Pháp luật bảo vệ thông tin cá nhân tại Việt Nam: Toàn cảnh Nghị định 13 và các biện pháp ứng phó doanh nghiệp cần thực hiện
01 - Tổng quan và phạm vi áp dụng của Nghị định 13
◆ Những điểm chính:
- Áp dụng cho mọi doanh nghiệp, tổ chức - mọi đơn vị xử lý dữ liệu cá nhân tại Việt Nam đều thuộc đối tượng áp dụng
- Có 2 loại dữ liệu được xử lý: ① Dữ liệu cá nhân cơ bản (họ tên, địa chỉ, số điện thoại, tài khoản ngân hàng, v.v.); ② Dữ liệu cá nhân nhạy cảm (thông tin sức khỏe, tư tưởng, quan điểm chính trị, thông tin di truyền, v.v.)
◆ Ví dụ cụ thể về xử lý dữ liệu (minh họa): khi công ty X tuyển dụng ông A, bà B, yêu cầu họ nộp họ tên, sơ yếu lý lịch, thông tin tài khoản... rồi lưu trữ, xử lý trong nội bộ, hoặc chia sẻ cho bên thứ ba (ví dụ công ty kế toán) - tất cả các hành vi này đều là xử lý dữ liệu. Việc xử lý được định nghĩa bắt đầu "từ thời điểm nhận được dữ liệu cá nhân" - lưu ý quan trọng: ngay cả việc đơn thuần nhận hoặc lưu trữ cũng thuộc đối tượng điều chỉnh.
◆ Về chủ thể dữ liệu (người sở hữu dữ liệu cá nhân) - có thể phân loại theo quan hệ với doanh nghiệp:
- Quan hệ góp vốn: cổ đông cá nhân, thành viên góp vốn, v.v.
- Quan hệ lao động: người lao động, người thử việc, thực tập sinh, ứng viên phỏng vấn
- Quan hệ kinh doanh, thương mại: khách hàng, nhà cung cấp
- Quan hệ marketing: người dùng website, người tham gia khảo sát, v.v.
- Quan hệ quản lý chung: bên thứ ba khác
02 - Vị thế pháp lý của doanh nghiệp
Người xử lý dữ liệu cá nhân được phân thành 4 nhóm, mỗi nhóm có nghĩa vụ riêng:
① Bên kiểm soát dữ liệu cá nhân
(Doanh nghiệp, tổ chức, cơ quan thông thường - văn phòng đại diện, tổ chức phi lợi nhuận). Nghĩa vụ:
- Áp dụng biện pháp bảo vệ dữ liệu cá nhân (biện pháp về tổ chức, biện pháp về kỹ thuật)
- Ghi chép, lưu trữ nhật ký hệ thống xử lý dữ liệu cá nhân
- Bảo vệ quyền của chủ thể dữ liệu; thông báo về hành vi vi phạm
- Lập, lưu trữ, nộp văn bản đánh giá tác động xử lý dữ liệu cá nhân
- Lựa chọn bên xử lý dữ liệu phù hợp
- Chịu trách nhiệm trước chủ thể dữ liệu; phối hợp với cơ quan có thẩm quyền
② Bên xử lý dữ liệu cá nhân
(Đơn vị xử lý dữ liệu: doanh nghiệp quảng cáo, công ty IT, đơn vị nghiên cứu thị trường, marketing, phát triển sản phẩm và nghiên cứu, v.v.). Nghĩa vụ:
- Ký kết, thực hiện, tuân thủ hợp đồng với bên kiểm soát dữ liệu cá nhân
- Thực hiện các biện pháp bảo vệ an toàn dữ liệu cá nhân
- Sau khi kết thúc việc xử lý: xóa dữ liệu hoặc trả lại cho bên kiểm soát dữ liệu
- Chịu trách nhiệm trước chủ thể dữ liệu; phối hợp với cơ quan có thẩm quyền
③ Bên vừa kiểm soát vừa xử lý dữ liệu cá nhân
(Doanh nghiệp thông thường nhưng tự phân tích dữ liệu; đơn vị xử lý dữ liệu nhưng tự quản lý dữ liệu cá nhân của chính mình.) Phải thực hiện đồng thời cả hai nhóm nghĩa vụ của bên kiểm soát và bên xử lý.
④ Bên thứ ba
(Đơn vị nhận ủy thác bên ngoài - công ty kiểm toán, văn phòng luật sư; nhà cung cấp, đối tác, các bên hợp tác khác.) Nghĩa vụ: tuân thủ nghiêm ngặt Nghị định số 13; tuân thủ nghiêm ngặt hợp đồng với bên kiểm soát dữ liệu, v.v.
Như trên, Nghị định số 13 được đánh giá là khá nghiêm ngặt, với một số điểm khác biệt so với Quy định bảo vệ dữ liệu chung của EU (GDPR).
03 - Biện pháp ứng phó của doanh nghiệp
Để tuân thủ Nghị định số 13, doanh nghiệp - với tư cách bên kiểm soát dữ liệu (hoặc bên vừa kiểm soát vừa xử lý) - cần thực hiện đồng bộ nhiều biện pháp: từ rà soát các luồng dữ liệu, hoàn thiện văn bản xin sự đồng ý, xây dựng quy chế nội bộ, đến lập và nộp văn bản đánh giá tác động. Các nội dung cụ thể được trình bày trong hai mục tiếp theo.
04 - Sự cần thiết phải tuân thủ nghiêm ngặt Nghị định số 13
① Rủi ro pháp lý đã tồn tại ngay tại thời điểm hiện tại
Nghị định 13 (hiệu lực từ tháng 7/2023) đã có hiệu lực pháp luật. Dù quy định về xử phạt hành chính chưa hoàn thiện, rủi ro phát sinh tranh chấp với chủ thể dữ liệu (nhân viên, khách hàng...) hoặc bên thứ ba do vi phạm vẫn luôn tồn tại. Nếu xảy ra khiếu nại hoặc rò rỉ dữ liệu mà doanh nghiệp chưa có cơ chế nội bộ phù hợp: ảnh hưởng nghiêm trọng đến uy tín và việc duy trì hoạt động kinh doanh.
② Cần chuẩn bị trước cho việc áp dụng chế tài trong tương lai
Nghị định xử phạt hành chính về bảo vệ dữ liệu cá nhân đang trong giai đoạn dự thảo, nhưng sớm muộn sẽ có hiệu lực - với mức phạt cao đang được xem xét (lên tới hàng chục tỷ đồng). Xây dựng cơ chế ngay từ bây giờ giúp tránh rủi ro pháp lý và tài chính trong tương lai.
③ Cần phương án ứng phó theo từng giai đoạn hướng tới luật chính thức
Việt Nam đang xúc tiến xây dựng luật chính thức về bảo vệ dữ liệu cá nhân - khả năng cao sẽ có yêu cầu nghiêm ngặt hơn cả nghị định. Để được hưởng "điều khoản chuyển tiếp", chuẩn bị dựa trên Nghị định 13 ngay từ giai đoạn này là chiến lược khôn ngoan.
④ Đặc thù: cơ quan có thẩm quyền là Bộ Công an
Thẩm quyền giám sát bảo vệ dữ liệu cá nhân thuộc về Bộ Công an - cơ quan chịu trách nhiệm về an ninh trật tự và phòng chống tội phạm. Không thể loại trừ rủi ro: vi phạm về dữ liệu cá nhân trở thành lý do dẫn đến điều tra, thanh tra đối với các hoạt động kinh doanh khác. Chủ động ứng phó sớm và xây dựng cơ chế là tuyến phòng thủ vô cùng quan trọng.
Khái quát nghị định xử phạt dự kiến ban hành
- ① Phạt tiền
- ② Biện pháp khắc phục hậu quả vi phạm: tiêu hủy, xóa bỏ, thu hồi dữ liệu vi phạm; hoàn trả, nộp lại lợi ích thu được bất hợp pháp; xin lỗi
- ③ Hình phạt bổ sung: đình chỉ giấy phép hoạt động kinh doanh cần thiết cho việc xử lý dữ liệu (1 đến 3 tháng); đình chỉ hoạt động xử lý dữ liệu (1 đến 3 tháng); buộc cá nhân vi phạm xuất cảnh
05 - Những lưu ý khi ứng phó với Nghị định số 13
- ① Về mối quan hệ với chủ thể dữ liệu: xác định trước mục đích xử lý và phải được sự đồng ý của chủ thể dữ liệu. Nhưng không phải bất kỳ mục đích nào cũng được xử lý dữ liệu - cần xem xét căn cứ pháp luật liên quan đến mục đích đã xác định, và chuẩn bị giải trình hợp lý trong trường hợp vượt quá mục đích đó.
- ② Bộ phận chịu trách nhiệm quản lý dữ liệu cá nhân do công ty thành lập cần bảo đảm mức độ độc lập nhất định - tương tự như tổ chức công đoàn của công ty.
- ③ Nên nhận tư vấn của chuyên gia đối với hồ sơ nộp cho cơ quan công an và văn bản đánh giá tác động.
- ④ Nên tìm hiểu trước về mức độ nghiêm túc trong cách ứng xử với cơ quan công an cũng như các tập quán khác nhau.