Pháp luật bảo vệ thông tin cá nhân tại Việt Nam: Toàn cảnh Nghị định 13 và các biện pháp ứng phó doanh nghiệp cần thực hiện

Luật Bảo vệ Thông tin Cá nhân của Việt Nam (Nghị định 13) có hiệu lực năm 2023 đặt ra nghĩa vụ pháp lý mới cho mọi doanh nghiệp trong và ngoài nước. Bài viết này, do luật sư người Việt Nam trình bày dễ hiểu, giải thích các điểm quan trọng liên quan trực tiếp đến thực tiễn doanh nghiệp như cơ cấu, phạm vi áp dụng, trách nhiệm của bên kiểm soát dữ liệu, yêu cầu về sự đồng ý, quy định về chuyển dữ liệu xuyên biên giới của Nghị định 13. Bài viết cũng bao quát các biện pháp thực tiễn về xây dựng cơ chế nội bộ và phòng tránh rủi ro mà doanh nghiệp Nhật Bản cần thực hiện ngay. Chúng tôi, đơn vị đã hỗ trợ tuân thủ pháp luật cho nhiều doanh nghiệp Nhật Bản tại Việt Nam, giới thiệu cụ thể những ưu tiên thực tiễn cần nắm bắt từ góc độ doanh nghiệp. Đây là hướng dẫn phù hợp cho những ai đang tìm hiểu về "pháp luật bảo vệ thông tin cá nhân Việt Nam", "nội dung Nghị định 13", "nghĩa vụ bảo vệ dữ liệu tại Việt Nam", "lấy sự đồng ý về thông tin cá nhân tại Việt Nam".

Cùng với sự phát triển của nền kinh tế số, tại Việt Nam, rủi ro sử dụng trái phép và để lộ, lọt thông tin cá nhân đang gia tăng nhanh chóng. Từ tháng 7/2023, Nghị định số 13/2023/NĐ-CP (sau đây gọi là "Nghị định 13") nhằm bảo vệ dữ liệu cá nhân đã chính thức có hiệu lực toàn diện. Nghị định này là quy định nghiêm ngặt tương tự như GDPR của EU, và mọi doanh nghiệp, tổ chức đều chịu ảnh hưởng ở mức độ nào đó.

Bài viết này trình bày chi tiết, từ góc độ thực tiễn pháp luật Việt Nam, những điểm chính của Nghị định 13, phạm vi dữ liệu cá nhân thuộc đối tượng áp dụng, trách nhiệm pháp lý của doanh nghiệp, các chế tài dự kiến, và những lưu ý khi ứng phó trên thực tiễn.

01 - Tổng quan và phạm vi áp dụng của Nghị định 13

◆ Những điểm chính:

Áp dụng cho mọi doanh nghiệp, tổ chức (mọi đơn vị xử lý dữ liệu cá nhân tại Việt Nam đều thuộc đối tượng áp dụng)
Có 2 loại dữ liệu được xử lý:
① Dữ liệu cá nhân cơ bản (họ tên, địa chỉ, số điện thoại, tài khoản ngân hàng, v.v.)
② Dữ liệu cá nhân nhạy cảm (thông tin sức khỏe, tư tưởng, quan điểm chính trị, thông tin di truyền, v.v.)

◆ Ví dụ cụ thể về xử lý dữ liệu (minh họa):

Khi công ty X tuyển dụng ông A, bà B, yêu cầu họ nộp họ tên, sơ yếu lý lịch, thông tin tài khoản, v.v., rồi lưu trữ, xử lý trong nội bộ, hoặc chia sẻ cho bên thứ ba (ví dụ như công ty kế toán), tất cả các hành vi này đều được coi là xử lý dữ liệu. Việc xử lý được định nghĩa là bắt đầu "từ thời điểm nhận được dữ liệu cá nhân", và điều quan trọng cần lưu ý là ngay cả việc đơn thuần nhận hoặc lưu trữ cũng thuộc đối tượng điều chỉnh.

◆ Về chủ thể dữ liệu

Chủ thể dữ liệu cá nhân là người sở hữu dữ liệu cá nhân. Nhìn chung, có thể phân loại như sau.

Quan hệ góp vốn: cổ đông cá nhân, thành viên góp vốn, v.v.
Quan hệ lao động: người lao động, người thử việc, thực tập sinh, ứng viên phỏng vấn
Quan hệ kinh doanh, thương mại: khách hàng, nhà cung cấp
Quan hệ marketing: người dùng website, người tham gia khảo sát, v.v.
Quan hệ quản lý chung: bên thứ ba khác

02 - Vị thế pháp lý của doanh nghiệp

Người xử lý dữ liệu cá nhân được phân loại thành 4 nhóm đối tượng sau đây.

① Bên kiểm soát dữ liệu cá nhân

Doanh nghiệp, tổ chức, cơ quan thông thường (văn phòng đại diện, tổ chức phi lợi nhuận)

② Bên xử lý dữ liệu cá nhân

Đơn vị xử lý dữ liệu (doanh nghiệp quảng cáo, công ty IT, đơn vị nghiên cứu thị trường, marketing, đơn vị phát triển sản phẩm và nghiên cứu, v.v.)

③ Bên vừa kiểm soát vừa xử lý dữ liệu cá nhân

Doanh nghiệp thông thường nhưng tự thực hiện việc phân tích dữ liệu
Đơn vị xử lý dữ liệu nhưng tự quản lý dữ liệu cá nhân của chính mình

④ Bên thứ ba

Đơn vị nhận ủy thác bên ngoài (công ty kiểm toán, văn phòng luật sư), nhà cung cấp, đối tác, các bên hợp tác khác, v.v.

Nghĩa vụ của từng đối tượng được quy định như sau đây.

Bên kiểm soát dữ liệu cá nhân

Áp dụng biện pháp bảo vệ dữ liệu cá nhân (biện pháp về tổ chức, biện pháp về kỹ thuật)
Ghi chép, lưu trữ nhật ký hệ thống xử lý dữ liệu cá nhân
Bảo vệ quyền của chủ thể dữ liệu
Thông báo về hành vi vi phạm
Lập, lưu trữ, nộp văn bản đánh giá tác động xử lý dữ liệu cá nhân
Lựa chọn bên xử lý dữ liệu phù hợp
Chịu trách nhiệm trước chủ thể dữ liệu
Phối hợp với cơ quan có thẩm quyền

Bên xử lý dữ liệu cá nhân

Ký kết, thực hiện, tuân thủ hợp đồng với bên kiểm soát dữ liệu cá nhân
Thực hiện các biện pháp để bảo vệ an toàn dữ liệu cá nhân
Sau khi kết thúc việc xử lý dữ liệu, xóa dữ liệu đó hoặc trả lại cho bên kiểm soát dữ liệu
Chịu trách nhiệm trước chủ thể dữ liệu
Phối hợp với cơ quan có thẩm quyền

Bên vừa kiểm soát vừa xử lý dữ liệu cá nhân

Phải thực hiện đồng thời cả nghĩa vụ của bên kiểm soát dữ liệu và nghĩa vụ của bên xử lý dữ liệu

Bên thứ ba

Tuân thủ nghiêm ngặt Nghị định số 13
Tuân thủ nghiêm ngặt hợp đồng với bên kiểm soát dữ liệu, v.v.

Như trên đã trình bày, Nghị định số 13 được đánh giá là khá nghiêm ngặt. So sánh với Quy định bảo vệ dữ liệu chung của EU (GDPR), có một số điểm khác biệt chính như sau.

03 - Biện pháp ứng phó của doanh nghiệp

Để tuân thủ Nghị định số 13, doanh nghiệp, với tư cách là bên kiểm soát dữ liệu (hoặc bên vừa kiểm soát vừa xử lý), cần thực hiện nhiều biện pháp ứng phó khác nhau. Cụ thể, có thể kể đến các điểm sau đây.

04 - Sự cần thiết phải tuân thủ nghiêm ngặt Nghị định số 13

Về sự cần thiết phải tuân thủ Nghị định số 13, có thể tóm tắt như sau.

① Rủi ro pháp lý đã tồn tại ngay tại thời điểm hiện tại

Nghị định số 13 về xử lý dữ liệu cá nhân (có hiệu lực từ tháng 7/2023) đã có hiệu lực pháp luật, và dù hiện tại quy định về xử phạt hành chính chưa được hoàn thiện, rủi ro phát sinh tranh chấp với chủ thể dữ liệu (nhân viên, khách hàng, v.v.) hoặc bên thứ ba do hành vi vi phạm vẫn luôn tồn tại. Nếu chẳng may xảy ra khiếu nại hoặc rò rỉ dữ liệu mà doanh nghiệp chưa có cơ chế nội bộ phù hợp, có thể ảnh hưởng nghiêm trọng đến uy tín và việc duy trì hoạt động kinh doanh của doanh nghiệp.

② Cần chuẩn bị trước cho việc áp dụng chế tài trong tương lai

Hiện nay, nghị định về xử phạt hành chính liên quan đến bảo vệ dữ liệu cá nhân đang trong giai đoạn dự thảo, nhưng dự kiến sớm muộn cũng sẽ chính thức có hiệu lực. Nghị định này cũng đang xem xét mức phạt cao (lên tới hàng chục tỷ VND), do đó việc xây dựng cơ chế ngay từ bây giờ sẽ giúp tránh được rủi ro pháp lý và tài chính trong tương lai.

③ Cần có phương án ứng phó theo từng giai đoạn hướng tới việc ban hành luật chính thức

Hiện nay, Việt Nam cũng đang xúc tiến việc xây dựng luật chính thức về bảo vệ dữ liệu cá nhân. Luật này có khả năng cao sẽ đưa ra các yêu cầu nghiêm ngặt hơn so với nghị định, do đó, để được hưởng "điều khoản chuyển tiếp" trong tương lai, việc chuẩn bị dựa trên Nghị định 13 ngay từ giai đoạn này là một chiến lược khôn ngoan.

④ Đặc thù cơ quan có thẩm quyền là Bộ Công an

Thẩm quyền giám sát về bảo vệ dữ liệu cá nhân tại Việt Nam thuộc về Bộ Công an. Bộ Công an là cơ quan nhà nước chịu trách nhiệm về an ninh trật tự và phòng chống tội phạm, do đó không thể loại trừ rủi ro việc vi phạm về dữ liệu cá nhân trở thành lý do dẫn đến việc điều tra, thanh tra đối với các hoạt động kinh doanh khác. Vì vậy, việc chủ động ứng phó sớm và xây dựng cơ chế là tuyến phòng thủ vô cùng quan trọng đối với doanh nghiệp.

Về khái quát nghị định xử phạt dự kiến ban hành sắp tới, có thể tóm tắt như sau.

① Phạt tiền

② Biện pháp khắc phục hậu quả vi phạm

Tiêu hủy, xóa bỏ, thu hồi dữ liệu vi phạm
Hoàn trả, nộp lại lợi ích thu được bất hợp pháp
Xin lỗi

③ Hình phạt bổ sung

Đình chỉ giấy phép hoạt động kinh doanh cần thiết cho việc xử lý dữ liệu (1 đến 3 tháng)
Đình chỉ hoạt động xử lý dữ liệu (1 đến 3 tháng)
Buộc cá nhân vi phạm xuất cảnh

05 - Những lưu ý khi ứng phó với Nghị định số 13

① Về mối quan hệ với chủ thể dữ liệu cá nhân: đối với việc xử lý dữ liệu cá nhân, cần xác định trước mục đích xử lý và phải được sự đồng ý của chủ thể dữ liệu. Tuy nhiên, không phải bất kỳ mục đích nào cũng có thể xử lý dữ liệu. Do đó, cần xem xét căn cứ pháp luật liên quan đến mục đích xử lý đã xác định, và chuẩn bị giải trình hợp lý trong trường hợp vượt quá mục đích đó.

② Bộ phận chịu trách nhiệm quản lý dữ liệu cá nhân do công ty thành lập cần bảo đảm mức độ độc lập nhất định, tương tự như tổ chức công đoàn của công ty.

③ Nên nhận sự tư vấn của chuyên gia đối với hồ sơ nộp cho cơ quan công an và văn bản đánh giá tác động.

④ Nên tìm hiểu trước về mức độ nghiêm túc trong cách ứng xử với cơ quan công an cũng như các tập quán khác nhau.