Một số vấn đề lớn giải trình, tiếp thu, chỉnh lý Dự thảo Luật Bảo vệ dữ liệu cá nhân, được Ủy ban Thường vụ Quốc hội cho ý kiến sáng 5/6.

Mua bán dữ liệu cá nhân có thể phạt đến 10 lần khoản thu có được từ hành vi vi phạm

Trình bày báo cáo, Chủ nhiệm Ủy ban Quốc phòng An ninh và Đối ngoại Lê Tấn Tới cho biết, dự thảo luật dự kiến tiếp thu, chỉnh lý đã tập trung quy định nghiêm cấm các hành vi phổ biến, nguy cơ cao.

Theo đó, dự thảo luật quy định nghiêm cấm hành vi: xử lý dữ liệu cá nhân nhằm chống Nhà nước; cản trở hoạt động bảo vệ dữ liệu cá nhân; lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.

Thu thập, lưu trữ, tiết lộ, chuyển giao dữ liệu cá nhân trái pháp luật; sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật; mua, bán dữ liệu cá nhân (trừ trường hợp luật có quy định khác); chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân, cũng là những hành vi bị nghiêm cấm. 

Tổ chức, cá nhân có hành vi vi phạm thì tùy theo tính chất, mức độ, hậu quả mà bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường.

Chủ nhiệm Ủy ban Quốc phòng An ninh và Đối ngoại Lê Tấn Tới. Ảnh: P.Thắng

Về mức phạt hành chính, ông Tới nhấn mạnh, “do tính chất và hậu quả nghiêm trọng của hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, nên cần quy định mức phạt cao hơn để bảo đảm tính răn đe với các doanh nghiệp lớn, đặc biệt là các tập đoàn đa quốc gia hoặc doanh nghiệp công nghệ có doanh thu hàng nghìn tỷ đồng”.

Theo đó, dự thảo quy định theo hướng: với hành vi mua, bán dữ liệu cá nhân, có thể phạt đến 10 lần khoản thu có được từ hành vi vi phạm.

Tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới, thì có thể bị phạt với mức tiền tối đa 5% doanh thu năm liền trước. Còn các hành vi vi phạm khác mức phạt tiền tối đa là 3 tỷ đồng. 

Cá nhân có cùng hành vi vi phạm thì mức phạt bằng 1/2 mức phạt với tổ chức. Dự thảo luật giao Chính phủ quy định chi tiết mức phạt, khung tiền phạt và phương pháp tính khoản thu trái pháp luật.

Nhấn mạnh cần quy định mức phạt cao hơn để đảm bảo tính răn đe, Thượng tướng Lê Quốc Hùng, Thứ trưởng Bộ Công an nói, “nếu phạt quá nhẹ, các doanh nghiệp lớn, xuyên biên giới sẵn sàng vi phạm để chuyển giao dữ liệu cá nhân xuyên biên giới, thu lợi nhuận khổng lồ”.

Dẫn kinh nghiệm quốc tế, theo Thứ trưởng Bộ Công an, nhiều quốc gia quy định mức phạt cao trong lĩnh vực này, như EU, Singapore, Indonesia quy định phạt theo phần trăm doanh thu. Mức phạt tiền tối đa dao động từ 4 tỷ đồng đến 584 tỷ đồng.

“Cho phép mua bán dữ liệu cá nhân đồng nghĩa cho phép mua bán quyền con người”

Thượng tướng Lê Quốc Hùng, Thứ trưởng Bộ Công an cũng cho biết, trong bối cảnh chuyển đổi số ngày càng sâu rộng, phần lớn hoạt động kinh tế - xã hội chuyển dịch lên không gian mạng, dữ liệu cá nhân của con người ngày càng đối mặt với nhiều nguy cơ xâm phạm nên phải ngăn chặn, xử lý vấn đề xâm phạm dữ liệu cá nhân.

Thượng tướng Lê Quốc Hùng, Thứ trưởng Bộ Công an nói, “nếu phạt quá nhẹ, các doanh nghiệp lớn, xuyên biên giới sẵn sàng vi phạm để chuyển giao dữ liệu cá nhân xuyên biên giới, thu lợi nhuận khổng lồ”. Ảnh: P.Thắng

Dữ liệu cá nhân gắn liền con người, quyền con người, quyền nhân thân và quyền riêng tư, nên không thể coi là hàng hóa, tài sản thông thường, theo Thứ trưởng Bộ Công an.

Ông nhấn mạnh đây là một loại tài sản đặc biệt, yêu cầu khai thác sử dụng phải đi đôi với bảo vệ ở mức cao nhất, nghiêm ngặt nhất. “Nếu cho phép mua bán dữ liệu cá nhân thì đồng nghĩa với cho phép mua bán quyền con người, quyền định đoạt thông tin cá nhân của người khác”, Thượng tướng Lê Quốc Hùng khẳng định.

Quan điểm cấm mua bán dữ liệu cá nhân, theo ông Hùng, phù hợp với thông lệ quốc tế và quy định của các nước về bảo vệ dữ liệu cá nhân, ưu tiên phát triển đi đôi với bảo vệ quyền lợi.

Lãnh đạo Bộ Công an cũng cho biết, trong các vụ án lừa đảo chiếm đoạt tài sản quy mô lớn mà Bộ đã triệt phá và đang điều tra, yếu tố lộ lọt, mua bán dữ liệu cá nhân là nguyên nhân chính để hình thành nên những “chợ đen” về dữ liệu cá nhân. Đây là vấn đề rất phức tạp hiện nay.

Nguồn thu thập dữ liệu cá nhân trái phép, theo ông Hùng, có thể đến từ hoạt động tấn công chiếm đoạt, chuyển giao trái phép, mua bán dữ liệu cá nhân hoặc sử dụng công nghệ cao để “cào” dữ liệu cá nhân phục vụ mục đích của các loại tội phạm.

Để đảm bảo sự phân định rõ ràng, tránh việc “lách” luật, Thứ trưởng Bộ Công an nhấn mạnh, dự thảo luật đã bổ sung các quy về cấm sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật.

Doanh nghiệp siêu nhỏ được miễn trừ nghĩa vụ phải có nhân sự bảo vệ dữ liệu cá nhân

Dự thảo luật quy định lực lượng bảo vệ dữ liệu cá nhân gồm: Lực lượng chuyên trách thuộc cơ quan chuyên trách của Bộ Công an; bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân trong các cơ quan, tổ chức, doanh nghiệp; các tổ chức và chuyên gia cung cấp dịch vụ bảo vệ dữ liệu (Chính phủ sẽ quy định chi tiết các dịch vụ này). 

Ủy ban Thường vụ Quốc hội cho ý kiến một số vấn đề lớn giải trình, tiếp thu, chỉnh lý Dự thảo Luật Bảo vệ dữ liệu cá nhân. Ảnh: P.Thắng

Quy định trên nhằm giảm gánh nặng tuân thủ pháp luật. “Quy định về việc phải có chuyên gia bảo vệ dữ liệu cá nhân đã được điều chỉnh từ bắt buộc sang hình thức lựa chọn, cho phép doanh nghiệp có thể chỉ định nhân sự nội bộ thực hiện nhiệm vụ này hoặc lựa chọn dịch vụ phù hợp”, ông Tới cho hay.

Đặc biệt, tại Điều 46 về hiệu lực thi hành của dự thảo luật đã bổ sung quy định miễn trừ và tạo điều kiện linh hoạt, thuận lợi cho doanh nghiệp.

Theo đó, doanh nghiệp siêu nhỏ và hộ kinh doanh được miễn trừ hoàn toàn nghĩa vụ phải có nhân sự, chuyên gia bảo vệ dữ liệu cá nhân cũng như yêu cầu về đánh giá tác động xử lý dữ liệu cá nhân. 

Còn doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, được quyền lựa chọn thực hiện hoặc không thực hiện các yêu cầu này trong thời hạn 5 năm kể từ khi thành lập hoặc kể từ khi luật này có hiệu lực.