Quyết định 48/2026/QĐ-UBND Phú Thọ Quy chế bảo vệ dữ liệu cá nhân cơ quan Nhà nước

1. Quy chế này quy định về bảo vệ dữ liệu cá nhân trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh Phú Thọ.

2. Các quy định về bảo vệ dữ liệu cá nhân không nêu trong Quy chế này thực hiện theo quy định của pháp luật hiện hành.

3. Trong Quy chế này, các dẫn chiếu, tham chiếu đến các quy định hoặc văn bản quy phạm pháp luật khác được hiểu là bao gồm cả các văn bản hướng dẫn, sửa đổi, bổ sung hoặc điều chỉnh, thay thế liên quan đến quy định, văn bản được dẫn chiếu.

1. Các cơ quan quản lý hành chính nhà nước và các đơn vị sự nghiệp công lập thuộc phạm vi quản lý của Ủy ban nhân dân tỉnh Phú Thọ có tham gia thu thập, xử lý, lưu trữ dữ liệu cá nhân (sau đây gọi tắt là cơ quan, đơn vị, địa phương).

2. Cán bộ, công chức, viên chức, người lao động đang công tác trong các cơ quan, đơn vị, địa phương quy định tại khoản 1 Điều này; cơ quan, tổ chức, cá nhân được cơ quan, đơn vị, địa phương giao, thuê hoặc phối hợp thực hiện hoạt động thu thập, lưu trữ, xử lý dữ liệu cá nhân trong phạm vi Quy chế này.

1. Bảo vệ dữ liệu cá nhân là yêu cầu bắt buộc, thường xuyên, liên tục, có tính xuyên suốt trong quá trình thu thập, xử lý, lưu trữ dữ liệu cá nhân. Bảo vệ dữ liệu cá nhân cần tuân thủ các nguyên tắc chung quy định tại Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025.

2. Cơ quan, tổ chức, cá nhân quy định tại Điều 2 Quy chế này có trách nhiệm chủ động, tự giác thực hiện công tác bảo vệ dữ liệu cá nhân; chấp hành nghiêm các quy định của pháp luật liên quan và các quy định tại Quy chế này.

1. Dữ liệu cá nhân được thu thập, lưu trữ, xử lý trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh bao gồm:

2. Những trường hợp xử lý các dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu thực hiện theo quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân năm 2025.

3. Việc xử lý dữ liệu cá nhân cần được sự đồng ý của chủ thể dữ liệu cá nhân thực hiện theo các trường hợp quy định tại Điều 9 và Điều 11 Luật Bảo vệ dữ liệu cá nhân năm 2025, trừ trường hợp pháp luật có quy định khác.

1. Ủy ban nhân dân tỉnh Phú Thọ thực hiện vai trò là bên kiểm soát và xử lý dữ liệu cá nhân đối với:

2. Các cơ quan, đơn vị, địa phương thực hiện vai trò là bên kiểm soát và xử lý dữ liệu cá nhân đối với:

3. Cơ quan, đơn vị, địa phương nào có hoạt động xử lý dữ liệu cá nhân mà chưa được xác định tại khoản 1 và khoản 2 Điều này thì Thủ trưởng đơn vị đó có trách nhiệm căn cứ tính chất, mục đích, phạm vi hoạt động xử lý dữ liệu cá nhân của đơn vị mình để xác định vai trò là “bên kiểm soát dữ liệu cá nhân”, “bên kiểm soát và xử lý dữ liệu cá nhân” hoặc “bên xử lý dữ liệu cá nhân” theo quy định của Luật Bảo vệ dữ liệu cá nhân; pháp luật có liên quan và thông báo cho Công an tỉnh để theo dõi, tổng hợp chung.

1. Cơ quan, đơn vị, địa phương sử dụng hệ thống thông tin có chức năng lưu trữ, xử lý dữ liệu cá nhân có trách nhiệm xác định chính xác các cá nhân được cấp quyền truy cập hệ thống để thực hiện nhiệm vụ xử lý dữ liệu cá nhân; phải thực hiện ngay việc gửi đề nghị thay đổi, thu hồi tài khoản truy cập hệ thống thông tin đến đơn vị vận hành hệ thống thông tin ngay sau khi có sự thay đổi về nhân sự hoặc phân công công tác, nhiệm vụ liên quan đến xử lý dữ liệu cá nhân tại cơ quan, đơn vị, địa phương.

2. Cá nhân được cấp tài khoản truy cập hệ thống thông tin để xử lý dữ liệu cá nhân có trách nhiệm:

1. Việc xử lý dữ liệu cá nhân ngoài các hệ thống thông tin điện tử bao gồm dữ liệu dạng bản giấy, thư điện tử, dữ liệu lưu trữ trong thiết bị lưu trữ ngoại vi và các trường hợp khác theo quy định của pháp luật phải tuân thủ các yêu cầu sau:

2. Công chức, viên chức được phân công xử lý dữ liệu cá nhân có trách nhiệm thực hiện đầy đủ các biện pháp bảo đảm an toàn, bảo mật trong quá trình xử lý, cụ thể như sau:

3. Thủ trưởng các cơ quan, đơn vị, địa phương có trách nhiệm ban hành hoặc tổ chức triển khai thực hiện quy trình nội bộ trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân đảm bảo theo đúng quy định tại khoản 1 và khoản 2 Điều 7 trong Quy chế này và quy định của pháp luật có liên quan.

1. Thực hiện bảo đảm an toàn, an ninh mạng đối với hệ thống thông tin theo cấp độ và bảo vệ an ninh mạng đối với các hệ thống thông tin xử lý dữ liệu cá nhân theo đúng quy định của pháp luật về an ninh mạng, trong đó hệ thống thông tin phải đáp ứng các yêu cầu bảo vệ ở cấp độ tương ứng theo quy định hiện hành; tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng. Đối với các dự án đầu tư, nâng cấp hệ thống thông tin xử lý dữ liệu cá nhân sau khi Quy chế này có hiệu lực, cơ quan chủ trì dự án phải đánh giá và nêu rõ căn cứ pháp luật cho việc xử lý dữ liệu cá nhân ngay trong giai đoạn đề xuất chủ trương đầu tư, lập dự án hoặc kế hoạch thuê dịch vụ công nghệ thông tin;

2. Trang bị và duy trì các hệ thống giám sát an ninh mạng, hệ thống ngăn chặn thất thoát dữ liệu đối với hệ thống thông tin có xử lý dữ liệu cá nhân từ cấp độ 3 trở lên để theo dõi liên tục hoạt động của hệ thống mạng, máy chủ; các hệ thống này phải được cấu hình để phát hiện các hành vi bất thường hoặc truy cập trái phép vào dữ liệu và đưa ra cảnh báo sớm để có biện pháp xử lý kịp thời;

3. Hệ thống thông tin xử lý dữ liệu cá nhân phải có tính năng ghi và lưu trữ nhật ký hệ thống trong quá trình xử lý dữ liệu cá nhân; khuyến khích thiết kế hiển thị trên giao diện người dùng thông tin về căn cứ pháp lý của việc xử lý dữ liệu cá nhân để người dùng biết và tuân thủ mục đích, phạm vi cho phép;

4. Áp dụng các biện pháp xác thực và mã hóa đối với kênh kết nối truyền đưa dữ liệu cá nhân giữa các hệ thống thông tin với nhau, cũng như giữa người dùng với hệ thống thông tin;

5. Áp dụng các giải pháp, phần mềm phòng chống mã độc trên máy chủ và máy trạm của hệ thống thông tin xử lý dữ liệu cá nhân. Không sử dụng dữ liệu cá nhân thật trên môi trường thử nghiệm; không được phép xử lý dữ liệu cá nhân trên hệ thống thông tin thử nghiệm; trường hợp cần thử nghiệm, phải sử dụng dữ liệu giả định hoặc đã ẩn danh, để tránh rủi ro lộ lọt dữ liệu cá nhân;

6. Tổ chức đánh giá an ninh, an toàn đối với hệ thống thông tin định kỳ nhằm nhận diện các lỗ hổng bảo mật, điểm yếu trong hệ thống, từ đó áp dụng các biện pháp khắc phục, phòng ngừa rủi ro tương ứng. Việc kiểm tra, đánh giá an ninh mạng định kỳ đối với hệ thống thông tin xử lý dữ liệu cá nhân phải đồng thời bao gồm kiểm tra việc tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân, bên cạnh việc kiểm tra về an toàn, an ninh mạng theo quy định chung;

7. Định kỳ bảo trì, bảo dưỡng, nâng cấp phần cứng, phần mềm của hệ thống thông tin; kịp thời cập nhật các bản vá bảo mật cho hệ điều hành, cơ sở dữ liệu và ứng dụng nhằm duy trì, cải thiện hiệu suất và tính bảo mật của hệ thống. Các trang thiết bị thuộc hệ thống thông tin có chức năng thu thập, lưu trữ, xử lý dữ liệu cá nhân phải được kiểm tra an ninh thông tin trước khi đưa vào sử dụng và sau khi tiến hành bảo dưỡng, sửa chữa, nâng cấp;

8. Thực hiện xóa an toàn toàn bộ dữ liệu cá nhân trên hệ thống thông tin khi hệ thống kết thúc vận hành, chấm dứt sử dụng hoặc cần thay thế bằng hệ thống khác, trừ trường hợp pháp luật cho phép hoặc yêu cầu lưu trữ để chuyển sang hệ thống mới.

1. Bổ sung vào quy trình biên tập tin, bài, phóng sự việc rà soát dữ liệu cá nhân trong nội dung và thực hiện “kiểm duyệt 02 bước” qua bộ phận chuyên trách về công nghệ thông tin và công tác bảo vệ dữ liệu cá nhân trước khi đăng trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến. Tuyệt đối không đăng công khai các thông tin chứa dữ liệu cá nhân nhạy cảm nếu không thực sự cần thiết;

2. Rà soát, bảo đảm các trường thông tin được hiển thị công khai trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến không vi phạm quy định về bảo vệ dữ liệu cá nhân; kịp thời gỡ bỏ thông tin không cần thiết hoặc có nguy cơ gây lộ, lọt dữ liệu cá nhân;

3. Khuyến khích tích hợp, hiển thị chức năng cảnh báo rủi ro lộ lọt dữ liệu cá nhân đối với các chuyên mục có khả năng công khai thông tin do chủ thể dữ liệu cá nhân tự nhập liệu trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến; áp dụng các công cụ kỹ thuật bao gồm AI, bộ lọc từ khóa hoặc công cụ khác để kiểm soát việc hiển thị nội dung có chứa dữ liệu cá nhân trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến;

4. Khi phát hiện nội dung đã công khai có chứa dữ liệu cá nhân không đúng quy định, cơ quan, đơn vị, địa phương thực hiện đăng tải phải ngay lập tức gỡ bỏ, vô hiệu hóa nội dung đăng tải. Đồng thời xác định trách nhiệm của tổ chức, cá nhân có liên quan, đánh giá mức độ vi phạm và xem xét xử lý theo quy định tại Quy chế này.

1. Khi phát hiện cá nhân thuộc cơ quan, đơn vị mình quản lý có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, Thủ trưởng cơ quan, đơn vị trực tiếp quản lý cá nhân vi phạm có trách nhiệm xem xét, xử lý như sau:

2. Trường hợp phát hiện hành vi vi phạm quy định bảo vệ dữ liệu cá nhân trên địa bàn tỉnh do các đối tượng không thuộc quyền quản lý của tỉnh thực hiện:

3. Trong vòng 72 giờ kể từ khi phát hiện vi phạm đối với trường hợp thuộc diện phải thông báo, cơ quan có thẩm quyền phải gửi Thông báo vi phạm đến Cơ quan chuyên trách bảo vệ dữ liệu cá nhân của Bộ Công an; đồng thời báo cáo Ủy ban nhân dân tỉnh và áp dụng ngay các biện pháp ngăn chặn, khắc phục hậu quả kịp thời theo quy định. Quy trình, cách thức, biểu mẫu, nơi nhận thông báo thực hiện theo Điều 23 Luật Bảo vệ dữ liệu cá nhân và theo Điều 28, Điều 29 Nghị định số 356/2025/NĐ-CP. Công an tỉnh tham mưu, giúp Ủy ban nhân dân tỉnh theo dõi, đôn đốc việc thông báo này khi có vụ việc vi phạm xảy ra trên địa bàn tỉnh.

1. Tham mưu Ủy ban nhân dân tỉnh về công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh và chịu trách nhiệm tham mưu, giúp Ủy ban nhân dân tỉnh trong công tác quản lý nhà nước về bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

2. Tham mưu giúp Ủy ban nhân dân tỉnh tổ chức triển khai công tác bảo vệ dữ liệu cá nhân trong phạm vi toàn tỉnh; hướng dẫn, đôn đốc, kiểm tra, đánh giá các cơ quan, đơn vị trong việc thực hiện Quy chế này và tuân thủ các quy định pháp luật, hướng dẫn của Bộ Công an về bảo vệ dữ liệu cá nhân. Kịp thời báo cáo, đề xuất Chủ tịch Ủy ban nhân dân tỉnh sửa đổi, bổ sung Quy chế này khi cần thiết, nhằm bảo đảm phù hợp với các quy định, tiêu chuẩn, quy chuẩn kỹ thuật liên quan và với tình hình thực tế triển khai tại địa phương.

3. Phối hợp với các cơ quan, đơn vị tổ chức tuyên truyền, phổ biến và nâng cao nhận thức của cán bộ, công chức, viên chức, các tổ chức, cá nhân khác trong phạm vi quản lý của tỉnh về các quy định pháp luật về bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

4. Tham mưu Ủy ban nhân dân tỉnh hướng dẫn, kiểm tra, đôn đốc các cơ quan, đơn vị, địa phương đảm bảo việc đáp ứng các quy định về bảo vệ dữ liệu cá nhân đối với các hệ thống thông tin do Ủy ban nhân dân tỉnh làm chủ quản (ngoại trừ các hệ thống thông tin Ủy ban nhân dân tỉnh đã ủy quyền cho đơn vị khác quản lý theo quy định riêng).

5. Tham mưu Ủy ban nhân dân tỉnh thực hiện chế độ thông tin, báo cáo, tổng hợp về công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh định kỳ và khi có yêu cầu của các cơ quan cấp trên có thẩm quyền theo quy định.

6. Chỉ định đơn vị, bộ phận chuyên trách và nhân sự chuyên trách công tác bảo vệ dữ liệu cá nhân tại Công an tỉnh để thực hiện nhiệm vụ đầu mối tham mưu, phối hợp triển khai công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

7. Phối hợp kiểm tra an ninh thông tin theo thẩm quyền đối với các trang thiết bị thuộc hệ thống thông tin có chức năng thu thập, xử lý, lưu trữ dữ liệu cá nhân trước khi đưa vào sử dụng và sau khi tiến hành bảo dưỡng, sửa chữa, nâng cấp.

8. Kịp thời thông báo các lỗ hổng bảo mật có nguy cơ gây lộ, lọt dữ liệu cá nhân được phát hiện và các phương thức, thủ đoạn đánh cắp, chiếm đoạt, thu thập, sử dụng, mua bán, công khai hóa trái phép dữ liệu cá nhân; chủ động trong công tác phát hiện, phòng ngừa, đấu tranh, ngăn chặn các loại tội phạm và các hành vi vi phạm pháp luật xâm phạm an ninh dữ liệu và thông tin cá nhân trên địa bàn tỉnh.

9. Tham mưu Ủy ban nhân dân tỉnh tổ chức tập huấn, hướng dẫn áp dụng, tuân thủ và thi hành các quy định của pháp luật về bảo vệ dữ liệu cá nhân; hỗ trợ các cơ quan, đơn vị, địa phương giải quyết, khắc phục sự cố liên quan công tác bảo vệ dữ liệu cá nhân khi có yêu cầu.

10. Phối hợp các cơ quan, đơn vị, địa phương và các lực lượng chức năng trong công tác xác minh, điều tra, xử lý các trường hợp vi phạm về công tác bảo vệ dữ liệu cá nhân theo thẩm quyền và theo quy định của pháp luật.

1. Tổ chức triển khai, giám sát và kiểm tra việc thực hiện Quy chế này và các quy định pháp luật về bảo vệ dữ liệu cá nhân tại cơ quan, đơn vị mình và các đơn vị trực thuộc (nếu có). Thường xuyên phổ biến, quán triệt tới toàn thể cán bộ, công chức, viên chức thuộc phạm vi quản lý về quyền và nghĩa vụ trong bảo vệ dữ liệu cá nhân, xác định rõ trách nhiệm phải thực hiện và tiến độ thời gian theo quy định của pháp luật.

2. Rà soát, đánh giá các quy trình thu thập, xử lý dữ liệu cá nhân trong phạm vi quản lý; kịp thời đề xuất ban hành các biện pháp quản lý phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của cơ quan, đơn vị mình. Kiên quyết xử lý nghiêm các hành vi chuyển giao, mua bán dữ liệu cá nhân trái phép nếu phát hiện trong lĩnh vực, địa bàn mình quản lý.

3. Báo cáo tình hình bảo vệ dữ liệu cá nhân theo yêu cầu của cơ quan nhà nước có thẩm quyền; đồng thời gửi báo cáo cho Công an tỉnh để tổng hợp, báo cáo theo quy định.

4. Chỉ định bằng văn bản bộ phận hoặc cá nhân phụ trách công tác bảo vệ dữ liệu cá nhân của cơ quan, đơn vị có trách nhiệm chính trong bảo đảm các hệ thống thông tin do đơn vị làm chủ quản (hoặc được Ủy ban nhân dân tỉnh ủy quyền quản lý) đáp ứng yêu cầu về bảo vệ dữ liệu cá nhân theo quy định, đồng thời là đầu mối thực hiện chế độ báo cáo khi có yêu cầu.

5. Trường hợp đơn vị thực hiện vai trò bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên xử lý dữ liệu cá nhân, đơn vị phải thực hiện các trách nhiệm tương ứng được quy định tại Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP và tại Quy chế này.

6. Thủ trưởng các cơ quan, đơn vị chịu trách nhiệm trước Chủ tịch Ủy ban nhân dân tỉnh về việc ban hành hoặc tổ chức triển khai thực hiện quy trình nội bộ, quản trị hệ thống thông tin, kiểm tra đánh giá và xử lý vi phạm về bảo vệ dữ liệu cá nhân tại cơ quan, đơn vị mình quản lý, bảo đảm tuân thủ đúng quy định của pháp luật và Quy chế này.

1. Tuân thủ nghiêm các quy định của pháp luật về bảo vệ dữ liệu cá nhân và các quy định tại Quy chế này trong quá trình thực thi nhiệm vụ.

2. Thực hiện đúng quyền và nghĩa vụ của chủ thể dữ liệu đối với dữ liệu cá nhân của bản thân theo quy định pháp luật.

3. Chủ động áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong phạm vi công việc của mình; khi phát hiện dữ liệu cá nhân có nguy cơ bị lộ, lọt hoặc không được bảo vệ đúng quy định, phải báo cáo ngay với bộ phận phụ trách và yêu cầu đơn vị quản lý dữ liệu có biện pháp khắc phục kịp thời, đúng quy định.

4. Thông báo kịp thời cho thủ trưởng cơ quan, đơn vị về các trường hợp vi phạm quy định bảo vệ dữ liệu cá nhân xảy ra tại đơn vị. Chịu trách nhiệm trước pháp luật và trước cơ quan quản lý về những vi phạm hoặc tổn thất, mất mát dữ liệu cá nhân do mình gây ra do không tuân thủ các quy định của Quy chế này và của pháp luật liên quan.

1. Các tổ chức, cá nhân liên quan trong quá trình thu thập, lưu trữ, xử lý dữ liệu cá nhân trong hoạt động của các cơ quan, đơn vị, địa phương phải tuân thủ Quy chế này và các quy định hiện hành của pháp luật về bảo vệ dữ liệu cá nhân.

2. Cơ quan, tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân sẽ bị xem xét xử lý kỷ luật và bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự theo quy định của pháp luật, tùy theo tính chất, mức độ vi phạm. Trường hợp gây thiệt hại cho người có dữ liệu cá nhân bị xâm phạm thì phải bồi thường theo quy định của Bộ luật Dân sự và các quy định pháp luật có liên quan.

1. Căn cứ Quy chế này, Thủ trưởng, người đứng đầu các cơ quan, đơn vị, địa phương quy định tại khoản 1 Điều 2 Quy chế này có trách nhiệm tổ chức triển khai thực hiện trong phạm vi quản lý. Định kỳ 6 tháng (trước ngày 15 tháng 6), hằng năm (trước ngày 15 tháng 12) hoặc khi có yêu cầu đột xuất, các đơn vị báo cáo Ủy ban nhân dân tỉnh kết quả triển khai, thực hiện Quy chế (qua Công an tỉnh).

2. Công an tỉnh có trách nhiệm theo dõi, đôn đốc, kiểm tra, đánh giá việc thực hiện Quy chế, báo cáo Ủy ban nhân dân tỉnh theo định kỳ hoặc đột xuất theo yêu cầu của cơ quan có thẩm quyền.

3. Các nội dung liên quan tới bảo vệ dữ liệu cá nhân chưa được quy định tại Quy chế này hoặc chưa có sự thống nhất với Quy chế này và quy định pháp luật hiện hành thì thực hiện theo quy định của pháp luật.

4. Các cơ quan, đơn vị, địa phương chủ động rà soát các hệ thống thông tin xử lý dữ liệu cá nhân được giao quản lý và tổ chức triển khai thực hiện các phương án bảo đảm các hệ thống thông tin trên đáp ứng các yêu cầu về công tác bảo vệ dữ liệu cá nhân quy định tại Quy chế này.

5. Trong quá trình thực hiện Quy chế này, nếu phát sinh khó khăn, vướng mắc, không phù hợp, các cơ quan, đơn vị, địa phương và tổ chức, cá nhân có liên quan phản ánh kịp thời về Công an tỉnh để tổng hợp báo cáo Ủy ban nhân dân tỉnh xem xét điều chỉnh, bổ sung.

1. Kinh phí công tác bảo vệ dữ liệu cá nhân được bố trí từ nguồn ngân sách nhà nước và các nguồn kinh phí hợp pháp khác.

2. Kinh phí thực hiện bảo đảm theo phân cấp ngân sách hiện hành, được bố trí trong dự toán ngân sách hàng năm của cơ quan, đơn vị, địa phương theo quy định./.