Điều 11. Bảo vệ dữ liệu cá nhân, dữ liệu sinh trắc học và an toàn hệ thống camera giám sát
1. Dữ liệu hình ảnh thu nhận từ hệ thống camera giám sát có chứa thông tin định danh, dữ liệu sinh trắc học khuôn mặt là dữ liệu cá nhân nhạy cảm, được phân loại và quản lý nghiêm ngặt theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Hệ thống quản lý dữ liệu camera giám sát phải thực hiện cơ chế phân quyền truy cập đa cấp, tách biệt hoàn toàn giữa quyền quản trị kỹ thuật hệ thống, quyền khai thác dữ liệu hình ảnh thông thường và quyền tiếp cận phân hệ đối sánh sinh trắc học.
2. Để phục vụ công tác xác minh, xử lý vi phạm pháp luật trên môi trường điện tử, hệ thống camera giám sát tập trung của tỉnh và Trung tâm giám sát, điều hành thông minh (IOC) tỉnh được kết nối, chia sẻ, xác thực, khai thác thông tin theo quy định của pháp luật và theo phân quyền của cơ quan có thẩm quyền. Nghiêm cấm mọi hình thức kết nối trực tiếp, can thiệp hoặc lưu trữ trái phép cơ sở dữ liệu nền tảng khi chưa được cơ quan có thẩm quyền phê duyệt.
3. Để bảo đảm giá trị pháp lý và tính toàn vẹn của dữ liệu làm chứng cứ, toàn bộ dữ liệu phân tích hình ảnh (Metadata) và dữ liệu sự kiện (Event) khi trích xuất hoặc chia sẻ liên thông giữa các cơ quan, đơn vị, địa phương phải được áp dụng các biện pháp xác thực kỹ thuật, ký số và ký số thời gian (Timestamp); nhật ký hệ thống (Audit trail) phải được lưu trữ độc lập, không thể ghi đè hoặc sửa đổi để phục vụ công tác kiểm toán, chống chối bỏ.
4. Toàn bộ luồng truyền tải dữ liệu hình ảnh từ thiết bị camera đầu cuối tại hiện trường về trung tâm giám sát các cấp bắt buộc phải sử dụng các giao thức mã hóa đường truyền an toàn (mã hóa TLS), thiết lập mạng diện rộng dùng riêng hoặc kênh truyền mật mã băng thông mã hóa (VPN/IPSec). Các tài khoản vận hành được phân quyền khai thác dữ liệu sinh trắc học bắt buộc phải áp dụng cơ chế xác thực đa yếu tố (MFA).
5. Khi phát hiện sự cố an ninh mạng, mất an toàn thông tin hoặc lộ lọt dữ liệu cá nhân nhạy cảm, tổ chức hoặc cá nhân trực tiếp quản lý, vận hành thiết bị camera phát sinh sự cố phải lập tức triển khai các biện pháp kịp thời ngăn chặn hành vi xâm nhập, lập biên bản hiện trạng kỹ thuật và thông báo bằng văn bản trong vòng 72 giờ đến Công an tỉnh (Cơ quan chuyên trách bảo vệ dữ liệu cá nhân) và các chủ thể dữ liệu có liên quan theo quy định.