Bối cảnh và vấn đề nghiên cứu

Khóa luận tốt nghiệp "Bảo vệ dữ liệu cá nhân theo pháp luật Việt Nam" của tác giả Bùi Kiều Trang (chuyên ngành Pháp luật Dân sự, Trường Đại học Luật Hà Nội, dưới sự hướng dẫn khoa học của Th.S Nguyễn Thị Long, năm 2024) được thực hiện trong bối cảnh cuộc Cách mạng công nghiệp 4.0 và quá trình chuyển đổi số quốc gia đang diễn ra mạnh mẽ. Dữ liệu cá nhân (DLCN) đã trở thành một nguồn tài nguyên chiến lược, là nguyên liệu đầu vào thiết yếu cho các hoạt động quản trị nhà nước, tài chính, ngân hàng, thương mại điện tử, y tế, giáo dục và dịch vụ công dân. Theo các số liệu thực tiễn được trích dẫn trong công trình:

  • Việt Nam hiện có hơn 79 triệu người sử dụng Internet, tương đương gần 80% tổng dân số.
  • Dữ liệu cá nhân của hơn 2/3 dân số đang được lưu trữ, đăng tải, chia sẻ và thu thập trên không gian mạng dưới nhiều hình thức và mức độ chi tiết khác nhau.

Tuy nhiên, sự bùng nổ của nền kinh tế số cũng kéo theo những hệ lụy và nguy cơ an ninh nghiêm trọng. Tình trạng xâm phạm, chiếm đoạt, lộ lọt và mua bán trái phép dữ liệu cá nhân diễn ra phổ biến với thủ đoạn ngày càng tinh vi. Báo cáo đánh giá tác động chính sách của Bộ Công an được khóa luận dẫn chứng cho thấy:

  • Trong giai đoạn 2019 - 2020, khoảng 1.300 GB dữ liệu cá nhân tại Việt Nam đã bị thu thập và rao bán trái phép trên thị trường chợ đen.
  • Năm 2022, cả nước ghi nhận 12.935 trường hợp lừa đảo trực tuyến (trong đó 75% là lừa đảo tài chính và 25% liên quan đến đánh cắp dữ liệu cá nhân để phục vụ mục đích xấu).
  • Nhiều vụ việc lộ lọt dữ liệu quy mô lớn đã xảy ra: vụ 427.466 tài khoản Facebook tại Việt Nam bị hãng Cambridge Analytica khai thác dữ liệu năm 2018 (đưa Việt Nam vào nhóm 10 quốc gia bị lộ thông tin nhiều nhất trên nền tảng này); vụ rò rỉ hơn 163 triệu tài khoản khách hàng của Công ty VNG; vụ lộ hơn 5 triệu email và hàng chục nghìn thông tin thẻ thanh toán của Công ty Thế giới di động và Điện máy xanh; vụ tấn công máy chủ của Vietnam Airlines làm lộ 411.000 tài khoản Bông Sen Vàng; hay vụ việc nhân viên ngân hàng TPBank và LPBank tự ý thu thập thông tin của người dân để mở tài khoản trái phép tại xã Xuân Giao, huyện Bảo Thắng, tỉnh Lào Cai vào các ngày 10 và 11/7/2023.

Về phương diện thể chế, trước khi Nghị định số 13/2023/NĐ-CP ra đời, Việt Nam có tới 69 văn bản quy phạm pháp luật liên quan trực tiếp đến bảo vệ dữ liệu cá nhân (bao gồm Hiến pháp, 04 Bộ luật, 39 Luật, 01 Pháp lệnh, 19 Nghị định, 04 Thông tư/Thông tư liên tịch và 01 Quyết định của Bộ trưởng). Tuy nhiên, các văn bản này mang tính tản mạn, thiếu sự thống nhất về định nghĩa và nội hàm của "dữ liệu cá nhân" cũng như "bảo vệ dữ liệu cá nhân". Mặc dù Nghị định số 13/2023/NĐ-CP (ban hành ngày 17/04/2023) đã đánh dấu bước tiến pháp lý quan trọng khi tiếp thu nhiều tiêu chuẩn tiến bộ từ quốc tế, nhưng do chỉ dừng lại ở hiệu lực của một văn bản dưới luật, hệ thống quy định hiện hành vẫn bộc lộ nhiều điểm chồng chéo, xung đột với các luật chuyên ngành và chưa đáp ứng kịp yêu cầu từ thực tiễn.

Mục tiêu nghiên cứu của khóa luận được xác định cụ thể qua 3 nội dung:

  1. Nhận định các kết luận khoa học về pháp luật bảo vệ DLCN, phân tích hệ thống học thuyết nền tảng và kinh nghiệm lập pháp của một số quốc gia, khu vực trên thế giới.
  2. Đánh giá toàn diện thực trạng quy định pháp luật Việt Nam về bảo vệ DLCN trong sự so sánh, đối chiếu với chuẩn mực quốc tế, từ đó làm rõ ưu điểm, hạn chế và vướng mắc trong thực tiễn thi hành.
  3. Đề xuất các giải pháp khả thi nhằm hoàn thiện quy định pháp luật và nâng cao hiệu quả áp dụng pháp luật về trách nhiệm bảo đảm an toàn dữ liệu, trách nhiệm pháp lý khi để lộ, lọt, mua bán dữ liệu, đáp ứng nhu cầu bảo vệ quyền và lợi ích hợp pháp của cá nhân trên không gian mạng.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Hệ thống các quy định pháp luật Việt Nam hiện hành điều chỉnh việc bảo vệ dữ liệu cá nhân (tập trung vào Nghị định số 13/2023/NĐ-CP, Bộ luật Dân sự 2015, Bộ luật Hình sự 2015 sửa đổi bổ sung 2017, Luật Xử lý vi phạm hành chính 2012 sửa đổi bổ sung 2020, Dự thảo Nghị định xử phạt vi phạm hành chính trong lĩnh vực an toàn thông tin, an ninh mạng tháng 5/2023); đồng thời nghiên cứu thực tiễn thi hành và áp dụng pháp luật tại Việt Nam trong sự đối chiếu với pháp luật của Liên minh châu Âu (EU) và Singapore.
  • Phạm vi nghiên cứu: Về không gian, đề tài khảo cứu các quy định áp dụng trên phạm vi toàn lãnh thổ Việt Nam, đặc biệt chú trọng các địa bàn có khối lượng giao dịch dữ liệu lớn như Hà Nội, TP. Hồ Chí Minh, Hải Phòng, kết hợp so sánh với kinh nghiệm của EU và Singapore. Về thời gian, khóa luận xem xét hoạt động thực thi pháp luật trong các giai đoạn trước và sau khi Nghị định số 13/2023/NĐ-CP được ban hành và có hiệu lực.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và cơ sở pháp lý:

  • Nền tảng lý luận quốc tế: Khóa luận tiếp cận quyền bảo vệ dữ liệu dựa trên học thuyết về quyền con người (human rights), quyền riêng tư (right to privacy) và giá trị phẩm giá con người (human dignity). Các văn bản pháp lý quốc tế nền tảng được trích dẫn gồm: Điều 17 Công ước quốc tế về các Quyền Dân sự và Chính trị (ICCPR); Công ước số 108/1981 của Hội đồng châu Âu về bảo vệ cá nhân đối với việc xử lý tự động dữ liệu cá nhân; Hướng dẫn năm 1980 của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) về bảo vệ quyền riêng tư và dòng dữ liệu xuyên biên giới; Chỉ thị 95/46/EC của Nghị viện và Hội đồng châu Âu; Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR 2016); và Luật Bảo vệ dữ liệu cá nhân của Singapore (PDPA 2012, sửa đổi năm 2020). Tác giả vận dụng định nghĩa toàn diện của Giáo sư Lee A. Bygrave (2002) để xác lập bản chất của việc bảo vệ dữ liệu.
  • Văn bản pháp luật Việt Nam: Hiến pháp năm 2013 (Điều 21 về quyền bất khả xâm phạm đời sống riêng tư, bí mật cá nhân); Bộ luật Dân sự năm 2015 (các quy định tại Điều 32 về quyền của cá nhân đối với hình ảnh, Điều 38 về quyền đời sống riêng tư, bí mật cá nhân, bí mật gia đình, và Điều 115 về quyền tài sản); Bộ luật Hình sự năm 2015 sửa đổi, bổ sung năm 2017 (Điều 288 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông); Luật Tiếp cận thông tin năm 2016; Luật An toàn thông tin mạng năm 2015; Luật An ninh mạng năm 2018; và Nghị định số 13/2023/NĐ-CP.

Phương pháp nghiên cứu: Công trình vận dụng thế giới quan duy vật biện chứng và duy vật lịch sử của chủ nghĩa Mác - Lênin kết hợp tư tưởng Hồ Chí Minh. Các phương pháp nghiên cứu cụ thể được triển khai gồm:

  • Phương pháp hệ thống và phân tích: Sử dụng để làm sáng tỏ các khái niệm, học thuyết pháp lý, phân tích các quyền nhân thân và quyền tài sản gắn với dữ liệu cá nhân.
  • Phương pháp so sánh - đối chiếu: So sánh các quy định của pháp luật Việt Nam với GDPR của EU và PDPA của Singapore nhằm tìm kiếm các điểm tương đồng, khác biệt và bài học kinh nghiệm.
  • Phương pháp suy luận logic: Tổng hợp, quy nạp và diễn dịch các lập luận để đánh giá bất cập thực tiễn và xây dựng các đề xuất lập pháp.
  • Phương pháp thống kê và điều tra xã hội học: Phân tích các số liệu thực tế về các vụ việc vi phạm, số lượng người dùng Internet, số liệu vụ án lừa đảo trực tuyến từ Bộ Công an và các cơ quan truyền thông.
  • Phương pháp lấy ý kiến chuyên gia: Tham chiếu quan điểm của các chuyên gia luật học, nhà nghiên cứu lập pháp thông qua các tài liệu hội thảo khoa học và ấn phẩm chuyên ngành.

Nguồn dữ liệu: Dữ liệu nghiên cứu được khai thác từ các báo cáo đánh giá tác động chính sách xây dựng Luật Bảo vệ dữ liệu cá nhân của Bộ Công an, niên giám thông kê của các tổ chức quốc tế (UNCTAD), hệ thống án lệ/thực tiễn xử phạt vi phạm hành chính của Singapore (vụ án rò rỉ dữ liệu y tế SingHealth và IHiS), các sách chuyên khảo quốc tế (Handbook on European data protection law ấn bản 2018, The keys to Data protection của Privacy International 2018), cùng các bài báo khoa học trên Tạp chí Nghiên cứu Lập pháp, Tạp chí Nhà nước và Pháp luật, Tạp chí Dân chủ và Pháp luật, Tạp chí Luật học.

Nội dung chính theo từng chương

Chương 1: Một số vấn đề lý luận về bảo vệ dữ liệu cá nhân

Chương 1 tập trung xây dựng nền tảng khái niệm và lý luận khoa học pháp lý về dữ liệu cá nhân và cơ chế bảo vệ dữ liệu cá nhân.

Về phương diện từ nguyên và pháp lý, tác giả phân tích khái niệm từ Từ điển Tiếng Việt (Hoàng Phê, 2020), định nghĩa của OECD, Chỉ thị 95/46/EC, GDPR 2016 và khoản 1 Điều 2 Nghị định số 13/2023/NĐ-CP. Tác giả chỉ ra hạn chế của các khái niệm trước đó (như cách hiểu của nhóm tác giả Bùi Duy Khánh, Trần Minh Phú, Dương Yến Nhi năm 2021) khi coi DLCN bắt buộc phải là "tổ hợp thông tin", từ đó đưa ra định nghĩa khái quát:

"Dữ liệu cá nhân là những thông tin giúp xác định, nhận diện được một cá nhân cụ thể, có khả năng phân biệt được giữa cá nhân này với cá nhân khác, được thu thập và xử lý, được lưu trữ định dạng dưới dạng văn bản, số liệu, âm thanh, hình ảnh hoặc các dạng tương tự."

Khóa luận phân tích 5 đặc điểm cốt lõi của DLCN:

  1. Mang tính cá biệt của chủ thể dữ liệu: Dữ liệu gắn liền và xác định tính duy nhất của một cá nhân cụ thể.
  2. Mang tính bí mật và riêng tư: Phản ánh quyền tự quyết của cá nhân đối với việc công khai hay giữ kín thông tin bản thân.
  3. Tồn tại dưới nhiều hình thái, phương thức trên cơ sở điện tử: Chữ viết, hình ảnh, âm thanh, sinh trắc học, mã định danh.
  4. Đa dạng về nội dung và phương thức thể hiện: Xuất hiện trong mọi quan hệ xã hội từ dân sự, hành chính, y tế, viễn thông đến tài chính.
  5. Tính lưỡng tính về phương diện quyền: Vừa mang dấu hiệu nhận diện của quyền nhân thân (không thể chuyển giao, gắn liền với cá nhân), vừa mang dấu hiệu của một loại quyền tài sản mới (có giá trị kinh tế, có thể định giá và chuyển giao trong nền kinh tế số).

Về phân loại dữ liệu cá nhân, công trình hệ thống hóa 4 tiêu chí phân loại chính:

  • Dựa vào mức độ tổn hại: Chia thành DLCN cơ bản (họ tên, ngày sinh, nơi cư trú, số điện thoại, số CCCD, tình trạng hôn nhân...) và DLCN nhạy cảm (quan điểm chính trị, tôn giáo, tình trạng sức khỏe, sinh trắc học, dữ liệu tài chính, vị trí địa lý, đời sống tình dục...).
  • Dựa vào nội dung dữ liệu: Chia thành 10 nhóm (mô tả con người, số nhận dạng, dân tộc, sức khỏe, tài chính, việc làm, tín dụng, hình sự, đời sống, giáo dục).
  • Dựa vào thuộc tính bí mật: Chia thành DLCN công khai và DLCN bảo mật.
  • Dựa vào dạng thức lưu trữ: Chia thành DLCN điện tử và DLCN phi điện tử.

Làm rõ mối quan hệ giữa "dữ liệu cá nhân" và "thông tin cá nhân", tác giả phân định: dữ liệu là dạng biểu diễn sơ cấp (đầu vào, chuỗi tin mã hóa), trong khi thông tin là kết quả sau khi dữ liệu đã được xử lý, tổ chức và gán ngữ nghĩa để phản ánh một cá nhân cụ thể (đầu ra).

Đối với lý luận bảo vệ dữ liệu cá nhân, tác giả viện dẫn quan điểm của Lee A. Bygrave (2002) và xác định bảo vệ DLCN là hoạt động áp dụng các biện pháp pháp lý và phi pháp lý nhằm ngăn ngừa, phát hiện, khắc phục hậu quả của hành vi xâm hại. Các biện pháp bảo vệ được chia thành 3 nhóm cơ bản: biện pháp tự bảo vệ của cá nhân, biện pháp pháp lý (thể chế, chế tài), và biện pháp tổ chức (kỹ thuật, nhân lực, tuyên truyền).

Chương 2: Quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân

Chương 2 thực hiện nghiên cứu so sánh quốc tế và phân tích thực trạng hệ thống văn bản quy phạm pháp luật của Việt Nam.

Pháp luật quốc tế và giá trị tham khảo:

  • Liên minh châu Âu (GDPR): Tiếp cận theo mô hình bảo vệ toàn diện gắn với phẩm giá con người. Tỷ lệ các quốc gia ban hành luật bảo vệ dữ liệu tại châu Âu đạt 96%. GDPR thiết lập thẩm quyền xử phạt nghiêm khắc đối với cả khu vực tư và cơ quan nhà nước, cho phép cá nhân đòi bồi thường cả thiệt hại vật chất lẫn phi vật chất. Chế tài hành chính theo Điều 83 GDPR có thể lên tới 20.000.000 EUR hoặc 4% tổng doanh thu toàn cầu hàng năm của năm tài chính trước đó. Về quyền của chủ thể dữ liệu, GDPR buộc bên xử lý dữ liệu phải phản hồi yêu cầu của công dân trong thời hạn 01 tháng (trong khi Điều 21 Nghị định số 13 của Việt Nam quy định thời hạn là 72 giờ).
  • Singapore (PDPA 2012, sửa đổi 2020): Thiết lập Ủy ban Bảo vệ dữ liệu cá nhân (PDPC) là cơ quan chuyên trách độc lập có thẩm quyền điều tra, xử lý khiếu nại. Sau sửa đổi năm 2020 (áp dụng từ 01/10/2022), mức phạt đối với doanh nghiệp vi phạm lên tới 10% doanh thu hàng năm hoặc 1.000.000 SGD; vi phạm không chấp hành lệnh của PDPC bị phạt tù 1 - 3 năm hoặc phạt tiền đến 100.000 SGD. Singapore duy trì dịch vụ Danh bạ Không gọi (Do Not Call - DNC) để ngăn chặn cuộc gọi, tin nhắn rác với mức phạt vi phạm lên tới 10.000 SGD. Điển hình, PDPC từng phạt hệ thống IHiS 750.000 SGD và SingHealth 250.000 SGD trong sự cố rò rỉ dữ liệu của 1,5 triệu bệnh nhân.

Thực trạng pháp luật Việt Nam:

  • Khái niệm và phạm vi điều chỉnh: Pháp luật Việt Nam từng tồn tại ít nhất 10 thuật ngữ khác nhau liên quan đến DLCN. Khoản 1 Điều 2 Nghị định số 13/2023/NĐ-CP đã chính thức định nghĩa DLCN và phân định thành DLCN cơ bản và DLCN nhạy cảm. Phương pháp quy định của Việt Nam sử dụng hình thức liệt kê cụ thể cho cả hai nhóm dữ liệu, khác biệt với cách tiếp cận của GDPR (chỉ liệt kê dữ liệu nhạy cảm, các dữ liệu còn lại suy đoán là dữ liệu thông thường).
  • Bản chất pháp lý: Tồn tại khoảng trống và sự thiếu nhất quán khi xác định bản chất của DLCN. Một luồng quan điểm và quy định coi DLCN là quyền nhân thân bất khả xâm phạm (Điều 32, Điều 38 Bộ luật Dân sự 2015, Luật Khám bệnh, chữa bệnh 2009). Tuy nhiên, trên thực tế, dữ liệu cá nhân lại đang được định giá, mua bán, chuyển nhượng như một tài sản vô hình (phù hợp với quy định về quyền tài sản tại Điều 115 Bộ luật Dân sự 2015). Nghị định số 13/2023/NĐ-CP vẫn chưa xác định rõ DLCN là quyền nhân thân hay một loại quyền tài sản mới.
  • Hệ thống chế tài bảo vệ:
    • Biện pháp dân sự: Cá nhân có quyền khởi kiện yêu cầu bồi thường thiệt hại, chấm dứt hành vi vi phạm, cải chính công khai. Dù vậy, việc chứng minh mối quan hệ nhân quả và mức độ thiệt hại thực tế do lộ lọt DLCN là rào cản lớn.
    • Biện pháp hình sự: Xử lý theo Điều 288 Bộ luật Hình sự năm 2015 về "Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông" với mức phạt tiền cao nhất là 1 tỷ đồng hoặc phạt tù đến 7 năm.
    • Biện pháp hành chính: Các mức xử phạt hiện hành quy định rải rác, mức tiền phạt thấp, chưa tạo đủ tính răn đe đối với các tổ chức thu lợi bất chính quy mô lớn từ dữ liệu.

Chương 3: Thực tiễn thực hiện pháp luật Việt Nam hiện hành và giải pháp hoàn thiện pháp luật cùng với những đề xuất nâng cao hiệu quả thực thi pháp luật về bảo vệ dữ liệu cá nhân

Chương 3 chỉ ra các bất cập trong khâu áp dụng pháp luật và đề xuất các nhóm giải pháp lập pháp, tổ chức thực hiện:

Những hạn chế, tồn tại trong thực tiễn:

  • Hoạt động mua bán, thu thập dữ liệu trái phép diễn ra công khai, phức tạp trên thị trường ngầm nhưng tỷ lệ phát hiện và xử lý còn thấp.
  • Cơ sở hạ tầng kỹ thuật và hệ thống cơ sở dữ liệu của các cơ quan nhà nước lẫn khối doanh nghiệp tư nhân còn nhiều điểm yếu bảo mật, dễ bị xâm nhập.
  • Nhận thức và kỹ năng tự bảo vệ dữ liệu của đa số người dân còn rất hạn chế; nhiều người sẵn sàng đánh đổi dữ liệu cá nhân lấy các tiện ích miễn phí trên mạng.
  • Thiếu một cơ quan chuyên trách độc lập đủ thẩm quyền và năng lực để giám sát, điều phối liên ngành trong lĩnh vực bảo vệ dữ liệu.
  • Mức chế tài hành chính chưa tính theo tỷ lệ phần trăm doanh thu như thông lệ quốc tế, khiến các tập đoàn công nghệ lớn dễ dàng chấp nhận nộp phạt thay vì đầu tư nâng cấp hệ thống an ninh dữ liệu.

Các giải pháp và kiến nghị của tác giả:

  1. Ban hành Luật Bảo vệ dữ liệu cá nhân: Nhanh chóng nâng cấp Nghị định số 13/2023/NĐ-CP thành một đạo luật độc lập, thống nhất để giải quyết triệt để sự xung đột, chồng chéo với các luật chuyên ngành (Luật An ninh mạng, Luật An toàn thông tin mạng, Luật Giao dịch điện tử).
  2. Làm rõ bản chất pháp lý của dữ liệu cá nhân: Nghiên cứu sửa đổi, bổ sung Bộ luật Dân sự để công nhận tính chất pháp lý đặc thù của dữ liệu cá nhân, hài hòa giữa khía cạnh quyền nhân thân (bảo vệ quyền riêng tư) và khía cạnh quyền tài sản mới (điều tiết các giao dịch kinh tế dữ liệu hợp pháp).
  3. Sửa đổi khung chế tài theo hướng tăng nặng: Bổ sung hình thức phạt tiền tính theo tỷ lệ phần trăm doanh thu hàng năm đối với các tổ chức vi phạm; nghiên cứu hình sự hóa các hành vi thu thập, mua bán dữ liệu cá nhân có tổ chức, số lượng lớn; đồng thời quy định cơ chế bồi thường thiệt hại phi vật chất thuận tiện hơn cho người bị xâm phạm.
  4. Mô hình quản lý nhà nước: Thay vì thành lập ngay một Ủy ban độc lập tốn kém nguồn lực, tác giả đề xuất thành lập 01 Tổ công tác đặc biệt quốc gia do 01 Phó Thủ tướng Chính phủ phụ trách công nghệ làm Tổ trưởng; Bộ trưởng Bộ Công an và Bộ trưởng Bộ Thông tin và Truyền thông làm Tổ phó; cùng đại diện các bộ, ngành liên quan. Tổ công tác có nhiệm vụ điều phối rạch ròi giữa nhiệm vụ bảo vệ dữ liệu cá nhân và thúc đẩy dữ liệu mở quốc gia.
  5. Thiết lập cơ chế bảo vệ kỹ thuật và dịch vụ DNC: Cụ thể hóa Điều 21 Nghị định số 13 bằng cách buộc các nhà mạng viễn thông triển khai dịch vụ Danh bạ Không gọi (Do Not Call - DNC) tương tự mô hình Singapore nhằm ngăn ngừa quấy rối tiếp thị và lừa đảo.
  6. Áp dụng cơ chế thử nghiệm có kiểm soát (Sandbox): Áp dụng khung pháp lý Sandbox để thử nghiệm các mô hình kinh doanh dữ liệu mới, vừa thúc đẩy kinh tế số, vừa thăm dò và hoàn thiện chính sách kiểm soát rủi ro.

Kết quả và đóng góp

Bảng so sánh khung pháp lý bảo vệ dữ liệu cá nhân giữa Việt Nam, EU và Singapore

Tiêu chí Việt Nam (Nghị định 13/2023/NĐ-CP) Liên minh châu Âu (GDPR 2016) Singapore (PDPA 2012, sửa đổi 2020)
Hình thức văn bản Nghị định (văn bản dưới luật) Quy định chung (trực tiếp áp dụng toàn khối) Đạo luật chuyên biệt (Luật Bảo vệ dữ liệu cá nhân)
Cơ quan chuyên trách Bộ Công an chủ trì quản lý nhà nước Cơ quan Bảo vệ Dữ liệu độc lập tại từng quốc gia Ủy ban Bảo vệ Dữ liệu cá nhân (PDPC)
Phân loại dữ liệu Liệt kê cả DLCN cơ bản và DLCN nhạy cảm Chỉ liệt kê dữ liệu nhạy cảm (dữ liệu đặc biệt) Tiếp cận theo nguyên tắc dữ liệu cá nhân chung
Mức phạt tài chính tối đa Phạt tiền cố định theo khung hành chính / Điều 288 BLHS tối đa 1 tỷ đồng 20.000.000 EUR hoặc 4% tổng doanh thu toàn cầu Lên tới 10% doanh thu hàng năm hoặc 1.000.000 SGD
Thời hạn phản hồi chủ thể 72 giờ (kể từ khi nhận yêu cầu hợp lệ) 01 tháng (có thể gia hạn trong trường hợp phức tạp) Theo thời hạn hợp lý quy định bởi PDPC
Cơ chế chống làm phiền Chưa có danh bạ tập trung bắt buộc Quyền phản đối xử lý dữ liệu tiếp thị trực tiếp Thiết lập Danh bạ Không gọi (DNC Registry)

Kết quả chính và đóng góp khoa học

  • Về mặt khoa học - lý luận: Công trình đã hệ thống hóa các quan điểm lý luận về dữ liệu cá nhân và bảo vệ dữ liệu cá nhân từ góc độ luật dân sự; đưa ra định nghĩa khoa học mang tính bao quát; chỉ rõ tính lưỡng tính (quyền nhân thân và quyền tài sản) của dữ liệu trong kỷ nguyên số, tạo cơ sở cho việc hoàn thiện lý luận khoa học pháp lý chuyên ngành.
  • Về mặt thực tiễn - lập pháp: Khóa luận chỉ ra khoảng trống pháp lý khi Việt Nam chỉ điều chỉnh vấn đề ở tầm Nghị định, đồng thời cung cấp bảng đối chiếu chi tiết với hai mô hình lập pháp tiên tiến là EU (GDPR) và Singapore (PDPA). Tác giả đã đóng góp các đề xuất có tính ứng dụng cao:
    • Lộ trình xây dựng Luật Bảo vệ dữ liệu cá nhân.
    • Sáng kiến thành lập Tổ công tác đặc biệt liên ngành do Phó Thủ tướng đứng đầu nhằm tối ưu hóa bộ máy quản lý.
    • Áp dụng cơ chế Danh bạ Không gọi (DNC) và khung thử nghiệm pháp lý (Sandbox) vào quản trị dữ liệu tại Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế của đề tài:
    • Khóa luận được hoàn thành vào đầu năm 2024, thời điểm Nghị định số 13/2023/NĐ-CP mới có hiệu lực thi hành được một thời gian ngắn (từ ngày 01/07/2023), do đó tác giả chưa có đủ điều kiện tiếp cận các báo cáo tổng kết thi hành thực tế dài hạn hoặc hệ thống án lệ giải quyết tranh chấp dân sự về bồi thường thiệt hại do lộ lọt dữ liệu tại Tòa án nhân dân các cấp.
    • Về phạm vi không gian, mặc dù bao quát toàn quốc nhưng các khảo sát thực tế mới tập trung phản ánh dữ liệu tại các đô thị lớn (Hà Nội, TP. Hồ Chí Minh, Hải Phòng) và các vụ việc nổi cộm trên truyền thông, chưa đi sâu phân tích toàn diện việc tuân thủ dữ liệu tại các vùng nông thôn, vùng sâu vùng xa.
  • Hướng nghiên cứu tiếp theo:
    • Tiếp tục bám sát và đánh giá thực tiễn lập pháp trong quá trình xây dựng dự thảo Luật Bảo vệ dữ liệu cá nhân chính thức của Quốc hội.
    • Mở rộng nghiên cứu cơ chế tố tụng tập thể (class action) hoặc cơ chế đại diện khởi kiện của các tổ chức bảo vệ quyền lợi người tiêu dùng khi xảy ra các sự cố rò rỉ dữ liệu quy mô hàng triệu người dùng.
    • Đi sâu nghiên cứu khía cạnh định giá tài sản dữ liệu và cơ chế giao dịch dữ liệu hợp pháp trong khuôn khổ phát triển kinh tế số và trí tuệ nhân tạo.

Giá trị tham khảo

Khóa luận là nguồn tài liệu hữu ích cho các nhóm đối tượng cụ thể:

  • Sinh viên và học viên cao học ngành Luật: Đặc biệt thuộc các chuyên ngành Pháp luật Dân sự, Luật Kinh tế, Luật Công nghệ thông tin và Sở hữu trí tuệ; hỗ trợ nguồn tư liệu học thuật về quyền riêng tư, quyền nhân thân và chế định bảo vệ dữ liệu.
  • Cán bộ nghiên cứu và cơ quan soạn thảo chính sách: Cung cấp các luận cứ thực tiễn và kinh nghiệm lập pháp so sánh phục vụ quá trình nâng cấp Nghị định số 13/2023/NĐ-CP thành Luật Bảo vệ dữ liệu cá nhân tại Bộ Công an, Bộ Tư pháp và Ủy ban Pháp luật của Quốc hội.
  • Cán bộ pháp chế doanh nghiệp (DPO - Data Protection Officer): Doanh nghiệp công nghệ, ngân hàng, bảo hiểm, viễn thông và sàn thương mại điện tử có thể tham khảo bảng rà soát các nghĩa vụ tuân thủ pháp luật, hiểu rõ các quyền của chủ thể dữ liệu và rủi ro pháp lý liên quan đến lộ lọt dữ liệu.

Các phần đáng giá nhất để tham khảo: Mục 1.1 và 1.2 Chương 1 (phân tích bản chất pháp lý nhân thân - tài sản của DLCN); Mục 2.1 Chương 2 (kinh nghiệm triển khai GDPR của EU và cơ chế DNC của Singapore); và Mục 2 Chương 3 (hệ thống giải pháp lập pháp và mô hình Tổ công tác đặc biệt).

Câu hỏi thường gặp

1. Khóa luận đưa ra những số liệu thực tế nào chứng minh tình trạng xâm phạm dữ liệu cá nhân tại Việt Nam đang ở mức báo động?
Tác giả dẫn chứng số liệu của Bộ Công an cho thấy giai đoạn 2019 - 2020 có tới 1.300 GB dữ liệu cá nhân bị mua bán trên thị trường chợ đen. Năm 2022 ghi nhận 12.935 vụ lừa đảo trực tuyến (với 25% trực tiếp nhằm đánh cắp dữ liệu cá nhân). Các sự cố lộ lọt điển hình gồm 427.466 tài khoản Facebook tại Việt Nam bị lộ trong vụ Cambridge Analytica (lọt Top 10 thế giới), hơn 163 triệu tài khoản VNG, hơn 5 triệu email Thế giới di động và 411.000 tài khoản thành viên Bông Sen Vàng của Vietnam Airlines bị phát tán.

2. Điểm khác biệt rõ rệt về thời hạn phản hồi yêu cầu của chủ thể dữ liệu giữa Nghị định 13/2023/NĐ-CP của Việt Nam và GDPR của EU là gì?
Theo phân tích tại Chương 2 của khóa luận, Điều 21 Nghị định số 13/2023/NĐ-CP quy định các tổ chức, cơ quan xử lý dữ liệu tại Việt Nam phải có trách nhiệm phản hồi khi có yêu cầu của chủ thể dữ liệu trong vòng 72 giờ. Trong khi đó, GDPR của EU cho phép thời gian linh hoạt hơn là trong vòng 01 tháng kể từ khi nhận được yêu cầu hợp lệ.

3. Tác giả khóa luận nhìn nhận như thế nào về tranh luận bản chất pháp lý của dữ liệu cá nhân giữa quyền nhân thân và quyền tài sản?
Tác giả nhận định DLCN mang tính chất lưỡng tính: vừa gắn với cá nhân duy nhất, không thể chuyển giao và được bảo vệ theo chế định quyền nhân thân (Điều 32, Điều 38 Bộ luật Dân sự 2015); vừa có thể định giá thành tiền, được chuyển giao và khai thác thương mại như một loại quyền tài sản mới (Điều 115 Bộ luật Dân sự 2015). Do đó, pháp luật Việt Nam cần sớm bổ sung quy định làm rõ bản chất này thay vì để ngỏ như trong Nghị định số 13.

4. Mô hình cơ quan quản lý bảo vệ dữ liệu cá nhân mà tác giả đề xuất cho Việt Nam có điểm gì đặc biệt so với EU và Singapore?
Thay vì thành lập ngay một Ủy ban bảo vệ dữ liệu độc lập như GDPR (các DPA) hay Singapore (PDPC), tác giả đề xuất thành lập một Tổ công tác đặc biệt quốc gia do 01 Phó Thủ tướng Chính phủ phụ trách công nghệ làm Tổ trưởng; Bộ trưởng Bộ Công an và Bộ trưởng Bộ Thông tin và Truyền thông làm Tổ phó. Mô hình này giúp điều phối tập trung, phân định rõ ràng giữa bảo vệ dữ liệu cá nhân và phát triển dữ liệu mở quốc gia, tránh cồng kềnh bộ máy hành chính.

5. Cơ chế "Danh bạ Không gọi" (Do Not Call - DNC) của Singapore được tác giả đề xuất áp dụng vào quy định nào của Việt Nam?
Tác giả đề xuất tiếp thu kinh nghiệm DNC của Singapore để cụ thể hóa việc thực thi Điều 21 Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ tiếp thị, giới thiệu sản phẩm quảng cáo, bắt buộc các nhà mạng cung cấp dịch vụ chặn cuộc gọi/tin nhắn rác và xử lý số điện thoại không chính chủ.

Kết luận

Khóa luận tốt nghiệp của tác giả Bùi Kiều Trang là một công trình nghiên cứu chuyên khảo có cấu trúc chặt chẽ, kết hợp hài hòa giữa cơ sở lý luận khoa học pháp lý dân sự và thực tiễn thi hành pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam. Bằng việc phân tích sâu sắc các dữ liệu thực tế và đối chiếu thấu đáo với các mô hình lập pháp tiến bộ trên thế giới như GDPR và PDPA, công trình đã làm nổi bật các lỗ hổng thể chế của Nghị định số 13/2023/NĐ-CP. Các đề xuất nâng cấp văn bản thành Luật Bảo vệ dữ liệu cá nhân, thành lập Tổ công tác đặc biệt và áp dụng cơ chế kỹ thuật DNC mang giá trị tham khảo thiết thực cho công tác hoàn thiện chính sách pháp luật trong kỷ nguyên kinh tế số.