Điều 32. Trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, đơn vị
1. Các cơ quan, đơn vị là Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm
a) Phân công bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân.
b) Xây dựng và ban hành nội dung quy định nội bộ về bảo vệ dữ liệu cá nhân.
c) Thực hiện đánh giá tác động xử lý dữ liệu cá nhân và lập hồ sơ gửi Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an theo quy định.
2. Khi phát hiện vi phạm hoặc sự cố về dữ liệu cá nhân, cơ quan, đơn vị phải tiến hành các biện pháp khắc phục ngay lập tức và thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm hoặc sự cố dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
3. Áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong hoạt động ứng dụng công nghệ thông tin, bao gồm: quản lý quyền truy cập, ghi nhật ký hệ thống, mã hóa dữ liệu quan trọng và các biện pháp kỹ thuật khác theo hướng dẫn của cơ quan chức năng.