Chương I, người đọc có thể có được một cái nhìn cơ bản và tổng quan về dữ liệu cá nhân. Đây sẽ là nền tảng cho việc phân tích các quy định pháp luật trong việc bảo vệ dữ liệu cá nhân. 18 CHƯƠNG II: PHÁP LUẬT VỀ DỮ LIỆU CÁ NHÂN CỦA MỘT SỐ QUỐC GIA TRÊN THẾ GIỚI Có thể thấy, pháp luật về dữ liệu cá nhân và các thiết chế để bảo vệ nó là vấn đề mang tính thực tiễn và nóng hổi không chỉ ở Việt Nam mà còn ở nhiều quốc gia khác trên thế giới. Cùng với sự phát triển của nền lập pháp, hiện nay, trên thế giới đã có khá nhiều quốc gia đã ban hành các quy định pháp luật vè bảo vệ thông tin cá nhân trên mạng nói riêng và bảo vệ dữ liệu cá nhân nói chung.
Đây cũng chính là cơ hội để Việt Nam có thể tham khảo, nghiên cứu để có thể xây dựng khung pháp lý bảo vệ dữ liệu cá nhân trong bối cảnh đất nước ngày càng phát triển làm cho quyền riêng tư của mỗi cá nhân càng phải được bảo vệ. Trong đề tài này, tác giả sẽ phân tích các quy định pháp luật của các quốc gia, khu vực có hệ thống pháp luật về dữ liệu cá nhân hoàn thiện nhất như: Liên minh Châu Âu, bang California (Hoa Kỳ), Singapore. Phạm vi điều chỉnh và đối tượng điều chỉnh Theo quy định tại Điều 2.1 Luật Bảo vệ dữ liệu cá nhân Singapore năm 2012, phạm vi áp dụng là tất cả các cá nhân, tổ chức được thành lập hoặc được công nhận theo pháp luật Singapore hoặc có nơi cư trú hoặc văn phòng đại diện hoặc địa điểm kinh doanh tại Singapore. 21 Bên cạnh đó, PDPA chỉ áp dụng nếu các dữ liệu cá nhân được thu thập, sử dụng hoặc tiết lộ tại Singapore.
Tuy nhiên, PDPA cũng xác lập nguyên tắc bảo vệ các dữ liệu cá nhân được chuyển giao qua biên giới. Theo đó, các tổ chức, cá nhân có trách nhiệm đảm bảo răng các dữ liệu cá nhân được chuyển ra khỏi Singapore cũng sẽ có được sự bảo vệ tương đương sự bảo vệ theo quy định của PDPA.22 Điều 3 của GDPR quy định phạm vi áp dụng trong các trường hợp sau:23 21 Xem https://sso.sg/Act/PDPA2012?ProvIds=P11-#pr2- (truy cập ngày 24/6/2022) 22 Nguyễn Thị Kim Ngân, “Pháp luật của một số quốc gia Đông Nam Á về bảo vệ dữ liệu cá nhân và các gợi ý cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 2019, số 7 (383) 23 Xem https://gdpr-info.eu/art-3-gdpr/ (truy cập ngày 24/6/2022) 19 Thứ nhất, áp dụng cho tất cả các cá nhân, pháp nhân hoặc các tổ chức khác trong Liên minh. Trường hợp này được áp dụng không phân biệt việc xử lý dữ liệu cá nhân đó diễn ra trong hay ngoài Liên minh. Thứ hai, áp dụng đối với các cá nhân, pháp nhân hoặc các tổ chức khác không được thành lập trong Liên minh nhưng có các hoạt động xử lý dữ liệu liên quan đến: i) việc cung cấp hàng hóa hoặc dịch vụ, bất kể đối tượng dữ liệu có được yêu cầu thanh toán hay không, cho các đối tượng dữ liệu đó trong Liên minh; hoặc ii) việc giám sát hành vi của họ trong chừng mực hành vi của họ diễn ra trong Liên minh.
Thứ ba, áp dụng đối với các cá nhân, pháp nhân hoặc các tổ chức khác không được thành lập trong Liên minh nhưng được thành lập ở một nơi mà luật của Quốc gia Thành viên được áp dụng theo Công pháp quốc tế. Cho đến nay, Hoa Kỳ chưa có bất kỳ đạo luật riêng nào ở cấp liên bang về bảo vệ dữ liệu cá nhân song vấn đề này đã được nêu trong văn bản pháp luật ban hành theo từng ngành, từng đối tượng. Ví dụ, Luật Bảo vệ quyền về sự riêng tư của trẻ em (COPPA); Luật về Trách nhiệm giải trình và trách nhiệm bảo hiểm y tế (HIPPA); Luật Bảo vệ quyền về sự riêng tư video – ngăn chặn việc tiết lộ sai thông tin của một cá nhân xuất phát từ việc cho thuê hoặc mua tài liệu nghe nhìn của họ. Sau khi GDPR được thông qua, một số tiểu bang của Hoa Kỳ đã đề xuất luật bảo vệ dữ liệu của riêng họ.
Luật về Sự riêng tư của người tiêu dùng bang California (CCPA) dự kiến sẽ trở thành luật về quyền về sự riêng tư dữ liệu toàn diện nhất ở Hoa Kỳ.24 Theo đó, đạo luật này chỉ được áp dụng đối với các cư dân California, các doanh nghiệp đáp ứng một trong các điều kiện:25 24 Vũ Công Giao và Lê Trần Như Tuyên, “Bảo vệ quyền đối với dữ liệu cá nhân trong pháp luật quốc tế, pháp luật ở một số quốc gia và giá trị tham khảo cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 05/2020, số 9 (409) 25 Xem https://leginfo.gov/faces/codes_displayText.&lawCode=CIV&title=1.5 (truy cập ngày 24/6/2022) 20 i) Có tổng doanh thu hằng năm trên 25 triệu USD; ii) Mua, nhận hoặc bán thông tin cá nhân của 50.000 cư dân, hộ gia đình hoặc thiết bị ở California trở lên; hoặc iii) Kiếm được 50% hoặc nhiều hơn doanh thu hàng năm của họ từ việc bán thông tin cá nhân của cư dân California. Có thể đối với các quy định mang tính chất chi tiết, điều kiện để các tổ chức, cá nhân thuộc phạm vi điều chỉnh của các đạo luật bảo vệ dữ liệu cá nhân của các quốc gia, khu vực trên là khác nhau. Tuy nhiên, pháp luật của Singapore, Liên minh Châu Âu hay California (Hoa Kỳ) đều hướng đến việc mở rộng phạm vi điều chỉnh không chỉ ở trong nước hoặc trong khu vực. Các tổ chức, cá nhân ngoài khu vực, quốc gia có thể thuộc phạm vi điều chỉnh của đạo luật bảo vệ dữ liệu cá nhân nếu thỏa mãn một số điều kiện hoặc có một số hoạt động luật định.
Điều này giúp tăng cường sự hiệu quả trong việc xây dựng các thiết chế bảo vệ dữ liệu cá nhân. Quyền và nghĩa vụ của các chủ thể liên quan 2. Đối với chủ thể thu thập, lưu giữ, sử dụng dữ liệu 2. Cần có sự đồng ý của chủ thể dữ liệu Theo quy định tại Điều 6 và Điều 7 của GDPR, việc thu thập, lưu giữ, sử dụng chỉ hợp pháp khi có sự đồng ý của chủ thể dữ liệu cho một hoặc nhiều mục đích cụ thể.
Sự đồng ý của chủ thể dữ liệu cá nhân phải rõ ràng, đó phải là một tuyên bố hoặc một hành động cụ thể. Sự tuyên bố phải được thành lập bằng văn bản, phương tiện điện tử hoặc bằng lời nói; hoặc có một hành động chủ động, để không có sự hiểu lầm rằng chủ thể dữ liệu đã đồng ý với việc xử lý dữ liệu đó. Sự im lặng sẽ không cấu thành sự đồng ý. Bên cạnh đó, theo quy định tại Điều 7 GDPR, chủ thể dữ liệu cũng có quyền rút lại sự đồng ý của họ bất cứ lúc nào, quyền này phải được thông báo rõ ràng cho chủ thể dữ liệu trước khi chủ thể này đồng ý.26 26 Council of Europe, Handbook on European data protection law, Publication Office of the EU, 2018, pp.
21 Pháp luật của Singapore cũng có quy định tương tự GDPR, các chủ thể khác chỉ được thu thập, lưu giữ, sử dụng và tiết lộ dữ liệu cá nhân nếu có được sự đồng ý của chủ thể dữ liệu cá nhân.27 Hình thức của sự đồng ý có thể là bằng văn bản hoặc lời nói (nếu đáp ứng điều kiện về chứng minh). Sự đồng ý này cũng có thể được thể hiện thông qua ngầm định (Deemed consent). Theo quy định tại Điều 15 PDPA, sự đồng ý ngầm định được thể hiện thông qua sự tự nguyện cung cấp dữ liệu của chủ thể dữ liệu (hoặc có căn cứ hợp lý để cho rằng cá nhân tự nguyện).28 Có thể thấy đây là điểm khác biệt giữ PDPA và GDPR, theo quy định của GDPR, sự đồng ý không thể được ngụ ý và phải luôn được đưa ra bằng một tuyên bố hoặc một hành động rõ rang để tránh sự hiểu lầm về sự đồng ý của chủ thể dữ liệu. Tuy nhiên, giống với GDPR, theo quy định của PDPA, chủ thể dữ liệu có thể rút lại sự đồng ý của mình vào bất kỳ thời gian nào.
Trong một số trường hợp, các hành vi thu thập, lưu giữ, sử dụng hoặc tiết lộ dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu: (i) trường hợp rõ ràng là vì lợi ích của chủ dữ liệu cá nhân và sự đồng ý không thể có được một cách kịp thời; (ii) trường hợp khẩn cấp hoặc thực sự cần thiết vì lợi ích quốc gia; (iii) trường hợp thu hồi nợ; (iv) trường hợp cung cấp các dịch vụ pháp lý; (v) trường hợp vì mục đích nghiên cứu, bao gồm các nghiên cứu mang tính lịch sử hoặc thống kê; (vi) trong trường hợp vì mục đích đánh giá.29 Ngày 01/02/2021, Luật Bảo vệ dữ liệu cá nhân Singapore (sửa đổi) 2020 có hiệu lực. Theo đó, bản sửa đổi này bổ sung thêm ngoại lệ về sự đồng ý của chủ thể dữ liệu, cho phép các DN sử dụng, thu thập và tiết lộ dữ liệu cho "các mục đích hợp pháp" để cải thiện kinh doanh, phạm vi nghiên cứu và phát triển rộng hơn.30 Bên cạnh đó, các sửa đổi bổ sung "được coi là đồng ý", PDPA giờ đây sẽ cho phép các tổ chức chia sẻ dữ liệu với các nhà thầu bên ngoài 27 Điều 13 PDPA 2012. 28 Nguyễn Thị Kim Ngân, “Pháp luật của một số quốc gia Đông Nam Á về bảo vệ dữ liệu cá nhân và các gợi ý cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 2019, số 7 (383) 29 Điều 17 PDPA 2012. 30 Xem https://www.com/2020/10/singapore-tables-changes-to-the-personal-data-protection- act-in-parliament/ (truy cập ngày 24/6/2022) 22 nhằm mục đích hoàn thành các hợp đồng của khách hàng.
Điều này phục vụ cho "các thỏa thuận thương mại hiện đại" và các mục đích thiết yếu bao gồm cả an ninh.31 Luật về Sự riêng tư của người tiêu dùng của bang California (CCPA) không có quy định về sự đồng ý của chủ thể dữ liệu. Tuy nhiên, quy định này được hiểu gián tiếp thông qua các quy định về nghĩa vụ thông báo của chủ thể thu thập dữ liệu cá nhân của người tiêu dùng và quy định về quyền từ chối bán thông tin của người tiêu dùng. Theo đó, doanh nghiệp thu thập dữ liệu cá nhân của người tiêu dùng có nghĩa vụ thông báo các danh mục và phần thông tin cá nhân cụ thể mà doanh nghiệp đã hoặc mong muốn thu thập. Thời điểm thông báo là tại hoặc trước thời điểm thu thập.32 Có thể thấy, mặc dù các quy định về hình thức đồng ý, các trường hợp đồng ý của các hệ thống pháp luật có thể khác nhau.