THÔNG TƯ

QUY ĐỊNH VIỆC THU THẬP, SỬ DỤNG, CHIA SẺ, ĐẢM BẢO AN TOÀN VÀ BẢO VỆ THÔNG TIN CÁ NHÂN TRÊN TRANG THÔNG TIN ĐIỆN TỬ HOẶC CỔNG THÔNG TIN ĐIỆN TỬ CỦA CƠ QUAN NHÀ NƯỚC

BỘ TRƯỞNG BỘ THÔNG TIN VÀ TRUYỀN THÔNG

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;
Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về Ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;
Căn cứ Nghị định số 187/2007/NĐ-CP ngày 25 tháng 12 năm 2007 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Thông tin và Truyền thông;
Theo đề nghị của Cục trưởng Cục Ứng dụng công nghệ thông tin,

QUY ĐỊNH:

Chương 1.

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Thông tư này quy định việc thu thập, sử dụng, chia sẻ thông tin cá nhân và các biện pháp đảm bảo an toàn và bảo vệ thông tin cá nhân trên trang thông tin điện tử hoặc cổng thông tin điện tử của cơ quan nhà nước (sau đây gọi là cổng thông tin điện tử).

Điều 2. Đối tượng áp dụng

1. Cơ quan nhà nước theo quy định tại Nghị định 64/2007/NĐ-CP đang quản lý, vận hành cổng thông tin điện tử (sau đây gọi là cơ quan chủ quản).

2. Cá nhân khai thác, sử dụng cổng thông tin điện tử của cơ quan nhà nước.

Điều 3. Giải thích từ ngữ

Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:

1. Trang thông tin điện tử là trang thông tin hoặc một tập hợp trang thông tin trên môi trường mạng phục vụ cho việc cung cấp, trao đổi thông tin.

2. Cổng thông tin điện tử là điểm truy cập duy nhất trên môi trường mạng, liên kết, tích hợp các kênh thông tin, các dịch vụ và các ứng dụng mà qua đó người dùng có thể khai thác, sử dụng và cá nhân hóa việc hiển thị thông tin.

3. Thông tin cá nhân là thông tin đủ để xác định chính xác danh tính một cá nhân, bao gồm ít nhất một trong những thông tin sau đây: họ tên, ngày sinh, nghề nghiệp, chức danh, địa chỉ liên hệ, địa chỉ thư điện tử, số điện thoại, số chứng minh nhân dân, số hộ chiếu. Những thông tin thuộc bí mật cá nhân gồm có hồ sơ y tế, hồ sơ nộp thuế, số thẻ bảo hiểm xã hội, số thẻ tín dụng và những bí mật cá nhân khác.

4. Trang chủ là trang thông tin đầu tiên mà người sử dụng nhìn thấy khi mở cổng thông tin điện tử theo địa chỉ cổng thông tin điện tử mà cơ quan, tổ chức đã đăng ký và được cấp.

5. Người sử dụng là cá nhân khai thác, sử dụng cổng thông tin điện tử của cơ quan nhà nước hoặc người đại diện theo pháp luật của cá nhân đó.

Điều 4. Nguyên tắc thu thập, sử dụng, chia sẻ, đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Việc thu thập, sử dụng và chia sẻ thông tin cá nhân qua cổng thông tin điện tử của cơ quan nhà nước được bảo vệ và đảm bảo an toàn.

2. Việc trao đổi, truyền đưa, lưu trữ thông tin cá nhân trên cổng thông tin điện tử được bảo vệ và đảm bảo an toàn theo quy định pháp luật.

3. Việc thu thập và sử dụng thông tin cá nhân phải được sự đồng ý của cá nhân đó trừ những trường hợp pháp luật có quy định khác.

4. Đảm bảo an toàn và bảo vệ thông tin cá nhân là yêu cầu bắt buộc trong quá trình thiết kế, xây dựng, vận hành, bảo trì và nâng cấp cổng thông tin điện tử của cơ quan nhà nước.

Chương 2.

THU THẬP, SỬ DỤNG VÀ CHIA SẺ THÔNG TIN CÁ NHÂN

Điều 5. Thu thập thông tin cá nhân

1. Cơ quan chủ quản thông báo và hướng dẫn trên cổng thông tin điện tử cho cá nhân biết về hình thức, phạm vi và mục đích của việc thu thập và sử dụng thông tin cá nhân.

2. Hình thức thu thập thông tin cá nhân bao gồm: do người sử dụng cung cấp khi sử dụng dịch vụ công trực tuyến hoặc được thu thập tự động trong quá trình người sử dụng truy cập cổng thông tin điện tử.

3. Cơ quan chủ quản có trách nhiệm tạo các biểu mẫu điện tử tích hợp trong hệ thống cổng thông tin điện tử để thu thập thông tin cá nhân.

Điều 6. Sử dụng thông tin cá nhân

1. Cơ quan chủ quản chỉ sử dụng thông tin cá nhân cho những mục đích đã được nêu rõ trước khi tiến hành thu thập thông tin.

2. Cơ quan chủ quản phải cung cấp cơ chế lựa chọn giới hạn nội dung và phạm vi sử dụng thông tin cá nhân.

Điều 7. Truy cập và cập nhật thông tin cá nhân

1. Cơ quan chủ quản phải cung cấp cho người sử dụng quyền truy cập vào thông tin cá nhân của mình.

2. Trường hợp cá nhân không thể đăng nhập để xem thông tin của mình thì có quyền yêu cầu cơ quan chủ quản cấp lại thông tin về tài khoản đăng nhập.

3. Cá nhân có quyền yêu cầu cơ quan chủ quản kiểm tra, đính chính, bổ sung, sửa đổi thông tin cá nhân.

4. Trường hợp thông tin cá nhân được sửa đổi mà đã cung cấp cho cơ quan nhà nước khác thì cơ quan cung cấp thông tin phải thông báo cho cơ quan tiếp nhận thông tin biết để cập nhật một cách nhanh nhất.

Điều 8. Cung cấp, chia sẻ thông tin cá nhân

1. Cơ quan chủ quản không được cung cấp, chia sẻ thông tin cá nhân thu thập, tiếp cận hoặc kiểm soát được cho bên thứ ba trừ trường hợp có sự đồng ý của cá nhân đó hoặc pháp luật có quy định khác.

2. Việc xin ý kiến người sử dụng để cung cấp, chia sẻ thông tin cá nhân phải được tiến hành thông qua một bước riêng để người đó lựa chọn chấp nhận hoặc từ chối. Không được thiết lập cơ chế chọn đồng ý mặc định cho người sử dụng.

3. Người sử dụng có quyền yêu cầu cấp xác nhận về nội dung thông tin cá nhân do cơ quan chủ quản lưu trữ.

4. Cơ quan chủ quản khi tiếp nhận thông tin cá nhân từ một cơ quan nhà nước khác theo quy định pháp luật phải có trách nhiệm đảm bảo an toàn và sử dụng thông tin cá nhân đúng mục đích.

Chương 3.

CÁC BIỆN PHÁP ĐẢM BẢO AN TOÀN VÀ BẢO VỆ THÔNG TIN CÁ NHÂN

Điều 9. Hoạt động đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Cơ quan chủ quản có trách nhiệm xây dựng và ban hành quy định về đảm bảo an toàn và bảo vệ thông tin cá nhân; hướng dẫn và kiểm tra thường xuyên việc thực hiện quy định; bảo đảm cổng thông tin cá nhân đáp ứng các tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin cá nhân.

2. Cơ quan chủ quản không chịu trách nhiệm về đảm bảo an toàn và bảo vệ thông tin cá nhân đối với các trường hợp sau:

a) Thông tin cá nhân được tiết lộ, công khai bởi cơ quan tiếp nhận thông tin;

b) Thông tin cá nhân do người sử dụng vô tình hoặc cố ý tiết lộ, chia sẻ.

Điều 10. Giám sát quá trình sử dụng thông tin cá nhân

1. Cơ quan chủ quản có trách nhiệm xây dựng và ban hành nội quy đảm bảo an toàn và bảo vệ thông tin cá nhân khi khai thác, sử dụng dịch vụ công trực tuyến trên cổng thông tin điện tử.

2. Nội quy bao gồm các quy tắc quản lý thông tin cá nhân đơn giản, dễ hiểu để áp dụng một cách thích hợp và hiệu quả, phù hợp với quy mô cung cấp thông tin và dịch vụ công trực tuyến trên cổng thông tin điện tử.

3. Nội quy đảm bảo an toàn và bảo vệ thông tin cá nhân phải được duy trì và giám sát thực hiện thường xuyên.

Điều 11. Công khai quy định đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Cơ quan chủ quản có trách nhiệm thông báo rõ các quy định về đảm bảo an toàn và bảo vệ thông tin cá nhân trên trang chủ hoặc cung cấp một cơ chế để người sử dụng dễ dàng tiếp cận và tìm hiểu trên cổng thông tin điện tử.

2. Các quy định về đảm bảo an toàn và bảo vệ thông tin cá nhân phải đáp ứng các yêu cầu sau đây:

a) Nội dung đơn giản, rõ ràng, dễ hiểu, phù hợp với tính chất, quy trình công việc liên quan và không chồng chéo;

b) Được tổ chức khoa học, có khả năng in ấn, hiển thị được về sau và có thể truy cập bằng phương pháp trực tuyến;

c) Mô tả cách thức thông tin cá nhân sẽ được xử lý sau khi thu thập trên cổng thông tin điện tử, các nội dung thông tin có thể được chia sẻ với bên thứ ba;

d) Được hiển thị rõ đối với người sử dụng trước thời điểm người sử dụng gửi thông tin cá nhân.

3. Trường hợp quy định đảm bảo an toàn và bảo vệ thông tin cá nhân có thay đổi dưới bất kỳ hình thức nào, cơ quan chủ quản phải đăng tải thông tin cập nhật trên cổng thông tin điện tử.

Điều 12. Các biện pháp kỹ thuật để đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Cơ quan chủ quản có trách nhiệm áp dụng các biện pháp kỹ thuật để đảm bảo an toàn dữ liệu, an toàn mạng máy tính, đảm bảo an toàn và bảo vệ thông tin cá nhân; chống truy cập, sử dụng, thay đổi, phát tán trái phép thông tin cá nhân và các hành vi không được phép khác.

2. Áp dụng quy trình đảm bảo an toàn và bảo vệ thông tin cá nhân.

3. Sử dụng công nghệ mã hóa đối với thông tin thuộc bí mật cá nhân.

4. Áp dụng quy trình quản lý an toàn hạ tầng kỹ thuật bao gồm (nhưng không giới hạn):

a) Thiết lập hệ thống tường lửa;

a) Mã hóa tín hiệu trên đường truyền;

c) Sử dụng tài khoản, mật khẩu;

d) Thiết lập giải pháp và hệ thống thiết bị dự phòng, tự động khôi phục dữ liệu;

đ) Sử dụng các thiết bị chuyên dụng có chức năng bảo vệ tự động tăng cường khả năng phòng, chống sự tấn công đột nhập từ bên ngoài.

5. Cơ quan chủ quản phải tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn, bảo vệ thông tin cá nhân trong quá trình chia sẻ, trao đổi thông tin giữa các cơ quan nhà nước.

Điều 13. Lưu trữ thông tin cá nhân

1. Cơ quan chủ quản có trách nhiệm lưu trữ thông tin cá nhân trên cổng thông tin điện tử tới khi nào còn cần thiết để thực hiện dịch vụ công trực tuyến được đăng ký và tuân thủ quy định của Nhà nước về Lưu trữ.

2. Thông tin cá nhân được thu thập để phục vụ cho mục đích khảo sát, thống kê chỉ được lưu trữ đến khi công tác khảo sát, thống kê kết thúc.

Điều 14. Bảo đảm tính tương thích với công nghệ

Cơ quan chủ quản hoặc tổ chức, doanh nghiệp được thuê xây dựng, duy trì hệ thống cổng thông tin điện tử cho cơ quan nhà nước phải áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật liên quan đến bảo đảm an toàn và bảo vệ thông tin cá nhân.

Điều 15. Kiểm tra, đánh giá mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Cơ quan chủ quản cần tiến hành kiểm tra, đánh giá thường xuyên về mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân.

2. Quy trình kiểm tra, đánh giá phải đáp ứng các yêu cầu sau đây:

a) Tuân thủ các quy định pháp luật;

b) Xác định nội dung thu thập, mục đích thu thập, mục đích sử dụng, các cơ quan được chia sẻ thông tin cá nhân;

c) Đánh giá hiệu quả và rủi ro của việc thu thập, sử dụng và chia sẻ thông tin cá nhân;

d) Kiểm tra và đánh giá mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân;

đ) Kiểm định hạ tầng kỹ thuật về mặt an toàn thông tin phù hợp với các tiêu chuẩn, quy chuẩn kỹ thuật được quy định;

e) Xây dựng biện pháp dự phòng để giảm thiểu tác động xấu khi xảy ra mất an toàn đối với thông tin cá nhân;

g) Nghiên cứu các hạn chế của cổng thông tin điện tử liên quan đến bảo đảm tính toàn vẹn của thông tin cá nhân để tiến hành các biện pháp khắc phục kịp thời.

3. Ngay khi có sự thay đổi hoặc nâng cấp cổng thông tin điện tử, cơ quan chủ quản phải kiểm tra đánh giá lại về mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân.

Điều 16. Điều kiện đảm bảo an toàn và bảo vệ thông tin cá nhân

1. Cán bộ, công chức trong cơ quan chủ quản phải nắm vững các quy định pháp luật và nội quy của cơ quan về bảo đảm an toàn và bảo vệ thông tin cá nhân.

2. Chuyên viên kỹ thuật phải được tuyển chọn, đào tạo, thường xuyên bồi dưỡng nghiệp vụ phù hợp với nhiệm vụ được giao và được tạo điều kiện làm việc phù hợp.

3. Ưu tiên sử dụng chuyên viên kỹ thuật của cơ quan chủ quản để bảo đảm an toàn và bảo vệ thông tin cá nhân lưu trữ trên cổng thông tin điện tử. Trường hợp cần thiết có thể sử dụng dịch vụ đảm bảo an toàn thông tin của các tổ chức, doanh nghiệp bên ngoài nhưng phải có cam kết bằng văn bản với tổ chức, doanh nghiệp đó về đảm bảo an toàn và bảo vệ thông tin cá nhân.

4. Cơ quan chủ quản có trách nhiệm bố trí kinh phí để phục vụ cho công tác đảm bảo an toàn và bảo vệ thông tin cá nhân trên cổng thông tin điện tử.

Chương 4.

TỔ CHỨC THỰC HIỆN

Điều 17. Trách nhiệm của cơ quan chủ quản

1. Thực hiện theo các quy định tại Thông tư này để đảm bảo thông tin cá nhân cung cấp trên cổng thông tin điện tử được sử dụng đúng mục đích, không bị mất, đánh cắp, tiết lộ hay thay đổi hoặc phá hủy.

2. Phối hợp với các cơ quan có thẩm quyền trong quá trình điều tra, xử lý các hành vi vi phạm các quy định pháp luật về đảm bảo an toàn và bảo vệ thông tin cá nhân.

3. Phổ biến và đảm bảo việc thực hiện các quy định về đảm bảo an toàn và bảo vệ thông tin cá nhân trong nội bộ cơ quan.

4. Tuyên truyền, nâng cao nhận thức cho các tổ chức, cá nhân tham gia cung cấp, khai thác thông tin và sử dụng dịch vụ công trực tuyến trên cổng thông tin điện tử về mục đích, vai trò, ý nghĩa của việc đảm bảo an toàn và bảo vệ thông tin cá nhân.

Điều 18. Trách nhiệm của người sử dụng

1. Cung cấp thông tin cá nhân chính xác, đầy đủ, trung thực để thực hiện dịch vụ công trực tuyến hoặc khi được cơ quan nhà nước yêu cầu và chịu trách nhiệm đối với những thông tin cá nhân do mình cung cấp.

2. Giữ kín tài khoản cá nhân khi tham gia khai thác, sử dụng cổng thông tin điện tử của cơ quan nhà nước và hoàn toàn chịu trách nhiệm đối với tất cả các hoạt động diễn ra thông qua việc sử dụng tài khoản của mình.

3. Tuân thủ các quy định và hướng dẫn của cơ quan nhà nước để đảm bảo an toàn và bảo vệ thông tin cá nhân trên cổng thông tin điện tử.

Điều 19. Trách nhiệm hướng dẫn thi hành

1. Cục Ứng dụng công nghệ thông tin - Bộ Thông tin và Truyền thông có trách nhiệm tuyên truyền, hướng dẫn, đôn đốc việc thực hiện các nội dung của Thông tư này; hằng năm đánh giá việc đảm bảo an toàn và bảo vệ thông tin cá nhân trên cổng thông tin điện tử của các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương.

2. Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) có trách nhiệm phối hợp, hỗ trợ các vấn đề liên quan đến cổng thông tin điện tử có khả năng gây mất an toàn, an ninh thông tin cá nhân; phối hợp xây dựng các tiêu chuẩn kỹ thuật áp dụng cho cổng thông tin điện tử để đảm bảo an toàn và bảo vệ thông tin cá nhân; hỗ trợ các cơ quan nhà nước trong việc khắc phục sự cố mất đảm bảo an toàn thông tin cá nhân trên cổng thông tin điện tử.

3. Thanh tra Bộ Thông tin và Truyền thông có trách nhiệm thanh tra, kiểm tra, xử lý vi phạm theo quy định của pháp luật trong việc thực hiện các quy định của Thông tư này.

4. Đơn vị chuyên trách công nghệ thông tin các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc Trung ương có trách nhiệm tuyên truyền, phổ biến, hướng dẫn việc thực hiện các quy định của Thông tư này trong cơ quan và các đơn vị trực thuộc.

Điều 20. Hiệu lực thi hành

1. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 01 năm 2011.

2. Trong quá trình thực hiện nếu có vấn đề phát sinh, vướng mắc, các cơ quan, tổ chức, cá nhân cần phản ánh kịp thời về Bộ Thông tin và Truyền thông để xem xét, bổ sung, sửa đổi./.