Rủi ro khi thiếu chính sách bảo mật đối với dữ liệu được xuất ra

Bạn vừa gửi một file excel chứa danh sách khách hàng cho đối tác qua email. Vài tuần sau, toàn bộ dữ liệu đó bị rao bán trên mạng. Ai sẽ chịu trách nhiệm? Doanh nghiệp của bạn sẽ đối mặt với khoản phạt hàng chục triệu đồng và khủng hoảng danh tiếng như thế nào? Đó là lý do một chính sách bảo mật đối với dữ liệu được xuất ra không còn là lựa chọn, mà là yêu cầu bắt buộc đối với mọi doanh nghiệp Cùng NPLaw khám phá cách xây dựng hàng rào bảo vệ vững chắc cho mọi dữ liệu xuất ra, đảm bảo an toàn tuyệt đối cho doanh nghiệp bạn.

I. Thực trạng liên quan đến chính sách bảo mật đối với dữ liệu được xuất ra

Trong bối cảnh công nghệ phát triển mạnh mẽ và dòng chảy thông tin không ngừng, dữ liệu ngày càng trở thành tài sản vô giá của mọi tổ chức, doanh nghiệp. Tuy nhiên, một trong những điểm yếu thường bị bỏ qua trong chuỗi bảo mật chính là giai đoạn dữ liệu được xuất ra khỏi các hệ thống quản lý chính. Điều này bao gồm việc sao chép ra USB, gửi qua email, in ấn, hoặc chuyển giao cho bên thứ ba.

Thực trạng cho thấy, nhiều doanh nghiệp chỉ tập trung bảo mật dữ liệu khi chúng nằm trong các máy chủ hoặc hệ thống nội bộ, nhưng lại chưa có một chính sách bảo mật đối với dữ liệu được xuất ra rõ ràng và chặt chẽ. Hậu quả là các sự cố rò rỉ dữ liệu thường xuyên xảy ra do nhân viên vô ý hoặc cố ý: một nhân viên tải danh sách khách hàng về máy cá nhân, một quản lý in tài liệu mật và để quên ở máy in công cộng, hay việc chuyển giao dữ liệu cho đối tác nhưng không mã hóa hoặc không kiểm soát chặt chẽ. Những lỗ hổng này có thể dẫn đến mất bí mật kinh doanh, vi phạm quy định về bảo vệ dữ liệu cá nhân, gây thiệt hại tài chính và tổn hại nghiêm trọng đến uy tín của doanh nghiệp.

Chính vì vậy, việc nhận diện nguy cơ và chủ động xây dựng một chính sách bảo mật đối với dữ liệu được xuất ra không chỉ là yêu cầu cấp thiết mà còn là yếu tố sống còn để đảm bảo an toàn thông tin toàn diện cho doanh nghiệp trong môi trường kinh doanh số hóa hiện nay.

II. Khái niệm về chính sách bảo mật đối với dữ liệu được xuất ra

Hiểu rõ bản chất của chính sách bảo mật đối với dữ liệu được xuất ra là vô cùng quan trọng. Phần này, NPLaw sẽ làm rõ khái niệm, các loại dữ liệu và rủi ro phổ biến.

1. Chính sách bảo mật đối với dữ liệu được xuất ra là gì?

Chính sách bảo mật đối với dữ liệu được xuất ra được hiểu là một tập hợp các quy tắc, quy định, quy trình và biện pháp kỹ thuật do doanh nghiệp ban hành nhằm kiểm soát, bảo vệ và quản lý thông tin, dữ liệu nhạy cảm khi chúng được di chuyển, sao chép, truyền tải hoặc in ấn ra khỏi các hệ thống lưu trữ và xử lý chính thức của doanh nghiệp. Mục đích là để ngăn chặn việc truy cập trái phép, sử dụng sai mục đích, tiết lộ, thay đổi hoặc phá hủy dữ liệu trong quá trình chúng "rời khỏi" môi trường được kiểm soát chặt chẽ.

Hiểu đơn giản, chính sách bảo mật đối với dữ liệu được xuất ra là lá chắn cuối cùng cho thông tin quý giá của doanh nghiệp trước nguy cơ rò rỉ khi chúng không còn nằm trong các hệ thống chính thức.

2. Dữ liệu nào được coi là dữ liệu xuất ra cần bảo mật?

Dữ liệu được coi là dữ liệu xuất ra cần bảo mật bao gồm bất kỳ thông tin nhạy cảm hoặc quan trọng nào của doanh nghiệp mà được di chuyển từ hệ thống nội bộ ra bên ngoài, dưới nhiều hình thức khác nhau. Các loại dữ liệu này bao gồm nhưng không giới hạn:

• Dữ liệu cá nhân: Thông tin khách hàng (tên, địa chỉ, số điện thoại, email, số CCCD), thông tin nhân viên, đối tác.
• Bí mật kinh doanh: Công thức sản phẩm, quy trình sản xuất, danh sách nhà cung cấp, chiến lược marketing, kế hoạch kinh doanh, dữ liệu nghiên cứu và phát triển (R&D).
• Dữ liệu tài chính: Báo cáo tài chính, dữ liệu kế toán, thông tin về giao dịch, lợi nhuận, lương bổng.
• Tài sản trí tuệ: Mã nguồn phần mềm, thiết kế sản phẩm, bản vẽ kỹ thuật, nội dung bản quyền.
• Dữ liệu hợp đồng: Các hợp đồng với khách hàng, đối tác, nhà cung cấp.
• Dữ liệu nội bộ nhạy cảm khác: Biên bản họp chiến lược, email trao đổi nội bộ quan trọng, dữ liệu khảo sát thị trường.

Các hình thức xuất ra có thể là: sao chép vào USB/ổ cứng di động, gửi qua email, tải lên dịch vụ lưu trữ đám mây cá nhân, in ấn, chụp ảnh màn hình, hoặc chuyển giao qua các ứng dụng nhắn tin.

Mọi thông tin nhạy cảm của doanh nghiệp, khi rời khỏi hệ thống quản lý chính thức, đều trở thành dữ liệu được xuất ra cần bảo mật đặc biệt.

3. Các rủi ro phổ biến liên quan đến dữ liệu xuất ra mà chính sách bảo mật cần phòng tránh là gì?

Các rủi ro phổ biến liên quan đến dữ liệu xuất ra mà chính sách bảo mật đối với dữ liệu được xuất ra cần tập trung phòng tránh bao gồm:

• Rò rỉ dữ liệu do sơ suất của nhân viên: Đây là rủi ro phổ biến nhất. Nhân viên có thể vô tình gửi email chứa dữ liệu nhạy cảm cho sai người, để quên thiết bị chứa dữ liệu ở nơi công cộng, in tài liệu mật và không thu hồi, hoặc sao chép dữ liệu vào thiết bị cá nhân không được bảo vệ.
• Mất cắp dữ liệu do hành vi cố ý: Nhân viên có thể cố tình sao chép hoặc trích xuất dữ liệu để sử dụng cho mục đích cá nhân, bán cho đối thủ cạnh tranh, hoặc gây hại cho doanh nghiệp khi nghỉ việc.
• Lây nhiễm mã độc: Thiết bị lưu trữ di động (USB, ổ cứng) chứa dữ liệu xuất ra có thể bị nhiễm virus hoặc phần mềm độc hại, sau đó lây nhiễm ngược vào hệ thống doanh nghiệp hoặc làm hỏng/đánh cắp dữ liệu.

• Truy cập trái phép vào dữ liệu đã xuất ra: Dữ liệu được xuất ra và lưu trữ trên các thiết bị không bảo mật (ví dụ: máy tính cá nhân không có mật khẩu, đám mây công cộng) có thể bị bên thứ ba truy cập trái phép.
• Vi phạm quy định pháp luật: Việc rò rỉ dữ liệu cá nhân của khách hàng hoặc các bí mật kinh doanh có thể khiến doanh nghiệp vi phạm quy định pháp luật, dẫn đến các hình phạt hành chính và yêu cầu bồi thường.

Chính sách bảo mật đối với dữ liệu được xuất ra cần được thiết kế để bao quát và giảm thiểu tối đa các rủi ro từ yếu tố con người và kỹ thuật khi thông tin rời khỏi hệ thống.

III. Quy định của pháp luật liên quan đến chính sách bảo mật đối với dữ liệu được xuất ra

Tuân thủ pháp luật là yêu cầu bắt buộc, không phải là lựa chọn. NPLaw sẽ phân tích chi tiết các quy định pháp luật hiện hành để doanh nghiệp có cơ sở xây dựng chính sách của mình.

1. Chính sách bảo mật đối với dữ liệu được xuất ra bao gồm những nội dung và biện pháp nào?

Căn cứ Điều 26, 27 và 28 Nghị định 13/2023/NĐ-CP, chính sách bảo mật đối với dữ liệu được xuất ra cần áp dụng xuyên suốt quá trình xử lý với các nội dung trọng tâm sau:

Thứ nhất, về biện pháp quản lý (theo điểm a khoản 2 Điều 26 và khoản 2 Điều 27), tổ chức phải ban hành quy định nội bộ nêu rõ cách thức phân loại dữ liệu và giới hạn quyền truy cập. Chỉ nhân sự có thẩm quyền mới được xuất dữ liệu qua các kênh được phê duyệt, đồng thời phải áp dụng các chế tài kỷ luật nghiêm khắc nếu vi phạm.

Thứ hai, về biện pháp kỹ thuật (theo điểm b khoản 2 Điều 26 và khoản 4 Điều 27), bên cạnh việc mã hóa đường truyền và thiết bị lưu trữ, luật yêu cầu bắt buộc phải kiểm tra an ninh mạng đối với hệ thống, thiết bị trước khi xử lý. Đặc biệt, sau khi sử dụng xong, dữ liệu phải được xóa không thể khôi phục hoặc hủy bỏ thiết bị chứa dữ liệu để đảm bảo an toàn tuyệt đối.

Thứ ba, riêng đối với dữ liệu cá nhân nhạy cảm (theo Điều 28), quy trình bảo mật bắt buộc phải có thêm bước chỉ định nhân sự/bộ phận bảo vệ dữ liệu (cần trao đổi thông tin nhân sự này với cơ quan nhà nước) và thực hiện thông báo cho chủ thể dữ liệu biết về việc dữ liệu của họ đang được xử lý.

Như vậy, một chính sách bảo mật hiệu quả cho dữ liệu xuất ra phải tuân thủ chặt chẽ quy định pháp luật bằng cách kết hợp ban hành quy định quản lý rõ ràng, áp dụng biện pháp kỹ thuật mạnh mẽ (bao gồm kiểm tra an ninh và xóa không thể khôi phục) và có cơ chế giám sát nhân sự đặc biệt đối với dữ liệu nhạy cảm.

2. Pháp luật hiện hành quy định gì về việc xây dựng chính sách bảo mật đối với dữ liệu được xuất ra?

Pháp luật hiện hành của Việt Nam không có một văn bản riêng biệt quy định chi tiết về việc xây dựng chính sách bảo mật đối với dữ liệu được xuất ra. Tuy nhiên, các văn bản pháp luật sau đây là cơ sở và yêu cầu gián tiếp để doanh nghiệp phải xây dựng các chính sách nội bộ nhằm bảo vệ dữ liệu, bao gồm cả dữ liệu xuất ra:

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: Đây là văn bản pháp luật quan trọng nhất, yêu cầu tổ chức, cá nhân xử lý dữ liệu cá nhân phải áp dụng các biện pháp bảo vệ dữ liệu cá nhân như Điều 26 về biện pháp bảo vệ dữ liệu cá nhân,  Điều 27 về bảo vệ dữ liệu cá nhân cơ bản, Điều 38 về trách nhiệm của Bên Kiểm soát dữ liệu cá nhân, Điều 39 về trách nhiệm của Bên Xử lý dữ liệu cá nhân,...
• Luật An toàn thông tin mạng 2015: Quy định trách nhiệm của cơ quan, tổ chức, cá nhân trong việc bảo đảm an toàn thông tin mạng, trong đó có việc bảo vệ thông tin cá nhân như Điều 15 hay nghiêm cấm các hành vi xâm phạm an toàn thông tin mạng, bao gồm cả hành vi thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác tại Điều 7,...
• Luật Sở hữu trí tuệ 2005, sửa đổi, bổ sung 2009, 2019, 2022 tại Điều 84 về điều kiện chung đối với bí mật kinh doanh được bảo hộ, Điều 120 về hành vi xâm phạm quyền đối với bí mật kinh doanh,... Hay Bộ luật Lao động 2019 tại Điều 16 về nghĩa vụ cung cấp thông tin khi giao kết hợp đồng lao động, trong đó có quy định về bảo vệ bí mật kinh doanh, bảo vệ bí mật công nghệ và vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động mà người lao động yêu cầu,...

Như vậy, các quy định hiện hành về bảo vệ dữ liệu cá nhân, an toàn thông tin mạng và sở hữu trí tuệ là cơ sở pháp lý vững chắc để doanh nghiệp buộc phải xây dựng chính sách bảo mật đối với dữ liệu được xuất ra.

3. Ai chịu trách nhiệm thực hiện và giám sát chính sách bảo mật đối với dữ liệu được xuất ra trong doanh nghiệp?

Việc thực hiện và giám sát chính sách bảo mật dữ liệu xuất ra không thuộc về một cá nhân riêng lẻ mà cần sự phân cấp trách nhiệm rõ ràng từ cấp lãnh đạo đến từng nhân viên, cụ thể như sau:

Trước hết, Lãnh đạo doanh nghiệp giữ vai trò quyết định cao nhất trong việc phê duyệt chính sách và đảm bảo nguồn lực (tài chính, công nghệ) để triển khai. Trách nhiệm này phù hợp với quy định tại Điều 26 Nghị định 13/2023/NĐ-CP, yêu cầu Bên Kiểm soát dữ liệu thực hiện các biện pháp tổ chức và kỹ thuật cùng các biện pháp an toàn, bảo mật phù hợp để chứng minh các hoạt động xử lý dữ liệu đã được thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân, rà soát và cập nhật các biện pháp này khi cần thiết, tức là phải chủ động áp dụng các biện pháp bảo vệ dữ liệu ngay từ khi bắt đầu xử lý.

Ở cấp độ thực thi, Bộ phận chuyên trách (IT/CISO) chịu trách nhiệm thiết kế giải pháp kỹ thuật, giám sát rủi ro và đào tạo nhận thức, trong khi Trưởng các phòng ban có nghĩa vụ đôn đốc, giám sát việc tuân thủ của nhân viên dưới quyền.

Cuối cùng, mỗi cán bộ, nhân viên là người trực tiếp thực hiện quy trình xuất dữ liệu an toàn và báo cáo sự cố. Trách nhiệm cá nhân này được củng cố bởi khoản 2 Điều 21 Bộ luật Lao động 2019, quy định nghĩa vụ của người lao động trong việc bảo vệ bí mật kinh doanh và công nghệ của tổ chức. 

Tóm lại, bảo mật dữ liệu là trách nhiệm chung của toàn hệ thống chứ không chỉ riêng bộ phận kỹ thuật.

4. Các hình thức xử phạt nếu doanh nghiệp không tuân thủ chính sách bảo mật dữ liệu xuất ra

Nếu doanh nghiệp không có chính sách hiệu quả hoặc lơ là trong việc bảo mật dữ liệu xuất ra, dẫn đến rò rỉ thông tin, hậu quả phải đối mặt sẽ rất nặng nề trên cả ba phương diện: hành chính, dân sự và hình sự.

Thứ nhất, về trách nhiệm hành chính, theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, chế tài xử phạt hiện nay vô cùng nghiêm khắc. Đối với các vi phạm thông thường trong lĩnh vực bảo vệ dữ liệu, mức phạt tiền tối đa có thể lên tới 03 tỷ đồng. Đặc biệt, nếu vi phạm liên quan đến chuyển dữ liệu xuyên biên giới, doanh nghiệp có thể bị phạt tới 5% doanh thu năm trước liền kề; trường hợp mua bán dữ liệu trái phép, mức phạt lên đến 10 lần khoản thu lợi bất chính.

Thứ hai, về trách nhiệm dân sự, căn cứ Điều 584 Bộ luật Dân sự 2015, doanh nghiệp buộc phải bồi thường toàn bộ thiệt hại thực tế xảy ra cho khách hàng hoặc đối tác nếu việc rò rỉ dữ liệu gây tổn thất về tài sản hoặc tinh thần cho họ.

Thứ ba, về trách nhiệm hình sự, trong các trường hợp nghiêm trọng có yếu tố cấu thành tội phạm, cá nhân có trách nhiệm liên quan có thể bị truy tố theo Bộ luật Hình sự 2015, sửa đổi 2017 với các tội danh như: tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288), tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác (Điều 289), tội cố ý làm lộ bí mật nhà nước; tội chiếm đoạt, mua bán, tiêu hủy tài liệu bí mật nhà nước (Điều 337),...

Ngoài các chế tài pháp lý, doanh nghiệp còn phải chịu án phạt từ thị trường là sự mất mát uy tín thương hiệu và lòng tin của khách hàng, gây ảnh hưởng lâu dài đến hoạt động kinh doanh.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến chính sách bảo mật đối với dữ liệu được xuất ra

NPLaw nhận thấy, việc xây dựng và thực thi chính sách bảo mật đối với dữ liệu được xuất ra thường đặt ra nhiều câu hỏi thực tiễn. Phần này sẽ giải đáp các thắc mắc phổ biến nhất.

1. Chính sách bảo mật đối với dữ liệu được xuất ra có quy định gì về việc lưu trữ hồ sơ các lần xuất dữ liệu?

Chính sách bảo mật bắt buộc phải có quy định về việc lưu trữ hồ sơ (ghi nhật ký hệ thống - logging) đối với mọi hoạt động xuất dữ liệu. Đây là biện pháp then chốt để đảm bảo tính minh bạch và khả năng truy vết nguồn gốc khi xảy ra sự cố.

Về mặt kỹ thuật, hệ thống phải được cấu hình để tự động ghi lại chi tiết các thông tin: người thực hiện (tên tài khoản), thời gian xuất, nội dung dữ liệu (tên file, loại dữ liệu), đích đến (thiết bị lưu trữ, email, máy in) và mục đích sử dụng. Các bản ghi này cần được quản lý tập trung (thường qua hệ thống SIEM) và bảo vệ nghiêm ngặt khỏi việc xóa hoặc sửa đổi trái phép trong một khoảng thời gian quy định (ví dụ: 12 tháng, 24 tháng).

Quy định này dựa trên khoản 2 Điều 38 Nghị định 13/2023/NĐ-CP, yêu cầu Bên Kiểm soát dữ liệu cá nhân phải có trách nhiệm ghi nhận và lưu trữ thông tin về hoạt động xử lý dữ liệu (bao gồm việc xuất dữ liệu) để phục vụ công tác kiểm tra, đánh giá của cơ quan chức năng. Đồng thời, việc ghi nhật ký hệ thống cũng là một trong các biện pháp kỹ thuật bắt buộc được quy định tại điểm b khoản 2 Điều 26 của Nghị định này và các tiêu chuẩn về an toàn hệ thống thông tin theo Luật An toàn thông tin mạng 2015.

2. Các biện pháp kỹ thuật nào thường được áp dụng để bảo vệ dữ liệu được xuất ra?

Trên thực tiễn, để bảo vệ dữ liệu được xuất ra, chính sách bảo mật đối với dữ liệu được xuất ra thường áp dụng các biện pháp kỹ thuật sau:

• Giải pháp chống thất thoát dữ liệu (DLP - Data Loss Prevention): Đây là biện pháp cốt lõi. Hệ thống DLP có thể quét và phát hiện dữ liệu nhạy cảm, sau đó ngăn chặn hoặc kiểm soát việc truyền tải dữ liệu đó qua các kênh như email, USB, đám mây, ứng dụng nhắn tin.
• Mã hóa dữ liệu:
  • Mã hóa trên thiết bị lưu trữ: Yêu cầu mã hóa ổ đĩa cứng của máy tính xách tay, USB, ổ cứng di động chứa dữ liệu nhạy cảm.
  • Mã hóa khi truyền tải: Sử dụng các giao thức mã hóa (ví dụ: SSL/TLS cho email, VPN cho kết nối mạng) khi gửi dữ liệu qua mạng.
• Quản lý thiết bị đầu cuối (Endpoint Management/MDM): Kiểm soát các thiết bị đầu cuối (máy tính, điện thoại di động, máy tính bảng) của nhân viên, bao gồm việc cấm sử dụng USB không được phép, kiểm soát quyền truy cập ứng dụng, yêu cầu mật khẩu mạnh.
• Kiểm soát truy cập dựa trên vai trò (RBAC): Đảm bảo rằng chỉ những nhân viên có vai trò và quyền hạn cần thiết mới có thể truy cập và xuất dữ liệu nhạy cảm.
• Giám sát và ghi nhật ký hoạt động (Logging & Monitoring): Ghi lại mọi hoạt động liên quan đến việc xuất dữ liệu và sử dụng các hệ thống SIEM để phân tích, cảnh báo các hành vi đáng ngờ.
• Hệ thống quản lý tài liệu an toàn (Secure Document Management System): Sử dụng các nền tảng quản lý tài liệu có tính năng bảo mật cao, kiểm soát phiên bản, quyền truy cập và khả năng theo dõi.

Kết hợp đa dạng các biện pháp kỹ thuật là điều kiện tiên quyết để chính sách bảo mật đối với dữ liệu được xuất ra thực sự hiệu quả trong việc ngăn chặn rò rỉ.

3. Thời hạn lưu trữ dữ liệu xuất ra theo chính sách bảo mật được quy định như thế nào?

Pháp luật không quy định một thời hạn cụ thể cho mọi loại dữ liệu xuất ra. Thời hạn này phụ thuộc vào:

• Mục đích xử lý dữ liệu: Dữ liệu chỉ nên được lưu trữ trong khoảng thời gian cần thiết để hoàn thành mục đích đã được xác định ban đầu. Nguyên tắc này được quy định tại khoản 7 Điều 3 Nghị định 13/2023/NĐ-CP.
• Mức độ nhạy cảm của dữ liệu: Dữ liệu càng nhạy cảm, thời hạn lưu trữ trên các thiết bị hoặc kênh xuất ra càng nên ngắn để giảm thiểu rủi ro.
• Chính sách nội bộ của doanh nghiệp: Doanh nghiệp cần tự xây dựng quy định về thời hạn lưu trữ tối đa cho các loại dữ liệu khác nhau trên các kênh xuất ra (ví dụ: dữ liệu xuất ra USB chỉ được lưu tối đa 24 giờ, dữ liệu gửi qua email chỉ được giữ trong hộp thư gửi đi một thời gian nhất định).

Như vậy, doanh nghiệp phải xây dựng quy định về thời hạn lưu trữ và quy trình hủy dữ liệu an toàn khi hết thời hạn, tránh việc lưu trữ dữ liệu xuất ra vô thời hạn.

4. Chính sách bảo mật đối với dữ liệu được xuất ra có yêu cầu mã hóa dữ liệu không?

Mã hóa dữ liệu là một yêu cầu kỹ thuật gần như bắt buộc trong chính sách bảo mật, đặc biệt khi xuất dữ liệu ra thiết bị lưu trữ ngoài hoặc truyền tải qua mạng.

Căn cứ điểm b khoản 2 Điều 26 Nghị định 13/2023/NĐ-CP. Mặc dù điều luật dùng thuật ngữ tổng quát là biện pháp kỹ thuật, nhưng trong thực tiễn áp dụng pháp luật và tiêu chuẩn an toàn thông tin, mã hóa chính là biện pháp kỹ thuật căn bản nhất để đáp ứng yêu cầu bảo vệ dữ liệu khỏi bị truy cập trái phép. Đặc biệt đối với dữ liệu cá nhân nhạy cảm, việc áp dụng biện pháp kỹ thuật này là điều kiện tiên quyết để tuân thủ quy định tại Điều 28 của Nghị định.

Về mặt thực tiễn, chính sách cần quy định rõ việc mã hóa phải được thực hiện khi lưu trữ dữ liệu trên các thiết bị di động (USB, laptop) để phòng ngừa rủi ro mất cắp thiết bị và truyền tải dữ liệu qua email hoặc môi trường mạng công cộng để ngăn chặn rủi ro bị đánh cắp hoặc nghe lén. 

Như vậy, mã hóa không chỉ là khuyến nghị mà là giải pháp cụ thể hóa quy định của pháp luật về bảo đảm an toàn dữ liệu.

5. Chính sách bảo mật đối với dữ liệu được xuất ra có bao gồm quyền truy cập, chỉnh sửa và xóa dữ liệu không?

Chính sách bảo mật đối với dữ liệu xuất ra (bản sao rời khỏi hệ thống) bắt buộc phải bao gồm các quy định về quyền truy cập, chỉnh sửa và xóa bỏ để đảm bảo tuân thủ các quyền của chủ thể dữ liệu được quy định tại Điều 9 Nghị định 13/2023/NĐ-CP. Cụ thể như sau:

Thứ nhất, về quyền truy cập, chính sách cần xác định rõ ai được phép tiếp cận dữ liệu đã xuất ra theo nguyên tắc quyền tối thiểu. Việc này nhằm tuân thủ Điều 26 Nghị định 13/2023/NĐ-CP về biện pháp bảo vệ dữ liệu, đảm bảo rằng việc xuất dữ liệu không tạo ra lỗ hổng để những người không có phận sự tiếp cận thông tin.

Thứ hai, về quyền chỉnh sửa, căn cứ Điều 15 Nghị định 13/2023/NĐ-CP về chỉnh sửa dữ liệu cá nhân), chính sách thường hạn chế hoặc cấm việc chỉnh sửa trực tiếp trên file dữ liệu đã xuất ra. Lý do là để đảm bảo tính nhất quán và toàn vẹn của thông tin; mọi thay đổi cần được thực hiện trên hệ thống gốc (Master Data) và xuất lại bản mới nếu cần thiết, tránh tình trạng "tam sao thất bản".

Thứ ba, về Quyền xóa dữ liệu, đây là nội dung quan trọng nhất căn cứ theo Điều 16 Nghị định 13/2023/NĐ-CP về lưu trữ, xóa, hủy dữ liệu cá nhân. Chính sách phải quy định rõ: khi chủ thể dữ liệu yêu cầu rút lại sự đồng ý hoặc khi mục đích xử lý đã hoàn thành, doanh nghiệp phải có quy trình rà soát và xóa an toàn (không thể khôi phục) tất cả các bản sao đã xuất ra trên các thiết bị lưu trữ tạm thời, USB hay máy tính cá nhân, chứ không chỉ xóa trên hệ thống máy chủ.

Tóm lại, chính sách bảo mật cho dữ liệu xuất ra không chỉ là công cụ phòng chống rò rỉ mà còn là phương tiện để doanh nghiệp thực thi trách nhiệm quản lý vòng đời dữ liệu, đảm bảo quyền làm chủ của người dùng đối với thông tin của họ mọi lúc, mọi nơi.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về chính sách bảo mật đối với dữ liệu được xuất ra

Việc tuân thủ đúng các quy định về chính sách bảo mật đối với dữ liệu được xuất ra không chỉ giúp doanh nghiệp tránh được các khoản phạt không đáng có mà còn thể hiện sự chuyên nghiệp và trách nhiệm pháp lý. Tuy nhiên, với những quy định phức tạp và thường xuyên thay đổi, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn.

Nếu bạn đang gặp vướng mắc trong việc xây dựng, rà soát, cập nhật hoặc muốn tìm hiểu sâu hơn về các quy định liên quan đến chính sách bảo mật đối với dữ liệu được xuất ra, hãy liên hệ với NPLaw ngay hôm nay.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.