“Thông tin cá nhân gồm những thông tin gì?” và “Chế tài cho hành vi sử dụng dữ liệu cá nhân bất hợp pháp trong kinh doanh là như thế nào?” - những câu hỏi trên đã được phần nào giải đáp trong Nghị định về bảo vệ dữ liệu cá nhân đang được Bộ Công an lấy ý kiến. Đây là nghị định quan trọng để thực thi Chính phủ điện tử.

Thông tin cá nhân: Quý như vàng nhưng ít được bảo vệ

Lần đầu tiên những khái niệm về “dữ liệu cá nhân” được quy định một cách chi tiết, cụ thể. Dự thảo Nghị định nêu rõ: “Dữ liệu cá nhân được hiểu là dữ liệu về cá nhân hoặc liên quan đến việc xác định hoặc có thể xác định một cá nhân cụ thể. Dữ liệu cá nhân cơ bản, gồm: Họ, chữ đệm và tên khai sinh, bí danh (nếu có); Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; Nhóm máu, giới tính; Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ, địa chỉ thư điện tử; Trình độ học vấn; Dân tộc; Quốc tịch; Số điện thoại; Số chứng minh nhân dân, số hộ chiếu, số căn cước công dân, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội; Tình trạng hôn nhân; Dữ liệu phản ánh hoạt động hoặc lịch sử hoạt động trên không gian mạng.

Dữ liệu cá nhân nhạy cảm gồm các dữ liệu cá nhân về quan điểm chính trị, tôn giáo; tình trạng sức khỏe; di truyền; sinh trắc học; tình trạng giới tính; tài chính; vị trí địa lý thực tế của cá nhân ở quá khứ và hiện tại; các mối quan hệ xã hội dữ liệu cá nhân về đời sống, xu hướng tình dục; dữ liệu cá nhân về tội phạm, hành vi phạm tội và các dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết…”.

Tuy nhiên trên thực tế, trong một thời gian rất dài, thông tin cá nhân hay dữ liệu cá nhân được công khai chào bán trên mạng Internet. Theo đánh giá của Bộ Công an, Việt Nam là một trong những quốc gia có tốc độ phát triển và ứng dụng Internet cao nhất thế giới. Số lượng người sử dụng Internet của Việt Nam đã đạt hơn 64 triệu người, chiếm hơn 2/3 dân số (66%). Năm 2029 tăng hơn 19% so với năm 2018, xếp thứ 13 trên thế giới về số người dùng, trong đó có 58 triệu tài khoản Facebook, 62 triệu tài khoản Google.

Việc mua bán dữ liệu cá nhân đang được thực hiện theo 2 hình thức chính. Một là, các doanh nghiệp, công ty kinh doanh dịch vụ có thu thập dữ liệu cá nhân của khách hàng, cho phép các đối tác thứ ba tiếp cận thông tin dữ liệu cá nhân nhưng không có yêu cầu, quy định chặt chẽ, để đối tác thứ ba chuyển giao, buôn bán cho các đối tác khác. Hai là, các doanh nghiệp chủ động thu thập thông tin cá nhân của khách hàng, hình thành kho dữ liệu cá nhân, phân tích, xử lý các loại dữ liệu đó để tiến hành kinh doanh, buôn bán.

Việc buôn bán dữ liệu cá nhân hiện nay trên thị trường diễn ra dưới cả 2 dạng nêu trên, tiến hành kinh doanh dữ liệu cá nhân thô và dữ liệu cá nhân đã qua xử lý. Các dữ liệu này được mua đi, bán lại nhiều lần, cung cấp dưới dạng dịch vụ như databox.vn, databoxviet.com, laydata.com, laydata.net, khodata.net, databox.biz, fff.com.vn, cokhach.com, vltoolkit.com.

Các gói dữ liệu thô được giao bán liên quan tới nhiều lĩnh vực: Danh sách cán bộ, danh sách nội bộ (bao gồm cả các đơn vị công an, quốc phòng, thuế...); điện lực; thuê bao Internet; ngân hàng (chi tiết tới cả số dư tài khoản); bảo hiểm; hồ sơ đăng ký kinh doanh; giáo dục (phụ huynh, giáo viên, học sinh, sinh viên); bất động sản (kèm theo khả năng tài chính); nhân sự có chọn lọc (mức thu nhập, chức vụ); danh sách khách hàng sử dụng các dịch vụ Internet (danh sách thành viên đăng ký Facebook, fpt, vnn.com, yahoo.com, gmail.com, gov.vn, hopthu.com, hotmail.com, saigonnet.vn).

Các loại dữ liệu được mua bán trong thời gian dài, có cam kết về độ chính xác, cam kết cập nhật dữ liệu, hỗ trợ xuất dữ liệu theo yêu cầu người mua. Nhiều khả năng, nguồn của các dữ liệu thô xuất phát từ hệ thống nội bộ của cơ quan, nhà nước hoặc từ hệ thống hành chính điện tử.

Qua rà soát sơ bộ, Bộ Công an phát hiện hơn 60 tổ chức, cá nhân liên quan đến hoạt động mua bán, sử dụng trái phép thông tin, dữ liệu cá nhân trên không gian mạng, bao gồm: Các công ty cung cấp giải pháp công nghệ, nhân viên môi giới bất động sản, nhân viên ngân hàng, cơ quan nhà nước, người có khả năng truy cập vào hệ thống chính quyền điện tử về giáo dục, y tế, chứng khoán, bệnh viện...

Điều đáng nói là dù Luật An toàn thông tin mạng 2015, tại Điều 7, Khoản 5 quy định nghiêm cấm hành vi “Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác; lợi dụng sơ hở, điểm yếu của hệ thống thông tin để thu thập, khai thác thông tin cá nhân”. Tuy nhiên, gần như chưa có vụ nào được đưa ra xử lý nghiêm, cũng chưa từng xảy ra vụ kiện nào về vấn đề này.

Điều 159 Bộ luật Hình sự quy định, việc “Xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư của người khác” có thể bị phạt từ tới 3 năm. Điều 288 quy định về “Tội đưa hoặc sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông” với mức hình phạt cao nhất là 7 năm tù giam. Tuy nhiên, 2 tội danh này chưa quy định cụ thể, trực tiếp về các hành vi vi phạm pháp luật liên quan tới dữ liệu cá nhân đang diễn ra hiện nay.

Thêm chế tài để dữ liệu cá nhân được bảo vệ

Dự thảo về Bảo vệ dữ liệu cá nhân quy định: Việc xử lý vi phạm quy định bảo vệ dữ liệu cá nhân, các cơ quan, tổ chức vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử phạt vi phạm hành chính hoặc xử lý hình sự, áp dụng các hình phạt bổ sung theo quy định của pháp luật. Việc xử lý vi phạm quy định bảo vệ dữ liệu cá nhân được áp dụng đối với toàn bộ các tổ chức, doanh nghiệp, cá nhân trong và ngoài nước có hoạt động kinh doanh tại Việt Nam. Ngoài mức phạt được quy định, trường hợp Bên xử lý dữ liệu cá nhân vi phạm nhiều lần, với hậu quả lớn có thể bị phạt tối đa 5% tổng doanh thu của Bên xử lý dữ liệu cá nhân tại Việt Nam.

Điều 22 của dự thảo nghị định quy định cụ thể mức xử phạt vi phạm hành chính đối với những hành vi vi phạm quy định về xử lý dữ liệu cá nhân. Trong đó, phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với các hành vi vi phạm quy định về quyền của chủ thể dữ liệu liên quan đến xử lý dữ liệu cá nhân; vi phạm quy định về tiết lộ dữ liệu cá nhân; vi phạm quy định về xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu chết; vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp không có sự đồng ý của chủ thể dữ liệu; vi phạm quy định về xử lý dữ liệu cá nhân tự động, dữ liệu cá nhân của trẻ em; vi phạm quy định về lưu trữ, xóa, hủy dữ liệu cá nhân.

Đối với hành vi không áp dụng biện pháp kỹ thuật và xây dựng quy định về bảo vệ dữ liệu cá nhân; vi phạm quy định về đăng ký xử lý dữ liệu cá nhân nhạy cảm; vi phạm quy định về chuyển dữ liệu cá nhân qua biên giới… mức phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng. Đây là mức cao nhất trong các quy định hiện hành.

Dự thảo về Nghị định Dữ liệu bảo vệ cá nhân Bộ Công an đang soạn thảo và lấy ý kiến nhân dân, Dự thảo kỳ vọng tạo quy trình, quy định, cơ chế hiệu quả, thống nhất trong thu thập, xử lý, phân tích, lưu trữ dữ liệu cá nhân của công dân Việt Nam. Từ đó, tạo khuôn khổ pháp lý đầy đủ, minh bạch, khả thi, là công cụ pháp lý sắc bén, hữu hiệu nhằm phòng ngừa, ngăn chặn, đấu tranh với các hành vi vi phạm pháp luật...

Điều quan trọng là dự thảo đã có những khái niệm rõ ràng hơn để người dân nâng cao ý thức bảo vệ dữ liệu cá nhân và những doanh nghiệp cần phải thận trọng với những lời chào mời dữ liệu này, tránh những hệ lụy về luật pháp sau này.