Bảo vệ dữ liệu cá nhân bằng pháp luật hình sự - Kinh nghiệm các nước và những vấn đề pháp lý đặt ra cho Việt Nam

Chia sẻ: Tưởng Trì Hoài | Ngày: | Loại File: PDF | Số trang:13

Thêm vào BST

Báo xấu

7
lượt xem 3
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài báo "Bảo vệ dữ liệu cá nhân bằng pháp luật hình sự - Kinh nghiệm các nước và những vấn đề pháp lý đặt ra cho Việt Nam" chỉ ra những khoảng trống pháp lý khiến cho việc xử lý các hành vi xâm phạm quyền bảo vệ dữ liệu cá nhân không đạt được hiệu quả. Từ đó, bài báo hướng tới mục đích xây dựng và hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân dưới góc độ pháp luật hình sự trong bối cảnh chuyển đổi số ở Việt Nam hiện nay. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bảo vệ dữ liệu cá nhân bằng pháp luật hình sự - Kinh nghiệm các nước và những vấn đề pháp lý đặt ra cho Việt Nam

BẢO VỆ DỮ LIỆU CÁ NHÂN BẰNG PHÁP LUẬT HÌNH SỰ- KINH NGHIỆM CÁC NƯỚC VÀ NHỮNG VẤN ĐỀ PHÁP LÝ ĐẶT RA CHO VIỆT NAM TS. Hà Lệ Thủy Phó trưởng khoa Luật Hình sự, Trường Đại học Luật, Đại học Huế Email: thuyhl@hul.edu.vn Trương Thị Thu Hằng GV. Khoa Luật Hình sự, Trường Đại học Luật, Đại học Huế Email: hangttt@hul.edu.vn Tóm tắt: Bảo vệ dữ liệu cá nhân bằng pháp luật hình sự chính là công cụ nghiêm khắc nhất để xử lý các hành vi phạm tội nhằm ngăn ngừa, răn đe và xử lý đối với các hành vi xâm phạm, lấy cắp dữ liệu cá nhân và lộ lọt thông tin cá nhân xảy ra ngày càng nhiều như hiện nay. Bài viết sử dụng phương pháp phân tích để làm rõ khái niệm về bảo vệ dữ liệu cá nhân bằng pháp luật hình sự, cũng như hệ thống hóa các quy định pháp luật Việt Nam hiện hành nhằm làm rõ hành lang pháp lý về bảo vệ dữ liệu cá nhân. Bên cạnh đó, bằng phương pháp so sánh luật, bài báo cũng tiếp cận quy định pháp luật một số nước trên thế giới, đặc biệt là pháp luật hình sự các quốc gia châu Á có quy định về bảo vệ dữ liệu cá nhân để đối chiếu và rút ra những điểm khác biệt so với pháp luật Việt Nam. Đồng thời bài báo chỉ ra những khoảng trống pháp lý khiến cho việc xử lý các hành vi xâm phạm quyền bảo vệ dữ liệu cá nhân không đạt được hiệu quả. Từ đó, bài báo hướng tới mục đích xây dựng và hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân dưới góc độ pháp luật hình sự trong bối cảnh chuyển đổi số ở Việt Nam hiện nay. Từ khóa: dữ liệu cá nhân, trách nhiệm pháp lý, vi phạm pháp luật, pháp luật hình sự Abstract: Protecting personal data through criminal law is the most severe tool to handle criminal acts to prevent, deter and handle acts of infringement, theft of personal data and Personal information leaks happen more and more today. The article uses analytical methods to clarify the concept of personal data protection by criminal law, as well as systematize current Vietnamese legal regulations to clarify the legal corridor for protection. personal data. Besides, 727
by using the law comparison method, the article also approaches the legal regulations of some countries around the world, especially the criminal laws of Asian countries with regulations on personal data protection to Compare and draw differences with Vietnamese law. At the same time, the article points out legal gaps that make handling violations of personal data protection rights ineffective. From there, the article aims to build and improve the law on personal data protection from a criminal law perspective in the context of digital transformation in Vietnam today. Keywords: personal data, legal liability, violations of law, criminal law Khái niệm dữ liệu cá nhân và bảo vệ dữ liệu cá nhân Dữ liệu cá nhân được hiểu là dữ liệu được ghi nhận trong cơ sở dữ liệu máy tính được tổng hợp và xử lý từ các thông tin cá nhân đầu vào do chính cá nhân mà thông tin ấy thể hiện. Cung cấp dữ liệu phi cá nhân là các dữ liệu khác được khử định danh không thể hiện thông tin cá nhân, không thể được tái dựng truy ngược về nhân thân cá nhân bằng bất kỳ hình thức nào có giá trị kinh tế, được sử dụng nhằm mục đích hợp pháp việc xử lý và truyền đưa dữ liệu phải tuân thủ quy định của pháp luật. Dữ liệu cá nhân là một thành phần không tách rời của dữ liệu công nghiệp mang giá trị góp phần trực tiếp vào công tác ra quyết định trong hoạt động kinh doanh gắn liền với mô hình kinh doanh. Dữ liệu trở thành trung tâm của quá trình chuyển đổi số, khi chúng hàm chứa không chỉ kiến thức khoa học công nghệ, thông tin kế toán, tài chính, phục vụ cho công việc mà còn cung cấp thông tin về nhân thân của cá nhân. Chúng được xem là nguồn tài nguyên cốt yếu của nền kinh tế số, là trụ cột trung tâm để phát triển hệ thống vận hành tự động, cải tiến quy trình cung cấp và duy trì dịch vụ. Người ta luôn nói rằng công nghệ là con dao hai lưỡi: nó mang lại lợi ích to lớn về hiệu quả và năng suất của nó; tuy nhiên, nó cũng làm nảy sinh mối lo ngại rằng việc sử dụng rộng rãi công nghệ có thể dẫn đến tổn thất về quyền riêng tư - đặc biệt là quyền riêng tư về dữ liệu. Các công nghệ như camera giám sát, máy ảnh kỹ thuật số trên điện thoại di động, công nghệ tính toán vị trí người dùng dựa trên vệ tinh như hệ thống định vị toàn cầu (GPS), thẻ thông minh, nhận dạng sinh trắc học hoặc tần số vô tuyến (RFID) ban đầu không được phát minh để xâm chiếm quyền riêng tư nhưng chúng đã được sử dụng để đạt được mục đích đó. Chính vì thế, bảo vệ dữ liệu cá nhân có thể được hiểu chính là một phần để bảo vệ quyền riêng tư của chủ thể dữ liệu. Quyền riêng tư như một quyền tự nhiên của con người chính thức được ghi nhận trong hai văn bản pháp lý quốc tế. Đó là tuyên ngôn quốc tế về nhân quyền (UDHR) và công ước quốc tế về các quyền dân sự và chính trị (ICCPR). Sau đó, Ủy ban nhân quyền Liên hiệp quốc đã 728
đưa ra giải thích nhằm bổ sung nội hàm của quyền riêng. Theo đó, việc thu thập và lưu giữ các thông tin cá nhân trong máy tính, các cơ sở dữ liệu và thiết bị khác dẫu được tiến hành bởi chủ thể nào cũng đều phải tuân thủ quy định của pháp luật. Quyền riêng tư cũng nên cần được hiểu là quyền của chủ thể cá nhân được yêu cầu chủ thể khác phải áp dụng các quy trình phù hợp, chính đáng khi truyền thông tin cá nhân của họ qua các nền tảng phần cứng và hệ thống hóa phần mềm khác nhau. Trong pháp luật hình sự của các nước, quyền riêng tư cũng là quyền được nhà nước tôn trọng và bảo vệ. Tuy nhiên tùy thuộc vào quan niệm của mỗi nước mà bảo vệ quyền riêng tư được xem là bảo vệ dữ liệu, thông tin riêng tư của cá nhân hay xem bảo vệ quyền riêng tư đồng thời với bảo vệ quyền dữ liệu cá nhân bằng việc quy định chúng trong những tội danh của bộ luật hình sự. Khái niệm về quyền riêng tư khác nhau ở mỗi quốc gia. Do sự khác biệt khái niệm về quyền riêng tư, nó không có định nghĩa chung. Quyền riêng tư đã được mô tả là mối quan tâm của các cá nhân trong việc duy trì không gian cá nhân, không bị can thiệp bởi những người và tổ chức khác. Tuy nhiên có thể hiểu một cách chung nhất rằng, bảo vệ dữ liệu cá nhân chính là phòng ngừa, phát hiện, ngăn chặn, xử lý hành vi xâm phạm quy định của pháp luật về dữ liệu cá nhân. Pháp luật các nước về bảo vệ dữ liệu cá nhân Các nước châu Âu thì lại không xem bảo vệ dữ liệu cá nhân là bảo vệ quyền riêng tư bởi lẽ, Châu Âu từ lâu đã công nhận quyền riêng tư một cách rõ ràng như một quyền con người. Các cam kết của người châu Âu vượt ra ngoài phạm vi gia đình, trọng tâm của rất nhiều luật pháp Hoa Kỳ, bao gồm các biện pháp bảo vệ cuộc sống gia đình, thông tin liên lạc, danh tiếng, và với sự phát triển của thời đại thông tin, quyền riêng tư trong bối cảnh xử lý dữ liệu. Mặc dù Hoa Kỳ có thể đề cập rộng rãi đến “quyền riêng tư” hoặc “quyền riêng tư về thông tin”, nhưng luật châu Âu thảo luận về quyền riêng tư thông tin là “bảo vệ dữ liệu”. Ở Châu Âu, việc bảo vệ dữ liệu ngày càng được coi là tách biệt với quyền riêng tư. Bảo vệ dữ liệu tập trung vào việc liệu dữ liệu có được sử dụng công bằng và đúng quy trình hay không trong khi quyền riêng tư bảo tồn lý tưởng về cuộc sống riêng tư của người Athen. Vào ngày 25 tháng 1 năm 2012, Ủy ban Châu Âu đã đề xuất một cuộc đại tu lớn và toàn diện đối với khung pháp lý của Liên minh Châu Âu về bảo vệ dữ liệu cá nhân nhằm tăng cường hơn nữa các quyền cá nhân, đặc biệt là khi đối mặt với những thách thức đối với các quyền đó do toàn cầu hóa và công nghệ mới. Một thay đổi lớn trong cải cách của nó là đề xuất chuyển chế độ bảo vệ dữ liệu từ Chỉ thị sang Quy định, điều này sẽ tăng cường thực hiện và đảm bảo hài hòa và nhất quán hơn. Trong khi đó, 729
Hoa Kỳ ngày càng phải đối mặt với những căng thẳng do sự phát triển nhanh chóng của các mô hình kinh doanh trực tuyến và mạng xã hội và đã và đang giải quyết những vấn đề này ở các cấp chính quyền khác nhau. Ở Châu Á, Malaysia đã dẫn đầu trong số các quốc gia ASEAN ở Đông Nam Á, bằng cách thông qua phiên bản Đạo luật bảo vệ dữ liệu cá nhân vào ngày 6 tháng 5 năm 2010, thành luật vào ngày 1 tháng 1 năm 2013. 27 Đạo luật Malaysia phân biệt giữa “dữ liệu cá nhân” và “dữ liệu cá nhân nhạy cảm” chẳng hạn như lịch sử y tế, niềm tin tôn giáo, quan điểm chính trị và việc thực hiện hoặc bị cáo buộc thực hiện bất kỳ hành vi phạm tội nào, việc xử lý các dữ liệu này cần có sự đồng ý rõ ràng. Vào tháng 6 năm 2010, Quốc hội Malaysia cuối cùng đã ban hành Đạo luật bảo vệ dữ liệu cá nhân 2010. Đạo luật này thiết lập bảy nguyên tắc bảo vệ quyền riêng tư. Việc bảo vệ dữ liệu cá nhân của Malaysia phải tuân thủ để người dùng dữ liệu cảm nhận được thoải mái và dữ liệu cá nhân của họ được bảo vệ. Vi phạm dữ liệu cá nhân theo nguyên tắc bảo vệ quyền riêng tư/PDPA 2010 sẽ dẫn đến hình phạt tối thiểu là ba triệu ringgit hoặc hai năm tù. Quyền riêng tư không được quy định rõ ràng trong Hiến pháp Liên bang Malaysia hoặc bất kỳ đạo luật cụ thể nào ở Malaysia. bên trong chưa có quy định cụ thể, người ta phải sử dụng cách tiếp cận thông luật trong tìm kiếm sự công nhận và bảo vệ theo luật chung về quyền riêng tư. Điều thú vị là các tòa án Malaysia đã thực hiện hai cách tiếp cận khác nhau đối với công nhận quyền riêng tư ở Malaysia. Một số trường hợp đã được đưa ra các tòa án trong những năm gần đây đã làm sáng tỏ liệu quyền quyền riêng tư được công nhận và bảo vệ theo luật pháp Malaysia. Trong khi đó Singapore đã ban hành chậm hơn nhưng lại là quốc gia thực sự ban hành Đạo luật về bảo vệ dữ liệu cá nhân nhanh nhất. Cụ thể là Singapore thông qua luật bảo vệ dữ liệu cá nhân chung đầu tiên tại Quốc hội vào tháng 10 năm 2012, và chính thức trở thành luật vào tháng 1 năm 2013 có hiệu lực vào giữa năm 2014. Gần đây, Singapore đã được sửa đổi và thông qua ngày 2/11/2020 và chính thức được ban hành với tên gọi Đạo luật bảo vệ dữ liệu cá nhân (sửa đổi). Đạo luật cho phép xử lý đối với hành vi truyền dữ liệu ra ngoài lãnh thổ hoặc làm lộ lọt bí mật cá nhân ngoài thẩm quyền của nước này. Cá nhân, cơ quan, doanh nghiệp phạm tội có thể phải đối mặt với các hình phạt hình sự như phạt tiền, đình chỉ hoạt động và các hình phạt khác. Đạo luật bảo vệ dữ liệu cá nhân cũng là một nỗ lực nhằm đạt được sự công bằng quốc tế trong việc bảo vệ dữ liệu cá nhân. Nhiều chính phủ hạn chế chuyển dữ liệu cá nhân tới các quốc gia quy định hoặc bảo vệ rõ ràng quyền riêng tư của thông tin cá nhân. 730
Việc bảo vệ cơ bản nhất quyền riêng tư ở Indonesia được nêu trong Điều 28 G Hiến pháp nước Cộng hòa Indonesia năm 1945, trong đó nêu rõ: “Mỗi người có quyền bảo vệ bản thân, gia đình, danh dự, sự tôn trọng và tài sản của mình theo quyền kiểm soát của mình, cũng như quyền có được cảm giác an toàn và được bảo vệ khỏi mối đe dọa từ sợ làm hoặc không làm bất cứ điều gì là quyền con người”. Ngoài ra, các quy định khác ở Indonesia có chứa bảo vệ dữ liệu cá nhân bao gồm: Luật số 39 năm 1999 về Nhân quyền; Luật số 19 năm 2016 về Thông tin và Giao dịch điện tử; Luật số 36 năm 1999 về Viễn thông; Quy định số 82 năm 2012 của Chính phủ liên quan đến việc thực hiện hệ thống điện tử và giao dịch; Quy định của Bộ trưởng Bộ Thông tin và Truyền thông Cộng hòa Indonesia Số 20 năm 2016 liên quan đến bảo vệ dữ liệu cá nhân trong hệ thống điện tử và Dự luật bảo vệ dữ liệu cá nhân. Indonesia xem hành vi làm lộ lọt hay còn gọi là rò rỉ thông tin cá nhân cũng là một hành vi nguy hiểm đáng kể cho xã hội. Bởi lẽ rò rỉ có thể được sử dụng cho nhiều loại tội phạm mạng hoặc tội phạm mạng, một trong những đó là việc làm sai lệch dữ liệu được sử dụng bởi nhiều loại tội phạm khác nhau và cả việc ghi thẻ vào nơi bị đánh cắp dữ liệu cá nhân được sử dụng để làm cạn kiệt số dư tài khoản. Các điều khoản như Điều 47 và 49 của Bộ luật hình sự Indonesia quy định việc truyền dữ liệu cá nhân vào Indonesia hoặc ra nước ngoài. Theo đó, các Điều từ 51 đến 54 quy định các điều cấm và các điều từ 61 đến 64 quy định về tội phạm biện pháp trừng phạt. Luật hình sự Indonesia cũng đặt ra trách nhiệm hình sự đối với pháp nhân phạm tội, theo đó căn cứ vào Điều 66 đến Điều 69, hành vi phạm tội của pháp nhân sẽ bị phạt tiền với mức phạt tối đa gấp 3 lần mức phạt bị đe dọa và có thể bị phạt bổ sung. Một điểm thú vị trong chính sách xử lý hình sự đó là nếu cá nhân hoặc pháp nhân không thể có đủ khả năng nộp phạt thì có thể được thay thế bằng mức phạt tù tối đa tùy theo mức độ bị đe dọa (đối với cá nhân) hoặc bị đình chỉ một phần hoặc toàn bộ hoạt động kinh doanh trong thời gian tối đa 5 năm do thẩm phán quyết định (đối với pháp nhân). Cùng với việc ban hành đạo luật về bảo vệ dữ liệu cá nhân, pháp luật hình sự Indonesia cũng đang cân nhắc sửa đổi theo hướng xây dựng và quy định những hành động nào bị cấm và đặt ra trách nhiệm hình sự cho cả người dân, tập đoàn hoặc cơ quan. Trong khi đó Trung Quốc có xây dựng đạo luật về bảo vệ thông tin cá nhân trong đó có quy định xử phạt hành vi phạm tội của việc thu thập trái phép dữ liệu cá nhân. Cùng với đạo luật này, BLHS Trung Quốc cũng đã hệ thống hóa tại mục XIV với tiêu đề “Các hành vi tội phạm xâm phạm quyền tự do, quyền con người và công dân”. Vì vậy, đây là một tội danh mới được đưa vào văn bản pháp luật một cách chính đáng do xét trên góc độ hoàn cảnh thay đổi, nhu cầu mới và xung đột lợi ích. Theo đó, bản chất của hành vi phạm tội này là: Bất cứ ai thu thập dữ liệu cá nhân đang được thu thập, xử lý và sử dụng dựa trên luật pháp mà không được phép, 731
truyền đạt chúng cho người khác, hoặc sử dụng chúng vào ngoài mục đích sẽ bị phạt tiền hoặc phạt tù lên đến một năm. Bất cứ ai thu thập dữ liệu cá nhân của công dân một cách bất hợp pháp và do đó sử dụng dữ liệu được thu thập sẽ bị trừng phạt với hình phạt. Nếu một quan chức thực hiện hành vi theo quy định của điều luật này, sẽ bị phạt tù tới ba năm”. Quy định này phải được dẫn chiếu đến Luật bảo vệ dữ liệu cá nhân để vận dụng. 3. Quy định của pháp luật hình sự Việt Nam về bảo vệ dữ liệu cá nhân và những vướng mắc Chế định hình sự là một công cụ để nhà nước quản lý xã hội, răn đe, phòng ngừa tội phạm và trừng trị người phạm tội. Do vậy, chế định hình sự mang nặng tính nghiêm khắc từ cơ quan nhà nước và đối tượng bị tác động thường nhận được những định kiến ban đầu là phải bị áp dụng hình phạt. BLHS năm 2015 đánh dấu một bước tiến quan trọng, tạo cơ sở pháp lý vững chắc cho công cuộc đấu tranh phòng, chống tội phạm có hiệu quả. Dựa vào điều 1 quy định, xác định nhiệm vụ của BLHS: “bảo vệ chủ quyền quốc gia, an ninh của đất nước, bảo vệ chế độ xã hội chủ nghĩa, quyền con người, quyền công dân…” có thể thấy vấn đề quyền con người, quyền công dân là vấn đề quan trọng và được pháp luật hình sự bảo vệ xuyên suốt toàn bộ nội dung của BLHS. Trên cơ sở nhiệm vụ đó, tất cả các cấu thành tội phạm đều đã được ghi nhận một cách rõ ràng về vấn đề này. Việc quy định rõ ràng các yếu tố cấu thành của tội phạm cũng như các dấu hiệu của tội phạm cụ thể có ý nghĩa cho việc định tội danh chính xác, có ý nghĩa đối với việc xác định các cấu thành tăng nặng giảm nhẹ khác nhau, từ đó nó có ảnh hưởng đến việc phân hóa trách nhiệm hình sự và quyết định hình phạt. Bảo vệ dữ liệu cá nhân chính là bảo vệ quyền riêng tư của cá nhân và là một bộ phận của bảo vệ quyền con người, đặc biệt là trong bối cảnh chuyển đối số hiện nay. Việc bảo vệ dữ liệu cá nhân trong pháp luật hình sự được thể hiện thông qua các quy định về tội phạm và hình phạt ở phần các tội phạm cụ thể của BLHS. Nội dung của những quy định này là ngăn ngừa sự xâm hại trái pháp luật các quyền riêng tư của các cá nhân bị luật hình sự coi là tội phạm bằng các hoạt động, từ khâu xây dựng quy định những quy phạm về tội phạm trong luật hình sự thực định cho tới khâu thực thi pháp luật từ phía các cơ quan nhà nước có thẩm quyền. Bên cạnh đó, bảo vệ quyền con người bằng các quy phạm thuộc phần các tội phạm cụ thể thì mới có thể có đầy đủ các căn cứ đánh giá được một cách xác thực khách quan mức độ hiệu quả của việc bảo vệ quyền con người, qua đó mới có thể dự báo được mức độ vi phạm các quyền con người trong từng nhóm các tội phạm cụ thể ra sao, qua đó mới có thể biết được một cách chính xác hiệu lực thực sự của hệ thống các cơ quan tư pháp hình sự Nhà nước là mạnh hay yếu và có đủ 732
khả năng để đấu tranh phòng chống các tội phạm xâm phạm đến các quyền của con người hay không. Ở Việt Nam, các quy định của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân được tiếp cận và phát triển từ quyền riêng tư - với tư cách là quyền cơ bản của con người. Đây cũng là cách tiếp cận đã được pháp luật nhiều nước trên thế giới công nhận và có cơ chế bảo vệ trước sự xâm phạm từ phía nhà nước cũng như từ các chủ thể khác. Như một ý kiến đã nhận định rằng, trên thực tế, các nước cộng sản như Việt Nam đã có luật toàn diện quản lý bảo mật và bảo vệ dữ liệu trong một quy định gọi là Luật An toàn thông tin mạng. Tuy vậ có thể thấy rằng, cho đến hiện nay, ở Việt Nam hiện nay chưa có một đạo luật thống nhất về bảo vệ dữ liệu cá nhân, trong đó đề ra các nguyên tắc cụ thể hơn cho hoạt động thu thập, lưu trữ, sử dụng, công khai thông tin cũng như các chế định rõ ràng về hành vi xâm phạm quyền riêng tư đối với thông tin cá nhân hiện tại. Các quy định về bảo vệ dữ liệu cá nhân được ghi nhận rải rác thông qua các đạo luật chuyên ngành như: Luật công nghệ thông tin, Luật bảo vệ quyền lợi người tiêu dùng, Luật an toàn thông tin mạng, Luật giao dịch điện tử, Nghị định 52/2013/NĐ-CP về thương mại điện tử hay gần đây nhất là Nghị định 13/2023 ngày 17/4/2023 về bảo vệ dữ liệu cá nhân. Ngoài các văn bản là khung pháp lý quy định về các hành vi được coi là nhằm bảo vệ quyền riêng tư cũng như là bảo vệ dữ liệu cá nhân thì các hành vi bị coi là xâm phạm đến quyền riêng tư hay là xâm phạm đến dữ liệu cá nhân cũng được quy định là hành vi vi phạm trong luật xử lý vi phạm hành chính và Bộ luật hình sự. Pháp luật hình sự Việt Nam bảo vệ dữ liệu cá nhân thông qua việc cụ thể hóa các hành vi xâm hại đến dữ liệu cá nhân về tính bảo mật, tính toàn vẹn và tính khả dụng của dữ liệu cá nhân trong môi trường số ở trong nhóm các tội phạm trong lĩnh vực công nghệ thông tin thuộc chương XXI - Các tội xâm phạm an toàn công cộng, trật tự công cộng. Trong đó, mạng máy tính, mạng viễn thông được xem là phương tiện để thực hiện hành vi phạm tội. Như vậy, trong trường hợp này, theo luật hình sự Việt Nam quyền bảo vệ dữ liệu cá nhân không đồng nghĩa với quyền riêng tư của cá nhân bởi lẽ để bảo vệ quyền riêng tư của cá nhân, BLHS đã quy định các tội danh cụ thể thuộc chương XV các tội phạm xâm phạm quyền tự do của con người, quyền tự do, dân chủ của công dân, mà cụ thể là Tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác tại điều Điều 159 BLHS. Cũng theo Điều 7 Luật An toàn thông tin mạng quy định những hành vi như thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác, lợi dụng sơ hở, điểm yếu của hệ thống thông tin để thu thập, khai thác thông tin cá nhân đều bị nghiêm cấm. Từ quy định này, đối chiếu với BLHS, có thể thấy có những tội danh sau mà người phạm 733
tội có thể bị xử lý hình sự nếu ở mức độ nguy hiểm đáng kể cho xã hội tương ứng với các hành vi nêu tại Luật An toàn thông tin mạng bao gồm: - Thu thập dữ liệu cá nhân trái phép: Đưa lên mạng máy tính, mạng viễn thông những thông tin trái với quy định của pháp luật, thu lợi bất chính hoặc gây dư luận xấu làm giảm uy tín của cơ quan, tổ chức, cá nhân trong Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288); hoặc thu thập trái phép thông tin về tài khoản ngân hàng của người khác trong Tội thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng (Điều 291). - Kinh doanh trái pháp luật dữ liệu cá nhân: Mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin đó trong Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288); hoặc mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác trong Tội thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng (Điều 291). - Lợi dụng sơ hở, điểm yếu của hệ thống thông tin để thu thập, khai thác thông tin cá nhân: cố ý vượt qua cảnh báo, mã truy cập, tường lửa, sử dụng quyền quản trị của người khác hoặc bằng phương thức khác xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác chiếm quyền điều khiển; can thiệp vào chức năng hoạt động của phương tiện điện tử; lấy cắp, thay đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép các dịch vụ trong Tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác (Điều 289). Bên cạnh đó tùy thuộc vào bản chất hành vi phạm tội là gì, mục đích phạm tội như thế nào mà BLHS có các tội danh tương ứng để áp dụng xử lý. Chẳng hạn như hành vi đánh cắp thông tin cá nhân để đe dọa tống tiền, để lan truyền các dữ liệu này trên mạng phục vụ cho văn hóa phẩm đồi trụy, để uy hiếp, đe dọa nạn nhân, buộc nạn nhân phải làm theo những gì mình yêu cầu. BLHS cũng quy định chế tài hình sự áp dụng đối với chủ thể có hành vi xâm phạm đến bảo vệ dữ liệu cá nhân tương ứng với các tội phạm trên bao gồm: hình phạt tiền lên đến 1 tỷ đồng, hình phạt cải tạo không giam giữ lên đến 3 năm hoặc hình phạt tù cao nhất lên đến 20 năm. Ngoài ra, người phạm tội còn có thể phải chịu các hình phạt bổ sung là phạt tiền, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định hoặc tịch thu một phần hoặc toàn bộ tài sản. 734
4. Những khoảng trống pháp lý về bảo vệ dữ liệu cá nhân Ở Việt Nam, việc bảo vệ quyền riêng tư về dữ liệu cá nhân của con người bằng pháp luật hình sự thể hiện ở việc quy định các hành vi xâm phạm đến quyền được bảo vệ dữ liệu cá nhân là hành vi phạm tội và quy định chúng trong bộ luật hình sự. Điều này khác so với các nước trên thế giới ở chỗ, việc quy định là tội phạm và bị xử lý hình sự nhằm mục đích bảo vệ quyền bất khả xâm phạm quyền riêng tư đối với dữ liệu cá nhân có thể được quy định trong luật chuyên ngành mà không nhất thiết phải được quy định trong Bộ luật hình sự. Bên cạnh đó, so với quy định pháp luật của các nước như đã nghiên cứu ở trên, có thể nhận thấy rằng, pháp luật các nước đa số đều ghi nhận trách nhiệm hình sự của pháp nhân đối với hành vi xâm phạm đến dữ liệu cá nhân. Đây cũng là vấn đề đặt ra đối với pháp luật hình sự Việt Nam khi các tội phạm hiện hành về xâm phạm dữ liệu cá nhân mới chỉ đặt ra trách nhiệm hình sự đối với cá nhân mà không đặt ra đối với pháp nhân. Trong khi đó, thực tế cho thấy rằng, việc làm lộ lọt, rò rỉ dữ liệu cá nhân hay các hành vi thu thập, mua bán trao đổi các dữ liệu cá nhân cũng có thể do chính các pháp nhân thực hiện khi chính các pháp nhân là các chủ thể nắm trong tay hệ thống dữ liệu cá nhân đồ sộ nhất trong quá trình thực hiên các hoạt động kinh doanh của mình với các khách hàng của mình. Việc thiếu quy định ràng buộc trách nhiệm hình sự của pháp nhân đối với nhóm tội phạm này có thể dẫn đến việc xử lý không nghiêm minh và không đảm bảo tính răn đe, ngằn ngừa tội phạm. Ngoài những điểm khác biệt so với pháp luật các quốc gia trên thế giới như đã đề cập ở mục 2 nói trên, có thể thấy, pháp luật hình sự Việt Nam vẫn còn những tồn tại như sau: Thứ nhất, cho đến hiện nay, tuy đã có khái niệm dữ liệu cá nhân và các loại dữ liệu cá nhân trong văn bản mới nhất được ban hành nhưng chưa có sự thống nhất về thuật ngữ dữ liệu cá nhân trong tất cả các văn bản có liên quan đến vấn đề bảo vệ dữ liệu cá nhân với nhau, nên việc hiểu, đối chiếu và thống nhất để áp dụng cũng còn gặp phải những hạn chế nhất định. Cũng vì lẽ đó mà trong BLHS hiện hành, chưa có một tội danhh cụ thể với tên gọi là tội xâm phạm dữ liệu cá nhân, hay lấy cắp dữ liệu cá nhân hay trộm cắp thông tin bí mật của cá nhân. Ngoài ra, tuy đã ban hành một số văn bản quy phạm pháp luật liên quan đến lĩnh vực bảo vệ quyền cá nhân và dữ liệu cá nhân nhưng Việt Nam hiện không có một đạo luật riêng biệt, toàn diện và nhất quán về bảo vệ dữ liệu cá nhân. Thay vào đó, nội dung này được quy định rải rác trong các luật và nghị định khác nhau, từ văn bản luật cho đến các văn bản dưới luật mà các quy định này phần lớn chỉ bảo vệ quyền riêng tư nói chung. Điều này dẫn tới thực trạng trùng dẫm, chồng chéo, tản mác, khó áp dụng và thực thi các quy định của pháp luật về bảo vệ dữ liệu cá 735
nhân. Một số vấn đề mới phát sinh như buôn bán, sử dụng dữ liệu cá nhân, vấn đề lưu chuyển, thu thập, xử lý, phân tích, lưu trữ dữ liệu cá nhân, lưu chuyển dữ liệu cá nhân qua biên giới chưa được đề cập. Thứ hai, các quy định về chế tài nhằm bảo vệ dữ liệu cá nhân còn khá nhẹ, chưa đảm bảo tính răn đe. Cụ thể, mức phạt hành chính nặng nhất theo Nghị định 15/2020/NĐ-CP là 70 triệu đồng; mức phạt hình sự nặng nhất là 200 triệu đồng; thậm chí trong trường hợp cấu thành tội phạm xâm phạm bí mật cá nhân dẫn đến người bị xâm phạm tự sát thì cũng chỉ bị phạt tối đa 1 tỷ đồng hoặc phạt tù từ 2 năm đến 7 năm (Điều 288 BLHS). So sánh với quy định chung về bảo vệ dữ liệu do Ủy ban châu Âu xây dựng (GDPR) áp dụng mức phạt lên tới 20 triệu Euro, tương đương 500 tỷ đồng thì có thể thấy, mức phạt trong luật pháp Việt Nam còn khá nhẹ, trong khi hậu quả từ hành vi xâm phạm quyền riêng tư có thể rất nghiêm trọng, gây tổn hại tới danh dự, nhân phẩm, an toàn và cả tính mạng của không chỉ một mà có thể là nhiều nạn nhân. Thứ ba, tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản (Điều 290) đưa ra yêu cầu về loại trừ trong định tội danh. Cụ thể, trong trường hợp một người thực hiện hành vi sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử để chiếm đoạt tài sản của người khác thì hành vi của họ chỉ cấu thành tội này nếu không cấu thành tội trộm cắp tài sản (Điều 173) hoặc tội lừa đảo chiếm đoạt tài sản (Điều 174). Quy định trên không hợp lý vì hành vi khách quan của tội phạm tại Điều 290 BLHS 2015 được thực hiện với phương thức hoàn toàn khác biệt so với tội phạm tại Điều 173 và Điều 174 BLHS 2015. Khách thể xâm hại trong hai trường hợp này cũng khác nhau mặc dù việc thực hiện hành vi chiếm đoạt tài sản trong tội ở Điều 290 cũng nhằm xâm phạm quyền sở hữu tài sản, nhưng cái mà kẻ phạm tội hướng đến xâm hại trước hết đó chính là xâm hại hệ thống an ninh mạng máy tính, mạng viễn thông trong đó có chứa đựng các dữ liệu cá nhân. Từ việc xâm hại để có được những dữ liệu cá nhân này, kẻ phạm tội mới thực hiện hành vi chiếm đoạt tài sản được. Việc quy định như vậy dẫn đến thực trạng định tội danh không thống nhất. Điều này đã dẫn đến kết quả là trong một bản án, cấp sơ thẩm đã tuyên bố hành vi truy cập bất hợp pháp vào tài khoản cá nhân của bị hại và thực hiện chuyển tiền từ tài khoản ứng dụng MoMo của bị hại sang tài khoản khác nhằm chiếm đoạt là hành vi lén lút lấy tài sản của người khác nên phạm tội trộm cắp tài sản. Tuy nhiên, bản án phúc thẩm xác định hành vi truy cập bất hợp pháp vào tài khoản cá nhân và chiếm đoạt tài sản vừa xâm phạm quyền sở hữu tài sản vừa xâm phạm dữ liệu cá nhân của nạn nhân (thông tin tài khoản số của cá nhân) nên phạm tội quy định tại Điều 290 BLHS 2015. 736
5. Kết luận và đề xuất Như một nhận định đã cho rằng, phòng ngừa tội phạm bằng các phương tiện khác thay vì áp dụng luật hình sự còn hiệu quả hơn nhiều hợp lý và tiết kiệm. Điều này càng đúng hơn khi nói đến bảo vệ quyền riêng tư trong đó cso bảo vệ dữ liệu cá nhân, vì việc sử dụng các biện pháp của luật hình sự chỉ có hiệu lực sau khi một sự vi phạm nghiêm trọng quyền riêng tư đã xảy ra. Mặc dù vậy, những lợi ích không thể chối cãi của việc ngăn ngừa tội phạm nên không thể từ bỏ hình phạt đối với người phạm tội, đặc biệt trong những trường hợp có tính chất nghiêm trọng sự xâm phạm quyền riêng tư của cá nhân. Chính vì vậy, để bảo vệ dữ liệu cá nhân bằng pháp luật hình sự, cần tiếp tục nghiên cứu hoàn thiện pháp luật bằng việc xem xét bổ sung quy định về trách nhiệm hình sự đối với pháp nhân có hành vi xâm phạm quyền được bảo vệ đối với dữ liệu cá nhân. Cũng với đó là việc xem xét hình sự hóa thêm một số hành vi vi phạm pháp luật bảo vệ dữ liệu cá nhân như: hành vi thu thập, sử dụng, khai thác, chuyển nhượng trái phép dữ liệu cá nhân; xem xét việc bỏ cụm từ “nếu không thuộc một trong các trường hợp quy định tại Điều 173 và Điều 174 của Bộ luật này” trong cấu thành tội phạm tội Tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản Điều 290 để có thể phân tách hai loại hành vi xâm hại hai khách thể khác nhau như đã nói ở trên. Bên cạnh những đòi hỏi phải gia tăng mức phạt trong xử lý bằng con đường hành chính hay hình sự, cần đảm bảo hiệu quả giải quyết vụ việc theo cơ chế luật - đó là khởi kiện dân sự. Song song với khởi kiện là các yêu cầu bồi thường thiệt hại theo quy định tại các Điều 13, 14 và 15 Bộ luật Dân sự năm 2015. Thay vì quá tập trung vào việc trao quyền can thiệp của người dùng cá nhân và cơ sở dữ liệu kinh doanh của doanh nghiệp, pháp luật chỉ nên tạo dựng bộ nguyên tắc xuyên suốt. Bởi lẽ, việc bảo vệ quyền riêng tư dựa trên việc trao quyền tuyệt đối cho chủ thể dữ liệu trong việc giữ bí mật và định đoạt dữ liệu cá nhân là không hiệu quả, nếu không có nhận thức đúng đắn về quyền riêng tư trong bối cảnh chuyển đổi số và bộ nguyên tắc rõ ràng trong việc xử lý dữ liệu cá nhân làm nền tảng. Và cuối cùng, việc ban hành Nghị định 13/2023 của Chính phủ về bảo vệ dữ liệu cá nhân tuy là một bước tiến lớn trong việc thiết lập khung pháp lý trực tiếp bảo vệ dữ liệu cá nhân nhưng trong tương lai, các coq quan ban hành luật cần phải nghiên cứu để có thể ban hành một đạo luật hoàn chỉnh về bảo vệ dữ liệu cá nhân thì mới có thể trở thành một công cụ đủ mạnh để bảo vệ cũng như để tương xứng với các nước trên thế giới. Tài liệu tham khảo 737
Ahmad, N. (2008). The right to privacy and challenges: a critical review. Malayan Law J, 5(10). Cieh, E. L. Y. (2013), Personal data protection and privacy law in Malaysia, Beyond Data Protection: Strategic Case Studies and Practical Guidance, 5-29. Clark R (1997), Introduction of Dataveillance and Information Privacy, and Definitions of Terms. http://www.rogerclarke.com/DV/IPrivacy.html, truy cập ngày 20/10/2023 Lê Văn Cảm (2010), Bảo vệ các quyền con người bằng pháp luật trong lĩnh vực tư pháp hình sự-ý nghĩa của việc nghiên cứu, Tạp chí khoa học ĐHQGHN, Luật học 26, 147-154 Chik, W. B. (2013), The Singapore Personal Data Protection Act and an assessment of future trends in data privacy reform, Computer Law & Security Review, 29(5), 554-575. Hoofnagle, C. J., Van Der Sloot, B., & Borgesius, F. Z. (2019), The European Union general data protection regulation: what it is and what it means, Information & Communications Technology Law, 28(1), 65-98. Jakulin Vid, V. (2023), Сriminal offences against privacy in the criminal code of the Republic of Slovenia, Doctoral dissertation, National Aviation University. Dương Kim Thế Nguyên, Huỳnh Thiên Tứ, Lê Thùy Khanh., Mai Nguyễn Dũng (2021), Cải cách pháp luật đáp ứng nhu cầu bảo vệ dữ liệu cá nhân trong chuyển đổi số, Trường Đại học Kinh tế Tp. Hồ Chí Minh, tr.160-193 Nissenbaum, H. (2011), A contextual approach to privacy online, Daedalus, 140(4), 32-48. Petrović, D. (2022), Privacy and protection of personal data–criminal law aspect, Strani pravni život, 66(4), 469-489 Sianipar, B. T., Pujiyono, P., & Roechaeti, N. (2023, September), Criminal Law Policy to the Perpetrator of Data Leakage in Indonesia. In Proceedings of the International Conference on Sustainability in Technological, Environmental, Law, Management, Social and Economic Matters, ICOSTELM 2022, 4-5 November 2022, Bandar Lampung, Indonesia. Yusran Panca Putra (2022), Comparison of Personal Data Protection Laws Using Narrative Policy Framework Between Indonesia, Malaysia, and Japan, Academic Journal of Law and Govenance, Volume 2, Number 2, p.2798-3803. 738
Còn những khoảng trống pháp luật về bảo vệ dữ liệu cá nhân https://mic.gov.vn/mic_2020/Pages/TinTuc/152653/Con-nhung-khoang-trong-phap-luat-ve- bao-ve-du-lieu-ca-nhan.html, truy cập ngày 15/10/2023 739