Ngày này, cùng với sự cách mạng công nghiệp 4.0, trên thế giới đã hình thành và phát triển một nguồn tài nguyên mới, đó là “Dữ Liệu Lớn (Big data)”. Theo đó, các dữ liệu này sẽ được các công ty công nghệ khai thác, phân tích và chuyển cho các công ty, tập đoàn có nhu cầu để tìm kiếm khách hàng, cải thiện hiệu suất làm việc cũng như giảm thiểu rủi ro trong kinh doanh.
Tuy nhiên, để thu thập được một lượng dữ liệu lớn, khó tránh khỏi thu thập cả các “Dữ liệu các nhân (Personal Data)”. Trên thực tế, các thông tin cá nhân đang được xem như một loại hàng hóa để buôn bán thậm chí bị chiếm đoạt, sử dụng trái phép. Điều này đã ảnh hưởng nhiều đến cuộc sống của nhiều người khi họ phải chịu đựng những cuộc điện thoại quảng cáo không mong muốn, thư rác thậm chí là nguy cơ bị tiết lộ bí mật đời tư.
Vì vậy, bài viết này được đưa ra để làm rõ trách nhiệm của các cơ quan, tổ chức thu thập dữ liệu cá nhân theo quy định của pháp luật Việt Nam.
1. Khái niệm về dữ liệu cá nhân
Pháp luật Việt Nam chưa có định nghĩa chính xác về “Dữ Liệu cá nhân”, tuy nhiên, chúng ta có một khái niệm tương đương là “Thông tin cá nhân”.
Trước đây, nghị định 64/2007/NĐ-CP đã có quy định về thông tin cá nhân: “Thông tin cá nhân là thông tin đủ để xác định chính xác danh tính một cá nhân, bao gồm ít nhất nội dung trong những thông tin sau đây: họ tên, ngày sinh, nghề nghiệp, chức danh, địa chỉ liên hệ, địa chỉ thư điện tử, số điện thoại, số chứng minh nhân dân, số hộ chiếu. Những thông tin thuộc bí mật cá nhân gồm có hồ sơ y tế, hồ sơ nộp thuế, số thẻ bảo hiểm xã hội, số thẻ tín dụng và những bí mật cá nhân khác.”.
Theo điều luật này, thông tin cá nhân phải là thông tin mà dựa trên đó, chúng ta có thể xác định được một con người cụ thể. Tuy nhiên, trên thực tế tồn tại những thông tin mà khi nó đứng một mình, ta không thể xác định danh tính nhưng khi kết hợp nó lại, ta có thể xác định được danh tính của cá nhân.
Vì vậy, dự thảo Nghị định về Bảo vệ dữ liệu cá nhân đã có định nghĩa như sau: “Dữ liệu cá nhân là dữ liệu về cá nhân hoặc liên quan đến việc xác định hoặc có thể xác định một cá nhân cụ thể.” . Ngoài ra, dự thảo còn chia dữ liệu cá nhân làm hai loại là Dữ liệu cá nhân cơ bản và Dữ liệu cá nhân nhạy cảm.
Có thể thấy, dự thảo đã có tiếp thu quy định từ các nước tiên tiến trên thế giới trong việc định nghĩa lại Dữ Liệu Cá Nhân, ta có thể thấy quy định tương tự tại Quy định chung về bảo vệ dữ liệu của Liên Minh Châu Âu (“General data protection regulations”): “Dữ liệu cá nhân có nghĩa là bất kỳ thông tin nào liên quan đến việc xác định hoặc có thể xác định được một thể nhân (“chủ thể dữ liệu”); một thể nhân có thể xác định là người có thể được xác định, trực tiếp hoặc gián tiếp, cụ thể là bằng cách tham chiếu đến một số nhận dạng như tên, số nhận dạng, dữ liệu vị trí, số nhận dạng trực tuyến hoặc một hoặc nhiều yếu tố cụ thể về thể chất, sinh lý, bản sắc di truyền, tinh thần, kinh tế, văn hóa hoặc xã hội của thể nhân đó;”.
Tuy dự thảo chưa là văn bản quy phạm pháp luật chính thức nhưng đã góp phần hình thành khái niệm có giá trị tham khảo về dữ liệu cá nhân. Từ các khái niệm nêu trên, ta có thể hiểu “Dữ liệu cá nhân” nghĩa là các dữ liệu có thể được sử dụng, riêng lẻ hoặc khi kết hợp nhiều dữ liệu lại, có thể xác định được danh tính của một con người cụ thể.
2. Bảo vệ dữ liệu cá nhân theo pháp luật Việt Nam
Việt Nam hiện nay chưa có một văn bản pháp luật thống nhất điều chỉnh các vấn đề liên quan về dữ liệu cá nhân và bảo vệ dữ liệu cá nhân. Thay vào đó, quyền này được bảo vệ bởi nhiều văn bản pháp luật khác nhau như Luật Giao dịch điện tử (Luật “GDĐT”), Luật Công nghệ thông tin (“Luật CNTT”), Luật Bảo vệ quyền lợi Người tiêu dùng (“Luật BVQLNTD”), Luật An toàn thông tin mạng (“Luật ATTTM”), Luật An ninh mạng (“Luật ANM”), Nghị định số 52/2013/ND-CP về thương mại điện tử và Nghị định số 72/2013/ND-CP về quản lý, cung cấp và sử dụng dịch vụ Internet và thông tin trên mạng… Các văn bản này đã góp phần tạo nên hệ thống pháp lý về bảo vệ thông tin cá nhân. Theo đó, ta có thể xác định được nghĩa vụ của các doanh nghiệp, tổ chức sử dụng thông tin cá nhân như sau:
a. Một số định nghĩa
- Chủ thể thông tin cá nhân được hiểu là người được xác định thông tin từ các thông tin cá nhân đó.
- Xử lý thông tin được hiểu là việc thực hiện một hoặc một số thao tác thu thập, biên tập, sử dụng, lưu trữ, cung cấp, chia sẻ, phát tán thông tin cá nhân trên mạng nhằm mục đích thương mại.
b. Nghĩa vụ của tổ chức, cá nhân về xử lý thông tin cá nhân
- Sự đồng ý: Để được xử lý thông tin cá nhân của một người, trước hết cần có sự đồng ý của người đó, trừ các trường hợp các thông tin được thu thập nhằm mục đích:
o Ký kết, sửa đổi hoặc thực hiện hợp đồng sử dụng thông tin, sản phẩm, dịch vụ trên môi trường mạng;
o Tính giá, cước sử dụng thông tin, sản phẩm, dịch vụ trên môi trường mạng;
o Thực hiện các nghĩa vụ khác theo quy định của pháp luật.
- Minh bạch thông tin: Tổ chức, cá nhân có trách nhiệm thông báo cho chủ thể thông tin biết về hình thức, phạm vi, địa điểm và mục đích của việc thu thập, xử lý và sử dụng thông tin cá nhân của người đó ; công bố công khai biện pháp xử lý, bảo vệ thông tin cá nhân của tổ chức, cá nhân mình.
- Đảm bảo cở sở hạ tầng: Tổ chức xử lý thông tin cá nhân phải áp dụng biện pháp quản lý, kỹ thuật phù hợp để bảo vệ thông tin cá nhân do mình thu thập, lưu trữ; và phải tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm các thông tin đó không bị mất cắp, tiết lộ, thay đổi hoặc phá hủy . Đồng thời tổ chức, cá nhân xử lý thông tin cá nhân, cần áp dụng biện pháp khắc phục, ngăn chặn khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng trong thời gian sớm nhất.
- Nghĩa vụ lưu trữ: Luật ANM yêu cầu các Doanh nghiệp (trong nước và nước ngoài) có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ . Ngoài ra, tổ chức xử lý thông tin cá nhân phải hủy bỏ thông tin cá nhân đã được lưu trữ khi đã hoàn thành mục đích sử dụng hoặc hết thời hạn lưu trữ.
- Chuyển dữ liệu: Tổ chức xử lý thông tin cá nhân sẽ không được cung cấp, chia sẻ, phát tán thông tin cá nhân mà mình đã thu thập, tiếp cận, kiểm soát cho bên thứ ba, trừ trường hợp có sự đồng ý của chủ thể thông tin cá nhân đó hoặc theo yêu cầu của cơ quan nhà nước.
- Hiện diện thương mại tại Việt Nam: Điều 26.3 của Luật ANM yêu cầu các tổ chức nước ngoài khi cung cấp dịch vụ trên không gian mạng Việt Nam và có hoạt động xử lý dữ liệu về thông tin cá nhân do người sử dụng dịch vụ tại Việt Nam tạo ra phải thành lập chi nhánh, văn phòng đại diện tại Việt Nam.
Có thể thấy, hiện nay đã có một số luật quy định về nghĩa vụ của các tổ chức trong việc bảo vệ dữ liệu/ thông tin cá nhân song việc quy định rải rác trong các luật khác nhau cũng có phần chưa thống nhất, thiết nghĩ nên có văn bản thống nhất quy định về bảo vệ dữ liệu cá nhân. Bên cạnh đó, các doanh nghiệp cần nâng cao trách nhiệm tuân thủ quy định của pháp luật trong thu thập, xử lý thông tin cá nhân cũng như đảm bảo quyền của các chủ thể thông tin cá nhân.