Điều 7. Bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân
1. Việc xử lý dữ liệu cá nhân ngoài các hệ thống thông tin điện tử bao gồm dữ liệu dạng bản giấy, thư điện tử, dữ liệu lưu trữ trong thiết bị lưu trữ ngoại vi và các trường hợp khác theo quy định của pháp luật phải tuân thủ các yêu cầu sau:
a) Xác định căn cứ pháp luật cho việc xử lý dữ liệu cá nhân: trước khi xử lý, phải xác định rõ cơ sở pháp lý cho mục đích và phạm vi dữ liệu cá nhân được phép xử lý bằng cách dẫn chiếu cụ thể điều, khoản của văn bản quy phạm pháp luật cho phép việc thu thập, xử lý dữ liệu đó;
b) Trường hợp nhận được yêu cầu thu thập, xử lý dữ liệu cá nhân nằm ngoài phạm vi được pháp luật quy định, đơn vị thực hiện phải làm rõ cơ sở thực hiện với bên yêu cầu xử lý; đồng thời phải có sự đồng ý của chủ thể dữ liệu trước khi tiến hành xử lý dữ liệu ngoài phạm vi nói trên.
2. Công chức, viên chức được phân công xử lý dữ liệu cá nhân có trách nhiệm thực hiện đầy đủ các biện pháp bảo đảm an toàn, bảo mật trong quá trình xử lý, cụ thể như sau:
a) Không cung cấp hoặc chia sẻ dữ liệu cá nhân đã thu thập cho bất kỳ tổ chức, cá nhân nào không thuộc phạm vi được phép cung cấp theo quy định của pháp luật;
b) Sử dụng trang thiết bị, máy tính đảm bảo an toàn, an ninh thông tin khi xử lý dữ liệu cá nhân: máy tính phải được dán tem an ninh an toàn và cài đặt phần mềm phòng chống mã độc; thường xuyên cập nhật các bản vá lỗ hổng bảo mật (nếu có); phải được kiểm tra, đánh giá an ninh mạng định kỳ theo quy định;
c) Trường hợp được phép thực hiện trao đổi dữ liệu cá nhân trên môi trường mạng hoặc mang dữ liệu cá nhân ra khỏi cơ quan, đơn vị, địa phương bằng thiết bị, phương tiện điện tử (trừ dữ liệu thuộc danh mục bí mật nhà nước thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước), cần phải áp dụng biện pháp mã hóa tệp dữ liệu và các biện pháp an toàn khác theo quy định pháp luật. Không sử dụng mạng xã hội để trao đổi dữ liệu cá nhân, trừ trường hợp được sự đồng ý của chủ thể dữ liệu;
d) Kiểm soát chặt chẽ các loại hình dữ liệu cá nhân ở dạng điện tử và dạng phi điện tử; chủ động thiết lập, giới hạn quyền tiếp cận dữ liệu cá nhân trong phạm vi những người được phân công xử lý; thực hiện các biện pháp xóa an toàn dữ liệu hoặc hủy vật lý thiết bị lưu trữ, xử lý dữ liệu cá nhân sau khi hoàn thành mục đích sử dụng, hết hạn lưu trữ theo quy định hoặc không còn nhu cầu sử dụng thiết bị.
3. Thủ trưởng các cơ quan, đơn vị, địa phương có trách nhiệm ban hành hoặc tổ chức triển khai thực hiện quy trình nội bộ trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân đảm bảo theo đúng quy định tại khoản 1 và khoản 2 Điều 7 trong Quy chế này và quy định của pháp luật có liên quan.