|
BỘ
THÔNG TIN VÀ
TRUYỀN THÔNG
-------
|
CỘNG
HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập – Tự do – Hạnh phúc
--------
|
|
Số:
25/2010/TT-BTTTT
|
Hà
Nội, ngày 15 tháng 11 năm 2010
|
THÔNG TƯ
QUY ĐỊNH VIỆC THU THẬP, SỬ DỤNG, CHIA SẺ, ĐẢM BẢO AN TOÀN VÀ
BẢO VỆ THÔNG TIN CÁ NHÂN TRÊN TRANG THÔNG TIN ĐIỆN TỬ HOẶC CỔNG THÔNG TIN ĐIỆN
TỬ CỦA CƠ QUAN NHÀ NƯỚC
BỘ TRƯỞNG BỘ THÔNG TIN VÀ TRUYỀN THÔNG
Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm
2006;
Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10
tháng 4 năm 2007 của Chính phủ về Ứng dụng công nghệ thông tin trong hoạt động
của cơ quan nhà nước;
Căn cứ Nghị định số 187/2007/NĐ-CP ngày 25
tháng 12 năm 2007 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu
tổ chức của Bộ Thông tin và Truyền thông;
Theo đề nghị của Cục trưởng Cục Ứng dụng công nghệ thông tin,
QUY ĐỊNH:
Chương 1.
QUY ĐỊNH CHUNG
Điều
1. Phạm vi điều chỉnh
Thông
tư này quy định việc thu thập, sử dụng, chia sẻ thông tin cá nhân và các biện
pháp đảm bảo an toàn và bảo vệ thông tin cá nhân trên trang thông tin điện tử
hoặc cổng thông tin điện tử của cơ quan nhà nước (sau đây gọi là cổng thông tin
điện tử).
Điều
2. Đối tượng áp dụng
1.
Cơ quan nhà nước theo quy định tại Nghị định 64/2007/NĐ-CP
đang quản lý, vận hành cổng thông tin điện tử (sau đây gọi là cơ quan chủ quản).
2. Cá nhân khai
thác, sử dụng cổng thông tin điện tử của cơ quan nhà nước.
Điều
3. Giải thích từ ngữ
Trong
Thông tư này, các từ ngữ dưới đây được hiểu như sau:
1. Trang
thông tin điện tử là trang thông tin hoặc một tập hợp trang thông tin trên
môi trường mạng phục vụ cho việc cung cấp, trao đổi thông tin.
2. Cổng thông
tin điện tử là điểm truy cập duy nhất trên môi trường mạng, liên kết, tích
hợp các kênh thông tin, các dịch vụ và các ứng dụng mà qua đó người dùng có thể
khai thác, sử dụng và cá nhân hóa việc hiển thị thông tin.
3. Thông tin
cá nhân là thông tin đủ để xác định chính xác danh tính một cá nhân, bao gồm
ít nhất một trong những thông tin sau đây: họ tên, ngày sinh, nghề nghiệp, chức
danh, địa chỉ liên hệ, địa chỉ thư điện tử, số điện thoại, số chứng minh nhân
dân, số hộ chiếu. Những thông tin thuộc bí mật cá nhân gồm có hồ sơ y tế, hồ sơ
nộp thuế, số thẻ bảo hiểm xã hội, số thẻ tín dụng và những bí mật cá nhân khác.
4. Trang chủ là
trang thông tin đầu tiên mà người sử dụng nhìn thấy khi mở cổng thông tin điện
tử theo địa chỉ cổng thông tin điện tử mà cơ quan, tổ chức đã đăng ký và được cấp.
5. Người sử dụng
là cá nhân khai thác, sử dụng cổng thông tin điện tử của cơ quan nhà nước
hoặc người đại diện theo pháp luật của cá nhân đó.
Điều
4. Nguyên tắc thu thập, sử dụng, chia sẻ, đảm bảo an toàn và bảo vệ thông tin
cá nhân
1. Việc thu thập,
sử dụng và chia sẻ thông tin cá nhân qua cổng thông tin điện tử của cơ quan nhà
nước được bảo vệ và đảm bảo an toàn.
2. Việc trao đổi,
truyền đưa, lưu trữ thông tin cá nhân trên cổng thông tin điện tử được bảo vệ
và đảm bảo an toàn theo quy định pháp luật.
3. Việc thu thập
và sử dụng thông tin cá nhân phải được sự đồng ý của cá nhân đó trừ những trường
hợp pháp luật có quy định khác.
4. Đảm bảo an
toàn và bảo vệ thông tin cá nhân là yêu cầu bắt buộc trong quá trình thiết kế,
xây dựng, vận hành, bảo trì và nâng cấp cổng thông tin điện tử của cơ quan nhà
nước.
Chương 2.
THU THẬP, SỬ
DỤNG VÀ CHIA SẺ THÔNG TIN CÁ NHÂN
Điều
5. Thu thập thông tin cá nhân
1. Cơ quan chủ
quản thông báo và hướng dẫn trên cổng thông tin điện tử cho cá nhân biết về
hình thức, phạm vi và mục đích của việc thu thập và sử dụng thông tin cá nhân.
2. Hình thức thu
thập thông tin cá nhân bao gồm: do người sử dụng cung cấp khi sử dụng dịch vụ
công trực tuyến hoặc được thu thập tự động trong quá trình người sử dụng truy cập
cổng thông tin điện tử.
3. Cơ quan chủ
quản có trách nhiệm tạo các biểu mẫu điện tử tích hợp trong hệ thống cổng thông
tin điện tử để thu thập thông tin cá nhân.
Điều
6. Sử dụng thông tin cá nhân
1.
Cơ quan chủ quản chỉ sử dụng thông tin cá nhân cho những mục đích đã được nêu
rõ trước khi tiến hành thu thập thông tin.
2. Cơ quan chủ
quản phải cung cấp cơ chế lựa chọn giới hạn nội dung và phạm vi sử dụng thông
tin cá nhân.
Điều
7. Truy cập và cập nhật thông tin cá nhân
1.
Cơ quan chủ quản phải cung cấp cho người sử dụng quyền truy cập vào thông tin
cá nhân của mình.
2. Trường hợp cá
nhân không thể đăng nhập để xem thông tin của mình thì có quyền yêu cầu cơ quan
chủ quản cấp lại thông tin về tài khoản đăng nhập.
3. Cá nhân có
quyền yêu cầu cơ quan chủ quản kiểm tra, đính chính, bổ sung, sửa đổi thông tin
cá nhân.
4. Trường hợp
thông tin cá nhân được sửa đổi mà đã cung cấp cho cơ quan nhà nước khác thì cơ
quan cung cấp thông tin phải thông báo cho cơ quan tiếp nhận thông tin biết để
cập nhật một cách nhanh nhất.
Điều
8. Cung cấp, chia sẻ thông tin cá nhân
1.
Cơ quan chủ quản không được cung cấp, chia sẻ thông tin cá nhân thu thập, tiếp
cận hoặc kiểm soát được cho bên thứ ba trừ trường hợp có sự đồng ý của cá nhân
đó hoặc pháp luật có quy định khác.
2. Việc xin ý kiến
người sử dụng để cung cấp, chia sẻ thông tin cá nhân phải được tiến hành thông
qua một bước riêng để người đó lựa chọn chấp nhận hoặc từ chối. Không được thiết
lập cơ chế chọn đồng ý mặc định cho người sử dụng.
3. Người sử dụng
có quyền yêu cầu cấp xác nhận về nội dung thông tin cá nhân do cơ quan chủ quản
lưu trữ.
4. Cơ quan chủ
quản khi tiếp nhận thông tin cá nhân từ một cơ quan nhà nước khác theo quy định
pháp luật phải có trách nhiệm đảm bảo an toàn và sử dụng thông tin cá nhân đúng
mục đích.
Chương 3.
CÁC BIỆN
PHÁP ĐẢM BẢO AN TOÀN VÀ BẢO VỆ THÔNG TIN CÁ NHÂN
Điều
9. Hoạt động đảm bảo an toàn và bảo vệ thông tin cá nhân
1.
Cơ quan chủ quản có trách nhiệm xây dựng và ban hành quy định về đảm bảo an
toàn và bảo vệ thông tin cá nhân; hướng dẫn và kiểm tra thường xuyên việc thực
hiện quy định; bảo đảm cổng thông tin cá nhân đáp ứng các tiêu chuẩn, quy chuẩn
kỹ thuật về an toàn thông tin cá nhân.
2. Cơ quan chủ
quản không chịu trách nhiệm về đảm bảo an toàn và bảo vệ thông tin cá nhân đối
với các trường hợp sau:
a) Thông tin cá
nhân được tiết lộ, công khai bởi cơ quan tiếp nhận thông tin;
b) Thông tin cá
nhân do người sử dụng vô tình hoặc cố ý tiết lộ, chia sẻ.
Điều
10. Giám sát quá trình sử dụng thông tin cá nhân
1.
Cơ quan chủ quản có trách nhiệm xây dựng và ban hành nội quy đảm bảo an toàn và
bảo vệ thông tin cá nhân khi khai thác, sử dụng dịch vụ công trực tuyến trên cổng
thông tin điện tử.
2. Nội quy bao gồm
các quy tắc quản lý thông tin cá nhân đơn giản, dễ hiểu để áp dụng một cách
thích hợp và hiệu quả, phù hợp với quy mô cung cấp thông tin và dịch vụ công trực
tuyến trên cổng thông tin điện tử.
3. Nội quy đảm bảo
an toàn và bảo vệ thông tin cá nhân phải được duy trì và giám sát thực hiện thường
xuyên.
Điều
11. Công khai quy định đảm bảo an toàn và bảo vệ thông tin cá nhân
1.
Cơ quan chủ quản có trách nhiệm thông báo rõ các quy định về đảm bảo an toàn và
bảo vệ thông tin cá nhân trên trang chủ hoặc cung cấp một cơ chế để người sử dụng
dễ dàng tiếp cận và tìm hiểu trên cổng thông tin điện tử.
2. Các quy định
về đảm bảo an toàn và bảo vệ thông tin cá nhân phải đáp ứng các yêu cầu sau
đây:
a) Nội dung đơn
giản, rõ ràng, dễ hiểu, phù hợp với tính chất, quy trình công việc liên quan và
không chồng chéo;
b) Được tổ chức
khoa học, có khả năng in ấn, hiển thị được về sau và có thể truy cập bằng
phương pháp trực tuyến;
c) Mô tả cách thức
thông tin cá nhân sẽ được xử lý sau khi thu thập trên cổng thông tin điện tử,
các nội dung thông tin có thể được chia sẻ với bên thứ ba;
d) Được hiển thị
rõ đối với người sử dụng trước thời điểm người sử dụng gửi thông tin cá nhân.
3. Trường hợp
quy định đảm bảo an toàn và bảo vệ thông tin cá nhân có thay đổi dưới bất kỳ
hình thức nào, cơ quan chủ quản phải đăng tải thông tin cập nhật trên cổng
thông tin điện tử.
Điều
12. Các biện pháp kỹ thuật để đảm bảo an toàn và bảo vệ thông tin cá nhân
1.
Cơ quan chủ quản có trách nhiệm áp dụng các biện pháp kỹ thuật để đảm bảo an
toàn dữ liệu, an toàn mạng máy tính, đảm bảo an toàn và bảo vệ thông tin cá
nhân; chống truy cập, sử dụng, thay đổi, phát tán trái phép thông tin cá nhân
và các hành vi không được phép khác.
2. Áp dụng quy
trình đảm bảo an toàn và bảo vệ thông tin cá nhân.
3. Sử dụng công
nghệ mã hóa đối với thông tin thuộc bí mật cá nhân.
4. Áp dụng quy
trình quản lý an toàn hạ tầng kỹ thuật bao gồm (nhưng không giới hạn):
a) Thiết lập hệ
thống tường lửa;
a) Mã hóa tín hiệu
trên đường truyền;
c) Sử dụng tài
khoản, mật khẩu;
d) Thiết lập giải
pháp và hệ thống thiết bị dự phòng, tự động khôi phục dữ liệu;
đ) Sử dụng các
thiết bị chuyên dụng có chức năng bảo vệ tự động tăng cường khả năng phòng, chống
sự tấn công đột nhập từ bên ngoài.
5. Cơ quan chủ
quản phải tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn, bảo vệ
thông tin cá nhân trong quá trình chia sẻ, trao đổi thông tin giữa các cơ quan
nhà nước.
Điều
13. Lưu trữ thông tin cá nhân
1.
Cơ quan chủ quản có trách nhiệm lưu trữ thông tin cá nhân trên cổng thông tin
điện tử tới khi nào còn cần thiết để thực hiện dịch vụ công trực tuyến được
đăng ký và tuân thủ quy định của Nhà nước về Lưu trữ.
2. Thông tin cá nhân
được thu thập để phục vụ cho mục đích khảo sát, thống kê chỉ được lưu trữ đến
khi công tác khảo sát, thống kê kết thúc.
Điều
14. Bảo đảm tính tương thích với công nghệ
Cơ quan chủ quản
hoặc tổ chức, doanh nghiệp được thuê xây dựng, duy trì hệ thống cổng thông tin
điện tử cho cơ quan nhà nước phải áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật
liên quan đến bảo đảm an toàn và bảo vệ thông tin cá nhân.
Điều
15. Kiểm tra, đánh giá mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân
1.
Cơ quan chủ quản cần tiến hành kiểm tra, đánh giá thường xuyên về mức độ đảm bảo
an toàn và bảo vệ thông tin cá nhân.
2. Quy trình kiểm
tra, đánh giá phải đáp ứng các yêu cầu sau đây:
a) Tuân thủ các
quy định pháp luật;
b) Xác định nội
dung thu thập, mục đích thu thập, mục đích sử dụng, các cơ quan được chia sẻ
thông tin cá nhân;
c) Đánh giá hiệu
quả và rủi ro của việc thu thập, sử dụng và chia sẻ thông tin cá nhân;
d) Kiểm tra và
đánh giá mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân;
đ) Kiểm định hạ
tầng kỹ thuật về mặt an toàn thông tin phù hợp với các tiêu chuẩn, quy chuẩn kỹ
thuật được quy định;
e) Xây dựng biện
pháp dự phòng để giảm thiểu tác động xấu khi xảy ra mất an toàn đối với thông
tin cá nhân;
g) Nghiên cứu
các hạn chế của cổng thông tin điện tử liên quan đến bảo đảm tính toàn vẹn của
thông tin cá nhân để tiến hành các biện pháp khắc phục kịp thời.
3. Ngay khi có sự
thay đổi hoặc nâng cấp cổng thông tin điện tử, cơ quan chủ quản phải kiểm tra
đánh giá lại về mức độ đảm bảo an toàn và bảo vệ thông tin cá nhân.
Điều
16. Điều kiện đảm bảo an toàn và bảo vệ thông tin cá nhân
1. Cán bộ, công
chức trong cơ quan chủ quản phải nắm vững các quy định pháp luật và nội quy của
cơ quan về bảo đảm an toàn và bảo vệ thông tin cá nhân.
2.
Chuyên viên kỹ thuật phải được tuyển chọn, đào tạo, thường xuyên bồi dưỡng nghiệp
vụ phù hợp với nhiệm vụ được giao và được tạo điều kiện làm việc phù hợp.
3. Ưu tiên sử dụng
chuyên viên kỹ thuật của cơ quan chủ quản để bảo đảm an toàn và bảo vệ thông
tin cá nhân lưu trữ trên cổng thông tin điện tử. Trường hợp cần thiết có thể sử
dụng dịch vụ đảm bảo an toàn thông tin của các tổ chức, doanh nghiệp bên ngoài
nhưng phải có cam kết bằng văn bản với tổ chức, doanh nghiệp đó về đảm bảo an
toàn và bảo vệ thông tin cá nhân.
4. Cơ quan chủ
quản có trách nhiệm bố trí kinh phí để phục vụ cho công tác đảm bảo an toàn và
bảo vệ thông tin cá nhân trên cổng thông tin điện tử.
Chương 4.
TỔ CHỨC THỰC
HIỆN
Điều
17. Trách nhiệm của cơ quan chủ quản
1.
Thực hiện theo các quy định tại Thông tư này để đảm bảo thông tin cá nhân cung
cấp trên cổng thông tin điện tử được sử dụng đúng mục đích, không bị mất, đánh
cắp, tiết lộ hay thay đổi hoặc phá hủy.
2. Phối hợp với
các cơ quan có thẩm quyền trong quá trình điều tra, xử lý các hành vi vi phạm
các quy định pháp luật về đảm bảo an toàn và bảo vệ thông tin cá nhân.
3. Phổ biến và đảm
bảo việc thực hiện các quy định về đảm bảo an toàn và bảo vệ thông tin cá nhân
trong nội bộ cơ quan.
4. Tuyên truyền,
nâng cao nhận thức cho các tổ chức, cá nhân tham gia cung cấp, khai thác thông
tin và sử dụng dịch vụ công trực tuyến trên cổng thông tin điện tử về mục đích,
vai trò, ý nghĩa của việc đảm bảo an toàn và bảo vệ thông tin cá nhân.
Điều
18. Trách nhiệm của người sử dụng
1.
Cung cấp thông tin cá nhân chính xác, đầy đủ, trung thực để thực hiện dịch vụ
công trực tuyến hoặc khi được cơ quan nhà nước yêu cầu và chịu trách nhiệm đối
với những thông tin cá nhân do mình cung cấp.
2. Giữ kín tài
khoản cá nhân khi tham gia khai thác, sử dụng cổng thông tin điện tử của cơ
quan nhà nước và hoàn toàn chịu trách nhiệm đối với tất cả các hoạt động diễn
ra thông qua việc sử dụng tài khoản của mình.
3. Tuân thủ các
quy định và hướng dẫn của cơ quan nhà nước để đảm bảo an toàn và bảo vệ thông
tin cá nhân trên cổng thông tin điện tử.
Điều
19. Trách nhiệm hướng dẫn thi hành
1. Cục Ứng dụng
công nghệ thông tin - Bộ Thông tin và Truyền thông có trách nhiệm tuyên truyền,
hướng dẫn, đôn đốc việc thực hiện các nội dung của Thông tư này; hằng năm đánh
giá việc đảm bảo an toàn và bảo vệ thông tin cá nhân trên cổng thông tin điện tử
của các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh,
thành phố trực thuộc Trung ương.
2. Trung tâm Ứng
cứu khẩn cấp máy tính Việt Nam (VNCERT) có trách nhiệm phối hợp, hỗ trợ các vấn
đề liên quan đến cổng thông tin điện tử có khả năng gây mất an toàn, an ninh
thông tin cá nhân; phối hợp xây dựng các tiêu chuẩn kỹ thuật áp dụng cho cổng
thông tin điện tử để đảm bảo an toàn và bảo vệ thông tin cá nhân; hỗ trợ các cơ
quan nhà nước trong việc khắc phục sự cố mất đảm bảo an toàn thông tin cá nhân
trên cổng thông tin điện tử.
3. Thanh tra Bộ
Thông tin và Truyền thông có trách nhiệm thanh tra, kiểm tra, xử lý vi phạm
theo quy định của pháp luật trong việc thực hiện các quy định của Thông tư này.
4. Đơn vị chuyên
trách công nghệ thông tin các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, Sở
Thông tin và Truyền thông các tỉnh, thành phố trực thuộc Trung ương có trách
nhiệm tuyên truyền, phổ biến, hướng dẫn việc thực hiện các quy định của Thông
tư này trong cơ quan và các đơn vị trực thuộc.
Điều
20. Hiệu lực thi hành
1. Thông
tư này có hiệu lực thi hành kể từ ngày 01 tháng 01 năm 2011.
2. Trong quá
trình thực hiện nếu có vấn đề phát sinh, vướng mắc, các cơ quan, tổ chức, cá
nhân cần phản ánh kịp thời về Bộ Thông tin và Truyền thông để xem xét, bổ sung,
sửa đổi./.
|
Nơi nhận:
- Thủ tướng Chính phủ, các PTTgCP (để
báo cáo);
- Văn phòng Quốc hội;
- Văn phòng TW và các Ban của Đảng;
- Các Bộ và cơ quan ngang Bộ, cơ quan thuộc Chính phủ;
- Viện Kiểm sát nhân dân tối cao;
- Tòa án nhân dân tối cao;
- Kiểm toán Nhà nước;
- UBND các tỉnh, thành phố trực thuộc Trung ương;
- Đơn vị chuyên trách CNTT các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ;
- Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc Trung ương;
- Công báo, Cổng Thông tin điện tử Chính phủ;
- Ban Chỉ đạo quốc gia về CNTT;
- Ban Chỉ đạo CNTT cơ quan Đảng;
- Cục Kiểm tra VBQPPL (Bộ Tư pháp);
- Bộ TT&TT: Bộ trưởng và các Thứ trưởng; Các cơ quan, đơn vị thuộc Bộ; Cổng
thông tin điện tử của Bộ;
- Lưu: VT, ƯDCNTT (5b).
|
KT.
BỘ TRƯỞNG
THỨ TRƯỞNG
Nguyễn Minh Hồng
|