Dự Thảo Luật Bảo vệ dữ liệu cá nhân: Những gì bạn cần biết?

Dữ liệu cá nhân là gì? Sự cần thiết của Luật Bảo vệ Dữ liệu cá nhân

Chuyển đổi số, phát triển kinh tế số, xây dựng xã hội số là xu thế của thời đại. Việt Nam đang đẩy mạnh quá trình này để làm chủ cuộc Cách mạng công nghiệp lần thứ tư. Dữ liệu cá nhân là một trong những nguyên liệu chính để thực hiện chuyển đổi số, phát triển kinh tế số, xây dựng xã hội số.

Dữ liệu cá nhân (DLCN) được hiểu là thông tin được định dạng theo nhiều kiểu khác nhau, như chữ viết, chữ số, hình ảnh, âm thanh, v.v. Căn cứ theo quy định tại khoản 1 Điều 2 Nghị định số 13/2023/NĐ-CP, DLCN bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Tùy thuộc vào mức độ bảo mật của từng loại thông tin, sẽ có các quy định và biện pháp bảo vệ khác nhau đối với các cá nhân và tổ chức sử dụng thông tin đó với những mục đích khác nhau.

Đáng chú ý, trong hệ thống pháp luật Việt Nam hiện nay vẫn chưa có văn bản Luật nào chính thức quy định về cách sử dụng cũng như biện pháp bảo vệ cho các loại dữ liệu này, ngoài Nghị định số 13/2023/NĐ-CP ban hành ngày 17/4/2024 của Chính phủ.

Trên thực tế, tình trạng rò rỉ và mua bán DLCN diễn ra khá phổ biến trên không gian mạng. Nhiều tổ chức và doanh nghiệp thu thập DLCN vượt mức cần thiết, thiếu cơ sở pháp lý trong việc thu thập dữ liệu, không rõ ràng về cách xử lý, mục đích sử dụng và việc chuyển giao dữ liệu.

Trước tình hình này, Chính phủ đã giao Bộ Công an chủ trì, phối hợp với các Bộ, ngành liên quan đang khẩn trương xây dựng Luật Bảo vệ DLCN, dựa trên đánh giá thực trạng và nhu cầu cấp thiết của xã hội hiện nay. Dự thảo Luật Bảo vệ DLCN dự kiến sẽ được thảo luận lần đầu tại kỳ họp Quốc hội vào tháng 10/2024, với kế hoạch thông qua vào tháng 5/2025 và có hiệu lực từ ngày 01/01/2026.

Quyền và Nghĩa vụ của Chủ thể dữ liệu

Một trong những mục đích chính của Luật Bảo vệ DLCN là để ngăn chặn hành vi xâm phạm dữ liệu của chủ thể. Do dó, dự thảo Luật Bảo vệ DLCN nêu rõ quyền và các nghĩa vụ của chủ thể dữ liệu liên quan đến việc xử lý DLCN của họ. Chủ thể dữ liệu là bất kỳ cá nhân nào, bao gồm trẻ em và người bị tuyên bố mất tích, đã mất.

Cụ thể, chủ thể dữ liệu có quyền được biết tất cả hoạt động liên quan đến việc xử lý DLCN của họ, cũng như quyền truy cập, chỉnh sửa, lưu trữ hoặc xóa dữ liệu theo yêu cầu. Đặc biệt, họ được toàn quyền quyết định việc đồng ý hay không đồng ý cho phép xử lý DLCN. Trong trường hợp xảy ra vi phạm, chủ thể có quyền yêu cầu bồi thường, khiếu nại, tố cáo hoặc khởi kiện theo quy định của pháp luật.

Bên cạnh đó, chủ thể dữ liệu cần chủ động bảo vệ thông tin cá nhân của mình và yêu cầu tương tự đối với các tổ chức, cá nhân liên quan. Chủ thể có trách nhiệm chấp hành pháp luật về bảo vệ DLCN, tham gia tuyên truyền ngăn chặn hành vi vi phạm, tôn trọng DLCN của người khác, và chỉ cung cấp dữ liệu chính xác và đầy đủ khi đồng ý cho phép xử lý DLCN.

Đối tượng áp dụng

Phạm vi áp dụng luật mới được cho là khá rộng, những đối tượng phải tuân theo bao gồm các chủ thể trong và ngoài nước, bao gồm:

• Cơ quan, tổ chức, cá nhân Việt Nam;
• Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam;
• Cơ quan, tổ chức, cá nhân Việt Nam hoạt động tại nước ngoài;
• Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam;
• Cơ quan, tổ chức, cá nhân thu thập, xử lý dữ liệu cá nhân của người nước ngoài trên phạm vi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam.

Với nhu cầu tạo nền tảng pháp lý cho hoạt động kinh doanh DLCN trong khi vẫn đảm bảo tuân thủ các quy định trong nước và quốc tế, dự thảo Luật còn đưa ra biện pháp bảo vệ DLCN cho nhiều lĩnh vực hoạt động khác nhau, như:

• Trong kinh doanh dịch vụ quảng cáo;
• Trong giám sát và tuyển dụng lao động;
• Trong tài chính, ngân hàng, tín dụng và thông tin tín dụng;
• Trong lĩnh vực y tế, bảo hiểm;
• Trong xử lý dữ liệu lớn, trí tuệ nhân tạo, hay điện toán đám mây, v.v.

Các tổ chức và cá nhân trên phải thực hiện biện pháp bảo vệ DLCN từ hệ thống và thiết bị dịch vụ của mình. Dự thảo Luật cũng nghiêm cấm việc mua, bán, chuyển giao dữ liệu trái phép giữa các tổ chức, cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu.

Trách nhiệm của Cơ quan, Tổ chức và Cá nhân liên quan

Để thực hiện và áp dụng hiệu quả Luật bảo vệ DLCN, nhiều Bộ, ngành, cơ quan nhà nước, tổ chức và cá nhân cần phối hợp chặt chẽ và chịu trách nhiệm ở  khía cạnh khác nhau.

Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an sẽ giúp Chính phủ quản lý nhà nước về bảo vệ dữ liệu, hướng dẫn triển khai hoạt động bảo vệ, và đánh giá kết quả công tác này. Cơ quan này cũng sẽ tiếp nhận thông tin, thúc đẩy nghiên cứu cùng Bộ Khoa học và Công nghệ, và điều tra giải quyết khiếu nại về bảo vệ DLCN.

Bên Kiểm soát DLCN có trách nhiệm thực hiện các biện pháp bảo vệ dữ liệu phù hợp, lưu trữ quá trình xử lý, thông báo vi phạm và đảm bảo quyền của chủ thể dữ liệu, cũng như chịu trách nhiệm về thiệt hại xảy ra. Bên Xử lý DLCN chỉ tiếp nhận và xử lý dữ liệu theo hợp đồng với Bên Kiểm soát, cam kết bảo vệ dữ liệu và phải xóa hoặc trả lại dữ liệu sau khi hoàn tất xử lý.

Bên thứ Ba và các cơ quan nhà nước khác phải tuân thủ quy định về bảo vệ dữ liệu. Ủy ban nhân dân thuộc các tỉnh thành cần quản lý bảo vệ dữ liệu trong lĩnh vực thuộc quyền hạn của mình, đồng thời bố trí kinh phí cho hoạt động liên quan.

Nhìn chung, tất cả các tổ chức, cá nhân đều phải có biện pháp bảo vệ DLCN và thông báo kịp thời cho Bộ Công an về những vi phạm đó.

Tổ chức và chuyên gia bảo vệ DLCN

Tổ chức bảo vệ DLCN cần có năng lực về công nghệ và pháp lý, với ít nhất một chuyên gia có chứng nhận chuyên môn. Doanh nghiệp nhỏ, vừa, hoặc khởi nghiệp được miễn trừ trong hai năm đầu, ngoại trừ các doanh nghiệp trực tiếp kinh doanh về xử lý DLCN. Các tổ chức này cần có xếp hạng tín nhiệm đạt yêu cầu và phê duyệt có hiệu lực trong 5 năm, có thể gia hạn.

Xếp hạng tín nhiệm DLCN sẽ được đánh giá dựa trên các yếu tố rủi ro, cho phép các doanh nghiệp đủ điều kiện về năng lực và nhân sự được cấp chứng nhận hoạt động trong lĩnh vực này.

Chế tài xử phạt vi phạm Luật Bảo vệ DLCN

Dự thảo Luật Bảo vệ DLCN chưa nêu rõ hình phạt cụ thể đối với các cơ quan, tổ chức, cá nhân vi phạm quy định về bảo vệ DLCN. Tuy nhiên, theo Dự thảo, tùy theo mức độ vi phạm, các cơ quan, tổ chức, các nhân có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc xử lý hình sự theo quy định.

By Phạm Phương Thảo

Trợ lý Luật sư

Midland & Partners Law Firm