Tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân

Tham gia thảo luận, các đại biểu nhất trí cao với sự cần thiết và tính cấp bách của việc ban hành Luật Bảo vệ dữ liệu cá nhân, nhất là trong bối cảnh dữ liệu trở thành tài nguyên chính, tư liệu sản xuất trong kỷ nguyên số song, cần có quy định chặt chẽ, toàn diện hơn, bảo đảm tính khả thi trong triển khai tuân thủ và có cơ chế xử phạt đủ sức răn đe đối với các vi phạm về bảo vệ dữ liệu cá nhân, tạo bước tiến trong bảo vệ quyền riêng tư…

Quang cảnh phiên thảo luận tại Tổ 12

Quy định cụ thể mức xử phạt tương ứng với từng mức độ vi phạm

Theo đại biểu Trần Đinh Chung (TP. Đà Nẵng), từ một số vụ án lừa đảo, chiếm đoạt tài sản quy mô lớn trên không gian mạng, có thể thấy dữ liệu cá nhân và kho dữ liệu được phân tích, tổng hợp trái phép là yếu tố chính giúp các đối tượng tiếp cận người bị hại để lừa đảo. Vậy bài toán rất khó đặt ra cho chúng ta cần giải quyết hiện nay là phải bảo vệ như thế nào khi dữ liệu của công dân Việt Nam đã bị lộ, mất, xâm phạm quy mô lớn. Bởi vậy, mục tiêu xây dựng Luật Bảo vệ dữ liệu cá nhân cần có các quy định chặt chẽ, toàn diện hơn, bảo đảm tính khả thi trong triển khai tuân thủ và có cơ chế xử phạt đủ sức răn đe đối với các vi phạm về bảo vệ dữ liệu cá nhân.

Phó Chủ tịch Quốc hội Nguyễn Thị Thanh phát biểu tại phiên thảo luận tổ

Góp ý cụ thể về phạm vi điều chỉnh của Luật, đại biểu nêu thực trạng hệ thống pháp luật liên quan tới thông tin cá nhân, dữ liệu cá nhân còn rải rác tại rất nhiều văn bản, thiếu thống nhất và tồn tại khoảng trống pháp lý. Do đó, Luật này cần là luật gốc, quy phạm tất cả các vấn đề liên quan đến bảo vệ dữ liệu cá nhân. Các luật chuyên ngành có liên quan đến quá trình xử lý dữ liệu cá nhân cần thực hiện theo nguyên tắc không trái với nguyên tắc bảo vệ và quyền căn bản của chủ thể theo Luật này.

ĐBQH Trần Đình Chung tham gia ý kiến

Bên cạnh đó, để bảo đảm sự tương thích, đồng bộ trong hệ thống pháp luật, kiến nghị cần rà soát kỹ lưỡng Luật này và Luật Dữ liệu, đặc biệt là đối với các nghĩa vụ của tổ chức, doanh nghiệp trong hoạt động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân ra nước ngoài để không làm phát sinh thủ tục trùng lặp, tăng chi phí tuân thủ và nguồn lực quản lý của cơ quan chuyên trách. Mặt khác, cần đơn giản hóa yêu cầu hồ sơ, phân loại yêu cầu theo tính chất, quy mô, tham khảo kinh nghiệm quốc tế và ứng dụng khoa học công nghệ phục vụ công tác quản lý.

Đại biểu Đinh Việt Dũng (Ninh Bình) điều hành phiên thảo luận tổ

Đối với vấn đề xử phạt theo % doanh thu đối với một số hành vi vi phạm về bảo vệ dữ liệu cá nhân tại Điều 4, các đại biểu nhất trí với sự cần thiết phải có các chế tài xử phạt đủ sức răn đe và tương xứng với hoạt động thu lợi bất chính từ việc xâm phạm dữ liệu cá nhân. Tuy nhiên, để bảo đảm tính khả thi áp dụng với nhiều loại hình tổ chức, đề nghị quy định trường hợp cụ thể đối với tổ chức có doanh thu năm liên trước và tổ chức không có doanh thu; quy định mức độ ảnh hưởng của vi phạm như thế nào thì sẽ áp dụng mức xử phạt theo doanh thu.

Cần quy định rõ nghĩa việc mua, bán dữ liệu cá nhân

Liên quan đến nội dung cấm mua, bán dữ liệu cá nhân tại Điều 7 hiện đang tồn tại 3 luồng quan điểm, (1) là có thể cho phép mua, bán dữ liệu cá nhân trong trường hợp chủ thể dữ liệu đồng ý, (2) là cấm mua, bán dữ liệu cá nhân dưới mọi hình thức và (3) là vẫn có trường hợp được mua, bán dữ liệu cá nhân theo quy định của pháp luật.

Đại biểu Nguyễn Thị Mai Phương (Gia Lai) đóng góp ý kiến và Dự thảo Luật Bảo vệ dữ liệu cá nhân

Theo các đại biểu, hoạt động “rao bán data”, tức là các gói dữ liệu cá nhân bị chiếm đoạt, thu thập trái phép bằng nhiều hình thức, thậm chí bằng công nghệ AI, hệ thống kỹ thuật chuyên biệt được các đối tượng đưa lên “chợ đen” để bán kiếm lời. Hoạt động này đã biến dữ liệu cá nhân thành một loại hàng hóa, mua đi bán lại với sự định đoạt sẽ sử dụng dữ liệu cá nhân đó vào mục đích gì của người mua.

Thực tế, mục đích sử dụng sau khi mua là các mục đích phạm pháp. Đối với trường hợp chủ thể dữ liệu đồng ý bán dữ liệu cá nhân của mình thì hành vi này cũng nguy cơ để lại những hậu quả, thiệt hại cho chính chủ thể đó do không thể kiểm soát được mục đích mua dữ liệu và hoạt động mua đi bán lại sau đó. Do đó, với nội hàm mua bán dữ liệu cá nhân như một hàng hóa, trao toàn quyền định đoạt cho bên mua cần cấm tuyệt đối.

Đối với quan điểm chỉ cấm mua, bán dữ liệu cá nhân trái pháp luật, các đại biểu cho rằng, để thống nhất và minh bạch trong việc phân định thế nào là mua, bán trái phép và được mua, bán theo quy định của pháp luật, đề nghị sử dụng một thuật ngữ khác cho các hoạt động trao đổi, sử dụng dữ liệu cá nhân và có trả phí. Thuật ngữ này cần được định nghĩa rõ trong Luật và nếu có các quy định khác về hoạt động sử dụng dữ liệu cá nhân này thì phải theo quy định của Luật khác. Còn đối với thuật ngữ “mua, bán” dữ liệu cá nhân, Luật cần thống nhất 1 cách hiểu duy nhất để tránh khó khăn trong việc phân định hành vi trái phép và hợp pháp, dẫn đến kẽ hở để tội phạm lách luật.

Liên quan đến quyền của chủ thể dữ liệu, đại biểu Châu Ngọc Tuấn (Gia Lai) đề nghị, tại Khoản 9 Điều 8 dự thảo cần tách nội dung quy định về “quyền khởi kiện” gộp với quy định tại Khoản 10 Điều 8 để quy định về “Quyền khởi kiện, quyền yêu cầu bồi thường thiệt hại” nhằm bảo đảm tính rõ ràng, thống nhất.

Đại biểu Châu Ngọc Tuấn tham gia ý kiến

Về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến tại điểm a Khoản 3 Điều 34, đại biểu đề nghị nghiên cứu, xác định có các chủ thể khác được bảo vệ dữ liệu cá nhân ngoài “công dân Việt Nam” hay không? Trên cơ sở đó, chỉnh sửa nội dung nhằm bảo đảm thống nhất và phù hợp với quy định về đối tượng áp dụng tại điểm b, điểm c Khoản 2 Điều 1 của dự thảo Luật.

Bổ sung nghĩa vụ cập nhật dữ liệu kịp thời

Đánh giá cao ý kiến cụ thể của các đại biểu, Phó Chủ tịch Quốc hội Nguyễn Thị Thanh cũng bày tỏ tán thành với sự cần thiết và tính cấp bách của việc ban hành Luật Bảo vệ dữ liệu cá nhân.

Đại biểu Trần Thị Hồng Thanh (Ninh Bình) đóng góp ý kiến

Cho ý kiến cụ thể vào dự thảo Luật này, Phó Chủ tịch Quốc hội dẫn chứng, trong dự thảo Luật có nhiều lần nhắc tới dữ liệu cá nhân nhạy cảm và Điều 50 có quy định biện pháp bảo vệ dữ liệu cá nhân nhạy cảm. Tuy nhiên, dự thảo lại không định nghĩa hoặc phân loại cụ thể đâu là dữ liệu cá nhân nhạy cảm. Nhấn mạnh điều này có thể dẫn đến vướng mắc trong thực tiễn, Phó Chủ tịch Quốc hội đề nghị, cần bổ sung một khoản riêng trong Điều 2 giải thích từ ngữ “dữ liệu cá nhân nhạy cảm”.

Tại Điều 8 dự thảo Luật đã quy định khá toàn diện về các quyền mà mỗi cá nhân chúng ta được hưởng đối với dữ liệu cá nhân của chính mình, như quyền được biết, quyền đồng ý, đến quyền truy cập, chỉnh sửa, rút lại sự đồng ý, xóa dữ liệu, hạn chế xử lý, cung cấp dữ liệu, phản đối, khiếu nại, tố cáo, yêu cầu bồi thường và tự bảo vệ, tất cả đều thể hiện sự tôn trọng sâu sắc đối với quyền tự chủ thông tin của mỗi người. Song, theo Phó Chủ tịch Quốc hội, trong bối cảnh công nghệ số đang phát triển với tốc độ vũ bão, để bảo vệ chủ thể dữ liệu một cách toàn diện hơn, cần cân nhắc bổ sung quyền không bị phân biệt đối xử dựa trên việc thực hiện các quyền của mình theo dự thảo Luật này.

Đại biểu Siu Hương (Gia Lai) phát biểu ý kiến

Liên quan đến nghĩa vụ của chủ thể xử lý dữ liệu, dự thảo Luật đã quy định các nghĩa vụ cơ bản như tôn trọng dữ liệu, cung cấp thông tin chính xác và tuân thủ pháp luật. Để tăng cường hơn nữa trách nhiệm của chủ thể dữ liệu, Phó Chủ tịch Quốc hội Nguyễn Thị Thanh đề nghị bổ sung nghĩa vụ cập nhật dữ liệu kịp thời. Theo đó, chủ thể dữ liệu cần có trách nhiệm thông báo cho bên kiểm soát khi có bất kỳ sự thay đổi nào về dữ liệu cá nhân đã cung cấp, bảo đảm tính chính xác và cập nhật của thông tin.

Đề cập đến quyền rút lại sự đồng ý của chủ thể dữ liệu được quy định tại Điều 11 dự thảo Luật, Phó Chủ tịch Quốc hội cho rằng: đây là một quyền năng quan trọng, cho phép cá nhân thay đổi quyết định của mình. Luật khẳng định việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của các hoạt động xử lý đã được thực hiện trước đó. Hình thức rút lại cũng được quy định tương tự như hình thức đưa ra sự đồng ý, tạo sự thuận tiện cho người dân. Đặc biệt, nghĩa vụ thông báo về những hậu quả có thể xảy ra khi rút lại sự đồng ý giúp chủ thể dữ liệu cân nhắc kỹ lưỡng trước khi đưa ra quyết định.

Tuy nhiên, Phó Chủ tịch Quốc hội cũng đề nghị, cơ quan soạn thảo cần cân nhắc bổ sung quy định cụ thể tối đa là bao nhiêu thời gian để các bên liên quan phải thực hiện việc ngừng xử lý dữ liệu sau khi nhận được yêu cầu rút lại sự đồng ý, nhằm bảo đảm quyền của chủ thể dữ liệu được thực thi một cách kịp thời.

Phạm Trọng Hiếu