CẨM NANG PHÁP LUẬT

Quy định, nghĩa vụ của bên xử lý dữ liệu cá nhân, điều kiện và chứng chỉ đáp ứng các điều kiện của GDPR

Posted on by Linh Luật Sư
31
May

Trong bối cảnh kinh tế số toàn cầu, GDPR không chỉ là rào cản pháp lý mà còn là “thước đo” uy tín cho các doanh nghiệp làm việc với đối tác quốc tế. Việc hiểu rõ khái niệm, nghĩa vụ của bên xử lý dữ liệu và các bộ quy tắc ứng xử theo GDPR là chìa khóa giúp doanh nghiệp tránh rủi ro pháp lý và tạo dựng niềm tin bền vững.

Trong bài viết này, VDPC sẽ phân tích khái niệm, nghĩa vụ của bên xử lý dữ liệu và các bộ quy tắc ứng xử theo GDPR.

Căn cứ pháp lý: GDPR – General Data Protection Regulation (Quy định chung về Bảo vệ dữ liệu của Liên minh Châu Âu)

1. Các quy định chung

Khái niệm:

  • Dữ liệu cá nhân là (Personal Data) là thông tin liên quan đến một cá nhân cụ thể, như tên, số định danh, địa chỉ, thông tin trực tuyến hoặc các thông tin đặc biệt khác liên quan đến các khía cạnh về vật lý, sinh lý, di truyền, tâm thần, kinh tế, văn hóa hoặc xã hội của cá nhân đó
  • Xử lý dữ liệu cá nhân (Processing) là bất kỳ thao tác hoặc tập hợp các thao tác nào được thực hiện trên dữ liệu cá nhân hoặc các tập dữ liệu cá nhân, có hoặc không thông qua các phương tiện tự động, như thu thập, ghi lại, tổ chức, cấu trúc hóa, lưu trữ, điều chỉnh hoặc thay đổi, truy xuất, tra cứu, sử dụng, tiết lộ qua truyền tải, phổ biến hoặc cung cấp thông tin, sắp xếp hoặc kết hợp, hạn chế, xóa hoặc hủy.
  • Chủ thể dữ liệu (Data subject) là chủ thể mà dữ liệu cá nhân có liên quan tới.
  • Sự đồng ý (Consent) của chủ thể dữ liệu có nghĩa là bất kỳ biểu hiện ý muốn cụ thể, tự do, được thông tin và không mơ hồ của chủ thể dữ liệu, bằng cách tuyên bố hoặc thông qua hành động tích cực rõ ràng, biểu thị sự đồng ý với việc xử lý dữ liệu cá nhân liên quan đến mình.
  • Bên xử lý (Processor) là một cá nhân hoặc pháp nhân, cơ quan công cộng, cơ quan hoặc tổ chức khác, thực hiện việc xử lý dữ liệu cá nhân thay mặt cho bên kiểm soát.
  • Bên kiểm soát (Controller) là cá nhân hoặc pháp nhân, cơ quan công cộng, cơ quan hoặc tổ chức khác, độc lập hoặc cùng với người khác, xác định mục đích và phương tiện của việc xử lý dữ liệu cá nhân; nếu mục đích và phương tiện của việc xử lý được xác định bởi luật Liên minh hoặc của một Quốc gia thành viên, thì bên kiểm soát hoặc các tiêu chí cụ thể cho việc bổ nhiệm có thể được quy định bởi luật Liên minh hoặc của một Quốc gia thành viên.

2. Nghĩa vụ của bên xử lý dữ liệu

  • Chỉ xử lý dữ liệu cá nhân theo chỉ thị bằng văn bản từ Bên kiểm soát, bao gồm cả các vấn đề liên quan đến việc chuyển giao dữ liệu cá nhân sang quốc gia thứ ba hoặc tổ chức quốc tế, trừ khi luật của Liên minh hoặc Quốc gia thành viên mà Bên xử lý là đối tượng yêu cầu thực hiện khác; trong trường hợp đó, Bên xử lý phải thông báo cho Bên kiểm soát về yêu cầu pháp lý đó trước khi xử lý, trừ khi luật pháp đó cấm việc thông báo vì lý do quan trọng liên quan đến lợi ích công cộng;
  • Đảm bảo rằng những người được ủy quyền xử lý dữ liệu cá nhân đã cam kết bảo mật hoặc chịu nghĩa vụ bảo mật theo luật định phù hợp;
  • Thực hiện tất cả các biện pháp cần thiết;
  • Tuân thủ các điều kiện khi thuê một bên xử lý khác;
  • Căn cứ vào bản chất của việc xử lý, hỗ trợ Bên kiểm soát bằng các biện pháp kỹ thuật và tổ chức phù hợp trong khả năng có thể, để thực hiện nghĩa vụ của Bên kiểm soát trong việc phản hồi các yêu cầu thực hiện quyền của chủ thể dữ liệu;
  • Hỗ trợ Bên kiểm soát đảm bảo tuân thủ các nghĩa vụ theo GDPR, có tính đến bản chất của việc xử lý và các thông tin sẵn có cho Bên xử lý;
  • Thực hiện xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên kiểm soát sau khi kết thúc việc cung cấp các dịch vụ liên quan đến xử lý, và xóa các bản sao hiện có trừ khi luật của Liên minh hoặc Quốc gia thành viên yêu cầu lưu trữ dữ liệu cá nhân đó;
  • Cung cấp cho Bên kiểm soát tất cả thông tin cần thiết để chứng minh việc tuân thủ các nghĩa vụ quy định tại Điều này và tạo điều kiện, đóng góp cho các hoạt động kiểm tra, bao gồm cả thanh tra, do Bên kiểm soát hoặc một bên kiểm toán khác được Bên kiểm soát ủy quyền thực hiện. Bên xử lý phải thông báo ngay cho Bên kiểm soát nếu theo ý kiến của mình, một chỉ thị nào đó vi phạm GDPR hoặc các quy định bảo vệ dữ liệu khác của Liên minh hoặc Quốc gia thành viên.

3. Điều kiện của GDPR

Công ty khi là bên xử lý dữ liệu

Đối với nội bộ doanh nghiệp:

  • Đảm bảo rằng các nhân sự được ủy quyền xử lý dữ liệu cá nhân đã cam kết bảo mật
  • Cung cấp cho Bên kiểm soát dữ liệu tất cả thông tin cần thiết để chứng minh việc tuân thủ các nghĩa vụ và cho phép cũng như đóng góp vào các cuộc kiểm toán
  • Bảo đảm quá trình xử lý dữ liệu: Áp dụng các biện pháp kỹ thuật và tổ chức phù hợp
    • Ẩn danh hoá và mã hoá
    • Đảm bảo tính bảo mật, tính toàn vẹn và tính sẵn sàng
    • Có khả năng khôi phục sẵn sàng trong các trường hợp rủi ro
    • Kiểm tra, đo lường và đánh giá định kỳ hiệu quả của các biện pháp kỹ thuật và tổ chức này để đảm bảo an toàn cho việc xử lý dữ liệu
  • Tuân theo quy tắc ứng xử được phê duyệt hoặc cơ chế chứng nhận được phê duyệt 

Đối với chủ thể dữ liệu cá nhân

  • Hỗ trợ Bên kiểm soát bằng các biện pháp kỹ thuật và tổ chức phù hợp để họ thực hiện các quyền của chủ thể dữ liệu cá nhân

Đối với Cơ quan có thẩm quyền của GDPR, Chính phủ nước sở tại 

  • Bổ nhiệm Cán bộ bảo vệ dữ liệu (theo biên chế hoặc hợp đồng dịch vụ) và công bố thông tin liên hệ cho Cơ quan giám sát có thẩm quyền
  • Thông báo cho Cơ quan có thẩm quyền về vi phạm
  • Lưu trữ hồ sơ hoạt động xử lý và Báo cáo Đánh giá tác động thường xuyên

4. Chứng chỉ đáp ứng điểu kiện 

Cơ chế chứng nhận (Certificate)

  • Thực hiện trên tinh thần tự nguyện
  • Các cơ chế chứng nhận bằng dấu hoặc nhãn bảo vệ dữ liệu do cơ quan giám sát có thẩm quyền phê duyệt hoặc Ban Bảo vệ dữ liệu Châu Âu phê duyệt. Nếu phê duyệt bởi Ban Bảo vệ dữ liệu Châu Âu sẽ là một chứng nhận chung là Dấu Bảo vệ dữ liệu Châu Âu (European Data Protection Seal); chứng chỉ ISO/IEC 27001 theo tiêu chuẩn của ISO 
  • Chứng nhận được cấp hoặc thu hồi bởi tổ chức chứng nhận (Certification Bodies)
  • Thời hạn chứng nhận 3 năm và có thể gia hạn nếu đáp ứng được các điều kiện, tiêu chí liên quan
  • Thu hồi chứng nhận nếu các tiêu chí chứng nhận không hoặc không còn đáp ứng

5. Quy tắc ứng xử

Các quy định về bộ quy tắc liên quan đến:

  • Việc xử lý dữ liệu công bằng và minh bạch;
  • Các lợi ích hợp pháp được hướng tới bởi Bên kiểm soát dữ liệu trong các bối cảnh cụ thể;
  • Việc thu thập dữ liệu cá nhân;
  • Việc thông tin cho công chúng và các chủ thể dữ liệu;
  • Việc thực hiện các quyền của chủ thể dữ liệu;
  • Việc thông tin và bảo vệ trẻ em, cũng như phương thức đạt được sự đồng ý từ người có trách nhiệm phụ huynh đối với trẻ em;
  • Các biện pháp và quy trình đối với Trách nhiệm của bên kiểm soát và Bảo vệ dữ liệu ngay từ khâu thiết kế/mặc định và các biện pháp đảm bảo an toàn xử lý dữ liệu; 
  • Việc thông báo vi phạm dữ liệu cá nhân cho các Cơ quan giám sát và việc thông báo các vi phạm đó cho chủ thể dữ liệu 
  • Việc chuyển dữ liệu cá nhân sang các nước thứ ba hoặc các tổ chức quốc tế;
  • Các thủ tục giải quyết tranh chấp ngoài tòa án và các thủ tục khiếu nại khác nhằm giải quyết tranh chấp giữa các Bên kiểm soát dữ liệu và chủ thể dữ liệu, không làm ảnh hưởng đến quyền của chủ thể dữ liệu.

Sự tuân thủ quy tắc ứng xử có thể được thực hiện bởi một cơ quan có mức độ chuyên môn phù hợp đối với đối tượng của quy tắc đó và được Cơ quan giám sát có thẩm quyền công nhận để thực hiện mục đích này.

KẾT LUẬN

Tóm lại, tuân thủ GDPR là một hành trình liên tục từ việc chuẩn hóa quy trình xử lý dữ liệu đến việc đạt được các chứng nhận bảo mật uy tín. Hiểu và áp dụng đúng các quy định này không chỉ giúp doanh nghiệp tránh được những khoản phạt lớn mà còn nâng cao vị thế trên thị trường quốc tế. Hãy đảm bảo tổ chức của bạn luôn cập nhật những thay đổi mới nhất để vận hành an toàn và chuyên nghiệp.

Trên đây là Quy định, nghĩa vụ của bên xử lý dữ liệu cá nhân, điều kiện và chứng chỉ đáp ứng các điều kiện của GDPR. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm:

DATA PROTECTION:

⠿Mục lục
Mục lục
Quảng cáo
Quảng cáo