Luật Bảo vệ dữ liệu cá nhân: Nghiêm cấm hành vi mua, bán dữ liệu cá nhân

Giám sát chặt chẽ đối với hoạt động xử lý dữ liệu cá nhân

Điểm nổi bật của Luật Bảo vệ dữ liệu cá nhân theo Thứ trưởng Bộ Công an Lê Quốc Hùng là xác định 6 nguyên tắc bảo vệ dữ liệu cá nhân. Theo đó, chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng và phải đảm bảo tính chính xác của dữ liệu. Việc bảo vệ dữ liệu cá nhân phải gắn với bảo vệ lợi ích quốc gia, dân tộc, thể hiện sự cân bằng giữa quyền lợi cá nhân và lợi ích công cộng.

Chủ thể dữ liệu cá nhân có 6 quyền đối với dữ liệu cá nhân của mình, trong đó có các quyền quan trọng trong xác lập căn cứ hợp pháp cho hoạt động xử lý dữ liệu cá nhân của các tổ chức, cá nhân có liên quan, như: quyền được biết, quyền đồng ý hoặc không đồng ý, quyền rút lại sự đồng ý...

Cùng với đó là quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế xử lý, hay phản đối xử lý dữ liệu cá nhân. Khi quyền lợi bị xâm phạm, chủ thể dữ liệu cá nhân có quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại.

Luật quy định rõ trách nhiệm của các bên liên quan trong quá trình xử lý dữ liệu cá nhân, bao gồm: bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

Luật xác định trách nhiệm quản lý nhà nước về bảo vệ dữ liệu cá nhân, trong đó Chính phủ thống nhất quản lý nhà nước, Bộ Công an là cơ quan đầu mối chính, Bộ Quốc phòng, các bộ, ngành và UBND cấp tỉnh cũng có trách nhiệm quản lý trong phạm vi chức năng, nhiệm vụ của mình. Điều này tạo nên một cơ chế quản lý đa tầng, đảm bảo sự giám sát chặt chẽ đối với hoạt động xử lý dữ liệu cá nhân trên toàn quốc.

Đối với lực lượng bảo vệ dữ liệu cá nhân, ngoài cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an và tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân, luật quy định cơ quan, tổ chức không thuộc trường hợp được miễn trừ, có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Đồng thời giao Chính phủ quy định về điều kiện, nhiệm vụ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức và tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Để đảm bảo khả thi và ngăn chặn hiệu quả các hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, luật quy định các hành vi bị nghiêm cấm bám sát thực tiễn, đảm bảo tính bao quát, tập trung vào những hành vi phổ biến, nghiêm trọng, như: xử lý dữ liệu cá nhân nhằm chống phá Nhà nước; lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật; sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật; chiếm đoạt, cố làm sai lệch, làm mất dữ liệu cá nhân.

“Đặc biệt, việc hành vi mua, bán dữ liệu cá nhân bị nghiêm cấm, trừ trường hợp luật có quy định khác sẽ tạo hành lang pháp lý để đấu tranh với tội phạm coi dữ liệu cá nhân như hàng hóa thông thường để mua, bán, xâm phạm nghiêm trọng đến quyền con người, quyền lợi hợp pháp của cá nhân, tổ chức”, Thứ trưởng Bộ Công an nhấn mạnh.

Phạt gấp 10 lần khoản thu có được từ hành vi mua, bán dữ liệu cá nhân

Luật quy định hình thức xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

Cụ thể, đối với hành vi mua, bán dữ liệu cá nhân, mức phạt tiền tối đa là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn 3 tỷ đồng thì áp dụng mức phạt tiền tối đa là 3 tỷ đồng. Chính phủ sẽ quy định phương pháp tính khoản thu có được từ việc thực hiện hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Đối với hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tiền tối đa là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn 3 tỷ đồng thì áp dụng mức phạt tiền tối đa là 3 tỷ đồng.

Đối với các hành vi vi phạm khác, mức phạt tiền tối đa là 3 tỷ đồng với tổ chức. Mức phạt áp dụng với cá nhân bằng một phần hai mức phạt đối với tổ chức theo từng hành vi.

Nhận thấy tầm quan trọng của bảo vệ dữ liệu cá nhân trong các lĩnh vực đặc thù, quan trọng, luật đã quy định các điều, khoản cụ thể để điều chỉnh hoạt động bảo vệ dữ liệu cá nhân trong quá trình xử lý, như: trong tuyển dụng, quản lý, sử dụng người lao động; kinh doanh dịch vụ quảng cáo; nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến; xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây; hoạt động tài chính, ngân hàng, thông tin tín dụng; hoạt động kinh doanh bảo hiểm; hoạt động ghi âm, ghi hình tại nơi công cộng.

Luật cũng công nhận ngành, nghề kinh doanh có điều kiện là kinh doanh dịch vụ xử lý dữ liệu cá nhân và giao Chính phủ quy định chi tiết nhằm quản lý chặt chẽ ngành nghề có quy mô xử lý dữ liệu cá nhân lớn và nhạy cảm này.

Đối với dữ liệu cá nhân của trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi, Luật có quy định riêng, chặt chẽ để bảo vệ dữ liệu cá nhân của nhóm đối tượng yếu thế, dễ tổn thương này.

Đối với dữ liệu vị trí, dữ liệu sinh trắc học, luật quy định yêu cầu biện pháp bảo mật nghiêm ngặt, hạn chế quyền truy cập và có cơ chế thông báo cho chủ thể dữ liệu nếu xảy ra thiệt hại.

Điểm mới đáng lưu ý của luật là tổ chức, cá nhân tiến hành chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 60 ngày kể từ ngày chuyển.

Thứ trưởng Bộ Công an Lê Quốc Hùng cho biết, “quy định nêu trên vừa giúp cơ quan chuyên trách quản lý hoạt động chuyển dữ liệu cá nhân của công dân Việt Nam xuyên biên giới, vừa tạo cơ chế linh hoạt cho doanh nghiệp, không quy định cấp phép kiểm duyệt trước khi chuyển dữ liệu cá nhân xuyên biên giới”.

Tương tự, luật nêu rõ, tổ chức, cá nhân lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để kiểm soát rủi ro trong quá trình xử lý dữ liệu cá nhân. Tuy nhiên, để tạo điều kiện thuận lợi cho các doanh nghiệp, luật quy định miễn trừ các nghĩa vụ này đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh, doanh nghiệp siêu nhỏ, trừ khi họ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

Luật có hiệu lực thi hành từ ngày 1/1/2026.