Chương 1: Những vấn đề chung về dịch chuyển dữ liệu cá nhân xuyên biên giới và bảo vệ dữ liệu cá nhân trong hoạt động thương mại quốc tế. Chương 2: Các vấn đề pháp lý về dịch chuyển dữ liệu cá nhân xuyên biên giới và giải pháp cho Việt Nam từ kinh nghiệm nước ngoài. NHỮNG VẤN ĐỀ CHUNG VỀ DỊCH CHUYỂN DỮ LIỆU CÁ NHÂN XUYÊN BIÊN GIỚI VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG HOẠT ĐỘNG THƯƠNG MẠI QUỐC TẾ 1. Tổng quan về dữ liệu cá nhân xuyên biên giới trong hoạt động thương mại quốc tế 1.
Khái niệm dữ liệu cá nhân xuyên biên giới trong hoạt động thương mại quốc tế Thuật ngữ “dữ liệu cá nhân” đã được ghi nhận và trở nên phổ biến trong vài thập niên gần đây, được xem là vấn đề quan trọng gắn liền với quyền con người nói chung và quyền riêng tư nói riêng. Theo thời gian, sự phát triển của công nghệ trong cuộc cách mạng công nghiệp 4.0 đã giúp cho tốc độ xử lý dữ liệu của hệ thống máy tính ngày càng nhanh, song điều này cũng đặt ra nhiều thách thức trong bảo vệ DLCN. Đáp ứng yêu cầu này, các công cụ pháp lý quốc tế đã được thiết lập, trong đó nổi bật nhất là Hướng dẫn của OECD về bảo vệ quyền riêng tư và dữ liệu cá nhân xuyên biên giới năm 1980 (OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data) và Công ước Bảo vệ dữ liệu cá nhân liên quan đến xử lý tự động dữ liệu cá nhân năm 1981 của Hội đồng châu Âu (Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data), đây là những văn bản pháp lý đầu tiên đưa ra khái niệm về DLCN.1 Theo Hướng dẫn của OECD năm 1980, DLCN được hiểu là “bất kỳ thông tin nào liên quan đến hoặc cho phép xác định một cá nhân nhất định (còn gọi là chủ thể dữ liệu)”.2 Với cách hiểu này, đến nay nhiều quốc gia đã ban hành một số đạo luật với thuật ngữ tương đồng. Khoản 1 Điều 4 GDPR quy định: “Bất kỳ thông tin nào liên quan đến một cá nhân (hay còn gọi là chủ thể dữ liệu), có thể được xác định hoặc nhận dạng trực tiếp hoặc gián tiếp, bằng cách tham chiếu bởi một mã định danh như 1 Vũ Quỳnh, “Dữ liệu cá nhân hay thông tin cá nhân?”, Báo Điện Tử Đại Biểu Nhân Dân, ngày 29/11/2020, xem tại: https://www.vn/bai-2-du-lieu-ca-nhan-hay-thong-tin-ca-nhan-exa2wzm6x9-50245 (truy cập ngày 25/3/2022).
2 “OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data”, OECD, xem tại: https://www.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonalda ta. 7 tên, số chứng minh nhân dân, dữ liệu vị trí, số tài khoản ngân hàng mà những dữ liệu này liên quan tới một hoặc nhiều yếu tố cụ thể như vật lý, sinh lý, sinh trắc học, tinh thần, kinh tế, văn hóa hoặc xã hội của cá nhân đó”. Bên cạnh đó, Điều 2 PDPA của Singapore cũng quy định: “Dữ liệu cá nhân là dữ liệu mà thông qua dữ liệu đó, hoặc từ dữ liệu đó và thông tin khác mà các tổ chức có hoặc có khả năng truy cập, có thể dùng để xác định một cá nhân”. Thông qua định nghĩa của GDPR và PDPA, khái niệm DLCN đã được các quốc gia quy định dựa trên khái niệm khung được OECD đưa ra nhưng có sự chi tiết hóa và được tiếp cận theo nghĩa rộng, bao gồm bốn thành tố nội dung quan trọng sau: Một là, bất kỳ dữ liệu nào liên quan đến một cá nhân, được thu thập một cách chủ động hay thụ động, đều cần được bảo vệ.
Hai là, dữ liệu được xem là “có liên quan đến” một cá nhân phải được tiếp cận trên mọi phương diện như nội dung của dữ liệu, mục đích của dữ liệu hay kết quả của việc sử dụng dữ liệu. Ba là, dữ liệu “nhận dạng và có thể nhận dạng” sẽ bao gồm cấp độ rõ ràng, tức có đủ yếu tố để phân biệt người này với người khác, và cấp độ không rõ ràng nhưng vẫn có khả năng xác định được tùy thuộc vào các điều kiện khác hay ngữ cảnh. Bốn là, cá nhân là chủ thể dữ liệu. Thành tố này trong khái niệm DLCN của GDPR được lấy theo định nghĩa của Điều 6 Tuyên ngôn phổ quát của Liên Hợp Quốc về Quyền con người năm 1948 (Universal Declaration of Human Rights of 1948 – UDHR 1948).
Theo đó, chủ thể dữ liệu được bảo vệ là một cá nhân đang sống, tuy nhiên, nếu dữ liệu về một người đã chết mà được sử dụng để nhận dạng một người khác còn sống thì cũng thuộc định nghĩa này. Tại Việt Nam, trước khi Dự thảo Nghị định BVDLCN được Bộ Công An đề nghị xây dựng thì thuật ngữ được sử dụng trong hệ thống pháp luật là “thông tin cá nhân” (personal information). Qua những khái niệm được đề cập trong các văn bản quy phạm pháp luật, có thể thấy nội hàm của thuật ngữ TTCN có phần hẹp hơn so với thuật ngữ DLCN trong quy định của các quốc gia châu Âu, TTCN ở đây chủ yếu 8 được sử dụng để trực tiếp định danh một cá nhân.3 Tuy nhiên, DLCN đã lần đầu tiên được pháp luật Việt Nam quy định trong Dự thảo Nghị định BVDLCN tại khoản 1 Điều 2: “Dữ liệu cá nhân là dữ liệu về cá nhân hoặc liên quan đến việc xác định hoặc có thể xác định một cá nhân cụ thể”. Như vậy, cách tiếp cận của Việt Nam đối với thuật ngữ DLCN đã có sự thay đổi cho phù hợp với các quy định chung của quốc tế cũng như thực tiễn của thời đại kinh tế số cần thiết phải bảo vệ đối tượng DLCN.
Đối chiếu định nghĩa của hai thuật ngữ DLCN và TTCN trong pháp luật Việt Nam, tác giả nhận thấy cách hiểu về hai đối tượng này có sự khác biệt. Khoản 1 Điều 2 Dự thảo đã đi theo hướng quy định chung như trong Hướng dẫn của OECD năm 1980, khoản 2 và 3 theo sau lần lượt quy định về các nhóm DLCN cụ thể bằng phương pháp liệt kê. Mặc dù cách quy định này chưa được chi tiết hóa như GDPR nhưng về cơ bản, định nghĩa này đã thể hiện được bốn thành tố nội dung quan trọng như đã được phân tích. Tuy nhiên, TTCN ở Việt Nam được hiểu theo nghĩa hẹp, trực tiếp và đơn giản hơn, các thông tin không chính xác, rõ ràng nhưng kết hợp với các thông tin khác để gián tiếp xác định danh tính một người không được coi là đối tượng được bảo vệ.
Từ sự khác biệt này có thể thấy việc bảo vệ đối tượng DLCN là cần thiết. Thực tế, với sự phát triển không ngừng của khoa học kỹ thuật, lượng dữ liệu khổng lồ được thu thập và lưu trữ có thể được phân tích vô thời hạn và cấu trúc thành vô hạn các dạng TTCN. DLCN không nhất thiết phải thể hiện hoặc chứa TTCN của một cá nhân nào nhưng vẫn có giá trị nhất định và cần phải được bảo vệ.4 Quan điểm này đã được thể hiện trong tư duy pháp lý của Tòa án Nhân quyền châu Âu (ECtHR), rằng một trình tự ADN của con người hoặc một mẫu tế bào của con người đã chứa một lượng dữ liệu đáng kể của một cá nhân và dưới góc độ bản thể học thì DLCN là 3 “Bảo vệ dữ liệu và thông tin cá nhân cho Việt Nam: Đã đến lúc cần có đạo luật riêng”, ngày 24/6/2020, xem tại: https://ips.vn/vn/tin-tuc/bao-ve-du-lieu-va-thong-tin-ca-nhan-cho-viet-nam-da-den-luc-can-co-dao- luat-rieng-ct71. 4 Nguyễn Văn Dương, Nguyễn Thị Ngân Hà và Nguyễn Văn Lãm, Pháp luật về bảo vệ dữ liệu cá nhân trong mô hình kinh tế chia sẻ, Đề tài Nghiên cứu khoa học cấp trường, Trường Đại học Luật Tp.
Hồ Chí Minh, 2021, tr. 15 9 yếu tố cấu thành danh tính của thể nhân.5 Như vậy, có thể xem DLCN như một ADN, tuy nhỏ lẻ nhưng quan trọng với một cá nhân, từ đó phát sinh quyền được bảo vệ. Đặc điểm dữ liệu cá nhân xuyên biên giới trong hoạt động thương mại quốc tế Thông qua khái niệm về DLCN có thể thấy về bản chất, DLCN trong chuyển DLCN xuyên biên đều có những đặc điểm giống với DLCN nói chung, cụ thể: Thứ nhất, DLCN trong chuyển DLCN xuyên biên giới có thể được dùng để xác định danh tính của một cá nhân DLCN của người dùng là bất kỳ thông tin có thể được sử dụng để trực tiếp hoặc gián tiếp định danh một cá nhân, đó có thể là tên, ảnh, địa chỉ email hay dữ liệu sinh trắc học, địa chỉ IP của máy tính. Những DLCN này đều mang đặc tính nhận dạng của mỗi chủ thể, khi thực hiện xử lý DLCN thì những dữ liệu này có thể được dùng để xác định một con người cụ thể.7 Định dạng của dữ liệu trong chuyển DLCN xuyên biên giới không phải là yếu tố quan trọng để xác định một thông tin có phải là DLCN hay không.
Bất kỳ định dạng nào được lưu trữ bằng văn bản, điện tử, giọng nói, sinh trắc học hoặc những định dạng khác có thể phục hồi đều được xem là DLCN.8 Thứ hai, việc bảo vệ DLCN trong chuyển DLCN xuyên biên phải được xem xét trên mọi phương diện: mục đích xử lý dữ liệu, nội dung của dữ liệu hay kết quả của việc xử lý hoặc sử dụng dữ liệu Trong chuyển DLCN xuyên biên giới, dữ liệu sẽ được xử lý bằng nhiều cách thức và có thể được lưu giữ thông qua nhiều phương tiện khác nhau. Những thông tin trực tiếp hoặc gián tiếp định danh thể nhân được coi là DLCN, tuy nhiên, nếu nội dung thông tin không thể hiện tên, tuổi rõ ràng thì vẫn có thể được xem là DLCN nếu việc xử lý dữ liệu là nhằm định danh một cá nhân hoặc hướng đến một mục đích có liên quan đến cá nhân đó. Ngoài ra, mối liên quan giữa dữ liệu với một cá nhân còn 5 Václav Janeček, “Ownership of personal data in the Internet of Things”, Computer Law & Security Review, 2019, Volume 34, Issue 5, tr. 6 Nguyễn Văn Dương, Nguyễn Thị Ngân Hà và Nguyễn Văn Lãm, tlđd (04), tr.
7 Nguyễn Văn Dương, Nguyễn Thị Ngân Hà và Nguyễn Văn Lãm, tlđd (04), tr. 8 “An Overview of Personal Data in the GDPR”, ngày 05/9/2017, GDPR Informer, xem tại: https://gdprinformer.com/gdpr-articles/overview-personal-data-gdpr (truy cập ngày 28/3/2022). 10 được xem xét nếu việc xử lý hoặc sử dụng dữ liệu tác động đến quyền và lợi ích của chủ thể dữ liệu.9 Thứ ba, DLCN trong chuyển DLCN xuyên biên giới gắn liền với quyền riêng tư và quyền con người Sự phát triển ngày càng tinh vi của công nghệ thông tin với khả năng thu thập, phân tích và phổ biến DLCN đã gây ra mối lo ngại về an ninh dữ liệu, đặc biệt là khi chuyển dữ liệu xuyên biên giới, các hàng rào bảo vệ dữ liệu có thể trở nên lỏng lẻo nếu bên nhận DLCN không đáp ứng mức độ bảo mật.