Nghị định 13 tăng cường quy định bảo vệ thông tin cá nhân tại Việt Nam và chiến lược ứng phó của doanh nghiệp Nhật Bản
Nghị định số 13 có hiệu lực từ năm 2023 đã tăng cường đáng kể các quy định bảo vệ thông tin cá nhân tại Việt Nam. Những điểm mà doanh nghiệp Nhật Bản cần lưu ý bao gồm nghĩa vụ lấy sự đồng ý, hạn chế chuyển dữ liệu xuyên biên giới, tăng cường chế tài khi vi phạm, và những điều này có ảnh hưởng lớn đến hoạt động kinh doanh hiện có. Luật sư người Việt Nam trình bày chi tiết chiến lược ứng phó từ góc độ thực tiễn. Chúng tôi có nhiều kinh nghiệm hỗ trợ thực tiễn cho nhiều doanh nghiệp toàn cầu về việc tuân thủ bảo vệ thông tin cá nhân, xây dựng quy chế nội bộ, mẫu văn bản đồng ý, rà soát hợp đồng ủy thác xử lý dữ liệu, ứng phó với cơ quan có thẩm quyền. Chúng tôi hỗ trợ doanh nghiệp tìm ra phương án xử lý rủi ro tối ưu tại giao điểm giữa pháp lý, IT và tuân thủ.
01 - Các nghĩa vụ chính và yêu cầu nghiêm ngặt theo Nghị định 13
Nghị định 13/2023/NĐ-CP (sau đây gọi là "Nghị định 13"), có hiệu lực từ ngày 1/7/2023, là một bước ngoặt lớn với tư cách là khung pháp lý toàn diện về bảo vệ thông tin cá nhân trong môi trường số tại Việt Nam.
Nghị định này được đánh giá là hướng tới tiêu chuẩn quốc tế gần với GDPR của EU, nhưng đồng thời cũng đặt ra gánh nặng lớn về pháp lý và tài chính đối với các doanh nghiệp nước ngoài tại Việt Nam, đặc biệt là doanh nghiệp Nhật Bản.
1.1. Các nghĩa vụ chính và yêu cầu nghiêm ngặt theo Nghị định 13
Nghị định 13 đặt ra cho doanh nghiệp các nghĩa vụ bảo vệ dữ liệu nghiêm ngặt như sau.
✅ Bắt buộc phải có sự đồng ý rõ ràng, cụ thể của chủ thể dữ liệu (áp dụng cho mọi chủ thể dữ liệu như nhân viên, khách hàng, đối tác)
✅ Phân loại dữ liệu cá nhân (dữ liệu cá nhân cơ bản / thông tin nhạy cảm) và áp dụng tiêu chuẩn bảo vệ khác nhau cho từng loại
✅ Xây dựng cơ chế dựa trên nguyên tắc "tối thiểu, xác định rõ mục đích, bảo đảm an toàn" trong việc thu thập, xử lý, lưu trữ dữ liệu
✅ Nghĩa vụ nộp, thông báo, đăng ký văn bản đánh giá tác động với cơ quan công an
✅ Trách nhiệm chứng minh việc tuân thủ thuộc về doanh nghiệp (chuyển đổi nghĩa vụ chứng minh)
➡ Nếu vi phạm các nghĩa vụ này, doanh nghiệp có thể phải đối mặt với rủi ro bị xử phạt hành chính như phạt tiền lớn, đình chỉ hoạt động, v.v.
1.2. So sánh Nghị định 13 và Luật Bảo vệ Dữ liệu Cá nhân
Sau khi Nghị định 13 có hiệu lực, giới thực tiễn doanh nghiệp và giới hành nghề luật đã có nhiều ý kiến phê bình cho rằng đây là "quy định quá mức cần thiết". Nhiều hiệp hội doanh nghiệp đã kiến nghị Chính phủ xem xét nới lỏng quy định.
Tuy nhiên, tính đến thời điểm hiện tại, chưa có phản hồi chính thức nào đối với các kiến nghị này, và Chính phủ Việt Nam thậm chí còn cho thấy định hướng đưa vào "Luật Bảo vệ Dữ liệu Cá nhân (văn bản luật chính thức)" sắp tới những nội dung nghiêm ngặt hơn cả Nghị định 13. Cụ thể như sau.
02 - Ảnh hưởng cụ thể đối với doanh nghiệp Nhật Bản và những thách thức mà doanh nghiệp vừa và nhỏ phải đối mặt
Với việc Nghị định 13 có hiệu lực, doanh nghiệp Nhật Bản hoạt động trong các lĩnh vực như tài chính, bảo hiểm, thương mại điện tử (EC), logistics, dịch vụ khách hàng, IT, v.v. sẽ chịu ảnh hưởng thực tiễn trực tiếp như sau đây.
✅ Thiết kế lại, tăng cường hạ tầng IT và nền tảng dữ liệu hiện có (áp dụng công cụ mã hóa, giám sát, quản lý sự đồng ý mới, v.v.)
✅ Rà soát lại quy trình nội bộ (hoàn thiện, văn bản hóa quy trình xử lý dữ liệu và quy định nội bộ, tổ chức đào tạo nhân viên)
✅ Tăng chi phí vận hành (đầu tư tăng cường bảo mật, sao lưu đám mây, mã hóa)
✅ Rủi ro pháp lý khi vi phạm (cảnh cáo, phạt tiền, đình chỉ tạm thời việc xử lý dữ liệu, lệnh buộc xóa dữ liệu, v.v.)
■ Thực trạng: gánh nặng tuân thủ vượt quá khả năng của doanh nghiệp vừa và nhỏ ■
Đặc biệt, đối với doanh nghiệp Nhật Bản quy mô vừa và nhỏ, hoặc doanh nghiệp FDI mới gia nhập thị trường Việt Nam, có nhiều trường hợp việc đáp ứng Nghị định 13 đã đạt đến mức độ khó khăn trên thực tế.
Những khó khăn chính:
❗ Thiếu nhân sự nội bộ am hiểu về an ninh mạng và pháp luật Việt Nam
❗ Nghị định 13 và các mẫu văn bản pháp lý liên quan chưa có bản dịch tiếng Nhật, dễ phát sinh sai lệch trong việc diễn giải câu chữ pháp lý
❗ Chi phí ban đầu cao trong khi hiệu quả đầu tư chưa rõ ràng (ví dụ: mô hình kinh doanh BtoB không trực tiếp xử lý dữ liệu người tiêu dùng)
❗ Một số đơn vị tư vấn có xu hướng khuyến nghị đồng loạt các gói xử lý quá mức cần thiết theo tiêu chuẩn GDPR như DPIA (đánh giá tác động), bố trí DPO (người phụ trách bảo vệ thông tin cá nhân), triển khai ISO 27001, khiến chi phí và phạm vi xử lý dễ bị phình to
Lưu ý: không phải mọi nghĩa vụ đều áp dụng đồng loạt cho tất cả
Các quy định của Nghị định 13 rất đa dạng, nhưng không phải tất cả doanh nghiệp đều bị áp dụng theo cùng một tiêu chuẩn.
Trên thực tế, doanh nghiệp có thể áp dụng cách tiếp cận dựa trên rủi ro, tùy theo quy mô kinh doanh, tính chất dữ liệu xử lý, mục đích xử lý.
➡ Do đó, việc ứng phó một cách hình thức, đồng loạt có thể dẫn đến rủi ro chi phí quá cao hoặc hiệu quả thực thi thấp; điều quan trọng là xây dựng chiến lược ứng phó hợp lý, theo từng giai đoạn, phù hợp với thực trạng kinh doanh của doanh nghiệp.
03 - Lựa chọn đối tác thấu hiểu thực trạng doanh nghiệp, thay vì chỉ bán dịch vụ theo kiểu áp đặt
Trong bối cảnh môi trường pháp lý nghiêm ngặt hiện nay, khi doanh nghiệp Nhật Bản triển khai việc tuân thủ Nghị định 13, việc lựa chọn đối tác có thể xử lý linh hoạt phù hợp với tình hình của doanh nghiệp, thay vì chỉ tư vấn bán "gói tuân thủ" đồng loạt, là điều quan trọng.
Một đối tác pháp lý đáng tin cậy cần có năng lực và thái độ như sau đây.
✅ Phân tích, phân loại rủi ro dữ liệu phù hợp với nội dung kinh doanh của doanh nghiệp, làm rõ thứ tự ưu tiên của các nghĩa vụ
✅ Thiết kế lịch trình tuân thủ theo từng giai đoạn, thực tế, phù hợp với ngành nghề, quy mô, cơ cấu tổ chức (ví dụ: yêu cầu xử lý khác nhau giữa công ty IT và công ty tư vấn)
✅ Cung cấp mẫu văn bản, quy trình có thể tùy chỉnh linh hoạt phù hợp với quy trình nghiệp vụ hiện có, không cần đầu tư hệ thống IT đắt tiền
✅ Hỗ trợ đào tạo, giải thích nội bộ ngắn gọn bằng tiếng Nhật hoặc song ngữ, không dừng lại ở việc "bán dịch vụ" mang tính hình thức
➡ Một đối tác tốt là đối tác có thể hỗ trợ doanh nghiệp thực hiện "đúng những gì cần làm, không lãng phí, một cách chắc chắn".
Ứng phó linh hoạt và thực tiễn chính là chìa khóa để vừa tuân thủ pháp luật vừa phát triển kinh doanh
Nghị định 13 là một bước tiến quan trọng để Việt Nam tiệm cận các tiêu chuẩn bảo vệ quyền riêng tư quốc tế.
Tuy nhiên, việc làm thế nào để giảm nhẹ gánh nặng pháp lý và tài chính phát sinh từ việc thi hành nghị định này, trong khi vẫn tuân thủ đầy đủ, chính là chìa khóa thành công đối với doanh nghiệp nước ngoài.
Doanh nghiệp Nhật Bản trước hết cần đánh giá lại mức độ rủi ro liên quan đến việc xử lý dữ liệu của công ty mình, và cùng với một đối tác đáng tin cậy có thể hỗ trợ xử lý phù hợp với thực trạng, không câu nệ hình thức, triển khai việc tuân thủ một cách hiệu quả và theo từng giai đoạn.