Quy Chế Bảo Vệ Dữ Liệu Cá Nhân Trong Hoạt Động Của Cơ Quan Nhà Nước Trên Địa Bàn Thành Phố Đồng Nai

Thực tiễn cho thấy, nếu công tác quản lý không chặt chẽ hoặc sử dụng dữ liệu không đúng quy định, nguy cơ lộ lọt, bị chiếm đoạt hoặc bị lợi dụng dữ liệu cá nhân có thể xảy ra, gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân, đồng thời làm suy giảm uy tín của cơ quan nhà nước và niềm tin của xã hội đối với dịch vụ công. Trên cơ sở đó, Ủy ban nhân dân thành phố Đồng Nai ban hành Quy chế bảo vệ dữ liệu cá nhân trong hoạt động của cơ quan nhà nước nhằm thống nhất nguyên tắc, trách nhiệm và quy trình bảo vệ dữ liệu cá nhân; tăng cường kỷ luật, kỷ cương trong thực thi công vụ; phòng ngừa rủi ro, nâng cao năng lực phát hiện, ứng phó sự cố; qua đó bảo đảm an toàn thông tin, an ninh mạng và bảo vệ quyền riêng tư theo quy định.

Về phạm vi điều chỉnh, Quy chế quy định các nội dung liên quan đến việc bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân phục vụ hoạt động của cơ quan nhà nước và đơn vị sự nghiệp thuộc thành phố Đồng Nai. Quy chế đồng thời xác định trách nhiệm của cơ quan, tổ chức và cá nhân có liên quan trong quản lý, sử dụng và bảo vệ dữ liệu cá nhân, bảo đảm việc xử lý dữ liệu đúng mục đích, đúng thẩm quyền, đúng phạm vi và đúng quy định pháp luật hiện hành. Đối tượng áp dụng của Quy chế bao gồm các sở, ban, ngành, đơn vị sự nghiệp thuộc phạm vi quản lý của thành phố, Ủy ban nhân dân cấp xã, phường và toàn thể cán bộ, công chức, viên chức, người lao động đang công tác trong các cơ quan, đơn vị nêu trên; đồng thời áp dụng đối với các tổ chức, cá nhân có liên quan khi tham gia hoạt động thu thập, lưu trữ, xử lý, chia sẻ hoặc truyền đưa dữ liệu cá nhân trong quá trình thực hiện nhiệm vụ công vụ.

Quy chế tập trung làm rõ nhiều quy định trọng tâm gắn trực tiếp với hoạt động thường ngày của cơ quan nhà nước. Trước hết, mỗi cơ quan, đơn vị có xử lý dữ liệu cá nhân phải thực hiện việc rà soát, phân loại và lập danh mục dữ liệu đang xử lý, trong đó phân biệt rõ dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; đối với dữ liệu nhạy cảm phải tổ chức biện pháp bảo vệ ở mức chặt chẽ hơn, tăng cường kiểm soát truy cập và tuân thủ điều kiện xử lý nghiêm ngặt theo quy định. Việc lập danh mục và phân loại dữ liệu không chỉ nhằm quản lý thống nhất, mà còn tạo cơ sở để phân quyền, thiết kế quy trình chia sẻ dữ liệu và xác định trách nhiệm khi xảy ra sự cố hoặc vi phạm.

Bên cạnh đó, Quy chế nhấn mạnh việc xác định rõ vai trò của các chủ thể trong xử lý dữ liệu, gồm bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và bên vừa kiểm soát vừa xử lý dữ liệu cá nhân. Việc xác định vai trò phải được thể hiện bằng hồ sơ, văn bản phân công, thỏa thuận chia sẻ dữ liệu hoặc hợp đồng xử lý dữ liệu (nếu có), nhằm bảo đảm minh bạch trách nhiệm và tránh tình trạng thiếu căn cứ khi xem xét trách nhiệm cá nhân, trách nhiệm người đứng đầu. Đồng thời, Quy chế cũng lưu ý về các trường hợp được phép xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu theo quy định pháp luật, đặc biệt trong trường hợp phục vụ thực hiện nhiệm vụ, quyền hạn theo quy định; tuy nhiên, việc “không cần đồng ý” không đồng nghĩa với tùy tiện, mà vẫn phải bảo đảm nguyên tắc đúng mục đích, đúng phạm vi, đúng thẩm quyền, có biện pháp an toàn, bảo mật, hạn chế tối đa dữ liệu thu thập và giảm thiểu nguy cơ lộ lọt.

Một nội dung quan trọng khác là quy định về bảo vệ dữ liệu trên hệ thống thông tin, trong đó nêu rõ yêu cầu quản trị truy cập theo nguyên tắc cấp quyền “đúng người, đúng nhiệm vụ, đúng phạm vi và đúng thời hạn”, thực hiện phân quyền tối thiểu và thu hồi hoặc điều chỉnh quyền truy cập kịp thời khi thay đổi nhân sự hoặc thay đổi nhiệm vụ. Quy chế yêu cầu người sử dụng tài khoản phải bảo đảm an toàn thông tin xác thực, không chia sẻ tài khoản, không khai thác dữ liệu ngoài phạm vi nhiệm vụ, đồng thời tuân thủ quy trình sử dụng thiết bị và môi trường xử lý dữ liệu an toàn. Cùng với đó, Quy chế quy định các yêu cầu vận hành kỹ thuật như ghi và lưu nhật ký hệ thống để phục vụ truy vết, kiểm tra, giám sát; thực hiện kiểm tra, đánh giá an ninh trước khi vận hành và định kỳ hoặc đột xuất; tăng cường biện pháp phòng, chống mã độc; và đặc biệt yêu cầu không sử dụng dữ liệu cá nhân thật trên hệ thống thử nghiệm, trừ trường hợp dữ liệu đã được khử nhận dạng hoặc ẩn danh theo quy chuẩn.

Đối với việc xử lý dữ liệu ngoài hệ thống thông tin, Quy chế đặt ra yêu cầu siết chặt kỷ luật trao đổi dữ liệu cá nhân qua các kênh không được phép. Theo đó, cơ quan, đơn vị và cá nhân thực thi công vụ không được sử dụng tài khoản cá nhân, mạng xã hội hoặc ứng dụng nhắn tin công cộng để trao đổi, truyền đưa dữ liệu cá nhân trong hoạt động công vụ khi chưa được cho phép và chưa bảo đảm các điều kiện an toàn, bảo mật. Quy định này có ý nghĩa thực tiễn rất rõ ràng, nhằm chấn chỉnh thói quen xử lý “nhanh cho tiện” như chụp ảnh hồ sơ, chuyển file qua các ứng dụng phổ biến, gửi thông tin định danh hoặc thông tin nhạy cảm qua kênh thiếu mã hóa và khó kiểm soát, vốn là nguyên nhân thường gặp dẫn đến lộ lọt dữ liệu.

Quy chế cũng quy định trách nhiệm bảo vệ dữ liệu trên cổng thông tin điện tử và hệ thống dịch vụ công. Các đơn vị quản trị, vận hành phải rà soát nội dung trước khi công bố, bảo đảm không đăng tải trái quy định dữ liệu cá nhân, nhất là dữ liệu nhạy cảm; đồng thời rà soát biểu mẫu, trường thông tin hiển thị nhằm loại bỏ thông tin không cần thiết, giảm nguy cơ lộ lọt và khuyến khích áp dụng cơ chế cảnh báo khi người dùng nhập nội dung có dấu hiệu chứa dữ liệu cá nhân.

Về ứng phó sự cố, Quy chế phân loại mức độ sự cố và nhấn mạnh yêu cầu phản ứng nhanh, coi thời gian là yếu tố quyết định trong hạn chế thiệt hại. Theo Quy chế, khi phát hiện dấu hiệu bị tấn công hoặc có nguy cơ lộ lọt dữ liệu, đơn vị phải báo ngay cho Công an thành phố qua đường dây nóng trong vòng 30 phút, đồng thời phối hợp xử lý theo cơ chế được quy định. Đây là điểm đáng lưu ý vì thay đổi cách tiếp cận từ “chờ xác minh rồi mới báo” sang “báo nhanh để kịp thời khoanh vùng”, phù hợp với tính chất lan truyền nhanh của sự cố dữ liệu và tấn công mạng hiện nay.

Về tổ chức thực hiện, Quy chế yêu cầu các cơ quan, đơn vị phân công lãnh đạo phụ trách, bố trí đầu mối và nhân sự thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân, lập danh sách gửi cơ quan đầu mối để theo dõi. Quy chế đồng thời gắn trách nhiệm kiểm tra, giám sát, đánh giá thi đua với kết quả chấp hành, và xác định rõ nguyên tắc xử lý vi phạm theo tính chất, mức độ, có thể bị kỷ luật, xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; trường hợp gây thiệt hại thì phải bồi thường theo quy định. Cơ chế này góp phần tăng tính răn đe, nâng cao ý thức tuân thủ và đề cao trách nhiệm cá nhân trong môi trường số.

Có thể khái quát một số điểm mới và điểm đáng lưu ý của Quy chế so với cách làm trước đây. Quy chế chuyển từ các khuyến nghị chung sang yêu cầu cụ thể về quy trình và trách nhiệm, gồm việc phân loại dữ liệu, lập danh mục, xác định vai trò kiểm soát và xử lý dữ liệu, chuẩn hóa phân quyền và lưu vết truy cập. Quy chế siết chặt việc trao đổi dữ liệu ngoài hệ thống, hạn chế tối đa nguy cơ lộ lọt do sử dụng kênh không được phép. Đồng thời, Quy chế đặt ra yêu cầu phản ứng sự cố nhanh với mốc thời gian báo cáo rất cụ thể, góp phần nâng cao hiệu quả kiểm soát rủi ro và giảm thiểu hậu quả. Các quy định về nhật ký hệ thống, kiểm tra an ninh, không dùng dữ liệu thật để thử nghiệm cũng làm tăng khả năng truy vết và phòng ngừa từ sớm, từ xa.

Về ý nghĩa thực tiễn và tác động, đối với đội ngũ công chức, viên chức, Quy chế tác động trực tiếp đến phương thức thực thi công vụ hằng ngày. Cán bộ tiếp nhận và giải quyết hồ sơ phải tăng cường kỷ luật dữ liệu, chỉ thu thập và xử lý trong phạm vi nhiệm vụ, không sao chép hoặc chuyển tiếp thông tin tùy tiện, đồng thời tuân thủ nghiêm kênh trao đổi được phép. Cán bộ quản trị hệ thống, bộ phận một cửa và các vị trí có truy cập dữ liệu nhạy cảm phải nâng cao trách nhiệm bảo mật, bảo đảm kiểm soát truy cập, lưu vết giao dịch và kịp thời thu hồi quyền khi thay đổi vị trí công tác. Khi phát hiện dấu hiệu nguy cơ, cán bộ, công chức, viên chức có trách nhiệm báo cáo nhanh, phối hợp xử lý đúng đầu mối và đúng thời hạn, qua đó hạn chế thiệt hại và bảo vệ uy tín cơ quan.

Đối với người dân, Quy chế góp phần bảo vệ tốt hơn quyền riêng tư, giảm nguy cơ thông tin cá nhân bị công khai sai quy định trên cổng thông tin, dịch vụ công, hoặc bị chia sẻ trái phép trong quá trình giải quyết thủ tục hành chính. Việc tăng cường an toàn hệ thống, kiểm soát truy cập và cơ chế ứng phó sự cố nhanh giúp người dân yên tâm hơn khi sử dụng dịch vụ công trực tuyến, giảm rủi ro lộ thông tin định danh, giấy tờ tùy thân, lịch sử giao dịch và các thông tin nhạy cảm. Quan trọng hơn, Quy chế góp phần củng cố niềm tin xã hội đối với hoạt động chuyển đổi số của cơ quan nhà nước, bảo đảm chuyển đổi số đi đôi với an toàn, an ninh và tôn trọng quyền con người, quyền công dân.

Từ những nội dung nêu trên, thông điệp cần được quán triệt thống nhất là: bảo vệ dữ liệu cá nhân vừa là yêu cầu pháp lý, vừa là kỷ luật công vụ và là trách nhiệm của mỗi cơ quan, mỗi cán bộ trong quá trình phục vụ Nhân dân. Mỗi cơ quan, đơn vị cần chủ động rà soát quy trình, chuẩn hóa phân quyền, tăng cường kiểm tra, giám sát; mỗi cán bộ, công chức, viên chức phải nghiêm túc thực hiện đúng thẩm quyền, đúng mục đích, đúng phạm vi và đúng quy trình, tuyệt đối không vì sự tiện lợi nhất thời mà làm phát sinh rủi ro lộ lọt dữ liệu. Người dân cũng cần nâng cao cảnh giác, chỉ cung cấp dữ liệu cá nhân trên các kênh chính thức, đồng thời kịp thời phản ánh khi phát hiện dấu hiệu công khai hoặc sử dụng thông tin cá nhân không đúng quy định, cùng chung tay xây dựng môi trường số an toàn, văn minh và đáng tin cậy.