Trong kỷ nguyên số, dữ liệu cá nhân được ví như "dầu mỏ" mới, nhưng đi kèm với đó là những trách nhiệm pháp lý vô cùng nặng nề. Kể từ khi Nghị định 13/2023/NĐ-CP có hiệu lực, nhiều doanh nghiệp vẫn còn lúng túng trong việc tuân thủ, đặc biệt là nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu. Việc "quên" hoặc thực hiện không đúng quy định này có thể dẫn đến những rủi ro pháp lý nghiêm trọng và ảnh hưởng trực tiếp đến uy tín của tổ chức.

Vai trò của doanh nghiệp trong "ma trận" xử lý dữ liệu cá nhân

Để tuân thủ đúng luật, trước hết doanh nghiệp cần xác định mình là ai trong quá trình xử lý dữ liệu. Theo quy định tại Điều 2 Nghị định 13/2023/NĐ-CP, các chủ thể được phân loại rõ rệt dựa trên mục đích và phương tiện xử lý:

• Bên Kiểm soát dữ liệu cá nhân: Tổ chức quyết định mục đích và phương tiện xử lý (ví dụ: doanh nghiệp thu thập thông tin khách hàng để marketing).
• Bên Xử lý dữ liệu cá nhân: Tổ chức thực hiện xử lý thay mặt cho bên kiểm soát (ví dụ: đơn vị cung cấp dịch vụ lưu trữ đám mây).
• Bên Kiểm soát và xử lý dữ liệu cá nhân: Doanh nghiệp vừa quyết định mục đích, vừa trực tiếp thực hiện quy trình xử lý.

Việc xác định sai vai trò sẽ dẫn đến việc xây dựng chính sách bảo mật không phù hợp, tạo ra lỗ hổng trong quản trị rủi ro.

Hồ sơ đánh giá tác động: "Lá chắn" pháp lý bắt buộc

Theo Điều 24 Nghị định 13/2023/NĐ-CP, hầu hết các doanh nghiệp có hoạt động xử lý dữ liệu đều phải lập và lưu giữ hồ sơ đánh giá tác động. Đây không chỉ là một thủ tục hành chính mà còn là bằng chứng cho thấy doanh nghiệp đã chủ động nhận diện và giảm thiểu rủi ro cho chủ thể dữ liệu.

Hồ sơ này cần bao gồm các nội dung cốt lõi như: mục đích xử lý, loại dữ liệu được xử lý, thời gian lưu trữ, các biện pháp bảo vệ và đặc biệt là đánh giá mức độ ảnh hưởng, hậu quả có thể xảy ra. Đối với các doanh nghiệp là Bên Xử lý dữ liệu, hồ sơ cần mô tả chi tiết các hoạt động thực hiện theo hợp đồng với Bên Kiểm soát.

"Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân."

Quy trình 3 bước thông báo hồ sơ đến Bộ Công an

Sau khi hoàn thiện hồ sơ, doanh nghiệp không chỉ lưu trữ nội bộ mà còn phải thực hiện thủ tục thông báo đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an. Quy trình cụ thể như sau:

1. Chuẩn bị hồ sơ: Bao gồm thông báo theo mẫu, hồ sơ đánh giá tác động, bản sao giấy phép hoạt động và các văn bản phân công nhân sự bảo vệ dữ liệu.
2. Gửi hồ sơ: Thực hiện trong vòng 60 ngày kể từ ngày bắt đầu xử lý dữ liệu cá nhân.
3. Nhận phản hồi: Cơ quan chức năng sẽ kiểm tra và phản hồi về kết quả lập hồ sơ.

Lưu ý quan trọng: Đối với các doanh nghiệp đã hoạt động trước khi Nghị định có hiệu lực, thời hạn cuối cùng để hoàn tất thủ tục này thường được xác định là ngày 29/8/2023. Nếu doanh nghiệp của bạn vẫn chưa thực hiện, cần nhanh chóng rà soát và bổ sung ngay để tránh bị xử phạt hành chính.

Việc tuân thủ quy định về bảo vệ dữ liệu cá nhân không chỉ là nghĩa vụ pháp lý mà còn là cách để doanh nghiệp xây dựng niềm tin bền vững với khách hàng và đối tác trong kỷ nguyên số.