Thông tư 117/2026/TT-BCA Quy định quy trình bảo vệ dữ liệu và an ninh mạng

a) Bảo đảm thực hiện trong phạm vi, chức năng, nhiệm vụ được giao, gắn trách nhiệm của người đứng đầu cơ quan chủ quản dữ liệu đối với tính chính xác, đầy đủ của dữ liệu được chia sẻ, đồng bộ. Bảo đảm thông tin được đồng bộ kịp thời khi có phát sinh, thay đổi. Không làm phát sinh cơ sở dữ liệu trùng lặp, mâu thuẫn với Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước;

b) Phục vụ công tác quản lý nhà nước, giải quyết thủ tục hành chính, cung cấp dịch vụ công, hoạt động nghiệp vụ theo chức năng, nhiệm vụ được giao; không sử dụng thông tin vào mục đích khác;

c) Phải bảo đảm yêu cầu về an ninh mạng, bảo mật thông tin và bảo vệ dữ liệu; có cơ chế kiểm soát, giám sát và lưu vết theo quy định. Việc kết nối, chia sẻ, đồng bộ dữ liệu không được làm thay đổi, làm sai lệch hoặc làm mất dữ liệu gốc khi chưa có căn cứ pháp lý.

a) Việc tra cứu, khai thác, sử dụng thông tin chỉ được thực hiện phục vụ công tác quản lý nhà nước, giải quyết thủ tục hành chính, hoạt động nghiệp vụ theo chức năng, nhiệm vụ, quyền hạn được giao và các mục đích khác theo quy định của pháp luật;

b) Thông tin được tra cứu, khai thác, sử dụng phải đúng đối tượng, đúng phạm vi, đúng mục đích; không được sử dụng vào mục đích trái pháp luật hoặc ngoài phạm vi được phép;

c) Quá trình tra cứu, khai thác, sử dụng thông tin phải được kiểm soát, giám sát thông qua hệ thống kỹ thuật. Được ghi nhật ký đầy đủ, bảo đảm truy vết được người tra cứu, thời điểm, nội dung tra cứu;

d) Việc quản lý, khai thác, sử dụng thông tin phải bảo đảm an ninh mạng và bảo vệ dữ liệu, áp dụng biện pháp kỹ thuật, biện pháp quản lý để phòng ngừa, phát hiện, ngăn chặn truy cập trái phép. Phân quyền truy cập theo vị trí việc làm, chức năng, nhiệm vụ và thực hiện kiểm tra, đánh giá an ninh mạng trước và trong quá trình kết nối, chia sẻ, khai thác thông tin.

a) Thông tin thu thập từ tàng thư căn cước, cư trú và tàng thư khác do lực lượng Công an nhân dân quản lý;

b) Thông tin phát sinh từ việc giải quyết thủ tục hành chính có liên quan đến cá nhân theo quy định của pháp luật;

c) Thông tin phát sinh từ hoạt động nghiệp vụ của lực lượng Công an phục vụ yêu cầu quản lý nhà nước về an ninh, trật tự;

d) Thông tin được kết nối, chia sẻ, đồng bộ từ cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành và hệ thống thông tin khác theo quy định;

đ) Thông tin do cá nhân cung cấp và đề nghị thu thập, cập nhật theo quy định của pháp luật về cư trú, căn cước.

a) Có căn cứ pháp lý theo quy định của pháp luật;

b) Phù hợp với phạm vi thông tin được phép thu thập, cập nhật vào Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước;

c) Được thu thập, cập nhật bởi cơ quan, cá nhân có thẩm quyền theo quy định;

d) Bảo đảm yêu cầu về an ninh mạng, bảo vệ dữ liệu;

đ) Thông tin phát sinh từ việc giải quyết thủ tục hành chính được cập nhật vào Cơ sở dữ liệu quốc gia về dân cư trên cơ sở kết quả giải quyết thủ tục hành chính đã được phê duyệt theo thẩm quyền; cơ quan giải quyết thủ tục hành chính chịu trách nhiệm về tính chính xác, đầy đủ của thông tin đã cập nhật;

e) Thông tin được kết nối, chia sẻ, đồng bộ từ cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành và hệ thống thông tin khác được thực hiện theo phương thức, phạm vi và nội dung đã được cơ quan có thẩm quyền phê duyệt; cơ quan quản lý cơ sở dữ liệu cung cấp thông tin chịu trách nhiệm về tính chính xác, đầy đủ của thông tin được chia sẻ theo quy định của pháp luật.

a) Xác định rõ thông tin phát sinh từ thủ tục hành chính, từ cá nhân cung cấp, từ hoạt động quản lý cư trú hoặc từ nguồn hợp pháp khác;

b) Kiểm tra tính chính xác của thông tin theo từng trường dữ liệu cần thu thập;

c) Kiểm tra giấy tờ, tài liệu làm căn cứ thu thập, đối chiếu với bản chính (nếu có);

d) Tra cứu, đối chiếu thông tin với dữ liệu hiện có trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước thông qua hệ thống nghiệp vụ.

a) Trường hợp thông tin đầy đủ, hợp lệ, thống nhất với dữ liệu hiện có thì ghi nhận, thu thập thông tin, báo cáo Trưởng Công an cấp xã phê duyệt để thực hiện cập nhật lên hệ thống Cơ sở dữ liệu quốc gia về dân cư;

b) Trường hợp thông tin chưa đầy đủ hoặc chưa hợp lệ thì hướng dẫn cá nhân bổ sung, hoàn thiện theo quy định;

c) Trường hợp thông tin có dấu hiệu mâu thuẫn, sai lệch hoặc chưa rõ căn cứ thì chưa thực hiện cập nhật thông tin, đồng thời thu thập giấy tờ, tài liệu làm căn cứ tiến hành xác minh các thông tin sai lệch và báo cáo Trưởng Công an cấp xã để chỉ đạo kiểm tra, xác minh. Thời hạn thực hiện xác minh không quá 02 ngày làm việc, trường hợp phức tạp không quá 03 ngày làm việc.

a) Thu thập, tổng hợp các tài liệu, thông tin trong phạm vi thẩm quyền;

b) Lập báo cáo kết quả xác minh, nêu rõ nội dung đã làm rõ và nội dung chưa làm rõ;

c) Căn cứ kết quả xác minh xác định trường hợp trùng khớp thông tin thì thực hiện theo điểm a khoản 3 Điều này. Trường hợp thông tin chưa trùng hoặc chỉ trùng một phần thì báo cáo Công an cấp tỉnh xem xét quyết định; chỉ thực hiện cập nhật thông tin sau khi có ý kiến hoặc kết luận của Công an cấp tỉnh.

a) Trưởng Công an cấp xã thực hiện kiểm tra, phê duyệt đối với các trường hợp cập nhật, điều chỉnh thông tin theo quy định; dữ liệu sau khi được phê duyệt được đồng bộ, cập nhật thống nhất trên hệ thống Cơ sở dữ liệu quốc gia về dân cư;

b) Sau khi hoàn thành việc cập nhật, điều chỉnh thông tin, Công an cấp xã có trách nhiệm phản hồi kết quả xử lý về Cơ quan quản lý căn cước của Bộ Công an thông qua hệ thống nghiệp vụ; đồng thời thực hiện lưu trữ hồ sơ điện tử, hồ sơ giấy (nếu có) theo quy định của pháp luật và của Bộ Công an.

a) Tiếp nhận và kiểm tra thông tin cập nhật, điều chỉnh từ hệ thống Cơ sở dữ liệu quốc gia về dân cư;

b) Trường hợp thông tin được chia sẻ, đồng bộ phù hợp, thống nhất với dữ liệu hiện có và có căn cứ pháp lý rõ ràng thì cán bộ tiếp nhận báo cáo đề xuất Trưởng Công an cấp xã phê duyệt thực hiện cập nhật, điều chỉnh thông tin theo đúng nội dung được chia sẻ, đồng bộ;

c) Trường hợp thông tin được chia sẻ, đồng bộ có sự mâu thuẫn hoặc chưa rõ căn cứ pháp lý thì Công an cấp xã thực hiện kiểm tra, xác minh và chỉ thực hiện cập nhật, điều chỉnh thông tin khi đã kiểm tra, xác minh đúng thông tin. Thời hạn thực hiện xác minh không quá 02 ngày làm việc, trường hợp phức tạp không quá 03 ngày làm việc.

a) Xác định rõ nội dung thông tin đề nghị cập nhật, điều chỉnh;

b) Đối chiếu thông tin đề nghị cập nhật, điều chỉnh với dữ liệu hiện có và giấy tờ, tài liệu do cá nhân cung cấp;

c) Trường hợp thông tin cá nhân đề nghị cập nhật, điều chỉnh đầy đủ, hợp lệ, có căn cứ pháp lý rõ ràng thì cán bộ tiếp nhận báo cáo đề xuất Trưởng Công an cấp xã phê duyệt thực hiện cập nhật, điều chỉnh thông tin theo nội dung được đề nghị;

d) Trường hợp thông tin đề nghị cập nhật, điều chỉnh chưa rõ căn cứ, có sự khác nhau giữa dữ liệu đang được lưu trữ với giấy tờ, tài liệu do cá nhân cung cấp hoặc cần xác minh, cán bộ tiếp nhận báo cáo đề xuất Trưởng Công an cấp xã thực hiện việc xác minh theo quy định; thời hạn thực hiện xác minh không quá 01 ngày làm việc, trường hợp phức tạp không quá 02 ngày làm việc;

đ) Trường hợp hồ sơ không đủ điều kiện thì cán bộ từ chối tiếp nhận, thông báo cho công dân và nêu rõ lý do.

a) Việc thiết lập cấu hình bảo mật trên thiết bị hệ thống, máy chủ, ứng dụng và cơ sở dữ liệu; việc vận hành các giải pháp bảo đảm an ninh, an toàn cho hệ thống;

b) Phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống đối với thiết bị hệ thống, máy chủ và ứng dụng;

c) An toàn thông tin cho mã nguồn ứng dụng;

d) An ninh, an toàn thông tin phần cứng;

đ) Đánh giá an toàn thiết bị và người sử dụng đầu cuối, bao gồm việc quản lý, cấu hình bảo mật, kiểm soát mã độc, thiết bị lưu trữ, thiết bị ngoại vi, tài khoản, mật khẩu, quyền truy cập và việc chấp hành quy định về bảo mật thông tin, bảo vệ dữ liệu trong quá trình kết nối, truy cập, khai thác hệ thống;

e) Việc ban hành các quy định, chính sách quản lý tài khoản, ra, vào khu vực máy chủ, quản lý mật khẩu các tài khoản quản trị, quản lý truy cập, các văn bản thỏa thuận về quyền, nghĩa vụ, trách nhiệm của chủ thể tham gia quản lý, vận hành, cung cấp dịch vụ đối với hệ thống thông tin;

g) Hồ sơ đề xuất cấp độ hệ thống thông tin có yêu cầu kết nối hệ thống Cơ sở dữ liệu quốc gia về dân cư;

h) An ninh dữ liệu (tạo dữ liệu, truyền đưa dữ liệu, lưu trữ dữ liệu, khai thác, sử dụng dữ liệu, xóa bỏ dữ liệu...).

a) Kiểm tra, đánh giá an ninh mạng của hệ thống thông tin có yêu cầu kết nối với Cơ sở dữ liệu quốc gia về dân cư trước khi kết nối và có văn bản xác nhận việc bảo đảm an ninh mạng. Trường hợp các hệ thống thông tin có yêu cầu kết nối với Cơ sở dữ liệu quốc gia về dân cư đã được kết nối với nền tảng định danh và xác thực điện tử thì không phải kiểm tra, đánh giá an ninh mạng theo quy định tại khoản 2 Điều này;

b) Kiểm tra, đánh giá đột xuất việc bảo đảm an ninh mạng của hệ thống thông tin quan trọng về an ninh quốc gia kết nối với Cơ sở dữ liệu quốc gia về dân cư theo nội dung quy định tại khoản 2 Điều này;

c) Kiểm tra, đánh giá định kỳ theo quy định của pháp luật bảo đảm an ninh mạng của hệ thống thông tin kết nối với Cơ sở dữ liệu quốc gia về dân cư theo nội dung quy định tại khoản 2 Điều này; trừ hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ; hệ thống thông tin đã được chia sẻ trực tuyến dữ liệu về giám sát an ninh mạng cho Bộ Công an hoặc hệ thống thông tin đã được cơ quan có thẩm quyền tiến hành kiểm tra, đánh giá, xác nhận việc bảo đảm an ninh, an toàn không quá 01 năm theo quy định pháp luật về bảo vệ an ninh mạng đối với hệ thống thông tin;

d) Trường hợp qua kiểm tra, đánh giá, giám sát thường xuyên hoặc đột xuất phát hiện hệ thống thông tin kết nối với Cơ sở dữ liệu quốc gia về dân cư có dấu hiệu mất an ninh mạng, không còn đáp ứng điều kiện bảo đảm an ninh mạng hoặc vi phạm quy định về kết nối, chia sẻ, khai thác, sử dụng thông tin, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao có trách nhiệm thông báo, kiến nghị cơ quan quản lý Cơ sở dữ liệu quốc gia về dân cư thuộc Bộ Công an xem xét, quyết định tạm dừng kết nối, yêu cầu khắc phục hoặc xử lý theo quy định của pháp luật.

a) Cung cấp tài liệu kỹ thuật phục vụ kết nối, chia sẻ, khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư cho cơ quan, tổ chức có đề nghị kết nối;

b) Hỗ trợ các cơ quan, tổ chức thực hiện kết nối, điều chỉnh phần mềm và kiểm thử kỹ thuật các dịch vụ chia sẻ, khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư.

a) Thông tin định danh cơ bản của cá nhân và các thông tin khác theo quy định tại khoản 1 Điều 15 Luật Căn cước;

b) Ngoài các thông tin trên, cơ quan, tổ chức, cá nhân được khai thác thông tin sinh trắc học khi được pháp luật cho phép và phù hợp với chức năng, nhiệm vụ của cơ quan, tổ chức khai thác.

a) Thông tin sinh trắc học của công dân, bao gồm ảnh khuôn mặt, vân tay, mống mắt, ADN và các dữ liệu sinh trắc học khác, chỉ được khai thác trong trường hợp thật sự cần thiết, phục vụ trực tiếp cho mục đích xác thực danh tính, giải quyết thủ tục hành chính; bảo đảm an ninh quốc gia, trật tự, an toàn xã hội, phòng, chống tội phạm và vi phạm pháp luật hoặc theo yêu cầu bằng văn bản của cơ quan có thẩm quyền theo quy định của pháp luật;

b) Việc khai thác thông tin sinh trắc học phải được ghi nhận, kiểm soát, giám sát thông qua hệ thống kỹ thuật; bảo đảm truy vết được tổ chức, cá nhân thực hiện khai thác và mục đích khai thác.

a) Ưu tiên sử dụng kết quả xác thực (đúng/sai, trùng khớp/không trùng khớp) thay vì cung cấp trực tiếp dữ liệu sinh trắc học gốc;

b) Áp dụng các biện pháp kỹ thuật, nghiệp vụ để mã hóa, phân quyền truy cập và bảo đảm an toàn tuyệt đối đối với thông tin sinh trắc học trong quá trình khai thác, truyền nhận và lưu trữ.

a) Hệ thống thông tin của cơ quan, tổ chức đề nghị kết nối với Cơ sở dữ liệu căn cước phải đáp ứng các yêu cầu bảo đảm an ninh mạng hệ thống thông tin theo cấp độ. Việc xác định cấp độ cho hệ thống thông tin tuân thủ quy định tại Nghị định bảo vệ an ninh mạng hệ thống thông tin;

b) Có phương án bảo đảm an ninh mạng, phương án ứng cứu, khắc phục sự cố và phương án bảo vệ dữ liệu, dữ liệu sinh trắc học đã được người đứng đầu cơ quan, tổ chức phê duyệt;

c) Chỉ được kết nối sau khi có văn bản chấp thuận của cơ quan quản lý Cơ sở dữ liệu căn cước thuộc Bộ Công an.

a) Trước khi thực hiện kết nối hoặc khi có sự điều chỉnh, thay đổi về kiến trúc, thiết kế, chức năng, phạm vi khai thác thông tin của hệ thống thông tin đã kết nối, cơ quan, tổ chức phải thực hiện kiểm tra, đánh giá an ninh mạng;

b) Việc kiểm tra, đánh giá phải được thực hiện bắt buộc bằng thiết bị, phần mềm nghiệp vụ chuyên dụng của lực lượng Công an hoặc do lực lượng Công an chỉ định;

c) Chỉ được kết nối hoặc duy trì kết nối sau khi có văn bản xác nhận đáp ứng yêu cầu an ninh mạng của cơ quan có thẩm quyền thuộc Bộ Công an.

a) Việc thiết lập cấu hình bảo mật trên thiết bị hệ thống, máy chủ, ứng dụng và cơ sở dữ liệu; việc vận hành các giải pháp bảo đảm an ninh, an toàn cho hệ thống;

b) Kiểm tra, phát hiện mã độc, lỗ hổng, điểm yếu bảo mật; thử nghiệm xâm nhập đối với hệ thống, máy chủ, ứng dụng và giao diện kết nối;

c) Đánh giá an ninh mạng đối với mã nguồn ứng dụng, đặc biệt là các chức năng liên quan đến truy cập, xử lý, truyền nhận dữ liệu căn cước và dữ liệu sinh trắc học;

d) Đánh giá an ninh, an toàn thông tin phần cứng, thiết bị lưu trữ, thiết bị bảo mật chuyên dụng;

đ) Đánh giá an toàn thiết bị và người sử dụng đầu cuối, bao gồm việc quản lý, cấu hình bảo mật, kiểm soát mã độc, thiết bị lưu trữ, thiết bị ngoại vi, tài khoản, mật khẩu, quyền truy cập và việc chấp hành quy định về bảo mật thông tin, bảo vệ dữ liệu trong quá trình kết nối, truy cập, khai thác hệ thống;

e) Việc ban hành, tổ chức thực hiện các quy chế, chính sách quản lý tài khoản, phân quyền truy cập, quản lý mật khẩu, quản lý nhật ký truy cập; kiểm soát ra, vào khu vực đặt máy chủ; các thỏa thuận, cam kết về trách nhiệm của các chủ thể tham gia quản lý, vận hành, khai thác hệ thống thông tin;

g) Hồ sơ đề xuất cấp độ hệ thống thông tin có yêu cầu kết nối hệ thống Cơ sở dữ liệu về căn cước;

h) An ninh dữ liệu (tạo dữ liệu, truyền đưa dữ liệu, lưu trữ dữ liệu, khai thác, sử dụng dữ liệu, xóa bỏ dữ liệu...).

a) Kiểm tra, đánh giá an ninh mạng của hệ thống thông tin trước khi kết nối và ban hành văn bản xác nhận đủ điều kiện kết nối; trường hợp hệ thống thông tin đã được kết nối, xác thực thông qua nền tảng định danh và xác thực điện tử do Bộ Công an quản lý thì được xem xét miễn kiểm tra theo khoản 2 Điều này;

b) Kiểm tra, đánh giá đột xuất khi phát hiện dấu hiệu mất an ninh mạng, vi phạm quy định về khai thác, sử dụng thông tin căn cước hoặc theo yêu cầu công tác bảo đảm an ninh quốc gia, trật tự, an toàn xã hội;

c) Kiểm tra, đánh giá định kỳ theo quy định của pháp luật đối với các hệ thống thông tin kết nối với Cơ sở dữ liệu căn cước; trừ trường hợp hệ thống thông tin đã chia sẻ trực tuyến dữ liệu giám sát an ninh mạng cho Bộ Công an hoặc đã được cơ quan có thẩm quyền kiểm tra, đánh giá, xác nhận đáp ứng yêu cầu an ninh mạng trong thời hạn không quá 01 năm theo quy định pháp luật về bảo vệ an ninh mạng đối với hệ thống thông tin.

a) Cung cấp tài liệu kỹ thuật phục vụ kết nối, chia sẻ, khai thác thông tin trong Cơ sở dữ liệu căn cước cho cơ quan, tổ chức có đề nghị kết nối;

b) Hỗ trợ các cơ quan, tổ chức thực hiện kết nối, điều chỉnh phần mềm và kiểm thử kỹ thuật các dịch vụ chia sẻ, khai thác thông tin trong Cơ sở dữ liệu căn cước.

a) Cán bộ tiếp nhận hồ sơ của Cơ quan quản lý căn cước, Công an cấp xã tiếp nhận yêu cầu khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước của công dân, cơ quan, tổ chức thông qua các hình thức gồm: trực tiếp tại Cơ quan quản lý căn cước, trụ sở Công an cấp xã; qua cổng dịch vụ công quốc gia, ứng dụng định danh quốc gia hoặc nền tảng định danh và xác thực điện tử;

b) Khi tiếp nhận yêu cầu, cán bộ tiếp nhận có trách nhiệm kiểm tra sơ bộ và ghi nhận đầy đủ các thông tin sau đây: họ, chữ đệm và tên; số định danh cá nhân hoặc thông tin định danh khác của người yêu cầu; mục đích khai thác thông tin; nội dung, phạm vi thông tin đề nghị khai thác; hình thức nhận kết quả khai thác.

a) Kiểm tra tư cách pháp nhân của người yêu cầu khai thác thông tin, xác định người yêu cầu là chủ thể thông tin hoặc người được pháp luật cho phép khai thác thông tin;

b) Kiểm tra mục đích khai thác thông tin có phù hợp với quy định của pháp luật; phạm vi, nội dung thông tin đề nghị khai thác có thuộc phạm vi được phép khai thác hay không;

c) Trường hợp pháp luật quy định phải có sự đồng ý của chủ thể thông tin, Công an cấp xã kiểm tra việc thể hiện ý kiến đồng ý của chủ thể thông tin thông qua văn bản đề nghị, ứng dụng định danh quốc gia, cổng dịch vụ công hoặc hình thức hợp pháp khác;

d) Trường hợp yêu cầu không đủ điều kiện khai thác thông tin, cán bộ tiếp nhận thông báo rõ lý do cho người yêu cầu; trường hợp cần bổ sung, hoàn thiện thì hướng dẫn cụ thể để người yêu cầu thực hiện.

a) Trường hợp đồng ý cho phép khai thác, Thủ trưởng cơ quan quản lý căn cước, Trưởng Công an cấp xã phê duyệt phạm vi, nội dung thông tin được khai thác và hình thức cung cấp kết quả;

b) Trường hợp không đồng ý cho phép khai thác, Thủ trưởng cơ quan quản lý căn cước, Trưởng Công an cấp xã nêu rõ lý do và chỉ đạo việc thông báo cho cá nhân, cơ quan, tổ chức đề nghị theo quy định.

a) Căn cứ yêu cầu hợp lệ, cán bộ xử lý hồ sơ sử dụng tài khoản được cấp để tra cứu, khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước thông qua hệ thống thông tin, phần mềm nghiệp vụ theo quy định;

b) Việc tra cứu, khai thác thông tin phải bảo đảm đúng nội dung, đúng phạm vi thông tin được phép khai thác, thông tin cá nhân, cơ quan, tổ chức đề nghị khai thác; không làm thay đổi, làm sai lệch, làm mất thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước.

a) Cán bộ xử lý kiểm tra, đối chiếu kết quả khai thác để bảo đảm thông tin cung cấp đầy đủ, chính xác, thống nhất với mục đích khai thác;

b) Trường hợp phát hiện thông tin có dấu hiệu sai lệch, chưa đầy đủ hoặc chưa thống nhất thì thực hiện xác minh, làm rõ theo thẩm quyền hoặc báo cáo, đề xuất thực hiện việc cập nhật, điều chỉnh theo quy định;

c) Trong thời gian chưa có kết quả xác minh, không sử dụng thông tin có sai lệch để cung cấp cho tổ chức, cá nhân.

a) Cơ quan quản lý căn cước, Công an cấp xã trả kết quả khai thác thông tin cho người yêu cầu theo hình thức đã đăng ký, bao gồm: trả trực tiếp tại trụ sở; trả thông qua cổng dịch vụ công, ứng dụng định danh quốc gia; trả bằng văn bản giấy hoặc văn bản điện tử theo quy định;

b) Việc trả kết quả phải bảo đảm đúng đối tượng, đúng nội dung, đúng phạm vi thông tin được phép khai thác; không cung cấp thông tin vượt quá yêu cầu hoặc vượt quá thẩm quyền.

a) Cơ quan quản lý căn cước, Công an cấp xã có trách nhiệm quản lý, lưu trữ thông tin về việc tiếp nhận, giải quyết yêu cầu khai thác thông tin theo quy định về lưu trữ hồ sơ nghiệp vụ;

b) Cán bộ, chiến sĩ trực tiếp thực hiện việc khai thác thông tin chịu trách nhiệm trước pháp luật và trước Thủ trưởng Cơ quan quản lý căn cước, Trưởng Công an cấp xã về việc tuân thủ quy trình, bảo mật thông tin và sử dụng thông tin đúng mục đích;

c) Thủ trưởng Cơ quan quản lý căn cước, Trưởng Công an cấp xã chịu trách nhiệm tổ chức, kiểm tra, giám sát việc thực hiện quy trình khai thác thông tin tại đơn vị mình.

a) Tổ chức quản lý, vận hành thống nhất Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước; bảo đảm hệ thống hoạt động thông suốt, an ninh, an toàn, bảo mật theo quy định của pháp luật;

b) Hướng dẫn tổ chức thực hiện các quy định về tra cứu, khai thác, sử dụng thông tin; thực hiện phân quyền, cấp, quản lý, thu hồi tài khoản truy cập, khai thác thông tin theo thẩm quyền;

c) Thực hiện kiểm tra, giám sát thường xuyên hoặc đột xuất việc tra cứu, khai thác, sử dụng thông tin của các cơ quan, đơn vị được kết nối; phát hiện, ngăn chặn kịp thời các hành vi khai thác thông tin trái quy định;

d) Chủ trì hoặc phối hợp xử lý, kiến nghị xử lý các hành vi vi phạm; tạm dừng, đình chỉ hoặc chấm dứt quyền khai thác thông tin đối với cơ quan, đơn vị, cá nhân vi phạm theo quy định.

a) Tổ chức quán triệt, chỉ đạo việc tra cứu, khai thác, sử dụng thông tin tại đơn vị mình đúng mục đích, đúng phạm vi, đúng đối tượng, đúng thẩm quyền theo quy định của pháp luật và Thông tư này;

b) Ban hành quy định nội bộ hoặc phân công cụ thể trách nhiệm đối với từng bộ phận, cá nhân được giao thực hiện tra cứu, khai thác thông tin; bảo đảm việc sử dụng tài khoản được quản lý chặt chẽ, không dùng chung, không cho mượn tài khoản;

c) Bảo đảm điều kiện về hạ tầng kỹ thuật, an ninh mạng tại đơn vị; tổ chức kiểm tra, giám sát việc sử dụng thông tin của cán bộ được phân quyền;

d) Chịu trách nhiệm trước pháp luật và trước cơ quan quản lý cấp trên về toàn bộ hoạt động tra cứu, khai thác, sử dụng thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước tại đơn vị mình.

a) Thực hiện việc tra cứu, khai thác, sử dụng thông tin đúng mục đích, đúng nội dung, đúng phạm vi đã được cấp có thẩm quyền cho phép;

b) Chỉ sử dụng thông tin được khai thác để thực hiện nhiệm vụ được giao; không sao chép, lưu giữ, cung cấp, tiết lộ thông tin cho tổ chức, cá nhân không có thẩm quyền dưới mọi hình thức;

c) Thực hiện nghiêm việc quản lý, bảo mật tài khoản, mật khẩu, phương tiện truy cập; kịp thời báo cáo người có thẩm quyền khi phát hiện dấu hiệu mất an toàn, lộ, lọt thông tin;

d) Chịu trách nhiệm trước pháp luật và trước người đứng đầu cơ quan, đơn vị về hành vi tra cứu, khai thác, sử dụng thông tin của mình. Kịp thời báo cáo những khó khăn, vướng mắc trong quá trình tra cứu, khai thác, sử dụng thông tin về công dân để cấp có thẩm quyền chỉ đạo khắc phục.

a) Tiếp nhận, quản lý và sử dụng thông tin được cung cấp đúng mục đích đã được phê duyệt; không sử dụng thông tin vào mục đích khác;

b) Không chuyển giao, chia sẻ, cung cấp lại thông tin cho tổ chức, cá nhân khác khi chưa được cơ quan có thẩm quyền cho phép;

c) Thực hiện các biện pháp bảo mật, bảo đảm an ninh mạng và bảo vệ dữ liệu đối với thông tin được cung cấp theo quy định của pháp luật;

d) Chịu trách nhiệm trước pháp luật về việc quản lý, sử dụng thông tin được cung cấp và hậu quả phát sinh do việc sử dụng thông tin trái quy định.

a) Rà soát, xác định phạm vi hệ thống thông tin, dữ liệu cá nhân được xử lý;

b) Xác định mức độ yêu cầu bảo mật, an ninh mạng đối với từng hệ thống, từng loại dữ liệu;

c) Xác định trách nhiệm của từng bộ phận, cá nhân trong việc bảo đảm an ninh mạng và bảo vệ dữ liệu.

a) Tổ chức triển khai các biện pháp quản lý, kỹ thuật cần thiết để bảo đảm an ninh, an toàn hệ thống thông tin theo quy định của pháp luật;

b) Thực hiện phân quyền truy cập, quản lý tài khoản khai thác thông tin theo chức năng, nhiệm vụ, vị trí công tác;

c) Kiểm soát hoạt động truy cập, khai thác, xử lý dữ liệu cá nhân trong hệ thống thông tin.

a) Chỉ khai thác, sử dụng, xử lý dữ liệu cá nhân đúng mục đích, đúng phạm vi được phép;

b) Không cung cấp, tiết lộ, chia sẻ dữ liệu cá nhân cho tổ chức, cá nhân không có thẩm quyền;

c) Thực hiện các biện pháp phòng ngừa nguy cơ lộ, lọt, mất dữ liệu cá nhân.

a) Cơ quan, đơn vị có trách nhiệm tổ chức giám sát thường xuyên hoạt động của hệ thống thông tin; kịp thời phát hiện dấu hiệu mất an ninh mạng hoặc vi phạm quy định về bảo vệ dữ liệu;

b) Khi phát hiện sự cố, phải áp dụng ngay biện pháp khắc phục, hạn chế thiệt hại; báo cáo cơ quan có thẩm quyền theo quy định; phối hợp kiểm tra, xác minh, xử lý sự cố theo quy định của pháp luật.

a) Việc thu thập, cập nhật, điều chỉnh thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước;

b) Việc kết nối, chia sẻ, đồng bộ dữ liệu giữa Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước với cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành, hệ thống thông tin khác;

c) Việc tra cứu, khai thác, sử dụng thông tin; phạm vi, mục đích, đối tượng khai thác thông tin;

d) Việc bảo mật, bảo đảm an ninh mạng và bảo vệ dữ liệu;

đ) Việc phân quyền, quản lý, sử dụng tài khoản truy cập, khai thác thông tin;

e) Việc lưu trữ, quản lý hồ sơ, dữ liệu và nhật ký hệ thống;

g) Việc thực hiện trách nhiệm của người đứng đầu cơ quan, đơn vị và cá nhân có liên quan.

a) Tổ chức kiểm tra, giám sát đối với các đơn vị, cá nhân thuộc quyền quản lý;

b) Kịp thời phát hiện, chấn chỉnh, xử lý hoặc kiến nghị xử lý các vi phạm;

c) Báo cáo kết quả kiểm tra, phúc tra, giám sát theo quy định.

a) Cơ quan có thẩm quyền kiểm tra, phúc tra, giám sát có trách nhiệm lập kế hoạch kiểm tra, trong đó xác định rõ: mục đích, yêu cầu kiểm tra, phúc tra, giám sát; nội dung kiểm tra tương ứng với từng nội dung quy định tại khoản 1 Điều 23 Thông tư này; đối tượng kiểm tra, phúc tra, giám sát; phạm vi, thời gian kiểm tra; hình thức kiểm tra (trực tiếp hoặc gián tiếp thông qua hệ thống);

b) Trường hợp kiểm tra, phúc tra theo kế hoạch định kỳ, kế hoạch phải được phê duyệt trước khi tổ chức thực hiện. Trường hợp kiểm tra, phúc tra đột xuất, việc lập kế hoạch được thực hiện theo yêu cầu quản lý.

a) Đối với việc thu thập, cập nhật, điều chỉnh thông tin, việc kiểm tra tập trung vào các nội dung sau: thẩm quyền thực hiện việc thu thập, cập nhật, điều chỉnh thông tin; căn cứ pháp lý, hồ sơ, tài liệu làm cơ sở thực hiện; trình tự, thủ tục thực hiện theo quy định; tính đầy đủ, chính xác, kịp thời của thông tin được thu thập, cập nhật; việc xử lý đối với trường hợp thông tin có sai sót, không thống nhất;

b) Đối với việc kết nối, chia sẻ, đồng bộ dữ liệu, việc kiểm tra tập trung vào các nội dung sau: căn cứ pháp lý và văn bản thống nhất về kết nối, chia sẻ, đồng bộ dữ liệu; phạm vi, nội dung dữ liệu được kết nối, chia sẻ; việc tuân thủ yêu cầu về bảo mật, an ninh mạng trong quá trình kết nối, chia sẻ; việc quản lý, giám sát hoạt động kết nối, chia sẻ, đồng bộ dữ liệu; việc chuyển giao, chia sẻ, cung cấp lại thông tin cho tổ chức, cá nhân khác;

c) Đối với việc tra cứu, khai thác, sử dụng thông tin, việc kiểm tra tập trung vào các nội dung sau: việc xác định đối tượng, thẩm quyền tra cứu, khai thác, sử dụng thông tin; việc phân công, phân quyền cá nhân trực tiếp thực hiện và phê duyệt của người có thẩm quyền theo quy định; việc xác định mục đích tra cứu, khai thác, sử dụng thông tin có phù hợp với chức năng, nhiệm vụ, quyền hạn được giao; việc sử dụng thông tin có đúng mục đích đã được phê duyệt; việc tuân thủ phạm vi, nội dung thông tin được phép tra cứu, khai thác; việc khai thác có vượt quá nội dung cần thiết hoặc vượt quá phạm vi được cho phép; việc chấp hành quy trình tra cứu, khai thác, sử dụng thông tin, bao gồm tiếp nhận yêu cầu, kiểm tra điều kiện, phê duyệt, thực hiện tra cứu, cung cấp kết quả; việc quản lý, sử dụng tài khoản truy cập, khai thác thông tin; phát hiện hành vi sử dụng chung tài khoản, cho mượn, cho thuê, chuyển giao trái phép tài khoản; việc ghi nhận, lưu trữ và quản lý nhật ký tra cứu, khai thác, sử dụng thông tin, bảo đảm khả năng truy xuất, phục vụ công tác kiểm tra, phúc tra, giám sát; việc xác định trách nhiệm của cá nhân trực tiếp thực hiện và trách nhiệm của người đứng đầu cơ quan, đơn vị trong hoạt động tra cứu, khai thác, sử dụng thông tin;

d) Đối với việc bảo mật, bảo đảm an ninh mạng và bảo vệ dữ liệu, việc kiểm tra tập trung vào các nội dung sau: việc thực hiện các biện pháp bảo mật, bảo đảm an ninh mạng; việc phòng ngừa, phát hiện, xử lý sự cố an ninh mạng; việc tuân thủ quy định về bảo vệ dữ liệu;

đ) Đối với việc phân quyền, quản lý, sử dụng tài khoản truy cập, việc kiểm tra tập trung vào các nội dung sau: việc cấp, quản lý, thu hồi tài khoản truy cập, khai thác thông tin; việc phân quyền theo chức năng, nhiệm vụ, vị trí công tác; việc kiểm soát hoạt động sử dụng tài khoản;

e) Đối với việc lưu trữ, quản lý hồ sơ, dữ liệu và nhật ký hệ thống, việc kiểm tra tập trung vào các nội dung sau: việc lưu trữ hồ sơ nghiệp vụ, hồ sơ điện tử; việc bảo đảm tính toàn vẹn, an toàn dữ liệu; khả năng truy xuất, phục vụ kiểm tra, phúc tra;

g) Đối với việc thực hiện trách nhiệm của người đứng đầu và cá nhân có liên quan, việc kiểm tra tập trung vào các nội dung sau: việc tổ chức chỉ đạo, kiểm tra, giám sát nội bộ; việc phát hiện, chấn chỉnh, xử lý vi phạm; trách nhiệm khi để xảy ra sai phạm trong phạm vi quản lý.

a) Trường hợp phát hiện vi phạm, cơ quan có thẩm quyền yêu cầu cơ quan, đơn vị, cá nhân vi phạm chấn chỉnh, khắc phục, xử lý theo quy định;

b) Trường hợp vi phạm nghiêm trọng, cơ quan có thẩm quyền quyết định hoặc kiến nghị quyết định việc tạm dừng, thu hồi quyền tra cứu, khai thác thông tin;

c) Kết quả kiểm tra, giám sát là căn cứ để đánh giá trách nhiệm của cơ quan, đơn vị, cá nhân có liên quan.

a) Tổ chức quán triệt, triển khai thực hiện Thông tư này đến toàn thể cán bộ, chiến sĩ thuộc phạm vi quản lý;

b) Hướng dẫn triển khai thực hiện các quy trình nội bộ, quy trình công tác để bảo đảm phù hợp với Thông tư này;

c) Tổ chức kiểm tra, giám sát việc thực hiện Thông tư này và kịp thời xử lý hoặc kiến nghị xử lý các vi phạm theo quy định.