Quy chế bảo vệ dữ liệu cá nhân

CHƯƠNG I
QUY ĐỊNH CHUNG

Điều 1: Phạm vi điều chỉnh và đối tượng áp dụng

Quy chế bảo vệ dữ liệu cá nhân của Công ty Cổ phần Công nghệ và Dịch vụ Mobile-ID (viết tắt: Mobile-ID) quy định về việc bảo vệ dữ liệu cá nhân, trách nhiệm bảo vệ dữ liệu cá nhân của Mobile-ID và các tổ chức, cá nhân có liên quan.

Quy chế này áp dụng đối với:

Các Phòng/Ban/Bộ phận thuộc Công ty.
Toàn thể nhân viên trong Công ty.
Các đối tác, đơn vị cung cấp dịch vụ và tổ chức, cá nhân khác có liên quan tới Mobile-ID và hoạt động xử lý dữ liệu cá nhân.

Điều 2: Giải thích từ ngữ

Trừ trường hợp các điều khoản hoặc ngữ cảnh của điều khoản quy định khác, trong phạm vi Quy chế này, các từ ngữ, định nghĩa, từ viết tắt được hiểu như sau:

Mobile-ID là Công ty Cổ phần Công nghệ và Dịch vụ Mobile-ID.
Luật 91/2025 là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 do Quốc hội thông qua ngày 26/06/2025, có hiệu lực thi hành từ ngày 01/01/2026.
Nghị định 356/2025 là Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực thi hành từ ngày 01/01/2026. Theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP, Nghị định số 13/2023/NĐ-CP hết hiệu lực kể từ ngày 01/01/2026.
Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm theo Luật 91/2025 và Nghị định 356/2025.
Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành. Danh mục hiện hành được quy định tại Điều 3 Nghị định 356/2025/NĐ-CP hoặc văn bản sửa đổi, bổ sung, thay thế tại từng thời kỳ.
Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành. Danh mục hiện hành được quy định tại Điều 4 Nghị định 356/2025/NĐ-CP hoặc văn bản sửa đổi, bổ sung, thay thế tại từng thời kỳ.
Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh.
Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.
Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
Bên Xử lý dữ liệu cá nhân hoặc Bên Xử lý là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
Bên Kiểm soát và Xử lý dữ liệu cá nhân hoặc Bên Kiểm soát và Xử lý là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
Bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.
Khách hàng là bên mua các sản phẩm, dịch vụ do Mobile-ID cung cấp. Khách hàng gồm khách hàng cá nhân và khách hàng tổ chức.
Khách hàng cá nhân là cá nhân đóng vai trò bên mua các sản phẩm, dịch vụ do Mobile-ID cung cấp.
Khách hàng tổ chức là tổ chức đóng vai trò bên mua các sản phẩm, dịch vụ do Mobile-ID cung cấp.

Các từ ngữ hoặc định nghĩa không được giải thích trong Quy chế này được hiểu theo Điều 2 Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và các quy định pháp luật có liên quan đang có hiệu lực.

Trong Quy chế này, các dẫn chiếu, tham chiếu tới quy định và/hoặc văn bản khác sẽ bao gồm cả những văn bản hướng dẫn, sửa đổi, bổ sung của văn bản được dẫn chiếu.

Điều 3: Nguyên tắc bảo vệ dữ liệu cá nhân

Dữ liệu cá nhân được bảo vệ và xử lý theo các nguyên tắc tại Điều 3 Luật 91/2025/QH15, bao gồm: tuân thủ Hiến pháp và pháp luật; chỉ thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng và hợp pháp; bảo đảm tính chính xác, cập nhật và thời gian lưu trữ phù hợp; áp dụng đồng bộ biện pháp về thể chế, kỹ thuật và con người; chủ động phòng ngừa, phát hiện, ngăn chặn và xử lý vi phạm; đồng thời bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với lợi ích quốc gia, dân tộc và quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Khi tham gia xử lý dữ liệu cá nhân với vai trò Bên Kiểm soát hoặc Bên Kiểm soát và Xử lý, Mobile-ID có trách nhiệm tuân thủ, tổ chức thực hiện và chứng minh việc tuân thủ các nguyên tắc bảo vệ dữ liệu cá nhân, các trách nhiệm của từng vai trò theo Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Quy chế này.

Khi Mobile-ID chỉ định Bên Xử lý dữ liệu cá nhân, việc xử lý phải được ràng buộc bằng hợp đồng/thỏa thuận phù hợp pháp luật. Bên Xử lý chỉ xử lý dữ liệu theo phạm vi, mục đích và yêu cầu hợp pháp đã được xác lập, đồng thời phải áp dụng đầy đủ các biện pháp bảo vệ dữ liệu cá nhân và chứng minh việc tuân thủ theo yêu cầu.

Tổ chức, cá nhân có quan hệ hợp tác với Mobile-ID và tham gia xử lý dữ liệu cá nhân, bao gồm Bên thứ ba, phải tuân thủ các nguyên tắc bảo vệ dữ liệu cá nhân theo Điều 3 Luật 91/2025/QH15 và các nghĩa vụ tương ứng. Mobile-ID thực hiện ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân trong hợp đồng, thỏa thuận hoặc văn bản hợp tác có liên quan.

Điều 4: Xử lý vi phạm quy định bảo vệ dữ liệu cá nhân

Toàn bộ nhân viên (bao gồm nhân viên làm việc bán thời gian), thực tập sinh vi phạm quy định về bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ vi phạm sẽ bị áp dụng các hình thức xử lý sau:

Xử lý kỷ luật lao động theo quy định tại Nội quy lao động.
Chịu trách nhiệm vật chất theo quy định pháp luật lao động.
Bồi thường thiệt hại trực tiếp cho bên bị vi phạm.
Các hình thức xử lý của cơ quan có thẩm quyền theo quy định pháp luật.

Cá nhân, tổ chức ngoài Mobile-ID có vi phạm quy định về bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ vi phạm sẽ bị áp dụng các hình thức xử lý sau:

Chấm dứt hợp tác (nếu có).
Bồi thường thiệt hại cho Mobile-ID và/hoặc cho bên bị vi phạm.
Các hình thức xử lý của cơ quan có thẩm quyền theo quy định pháp luật.

Các hình thức xử lý theo quy định tại khoản 1 Điều này có thể được áp dụng đồng thời.

CHƯƠNG II
QUY ĐỊNH XỬ LÝ DỮ LIỆU CÁ NHÂN CỦA MOBILE-ID

Điều 5: Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân

Bộ phận Bảo vệ dữ liệu cá nhân là bộ phận có chức năng bảo vệ dữ liệu cá nhân của Mobile-ID. Việc chỉ định Bộ phận và/hoặc nhân sự bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức, thể hiện rõ phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu khác theo khoản 1 Điều 13 Nghị định 356/2025/NĐ-CP.

Trưởng ban An toàn thông tin phụ trách lĩnh vực công nghệ thông tin và Trưởng Bộ phận Bảo vệ dữ liệu cá nhân phụ trách công tác bảo vệ dữ liệu cá nhân của Mobile-ID theo văn bản phân công/chỉ định của Công ty. Trong trường hợp cụ thể, Tổng Giám đốc có thể chỉ định nhân sự hoặc bộ phận khác nhưng phải bảo đảm đáp ứng đầy đủ điều kiện pháp luật.

Nhân sự bảo vệ dữ liệu cá nhân phải có trình độ từ cao đẳng trở lên, có ít nhất 02 năm kinh nghiệm công tác kể từ thời điểm tốt nghiệp liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ; và đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân. Trường hợp thành lập Bộ phận Bảo vệ dữ liệu cá nhân, tất cả nhân sự trong Bộ phận phải đáp ứng các điều kiện này.

Mobile-ID chịu trách nhiệm đánh giá, lựa chọn nhân sự bảo vệ dữ liệu cá nhân; ký thỏa thuận trách nhiệm bảo mật với nhân sự được chỉ định; đồng thời tổ chức đào tạo, bồi dưỡng kiến thức và kỹ năng bảo vệ dữ liệu cá nhân theo Điều 13 Nghị định 356/2025/NĐ-CP.

Bộ phận và/hoặc nhân sự bảo vệ dữ liệu cá nhân là đầu mối phối hợp, trao đổi thông tin với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an; thực hiện hoặc làm đầu mối thực hiện các thủ tục hành chính, báo cáo, thông báo, cung cấp hồ sơ theo quy định pháp luật. Trường hợp vượt phạm vi thẩm quyền, phải kịp thời báo cáo Tổng Giám đốc xem xét, quyết định hoặc ủy quyền xử lý.

Bộ phận và nhân sự bảo vệ dữ liệu cá nhân thực hiện đầy đủ nhiệm vụ theo Điều 14 Nghị định 356/2025/NĐ-CP, bao gồm tối thiểu: xây dựng chính sách, quy trình, quy định, biểu mẫu; triển khai quyền của chủ thể dữ liệu; đánh giá tuân thủ; lập/cập nhật hồ sơ đánh giá tác động; tiếp nhận và báo cáo vi phạm; tổ chức đào tạo định kỳ; triển khai biện pháp kỹ thuật, tiêu chuẩn, quy chuẩn và kế hoạch ứng cứu sự cố; nghiên cứu, đề xuất các quyết định liên quan đến bảo vệ dữ liệu cá nhân.

Điều 6: Các loại dữ liệu cá nhân được xử lý

Mobile-ID, trực tiếp hoặc thông qua Bên Xử lý dữ liệu cá nhân, thực hiện xử lý các loại dữ liệu cá nhân phù hợp với mục đích, phạm vi xử lý đã xác lập và theo danh mục tại Điều 3, Điều 4 Nghị định 356/2025/NĐ-CP, gồm:

Dữ liệu cá nhân cơ bản

Dữ liệu cá nhân cơ bản bao gồm:

Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có).
Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích.
Giới tính.
Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ.
Quốc tịch.
Hình ảnh của cá nhân.
Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe.
Tình trạng hôn nhân.
Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng).
Thông tin về tài khoản số của cá nhân.
Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại khoản 2 Điều này.

Dữ liệu cá nhân nhạy cảm

Dữ liệu cá nhân nhạy cảm bao gồm:

Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc.
Quan điểm về chính trị, tôn giáo, tín ngưỡng.
Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình.
Tình trạng sức khỏe.
Dữ liệu sinh trắc học, đặc điểm di truyền.
Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân.
Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật.
Vị trí của cá nhân được xác định qua dịch vụ định vị.
Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân.
Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác.
Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng.
Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

Trong quá trình xử lý dữ liệu cá nhân nhạy cảm, Mobile-ID phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật theo khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP; đồng thời áp dụng các biện pháp tăng cường phù hợp với tính chất, quy mô và rủi ro của hoạt động xử lý.

Đối tượng thu thập

Dữ liệu cá nhân thu thập về các chủ thể dữ liệu sau:

Khách hàng cá nhân.
Toàn thể nhân viên Mobile-ID.
Các đối tác, nhà thầu, đơn vị cung cấp dịch vụ, chuyên gia, tư vấn viên (bao gồm các đối tác cá nhân và các cá nhân thuộc đối tác tổ chức) trong lĩnh vực hoạt động của Mobile-ID.
Các chủ thể dữ liệu cá nhân trong phạm vi pháp luật cho phép trong từng trường hợp cụ thể.

Điều 7: Quyền và nghĩa vụ của chủ thể dữ liệu

Mobile-ID bảo đảm các quyền của chủ thể dữ liệu cá nhân theo Điều 4 Luật 91/2025/QH15 đối với dữ liệu cá nhân do Mobile-ID kiểm soát hoặc kiểm soát và xử lý, bao gồm:

Được biết về hoạt động xử lý dữ liệu cá nhân.
Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân.
Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân.
Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân.
Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định pháp luật.

Chủ thể dữ liệu cá nhân có nghĩa vụ: tự bảo vệ dữ liệu cá nhân của mình; tôn trọng, bảo vệ dữ liệu cá nhân của người khác; cung cấp đầy đủ, chính xác dữ liệu cá nhân theo quy định pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý; chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Mobile-ID xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để thực hiện quyền của chủ thể dữ liệu cá nhân theo Điều 5 Nghị định 356/2025/NĐ-CP. Khi nhận yêu cầu hợp lệ, Mobile-ID phải phản hồi trong thời hạn 02 ngày làm việc và thực hiện trong các thời hạn tương ứng do pháp luật quy định: 15 ngày đối với rút lại sự đồng ý/hạn chế/phản đối; 10 ngày đối với xem, chỉnh sửa/cung cấp; 20 ngày đối với xóa; 15 ngày đối với yêu cầu áp dụng biện pháp bảo vệ, cùng các thời hạn phối hợp với Bên Xử lý/Bên thứ ba và thời hạn gia hạn tối đa theo Điều 5 Nghị định 356/2025/NĐ-CP.

Đầu mối tiếp nhận, xác minh, theo dõi và giải quyết các yêu cầu về quyền của chủ thể dữ liệu cá nhân tại Mobile-ID là Bộ phận Bảo vệ dữ liệu cá nhân theo Điều 5 Quy chế này.

Điều 8: Thu thập và xử lý dữ liệu cá nhân

Mobile-ID thu thập và xử lý dữ liệu cá nhân, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, trong các trường hợp sau:

Thu thập thông qua khai báo, khởi tạo của chủ thể dữ liệu và ghi nhận của Mobile-ID trong quá trình đàm phán, giao kết và thực hiện hợp đồng, giao dịch.
Thu thập qua khai báo của khách hàng (bao gồm Khách hàng tổ chức hoặc khách hàng không trực tiếp là chủ thể dữ liệu) và ghi nhận của Mobile-ID trong quá trình yêu cầu sử dụng dịch vụ, đánh giá rủi ro, đàm phán, giao kết, thực hiện hợp đồng dịch vụ/mua bán, giải quyết yêu cầu bồi thường.
Thay mặt khách hàng thu thập từ các bên thứ ba (ví dụ: cơ sở y tế, trường học, …) trong phạm vi công việc được pháp luật quy định và/hoặc thỏa thuận hợp đồng mua bán/dịch vụ.
Thu thập dữ liệu do khách hàng cung cấp trong các trường hợp khác.
Thu thập thông qua môi trường mạng, bao gồm: các ứng dụng (app), website, hệ thống công nghệ thông tin mà Mobile-ID sở hữu và vận hành.
Nhận chuyển giao từ các cơ quan, tổ chức, cá nhân khác trong phạm vi pháp luật cho phép và/hoặc sự đồng ý của chủ thể dữ liệu.

Trong trường hợp việc thu thập và xử lý dữ liệu cá nhân theo khoản 1 Điều này được thực hiện thông qua cá nhân, tổ chức khác (ví dụ: các tổ chức phát hành chứng thư số (CA), khách hàng vãng lai sử dụng dịch vụ ký số thông qua các dịch vụ do Mobile-ID cung cấp), Mobile-ID phải bảo đảm rằng dữ liệu được thu thập theo đúng quy định pháp luật và Mobile-ID đóng vai trò Bên kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân.

Việc thu thập và xử lý dữ liệu cá nhân của Mobile-ID phải có căn cứ pháp lý phù hợp. Trường hợp dựa trên sự đồng ý, sự đồng ý phải đáp ứng Điều 9 Luật 91/2025/QH15 và Điều 6 Nghị định 356/2025/NĐ-CP: tự nguyện, rõ ràng, cụ thể, có thể kiểm chứng; xác định loại dữ liệu, mục đích xử lý, Bên Kiểm soát/Bên Kiểm soát và Xử lý, quyền và nghĩa vụ của chủ thể dữ liệu; tách biệt theo từng mục đích; không coi im lặng hoặc không phản hồi là đồng ý; không thiết lập mặc định đồng ý. Mobile-ID phải lưu trữ bằng chứng về sự đồng ý. Đối với dữ liệu cá nhân nhạy cảm, phải thông báo cho chủ thể dữ liệu biết dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. Các trường hợp xử lý không cần sự đồng ý chỉ áp dụng theo khoản 1 Điều 19 Luật 91/2025/QH15, gồm:

Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; hoặc bảo vệ quyền, lợi ích chính đáng của mình, của người khác, của Nhà nước, cơ quan, tổ chức một cách cần thiết trước hành vi xâm phạm. Các bên liên quan có trách nhiệm chứng minh trường hợp này.
Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật.
Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật.
Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật.
Trường hợp khác theo quy định của pháp luật.

Khi xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý, Mobile-ID phải thiết lập cơ chế giám sát theo khoản 2 Điều 19 Luật 91/2025/QH15, bao gồm: quy trình/quy định và phân định trách nhiệm; biện pháp bảo vệ dữ liệu phù hợp và đánh giá rủi ro thường xuyên; kiểm tra, đánh giá định kỳ việc tuân thủ; cơ chế tiếp nhận và xử lý phản ánh, kiến nghị.

Điều 9: Mục đích xử lý dữ liệu cá nhân

Mobile-ID chỉ xử lý dữ liệu cá nhân trong phạm vi cần thiết, phù hợp với mục đích cụ thể, rõ ràng, hợp pháp đã xác lập và căn cứ pháp lý tương ứng theo Luật 91/2025/QH15. Các mục đích xử lý gồm:

Để tổng hợp, đánh giá trước khi xác lập quan hệ, thỏa thuận, giao dịch, hợp đồng với Chủ thể dữ liệu và/hoặc các bên liên quan của Chủ thể dữ liệu.
Để thực hiện các quyền, nghĩa vụ của Khách hàng theo hợp đồng mua bán dịch vụ; các quyền, nghĩa vụ của Mobile-ID đối với Khách hàng theo hợp đồng mua bán dịch vụ hoặc đối với các bên thứ ba theo hợp đồng gia hạn, tái ký hợp đồng mua bán dịch vụ và/hoặc các thỏa thuận Khách hàng chấp thuận.
Để thực hiện quyền, nghĩa vụ của nhân viên và của Mobile-ID theo hợp đồng lao động.
Để thực hiện quyền, nghĩa vụ của Mobile-ID đối với cá nhân, công ty, doanh nghiệp, tổ chức theo hợp đồng mua bán dịch vụ.
Để thống kê, xây dựng cơ sở dữ liệu phục vụ đánh giá rủi ro, định phí, xây dựng biểu phí, phát triển sản phẩm phần mềm, áp dụng công nghệ, chính sách, chiến lược và các hoạt động nghiên cứu, ứng dụng. Chỉ xử lý dữ liệu trong phạm vi cần thiết, hợp pháp và ưu tiên sử dụng dữ liệu đã khử nhận dạng/ẩn danh khi mục đích không đòi hỏi nhận diện cá nhân.
Để chứng minh năng lực, kinh nghiệm, đội ngũ nhân sự và nguồn lực của Mobile-ID trước bên thứ ba trong phạm vi cần thiết, có căn cứ pháp lý phù hợp và hạn chế tối đa việc công khai dữ liệu cá nhân.
Để mô tả phạm vi, mức độ, tính chất công việc trong quá trình mời thầu, dự thầu hoặc yêu cầu cung cấp dịch vụ trước bên thứ ba trên cơ sở cần thiết, phù hợp mục đích và căn cứ pháp lý.
Để nâng cấp thông tin, xây dựng cơ sở dữ liệu và cải thiện hoạt động kinh doanh sản phẩm phần mềm, thiết bị công nghệ theo quy định pháp luật, bảo đảm không xử lý vượt quá phạm vi và mục đích đã xác lập.
Để tuân thủ và chứng minh việc tuân thủ của Mobile-ID đối với yêu cầu pháp luật có liên quan, bao gồm nhưng không giới hạn: pháp luật về giao dịch điện tử/chữ ký điện tử, thuế, phòng, chống rửa tiền, lưu trữ dữ liệu, giải quyết tranh chấp, tố tụng và yêu cầu của cơ quan nhà nước có thẩm quyền. Trường hợp phát sinh mục đích xử lý mới, Mobile-ID phải xác định căn cứ pháp lý phù hợp, thực hiện các nghĩa vụ thông báo/xin sự đồng ý (nếu áp dụng) và cập nhật hồ sơ đánh giá tác động theo quy định.

Điều 10: Tổ chức, cá nhân nhận dữ liệu cá nhân

Việc cung cấp, chia sẻ hoặc chuyển giao dữ liệu cá nhân của Mobile-ID chỉ được thực hiện khi thuộc một trong các trường hợp được pháp luật cho phép, đặc biệt theo Điều 15, Điều 17 và Điều 19 Luật 91/2025/QH15. Trong phạm vi cần thiết và có căn cứ pháp lý phù hợp, bên nhận dữ liệu có thể bao gồm:

Cơ quan nhà nước có thẩm quyền hoặc cơ quan chịu trách nhiệm quản lý nhà nước về dịch vụ tin cậy, giao dịch điện tử/chữ ký điện tử theo quy định pháp luật.
Đại diện hợp pháp của bên mua/sử dụng sản phẩm phần mềm ký số, thiết bị ký số hoặc sản phẩm, dịch vụ công nghệ khác của Mobile-ID.
Tổ chức, cá nhân trong nước cung cấp phần mềm, thiết bị, dịch vụ ký số và/hoặc dịch vụ liên quan theo hợp đồng hoặc thỏa thuận hợp pháp với Mobile-ID.
Tổ chức, cá nhân trong nước cung cấp dịch vụ xử lý dữ liệu cá nhân hoặc tham gia xử lý dữ liệu theo hợp đồng/thỏa thuận với Mobile-ID.
Cơ quan có thẩm quyền theo quy định pháp luật.
Tổ chức, cá nhân khác theo căn cứ pháp lý hợp lệ, đúng mục đích và phạm vi xử lý đã xác lập.

Đối với trường hợp chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật 91/2025/QH15, Mobile-ID phải xác lập thỏa thuận chuyển giao với bên nhận dữ liệu theo Điều 7 Nghị định 356/2025/NĐ-CP, tối thiểu xác định: mục đích; đối tượng chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa/hủy; cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu; trách nhiệm thực hiện quyền của chủ thể dữ liệu; cơ chế phối hợp, tuân thủ và xử lý vi phạm. Chuyển giao dữ liệu cá nhân nhạy cảm phải áp dụng biện pháp bảo mật vật lý, mã hóa, ẩn danh/khử nhận dạng phù hợp và biện pháp bảo mật cần thiết khác.

Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong Mobile-ID, Công ty phải có quy trình kiểm soát việc chia sẻ, sử dụng đúng mục đích và biện pháp phòng, chống nhân sự nội bộ chia sẻ trái phép dữ liệu cá nhân với bên thứ ba theo Điều 7 Nghị định 356/2025/NĐ-CP.

Trường hợp có hoạt động chuyển dữ liệu cá nhân xuyên biên giới, Mobile-ID phải xác định đúng trường hợp chuyển theo Điều 20 Luật 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP; lập, lưu giữ, nộp và cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 18, Điều 20 Nghị định 356/2025/NĐ-CP trong thời hạn luật định, trừ trường hợp được miễn theo quy định pháp luật.

Điều 11: Thời gian xử lý dữ liệu cá nhân, thời gian dự kiến để xóa, hủy dữ liệu cá nhân

Thời gian bắt đầu xử lý dữ liệu là thời điểm Mobile-ID bắt đầu tiếp nhận, thu thập hoặc thực hiện hoạt động xử lý dữ liệu cá nhân theo căn cứ pháp lý phù hợp.

Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý đã xác lập, yêu cầu hợp đồng và thời hạn lưu trữ theo quy định pháp luật. Mobile-ID phải định kỳ rà soát tính cần thiết của việc tiếp tục lưu trữ dữ liệu cá nhân.

Dữ liệu cá nhân được xóa, hủy trong các trường hợp theo Điều 14 Luật 91/2025/QH15, bao gồm:

Chủ thể dữ liệu cá nhân có yêu cầu hợp lệ và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình, trừ trường hợp pháp luật không cho phép xóa/hủy.
Đã hoàn thành mục đích xử lý dữ liệu cá nhân.
Hết thời hạn lưu trữ theo quy định của pháp luật.
Thực hiện theo quyết định của cơ quan nhà nước có thẩm quyền.
Thực hiện theo thỏa thuận.
Trường hợp khác theo quy định của pháp luật.

Việc xóa, hủy dữ liệu cá nhân phải được thực hiện bằng biện pháp an toàn, ngăn chặn việc xâm nhập và khôi phục trái phép dữ liệu đã bị xóa, hủy. Mobile-ID không được cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy. Trường hợp không thể thực hiện yêu cầu xóa/hủy vì căn cứ pháp lý chính đáng, phải thông báo cho chủ thể dữ liệu theo quy định.

Điều 12: Biện pháp bảo vệ dữ liệu cá nhân

Mobile-ID thực hiện việc bảo vệ dữ liệu cá nhân bằng các biện pháp sau:

Biện pháp quản lý

Toàn thể các đối tượng theo quy định tại khoản 2 Điều 1 Quy chế này có trách nhiệm tuân thủ và thực hiện theo đúng các quy định tại Quy chế bảo vệ dữ liệu cá nhân và các quy định pháp luật có liên quan.
Đảm bảo sự tuân thủ của toàn bộ Phòng/Ban/Bộ phận, toàn thể nhân viên đối với quy định về an toàn thông tin theo quy định pháp luật và/hoặc do Mobile-ID ban hành trong từng thời kỳ.
Phân công, phân quyền cụ thể cho Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân làm đầu mối thực hiện và chịu trách nhiệm chính cho công tác thực hiện các biện pháp quản lý nhằm bảo vệ dữ liệu cá nhân.
Hạn chế việc tiếp cận, xử lý dữ liệu cá nhân trong nội bộ Mobile-ID. Cụ thể, chỉ các nhân sự, bộ phận có thẩm quyền, chức năng và công việc liên quan tới việc xử lý dữ liệu cá nhân mới được cấp quyền để xử lý dữ liệu cá nhân do Mobile-ID là Bên kiểm soát hoặc Bên Kiểm soát và xử lý.
Chính sách bảo vệ dữ liệu cá nhân được Mobile-ID xây dựng dựa trên cơ sở Quy chế bảo vệ dữ liệu cá nhân, được công bố công khai và cập nhật trong từng thời kỳ.
Thiết lập và duy trì hồ sơ, nhật ký, bằng chứng tuân thủ cần thiết đối với hoạt động xử lý dữ liệu cá nhân; lập, lưu giữ, nộp và cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi thuộc trường hợp áp dụng theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Xây dựng quy trình tiếp nhận, phân loại, ứng cứu, ghi nhận và thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân; tổ chức đào tạo, diễn tập hoặc kiểm tra định kỳ phù hợp với rủi ro và phạm vi xử lý dữ liệu cá nhân.

Biện pháp kỹ thuật

Tách biệt về mặt máy chủ hệ thống xử lý dữ liệu cá nhân với các hệ thống ứng dụng kinh doanh của Mobile-ID (kinh doanh trực tiếp/kinh doanh qua môi trường mạng) để đảm bảo an toàn thông tin mạng, giảm thiểu rủi ro và tránh xung đột giữa các hệ thống.
Trang bị máy chủ chuyên dùng cho hệ thống xử lý dữ liệu cá nhân, không sử dụng máy tính cá nhân đóng vai trò máy chủ và không sử dụng chung với máy chủ của các đơn vị hoặc công ty khác. Trang thiết bị công nghệ thông tin chuyên dùng cho hệ thống xử lý dữ liệu cá nhân phải có dự phòng.
Hệ thống xử lý dữ liệu cá nhân đặt tại Data Center và tại đây phải có các giải pháp đảm bảo tránh truy cập và khai thác dữ liệu bất hợp pháp đạt tiêu chuẩn an toàn thông tin trong bộ ISO 27001 hoặc tương đương khác.
Trang thông tin điện tử, hệ thống thư điện tử của Mobile-ID phải được xác thực bằng chứng thư số.
Hệ thống xử lý dữ liệu cá nhân Mobile-ID phải được thiết lập để ngăn chặn việc truy cập bất hợp pháp và phải được phân quyền hệ thống giữa các bộ phận nghiệp vụ có tiềm ẩn xung đột lợi ích theo quy trình kiểm soát nội bộ.
Hệ thống phần mềm, ứng dụng, trang thiết bị xử lý dữ liệu cá nhân trước khi đưa vào khai thác, vận hành phải được rà soát, quét lỗ hổng bảo mật và có báo cáo đánh giá bằng biên bản. Môi trường vận hành hệ thống phần mềm phải tách biệt với môi trường kiểm thử, môi trường phát triển phần mềm. Định kỳ thực hiện đánh giá rủi ro an toàn thông tin mạng của hệ thống sáu (06) tháng một (01) lần.
Hệ thống xử lý dữ liệu cá nhân phải có các giải pháp kỹ thuật đảm bảo an toàn thông tin mạng và bảo mật dữ liệu hệ thống.
Dữ liệu cá nhân phải được bảo vệ bằng biện pháp mật mã phù hợp trong quá trình lưu trữ và truyền tải căn cứ tính chất, mức độ nhạy cảm và rủi ro. Đối với dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm theo phân quyền truy cập nghiêm ngặt theo khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP.
Trường hợp sử dụng dịch vụ điện toán đám mây có xử lý dữ liệu cá nhân, hợp đồng phải quy định tối thiểu về tuân thủ pháp luật Việt Nam, thông tin bộ phận/nhân sự bảo vệ dữ liệu cá nhân, luồng xử lý và vai trò các bên, yêu cầu bảo mật-kỹ thuật-tổ chức, thông báo thay đổi, thời hạn xử lý và xóa/hủy, thực hiện quyền của chủ thể dữ liệu và kiểm soát truy cập theo Điều 12 Nghị định 356/2025/NĐ-CP.
Trường hợp Mobile-ID áp dụng dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo hoặc công nghệ tương tự có xử lý dữ liệu cá nhân, các đơn vị liên quan phải thực hiện các yêu cầu bảo vệ dữ liệu tương ứng tại Điều 9, Điều 10, Điều 11 Nghị định 356/2025/NĐ-CP và quy định pháp luật có liên quan, trên nguyên tắc bảo vệ dữ liệu ngay từ thiết kế và trong suốt vòng đời xử lý.

Sự trao đổi thông tin với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân

Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân Mobile-ID theo quy định tại Điều 5 Quy chế này có trách nhiệm báo cáo, trao đổi thông tin với Cơ quan chuyên trách về bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an.

Trong trường hợp pháp luật yêu cầu Bên Kiểm soát, Bên Kiểm soát và xử lý dữ liệu cá nhân phải thực hiện các biện pháp khác để bảo vệ dữ liệu cá nhân thì Mobile-ID có trách nhiệm tuyệt đối tuân thủ.

Điều 13: Đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân xuyên biên giới và xử lý vi phạm

Đánh giá tác động xử lý dữ liệu cá nhân: Mobile-ID căn cứ vai trò thực tế là Bên Kiểm soát, Bên Kiểm soát và Xử lý hoặc Bên Xử lý để lập, lưu giữ, nộp và cập nhật hồ sơ theo Điều 21, Điều 22 Luật 91/2025/QH15 và Điều 19, Điều 20 Nghị định 356/2025/NĐ-CP, trừ trường hợp được miễn theo pháp luật. Hồ sơ phải được lập từ thời điểm bắt đầu xử lý, luôn sẵn có để phục vụ kiểm tra và có tối thiểu Báo cáo đánh giá tác động theo Mẫu số 10, hợp đồng/thỏa thuận xử lý dữ liệu và hệ thống chính sách, quy trình, quy định, biểu mẫu liên quan. Báo cáo phải phản ánh các bên/đầu mối bảo vệ dữ liệu; mục đích, loại dữ liệu, hoạt động và sơ đồ luồng; cơ chế đồng ý, lưu trữ, xóa/hủy; biện pháp an toàn, thiết kế hệ thống, tiêu chuẩn áp dụng; kết quả đánh giá tuân thủ; rủi ro, hậu quả và biện pháp giảm thiểu. Việc gửi hồ sơ thực hiện trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân đối với trường hợp pháp luật yêu cầu nộp hồ sơ.

Đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: khi phát sinh hoạt động thuộc Điều 20 Luật 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP, Mobile-ID phải lập, lưu giữ và gửi 01 bản chính hồ sơ đánh giá tác động cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển, trừ trường hợp được miễn. Thành phần, trình tự và thủ tục thực hiện theo Điều 18 Nghị định 356/2025/NĐ-CP. Hồ sơ phải luôn sẵn có để phục vụ kiểm tra, đánh giá biện pháp giảm thiểu hoặc loại bỏ hậu quả, thiệt hại.

Cập nhật hồ sơ: hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được cập nhật định kỳ 06 tháng kể từ lần đầu nộp khi phát sinh mục đích xử lý/chuyển mới hoặc phát sinh, thay đổi các bên tham gia xử lý. Các thay đổi về tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thông tin về tổ chức/cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân phải được cập nhật trong thời hạn 10 ngày. Việc cập nhật thực hiện theo Mẫu số 03a/03b và phương thức quy định tại Điều 20 Nghị định 356/2025/NĐ-CP.

Xử lý và thông báo vi phạm: khi phát hiện hành vi vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, Mobile-ID với vai trò thuộc diện phải thông báo thực hiện thông báo cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện theo Điều 23 Luật 91/2025/QH15; lập biên bản, ngăn chặn, khắc phục hậu quả và phối hợp xử lý. Nội dung và phương thức thông báo thực hiện theo Điều 28 Nghị định 356/2025/NĐ-CP, Mẫu số 08. Bên Xử lý phải thông báo kịp thời cho Bên Kiểm soát/Bên Kiểm soát và Xử lý khi phát hiện vi phạm. Đối với vi phạm liên quan dữ liệu vị trí hoặc dữ liệu sinh trắc học, phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ, báo cáo cơ quan có thẩm quyền và lưu hồ sơ vi phạm tối thiểu 05 năm kể từ ngày khắc phục xong sự cố theo Điều 29 Nghị định 356/2025/NĐ-CP.

Các hồ sơ đánh giá tác động đã được Cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiếp nhận theo Nghị định số 13/2023/NĐ-CP trước ngày 01/01/2026 tiếp tục được sử dụng theo quy định chuyển tiếp của Luật 91/2025/QH15. Việc cập nhật sau thời điểm Luật có hiệu lực thực hiện theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

CHƯƠNG III
TỔ CHỨC THỰC HIỆN

Điều 14: Trách nhiệm của Ban lãnh đạo

Cung cấp các nguồn lực và tạo điều kiện thuận lợi để Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân thực hiện nhiệm vụ được giao và chỉ đạo các Phòng ban/Bộ phận thực hiện phối hợp công tác với Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân theo quy định của Quy chế này.

Kịp thời xem xét, giải quyết các kiến nghị của Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân.

Điều 15: Trách nhiệm của Bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân

Thực hiện đầy đủ trách nhiệm theo quy định pháp luật, các nhiệm vụ tại Điều 14 Nghị định 356/2025/NĐ-CP và các nhiệm vụ được giao tại Quy chế này.

Phổ biến, hướng dẫn, tổ chức đào tạo và bồi dưỡng định kỳ các quy định pháp luật, quy định nội bộ và kỹ năng bảo vệ dữ liệu cá nhân cho các Phòng/Ban/Bộ phận, nhân viên và nhóm đối tượng có liên quan theo kế hoạch phù hợp với vai trò, mức độ rủi ro xử lý dữ liệu.

Theo dõi, đánh giá tuân thủ; kiến nghị Ban lãnh đạo điều chỉnh Quy chế, chính sách, quy trình, biểu mẫu và biện pháp bảo vệ dữ liệu cá nhân; báo cáo, đề xuất xử lý các vấn đề vượt thẩm quyền.

Điều 16: Trách nhiệm của các Phòng ban/Bộ phận và nhân viên

Các Phòng ban/Bộ phận và toàn thể nhân viên có trách nhiệm tuân thủ đúng quy định tại Quy chế này và quy định pháp luật.

Các Phòng ban/Bộ phận, toàn thể nhân viên có trách nhiệm và/hoặc phát sinh công việc liên quan tới việc xử lý dữ liệu cá nhân phải thực hiện công việc một cách nghiêm túc, trung thực, cẩn trọng và tuân thủ đúng các quy định liên quan.

Các Phòng ban/Bộ phận, toàn thể nhân viên phát sinh nhu cầu hoặc là đầu mối liên hệ với các đối tác, các tổ chức, cá nhân bên ngoài Mobile-ID đảm bảo đối tác, tổ chức, cá nhân đó tuân thủ đúng các nguyên tắc về bảo vệ dữ liệu cá nhân theo quy định Điều 3 Quy chế này.

Đối với các đối tác đã có quan hệ với Mobile-ID tại thời điểm có hiệu lực của Quy chế này thì đầu mối liên hệ với đối tác đó có trách nhiệm thông báo về hiệu lực của Nghị định 356/2025/NĐ-CP và Quy chế bảo vệ dữ liệu cá nhân của Mobile-ID, đồng thời đảm bảo việc tuân thủ của đối tác.

Điều 17: Hiệu lực thi hành

Quy chế Bảo vệ dữ liệu cá nhân của Mobile-ID có hiệu lực thi hành kể từ ngày 02/03/2026.

Chính sách bảo vệ dữ liệu cá nhân của Mobile-ID được xây dựng, ban hành kèm theo và là một phần không thể tách rời của Quy chế này, được công bố công khai và cập nhật trong từng thời kỳ trên trang thông tin điện tử của Mobile-ID.

Các nội dung liên quan đến bảo vệ dữ liệu cá nhân chưa được quy định tại Quy chế này hoặc có sự không thống nhất giữa Quy chế này với Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và quy định pháp luật có liên quan đang có hiệu lực thì áp dụng quy định pháp luật.