Hướng dẫn về quản lý Dữ liệu Cá nhân theo GDPR

Tính hợp pháp của việc xử lý

Theo GDPR, cả dữ liệu cá nhân nhạy cảm và không nhạy cảm đều được bảo vệ. Tuy nhiên, các quy tắc và điều kiện xử lý dữ liệu nhạy cảm nghiêm ngặt hơn.

Điều 6 đề cập đến việc xử lý dữ liệu không nhạy cảm và nêu rõ rằng việc xử lý là hợp pháp nếu một trong sáu cơ sở hợp pháp để xử lý được áp dụng. 

Ngược lại, Điều 9 của GDPR quy định rằng việc xử lý dữ liệu nhạy cảm bị cấm theo quy định, nhưng có mười trường hợp ngoại lệ. 

Điều quan trọng cần lưu ý là cơ sở pháp lý trong Điều 6 không giống với các ngoại lệ trong Điều 9. Ví dụ, trong khi việc thực hiện hợp đồng hoặc lợi ích hợp pháp của bộ điều khiển là cơ sở pháp lý để xử lý dữ liệu cá nhân không nhạy cảm, thì chúng không được coi là ngoại lệ trong Điều 9. Điều tiếp theo là bộ điều khiển không được phép xử lý dữ liệu nhạy cảm trên cơ sở hợp đồng hoặc lợi ích hợp pháp. 

Các trường hợp ngoại lệ cho phép xử lý dữ liệu cá nhân nhạy cảm (tuân theo các yêu cầu bổ sung) là: 

• Sự đồng ý rõ ràng: Cá nhân đã đồng ý rõ ràng cho phép xử lý dữ liệu cá nhân nhạy cảm của mình cho các mục đích cụ thể, trừ trường hợp một quốc gia thành viên EU cấm sự đồng ý đó. Xem bên dưới để biết thêm thông tin về sự đồng ý rõ ràng. 
• Việc làm, an sinh xã hội hoặc bảo vệ xã hội: Việc xử lý dữ liệu nhạy cảm là cần thiết để thực hiện các nhiệm vụ theo luật việc làm, an sinh xã hội hoặc bảo vệ xã hội.
• Lợi ích quan trọng: Việc xử lý dữ liệu nhạy cảm là cần thiết để bảo vệ lợi ích của chủ thể dữ liệu hoặc nếu cá nhân đó không có năng lực đồng ý về mặt thể chất hoặc pháp lý. 
• Các tổ chức phi lợi nhuận: Các tổ chức từ thiện, hiệp hội hoặc phi lợi nhuận có mục đích chính trị, triết học, tôn giáo hoặc công đoàn có thể xử lý dữ liệu nhạy cảm của các thành viên hoặc những người mà họ thường xuyên liên lạc, liên quan đến mục đích của họ (và không được phép tiết lộ dữ liệu bên ngoài tổ chức, nếu không có sự đồng ý của chủ thể dữ liệu).
• Công khai: Trong một số trường hợp, việc xử lý dữ liệu nhạy cảm của chủ thể dữ liệu có thể được phép nếu cá nhân đó đã công khai và cho phép truy cập dữ liệu đó. 
• Khiếu nại pháp lý: Việc xử lý dữ liệu nhạy cảm là cần thiết để thiết lập, thực hiện hoặc bảo vệ các khiếu nại pháp lý, bao gồm các thủ tục pháp lý hoặc tại tòa án.
• Lợi ích công cộng: Việc xử lý là cần thiết vì những lý do quan trọng liên quan đến lợi ích công cộng, chẳng hạn như ngăn chặn các hành vi bất hợp pháp hoặc bảo vệ công chúng.
• Chăm sóc sức khỏe hoặc xã hội: Việc xử lý dữ liệu danh mục đặc biệt là cần thiết cho: y học phòng ngừa hoặc y học nghề nghiệp, cung cấp dịch vụ chăm sóc sức khỏe và xã hội, chẩn đoán y tế hoặc quản lý hệ thống chăm sóc sức khỏe.
• Y tế công cộng: Được phép xử lý dữ liệu nhạy cảm vì lý do sức khỏe cộng đồng, chẳng hạn như bảo vệ chống lại các mối đe dọa xuyên biên giới đối với sức khỏe hoặc đảm bảo an toàn cho các sản phẩm thuốc hoặc thiết bị y tế. 
• Lưu trữ, nghiên cứu và thống kê: Bạn có thể xử lý dữ liệu nhạy cảm nếu việc đó được thực hiện vì mục đích lưu trữ vì lợi ích công cộng, mục đích nghiên cứu khoa học hoặc lịch sử hoặc mục đích thống kê.

Ngoài ra, bạn phải tuân thủ mọi yêu cầu xử lý dữ liệu do GDPR đặt ra.

Quan trọng: Lưu ý rằng đối với bất kỳ dữ liệu nào được gửi đi mà bạn đang xử lý, bạn luôn cần xác định cơ sở hợp pháp theo Điều 6. Ngoài ra, nếu dữ liệu được gửi có chứa dữ liệu nhạy cảm, bạn phải tuân thủ Điều 9.