Doanh nghiệp sẽ bị phạt đến 70 triệu đồng nếu không thiết lập phương thức cho khách hàng hủy, xóa dữ liệu

BẢO VỆ DỮ LIỆU CÁ NHÂN: ĐỀ XUẤT MỨC XỬ PHẠT TỪ 50-70 TRIỆU ĐỒNG

Kế hoạch triển khai thi hành Luật Bảo vệ dữ liệu cá nhân

Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân do Bộ Công an soạn thảo, có 4 Chương, 76 Điều, gồm: Những quy định chung; Hành vi vi phạm hành chính, hình thức xử phạt và biện pháp khắc phục hậu quả; Thẩm quyền lập biên bản vi phạm hành chính và xử phạt vi phạm hành chính và Hiệu lực thi hành.

Cụ thể, đối với hành vi thu thập, chuyển giao, mua bán trái phép dữ liệu cá nhân, dự thảo Nghị định đề xuất mức phạt từ 50 đến 70 triệu đồng. Các vi phạm bao gồm chuyển giao dữ liệu trái phép, mua bán dữ liệu chưa đến mức truy cứu hình sự, hoặc thiết lập hệ thống kỹ thuật để thu thập dữ liệu trái phép. Đáng chú ý, dự thảo cũng bổ sung quy định xử phạt hành vi sử dụng dữ liệu để phát triển, huấn luyện hoặc vận hành hệ thống trí tuệ nhân tạo trái quy định.

Dự thảo cũng đang đề xuất phạt tiền từ 50 đến 70 triệu đồng đối với các hành vi: như không lập hoặc không lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Trường hợp để lộ dữ liệu của từ 100 nghìn đến dưới 1 triệu người, mức phạt có thể tăng gấp đôi; từ 1 triệu đến dưới 5 triệu người, mức phạt tăng gấp 5 lần. Đặc biệt, nếu vi phạm liên quan tới từ 5 triệu công dân trở lên, mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam.

Đặc biệt, tại dự thảo Nghị định này, Bộ Công an cũng đề xuất, các tổ chức, cá nhân kinh doanh dịch vụ quảng cáo có thể bị phạt từ 50 đến 70 triệu đồng nếu không thiết lập cơ chế để người dùng từ chối chia sẻ dữ liệu, không quy định thời gian lưu trữ hay xóa dữ liệu khi không còn cần thiết. Dự thảo Nghị định cũng nêu rõ: Nếu tái phạm, mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam.

Ngoài phạt tiền, cơ quan soạn thảo cũng đề xuất các hình thức xử phạt bổ sung như tước giấy phép kinh doanh từ 1 đến 3 tháng, đình chỉ hoạt động xử lý dữ liệu cá nhân, tịch thu tang vật, phương tiện vi phạm. Các biện pháp khắc phục hậu quả bao gồm buộc xóa dữ liệu không thể khôi phục, hoàn trả lợi nhuận bất hợp pháp và công khai xin lỗi.

Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đã được Bộ Công an lấy ý kiến các Bộ, ngành, địa phương, lấy ý kiến rộng rãi nhân dân. Dự thảo Nghị định đang được Bộ Công an tiếp thu, chỉnh lý và hoàn thiện, trước khi gửi Bộ Tư pháp thẩm định và trình Chính phủ ban hành.

NGĂN CHẶN LỖ HỔNG TRONG XỬ LÝ THU THẬP DỮ LIỆU CÁ NHÂN 

Hoạt động thu thập dữ liệu cá nhân trong hoạt động quảng cáo đang có những lổ hổng nào? Bên cạnh chế tài xử phạt, Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân cần bổ sung những quy định gì để việc thực thi được thuận lợi, dễ dàng?

Phóng viên Ban VOVGTQG đã có cuộc trao đổi với ông Nguyễn Trường Sơn, Chủ tịch Hiệp hội Quảng cáo Việt Nam xung quanh nội dung này:

PV: Thưa ông, thời gian gần đây xuất hiện nhiều phản ánh về việc dữ liệu cá nhân của người dùng bị thu thập, mua bán và sử dụng cho mục đích quảng cáo mà chưa có sự đồng ý rõ ràng. Ông nhìn nhận thực trạng này đang ở mức độ nào và có những lỗ hổng nào dẫn tới tình trạng này?

Ông Nguyễn Trường Sơn: Có ba lỗ hổng lớn cần chú ý. Một là lỗ hổng về sự đồng ý: nhiều điều khoản còn dài, khó hiểu, hoặc được thiết kế theo hướng người dùng gần như mặc nhiên chấp nhận. Hai là lỗ hổng về nguồn dữ liệu: không phải bên nào cũng chứng minh được dữ liệu mình sử dụng có nguồn gốc hợp pháp và đúng mục đích. Ba là lỗ hổng về trách nhiệm trong chuỗi quảng cáo: một chiến dịch có thể đi qua nhiều chủ thể, từ nhãn hàng, đại lý, nền tảng, đơn vị đo lường đến đối tác dữ liệu. Nếu không phân định rõ trách nhiệm, khi xảy ra sự cố sẽ rất dễ rơi vào tình trạng không ai chịu trách nhiệm cuối cùng.

Vì vậy, ngành quảng cáo phải chuyển từ tư duy khai thác dữ liệu sang tư duy quản trị dữ liệu có trách nhiệm. Niềm tin của người tiêu dùng phải được coi là tài sản cốt lõi của thị trường quảng cáo số.

PV: Tại dự thảo Nghị định về bảo vệ dữ liệu cá nhân, Bộ Công an đã đề xuất phạt tới 70 triệu đồng đối với doanh nghiệp không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu. Ông có ý kiến như thế nào về đề xuất này?

Ông Nguyễn Trường Sơn: Đề xuất này là cần thiết và phù hợp với yêu cầu chấn chỉnh thị trường. Điểm đáng chú ý hơn là trường hợp tái phạm từ lần thứ hai, dự thảo đề xuất mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền kề trước đó, kèm theo các biện pháp như đình chỉ xử lý dữ liệu cá nhân hoặc hủy, xóa dữ liệu tới mức không thể khôi phục. Đây là tín hiệu cho thấy cơ quan soạn thảo muốn xử lý nghiêm những hành vi khai thác dữ liệu cá nhân thiếu trách nhiệm.

Tuy nhiên, chế tài cần đi kèm hướng dẫn thực thi rõ ràng. Doanh nghiệp cần biết thế nào là một phương thức từ chối chia sẻ dữ liệu đạt yêu cầu, thế nào là xóa hoặc hủy dữ liệu khi không còn cần thiết, thời hạn phản hồi người dùng ra sao, trách nhiệm giữa nhãn hàng, đại lý quảng cáo và nền tảng được phân bổ thế nào. Đây là những điểm cần được làm rõ trong quá trình hoàn thiện Nghị định và hướng dẫn thực thi.

PV: Theo ông, cần xây dựng những tiêu chuẩn hay bộ quy tắc ứng xử nào để vừa bảo vệ dữ liệu cá nhân, vừa tạo điều kiện cho hoạt động quảng cáo và kinh doanh hợp pháp của doanh nghiệp?

Ông Nguyễn Trường Sơn: Cần nghiên cứu xây dựng một bộ quy tắc ứng xử riêng cho quảng cáo số gắn với bảo vệ dữ liệu cá nhân. Bộ quy tắc đó nên tập trung vào bốn nhóm chuẩn mực.

Thứ nhất là minh bạch dữ liệu: mỗi chiến dịch sử dụng dữ liệu cá nhân phải xác định rõ nguồn dữ liệu, mục đích sử dụng, phạm vi chia sẻ, thời hạn lưu trữ và đầu mối tiếp nhận yêu cầu của người dùng.

Thứ hai là sự đồng ý rõ ràng. Việc xin ý kiến người dùng phải cụ thể, có thể kiểm chứng, không dùng thiết kế gây nhầm lẫn và không gộp nhiều mục đích xử lý dữ liệu vào một lần đồng ý.

Thứ ba là quyền từ chối và quyền rút lại sự đồng ý. Người dùng phải có khả năng từ chối quảng cáo cá nhân hóa, từ chối chia sẻ dữ liệu với bên thứ ba, hoặc rút lại sự đồng ý và yêu cầu xóa dữ liệu bằng phương thức thuận tiện.

Thứ tư là trách nhiệm trong chuỗi cung ứng quảng cáo. Nhãn hàng, đại lý, nền tảng, đơn vị công nghệ và đối tác dữ liệu phải có thỏa thuận rõ ràng về trách nhiệm bảo vệ dữ liệu. Doanh nghiệp cũng chỉ nên thu thập những dữ liệu thật sự cần thiết, không thu thập tràn lan, không lưu giữ vô thời hạn, và phải có tiêu chuẩn cao hơn với dữ liệu nhạy cảm, dữ liệu trẻ em hoặc các nhóm người dùng dễ bị tổn thương.

PV: Xin cảm ơn ông! 

NGĂN LỘ LỌT DỮ LIỆU CÁ NHÂN: CẦN CƠ CHẾ XỬ PHẠT ĐA TẦNG 

Bên cạnh việc phạt tiền đối với hành vi không thiết lập phương thức cho phép chủ thể dữ liệu có thể từ chối chia sẻ dữ liệu, cần có những tiêu chí cụ thể nào để tránh tình trạng doanh nghiệp làm một cách hình thức?

Phóng viên Ban VOVGTQG đã có cuộc trao đổi với TS Đoàn Trung Sơn, Giám đốc Chương trình đào tạo An toàn thông tin, Đại học Phenikaa về nội dung này:

PV: Thưa ông, ông đánh giá như thế nào về sự cần thiết ban hành nghị định này?

TS Đoàn Trung Sơn: Việc ban hành nghị định quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là vô cùng cấp thiết và là mảnh ghép còn thiếu để hoàn thiện khung pháp lý. Ba lý do chính để hình thành nghị định.

Một là tạo tính răn đe và thực thi một cách nghiêm minh. Hai là ngăn chặn tình trạng mua bán, lộ lọt dữ liệu. Ba là bảo vệ chủ quyền và không gian mạng.

Nghị định đã tạo hành lang pháp lý rõ ràng để quản lý các nền tảng xuyên biên giới và đảm bảo các đơn vị này phải tuân thủ pháp luật Việt Nam, góp phần giữ trật tự an ninh quốc gia và trật tự an toàn xã hội trong kỷ nguyên số. Tóm lại, đây là một bước đi bắt buộc để chuyển từ giai đoạn tuyên truyền, hướng dẫn sang giai đoạn thực thi và cưỡng chế, nhằm bảo vệ quyền lợi chính đáng của người dân và sự an toàn của nền kinh tế số.

PV: Một trong những nội dung đáng chú ý của dự thảo là đề xuất tổ chức kinh doanh dịch vụ quảng cáo không thiết lập phương thức cho phép chủ thể dữ liệu có thể từ chối chia sẻ dữ liệu sẽ bị phạt tiền đến 70 triệu đồng. Theo ông, mức phạt này đã đủ để ngăn chặn tình trạng chia sẻ dữ liệu người dùng vô tội vạ?

TS Đoàn Trung Sơn: Mức phạt 70 triệu đồng là một bước đi cần thiết nhằm hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân, song chủ yếu mang tính cảnh báo và răn đe đối với nhóm doanh nghiệp vừa và nhỏ. Với các tập đoàn công nghệ và các doanh nghiệp quảng cáo quy mô lớn, mức xử phạt này vẫn chưa đủ sức ngăn chặn triệt để hành vi thu thập, khai thác và chia sẻ dữ liệu người dùng trái phép.

Để nâng cao hiệu quả thực thi, cần bổ sung các chế tài đủ mạnh, như đình chỉ hoạt động, tước giấy phép kinh doanh có thời hạn hoặc hạn chế quyền khai thác dữ liệu đối với các trường hợp vi phạm nghiêm trọng. Về lâu dài, Việt Nam nên nghiên cứu và áp dụng cơ chế xử phạt theo tỉ lệ phần trăm doanh thu hàng năm, nhằm gây áp lực kinh tế đủ lớn đối với doanh nghiệp.

Bên cạnh đấy, việc công khai danh tính của các đơn vị vi phạm trên các cái phương tiện truyền thông cũng là các biện pháp để tạo sức ép dư luận và thị trường. Một cơ chế xử phạt đa tầng, kết hợp giữa phạt tiền, chế tài hành chính và áp lực uy tín thương hiệu sẽ hiệu quả hơn là việc kiểm soát các hành vi xâm phạm dữ liệu cá nhân. Vì vậy, mức phạt 70 triệu đồng nên được xem là ngưỡng khởi điểm thay vì là mức trần áp dụng cho mọi vi phạm và mọi quy mô doanh nghiệp.

PV: Theo ông, nếu quy định nếu áp dụng quy định bắt buộc cho phép người dùng từ chối chia sẻ dữ liệu, cần có những tiêu chí cụ thể nào để tránh tình trạng doanh nghiệp làm một cách hình thức?

TS Đoàn Trung Sơn: Để ngăn chặn tình trạng doanh nghiệp đối phó, mang tính chất hình thức, các tiêu chí cần phải được luật hóa dựa trên nguyên tắc là minh bạch và công bằng về trải nghiệm với người dùng và đặc biệt là các doanh nghiệp không được ép phía người dùng phải đồng ý sử dụng tất cả các dịch vụ cơ bản.

Bên cạnh đó, phải thiết lập hệ thống hậu kiểm kỹ thuật và bảng điều khiển quyền riêng tư để người dùng dễ dàng rút lại sự đồng ý bất cứ lúc nào và thậm chí là người dùng có thể hạn chế quyền được chia sẻ của các nhà cung cấp dịch vụ. Trên cơ sở đó để người dùng được phép từ chối việc đưa ra sự lựa chọn và biến nó thành quyền lực thực tế của chủ thể dữ liệu.

PV: Xin cảm ơn ông.

***

Theo Bộ Công an, thời gian qua, tình trạng dữ liệu cá nhân bị sử dụng, đánh cắp, rao bán nhằm trục lợi, đặc biệt thông tin cá nhân bị thu thập, khai thác, sử dụng cho các dịch vụ nội dung số, quảng cáo diễn ra tràn lan. Đây là những hành vi cần có mức xử phạt để tăng sức răn đe, ngăn ngừa tội phạm.

Bởi vậy, Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, Bộ Công an đã đề xuất hàng loạt chế tài nhằm xử lý các các tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không thiết lập cơ chế để người dùng từ chối chia sẻ dữ liệu, hay xóa dữ liệu khi không còn cần thiết.

Bạn kỳ vọng gì vào những đề xuất này? Nếu được ban hành, các quy định mới sẽ có những tác động xã hội như thế nào?

---

Mời các bạn cùng chia sẻ ý kiến, đóng góp cho Dự thảo qua hotline 02437.91.91.91, qua fanpage của Ban VOVGTQG, hoặc có thể góp ý trực tiếp trên Cổng thông tin điện tử của Bộ Công an.