Bảo vệ dữ liệu cá nhân trong đô thị thông minh tại Việt Nam

Chia sẻ: Tưởng Trì Hoài | Ngày: | Loại File: PDF | Số trang:11

Thêm vào BST

Báo xấu

6
lượt xem 2
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài viết "Bảo vệ dữ liệu cá nhân trong đô thị thông minh tại Việt Nam" đánh giá khung pháp lý của Việt Nam về vấn đề bảo vệ dữ liệu cá nhân và nhấn mạnh rằng khung pháp lý về bảo vệ dữ liệu cá nhân ở Việt Nam cần được cải cách để phát triển đô thị thông minh. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bảo vệ dữ liệu cá nhân trong đô thị thông minh tại Việt Nam

BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG ĐÔ THỊ THÔNG MINH TẠI VIỆT NAM Nguyễn Thị Mỹ Hạnh Khoa Luật, Trường Kinh Tế, Luật và Quản lý nhà nước - Đại Học Kinh Tế TP.HCM Email: hanhnguyen.31211027446@st.ueh.edu.vn Phone number: 0943972527 Tóm tắt: Xây dựng đô thị thông minh đòi hỏi phải chuyển đổi số các quy trình, thủ tục làm việc của chính quyền, bao gồm số hóa và thực hiện trực tuyến hầu hết các thủ tục hành chính. Trên thực tế, quản trị đô thị thông minh sử dụng công nghệ thông tin để tăng hiệu quả và hiệu suất cung cấp dịch vụ cho công chúng. Sự phát triển của đô thị thông minh làm dấy lên mối lo ngại của người dân về tính minh bạch trong việc thu thập và sử dụng dữ liệu cá nhân. Khi Chính phủ triển khai các dự án đô thị thông minh, các cảm biến và truyền hình mạch kín (CCTV) được lắp đặt ở hầu hết các đường phố, trung tâm thương mại và khu vực công cộng. Công chúng lo ngại về việc dữ liệu được thu thập từ các hệ thống camera quan sát này sẽ được sử dụng vào mục đích gì và làm thế nào để đảm bảo rằng dữ liệu đó không bị lạm dụng, rò rỉ và khai thác sai mục đích. Vấn đề bảo vệ dữ liệu cá nhân và tôn trọng quyền riêng tư ngày càng trở nên quan trọng khi dữ liệu cá nhân là loại thông tin đặc biệt. Vì vậy, bài viết này đánh giá khung pháp lý của Việt Nam về vấn đề bảo vệ dữ liệu cá nhân và nhấn mạnh rằng khung pháp lý về bảo vệ dữ liệu cá nhân ở Việt Nam cần được cải cách để phát triển đô thị thông minh. Từ khóa: đô thị thông minh, dữ liệu cá nhân, thông tin cá nhân, bảo vệ dữ liệu, an ninh 1. Giới thiệu Chính phủ Việt Nam trong những năm gần đây coi đô thị thông minh là một yếu tố quan trọng của cuộc cách mạng Công nghiệp lần thứ tư, sử dụng công nghệ thông tin và truyền thông (ICT) và các phương tiện khác để nâng cao khả năng cạnh tranh, đổi mới, sáng tạo, minh bạch và hiệu quả quản lý đô thị, cũng như nâng cao hiệu quả sử dụng đất, năng lượng và tài nguyên để phát triển, cải thiện và nâng cao chất lượng môi trường sống đô thị. Những cải tiến này sẽ kích thích tăng trưởng và phát triển kinh tế xã hội. Ngày 01/8/2018, Thủ tướng Chính phủ đã ban hành Quyết định số 950/QĐ-TTg phê duyệt Đề án phát triển đô thị thông minh bền vững Việt Nam giai đoạn 2018 - 2025 và định hướng đến năm 2030. Đề án này đã chỉ ra mục tiêu 431
và lộ trình 3 giai đoạn phát triển đô thị thông minh ở Việt Nam (giai đoạn đến năm 2020; giai đoạn đến năm 2025; định hướng đến năm 2030). Ngoài ra, dự án cũng đã định hình 7 quan điểm và nguyên tắc phát triển đô thị thông minh, trong đó có nguyên tắc “đảm bảo an ninh mạng và bảo vệ dữ liệu”. Bên cạnh đó, kể từ ngày 01/7/2023, Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân cũng chính thức có hiệu lực thi hành. Nghị định nêu rõ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an, có trách nhiệm giúp Bộ Công an thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân. Để biến một thành phố truyền thống thành một đô thị thông minh đòi hỏi những nỗ lực to lớn và nhiều nhiệm vụ khác nhau. Để đáp ứng nhu cầu này, Việt Nam đã thực hiện một số bước nhằm hoàn thiện hệ thống pháp luật. Tuy nhiên, khung pháp lý cho các dự án đô thị thông minh ở Việt Nam vẫn đang ở giai đoạn phát triển ban đầu. Ví dụ, Quyết định 950/QĐ-TTg không đưa ra khái niệm đô thị thông minh và cho đến nay, pháp luật Việt Nam chưa có quy định nào định nghĩa về đô thị thông minh. Vì lý do đó, giải pháp đầu tiên trong 10 giải pháp được đề cập tại Quyết định 950/QĐ-TTg là rà soát, cập nhật hệ thống pháp luật nhằm xây dựng hành lang pháp lý cho phát triển đô thị thông minh ở Việt Nam. Cần cải thiện khung pháp lý cho đô thị thông minh ở Việt Nam trong các lĩnh vực sau: ứng dụng công nghệ thông tin, xây dựng, thiết kế, quản lý cơ sở hạ tầng đô thị và bảo vệ dữ liệu cá nhân. Trên thực tế, chính quyền một số tỉnh, thành phố ở Việt Nam đã bày tỏ mong muốn chuyển đổi tỉnh, thành phố của mình thành đô thị thông minh. Đến nay, 46/63 địa phương ở Việt Nam đã quy hoạch và triển khai dự án đô thị thông minh. Chính quyền các tỉnh này đã ứng dụng công nghệ thông tin vào phát triển đô thị thông minh, bao gồm quy hoạch đô thị thông minh, xây dựng và quản lý đô thị thông minh, cung cấp các tiện ích hạ tầng kỹ thuật của đô thị thông minh. Chẳng hạn, nhiều địa phương đã hoàn thành xây dựng và đưa vào sử dụng “Trung tâm giám sát điều hành đô thị thông minh”. Mục tiêu của việc xây dựng trung tâm này là giám sát và vận hành các dịch vụ của đô thị thông minh và cung cấp các tiện ích của đô thị thông minh. Trung tâm giám sát điều hành đô thị thông minh triển khai các dịch vụ đô thị thông minh, bao gồm 5 dịch vụ cơ bản (hệ thống phân tích dữ liệu kinh tế - xã hội, giám sát điều hành và xử lý vi phạm giao thông, giám sát điều hành an ninh trật tự công cộng, giám sát thông tin trên Internet, tương tác giao tiếp phục vụ công dân và các dịch vụ bổ sung, hệ thống cảnh báo và giám sát môi trường, giám sát dịch vụ công cộng, giám sát, điều hành lĩnh vực y tế, giáo dục, du lịch, an toàn vệ sinh thực phẩm, giám sát sự lây lan của COVID-19, giám sát bảo mật, an toàn thông tin, giám sát phòng chống thiên tai). Những dịch vụ đô thị thông minh này hướng 432
tới người dân, những người được hưởng lợi từ chúng. Tuy nhiên, những người dân được hưởng lợi từ các dịch vụ này cũng đang nêu lên mối lo ngại về quyền riêng tư của họ. Trung tâm giám sát điều hành đô thị thông minh giúp Chính phủ giám sát, kiểm soát các hoạt động xã hội của người dân và dự đoán xu hướng xã hội. Cảm biến camera được lắp đặt ở hầu hết các đường phố, trung tâm thương mại và khu vực công cộng. Giám sát đô thị thông qua cảm biến camera đang làm dấy lên mối lo ngại của người dân về tính minh bạch trong việc thu thập và sử dụng dữ liệu cá nhân. Ví dụ, Đà Nẵng có hệ thống giám sát giao thông với 200 camera giám sát tích hợp trí tuệ nhân tạo tự động phát hiện các hành vi vi phạm giao thông (như lái xe sai làn đường, vượt đèn đỏ, chạy quá tốc độ, đỗ xe trên vỉa hè, đỗ xe trái quy định), để theo dõi lộ trình của các phương tiện, đếm lưu lượng thương tiện giao thông và tự động điều khiển đèn giao thông. Hệ thống giám sát an ninh công cộng với 1.800 camera và khoảng 34.500 camera lắp đặt tại khu vực tư nhân đã được đưa vào sử dụng. Thành phố Huế sử dụng 500 camera có cảm biến ứng dụng nhận dạng khuôn mặt và phân tích đám đông để giám sát thành phố, đảm bảo an ninh đô thị và điều tiết giao thông. Công chúng lo ngại về việc dữ liệu thu thập từ những camera này sẽ được sử dụng vào mục đích gì và làm thế nào để đảm bảo rằng dữ liệu đó không bị lạm dụng, tiết lộ, rò rỉ và khai thác sai mục đích. Những mối quan tâm của công chúng có thể dựa trên những quan sát sau đây. Thứ nhất, các cơ quan, tổ chức, doanh nghiệp chưa có biện pháp bảo vệ thông tin thống nhất, hiệu quả. Thứ hai, hệ thống lưu trữ và xử lý dữ liệu cá nhân có những lỗ hổng có thể bị tin tặc khai thác để tấn công, gây ra tổn thất đáng kể. Thứ ba, tình trạng trộm cắp dữ liệu cá nhân và buôn bán trái phép xảy ra khá thường xuyên. Thứ tư, dữ liệu cá nhân được trao đổi và sử dụng trong nhiều lĩnh vực dẫn đến khó khăn trong việc quản lý. Thứ năm, nhiều tổ chức thu thập và sử dụng dữ liệu cá nhân mà không có thông báo hoặc cơ chế bảo vệ người dùng. Nếu những lo ngại liên quan đến quyền riêng tư không được giải quyết thỏa đáng, việc triển khai đô thị thông minh có nguy cơ bị phản đối và có thể không nhận được sự ủng hộ từ người dân thành phố. Chính phủ Việt Nam nhận thức được rằng việc xây dựng đô thị thông minh đòi hỏi phải đặc biệt chú ý giải quyết các vấn đề pháp lý có thể phát sinh từ việc đạt được sự cân bằng tinh tế giữa nhu cầu thu thập và xử lý thông tin, dữ liệu của người dân và nhu cầu đảm bảo quyền riêng tư và bảo mật. Thực trạng pháp luật Việt Nam về bảo vệ dữ liệu cá nhân Tại thời điểm viết bài, quy định liên quan đến vấn đề bảo vệ dữ liệu cá nhân vẫn còn nhiều sơ hở. Cho đến nay, Việt Nam vẫn chưa ban hành luật chung về bảo vệ dữ liệu cá nhân, khung 433
pháp lý về bảo vệ dữ liệu cá nhân và bảo vệ quyền riêng tư ở Việt Nam chưa được phát triển toàn diện như một số nước trên thế giới. Ví dụ, Liên minh Châu Âu (EU) năm 2016 đã ban hành Quy định chung về bảo vệ dữ liệu - GDPR, có hiệu lực từ ngày 25 tháng 5 năm 2018. GDPR là một bộ quy tắc mới được xây dựng nhằm cung cấp cho công dân EU quyền kiểm soát nhiều hơn đối với dữ liệu cá nhân của họ trong bối cảnh bùng nổ của mạng Internet và các thiết bị thông minh trên quy mô lớn dựa trên nền tảng Chỉ thị về bảo vệ dữ liệu châu Âu (95/46/EC) được ban hành trước đó vào năm 1995. Theo GDPR, không chỉ các tổ chức phải đảm bảo dữ liệu cá nhân được thu thập hợp pháp và trong các điều kiện nghiêm ngặt, mà tất cả những chủ thể thu thập và chủ thể quản lý dữ liệu đều có nghĩa vụ bảo vệ dữ liệu khỏi việc bị lạm dụng và khai thác, cũng như tôn trọng quyền của chủ thể dữ liệu cá nhân. Quyền của chủ thể dữ liệu cá nhân bao gồm i) Quyền được sở hữu những thông tin cá nhân, bao gồm khả năng yêu cầu chủ thể nắm giữ chỉnh sửa nhằm bảo đảm tính toàn vẹn, chính xác của thông tin cá nhân của mình; ii) Quyền cho phép bên thứ ba tiếp cận thông tin cá nhân của mình; iii) Quyền yêu cầu các chủ thể có liên quan phải bảo đảm tính bí mật của thông tin, ví dụ như vô danh hóa thông tin cá nhân,…; iv) Quyền yêu cầu chủ thể nắm giữ bồi thường khi có hành vi xâm phạm thông tin trái pháp luật, gây thiệt hại cho cá nhân. Các quy định liên quan về bảo vệ dữ liệu cá nhân ở Việt Nam nằm rải rác ở nhiều văn bản pháp luật khác nhau. Vì vậy, bài viết này cho rằng khung pháp lý về bảo vệ dữ liệu cá nhân ở Việt Nam cần được cải cách để phát triển đô thị thông minh. Rà soát gần 70 văn bản pháp luật của Việt Nam liên quan đến bảo vệ dữ liệu cá nhân cho thấy pháp luật Việt Nam về bảo vệ dữ liệu cá nhân bắt nguồn từ quyền bất khả xâm phạm về đời sống riêng tư - một quyền cơ bản của con người. Có một nguyên tắc chung được ghi trong tất cả các quy định về bảo vệ dữ liệu cá nhân có trong các văn bản pháp luật của Việt Nam: dữ liệu cá nhân được bảo vệ và các chủ thể khác có thể sử dụng dữ liệu cá nhân đó miễn là chủ thể dữ liệu cho phép họ trừ khi pháp luật có quy định khác; những người vi phạm phải chịu các hình phạt hành chính và hình sự, đồng thời chủ thể của dữ liệu bị xâm nhập dữ liệu cá nhân có quyền được bồi thường thiệt hại. Hiến pháp năm 2013 trước hết đưa ra những nguyên tắc chung là mọi người đều có quyền bất khả xâm phạm về đời tư, bí mật cá nhân, bí mật gia đình và có quyền bảo vệ danh dự, uy tín của mình. Thông tin liên quan đến bí mật đời tư, bí mật cá nhân, bí mật gia đình được pháp luật bảo vệ an toàn (Điều 21). Tiếp theo các bộ luật, luật chuyên ngành và nhiều văn bản dưới luật khác quy định liên quan đến bảo vệ thông tin cá nhân. Ví dụ, Điều 72 Luật Công nghệ thông tin năm 2006 quy định thông tin cá nhân hợp pháp của tổ chức, cá nhân được trao đổi, 434
truyền đưa hoặc lưu trữ trên môi trường mạng phải được bảo mật theo quy định của pháp luật. Điều 16 Luật An toàn thông tin mạng năm 2015 quy định nguyên tắc bảo vệ thông tin cá nhân trên Internet. Điều 19 của Luật trên quy định tổ chức, cá nhân xử lý thông tin cá nhân phải thực hiện các biện pháp quản lý, kỹ thuật phù hợp để bảo vệ thông tin cá nhân do mình thu thập, lưu trữ và tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn thông tin mạng. Tuy nhiên, việc triển khai các đô thị thông minh tạo ra các vấn đề pháp lý về bảo vệ dữ liệu cá nhân mà quy định cho đến nay vẫn chưa giải quyết được một cách hiệu quả. Đầu tiên, một câu hỏi được đặt ra ở các đô thị thông minh: liệu quy định rằng dữ liệu cá nhân chỉ có thể được thu thập và sử dụng khi có sự đồng ý (hoặc sự đồng ý trước) của chủ thể dữ liệu có còn quan trọng trong Hệ thống Internet vạn vật (IoT), đặc biệt khi dữ liệu được thu thập ở những nơi công cộng? Nếu không có sự đồng ý trước của chủ thể dữ liệu, pháp luật có cần quy định chung về việc thu thập và sử dụng dữ liệu cá nhân cho mục đích quản lý công không? Trách nhiệm của các cá nhân, tổ chức sử dụng và bảo vệ dữ liệu cá nhân trong những trường hợp này là gì? Hiện tại, pháp luật Việt Nam chưa có câu trả lời cho những câu hỏi này. Thứ hai, dữ liệu lớn, IoT, đám mây và cơ sở hạ tầng công nghệ khác trong đô thị thông minh có thể gây nguy hiểm cho quyền riêng tư của người dân, gây rủi ro cho dữ liệu và thông tin cá nhân. Việt Nam vẫn chưa có luật về bảo vệ dữ liệu cá nhân. Pháp luật Việt Nam hiện sử dụng khoảng 10 thuật ngữ, ví dụ “thông tin cá nhân”, “thông tin kỹ thuật số” và “thông tin cá nhân trên internet” với các cách giải thích khác nhau ngoài “dữ liệu cá nhân”. Ví dụ, “thông tin cá nhân” được sử dụng trong 5 văn bản quy phạm pháp luật: Luật An toàn thông tin mạng 2015; Nghị định số 85/2016/NĐ-CP về An toàn hệ thống thông tin theo phân loại; Nghị định số 72/2013/NĐ-CP về Quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng; Nghị định số 52/2013/NĐ-CP về Thương mại điện tử và Nghị định số 64/2007/NĐ-CP về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước. Những tài liệu này có những giải thích trái ngược nhau về “thông tin cá nhân”. Ví dụ, Điều 3 Nghị định số 52/2013/NĐ-CP khẳng định “Thông tin cá nhân trong Nghị định này không bao gồm thông tin liên hệ công việc và những thông tin mà cá nhân đã tự công bố trên các phương tiện truyền thông”, trong khi Nghị định số 72/2013/NĐ-CP quy định “thông tin cá nhân là thông tin gắn liền với việc xác định danh tính, nhân thân của cá nhân bao gồm tên, tuổi, địa chỉ, số chứng minh nhân dân, số điện thoại, địa chỉ thư điện tử và thông tin khác theo quy định của pháp luật” bất kể nó đã được công bố hay chưa. Gần đây nhất, “dữ liệu cá nhân cơ bản” được nêu bao gồm: “Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; giới tính; nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê 435
quán, địa chỉ liên hệ; quốc tịch; hình ảnh của cá nhân; số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; tình trạng hôn nhân; thông tin về mối quan hệ gia đình (cha mẹ, con cái); thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể”. Thứ ba, mức xử phạt vi phạm hiện nay chưa đủ sức răn đe. Luật hành chính và Luật hình sự quy định các hình phạt đối với hành vi xâm nhập dữ liệu cá nhân dưới hình thức vi phạm nhân quyền. Ở Việt Nam, các hành vi vi phạm phi hình sự liên quan đến quản lý nhà nước đều bị xử phạt hành chính. Các hình phạt hành chính liên quan đến bảo vệ dữ liệu cá nhân nằm rải rác trong nhiều văn bản pháp luật. Mức phạt có thể từ 2.000.000 đồng đến 70.000.000 đồng đối với một số hành vi xâm nhập thông tin cá nhân như lưu giữ thông tin của người dùng trong thời gian vượt quá thời hạn lưu giữ theo quy định của pháp luật hoặc do hai bên thỏa thuận; thu thập, xử lý và sử dụng thông tin của các tổ chức hoặc cá nhân khác mà không có sự đồng ý của họ hoặc cho các mục đích bất hợp pháp; mua bán, trao đổi trái phép thông tin riêng của người sử dụng dịch vụ viễn thông. Bộ luật Hình sự 2015 quy định về “Tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác” tại Điều 159 và “Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông” tại Điều 288. Mức phạt cao nhất là 07 năm tù và phạt tiền từ 20.000.000 đồng đến 200.000.000 đồng. Vì vậy, mức phạt hành chính tối đa đối với hành vi xâm phạm quyền riêng tư là 70.000.000 VNĐ (khoảng 3.000 USD) và mức phạt hình sự là 200.000.000 VNĐ (khoảng 8.600 USD). Các khoản tiền phạt này khá thấp so với mức phạt 20.000.000 EUR như được quy định trong GDPR. Chúng không tương ứng với mức độ nghiêm trọng của việc xâm phạm quyền riêng tư hoặc dữ liệu cá nhân. Thứ tư, Việt Nam chưa có luật toàn diện về bảo vệ dữ liệu cá nhân. Thay vào đó, vấn đề này được điều chỉnh bởi nhiều Luật và Nghị định khác nhau. Tuy nhiên, tất cả các điều khoản liên quan hiện hành đều ở dạng nguyên tắc chung chứ không phải nguyên tắc cụ thể. Bên cạnh đó, chúng không những chưa đầy đủ mà còn mâu thuẫn, gây khó khăn cho việc thực thi pháp luật. Chẳng hạn, Điều 3 Luật An toàn thông tin mạng năm 2015 quy định “Xử lý thông tin cá nhân là việc thực hiện một hoặc một số hoạt động thu thập, chỉnh sửa, sử dụng, lưu trữ, cung cấp, chia sẻ hoặc phát tán thông tin cá nhân trên không gian mạng nhằm mục đích thương mại." Định nghĩa này rộng hơn quy định tại Điều 21 và 22 Luật Công nghệ thông tin 2006, loại trừ 436
việc “thu thập” và “sử dụng” thông tin cá nhân. Luật Công nghệ thông tin yêu cầu các cá nhân và tổ chức phải thông báo cho chủ thể thông tin cá nhân về phạm vi, mục đích, hình thức và địa điểm thu thập và sử dụng thông tin cá nhân trước khi thực hiện, trong khi Luật an toàn thông tin mạng 2015 chỉ yêu cầu phải thông báo phạm vi và mục đích. Đặc biệt, hoạt động của các tổ chức tín dụng được điều chỉnh bởi các quy định pháp luật chuyên ngành như: Luật Các tổ chức tín dụng năm 2010 (sửa đổi, bổ sung năm 2014); Luật Phòng chống rửa tiền; Nghị định 117/2018/NĐ-CP về giữ bí mật, cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài; Thông tư 09/2020/TT-NHNN của Ngân hàng Nhà nước quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng đã hướng dẫn cụ thể về việc bảo vệ dữ liệu cá nhân khách hàng, việc quản lý, lưu trữ, sao lưu… Các tổ chức tín dụng hoàn toàn đã có hành lang pháp lý đầy đủ để triển khai, tuân thủ việc bảo vệ dữ liệu khách hàng theo các quy định nêu trên. Tuy nhiên, với sự ra đời của Nghị định 13/2023/NĐ-CP có sự xung đột pháp luật. Chẳng hạn, Nghị định 13 tại khoản 2, Điều 3 và khoản 1, Điều 9 quy định chủ thể có quyền được biết về việc xử lý dữ liệu cá nhân của mình, trừ trường hợp Luật khác có quy định khác; hay tại khoản 2, Điều 9 quy định chủ thể có quyền không đồng ý xử lý dữ liệu cá nhân của mình; chủ thể có quyền xóa, truy cập, yêu cầu hạn chế xử lý dữ liệu, phản đối xử lý dữ liệu, trừ trường hợp Luật khác có quy định khác tại Điều 9. Trong khi đó, hệ thống văn bản pháp luật lĩnh vực ngân hàng thì toàn bộ các hoạt động thu thập, xử lý dữ liệu khách hàng nói chung, khách hàng cá nhân nói riêng được quy định ở các văn bản quy phạm pháp luật cấp độ dưới Luật. Mặt khác, đối với họat động ngân hàng, việc xử lý dữ liệu cá nhân, tác động tới dữ liệu cá nhân, như: Thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan là bắt buộc, tất yếu không chỉ để cung cấp dịch vụ cho khách hàng mà còn để quản lý và quản lý rủi ro trong hoạt động ngân hàng, bảo đảm an toàn an ninh của hệ thống tiền tệ nên nhiều hoạt động xử lý dữ liệu khách hàng cá nhân không thể và không phải cần sự chấp thuận của khách hàng. Do vậy, với quy định Nghị định 13 sẽ rất vướng mắc nếu áp dụng cứng nhắc và không có quan điểm, hướng dẫn thống nhất để áp dụng. Ngoài ra, Nghị định 13 yêu cầu: Bên kiểm soát và xử lý dữ liệu/Bên xử lý dữ liệu khi tiến hành bất kỳ hoạt động xử lý dữ liệu nào đều phải được sự đồng ý của chủ thể dữ liệu và trong tất cả các quy trình xử lý tại Điều 11; và trước khi tiến hành hoạt động xử lý dữ liệu phải thông báo cho chủ thể dữ liệu cá nhân tại Điều 13. Tuy nhiên, việc cung ứng dịch vụ, sản phẩm của tổ chức tín dụng được thực hiện theo nhiều quy trình/sản phẩm, trong mỗi quy trình/sản phẩm 437
gồm nhiều bước khác nhau và hầu hết đều có liên quan đến việc thu thập, đánh giá, phân tích, cung cấp dữ liệu trên các tệp khách hàng có số lượng rất lớn. Do đó, để tuân thủ đầy đủ các quy định tại Nghị định 13, quy định này dường như không khả thi và khó có thể thực hiện được; mặt khác các tổ chức tín dụng sẽ phải dành nguồn tài chính và nhân lực lớn để rà soát, điều chỉnh hệ thống để vận hành trên thực tế, có thể dẫn đến việc kéo dài thời gian/tiến độ khi cung cấp dịch vụ của tổ chức tín dụng đến khách hàng do phải tăng thêm các bước vận hành. Khi thay đổi các quy trình xử lý dữ liệu lại phải xin chấp thuận của khách hàng... trong khi các hoạt động xử lý dữ liệu này nhìn chung đều hướng đến mục đích phục vụ nhu cầu, theo yêu cầu của chính khách hàng hoặc nhằm cải thiện chất lượng dịch vụ cung cấp tới khách hàng. Thứ năm, pháp luật về bảo vệ dữ liệu cá nhân tiếp tục còn một số lỗ hổng. Thiếu hình phạt đối với việc bán dữ liệu cá nhân Gần đây, việc mua bán dữ liệu cá nhân trở nên phổ biến hơn và những giới hạn của các quy định pháp luật hiện hành khiến vấn đề không thể được giải quyết một cách hiệu quả. Theo Thông tư liên tịch số 10/2012/TTLT-BCA-BQP-BTP-BTT&TT-VKSNDTC-TANDTC về việc áp dụng quy định của Bộ luật Hình sự đối với một số tội phạm liên quan đến công nghệ thông tin và viễn thông, hành vi mua bán thông tin cá nhân không được cấu thành tội phạm mà không có bằng chứng “gây hậu quả nghiêm trọng”. Trong nhiều năm qua, Cục Cảnh sát phòng chống tội phạm công nghệ cao (C50) đã thực hiện nhiều cuộc điều tra liên quan đến việc mua bán thông tin cá nhân trên mạng. Do vướng mắc pháp lý nên những vụ việc này thường được chuyển sang Sở Thông tin và Truyền thông để xử lý vi phạm hành chính. Thiếu quy định về trách nhiệm hình sự đối với hành vi xâm phạm quyền được bảo vệ đối với dữ liệu cá nhân Điều 159 Bộ luật Hình sự 2015 quy định về “tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác”; Điều 288 quy định “tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông”. Tuy nhiên, hai điều này chưa được cập nhật để bao gồm các hành vi bất hợp pháp hiện có liên quan đến dữ liệu cá nhân. Chẳng hạn, Điều 159 quy định về các hành vi sau: chiếm đoạt thư, điện báo, telex, fax hoặc tài liệu khác của người khác được truyền trên mạng bưu chính, viễn thông dưới bất kỳ hình thức nào; cố ý làm hư hỏng, làm thất lạc hoặc lấy trộm thư, điện báo, telex, fax hoặc tài liệu khác của người khác được truyền trên mạng bưu chính, viễn thông; nghe, ghi âm cuộc nói chuyện trái pháp luật; khám xét, tịch thu thư tín, điện báo trái pháp luật. Điều 288 quy định về các hành vi: mua bán, trao đổi, cho, thay đổi hoặc đăng tải thông tin riêng tư hợp pháp 438
của tổ chức, cá nhân trên máy tính, mạng viễn thông mà không được sự đồng ý của chủ sở hữu thông tin. Trên thực tế, cả hai điều khoản này đều chưa được cập nhật để bao gồm các hành vi bất hợp pháp hiện tại liên quan đến bảo vệ dữ liệu cá nhân, chẳng hạn như tài khoản mạng xã hội bị đánh cắp, trộm cắp dữ liệu cá nhân và giao dịch bất hợp pháp cũng như thu thập và sử dụng dữ liệu cá nhân mà không cần thông báo hoặc cơ chế bảo vệ người dùng. Thiếu quy định về chuyển dữ liệu cá nhân xuyên biên giới Thực tiễn cho thấy các doanh nghiệp tư nhân có thể tham gia cung cấp dịch vụ công cho công dân của đô thị thông minh theo hợp đồng đối tác công tư (PPP). Ai sẽ kiểm soát dữ liệu được tạo ra sau đó? Việc chuyển dữ liệu cá nhân xuyên biên giới của các doanh nghiệp nên được quản lý như thế nào? Hàm ý chính sách: Xây dựng Luật Bảo vệ dữ liệu cá nhân Việc hệ thống hóa các quy định nằm rải rác trong nhiều văn bản pháp luật là hết sức cấp thiết. Bản thân những quy định này cũng chưa đủ. Luật mới cần bao gồm những nội dung sau: Đầu tiên, pháp luật cần định nghĩa rõ ràng để phân biệt giữa “thông tin cá nhân” và “dữ liệu cá nhân”. Dữ liệu cá nhân được hiểu là dữ liệu về các cá nhân hoặc liên quan đến nhận dạng hoặc khả năng nhận dạng một cá nhân cụ thể. Ngoài ra, dữ liệu cá nhân nhạy cảm phải bao gồm dữ liệu về quan điểm chính trị và tôn giáo; tình trạng sức khỏe; di truyền học; sinh trắc học; tình trạng giới tính; tài chính; vị trí địa lý thực tế của cá nhân trong quá khứ và hiện tại; các mối quan hệ xã hội; dữ liệu cá nhân về cuộc sống, khuynh hướng tình dục; dữ liệu cá nhân về tội phạm, hành vi phạm tội và các dữ liệu cá nhân khác theo quy định của pháp luật và cần các biện pháp bảo mật cần thiết. Thứ hai, luật mới cần cải thiện các quy định về tính minh bạch trong việc thu thập và sử dụng dữ liệu cá nhân tại các đô thị thông minh. Cần cân bằng giữa nhu cầu thu thập, xử lý thông tin, dữ liệu của người dân để vận hành đô thị thông minh và nhu cầu đảm bảo quyền riêng tư. Để đạt được mục tiêu này, luật mới cần quy định các thủ tục thu thập và chia sẻ dữ liệu cá nhân. Thứ ba, cần cải thiện các quy định về (1) quyền và nghĩa vụ của các bên liên quan đến dữ liệu cá nhân, trong đó có quyền của chủ thể dữ liệu; nghĩa vụ của Chính phủ và các đối tượng thu thập, xử lý dữ liệu; nghĩa vụ của bên thứ ba; và (2) các hành vi bị nghiêm cấm. Pháp luật Việt Nam ghi nhận nguyên tắc chung là cấm cung cấp, mua bán, chuyển giao, lưu trữ, sử dụng thông tin vi phạm các quy định về an toàn, an ninh thông tin. Tuy nhiên, tất cả các văn bản pháp luật hiện hành đều tập trung vào việc bảo vệ bí mật quốc gia và quân sự. Luật mới cần quy định cụ 439
thể các hành vi bị nghiêm cấm trong việc thu thập và xử lý dữ liệu cá nhân để tạo cơ sở pháp lý đưa ra các hình phạt. Kết luận Phát triển đô thị thông minh là giải pháp tốt nhất để giải quyết các vấn đề quá tải ở đô thị ở nước ta hiện nay. Sự nâng cao nhận thức về đô thị thông minh và sự vào cuộc của cả hệ thống chính trị tại các đô thị là điều kiện cần thiết để thực hiện thành công mục tiêu xây dựng thành phố thông minh. Trong quá trình xây dựng và phát triển đô thị thông minh, công tác quản lý đô thị cần được quan tâm một cách đúng mức. Có thể nói, quyền bảo vệ dữ liệu cá nhân luôn đi cùng với sự vận hành dân chủ, văn minh và sự phát triển ổn định của xã hội. Do đó, những vấn đề cơ bản của công tác quản lý xây dựng và phát triển đô thị thông minh là hoàn thiện hệ thống pháp lý toàn diện và cơ chế chính sách, xác định mô hình quản lý, xác định nội dung quản lý đối với từng lĩnh vực, phát triển đội ngũ cán bộ quản lý đô thị, tìm nguồn vốn đầu tư và sử dụng có hiệu quả vốn đầu tư cho phát triển đô thị thông minh... Trong quá trình xây dựng đô thị thông minh, việc xây dựng kết cấu hạ tầng nói chung và kết cấu hạ tầng công nghệ thông tin nói riêng phải đi trước một bước. Danh mục tài liệu tham khảo Author group, UEH Department of Marketing – Communication, Legal Reform Meeting The Need For Personal Data Protection In Digital Transformation, UEH News - University of Economics Ho Chi Minh City, https://www.ueh.edu.vn/en/news/legal-reform-meeting-the- need-for-personal-data-protection-in-digital-transformation-58343, truy cập ngày 25/9/2023. Bộ Thông tin và Truyền thông (2020), Báo cáo Kết quả rà soát văn bản quy phạm pháp luật đảm bảo đáp ứng yêu cầu của cuộc cách mạng công nghiệp lần thứ tư, https://cspl.mic.gov.vn/Pages/TinTuc/tinchitiet.aspx?tintucid=138143, truy cập ngày 24/9/2023. Bộ Khoa học và Công nghệ - Cục Thông tin Khoa học và Công nghệ Quốc gia, Đô thị thông minh: Kinh nghiệm của một số nước trên thế giới, bài học cho phát triển đô thị thông minh tại Việt Nam, Tổng luận Khoa học - Công nghệ - Kinh tế, số 5 (2021). Cẩm Thi (2018), Tràn lan tình trạng mua bán thông tin cá nhân, https://kiemsat.vn/tran-lan- tinh-trang-mua-ban-thong-tin-ca-nhan-50866.html, Tạp chí điện tử kiểm sát, truy cập ngày 24/9/2023. 440
European Commission, “What is personal data?”, https://ec.europa.eu/info/law/law- topic/data-protection/reform/what-personal-data_en, truy cập ngày 30/10/2023. Lê Sơn (2021), Giải pháp nào xử lý tình trạng mua bán dữ liệu thông tin cá nhân?, https://baochinhphu.vn/giai-phap-nao-xu-ly-tinh-trang-mua-ban-du-lieu-thong-tin-ca-nhan- 102293773.htm, Báo điện tử Chính phủ, truy cập ngày 25/9/2023. Nghị định 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân. Quyết định số 950/QĐ-TTg của Thủ tướng Chính phủ: Phê duyệt Đề án phát triển đô thị thông minh bền vững Việt Nam giai đoạn 2018 - 2025 và định hướng đến năm 2030. 441