Trong kinh doanh, các doanh nghiệp thường xuyên tiếp cận dữ liệu cá nhân của khách hàng và người lao động. Bằng một cách vô tình hay cố ý, đôi khi họ ưu tiên việc tối ưu hóa chiến lược kinh doanh hơn là thực hiện trách nhiệm bảo vệ quyền riêng tư. Điều này có thể dẫn đến nhiều hậu quả tiêu cực cho xã hội và chính doanh nghiệp.

Tuy nhiên, trong thời gian tới, các doanh nghiệp cần thận trọng hơn đối với việc thu thập, tiết lộ và chuyển giao dữ liệu cá nhân. Từ đầu tháng 2 năm 2021, Bộ Công An đã lấy ý kiến của người dân trong thời hạn 60 ngày trước khi trình lên Chính phủ phê duyệt Dự thảo Nghị định bảo vệ dữ liệu cá nhân. Dự thảo Nghị định này đưa ra nhiều đề xuất đáng chú ý liên quan đến trách nhiệm liên quan của doanh nghiệp trong việc bảo vệ dữ liệu cá nhân.

Công khai dữ liệu cá nhân và các nguyên tắc bảo vệ dữ liệu

Dự thảo đề xuất phân loại dữ liệu cá nhân thành (1) dữ liệu cá nhân cơ bản (họ tên, ngày sinh, số điện thoại, giấy tờ tùy thân, v.v.) và (2) dữ liệu cá nhân nhạy cảm (tình trạng sức khỏe, xu hướng tính dục, thẻ tín dụng, v.v.). Mức độ bảo vệ đối với dữ liệu cá nhân nhạy cảm sẽ cao hơn so với dữ liệu cá nhân cơ bản. Ví dụ, thông thường doanh nghiệp chỉ được phép công khai dữ liệu cá nhân của một cá nhân cho bên thứ ba khi đã được chủ thể dữ liệu đồng ý trước đó. Tuy nhiên, đối với các dữ liệu cá nhân nhạy cảm, doanh nghiệp hoàn toàn không được phép công khai, và hơn thế nữa, doanh nghiệp phải đăng ký với Cơ quan nhà nước có thẩm quyền trước khi xử lý loại dữ liệu này.

Dù vậy, trong một số trường hợp ngoại lệ được phép công khai dữ liệu cá nhân mà không cần đến sự đồng ý của chủ thể dữ liệu: (1) theo quy định của pháp luật; (2) được công bố hợp pháp trên báo chí mà không xâm phạm đến quyền và lợi ích cá nhân; (3) vì lợi ích, an ninh quốc gia, trật tự, an toàn xã hội, đạo đức, sức khỏe cộng đồng; (4) trong các trường hợp khẩn cấp theo quy định của pháp luật, có nguy cơ đe dọa đến tính mạng hoặc sức khỏe của cá nhân và cộng đồng. Cần lưu ý rằng mục đích kinh doanh thuần túy không thuộc danh mục ngoại lệ này.

Dự thảo cũng đề xuất các doanh nghiệp phải thực hiện nhiều biện pháp để bảo vệ dữ liệu, chẳng hạn như: (1) thiết lập các biện pháp kỹ thuật (xóa nhận dạng, mã hóa thông tin, lưu trữ, trích xuất, v.v. để ngăn chặn dữ liệu bị đánh cắp); (2) ban hành quy chế và thành lập phòng ban, tuyển dụng chuyên gia về bảo vệ dữ liệu và giải quyết khiếu nại, khiếu kiện. Do đó, trước mắt, các doanh nghiệp có thể cần phải cần đào tạo nhân viên và nâng cấp công nghệ để thực hiện các biện pháp này.

Lần đầu tiên có quy định về chuyển dữ liệu cá nhân xuyên biên giới!

Ngày nay, nỗi lo mất "chủ quyền dữ liệu" khiến nhiều quốc gia siết chặt việc quản lý việc chuyển giao dữ liệu xuyên biên giới. Với cảm hứng tương tự, Dự thảo đề xuất bốn điều kiện mới mà các doanh nghiệp phải đáp ứng để có thể chuyển dữ liệu cá nhân ra khỏi biên giới Việt Nam: (i) doanh nghiệp phải có được sự đồng ý của cá nhân; (ii) doanh nghiệp phải lưu trữ dữ liệu gốc tại Việt Nam; (iii) quốc gia nhận dữ liệu phải bảo vệ dữ liệu với mức tương đương hoặc cao hơn Việt Nam; và (iv) được Chính phủ chấp thuận.

Do đó, các doanh nghiệp sẽ cần có được sự chấp thuận của "Ủy ban Bảo vệ dữ liệu Cá nhân", một cơ quan dự kiến được thành lập trực thuộc Chính phủ, trước khi chuyển giao dữ liệu cá nhân. Tính hợp lý và khả thi của cơ chế tiền kiểm này còn gây ra nhiều tranh luận. Tuy nhiên, sẽ không khó để nhận thức về thủ tục và trách nhiệm đặt lên vai các công ty nếu đề xuất này được Chính phủ thông qua.

Hình phạt nghiêm khắc đối với hành vi vi phạm của doanh nghiệp

Dự thảo đề xuất các hình thức phạt tiền, cũng như đình chỉ xử lý dữ liệu, tước quyền xử lý dữ liệu nhạy cảm và chuyển giao dữ liệu xuyên biên giới đối với các doanh nghiệp có hành vi vi phạm. Mức phạt tùy thuộc vào tính chất và mức độ vi phạm, dự kiến dao động từ 50 triệu đến 100 triệu hoặc lên đến 5% tổng doanh thu.

Nghị định về bảo vệ dữ liệu cá nhân dự kiến sẽ được thông qua và có hiệu lực thi hành từ ngày 01 tháng 12 năm 2021.