Quyết định 2568/QĐ-UBND năm 2026 về Quy chế bảo vệ dữ liệu cá nhân trong hoạt động của cơ quan nhà nước thuộc Ủy ban nhân dân thành phố Cần Thơ

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG HOẠT ĐỘNG CỦA CƠ QUAN NHÀ NƯỚC THUỘC ỦY BAN NHÂN DÂN THÀNH PHỐ CẦN THƠ

ỦY BAN NHÂN DÂN THÀNH PHỐ CẦN THƠ

Căn cứ Luật Tổ chức chính quyền địa phương ngày 16 tháng 6 năm 2025;

Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;

Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Theo đề nghị của Giám đốc Công an thành phố tại Tờ trình số 137/TTr-CATP-PANM ngày 28 tháng 5 năm 2026.

QUYẾT ĐỊNH

Điều 1. Ban hành kèm theo Quyết định này Quy chế bảo vệ dữ liệu cá nhân trong hoạt động của cơ quan nhà nước thuộc Ủy ban nhân dân thành phố Cần Thơ.

Điều 2. Quyết định này có hiệu lực thi hành kể từ ngày ký.

Điều 3. Chánh Văn phòng Ủy ban nhân dân thành phố, Giám đốc Công an thành phố, Giám đốc Sở, Thủ trưởng cơ quan, ban, ngành thành phố, Chủ tịch Ủy ban nhân dân xã, phường và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.

QUY CHẾ

BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG HOẠT ĐỘNG CỦA CƠ QUAN NHÀ NƯỚC THUỘC ỦY BAN NHÂN DÂN THÀNH PHỐ CẦN THƠ
(Kèm theo Quyết định số 2568/QĐ-UBND ngày 02 tháng 6 năm 2026 của Ủy ban nhân dân thành phố Cần Thơ)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Quy chế này quy định về bảo vệ dữ liệu cá nhân và trách nhiệm của cơ quan, đơn vị, địa phương, tổ chức, cá nhân có liên quan đến bảo vệ dữ liệu cá nhân trong hoạt động của cơ quan nhà nước thuộc Ủy ban nhân dân thành phố Cần Thơ.

2. Các quy định về bảo vệ dữ liệu cá nhân không nêu trong Quy chế này thực hiện theo quy định của pháp luật hiện hành.

Điều 2. Đối tượng áp dụng

1. Sở, ban, ngành thành phố và các đơn vị sự nghiệp trực thuộc Ủy ban nhân dân thành phố; Ủy ban nhân dân xã, phường (sau đây gọi tắt là cơ quan, đơn vị, địa phương).

2. Cán bộ, công chức, viên chức và người lao động đang công tác trong các cơ quan, đơn vị, địa phương nêu tại khoản 1 Điều này và các tổ chức, cá nhân có liên quan áp dụng Quy chế này trong việc thu thập, xử lý dữ liệu của các cơ quan, đơn vị, địa phương nêu tại khoản 1 Điều này.

Điều 3. Giải thích từ ngữ

Trong Quy chế này, các từ ngữ, định nghĩa được hiểu như sau:

1. Hệ thống thông tin xử lý dữ liệu cá nhân: là hệ thống thông tin có chức năng quản lý dữ liệu cá nhân (hệ thống Quản lý cán bộ, hệ thống Định danh và xác thực điện tử) hoặc tiếp nhận, xử lý dữ liệu cá nhân để thực hiện thủ tục hành chính, dịch vụ công trực tuyến.

2. Các từ ngữ hoặc định nghĩa không được giải thích trong Quy chế này sẽ mang ý nghĩa như được giải thích, định nghĩa tại Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025 và các quy định pháp luật có liên quan.

3. Trong Quy chế này, các dẫn chiếu, tham chiếu đến quy định hoặc văn bản khác sẽ bao gồm cả những văn bản hướng dẫn, sửa đổi, bổ sung của văn bản được dẫn chiếu.

Điều 4. Nguyên tắc bảo vệ dữ liệu cá nhân

1. Việc xử lý dữ liệu cá nhân tại các cơ quan, đơn vị, địa phương phải tuân thủ quy định của pháp luật về bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng, quy định của pháp luật chuyên ngành và các quy định tại Quy chế này.

2. Phân cấp trách nhiệm bảo vệ dữ liệu cá nhân phù hợp với tổ chức bộ máy và Quy chế làm việc của Ủy ban nhân dân thành phố Cần Thơ.

3. Mỗi cán bộ, công chức, viên chức và người lao động làm việc tại các cơ quan, đơn vị, địa phương nêu cao tinh thần chủ động, tự giác trong việc áp dụng các biện pháp bảo vệ dữ liệu cá nhân, góp phần ngăn chặn, xử lý hành vi vi phạm liên quan đến dữ liệu cá nhân theo quy định của pháp luật.

Điều 5. Phân loại dữ liệu cá nhân

1. Dữ liệu cá nhân được quản lý, xử lý theo phân loại dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

2. Việc quản lý, lưu trữ và khai thác dữ liệu cá nhân nhạy cảm phải được thực hiện thận trọng, hạn chế phạm vi tiếp cận và áp dụng biện pháp bảo mật phù hợp.

Chương II

QUY ĐỊNH CỤ THỂ VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 6. Bảo vệ dữ liệu cá nhân trên hệ thống thông tin xử lý dữ liệu cá nhân

1. Các cơ quan, đơn vị, địa phương có trách nhiệm xác định chính xác cá nhân được phép truy cập hệ thống; kịp thời gửi đề nghị thay đổi, thu hồi tài khoản khi có sự thay đổi phân công nhiệm vụ.

2. Cá nhân được cấp tài khoản truy cập hệ thống có trách nhiệm giữ bí mật mật khẩu, bảo vệ các phương tiện xác thực (nếu có) để truy cập hệ thống thông tin; không khai thác dữ liệu ngoài phạm vi trách nhiệm được phân công và khi không còn được phân công xử lý dữ liệu cá nhân trên hệ thống thông tin, yêu cầu đơn vị quản lý thực hiện thay đổi, thu hồi tài khoản và có trách nhiệm bàn giao tài khoản cho người tiếp nhận nhiệm vụ mới theo phân công của đơn vị.

Điều 7. Bảo vệ dữ liệu cá nhân bên ngoài hệ thống thông tin xử lý dữ liệu cá nhân

Cán bộ, công chức, viên chức được phân công xử lý dữ liệu bằng văn bản giấy hoặc thiết bị ngoại vi có trách nhiệm:

1. Xác định căn cứ pháp luật cho việc xử lý dữ liệu cá nhân (điều, khoản của văn bản quy phạm pháp luật quy định mục đích và phạm vi dữ liệu cá nhân được phép xử lý), trường hợp được yêu cầu tiếp nhận, xử lý dữ liệu cá nhân nằm ngoài phạm vi quy định của pháp luật, cần làm rõ căn cứ thực hiện với bên yêu cầu xử lý dữ liệu và có sự đồng ý của chủ thể dữ liệu trước khi thực hiện.

2. Không cung cấp, chia sẻ dữ liệu trái thẩm quyền quy định của pháp luật.

3. Sử dụng máy tính đáp ứng yêu cầu về an toàn thông tin, an ninh mạng: cài đặt phần mềm phòng, chống mã độc; rà quét, xử lý lỗ hổng bảo mật (nếu có) và được kiểm tra an toàn, an ninh mạng.

4. Áp dụng mã hóa tệp dữ liệu khi trao đổi trên môi trường mạng hoặc mang ra khỏi cơ quan bằng thiết bị điện tử (trừ dữ liệu thuộc danh mục bí mật nhà nước thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước). Không sử dụng mạng xã hội để trao đổi tệp tin chứa dữ liệu cá nhân trừ khi có sự đồng ý của chủ thể dữ liệu.

5. Kiểm soát chặt chẽ các bản in giấy, thực hiện xóa, hủy, khử nhận dạng an toàn khi hoàn thành mục đích hoặc hết hạn lưu trữ để không thể khôi phục được.

Điều 8. Yêu cầu bảo đảm an toàn thông tin mạng trong xử lý dữ liệu cá nhân

1. Các hệ thống thông tin xử lý dữ liệu cá nhân phải được lập hồ sơ đề xuất cấp độ an toàn hệ thống thông tin và triển khai các biện pháp bảo vệ tương ứng; hệ thống phải có tính năng ghi và lưu trữ nhật ký hệ thống (log) truy cập để phục vụ tra cứu.

2. Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng cơ quan, tổ chức, phải có quy trình kiểm soát việc chia sẻ, có biện pháp phòng, chống việc nhân sự nội bộ chia sẻ trái phép cho bên thứ ba.

3. Phải mã hóa kênh kết nối truyền nhận dữ liệu cá nhân, áp dụng phương thức xác thực mạnh (đa yếu tố) và thiết lập cơ chế phân quyền truy cập nghiêm ngặt.

4. Không xử lý dữ liệu cá nhân trên hệ thống thông tin thử nghiệm (sử dụng thông tin giả lập, mô phỏng dữ liệu cá nhân trên hệ thống thông tin thử nghiệm nếu cần thiết).

5. Thực hiện xóa, hủy, khử nhận dạng dữ liệu cá nhân trên hệ thống thông tin khi kết thúc sử dụng hệ thống thông tin.

Điều 9. Bảo vệ dữ liệu cá nhân trong hoạt động biên tập, công khai thông tin trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến

Cơ quan, đơn vị, địa phương vận hành trang/cổng thông tin điện tử, dịch vụ công trực tuyến có trách nhiệm áp dụng biện pháp kiểm soát việc hiển thị dữ liệu cá nhân trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến; không để lộ, công khai dữ liệu cá nhân không đúng quy định của pháp luật từ trang/cổng thông tin điện tử, dịch vụ công trực tuyến và hoạt động biên tập trang/cổng thông tin điện tử:

1. Bổ sung nhiệm vụ rà soát dữ liệu cá nhân tại các bài viết, phim, ảnh, âm thanh gửi đăng trên trang/cổng thông tin vào quy trình biên tập.

2. Rà soát, đảm bảo các trường thông tin được hiển thị trên trang/cổng thông tin, dịch vụ công trực tuyến không vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân; kịp thời gỡ bỏ thông tin không cần thiết hoặc có nguy cơ gây lộ dữ liệu cá nhân.

3. Khuyến khích hiển thị cảnh báo về rủi ro lộ, mất dữ liệu cá nhân tại các chuyên mục hỏi, đáp trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến (trường hợp câu hỏi của người dùng chứa dữ liệu cá nhân); áp dụng công cụ kỹ thuật để kiểm soát nội dung chứa dữ liệu cá nhân hiển thị trên trang/cổng thông tin điện tử, dịch vụ công trực tuyến.

Chương III

TỔ CHỨC THỰC HIỆN

Điều 10. Trách nhiệm của các cơ quan có liên quan

1. Công an thành phố

a) Giúp Ủy ban nhân dân thành phố thống nhất thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân; theo dõi, hướng dẫn, đôn đốc, kiểm tra việc thực hiện Quy chế này và các quy định của pháp luật; định kỳ báo cáo Ủy ban nhân dân thành phố và Bộ Công an theo quy định; báo cáo Ủy ban nhân dân thành phố về việc sửa đổi, bổ sung Quy chế trong trường hợp cần thiết để đảm bảo sự phù hợp của Quy chế với các quy định, tiêu chuẩn liên quan và thực tế áp dụng tại Ủy ban nhân dân thành phố;

b) Chủ trì phối hợp với các đơn vị liên quan tổ chức tuyên truyền, phổ biến pháp luật, tập huấn bồi dưỡng chuyên môn, kỹ năng về bảo vệ dữ liệu cá nhân cho cán bộ, công chức, viên chức và người lao động trên địa bàn thành phố;

c) Chủ trì tham mưu thanh tra, kiểm tra, giải quyết khiếu nại, tố cáo và xử lý các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo thẩm quyền và quy định của pháp luật.

2. Văn phòng Ủy ban nhân dân thành phố

a) Phối hợp với Công an thành phố tham mưu Ủy ban nhân dân thành phố, Chủ tịch Ủy ban nhân dân thành phố tổ chức thực hiện, chỉ đạo, điều hành công tác bảo vệ dữ liệu cá nhân; tham mưu ban hành các văn bản chấn chỉnh việc thực thi bảo vệ dữ liệu cá nhân tại các cơ quan, đơn vị, địa phương;

b) Phối hợp với các đơn vị liên quan đảm bảo các hệ thống thông tin dùng chung do Ủy ban nhân dân thành phố làm chủ quản (hoặc được giao quản lý) đáp ứng đầy đủ các yêu cầu kỹ thuật và biện pháp bảo vệ dữ liệu cá nhân;

c) Thực hiện chỉ định bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân của Ủy ban nhân dân thành phố.

3. Sở Tài chính

Căn cứ dự toán kinh phí do các cơ quan, đơn vị, địa phương lập, thực hiện thẩm định và trình cấp có thẩm quyền xem xét, phê duyệt bố trí kinh phí phục vụ hoạt động bảo vệ dữ liệu cá nhân theo quy định về phân cấp quản lý ngân sách nhà nước hiện hành.

4. Sở Nội vụ

Phối hợp với các cơ quan, đơn vị, địa phương thực hiện công tác thi đua, khen thưởng; đồng thời tham mưu xử lý đối với các trường hợp cán bộ, công chức, viên chức vi phạm quy định về bảo vệ dữ liệu cá nhân theo phân cấp quản lý cán bộ.

5. Sở, ban, ngành thành phố và các đơn vị sự nghiệp trực thuộc Ủy ban nhân dân thành phố và Ủy ban nhân dân xã, phường

a) Tổ chức triển khai, giám sát việc thực hiện Quy chế; tuyên truyền, nâng cao nhận thức và trách nhiệm của cán bộ, công chức, viên chức, người lao động tại cơ quan, đơn vị, địa phương về bảo vệ dữ liệu cá nhân;

b) Chỉ định bộ phận, nhân sự phụ trách bảo vệ dữ liệu cá nhân thuộc phạm vi quản lý đảm bảo quy định tại Điều 13 Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân; bảo đảm các hệ thống thông tin do cơ quan, đơn vị, địa phương mình làm chủ quản tuân thủ nghiêm ngặt các biện pháp bảo vệ và quy trình đánh giá tác động xử lý dữ liệu cá nhân;

c) Chịu trách nhiệm trước Chủ tịch Ủy ban nhân dân thành phố về tình hình bảo vệ dữ liệu cá nhân và các sự cố mất an toàn dữ liệu xảy ra tại cơ quan, đơn vị, địa phương mình quản lý.

Điều 11. Trách nhiệm của cán bộ, công chức, viên chức, người lao động

Cán bộ, công chức, viên chức, người lao động làm việc tại các cơ quan, đơn vị, địa phương thuộc thành phố Cần Thơ có trách nhiệm:

1. Tuân thủ nghiêm túc quy định của pháp luật về bảo vệ dữ liệu cá nhân, Quy chế này và các yêu cầu, quy trình kỹ thuật về bảo mật thông tin tại nơi làm việc.

2. Thực hiện đúng quyền và nghĩa vụ của chủ thể dữ liệu đối với dữ liệu cá nhân của bản thân và tôn trọng dữ liệu cá nhân của tổ chức, cá nhân khác trong quá trình thực thi công vụ.

3. Khi phát hiện dữ liệu cá nhân có dấu hiệu bị xâm phạm, rủi ro bị lộ lọt, mất mát hoặc không được bảo vệ đúng quy định, phải lập tức báo cáo bộ phận phụ trách công nghệ thông tin hoặc nhân sự phụ trách bảo vệ dữ liệu của đơn vị để có biện pháp ngăn chặn, xử lý kịp thời.

4. Thông báo ngay các hành vi vi phạm quy định bảo vệ dữ liệu cá nhân cho người đứng đầu cơ quan, đơn vị, địa phương.

5. Chịu trách nhiệm trước pháp luật, Ủy ban nhân dân thành phố và người đứng đầu đơn vị về các hành vi vi phạm, các sự cố lộ lọt hoặc làm thất thoát dữ liệu cá nhân do lỗi chủ quan hoặc do không tuân thủ các quy trình bảo mật đã đề ra.

Điều 12. Điều khoản thi hành

1. Người đứng đầu cơ quan, đơn vị, địa phương có trách nhiệm phổ biến, quán triệt và tổ chức thực hiện nghiêm túc Quy chế này đến toàn thể cán bộ, công chức, viên chức và người lao động thuộc phạm vi quản lý.

2. Định kỳ hằng năm, các cơ quan, đơn vị, địa phương thực hiện báo cáo kết quả công tác bảo vệ dữ liệu cá nhân về Ủy ban nhân dân thành phố (qua Công an thành phố) trước ngày 01 tháng 12 để tổng hợp, xây dựng báo cáo gửi Bộ Công an theo quy định.

3. Các cơ quan, đơn vị, địa phương có trách nhiệm khẩn trương rà soát các hệ thống thông tin đang vận hành; xây dựng, cập nhật Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; đồng thời định kỳ thực hiện kiểm tra an toàn thông tin, an ninh mạng đối với các máy tính và thiết bị có hoạt động xử lý dữ liệu cá nhân.

4. Các nội dung liên quan đến bảo vệ dữ liệu cá nhân chưa được quy định tại Quy chế này hoặc khi các văn bản quy phạm pháp luật cấp trên có sự thay đổi, điều chỉnh thì thực hiện theo quy định của pháp luật hiện hành.

5. Trong quá trình thực hiện, nếu phát sinh khó khăn, vướng mắc các cơ quan, đơn vị, địa phương kịp thời phản ánh về Ủy ban nhân dân thành phố (qua Công an thành phố) để được hướng dẫn, giải quyết hoặc tổng hợp, báo cáo Ủy ban nhân dân thành phố xem xét sửa đổi, bổ sung Quy chế cho phù hợp với tình hình thực tế./.