Chuyên Viên Bảo Vệ Dữ Liệu Cá Nhân

1. Mục tiêu vị trí 

Thực hiện các hoạt động bảo vệ dữ liệu cá nhân trong phạm vi SSI, bảo đảm việc thu thập, sử dụng, lưu trữ, chia sẻ, chuyển giao và xóa/hủy dữ liệu cá nhân được nhận diện, đánh giá rủi ro và kiểm soát theo quy định pháp luật, quy định nội bộ và mục đích xử lý đã được phê duyệt. 

Tư vấn và phối hợp với Luật & Kiểm soát tuân thủ, An ninh thông tin, Công nghệ thông tin, Chủ sở hữu dữ liệu, Chủ sở hữu hệ thống và các đơn vị nghiệp vụ để áp dụng Privacy by Design, Privacy by Default và Data Minimization vào quy trình, dự án và hệ thống. 

Vị trí tập trung vào thực thi, phân tích, giám sát và lưu bằng chứng; không thay thế thẩm quyền pháp lý, thẩm quyền phê duyệt nghiệp vụ hoặc trách nhiệm của Chủ sở hữu dữ liệu. 

2. Trách nhiệm chính 

A. Chính sách, quy trình và kiểm soát bảo vệ dữ liệu cá nhân 

• Tham gia xây dựng, cập nhật và triển khai chính sách, quy định, quy trình, hướng dẫn, checklist và biểu mẫu. 

• Theo dõi thay đổi yêu cầu pháp luật và nội bộ; hỗ trợ phân tích khoảng cách và đề xuất cập nhật kiểm soát. 

• Duy trì danh mục nghĩa vụ, đầu việc, bằng chứng và tình trạng khắc phục trong phạm vi được phân công. 

B. Đánh giá tác động và quản lý hồ sơ 

• Thu thập thông tin, phân tích data flow, xác định mục đích, loại dữ liệu, chủ thể dữ liệu, bên tham gia và hệ thống liên quan. 

• Lập, rà soát và cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; phối hợp lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi phát sinh. 

• Đề xuất biện pháp giảm thiểu, theo dõi điều kiện phê duyệt, hành động khắc phục, phiên bản và bằng chứng. 

C. Privacy by Design cho dự án, hệ thống và AI 

• Tham gia rà soát dự án, sản phẩm, quy trình, hệ thống, Data Platform, phân tích dữ liệu và AI có xử lý dữ liệu cá nhân. 

• Đánh giá sự phù hợp của mục đích, phạm vi thu thập, thời hạn lưu trữ, chia sẻ, truy cập và sử dụng thứ cấp. 

• Phối hợp đề xuất phân loại, masking, pseudonymization, de-identification, anonymization, mã hóa, phân quyền, logging và monitoring. 

• Ghi nhận kết quả privacy review, điều kiện triển khai, rủi ro tồn dư và trường hợp cần trình ngoại lệ. 

D. Quyền của chủ thể dữ liệu và vòng đời dữ liệu 

• Tiếp nhận, xác minh, phân loại, điều phối và theo dõi yêu cầu thực hiện quyền của chủ thể dữ liệu. 

• Phối hợp xử lý yêu cầu truy cập, chỉnh sửa, cung cấp, xóa, hạn chế hoặc phản đối xử lý và rút lại sự đồng ý theo quy định áp dụng. 

• Theo dõi thời hạn, chất lượng phản hồi, bằng chứng hoàn thành, lịch lưu trữ và yêu cầu xóa/hủy dữ liệu. 

E. Bên thứ ba và chuyển giao dữ liệu 

• Thực hiện đánh giá rủi ro đối với nhà cung cấp, đối tác, bên xử lý, bên thứ ba và dịch vụ cloud có liên quan. 

• Phối hợp rà soát điều khoản bảo vệ dữ liệu, bảo mật, thông báo sự cố, xóa/trả dữ liệu và quyền kiểm tra. 

• Duy trì danh mục bên liên quan, luồng chia sẻ/chuyển giao, kết quả đánh giá và hành động khắc phục. 

F. Giám sát tuân thủ, sự cố và báo cáo 

• Thực hiện đánh giá định kỳ hoặc theo chuyên đề; ghi nhận phát hiện, mức độ rủi ro, chủ sở hữu và thời hạn khắc phục. 

• Phối hợp xử lý dấu hiệu vi phạm hoặc sự cố dữ liệu cá nhân; hỗ trợ xác định phạm vi, loại dữ liệu, chủ thể bị ảnh hưởng và biện pháp giảm thiểu. 

• Chuẩn bị hồ sơ, bằng chứng và báo cáo phục vụ quản lý, kiểm tra, kiểm toán hoặc cơ quan có thẩm quyền theo phân công. 

• Theo dõi KPI/KRI và đề xuất cải tiến hoạt động bảo vệ dữ liệu cá nhân. 

G. Đào tạo và tư vấn 

• Soạn tài liệu đào tạo, FAQ, tình huống mẫu và hướng dẫn thực hành theo vai trò. 

• Hỗ trợ đào tạo, truyền thông và tư vấn cho đơn vị nghiệp vụ, dự án và kỹ thuật. 

• Hướng dẫn đơn vị chuẩn bị data flow, hồ sơ, bằng chứng và kế hoạch khắc phục. 

3. Sản phẩm đầu ra chính 

• Chính sách, quy định, quy trình, hướng dẫn, checklist và biểu mẫu. 

• Danh mục hoạt động xử lý dữ liệu cá nhân và bản đồ luồng dữ liệu. 

• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới. 

• Báo cáo Privacy Review cho dự án, hệ thống, Data Platform và AI. 

• Sổ theo dõi yêu cầu của chủ thể dữ liệu; danh mục lưu trữ và xóa/hủy. 

• Hồ sơ đánh giá bên thứ ba, luồng chia sẻ/chuyển giao và hành động khắc phục. 

• Hồ sơ sự cố, báo cáo tuân thủ, dashboard KPI/KRI và tài liệu đào tạo.