Nhân quyền nhìn từ các vụ mua bán, chuyển nhượng thông tin cá nhân trái phép

Quyền riêng tư (QRT) là một trong những quyền cơ bản, liên quan mật thiết đến sự tự tôn và phẩm giá con người. "Sự riêng tư trao cho mỗi cá nhân một không gian để là chính mình mà không bị người khác phán xét một cách vô cớ, cho phép mỗi người suy nghĩ một cách tự do mà không bị kỳ thị hoặc phân biệt, đối xử, cũng như khả năng kiểm soát ai được biết gì về bản thân mình".

QRT đã được ghi nhận trong Tuyên ngôn nhân quyền 1948 (Điều 12) và Công ước các quyền chính trị, dân sự, 1966 (Điều 17): "Không ai bị can thiệp tùy tiện hoặc bất hợp pháp vào đời sống riêng tư, gia đình, nhà ở, thư tín, hoặc bị xâm phạm bất hợp pháp đến danh dự, uy tín. Mọi người đều có quyền được pháp luật bảo vệ chống lại những can thiệp hoặc xâm hại tương tự như vậy".

Gần đây, ở Việt Nam đã xuất hiện nhiều vụ lộ, lọt thông tin cá nhân do các chủ thể kinh doanh nắm giữ và tình trạng mua bán, chuyển nhượng trái phép thông tin cá nhân đã được đề cập trên các phương tiện thông tin đại chúng.

Trước thực trạng này, TS. Nguyễn Văn Cương, Viện trưởng Viện Khoa học pháp lý, Bộ Tư pháp đã phân tích những thành tựu, chỉ rõ những hạn chế cơ bản của pháp luật về bảo vệ thông tin cá nhân ở Việt Nam hiện nay và đề xuất phương hướng, giải pháp khắc phục.

Pháp luật hiện hành về bảo vệ thông tin cá nhân

Theo TS Nguyễn Văn Cương, ở Việt Nam, thuật ngữ “TTCN” đã được nhắc tới trong Luật Dược năm 2005 và yêu cầu bảo mật “TTCN” trong lĩnh vực hàng không đã được đề cập trong Luật Hàng không dân dụng năm 2006. Tuy nhiên, các quy định cụ thể về bảo vệ TTCN chỉ thực sự xuất hiện trong Luật Công nghệ thông tin năm 2006 (Luật CNTT). Mặc dù vậy, Luật CNTT chỉ quy định việc bảo vệ TTCN trên môi trường mạng chứ không quy định chung cho việc bảo vệ TTCN.

Ảnh minh họa

Riêng với lĩnh vực thương mại điện tử, Nghị định số 52/2013/NĐ-CP về thương mại điện tử có khá nhiều quy định quan trọng về bảo vệ TTCN của người tiêu dùng. Bộ luật Dân sự năm 2015 (BLDS) đã bổ sung quy định về “quyền về đời sống riêng tư” (Điều 38) bên cạnh các nội dung về “bí mật cá nhân” và “bí mật gia đình” vốn đã được quy định trong BLDS năm 1995 và 2005 trước đó.

Trong năm 2015, Luật An toàn thông tin mạng (Luật ATTT mạng) được ban hành với nhiều quy định về bảo vệ TTCN trên môi trường mạng (trên không gian mạng).

Trong Luật ATTT mạng, lần đầu tiên thuật ngữ “TTCN” được một đạo luật giải thích là “thông tin gắn với việc xác định danh tính của một người cụ thể” (khoản 15 Điều 3). Luật này cũng giải thích thuật ngữ “chủ thể TTCN” (khoản 16 Điều 3) với ý nghĩa đó là “người được xác định từ TTCN đó”.

Luật này cũng quy định khá rõ về “nguyên tắc bảo vệ TTCN trên mạng” (Điều 16), việc “thu thập và sử dụng TTCN” (Điều 17), việc “cập nhật, sửa đổi và hủy bỏ TTCN” (Điều 18), yêu cầu “bảo đảm an toàn TTCN trên mạng” (Điều 19) và “trách nhiệm của cơ quan quản lý nhà nước trong bảo vệ TTCN trên mạng” (Điều 20).

Ngoài ra, BLDS, Nghị định về xử lý vi phạm hành chính liên quan tới hoạt động thương mại điện tử cũng bước đầu có các quy định về các biện pháp chế tài đối với hành vi vi phạm.

Hành vi vi phạm quy định về thu thập, sử dụng TTCN còn có thể bị phạt theo quy định tại Điều 84 Nghị định số 15/2020/NĐ-CP ngày 3/2/2020 quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin và giao dịch điện tử.

Một số điểm hạn chế

Ảnh minh họa

Theo TS Nguyễn Văn Cương pháp luật về bảo vệ TTCN ở Việt Nam cho tới nay còn một số điểm hạn chế cơ bản như sau:

Thứ nhất, định nghĩa về TTCN còn chưa thống nhất giữa các văn bản quy phạm pháp luật có liên quan (thể hiện cả trong nội dung quy định và trong kỹ thuật lập pháp). Ví dụ, định nghĩa về “TTCN” trong Luật ATTT mạng ngắn gọn, trong khi Nghị định số 52/2013/NĐ-CP của Chính phủ về thương mại điện tử lại quy định cụ thể, chi tiết và có những điểm khó đánh giá là có hoàn toàn tương hợp với quy định của Luật ATTT mạng không[7]; Luật Bảo vệ quyền lợi người tiêu dùng năm 2010 sử dụng cụm từ “thông tin của người tiêu dùng” (Điều 6) để hàm chứa “TTCN” của người tiêu dùng, trong khi đó, Luật ATTT mạng và Nghị định số 52/2013/NĐ-CP lại dùng cụm từ “TTCN”.

Thứ hai, các quy định hiện hành mới tập trung điều chỉnh việc bảo vệ TTCN trên môi trường mạng (hoặc môi trường không gian mạng), chưa có quy định cụ thể về bảo vệ TTCN trong môi trường truyền thống. Điều này tạo ra sự chia cắt trong điều chỉnh pháp luật giữa không gian thực và không gian ảo, không phù hợp với thực tiễn có sự hòa trộn, kết nối một cách khó phân tách giữa không gian thực (không gian vật lý) và không gian ảo của thời kỳ Cách mạng công nghiệp lần thứ tư.

Thứ ba, pháp luật bảo vệ TTCN chưa bắt kịp được với thực tiễn sử dụng các dữ liệu cá nhân như dữ liệu về hình ảnh cá nhân (công nghệ nhận diện khuôn mặt), các dữ liệu sinh trắc (chẳng hạn: vân tay, mống mắt v.v..)… Chính vì vậy, khi doanh nghiệp sử dụng các dữ liệu này, có một vấn đề được đặt ra là các quy định bảo vệ TTCN hiện hành có được áp dụng với các doanh nghiệp này không và liệu có cần quy định các biện pháp mang tính chặt chẽ hơn đối với doanh nghiệp thu thập và sử dụng dữ liệu sinh trắc của người tiêu dùng không? Lý do là, nếu như “địa chỉ”, “số điện thoại” của một người cũng được xếp vào TTCN thì rõ ràng, các dữ liệu về sinh trắc học, tuy cũng có thể coi là “dữ liệu” hoặc “TTCN” nhưng độ “nhạy cảm” của các dữ liệu này lớn hơn nhiều so với thông tin về “số điện thoại” hoặc “tên”, “tuổi” của chủ thể TTCN.

Thứ tư, các văn bản pháp luật về bảo vệ TTCN chưa dự liệu tới những tình huống thực tế trong thu thập, xử lý TTCN như: việc thu thập và xử lý TTCN là trẻ em cần lấy ý kiến đồng ý của những ai, việc chuyển TTCN xuyên biên giới cần được kiểm soát như thế nào, việc vô danh hóa TTCN để sử dụng phải chịu những ràng buộc pháp lý nào v.v..

Thứ năm, chưa có quy định về quyền được quên (right to be forgotten) trong những trường hợp cần thiết (một loại quyền năng có giá trị nhân bản mà pháp luật về bảo vệ TTCN của nhiều quốc gia đã có quy định).

Thứ sáu, chưa có quy định cụ thể về trách nhiệm bồi thường thiệt hại đối với chủ thể có hành vi sai trái trong việc thu thập và sử dụng TTCN. Đây cũng là khoảng trống pháp lý cần được xử lý.

Thứ bảy, giữa Nghị định số 185 và Nghị định số 15/2020/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực công nghệ thông tin (Nghị định số 15) tuy không có quá nhiều khác biệt về mức phạt tiền đối với việc thực hiện cùng một hành vi vi phạm (chẳng hạn: thu thập TTCN trái phép) nhưng biện pháp khắc phục hậu quả thì lại không hoàn toàn giống nhau. Cụ thể, khoản Điều 84 Nghị định số 15 quy định như sau: “Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau: a) Sử dụng không đúng mục đích TTCN đã thỏa thuận khi thu thập hoặc khi chưa có sự đồng ý của chủ thể TTCN; b) Cung cấp hoặc chia sẻ hoặc phát tán TTCN đã thu thập, tiếp cận, kiểm soát cho bên thứ ba khi chưa có sự đồng ý của chủ TTCN; c) Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật TTCN của người khác”, tuy nhiên, biện pháp khắc phục hậu quả chỉ là buộc hủy bỏ TTCN do thực hiện hành vi vi phạm.

Thứ tám, mức xử phạt đối với các hành vi vi phạm pháp luật về bảo vệ TTCN trong Nghị định số 185 và Nghị định số 15 còn nhẹ[8] so với thông lệ của nhiều quốc gia trên thế giới[9] và cũng chưa đáp ứng được yêu cầu đấu tranh phòng, chống vi phạm pháp luật trong lĩnh vực này (thường là các vi phạm rất khó phát hiện, xử lý).

Thứ chín, Bộ luật Hình sự năm 2015 đã được sửa đổi, bổ sung năm 2017 mới chỉ có một số quy định bước đầu tại Điều 159 về tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác và Điều 288 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông[10]. Tuy nhiên, 02 tội danh này chưa quy định cụ thể, trực tiếp về các hành vi vi phạm pháp luật liên quan tới TTCN đang diễn ra hiện nay. Đây cũng là khoảng trống pháp lý cần được xử lý.   

Những kiến nghị, đề xuất

Từ 9 điểm hạn chế này, TS Nguyễn Văn Cương góp bàn, trước mắt, để bảo đảm hiệu lực, hiệu quả điều chỉnh của pháp luật về bảo vệ TTCN ở Việt Nam, rất cần khắc phục những điểm hạn chế nêu trên. Cụ thể:

Thứ nhất, khắc phục những điểm chưa thống nhất, đồng bộ trong nội dung và kỹ thuật lập pháp giữa các văn bản có liên quan như đã chỉ ra ở trên, đồng thời xem xét nâng mức xử phạt vi phạm hành chính đối với chủ thể có hành vi vi phạm (đối với doanh nghiệp có hành vi vi phạm, có thể xác định mức phạt tính theo doanh thu hoặc theo quy mô của doanh nghiệp vi phạm) nhằm bảo đảm tính răn đe, phòng ngừa chung.

Tính đến đầu tháng 10/2020, đã có trên 70% bộ, ngành, địa phương hoàn thành mô hình đảm bảo an toàn thông tin mạng 4 lớp (Ảnh: Trung tâm điều hành an toàn thông tin của Bình Phước)

Thứ hai, có hướng dẫn rõ hơn về việc bồi thường thiệt hại (chế tài dân sự) đối với chủ thể có hành vi vi phạm theo hướng tạo điều kiện thuận lợi cho chủ thể thông tin bị xâm hại quyền lợi có thể khởi kiện đòi bồi thường thiệt hại.

Thứ ba, nghiên cứu tội phạm hóa đối với hành vi thu thập, sử dụng, khai thác, chuyển nhượng trái phép TTCN gây hậu quả nghiêm trọng hoặc được thực hiện ở quy mô lớn, từ đó bổ sung các quy định về tội phạm hình sự có liên quan trong Bộ luật Hình sự hiện hành (với biện pháp chế tài áp dụng cho cả cá nhân có hành vi vi phạm và pháp nhân thương mại có hành vi vi phạm).

Thứ tư, nghiên cứu xây dựng Luật Bảo vệ TTCN, trên cơ sở kế thừa một số quy định về bảo vệ TTCN đã có trong Luật Công nghệ thông tin năm 2006, Luật An toàn thông tin mạng năm 2015, Nghị định số 52/2013/NĐ-CP về thương mại điện tử nhưng điều chỉnh toàn diện hơn việc bảo vệ TTCN (không chỉ giới hạn việc bảo vệ TTCN trong “không gian mạng”), nhất là việc quy định đầy đủ hơn các nguyên tắc bảo vệ TTCN (nguyên tắc bảo đảm có chủ thể chịu trách nhiệm rõ ràng về các vi phạm trong quá trình xử lý TTCN; bảo đảm tính minh bạch và công bằng trong xử lý TTCN…), quy định về việc thu thập và xử lý TTCN liên quan tới trẻ em, quy định rõ hơn trách nhiệm của các chủ thể tham gia vào quá trình thu thập, lưu trữ, xử lý, khai thác, chuyển giao TTCN, việc chuyển TTCN xuyên biên giới, cùng các biện pháp chế tài nghiêm khắc, trách nhiệm quản lý nhà nước về bảo vệ TTCN để xử lý nhiều bất cập trong thực tiễn bảo vệ TTCN, góp phần duy trì niềm tin của người dân về an ninh, an toàn TTCN khi tham gia vào nền kinh tế số.

Ngoài ra, Luật Bảo vệ TTCN cũng cần quy định cơ chế hợp tác quốc tế trong việc bảo vệ TTCN trong bối cảnh cuộc Cách mạng công nghiệp lần thứ tư cùng tiến trình hội nhập đang tác động rất mạnh mẽ tới Việt Nam và các nền kinh tế đối tác chủ yếu của Việt Nam.

Thủy Nguyễn (lược ghi)