Các nguyên tắc bảo vệ dữ liệu cá nhân trong thời đại công nghệ số.
- Thứ tư - 06/12/2023 10:36
- In ra
- Đóng cửa sổ này
Dữ liệu cá nhân cơ bản bao gồm: Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; giới tính; nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; quốc tịch; hình ảnh của cá nhân; số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; tình trạng hôn nhân; thông tin về mối quan hệ gia đình (cha mẹ, con cái); thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Việc bảo vệ dữ liệu cá nhân cần thực hiện theo những nguyên tắc sau:
Nguyên tắc 1: Ngăn ngừa thiệt hại
Để bảo đảm quyền lợi chính đáng của mỗi cá nhân đối với quyền riêng tư, cần xây dựng các cơ chế bảo vệ dữ liệu cá nhân để ngăn ngừa việc sử dụng thông tin trái phép. Quy định trách nhiệm cụ thể đối với việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân, trong đó có tính đến thiệt hại có thể phát sinh từ việc sử dụng thông tin trái phép, đồng thời xây dựng các biện pháp chế tài phù hợp đối với mức độ thiệt hại có thể xảy ra.
Nguyên tắc 2: Thông báo trước
Nhà quản lý thông tin cá nhân phải có thông báo rõ ràng và dễ tiếp cận về chính sách và hoạt động thu thập, sử dụng thông tin cá nhân, với nội dung cụ thể gồm:
a) Thông báo về việc thông tin cá nhân đang được thu thập;
b) Mục đích thu thập thông tin cá nhân;
c) Những người hoặc tổ chức có thể nhận được thông tin cá nhân;
d) Danh tính và địa điểm của nhà quản lý thông tin, bao gồm cả hình thức liên lạc để trao đổi về hoạt động và việc xử lý thông tin cá nhân;
e) Phương thức và công cụ nhà quản lý thông tin cung cấp cho các chủ thể để họ có thể hạn chế việc sử dụng và tiết lộ thông tin, hoặc tiếp cận và chỉnh sửa dữ liệu cá nhân của mình.
Nhà quản lý thông tin cá nhân phải triển khai tất cả các biện pháp có thể thực hiện được để đảm bảo thông báo được đưa ra trước hoặc tại thời điểm thu thập thông tin cá nhân hoặc phải càng sớm càng tốt ngay sau khi có khả năng thực hiện.
Nhà quản lý thông tin cá nhân không cần phải thông báo trước trong trường hợp thu thập và sử dụng thông tin công khai.
Nguyên tắc 3: Giới hạn phạm vi thu thập dữ liệu cá nhân
Việc thu thập dữ liệu cá nhân phải được thực hiện bằng các phương thức đúng đắn, hợp pháp. Nội dung thông tin phải phù hợp với mục đích thu thập và tùy trường hợp cụ thể, phải thông báo trước hoặc được sự đồng ý của chủ thể liên quan.
Nguyên tắc 4: Sử dụng dữ liệu cá nhân
Dữ liệu cá nhân chỉ được sử dụng để đáp ứng các mục đích thu thập thông tin và các mục đích liên quan khác, ngoại trừ các trường hợp sau:
a) Được sự đồng ý của chủ thể thông tin cá nhân;
b) Để cung cấp dịch vụ hoặc sản phẩm theo yêu cầu của chủ thể thông tin cá nhân;
c) Theo yêu cầu của luật pháp hay thực hiện các thông báo có hiệu lực pháp lý.
Nguyên tắc 5: Quyền lựa chọn của chủ thể dữ liệu cá nhân
Trong điều kiện phù hợp, chủ thể dữ liệu cá nhân phải được cung cấp cơ chế rõ ràng, dễ tiếp cận, dễ thực hiện để lựa chọn liên quan tới việc thu thập, sử dụng, tiết lộ thông tin cá nhân của họ. Tuy nhiên, nhà quản lý thông tin cá nhân không phải cung cấp những cơ chế này khi thu thập các thông tin đã được công bố công khai.
Nguyên tắc 6: Tính toàn vẹn của dữ liệu cá nhân
Dữ liệu cá nhân luôn luôn cần phải chính xác, toàn vẹn và cập nhật trong phạm vi cần thiết cho mục đích sử dụng.
Nguyên tắc 7: An ninh, an toàn dữ liệu cá nhân
Nhà quản lý thông tin cá nhân có nghĩa vụ bảo vệ dữ liệu cá nhân mà họ lưu trữ bằng những biện pháp bảo đảm an ninh, an toàn hợp lý nhằm ngăn chặn mọi rủi ro đối với thông tin cá nhân, ví dụ như mất hoặc tiếp cận thông tin trái phép; hoặc phá hủy, sử dụng, sửa chữa, tiết lộ thông tin trái phép hay các hành vi bất hợp pháp khác. Tuỳ theo mức độ và cấp độ đe doạ thiệt hại, tuỳ theo tính nhạy cảm của thông tin cá nhân và bối cảnh mà thông tin được lưu trữ, nhà quản lý thông tin phải đưa ra những biện pháp bảo vệ phù hợp và thường xuyên rà soát, kiểm tra, đánh giá hiệu quả của công tác này.
Nguyên tắc 8: Tiếp cận và điều chỉnh dữ liệu cá nhân
Chủ thể thông tin cá nhân cần được đảm bảo những quyền sau:
a) Quyền được nhận xác nhận từ nhà quản lý thông tin về việc nhà quản lý có lưu trữ thông tin về họ hay không;
b) Quyền được trao đổi với nhà quản lý thông tin (sau khi đã cung cấp đầy đủ cho họ danh tính, thông tin cá nhân của mình): Trong một khoảng thời gian hợp lý; với chi phí hợp lý, nếu có; theo cách thức thích hợp; theo hình thức thông thường, dễ hiểu;
c) Yêu cầu tính chính xác đối với thông tin cá nhân của họ và trong trường hợp thích hợp có thể sửa đổi, bổ sung, hoàn thiện hoặc hủy bỏ thông tin.
Quyền tiếp cận và điều chỉnh thông tin của chủ thể thông tin cần được đảm bảo, trừ những trường hợp sau: Chi phí tiếp cận và điều chỉnh thông tin cao một cách bất hợp lý và không tương xứng với việc bảo vệ dữ liệu cá nhân trong trường hợp cụ thể đó; thông tin không được tiết lộ vì lý do an ninh, theo yêu cầu của pháp luật hoặc để bảo vệ thông tin kinh doanh bí mật; có thể vi phạm quyền bảo vệ dữ liệu cá nhân của các cá nhân khác ngoài chủ thể thông tin cá nhân đó.
Nguyên tắc 9: Trách nhiệm
Nhà quản lý thông tin cá nhân có trách nhiệm triển khai các biện pháp để thực hiện những nguyên tắc cơ bản nêu trên. Khi chuyển giao thông tin cá nhân cho người hoặc tổ chức khác trong nội bộ nền kinh tế hoặc trên phạm vi quốc tế, nhà quản lý thông tin phải được sự đồng ý của chủ thể của thông tin đó hoặc có những biện pháp thích hợp để đảm bảo rằng bên tiếp nhận thông tin sẽ bảo vệ thông tin được tiếp nhận theo đúng những nguyên tắc này.
Nguyên tắc 1: Ngăn ngừa thiệt hại
Để bảo đảm quyền lợi chính đáng của mỗi cá nhân đối với quyền riêng tư, cần xây dựng các cơ chế bảo vệ dữ liệu cá nhân để ngăn ngừa việc sử dụng thông tin trái phép. Quy định trách nhiệm cụ thể đối với việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân, trong đó có tính đến thiệt hại có thể phát sinh từ việc sử dụng thông tin trái phép, đồng thời xây dựng các biện pháp chế tài phù hợp đối với mức độ thiệt hại có thể xảy ra.
Nguyên tắc 2: Thông báo trước
Nhà quản lý thông tin cá nhân phải có thông báo rõ ràng và dễ tiếp cận về chính sách và hoạt động thu thập, sử dụng thông tin cá nhân, với nội dung cụ thể gồm:
a) Thông báo về việc thông tin cá nhân đang được thu thập;
b) Mục đích thu thập thông tin cá nhân;
c) Những người hoặc tổ chức có thể nhận được thông tin cá nhân;
d) Danh tính và địa điểm của nhà quản lý thông tin, bao gồm cả hình thức liên lạc để trao đổi về hoạt động và việc xử lý thông tin cá nhân;
e) Phương thức và công cụ nhà quản lý thông tin cung cấp cho các chủ thể để họ có thể hạn chế việc sử dụng và tiết lộ thông tin, hoặc tiếp cận và chỉnh sửa dữ liệu cá nhân của mình.
Nhà quản lý thông tin cá nhân phải triển khai tất cả các biện pháp có thể thực hiện được để đảm bảo thông báo được đưa ra trước hoặc tại thời điểm thu thập thông tin cá nhân hoặc phải càng sớm càng tốt ngay sau khi có khả năng thực hiện.
Nhà quản lý thông tin cá nhân không cần phải thông báo trước trong trường hợp thu thập và sử dụng thông tin công khai.
Nguyên tắc 3: Giới hạn phạm vi thu thập dữ liệu cá nhân
Việc thu thập dữ liệu cá nhân phải được thực hiện bằng các phương thức đúng đắn, hợp pháp. Nội dung thông tin phải phù hợp với mục đích thu thập và tùy trường hợp cụ thể, phải thông báo trước hoặc được sự đồng ý của chủ thể liên quan.
Nguyên tắc 4: Sử dụng dữ liệu cá nhân
Dữ liệu cá nhân chỉ được sử dụng để đáp ứng các mục đích thu thập thông tin và các mục đích liên quan khác, ngoại trừ các trường hợp sau:
a) Được sự đồng ý của chủ thể thông tin cá nhân;
b) Để cung cấp dịch vụ hoặc sản phẩm theo yêu cầu của chủ thể thông tin cá nhân;
c) Theo yêu cầu của luật pháp hay thực hiện các thông báo có hiệu lực pháp lý.
Nguyên tắc 5: Quyền lựa chọn của chủ thể dữ liệu cá nhân
Trong điều kiện phù hợp, chủ thể dữ liệu cá nhân phải được cung cấp cơ chế rõ ràng, dễ tiếp cận, dễ thực hiện để lựa chọn liên quan tới việc thu thập, sử dụng, tiết lộ thông tin cá nhân của họ. Tuy nhiên, nhà quản lý thông tin cá nhân không phải cung cấp những cơ chế này khi thu thập các thông tin đã được công bố công khai.
Nguyên tắc 6: Tính toàn vẹn của dữ liệu cá nhân
Dữ liệu cá nhân luôn luôn cần phải chính xác, toàn vẹn và cập nhật trong phạm vi cần thiết cho mục đích sử dụng.
Nguyên tắc 7: An ninh, an toàn dữ liệu cá nhân
Nhà quản lý thông tin cá nhân có nghĩa vụ bảo vệ dữ liệu cá nhân mà họ lưu trữ bằng những biện pháp bảo đảm an ninh, an toàn hợp lý nhằm ngăn chặn mọi rủi ro đối với thông tin cá nhân, ví dụ như mất hoặc tiếp cận thông tin trái phép; hoặc phá hủy, sử dụng, sửa chữa, tiết lộ thông tin trái phép hay các hành vi bất hợp pháp khác. Tuỳ theo mức độ và cấp độ đe doạ thiệt hại, tuỳ theo tính nhạy cảm của thông tin cá nhân và bối cảnh mà thông tin được lưu trữ, nhà quản lý thông tin phải đưa ra những biện pháp bảo vệ phù hợp và thường xuyên rà soát, kiểm tra, đánh giá hiệu quả của công tác này.
Nguyên tắc 8: Tiếp cận và điều chỉnh dữ liệu cá nhân
Chủ thể thông tin cá nhân cần được đảm bảo những quyền sau:
a) Quyền được nhận xác nhận từ nhà quản lý thông tin về việc nhà quản lý có lưu trữ thông tin về họ hay không;
b) Quyền được trao đổi với nhà quản lý thông tin (sau khi đã cung cấp đầy đủ cho họ danh tính, thông tin cá nhân của mình): Trong một khoảng thời gian hợp lý; với chi phí hợp lý, nếu có; theo cách thức thích hợp; theo hình thức thông thường, dễ hiểu;
c) Yêu cầu tính chính xác đối với thông tin cá nhân của họ và trong trường hợp thích hợp có thể sửa đổi, bổ sung, hoàn thiện hoặc hủy bỏ thông tin.
Quyền tiếp cận và điều chỉnh thông tin của chủ thể thông tin cần được đảm bảo, trừ những trường hợp sau: Chi phí tiếp cận và điều chỉnh thông tin cao một cách bất hợp lý và không tương xứng với việc bảo vệ dữ liệu cá nhân trong trường hợp cụ thể đó; thông tin không được tiết lộ vì lý do an ninh, theo yêu cầu của pháp luật hoặc để bảo vệ thông tin kinh doanh bí mật; có thể vi phạm quyền bảo vệ dữ liệu cá nhân của các cá nhân khác ngoài chủ thể thông tin cá nhân đó.
Nguyên tắc 9: Trách nhiệm
Nhà quản lý thông tin cá nhân có trách nhiệm triển khai các biện pháp để thực hiện những nguyên tắc cơ bản nêu trên. Khi chuyển giao thông tin cá nhân cho người hoặc tổ chức khác trong nội bộ nền kinh tế hoặc trên phạm vi quốc tế, nhà quản lý thông tin phải được sự đồng ý của chủ thể của thông tin đó hoặc có những biện pháp thích hợp để đảm bảo rằng bên tiếp nhận thông tin sẽ bảo vệ thông tin được tiếp nhận theo đúng những nguyên tắc này.