Bảo vệ quyền con người trên không gian số

Ngăn chặn hình thành “chợ đen” dữ liệu cá nhân

Tại các phiên thảo luận, đa số các ý kiến đại biểu đều nhất trí với sự cần thiết ban hành Luật Bảo vệ dữ liệu cá nhân để thể chế hóa quan điểm của Đảng, cụ thể hóa Hiến pháp 2013 về bảo vệ quyền con người và quyền công dân; đồng thời, khắc phục khoảng trống pháp lý, tăng cường quản lý nhà nước, bảo vệ quyền con người trong không gian số, thúc đẩy phát triển kinh tế số an toàn, bền vững. Bên cạnh đó, một số ý kiến còn băn khoăn về quy định cấm mua, bán dữ liệu cá nhân vì cho rằng có những trường hợp trao đổi dữ liệu cá nhân là cần thiết, phục vụ mục đích chính đáng mà không gây hại cho chủ thể dữ liệu.

Tại Tọa đàm “Tuyên truyền các dự án luật do Bộ Công an chủ trì soạn thảo trình Kỳ họp thứ Chín” mới đây, Thiếu tá Đào Đức Triệu - Phó Trưởng phòng Tham mưu tổng hợp, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (Bộ Công an) cho biết, hiện nay trong các vụ án lừa đảo, chiếm đoạt tài sản quy mô lớn do Bộ Công an triệt phá, yếu tố lộ, lọt, mua, bán dữ liệu cá nhân là nguyên nhân chính khiến tội phạm thực hiện hành vi phạm tội. Việc mua, bán dữ liệu cá nhân như hàng hóa diễn ra với số lượng dữ liệu lớn, bán nhiều lần, cho nhiều đối tượng để phân tích, khai thác, xây dựng các kịch bản lừa đảo. Bên cạnh đó, hiện nay nội bộ các tổ chức, đơn vị đang thiếu quy định, chính sách quản lý chặt chẽ, phân quyền việc xử lý dữ liệu cá nhân dẫn đến nhân viên lấy thông tin khách hàng để bán cho các đối tượng lừa đảo. Như vậy, nếu không quy định cấm mua, bán dữ liệu cá nhân như hàng hóa và có chế tài xử lý nghiêm thì thực tiễn sẽ có phát sinh rất nhiều phương thức, thủ đoạn để hình thành “chợ đen” về dữ liệu cá nhân, gây hậu quả, thiệt hại lớn và nỗi bất an cho mỗi công dân số.

Để bảo đảm phân định rõ ràng, tránh việc “lách luật”, dự thảo luật đã bổ sung quy định tại Khoản 5 Điều 7 về việc cấm “Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật”; bổ sung Điều 17 về hoạt động chuyển giao dữ liệu cá nhân, trong đó Khoản 4 quy định “Việc chuyển giao dữ liệu cá nhân trong các trường hợp quy định tại khoản 1 Điều này có thu phí hoặc không thu phí thì không được xác định là mua, bán dữ liệu cá nhân.”

Tuy nhiên, trong bối cảnh chuyển đổi số, khai phá tiềm năng của dữ liệu, trong đó có dữ liệu cá nhân, Chính phủ thấy rằng, dữ liệu cá nhân là nguồn tư liệu sản xuất quan trọng trong phát triển kinh tế, xã hội, nhưng cần được sử dụng hiệu quả, hợp lý, phù hợp với nguyên tắc bảo vệ quyền con người, quyền công dân. Do đó, dự thảo luật cũng đã bổ sung khái niệm “Khử nhận dạng dữ liệu cá nhân” tại Khoản 11 Điều 2; khẳng định dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân, được phép mua, bán theo quy định của pháp luật.

Quy định mức xử phạt cao để tăng tính răn đe

Tại các phiên thảo luận tổ và hội trường tại Kỳ họp thứ Chín, nhiều đại biểu cũng bày tỏ băn khoăn về quy định mức xử lý vi phạm quy định bảo vệ dữ liệu cá nhân như thế nào thì hợp lý?. Hiện, dự thảo luật đang quy định mức xử phạt theo doanh thu của tổ chức, doanh nghiệp. Một số ý kiến cho rằng, quy định này chưa hợp lý và sẽ dẫn đến tình trạng cùng một hành vi vi phạm thì doanh nghiệp lớn, doanh thu lớn sẽ phải nộp phạt nhiều; doanh nghiệp nhỏ, doanh thu ít thì nộp phạt ít; như vậy, mức xử phạt không công bằng và rất khó kiểm soát.

Về vấn đề này, Thiếu tá Đào Đức Triệu cho biết, do tính chất và hậu quả nghiêm trọng của hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân nên cần quy định mức phạt cao hơn để bảo đảm tính răn đe đối với các doanh nghiệp lớn, đặc biệt là các tập đoàn đa quốc gia hoặc doanh nghiệp công nghệ có doanh thu hàng nghìn tỷ đồng. Qua nghiên cứu, tham khảo kinh nghiệm quốc tế, nhiều quốc gia cũng quy định xử phạt cao trong lĩnh vực này, mức phạt tiền tối đa dao động từ 4 tỷ đồng đến 584 tỷ đồng.

"Dự thảo luật điều chỉnh, quy định nâng mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 3 tỷ đồng là hoàn toàn có cơ sở", Thiếu tá Triệu nhấn mạnh.

Đối với hành vi mua, bán dữ liệu cá nhân thì có thể phạt đến 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu trái pháp luật hoặc mức phạt tính theo khoản thu trái pháp luật thấp hơn mức phạt tiền tối đa quy định tại Khoản 5, Điều 8 của Luật Bảo vệ Dữ liệu cá nhân thì áp dụng mức phạt tiền tối đa quy định tại Khoản 5 (3 tỷ đồng). Quy định này được thiết kế trên cơ sở tham khảo Điều 132 của Luật Chứng khoán về xử lý vi phạm.

Bên cạnh đó, chỉ quy định mức phạt tiền tối đa 5% doanh thu năm liền trước của tổ chức, doanh nghiệp đối với hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới; trường hợp không có doanh thu hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại Khoản 5, Điều 8 thì áp dụng mức phạt tiền tối đa theo quy định tại Khoản 5 (3 tỷ đồng). Bổ sung quy định xử phạt đối với cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền tối đa đối với tổ chức. Đồng thời, giao Chính phủ quy định chi tiết về mức phạt, khung tiền phạt đối với từng hành vi vi phạm hành chính; quy định phương pháp tính khoản thu trái pháp luật có được từ việc thực hiện hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Từ những phân tích nêu trên, có thể khẳng định rằng việc ban hành Luật Bảo vệ dữ liệu cá nhân là yêu cầu cấp thiết, nhằm thiết lập một hành lang pháp lý rõ ràng, đồng bộ và hiệu lực để bảo vệ quyền riêng tư của công dân trong kỷ nguyên số. Dự án luật không chỉ thể hiện sự cam kết của Nhà nước trong việc tôn trọng và bảo vệ quyền con người, mà còn tạo nền tảng pháp lý vững chắc để thúc đẩy chuyển đổi số an toàn, bền vững và nhân văn.