English
中文 (中国)
Tại buổi hội thảo trực tuyến: “Bảo vệ dữ liệu cá nhân tại Việt Nam và các giao dịch xuyên biên giới – Có gì mới?” ASL LAW đã nhận được một số câu hỏi rất thiết thực liên quan đến hoạt động bảo vệ dữ liệu cá nhân tại Việt Nam cũng như giao dịch xuyên biên giới. Trong bài viết này, ASL LAW xin giải đáp những thắc mắc đó.
Câu hỏi 1: Làm thế nào để chúng tôi trao đổi thông tin liên quan đến bên bảo vệ dữ liệu với cơ quan quản lý địa phương? Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân đã được ra mắt hay chưa?
Đến nay, Bộ Công an vẫn chưa ban hành hướng dẫn 05 thủ tục hành chính để đơn vị xử lý dữ liệu cá nhân thực hiện nghĩa vụ theo quy định tại Nghị định mới về hoạt động bảo vệ dữ liệu cá nhân trước ngày 01/7/2023, trong đó có thủ tục hành chính về đánh giá tác động của việc chuyển giao dữ liệu cá nhân ở nước ngoài. Hiện tại, Việt Nam vẫn chưa ra mắt Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. Chúng tôi sẽ theo dõi và gửi thông tin chi tiết đến bạn sau khi nhận được cập nhật từ Bộ công an.
Câu 2: Quan điểm của ASL LAW như thế nào về sự đồng ý của trẻ em từ 7 tuổi trở lên khi xử lý dữ liệu cá nhân?
Theo Điều 20.2 Nghị định 13/2023/NĐ-CP, trong trường hợp trẻ em từ đủ 7 tuổi trở lên, việc xử lý dữ liệu cá nhân của trẻ em phải được sự đồng ý của trẻ em và sự đồng ý của cha mẹ hoặc người giám hộ theo quy định, ngoại trừ các trường hợp quy định tại Điều 17 Nghị định này cho phép xử lý dữ liệu cá nhân mà không cần sự đồng ý trong các trường hợp sau:
- Trong trường hợp khẩn cấp, khi dữ liệu cá nhân có liên quan phải được xử lý ngay lập tức để bảo vệ tính mạng hoặc sức khỏe của chủ thể dữ liệu hoặc những người khác;
- Trường hợp tiết lộ dữ liệu cá nhân theo quy định của pháp luật;
- Khi việc xử lý dữ liệu được thực hiện bởi cơ quan nhà nước có thẩm quyền vì lý do an ninh quốc gia hoặc trong trường hợp khẩn cấp về an ninh quốc gia, trật tự, an toàn xã hội, thiên tai lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức phải ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của pháp luật;
- Thực hiện các nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật; hoặc
- Phục vụ hoạt động của cơ quan nhà nước theo quy định của pháp luật.
Câu hỏi 3: Dữ liệu của pháp nhân doanh nghiệp (khách hàng) có thuộc đối tượng điều chỉnh của nghị định này không?
Theo quy định tại Điều 2.1 Nghị định 13/2023/NĐ-CP quy định về thông tin cá nhân của công dân Việt Nam, tất cả dữ liệu cá nhân bao gồm thông tin khách hàng, nhân viên, v.v. là người Việt Nam sẽ chịu sự điều chỉnh của Nghị định này.
Câu hỏi 4: Nếu một tổ chức cung cấp dịch vụ cho một tổ chức khác mà dịch vụ đó liên quan đến việc thu thập dữ liệu cá nhân và tổ chức này sau đó sẽ chia sẻ dữ liệu nhạy cảm với tổ chức chỉ định họ để thực hiện dịch vụ, thì ai là người sẽ xử lý & kiểm soát dữ liệu trong trường hợp này với tư cách là nhà cung cấp dịch vụ có dữ liệu cá nhân để cung cấp dịch vụ?
Theo Điều 2.9 của Nghị định mới, Người kiểm soát dữ liệu cá nhân được định nghĩa như sau: “Người kiểm soát dữ liệu cá nhân là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân”.
Theo Điều 2.10: Bên xử lý dữ liệu cá nhân được định nghĩa như sau: “Bên xử lý dữ liệu cá nhân là tổ chức hoặc cá nhân thực hiện việc xử lý dữ liệu thay mặt cho Bên kiểm soát dữ liệu, thông qua hợp đồng hoặc thỏa thuận với Bên kiểm soát dữ liệu”.
Do đó, tổ chức chỉ định tổ chức khác thu thập và xử lý thông tin cá nhân sẽ được coi là Bên kiểm soát dữ liệu cá nhân, và tổ chức thu thập và xử lý thông tin cá nhân sẽ được coi là Bên xử lý dữ liệu cá nhân.
Câu hỏi 5: Theo Điểm a Khoản 4 Điều 13, bên xử lý dữ liệu cá nhân không cần thông báo cho chủ thể dữ liệu nếu có thỏa thuận trước thời điểm lấy dữ liệu. Vậy với dữ liệu của khách hàng cũ, ngân hàng có thể đồng ý không thông báo hay không?
Theo hướng dẫn của Bộ Công an tại Hội nghị phổ biến Nghị định 13 ngày 17/4/2023, Dữ liệu cá nhân được thu thập trước ngày Nghị định 13/2023/NĐ-CP có hiệu lực vẫn thuộc phạm vi điều chỉnh của Nghị định. Tuy nhiên, như chúng tôi đã đề cập trong Hội thảo trực tuyến, trong trường hợp dữ liệu được thu thập và xử lý trước ngày 01 tháng 7 năm 2023, thì không cần thiết phải xin phép chủ thể dữ liệu. Tuy nhiên, các nghĩa vụ khác vẫn cần phải được tuân thủ.
Câu hỏi 6: Bên kiểm soát dữ liệu có được phép đánh giá mức độ tin cậy cá nhân của chủ thể dữ liệu dựa trên dữ liệu được tạo ra một cách hợp pháp trong quá trình cung cấp dịch vụ cho chủ thể dữ liệu và chia sẻ đánh giá này với các tổ chức tín dụng sau khi nhận được sự đồng ý hoàn toàn và đầy đủ của chủ thể dữ liệu đối với mục đích, nội dung, người nhận theo đánh giá?
Theo quy định, bên kiểm soát dữ liệu và bên xử lý dữ liệu chỉ sử dụng dữ liệu cá nhân theo các mục đích được chủ thể dữ liệu đồng ý. Nếu họ chia sẻ hoặc mua dữ liệu cá nhân mà không có được sự cho phép cần thiết, hoạt động đó sẽ bị cấm.
Câu hỏi 7: Công ty chúng tôi có hoạt động kinh doanh thương mại điện tử tại Việt Nam và toàn bộ hệ thống lưu trữ của chúng tôi được đặt tại Singapore, công ty chúng tôi không có bất kỳ hệ thống lưu trữ nào tại Việt Nam. Công ty chúng tôi có phải là đối tượng của quy định “Chuyển dữ liệu cá nhân ra nước ngoài” không?
Nếu dữ liệu cá nhân do công ty của bạn kiểm soát và xử lý là thông tin liên quan đến công dân Việt Nam, công ty của bạn sẽ phải tuân thủ Nghị định 13/2023/NĐ-CP cũng như các quy định về hoạt động “Chuyển dữ liệu cá nhân ra nước ngoài”.
Liên hệ với công ty luật ASL LAW để được hướng dẫn về luật doanh nghiệp, luật lao động, luật sở hữu trí tuệ, luật bất động sản.
BÀI VIẾT HỮU ÍCH LIÊN QUAN
