Nghị định 13/2023/NĐ-CP: Bảo vệ dữ liệu cá nhân và hàm ý cho hệ thống QLKH
Nghị định · Chính phủ · 2023Nguồn: Chính phủ. (2023). Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Chính phủ Việt Nam.
Tổng quan
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (BVDLCN) có hiệu lực từ ngày 01/07/2023, đánh dấu lần đầu tiên Việt Nam có văn bản pháp luật chuyên biệt và toàn diện về bảo vệ dữ liệu cá nhân. Nghị định được so sánh với GDPR (General Data Protection Regulation) của Liên minh Châu Âu về tầm ảnh hưởng và yêu cầu tuân thủ.
Các nguyên tắc cốt lõi
Nghị định xác lập 6 nguyên tắc: (1) Hợp pháp — thu thập và xử lý dữ liệu phải có căn cứ pháp luật; (2) Minh bạch — người dùng phải được thông báo về mục đích xử lý; (3) Giới hạn mục đích — không xử lý vượt mục đích đã khai báo; (4) Tối giản dữ liệu — chỉ thu thập đủ cho mục đích; (5) Chính xác — cập nhật và sửa lỗi kịp thời; (6) Bảo mật — biện pháp kỹ thuật đủ mạnh.
Hàm ý cho hệ thống QLKH
Hệ thống QLKH lưu trữ nhiều loại dữ liệu cá nhân của giảng viên: họ tên, ngày sinh, bằng cấp, lịch sử công tác, thành tích nghiên cứu, thu nhập từ đề tài. Theo Nghị định 13/2023, các hệ thống này phải: (i) Có chính sách quyền riêng tư công khai; (ii) Cơ chế cho phép giảng viên truy cập, sửa đổi, và xóa dữ liệu của mình; (iii) Mã hóa dữ liệu nhạy cảm; (iv) Phân quyền truy cập theo nguyên tắc tối thiểu cần thiết (least privilege); (v) Lưu nhật ký truy cập có thể kiểm tra.
Cơ chế đồng ý và chuyển dữ liệu
Nghị định yêu cầu: khi hệ thống QLKH chia sẻ dữ liệu giảng viên với bên thứ ba (ví dụ: báo cáo HEMIS, chia sẻ dữ liệu với ORCID, tích hợp với cổng Bộ GD&ĐT), phải có sự đồng ý rõ ràng hoặc căn cứ pháp luật cụ thể. Dữ liệu không được chuyển ra nước ngoài trừ khi có điều kiện đảm bảo do Chính phủ quy định.