Bảo vệ dữ liệu cá nhân là yêu cầu cấp thiết trong bối cảnh hiện nay khi việc xâm phạm thông tin/ dữ liệu cá nhân đang diễn ra phổ biến và gây nên nhiều hệ lụy xấu cho xã hội. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân được ban hành vào tháng 04/2023, có hiệu lực từ ngày 01/7/2023 (“Nghị định 13”) nhằm đáp ứng yêu cầu đó. Tại Việt Nam, vấn đề bảo vệ dữ liệu cá nhân vẫn còn khá mới mẻ, do đó, việc áp dụng các quy định của Nghị định 13 hiện nay tồn tại những thuận lợi và khó khăn nhất định. Trong phạm vi tham luận này, tác giả đề cập đến một số thuận lợi và khó khăn của Việt Nam nói chung và đặc biệt ở khía cạnh của các doanh nghiệp nói riêng trong quá trình triển khai và áp dụng Nghị định 13.
1. Những điểm thuận lợi trong quá trình áp dụng Nghị định 13
1.1 Có sự tham chiếu từ điều ước, quy định của luật pháp quốc tế
Với lợi thế từ việc đi sau nhiều quốc gia phát triển trên thế giới trong vấn đề bảo vệ dữ liệu cá nhân, Việt Nam có thể học hỏi được nhiều kinh nghiệm trong quá trình triển khai và áp dụng các quy định về bảo vệ dữ liệu cá nhân. Tại các Điều ước quốc tế mà Việt Nam đã tham gia như Hiệp định gia nhập WTO, Hiệp định Hiệp định Đối tác toàn diện và tiến bộ xuyên Thái Bình Dương (“CPTPP”), hay Hiệp định thương mại tự do giữa Liên minh châu Âu và Việt Nam (“EVFTA”) đều đề cập đến vấn đề bảo vệ dữ liệu cá nhân.
Cụ thể, Điều 16(c)(ii) của Hiệp định WTO về Thương mại dịch vụ quy định cho phép các quốc gia có các biện pháp hạn chế thương mại nếu cần thiết để bảo vệ quyền riêng tư của các nhân liên quan đến xử lý, phát tán dữ liệu cá nhân, các biện pháp bảo vệ tính bảo mật của các bản ghi và tài khoản cá nhân với điều kiện các biện pháp không tạo thành phân biệt đối xử tùy tiện và hạn chế thương mại trá hình. Trong khi đó, Điều 14.8 của Hiệp định CPTPP quy định các quốc gia sẽ phải xây dựng và duy trì các khung pháp lý về bảo vệ thông tin cá nhân của người dùng trong thương mại điện tử trên cơ sở cân nhắc các nguyên tắc và hướng dẫn của các thể chế quốc tế. Đặc biệt, các quốc gia sẽ không có các quy định mang tính phân biệt đối xử trong việc bảo vệ người sử dụng thương mại điện tử trước các vi phạm về bảo vệ thông tin cá nhân trong thẩm quyền xét xử của mình. Cụ thể, các quốc gia sẽ cần công bố thông tin về các biện pháp bảo vệ thông tin cá nhân dành cho người sử dụng thương mại điện tử, bao gồm các cách thức để cá nhân thực thi các quyền của mình, cũng như cách thức để các doanh nghiệp tuân thủ các quy định pháp lý liên quan. Ngoài ra, các quốc gia cần thúc đẩy và hướng đến sự tương thích giữa các quy định nội luật của các quốc gia trong CPTPP thông qua các cơ chế song phương hoặc khuôn khổ quốc tế. Cuối cùng, với EVFTA, Điều 8.45 của Hiệp định này quy định các bên sẽ phải ban hành hoặc duy trì các biện pháp phù hợp để bảo vệ dữ liệu cá nhân và quyền riêng tư, bao gồm các bản ghi và tài khoản cá nhân. Trong đó, đối với lĩnh vực tài chính, các bên sẽ cho phép chuyển thông tin ra ngoài lãnh thổ để xử lý phù hợp với tính chất cung cấp dịch vụ tài chính. Như vậy, có thể thấy, việc nhiều điều ước quốc tế quan trọng mà Việt Nam đang tham gia đã đề cập đến vấn đề bảo vệ dữ liệu cá nhân có thể là áp lực cho việc phải nhanh chóng xây dựng các quy định về bảo vệ dữ liệu cá nhân trong nước. Nhưng đây cũng chính là lợi thế cho Việt Nam, khi Việt Nam có thể xây dựng khung pháp lý về bảo vệ dữ liệu cá nhân theo hướng phù hợp với các quy định tại điều ước quốc tế, tránh xảy ra xung đột giữa điều ước quốc tế và pháp luật của quốc gia.
Ở khía cạnh luật pháp của các quốc gia, khu vực khác trên thế giới, hiện nay có nhiều quốc gia, khu vực lớn trên thế giới đã ban hành các quy định về bảo vệ dữ liệu cá nhân. Một trong những quy định có quy mô áp dụng rộng rãi hiện nay là Bộ quy tắc chung của Liên minh châu Âu về bảo vệ dữ liệu (“GDPR”), có hiệu lực từ 25/5/2018. Về cơ bản, các quy định hiện nay tại Nghị định 13 có sự tương đồng khá lớn với GDPR. Ngoài ra, cũng phải kể đến các quy định về bảo vệ dữ liệu cá nhân của các quốc gia khác như Mỹ, Pháp, Nhật Bản, Singapore, Thái Lan,… đều có thể trở thành nguồn tham khảo quý giá dành cho Việt Nam trong quá trình hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân.
1.2 Nghị định 13 ra đời trong giai đoạn triển khai mạnh mẽ các thủ tục hành chính công
Việc Nghị định 13 đặt ra nghĩa vụ cho các doanh nghiệp trong việc thực hiện các thủ tục hành chính liên quan đến vấn đề xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân ra nước ngoài đã gây nên nhiều áp lực cho các doanh nghiệp, bởi lẽ ngoài việc phải tuân thủ nhiều quy định khác trong quá trình hoạt động, giờ đây, doanh nghiệp phải thực hiện thêm thủ tục hành chính về bảo vệ dữ liệu cá nhân. Tuy nhiên, với việc Việt Nam đang thực hiện cải cách mạnh mẽ các thủ tục hành chính, cụ thể là số hóa các thủ tục hành chính, Bộ Công an gần đây cũng đã hoàn thành việc xây dựng và ra mắt Công thông tin quốc gia về bảo vệ dữ liệu cá nhân. Đáng chú ý, doanh nghiệp có thể thực hiện các thủ tục hành chính liên quan đến Nghị định 13 trên Cổng thông tin này. Mặc dù tại thời điểm này, việc nộp và tiếp nhận hồ sơ qua hình thức này vẫn đang trong quá trình hoàn thiện, trong thời gian sắp tới, đây hứa hẹn sẽ là một kênh tiếp nhận nhanh chóng và thuận tiện hơn dành cho các doanh nghiệp.
2. Những điểm khó khăn trong quá trình áp dụng Nghị định 13
2.1 Ý thức của người dân về việc bảo vệ dữ liệu cá nhân còn hạn chế
Một trong những thách thức lớn trong việc bảo vệ dữ liệu cá nhân là ý thức của người dân về vấn đề này, khi mà chính họ là chủ thể dữ liệu. Tại Việt Nam, có thể thấy vấn đề bảo vệ dữ liệu cá nhân dường như đã bị bỏ quên khá lâu, điều này cộng với ý thức của người dân còn hạn chế dẫn đến tình trạng dữ liệu cá nhân được công khai mua bán, trao đổi. Chính thói quen không đề cao tầm quan trọng của việc bảo vệ dữ liệu cá nhân đã ít nhiều khiến cho quá trình áp dụng Nghị định 13 gặp khó khăn, bởi lẽ, việc thay đổi thói quen của người dân trong một khoảng thời gian ngắn là điều không hề dễ dàng.
2.2 Cơ chế bảo vệ dữ liệu cá nhân theo quy định tại Nghị định 13 không dễ để thực thi đối với doanh nghiệp
Việc thực thi cơ chế bảo vệ dữ liệu cá nhân theo Nghị định 13 là không hề dễ dàng, mặc dù đã gần một năm kể từ khi nghị định này chính thức có hiệu lực từ ngày 01/7/2023. Có thể nói gánh nặng trách nhiệm bảo vệ dữ liệu cá nhân đã và đang đổ dồn cho doanh nghiệp khi việc tuân thủ này đặt ra nhiều trọng trách với lượng dữ liệu khổng lồ. Nhiều doanh nghiệp đã và đang triển khai xây dựng các quy định nội bộ về bảo vệ dữ liệu cá nhân, bố trí và bổ nhiệm nhân sự phụ trách công tác bảo vệ dữ liệu cá nhân trong doanh nghiệp để bảo đảm tuân thủ các yêu cầu về:
-
Đảm bảo đầy đủ quyền lợi của chủ thể dữ liệu như: quyền đồng ý, quyền được truy cập dữ liệu, quyền chỉnh sửa, quyền xóa dữ liệu, quyền rút lại sự đồng ý, ....;
-
Xây dựng quy định nội bộ về bảo vệ dữ liệu cá nhân trong doanh nghiệp mình;
-
Bố trí và bổ nhiệm nhân sự phụ trách công tác bảo vệ dữ liệu cá nhân trong doanh nghiệp;
-
Thông báo tới Bộ Công an (cụ thể là A05, Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao) khi phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân;
-
Lập, cập nhật và gửi hồ sơ đánh giá tác động của việc xử lý dữ liệu cá nhân theo mẫu tới Cục A05 trong vòng 60 ngày kể từ khi thực hiện xử lý dữ liệu cá nhân;
-
Lập, cập nhật, gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo mẫu tới Cục A05 trong vòng 60 ngày kể từ khi thực hiện xử lý dữ liệu cá nhân;
-
Ghi và lưu trữ nhật ký hệ thống xử lý dữ liệu cá nhân;
-
Phối hợp với Bộ Công an, cơ quan Nhà nước có thẩm quyền trong việc bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.
Trên thực tế triển khai Nghị định 13, tác giả nhận thấy một trong những khó khăn doanh nghiệp gặp phải khi thi hành cơ chế bảo vệ dữ liệu cá nhân theo Nghị định 13 là việc đảm bảo đầy đủ quyền lợi của chủ thể dữ liệu cá nhân. Khi các quy định tại văn bản này còn ở tầm vĩ mô, doanh nghiệp dẫu quy định trong các quy định, quy chế nội bộ cũng khó có thể bao quát toàn vẹn và dự liệu những trường hợp có khả năng xâm phạm đến quyền của chủ thể dữ liệu.
Bên cạnh đó, việc ghi và lưu trữ nhật ký hệ thống xử lý dữ liệu cá nhân cũng là một yêu cầu khó khăn đối với nhiều doanh nghiệp khi việc đầu tư vào các hệ thống công nghệ thông tin hiện đại và đào tạo đội ngũ nhân sự có kỹ năng chuyên môn cao, am hiểu quy định pháp luật đòi hỏi nhiều thời gian và chi phí. Không phải doanh nghiệp nào cũng có khả năng tài chính và nguồn lực để đáp ứng yêu cầu này, nhất là các doanh nghiệp vừa và nhỏ.
Ngoài ra, việc phối hợp với Bộ Công an và các cơ quan Nhà nước có thẩm quyền trong việc bảo vệ dữ liệu cá nhân và cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân cũng không hề dễ dàng. Doanh nghiệp cần phải đảm bảo rằng các thông tin cung cấp là chính xác và đầy đủ, điều này đòi hỏi một quy trình quản lý nghiêm ngặt và có hệ thống trong khi đa phần doanh nghiệp phải nhờ tới sự hỗ trợ của bên thứ ba hay thậm chí các cơ quan có thẩm quyền.
2.3 Khó khăn thường gặp của doanh nghiệp khi tuân thủ yêu cầu bảo vệ dữ liệu cá nhân theo Nghị định 13 trên thực tế
Với những vướng mắc về mặt cơ chế như đã nêu, việc triển khai áp dụng Nghị định 13 trên thực tế cũng sẽ phát sinh nhiều khó khăn, thách thức cho doanh nghiệp.
Thứ nhất, thách thức về chi phí đầu tư cho công nghệ và đào tạo nguồn nhân lực cho doanh nghiệp trong quá trình xây dựng các quy trình xử lý dữ liệu cá nhân nội bộ. Theo Nghị định 13, trước hết, việc tuân thủ các quyền của chủ thể dữ liệu theo Nghị định này yêu cầu doanh nghiệp phải thiết lập các quy trình rõ ràng và hiệu quả để xử lý yêu cầu về cung cấp, chỉnh sửa, lưu trữ, xóa, và hủy dữ liệu cá nhân.
Việc này đòi hỏi doanh nghiệp phải đầu tư vào các hệ thống công nghệ thông tin tiên tiến nhằm đảm bảo khả năng truy cập và xử lý dữ liệu một cách nhanh chóng và chính xác. Cụ thể, để đảm bảo quyền truy cập và chỉnh sửa dữ liệu cá nhân, doanh nghiệp cần phải thiết lập hệ thống quản lý dữ liệu (Data Management System - DMS) với khả năng bảo mật cao và dễ sử dụng. Chi phí cho việc triển khai các hệ thống này có thể rất lớn trong khi việc đào tạo nhân sự có chuyên môn phù hợp cũng là một bài toán khó dành cho doanh nghiệp. Để thực thi hiệu quả các quy trình bảo vệ dữ liệu cá nhân, doanh nghiệp cần bổ nhiệm và đào tạo các chuyên gia hoặc chuyên viên về bảo mật thông tin và quản lý dữ liệu. Các chuyên gia này phải có hiểu biết sâu rộng về các quy định pháp luật, công nghệ bảo mật và quy trình xử lý dữ liệu. Những yếu tố kể trên là một gánh nặng tài chính không nhỏ đối với doanh nghiệp và thông thường không có sẵn lực lượng này tại doanh nghiệp. Việc thiếu hụt nhân sự chuyên môn về bảo mật dữ liệu có thể góp phần làm tăng chi phí cho các doanh nghiệp khi đối mặt với vi phạm dữ liệu, với mức chi phí trung bình cho mỗi vi phạm lên hàng triệu đô la1.
.png)
Thứ hai, rủi ro vi phạm cơ chế bảo vệ dữ liệu cá nhân và gánh chịu chế tài từ cơ quan có thẩm quyền là vấn đề đáng lo ngại từ phía doanh nghiệp. Hiện nay, chưa có chế tài riêng đối với hành vi vi phạm Nghị định 13, nhưng Dự thảo Nghị định xử phạt hành chính trong lĩnh vực an ninh mạng đang được triển khai, tổng hợp nhiều hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP và mức xử phạt tương ứng (“Dự thảo Nghị định”). Với các quy định của Nghị định 13 còn khá mơ hồ, việc ban hành Dự thảo Nghị định đồng thời tạo áp lực lớn cho doanh nghiệp trong việc tuân thủ quy định về bảo vệ dữ liệu cá nhân.
Chẳng hạn, sự không thống nhất giữa Nghị định 13 và Dự thảo Nghị định có thể gây hoang mang trong quá trình ban hành quy định nội bộ doanh nghiệp về bảo vệ dữ liệu cá nhân. Theo Điểm e Khoản 1 Điều 14 của Dự thảo Nghị định, doanh nghiệp phải xóa dữ liệu cá nhân theo yêu cầu trong vòng 48 giờ, trong khi Khoản 5 Điều 16 của Nghị định 13 cho phép thời hạn lên đến 72 giờ. Sự mâu thuẫn này gây khó khăn trong việc tuân thủ và có thể dẫn đến vi phạm không đáng có, gây tranh chấp và khiếu nại.
Ngoài ra, yêu cầu xóa dữ liệu khi mục đích thu thập ban đầu không còn cần thiết cũng là một thách thức vì các văn bản hiện hành không cung cấp giới hạn định lượng cụ thể để xác định mục đích thu thập dữ liệu và cũng không có hướng dẫn liên quan từ cơ quan có thẩm quyền. Trong khi đó, Dự thảo Nghị định lại ghi nhận tại Điểm đ Khoản 1 Điều 14 về hành vi không xóa dữ liệu khi không còn cần thiết bị xử phạt từ 20 triệu đến 40 triệu đồng. Trong bối cảnh doanh nghiệp thường xuyên xử lý dữ liệu cá nhân, việc đáp ứng mọi yêu cầu xóa dữ liệu ngay lập tức là không khả thi. Buộc phải xóa dữ liệu mà không xét đến các yếu tố mục đích, thời hạn lưu trữ hoặc dự liệu các tình huống phát sinh có thể gây rủi ro cho doanh nghiệp, nhất là khi phát sinh tranh chấp.
Nhìn chung, mặc dù được nhắc đến khá nhiều trong giai đoạn gần đây, bảo vệ dữ liệu cá nhân vẫn còn là một vấn đề mới mẻ tại Việt Nam, cả về khung pháp lý lẫn thực tiễn triển khai và áp dụng. Với việc tập hợp nhiều quy định liên quan đến quyền con người, quyền công dân, tác giả cho rằng, trong thời gian sắp tới, Nghị định 13 sẽ và cần phải được thay thế bởi một văn bản luật mang giá trị pháp lý cao hơn. Từ đó, việc soạn thảo các quy định sẽ trải qua quá trình nghiên cứu, thảo luận chặt chẽ hơn, bảo đảm mỗi quy định đều phù hợp và dễ dàng để thực thi trên thực tế. Trước mắt, khi Nghị định 13 vẫn đang được áp dụng và các quy định của Dự thảo Nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng cũng đang dần hoàn thiện và hứa hẹn sẽ sớm có hiệu lực, doanh nghiệp vẫn cần tuân thủ các quy định này để tránh phát sinh các rủi ro, thiệt hại cho mình.
(Đây là bài tham luận của Luật sư Nguyễn Văn Phúc tại Hội thảo chủ đề “Bảo vệ dữ liệu cá nhân trong môi trường số - Nghiên cứu so sánh pháp luật Việt Nam và Thái Lan”)
Xem thêm:
