Dự thảo Luật Bảo vệ dữ liệu cá nhân có đang đặt thêm thủ tục hành chính lên doanh nghiệp?

Công nghệ và môi trường không gian mạng phát triển như vũ bão làm cho việc bảo vệ dữ liệu cá nhân (DLCN) đã trở thành một yêu cầu cấp thiết tại Việt Nam. Dự thảo Luật Bảo vệ Dữ liệu Cá nhân (“Dự thảo”) đã được Bộ Công an soạn thảo để trình Quốc hội cho ý kiến và có thể sẽ thông qua ngay trong năm nay. Luật Bảo vệ DLCN được kỳ vọng sẽ tạo ra một khung pháp lý toàn diện để bảo vệ quyền riêng tư của cá nhân, đồng thời đáp ứng các tiêu chuẩn quốc tế mà Việt Nam là thành viên. Tuy nhiên, một số ý kiến cho rằng dự thảo này đang đặt ra quá nhiều thủ tục hành chính, tạo gánh nặng cho doanh nghiệp, đặc biệt là các doanh nghiệp nhỏ và vừa (SME) cũng như các công ty khởi nghiệp và đi ngược lại mục tiêu cải cách hành chính cũng như thúc đẩy kinh tế số mà Chính phủ đã đặt ra.

Dự thảo mới nhất có gì?

Dự thảo mới nhất[1] bao gồm 7 chương với 68 điều, nhấn mạnh vai trò của các bên liên quan, bao gồm: (1) Chủ thể dữ liệu: Cá nhân sở hữu dữ liệu, có quyền đồng ý, truy cập, chỉnh sửa, xóa dữ liệu, và yêu cầu bồi thường thiệt hại. (2) Bên Kiểm soát DLCN: Tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu. (3) Bên Xử lý DLCN: Tổ chức, cá nhân thực hiện xử lý dữ liệu thay mặt Bên Kiểm soát. (4) Bên thứ ba và các tổ chức chuyên trách khác, như Cơ quan chuyên trách bảo vệ DLCN thuộc Bộ Công an.

Tuy nhiên, để đảm bảo tuân thủ, Dự thảo đưa ra nhiều thủ tục hành chính mà doanh nghiệp phải thực hiện, từ lập hồ sơ đánh giá tác động, thông báo vi phạm, đến chỉ định tổ chức/chuyên gia bảo vệ DLCN. Những yêu cầu này đang gây ra tranh luận về mức độ gánh nặng về thủ tục hành chính đối với doanh nghiệp khi Dự thảo này được thông qua.

Các thủ tục hành chính chính trong Dự thảo

Dự thảo Luật Bảo vệ DLCN đặt ra một loạt các thủ tục hành chính mà doanh nghiệp phải tuân thủ, đặc biệt là những doanh nghiệp hoạt động trong lĩnh vực công nghệ, tài chính, y tế, và truyền thông.

Đánh giá tác động xử lý dữ liệu cá nhân (Điều 45 Dự thảo)

Doanh nghiệp phải lập và lưu giữ Hồ sơ đánh giá tác động xử lý DLCN ngay từ khi bắt đầu xử lý dữ liệu. Hồ sơ này cần được gửi đến Cơ quan chuyên trách bảo vệ DLCN trong vòng 60 ngày làm việc và cập nhật định kỳ 6 tháng/lần hoặc khi có thay đổi lớn (như giải thể, sáp nhập). Hồ sơ phải được xác lập bằng văn bản có giá trị pháp lý và luôn sẵn sàng để phục vụ kiểm tra. Bên Xử lý DLCN cũng phải lập hồ sơ tương tự nếu xử lý thay mặt Bên Kiểm soát.

Đánh giá tác động chuyển dữ liệu ra nước ngoài (Điều 46 Dự thảo)

Đối với các doanh nghiệp chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài, họ phải lập Hồ sơ đánh giá tác động riêng, gửi cơ quan quản lý trong 60 ngày kể từ ngày tiến hành xử lý dữ liệu, và thông báo chi tiết sau khi chuyển dữ liệu thành công. Hồ sơ này cũng cần được cập nhật định kỳ hoặc khi có thay đổi. Cơ quan chuyên trách có quyền kiểm tra hàng năm hoặc đột xuất nếu phát hiện vi phạm.

Thông báo vi phạm bảo vệ dữ liệu cá nhân (Điều 37 Dự thảo)

Khi phát hiện vi phạm quy định bảo vệ DLCN, doanh nghiệp phải thông báo cho Cơ quan chuyên trách trong vòng 72 giờ, kèm theo biên bản xác nhận và mô tả các biện pháp khắc phục. Nếu thông báo muộn, doanh nghiệp phải giải trình lý do trì hoãn. Điều này đòi hỏi doanh nghiệp phải có hệ thống giám sát và báo cáo hiệu quả trong quá trình hoạt động kinh doanh.

Chỉ định Tổ chức và Chuyên gia bảo vệ DLCN (Điều 39, 40, 49 Dự thảo)

Doanh nghiệp phải chỉ định Tổ chức hoặc Chuyên gia bảo vệ DLCN, đáp ứng các điều kiện về năng lực công nghệ và pháp lý, được chứng nhận bởi các tổ chức được phê duyệt. Quy trình chứng nhận này phức tạp, đòi hỏi nhân sự có trình độ đại học và hoàn thành khóa học chuyên môn. Các SME và startup được miễn trừ yêu cầu này trong 5 năm đầu, trừ trường hợp các đối tượng này là đơn vị trực tiếp kinh doanh xử lý DLCN.

Xếp hạng tín nhiệm và chứng nhận kinh doanh (Điều 43, 44 Dự thảo)

Doanh nghiệp kinh doanh dịch vụ bảo vệ hoặc xử lý DLCN phải đạt mức tín nhiệm tối thiểu và được cấp chứng nhận đủ điều kiện kinh doanh. Các điều kiện bao gồm vốn pháp định tối thiểu 5 tỷ đồng, tối thiểu 3 nhân sự chuyên môn, và 2 chuyên gia bảo vệ DLCN.

Quốc hội nghe Tờ trình và Báo cáo thẩm tra về dự án Luật Bảo vệ dữ liệu cá nhân. Nguồn: Quốc hội

Đặt thêm thủ tục hành chính có còn phù hợp?

Mới đây vào ngày 04/05/2025, Bộ Chính trị đã ban hành Nghị quyết số 68 về phát triển kinh tế tư nhân với mục tiêu thực hiện cắt giảm “Ít nhất 30% chi phí tuân thủ pháp luật, ít nhất 30% điều kiện kinh doanh”[2]. Trước đó trong Nghị quyết số 66 ngày 26/3/2025 của Chính phủ đã yêu cầu Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương tập trung tổ chức rà soát, cắt giảm, đơn giản hóa thủ tục hành chính liên quan đến hoạt động sản xuất, kinh doanh và thủ tục hành chính nội bộ, bảo đảm bãi bỏ ít nhất 30% điều kiện đầu tư kinh doanh, giảm ít nhất 30% thời gian giải quyết của các thủ tục hành chính, 30% chi phí tuân thủ thủ tục hành chính[3].

Những định hướng này cho thấy Việt Nam đang nỗ lực tạo môi trường kinh doanh thuận lợi, giảm rào cản hành chính, và thúc đẩy đổi mới sáng tạo. Tuy nhiên, các thủ tục hành chính trong Dự thảo Luật Bảo vệ DLCN có thể tạo ra thách thức đáng kể đối với các mục tiêu này này của Chính phủ cũng như tạo thêm các gánh nặng lên doanh nghiệp

Các thủ tục hành chính trong dự thảo có thể tạo ra gánh nặng đáng kể cho doanh nghiệp, đặc biệt là SME và startup, vì những lý do sau:

Thứ nhất, số lượng, độ phức tạp của TTHC và chi phí tuân thủ. Các yêu cầu lập hồ sơ đánh giá tác động, thông báo vi phạm, và cập nhật định kỳ đòi hỏi doanh nghiệp phải đầu tư thời gian và nguồn lực để chuẩn bị tài liệu pháp lý, triển khai hệ thống giám sát, và đảm bảo tuân thủ thời hạn chặt chẽ. Với những quy định mới mẻ này và thói quen tuân thủ chưa thật sự tốt của các doanh nghiệp Việt Nam đây quả là một thách thức không nhỏ. Bên cạnh đó, việc chỉ định tổ chức/chuyên gia bảo vệ DLCN, áp dụng các biện pháp kỹ thuật như mã hóa dữ liệu, và đào tạo nhân viên làm tăng chi phí vận hành, tuân thủ của doanh nghiệp trong quá trình hoạt động, kinh doanh. Theo ước tính cũng như thực tiễn cung cấp dịch vụ, chúng tôi nhận thấy các doanh nghiệp nhỏ có thể phải chi hàng trăm triệu đồng mỗi năm để tuân thủ các quy định này. Chưa kể doanh nghiệp mất nhiều thời gian để lưu hồ sơ, chuẩn bị cho các hoạt động thanh, kiểm tra định kỳ và đột xuất của cơ quan quản lý.

Thứ hai, rào cản gia nhập thị trường. Yêu cầu xếp hạng tín nhiệm và chứng nhận kinh doanh với các điều kiện như vốn pháp định 5 tỷ đồng hoặc nhân sự chuyên môn cao có thể hạn chế khả năng tham gia thị trường của các startup công nghệ hoặc các doanh nghiệp nội địa vừa và nhỏ. Với các yêu cầu hỗ trợ các doanh nghiệp mới, cũng như doanh nghiệp vừa và nhỏ các quy định này càng gây thêm các khó khăn cho doanh nghiệp muốn gia nhập “đường đua” kinh doanh dữ liệu tại Việt Nam.

Thứ tư, áp lực cho các SME và startup. Mặc dù SME và startup được miễn trừ một số yêu cầu trong 5 năm đầu, các doanh nghiệp trực tiếp kinh doanh xử lý DLCN như ứng dụng di động, mạng xã hội không được hưởng ưu đãi này, gây khó khăn cho các công ty công nghệ mới thành lập.

Những điều chỉnh, bổ sung cần thiết cho Dự thảo

Để cân bằng giữa bảo vệ DLCN và tạo môi trường kinh doanh thuận lợi, trong Dự thảo lần này, Quốc hội cũng như cơ quan quản lý cần xem xét các giải pháp sau:

Đơn giản hóa thủ tục. Dự thảo cần xem xét điều chỉnh giảm tần suất cập nhật hồ sơ đánh giá tác động từ 6 tháng xuống 1 năm và có thể kéo dài thời hạn nộp hồ sơ đánh giá tác động hay chuyển dữ liệu cá nhân từ 60 ngày lên 90 hoặc 120 ngày.

Hỗ trợ các SME và startup. Mở rộng miễn trừ cho các doanh nghiệp trực tiếp kinh doanh xử lý DLCN trong 2-3 năm đầu, đồng thời cung cấp hỗ trợ kỹ thuật và tài chính để các doanh nghiệp này có thể tuân thủ và tiên phong tuân thủ tốt hoạt động bảo vệ dữ liệu cá nhân tại doanh nghiệp và trong hoạt động kinh doanh.

Số hóa quản lý hoạt động bảo vệ DLCN. Cơ quan quản lý và có trách nhiệm cần cân nhắc việc phát triển Cổng thông tin quốc gia về bảo vệ DLCN thành nền tảng số hóa, cho phép nộp hồ sơ và nhận phản hồi trực tuyến không chỉ qua Cổng mà có thể qua ứng dụng cho điện thoại để đáp ứng việc tuân thủ và thời gian tuân thủ ngắn của Dự thảo.

Ngoài ra, chúng tôi cho rằng việc đào tạo và hướng dẫn tuân thủ pháp luật bảo vệ DLCN là hết sức quan trọng trong giai đoạn đầu thực thi Luật Bảo vệ DLCN. Chính phủ với vai trò là cơ quan quản lý và thi hành các quy định về bảo vệ dữ liệu cá nhân có thể tự mình hoặc thông qua các cơ như Bộ Công an, Bộ Tư pháp, Bộ Khoa học và Công nghệ tổ chức các chương trình đào tạo miễn phí và cung cấp mẫu biểu, hồ sơ cũng như các hướng dẫn chuẩn bị hồ sơ chuẩn để giúp doanh nghiệp tuân thủ dễ dàng hơn đối với các quy định có phần mới mẻ và xa lạ này.

Chúng tôi tin rằng, có thể với những điều chỉnh, bổ sung mới này, Dự thảo Luật Bảo vệ DLCP có thể vừa bảo vệ quyền riêng tư của cá nhân, vừa hỗ trợ doanh nghiệp phát triển trong kỷ nguyên số, góp phần thực hiện các mục tiêu phát triển kinh tế - xã hội của Việt Nam đầy tham vọng mà Đảng và Nhà nước đã đặt ra trong thời gian qua.