Ngày 17/4/2023, Chính phủ ban hành Nghị định số 13/2023/NĐ-CP bảo vệ dữ liệu cá nhân. Nghị định này quy định về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.

Nghị định số 13/2023/NĐ-CP có hiệu lực thi hành kể từ ngày 01/7/2023. Nghị định gồm 4 Chương, 44 Điều, quy định chi tiết về nguyên tắc bảo vệ dữ liệu cá nhân; xử lý vi phạm quy định bảo vệ dữ liệu cá nhân; quản lý nhà nước về bảo vệ dữ liệu cá nhân; hợp tác quốc tế về bảo vệ dữ liệu cá nhân; quyền và nghĩa vụ của chủ thể dữ liệu; bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ tiếp thị, giới thiệu sản phẩm quảng cáo; thu thập, chuyển giao, mua, bán trái phép dữ liệu cá nhân; các biện pháp bảo vệ dữ liệu cá nhân; trách nhiệm của các cơ quan, tổ chức, cá nhân trong bảo vệ dữ liệu cá nhân…

Nghị định nêu rõ, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân cơ bản bao gồm: họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; giới tính; nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; quốc tịch; hình ảnh của cá nhân; số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; tình trạng hôn nhân; thông tin về mối quan hệ gia đình (cha mẹ, con cái); thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng…

Dữ liệu cá nhân nhạy cảm gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của người đó. Chẳng hạn như quan điểm chính trị, quan điểm tôn giáo; tình trạng sức khỏe; nguồn gốc chủng tộc, nguồn gốc dân tộc; đặc điểm di truyền; đặc điểm sinh học riêng; đời sống tình dục; dữ liệu về vị trí; dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; thông tin khách hàng của tổ chức tín dụng…

Các hành vi bị nghiêm cấm

Bảo vệ dữ liệu cá nhân là hoạt động phòng ngừa, phát hiện, ngăn chặn, xử lý hành vi vi phạm liên quan đến dữ liệu cá nhân theo quy định của pháp luật. Điều 8 của Nghị định quy định các hành vi bị nghiêm cấm, gồm: xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân; xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác.

Nghị định cũng cấm hành vi cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền, cũng như việc lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.

Trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu

Điều 17 Nghị định quy định các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu, gồm: trường hợp khẩn cấp, cần xử lý ngay dữ liệu cá nhân có liên quan để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác; việc công khai dữ liệu cá nhân theo quy định của luật.

Cùng với đó là trường hợp xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật.

Ngoài ra, bên kiểm soát và xử lý dữ liệu cá nhân cũng có thể xử lý dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật; cũng như trong trường hợp phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành.

Phải xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em

Nghị định nêu rõ, xử lý dữ liệu cá nhân của trẻ em luôn được thực hiện theo nguyên tắc bảo vệ các quyền và vì lợi ích tốt nhất của trẻ em. Theo đó, việc xử lý dữ liệu cá nhân của trẻ em phải có sự đồng ý của trẻ em trong trường hợp trẻ em từ đủ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ theo quy định, trừ trường hợp quy định tại Điều 17.

Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phải xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em.

Nghị định cũng quy định một số trường hợp các bên phải ngừng xử lý dữ liệu cá nhân của trẻ em, xóa không thể khôi phục hoặc hủy dữ liệu cá nhân của trẻ em (trừ trường hợp pháp luật có quy định khác). Cụ thể là trường hợp xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý dữ liệu cá nhân được chủ thể dữ liệu đồng ý; cha, mẹ hoặc người giám hộ của trẻ em rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân của trẻ em; hoặc theo yêu cầu của cơ quan chức năng có thẩm quyền khi có đủ căn cứ chứng minh việc xử lý dữ liệu cá nhân gây ảnh hưởng tới quyền và lợi ích hợp pháp của trẻ em./.