Bảo vệ dữ liệu cá nhân

Bảo vệ dữ liệu cá nhân là gì?

Bảo vệ dữ liệu cá nhân (Personal Data Protection) là tập hợp các quy định pháp luật và biện pháp kỹ thuật nhằm bảo vệ thông tin cá nhân của khách hàng trước các hành vi thu thập, sử dụng, lưu trữ hoặc chia sẻ trái phép. Trong lĩnh vực ngân hàng, đây là yêu cầu bắt buộc do khối lượng dữ liệu nhạy cảm (CMND/CCCD, tài khoản, giao dịch) rất lớn.

Đặc điểm chính

• Nguyên tắc 6 điều kiện xử lý dữ liệu: Đồng ý, thực thi hợp đồng, nghĩa vụ pháp lý, bảo vệ lợi ích sống còn, công vụ, lợi ích hợp pháp.
• Phạm vi dữ liệu cần bảo vệ: Họ tên, ngày sinh, số CCCD, địa chỉ, số tài khoản, lịch sử tín dụng, sinh trắc học.
• Nghĩa vụ của tổ chức: Thông báo thu thập, ghi nhận xử lý, đánh giá tác động, thông báo vi phạm trong 72 giờ.
• Quyền của chủ thể dữ liệu: Được biết, truy cập, chỉnh sửa, xóa, hạn chế xử lý.
• Xử phạt: Phạt tới 5% doanh thu năm trước hoặc 5 tỷ đồng.

Căn cứ pháp lý Việt Nam

Nghị định 13/2023/NĐ-CP ngày 17/4/2023 có hiệu lực từ 01/7/2023 là văn bản chuyên ngành đầu tiên về bảo vệ dữ liệu cá nhân. Ngoài ra còn có Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, và các quy định của NHNN tại Thông tư 04/2024 về an toàn, bảo mật trong hoạt động ngân hàng.

Ví dụ minh họa

Ngân hàng A triển khai hệ thống eKYC thu thập ảnh chân dung, số CCCD của khách hàng mở tài khoản. Khi khách hàng đồng ý, ngân hàng phải ghi nhận thời điểm đồng ý, mục đích sử dụng, thời gian lưu trữ. Nếu hệ thống bị tấn công làm lộ 10.000 bản ghi khách hàng, ngân hàng phải thông báo cho Cục An toàn thông tin và chủ thể dữ liệu trong vòng 72 giờ, đồng thời chịu phạt tới hàng tỷ đồng theo Nghị định 13/2023.