Trung Quốc áp dụng quy định đánh giá rủi ro dữ liệu: doanh nghiệp xử lý dữ liệu quan trọng phải đánh giá và báo cáo hằng năm

Biện pháp đánh giá rủi ro an toàn dữ liệu mạng của Trung Quốc có hiệu lực từ ngày 20/8. Doanh nghiệp xử lý dữ liệu quan trọng phải đánh giá rủi ro mỗi năm và nộp báo cáo cho cơ quan chủ quản trong vòng 20 ngày làm việc sau khi hoàn thành. Nghĩa vụ đánh giá vốn chỉ mang tính nguyên tắc trong các luật cấp trên nay đã có chu kỳ và thủ tục cụ thể.

Bài · Ban biên tập Focus Business Magazine

Đây là Lệnh số 24 do Văn phòng Thông tin Internet Quốc gia (CAC) cùng Bộ Công nghiệp và Công nghệ thông tin và Bộ Công an ban hành ngày 18/6. Quy định dựa trên Luật An ninh dữ liệu, Luật An ninh mạng và Điều lệ quản lý an ninh dữ liệu mạng có hiệu lực từ năm 2025.

Ai phải đánh giá và bao lâu một lần

Nghĩa vụ nặng hơn thuộc về bên xử lý dữ liệu quan trọng: phải đánh giá mỗi năm một lần, và khi tình trạng an toàn của dữ liệu quan trọng thay đổi lớn thì phải đánh giá lại ngay phần thay đổi. Doanh nghiệp chỉ xử lý dữ liệu thông thường không bắt buộc, nhưng được khuyến khích đánh giá ít nhất 3 năm một lần.

Doanh nghiệp có thể tự đánh giá hoặc thuê tổ chức đánh giá bên thứ ba. Nếu tự làm phải chỉ định người phụ trách; nếu thuê ngoài phải xác định quyền và nghĩa vụ hai bên bằng hợp đồng hoặc văn bản tương đương.

Nộp trong 20 ngày làm việc, lưu 3 năm

Sau khi hoàn thành đánh giá năm, bên xử lý dữ liệu quan trọng phải nộp báo cáo cho cơ quan chủ quản trong 20 ngày làm việc. Nếu không rõ cơ quan chủ quản, nộp cho cơ quan quản lý không gian mạng cấp tỉnh hoặc trung ương. Báo cáo phải được lưu ít nhất 3 năm.

Cơ quan chức năng có thể kiểm tra, xác minh tính trung thực của báo cáo. Khi rủi ro lớn, hoặc xảy ra sự cố rò rỉ dữ liệu quan trọng hay lượng lớn thông tin cá nhân, họ có thể yêu cầu đánh giá lại bởi tổ chức đã được chứng nhận. Khi đó doanh nghiệp phải nộp báo cáo khắc phục trong 15 ngày làm việc sau khi sửa xong các vấn đề.

Không khắc phục có thể bị dừng xử lý

Nếu doanh nghiệp từ chối khắc phục hoặc không đạt yêu cầu, cơ quan chức năng có thể áp dụng biện pháp như yêu cầu ngừng xử lý dữ liệu quan trọng. Doanh nghiệp không thực hiện đánh giá sẽ bị xử lý theo Luật An ninh dữ liệu và các quy định liên quan. Ngược lại, cơ quan chức năng không được thu phí khi kiểm tra.

Tổ chức đánh giá cũng bị ràng buộc: không được giao lại cho bên khác, và cùng một tổ chức cùng các bên liên kết không được đánh giá năm cho một doanh nghiệp quá 3 lần liên tiếp.

Điểm kiểm tra kinh doanh

Trước hết cần xác định công ty mình có phải là bên xử lý dữ liệu quan trọng hay không. Phạm vi dữ liệu quan trọng theo danh mục và thông báo của cơ quan chủ quản từng địa phương, từng ngành, nên xem trực tiếp thông báo của cơ quan nơi đặt trụ sở là chính xác nhất. Doanh nghiệp sản xuất, phân phối xử lý nhiều dữ liệu sản xuất, logistics và khách hàng càng cần chú ý.

Nếu thuộc diện áp dụng, nên lập danh mục dữ liệu, chỉ định người phụ trách và xác nhận kênh nộp báo cáo từ trước để kịp thời hạn 20 ngày làm việc. Doanh nghiệp đã dùng một tổ chức đánh giá lâu năm cũng cần tính đến giới hạn 3 lần liên tiếp. Phạm vi áp dụng khác nhau tùy doanh nghiệp, vì vậy nên nhờ chuyên gia pháp lý tại chỗ xác nhận.

※ Bài viết dựa trên toàn văn Biện pháp đánh giá rủi ro an toàn dữ liệu mạng do Văn phòng Thông tin Internet Quốc gia Trung Quốc công bố.