Bối cảnh và vấn đề nghiên cứu

Trong kỷ nguyên chuyển đổi số và cuộc Cách mạng công nghiệp lần thứ tư, dữ liệu và thông tin luân chuyển trên không gian mạng đã trở thành nguồn tài nguyên thiết yếu, vận hành như một loại hàng hóa phục vụ mục đích thương mại và thúc đẩy nền kinh tế số toàn cầu. Để tối đa hóa giá trị kinh tế, dữ liệu cần được chuyển giao xuyên biên giới nhằm vượt qua các rào cản về mặt địa lý.

Theo báo cáo năm 2019 của Nikkei Asia về dòng dữ liệu quốc tế, Việt Nam nằm trong nhóm 5 quốc gia châu Á thuộc 11 quốc gia có lưu lượng dòng dữ liệu xuyên biên giới lớn nhất thế giới. Đáng chú ý, Việt Nam ghi nhận tốc độ tăng trưởng của dòng dữ liệu qua biên giới cao nhất thế giới với mức tăng 230.000 lần, cao gấp khoảng 30 lần so với quốc gia dẫn đầu về tổng lưu lượng là Trung Quốc.

Tuy nhiên, việc thu thập và khai thác ồ ạt dữ liệu cá nhân cũng tạo ra các thách thức nghiêm trọng đối với quyền riêng tư và quyền bảo vệ dữ liệu cá nhân. Các rủi ro như lừa đảo, giả mạo danh tính, chiếm đoạt tài sản và xâm phạm danh dự, nhân phẩm gia tăng nhanh chóng. Dẫn chứng thực tế năm 2021 cho thấy sự việc tin tặc rao bán cơ sở dữ liệu hơn 2 GB chứa thông tin của hàng triệu công dân và doanh nghiệp Việt Nam trên các diễn đàn chuyên biệt. Trước thực trạng đó, nhiều quốc gia đã dựng lên các rào cản pháp lý hoặc áp đặt quy định lưu trữ dữ liệu cục bộ nhằm bảo vệ dữ liệu, song điều này lại trực tiếp cản trở dòng chảy thương mại điện tử. Bài toán trung tâm đặt ra cho các nhà lập chính sách là xác lập nguyên tắc cân bằng giữa luồng dữ liệu tự do và bảo vệ an toàn dữ liệu cá nhân.

Tại thời điểm nghiên cứu (năm 2022), Liên minh Châu Âu (EU) đã tiên phong xây dựng khung pháp lý toàn diện thông qua Quy định chung về bảo vệ dữ liệu (GDPR) và Quy định về lưu chuyển tự do dữ liệu phi cá nhân (FFD). Trong khi đó, hệ thống pháp luật Việt Nam vẫn chưa có văn bản luật riêng biệt điều chỉnh toàn diện vấn đề này, các quy định còn phân tán và đang trong quá trình xây dựng Dự thảo Nghị định bảo vệ dữ liệu cá nhân (PDPD). Do đó, việc nghiên cứu kinh nghiệm lập pháp của EU có ý nghĩa thực tiễn cấp thiết.

Mục tiêu nghiên cứu tổng quát của đề tài là làm sáng tỏ mối quan hệ giữa tự do dữ liệu và bảo vệ dữ liệu cá nhân, phân tích nội dung nguyên tắc cân bằng trong pháp luật EU, từ đó đề xuất các định hướng và kiến nghị cụ thể nhằm hoàn thiện khung pháp luật Việt Nam. Nhiệm vụ nghiên cứu được xác định cụ thể qua ba nội dung:

  1. Hệ thống hóa cơ sở lý luận về dữ liệu, dữ liệu cá nhân, quyền riêng tư, tự do dữ liệu và các mô hình quản lý dòng dữ liệu xuyên biên giới trên thế giới.
  2. Phân tích thực trạng áp dụng nguyên tắc cân bằng giữa tự do dữ liệu và bảo vệ dữ liệu cá nhân theo các quy định của pháp luật Liên minh Châu Âu (GDPR, FFD).
  3. Đánh giá thực trạng pháp luật Việt Nam và đề xuất các giải pháp, kiến nghị hoàn thiện quy định pháp luật cùng các biện pháp hỗ trợ thực thi.

Đối tượng nghiên cứu của khóa luận là các vấn đề lý luận và quy định pháp lý về quyền riêng tư, quyền đối với dữ liệu cá nhân, tự do lưu chuyển dữ liệu, cùng nghĩa vụ và trách nhiệm pháp lý của các chủ thể kiểm soát, xử lý dữ liệu. Về phạm vi nghiên cứu, khóa luận tập trung vào các văn kiện pháp lý của EU (GDPR 2016/679, FFD 2018/1807, Chỉ thị 95/46/EC, Công ước ECHR) và hệ thống pháp luật Việt Nam (Hiến pháp 2013, Bộ luật Dân sự 2015, Luật Giao dịch điện tử 2005, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 72/2013/NĐ-CP và Dự thảo Nghị định bảo vệ dữ liệu cá nhân). Phạm vi thời gian nghiên cứu bao quát từ các văn kiện quốc tế thập niên 1980 đến các diễn biến lập pháp và thực tiễn tính đến tháng 6 năm 2022.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống cơ sở lý thuyết dựa trên các chuẩn mực pháp lý quốc tế và khu vực về nhân quyền và thương mại điện tử. Về quyền riêng tư và quyền bảo vệ dữ liệu cá nhân, tác giả viện dẫn Điều 12 Tuyên ngôn Quốc tế về Nhân quyền (UDHR), Điều 17 Công ước Quốc tế về các Quyền Dân sự và Chính trị (ICCPR), Điều 8 Công ước Châu Âu về Nhân quyền (ECHR), Công ước số 108 năm 1981 của Hội đồng Châu Âu về bảo vệ cá nhân trong xử lý tự động dữ liệu cá nhân, và Hướng dẫn của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) năm 1980.

Về khái niệm và phân loại dữ liệu, nghiên cứu đối chiếu các định nghĩa:

  • Dữ liệu nói chung: Khoản 5 Điều 4 Luật Giao dịch điện tử 2005 của Việt Nam và Từ điển Cambridge.
  • Dữ liệu cá nhân (Personal Data): Khoản 1 Điều 4 GDPR; phân biệt với khái niệm Dữ liệu phi cá nhân theo Điều 3 Quy chế (EU) 2018/1807 (FFD).
  • Dữ liệu cá nhân nhạy cảm (Special categories of personal data): Khoản 1 Điều 9 GDPR, bao gồm dữ liệu tiết lộ chủng tộc, sắc tộc, quan điểm chính trị, tôn giáo, triết học, thành viên công đoàn, dữ liệu di truyền, sinh trắc học, sức khỏe, đời sống và xu hướng tình dục.
  • Thông tin nhận dạng cá nhân (PII): Theo hướng dẫn của Bộ Thương mại Hoa Kỳ, đối sánh với khái niệm Thông tin cá nhân tại Khoản 15 Điều 3 Luật An toàn thông tin mạng 2015 và Khoản 16 Điều 3 Nghị định 72/2013/NĐ-CP của Việt Nam.
  • Tự do luân chuyển dữ liệu thương mại: Điều 14.11 Hiệp định Đối tác Toàn diện và Tiến bộ Xuyên Thái Bình Dương (CPTPP).

Phương pháp nghiên cứu thực tế được tác giả áp dụng gồm hai phương pháp pháp lý nền tảng:

  • Phương pháp phân tích và tổng hợp: Được sử dụng làm phương pháp chủ đạo, xuyên suốt toàn bộ đề tài để hệ thống hóa, mổ xẻ các khái niệm lý luận, cấu trúc văn bản quy phạm và các án lệ liên quan đến quyền riêng tư và dòng chảy dữ liệu.
  • Phương pháp so sánh luật học: Được sử dụng để đối chiếu, nhận diện điểm tương đồng và khác biệt giữa quy định của pháp luật Liên minh Châu Âu với pháp luật Hoa Kỳ, Singapore, Trung Quốc và Việt Nam.

Nguồn dữ liệu của khóa luận bao gồm hệ thống văn bản pháp quy, báo cáo chính sách thương mại của OECD, dữ liệu thống kê từ Nikkei Asia, tài liệu của Ủy ban Châu Âu (European Commission), cùng các công trình nghiên cứu khoa học pháp lý đã công bố trong và ngoài nước.

Nội dung chính theo từng chương

Chương 1: Tổng quan về tự do dữ liệu và bảo vệ dữ liệu cá nhân

Chương này tập trung phân tích các khái niệm nền tảng và bản chất mối quan hệ giữa tự do dữ liệu với bảo vệ dữ liệu cá nhân trong bối cảnh phát triển kinh tế số:

  • Bản chất pháp lý của dữ liệu cá nhân: Tác giả chỉ ra sự khác biệt về phạm vi tiếp cận giữa các hệ thống pháp luật. Định nghĩa dữ liệu cá nhân theo GDPR có nội hàm rộng và linh hoạt hơn so với khái niệm PII của Hoa Kỳ hay thông tin cá nhân trong luật pháp Việt Nam, khi bao hàm cả định danh trực tiếp lẫn gián tiếp (như địa chỉ IP động, chỉ số nhận dạng cookie, dữ liệu vị trí).
Tiêu chí Pháp luật Liên minh Châu Âu (GDPR) Pháp luật Hoa Kỳ (PII) Pháp luật Việt Nam (Luật ATTT mạng 2015, NĐ 72/2013)
Thuật ngữ chính Dữ liệu cá nhân (Personal Data) Thông tin nhận dạng cá nhân (PII) Thông tin cá nhân
Phạm vi nhận diện Bao gồm nhận diện trực tiếp và gián tiếp; tính đến yếu tố văn hóa, xã hội, định danh số (IP, cookie, dữ liệu sinh trắc). Tập trung vào thông tin trực tiếp phân biệt danh tính (tên, số an sinh xã hội, hồ sơ sinh trắc) hoặc khi kết hợp cụ thể. Gắn với xác định danh tính cụ thể (tên, tuổi, địa chỉ, số CMND, email, số điện thoại); phạm vi hẹp.
Phân loại mức độ Phân tách rõ ràng Dữ liệu cá nhân thông thường và Dữ liệu cá nhân nhạy cảm (Điều 9). Điều chỉnh theo ngành/lĩnh vực cụ thể (y tế, tài chính), xem dữ liệu như một tài sản thương mại. Chưa có sự phân định rành mạch giữa dữ liệu cơ bản và dữ liệu nhạy cảm trong luật thực định (tính đến 2022).
  • Tầm quan trọng của tự do dữ liệu: Dòng dữ liệu tự do giúp doanh nghiệp vừa và nhỏ (SMEs) tiếp cận các nền tảng điện toán đám mây với chi phí thấp, tối ưu hóa chuỗi cung ứng toàn cầu (như mô hình kho dữ liệu tích hợp của Unilever với 174.000 nhân viên tại 190 quốc gia), từ đó thúc đẩy tăng trưởng GDP và đổi mới sáng tạo.
  • Sự cần thiết bảo vệ quyền riêng tư: Việc khai thác dữ liệu không kiểm soát dẫn đến nguy cơ lạm dụng thông tin, quấy rầy thương mại và đe dọa trực tiếp phẩm giá con người. Bảo vệ dữ liệu cá nhân chính là công cụ củng cố niềm tin của người tiêu dùng trong giao dịch trực tuyến.
  • Năm cách tiếp cận quản lý dòng dữ liệu xuyên biên giới trên thế giới:
    1. Không quy định hạn chế: Dữ liệu được tự do lưu chuyển hoàn toàn nhưng thiếu sự bảo vệ pháp lý.
    2. Quản lý theo nguyên tắc trách nhiệm giải trình: Không cấm chuyển giao nhưng buộc bên xuất khẩu chịu trách nhiệm nếu dữ liệu bị lạm dụng (điển hình là Đạo luật PDPA 2012 của Singapore).
    3. Quản lý theo điều kiện bảo vệ tương đương/tính đầy đủ: Chỉ cho phép chuyển dữ liệu sang các quốc gia đáp ứng tiêu chuẩn bảo vệ tương thích hoặc có biện pháp bảo đảm hợp đồng (mô hình GDPR của EU).
    4. Phê duyệt theo từng trường hợp cụ thể kết hợp quản lý an ninh: Áp dụng kiểm tra an ninh và phê duyệt hành chính đối với dữ liệu cá nhân và "dữ liệu quan trọng" (mô hình Luật An ninh mạng Trung Quốc).
    5. Cấm chuyển giao dữ liệu/Bản địa hóa bắt buộc: Yêu cầu lưu trữ và xử lý toàn bộ dữ liệu trong nước, thường áp dụng cho dữ liệu tài chính hoặc dữ liệu y tế đặc biệt nhạy cảm.

Chương 2: Nguyên tắc cân bằng tự do dữ liệu và bảo vệ dữ liệu cá nhân theo pháp luật tại Liên minh Châu Âu

Chương 2 phân tích chi tiết cơ chế vận hành của nguyên tắc cân bằng theo khung pháp lý EU:

  • Bản chất nguyên tắc cân bằng: Căn cứ Đoạn mở đầu (Recital) số 4 Chỉ thị 95/46/EC và GDPR, quyền bảo vệ dữ liệu cá nhân không phải là quyền tuyệt đối mà phải được xem xét trong mối quan hệ với chức năng xã hội và được cân bằng với các quyền cơ bản khác theo nguyên tắc tương xứng. Pháp luật EU vận hành theo cơ chế kép: một mặt tạo thuận lợi cho việc luân chuyển dữ liệu nội khối và quốc tế, mặt khác ràng buộc dòng chảy này vào các tiêu chuẩn bảo vệ nghiêm ngặt.
  • Đối tượng và chủ thể điều chỉnh:
    • Đối tượng: Dữ liệu cá nhân (GDPR) và Dữ liệu phi cá nhân (FFD 2018/1807).
    • Chủ thể dữ liệu: Được trao 6 nhóm quyền năng cơ bản gồm quyền tiếp cận dữ liệu (Điều 15), quyền chỉnh sửa (Điều 16), quyền xóa dữ liệu/quyền được lãng quên (Điều 17), quyền hạn chế xử lý (Điều 18), quyền chuyển đổi dữ liệu (Điều 20) và quyền phản đối việc xử lý (Điều 21).
    • Chủ thể kiểm soát dữ liệu (Data Controller - Khoản 7 Điều 4) và Chủ thể xử lý dữ liệu (Data Processor - Khoản 8 Điều 4): Có trách nhiệm bảo đảm tính hợp pháp, bảo mật trong suốt quá trình xử lý.
    • Cơ quan giám sát độc lập (Supervisory Authority - Điều 51): Được trao quyền điều tra, khắc phục, cấp phép và áp đặt chế tài xử phạt theo Điều 58.
  • Phạm vi áp dụng ngoài lãnh thổ (Extraterritorial effect): Theo Điều 3 GDPR, quy định không chỉ áp dụng cho các thực thể đặt tại EU mà còn ràng buộc các tổ chức ngoài EU nếu họ cung cấp hàng hóa, dịch vụ cho cá nhân tại EU hoặc giám sát hành vi của các cá nhân diễn ra trong lãnh thổ EU.
  • Cơ chế tự do lưu chuyển dữ liệu:
    • Dữ liệu nội khối: Khoản 3 Điều 1 GDPR nghiêm cấm các nước thành viên hạn chế di chuyển dữ liệu cá nhân vì lý do bảo vệ dữ liệu. Điều 4 FFD cấm các yêu cầu bản địa hóa dữ liệu phi cá nhân, trừ trường hợp đặc biệt vì an ninh công cộng.
    • Chuyển giao dữ liệu sang nước thứ ba (Chương V GDPR): Phải bảo đảm tính hợp pháp theo 6 căn cứ của Điều 6 (sự đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, bảo vệ lợi ích sống còn, lợi ích công cộng, lợi ích hợp pháp). Đồng thời, việc chuyển giao phải dựa trên một trong ba cơ chế:
      1. Quyết định về tính đầy đủ (Adequacy Decision - Điều 45): Đã công nhận một số quốc gia như Andorra, Argentina, Canada, New Zealand, Thụy Sĩ, Nhật Bản, Vương quốc Anh, Hàn Quốc... Lưu ý rằng phán quyết Schrems II (16/7/2020) của Tòa án Công lý Châu Âu (ECJ) đã tuyên bố vô hiệu hóa thỏa thuận "Lá chắn an toàn" (Privacy Shield) giữa Hoa Kỳ và EU.
      2. Các biện pháp bảo vệ thích hợp (Điều 46): Áp dụng Điều khoản hợp đồng tiêu chuẩn (SCC), Quy tắc ràng buộc của doanh nghiệp (BCR), hoặc cơ chế chứng nhận được phê duyệt.
      3. Các trường hợp ngoại lệ (Điều 49): Áp dụng khi có sự đồng ý rõ ràng và tự nguyện của chủ thể dữ liệu sau khi đã được thông báo đầy đủ rủi ro.
  • Quy chuẩn xử lý và điều kiện về sự đồng ý: Việc xử lý phải minh bạch, công bằng. Sự đồng ý (Điều 7) phải được đưa ra tự nguyện, không chấp nhận việc im lặng hoặc đánh dấu sẵn; đối với dữ liệu nhạy cảm phải có sự đồng ý rõ ràng (explicit consent); đối với trẻ em dưới 16 tuổi (hoặc từ 13 đến dưới 16 tuổi tùy luật quốc gia), phải có sự đồng ý hoặc ủy quyền của cha mẹ/người giám hộ.

Chương 3: Thực trạng về cân bằng tự do dữ liệu và bảo vệ dữ liệu cá nhân và kinh nghiệm cho Việt Nam

Chương này đánh giá hệ thống pháp luật Việt Nam và đưa ra hệ thống kiến nghị hoàn thiện:

  • Thực trạng pháp luật Việt Nam:
    • Văn bản quy phạm pháp luật còn tản mát tại Hiến pháp 2013, Bộ luật Dân sự 2015, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 72/2013/NĐ-CP.
    • Khái niệm thông tin cá nhân còn hẹp, chưa bao quát được các loại dữ liệu định danh gián tiếp và chưa phân loại chi tiết dữ liệu cá nhân nhạy cảm.
    • Tồn tại khoảng trống pháp lý rõ rệt về quy chế chuyển giao dữ liệu xuyên biên giới; các yêu cầu lưu trữ dữ liệu cục bộ còn cứng nhắc, tạo rào cản cho sự phát triển của kinh tế số và thương mại quốc tế.
    • Chưa thiết lập cơ quan chuyên trách bảo vệ dữ liệu cá nhân có tính độc lập cao như mô hình cơ quan giám sát tại EU.
  • Kiến nghị hoàn thiện pháp luật Việt Nam:
    • Về mặt lập pháp: Sớm ban hành văn bản pháp luật chuyên biệt về bảo vệ dữ liệu cá nhân (tiến tới xây dựng Luật Bảo vệ dữ liệu cá nhân); chuẩn hóa định nghĩa dữ liệu cá nhân tiệm cận chuẩn quốc tế; phân loại cụ thể dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; luật hóa đầy đủ các quyền của chủ thể dữ liệu (bao gồm quyền được lãng quên, quyền phản đối và quyền chuyển giao dữ liệu); xây dựng cơ chế chuyển dữ liệu xuyên biên giới linh hoạt (thiết lập cơ chế đánh giá tính đầy đủ của quốc gia tiếp nhận, ban hành hợp đồng mẫu SCC, công nhận quy tắc ràng buộc doanh nghiệp BCR).
    • Về mặt thực thi và tổ chức: Thành lập hoặc chỉ định cơ quan quản lý chuyên trách độc lập về bảo vệ dữ liệu; hoàn thiện chế tài hành chính và dân sự đủ tính răn đe đối với các hành vi mua bán, làm lộ dữ liệu; đẩy mạnh hướng dẫn kỹ thuật và xây dựng văn hóa tuân thủ bảo vệ dữ liệu trong cộng đồng doanh nghiệp.

Kết quả và đóng góp

Khóa luận đã đạt được các kết quả nghiên cứu cụ thể:

  • Phân tích và làm rõ hệ thống số liệu thực tiễn về luồng dữ liệu xuyên biên giới, đặc biệt là vị thế tăng trưởng 230.000 lần của Việt Nam theo ghi nhận của Nikkei Asia năm 2019, cùng các dẫn chứng về vi phạm an toàn dữ liệu hơn 2 GB tại Việt Nam năm 2021.
  • Hệ thống hóa toàn diện khung pháp lý EU về nguyên tắc cân bằng, làm rõ các căn cứ chuyển giao dữ liệu xuyên biên giới theo GDPR (Điều 6, Điều 45, Điều 46), các tiền lệ pháp lý quan trọng như phán quyết Schrems II (2020), và vai trò của Quy chế FFD 2018/1807 đối với dữ liệu phi cá nhân.
  • Khái quát hóa 5 mô hình tiếp cận chính sách đối với dòng dữ liệu xuyên biên giới trên thế giới (không quy định, trách nhiệm giải trình, tính đầy đủ/tương đương, phê duyệt hành chính an ninh, và cấm chuyển giao/bản địa hóa).

Đóng góp mới của đề tài: Khóa luận là công trình nghiên cứu chuyên sâu tiếp cận vấn đề bảo vệ dữ liệu cá nhân gắn liền với nguyên tắc cân bằng hai chiều với tự do dữ liệu, khắc phục góc nhìn phiến diện của các nghiên cứu trước đó vốn chỉ tập trung vào một khía cạnh bảo vệ an ninh thông tin đơn thuần hoặc tự do thương mại biệt lập. Kết quả nghiên cứu cung cấp luận cứ khoa học và các đề xuất lập pháp cụ thể phục vụ trực tiếp cho tiến trình xây dựng và hoàn thiện khung pháp luật về dữ liệu cá nhân tại Việt Nam.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận được hoàn thành vào tháng 6 năm 2022, do đó các đánh giá về pháp luật Việt Nam chủ yếu dựa trên hệ thống văn bản hiện hành tại thời điểm đó và bản Dự thảo Nghị định bảo vệ dữ liệu cá nhân (PDPD), chưa phản ánh được các văn bản pháp luật chính thức được ban hành trong giai đoạn sau. Ngoài ra, phạm vi nghiên cứu tập trung chủ yếu vào kinh nghiệm pháp luật của Liên minh Châu Âu mà chưa đi sâu vào đánh giá tác động định lượng kinh tế của việc tuân thủ GDPR đối với các doanh nghiệp Việt Nam khi xuất khẩu dịch vụ kỹ thuật số sang thị trường EU.

Hướng nghiên cứu tiếp theo của đề tài là theo dõi, đánh giá hiệu quả áp dụng thực tế khi các văn bản quy phạm pháp luật chuyên biệt về bảo vệ dữ liệu cá nhân của Việt Nam chính thức có hiệu lực; đồng thời nghiên cứu chuyên sâu về các điều kiện kỹ thuật và pháp lý để Việt Nam có thể đạt được thỏa thuận công nhận tính đầy đủ hoặc xây dựng các cơ chế hợp đồng mẫu (SCC) tương thích với tiêu chuẩn quốc tế.

Giá trị tham khảo

Khóa luận là nguồn tài liệu tham khảo có giá trị học thuật và thực tiễn đối với:

  • Sinh viên, học viên cao học, giảng viên chuyên ngành Luật học, đặc biệt là các bộ môn Luật Quốc tế, Luật Thương mại Quốc tế, Luật Sở hữu trí tuệ và Luật Công nghệ thông tin.
  • Các chuyên gia pháp chế, luật sư tư vấn doanh nghiệp trong lĩnh vực công nghệ số, thương mại điện tử, logistics và dịch vụ xuyên biên giới có hoạt động xử lý dữ liệu khách hàng quốc tế.
  • Các nhà hoạch định chính sách, cán bộ nghiên cứu tại các cơ quan quản lý nhà nước (Bộ Thông tin và Truyền thông, Bộ Công an, Bộ Tư pháp) trong quá trình soạn thảo, hoàn thiện các văn bản quy phạm pháp luật về quản trị dữ liệu.

Phần nội dung có giá trị tham khảo cao nhất là Chương 2 với việc phân tích chi tiết từng điều khoản của GDPR, FFD và Chương 1 với hệ thống phân loại 5 cách tiếp cận pháp lý đối với luồng dữ liệu xuyên biên giới.

Câu hỏi thường gặp

1. Theo số liệu trong khóa luận, mức độ tăng trưởng dòng dữ liệu xuyên biên giới của Việt Nam có điểm gì nổi bật?

Theo báo cáo công bố năm 2019 của Nikkei Asia được khóa luận trích dẫn, Việt Nam là một trong 5 quốc gia châu Á nằm trong nhóm 11 quốc gia có dòng dữ liệu xuyên biên giới lớn nhất thế giới. Đặc biệt, Việt Nam đạt tốc độ tăng trưởng dòng dữ liệu qua biên giới cao nhất toàn cầu với mức tăng 230.000 lần, gấp khoảng 30 lần so với quốc gia đứng đầu về tổng lưu lượng là Trung Quốc (với mức tăng khoảng 7 lần).

2. Định nghĩa dữ liệu cá nhân theo GDPR của EU khác biệt như thế nào so với quy định pháp luật Việt Nam tại thời điểm nghiên cứu?

Theo Khoản 1 Điều 4 GDPR, dữ liệu cá nhân bao gồm mọi thông tin liên quan đến một thể nhân được xác định hoặc có thể nhận dạng, trực tiếp hoặc gián tiếp qua các định danh số như địa chỉ IP, cookie, dữ liệu vị trí cũng như các yếu tố văn hóa, xã hội. Trong khi đó, theo Luật An toàn thông tin mạng 2015 và Nghị định 72/2013/NĐ-CP của Việt Nam, khái niệm thông tin cá nhân có nội hàm hẹp hơn, chủ yếu gắn liền với việc xác định danh tính trực tiếp (họ tên, ngày sinh, địa chỉ, số CMND, số điện thoại).

3. Quy định chung về bảo vệ dữ liệu (GDPR) của EU cho phép chuyển dữ liệu sang quốc gia thứ ba dựa trên những điều kiện pháp lý nào?

Để chuyển dữ liệu cá nhân ra ngoài lãnh thổ EU hợp pháp, hoạt động xử lý trước hết phải đáp ứng một trong 6 căn cứ hợp pháp tại Điều 6 GDPR. Tiếp theo, việc chuyển giao phải dựa trên một trong các cơ chế: (1) Quyết định về tính đầy đủ (Adequacy Decision - Điều 45) do Ủy ban Châu Âu công nhận; (2) Các biện pháp bảo vệ thích hợp (Điều 46) như Điều khoản hợp đồng tiêu chuẩn (SCC) hoặc Quy tắc ràng buộc doanh nghiệp (BCR); hoặc (3) Các trường hợp ngoại lệ hẹp tại Điều 49, bao gồm sự đồng ý rõ ràng và tự nguyện của chủ thể dữ liệu.

4. Phán quyết Schrems II của Tòa án Công lý Châu Âu (ECJ) có ý nghĩa như thế nào đối với dòng dữ liệu xuyên Đại Tây Dương?

Phán quyết Schrems II ngày 16 tháng 7 năm 2020 của ECJ đã tuyên bố vô hiệu hóa thỏa thuận "Lá chắn an toàn" (Privacy Shield) giữa Hoa Kỳ và EU. ECJ phán quyết rằng các cơ chế giám sát và luật an ninh quốc gia của Hoa Kỳ không bảo đảm mức độ bảo vệ tương đương cho công dân EU, khiến việc chuyển giao dữ liệu từ EU sang Hoa Kỳ không thể tiếp tục dựa trên cơ chế Privacy Shield mà phải áp dụng các biện pháp bảo đảm thay thế nghiêm ngặt theo Điều 46 GDPR.

5. Quy chế FFD (Regulation EU 2018/1807) của EU đóng vai trò gì trong việc bảo đảm tự do dữ liệu?

Quy chế FFD thiết lập khung pháp lý cho việc lưu chuyển tự do dữ liệu phi cá nhân trong toàn Liên minh Châu Âu. Điều 4 của FFD nghiêm cấm các quốc gia thành viên ban hành hoặc duy trì các yêu cầu bản địa hóa dữ liệu trên lãnh thổ quốc gia mình, ngoại trừ trường hợp duy nhất được chứng minh hợp lý trên cơ sở an ninh công cộng, nhằm mục tiêu tối ưu hóa nền kinh tế dữ liệu nội khối.

Kết luận

Khóa luận tốt nghiệp của tác giả Huỳnh Đăng My đã nghiên cứu toàn diện và có hệ thống về nguyên tắc cân bằng giữa tự do luân chuyển dữ liệu và bảo vệ dữ liệu cá nhân theo pháp luật Liên minh Châu Âu. Thông qua việc phân tích chuyên sâu các quy định của GDPR, FFD cùng thực tiễn quản lý dữ liệu toàn cầu, công trình đã làm rõ tính tất yếu của việc hài hòa giữa quyền riêng tư con người và sự phát triển của nền kinh tế số. Những kiến nghị lập pháp và thực thi được đề xuất trong khóa luận cung cấp các luận cứ khoa học có giá trị thực tiễn cao cho tiến trình hoàn thiện khung pháp lý về bảo vệ dữ liệu tại Việt Nam.