất kỳ ai (nhân viên, đối tác…). Pháp luật yêu cầu phải xem xét và đánh giá trước các rủi ro có thể xảy ra với người có thông tin đó. Đồng thời chuẩn bị sẵn biện pháp để bảo vệ thông tin đó an toàn. Nói cách khác, việc đánh giá tác động xử lý DLCN là bước kiểm tra trước để đảm bảo mọi hoạt động xử lý dữ liệu cá nhân của doanh nghiệp là hợp pháp, minh bạch và an toàn.
Công ty phải lập hồ sơ đánh giá tác động và gửi cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Thời hạn trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu. Bao gồm:
- Hồ sơ Đánh giá tác động xử lý DLCN. Hình thức: 1 bản chính theo Mẫu số 4 Phụ lục Nghị định 13/2023/NĐ-CP)
- Hồ sơ Đánh giá tác động chuyển DLCN ra nước ngoài. Hình thức: 1 bản chính theo Mẫu số 6 Phụ lục Nghị định 13/2023/NĐ-CP)
- Công ty cập nhật, bổ sung Hồ sơ Đánh giá tác động xử lý DLCN khi có sự thay đổi về nội dung hồ sơ đã gửi cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo Mẫu số 5 tại Phụ lục – Nghị định 13/2023/NĐ-CP
3. Xây dựng chính sách, kênh phản hồi yêu cầu của chủ thể dữ liệu cá nhân
Căn cứ pháp lý: Điều 9. 17 Nghị định 13/2023/NĐ-CP
Công ty thiết lập cơ chế, chính sách và kênh phản hồi. Yêu cầu chủ thể dữ liệu cá nhân để chủ thể dữ liệu thực hiện quyền của mình theo đúng thời hạn luật định. Kể từ thời điểm nhận yêu cầu, bao gồm các quyền sau:
- Quyền được biết. Chủ thể dữ liệu có quyền được thông tin về việc dữ liệu cá nhân của mình được thu.
- Quyền đồng ý. Việc xử lý dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý rõ ràng, tự nguyện của chủ thể dữ liệu. Trừ các trường hợp đặc biệt được miễn theo quy định.
- Quyền truy cập. Chủ thể dữ liệu có quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa DLCN của mình đang được lưu trữ. Trừ khi bị hạn chế bởi pháp luật.
- Quyền rút lại sự đồng ý. Sau khi đã đồng ý, chủ thể dữ liệu có thể rút lại sự đồng ý bất kỳ lúc nào. Và việc xử lý dữ liệu liên quan phải chấm dứt. Trừ trường hợp pháp luật quy định khác.
- Quyền xóa dữ liệu. Chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết. Hoặc khi đã rút sự đồng ý, khi dữ liệu bị xử lý trái pháp luật. Trừ trường hợp pháp luật yêu cầu lưu giữ.
- Quyền hạn chế xử lý dữ liệu. Chủ thể dữ liệu có thể yêu cầu tạm dừng. Hoặc hạn chế việc xử lý dữ liệu cá nhân của mình. Và bên xử lý phải thực hiện yêu cầu này trong vòng 72 giờ. Trừ khi pháp luật có quy định khác.
Ngoài ra, còn một số các quyền khác, như:
- Quyền được cung cấp dữ liệu. Chủ thể có quyền yêu cầu bên kiểm soát dữ liệu cung cấp cho mình bản sao dữ liệu cá nhân mà họ đang lưu trữ. Trừ trường hợp bị hạn chế theo quy định pháp luật.
- Quyền phản đối xử lý dữ liệu. Chủ thể dữ liệu có thể phản đối việc xử lý dữ liệu. Cho các mục đích như quảng cáo, tiếp thị hoặc tiết lộ không mong muốn. Và yêu cầu phải được xử lý trong vòng 72 giờ.
- Quyền khiếu nại, tố cáo, khởi kiện. Khi bị xâm phạm quyền dữ liệu cá nhân, chủ thể có thể khiếu nại, tố cáo đến cơ quan chức năng. Hoặc khởi kiện ra tòa theo quy định của pháp luật.
- Quyền yêu cầu bồi thường thiệt hại. Nếu việc xử lý dữ liệu cá nhân gây ra thiệt hại, chủ thể có quyền yêu cầu bồi thường theo luật dân sự. Hoặc thỏa thuận giữa các bên.
- Quyền tự bảo vệ. Chủ thể dữ liệu có quyền sử dụng các biện pháp tự bảo vệ, như yêu cầu chấm dứt hành vi xâm phạm. Hoặc yêu cầu cơ quan có thẩm quyền can thiệp theo quy định của Bộ luật Dân sự.
Hình thức yêu cầu qua kênh phản hồi: Chủ thể dữ liệu cá nhân gửi email hoặc số hotline… Giao nhiệm vụ tiếp nhận và phản hồi yêu cầu cho các bộ phận (Phòng pháp chế/ Phòng nhân sự/IT…) tùy thuộc vào tính chất của DLCN.
Công ty quy định và công khai rõ thời hạn phản hồi chủ thể (ví dụ: 72h kể từ thời điểm nhận được yêu cầu…)
Tất cả vụ việc xử lý, giải quyết yêu cầu của chủ thể DLCN phải được lưu lại thành dạng văn bản. Văn bản này phải có xác nhận của Công ty lẫn chủ thể DLCN. Nhằm phục vụ cho việc truy xuất, kiểm tra nội bộ, minh chứng Công ty tuân thủ pháp luật. Và cung cấp tài liệu khi cơ quan nhà nước có thẩm quyền yêu cầu.
4. Đào tạo nội bộ cho hoạt động bảo vệ dữ liệu cá nhân
Hoạt động đào tạo nội bộ về bảo vệ DLCN nhằm nâng cao nhận thức và trách nhiệm tuân thủ pháp luật. Được áp dụng cho toàn bộ người lao động trong Công ty. Từ nhân viên kỹ thuật, nhân viên hành chính đến cán bộ quản lý. Đào tạo giúp đảm bảo mọi cá nhân đều hiểu rõ khái niệm DLCN. Đến các nguyên tắc xử lý hợp pháp, hành vi cần tránh trong quá trình làm việc. Đồng thời, cũng là biện pháp phòng ngừa rủi ro rò rỉ, mất mát dữ liệu. Việc này còn hỗ trợ Công ty thực hiện đúng nghĩa vụ theo Nghị định 13/2023/NĐ-CP.
Nội dung đào tạo được xây dựng phù hợp với từng nhóm đối tượng trong Công ty:
- Đối với nhân viên kỹ thuật. Nội dung tập trung vào khái niệm cơ bản về DLCN. Hay các hành vi vi phạm thường gặp trong môi trường nhà máy. Ví dụ như chụp ảnh CCCD, chia sẻ thông tin nội bộ qua mạng xã hội. Lưu trữ thông tin cá nhân không đúng quy định… Và cách xử lý thông tin cá nhân một cách an toàn.
- Đối với các nhóm đặc thù như nhân sự hành chính, IT, bảo vệ, kế toán và quản lý, pháp chế. Nội dung chuyên sâu hơn về quy trình thu thập, lưu trữ, phân quyền truy cập, chuyển giao dữ liệu cho bên thứ ba. Cũng như cách xử lý yêu cầu của chủ thể dữ liệu và ứng phó khi xảy ra sự cố rò rỉ dữ liệu.
- Việc đào tạo được diễn ra thường xuyên. Để những kiến thức và thông tin các đối tượng được đào tạo song hành cùng với chính sách/quy định nội bộ và quy định của pháp luật củng cố hàng rào bảo vệ DLCN cho chủ thể DLCN.
5. Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân
Căn cứ pháp lý: Điều 23 Nghị định 13/2023/NĐ-CP
- Khi phát hiện xảy ra vi phạm quy định về bảo vệ DLCN, Công ty phải thông báo cho Bộ Công an. Hay Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, chậm nhất 72h sau khi xảy ra hành vi vi phạm. Hình thức theo Mẫu số 3 Phụ lục – Nghị định 13/2023/NĐ-CP. Trường hợp thông báo sau 72h thì phải kèm theo lý do thông báo chậm, muộn.
- Nội dung thông báo phải mô tả chi tiết, đầy đủ tính chất của hành vi vi phạm. Chi tiết liên lạc của cá nhân/bộ phận chịu trách nhiệm bảo vệ DLCN.
- Công ty phối hợp cùng Bộ Công an. Lập Biên bản xác nhận việc xảy ra hành vi vi phạm. Cung cấp các tài liệu, hồ sơ khi được yêu cầu. Và không được có những hành vi cản trở việc điều tra, xử lý hành vi vi phạm.
6. Kiểm tra, rà soát định kỳ việc bảo vệ dữ liệu cá nhân
Công ty thực hiện kiểm tra, rà soát định kỳ tuân thủ các quy định về bảo vệ DLCN. Nhằm phát hiện và có biện pháp khắc phục kịp thời các rủi ro tiềm ẩn.
Việc rà soát có thể bao gồm:
- Kiểm tra hệ thống lưu trữ dữ liệu, phân quyền truy cập.
- Kiểm tra Hồ sơ xử lý yêu cầu của chủ thể dữ liệu.
- Tình trạng ký kết hợp đồng với bên thứ ba có tiếp cận DLCN.
- Sự tuân thủ chính sách nội bộ của các phòng ban…
- Thời điểm rà soát tối thiểu được thực hiện 6 tháng một lần. Hoặc đột xuất khi có thay đổi hệ thống công nghệ, phát sinh sự cố an ninh thông tin. Hoặc yêu cầu từ cơ quan nhà nước có thẩm quyền. Kết quả kiểm tra phải được ghi nhận bằng biên bản. Đồng thời báo cáo cho người phụ trách bảo vệ DLCN. Nhằm để xử lý hoặc cập nhật quy trình nếu cần thiết.
KẾT LUẬN
Bảo vệ dữ liệu cá nhân không còn là lựa chọn mà là yêu cầu bắt buộc. Đối với mọi doanh nghiệp sản xuất điện tử, điện lạnh, điện thoại và linh kiện công nghệ cao. Việc lập và thực hiện quy trình bảo mật chặt chẽ giúp công ty tuân thủ quy định pháp luật. Hạn chế rủi ro rò rỉ thông tin và nâng cao giá trị thương hiệu trên thị trường. Doanh nghiệp nên bắt đầu từ việc đánh giá hiện trạng, xây dựng chính sách nội bộ. Và ứng dụng công nghệ bảo mật hiện đại để đảm bảo dữ liệu cá nhân luôn được an toàn.
Trên đây là bài viết về vấn đề Bảo vệ dữ liệu cá nhân trong công ty sản xuất thiết bị công nghệ. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với Luật Kỳ Vọng Việt để được tư vấn, hỗ trợ một cách chính xác nhất.
Trân trọng cảm ơn!
SDT: 0983.756.066
Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà Luật Kỳ Vọng Việt không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ Luật sư. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!
