I. Giới thiệu

Việc bảo vệ thông tin, dữ liệu cá nhân là một cách tiếp cận để tạo dựng lòng tin của công dân khi sử dụng các dịch vụ của Chính phủ. Mặc dù đã có nhiều nguyên tắc và quy định về bảo vệ thông tin, dữ liệu cá nhân nhưng ai sẽ giữ vai trò bảo vệ thông tin cá nhân và tuân thủ các nguyên tắc, quy định này. Bài viết dưới đây sẽ trình bày vai trò và chức năng của cán bộ bảo vệ dữ liệu (DPO - Data Protection Officer) trong Quy chế bảo vệ thông tin, dữ liệu cá nhân của Ủy ban Châu Âu. Quy chế bảo vệ thông tin, dữ liệu cá nhân của Ủy ban Châu Âu cung cấp cách tiếp cận theo lớp để bảo đảm việc bảo vệ dữ liệu trong các cơ quan/tổ chức: các cơ quan, tổ chức, kiểm soát, các cán bộ bảo vệ dữ liệu (DPO) và Giám sát bảo vệ dữ liệu Châu Âu (EDPS - European Data Protection Supervisor) đều đóng góp vào việc áp dụng bảo vệ dữ liệu.

Bài viết này là tài liệu tham khảo nhằm mục đích tìm hiểu vai trò chính của DPO và sự phối hợp cơ bản giữa các DPO và EDPS trong việc bảo đảm tuân thủ hiệu quả các nguyên tắc bảo vệ dữ liệu. EDPS cũng sẽ cung cấp nhiệm vụ và các nguồn lực cần phân bổ cho DPO để bảo đảm thực hiện tốt nhiệm vụ của mình.

II. Tổng quan về Quy chế bảo vệ thông tin, dữ liệu cá nhân của Ủy ban Châu Âu và quy định việc bổ nhiệm DPO

Quy chế bảo vệ thông tin, dữ liệu cá nhân của Ủy ban Châu Âu được ban hành ngày 18/12/2000 bởi Nghị viện Châu Âu về việc bảo vệ dữ liệu cá nhân của các cơ quan, tổ chức (Quy chế EC số 45/2001). Đây là một khung pháp lý liên quan đến việc bảo vệ dữ liệu cho các công dân Châu Âu và các cơ quan/tổ chức tham gia bảo vệ dữ liệu; bổ sung thêm các mức độ trách nhiệm giải trình cho các cơ quan/tổ chức, các yêu cầu mới cho việc đưa ra quyết định và phạm vi hình phạt mới đối với việc không tuân thủ nguyên tắc bảo vệ dữ liệu; đưa ra các nhiệm vụ mới liên quan đến các vấn đề như: chuyển dữ liệu, thông báo vi phạm, chấp thuận đối tượng dữ liệu và ẩn danh dữ liệu. Quy chế EU số 45/2001 yêu cầu cá nhân và một số cơ quan/tổ chức ở các nước EU phải chỉ định một DPO.

Điều 1 của Quy chế có quy định: Các cơ quan/tổ chức bảo vệ các quyền cơ bản và tự do của cá nhân và đặc biệt là quyền riêng tư của họ đối với việc xử lý dữ liệu cá nhân là tùy thuộc vào cơ quan/tổ chức. Do đó, các biện pháp được thông qua trong Quy chế có tính ràng buộc đối với các cơ quan/tổ chức.

Tại Điều 24.1 của Quy chế có quy định mỗi cơ quan /tổ chức của một cộng đồng phải bổ nhiệm một Cán bộ bảo vệ dữ liệu. Như vậy, Cán bộ bảo vệ dữ liệu - DPO là cơ sở để bảo đảm sự tôn trọng các nguyên tắc bảo vệ dữ liệu trong các cơ quan/tổ chức.

Điều 41 của trong Quy chế quy định rằng: Một cơ quan giám sát độc lập, Giám sát bảo vệ dữ liệu Châu Âu EDPS được quy định nhằm theo dõi việc áp dụng Quy chế tại các cơ quan/tổ chức, tư vấn cho các đối tượng và chủ thể dữ liệu về mọi vấn đề liên quan đến xử lý dữ liệu cá nhân, hay điều này đặc biệt hàm ý nói về vai trò của các DPOs.

(EDPS- Giám sát bảo vệ dữ liệu Châu Âu: là một cơ quan giám sát độc lập dành cho việc bảo vệ dữ liệu cá nhân và sự riêng tư, thúc đẩy các thực hành tốt trong các cơ quan/tổ chức của EU. EDPS thực hiện các nhiệm vụ:

- Giám sát xử lý dữ liệu cá nhân của Ủy ban Châu Âu - EU;

- Tư vấn về chính sách và pháp luật có ảnh hưởng đến sự riêng tư;

- Phối hợp với các cơ quan liên quan để bảo đảm bảo vệ dữ liệu phù hợp).

Cán bộ bảo vệ dữ liệu đã tồn tại kể từ khi Quy chế có hiệu lực và đã chứng tỏ là một thành công không chỉ trong công việc của DPO trong các cơ quan/tổ chức, mà còn trong việc thiết lập một mạng lưới DPOs. Mạng lưới này, đáp ứng việc bảo vệ dữ liệu trong khoảng thời gian đều đặn, giúp ích rất nhiều trong việc đưa ra lời khuyên và trao đổi các quan điểm về vấn đề bảo vệ thông tin, dữ liệu cá nhân.

Điều 24.1 của Quy chế quy định các cơ quan/tổ chức phải chỉ định “ít nhất” một người làm Cán bộ bảo vệ dữ liệu để thực hiện nhiệm vụ bảo vệ dữ liệu. Tuy nhiên, một số tổ chức đã kết hợp DPO với một trợ lý DPO. Ủy ban Châu Âu cũng đã chỉ định một “Điều phối viên bảo vệ dữ liệu DPC - Data protection coordinator” để phối hợp tất cả các khía cạnh bảo vệ dữ liệu trong các cơ quan/tổ chức.

III. Chức năng và vai trò của Cán bộ bảo vệ dữ liệu - DPO

DPO được coi là một phần không thể tách rời của tổ chức. Tuy nhiên, DPO có thể thực hiện nhiệm vụ của mình một cách độc lập trong các cơ quan/tổ chức của EU, khi:

■ Các quy tắc áp dụng cho các cơ quan/tổ chức của EU nói rằng DPO sẽ không nhận được bất kỳ hướng dẫn nào về việc thực hiện nhiệm vụ của mình.

■ Để tránh xung đột giữa DPO và các nghĩa vụ khác, thì:

- DPO không nên là người kiểm soát các hoạt động quản lý về nhân sự;

- DPO không nên là nhân viên hợp đồng ngắn hạn hoặc cố định;

- DPO không nên báo cáo trực tiếp các vấn đề lên cấp trên;

- DPO có trách nhiệm quản lý ngân sách của riêng mình.

■ Các cơ quan/tổ chức của EU phải có trách nhiệm cung cấp nhân viên và nguồn lực để hỗ trợ DPO thực hiện các nhiệm vụ của mình, DPO trong các cơ quan/tổ chức có thể được hỗ trợ công việc bởi một trợ lý DPO và có thể dựa vào các Điều phối viên bảo vệ dữ liệu DPC trong từng bộ phận của tổ chức.

■DPO nên có thẩm quyền điều tra. Ví dụ như, trong các tổ chức và cơ quan của EU, DPO có quyền truy cập ngay vào tất cả các dữ liệu cá nhân và các hoạt động xử lý dữ liệu; những người phụ trách cũng phải cung cấp thông tin để trả lời những câu hỏi của DPO.

■ Trong các cơ quan/tổ chức của EU, DPO có thể được chỉ định bổ nhiệm trong khoảng thời gian từ 2 đến 5 năm và có thể được bổ nhiệm lại tối đa là 10 năm và chỉ có thể bị miễn nhiệm qua sự đồng ý của EDPS.

1. Chức năng của DPO trong tổ chức

■ Tại Điều 24.1 a: Quy chế EU số 45/2001 quy định DPO có chức năng thông tin và nâng cao nhận thức. Điều này hàm ý một mặt là thông báo cho DPO về các quyền của họ, đồng thời thông báo cho kiểm soát viên và cơ quan/tổ chức về nghĩa vụ và trách nhiệm của DPO. Nâng cao nhận thức có thể dưới hình thức đào tạo, thiết lập một địa chỉ website riêng hay tuyên bố về quyền riêng tư.

■ Chức năng tư vấn (được quy định tại Điều 32 và Phụ lục 1 và 2): DPO phải bảo đảm thực hiện các quyền và nghĩa vụ theo đúng Quy chế và tư vấn cho các kiểm soát viên về việc thực hiện nghĩa vụ của mình. DPO có thể đưa ra các khuyến nghị và tư vấn để cải tiến thực tế bảo vệ dữ liệu cho cơ quan/tổ chức hoặc người quản lý có liên quan đến việc áp dụng các quy định bảo vệ dữ liệu. DPO cũng có thể được người kiểm soát, các cơ quan/tổ chức giải thích tất cả các vấn đề có liên quan về việc áp dụng Quy chế.

■Chức năng tổ chức (được quy định tại Điều 25 và 26): Như đã đề cập ở trên, các cơ quan/tổ chức phải thông báo các hoạt động xử lý dữ liệu cho DPO. Điều này, đòi hỏi kiểm soát viên phải soạn thảo một mẫu thông báo cho DPO được quy định tại Điều 25.

■ Chức năng hợp tác (được quy định tại Điều 24.1.b): DPO có nhiệm vụ đáp ứng các yêu cầu của EDPS trong phạm vi thẩm quyền của mình và hợp tác với EDPS theo yêu cầu. Nhiệm vụ này nhấn mạnh rằng, DPO không những có kiến thức thực hiện nhiệm vụ mà còn có thể nhận thức được những ai là người tốt nhất để hợp tác trong việc điều tra, xử lý khiếu nại liên quan đến bảo vệ dữ liệu cá nhân.

■ Chức năng giám sát, tuân thủ (được quy định tại Điều 24.1.c và Phụ lục 1 và 4): DPO đảm bảo việc áp dụng Quy chế và trực tiếp báo cáo nhiệm vụ của mình lên cấp trên.

■ Chức năng xử lý các thắc mắc hoặc khiếu nại: Mặc dù không được nêu rõ trong Quy chế nhưng chức năng này có thể được suy luận từ thực tế là DPO có chức năng điều tra. Điểm IV.3 quy định EDPS là cơ quan xử lý khiếu nại chính trong lĩnh vực bảo vệ dữ liệu, khuyến khích DPO điều tra và giải quyết khiếu nại.

■Chức năng thi hành: Ngoài các chức năng cơ bản trên, DPO còn có quyền hạn thực thi các quy định.

Ngoài ra, DPO còn có chức năng bảo đảm làm việc một cách độc lập theo quy định của Quy chế

Các điều từ Điều 24-26 và Phụ lục của Quy chế EU số 45/2001 quy định rằng DPO sẽ bảo đảm “làm việc độc lập và tuân thủ theo các quy định nội bộ của Quy chế”, tức là:

a. Không có mâu thuẫn giữa các nhiệm vụ:

Bảo đảm áp dụng đầy đủ các quy định của Quy chế mà không bị chồng chéo về chức năng và nhiệm vụ của mình. Để tránh xung đột lợi ích và bảo đảm độc lập, nếu DPO có nhiều nhiệm vụ thì các nhiệm vụ này phải được đánh giá riêng biệt và không được liên quan tới nhau. Không thể đánh giá tỷ lệ phần trăm thời gian cụ thể để DPO thực hiện nghĩa vụ của mình. Thời gian cần thiết để DPO thực hiện nhiệm vụ không liên quan đến quy mô của tổ chức.

b. Cơ quan/tổ chức phải cung cấp cho DPO nhân viên và nguồn lực để thực hiện nhiệm vụ (được quy định tại Điều 24.6):

Điều 24.6, cơ quan/tổ chức cộng đồng phải cung cấp cho DPO: nhân viên và các nguồn lực cần thiết để thực hiện các nghĩa vụ của mình, bao gồm: nguồn lực công nghệ thông tin, nguồn nhân lực hay nguồn tài chính cũng là yếu tố quan trọng để DPO có thể thực hiện nhiệm vụ của mình trong thực tế. Và DPO có thể nhận được sự hỗ trợ thích hợp từ các dịch vụ khác (như dịch vụ pháp lý) và được tiếp cận với các cơ sở đào tạo.

Một số cơ quan/tổ chức đã chỉ định trợ lý hay một điều phối viên bảo vệ dữ liệu DPC cho DPO có vai trò hỗ trợ DPO đảm bảo thực hiện nhiệm vụ và chức năng một cách liên tục. Các cơ quan/tổ chức cũng giải quyết vấn đề chỉ định trợ lý thay thế DPO tạm thời trong trường hợp DPO vắng mặt, nghỉ ốm, nghỉ hưu.

Một số nguyên tắc áp dụng cho các DPO cũng áp dụng cho các DPC để cho phép các DPC thực hiện công việc một cách hiệu quả như đánh giá, độc lập, phân bổ thời gian cho các nhiệm vụ...

c. Có thể không nhận được hướng dẫn từ bất cứ ai trong việc thực hiện nhiệm vụ (được quy định tại Điều 24.7):

Điều 24.7 quy định, DPO có thể phải thực hiện nhiệm vụ một cách độc lập. EDPS khuyến khích các DPO xây dựng các nguyên tắc chung về giám sát như: yêu cầu, chương trình làm việc hàng năm, báo cáo hàng năm... để đánh giá hiệu quả công việc của họ.

d. DPO sẽ được tiếp cận với thông tin, các văn phòng và các cơ sở xử lý dữ liệu (Phụ lục 4):

Theo Phụ lục 4, DPO luôn được truy cập vào các dữ liệu, các văn phòng, cơ sở xử lý dữ liệu và người vận chuyển dữ liệu.

đ. Thời hạn bổ nhiệm:

Điều 24.4 quy định rằng DPO sẽ được bổ nhiệm với thời hạn từ 2 đến 5 năm. Người đó có thể đủ điều kiện để tái bổ nhiệm tối đa 10 năm. Người đó chỉ có thể bị miễn nhiệm nếu: người đó không còn đủ điều kiện để thực hiện nhiệm vụ của mình và dưới sự đồng ý của EDPS.

Việc bổ nhiệm DPO cho một thời hạn nhất định và bãi nhiệm dưới điều kiện trước khi kết thúc nhiệm vụ, góp phần bảo đảm sự độc lập của DPO. Thời gian ủy nhiệm càng lâu, điều này càng đóng góp vào việc bảo đảm cho DPO rằng họ có thể thực hiện chức năng của mình một cách độc lập. Vì vậy, EDPS hỗ trợ việc bổ nhiệm nhiệm kỳ 5 năm.

Một số quy định thực hiện liên quan đến nhiệm vụ và quyền hạn của các DPO được các cơ quan/tổ chức thông qua theo Điều 24.8 cho thấy rằng EDPS tham gia vào việc đánh giá công việc của DPO một cách thường xuyên. EDPS hoan nghênh chức năng tư vấn của DPO như là một yếu tố được xem xét trong đánh giá nhân viên của DPO vì đây có thể được coi là phần hỗ trợ bổ sung cho công việc của các DPO và bảo đảm hơn nữa cho sự độc lập của DPO.

e. Sự độc lập của các DPO:

Mặc dù, Quy chế không đề cập đến vấn đề độc lập của các DPO nhưng EDPS tin rằng các DPO nên được bảo đảm độc lập giống như những quy định trong Quy chế liên quan đến DPO.

g. Quan hệ DPO - EDPS:

DPO không phải là đại diện của EDPS, mà là một bộ phận của cơ quan/tổ chức nơi DPO làm việc. Đồng thời, EDPS có thể hỗ trợ cho các DPO trong việc thực hiện chức năng của họ. EDPS hỗ trợ cùng với DPO nhằm góp phần đạt mục tiêu tổng thể về bảo vệ hiệu quả dữ liệu cá nhân trong các tổ chức.

2. Vai trò của Cán bộ bảo vệ dữ liệu - DPO

Vai trò chính của DPO là bảo đảm rằng tổ chức xử lý dữ liệu cá nhân của nhân viên, khách hàng, nhà cung cấp (hoặc gọi chung là đối tượng dữ liệu) bảo đảm tuân thủ theo các quy tắc về bảo vệ dữ liệu hiện hành. Việc bổ nhiệm một DPO dựa trên phẩm chất cá nhân, nghề nghiệp, sự hiểu biết về cách hoạt động của tổ chức và đặc biệt là kiến thức chuyên môn về bảo vệ dữ liệu.

DPO phải bảo đảm rằng các quy tắc về bảo vệ dữ liệu luôn hợp tác với cơ quan bảo vệ dữ liệu (và đối với các tổ chức trong EU, thì cơ quan bảo vệ dữ liệu được gọi là Giám sát bảo vệ dữ liệu Châu Âu - EDPS). DPO phải:

- Bảo đảm rằng kiểm soát viên và đối tượng dữ liệu sẽ được thông báo về quyền, nghĩa vụ và trách nhiệm bảo vệ dữ liệu của họ;

- Tư vấn và khuyến nghị cho các tổ chức về việc giải thích hoặc áp dụng các quy tắc bảo vệ dữ liệu;

- Tạo các đăng ký cho các hoạt động trong tổ chức và thông báo trước cho EDPS những giấy tờ có rủi ro cụ thể.

- Bảo đảm tuân thủ những quy định và nguyên tắc về bảo vệ dữ liệu trong tổ chức.

- Xử lý những thắc mắc hoặc khiếu nại theo yêu cầu của tổ chức và người quản lý.

- Hợp tác với EDPS để đáp ứng các yêu cầu về điều tra, xử lý khiếu nại, kiểm tra nếu EDPS yêu cầu.

- Tăng cường khả năng xác định của cơ quan/tổ chức đối với bất kỳ hoạt động không tuân thủ các quy tắc bảo vệ dữ liệu hiện hành...

IV. Danh sách các DPO do các cơ quan và tổ chức EU chỉ định

Các Cán bộ bảo vệ dữ liệu do các cơ quan/tổ chức EU chỉ định:

V. Kết luận

Từ bài nghiên cứu trên cho thấy, DPO đóng vai trò quan trọng trong việc bảo đảm sự tôn trọng các yêu cầu về bảo vệ dữ liệu trong cơ quan/tổ chức của EU. DPO được chỉ định để thông báo cho cơ quan/tổ chức về việc áp dụng các nguyên tắc về bảo vệ dữ liệu cá nhân. DPO ngoài vai trò và trách nhiệm bảo mật dữ liệu thì cần phải có một bộ kỹ năng đa dạng bao gồm: kiến thức về kỹ thuật và luật pháp, nhận thức về thương mại, hiểu biết sâu sắc về hoạt động kinh doanh, kỹ năng truyền thông và cộng đồng. Ở một mức độ nào đó, DPO sẽ được định hướng chi tiết, hiểu được các khía cạnh kỹ thuật và các hoạt động xử lý dữ liệu và công nghệ liên quan, cách áp dụng khung pháp lý và các cân nhắc về bảo mật dữ liệu cá nhân. Đồng thời, DPO cũng có tầm nhìn xem xét các vấn đề riêng tư trong bối cảnh thương mại rộng hơn, qua đó giúp các cơ quan/tổ chức EU đạt được các mục tiêu thương mại phù hợp. Qua bài viết này, các cơ quan nhà nước Việt Nam có thể nghiên cứu và tham khảo để bổ nhiệm hay xác định một Cán bộ bảo vệ thông tin, dữ liệu cá nhân - DPO trong thời gian tới.

VI. Tài liệu tham khảo

1. Regulation (EC) 45/2001:

http://eur-lex.europa.eu/legal-content/EN/TXT/?uri=LEGISSUM%3Al24222.

2. Data Protection Officer (DPO):

https://edps.europa.eu/data-protection/data-protection/reference-library/data-protection-officer-dpo_en.

3. Position paper on the role of Data Protection Officers in ensuring effective compliance with Regulation (EC) 45/2001:

https://edps.europa.eu/sites/edp/files/publication/05-11-28_dpo_paper_en_0.pdf.

Lê Thị Thùy Trang