Cách chứng minh tuân thủ bảo vệ dữ liệu

Pháp luật không thiết kế một “giấy chứng nhận tuân thủ” duy nhất cho mọi chủ thể xử lý dữ liệu. Khả năng chứng minh tuân thủ hình thành từ một chuỗi bằng chứng: nghĩa vụ pháp lý đã được xác định, nghĩa vụ đó được chuyển thành chính sách hoặc quy trình, quy trình thực sự được vận hành và cuối cùng có tài liệu hoặc dấu vết hệ thống chứng minh kết quả. Trong phạm vi này, “chủ thể xử lý dữ liệu” có thể bao gồm bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân hoặc bên xử lý dữ liệu cá nhân; từng vai trò sẽ có phạm vi hồ sơ khác nhau.

Bộ hồ sơ nào có giá trị chứng minh tuân thủ?

Một bộ hồ sơ có khả năng chứng minh tuân thủ bảo vệ dữ liệu thường cần kết hợp tài liệu pháp lý với bằng chứng vận hành. Nghị định 356 thể hiện rõ cách tiếp cận này khi yêu cầu Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không chỉ có báo cáo đánh giá mà còn có hợp đồng, thỏa thuận, chính sách, quy trình, quy định, biểu mẫu và các tài liệu liên quan đến bảo vệ dữ liệu cá nhân.

Các nhóm bằng chứng trọng yếu gồm:

·         Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cùng tài liệu nộp, kết quả đánh giá và các lần cập nhật

·         Bằng chứng về sự đồng ý hoặc căn cứ cho phép xử lý, như bản ghi điện tử, email, SMS, cuộc gọi ghi âm hoặc tài liệu thể hiện trường hợp xử lý không cần sự đồng ý

·         Quy trình và hồ sơ thực hiện quyền của chủ thể dữ liệu, gồm biểu mẫu yêu cầu, phiếu tiếp nhận, thời điểm phản hồi, kết quả chỉnh sửa, hạn chế hoặc xóa dữ liệu

·         Hợp đồng, thỏa thuận xử lý và chuyển giao dữ liệu, trong đó xác định vai trò, mục đích, phạm vi dữ liệu, thời hạn, trách nhiệm bảo vệ và trách nhiệm khi xảy ra vi phạm

·         Chính sách và bằng chứng kiểm soát nội bộ, như chính sách bảo vệ dữ liệu, lưu trữ, xóa hủy, phân quyền, quản lý truy cập, ứng cứu sự cố và đào tạo nhân sự

·         Hồ sơ về bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân, bao gồm quyết định chỉ định, phạm vi nhiệm vụ, hồ sơ năng lực và đào tạo

·         Hồ sơ sự cố và thông báo vi phạm, kèm đánh giá ảnh hưởng, biện pháp khắc phục và bằng chứng đã thông báo khi pháp luật yêu cầu

·         Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới nếu hoạt động xử lý thực tế có phát sinh việc chuyển dữ liệu thuộc trường hợp phải thực hiện thủ tục này

Điểm quan trọng là không nên xem các tài liệu trên như những file độc lập. Chẳng hạn, một chính sách xóa dữ liệu chỉ chứng minh tổ chức đã đặt ra quy tắc; nhật ký xóa, ticket xử lý yêu cầu hoặc log hệ thống mới chứng minh quy tắc đó đã được thực hiện trong một trường hợp cụ thể.

Hồ sơ đánh giá tác động là bằng chứng pháp lý trung tâm

Đối với các chủ thể thuộc diện phải thực hiện, Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là một trong những bằng chứng toàn diện nhất. Điều 19 Nghị định 356 yêu cầu bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và bên xử lý dữ liệu cá nhân lập, lưu giữ hồ sơ kể từ thời điểm bắt đầu xử lý. Thành phần hồ sơ bao gồm báo cáo đánh giá tác động, bản sao hợp đồng hoặc thỏa thuận xử lý dữ liệu thể hiện sự ràng buộc và trách nhiệm giữa các bên, cùng các chính sách, quy trình, quy định, biểu mẫu và tài liệu có liên quan.

Báo cáo đánh giá còn phải phản ánh thực chất hoạt động xử lý: mục đích, loại dữ liệu, các hoạt động xử lý, sơ đồ luồng dữ liệu, cách xin sự đồng ý, chính sách lưu trữ và xóa hủy, biện pháp an toàn, thiết kế hệ thống, tiêu chuẩn áp dụng, kết quả đánh giá tuân thủ, mức độ ảnh hưởng và rủi ro cùng biện pháp giảm thiểu. Như vậy, một báo cáo chỉ mô tả chung chung mà không khớp với hệ thống, hợp đồng và hoạt động thực tế sẽ có giá trị chứng minh thấp.

Hồ sơ phải luôn có sẵn để phục vụ kiểm tra, đánh giá và, theo Điều 19, phải nộp 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân kèm biểu mẫu tương ứng trong vòng 60 ngày kể từ ngày tiến hành xử lý. Cơ quan chuyên trách đánh giá và trả kết quả đạt hoặc không đạt yêu cầu trong thời hạn 15 ngày; hồ sơ chưa đầy đủ có thể bị yêu cầu hoàn thiện.

Hồ sơ này cũng không phải tài liệu “lập một lần rồi cất”. Điều 20 quy định cơ chế cập nhật khi phát sinh mục đích xử lý mới, thay đổi các bên tham gia hoặc một số thay đổi về tổ chức, đơn vị cung cấp dịch vụ và ngành nghề liên quan. Một bộ hồ sơ tuân thủ vì thế nên lưu cả phiên bản trước, phiên bản cập nhật, ngày thay đổi và bằng chứng nộp cập nhật để tái hiện được lịch sử tuân thủ.

Bằng chứng đồng ý và thực hiện quyền phải kiểm chứng được

Nếu hoạt động xử lý dựa trên sự đồng ý, chỉ có một điều khoản ghi “khách hàng đồng ý” chưa đủ mạnh để chứng minh. Điều 6 Nghị định 356 yêu cầu phương thức xin đồng ý phải cho phép kiểm chứng chủ thể nào đã đồng ý, thời điểm đồng ý và nội dung được đồng ý. Các hình thức được ghi nhận gồm văn bản, cuộc gọi ghi âm, cú pháp qua tin nhắn, thư điện tử, website, nền tảng hoặc ứng dụng có thiết lập kỹ thuật xin đồng ý và các định dạng kiểm chứng được khác.

Bên kiểm soát dữ liệu và bên kiểm soát và xử lý dữ liệu phải lưu trữ sự đồng ý; khi có tranh chấp, trách nhiệm chứng minh sự đồng ý thuộc về các chủ thể này. Vì thế, hồ sơ thực tế nên có khả năng truy xuất được phiên bản thông báo mà người dùng đã nhìn thấy, lựa chọn họ thực hiện, dấu thời gian, tài khoản hoặc định danh liên quan và lịch sử rút lại sự đồng ý.

Tương tự, việc bảo đảm quyền của chủ thể dữ liệu nên để lại dấu vết từ đầu đến cuối. Quy trình, thủ tục và biểu mẫu phải rõ ràng; sau đó mỗi yêu cầu thực tế nên có thời điểm tiếp nhận, nội dung yêu cầu, bộ phận xử lý, phản hồi, kết quả và thời điểm hoàn tất. Chẳng hạn, đối với yêu cầu xóa dữ liệu, Nghị định 356 đặt ra thời hạn phản hồi ban đầu 02 ngày làm việc và thời hạn thực hiện 20 ngày trong trường hợp thông thường; nếu phải yêu cầu bên xử lý hoặc bên thứ ba phối hợp thì thời hạn tương ứng có thể dài hơn. Khi gia hạn, chủ thể có trách nhiệm còn phải có khả năng chứng minh việc gia hạn là cần thiết và hợp lý.

Do đó, email phản hồi, ticket dịch vụ, lịch sử thay đổi dữ liệu, log xóa, biên bản phối hợp với nhà cung cấp và thông báo gia hạn đều có thể trở thành bằng chứng tuân thủ quan trọng. Chính các dấu vết này chứng minh quy trình đã được thực hiện chứ không chỉ tồn tại trên giấy.

Hợp đồng phải chứng minh được vai trò và trách nhiệm của từng bên

Khi dữ liệu đi qua nhà cung cấp, đối tác hoặc bên thứ ba, hợp đồng là mắt xích nối trách nhiệm pháp lý với luồng dữ liệu thực tế. Điều 19 Nghị định 356 đưa bản sao hợp đồng hoặc thỏa thuận xử lý dữ liệu vào thành phần Hồ sơ đánh giá tác động; do đó, một hợp đồng thương mại chỉ mô tả dịch vụ nhưng không xác định nghĩa vụ đối với dữ liệu cá nhân có thể chưa đủ để chứng minh cách các bên phân chia trách nhiệm.

Đối với các trường hợp chuyển giao dữ liệu thuộc Điều 7 Nghị định 356, thỏa thuận phải làm rõ mục đích chuyển giao, nhóm chủ thể và loại dữ liệu, thời hạn xử lý và yêu cầu xóa hủy, cơ sở pháp lý, trách nhiệm bảo vệ, trách nhiệm thực hiện quyền của chủ thể dữ liệu và cơ chế phối hợp khi phát hiện vi phạm. Dữ liệu nhạy cảm còn phải được áp dụng các biện pháp bảo mật phù hợp trong quá trình chuyển giao.

Giá trị chứng minh của hợp đồng tăng lên khi nó khớp với thực tế: danh sách nhà cung cấp đang sử dụng, sơ đồ luồng dữ liệu, quyền truy cập được cấp, nơi lưu trữ, thời hạn giữ dữ liệu và cơ chế xóa khi chấm dứt dịch vụ. Nếu hợp đồng nói nhà cung cấp phải xóa dữ liệu sau khi kết thúc nhưng tổ chức không có biên bản hoặc xác nhận xóa, chuỗi bằng chứng vẫn còn thiếu một mắt xích.

Chính sách nội bộ cần đi kèm bằng chứng kỹ thuật và nhân sự

Nghị định 356 yêu cầu việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức, thể hiện phân công, chức năng, nhiệm vụ và quyền hạn. Nhân sự được chỉ định còn phải đáp ứng các điều kiện về trình độ, kinh nghiệm và đào tạo theo quy định. Vì vậy, quyết định bổ nhiệm, mô tả nhiệm vụ, hồ sơ năng lực, chứng nhận hoặc tài liệu đào tạo là bằng chứng trực tiếp cho cấu phần quản trị này.

Nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân theo Nghị định còn bao gồm tổ chức xây dựng chính sách, quy trình, quy định và biểu mẫu; triển khai quyền của chủ thể dữ liệu; đánh giá tình trạng tuân thủ; lập hồ sơ đánh giá tác động; tiếp nhận và báo cáo vi phạm; tổ chức đào tạo và triển khai các biện pháp kỹ thuật bảo mật. Điều này cho thấy hồ sơ tuân thủ không nên chỉ do bộ phận pháp chế nắm giữ mà phải liên kết với vận hành, công nghệ thông tin, an ninh và các đơn vị sử dụng dữ liệu.

Ở lớp kỹ thuật, bằng chứng có thể là sơ đồ luồng dữ liệu, ma trận phân quyền, lịch sử cấp và thu hồi quyền truy cập, cấu hình mã hóa, nhật ký truy cập, kết quả rà soát quyền, log xóa dữ liệu, biên bản kiểm tra hoặc báo cáo khắc phục lỗ hổng. Không phải mọi tài liệu kỹ thuật này đều là một “biểu mẫu pháp lý bắt buộc” độc lập cho mọi tổ chức; giá trị của chúng nằm ở việc chứng minh những biện pháp an toàn đã khai báo trong hồ sơ và chính sách thực sự đang vận hành.

Hồ sơ sự cố và chuyển dữ liệu xuyên biên giới chỉ phát sinh khi có điều kiện tương ứng

Khi xảy ra vi phạm, tổ chức cần giữ được hồ sơ về thời điểm và cách thức phát hiện, phạm vi dữ liệu bị ảnh hưởng, đánh giá hậu quả, biện pháp xử lý, quyết định có phải thông báo hay không và bằng chứng đã gửi thông báo. Điều 28 Nghị định 356 quy định nội dung thông báo phải mô tả tính chất vi phạm, dữ liệu liên quan, thông tin liên hệ, hậu quả có thể xảy ra và biện pháp giải quyết hoặc giảm thiểu tác hại.

Một số trường hợp có yêu cầu bằng chứng chặt hơn. Với sự cố liên quan dữ liệu vị trí hoặc dữ liệu sinh trắc học, Nghị định quy định phải ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm để phục vụ thanh tra, kiểm tra; hồ sơ này phải được lưu tối thiểu 05 năm kể từ ngày khắc phục xong sự cố. Quy định 05 năm này gắn với trường hợp cụ thể nêu tại Điều 29, không nên suy rộng thành thời hạn lưu hồ sơ sự cố chung cho mọi loại dữ liệu.

Nếu có chuyển dữ liệu cá nhân xuyên biên giới, bộ bằng chứng còn phải bổ sung Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cùng tài liệu nộp và các lần cập nhật tương ứng. Ngược lại, không nên tạo hồ sơ “cho đủ bộ” nếu hoạt động thực tế không phát sinh điều kiện pháp lý đó; điều cần chứng minh là hồ sơ phù hợp với vai trò, quy mô, loại dữ liệu và luồng xử lý thực tế.

Tương tự, nghĩa vụ lập Hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu cũng có các ngoại lệ. Điều 41 Nghị định 356 cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp lựa chọn chưa thực hiện một số nghĩa vụ trong 05 năm, đồng thời quy định ngoại lệ cho chính cơ chế miễn này nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100 nghìn chủ thể dữ liệu trở lên; hộ kinh doanh và doanh nghiệp siêu nhỏ cũng có cơ chế riêng. Vì vậy, trước khi kết luận một tài liệu nào “bắt buộc”, cần xác định chính xác chủ thể có thuộc diện áp dụng hay miễn trừ hay không.

Một hồ sơ chứng minh tuân thủ bảo vệ dữ liệu có sức thuyết phục khi cơ quan kiểm tra hoặc bên liên quan có thể lần theo được toàn bộ chuỗi: dữ liệu nào đang được xử lý, vì mục đích gì, dựa trên căn cứ nào, ai được quyền truy cập, chuyển cho ai, giữ trong bao lâu, chủ thể dữ liệu thực hiện quyền như thế nào, rủi ro đã được đánh giá ra sao và bằng chứng nào xác nhận các biện pháp đã thực sự được áp dụng.

Vì vậy, không nên đồng nhất “đã có chính sách bảo vệ dữ liệu” với “đã chứng minh được tuân thủ”. Chính sách thể hiện quy tắc; hợp đồng xác định trách nhiệm; hồ sơ đánh giá tác động giải thích hoạt động và rủi ro; còn consent log, request log, access log, hồ sơ đào tạo, biên bản xử lý sự cố và bằng chứng nộp hồ sơ mới cho thấy hệ thống tuân thủ đã vận hành trong thực tế.