Điều 18 Nghị định số 165/2025/NĐ-CP: Quản lý nhân sự và đào tạo, bồi dưỡng nhân sự bảo vệ dữ liệu

Điều 18. Quản lý nhân sự và đào tạo, bồi dưỡng nhân sự bảo vệ dữ liệu

1. Chủ sở hữu dữ liệu, chủ quản dữ liệu cốt lõi, dữ liệu quan trọng phải xác định người chịu trách nhiệm về bảo vệ dữ liệu và bộ phận bảo vệ an toàn dữ liệu.

2. Người chịu trách nhiệm về bảo vệ dữ liệu có chức năng, nhiệm vụ quản lý, bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng bao gồm tổ chức xây dựng các kế hoạch bảo vệ an toàn dữ liệu quan trọng, tổ chức đánh giá rủi ro; thực hiện báo cáo trực tiếp về tình hình bảo vệ dữ liệu cho các cơ quan có thẩm quyền theo quy định; phải được đào tạo, bồi dưỡng kiến thức về bảo vệ dữ liệu.

3. Bộ phận bảo vệ an toàn dữ liệu có chức năng, nhiệm vụ như sau:

a) Phát triển, triển khai hệ thống quản lý bảo vệ dữ liệu, quy trình vận hành, kế hoạch ứng cứu khẩn cấp sự cố bảo vệ dữ liệu;

b) Định kỳ tổ chức và thực hiện các hoạt động như giám sát rủi ro an toàn dữ liệu, đánh giá rủi ro, diễn tập khẩn cấp, tuyên truyền, giáo dục, đào tạo, giải quyết kịp thời các rủi ro, sự cố an toàn dữ liệu mạng;

c) Nghiên cứu và đề xuất các quyết định liên quan đến bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng;

d) Tiếp nhận và xử lý các báo cáo về bảo vệ dữ liệu của đơn vị.

4. Chủ sở hữu dữ liệu, chủ quản dữ liệu cốt lõi, dữ liệu quan trọng phải thực hiện:

a) Làm rõ các yêu cầu quản lý an toàn trong tuyển dụng, sử dụng, đào tạo, giới thiệu, luân chuyển, từ chức, đánh giá và lựa chọn nhân sự;

b) Không bố trí những người có tiền án trong lĩnh vực công nghệ thông tin, mạng viễn thông làm người chịu trách nhiệm về bảo vệ dữ liệu;

c) Ký thỏa thuận trách nhiệm bảo mật với nhân viên xử lý dữ liệu.

5. Xây dựng kế hoạch và thực hiện đào tạo về bảo vệ dữ liệu hàng năm.

6. Người chịu trách nhiệm về bảo vệ dữ liệu được thỏa thuận với chủ sở hữu, chủ quản dữ liệu về các trường hợp miễn trừ trách nhiệm khi xảy ra thiệt hại đối với dữ liệu được bảo vệ.