Bảo vệ dữ liệu cá nhân đang là vấn đề được các doanh nghiệp đặc biệt quan tâm trong bối cảnh nền kinh tế số tại Việt Nam ngày càng phát triển. Hiện nay, khi Nghị định 13/2023/NĐ-CP được ban hành cùng với việc Việt Nam đang trong quá trình xây dựng Luật Bảo vệ dữ liệu cá nhân và Dự thảo Nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (trong đó có quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân) (“Dự thảo Nghị định”), vấn đề tuân thủ pháp luật trong lĩnh vực bảo vệ dữ liệu cá nhân tại các doanh nghiệp trở nên cấp thiết hơn bao giờ hết. Các sàn thương mại điện tử được xem là một “cánh cổng” kết nối nhiều bên liên quan trong hoạt động thương mại điện tử và việc thu thập, xử lý dữ liệu cá nhân của các doanh nghiệp này là vô cùng phức tạp trên nhiều phương diện. Do đó, đối với các doanh nghiệp hoạt động trong lĩnh vực cung cấp dịch vụ sàn thương mại điện tử, việc đảm bảo tuân thủ các quy định về bảo vệ dữ liệu cá nhân càng là một thách thức lớn. 
Không hẳn là quy định mới
Bảo vệ dữ liệu cá nhân không phải là một vấn đề quá mới mẻ trong lĩnh vực thương mại điện tử. Trước đây, dữ liệu cá nhân được biết đến với khái niệm “thông tin cá nhân” và diễn đàn Hợp tác kinh tế Châu Á - Thái Bình Dương đã ban hành các nguyên tắc cơ bản để bảo vệ thông tin cá nhân của người tiêu dùng trong thương mại điện tử nhằm hướng dẫn các quốc gia thành viên trong việc xây dựng khuôn khổ pháp lý cho vấn đề này1. Sau đó, Chính phủ Việt Nam đã ban hành Nghị định 52/2013/NĐ-CP và dành một chương để quy định về vấn đề bảo vệ thông tin cá nhân của người tiêu dùng trong lĩnh vực thương mại điện tử2. Năm 2023, Chính phủ ban hành Nghị định 13/2023/NĐ-CP quy định về việc bảo vệ dữ liệu cá nhân và có hiệu lực song song với Nghị định 52/2013/NĐ-CP. Nghị định này không loại trừ các sàn thương mại điện tử khỏi phạm vi điều chỉnh. Do đó, các sàn thương mại điện tử phải tuân thủ cả các quy định về bảo vệ thông tin cá nhân người tiêu dùng tại Nghị định 52/2013/NĐ-CP và các quy định bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP.
Chúng tôi nhận thấy rằng, các quy định tại Chương V Nghị định 52/2013/NĐ-CP là tương đối giống với các quy định tại Nghị định 13/2023/NĐ-CP. Vì vậy, có thể nói rằng các sàn thương mại điện tử có lợi thế trong việc thích nghi với các quy định mới tại Nghị định 13/2023/NĐ-CP do đã có kinh nghiệm triển khai các quy định pháp luật chuyên ngành. Tuy nhiên, Nghị định 13/2023/NĐ-CP vẫn có một số khác biệt nhất định so với Nghị định 52/2013/NĐ-CP và các sàn thương mại điện tử vẫn có thể gặp phải các khó khăn chung mà các doanh nghiệp khác đối mặt trong việc tuân thủ Nghị định 13/2023/NĐ-CP, cũng như các thách thức do đặc thù của lĩnh vực thương mại điện tử.
Ngoài các quy định hiện hành nêu trên, Việt Nam cũng đang có những động thái dài hạn hơn khi đang trong quá trình xây dựng Luật Bảo vệ dữ liệu cá nhân và Dự thảo Nghị định quy định về việc xử phạt vi phạm hành chính trong bảo vệ dữ liệu cá nhân. Đáng chú ý, mức xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân là khá nặng khi mức xử phạt vi phạm có thể lên tới 5% doanh thu của doanh nghiệp. Trong bối cảnh này, các doanh nghiệp nói chung và các doanh nghiệp cung cấp dịch vụ sàn thương mại điện tử nói riêng cần chủ động hơn trong việc có các biện pháp tuân thủ Nghị định 13/2023/NĐ-CP để tránh bị xử phạt khi các văn bản trên được ban hành và có hiệu lực.
Vẫn còn những thách thức trong việc tuân thủ
Đối với các Sàn thương mại điện tử, việc tuân thủ các quy định về bảo vệ dữ liệu cá nhân là một thách thức lớn do hoạt động xử lý dữ liệu cá nhân phức tạp và đa dạng trong bối cảnh số lượng người tham gia mua sắm, sử dụng dịch vụ trên các nền tảng này ngày một tăng. Các thách thức mà các sàn thương mại điện tử có thể đối mặt như sau:
Thứ nhất, việc xử lý dữ liệu cá nhân của các sàn thương mại điện tử có sự tham gia của nhiều bên. Chẳng hạn, các sàn thương mại điện tử hiện nay có thể liên kết với Google hoặc Facebook để lấy dữ liệu cá nhân của người tiêu dùng có sẵn từ các nền tảng này để tạo tài khoản tham gia giao dịch, hoặc chuyển dữ liệu cá nhân của người tiêu dùng cho các bên liên quan như đơn vị vận chuyển, đơn vị thanh toán trung gian, các nhà quảng cáo,... Điều này đặt ra vấn đề về việc đảm bảo các đối tác liên quan xử lý dữ liệu cá nhân của người tiêu dùng trên sàn thương mại điện tử đúng với quy định pháp luật.
Thứ hai, thách thức trong việc phải đáp ứng các yêu cầu về xử lý dữ liệu cá nhân từ người tiêu dùng. Theo Nghị định 13/2023/NĐ-CP, khi người tiêu dùng (chủ thể dữ liệu) có các yêu cầu như: cung cấp dữ liệu cá nhân, chỉnh sửa dữ liệu cá nhân, lưu trữ, xóa dữ liệu cá nhân, các sàn thương mại điện tử phải đáp ứng các yêu cầu này theo Nghị định 13/2023/NĐ-CP. Trong một số trường hợp, các sàn thương mại điện tử phải đáp ứng các yêu cầu này trong một thời gian nhất định, đơn cử như đối với yêu cầu xóa dữ liệu cá nhân của người tiêu dùng phải được thực hiện trong vòng 72 giờ kể từ khi có yêu cầu. Trong bối cảnh số lượng người tham gia mua sắm, sử dụng dịch vụ trên các sàn thương mại điện tử ngày càng gia tăng, quy định trên là một thách thức lớn. Ngoài ra, vi phạm về thời hạn cung cấp, xóa dữ liệu cá nhân cũng có thể dẫn đến việc bị xử phạt vi phạm hành chính theo Dự thảo Nghị định3. 
Thứ ba, thách thức tuân thủ pháp luật khi chuyển dữ liệu cá nhân ra nước ngoài. Hiện nay, một số sàn thương mại điện tử đa quốc gia có hoạt động chuyển dữ liệu cá nhân của người tiêu dùng tới máy chủ ở một quốc gia khác bên ngoài lãnh thổ Việt Nam nhằm đồng bộ dữ liệu và cung cấp dịch vụ ngay trên lãnh thổ quốc gia đó4. Chuyển dữ liệu cá nhân ra nước ngoài là một trong những hoạt động cần phải tuân thủ các quy định tại Nghị định 13/2023/NĐ-CP. Đáng chú ý, các sàn thương mại điện tử phải thực hiện thủ tục thông báo đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài với Bộ Công an và lưu giữ các hồ sơ này, đồng thời, sửa đổi, bổ sung hồ sơ khi có thay đổi nội dung trong hồ sơ đã gửi. Quy định này tạo ra áp lực cho các sàn thương mại điện tử về mặt quản lý hoạt động chuyển dữ liệu cá nhân ra nước ngoài cũng như việc theo dõi, chuẩn bị hồ sơ để thực hiện các thủ tục hành chính liên quan. Ngoài ra, về mặt kỹ thuật, việc chuyển dữ liệu cá nhân ra nước ngoài tiềm ẩn nhiều rủi ro lộ, mất dữ liệu cá nhân của công dân Việt Nam. Hành vi để lộ, mất dữ liệu dữ liệu cá nhân Việt Nam có thể bị xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân với mức phạt lên tới 5% doanh thu của doanh nghiệp5. Đây là một trong những mức phạt có tác động đáng kể về mặt tài chính đối với các doanh nghiệp.
Chúng tôi cho rằng, những vấn đề nêu trên là thách thức lớn dành cho các doanh nghiệp có hoạt động thương mại điện tử. Để có thể đảm bảo tuân thủ Nghị định 13/2023/NĐ-CP và tránh bị xử lý bởi các quy định về xử phạt vi phạm hành chính khi Dự thảo Nghị định được ban hành, các sàn thương mại điện tử cần phải ràng buộc trách nhiệm về bảo vệ dữ liệu cá nhân với các đối tác có liên quan tới hoạt động xử lý dữ liệu cá nhân của người tiêu dùng, có các cơ chế và số lượng nhân sự phù hợp để xử lý các yêu cầu về xử lý dữ liệu cá nhân, cũng như tuân thủ các thủ tục hành chính liên quan. Những công việc này đòi hỏi sự đầu tư và nguồn lực đáng kể từ các doanh nghiệp thương mại điện tử và không dễ để có thể hoàn thiện trong một thời gian ngắn.
_________
[1] https://trungtamwto.vn/file/20761/apec-nhung-nguyen-tac-co-ban-ve-bao-ve-du-lieu-ca-nhan-trong-thuong-mai-dien-tu.pdf (truy cập ngày 24/7/2024).
[2] Chương V: An toàn, an ninh trong giao dịch thương mại điện tử
[3] Điều 18.1.c và 19.1.a Dự thảo Nghị định.
[4] Tham khảo: Mục V Thông báo bảo mật của Grab, truy cập tại: https://www.grab.com/vn/terms-policies/privacy-notice/ (truy cập ngày 24/7/2024).
[5] Điều 26.4 Dự thảo Nghị định.
