Quyết định số 48/2026/QĐ-UBND về Quy chế bảo vệ dữ liệu cá nhân trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh Phú Thọ

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG HOẠT ĐỘNG CỦA CÁC CƠ QUAN NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH PHÚ THỌ

Điều 1. Ban hành kèm theo Quyết định này Quy chế bảo vệ dữ liệu cá nhân trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh Phú Thọ.

Điều 2. Quyết định này có hiệu lực thi hành kể từ ngày 25 tháng 8 năm 2026.

Điều 3. Chánh Văn phòng Ủy ban nhân dân tỉnh; Giám đốc Công an tỉnh; Thủ trưởng các sở, ban, ngành của tỉnh; Chủ tịch Ủy ban nhân dân các xã, phường; các cơ quan và tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.

QUY CHẾ

BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG HOẠT ĐỘNG CỦA CÁC CƠ QUAN NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH PHÚ THỌ
(Ban hành kèm theo Quyết định số 48/2026/QĐ-UBND)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Quy chế này quy định về bảo vệ dữ liệu cá nhân trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh Phú Thọ.

2. Các quy định về bảo vệ dữ liệu cá nhân không nêu trong Quy chế này thực hiện theo quy định của pháp luật hiện hành.

3. Trong Quy chế này, các dẫn chiếu, tham chiếu đến các quy định hoặc văn bản quy phạm pháp luật khác được hiểu là bao gồm cả các văn bản hướng dẫn, sửa đổi, bổ sung hoặc điều chỉnh, thay thế liên quan đến quy định, văn bản được dẫn chiếu.

Điều 2. Đối tượng áp dụng

1. Các cơ quan quản lý hành chính nhà nước và các đơn vị sự nghiệp công lập thuộc phạm vi quản lý của Ủy ban nhân dân tỉnh Phú Thọ có tham gia thu thập, xử lý, lưu trữ dữ liệu cá nhân (sau đây gọi tắt là cơ quan, đơn vị, địa phương).

2. Cán bộ, công chức, viên chức, người lao động đang công tác trong các cơ quan, đơn vị, địa phương quy định tại khoản 1 Điều này; cơ quan, tổ chức, cá nhân được cơ quan, đơn vị, địa phương giao, thuê hoặc phối hợp thực hiện hoạt động thu thập, lưu trữ, xử lý dữ liệu cá nhân trong phạm vi Quy chế này.

Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân

1. Bảo vệ dữ liệu cá nhân là yêu cầu bắt buộc, thường xuyên, liên tục, có tính xuyên suốt trong quá trình thu thập, xử lý, lưu trữ dữ liệu cá nhân. Bảo vệ dữ liệu cá nhân cần tuân thủ các nguyên tắc chung quy định tại Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025.

2. Cơ quan, tổ chức, cá nhân quy định tại Điều 2 Quy chế này có trách nhiệm chủ động, tự giác thực hiện công tác bảo vệ dữ liệu cá nhân; chấp hành nghiêm các quy định của pháp luật liên quan và các quy định tại Quy chế này.

Chương II

QUY ĐỊNH CỤ THỂ

Điều 4. Xác định và phân loại dữ liệu cá nhân được xử lý

Căn cứ Điều 3 và Điều 4 Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, các cơ quan, đơn vị, địa phương có trách nhiệm rà soát, phân loại đối với dữ liệu cá nhân do đơn vị mình thu thập, xử lý, lưu trữ (bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm). Việc xử lý dữ liệu cá nhân nhạy cảm phải được thiết lập quy trình bảo vệ độc lập, phân quyền truy cập, khai thác nghiêm ngặt và tuân thủ các điều kiện chặt chẽ theo quy định trong Luật Bảo vệ dữ liệu cá nhân và các quy định pháp luật có liên quan.

1. Dữ liệu cá nhân được thu thập, lưu trữ, xử lý trong hoạt động của các cơ quan nhà nước trên địa bàn tỉnh bao gồm:

a) Dữ liệu cá nhân được tạo lập trong quá trình thực hiện chức năng, nhiệm vụ quản lý nhà nước của các cơ quan, đơn vị, địa phương thuộc tỉnh và theo các quy định của pháp luật khác có quy định cụ thể về chức năng, nhiệm vụ của các cơ quan, đơn vị, địa phương;

b) Dữ liệu cá nhân của cán bộ, công chức, viên chức, người lao động làm việc tại các cơ quan, đơn vị, địa phương trên địa bàn tỉnh theo quy định của pháp luật về công chức, viên chức và các quy định pháp luật khác có liên quan;

c) Thông tin về tài khoản số, tài khoản giao dịch điện tử của cá nhân và dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên các hệ thống thông tin do các cơ quan, đơn vị, địa phương làm chủ quản theo quy định của pháp luật;

d) Các dữ liệu cá nhân khác phát sinh trong quá trình các cơ quan, đơn vị, địa phương thực hiện chức năng, nhiệm vụ, quyền hạn được giao mà không thuộc các quy định nêu tại điểm a, điểm b và điểm c khoản này.

2. Những trường hợp xử lý các dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu thực hiện theo quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân năm 2025.

3. Việc xử lý dữ liệu cá nhân cần được sự đồng ý của chủ thể dữ liệu cá nhân thực hiện theo các trường hợp quy định tại Điều 9 và Điều 11 Luật Bảo vệ dữ liệu cá nhân năm 2025, trừ trường hợp pháp luật có quy định khác.

Điều 5. Xác định vai trò về bảo vệ dữ liệu cá nhân

1. Ủy ban nhân dân tỉnh Phú Thọ thực hiện vai trò là bên kiểm soát và xử lý dữ liệu cá nhân đối với:

a) Dữ liệu cá nhân được quy định tại điểm a và điểm b khoản 1 Điều 4 của Quy chế này, trừ các dữ liệu cá nhân thuộc các lĩnh vực được phân cấp quản lý cho các cơ quan, đơn vị, địa phương;

b) Thông tin về tài khoản số và dữ liệu cá nhân phản ánh lịch sử hoạt động của cá nhân trên các hệ thống thông tin do Ủy ban nhân dân tỉnh làm chủ quản (không bao gồm các hệ thống thông tin Ủy ban nhân dân tỉnh đã ủy quyền cho cơ quan, đơn vị khác quản lý, vận hành để thực hiện trách nhiệm chủ quản hệ thống thông tin).

2. Các cơ quan, đơn vị, địa phương thực hiện vai trò là bên kiểm soát và xử lý dữ liệu cá nhân đối với:

a) Dữ liệu cá nhân thuộc phạm vi chức năng, nhiệm vụ, lĩnh vực quản lý nhà nước được phân cấp quản lý cho cơ quan, đơn vị, địa phương mình; dữ liệu cá nhân được tạo lập trong quá trình thực hiện chức năng, nhiệm vụ đã được Ủy ban nhân dân tỉnh phân cấp, ủy quyền cho cơ quan, đơn vị, địa phương thực hiện theo quy định pháp luật;

b) Thông tin về tài khoản số và dữ liệu cá nhân phản ánh lịch sử hoạt động của cá nhân trên các hệ thống thông tin do cơ quan, đơn vị, địa phương làm chủ quản hoặc được Ủy ban nhân dân tỉnh ủy quyền thực hiện trách nhiệm của chủ quản hệ thống thông tin.

3. Cơ quan, đơn vị, địa phương nào có hoạt động xử lý dữ liệu cá nhân mà chưa được xác định tại khoản 1 và khoản 2 Điều này thì Thủ trưởng đơn vị đó có trách nhiệm căn cứ tính chất, mục đích, phạm vi hoạt động xử lý dữ liệu cá nhân của đơn vị mình để xác định vai trò là “bên kiểm soát dữ liệu cá nhân”, “bên kiểm soát và xử lý dữ liệu cá nhân” hoặc “bên xử lý dữ liệu cá nhân” theo quy định của Luật Bảo vệ dữ liệu cá nhân; pháp luật có liên quan và thông báo cho Công an tỉnh để theo dõi, tổng hợp chung.

Điều 6. Bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân trên hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân

1. Cơ quan, đơn vị, địa phương sử dụng hệ thống thông tin có chức năng lưu trữ, xử lý dữ liệu cá nhân có trách nhiệm xác định chính xác các cá nhân được cấp quyền truy cập hệ thống để thực hiện nhiệm vụ xử lý dữ liệu cá nhân; phải thực hiện ngay việc gửi đề nghị thay đổi, thu hồi tài khoản truy cập hệ thống thông tin đến đơn vị vận hành hệ thống thông tin ngay sau khi có sự thay đổi về nhân sự hoặc phân công công tác, nhiệm vụ liên quan đến xử lý dữ liệu cá nhân tại cơ quan, đơn vị, địa phương.

2. Cá nhân được cấp tài khoản truy cập hệ thống thông tin để xử lý dữ liệu cá nhân có trách nhiệm:

a) Bảo mật thông tin xác thực (mật khẩu, thiết bị mã hóa hoặc phương tiện xác thực khác) của tài khoản được cấp; không cung cấp thông tin xác thực cho người không có thẩm quyền hoặc không được giao nhiệm vụ đối với hệ thống thông tin;

b) Chỉ thực hiện các hoạt động xử lý dữ liệu cá nhân trong phạm vi nhiệm vụ được giao; không tự ý khai thác, sử dụng dữ liệu cá nhân trên hệ thống ngoài phạm vi trách nhiệm, nhiệm vụ được phân công;

c) Khi không còn được phân công thực hiện nhiệm vụ xử lý dữ liệu cá nhân trên hệ thống thông tin, phải đề nghị cơ quan, đơn vị thu hồi tài khoản hoặc thay đổi quyền truy cập để cấp mới hoặc phân quyền lại tài khoản cho người tiếp nhận nhiệm vụ theo phân công.

Điều 7. Bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân

1. Việc xử lý dữ liệu cá nhân ngoài các hệ thống thông tin điện tử bao gồm dữ liệu dạng bản giấy, thư điện tử, dữ liệu lưu trữ trong thiết bị lưu trữ ngoại vi và các trường hợp khác theo quy định của pháp luật phải tuân thủ các yêu cầu sau:

a) Xác định căn cứ pháp luật cho việc xử lý dữ liệu cá nhân: trước khi xử lý, phải xác định rõ cơ sở pháp lý cho mục đích và phạm vi dữ liệu cá nhân được phép xử lý bằng cách dẫn chiếu cụ thể điều, khoản của văn bản quy phạm pháp luật cho phép việc thu thập, xử lý dữ liệu đó;

b) Trường hợp nhận được yêu cầu thu thập, xử lý dữ liệu cá nhân nằm ngoài phạm vi được pháp luật quy định, đơn vị thực hiện phải làm rõ cơ sở thực hiện với bên yêu cầu xử lý; đồng thời phải có sự đồng ý của chủ thể dữ liệu trước khi tiến hành xử lý dữ liệu ngoài phạm vi nói trên.

2. Công chức, viên chức được phân công xử lý dữ liệu cá nhân có trách nhiệm thực hiện đầy đủ các biện pháp bảo đảm an toàn, bảo mật trong quá trình xử lý, cụ thể như sau:

a) Không cung cấp hoặc chia sẻ dữ liệu cá nhân đã thu thập cho bất kỳ tổ chức, cá nhân nào không thuộc phạm vi được phép cung cấp theo quy định của pháp luật;

b) Sử dụng trang thiết bị, máy tính đảm bảo an toàn, an ninh thông tin khi xử lý dữ liệu cá nhân: máy tính phải được dán tem an ninh an toàn và cài đặt phần mềm phòng chống mã độc; thường xuyên cập nhật các bản vá lỗ hổng bảo mật (nếu có); phải được kiểm tra, đánh giá an ninh mạng định kỳ theo quy định;

c) Trường hợp được phép thực hiện trao đổi dữ liệu cá nhân trên môi trường mạng hoặc mang dữ liệu cá nhân ra khỏi cơ quan, đơn vị, địa phương bằng thiết bị, phương tiện điện tử (trừ dữ liệu thuộc danh mục bí mật nhà nước thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước), cần phải áp dụng biện pháp mã hóa tệp dữ liệu và các biện pháp an toàn khác theo quy định pháp luật. Không sử dụng mạng xã hội để trao đổi dữ liệu cá nhân, trừ trường hợp được sự đồng ý của chủ thể dữ liệu;

d) Kiểm soát chặt chẽ các loại hình dữ liệu cá nhân ở dạng điện tử và dạng phi điện tử; chủ động thiết lập, giới hạn quyền tiếp cận dữ liệu cá nhân trong phạm vi những người được phân công xử lý; thực hiện các biện pháp xóa an toàn dữ liệu hoặc hủy vật lý thiết bị lưu trữ, xử lý dữ liệu cá nhân sau khi hoàn thành mục đích sử dụng, hết hạn lưu trữ theo quy định hoặc không còn nhu cầu sử dụng thiết bị.

3. Thủ trưởng các cơ quan, đơn vị, địa phương có trách nhiệm ban hành hoặc tổ chức triển khai thực hiện quy trình nội bộ trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân đảm bảo theo đúng quy định tại khoản 1 và khoản 2 Điều 7 trong Quy chế này và quy định của pháp luật có liên quan.

Điều 8. Bảo đảm an toàn hệ thống thông tin xử lý dữ liệu cá nhân

1. Thực hiện bảo đảm an toàn, an ninh mạng đối với hệ thống thông tin theo cấp độ và bảo vệ an ninh mạng đối với các hệ thống thông tin xử lý dữ liệu cá nhân theo đúng quy định của pháp luật về an ninh mạng, trong đó hệ thống thông tin phải đáp ứng các yêu cầu bảo vệ ở cấp độ tương ứng theo quy định hiện hành; tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng. Đối với các dự án đầu tư, nâng cấp hệ thống thông tin xử lý dữ liệu cá nhân sau khi Quy chế này có hiệu lực, cơ quan chủ trì dự án phải đánh giá và nêu rõ căn cứ pháp luật cho việc xử lý dữ liệu cá nhân ngay trong giai đoạn đề xuất chủ trương đầu tư, lập dự án hoặc kế hoạch thuê dịch vụ công nghệ thông tin;

2. Trang bị và duy trì các hệ thống giám sát an ninh mạng, hệ thống ngăn chặn thất thoát dữ liệu đối với hệ thống thông tin có xử lý dữ liệu cá nhân từ cấp độ 3 trở lên để theo dõi liên tục hoạt động của hệ thống mạng, máy chủ; các hệ thống này phải được cấu hình để phát hiện các hành vi bất thường hoặc truy cập trái phép vào dữ liệu và đưa ra cảnh báo sớm để có biện pháp xử lý kịp thời;

3. Hệ thống thông tin xử lý dữ liệu cá nhân phải có tính năng ghi và lưu trữ nhật ký hệ thống trong quá trình xử lý dữ liệu cá nhân; khuyến khích thiết kế hiển thị trên giao diện người dùng thông tin về căn cứ pháp lý của việc xử lý dữ liệu cá nhân để người dùng biết và tuân thủ mục đích, phạm vi cho phép;

4. Áp dụng các biện pháp xác thực và mã hóa đối với kênh kết nối truyền đưa dữ liệu cá nhân giữa các hệ thống thông tin với nhau, cũng như giữa người dùng với hệ thống thông tin;

5. Áp dụng các giải pháp, phần mềm phòng chống mã độc trên máy chủ và máy trạm của hệ thống thông tin xử lý dữ liệu cá nhân. Không sử dụng dữ liệu cá nhân thật trên môi trường thử nghiệm; không được phép xử lý dữ liệu cá nhân trên hệ thống thông tin thử nghiệm; trường hợp cần thử nghiệm, phải sử dụng dữ liệu giả định hoặc đã ẩn danh, để tránh rủi ro lộ lọt dữ liệu cá nhân;

6. Tổ chức đánh giá an ninh, an toàn đối với hệ thống thông tin định kỳ nhằm nhận diện các lỗ hổng bảo mật, điểm yếu trong hệ thống, từ đó áp dụng các biện pháp khắc phục, phòng ngừa rủi ro tương ứng. Việc kiểm tra, đánh giá an ninh mạng định kỳ đối với hệ thống thông tin xử lý dữ liệu cá nhân phải đồng thời bao gồm kiểm tra việc tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân, bên cạnh việc kiểm tra về an toàn, an ninh mạng theo quy định chung;

7. Định kỳ bảo trì, bảo dưỡng, nâng cấp phần cứng, phần mềm của hệ thống thông tin; kịp thời cập nhật các bản vá bảo mật cho hệ điều hành, cơ sở dữ liệu và ứng dụng nhằm duy trì, cải thiện hiệu suất và tính bảo mật của hệ thống. Các trang thiết bị thuộc hệ thống thông tin có chức năng thu thập, lưu trữ, xử lý dữ liệu cá nhân phải được kiểm tra an ninh thông tin trước khi đưa vào sử dụng và sau khi tiến hành bảo dưỡng, sửa chữa, nâng cấp;

8. Thực hiện xóa an toàn toàn bộ dữ liệu cá nhân trên hệ thống thông tin khi hệ thống kết thúc vận hành, chấm dứt sử dụng hoặc cần thay thế bằng hệ thống khác, trừ trường hợp pháp luật cho phép hoặc yêu cầu lưu trữ để chuyển sang hệ thống mới.

Điều 9. Bảo vệ dữ liệu cá nhân trong hoạt động biên tập, công khai thông tin trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến

Cơ quan, đơn vị, địa phương vận hành trang/cổng thông tin điện tử, dịch vụ công trực tuyến có trách nhiệm triển khai các biện pháp kiểm soát, ngăn ngừa việc hiển thị hoặc công khai trái phép dữ liệu cá nhân trên các cổng thông tin này. Tuyệt đối không để lộ lọt, công khai dữ liệu cá nhân trái quy định từ hoạt động cung cấp thông tin trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến và trong quá trình biên tập nội dung đăng tải. Cụ thể, cần thực hiện các biện pháp sau:

1. Bổ sung vào quy trình biên tập tin, bài, phóng sự việc rà soát dữ liệu cá nhân trong nội dung và thực hiện “kiểm duyệt 02 bước” qua bộ phận chuyên trách về công nghệ thông tin và công tác bảo vệ dữ liệu cá nhân trước khi đăng trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến. Tuyệt đối không đăng công khai các thông tin chứa dữ liệu cá nhân nhạy cảm nếu không thực sự cần thiết;

2. Rà soát, bảo đảm các trường thông tin được hiển thị công khai trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến không vi phạm quy định về bảo vệ dữ liệu cá nhân; kịp thời gỡ bỏ thông tin không cần thiết hoặc có nguy cơ gây lộ, lọt dữ liệu cá nhân;

3. Khuyến khích tích hợp, hiển thị chức năng cảnh báo rủi ro lộ lọt dữ liệu cá nhân đối với các chuyên mục có khả năng công khai thông tin do chủ thể dữ liệu cá nhân tự nhập liệu trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến; áp dụng các công cụ kỹ thuật bao gồm AI, bộ lọc từ khóa hoặc công cụ khác để kiểm soát việc hiển thị nội dung có chứa dữ liệu cá nhân trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến;

4. Khi phát hiện nội dung đã công khai có chứa dữ liệu cá nhân không đúng quy định, cơ quan, đơn vị, địa phương thực hiện đăng tải phải ngay lập tức gỡ bỏ, vô hiệu hóa nội dung đăng tải. Đồng thời xác định trách nhiệm của tổ chức, cá nhân có liên quan, đánh giá mức độ vi phạm và xem xét xử lý theo quy định tại Quy chế này.

Điều 10. Xử lý và thông báo vi phạm pháp luật về bảo vệ dữ liệu cá nhân

1. Khi phát hiện cá nhân thuộc cơ quan, đơn vị mình quản lý có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, Thủ trưởng cơ quan, đơn vị trực tiếp quản lý cá nhân vi phạm có trách nhiệm xem xét, xử lý như sau:

a) Nếu cá nhân vi phạm thuộc thẩm quyền quản lý của Ủy ban nhân dân tỉnh, cơ quan, đơn vị trực tiếp quản lý cá nhân đó phối hợp Văn phòng Ủy ban nhân dân tỉnh, Công an tỉnh đánh giá, xác định mức độ vi phạm; phối hợp Sở Nội vụ báo cáo Ủy ban nhân dân tỉnh xem xét, quyết định hình thức xử lý phù hợp;

b) Nếu cá nhân vi phạm thuộc thẩm quyền quản lý của cơ quan, đơn vị, địa phương thì Thủ trưởng cơ quan, đơn vị trực tiếp quản lý cá nhân vi phạm tiến hành đánh giá mức độ vi phạm và quyết định biện pháp xử lý kỷ luật phù hợp theo quy định pháp luật hiện hành;

c) Đối với các trường hợp vi phạm không thuộc phạm vi quy định tại điểm a và điểm b khoản này, Thủ trưởng cơ quan, đơn vị trực tiếp quản lý cá nhân vi phạm có trách nhiệm xác định mức độ vi phạm và quyết định biện pháp xử lý phù hợp theo quy định của pháp luật hiện hành;

d) Trường hợp phát hiện hành vi vi phạm có dấu hiệu cấu thành vi phạm quy định pháp luật về bảo vệ dữ liệu cá nhân, cơ quan/người có thẩm quyền xử lý kỷ luật đối với cá nhân vi phạm (theo phân cấp quản lý cán bộ, công chức, viên chức) phải thông báo ngay cho Bộ Công an (qua Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) và Công an tỉnh (qua Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) để phối hợp xử lý.

2. Trường hợp phát hiện hành vi vi phạm quy định bảo vệ dữ liệu cá nhân trên địa bàn tỉnh do các đối tượng không thuộc quyền quản lý của tỉnh thực hiện:

a) Nếu hành vi vi phạm thuộc phạm vi quản lý của Ủy ban nhân dân tỉnh và không được phân cấp cho cơ quan, đơn vị, địa phương thì sở, ban, ngành có liên quan phối hợp với Công an tỉnh (qua Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) đánh giá, xác định mức độ vi phạm và báo cáo, tham mưu Ủy ban nhân dân tỉnh có biện pháp xử lý theo quy định của pháp luật;

b) Nếu hành vi vi phạm thuộc phạm vi quản lý của các cơ quan, đơn vị, địa phương thì giao các cơ quan, đơn vị, địa phương đánh giá, xác định mức độ vi phạm để báo cáo Ủy ban nhân dân tỉnh chỉ đạo đồng thời trao đổi, phối hợp Công an tỉnh (qua Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) để có phương án xử lý theo quy định pháp luật.

3. Trong vòng 72 giờ kể từ khi phát hiện vi phạm đối với trường hợp thuộc diện phải thông báo, cơ quan có thẩm quyền phải gửi Thông báo vi phạm đến Cơ quan chuyên trách bảo vệ dữ liệu cá nhân của Bộ Công an; đồng thời báo cáo Ủy ban nhân dân tỉnh và áp dụng ngay các biện pháp ngăn chặn, khắc phục hậu quả kịp thời theo quy định. Quy trình, cách thức, biểu mẫu, nơi nhận thông báo thực hiện theo Điều 23 Luật Bảo vệ dữ liệu cá nhân và theo Điều 28, Điều 29 Nghị định số 356/2025/NĐ-CP. Công an tỉnh tham mưu, giúp Ủy ban nhân dân tỉnh theo dõi, đôn đốc việc thông báo này khi có vụ việc vi phạm xảy ra trên địa bàn tỉnh.

Chương III

TRÁCH NHIỆM TRONG CÔNG TÁC BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 11. Trách nhiệm của Công an tỉnh

1. Tham mưu Ủy ban nhân dân tỉnh về công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh và chịu trách nhiệm tham mưu, giúp Ủy ban nhân dân tỉnh trong công tác quản lý nhà nước về bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

2. Tham mưu giúp Ủy ban nhân dân tỉnh tổ chức triển khai công tác bảo vệ dữ liệu cá nhân trong phạm vi toàn tỉnh; hướng dẫn, đôn đốc, kiểm tra, đánh giá các cơ quan, đơn vị trong việc thực hiện Quy chế này và tuân thủ các quy định pháp luật, hướng dẫn của Bộ Công an về bảo vệ dữ liệu cá nhân. Kịp thời báo cáo, đề xuất Chủ tịch Ủy ban nhân dân tỉnh sửa đổi, bổ sung Quy chế này khi cần thiết, nhằm bảo đảm phù hợp với các quy định, tiêu chuẩn, quy chuẩn kỹ thuật liên quan và với tình hình thực tế triển khai tại địa phương.

3. Phối hợp với các cơ quan, đơn vị tổ chức tuyên truyền, phổ biến và nâng cao nhận thức của cán bộ, công chức, viên chức, các tổ chức, cá nhân khác trong phạm vi quản lý của tỉnh về các quy định pháp luật về bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

4. Tham mưu Ủy ban nhân dân tỉnh hướng dẫn, kiểm tra, đôn đốc các cơ quan, đơn vị, địa phương đảm bảo việc đáp ứng các quy định về bảo vệ dữ liệu cá nhân đối với các hệ thống thông tin do Ủy ban nhân dân tỉnh làm chủ quản (ngoại trừ các hệ thống thông tin Ủy ban nhân dân tỉnh đã ủy quyền cho đơn vị khác quản lý theo quy định riêng).

5. Tham mưu Ủy ban nhân dân tỉnh thực hiện chế độ thông tin, báo cáo, tổng hợp về công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh định kỳ và khi có yêu cầu của các cơ quan cấp trên có thẩm quyền theo quy định.

6. Chỉ định đơn vị, bộ phận chuyên trách và nhân sự chuyên trách công tác bảo vệ dữ liệu cá nhân tại Công an tỉnh để thực hiện nhiệm vụ đầu mối tham mưu, phối hợp triển khai công tác bảo vệ dữ liệu cá nhân trên địa bàn tỉnh.

7. Phối hợp kiểm tra an ninh thông tin theo thẩm quyền đối với các trang thiết bị thuộc hệ thống thông tin có chức năng thu thập, xử lý, lưu trữ dữ liệu cá nhân trước khi đưa vào sử dụng và sau khi tiến hành bảo dưỡng, sửa chữa, nâng cấp.

8. Kịp thời thông báo các lỗ hổng bảo mật có nguy cơ gây lộ, lọt dữ liệu cá nhân được phát hiện và các phương thức, thủ đoạn đánh cắp, chiếm đoạt, thu thập, sử dụng, mua bán, công khai hóa trái phép dữ liệu cá nhân; chủ động trong công tác phát hiện, phòng ngừa, đấu tranh, ngăn chặn các loại tội phạm và các hành vi vi phạm pháp luật xâm phạm an ninh dữ liệu và thông tin cá nhân trên địa bàn tỉnh.

9. Tham mưu Ủy ban nhân dân tỉnh tổ chức tập huấn, hướng dẫn áp dụng, tuân thủ và thi hành các quy định của pháp luật về bảo vệ dữ liệu cá nhân; hỗ trợ các cơ quan, đơn vị, địa phương giải quyết, khắc phục sự cố liên quan công tác bảo vệ dữ liệu cá nhân khi có yêu cầu.

10. Phối hợp các cơ quan, đơn vị, địa phương và các lực lượng chức năng trong công tác xác minh, điều tra, xử lý các trường hợp vi phạm về công tác bảo vệ dữ liệu cá nhân theo thẩm quyền và theo quy định của pháp luật.

Điều 12. Trách nhiệm của các cơ quan, đơn vị, địa phương

1. Tổ chức triển khai, giám sát và kiểm tra việc thực hiện Quy chế này và các quy định pháp luật về bảo vệ dữ liệu cá nhân tại cơ quan, đơn vị mình và các đơn vị trực thuộc (nếu có). Thường xuyên phổ biến, quán triệt tới toàn thể cán bộ, công chức, viên chức thuộc phạm vi quản lý về quyền và nghĩa vụ trong bảo vệ dữ liệu cá nhân, xác định rõ trách nhiệm phải thực hiện và tiến độ thời gian theo quy định của pháp luật.

2. Rà soát, đánh giá các quy trình thu thập, xử lý dữ liệu cá nhân trong phạm vi quản lý; kịp thời đề xuất ban hành các biện pháp quản lý phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của cơ quan, đơn vị mình. Kiên quyết xử lý nghiêm các hành vi chuyển giao, mua bán dữ liệu cá nhân trái phép nếu phát hiện trong lĩnh vực, địa bàn mình quản lý.

3. Báo cáo tình hình bảo vệ dữ liệu cá nhân theo yêu cầu của cơ quan nhà nước có thẩm quyền; đồng thời gửi báo cáo cho Công an tỉnh để tổng hợp, báo cáo theo quy định.

4. Chỉ định bằng văn bản bộ phận hoặc cá nhân phụ trách công tác bảo vệ dữ liệu cá nhân của cơ quan, đơn vị có trách nhiệm chính trong bảo đảm các hệ thống thông tin do đơn vị làm chủ quản (hoặc được Ủy ban nhân dân tỉnh ủy quyền quản lý) đáp ứng yêu cầu về bảo vệ dữ liệu cá nhân theo quy định, đồng thời là đầu mối thực hiện chế độ báo cáo khi có yêu cầu.

5. Trường hợp đơn vị thực hiện vai trò bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên xử lý dữ liệu cá nhân, đơn vị phải thực hiện các trách nhiệm tương ứng được quy định tại Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP và tại Quy chế này.

6. Thủ trưởng các cơ quan, đơn vị chịu trách nhiệm trước Chủ tịch Ủy ban nhân dân tỉnh về việc ban hành hoặc tổ chức triển khai thực hiện quy trình nội bộ, quản trị hệ thống thông tin, kiểm tra đánh giá và xử lý vi phạm về bảo vệ dữ liệu cá nhân tại cơ quan, đơn vị mình quản lý, bảo đảm tuân thủ đúng quy định của pháp luật và Quy chế này.

Điều 13. Trách nhiệm của cán bộ, công chức, viên chức và người lao động trong các cơ quan, đơn vị

1. Tuân thủ nghiêm các quy định của pháp luật về bảo vệ dữ liệu cá nhân và các quy định tại Quy chế này trong quá trình thực thi nhiệm vụ.

2. Thực hiện đúng quyền và nghĩa vụ của chủ thể dữ liệu đối với dữ liệu cá nhân của bản thân theo quy định pháp luật.

3. Chủ động áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong phạm vi công việc của mình; khi phát hiện dữ liệu cá nhân có nguy cơ bị lộ, lọt hoặc không được bảo vệ đúng quy định, phải báo cáo ngay với bộ phận phụ trách và yêu cầu đơn vị quản lý dữ liệu có biện pháp khắc phục kịp thời, đúng quy định.

4. Thông báo kịp thời cho thủ trưởng cơ quan, đơn vị về các trường hợp vi phạm quy định bảo vệ dữ liệu cá nhân xảy ra tại đơn vị. Chịu trách nhiệm trước pháp luật và trước cơ quan quản lý về những vi phạm hoặc tổn thất, mất mát dữ liệu cá nhân do mình gây ra do không tuân thủ các quy định của Quy chế này và của pháp luật liên quan.

Điều 14. Trách nhiệm của các tổ chức, cá nhân liên quan

1. Các tổ chức, cá nhân liên quan trong quá trình thu thập, lưu trữ, xử lý dữ liệu cá nhân trong hoạt động của các cơ quan, đơn vị, địa phương phải tuân thủ Quy chế này và các quy định hiện hành của pháp luật về bảo vệ dữ liệu cá nhân.

2. Cơ quan, tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân sẽ bị xem xét xử lý kỷ luật và bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự theo quy định của pháp luật, tùy theo tính chất, mức độ vi phạm. Trường hợp gây thiệt hại cho người có dữ liệu cá nhân bị xâm phạm thì phải bồi thường theo quy định của Bộ luật Dân sự và các quy định pháp luật có liên quan.

Chương IV

TỔ CHỨC THỰC HIỆN

Điều 15. Trách nhiệm thi hành

1. Căn cứ Quy chế này, Thủ trưởng, người đứng đầu các cơ quan, đơn vị, địa phương quy định tại khoản 1 Điều 2 Quy chế này có trách nhiệm tổ chức triển khai thực hiện trong phạm vi quản lý. Định kỳ 6 tháng (trước ngày 15 tháng 6), hằng năm (trước ngày 15 tháng 12) hoặc khi có yêu cầu đột xuất, các đơn vị báo cáo Ủy ban nhân dân tỉnh kết quả triển khai, thực hiện Quy chế (qua Công an tỉnh).

2. Công an tỉnh có trách nhiệm theo dõi, đôn đốc, kiểm tra, đánh giá việc thực hiện Quy chế, báo cáo Ủy ban nhân dân tỉnh theo định kỳ hoặc đột xuất theo yêu cầu của cơ quan có thẩm quyền.

3. Các nội dung liên quan tới bảo vệ dữ liệu cá nhân chưa được quy định tại Quy chế này hoặc chưa có sự thống nhất với Quy chế này và quy định pháp luật hiện hành thì thực hiện theo quy định của pháp luật.

4. Các cơ quan, đơn vị, địa phương chủ động rà soát các hệ thống thông tin xử lý dữ liệu cá nhân được giao quản lý và tổ chức triển khai thực hiện các phương án bảo đảm các hệ thống thông tin trên đáp ứng các yêu cầu về công tác bảo vệ dữ liệu cá nhân quy định tại Quy chế này.

5. Trong quá trình thực hiện Quy chế này, nếu phát sinh khó khăn, vướng mắc, không phù hợp, các cơ quan, đơn vị, địa phương và tổ chức, cá nhân có liên quan phản ánh kịp thời về Công an tỉnh để tổng hợp báo cáo Ủy ban nhân dân tỉnh xem xét điều chỉnh, bổ sung.

Điều 16. Kinh phí thực hiện

1. Kinh phí công tác bảo vệ dữ liệu cá nhân được bố trí từ nguồn ngân sách nhà nước và các nguồn kinh phí hợp pháp khác.

2. Kinh phí thực hiện bảo đảm theo phân cấp ngân sách hiện hành, được bố trí trong dự toán ngân sách hàng năm của cơ quan, đơn vị, địa phương theo quy định./.