Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh cách mạng công nghiệp lần thứ tư và chiến lược thúc đẩy Chính phủ số, dữ liệu cá nhân (DLCN) trở thành nguồn tài nguyên quan trọng nhưng cũng đối mặt với nhiều nguy cơ bị xâm phạm. Tính đến tháng 9/2022, Việt Nam có khoảng 70 triệu người dùng Internet (chiếm 70% dân số, đứng thứ 12 thế giới và thứ 6 tại châu Á), đồng nghĩa với việc dữ liệu cá nhân của hơn 2/3 dân số đang được thu thập, chia sẻ và lưu trữ trên không gian mạng. Thực tiễn cho thấy tình trạng rò rỉ, mua bán dữ liệu cá nhân diễn ra phổ biến và công khai. Theo thống kê của Bộ Công an trong giai đoạn 2019–2020, cơ quan chức năng đã phát hiện hàng trăm cá nhân, tổ chức liên quan đến hoạt động mua bán dữ liệu quy mô lớn với tổng dung lượng bị chiếm đoạt lên tới gần 1.300 GB, chứa hàng tỷ thông tin nhạy cảm của khách hàng điện lực, ngân hàng, viễn thông, bảo hiểm và học sinh trên toàn quốc (tiêu biểu như vụ án khởi tố Lại Thị Phương - Công ty VNIT TECH và Dư Anh Quý).

Trước thực trạng các văn bản pháp luật hiện hành (như Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Bộ luật Dân sự 2015) còn bộc lộ nhiều điểm phân tán, chưa thống nhất về thuật ngữ và thiếu một đạo luật chuyên biệt, khóa luận xác định các nhiệm vụ nghiên cứu cụ thể:

  1. Làm rõ các vấn đề lý luận nền tảng về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và các học thuyết pháp lý liên quan từ các tổ chức quốc tế và các quốc gia trên thế giới.
  2. Đánh giá thực trạng hệ thống quy định pháp luật Việt Nam và thực tiễn thi hành; phân tích đối chiếu với khung pháp lý của Liên minh Châu Âu (GDPR), Nhật Bản (APPI) và Trung Quốc (PIPL) để định vị những khoảng trống lập pháp.
  3. Đề xuất các định hướng hoàn thiện cấu trúc, nội dung pháp luật và xây dựng lộ trình xây dựng khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam.

Đối tượng nghiên cứu: Các vấn đề lý luận về DLCN và bảo vệ DLCN; hệ thống quy định pháp luật thực định Việt Nam (tập trung vào các phương thức bảo vệ dưới góc độ pháp luật dân sự, kết hợp hình sự và hành chính) và pháp luật bảo vệ DLCN của một số quốc gia, khu vực trên thế giới.

Phạm vi nghiên cứu:

  • Phạm vi văn bản: Hệ thống pháp luật Việt Nam (Hiến pháp 2013, BLDS 2015, BLHS 2015, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Luật Xử lý vi phạm hành chính, Dự thảo Nghị định Bảo vệ DLCN của Bộ Công an) và pháp luật quốc tế (GDPR 2016 của EU, APPI 2022 của Nhật Bản, PIPL 2021 của Trung Quốc).
  • Phạm vi không gian: Lãnh thổ Việt Nam trong mối tương quan so sánh với Liên minh Châu Âu, Nhật Bản và Trung Quốc.
  • Phạm vi thời gian: Khảo sát các quy định và thực tiễn thực thi pháp luật chuyển biến mạnh mẽ từ năm 2015 (thời điểm ban hành Luật An toàn thông tin mạng) đến năm 2023.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết và cơ sở pháp lý

Khóa luận xây dựng hệ thống khái niệm dựa trên sự đối sánh giữa phương diện ngôn ngữ học (Từ điển Tiếng Việt của Viện Ngôn ngữ học / Hoàng Phê) và pháp lý quốc tế:

  • Công ước 1981 của Hội đồng Châu Âu về bảo vệ cá nhân trong xử lý dữ liệu tự động và Hướng dẫn của OECD: Đặt nền tảng cho định nghĩa DLCN gắn với quyền riêng tư.
  • Chỉ thị 95/46/EC và Quy định chung về bảo vệ dữ liệu (GDPR 2016) của Liên minh Châu Âu; Đạo luật Bảo vệ thông tin cá nhân (APPI 2022) của Nhật Bản; Luật Bảo vệ thông tin cá nhân (PIPL 2021) của Trung Quốc.
  • Các học thuyết pháp lý tiêu biểu: Lý thuyết bảo vệ dữ liệu của Lee A. Bygrave (2002), phân loại bảo vệ dữ liệu của Mike Dutch (2010), mối quan hệ giữa quyền riêng tư và quyền bảo vệ dữ liệu qua án lệ Rundfunk (2003) của Tòa án Công lý Châu Âu (CJEU) và Tòa án Nhân quyền Châu Âu (ECtHR) dựa trên Điều 12 Tuyên ngôn Quốc tế về Nhân quyền và Điều 8 ECHR.

Phương pháp nghiên cứu

Đề tài dựa trên phương pháp luận duy vật biện chứng và duy vật lịch sử, kết hợp các phương pháp nghiên cứu chuyên ngành luật học:

  • Phương pháp hệ thống và phân tích: Sử dụng tại Chương 1 để làm sáng tỏ các khái niệm, đặc trưng, phân loại và cấu trúc của quan hệ pháp luật bảo vệ DLCN.
  • Phương pháp so sánh - đối chiếu: Sử dụng tại Chương 2 để phân tích điểm tương đồng, khác biệt giữa pháp luật Việt Nam với các chuẩn mực quốc tế (GDPR, APPI, PIPL).
  • Phương pháp suy luận logic: Rút ra các nhận xét, đánh giá thực trạng và xây dựng các đề xuất lập pháp tại Chương 2 và Chương 3.
  • Phương pháp thống kê, lấy ý kiến chuyên gia và điều tra xã hội học: Tổng hợp số liệu các vụ việc vi phạm thực tế từ cơ quan quản lý và các công trình khoa học chuyên ngành.

Nguồn dữ liệu

Nguồn dữ liệu sơ cấp gồm hệ thống văn bản quy phạm pháp luật của Việt Nam, văn bản lập pháp nước ngoài, án lệ quốc tế và báo cáo của Bộ Công an, Cổng thông tin điện tử Quốc hội. Nguồn dữ liệu thứ cấp gồm các giáo trình luật học, luận án tiến sĩ, luận văn thạc sĩ chuyên ngành và các bài báo khoa học xuất bản trên các tạp chí pháp lý uy tín trong nước và quốc tế (Oxford University Press, Springer, Penn State Journal of Law & International Affairs, SSRN).

Nội dung chính theo từng chương

Chương 1: Một số vấn đề lý luận về pháp luật bảo vệ dữ liệu cá nhân

Chương này tập trung xây dựng cơ sở lý luận về dữ liệu cá nhân, hoạt động bảo vệ DLCN và pháp luật bảo vệ DLCN:

  • Khái niệm và đặc điểm DLCN: Tác giả đưa ra định nghĩa tổng hợp: DLCN là bất kỳ thông tin liên quan (hoặc có thể liên quan) của một người riêng biệt giúp định danh (hoặc có thể định danh) người đó, được thu thập, xử lý, lưu trữ dưới dạng văn bản, số liệu, âm thanh, hình ảnh hoặc các dạng tương tự. Nghiên cứu đồng nhất nội hàm giữa "thông tin cá nhân" (TTCN) và "dữ liệu cá nhân" (DLCN), chỉ ra sự khác biệt chủ yếu xuất phát từ cách diễn đạt của từng hệ thống pháp luật (phương Tây ưu tiên dùng DLCN, một số nước Châu Á dùng TTCN). DLCN mang ba đặc điểm chính: là thông tin về cá nhân (đời sống riêng tư, thông tin riêng, thông tin gia đình); là công cụ xác định danh tính; có tính đa dạng về nội dung và hình thức vật mang tin.
  • Tiêu chí phân loại DLCN: Tác giả tổng hợp 4 tiêu chí phân loại DLCN có ý nghĩa định hướng lập pháp:
Tiêu chí phân loại Nhóm dữ liệu Ý nghĩa pháp lý
Mức độ tổn hại DLCN thông thường & DLCN nhạy cảm (tài chính, y tế, sinh trắc học, xu hướng tính dục...) Thiết lập điều kiện xử lý nghiêm ngặt hơn và mức độ bảo vệ tối đa cho dữ liệu nhạy cảm
Lĩnh vực hoạt động Dữ liệu ngân hàng, y tế, giáo dục, viễn thông, thương mại... Xây dựng khung pháp lý chuyên ngành phù hợp với quan hệ xã hội đặc thù
Khả năng nhận dạng Dữ liệu định danh trực tiếp & Dữ liệu có liên kết (kết hợp mới nhận dạng được) Xác định phạm vi và nghĩa vụ bảo vệ ngay cả khi chưa rõ tính định danh tuyệt đối
Dạng thức lưu trữ Dữ liệu điện tử & Dữ liệu phi điện tử (văn bản giấy, tranh ảnh truyền thống) Áp dụng cơ chế kỹ thuật và phương thức tiêu hủy/xóa bỏ dữ liệu phù hợp
  • Mối quan hệ giữa quyền đối với DLCN và quyền riêng tư: Quyền riêng tư là quyền cơ bản của con người (Điều 12 Tuyên ngôn Nhân quyền). Quyền đối với DLCN ban đầu được coi là một bộ phận phái sinh từ quyền riêng tư nhưng đang dần phát triển thành một quyền độc lập, tập trung vào quyền kiểm soát và tự quyết định thông tin của cá nhân.
  • Bảo vệ DLCN và pháp luật bảo vệ DLCN: Trích dẫn định nghĩa của Lee A. Bygrave và Mike Dutch, tác giả xác định bảo vệ DLCN là hoạt động áp dụng các biện pháp pháp lý và phi pháp lý nhằm phòng ngừa, ngăn chặn, khắc phục hậu quả của hành vi xâm phạm. Về mặt lập pháp, thế giới tồn tại hai xu hướng: ban hành đạo luật chuyên biệt thống nhất (EU, Nhật Bản, Trung Quốc) hoặc quy định rải rác theo từng lĩnh vực (Việt Nam, Hoa Kỳ).

Chương 2: Pháp luật Việt Nam và pháp luật một số quốc gia trên thế giới về bảo vệ dữ liệu cá nhân

Chương 2 phân tích thực trạng pháp luật thực định Việt Nam, đánh giá kết quả thực thi và so sánh với kinh nghiệm quốc tế:

  • Cấu trúc và nội dung pháp luật Việt Nam:
    • Chủ thể pháp lý: Quy định chưa đồng bộ giữa chủ thể dữ liệu (3 nhóm quyền: tự quyết định, yêu cầu bảo vệ/cải chính, khởi kiện); chủ thể quản lý/xử lý dữ liệu (3 nhóm trách nhiệm: tôn trọng quyền chủ thể, áp dụng biện pháp bảo mật, chịu trách nhiệm khi vi phạm); và bên thứ ba. Tác giả chỉ ra hạn chế của Dự thảo Nghị định Bảo vệ DLCN khi dùng khái niệm "trách nhiệm" thay vì quy định rõ "nghĩa vụ" và "giới hạn quyền" của bên xử lý dữ liệu.
    • Các phương thức bảo vệ:
      • Biện pháp dân sự: Tự bảo vệ (Điều 12 BLDS 2015) và yêu cầu cơ quan có thẩm quyền bảo vệ (Điều 11 BLDS 2015: buộc chấm dứt hành vi, bồi thường thiệt hại ngoài hợp đồng). Nghiên cứu mở rộng phân tích trường hợp nếu coi DLCN là tài sản thì có thể áp dụng Điều 164, 166, 167, 168 BLDS 2015 để kiện đòi lại dữ liệu, kiện đòi bồi thường thiệt hại theo hợp đồng.
      • Biện pháp hình sự: BLHS 2015 quy định một số tội danh liên quan như Điều 159 (xâm phạm bí mật thư tín, điện thoại - phạt tù đến 3 năm), Điều 288 (đưa hoặc sử dụng trái phép thông tin mạng - phạt tù đến 7 năm), Điều 289 (xâm nhập trái phép máy tính/phương tiện điện tử - phạt tiền đến 300 triệu đồng hoặc phạt tù đến 5 năm). Tuy nhiên, các hành vi như buôn bán, phân tích dữ liệu trái phép chưa được định danh đầy đủ.
      • Biện pháp hành chính: Các quy định rải rác trong Luật Xử lý VPHC, Nghị định 174/2013/NĐ-CP (phạt tiền từ 10.000.000 đến 70.000.000 đồng đối với các hành vi tiết lộ, mua bán thông tin riêng). Mức phạt tối đa 70 triệu đồng bị đánh giá là quá thấp, thiếu tính răn đe.
    • 8 nguyên tắc bảo vệ dữ liệu trong Dự thảo Nghị định: Hợp pháp, mục đích, tối giản, sử dụng hạn chế, chất lượng dữ liệu, an ninh, cá nhân, bảo mật. Tác giả nhận xét nguyên tắc "mục đích" và "tối giản" có sự trùng lặp về nội dung bảo đảm tính hợp pháp, cần được tinh gọn.
  • Thực tiễn thực hiện và hạn chế: Khung pháp lý Việt Nam bước đầu ghi nhận quyền bí mật đời tư (từ Hiến pháp 1959 đến 2013, Luật CNTT 2006, Luật ATTTM 2015, Luật Báo chí 2016). Tuy nhiên, pháp luật bộc lộ các hạn chế lớn: thiếu luật khung chuyên biệt; chế tài xử phạt hành chính chưa tương xứng với lợi nhuận thu được từ buôn bán dữ liệu; thiếu quy định kiểm soát dòng chảy dữ liệu xuyên biên giới.
  • Kinh nghiệm quốc tế:
    • Liên minh Châu Âu (GDPR): Mô hình bảo vệ toàn diện, coi dữ liệu là quyền cơ bản, quy định chặt chẽ quyền được lãng quên, quyền cải chính dữ liệu và chế tài phạt tài chính rất nặng.
    • Nhật Bản (APPI): Mô hình dung hòa giữa bảo vệ quyền cá nhân và thúc đẩy lưu thông dữ liệu phục vụ phát triển kinh tế số.
    • Trung Quốc (PIPL & GDCL): Kết hợp giữa bảo vệ dữ liệu cá nhân với an ninh quốc gia và quản lý chủ quyền dữ liệu.

Chương 3: Một số đề xuất hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân tại Việt Nam

Từ kết quả phân tích lý luận và so sánh luật học, tác giả đưa ra ba nhóm giải pháp:

  1. Lộ trình lập pháp: Trước mắt nhanh chóng ban hành và thực thi Nghị định về bảo vệ dữ liệu cá nhân để giải quyết các vấn đề cấp bách; về lâu dài cần xây dựng và ban hành một đạo luật chuyên biệt (Luật Bảo vệ dữ liệu cá nhân) nhằm thống nhất các quy định rải rác trong toàn bộ hệ thống pháp luật.
  2. Hoàn thiện cấu trúc pháp luật: Hệ thống hóa các quy phạm, phân định rõ ràng giữa quy định chung về bảo vệ dữ liệu và các quy định chuyên ngành (ngân hàng, viễn thông, y tế); xây dựng cơ chế quản lý dữ liệu xuyên biên giới đồng bộ.
  3. Hoàn thiện nội dung pháp luật:
    • Chuẩn hóa khái niệm DLCN và chủ thể dữ liệu; bổ sung quy định rõ ràng về "quyền được cải chính dữ liệu" (tham khảo GDPR).
    • Tách bạch giữa "nghĩa vụ pháp lý" và "trách nhiệm pháp lý" của bên xử lý dữ liệu và bên thứ ba; thiết lập giới hạn khai thác dữ liệu của doanh nghiệp.
    • Nâng cao mức phạt tiền hành chính vượt khỏi khung tối đa 70 triệu đồng hiện nay; bổ sung các cấu thành tội phạm mới trong BLHS đối với hành vi chiếm đoạt, mua bán DLCN quy mô lớn; hoàn thiện cơ chế bồi thường thiệt hại dân sự đối với quyền nhân thân và tài sản dữ liệu.

Kết quả và đóng góp của khóa luận

Kết quả nghiên cứu chính

Khóa luận đã tổng hợp và chỉ rõ các số liệu thực tế về thực trạng vi phạm dữ liệu cũng như khung chế tài pháp lý hiện hành tại Việt Nam:

Lĩnh vực Dữ liệu / Căn cứ pháp lý Thực trạng & Đánh giá của tác giả
Thực trạng xâm phạm Thống kê Bộ Công an 2019–2020; Vụ án Lại Thị Phương (VNIT TECH) Gần 1.300 GB dữ liệu cá nhân bị thu thập, mua bán trái phép với hàng tỷ thông tin nhạy cảm của khách hàng ngân hàng, điện lực, học sinh.
Chế tài Hình sự Điều 159, Điều 288, Điều 289 BLHS 2015 Mức phạt cao nhất từ 3–7 năm tù, phạt tiền đến 300 triệu đồng; tuy nhiên còn thiếu tội danh độc lập về buôn bán, khai thác DLCN trái phép.
Chế tài Hành chính Nghị định 174/2013/NĐ-CP (Điều 65, Điều 66) Mức phạt từ 10.000.000 đến tối đa 70.000.000 đồng; mức phạt quá nhẹ so với quy mô lợi nhuận bất chính, chưa đủ tính răn đe.
Nguyên tắc Dự thảo Dự thảo 02 Nghị định BV DLCN Đề xuất 8 nguyên tắc nhưng còn chồng chéo giữa nguyên tắc "mục đích" và "tối giản"; tên gọi "chất lượng dữ liệu" cần chỉnh sửa.

Giải pháp và kiến nghị

  • Xác định lộ trình lập pháp 2 bước: Ban hành Nghị định để áp dụng ngay, tiến tới xây dựng Luật Bảo vệ dữ liệu cá nhân độc lập.
  • Bổ sung quyền yêu cầu cải chính dữ liệu của chủ thể dữ liệu vào khung pháp lý Việt Nam tương thích với Điều 12–23 GDPR.
  • Quy định điều luật riêng về nghĩa vụ bắt buộc của bên xử lý dữ liệu thay vì lồng ghép chung dưới dạng quy định trách nhiệm.
  • Tăng mạnh mức phạt hành chính và hoàn thiện cơ chế khởi kiện bồi thường thiệt hại ngoài hợp đồng/trong hợp đồng theo quy định của BLDS 2015.

Đóng góp so với các nghiên cứu trước

Khóa luận không chỉ tiếp cận quyền đối với DLCN dưới góc độ quyền nhân thân/bí mật đời tư truyền thống (như các công trình của Lê Đình Nghị 2008, Trần Hoàng Đức 2016) mà còn mở rộng phân tích dưới lăng kính quyền tài sản và kinh tế số. Công trình kết hợp khảo sát liên ngành giữa ba mô hình lập pháp tiêu biểu trên thế giới (Châu Âu, Nhật Bản, Trung Quốc) để đưa ra các kiến nghị kỹ thuật cụ thể cho Dự thảo Nghị định của Bộ Công an.

Hạn chế và hướng nghiên cứu tiếp theo

  • Hạn chế: Tại thời điểm khóa luận được thực hiện (năm 2023), văn bản quy phạm pháp luật cốt lõi của Việt Nam về vấn đề này mới dừng ở mức Dự thảo Nghị định của Bộ Công an (Dự thảo lần 02) nên một số phân tích chưa thể dựa trên văn bản pháp luật chính thức đã có hiệu lực. Nghiên cứu chủ yếu tập trung sâu vào phương thức bảo vệ dân sự, chưa đi sâu vào toàn bộ quy trình kỹ thuật tố tụng điện tử.
  • Hướng nghiên cứu tiếp theo: Đánh giá hiệu quả thực thi khi Nghị định Bảo vệ dữ liệu cá nhân được ban hành chính thức; nghiên cứu chuyên sâu về cơ chế quản lý dữ liệu cá nhân trong môi trường ứng dụng Trí tuệ nhân tạo (AI) và dữ liệu lớn (Big Data); khảo sát mô hình bảo vệ dữ liệu theo từng chuyên ngành của Hoa Kỳ.

Giá trị tham khảo

  • Đối tượng sử dụng: Giảng viên, sinh viên ngành Luật (đặc biệt là chuyên ngành Pháp luật Kinh tế, Luật Dân sự, Luật Quốc tế); các chuyên gia làm công tác xây dựng chính sách, lập pháp; cán bộ pháp chế doanh nghiệp (DPO, chuyên viên tuân thủ bảo mật thông tin).
  • Nội dung có giá trị cao:
    • Hệ thống hóa toàn diện các căn cứ lý luận và tiêu chí phân loại DLCN.
    • Phân tích chi tiết các phương thức bảo vệ dân sự theo BLDS 2015 dưới cả hai góc độ: quyền nhân thân và quyền tài sản.
    • Phần so sánh đối chiếu kinh nghiệm lập pháp của EU (GDPR), Nhật Bản (APPI) và Trung Quốc (PIPL).

Câu hỏi thường gặp

1. Khóa luận phân loại dữ liệu cá nhân dựa trên những tiêu chí nào?
Khóa luận chia DLCN theo 4 tiêu chí: (1) Mức độ tổn hại (DLCN thông thường và DLCN nhạy cảm); (2) Ngành nghề, lĩnh vực kinh doanh (ngân hàng, y tế, giáo dục, viễn thông...); (3) Khả năng nhận dạng cá nhân (dữ liệu định danh trực tiếp và dữ liệu có liên kết); (4) Dạng thức lưu trữ (dữ liệu điện tử và dữ liệu phi điện tử).

2. Mức chế tài hành chính và hình sự cao nhất đối với hành vi xâm phạm DLCN được văn bản trích dẫn là bao nhiêu?
Về hành chính, theo Nghị định 174/2013/NĐ-CP, mức phạt tiền tối đa cho hành vi mua bán hoặc trao đổi trái phép thông tin riêng chỉ là 70.000.000 đồng. Về hình sự, theo Điều 288 BLHS 2015, tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông có mức phạt tù cao nhất là 7 năm tù; Điều 289 có mức phạt tiền lên tới 300.000.000 đồng hoặc phạt tù đến 5 năm.

3. Khóa luận chỉ ra điểm hạn chế nào trong quy định quyền của chủ thể dữ liệu tại Việt Nam so với GDPR?
Dự thảo Nghị định của Việt Nam tại Điều 5 mới chỉ ghi nhận các quyền: cho phép xử lý dữ liệu, nhận thông báo, xem/phản hồi và cung cấp bản sao dữ liệu. So với Điều 12–23 của GDPR (Liên minh Châu Âu), quy định của Việt Nam còn thiếu "quyền được yêu cầu cải chính dữ liệu" khi thông tin bị sai lệch.

4. Dẫn chứng thực tế nào được tác giả sử dụng để chứng minh tính cấp bách của tình trạng lộ lọt dữ liệu?
Tác giả dẫn số liệu của Bộ Công an trong 2 năm 2019–2020 phát hiện gần 1.300 GB dữ liệu cá nhân bị thu thập, mua bán trái phép. Tiêu biểu là vụ án hình sự đối với Lại Thị Phương (Giám đốc Công ty VNIT TECH) và Dư Anh Quý chiếm đoạt gần 1.300 GB dữ liệu chứa hàng tỷ thông tin của khách hàng điện lực, trường học, ngân hàng, viễn thông, bất động sản trên cả nước để rao bán trên không gian mạng.

5. Vì sao tác giả cho rằng 8 nguyên tắc bảo vệ dữ liệu trong Dự thảo Nghị định cần được điều chỉnh?
Dự thảo đặt ra 8 nguyên tắc (hợp pháp, mục đích, tối giản, sử dụng hạn chế, chất lượng dữ liệu, an ninh, cá nhân, bảo mật). Tác giả nhận định nguyên tắc "mục đích" và "tối giản" thực chất đều nhằm đảm bảo tính hợp pháp và an toàn cho chủ thể dữ liệu nên không nhất thiết phải tách riêng; đồng thời tên gọi "nguyên tắc về chất lượng dữ liệu" cần được điều chỉnh theo hướng bảo đảm dữ liệu mô tả chính xác.

Kết luận

Khóa luận tốt nghiệp của tác giả Phạm Gia Lưu Phương đã giải quyết một cách có hệ thống các vấn đề lý luận và thực tiễn về pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam. Công trình chỉ rõ những bất cập trong hệ thống pháp luật thực định như sự phân tán, chế tài xử phạt hành chính thấp (tối đa 70 triệu đồng) và sự thiếu hụt các quyền cơ bản so với thông lệ quốc tế. Trên cơ sở đối sánh với mô hình GDPR của Châu Âu, APPI của Nhật Bản và PIPL của Trung Quốc, nghiên cứu đã đề xuất lộ trình lập pháp phù hợp cùng các kiến nghị cụ thể nhằm hoàn thiện cấu trúc và nội dung khung pháp luật bảo vệ dữ liệu cá nhân cho Việt Nam trong kỷ nguyên số.