Về Trách Nhiệm Của Cơ Quan, Tổ Chức Nắm Giữ Thông Tin, Dữ Liệu Cá Nhân

tin trong khâu thiết kế, xây dựng; bảo đảm an toàn hệ thống thông tin trong quá trình vận hành; kiểm tra, đánh giá an toàn thông tin…)

* Trong lĩnh vực báo chí

Nếu như các văn bản quy phạm pháp luật ở các lĩnh vực khác quy định việc bảo vệ thông tin cá nhân theo hướng ngăn chặn các thông tin này bị tiết lộ ra ngoài khi chưa được phép của người có thông tin hoặc của cơ quan có thẩm quyền thì các quy định pháp luật trong lĩnh vực báo chí lại quy định bảo vệ thông tin cá nhân theo hướng không bị xuyên tạc, sai sự thật, cụ thể:

Luật Báo chí 2016 quy định cơ quan báo chí thông tin sai sự thật, xuyên tạc, vu khống, xúc phạm uy tín của cơ quan, tổ chức, danh dự, nhân phẩm của cá nhân thì phải đăng, phát lời cải chính, xin lỗi trên báo chí và thông báo cho cơ quan, tổ chức, cá nhân đó (Điều 42).

Đồng thời, khi cơ quan, tổ chức, cá nhân có căn cứ cho rằng cơ quan báo chí thông tin sai sự thật, xuyên tạc, vu khống, xúc phạm uy tín, danh dự, nhân phẩm của mình hoặc gây hiểu lầm làm ảnh hưởng đến uy tín, danh dự, nhân phẩm của mình thì có quyền nêu ý kiến phản hồi bằng văn bản đến cơ quan báo chí, cơ quan chủ quản báo chí, cơ quan quản lý nhà nước về báo chí hoặc khởi kiện tại Tòa án (khoản 1 Điều 43).

* Trong lĩnh vực bưu chính, viễn thông

Thông tư số 06/2008/TTLT-BTTTT-BCA về bảo đảm an toàn cơ sở hạ tầng và an ninh thông tin trong hoạt động bưu chính, viễn thông và công nghệ thông tin quy định phải triển khai các giải pháp, biện pháp bảo đảm an ninh thông tin bí mật nhà nước, thông tin riêng của tổ chức, cá nhân, nội dung thư, bưu phẩm, bưu kiện, gói, kiện hàng hóa, thông tin chuyển qua mạng bưu chính, viễn thông và công nghệ thông tin (điểm b mục 2.II).

* Trong lĩnh vực lý lịch tư pháp

- Luật Lý lịch tư pháp 2009 quy định cơ sở dữ liệu lý lịch tư pháp là tài

sản quốc gia phải được bảo vệ chặt chẽ, an toàn, lưu trữ lâu dài; chỉ người có thẩm quyền mới được tiếp cận, khai thác cơ sở dữ liệu lý lịch tư pháp (Điều 14).

Có thể bạn quan tâm!

Xem toàn bộ 127 trang tài liệu này.

- Nghị định số 111/2010/NĐ-CP quy định chi tiết và biện pháp thi hành một số điều Luật lý lịch tư pháp quy định các biện pháp bảo vệ cơ sở dữ liệu lý lịch tư pháp tại Điều 23, gồm: các biện pháp bảo vệ chung (các biện pháp phòng, chống đột nhập, trộm cắp dữ liệu; các biện pháp phòng, chống cháy, nổ; phòng, chống thiên tai), các biện pháp bảo vệ đối với hồ sơ lý lịch tư pháp bằng giấy (xây dựng hoặc bố trí kho lưu trữ theo đúng tiêu chuẩn quy định…), và các biện pháp bảo vệ đối với dữ liệu lý lịch tư pháp điện tử (các biện pháp bảo đảm an toàn, an ninh dữ liệu; các biện pháp bảo đảm an ninh mạng).

* Trong lĩnh vực hành chính

- Luật Tố tụng hành chính 2015 quy định trường hợp cần thiết phải bảo đảm an toàn cho người làm chứng và những người thân thích của họ, Hội đồng xét xử quyết định không tiết lộ những thông tin về nhân thân của người làm chứng và không để những người trong phiên tòa nhìn thấy họ (khoản 5 Điều 181).

- Nghị định số 76/2012/NĐ-CP quy định chi tiết thi hành một số điều của Luật tố cáo, Điều 12 quy định:

+ Khi tiếp nhận tố cáo, thụ lý giải quyết tố cáo, cơ quan, tổ chức, cá nhân có thẩm quyền phải nghiên cứu, xác định nội dung vụ việc, những thông tin nếu tiết lộ sẽ gây bất lợi cho người tố cáo để áp dụng biện pháp phù hợp nhằm giữ bí mật thông tin cho người tố cáo. Trường hợp cần thiết có thể lược bỏ họ tên, địa chỉ, bút tích, các thông tin cá nhân khác của người tố cáo ra khỏi đơn tố cáo và các tài liệu, chứng cứ kèm theo, đồng thời lưu trữ và quản lý thông tin về người tố cáo theo chế độ thông tin mật.

+ Trong quá trình giải quyết tố cáo, nếu có yêu cầu làm việc trực tiếp với người tố cáo, cơ quan, tổ chức, cá nhân có liên quan, người giải quyết tố

cáo phải bố trí thời gian, địa điểm và lựa chọn phương thức làm việc phù hợp để bảo vệ bí mật thông tin cho người tố cáo.

+ Trường hợp phát hiện người không có thẩm quyền có hành vi thu thập thông tin về người tố cáo, người giải quyết tố cáo có trách nhiệm áp dụng biện pháp theo thẩm quyền hoặc kiến nghị người có thẩm quyền áp dụng biện pháp ngăn chặn hoặc xử lý đối với người có hành vi vi phạm.

- Luật Cư trú 2006 quy định cấm các hành vi: thuê, cho thuê, mượn, cho mượn, làm giả, sửa chữa, làm sai lệch nội dung sổ hộ khẩu, sổ tạm trú, giấy tờ khác liên quan đến cư trú; sử dụng giấy tờ giả về cư trú; cung cấp thông tin, tài liệu sai sự thật về cư trú (khoản 8 Điều 8).

Như vậy có thể thấy, trong lĩnh vực hành chính, Luật Tố tụng hành chính, Luật Tố cáo và các văn bản hướng dẫn thi hành đã có quy định khá cụ thể về phương thức bảo vệ thông tin cá nhân của đương sự và người tố cáo.

* Trong lĩnh vực kinh doanh, thương mại, sở hữu trí tuệ

- Nghị định số 52/2013/NĐ-CP về thương mại điện tử quy định cấm các hành vi tại Điều 4: giả mạo thông tin của thương nhân, tổ chức, cá nhân khác để tham gia hoạt động thương mại điện tử (điểm b khoản 3); đánh cắp, sử dụng, tiết lộ, chuyển nhượng, bán các thông tin liên quan đến bí mật kinh doanh của thương nhân, tổ chức, cá nhân khác hoặc thông tin cá nhân của người tiêu dùng trong thương mại điện tử khi chưa được sự đồng ý của các bên liên quan, trừ trường hợp pháp luật có quy định khác (điểm a khoản 4).

Đồng thời, Nghị định này cũng quy định quy chế hoạt động sàn giao dịch thương mại điện tử phải bao gồm nội dung về chính sách bảo vệ thông tin cá nhân của người sử dụng dịch vụ sàn giao dịch thương mại điện tử (điểm i khoản 2 Điều 38).

- Luật Sở hữu trí tuệ 2005 quy định trước thời điểm đơn đăng ký sáng chế, đơn đăng ký kiểu dáng công nghiệp được công bố trên Công báo sở hữu

công nghiệp, cơ quan quản lý nhà nước về quyền sở hữu công nghiệp có trách nhiệm bảo mật thông tin trong đơn (khoản 1 Điều 111); cán bộ, công chức của cơ quan quản lý nhà nước về quyền sở hữu công nghiệp làm lộ bí mật thông tin trong đơn đăng ký sáng chế, đơn đăng ký kiểu dáng công nghiệp thì bị xử lý kỷ luật; nếu việc làm lộ bí mật thông tin gây thiệt hại cho người nộp đơn thì phải bồi thường thiệt hại theo quy định của pháp luật (khoản 2 Điều 111).

Bên cạnh đó, pháp luật cũng có những quy định mang tính chế tài (chế tài hình sự, chế tài hành chính) để xử lý những hành vi xâm phạm quyền bảo vệ thông tin cá nhân như: Bộ luật Hình sự năm 1999, sửa đổi, bổ sung năm 2009 (Điều 125); Nghị định số 174/2013/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, công nghệ thông tin và tần số vô tuyến điện (điểm b khoản 2 Điều 64, điểm a khoản 3 Điều 64, khoản 1 Điều 65…); Nghị định 159/2013/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực báo chí, xuất bản (điểm d khoản 2 Điều 8, điểm a khoản 1 Điều 20…); Nghị định số 158/2013/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực văn hóa, thể thao, du lịch và quảng cáo (điểm b khoản 1 Điều 4, điểm b khoản 3 Điều 51…); Nghị định số 176/2013/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực y tế (điểm c khoản 3 Điều 17, điểm b khoản 4 Điều 17, điểm a khoản 2 Điều 46…).

Từ thực tiễn cho thấy thấy, các quy định pháp luật ở các lĩnh vực khác nhau đã có những quy định nhằm bảo vệ thông tin, dữ liệu cá nhân phù hợp với đặc điểm của từng lĩnh vực đó.

2.3.1.6. Về quy trình bảo vệ thông tin

* Trong lĩnh vực hành chính

Hiện tại, quy trình bảo vệ thông tin/ dữ liệu cá nhân chủ yếu được thực hiện bằng quy trình lưu trữ hồ sơ, tài liệu có chưa thông tin/ dữ liệu cá nhân. Ví dụ: Nghị định số 23/2015/NĐ-CP về cấp bản sao từ sổ gốc, chứng thực

bản sao từ bản chính, chứng thực chữ ký và chứng thực hợp đồng, giao dịch quy định chế độ lưu trữ chữ ký được chứng thực (khoản 2 Điều 14); Nghị định số 111/2010/NĐ-CP quy định chi tiết và biện pháp thi hành một số điều Luật Lý lịch tư pháp (Điều 20)…

Ngoài ra, Luật Căn cước công dân 2014 quy định Cơ sở dữ liệu quốc gia về dân cư là tài sản quốc gia, được Nhà nước bảo vệ theo quy định của pháp luật về bảo vệ công trình quan trọng liên quan đến an ninh quốc gia (khoản 1 Điều 10). Việc truy nhập Cơ sở dữ liệu căn cước công dân hoặc nghiên cứu hồ sơ, tài liệu trong tàng thư căn cước công dân phải được sự phê duyệt của thủ trưởng cơ quan quản lý căn cước công dân (khoản 1 Điều 17).

Nghị định số 137/2015/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Căn cước công dân quy định Thủ trưởng cơ quan quy định tại các Khoản 2, 3 và 4 Điều 5 Nghị định này có trách nhiệm kiểm tra tính pháp lý, tính chính xác của các thông tin trước khi chỉnh sửa thông tin trong Cơ sở dữ liệu quốc gia về dân cư, quyết định việc chỉnh sửa thông tin về công dân trong cơ sở dữ liệu và chịu trách nhiệm về việc chỉnh sửa đó (khoản 3 Điều 6).

Việc sử dụng thông tin về công dân trong Cơ sở dữ liệu quốc gia về dân cư phải bảo đảm bí mật nhà nước, bí mật cá nhân, bí mật gia đình và đời sống riêng tư của công dân (khoản 1 Điều 11).

Nghị định này cũng quy định quy trình kết nối, chia sẻ thông tin với Cơ sở dữ liệu quốc gia về dân cư (Điều 7); hình thức khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư (Điều 8); thủ tục khai thác thông tin trong Cơ sở dữ liệu quốc gia về dân cư (Điều 10); sao lưu, phục hồi dữ liệu quốc gia về dân cư (Điều 12).

* Trong lĩnh vực y tế

Tương tự như lĩnh vực hành chính, việc bảo vệ thông tin cá nhân trong lĩnh vực y tế cũng được thực hiện theo quy trình lưu giữ thông tin, ví dụ: Thông tư số 57/2015/TT-BYT quy định chi tiết một số điều của Nghị định số

10/2015/NĐ-CP ngày 28/01/2015 của Chính phủ quy định về sinh con bằng kỹ thuật thụ tinh trong ống nghiệm và điều kiện mang thai hộ vì mục đích nhân đạo quy định tại Điều 30 như sau:

- Cơ sở thực hiện kỹ thuật thụ tinh trong ống nghiệm phải tổ chức lưu trữ thông tin về các trường hợp thực hiện thụ tinh trong ống nghiệm tại cơ sở ít nhất 02 (hai) năm kể từ khi kết thúc đợt điều trị sau cùng.

- Các cơ sở thực hiện thụ tinh trong ống nghiệm có phải tổ chức lưu trữ thông tin, dữ liệu về các trường hợp cho, nhận tinh trùng, noãn, phôi và mang thai hộ vì mục đích nhân đạo trong ít nhất 20 (hai mươi) năm, kể từ ngày kết thúc đợt điều trị sau cùng.

* Trong lĩnh vực hình sự

Nghị định số 20/2012/NĐ-CP quy định cơ sở dữ liệu về thi hành án hình sự quy định về quản lý, bảo vệ hệ thống cơ sở dữ liệu về thi hành án hình sự tại Điều 8. Theo đó, hệ thống cơ sở dữ liệu về thi hành án hình sự là tài sản quốc gia phải được quản lý, bảo vệ chặt chẽ, an toàn theo quy định của pháp luật. Cơ quan được giao quản lý cơ sở dữ liệu về thi hành án hình sự có trách nhiệm xây dựng các giải pháp kỹ thuật, quy trình nghiệp vụ, quy định về việc quản lý cơ sở dữ liệu, vận hành hệ thống, an ninh, an toàn thông tin, lưu giữ dữ liệu, kiểm tra hệ thống.

Trường hợp các cơ quan nhà nước, tổ chức, cá nhân có yêu cầu tra cứu, cung cấp thông tin, tài liệu lưu trữ về người chấp hành án, người chấp hành biện pháp tư pháp trong cơ sở dữ liệu về thi hành án hình sự thì phải tuân thủ các quy định của pháp luật về bảo vệ bí mật nhà nước và lưu trữ quốc gia (điểm b khoản 9).

* Trong lĩnh vực hộ tịch, quốc tịch, chứng thực

- Nghị định số 123/2015/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Hộ tịch quy định Sổ hộ tịch được lập khóa (Điều 11) và lưu trữ (Điều 12).

Như vậy, quy trình bảo vệ thông tin/ dữ liệu cá nhân ở các lĩnh vực khác nhau đều được thực hiện chủ yếu theo quy trình lưu trữ hồ sơ, tài liệu có chứa thông tin cá nhân. Đối với thông tin cá nhân được lưu trữ bằng hình thức điện tử thì hệ thống cơ sở dữ liệu được coi là tài sản quốc gia và được quản lý, bảo vệ chặt chẽ theo quy định của pháp luật.

2.3.1.7. Về cơ quan bảo vệ thông tin, dữ liệu cá nhân

Trên thực tế, pháp luật hiện hành chưa giao trách nhiệm cho cơ quan làm đầu mối bảo vệ thông tin/ dữ liệu cá nhân. Vấn đề này mới bước đầu được quy định tại Thông tư liên tịch số 06/2008/TTLT-BTTTT-BCA về bảo đảm an toàn cơ sở hạ tầng và an ninh thông tin trong hoạt động bưu chính, viễn thông và công nghệ thông tin, trong đó phân công trách nhiệm cho Bộ Thông tin và Truyền thông, Bộ Công an trong bảo đảm an toàn cơ sở hạ tầng và an ninh thông tin (mục III), cụ thể:

Bộ Thông tin và Truyền thông có trách nhiệm phối hợp với Bộ Công an để đảm bảo an ninh thông tin, thanh tra, kiểm tra và xử lý đối với tổ chức, cá nhân vi phạm quy định về bảo đảm an ninh thông tin trong hoạt động bưu chính, viễn thông và công nghệ thông tin. Bộ Công an có trách nhiệm chỉ đạo, triển khai công tác bảo đảm an ninh thông tin, phòng, chống tội phạm và các vi phạm pháp luật khác trong lĩnh vực bưu chính, viễn thông và công nghệ thông tin; thanh tra, kiểm tra và xử lý vi phạm đối với tổ chức, cá nhân vi phạm quy định về bảo đảm an ninh thông tin trong hoạt động bưu chính, viễn thông và công nghệ thông tin.

2.3.1.8. Về trách nhiệm của cơ quan, tổ chức nắm giữ thông tin, dữ liệu cá nhân

* Trong lĩnh vực dân sự

Bộ luật Dân sự 2015 dành 02 Điều để quy định về nghĩa vụ của bên cung ứng dịch vụ (Điều 517) và nghĩa vụ của bên được ủy quyền (Điều 565).

Theo đó, bên cung ứng dịch vụ và bên được ủy quyền đều có nghĩa vụ phải giữ bí mật thông tin mà mình biết được trong thời gian thực hiện công việc, nếu có thoả thuận hoặc pháp luật có quy định; bồi thường thiệt hại nếu vi phạm nghĩa vụ hoặc làm mất, hư hỏng tài liệu, phương tiện được giao hoặc tiết lộ bí mật thông tin.

* Trong lĩnh vực công nghệ thông tin

- Luật Công nghệ thông tin năm 2006 quy định: Tổ chức, cá nhân cho thuê chỗ lưu trữ thông tin số có trách nhiệm bảo đảm bí mật thông tin của tổ chức, cá nhân thuê chỗ lưu trữ thông tin (khoản 3 Điều 18).

- Nghị định số 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ quy định trách nhiệm của chủ quản hệ thống thông tin tại Điều 20, trong đó đã có sự phân định trách nhiệm giữa người đứng đầu của cơ quan, tổ chức là chủ quản hệ thống thông tin với trách nhiệm của chủ quản hệ thống thông tin, cụ thể:

+ Người đứng đầu của cơ quan, tổ chức là chủ quản hệ thống thông tin có trách nhiệm: trực tiếp chỉ đạo và phụ trách công tác bảo đảm an toàn thông tin trong hoạt động của cơ quan, tổ chức mình; thành lập hoặc chỉ định đơn vị chuyên trách về công nghệ thông tin làm nhiệm vụ đơn vị chuyên trách về an toàn thông tin.

+ Chủ quản hệ thống thông tin có trách nhiệm: chỉ đạo đơn vị vận hành hệ thống thông tin lập hồ sơ đề xuất cấp độ; tổ chức thẩm định, phê duyệt hồ sơ đề xuất cấp độ theo quy định Nghị định này; chỉ đạo, tổ chức thực hiện phương án bảo đảm an toàn hệ thống thông tin theo cấp độ đối với hệ thống thông tin thuộc phạm vi mình quản lý theo quy định tại Điều 25, 26 và 27 của Luật An toàn thông tin mạng, Nghị định này và quy định của pháp luật liên quan…