Những điểm chưa hợp lý của Dự thảo Luật Bảo vệ Dữ liệu Cá nhân

Trong bối cảnh công nghệ số phát triển mạnh mẽ, dữ liệu cá nhân đã trở thành tài sản quan trọng không chỉ đối với các cá nhân và tổ chức mà còn đối với nền kinh tế. Tuy nhiên, vấn đề bảo mật thông tin đang đối mặt với nhiều thách thức do sự gia tăng các hoạt động thu thập và sử dụng dữ liệu mà không có sự kiểm soát chặt chẽ. Để giải quyết tình trạng này, Dự thảo Luật Bảo vệ Dữ liệu Cá nhân (“Dự thảo”) đã được đưa ra lấy ý kiến để có thể được ban hành và có hiệu lực từ ngày 01/01/2026[1] theo dự kiến của Quốc hội. Các quy định bảo vệ dữ liệu cá nhân được nâng tầm thành luật được xem là một bước tiến quan trọng trong bảo mật thông tin cá nhân và thúc đẩy phát triển kinh tế số. Tuy nhiên, Dự thảo vẫn còn một số hạn chế cần được đánh giá chặt chẽ và điều chỉnh cho phù hợp hơn với thực tiễn.

Một số quy định nên được xem xét kỹ lưỡng hơn

Sự đồng ý của chủ thể dữ liệu

Trước khi xử lý dữ liệu cá nhân, doanh nghiệp phải thông báo cho chủ thể dữ liệu và nhận được sự đồng ý của họ, đây là điều kiện tiên quyết để doanh nghiệp thực hiện hoạt động này. Sự đồng ý chỉ có hiệu lực nếu được đưa ra một cách tự nguyện và khi chủ thể biết rõ về loại dữ liệu, mục đích xử lý, tổ chức thực hiện xử lý, cũng như các quyền và nghĩa vụ của mình. Hơn nữa, sự đồng ý phải được thể hiện qua một hành động rõ ràng, như văn bản, giọng nói, đánh dấu vào ô đồng ý, hoặc qua cú pháp đồng ý qua tin nhắn và có thể được in hoặc sao chép dưới định dạng kiểm chứng được[2].

Quy định về sự đồng ý của chủ thể dữ liệu là yếu tố quan trọng nhằm tăng cường quyền kiểm soát của cá nhân và thúc đẩy cơ chế thu thập dữ liệu có trách nhiệm. Tuy nhiên, việc yêu cầu sự đồng ý từ chủ thể dữ liệu trước khi thực hiện bất kỳ hoạt động xử lý nào có thể tạo ra nhiều trở ngại. Điều này không chỉ làm tăng khối lượng công việc mà còn ảnh hưởng đến tính linh hoạt của doanh nghiệp. Mặc dù Điều 17 Dự thảo đã tạo ra một số ngoại lệ đối với yêu cầu đồng ý này, nhưng các ngoại lệ này vẫn hẹp hơn nhiều so với các luật bảo vệ dữ liệu quốc tế. Doanh nghiệp và chủ thể dữ liệu tại Việt Nam có thể phải lặp lại yêu cầu và cung cấp sự đồng ý, kể cả khi các hoạt động vẫn phù hợp với mục đích ban đầu của việc xử lý.

Thời hạn đáp ứng yêu cầu của chủ thể dữ liệu

Hiện tại, Dự thảo yêu cầu Bên Kiểm soát và Xử lý Dữ liệu phải thực hiện việc cung cấp, chỉnh sửa và xóa dữ liệu cá nhân trong vòng 72 giờ sau khi có yêu cầu của chủ thể dữ liệu[3]. Thời hạn này có thể tạo ra nhiều thách thức cho doanh nghiệp, bởi vì doanh nghiệp cần thời gian để xác minh danh tính của người yêu cầu, làm rõ yêu cầu, đánh giá kết quả và ảnh hưởng của việc điều chỉnh, thông báo cho chủ thể dữ liệu, và đảm bảo chủ thể hiểu hậu quả từ yêu cầu của họ. Do đó, cần xem xét điều chỉnh lại khoảng thời gian mà doanh nghiệp phải đáp ứng yêu cầu của chủ thể dữ liệu.

Trách nhiệm bảo vệ của Bên Kiểm soát và Xử lý dữ liệu cá nhân

Điều 47 của Dự thảo quy định doanh nghiệp phải có các biện pháp quản lý và biện pháp kỹ thuật để bảo vệ dữ liệu của chủ thể. Đối với các dữ liệu cá nhân cơ bản như họ tên, quốc tịch, số căn cước công dân hay tình trạng hôn nhân, biện pháp bảo vệ bao gồm việc chỉ định tổ chức bảo vệ dữ liệu cá nhân, chuyên gia bảo vệ dữ liệu cá nhân và yêu cầu kiểm tra an ninh mạng đối với hệ thống, thiết bị phục vụ xử lý dữ liệu. Đối với dữ liệu cá nhân nhạy cảm như quan điểm chính trị, tôn giáo, tình trạng sức khỏe, xu hướng tình dục hay dữ liệu vị trí, doanh nghiệp phải thực hiện đánh giá tín nhiệm về bảo vệ dữ liệu cá nhân theo Điều 41 của Dự thảo.

Quy định này thể hiện nỗ lực trong việc kiểm soát và nâng cao trách nhiệm của các tổ chức, cá nhân liên quan đến việc kiểm soát và xử lý dữ liệu cá nhân. Tuy nhiên, nó cũng đặt ra gánh nặng chi phí do yêu cầu thực thi các biện pháp bảo mật cao, đòi hỏi doanh nghiệp phải đầu tư vào công nghệ bảo mật và nhân lực chuyên môn. Đặc biệt đối với các doanh nghiệp nhỏ và vừa, họ có thể phải đối mặt với chi phí lớn để duy trì hệ thống bảo mật hiện đại. Bên cạnh đó, quy định chưa phân định rõ ràng trách nhiệm của các chủ thể liên quan. Ví dụ, khi có vi phạm bảo mật dữ liệu, trách nhiệm thuộc về tổ chức hoặc cá nhân được thuê bảo vệ dữ liệu hay doanh nghiệp sử dụng thông tin?

Xếp hạng tín nhiệm bảo vệ dữ liệu cá nhân

Một điểm mới trong Dự thảo là quy định về xếp hạng tín nhiệm bảo vệ dữ liệu cá nhân. Tổ chức được cơ quan chuyên trách chứng nhận sẽ đánh giá mức độ uy tín của tổ chức, cá nhân liên quan đến việc xử lý dữ liệu cá nhân. Nội dung đánh giá bao gồm các yếu tố như rủi ro vĩ mô, thị trường, công nghệ, chiến lược, quản trị, nhân sự và tài chính[4]. Phạm vi đánh giá này đòi hỏi chuyên môn rất cao.

Mặc dù quy định này nhằm đảm bảo doanh nghiệp có đủ điều kiện để xử lý dữ liệu cá nhân, nhưng thực tế cho thấy khó có thể thực thi. Điều 41 yêu cầu chuyên viên phân tích tín nhiệm phải có kinh nghiệm từ 1 đến 2 năm trong lĩnh vực an toàn thông tin hoặc pháp lý. Tuy nhiên, đối với phạm vi đánh giá rộng như trên, cần sự kết hợp giữa các chuyên môn khác như kinh tế, tài chính, lao động. Đồng thời, các tiêu chí và phương pháp đánh giá trong Dự thảo vẫn còn mơ hồ, chưa rõ ràng, cần có sự điều chỉnh phù hợp hơn.

Một số đề xuất điều chỉnh

Việc xây dựng khung pháp lý để bảo vệ dữ liệu cá nhân trong bối cảnh thông tin ngày càng trở nên quan trọng là rất cần thiết. Tuy nhiên, Dự thảo vẫn còn một số hạn chế cần được điều chỉnh để cân bằng giữa quyền lợi cá nhân và khả năng đáp ứng của doanh nghiệp. Dựa trên quá trình nghiên cứu các quy định của Dự thảo, đồng thời sau quá trình áp dụng các quy định tại Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, tác giả nhận thấy Dự thảo cần có một số điều chỉnh như sau:

Thứ nhất, cần linh hoạt quy định về sự đồng ý của chủ thể dữ liệu: Điều 11 có thể bổ sung các trường hợp ngoại lệ miễn yêu cầu đồng ý như trong trường hợp thực hiện nghĩa vụ pháp lý, vì lợi ích hợp pháp của chủ thể dữ liệu, ngăn chặn lừa đảo, hoặc các lợi ích phát sinh như cập nhật sản phẩm, dịch vụ.

Thứ hai, cần tăng thêm thời gian đáp ứng yêu cầu: Thời gian 72 giờ hiện tại có thể là quá ngắn. Dự thảo có thể tham khảo quy định của Quy định bảo vệ dữ liệu chung của EU (GDPR) hay Đạo luật bảo vệ dữ liệu cá nhân Singapore (PDPA) với thời gian phản hồi lên tới 30 ngày để đảm bảo có đủ thời gian xử lý yêu cầu.

Thứ ba, nên phân công rõ trách nhiệm của các bên: Cần làm rõ trách nhiệm của từng bên liên quan trong việc bảo vệ dữ liệu, bao gồm nhà cung cấp dịch vụ và doanh nghiệp sử dụng thông tin. Nhà nước cũng có thể hỗ trợ doanh nghiệp nhỏ và vừa tuân thủ các quy định này.

Thứ tư là điều chỉnh quy định về xếp hạng tín nhiệm bảo vệ dữ liệu: Cần điều chỉnh các tiêu chí và phương pháp đánh giá mức độ tín nhiệm để đảm bảo tính khả thi và hiệu quả trong thực thi. Bên cạnh đó, cần có sự phối hợp của các chuyên viên từ nhiều lĩnh vực khác nhau bởi việc chỉ yêu cầu kinh nghiệm từ 01 đến 02 năm trong lĩnh vực an ninh mạng hay pháp lý là không phù hợp để thực hiện công việc một cách toàn diện dựa trên phạm vi nội dung đánh giá.

Nhìn chung, Dự thảo là bước tiến quan trọng trong việc bảo vệ quyền lợi cá nhân trong thời đại số hóa, tạo nền tảng pháp lý cho việc xử lý dữ liệu cá nhân minh bạch và an toàn. Tuy nhiên, để đảm bảo tính khả thi và đồng bộ, xây dựng một môi trường pháp lý an toàn, bền vững cho dữ liệu cá nhân, cần có sự điều chỉnh và làm rõ một số điều khoản quan trọng để cân bằng quyền lợi của công dân và doanh nghiệp.