Dịch vụ kiểm tra, đánh giá tuân thủ bảo vệ dữ liệu cá nhân định kỳ

1. Vì sao doanh nghiệp cần kiểm tra tuân thủ định kỳ?

Một hệ thống bảo vệ dữ liệu cá nhân chỉ thực sự có giá trị khi những chính sách và quy trình đã ban hành được thực hiện trong hoạt động hằng ngày.

Doanh nghiệp có thể đã hoàn thành hồ sơ đánh giá tác động, xây dựng chính sách bảo vệ dữ liệu và đào tạo nhân sự. Tuy nhiên, sau một thời gian vận hành, những thay đổi về nhân sự, phần mềm, đối tác và quy trình kinh doanh có thể khiến hệ thống không còn phù hợp.

Ví dụ:

• Chính sách quy định thời hạn lưu giữ dữ liệu nhưng hệ thống chưa có cơ chế rà soát dữ liệu quá hạn.
• Doanh nghiệp thay đổi nhà cung cấp CRM nhưng chưa kiểm tra nghĩa vụ pháp lý phát sinh.
• Hợp đồng với đối tác chưa được cập nhật các điều khoản bảo vệ dữ liệu.
• Hồ sơ đánh giá tác động không phản ánh đầy đủ hoạt động xử lý đang diễn ra.
• Người lao động không thực hiện đúng quy trình tiếp nhận và xử lý yêu cầu của khách hàng.
• Bộ phận công nghệ thay đổi quyền truy cập nhưng chưa cập nhật cơ chế kiểm soát liên quan.

Những vấn đề này có thể tồn tại trong thời gian dài nếu doanh nghiệp chỉ kiểm tra khi có sự cố hoặc yêu cầu từ cơ quan có thẩm quyền.

Dịch vụ kiểm tra, đánh giá tuân thủ định kỳ của Justix giúp ban lãnh đạo nhìn rõ hiện trạng, xác định vấn đề cần xử lý và theo dõi việc cải thiện hệ thống theo từng giai đoạn.

2. Dịch vụ này dành cho ai?

Doanh nghiệp đã thiết lập hệ thống bảo vệ dữ liệu cá nhân

Các tổ chức đã lập hồ sơ, xây dựng chính sách và quy trình nhưng cần kiểm tra việc thực hiện sau một thời gian vận hành.

Doanh nghiệp đang chuẩn bị kiểm toán hoặc làm việc với đối tác lớn

Khách hàng có nhu cầu tự rà soát để xác định tài liệu còn thiếu, những vấn đề chưa phù hợp và các bằng chứng chứng minh việc thực hiện nghĩa vụ.

Doanh nghiệp FDI và công ty thành viên tập đoàn

Các đơn vị có yêu cầu kiểm tra tuân thủ nội bộ theo chính sách của công ty mẹ hoặc chuẩn bị báo cáo về quản trị dữ liệu.

Doanh nghiệp công nghệ và các nền tảng số

Những tổ chức thường xuyên triển khai tính năng, thay đổi nhà cung cấp hoặc điều chỉnh hoạt động thu thập, sử dụng dữ liệu cá nhân.

Doanh nghiệp đã phát sinh vi phạm hoặc sự cố

Các tổ chức cần đánh giá hiệu quả của biện pháp khắc phục, kiểm tra những nguyên nhân liên quan đến quy trình và xác định rủi ro còn tồn tại.

Doanh nghiệp có nhiều phòng ban hoặc chi nhánh

Các đơn vị muốn đánh giá mức độ thực hiện chính sách chung và sự khác biệt giữa các bộ phận.

3. Phạm vi công việc Justix thực hiện

3.1. Kiểm tra tình trạng thực hiện nghĩa vụ pháp lý

Justix rà soát các nghĩa vụ bảo vệ dữ liệu cá nhân tương ứng với hoạt động doanh nghiệp, bao gồm:

• Căn cứ và mục đích xử lý dữ liệu.
• Nghĩa vụ thông báo, minh bạch và thực hiện quyền của chủ thể dữ liệu.
• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới khi thuộc diện áp dụng.
• Cơ chế phân công nhân sự, trách nhiệm quản trị dữ liệu.
• Các yêu cầu liên quan đến bên xử lý dữ liệu và nhà cung cấp.
• Nghĩa vụ ghi nhận, xử lý và thông báo vi phạm.

Việc đánh giá được thực hiện theo các nghĩa vụ thực tế áp dụng, không mặc định mọi doanh nghiệp phải đáp ứng cùng một danh mục.

3.2. Kiểm tra tài liệu, chính sách và quy trình

Rà soát những văn bản đang được doanh nghiệp áp dụng:

• Chính sách bảo vệ dữ liệu cá nhân.
• Quy trình thu thập, sử dụng, chia sẻ và lưu giữ dữ liệu.
• Quy trình thực hiện quyền của chủ thể dữ liệu.
• Quy trình quản lý nhà cung cấp.
• Quy trình xử lý sự cố.
• Quy định phân quyền, quản lý và thu hồi quyền truy cập.
• Hồ sơ đào tạo và phân công trách nhiệm.

Justix không chỉ kiểm tra sự tồn tại của tài liệu mà còn xem xét sự phù hợp của nội dung với hoạt động doanh nghiệp.

3.3. Kiểm tra việc áp dụng trong thực tế

Tùy phạm vi hợp đồng, Justix có thể phỏng vấn nhân sự phụ trách và kiểm tra bằng chứng thực hiện đối với một số quy trình.

Ví dụ:

• Khi có yêu cầu xóa dữ liệu, doanh nghiệp đã có hồ sơ tiếp nhận và xử lý chưa?
• Khi nhân viên nghỉ việc, việc thu hồi quyền truy cập được thực hiện thế nào?
• Khi ký hợp đồng với nhà cung cấp mới, bộ phận pháp chế có rà soát dữ liệu cá nhân không?
• Khi thay đổi hệ thống, có hoạt động đánh giá nghĩa vụ cập nhật hồ sơ không?

Nội dung kiểm tra được thực hiện dựa trên bằng chứng và mẫu được lựa chọn phù hợp với phạm vi dự án.

3.4. Đánh giá rủi ro và phân loại vấn đề

Những vấn đề được phát hiện có thể được phân loại thành:

Nhóm cần ưu tiên xử lý: Các vấn đề có khả năng gây ảnh hưởng đáng kể đến việc thực hiện nghĩa vụ pháp lý hoặc quyền, lợi ích của chủ thể dữ liệu.

Nhóm cần khắc phục theo kế hoạch: Những thiếu sót trong chính sách, hợp đồng, tài liệu hoặc quy trình đang áp dụng.

Nhóm cần cải thiện: Các hoạt động giúp nâng cao hiệu quả quản trị và phòng ngừa rủi ro, dù không nhất thiết là một vi phạm đã xảy ra.

Tiêu chí phân loại được xác định trong phương pháp đánh giá của dự án.

3.5. Xây dựng kế hoạch khắc phục

Justix đề xuất:

• Hạng mục cần sửa đổi hoặc bổ sung.
• Căn cứ pháp lý và lý do cần thực hiện.
• Bộ phận được đề xuất phụ trách.
• Mức độ ưu tiên.
• Thời hạn thực hiện dự kiến.
• Bằng chứng cần lưu giữ khi hoàn thành.

3.6. Kiểm tra lại kết quả khắc phục

Khi được thỏa thuận, Justix thực hiện một đợt kiểm tra tiếp theo để đánh giá những vấn đề đã được doanh nghiệp xử lý và các nội dung vẫn còn tồn đọng.

4. Thời gian và chi phí thực hiện

Doanh nghiệp có thể lựa chọn kiểm tra sáu tháng một lần, hằng năm hoặc theo sự kiện như thay đổi hệ thống, mở rộng hoạt động, phát sinh sự cố.

Chu kỳ kiểm tra do doanh nghiệp lựa chọn không thay thế những thời hạn pháp định riêng. Một số hoạt động, chẳng hạn xử lý dữ liệu cá nhân trong hệ thống AI, công nghệ chuỗi khối hoặc cung cấp dịch vụ điện toán đám mây, có yêu cầu đánh giá tuân thủ định kỳ theo quy định áp dụng.

Chi phí phụ thuộc vào số lượng tài liệu, hệ thống, phòng ban, địa điểm, mẫu kiểm tra và mức độ phức tạp của hoạt động xử lý.

5. Những vấn đề khách hàng thường gặp

Đã có đầy đủ chính sách nhưng không biết nhân viên có thực hiện hay không.

Justix giúp đối chiếu tài liệu với bằng chứng vận hành và phỏng vấn những đầu mối có trách nhiệm.

Hồ sơ đánh giá tác động được lập từ trước nhưng doanh nghiệp đã thay đổi phần mềm.

Justix kiểm tra sự thay đổi và xác định những nội dung cần cập nhật theo pháp luật.

Doanh nghiệp chuẩn bị tiếp nhận dự án của tập đoàn nước ngoài.

Khách hàng cần có báo cáo cho thấy hoạt động xử lý dữ liệu được quản lý và các vấn đề còn tồn đọng đã được xác định.

Ban lãnh đạo chưa biết nên chi tiền cho việc khắc phục nào trước.

Báo cáo của Justix giúp phân loại vấn đề và đề xuất thứ tự ưu tiên dựa trên căn cứ pháp lý cùng mức độ ảnh hưởng.

Doanh nghiệp vừa trải qua một sự cố dữ liệu.

Justix hỗ trợ rà soát các vấn đề pháp lý và quản trị còn tồn tại sau sự cố, đồng thời đánh giá kết quả khắc phục theo phạm vi công việc.

6. Năng lực của Justix trong dịch vụ

Justix có nền tảng tư vấn về hợp đồng, pháp chế doanh nghiệp và bảo vệ dữ liệu cá nhân.

Trong hoạt động tư vấn cho doanh nghiệp, việc rà soát tài liệu, xác định trách nhiệm pháp lý và xây dựng phương án khắc phục là những công việc có sự liên hệ trực tiếp với phương pháp đánh giá tuân thủ.

Justix cũng có sự tham gia cố vấn về công nghệ thông tin và quản trị dữ liệu, hỗ trợ làm rõ những vấn đề về hệ thống khi cần thiết.

Phương pháp tư vấn được định hướng theo ba nguyên tắc:

• Kết luận phải có căn cứ pháp lý và bằng chứng phù hợp.
• Vấn đề phát hiện phải đi kèm kiến nghị có khả năng thực hiện.
• Phải phân biệt trách nhiệm tư vấn pháp lý với hoạt động kiểm thử, chứng nhận hoặc đánh giá kỹ thuật chuyên sâu.

Đối với các yêu cầu kiểm toán theo tiêu chuẩn quốc tế hoặc cấp chứng nhận, doanh nghiệp cần lựa chọn tổ chức có năng lực và thẩm quyền phù hợp. Justix có thể tư vấn về nghĩa vụ pháp lý trong phạm vi thỏa thuận.

7. Cam kết của Justix

• Xác định trước phạm vi, phương pháp và tiêu chí đánh giá.
• Đánh giá dựa trên tài liệu và bằng chứng được cung cấp, xác minh.
• Không kết luận một nội dung đã tuân thủ nếu chưa có đủ cơ sở.
• Bảo mật thông tin, kết quả kiểm tra và tài liệu khách hàng.
• Chỉ rõ giới hạn của những công việc chưa được kiểm tra.
• Đề xuất giải pháp khắc phục có thứ tự ưu tiên.
• Bàn giao báo cáo và tài liệu theo danh mục thống nhất.
• Không sử dụng báo cáo tư vấn để tuyên bố doanh nghiệp được cơ quan có thẩm quyền chứng nhận tuân thủ.

8. Liên hệ đánh giá tuân thủ bảo vệ dữ liệu cá nhân

Doanh nghiệp có thể cung cấp mô tả quy mô hoạt động, những hệ thống dữ liệu chính và thời điểm đánh giá mong muốn.

Justix sẽ đề xuất phạm vi kiểm tra, danh mục tài liệu, sản phẩm bàn giao và chi phí tương ứng.

Công ty Luật TNHH Justix

Điện thoại: 0372 717 888
Email: legal@justix.vn