Điều 6. Bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân ngoài hệ thống thông tin lưu trữ, xử lý dữ liệu cá nhân
1. Việc xử lý dữ liệu cá nhân bên ngoài các hệ thống thông tin phải tuân thủ các yêu cầu sau:
a) Trước khi thu thập, lưu trữ, xử lý dữ liệu cá nhân, phải xác định rõ cơ sở
pháp lý cho mục đích và phạm vi dữ liệu cá nhân được phép xử lý.
b) Trường hợp nhận được yêu cầu thu thập, xử lý dữ liệu cá nhân ngoài
phạm vi được pháp luật quy định, đơn vị thực hiện phải làm rõ cơ sở thực hiện với bên yêu cầu xử lý; đồng thời phải có sự đồng ý của chủ thể dữ liệu trước khi
tiến hành xử lý dữ liệu ngoài phạm vi nói trên.
c) Không được sử dụng tài khoản cá nhân, mạng xã hội, ứng dụng nhắn tin công cộng hoặc phương tiện không được cơ quan có thẩm quyền cho phép để trao đổi, truyền đưa dữ liệu cá nhân trong hoạt động công vụ.
2. Công chức, viên chức được phân công xử lý dữ liệu cá nhân có trách
nhiệm thực hiện đầy đủ các biện pháp bảo đảm an toàn, bảo mật trong quá trình
xử lý, cụ thể như sau:
a) Không cung cấp hoặc chia sẻ dữ liệu cá nhân đã thu thập cho bất kỳ tổ
chức, cá nhân nào ngoài phạm vi được phép cung cấp theo quy định của pháp luật.
b) Trường hợp được phép thực hiện trao đổi dữ liệu cá nhân trên môi trường mạng hoặc mang dữ liệu cá nhân ra khỏi cơ quan, đơn vị, địa phương bằng thiết bị, phương tiện điện tử (trừ dữ liệu thuộc danh mục bí mật nhà nước thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước), cần phải áp dụng biện pháp mã hóa tệp dữ liệu và các biện pháp an toàn khác theo quy định pháp luật. Không sử dụng mạng xã hội để trao đổi dữ liệu cá nhân, trừ trường hợp được sự đồng ý của chủ thể dữ liệu.
c) Kiểm soát chặt chẽ các phiên bản dữ liệu cá nhân ở dạng điện tử và dạng
phi điện tử; chủ động thiết lập, giới hạn quyền tiếp cận dữ liệu cá nhân trong phạm
vi những người được phân công xử lý; thực hiện việc lập biên bản ghi nhận việc áp dụng các biện pháp xóa an toàn dữ liệu hoặc hủy vật lý thiết bị lưu trữ, xử lý dữ liệu cá nhân sau khi hoàn thành mục đích sử dụng, hết hạn lưu trữ theo quy định hoặc không còn nhu cầu sử dụng thiết bị.