Hướng dẫn về Quy định chung về bảo vệ dữ liệu
Trong bối cảnh công nghệ ngày càng phức tạp, vấn đề quyền riêng tư và bảo vệ dữ liệu đã trở lại là tâm điểm chú ý trong năm qua. Tại Liên minh Châu Âu (EU), đã có những cuộc thảo luận về sự cần thiết của một “GDPR 2.0”, khi công nghệ đám mây và trí tuệ nhân tạo (AI) đặt ra những thách thức riêng về quyền riêng tư – từ các mô hình trách nhiệm chung cho đến việc xử lý dữ liệu sinh trắc học và ứng dụng công nghệ nhận diện khuôn mặt.
Vậy GDPR (Quy định chung về bảo vệ dữ liệu) là gì, phạm vi áp dụng của nó ra sao, và liệu nó có thể cung cấp giải pháp cho những thách thức hiện nay sau 12 năm kể từ khi được soạn thảo lần đầu tiên hay không? Hãy cùng tìm hiểu mục đích và các yêu cầu của quy định này, cũng như cách bạn có thể đảm bảo tuân thủ thông qua chiến lược bảo vệ dữ liệu của mình.
GDPR là gì?
Quy định chung về bảo vệ dữ liệu (GDPR) là luật bảo vệ dữ liệu quy định cách các tổ chức thu thập, lưu trữ, xử lý và chia sẻ dữ liệu cá nhân của công dân EU. GDPR có hiệu lực từ ngày 25 tháng 5 năm 2018. Quy định này dựa trên Điều 8 của Hiến chương về các quyền cơ bản của Liên minh châu Âu về bảo vệ dữ liệu cá nhân và lấy “sự đồng ý tự nguyện” làm cơ sở pháp lý để xử lý dữ liệu cá nhân.
Quy định này nhằm hài hòa các quy định về quyền riêng tư dữ liệu trên toàn Liên minh châu Âu và bảo vệ quyền riêng tư của công dân EU bất kể vị trí địa lý của tổ chức xử lý dữ liệu cá nhân.
Các nguyên tắc chính của GDPR
Quy định chung về bảo vệ dữ liệu được xây dựng dựa trên 7 nguyên tắc chính chi phối việc xử lý dữ liệu cá nhân hợp pháp. Những nguyên tắc này không chỉ là hướng dẫn mà còn có tính ràng buộc pháp lý và đóng vai trò trọng tâm trong việc tuân thủ GDPR. Các nguyên tắc yêu cầu tổ chức cân nhắc quyền riêng tư ở mọi giai đoạn xử lý dữ liệu, từ lần thu thập dữ liệu ban đầu cho đến khi xóa hoặc hủy dữ liệu.
- Tính hợp pháp, công bằng và minh bạch. Việc xử lý dữ liệu cá nhân phải có cơ sở pháp lý, không được gây hiểu lầm hoặc bất lợi cho những cá nhân liên quan, đồng thời phải rõ ràng và cởi mở với các cá nhân về cách dữ liệu của họ được sử dụng và xử lý.
- Giới hạn mục đích . Dữ liệu phải được thu thập vì những lý do cụ thể, rõ ràng, minh bạch và hợp pháp; việc sử dụng dữ liệu không được mâu thuẫn với mục đích ban đầu.
- Tối thiểu hóa dữ liệu . Dữ liệu được thu thập và xử lý phải được giới hạn ở mức thiết yếu cho mục đích dự kiến.
- Tính chính xác . Dữ liệu cá nhân phải chính xác và được cập nhật khi cần thiết. Dữ liệu không chính xác cần được chỉnh sửa hoặc xóa ngay lập tức.
- Giới hạn lưu trữ . Dữ liệu cá nhân chỉ được lưu giữ ở định dạng cho phép nhận dạng chủ thể dữ liệu trong khoảng thời gian cần thiết để hoàn thành mục đích dự kiến.
- Tính toàn vẹn và bảo mật (an ninh). Việc xử lý dữ liệu cá nhân cần áp dụng các biện pháp bảo mật phù hợp để bảo vệ dữ liệu khỏi việc xử lý trái phép hoặc bất hợp pháp và khỏi hư hại.
- Trách nhiệm giải trình . Các tổ chức phải có khả năng áp dụng những chính sách và quy trình cần thiết để tuân thủ GDPR, đồng thời chứng minh rằng họ đã thực hiện hiệu quả những chính sách và quy trình đó khi được yêu cầu.
Các định nghĩa và thuật ngữ trong GDPR
Dưới đây là bảng thuật ngữ ngắn gồm các thuật ngữ chính và định nghĩa theo GDPR: Dữ liệu cá nhân là bất kỳ thông tin nào liên quan đến một cá nhân, tức là chủ thể dữ liệu , có thể được nhận dạng trực tiếp hoặc gián tiếp, chẳng hạn như thông qua tên, số định danh, vị trí hoặc các thông tin nhận dạng khác liên quan đến danh tính thể chất, sinh lý, di truyền, tinh thần, kinh tế, văn hóa hoặc xã hội.
Sự đồng ý là bất kỳ biểu hiện nào được chủ thể dữ liệu đưa ra “một cách tự nguyện, cụ thể, được thông báo đầy đủ và rõ ràng” để xác nhận rằng họ đồng ý cho xử lý dữ liệu cá nhân của mình vì mục đích đã nêu.
Bên kiểm soát dữ liệu là cá nhân hoặc tổ chức chịu trách nhiệm tuân thủ các nguyên tắc của GDPR và quyết định mục đích cũng như phương thức xử lý dữ liệu cá nhân. Đây là bên mà chủ thể dữ liệu muốn thực hiện các quyền của mình cần liên hệ. Tuy nhiên, việc xử lý dữ liệu thực tế có thể được giao cho một cá nhân hoặc tổ chức khác, tức là bên xử lý dữ liệu .
Bên xử lý dữ liệu là cá nhân hoặc tổ chức xử lý dữ liệu cá nhân thay mặt cho bên kiểm soát dữ liệu . Bên này phải tuân theo chỉ dẫn của bên kiểm soát dữ liệu .
Chủ thể dữ liệu là cá nhân đồng ý cho bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu xử lý dữ liệu cá nhân của mình.
Việc xử lý là bất kỳ hoạt động nào được thực hiện trên dữ liệu cá nhân, chẳng hạn như thu thập, ghi lại, sắp xếp, lưu trữ, thay đổi, tiết lộ, phổ biến, xóa và hủy dữ liệu, cùng các hoạt động khác thuộc phạm vi điều chỉnh của GDPR.
Quyền truy cập là quyền của chủ thể dữ liệu được yêu cầu bên kiểm soát dữ liệu cung cấp miễn phí thông tin về dữ liệu cá nhân của mình, cách thức xử lý dữ liệu, mục đích xử lý, v.v. trong vòng 1 tháng kể từ khi nhận được yêu cầu đó.
Các yêu cầu và thách thức về tuân thủ GDPR
GDPR đã đặt nền móng cho các tiêu chuẩn bảo vệ dữ liệu vững chắc. Tuy nhiên, bản chất luôn biến đổi của công nghệ làm phát sinh những phức tạp và ngày càng thử thách các nguyên tắc cơ bản làm nền tảng cho quy định về quyền riêng tư của EU.
Ai phải tuân thủ GDPR?
Trong EU. Bất kỳ tổ chức nào xử lý dữ liệu cá nhân của các cá nhân tại EU đều phải tuân thủ GDPR. Trong đó có các công ty công và tư, chính phủ, tổ chức từ thiện và các tổ chức phi lợi nhuận khác.
Bên ngoài EU. GDPR vượt ra ngoài biên giới EU và áp dụng cho mọi tổ chức cung cấp hàng hóa hoặc dịch vụ cho công dân EU hoặc theo dõi hành vi của họ trong EU. Điều này có nghĩa là một công ty ở bất kỳ nơi nào trên thế giới đều phải tuân thủ GDPR nếu xử lý dữ liệu của cư dân EU.
Các công ty internet và công nghệ toàn cầu , bao gồm cả các nền tảng mạng xã hội có người dùng ở EU, đều phải tuân thủ GDPR.
Nhà cung cấp công nghệ và trách nhiệm chung
Với sự phổ biến của SaaS, IaaS, PaaS và các nền tảng khác cung cấp tài nguyên và dịch vụ CNTT qua internet, vai trò của các nhà cung cấp công nghệ và nhà thầu phụ xử lý dữ liệu cá nhân trở nên quan trọng đối với việc tuân thủ GDPR. Nếu một tổ chức sử dụng dịch vụ/nền tảng của bên thứ ba để xử lý hoặc lưu trữ dữ liệu cá nhân, các nhà cung cấp đó cũng cần tuân thủ GDPR.
Lưu ý rằng phần lớn các dịch vụ này dựa trên mô hình trách nhiệm chung, theo đó:
- Các tổ chức chịu trách nhiệm về dữ liệu của mình với tư cách là chủ sở hữu dữ liệu và, tùy thuộc vào loại dịch vụ, có thể chịu trách nhiệm về các ứng dụng và/hoặc hệ điều hành
- Nhà cung cấp chịu trách nhiệm về máy chủ, lưu trữ, mạng, địa điểm thực tế, v.v.
Theo GDPR, các tổ chức chịu trách nhiệm xin sự đồng ý và đảm bảo dữ liệu được sử dụng đúng mục đích đã định. Họ cũng cần đảm bảo rằng các nhà cung cấp được giao xử lý dữ liệu cá nhân tuân thủ quy định.
Một số thách thức mà điện toán đám mây đặt ra đối với dữ liệu riêng tư liên quan đến:
- nguy cơ rò rỉ thông tin nhạy cảm
- kiểm soát luồng dữ liệu giữa các khu vực pháp lý
- đảm bảo các nhà cung cấp bên thứ ba thực hiện các cam kết về quyền riêng tư giống như những cam kết dành cho chủ thể dữ liệu
- triển khai hiệu quả các chính sách lưu giữ dữ liệu
- xử lý các vụ vi phạm dữ liệu riêng tư
- quản lý rủi ro nói chung
GDPR và AI
Đạo luật về Trí tuệ nhân tạo của Liên minh châu Âu, đạo luật đầu tiên trên thế giới điều chỉnh AI, dự kiến sẽ có hiệu lực vào năm 2025 nhằm giải quyết một số thách thức mới đối với quyền riêng tư của công dân EU. Tuy nhiên, điều quan trọng là ngày nay cần hiểu một số thách thức mà các tổ chức sử dụng AI để xử lý dữ liệu cá nhân phải đối mặt:
- Tối thiểu hóa dữ liệu và giới hạn mục đích. AI đặt ra thách thức đối với bên kiểm soát dữ liệu trong việc giới hạn thu thập dữ liệu ở mức thực sự cần thiết và chỉ phục vụ một mục đích cụ thể.
- Chuyển dữ liệu xuyên biên giới. Trí tuệ nhân tạo (AI) và các công nghệ dựa trên dữ liệu thường hoạt động xuyên biên giới. Điều này có thể đòi hỏi phải áp dụng các biện pháp kiểm soát nghiêm ngặt hơn để đảm bảo tuân thủ GDPR.
- Quyết định tự động và phân loại hồ sơ. AI mang lại rủi ro về việc đưa ra quyết định mà không có sự can thiệp của con người dựa trên việc xử lý dữ liệu cá nhân, bao gồm cả việc phân loại hồ sơ. Việc sử dụng dữ liệu cá nhân theo cách này bị hạn chế rất nghiêm ngặt theo GDPR.
Các yêu cầu tuân thủ GDPR chính
Đối với các tổ chức cần tuân thủ GDPR, dưới đây là các yêu cầu chung cần xem xét:
- Các biện pháp bảo vệ dữ liệu . Các tổ chức phải triển khai các giải pháp và biện pháp bảo vệ dữ liệu mạnh mẽ, bao gồm mã hóa dữ liệu, lưu trữ dữ liệu an toàn và kiểm toán bảo mật định kỳ. Điều này cũng bao gồm việc xem xét các tác động của GDPR khi áp dụng các công nghệ mới như trí tuệ nhân tạo (AI), điện toán đám mây và phân tích dữ liệu lớn.
- Quản lý sự đồng ý . Các tổ chức phải có chính sách rõ ràng để thu thập sự đồng ý rõ ràng, có thông tin đầy đủ và tự nguyện trước khi xử lý dữ liệu cá nhân. Điều này cũng bao gồm việc thiết lập các cơ chế rõ ràng cho việc quản lý vòng đời của dữ liệu cá nhân.
- Hồ sơ xử lý dữ liệu . Việc lưu giữ hồ sơ chi tiết về các hoạt động xử lý dữ liệu là bắt buộc, nhằm chứng minh dữ liệu nào được thu thập, cho mục đích gì, cũng như cách thức xử lý và bảo vệ dữ liệu đó.
- Cán bộ bảo vệ dữ liệu . Một số loại tổ chức có thể cần chỉ định một cán bộ bảo vệ dữ liệu để giám sát việc tuân thủ GDPR, đặc biệt nếu họ làm việc với dữ liệu nhạy cảm được xử lý trên quy mô lớn.
Cách đáp ứng các yêu cầu của GDPR
Việc đáp ứng các yêu cầu của GDPR không phải là nỗ lực một lần mà là một quá trình đánh giá và giám sát liên tục. Các tổ chức phải triển khai một bộ biện pháp toàn diện bao gồm việc xử lý dữ liệu cá nhân, bảo vệ và khôi phục dữ liệu, cũng như bảo mật:
- Hiểu rõ và lập bản đồ dữ liệu . Tiến hành một cuộc kiểm toán kỹ lưỡng để hiểu rõ dữ liệu cá nhân nào được thu thập, lý do thu thập, cách thức xử lý, nơi lưu trữ dữ liệu và cách thức chia sẻ dữ liệu. Tạo bản đồ luồng dữ liệu để theo dõi hành trình của dữ liệu cá nhân trong tổ chức. Điều này giúp xác định các khu vực rủi ro.
- Đảm bảo cơ sở pháp lý cho việc xử lý . Xác định cơ sở pháp lý để xử lý dữ liệu cá nhân, chẳng hạn như sự đồng ý, hợp đồng, nghĩa vụ pháp lý, lợi ích thiết yếu, nhiệm vụ công hoặc lợi ích hợp pháp. Nếu dựa vào sự đồng ý, hãy đảm bảo sự đồng ý đó được “tự nguyện, cụ thể, đầy đủ thông tin và rõ ràng”. Các cơ chế xin sự đồng ý cần dễ hiểu và bao gồm tùy chọn dễ dàng rút lại sự đồng ý.
- Triển khai các chính sách bảo vệ dữ liệu . Xây dựng hoặc cập nhật các chính sách và quy trình bảo vệ dữ liệu nội bộ để đảm bảo tuân thủ GDPR. Tích hợp nguyên tắc bảo vệ dữ liệu theo mặc định và ngay từ khâu thiết kế vào tất cả các quy trình kinh doanh, hệ thống và dịch vụ liên quan đến dữ liệu cá nhân.
- Giảm thiểu việc xử lý dữ liệu. Đảm bảo chỉ xử lý dữ liệu cần thiết cho từng mục đích cụ thể và giới hạn quyền truy cập dữ liệu cá nhân cho những người cần sử dụng dữ liệu đó.
- Lưu trữ dữ liệu. GDPR yêu cầu các tổ chức đánh giá kỹ lưỡng và quản lý thời gian lưu giữ dữ liệu cá nhân, đảm bảo dữ liệu không được lưu giữ lâu hơn mức cần thiết. Điều này đòi hỏi cách tiếp cận chủ động đối với việc quản lý dữ liệu, với các chính sách rõ ràng, hoạt động rà soát thường xuyên và quy trình hiệu quả để xóa hoặc ẩn danh dữ liệu, đồng thời cân bằng việc tuân thủ GDPR với các yêu cầu lưu trữ khác theo quy định pháp luật.
- Tạo điều kiện thực hiện các quyền của chủ thể dữ liệu . Thiết lập quy trình đáp ứng các quyền của chủ thể dữ liệu, bao gồm yêu cầu truy cập, chỉnh sửa, xóa dữ liệu, chuyển dữ liệu và phản đối việc xử lý dữ liệu.
- Lập kế hoạch ứng phó và báo cáo sự cố vi phạm dữ liệu . Xây dựng và triển khai kế hoạch ứng phó sự cố vững chắc, bao gồm kế hoạch ứng phó sự cố vi phạm dữ liệu. Hãy sẵn sàng thông báo cho cơ quan giám sát có liên quan trong vòng 72 giờ kể từ khi biết về sự cố vi phạm dữ liệu và trong một số trường hợp nhất định, thông báo cho các cá nhân bị ảnh hưởng.
- Kiểm tra việc quản lý nhà cung cấp và sự tuân thủ của bên xử lý dữ liệu . Đảm bảo mọi nhà cung cấp bên thứ ba hoặc bên xử lý dữ liệu xử lý dữ liệu cá nhân của tổ chức bạn cũng tuân thủ GDPR.
- Tiến hành đánh giá liên tục . Thường xuyên kiểm toán các hoạt động liên quan đến xử lý dữ liệu và rà soát các chính sách để đảm bảo tuân thủ GDPR liên tục.
- Lưu ý đến việc chuyển dữ liệu quốc tế . Nếu chuyển dữ liệu ra ngoài Khu vực Kinh tế châu Âu (EEA), hãy đảm bảo có các biện pháp bảo vệ thích hợp, bao gồm Điều khoản hợp đồng tiêu chuẩn (SCC), hoặc tuân thủ quyết định về mức độ bảo vệ đầy đủ của Ủy ban châu Âu.
- Lưu giữ hồ sơ và tài liệu . Duy trì hồ sơ toàn diện về các hoạt động xử lý dữ liệu, bao gồm mục đích xử lý, danh mục dữ liệu và bên nhận dữ liệu.
GDPR và bảo vệ dữ liệu
Đối với việc sao lưu dữ liệu và phục hồi sau thảm họa, các tổ chức phải triển khai quy trình sao lưu an toàn để bảo vệ dữ liệu cá nhân và đảm bảo Tuân thủ GDPR. Việc này bao gồm triển khai bảo vệ dữ liệu và các giải pháp phục hồi sau thảm họa có những tính năng sau:
- Mã hóa dữ liệu sao lưu trong kho lưu trữ (khi lưu trữ) và trong quá trình truyền tải (khi truyền). Hãy chọn các giải pháp cho phép triển khai các tiêu chuẩn mã hóa mạnh để dữ liệu sao lưu không thể bị các bên trái phép đọc được, ngay cả trong trường hợp xảy ra vi phạm an ninh.
- Kiểm soát truy cập và xác thực . Cấu hình kiểm soát truy cập dựa trên vai trò (RBAC) để giới hạn quyền truy cập vào dữ liệu cá nhân và xác thực đa yếu tố (MFA) để tăng cường bảo mật trước khi cấp quyền truy cập.
- Tối thiểu hóa dữ liệu và giới hạn lưu trữ . Một trong những nguyên tắc cốt lõi của Quy định chung về bảo vệ dữ liệu là giới hạn thời gian lưu trữ, điều này ảnh hưởng trực tiếp đến các chính sách lưu giữ bản sao lưu. Hãy đảm bảo các giải pháp sao lưu đủ linh hoạt để tạo các lịch trình và chính sách lưu giữ khác nhau cho từng cấp dữ liệu.
- Vị trí dữ liệu sao lưu trong lưu trữ đám mây. Hãy xác định nơi lưu trữ dữ liệu sao lưu và chọn khu vực dựa trên loại dữ liệu cá nhân được xử lý.
- Kiểm tra tính toàn vẹn của dữ liệu sao lưu thường xuyên . Duy trì sao lưu thường xuyên để đảm bảo tính toàn vẹn của dữ liệu cá nhân và triển khai các biện pháp kiểm tra khả năng phục hồi.
- Quản lý/tuân thủ của nhà cung cấp và bên thứ ba . Hãy đảm bảo rằng nền tảng lưu trữ của bên thứ ba và các nền tảng khác được tích hợp với giải pháp sao lưu của bạn cung cấp đầy đủ các tính năng phù hợp để bạn kiểm soát cách thức và vị trí lưu trữ dữ liệu.
Bảo vệ dữ liệu với NAKIVO
NAKIVO Backup & Replication là giải pháp bảo vệ dữ liệu cung cấp sự kết hợp phù hợp giữa các tính năng sao lưu, phục hồi sau thảm họa và bảo mật để các tổ chức xử lý dữ liệu cá nhân triển khai. Bạn có thể bảo vệ ứng dụng và hệ thống trong môi trường ảo, vật lý, đám mây và SaaS, đồng thời duy trì sự tuân thủ các yêu cầu của GDPR bằng cách sử dụng những tính năng như mã hóa dữ liệu khi lưu trữ và trong quá trình truyền tải, lập lịch và tự động hóa sao lưu, cài đặt lưu giữ linh hoạt, xác minh bản sao lưu, v.v.
