Sự phát triển của công nghệ và khoa học, đặc biệt là sự xuất hiện của Chat GPT, đã dẫn đến nhiều vấn đề pháp lý liên quan đến quyền riêng tư của dữ liệu cá nhân tại Việt Nam. Hiện nay, dữ liệu cá nhân tại Việt Nam được điều chỉnh bởi nhiều luật và văn bản pháp luật khác nhau, không cung cấp được sự nhất quán so với Quy định Bảo vệ Dữ liệu Chung (GDPR) của Liên minh Châu Âu, Luật Bảo vệ Thông tin Cá nhân của Cộng hòa Nhân dân Trung Hoa, cùng các luật và quy định từ các quốc gia khác.

Trong bối cảnh đó, Dự thảo Nghị định về bảo vệ dữ liệu cá nhân được soạn thảo để lấy ý kiến từ năm 2021 (“Dự Thảo Nghị Định”). Tuy nhiên, vào ngày 07 tháng 2 năm 2023, Chính phủ đã ban hành Nghị quyết số 13/NQ-CP thông qua hồ sơ xây dựng nghị định bảo vệ dữ liệu cá nhân (“Nghị Quyết 13”). Theo đó, Ủy ban Thường vụ Quốc hội đã xem xét tính cần thiết trong việc ban hành trình tự, thủ tục và các hồ sơ cho dự thảo nghị định. Điều này có thể được coi là một bước quan trọng để ban hành Nghị định về bảo vệ dữ liệu cá nhân tại Việt Nam.

Những điểm nổi bật của Nghị Quyết 13

Nghị Quyết 13 nổi bật với việc quy định các trường hợp dữ liệu cá nhân được xử lý không cần sự đồng ý của chủ thể dữ liệu.

Cụ thể:

a) Để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác trong tình huống khẩn cấp. Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba có trách nhiệm chứng minh trường hợp này;

So với Dự Thảo Nghị Định và các quy định hiện hành về dữ liệu cá nhân, quy định nêu trên đã đề cập đến các định nghĩa mới như Bên Kiểm soát dữ liệu cá nhân và Bên Kiểm soát và xử lý dữ liệu cá nhân. Hiện tại, pháp luật Việt Nam chưa phân biệt rõ giữa bên kiểm soát và bên xử lý dữ liệu, mà chỉ đề cập đến “tổ chức, cá nhân thu thập, xử lý và sử dụng thông tin cá nhân của người khác” ¹ và “tổ chức, cá nhân xử lý thông tin cá nhân”.²

Việc bổ sung các định nghĩa mới vào Dự Thảo Nghị Định sẽ thúc đẩy pháp luật Việt Nam tiến gần hơn tới quy chuẩn của GDPR, vì GDPR quy định rõ ràng về các khái niệm như “bên xử lý dữ liệu”, “bên kiểm soát dữ liệu” và các nghĩa vụ của các chủ thể này.

Tuy nhiên, do phiên bản mới nhất của Dự Thảo Nghị Định chưa được công bố, nên chi tiết về định nghĩa Bên Kiểm soát dữ liệu cá nhân vẫn chưa được biết rõ.

b) Việc công khai dữ liệu cá nhân theo quy định của luật;

c) Việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật;

d) Để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật;

Theo đó, Nghị quyết 13 đã mở rộng các trường hợp tổ chức xử lý được xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu từ “thực hiện hợp đồng sử dụng thông tin, sản phẩm, dịch vụ trên môi trường mạng” quy định tại Luật Công nghệ thông tin thành “hợp đồng của chủ thể dữ liệu”. Quy định này tương đối rộng và có thể cần được các cơ quan có thẩm quyền làm rõ hoặc hướng dẫn thêm.

Gợi ý của chúng tôi

Dựa trên phạm vi rộng rãi của quy định tại mục (d) nêu trên, có thể bị “khai thác” để xử lý dữ liệu cá nhân không cần thiết mà không có sự đồng ý của chủ thể dữ liệu. Do đó, các cơ quan có thẩm quyền nên cung cấp hướng dẫn phù hợp về quy định này để hạn chế việc sử dụng điều khoản này làm ảnh hưởng đến quyền lợi của chủ thể dữ liệu.

Nghị Quyết 13 cũng không làm rõ việc áp dụng các quy định đối với thông tin cá nhân nhạy cảm hoặc trẻ em là chủ thể dữ liệu. Vì những vấn đề nêu trên có tính chất đặc biệt, nên việc xử lý dữ liệu này hoặc từ những chủ thể này cần được quy định riêng biệt. Do đó, Nghị Định chính thức về bảo vệ dữ liệu cá nhân cần được xem xét một cách toàn diện.

Mặc dù Nghị Quyết 13 cho thấy ý định của Chính phủ trong việc tiếp cận gần hơn với GDPR của Liên minh Châu Âu, các cơ quan có thẩm quyền phải cung cấp hướng dẫn cụ thể và giải thích cho các trường hợp xử lý dữ liệu không cần sự đồng ý của chủ thể dữ liệu, đặc biệt là trong các trường hợp dữ liệu được xử lý để thực hiện hợp đồng của chủ thể dữ liệu với các cơ quan, tổ chức và cá nhân liên quan theo quy định của pháp luật.

1. Luật Công nghệ thông tin số 67/2006/QH11 – Điều 21↩
2. Luật An toàn an ninh mạng số 86/2015/QH13 – Điều 3.17↩