Trường hợp nào dữ liệu cá nhân được công khai không cần xin phép?

5 TRƯỜNG HỢP DỮ LIỆU CÁ NHÂN ĐƯỢC CÔNG KHAI

Dự thảo nghị định bảo vệ dữ liệu cá nhân (DLCN), do Chính phủ xây dựng, quy định sẽ có 5 trường hợp DLCN được xử lý mà không cần sự đồng ý của chủ thể. Thứ nhất là trường hợp để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác trong tình huống khẩn cấp. Thứ hai, việc công khai DLCN theo quy định. Thứ ba, việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng chống bạo loạn, khủng bố, phòng chống tội phạm và vi phạm pháp luật theo quy định. Thứ tư, để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan. Thứ năm, phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành.

Đào Ngọc Thạch

Bên cạnh đó, theo Bộ Công an, thời gian qua, tình trạng mua bán DLCN diễn ra dễ dàng, phổ biến. Qua rà soát sơ bộ, Bộ Công an phát hiện hơn 60 tổ chức, cá nhân liên quan đến hoạt động mua bán, sử dụng trái phép thông tin, DLCN trên không gian mạng, bao gồm: các công ty cung cấp giải pháp công nghệ, nhân viên môi giới bất động sản, nhân viên ngân hàng, cơ quan nhà nước, người có khả năng truy cập vào hệ thống chính quyền điện tử về giáo dục, y tế, chứng khoán, bệnh viện... Mặc dù có một số văn bản quy phạm pháp luật (bộ luật Hình sự, bộ luật Dân sự, luật Bảo vệ người tiêu dùng, luật Công nghệ thông tin...) đề cập tới khía cạnh bảo vệ DLCN nhưng chưa đầy đủ và thiếu chế tài đủ mạnh để xử lý vi phạm. Nhiều nội dung liên quan tới công nghệ thông tin, viễn thông, internet, an toàn thông tin mạng, an ninh mạng, thông tin cá nhân được quy định ở nhiều văn bản khác nhau. Điều này dẫn tới thực trạng trùng giẫm, chồng chéo, khó áp dụng và thực thi các quy định về bảo vệ DLCN. Một số vấn đề mới phát sinh như buôn bán, sử dụng DLCN, vấn đề lưu chuyển, thu thập, xử lý, phân tích, lưu trữ DLCN, lưu chuyển DLCN qua biên giới chưa được đề cập... Vì vậy, việc ban hành nghị định quy định về bảo vệ DLCN là cần thiết.

Ông Võ Đỗ Thắng, Trung tâm đào tạo an ninh mạng Athena, cho rằng cần cụ thể hóa, chi tiết hơn nữa trong các quy định công khai, xử lý DLCN mà không cần có sự đồng ý của chủ thể. Ví dụ, việc công khai DLCN theo quy định của luật thì đó là theo luật nào? Hay cũng nêu chi tiết thêm về quy định thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan... Quy định càng chi tiết thì người dân nói chung lẫn doanh nghiệp dễ thực hiện và không lo lắng về tình trạng thông tin bị lộ ra ngoài hay vô ý bị vi phạm.

HẠN CHẾ TIẾT LỘ, MUA BÁN THÔNG TIN CÁ NHÂN

Thời gian qua tại VN đã có nhiều vụ việc hàng ngàn khách hàng bỗng dưng bị lộ thông tin cá nhân. Tháng 7.2022, dữ liệu của 30 triệu hồ sơ người dùng được cho là thu thập từ các website về giáo dục, bao gồm thông tin giáo viên và học sinh, bị rao bán với giá 3.500 USD. Tháng 5.2022, một diễn đàn chuyên mua bán dữ liệu khác cũng rao bán thông tin CMND/CCCD của gần 10.000 người dân. Gần đây nhất, cuối tháng 11.2022, Công an Quảng Bình vừa triệt phá đường dây tội phạm thu thập trái phép hơn 17 triệu thông tin DLCN để bán nhằm thu lợi bất chính… Hậu quả trước mắt của tình trạng lộ lọt dữ liệu là các đối tượng xấu lợi dụng để dựng lên kịch bản lừa đảo, đe dọa, khống chế, chiếm đoạt tiền của người dùng.

Theo ông Vũ Ngọc Sơn, Giám đốc kỹ thuật Công ty công nghệ An ninh mạng quốc gia Việt Nam - NCS, từ trước đến nay đã có những quy định về việc xử lý DLCN mà không cần sự đồng ý của chủ thể đó, nhất là đối với một số cơ quan nhà nước liên quan. Tuy nhiên, các quy định này rải rác và chưa cụ thể. Điều đó có thể khiến một số đơn vị lại yêu cầu được cung cấp dữ liệu quá mức cần thiết cho công việc, gây khó khăn cho cả tổ chức sở hữu dữ liệu và chủ thể. Do đó, quy định trên là sự tập trung thống nhất với hướng dẫn cụ thể hơn các trường hợp cá nhân, tổ chức cần hợp tác và cung cấp thông tin. Ngoài ra, nghị định bảo vệ DLCN cũng đưa ra nhiều hướng dẫn cụ thể nhằm bảo vệ người dân tốt hơn. Chẳng hạn trước đây, nhiều trường hợp thông tin cá nhân của hàng chục ngàn khách hàng bị lộ ra ngoài hay bị hacker đánh cắp nhưng đơn vị dịch vụ đã thu thập thông tin cho mình cũng là nạn nhân và không có trách nhiệm gì khiến người dùng khá bức xúc. Quy định mới đã nêu cụ thể, từ cá nhân khi cung cấp thông tin đến các đơn vị, công ty cung cấp dịch vụ đã thu thập và lưu trữ DLCN khách hàng đều phải có trách nhiệm trong việc bảo vệ thông tin đó.

Ông Sơn chia sẻ thêm: "Nghị định sẽ góp phần bảo vệ dữ liệu của người dân, hạn chế tình trạng lộ lọt thông tin. Đồng thời cần có sự vào cuộc của cả xã hội. Các cơ quan quản lý cần tăng cường thanh kiểm tra, giám sát, xử phạt. Chủ quản của các hệ thống thông tin có lưu trữ dữ liệu người dùng cần đảm bảo hệ thống thông tin theo quy định của pháp luật. Với người dùng cá nhân, cần hạn chế tối đa việc cung cấp thông tin của mình cho các dịch vụ không thiết yếu, chỉ cung cấp trên những địa chỉ đảm bảo".

Đồng tình, LS Trương Thanh Đức, Giám đốc Công ty luật ANVI, cho rằng việc xây dựng nghị định bảo vệ DLCN là cần thiết khi chưa có luật về vấn đề này. Trên cơ sở của nghị định thì Chính phủ cần tiến đến đề xuất xây dựng luật Bảo vệ DLCN. Trên thực tế, liên quan đến cá nhân thì bộ luật Dân sự cũng đã có quy định về bảo mật thông tin cá nhân nhưng có hướng dẫn cụ thể. Vì vậy, các quy định này sẽ giúp người dân hiểu rõ và hành xử đúng hơn; từ đó cũng góp phần hạn chế tình trạng vi phạm về thu thập thông tin, mua bán DLCN đang công khai và tràn lan như hiện nay.

Tuy nhiên, để các quy định trên đi vào thực tế thì luôn cần có sự thanh kiểm tra, giám sát và triển khai quyết liệt. Đặc biệt, việc công khai thông tin cá nhân theo quy định mà không cần ý kiến của chủ thể thì cũng cần đảm bảo các cơ quan, tổ chức phải sử dụng đúng mục đích ban đầu và cũng phải chịu trách nhiệm nếu lạm dụng DLCN.