Vấn đề bảo vệ dữ liệu cá nhân theo pháp luật một số quốc gia và đề xuất cho Việt Nam

Bảo vệ dữ liệu cá nhân là một vấn đề ngày càng trở nên quan trọng trong thời đại số. 88 trang · Trường Đại Học Luật Tp.hcm.

• Tác giả: Đặng Đức Khải
• Người hướng dẫn: Ts. Nguyễn Thị Hoa
• Trường học: Trường Đại Học Luật Tp.hcm
• Chuyên ngành: Luật Quốc Tế
• Đề tài: Vấn Đề Bảo Vệ Dữ Liệu Cá Nhân Theo Pháp Luật Một Số Quốc Gia Và Đề Xuất Cho Việt Nam
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2018 - 2022
• Địa điểm: Tp. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• PHẦN MỞ ĐẦU
• 0.1. Lí do chọn đề tài
• 0.2. Tình hình nghiên cứu liên quan đến đề tài
• 0.3. Phạm vi nghiên cứu
• 0.4. Phương pháp nghiên cứu
• 0.5. Bố cục của đề tài
• 1. CHƯƠNG 1: KHÁI QUÁT CHUNG VỀ DỮ LIỆU CÁ NHÂN
• 1.1. Khái niệm dữ liệu cá nhân
• 1.2. Đặc điểm dữ liệu cá nhân
• 1.3. Tầm quan trọng của việc bảo vệ dữ liệu cá nhân
• 1.4. KẾT LUẬN CHƯƠNG I
• 2. CHƯƠNG 2: PHÁP LUẬT VỀ DỮ LIỆU CÁ NHÂN CỦA MỘT SỐ QUỐC GIA TRÊN THẾ GIỚI
• 2.1. Phạm vi điều chỉnh và đối tượng điều chỉnh
• 2.2. Quyền và nghĩa vụ của các chủ thể liên quan
• 2.2.1. Đối với chủ thể thu thập, lưu giữ, sử dụng dữ liệu
• 2.2.2. Đối với chủ thể dữ liệu cá nhân
• 2.3. Cơ chế bảo vệ dữ liệu cá nhân
• 2.3.1. Cơ chế bảo vệ dữ liệu cá nhân theo GDPR
• 2.3.2. Cơ chế bảo vệ dữ liệu cá nhân theo PDPA
• 2.3.3. Cơ chế bảo vệ dữ liệu cá nhân theo CCPA
• 2.4. Chế tài xử phạt đối với các hành vi vi phạm
• 2.4.1. Các biện pháp chế tài theo GDPR
• 2.4.2. Các biện pháp chế tài theo PDPA
• 2.4.3. Các biện pháp chế tài theo CCPA
• 2.5. KẾT LUẬN CHƯƠNG II
• 3. CHƯƠNG 3: PHÁP LUẬT VỀ DỮ LIỆU CÁ NHÂN Ở VIỆT NAM
• 3.1. Thực trạng pháp luật về dữ liệu cá nhân ở Việt Nam
• 3.2. Khung pháp lý của Việt Nam liên quan đến dữ liệu cá nhân
• 3.2.1. Phạm vi và đối tượng điều chỉnh
• 3.2.2. Quyền và nghĩa vụ của chủ thể xử lý dữ liệu
• 3.2.3. Quyền và nghĩa vụ của chủ thể dữ liệu
• 3.3. Cơ chế bảo vệ dữ liệu cá nhân
• 3.4. Biện pháp chế tài đối với các hành vi vi phạm
• 3.5. Vi phạm về bảo vệ dữ liệu cá nhân trong một số lĩnh vực điển hình
• 3.5.1. Trong doanh nghiệp
• 3.5.2. Trong giao dịch thương mại
• 3.5.3. Trên Internet và môi trường số
• 3.6. Một số kiến nghị trong việc hoàn thiện hệ thống pháp luật Việt Nam về bảo vệ dữ liệu cá nhân
• 3.7. KẾT LUẬN CHƯƠNG III
• KẾT LUẬN CHUNG
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về bảo vệ dữ liệu cá nhân Tầm quan trọng và thách thức

Bảo vệ dữ liệu cá nhân là một vấn đề ngày càng trở nên quan trọng trong thời đại số. Dữ liệu cá nhân không chỉ là thông tin nhận dạng mà còn là tài sản quý giá. Việc bảo vệ dữ liệu cá nhân giúp ngăn chặn các hành vi xâm phạm quyền riêng tư và bảo vệ quyền lợi của cá nhân. Tuy nhiên, thách thức lớn nhất hiện nay là sự gia tăng các mối đe dọa từ tội phạm mạng và sự thiếu hụt khung pháp lý rõ ràng.

1.1. Khái niệm và đặc điểm của dữ liệu cá nhân

Dữ liệu cá nhân được định nghĩa là thông tin có thể xác định danh tính của một cá nhân. Đặc điểm của dữ liệu cá nhân bao gồm tính nhạy cảm và khả năng bị xâm phạm. Việc hiểu rõ khái niệm này là cần thiết để xây dựng các biện pháp bảo vệ hiệu quả.

1.2. Tầm quan trọng của việc bảo vệ dữ liệu cá nhân

Bảo vệ dữ liệu cá nhân không chỉ bảo vệ quyền lợi cá nhân mà còn góp phần vào sự phát triển bền vững của xã hội. Khi dữ liệu cá nhân được bảo vệ, người dân sẽ cảm thấy an toàn hơn khi sử dụng dịch vụ trực tuyến.

II. Vấn đề bảo vệ dữ liệu cá nhân tại Việt Nam Thực trạng và thách thức

Tại Việt Nam, việc bảo vệ dữ liệu cá nhân đang gặp nhiều khó khăn. Hệ thống pháp luật chưa hoàn thiện, dẫn đến việc nhiều cá nhân không nhận thức được quyền lợi của mình. Thêm vào đó, sự phát triển nhanh chóng của công nghệ thông tin cũng tạo ra nhiều thách thức trong việc bảo vệ dữ liệu cá nhân.

2.1. Thực trạng pháp luật về bảo vệ dữ liệu cá nhân

Pháp luật Việt Nam hiện tại chưa có quy định cụ thể về bảo vệ dữ liệu cá nhân. Điều này dẫn đến việc nhiều cá nhân không được bảo vệ quyền lợi hợp pháp của mình khi dữ liệu bị xâm phạm.

2.2. Các thách thức trong việc bảo vệ dữ liệu cá nhân

Sự gia tăng tội phạm mạng và các hành vi xâm phạm quyền riêng tư đang là thách thức lớn. Nhiều cá nhân vẫn chưa hiểu rõ về quyền lợi của mình trong việc bảo vệ dữ liệu cá nhân.

III. Kinh nghiệm quốc tế về bảo vệ dữ liệu cá nhân Bài học cho Việt Nam

Nhiều quốc gia trên thế giới đã xây dựng khung pháp lý chặt chẽ để bảo vệ dữ liệu cá nhân. Kinh nghiệm từ các nước như EU, Singapore có thể là bài học quý giá cho Việt Nam trong việc hoàn thiện hệ thống pháp luật về bảo vệ dữ liệu cá nhân.

3.1. Quy định bảo vệ dữ liệu cá nhân tại EU

Quy định chung về bảo vệ dữ liệu (GDPR) của EU là một trong những khung pháp lý tiên tiến nhất. GDPR quy định rõ quyền của cá nhân và nghĩa vụ của tổ chức trong việc bảo vệ dữ liệu cá nhân.

3.2. Kinh nghiệm từ Singapore trong bảo vệ dữ liệu cá nhân

Đạo luật Bảo vệ Dữ liệu cá nhân (PDPA) của Singapore cung cấp một mô hình hiệu quả cho việc bảo vệ dữ liệu cá nhân. Các quy định này giúp nâng cao nhận thức và trách nhiệm của các tổ chức trong việc bảo vệ dữ liệu.

IV. Giải pháp bảo vệ dữ liệu cá nhân cho Việt Nam Đề xuất và khuyến nghị

Để bảo vệ dữ liệu cá nhân hiệu quả, Việt Nam cần xây dựng một khung pháp lý hoàn chỉnh và nâng cao nhận thức của người dân. Các giải pháp cần thiết bao gồm việc ban hành luật bảo vệ dữ liệu cá nhân và tăng cường các biện pháp an ninh mạng.

4.1. Đề xuất xây dựng khung pháp lý về bảo vệ dữ liệu cá nhân

Việc xây dựng một luật bảo vệ dữ liệu cá nhân rõ ràng sẽ giúp bảo vệ quyền lợi của cá nhân và tạo ra môi trường an toàn cho người sử dụng dịch vụ trực tuyến.

4.2. Tăng cường giáo dục và nâng cao nhận thức về bảo vệ dữ liệu

Nâng cao nhận thức của người dân về quyền lợi và nghĩa vụ trong việc bảo vệ dữ liệu cá nhân là rất quan trọng. Các chương trình giáo dục và truyền thông cần được triển khai rộng rãi.

V. Ứng dụng thực tiễn và kết quả nghiên cứu về bảo vệ dữ liệu cá nhân

Nghiên cứu cho thấy rằng việc bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của nhà nước mà còn là của từng cá nhân và tổ chức. Các biện pháp bảo vệ dữ liệu cá nhân đã được áp dụng tại một số doanh nghiệp và mang lại hiệu quả tích cực.

5.1. Các mô hình bảo vệ dữ liệu cá nhân tại doanh nghiệp

Nhiều doanh nghiệp đã áp dụng các biện pháp bảo vệ dữ liệu cá nhân như mã hóa và kiểm soát truy cập. Những mô hình này giúp giảm thiểu rủi ro xâm phạm dữ liệu.

5.2. Kết quả nghiên cứu về hiệu quả bảo vệ dữ liệu cá nhân

Các nghiên cứu cho thấy rằng việc áp dụng các biện pháp bảo vệ dữ liệu cá nhân đã giúp giảm thiểu các vụ xâm phạm dữ liệu và nâng cao lòng tin của khách hàng.

VI. Kết luận và tương lai của bảo vệ dữ liệu cá nhân tại Việt Nam

Bảo vệ dữ liệu cá nhân là một vấn đề cấp bách và cần thiết trong thời đại số. Việt Nam cần nhanh chóng hoàn thiện khung pháp lý và nâng cao nhận thức của người dân để bảo vệ quyền lợi của cá nhân. Tương lai của bảo vệ dữ liệu cá nhân phụ thuộc vào sự hợp tác giữa nhà nước, doanh nghiệp và người dân.

6.1. Tương lai của bảo vệ dữ liệu cá nhân tại Việt Nam

Với sự phát triển của công nghệ, việc bảo vệ dữ liệu cá nhân sẽ ngày càng trở nên phức tạp. Tuy nhiên, nếu có sự hợp tác chặt chẽ, Việt Nam có thể xây dựng một môi trường an toàn cho dữ liệu cá nhân.

6.2. Những thách thức trong tương lai

Các thách thức như tội phạm mạng và sự phát triển nhanh chóng của công nghệ sẽ tiếp tục là vấn đề lớn. Cần có các biện pháp ứng phó kịp thời để bảo vệ dữ liệu cá nhân.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp "Vấn đề bảo vệ dữ liệu cá nhân theo pháp luật một số quốc gia và đề xuất cho Việt Nam" được tác giả Đặng Đức Khải thực hiện tại Khoa Luật Quốc tế, Trường Đại học Luật TP. Hồ Chí Minh (niên khóa 2018 - 2022), dưới sự hướng dẫn khoa học của TS. Nguyễn Thị Hoa.

Bối cảnh thực tiễn của đề tài xuất phát từ sự bùng nổ của cuộc Cách mạng công nghiệp lần thứ tư, quá trình chuyển đổi số và sự phổ biến của Internet. Tại Việt Nam, tính đến tháng 1/2021, số lượng người sử dụng Internet đạt 68,72 triệu người (chiếm 70,3% dân số) và số người dùng mạng xã hội đạt 72 triệu người (chiếm 73,7% dân số). Giai đoạn 2020 - 2021 chứng kiến sự chuyển dịch mạnh mẽ sang làm việc và giao dịch trực tuyến do đại dịch COVID-19. Tuy nhiên, sự gia tăng hoạt động trên không gian mạng kéo theo nhiều rủi ro nghiêm trọng về an toàn thông tin và quyền riêng tư. Theo thống kê của Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (Bộ Công an), trong hai năm 2019 và 2020 đã phát hiện hàng trăm cá nhân, tổ chức liên quan đến hành vi mua bán dữ liệu cá nhân, triệt phá các đường dây chiếm đoạt và thu giữ gần 1.300 GB dữ liệu trái phép. Theo báo cáo của CyStack trong 9 tháng đầu năm 2020, Việt Nam ghi nhận 3.041 cuộc tấn công vào các trang mạng, đứng thứ 18 thế giới; nhiều sự cố tấn công điển hình từng xảy ra tại Vietnam Airlines (2016), Vietcombank (2018) hay vụ việc một ngân hàng bị thiệt hại 44 tỷ đồng.

Trong khi hơn 80 quốc gia trên thế giới đã ban hành luật chuyên biệt về bảo vệ dữ liệu cá nhân, hệ thống pháp luật Việt Nam tại thời điểm năm 2022 vẫn chưa có đạo luật riêng điều chỉnh toàn diện vấn đề này, các quy định còn nằm rải rác và nội hàm khái niệm còn hẹp.

Tác giả xác định 03 mục tiêu và nhiệm vụ nghiên cứu cụ thể:

1. Xác định các loại thông tin được xem là dữ liệu cá nhân, làm rõ nội hàm khái niệm và các đặc điểm cấu thành để giúp chủ thể nhận biết và bảo vệ thông tin của mình.
2. Phân tích các quy định pháp luật về quyền, nghĩa vụ của chủ thể dữ liệu và các chủ thể xử lý dữ liệu liên quan.
3. So sánh các quy định pháp luật về bảo vệ dữ liệu cá nhân của các khu vực và quốc gia phát triển (Liên minh Châu Âu, Singapore, bang California - Hoa Kỳ) với thực tiễn pháp luật Việt Nam, từ đó đề xuất một số kiến nghị nhằm xây dựng và hoàn thiện hệ thống pháp luật Việt Nam.

Đối tượng nghiên cứu của đề tài là các quy định pháp luật về bảo vệ dữ liệu cá nhân của Liên minh Châu Âu, Singapore, bang California (Hoa Kỳ) và Việt Nam, cùng thực tiễn áp dụng và tình hình vi phạm dữ liệu. Phạm vi nghiên cứu về lý luận tập trung vào khái niệm, quyền, nghĩa vụ, cơ chế bảo vệ và chế tài xử phạt; phạm vi thực tiễn tập trung vào khung pháp lý và các lĩnh vực vi phạm điển hình tại Việt Nam tính đến giai đoạn 2021 - 2022.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và nền tảng pháp lý của khóa luận được xây dựng dựa trên các văn bản quy phạm pháp luật quốc tế và quốc gia:

• Văn bản pháp luật quốc tế và khu vực: Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu (GDPR - Regulation (EU) 2016/679); Đạo luật Bảo vệ dữ liệu cá nhân của Singapore năm 2012 (PDPA 2012) và bản sửa đổi năm 2020; Đạo luật về Quyền riêng tư của người tiêu dùng bang California, Hoa Kỳ (CCPA); Hướng dẫn của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) về bảo vệ quyền riêng tư và dòng luân chuyển dữ liệu xuyên biên giới.
• Văn bản pháp luật Việt Nam: Bộ luật Dân sự năm 2015; Bộ luật Hình sự năm 2015 (sửa đổi, bổ sung năm 2017); Luật An toàn thông tin mạng năm 2015 (khoản 15 Điều 3); Luật Giao dịch điện tử (khoản 5 Điều 4); cùng các tài liệu nghiên cứu của Viện Khoa học pháp lý (Bộ Tư pháp).
• Công trình nghiên cứu tham khảo: Các bài viết học thuật của các tác giả Bạch Thị Nhã Nam, Lưu Minh Sang, Nguyễn Thị Thùy Dung, Nguyễn Hoàng Anh, Nguyễn Linh Giang, Nguyễn Thị Kim Ngân, Nguyễn Thị Thu Vân, Nguyễn Thị Nhung, Nguyễn Thị Hoa, Nguyễn Văn Cương, Vũ Công Giao, Phạm Thị Hậu, Lê Trần Như Tuyên...

Phương pháp nghiên cứu được tác giả sử dụng trong khóa luận gồm:

• Phương pháp phân tích và tổng hợp: Sử dụng xuyên suốt nhằm làm rõ các cơ sở pháp lý về định nghĩa, quyền, nghĩa vụ, cơ chế thực thi và chế tài đối với dữ liệu cá nhân từ tổng quan đến chi tiết.
• Phương pháp luật học so sánh: Đối chiếu các quy định pháp luật giữa GDPR (EU), PDPA (Singapore) và CCPA (California - Hoa Kỳ) để chỉ ra điểm tương đồng, điểm khác biệt, ưu điểm và hạn chế của từng mô hình pháp lý.
• Phương pháp logic: Vận dụng các quy luật suy luận pháp lý để đánh giá tính tương thích và đề xuất giải pháp lập pháp khả thi cho Việt Nam.
• Phương pháp thống kê số liệu và phân tích vụ việc thực tế: Khảo sát số liệu từ Bộ Công an, Cục An toàn thông tin, CyStack, We Are Social, Hootsuite và phân tích các vụ việc vi phạm, xử phạt thực tế (như án phạt 50 triệu EUR của CNIL đối với Google).

Nguồn dữ liệu của nghiên cứu bao gồm văn bản quy phạm pháp luật, báo cáo chính thức của cơ quan nhà nước, tổ chức an ninh mạng và các tài liệu học thuật trong nước, quốc tế.

Nội dung chính theo từng chương

Khóa luận được kết cấu thành 03 chương nội dung chính:

Chương I: Khái quát chung về dữ liệu cá nhân

Chương này tập trung xây dựng cơ sở lý luận về dữ liệu cá nhân thông qua việc phân tích khái niệm, đặc điểm và vai trò của việc bảo vệ dữ liệu cá nhân.

Tác giả phân tích khái niệm "dữ liệu" từ góc độ ngôn ngữ học (Đại từ điển Tiếng Việt) và góc độ pháp lý (khoản 5 Điều 4 Luật Giao dịch điện tử: thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự). Tác giả so sánh định nghĩa theo khoản 15 Điều 3 Luật An toàn thông tin mạng năm 2015 của Việt Nam với Điều 2.1 PDPA (Singapore), Điều 4 GDPR (EU) và hướng dẫn của OECD. Qua đó, tác giả đưa ra định nghĩa tổng quát: dữ liệu cá nhân là tất cả các thông tin liên quan đến một cá nhân được xác định cụ thể hoặc có thể nhận dạng được (trực tiếp hoặc gián tiếp thông qua tên, mã định danh, dữ liệu vị trí, định danh trực tuyến hoặc các yếu tố sinh lý, sinh trắc, kinh tế, xã hội...).

Tác giả xác lập 03 đặc điểm cốt lõi cấu thành dữ liệu cá nhân:

1. Thuộc phạm trù "bất kỳ thông tin nào": Hiểu theo nghĩa rộng, bao gồm từ thông tin truyền thống (tên, số định danh, ngày sinh) đến dữ liệu số (địa chỉ IP, cookie, dữ liệu sinh trắc học như vân tay, võng mạc).
2. Tính "định danh": Dữ liệu phải có khả năng xác định một cá nhân cụ thể hoặc nhận dạng gián tiếp khi kết hợp các thông tin rời rạc (như biển số xe, số bảo hiểm xã hội, email công việc).
3. Yếu tố "liên quan đến": Dữ liệu được xử lý để liên kết và đưa ra quyết định tác động đến cá nhân đó (ví dụ: nhật ký vận hành máy móc dùng để đánh giá năng suất và tiền thưởng của người lao động).

Chương I cũng làm rõ 05 khía cạnh về tầm quan trọng của việc bảo vệ dữ liệu cá nhân: bảo vệ quyền cơ bản của con người; bảo toàn danh dự, uy tín; bảo vệ nguồn vốn và tài sản chiến lược của nền kinh tế số; bảo vệ quyền của người tiêu dùng trước các hành vi thương mại hóa trái phép; và bảo đảm nền tảng an toàn cho các công nghệ Big Data, Internet of Things (IoT), Cloud Computing.

Chương II: Pháp luật về dữ liệu cá nhân của một số quốc gia trên thế giới

Chương II đi sâu vào nghiên cứu so sánh pháp luật của Liên minh Châu Âu (GDPR), Singapore (PDPA) và bang California - Hoa Kỳ (CCPA) trên 04 nhóm nội dung:

Tiêu chí so sánh	GDPR (Liên minh Châu Âu)	PDPA (Singapore)	CCPA (Bang California - Hoa Kỳ)
Phạm vi & Đối tượng điều chỉnh	Áp dụng trong EU và có hiệu lực ngoài lãnh thổ đối với tổ chức ngoài EU cung cấp hàng hóa/dịch vụ hoặc giám sát hành vi cư dân EU.	Áp dụng với tổ chức/cá nhân tại Singapore; dữ liệu thu thập, sử dụng, tiết lộ tại Singapore; kiểm soát chuyển giao xuyên biên giới.	Áp dụng với doanh nghiệp có doanh thu >25 triệu USD; hoặc xử lý dữ liệu của >50.000 cư dân/hộ gia đình; hoặc >50% doanh thu từ bán dữ liệu.
Sự đồng ý của chủ thể	Phải rõ ràng bằng văn bản/hành động chủ động; không chấp nhận im lặng; có quyền rút lại đồng ý bất cứ lúc nào.	Đồng ý rõ ràng hoặc đồng ý ngầm định (deemed consent); bản sửa đổi 2020 bổ sung ngoại lệ vì mục đích kinh doanh hợp pháp.	Không quy định bắt buộc đồng ý trước; áp dụng cơ chế thông báo tại thời điểm thu thập và quyền từ chối bán (Opt-out).
Quyền của chủ thể dữ liệu	Quyền truy cập (Điều 15); Quyền chỉnh sửa (Điều 16); Quyền được xóa / lãng quên (Điều 17); Quyền phản đối, hạn chế xử lý.	Quyền truy cập (Điều 21); Quyền chỉnh sửa (Điều 22); Không có điều khoản riêng về quyền được lãng quên (chỉ gián tiếp qua Điều 25).	Quyền yêu cầu tiết lộ/truy cập thông tin; Quyền yêu cầu chỉnh sửa; Quyền yêu cầu xóa thông tin (Mục 1798.105); Quyền không bị phân biệt đối xử.
Cơ quan giám sát chuyên trách	Các Cơ quan giám sát độc lập (Supervisory Authorities) tại từng quốc gia thành viên; Cơ chế hợp tác (Điều 60) và cơ chế một cửa.	Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC) thuộc Cơ quan Phát triển Phương tiện Thông tin Truyền thông; có các Ủy ban cố vấn hỗ trợ.	Cơ quan Bảo vệ Quyền riêng tư California (CPPA) với đầy đủ thẩm quyền hành chính và tài phán.
Chế tài xử phạt vi phạm	Phạt hành chính lên đến 20 triệu EUR hoặc 4% tổng doanh thu toàn cầu năm trước; bồi thường dân sự (Điều 82); hình sự do quốc gia quy định.	Phạt hành chính lên đến 1 triệu SGD hoặc 10% doanh thu năm (bản 2020); phạt vi phạm Do-not-Call tới 10.000 SGD; phạt hình sự tới 5.000 SGD hoặc tù tới 12 tháng.	Phạt dân sự/hành chính 2.500 USD/vi phạm hoặc 7.500 USD/vi phạm cố ý; bồi thường thiệt hại cho người tiêu dùng; không có chế tài hình sự.

Chương này rút ra bài học kinh nghiệm quốc tế: xây dựng cơ quan bảo vệ chuyên trách độc lập, áp dụng mức phạt tính theo tỷ lệ phần trăm doanh thu nhằm răn đe các tập đoàn lớn, và mở rộng hiệu lực ngoài lãnh thổ đối với luồng dữ liệu số xuyên biên giới.

Chương III: Pháp luật về dữ liệu cá nhân ở Việt Nam

Chương III phân tích thực trạng hệ thống pháp luật Việt Nam, chỉ ra khoảng cách giữa quy định hiện hành và chuẩn mực quốc tế:

• Khung pháp lý phân tán: Quy định về bảo vệ thông tin nằm rải rác trong Bộ luật Dân sự 2015, Bộ luật Hình sự 2015 (sửa đổi 2017), Luật An toàn thông tin mạng 2015, Luật Giao dịch điện tử, Luật Công nghệ thông tin, Luật Bảo vệ quyền lợi người tiêu dùng. Việt Nam chưa có luật riêng về bảo vệ dữ liệu cá nhân.
• Hạn chế về khái niệm: Pháp luật Việt Nam sử dụng thuật ngữ "thông tin cá nhân" với nội hàm gắn liền với việc xác định danh tính trực tiếp của cá nhân (khoản 15 Điều 3 Luật An toàn thông tin mạng 2015), chưa bao quát các dữ liệu định danh gián tiếp, dữ liệu hành vi, vị trí hay dữ liệu sinh trắc học như GDPR và CCPA.
• Thiếu vắng cơ quan chuyên trách: Chưa thiết lập cơ quan quản lý và giám sát độc lập chuyên trách về bảo vệ dữ liệu cá nhân.
• Thực trạng vi phạm trong các lĩnh vực điển hình:
  1. Trong nội bộ doanh nghiệp: Rò rỉ thông tin nhân viên và khách hàng do thiếu quy trình bảo mật kỹ thuật.
  2. Trong giao dịch thương mại: Mua bán, chia sẻ dữ liệu người tiêu dùng trái phép cho bên thứ ba phục vụ tiếp thị, quảng cáo quấy rối qua điện thoại.
  3. Trên Internet và môi trường số: Tấn công mạng chiếm đoạt cơ sở dữ liệu quy mô lớn (dẫn chứng gần 1.300 GB dữ liệu bị mua bán; 3.041 cuộc tấn công mạng trong 9 tháng đầu năm 2020; 163 cổng thông tin điện tử bị tấn công đầu năm 2021).
• Kiến nghị hoàn thiện: Tác giả đề xuất xây dựng văn bản quy phạm pháp luật thống nhất về bảo vệ dữ liệu cá nhân, mở rộng định nghĩa dữ liệu cá nhân, bổ sung quyền được lãng quên, thiết lập cơ quan bảo vệ dữ liệu chuyên trách và nâng cao mức chế tài xử phạt tương xứng với quy mô doanh thu của chủ thể vi phạm.

Kết quả và đóng góp

Khóa luận đạt được các kết quả cụ thể dựa trên việc tổng hợp các dữ kiện pháp lý và thực tiễn:

• Phân loại và hệ thống hóa chuẩn mực quốc tế về bảo vệ dữ liệu cá nhân qua ba hệ thống pháp luật điển hình (GDPR của EU, PDPA của Singapore, CCPA của bang California - Hoa Kỳ).
• Đối chiếu và làm rõ hạn chế của khung pháp lý Việt Nam: khái niệm "thông tin cá nhân" theo Luật An toàn thông tin mạng 2015 còn hẹp hơn đáng kể so với thông lệ quốc tế; chế tài xử phạt vi phạm hành chính chưa đủ sức răn đe so với mức phạt lên tới 20 triệu EUR/4% doanh thu (GDPR) hay 10% doanh thu (PDPA).
• Dẫn chứng số liệu thực tiễn phản ánh tính cấp bách của công tác lập pháp tại Việt Nam: 68,72 triệu người dùng Internet; vụ án thu giữ gần 1.300 GB dữ liệu cá nhân trái phép của Bộ Công an trong năm 2019 - 2020; 3.041 vụ tấn công mạng được CyStack ghi nhận trong 9 tháng đầu năm 2020.
• Đề xuất các nhóm kiến nghị mang tính định hướng lập pháp cho Việt Nam: hoàn thiện định nghĩa pháp lý theo hướng bao quát dữ liệu định danh gián tiếp, bổ sung cơ chế đồng ý tường minh, quy định quyền được xóa dữ liệu (quyền được lãng quên), hình thành cơ quan giám sát độc lập và gia tăng chế tài tài chính đối với doanh nghiệp.

Đóng góp của khóa luận là cung cấp công trình nghiên cứu luật so sánh có tính cập nhật (bao gồm cả bản sửa đổi PDPA năm 2020 có hiệu lực từ tháng 2/2021), làm tài liệu tham khảo cho quá trình xây dựng chính sách bảo vệ dữ liệu cá nhân tại Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận có một số giới hạn xuất phát từ phạm vi nghiên cứu:

• Phạm vi so sánh quốc tế tập trung vào 03 mô hình đại diện (Liên minh Châu Âu, Singapore và bang California của Hoa Kỳ), chưa mở rộng khảo sát sang các quốc gia khác trong khu vực Châu Á - Thái Bình Dương.
• Đề tài tập trung phân tích dưới góc độ khoa học pháp lý lý luận và so sánh luật học, chưa đi sâu vào các giải pháp kỹ thuật công nghệ an toàn thông tin chuyên sâu (như kiến trúc mã hóa dữ liệu, giải pháp kỹ thuật cho cổng một cửa).
• Thời điểm nghiên cứu hoàn thành vào năm 2022, khi khung pháp lý Việt Nam về bảo vệ dữ liệu cá nhân đang trong giai đoạn soạn thảo, chưa phản ánh các văn bản quy phạm pháp luật được ban hành sau thời điểm này.

Hướng nghiên cứu tiếp theo có thể mở rộng đánh giá tác động kinh tế - xã hội của các nghĩa vụ tuân thủ đối với doanh nghiệp vừa và nhỏ, cũng như nghiên cứu cơ chế giải quyết tranh chấp dữ liệu cá nhân xuyên biên giới trong các hiệp định thương mại tự do thế hệ mới.

Giá trị tham khảo

Khóa luận có giá trị tham khảo học thuật và thực tiễn đối với:

• Sinh viên, học viên chuyên ngành Luật (Luật Quốc tế, Luật So sánh, Luật Dân sự, Luật Thương mại quốc tế), ngành Công nghệ thông tin và Quản trị kinh doanh số.
• Các nhà nghiên cứu lập pháp, cán bộ quản lý nhà nước trong việc nghiên cứu kinh nghiệm quốc tế để xây dựng và hoàn thiện văn bản quy phạm pháp luật về dữ liệu cá nhân.
• Bộ phận pháp chế và tuân thủ (compliance) của các doanh nghiệp hoạt động trong lĩnh vực thương mại điện tử, công nghệ tài chính (fintech), ngân hàng có hoạt động thu thập, xử lý dữ liệu người dùng trong nước và chuyển giao dữ liệu ra nước ngoài.

Các nội dung đáng tham khảo nhất bao gồm: chương phân tích chi tiết các điều khoản của GDPR, PDPA, CCPA; bảng so sánh quyền và nghĩa vụ của chủ thể dữ liệu; và phần tổng hợp số liệu thực tế về các vụ việc rò rỉ, tấn công mạng tại Việt Nam.

Câu hỏi thường gặp

1. Khái niệm dữ liệu cá nhân theo pháp luật Việt Nam (năm 2022) có điểm gì khác biệt so với GDPR của Liên minh Châu Âu? Theo khoản 15 Điều 3 Luật An toàn thông tin mạng năm 2015, pháp luật Việt Nam tiếp cận khái niệm "thông tin cá nhân" gắn với việc xác định danh tính trực tiếp của một người cụ thể; những thông tin liên quan nhưng không có chức năng định danh trực tiếp không được xem là thông tin cá nhân. Ngược lại, Điều 4 GDPR tiếp cận theo nghĩa rộng, bao gồm bất kỳ thông tin nào liên quan đến một cá nhân được xác định hoặc có thể nhận dạng được (cả trực tiếp và gián tiếp qua định danh trực tuyến, vị trí, đặc điểm sinh trắc học, kinh tế, văn hóa, xã hội).

2. Điểm khác nhau căn bản giữa GDPR và PDPA (Singapore) về sự đồng ý của chủ thể dữ liệu là gì? GDPR (Điều 6, 7) quy định sự đồng ý phải được thể hiện rõ ràng bằng tuyên bố hoặc hành động chủ động cụ thể, dứt khoát không công nhận sự im lặng là đồng ý. Trong khi đó, PDPA (Điều 15) ngoài sự đồng ý rõ ràng còn thừa nhận hình thức "đồng ý ngầm định" (deemed consent) khi cá nhân tự nguyện cung cấp dữ liệu, đồng thời bản sửa đổi 2020 bổ sung ngoại lệ cho phép xử lý dữ liệu không cần đồng ý cho các mục đích kinh doanh hợp pháp.

3. Mức chế tài xử phạt hành chính đối với hành vi vi phạm dữ liệu cá nhân theo GDPR và PDPA tối đa là bao nhiêu? Theo Điều 83 GDPR, mức phạt hành chính tối đa có thể lên tới 20 triệu EUR hoặc 4% tổng doanh thu toàn cầu hàng năm của năm tài chính trước đó (tùy mức nào cao hơn). Theo PDPA của Singapore (sau sửa đổi 2020), mức phạt tiền hành chính tối đa là 1 triệu SGD hoặc lên tới 10% doanh thu hàng năm của tổ chức.

4. Khóa luận dẫn chứng những số liệu và vụ việc cụ thể nào về vi phạm dữ liệu cá nhân tại Việt Nam? Khóa luận nêu số liệu của Bộ Công an phát hiện đường dây chiếm đoạt, mua bán trái phép gần 1.300 GB dữ liệu cá nhân trong giai đoạn 2019 - 2020; báo cáo CyStack ghi nhận 3.041 vụ tấn công mạng trong 9 tháng đầu năm 2020; 163 trường hợp tấn công trang/cổng thông tin điện tử đầu năm 2021; cùng các sự cố tại Vietnam Airlines (2016), Vietcombank (2018) và vụ việc một ngân hàng bị tấn công gây tổn thất 44 tỷ đồng.

5. Đạo luật CCPA của bang California (Hoa Kỳ) áp dụng đối với những nhóm doanh nghiệp nào? CCPA áp dụng đối với các doanh nghiệp có hoạt động kinh doanh tại California đáp ứng ít nhất một trong ba tiêu chí: (i) có tổng doanh thu hàng năm trên 25 triệu USD; (ii) mua, nhận hoặc bán thông tin cá nhân của từ 50.000 cư dân, hộ gia đình hoặc thiết bị ở California trở lên; hoặc (iii) thu được từ 50% doanh thu hàng năm trở lên từ việc bán thông tin cá nhân của cư dân California.

Kết luận

Khóa luận tốt nghiệp của tác giả Đặng Đức Khải đã hệ thống hóa toàn diện các vấn đề lý luận về dữ liệu cá nhân và cơ chế bảo vệ quyền riêng tư trong thời đại số. Thông qua phương pháp so sánh luật học giữa GDPR (Liên minh Châu Âu), PDPA (Singapore) và CCPA (California - Hoa Kỳ), công trình chỉ rõ những khoảng trống trong khung pháp lý của Việt Nam tại thời điểm năm 2022, đặc biệt về nội hàm khái niệm, cơ chế giám sát chuyên trách và mức độ nghiêm khắc của chế tài xử phạt. Các đề xuất hoàn thiện pháp luật được đưa ra trên cơ sở kết hợp bài học kinh nghiệm quốc tế với thực tiễn vi phạm an toàn thông tin tại Việt Nam, đóng góp nguồn tư liệu tham khảo hữu ích cho công tác nghiên cứu và lập pháp chuyên ngành.

Trích đoạn nội dung tài liệu

Chương I, người đọc có thể có được một cái nhìn cơ bản và tổng quan về dữ liệu cá nhân. Đây sẽ là nền tảng cho việc phân tích các quy định pháp luật trong việc bảo vệ dữ liệu cá nhân. 18 CHƯƠNG II: PHÁP LUẬT VỀ DỮ LIỆU CÁ NHÂN CỦA MỘT SỐ QUỐC GIA TRÊN THẾ GIỚI Có thể thấy, pháp luật về dữ liệu cá nhân và các thiết chế để bảo vệ nó là vấn đề mang tính thực tiễn và nóng hổi không chỉ ở Việt Nam mà còn ở nhiều quốc gia khác trên thế giới. Cùng với sự phát triển của nền lập pháp, hiện nay, trên thế giới đã có khá nhiều quốc gia đã ban hành các quy định pháp luật vè bảo vệ thông tin cá nhân trên mạng nói riêng và bảo vệ dữ liệu cá nhân nói chung.

Đây cũng chính là cơ hội để Việt Nam có thể tham khảo, nghiên cứu để có thể xây dựng khung pháp lý bảo vệ dữ liệu cá nhân trong bối cảnh đất nước ngày càng phát triển làm cho quyền riêng tư của mỗi cá nhân càng phải được bảo vệ. Trong đề tài này, tác giả sẽ phân tích các quy định pháp luật của các quốc gia, khu vực có hệ thống pháp luật về dữ liệu cá nhân hoàn thiện nhất như: Liên minh Châu Âu, bang California (Hoa Kỳ), Singapore. Phạm vi điều chỉnh và đối tượng điều chỉnh Theo quy định tại Điều 2.1 Luật Bảo vệ dữ liệu cá nhân Singapore năm 2012, phạm vi áp dụng là tất cả các cá nhân, tổ chức được thành lập hoặc được công nhận theo pháp luật Singapore hoặc có nơi cư trú hoặc văn phòng đại diện hoặc địa điểm kinh doanh tại Singapore. 21 Bên cạnh đó, PDPA chỉ áp dụng nếu các dữ liệu cá nhân được thu thập, sử dụng hoặc tiết lộ tại Singapore.

Tuy nhiên, PDPA cũng xác lập nguyên tắc bảo vệ các dữ liệu cá nhân được chuyển giao qua biên giới. Theo đó, các tổ chức, cá nhân có trách nhiệm đảm bảo răng các dữ liệu cá nhân được chuyển ra khỏi Singapore cũng sẽ có được sự bảo vệ tương đương sự bảo vệ theo quy định của PDPA.22 Điều 3 của GDPR quy định phạm vi áp dụng trong các trường hợp sau:23 21 Xem https://sso.sg/Act/PDPA2012?ProvIds=P11-#pr2- (truy cập ngày 24/6/2022) 22 Nguyễn Thị Kim Ngân, “Pháp luật của một số quốc gia Đông Nam Á về bảo vệ dữ liệu cá nhân và các gợi ý cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 2019, số 7 (383) 23 Xem https://gdpr-info.eu/art-3-gdpr/ (truy cập ngày 24/6/2022) 19 Thứ nhất, áp dụng cho tất cả các cá nhân, pháp nhân hoặc các tổ chức khác trong Liên minh. Trường hợp này được áp dụng không phân biệt việc xử lý dữ liệu cá nhân đó diễn ra trong hay ngoài Liên minh. Thứ hai, áp dụng đối với các cá nhân, pháp nhân hoặc các tổ chức khác không được thành lập trong Liên minh nhưng có các hoạt động xử lý dữ liệu liên quan đến: i) việc cung cấp hàng hóa hoặc dịch vụ, bất kể đối tượng dữ liệu có được yêu cầu thanh toán hay không, cho các đối tượng dữ liệu đó trong Liên minh; hoặc ii) việc giám sát hành vi của họ trong chừng mực hành vi của họ diễn ra trong Liên minh.

Thứ ba, áp dụng đối với các cá nhân, pháp nhân hoặc các tổ chức khác không được thành lập trong Liên minh nhưng được thành lập ở một nơi mà luật của Quốc gia Thành viên được áp dụng theo Công pháp quốc tế. Cho đến nay, Hoa Kỳ chưa có bất kỳ đạo luật riêng nào ở cấp liên bang về bảo vệ dữ liệu cá nhân song vấn đề này đã được nêu trong văn bản pháp luật ban hành theo từng ngành, từng đối tượng. Ví dụ, Luật Bảo vệ quyền về sự riêng tư của trẻ em (COPPA); Luật về Trách nhiệm giải trình và trách nhiệm bảo hiểm y tế (HIPPA); Luật Bảo vệ quyền về sự riêng tư video – ngăn chặn việc tiết lộ sai thông tin của một cá nhân xuất phát từ việc cho thuê hoặc mua tài liệu nghe nhìn của họ. Sau khi GDPR được thông qua, một số tiểu bang của Hoa Kỳ đã đề xuất luật bảo vệ dữ liệu của riêng họ.

Luật về Sự riêng tư của người tiêu dùng bang California (CCPA) dự kiến sẽ trở thành luật về quyền về sự riêng tư dữ liệu toàn diện nhất ở Hoa Kỳ.24 Theo đó, đạo luật này chỉ được áp dụng đối với các cư dân California, các doanh nghiệp đáp ứng một trong các điều kiện:25 24 Vũ Công Giao và Lê Trần Như Tuyên, “Bảo vệ quyền đối với dữ liệu cá nhân trong pháp luật quốc tế, pháp luật ở một số quốc gia và giá trị tham khảo cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 05/2020, số 9 (409) 25 Xem https://leginfo.gov/faces/codes_displayText.&lawCode=CIV&title=1.5 (truy cập ngày 24/6/2022) 20 i) Có tổng doanh thu hằng năm trên 25 triệu USD; ii) Mua, nhận hoặc bán thông tin cá nhân của 50.000 cư dân, hộ gia đình hoặc thiết bị ở California trở lên; hoặc iii) Kiếm được 50% hoặc nhiều hơn doanh thu hàng năm của họ từ việc bán thông tin cá nhân của cư dân California. Có thể đối với các quy định mang tính chất chi tiết, điều kiện để các tổ chức, cá nhân thuộc phạm vi điều chỉnh của các đạo luật bảo vệ dữ liệu cá nhân của các quốc gia, khu vực trên là khác nhau. Tuy nhiên, pháp luật của Singapore, Liên minh Châu Âu hay California (Hoa Kỳ) đều hướng đến việc mở rộng phạm vi điều chỉnh không chỉ ở trong nước hoặc trong khu vực. Các tổ chức, cá nhân ngoài khu vực, quốc gia có thể thuộc phạm vi điều chỉnh của đạo luật bảo vệ dữ liệu cá nhân nếu thỏa mãn một số điều kiện hoặc có một số hoạt động luật định.

Điều này giúp tăng cường sự hiệu quả trong việc xây dựng các thiết chế bảo vệ dữ liệu cá nhân. Quyền và nghĩa vụ của các chủ thể liên quan 2. Đối với chủ thể thu thập, lưu giữ, sử dụng dữ liệu 2. Cần có sự đồng ý của chủ thể dữ liệu Theo quy định tại Điều 6 và Điều 7 của GDPR, việc thu thập, lưu giữ, sử dụng chỉ hợp pháp khi có sự đồng ý của chủ thể dữ liệu cho một hoặc nhiều mục đích cụ thể.

Sự đồng ý của chủ thể dữ liệu cá nhân phải rõ ràng, đó phải là một tuyên bố hoặc một hành động cụ thể. Sự tuyên bố phải được thành lập bằng văn bản, phương tiện điện tử hoặc bằng lời nói; hoặc có một hành động chủ động, để không có sự hiểu lầm rằng chủ thể dữ liệu đã đồng ý với việc xử lý dữ liệu đó. Sự im lặng sẽ không cấu thành sự đồng ý. Bên cạnh đó, theo quy định tại Điều 7 GDPR, chủ thể dữ liệu cũng có quyền rút lại sự đồng ý của họ bất cứ lúc nào, quyền này phải được thông báo rõ ràng cho chủ thể dữ liệu trước khi chủ thể này đồng ý.26 26 Council of Europe, Handbook on European data protection law, Publication Office of the EU, 2018, pp.

21 Pháp luật của Singapore cũng có quy định tương tự GDPR, các chủ thể khác chỉ được thu thập, lưu giữ, sử dụng và tiết lộ dữ liệu cá nhân nếu có được sự đồng ý của chủ thể dữ liệu cá nhân.27 Hình thức của sự đồng ý có thể là bằng văn bản hoặc lời nói (nếu đáp ứng điều kiện về chứng minh). Sự đồng ý này cũng có thể được thể hiện thông qua ngầm định (Deemed consent). Theo quy định tại Điều 15 PDPA, sự đồng ý ngầm định được thể hiện thông qua sự tự nguyện cung cấp dữ liệu của chủ thể dữ liệu (hoặc có căn cứ hợp lý để cho rằng cá nhân tự nguyện).28 Có thể thấy đây là điểm khác biệt giữ PDPA và GDPR, theo quy định của GDPR, sự đồng ý không thể được ngụ ý và phải luôn được đưa ra bằng một tuyên bố hoặc một hành động rõ rang để tránh sự hiểu lầm về sự đồng ý của chủ thể dữ liệu. Tuy nhiên, giống với GDPR, theo quy định của PDPA, chủ thể dữ liệu có thể rút lại sự đồng ý của mình vào bất kỳ thời gian nào.

Trong một số trường hợp, các hành vi thu thập, lưu giữ, sử dụng hoặc tiết lộ dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu: (i) trường hợp rõ ràng là vì lợi ích của chủ dữ liệu cá nhân và sự đồng ý không thể có được một cách kịp thời; (ii) trường hợp khẩn cấp hoặc thực sự cần thiết vì lợi ích quốc gia; (iii) trường hợp thu hồi nợ; (iv) trường hợp cung cấp các dịch vụ pháp lý; (v) trường hợp vì mục đích nghiên cứu, bao gồm các nghiên cứu mang tính lịch sử hoặc thống kê; (vi) trong trường hợp vì mục đích đánh giá.29 Ngày 01/02/2021, Luật Bảo vệ dữ liệu cá nhân Singapore (sửa đổi) 2020 có hiệu lực. Theo đó, bản sửa đổi này bổ sung thêm ngoại lệ về sự đồng ý của chủ thể dữ liệu, cho phép các DN sử dụng, thu thập và tiết lộ dữ liệu cho "các mục đích hợp pháp" để cải thiện kinh doanh, phạm vi nghiên cứu và phát triển rộng hơn.30 Bên cạnh đó, các sửa đổi bổ sung "được coi là đồng ý", PDPA giờ đây sẽ cho phép các tổ chức chia sẻ dữ liệu với các nhà thầu bên ngoài 27 Điều 13 PDPA 2012. 28 Nguyễn Thị Kim Ngân, “Pháp luật của một số quốc gia Đông Nam Á về bảo vệ dữ liệu cá nhân và các gợi ý cho Việt Nam”, Tạp chí Nghiên cứu Lập pháp, 2019, số 7 (383) 29 Điều 17 PDPA 2012. 30 Xem https://www.com/2020/10/singapore-tables-changes-to-the-personal-data-protection- act-in-parliament/ (truy cập ngày 24/6/2022) 22 nhằm mục đích hoàn thành các hợp đồng của khách hàng.

Điều này phục vụ cho "các thỏa thuận thương mại hiện đại" và các mục đích thiết yếu bao gồm cả an ninh.31 Luật về Sự riêng tư của người tiêu dùng của bang California (CCPA) không có quy định về sự đồng ý của chủ thể dữ liệu. Tuy nhiên, quy định này được hiểu gián tiếp thông qua các quy định về nghĩa vụ thông báo của chủ thể thu thập dữ liệu cá nhân của người tiêu dùng và quy định về quyền từ chối bán thông tin của người tiêu dùng. Theo đó, doanh nghiệp thu thập dữ liệu cá nhân của người tiêu dùng có nghĩa vụ thông báo các danh mục và phần thông tin cá nhân cụ thể mà doanh nghiệp đã hoặc mong muốn thu thập. Thời điểm thông báo là tại hoặc trước thời điểm thu thập.32 Có thể thấy, mặc dù các quy định về hình thức đồng ý, các trường hợp đồng ý của các hệ thống pháp luật có thể khác nhau.