CẨM NANG PHÁP LUẬT, TIN PHÁP LUẬT

TỔNG HỢP TRÁCH NHIỆM BẢO VỆ DỮ LIỆU CÁ NHÂN CỦA DOANH NGHIỆP

Posted on by Linh Luật Sư
31
May

Trước sự phát triển mạnh mẽ của nền kinh tế số, dữ liệu cá nhân (DLCN) đã trở thành một trong những tài sản quan trọng nhất của mỗi cá nhân và doanh nghiệp. Các hoạt động thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu cá nhân hiện diễn ra thường xuyên trong hầu hết các lĩnh vực kinh doanh, từ thương mại điện tử, tài chính, ngân hàng đến giáo dục, y tế và công nghệ thông tin. Tuy nhiên, không phải tổ chức hay cá nhân nào cũng hiểu rõ các khái niệm pháp lý cơ bản liên quan đến bảo vệ dữ liệu cá nhân, dẫn đến nguy cơ vi phạm quy định pháp luật và phát sinh các rủi ro về trách nhiệm pháp lý.

Dưới góc độ tư vấn tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, việc hiểu đúng các khái niệm như chủ thể dữ liệu cá nhân, dữ liệu cá nhân (DLCN) và xử lý dữ liệu cá nhân là nền tảng quan trọng để doanh nghiệp xây dựng hệ thống quản trị dữ liệu hiệu quả, đáp ứng các yêu cầu pháp lý hiện hành. Trước khi tìm hiểu sâu hơn về các nghĩa vụ và trách nhiệm của doanh nghiệp, cần làm rõ các khái niệm cơ bản được quy định trong pháp luật về bảo vệ dữ liệu cá nhân hiện nay.

Chủ thể DLCN: là người được dữ liệu cá nhân phản ánh1

Dữ liệu cá nhân: là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm: Họ, tên, ngày tháng năm sinh, địa chỉ (nơi ở thường trú, nơi ở tạm trú, địa chỉ liên hệ), hình ảnh, Căn cước công dân, tình trạng sức khỏe, sinh trắc học, v.v.2

Xử lý dữ liệu cá nhân: là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân3

STT Trách nhiệm của
doanh nghiệp		 Phạm vi thực hiện Thời điểm thực hiện Chế tài xử phạt vi phạm4
1. Xây dựng quy trình, thủ tục, biểu mẫu để thực hiện quyền của chủ thể dữ liệu cá nhân (“DLCN”)
(Điều 5 Nghị định 356/2025/NĐ-CP)		 (i) Đối tượng thực hiện: Bên kiểm soát DLCN, Bên kiểm soát và xử lý DLCN

(ii) Nội dung thực hiện: Quy trình, biểu mẫu được xây dựng rõ ràng, phù hợp với hoạt động xử lý DLCN và trách nhiệm của các bộ phận liên quan; đảm bảo chủ thể DLCN biết về thủ tục thực hiện các quyền của chủ thể DLCN.

 Trước khi thực hiện xử lý DLCN Phạt tiền từ 140.000.000 đồng đến 200.000.000 đồng

Hình thức bổ sung: tịch thu tang vật, phương tiện vi phạm; đình chỉ có thời hạn xử lý DLCN từ 1 đến 3 tháng.

Biện pháp khắc phục: buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được.

(khoản 2, 3, 4 Điều 58 Dự thảo Nghị định xử phạt vi phạm hành chính)
1 Khoản 5 Điều 2 Luật Bảo vệ Dữ liệu cá nhân

2 Khoản 1 Điều 2 Luật Bảo vệ Dữ liệu cá nhân; Điều 3, Điều 4 Nghị định 356/NĐ-CP

3 Khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân

4 Nghị định xử phạt vi phạm hành chính trong lĩnh vực bảo vệ DLCN hiện chưa có hiệu lực, các chế tài được đưa ra tại mục này nhằm mục đích tham khảo.
2. Chỉ định bộ phận, nhân sự thực hiện bảo vệ DLCN; hoặc

Thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN

(Khoản 2 Điều 33 Luật bảo vệ DLCN)

 (i) Đối tượng thực hiện: Bên kiểm soát DLCN, Bên kiểm soát và xử lý DLCN, Bên xử lý DLCN.

(ii) Nội dung thực hiện:

(ii.1) Trường hợp chỉ định bộ phận, nhân sự bảo vệ DLCN:

  • Việc chỉ định bộ phận, nhân sự bảo vệ DLCN phải được thực hiện bằng văn bản, thể hiện việc phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ DLCN.
  • Nhân sự được chỉ định bảo vệ DLCN phải đáp ứng yêu cầu về năng lực, kinh nghiệm.
  • Doanh nghiệp có trách nhiệm đào tạo, bồi dưỡng kiến thức, kỹ năng về bảo vệ DLCN cho nhân sự bảo vệ DLCN.
  • Doanh nghiệp và nhân sự bảo vệ DLCN phải ký thỏa thuận trách nhiệm bảo mật.

(Điều 13 Nghị định 356/2025/NĐ-CP)

(ii.2) Trường hợp thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN:

  • Doanh nghiệp phải giao kết hợp đồng sử dụng dịch vụ và thỏa thuận xử lý DLCN với tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN.
  • Tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN phải đáp ứng điều kiện về trình độ, kinh nghiệm theo quy định.
 Trước khi thực hiện xử lý DLCN Phạt tiền từ 140.000.000 đồng đến 180.000.000 đồng.

Hình thức bổ sung: tịch thu tang vật, phương tiện vi phạm; đình chỉ có thời hạn xử lý DLCN từ 1 đến 3 tháng.

Biện pháp khắc phục: buộc xóa, hủy DLCN; buộc chỉ định nhân sự bảo vệ DLCN/thuê tổ chức, cá nhân bảo vệ DLCN; công khai xin lỗi.

(Điều 69 Dự thảo Nghị định xử phạt vi phạm hành chính)
3. Xin sự đồng ý của chủ thể dữ liệu cá nhân

(Điều 9 Luật Bảo vệ DLCN; Điều 5, Điều 6 Nghị định 356/2025/NĐ-CP)

 (i) Đối tượng thực hiện: Bên kiểm soát DLCN, Bên kiểm soát và xử lý DLCN

(ii) Nội dung thực hiện:

  • Doanh nghiệp phải thực hiện xin, lưu trữ sự đồng ý của chủ thể dữ liệu cá nhân. Trong trường hợp phát sinh tranh chấp, doanh nghiệp có nghĩa vụ chứng minh sự đồng ý của chủ thể dữ liệu.
  • Việc xin sự đồng ý của chủ thể DLCN không được thiết lập bằng phương thức mặc định đồng ý hoặc tạo ra chỉ dẫn không rõ ràng, gây nhầm lẫn giữa đồng ý và không đồng ý cho chủ thể DLCN.
  • Các thức xin sự đồng ý: bằng văn bản, cuộc gọi ghi âm, tin nhắn, thư điện tử…
 Trước khi thực hiện xử lý DLCN

(Khoản 1 Điều 11 Luật bảo vệ DLCN)

 Phạt tiền từ 100.000.000 đồng đến 140.000.000 đồng; hoặc từ 140.000.000 đồng đến 200.000.000 đồng, tùy trường hợp.

Hình thức bổ sung: tước quyền sử dụng giấy phép kinh doanh; tịch thu tang vật, phương tiện vi phạm; đình chỉ xử lý DLCN từ 1 đến 3 tháng

Biện pháp khắc phục: buộc xóa, hủy DLCN; buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được; xin lỗi công khai.

(Điều 59 Dự thảo Nghị định xử phạt vi phạm hành chính)
4. Lập và nộp hồ sơ đánh giá tác động xử lý DLCN (“DPIA”)

(Điều 21, 22 Luật bảo vệ DLCN; Điều 19, 20 Nghị định 356/2025/NĐ-CP)

 (i) Đối tượng thực hiện: Bên kiểm soát DLCN, Bên kiểm soát và xử lý DLCN, Bên xử lý DLCN.

(ii) Nội dung thực hiện:

  • Doanh nghiệp phải lập, lưu trữ hồ sơ DPIA;
  • Doanh nghiệp phải gửi 01 bản chính hồ sơ DPIA đến Cục An ninh mạng phòng, chống tội phạm sử dụng công nghệ cao (A05).
  • Doanh nghiệp phải cập nhật định kỳ 06 tháng một lần hồ sơ DPIA khi có sự thay đổi, hoặc cập nhật ngay khi:
    • Doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản;
    • Có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN;
    • Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý DLCN đã đăng ký trong hồ sơ DPIA.
 Trong thời gian 60 ngày kể từ ngày đầu tiên xử lý DLCN Phạt tiền từ 100.000.000 đồng đến 140.000.000 đồng.

Hình thức bổ sung: tước quyền sử dụng giấy phép kinh doanh; tịch thu tang vật, phương tiện vi phạm; đình chỉ có thời hạn xử lý DLCN từ 1 đến 3 tháng.

Biện pháp khắc phục: buộc lập hoặc lưu giữa hồ sơ DPIA; buộc xóa, hủy DLCN; buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được; công khai xin lỗi.

(Điều 67 dự thảo Nghị định xử phạt vi phạm hành chính).
5. Lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (“TIA”)

(Điều 20, Điều 22 Luật bảo vệ DLCN; Điều 17, 18 Nghị định 356/2025/NĐ-CP)

 (i) Đối tượng thực hiện: Bên kiểm soát DLCN, Bên kiểm soát và xử lý DLCN, Bên xử lý DLCN.

(ii) Nội dung thực hiện:

  • Doanh nghiệp phải lập, lưu trữ hồ sơ TIA;
  • Doanh nghiệp phải gửi 01 bản chính hồ sơ TIA đến A05.
  • Doanh nghiệp phải cập nhật định kỳ 06 tháng một lần hồ sơ TIA khi có sự thay đổi, hoặc cập nhật ngay khi:
    • Doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản;
    • Có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN;
    • Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý DLCN đã đăng ký trong hồ sơ TIA.
 Trong thời gian 60 ngày kể từ ngày đầu tiên chuyển DLCN xuyên biên giới. Phạt tiền từ 100.000.000 đồng đến 140.000.000 đồng.

Trường hợp chuyển DLCN của từ 100.000 công dân trở lên bị phạt gấp 02 lần; từ 1.000.000 công dân trở lên bị phạt gấp 5 lần; từ 5.000.000 công dân phạt 3%-5% doanh thu của năm.

Hình thức bổ sung: tước quyền sử dụng giấy phép kinh doanh; tịch thu tang vật, phương tiện vi phạm; đình chỉ có thời hạn xử lý DLCN từ 1 đến 3 tháng; trục xuất khỏi Việt Nam đối với người nước ngoài.

Biện pháp khắc phục: buộc lập hoặc lưu giữa hồ sơ TIA; buộc xóa, hủy DLCN; buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được; công khai xin lỗi.

(Điều 67 dự thảo Nghị định xử phạt vi phạm hành chính).

Tài liệu này được cung cấp chỉ mang tính chất tham khảo, không phải ý kiến tư vấn cho trường hợp cụ thể, doanh nghiệp cần tư vấn chuyên gia trước khi áp dụng.

Liên hệ tư vấn về bảo vệ dữ liệu cá nhân

VDPC DATA PROTECTION

VDPC DATA PROTECTION cung cấp dịch vụ tư vấn tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài, dịch vụ DPO thuê ngoài và xây dựng hệ thống quản trị dữ liệu cho doanh nghiệp.

📍 Văn phòng Hà Nội: Lô TT3-03 Khu đấu giá Tứ Hiệp, Xã Thanh Trì, Thành phố Hà Nội

📞 Hotline: +84 98.159.5243

✉️ Email: info@vdpc.vn

🌐 Website: VDPC.vn

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

DATA PROTECTION:

Quảng cáo
Quảng cáo