Bối cảnh và vấn đề nghiên cứu

Hoạt động trao đổi và luân chuyển dữ liệu cá nhân (DLCN) xuyên biên giới đã trở thành một phần thiết yếu trong nền kinh tế số toàn cầu. Theo báo cáo năm 2019 của tổ chức phân tích Nikkei Asia, Việt Nam nằm trong nhóm 10 quốc gia nổi bật về hoạt động trao đổi dữ liệu xuyên quốc gia. Trong giai đoạn 2001–2019, mức độ tăng trưởng dòng chảy dữ liệu qua biên giới của Việt Nam đạt mức cao nhất trong số 11 quốc gia có quy mô luân chuyển lớn nhất, với mức tăng 230.000 lần (gấp khoảng 30 lần mức tăng 7.500 lần của Trung Quốc). Tuy nhiên, dòng chảy dữ liệu gia tăng cũng kéo theo những nguy cơ nghiêm trọng về việc xâm hại quyền riêng tư. Theo số liệu tổng hợp năm 2023 từ Công ty Công nghệ An ninh mạng quốc gia Việt Nam (NCS), tại Việt Nam đã ghi nhận 13.900 vụ tấn công mạng vào các tổ chức (trung bình 1.160 vụ/tháng, tăng 9,5% so với năm 2022), chủ yếu nhắm vào mục đích khai thác, mua bán và chiếm đoạt thông tin cá nhân.

Trước yêu cầu thực tiễn và hội nhập quốc tế, Việt Nam đã từng bước ban hành khung pháp lý gồm Hiến pháp 2013, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018 và Nghị định số 13/2023/NĐ-CP về bảo vệ DLCN. Mặc dù vậy, các quy định hiện hành vẫn bộc lộ nhiều điểm hạn chế do thiếu vắng đạo luật chuyên ngành, chế tài chưa đồng bộ và kinh nghiệm thực thi còn mới mẻ. Trong khi đó, Liên minh Châu Âu (EU) đã sớm định hình hệ thống tiêu chuẩn bảo vệ DLCN ở mức độ cao thông qua Quy định chung về bảo vệ dữ liệu (GDPR) cùng hệ thống án lệ tư pháp phong phú. Khóa luận đặt vấn đề đối chiếu, phân tích các quy định và thực tiễn xét xử của EU nhằm rút ra bài học kinh nghiệm cho quá trình hoàn thiện pháp luật Việt Nam.

Mục tiêu và nhiệm vụ nghiên cứu: Mục tiêu tổng quát của khóa luận là làm sáng tỏ các vấn đề lý luận về quyền riêng tư và chuyển DLCN qua biên giới, phân tích quy định và thực tiễn án lệ của EU, từ đó đánh giá thực trạng pháp luật Việt Nam và đề xuất các giải pháp hoàn thiện. Để thực hiện mục tiêu này, khóa luận xác định 4 nhiệm vụ cụ thể:

  1. Nghiên cứu những vấn đề lý luận cơ bản về quyền riêng tư, hoạt động chuyển DLCN qua biên giới và cơ sở pháp lý bảo đảm quyền riêng tư khi chuyển dữ liệu ra nước ngoài.
  2. Nghiên cứu hệ thống quy định của pháp luật Liên minh Châu Âu về chuyển DLCN qua biên giới và phân tích các vụ việc điển hình, đặt trong mối quan hệ so sánh, đối chiếu với pháp luật Việt Nam.
  3. Đánh giá thực trạng các quy định pháp luật hiện hành và thực tiễn thi hành pháp luật về bảo vệ quyền riêng tư trong luân chuyển DLCN tại Việt Nam.
  4. Đề xuất hệ thống giải pháp hoàn thiện cấu trúc, nội dung pháp luật và nâng cao hiệu quả thi hành pháp luật về bảo đảm quyền riêng tư khi chuyển DLCN qua biên giới tại Việt Nam.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Hệ thống văn bản quy phạm pháp luật Việt Nam và Liên minh Châu Âu về bảo vệ quyền riêng tư và chuyển DLCN qua biên giới; các phán quyết điển hình của Tòa án Công lý Châu Âu (ECJ); các giải pháp hoàn thiện pháp luật Việt Nam.
  • Phạm vi văn bản pháp luật: Tập trung vào Hiến pháp 2013, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP (Việt Nam) và GDPR 2016, Chỉ thị 95/46/EC, Hướng dẫn của OECD, Công ước CETS số 108 (EU).
  • Phạm vi không gian và thời gian: Lãnh thổ Việt Nam trong mối tương quan tham chiếu với Liên minh Châu Âu; trọng tâm thời gian nghiên cứu là từ năm 2015 (thời điểm Hiến pháp 2013 có hiệu lực đầy đủ và Luật An toàn thông tin mạng 2015 ra đời) đến năm 2024.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nền tảng nghiên cứu dựa trên các học thuyết pháp lý, khái niệm chuyên ngành và các nguyên tắc lập pháp quốc tế:

  • Học thuyết về quyền riêng tư: Tiếp cận bài báo kinh điển "Right to Privacy" (1890) của Samuel Warren và Louis Brandeis kế thừa thuật ngữ "quyền được ở một mình" (the right to be let alone) của Thomas Cooley (1878); quan điểm của Alan Westin trong tác phẩm "Privacy and Freedom" (1970) về quyền tự chủ kiểm soát thông tin; học thuyết của Ruth Gavison trong "Privacy and Limit of the law" (1980) với cấu trúc 3 yếu tố cấu thành trạng thái riêng tư tuyệt đối (bí mật - secrecy, tính vô danh/tự chủ - anonymity, trạng thái độc lập - solitude); cùng các định nghĩa của Robert Ellis Smith, TS. Lê Đình Nghị (2008), TS. Thái Thị Tuyết Dung (2012).
  • Khái niệm DLCN và chuyển dữ liệu: Sử dụng định nghĩa DLCN theo Công ước 1981 của Hội đồng Châu Âu, Hướng dẫn của OECD, Chỉ thị 95/46/EC, quan điểm của ThS. Phạm Hoàng Thanh (2022) và chuẩn hóa theo Khoản 1, Khoản 3, Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP (phân chia thành DLCN cơ bản và DLCN nhạy cảm). Khái niệm chuyển dữ liệu ra nước ngoài được đối chiếu giữa Khoản 14 Điều 2 Nghị định 13/2023/NĐ-CP và Khoản 23 Điều 4 GDPR (xử lý dữ liệu xuyên biên giới).

Phương pháp nghiên cứu: Đề tài vận dụng phương pháp luận duy vật biện chứng và duy vật lịch sử của chủ nghĩa Mác - Lênin, tư tưởng Hồ Chí Minh, kết hợp các phương pháp nghiên cứu chuyên ngành luật học:

  1. Phương pháp hệ thống và phân tích: Sử dụng để tổng hợp, làm rõ hệ thống các khái niệm lý luận, cấu trúc quy phạm pháp luật và thực tiễn quản lý dòng chảy dữ liệu.
  2. Phương pháp so sánh - đối chiếu: Sử dụng để phân tích điểm tương đồng và khác biệt giữa quy định pháp luật Việt Nam (chủ yếu là Nghị định 13/2023/NĐ-CP) và pháp luật EU (GDPR).
  3. Phương pháp suy luận logic: Rút ra các kết luận pháp lý, đánh giá ưu điểm, hạn chế và xây dựng luận cứ khoa học cho các khuyến nghị hoàn thiện chính sách.

Nguồn dữ liệu: Dữ liệu nghiên cứu bao gồm các văn bản quy phạm pháp luật của Việt Nam và EU; các bản án và tài liệu tố tụng chính thức từ Tòa án Công lý Châu Âu (ECJ); các báo cáo thống kê chuyên môn của Nikkei Asia, NCS, Viện Nghiên cứu Chính sách và Phát triển Truyền thông (IPS); sách chuyên khảo quốc tế (Handbook on European data protection law - 2018, The keys to Data protection - 2018) cùng các bài báo khoa học trên các tạp chí pháp lý uy tín trong nước và quốc tế.

Nội dung chính theo từng chương

Chương 1: Quyền riêng tư và hoạt động chuyển dữ liệu cá nhân qua biên giới

Chương 1 thiết lập khung lý luận nền tảng thông qua các nội dung:

  • Bản chất và đặc điểm của quyền riêng tư: Xác định quyền riêng tư là quyền con người, quyền hiến định mang 4 đặc điểm: (1) Được pháp luật ghi nhận; (2) Phạm vi nội hàm rộng lớn (bao gồm riêng tư thông tin, cơ thể, liên lạc và nơi cư trú); (3) Khách thể hướng tới bảo vệ giá trị tinh thần (dù có mối quan hệ chặt chẽ với lợi ích vật chất); (4) Cá nhân có quyền định đoạt nhưng có thể bị hạn chế vì lý do an ninh quốc gia, trật tự xã hội theo luật định.
  • Khái niệm và đặc điểm chuyển DLCN qua biên giới: Phân tích hoạt động chuyển DLCN xuyên biên giới với 4 đặc trưng: sử dụng hạ tầng công nghệ và môi trường mạng; điểm đến của dữ liệu nằm ngoài biên giới lãnh thổ ban đầu; mục đích chuyển giao là để xử lý dữ liệu; hoạt động phải gắn liền với sự đồng ý của chủ thể dữ liệu.
  • Yêu cầu và vai trò bảo đảm quyền riêng tư khi chuyển dữ liệu: Khóa luận xác định 6 yếu tố cốt lõi để bảo vệ dữ liệu xuyên biên giới: (1) Sự đồng ý của chủ thể; (2) Sự tương thích pháp lý giữa quốc gia gửi và nhận dữ liệu; (3) Biện pháp kỹ thuật và an toàn thông tin (mã hóa, kiểm soát truy cập); (4) Giới hạn quyền truy cập theo thẩm quyền; (5) Tính minh bạch thông tin; (6) Cơ chế kiểm tra, đánh giá định kỳ. Việc bảo đảm này giữ 4 vai trò quan trọng: bảo vệ quyền con người, ngăn ngừa tội phạm công nghệ cao, tạo dựng môi trường tín nhiệm trong giao thương quốc tế và thúc đẩy hài hòa hóa chuẩn mực pháp lý toàn cầu.

Chương 2: Quy định của Việt Nam và Liên minh Châu Âu về đảm bảo quyền riêng tư trong hoạt động chuyển dữ liệu cá nhân qua biên giới

Chương 2 tiến hành phân tích thực trạng pháp luật thực định và so sánh quy định giữa hai hệ thống:

  • Lịch sử lập hiến Việt Nam về quyền riêng tư: Điểm qua sự phát triển từ Hiến pháp 1946 (Điều 10, 11), Hiến pháp 1959 (Điều 27, 28), Hiến pháp 1980 (Điều 69, 70, 71), Hiến pháp 1992 (Điều 73) đến Hiến pháp 2013 (lần đầu ghi nhận trực tiếp thuật ngữ "quyền riêng tư" tại Điều 21).
  • Quy định của Việt Nam: Phân tích Điều 25 Nghị định 13/2023/NĐ-CP về điều kiện, trình tự lập "Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài" và cơ chế thẩm quyền của Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an. Tác giả chỉ ra ưu điểm ở tính minh bạch thủ tục hành chính nhưng phê phán sự thiếu hụt các nguyên tắc chuyển giao phổ quát, quy định về hành vi cấm còn chung chung và thiếu vắng chế tài xử phạt cụ thể tại Điều 4.
  • Quy định của Liên minh Châu Âu (Chương V GDPR): Phân tích các cơ chế chuyển giao theo các tầng nấc:
    • Điều 45: Quyết định thỏa đáng (Adequacy Decision) của Ủy ban Châu Âu dựa trên các tiêu chí về thượng tôn pháp luật, nhân quyền và sự tồn tại của cơ quan giám sát độc lập.
    • Điều 46 & 47: Các biện pháp bảo vệ thích hợp (SCCs - Điều khoản hợp đồng tiêu chuẩn) và Quy tắc ràng buộc của doanh nghiệp (BCRs - với 14 nguyên tắc bắt buộc).
    • Điều 48 & 49: Các hành vi bị cấm chuyển giao và các trường hợp miễn trừ/hạn chế đặc thù (sự đồng ý rõ ràng, thực hiện hợp đồng, lý do lợi ích công cộng quan trọng).
    • Điều 50 & 83: Hợp tác quốc tế và chế tài xử phạt nghiêm khắc (lên đến 20 triệu EUR hoặc 4% tổng doanh thu hàng năm toàn cầu).
Tiêu chí so sánh Pháp luật Việt Nam (Nghị định 13/2023/NĐ-CP) Pháp luật Liên minh Châu Âu (GDPR)
Văn bản chủ đạo Nghị định 13/2023/NĐ-CP (văn bản dưới luật; chỉ có Điều 25 quy định trực tiếp về chuyển dữ liệu). Quy định chung về bảo vệ dữ liệu - GDPR 2016 (đạo luật hoàn chỉnh; dành trọn Chương V gồm 7 điều).
Cách tiếp cận quản lý Tiếp cận theo thủ tục hành chính và cơ chế hậu kiểm thông qua việc nộp hồ sơ đánh giá tác động. Tiếp cận theo hướng thiết lập tiêu chuẩn bảo vệ chặt chẽ; kiểm soát chuyển giao dựa trên mức độ bảo vệ tương đương.
Cơ quan giám sát chuyên trách Cục A05 thuộc Bộ Công an (tiếp cận dưới góc độ an ninh mạng, trật tự an toàn xã hội). Cơ quan bảo vệ dữ liệu độc lập (DPA) tại từng quốc gia thành viên (tiếp cận dưới góc độ quyền con người).
Chế tài xử phạt vi phạm Quy định mang tính dẫn chiếu chung chung (xử lý kỷ luật, hành chính, hình sự tại Điều 4). Phạt tiền hành chính tối đa 20 triệu EUR hoặc 4% tổng doanh thu toàn cầu theo Điều 83 (tùy mức nào cao hơn).

Chương 3: Một số vụ việc về chuyển DLCN qua biên giới ở Liên minh Châu Âu

Chương 3 tập trung phân tích tiến trình tố tụng và tác động pháp lý của các vụ án điển hình tại Tòa án Công lý Châu Âu:

  • Vụ Maximilian Schrems v. Facebook Ireland Ltd (Schrems I - Án lệ C-362/14): Xuất phát từ đơn kiện của công dân Áo Maximilian Schrems năm 2013 sau các tiết lộ của Edward Snowden về chương trình giám sát PRISM của các cơ quan tình báo Mỹ (NSA, FBI). Năm 2015, Tòa ECJ đã tuyên bố Quyết định của Ủy ban Châu Âu về Khuôn khổ Cảng an toàn (Safe Harbor Decision 2000/520/EC) là vô hiệu vì pháp luật Hoa Kỳ không cung cấp mức độ bảo vệ tương đương, cho phép cơ quan an ninh can thiệp sâu vào dữ liệu người dùng EU.
  • Vụ Data Protection Commissioner v. Facebook Ireland Ltd and Maximilian Schrems (Schrems II - Án lệ C-311/18): Năm 2020, Tòa ECJ tiếp tục ra phán quyết tuyên vô hiệu Khuôn khổ Lá chắn quyền riêng tư EU - Hoa Kỳ (Privacy Shield Decision 2016/1250) do Điều 702 Đạo luật Giám sát Tình báo Nước ngoài (FISA) và Lệnh hành pháp E.O. 12333 của Mỹ không giới hạn phạm vi giám sát ở mức cần thiết và thiếu cơ chế tư pháp cho công dân EU khiếu nại. Phán quyết giữ lại tính hợp lệ của SCCs nhưng buộc các bên chuyển dữ liệu phải tự đánh giá thực chất môi trường pháp lý của nước tiếp nhận.
  • Vụ DPC v. Meta Platforms Ireland Limited (2023): Phân tích quyết định của Ủy ban Bảo vệ Dữ liệu Ireland (DPC) áp mức phạt kỷ lục 1,2 tỷ EUR và đình chỉ hoạt động chuyển dữ liệu người dùng EU sang máy chủ tại Mỹ của Meta vì sử dụng SCCs không đủ biện pháp khắc phục các rủi ro đã được chỉ ra trong Schrems II.

Chương 4: Một số khuyến nghị hoàn thiện pháp luật cho Việt Nam

Trên cơ sở bài học kinh nghiệm từ EU, chương 4 đề xuất 3 nhóm giải pháp cụ thể:

  • Hoàn thiện cấu trúc pháp luật: Khẩn trương nghiên cứu, nâng cấp quy định từ Nghị định 13/2023/NĐ-CP thành Luật Bảo vệ dữ liệu cá nhân chuyên ngành; tái cơ cấu và tiến tới thành lập cơ quan bảo vệ dữ liệu độc lập chuyên trách, bảo đảm sự tách bạch tương đối giữa quản lý hành chính/bảo vệ quyền nhân thân với hoạt động điều tra an ninh.
  • Hoàn thiện nội dung pháp luật: Bổ sung vào luật các nguyên tắc chuyển giao cốt lõi; quy định rõ ràng danh mục hành vi bị cấm và các trường hợp hạn chế chuyển DLCN ra nước ngoài; xây dựng các công cụ chuyển giao chuẩn mực như Bộ điều khoản hợp đồng mẫu (tương tự SCCs) và cơ chế đánh giá mức độ an toàn dữ liệu của quốc gia nhận (tương tự Adequacy Decision); đưa ra khung chế tài xử phạt hành chính theo tỷ lệ phần trăm doanh thu để bảo đảm tính răn đe.
  • Nâng cao hiệu quả thực thi: Kết hợp cơ chế tiền kiểm và hậu kiểm đối với việc nộp Hồ sơ đánh giá tác động; tăng cường công tác thanh tra, giám sát kỹ thuật; đào tạo chuyên sâu đội ngũ cán bộ thực thi pháp luật dữ liệu; chủ động đẩy mạnh hợp tác quốc tế, ký kết các thỏa thuận song phương/đa phương về công nhận lẫn nhau trong bảo vệ dữ liệu cá nhân.

Kết quả và đóng góp

Kết quả chính:

  • Khóa luận đã hệ thống hóa toàn diện các luận cứ lý thuyết về quyền riêng tư và hoạt động chuyển DLCN qua biên giới dưới góc độ luật hiến pháp và luật quốc tế.
  • Khái quát và phân tích sâu sắc cấu trúc pháp lý của Chương V GDPR cùng các phán quyết mang tính bước ngoặt của Tòa ECJ (Schrems I, Schrems II, DPC v. Meta), chỉ ra cơ chế vận hành của các công cụ pháp lý như Quyết định thỏa đáng, SCCs và BCRs.
  • Làm rõ bức tranh thực trạng pháp luật Việt Nam, phân tích cặn kẽ những ưu điểm và lỗ hổng của Điều 25 Nghị định 13/2023/NĐ-CP trong việc bảo vệ dữ liệu xuyên biên giới.

Giải pháp đề xuất:

  • Đề xuất lộ trình xây dựng Luật Bảo vệ dữ liệu cá nhân riêng biệt tại Việt Nam.
  • Kiến nghị cụ thể về việc luật hóa các công cụ chuyển giao dữ liệu (SCCs, danh sách quốc gia đạt chuẩn bảo vệ), bổ sung chế tài phạt vi phạm theo doanh thu (tham khảo mức 4% của GDPR).
  • Đề xuất mô hình cơ quan chuyên trách bảo vệ dữ liệu độc lập và nâng cao năng lực kiểm tra kỹ thuật định kỳ.

Đóng góp của khóa luận:

  • Về mặt lý luận: Bổ sung nguồn tài liệu nghiên cứu có hệ thống về mối quan hệ giữa quyền riêng tư theo Hiến pháp và chuyển giao dữ liệu quốc tế.
  • Về mặt thực tiễn và lập pháp: Cung cấp các luận cứ so sánh luật học có giá trị tham khảo trực tiếp cho các nhà lập pháp, cơ quan quản lý nhà nước trong quá trình soạn thảo dự án Luật Bảo vệ dữ liệu cá nhân của Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Khóa luận chủ yếu tiếp cận nghiên cứu dưới giác độ phân tích quy phạm và nghiên cứu án lệ từ Liên minh Châu Âu; chưa tiến hành khảo sát thực nghiệm định lượng về mức độ sẵn sàng và chi phí tuân thủ của các nhóm doanh nghiệp khác nhau tại Việt Nam do Nghị định 13/2023/NĐ-CP mới có hiệu lực thi hành từ tháng 7/2023.
  • Hướng nghiên cứu tiếp: Mở rộng đánh giá tác động thực tế của việc nộp Hồ sơ đánh giá tác động chuyển dữ liệu theo Điều 25 Nghị định 13/2023/NĐ-CP đối với cộng đồng doanh nghiệp công nghệ tại Việt Nam; nghiên cứu so sánh bổ sung với các khung pháp lý khu vực khác như Hệ thống quy tắc bảo vệ quyền riêng tư xuyên biên giới APEC (APEC CBPR), Khung quản trị dữ liệu kỹ thuật số ASEAN, Đạo luật PIPL của Trung Quốc hoặc CCPA của Hoa Kỳ.

Giá trị tham khảo

Khóa luận là nguồn tài liệu hữu ích cho:

  • Sinh viên, học viên và nhà nghiên cứu thuộc các chuyên ngành Luật Hiến pháp, Luật Quốc tế, Luật Hành chính, Công nghệ thông tin và Kinh tế số cần tư liệu chuyên sâu về bảo vệ dữ liệu và án lệ quốc tế.
  • Các cơ quan quản lý nhà nước và ban soạn thảo luật (Bộ Công an, Bộ Thông tin và Truyền thông, Bộ Tư pháp) tham khảo các đề xuất hoàn thiện văn bản quy phạm pháp luật và kinh nghiệm điều hành chính sách từ EU.
  • Luật sư, chuyên viên tư vấn pháp lý và bộ phận tuân thủ (Compliance) tại các doanh nghiệp công nghệ, thương mại điện tử, viễn thông có hoạt động truyền dữ liệu ra nước ngoài; đặc biệt là nội dung phân tích tại Chương 2 (thủ tục Điều 25 Nghị định 13) và Chương 3 (bài học từ các án phạt của EU).

Câu hỏi thường gặp

1. Tốc độ tăng trưởng dòng chảy dữ liệu xuyên biên giới của Việt Nam trong giai đoạn 2001–2019 được khóa luận dẫn chứng với con số cụ thể là bao nhiêu?
Theo số liệu từ Nikkei Asia (2019) được trích dẫn trong khóa luận, dòng chảy dữ liệu qua biên giới của Việt Nam giai đoạn 2001–2019 tăng 230.000 lần, đạt tốc độ tăng trưởng cao nhất trong top 11 quốc gia có luồng luân chuyển lớn nhất và gấp khoảng 30 lần mức tăng của Trung Quốc (7.500 lần).

2. Điểm khác biệt lớn nhất về cơ quan chuyên trách bảo vệ dữ liệu giữa Việt Nam và EU được khóa luận chỉ ra là gì?
Tại Việt Nam, cơ quan chuyên trách là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) trực thuộc Bộ Công an, thể hiện cách tiếp cận xem bảo vệ dữ liệu gắn liền với trật tự, an ninh quốc gia. Ngược lại, GDPR của EU yêu cầu mỗi quốc gia thành viên phải thiết lập các cơ quan công quyền độc lập (DPA) nhằm tiếp cận bảo vệ dữ liệu chủ yếu từ góc độ quyền con người và quyền tự do dân sự.

3. Vì sao Tòa án Công lý Châu Âu (ECJ) tuyên bố vô hiệu hai khuôn khổ chuyển dữ liệu Safe Harbor và Privacy Shield trong các vụ án Schrems I và Schrems II?
Tòa ECJ tuyên vô hiệu các thỏa thuận trên vì luật pháp Hoa Kỳ (cụ thể là Điều 702 FISA và Lệnh hành pháp E.O. 12333) cho phép các cơ quan an ninh (NSA, FBI) thực hiện các chương trình giám sát quy mô lớn (như PRISM) đối với dữ liệu công dân EU chuyển sang Mỹ mà không đảm bảo các nguyên tắc cần thiết, tương xứng, đồng thời không cung cấp cho các chủ thể dữ liệu EU cơ chế khiếu nại tư pháp hiệu quả.

4. Mức phạt tài chính tối đa đối với hành vi vi phạm quy định chuyển DLCN qua biên giới theo GDPR được tác giả nêu ra là bao nhiêu?
Căn cứ Điều 83 GDPR, mức xử phạt đối với các hành vi vi phạm nguyên tắc chuyển giao dữ liệu quốc tế (quy định tại các Điều 44 đến 49) có thể lên đến 20 triệu EUR hoặc 4% tổng doanh thu hàng năm trên phạm vi toàn thế giới của doanh nghiệp trong năm tài chính trước đó, tùy thuộc vào số nào lớn hơn.

5. Khóa luận đưa ra các nhóm khuyến nghị cơ bản nào nhằm hoàn thiện pháp luật Việt Nam về chuyển DLCN qua biên giới?
Tác giả đề xuất 3 nhóm giải pháp: (1) Hoàn thiện cấu trúc bằng việc xây dựng Luật Bảo vệ dữ liệu cá nhân chuyên ngành và nghiên cứu cơ quan bảo vệ dữ liệu độc lập; (2) Hoàn thiện nội dung qua việc chuẩn hóa các công cụ chuyển giao (SCCs, danh mục quốc gia an toàn), bổ sung danh mục cấm/hạn chế và chế tài phạt theo tỷ lệ doanh thu; (3) Nâng cao hiệu quả thực thi thông qua kết hợp tiền kiểm - hậu kiểm, đào tạo nhân lực và đẩy mạnh ký kết các thỏa thuận hợp tác quốc tế.

Kết luận

Khóa luận tốt nghiệp của tác giả Đỗ Thị Thu Hải đã nghiên cứu một cách toàn diện và có hệ thống vấn đề bảo đảm quyền riêng tư trong hoạt động chuyển dữ liệu cá nhân qua biên giới. Thông qua việc phân tích sâu sắc khung pháp lý GDPR và các án lệ tư pháp kinh điển của Liên minh Châu Âu, công trình đã làm nổi bật những hạn chế thực định của Nghị định 13/2023/NĐ-CP tại Việt Nam. Các giải pháp được đề xuất mang tính đồng bộ từ cấu trúc đạo luật chuyên ngành, cơ chế giám sát độc lập đến các công cụ chuyển giao chuẩn mực, đóng góp nguồn tư liệu tham khảo có giá trị cao cho tiến trình lập pháp và thực thi chính sách bảo vệ dữ liệu cá nhân tại Việt Nam hiện nay.