Ngày 29 tháng 6 năm 2026, Bộ trưởng Bộ Công an ban hành Thông tư số 117/2026/TT-BCA quy định chi tiết quy trình thu thập, cập nhật, điều chỉnh, tra cứu, khai thác, sử dụng, kết nối, chia sẻ, kiểm tra, phúc tra, giám sát và bảo đảm an ninh mạng, bảo vệ dữ liệu đối với thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 7 năm 2026.
Theo đó, tại Điều 19 Thông tư số 117/2026/TT-BCA quy định về yêu cầu về bảo mật, bảo đảm an ninh mạng đối với Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước như sau:
1. Việc bảo mật, bảo đảm an ninh mạng trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước phải tuân thủ quy định của Luật Căn cước, pháp luật về an ninh mạng, bảo vệ dữ liệu và các quy định khác của pháp luật có liên quan.
2. Thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước được quản lý thống nhất, tập trung; chỉ được truy cập, tra cứu, khai thác, sử dụng bởi cơ quan, đơn vị, cá nhân có thẩm quyền và phục vụ đúng mục đích theo quy định của pháp luật.
3. Việc truy cập, tra cứu, khai thác, sử dụng, kết nối, chia sẻ thông tin phải bảo đảm đúng phạm vi, đúng nội dung thông tin được phép; không được tự ý mở rộng phạm vi, kết hợp, tổng hợp thông tin ngoài mục đích được cấp có thẩm quyền cho phép.
4. Hoạt động bảo mật, bảo đảm an ninh mạng phải được thực hiện xuyên suốt trong toàn bộ quá trình thu thập, cập nhật, điều chỉnh, kết nối, chia sẻ, tra cứu, khai thác và sử dụng thông tin trong Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước.
5. Việc bảo mật, bảo đảm an ninh mạng phải gắn với trách nhiệm cụ thể của cơ quan, đơn vị, cá nhân được giao quản lý, vận hành, khai thác, sử dụng thông tin; bảo đảm phân công, phân cấp rõ ràng và kiểm soát được trách nhiệm trong từng khâu thực hiện.
6. Mọi hoạt động truy cập, tra cứu, khai thác, sử dụng, kết nối, chia sẻ thông tin phải được kiểm soát, giám sát và ghi nhận, lưu vết đầy đủ theo quy định để phục vụ công tác quản lý, kiểm tra, giám sát và xử lý vi phạm khi cần thiết. Không tổ chức kết nối, chia sẻ, tra cứu, khai thác, sử dụng thông tin trong trường hợp không bảo đảm yêu cầu về bảo mật, an ninh mạng theo quy định của pháp luật và Thông tư này.
Bên cạnh đó, tại Thông tư số 117/2026/TT-BCA quy định trách nhiệm, quy trình bảo đảm an ninh mạng hệ thống thông tin và bảo vệ dữ liệu như sau:
1. Đánh giá, xác định yêu cầu bảo đảm an ninh mạng
Cơ quan, đơn vị được giao quản lý, vận hành hệ thống thông tin kết nối, chia sẻ với Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước có trách nhiệm:
- Rà soát, xác định phạm vi hệ thống thông tin, dữ liệu cá nhân được xử lý;
- Xác định mức độ yêu cầu bảo mật, an ninh mạng đối với từng hệ thống, từng loại dữ liệu;
- Xác định trách nhiệm của từng bộ phận, cá nhân trong việc bảo đảm an ninh mạng và bảo vệ dữ liệu.
2. Tổ chức triển khai biện pháp bảo đảm an ninh mạng hệ thống thông tin
- Tổ chức triển khai các biện pháp quản lý, kỹ thuật cần thiết để bảo đảm an ninh, an toàn hệ thống thông tin theo quy định của pháp luật;
- Thực hiện phân quyền truy cập, quản lý tài khoản khai thác thông tin theo chức năng, nhiệm vụ, vị trí công tác;
- Kiểm soát hoạt động truy cập, khai thác, xử lý dữ liệu cá nhân trong hệ thống thông tin.
3. Bảo vệ dữ liệu trong quá trình xử lý thông tin
- Chỉ khai thác, sử dụng, xử lý dữ liệu cá nhân đúng mục đích, đúng phạm vi được phép;
- Không cung cấp, tiết lộ, chia sẻ dữ liệu cá nhân cho tổ chức, cá nhân không có thẩm quyền;
- Thực hiện các biện pháp phòng ngừa nguy cơ lộ, lọt, mất dữ liệu cá nhân.
4. Giám sát, phát hiện và xử lý sự cố an ninh mạng
- Cơ quan, đơn vị có trách nhiệm tổ chức giám sát thường xuyên hoạt động của hệ thống thông tin; kịp thời phát hiện dấu hiệu mất an ninh mạng hoặc vi phạm quy định về bảo vệ dữ liệu;
- Khi phát hiện sự cố, phải áp dụng ngay biện pháp khắc phục, hạn chế thiệt hại; báo cáo cơ quan có thẩm quyền theo quy định; phối hợp kiểm tra, xác minh, xử lý sự cố theo quy định của pháp luật.
Ngoài ra, tại Thông tư số 117/2026/TT-BCA cũng quy định về quản lý, giám sát và xử lý vi phạm về bảo mật, an ninh mạng như sau:
1. Cục Cảnh sát quản lý hành chính về trật tự xã hội chủ trì phối hợp với Cục Công nghệ thông tin và các đơn vị liên quan tham mưu tổ chức quản lý, kiểm tra, giám sát việc bảo mật, bảo đảm an ninh mạng trong quản lý, vận hành, kết nối, chia sẻ, khai thác, sử dụng Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước.
2. Định kỳ hoặc khi có yêu cầu, cơ quan, đơn vị tự tổ chức kiểm tra, đánh giá việc thực hiện các biện pháp bảo đảm an ninh, an toàn hệ thống thông tin và bảo vệ dữ liệu; kịp thời cập nhật, điều chỉnh, áp dụng biện pháp cần thiết nhằm nâng cao hiệu quả bảo vệ dữ liệu và an toàn hệ thống.
3. Cơ quan, đơn vị, cá nhân khi phát hiện nguy cơ hoặc sự cố mất an ninh mạng phải kịp thời áp dụng biện pháp khắc phục, hạn chế thiệt hại và báo cáo cơ quan có thẩm quyền theo quy định.
4. Cơ quan, đơn vị, cá nhân vi phạm quy định về bảo mật, an ninh mạng thì tùy theo tính chất, mức độ vi phạm bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự theo quy định của pháp luật.
5. Chậm nhất trong 07 ngày, kể từ ngày có báo cáo kết quả kiểm tra đánh giá về an ninh mạng đối với hệ thống thông tin cấp độ 3, cơ quan, đơn vị có hệ thống kết nối tới hệ thống Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước phải gửi thông báo về Cơ quan quản lý căn cước của Bộ Công an./.
Tác giả: Thuý Vi
