Những ảnh hưởng trọng yếu tới hoạt động kinh doanh của doanh nghiệp từ quy định Bảo vệ dữ liệu cá nhân của Chính phủ

Hiện nay, Bộ Công an đã xây dựng và đang trong giai đoạn cuối để trình Chính phủ thông qua Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (“Dự thảo Nghị định”). Dự thảo Nghị định này đang được đề xuất có hiệu lực vào ngày 01/6/2024.

Đây là văn bản pháp luật tổng hợp nhiều hành vi vi phạm hành chính trong các văn bản pháp luật khác nhau. Đáng chú ý, Dự thảo Nghị định này đã ghi nhận các quy định xử phạt vi phạm hành chính đối với vấn đề bảo vệ dữ liệu cá nhân, được quy định tại Nghị định 13/2023/NĐ-CP (“Nghị định 13”).

Với việc các quy định tại Nghị định 13 vẫn còn khá mơ hồ để các doanh nghiệp có thể áp dụng trên thực tế, việc ban hành Nghị định xử phạt vi phạm hành chính điều chỉnh các vấn đề về bảo vệ dữ liệu cá nhân sẽ tạo nên một áp lực lớn cho các doanh nghiệp trong việc tuân thủ quy định tại Nghị định 13 về bảo vệ dữ liệu cá nhân.

Bản tin này sẽ mang đến cho Quý Doanh nghiệp một số nội dung đáng chú ý của Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng, đối với vấn đề bảo vệ dữ liệu cá nhân:

1. Phạm vi xử phạt vi phạm hành chính rộng

Khi xem xét các quy định tại Dự thảo Nghị định, gần như những quy định tại Nghị định 13 đều sẽ có những quy định về xử phạt vi phạm hành chính tương ứng, các quy định xử phạt hướng đến các hành vi vi phạm sau:

2. Một số vi phạm đáng chú ý

Trong số những hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân bị xử phạt, một số hành vi đáng chú ý, là nghĩa vụ được quy định một cách rõ ràng mà doanh nghiệp phải thực hiện theo Nghị định 13/2023/NĐ-CP, bao gồm:

Thứ nhất, đối với các nội dung vi phạm quy định về sự đồng ý của chủ thể dữ liệu

Doanh nghiệp sẽ bị xử phạt vi phạm hành chính nếu việc xử lý dữ liệu cá nhân không được sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác; hoặc sự đồng ý của chủ thể dữ liệu không được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. Mức xử phạt đối với các hành vi này của các doanh nghiệp là từ 20 đến 40 triệu đồng. Có thể thấy hành vi vi phạm này rất dễ xảy ra trên thực tế, bởi doanh nghiệp sẽ có các hoạt động thu thập dữ liệu cá nhân từ nhiều chủ thể khác nhau, có thể từ người lao động hoặc từ khách hàng, đối tác. Việc không có phương án để ghi nhận sự đồng ý của chủ thể dữ liệu một cách hợp pháp là nguy cơ tiềm ẩn khả năng bị xử phạt của các doanh nghiệp.

Thứ hai, liên quan đến quy định về rút lại sự đồng ý

Theo quy định tại Điều 12 Nghị định 13, khi chủ thể dữ liệu rút lại sự đồng ý,  Bên Kiểm soát dữ liệu, Bên Xử lý dữ liệu, Bên Kiểm soát và xử lý dữ liệu, Bên thứ ba phải ngừng và yêu cầu các tổ chức, cá nhân có liên quan ngừng xử lý dữ liệu của chủ thể dữ liệu đã rút lại sự đồng ý. Đây cũng là một sai sót rất dễ xảy ra trên thực tế, đặc biệt trong trường hợp doanh nghiệp phải xử lý số lượng lớn dữ liệu cá nhân của người lao động, khách hàng, đối tác và những chủ thể này rút lại sự đồng ý thông qua việc chấm dứt quan hệ lao động, hợp đồng với doanh nghiệp. Khi có hành vi tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu đã rút lại sự đồng ý, doanh nghiệp có thể bị xử phạt với số tiền từ 50 đến 100 triệu đồng.

Thứ ba, trường hợp doanh nghiệp kinh doanh dịch vụ tiếp thị, giới thiệu sản phẩm quảng cáo

Mức xử phạt vi phạm hành chính là tương đối nặng nếu doanh nghiệp có hành vi vi phạm. Cụ thể, nếu có hành vi sử dụng dữ liệu cá nhân của khách hàng không được thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ tiếp thị, giới thiệu sản phẩm quảng cáo, doanh nghiệp có thể bị xử phạt từ 140 đến 200 triệu đồng. Đáng chú ý, nếu vi phạm hành chính từ lần thứ hai trở lên, doanh nghiệp có thể bị phạt tiền tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam.

Thứ tư, liên quan đến việc tuân thủ các thủ tục hành chính như đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài

Theo đó, nếu doanh nghiệp, là bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân; hoặc không gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính theo Mẫu số 04 tại Phụ lục của Nghị định 13 trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân; hoặc không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao), doanh nghiệp có thể bị xử phạt với mức phạt tiền từ 140 đến 200 triệu đồng. Mức phạt này cũng được áp dụng tương tự đối với doanh nghiệp là bên chuyển dữ liệu ra nước ngoài mà không thực hiện các thủ tục hành chính theo quy định tại Nghị định 13. Đáng chú ý, mức phạt này có thể tăng nếu các hành vi trên của doanh nghiệp dẫn đến việc bị lộ, mất dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân ra nước ngoài ở những mức độ nhất định. Hiện nay, Bộ Công an đã xây dựng và đưa vào hoạt động Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (https://baovedlcn.gov.vn/), đây là địa chỉ để doanh nghiệp có thể thực hiện các thủ tục hành chính về bảo vệ dữ liệu cá nhân, như đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài. Việc tuân thủ và thực hiện các thủ tục hành chính này có thể giúp doanh nghiệp hạn chế rủi ro bị xử phạt vi phạm hành chính.

Ngoài những vi phạm mà chúng tôi đánh giá sẽ khá phổ biến như trên, còn nhiều hành vi vi phạm mà doanh nghiệp có thể mắc phải liên quan đến vấn đề bảo vệ dữ liệu cá nhân theo Nghị định 13. Để giảm thiểu nguy cơ bị xử phạt vi phạm hành chính với mức phạt khá nặng như quy định tại Dự thảo Nghị định, chúng tôi cho rằng các doanh nghiệp nên chú trọng vào việc rà soát, xây dựng các quy định, quy chế nội bộ về bảo vệ dữ liệu cá nhân, đồng thời, nhanh chóng thực hiện các thủ tục hành chính cần thiết với cơ quan có thẩm quyền theo quy định của pháp luật.