Điều 18. Phân loại dữ liệu và bảo vệ theo mức độ
1. Nguyên tắc phân loại dữ liệu
a) Dữ liệu được phân loại căn cứ mức độ thiệt hại có thể xảy ra đối với Nhà nước, cơ quan thuế, tổ chức, cá nhân nếu dữ liệu bị lộ lọt, sửa đổi hoặc mất mát trái phép, không phụ thuộc định dạng (giấy, điện tử) hay nơi lưu trữ.
b) Người tạo lập, thu thập hoặc trực tiếp quản lý dữ liệu có trách nhiệm đề xuất mức phân loại ban đầu; thủ trưởng đơn vị trực tiếp quản lý dữ liệu phê duyệt mức phân loại, trừ trường hợp dữ liệu đã được cấp có thẩm quyền cao hơn ấn định mức bảo vệ theo quy định pháp luật khác (bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân...).
c) Việc thu thập, phân loại dữ liệu phải tuân thủ nguyên tắc đúng mục đích, giới hạn ở phạm vi cần thiết để thực hiện chức năng, nhiệm vụ được giao.
2. Phân loại dữ liệu
Dữ liệu được phân loại thành các loại như sau: Sử dụng rộng rãi, sử dụng nội bộ, sử dụng hạn chế và sử dụng đặc biệt hạn chế.
3. Quy định bảo mật với từng loại dữ liệu:
a) Dữ liệu được phân loại sử dụng rộng rãi:
- Dữ liệu được dán nhãn: L0.
- Quy định truy cập: Người bên trong và bên ngoài cơ quan thuế có thể sử dụng.
- Lưu trữ dữ liệu:
+ Dữ liệu dạng giấy: Không quy định.
+ Dữ liệu điện tử: Không quy định.
- Sao chép và in ấn: Không quy định.
- Trao đổi qua kênh điện tử: Không quy định.
- Tiêu hủy dữ liệu: Không quy định.
b) Dữ liệu được phân loại sử dụng nội bộ:
- Dữ liệu được dán nhãn: L1.
- Quy định truy cập: Chỉ công chức thuế mới được phép tiếp cận.
- Lưu trữ dữ liệu:
+ Dữ liệu dạng giấy: Để trong khu vực nội bộ cơ quan thuế.
+ Dữ liệu điện tử: Lưu trữ trên mạng nội bộ hoặc lưu trữ trong các thiết bị lưu trữ di động của công chức được giao nhiệm vụ hoặc lưu trữ trong các thiết bị lưu trữ di động của cơ quan thuế.
- Sao chép và in ấn: Được sao chép và in ấn để phân phát trong nội bộ; tài liệu giấy được gắn nhãn sử dụng nội bộ; không mang ra ngoài trụ sở cơ quan thuế nếu mang ra ngoài phải được người có thẩm quyền cho phép và thực hiện biện pháp bảo vệ phù hợp.
- Trao đổi qua kênh điện tử: Có thể gửi qua các kênh điện tử nội bộ; đường truyền trao đổi thông tin phải có mã hóa.
- Tiêu hủy dữ liệu: Xé vụn bằng tay hoặc sử dụng máy; đối với dữ liệu điện tử cần được xoá trên các thiết bị lưu trữ.
c) Dữ liệu được phân loại sử dụng hạn chế:
- Dữ liệu được dán nhãn: L2.
- Quy định truy cập: Chỉ công chức được giao nhiệm vụ hoặc đơn vị được phân công mới được tiếp cận dữ liệu.
- Lưu trữ dữ liệu:
+ Dữ liệu dạng giấy: Để trong ngăn kéo hoặc tủ có khóa của cơ quan hoặc trong phòng làm việc nhưng việc ra vào phòng có sự kiểm soát.
+ Dữ liệu điện tử: Lưu trữ trong mạng nội bộ và phải được lưu riêng biệt so với dữ liệu khác. Chỉ lưu trữ trong các thiết bị lưu trữ di động của công chức được phép truy cập dữ liệu. Thiết bị lưu trữ di động được mã hóa hoặc việc truy cập thiết bị lưu trữ đặt mật khẩu.
- Sao chép và in ấn: Chỉ được sao chép và in ấn bởi công chức được giao nhiệm vụ hoặc đơn vị được phân công; tài liệu giấy được gắn nhãn sử dụng hạn chế; tài liệu in ấn, copy không để trên bàn làm việc hoặc để tại máy in.
- Trao đổi qua kênh điện tử: Dữ liệu điện tử được gửi qua các kênh email nội bộ để sử dụng giữa các công chức hoặc đơn vị được phân công. Dữ liệu gửi ra ngoài phải được mã hóa hoặc đặt mật khẩu (thông tin khóa giải mã, mật khẩu không được gửi kèm dữ liệu); Đường truyền trao đổi thông tin phải có mã hóa.
- Tiêu hủy dữ liệu: Đối với dữ liệu giấy sử dụng máy xén; đối với dữ liệu điện tử, xóa vĩnh viễn; việc tiêu hủy phải có biên bản.
d) Dữ liệu được phân loại sử dụng đặc biệt hạn chế:
- Dữ liệu được dán nhãn: L3.
- Quy định truy cập: Chỉ công chức được phân công mới được tiếp cận dữ liệu.
- Lưu trữ dữ liệu:
+ Dữ liệu dạng giấy: Để trong ngăn kéo hoặc tủ có khóa đặt tại phòng làm việc có khóa ra vào, có camera giám sát.
+ Dữ liệu điện tử: Dữ liệu được mã hóa trong mạng nội bộ và được lưu riêng biệt so với dữ liệu khác; không được phép lưu trữ trong các thiết bị lưu trữ di động của công chức. Dữ liệu chỉ được lưu trong thiết bị lưu trữ di động đã được mã hóa.
- Sao chép và in ấn: Dữ liệu chỉ được sao chép và in ấn khi được phép; việc sao chép và in ấn phải được ghi chép vào sổ gồm: số bản sao chép và in ấn; người sao chép và mục đích thực hiện; các tài liệu sao chép và in ấn phải được đánh nhãn “dữ liệu cực kỳ hạn chế”; việc sao chép và in ấn phải thực hiện bởi công chức được phân công.
- Trao đổi qua kênh điện tử: Dữ liệu được gửi qua email cơ quan thuế giữa các công chức được tiếp cận. Dữ liệu gửi ra ngoài phải được mã hóa hoặc đặt mật khẩu (thông tin khóa giải mã, mật khẩu không được gửi kèm dữ liệu). Đường truyền trao đổi thông tin phải có mã hóa.
- Tiêu hủy dữ liệu: Đối với dữ liệu giấy sử dụng máy xén giấy vụn đa chiều; đối với dữ liệu điện tử sử dụng các công cụ để xóa vĩnh viễn hoặc tiêu hủy phương tiện lưu trữ, đảm bảo không thể khôi phục dữ liệu. Việc tiêu hủy phải có biên bản và có mặt của công chức được phân công tiếp cận dữ liệu.
4. Vòng đời dữ liệu
a) Thu thập: Dữ liệu chỉ được thu thập khi có cơ sở pháp lý hoặc phục vụ trực tiếp chức năng, nhiệm vụ được giao; không thu thập vượt quá phạm vi cần thiết.
b) Thời hạn lưu giữ: Từng loại dữ liệu phải được xác định thời hạn lưu giữ theo quy định của pháp luật về lưu trữ, quy định nghiệp vụ chuyên ngành thuế. Hết thời hạn lưu giữ mà dữ liệu không còn giá trị sử dụng và không thuộc diện lưu trữ vĩnh viễn theo quy định của pháp luật về lưu trữ, đơn vị quản lý dữ liệu tổ chức tiêu hủy theo quy định tại khoản 3 Điều này hoặc chuyển giao cho cơ quan lưu trữ có thẩm quyền.
c) Tái phân loại, giải mật: Định kỳ hằng năm hoặc khi có sự kiện làm thay đổi tính chất của dữ liệu (ví dụ: Thông tin đã được công khai theo quyết định của cấp có thẩm quyền, kết luận thanh tra/kiểm tra đã công bố), đơn vị quản lý dữ liệu rà soát, đề xuất cấp có thẩm quyền quyết định nâng hoặc hạ mức phân loại.
5. Dữ liệu cá nhân
a) Việc thu thập, xử lý dữ liệu cá nhân của người nộp thuế và cá nhân khác trong quá trình thực hiện nhiệm vụ phải tuân thủ quy định của pháp luật về bảo vệ dữ liệu cá nhân. Dữ liệu cá nhân nhạy cảm áp dụng mức bảo vệ tối thiểu L2; trường hợp pháp luật có yêu cầu bảo vệ cao hơn thì áp dụng mức L3.
b) Đối với hoạt động xử lý dữ liệu cá nhân quy mô lớn (xây dựng kho dữ liệu tập trung, mô hình chấm điểm rủi ro tuân thủ trên diện rộng...), đơn vị chủ trì lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân trước khi triển khai; trình cấp có thẩm quyền phê duyệt và lưu giữ phục vụ công tác kiểm tra.
6. Dữ liệu phục vụ phân tích, tổng hợp quy mô lớn
a) Đối với dữ liệu được trích xuất, tổng hợp phục vụ phân tích rủi ro, thống kê, huấn luyện mô hình phân tích dữ liệu thì áp dụng biện pháp mã hóa hoặc giả danh hóa (che, mã hóa một chiều các trường định danh trực tiếp) khi mục đích phân tích không yêu cầu xác định danh tính cụ thể.
b) Trường hợp bắt buộc phải giữ nguyên trường định danh để phục vụ nghiệp vụ (ví dụ: Lập danh sách người nộp thuế rủi ro cao để thanh tra, kiểm tra), dữ liệu áp dụng mức bảo vệ tương ứng với dữ liệu, không được hạ mức bảo vệ vì lý do phục vụ phân tích.
c) Quyền truy cập vào các kho dữ liệu tổng hợp, hệ thống phân tích dữ liệu lớn phải được ghi nhận nhật ký truy vấn, phục vụ truy vết khi cần thiết.
7. Biện pháp kỹ thuật hỗ trợ gắn nhãn và kiểm soát dữ liệu
a) Triển khai giải pháp gắn nhãn dữ liệu tự động và giải pháp ngăn ngừa thất thoát dữ liệu (Data Loss Prevention) đối với dữ liệu phân loại từ mức L2 trở lên, đặc biệt tại các kênh có nguy cơ rò rỉ cao (thư điện tử, thiết bị lưu trữ di động, tải lên Internet).
b) Cảnh báo từ giải pháp ngăn ngừa thất thoát dữ liệu được đơn vị chuyên trách an toàn hệ thống thông tin xử lý theo quy định.
8. Chất lượng dữ liệu: Đơn vị quản lý dữ liệu có trách nhiệm áp dụng biện pháp phù hợp để dữ liệu được thu thập, cập nhật chính xác, đầy đủ, kịp thời, giảm thiểu sai sót trong quá trình nhập liệu, xử lý; định kỳ rà soát, đối chiếu đối với dữ liệu quan trọng phục vụ công tác quản lý thuế.
9. Xử lý sự cố đối với dữ liệu phân loại mức cao: Sự cố an toàn thông tin liên quan đến dữ liệu phân loại mức L2, L3 phải được ưu tiên xử lý ở mức cao nhất; đơn vị chuyên trách an toàn thông tin xác định phạm vi, mức độ ảnh hưởng và báo cáo Lãnh đạo đơn vị trong thời hạn quy định.
10. Trường hợp quy định truy cập khác với quy định nêu trên phải được sự phê duyệt của các cấp có thẩm quyền.