Sáng 5-6, Ủy ban Thường vụ Quốc hội nghe báo cáo giải trình, tiếp thu, chỉnh lý dự thảo Luật Bảo vệ dữ liệu cá nhân.

Mức phạt tối đa 5% với các doanh nghiệp lớn là con số rất khủng

Góp ý vào dự thảo luật, Phó Chủ nhiệm Ủy ban Pháp luật và Tư pháp Nguyễn Trường Giang cho rằng quy định mua bán dữ liệu cá nhân là hành vi bị nghiêm cấm tại khoản 6 Điều 7 dự thảo còn chung chung, chưa dự tính được các vấn đề xảy ra trong thực tiễn.

Chủ thể tham gia giao dịch có thể thực hiện các hành vi để lách luật bằng các giao dịch có lợi ích như tặng cho, trao đổi, thuê mượn…

Ngoài ra, tại khoản 4 Điều 17 quy định về việc chuyển giao dữ liệu cá nhân và trong các trường hợp quy định tại khoản 1 điều này lại có thu phí, không thu phí và không được xác định là mua bán dữ liệu cá nhân. “Tức là không thể mua bán nhưng lại được chuyển giao ”- ông nói và đề nghị làm rõ việc chuyển giao có thu phí khác như thế nào với mua bán.

Về vấn đề xử phạt vi phạm hành chính bảo vệ trong lĩnh vực bảo vệ dữ liệu cá nhân, ông Nguyễn Trường Giang cho biết dự luật đã điều chỉnh theo hướng “phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu năm liền trước của tổ chức đó”.

Theo Phó Chủ nhiệm Ủy ban Pháp luật và Tư pháp, với các doanh nghiệp lớn như Viettel có doanh thu năm 2024 là 189.900 tỉ, VNPT là 58.500 tỉ… nếu áp dụng mức phạt tối đa 5% này thì con số sẽ rất cao.

Phó Chủ tịch Quốc hội Vũ Hồng Thanh lại cho rằng vi phạm trong bảo vệ dữ liệu cá nhân có tác động rất tiêu cực đến xã hội và người, cá nhân có dữ liệu bị vi phạm. Do vậy, nếu chỉ xử phạt như phạt hành chính thông thường thì tính răn đe khó được đảm bảo…

Với mức phạt tối đa 5%, ông Thanh cho rằng có thể áp dụng với những doanh nghiệp nhỏ, còn với những doanh nghiệp "khủng" như Phó Chủ nhiệm Ủy ban Pháp luật và Tư Pháp Nguyễn Trường Giang dẫn chứng thì sau này có lẽ Chính phủ sẽ có quy định hướng dẫn cho phù hợp. “Bởi 5% của mấy trăm nghìn tỉ là con số cực kỳ khủng”- ông Vũ Hồng Thanh nói.

Cấm mua bán dữ liệu cá nhân là phù hợp với thông lệ quốc tế

Giải trình sau đó, Thứ trưởng Bộ Công an Lê Quốc Hùng cho biết trong bối cảnh chuyển đổi số, khai thác tiềm năng của dữ liệu thì dữ liệu cá nhân là nguồn tư liệu sản xuất quan trọng nhưng cần được sử dụng hiệu quả, hợp lý, phù hợp với nguyên tắc bảo vệ quyền con người, quyền công dân.

Do vậy, dự luật đã bổ sung khái niệm khử nhận dạng dữ liệu cá nhân (khoản 1 Điều 2), khẳng định dữ liệu cá nhân sau khi được khử nhận dạng không còn là dữ liệu cá nhân và được phép mua bán theo quy định của pháp luật.

Theo ông Hùng, dữ liệu cá nhân gắn liền với con người, quyền con người, quyền nhân thân, quyền riêng tư nên không thể coi là hàng hóa, tài sản thông thường. Đây là một loại tài nguyên đặc biệt, tài sản đặc biệt yêu cầu khai thác sử dụng phải đi đôi với bảo vệ ở mức cao nhất, nghiêm ngặt nhất.

“Nếu cho phép mua bán dữ liệu cá nhân thì đồng nghĩa với cho phép mua bán con người, mua bán quyền con người, quyền định đoạt thông tin cá nhân của người khác” – Thứ trưởng Bộ Công an nói và cho hay quan điểm cấm mua bán dữ liệu cá nhân phù hợp với thông lệ quốc tế và quy định của các nước về bảo vệ dữ liệu cá nhân, ưu tiên phát triển đi đôi với bảo vệ quyền lợi.

Mặt khác, ông Lê Quốc Hùng nhìn nhận nhận thức về bảo vệ dữ liệu cá nhân của nhiều tổ chức, doanh nghiệp, cá nhân còn hạn chế. Tầm quan trọng của bảo vệ dữ liệu cá nhân chưa được thực hiện đầy đủ, tạo ra những vùng sáng trong việc sử dụng dữ liệu cá nhân.

Trong các vụ án lừa đảo chiếm đoạt tài sản quy mô lớn mà Bộ Công an đã triệt phá và đang điều tra, yếu tố lộ lọt, mua bán dữ liệu cá nhân là nguyên nhân chính hình thành nên những chợ đen về dữ liệu cá nhân rất phức tạp. Nguồn thu thập dữ liệu cá nhân trái phép có thể đến từ hoạt động tấn công chiếm đoạt, chuyển giao trái phép, mua bán dữ liệu cá nhân hoặc sử dụng công nghệ cao để 'cào' dữ liệu cá nhân phục vụ mục đích của các thủ phạm.

Do vậy, để đảm bảo sự phân định rõ ràng, tránh lách luật, luật đã bổ sung quy định về việc cấm sử dụng dữ liệu cá nhân của người khác cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật. Đồng thời, bổ sung quy định về hoạt động chuyển dữ liệu cá nhân, trong đó quy định việc chuyển giao dữ liệu cá nhân có thu phí hoặc không thu phí thì không được xác định là mua bán dữ liệu cá nhân.

Đại diện Bộ Công an cũng cho hay do tính chất hậu quả rất nghiêm trọng của hành vi vi phạm, cần quy định mức phạt cao hơn để đảm bảo tính răn đe đối với các doanh nghiệp lớn, đặc biệt các tập đoàn đa quốc gia hoặc doanh nghiệp công nghệ cao có doanh thu hàng nghìn tỉ đồng.

“Nếu phạt quá nhẹ, các doanh nghiệp lớn, xuyên biên giới sẵn sàng vi phạm để chuyển giao dữ liệu cá nhân xuyên biên giới thu lợi nhuận khổng lồ”- ông nói và dẫn chứng kinh nghiệm quốc tế, nhiều quốc gia quy định mức phạt cao trong lĩnh vực này, như EU, Singapore, Indonesia, quy định phạt theo phần trăm doanh thu. Mức phạt tiền tối đa dao động từ 4 tỉ đồng đến 584 tỉ đồng.

Ngoài ra, dự luật cũng quy định theo hướng tăng mức xử phạt tối đa trong xử phạt vi phạm hành chính về hành vi mua bán dữ liệu cá nhân tới 3 tỉ đồng; cơ quan chức năng có thể phạt đến 10 lần khoản thu có được từ hành vi vi phạm.