Mạnh Cường

Ứng dụng di động ngày càng đa dạng và dần trở thành một công cụ thiết yếu trong cuộc sống, khi mọi người có thể dễ dàng mua sắm, đặt đồ ăn ngay tại nhà, sử dụng các dịch vụ thanh toán qua mạng nhanh chóng… Tuy nhiên, mọi người phải đối mặt với rủi ro để cho các nhà cung cấp ứng dụng thu thập và sử dụng trái phép dữ liệu cá nhân.

Quy định về xử phạt 

Khách hàng khi sử dụng các ứng dụng giao hàng, mua sắm trên điện thoại sẽ được yêu cầu cung cấp các thông tin cá nhân như tên, số điện thoại, ngày sinh, địa chỉ nhà… Ngoài ra, để sử dụng các chức năng đặc thù trong ứng dụng khách hàng còn phải cho phép các ứng dụng truy cập vào danh bạ điện thoại, hình ảnh…

Thông qua các hoạt động trên, các nhà cung cấp ứng dụng (sau đây gọi là nhà cung cấp) sẽ thu thập được một lượng lớn dữ liệu thông tin từ phía khách hàng nhằm cung cấp những dịch vụ chăm sóc khách hàng, hỗ trợ khách hàng khi gặp sự cố hay nghiên cứu hành vi của khách hàng để đem lại dịch vụ tốt hơn.

Tuy nhiên, bên cạnh mục đích nhằm phục vụ khách hàng, một số nhà cung cấp sẽ bán lại dữ liệu cho các công ty phân tích dữ liệu, công ty quảng cáo… (sau đây gọi là bên thứ ba) để nhận về một khoảng tiền lớn, tương tự như cách làm của Facebook trong những năm qua.

Về phía khách hàng, họ phải chấp nhận rủi ro để nhà cung cấp quản lý, sử dụng dữ liệu cá nhân của mình nếu muốn tiếp tục sử dụng các ứng dụng đó.

Để bảo vệ được quyền lợi của khách hàng, pháp luật đã có những chế tài xử phạt đối với các hành vi thu thập, sử dụng, mua bán trái phép dữ liệu cá nhân. Tùy theo hành vi và mức độ gây thiệt hại, các chủ thể vi phạm có thể bị xử phạt hành chính hay nặng hơn là bị xử phạt hình sự, ngoài ra họ còn phải bồi thường thiệt hại cho chủ thể mà mình xâm phạm.

Xử phạt vi phạm hành chính 

Đối với hành vi thu thập, sử dụng thông tin cá nhân, theo Nghị định số 15/2020/NĐ-CP, hành vi thu thập, sử dụng, cung cấp hoặc bán cho bên thứ ba thông tin cá nhân của khách hành khi chưa được phép sẽ bị xử phạt vi phạm từ 10.000.000 đồng đến 30.000.000 đồng. Ngoài ra, còn có thể bị áp dụng biện pháp khắc phục hậu quả hủy bỏ thông tin cá nhân mà bên thứ ba đã nhận được.

Đối với hoạt động thương mại điện tử, theo Nghị định số 98/2020/NĐ-CP, các hành vi vi phạm về bảo vệ thông tin cá nhân trong hoạt động thương mại điện tử như không xây dựng cơ chế bảo vệ thông tin khách hàng đúng quy định, sử dụng sai mục đích thông tin khách hàng như đã cam kết, không xây dựng chính sách thu thập thông tin khách hàng an toàn…

Tùy thuộc vào mỗi hành vi vi phạm, sẽ bị xử phạt từ 1.000.000 đồng đến 30.000.000 đồng. Ngoài ra, nhà cung cấp có thể bị áp dụng biện pháp xử phạt bổ sung là đình chỉ hoạt động thương mại điện tử từ 6 đến 12 tháng, và buộc phải nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

Xử lý hình sự 

Các nhà cung cấp còn có thể phải chịu những mức phạt nặng hơn, theo quy định tại Bộ luật Hình sự, hành vi vi phạm về bảo vệ dữ liệu cá nhân của khách hàng có thể bị áp dụng các hình phạt sau.

Thứ nhất, tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác. Người phạm tội có thể bị phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng hoặc phạt cải tạo không giam giữ đến 03 năm. Trong trường hợp phạm tội với mức độ nặng hơn có thể bị phạt tù đến 03 năm.

Thứ hai, tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông. Người phạm tội có thể bị phạt tiền từ 30.000.000 đồng đến 200.000.000 đồng, phạt cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 6 tháng đến 03 năm. Trong trường hợp phạm tội với mức độ nặng hơn có thể bị phạt tiền từ 200.000.000 đồng đến 1.000.000.000 đồng hoặc phạt tù từ 02 năm đến 7 năm.

Bồi thường thiệt hại

Khách hàng khi bị nhà cung cấp sử dụng dữ liệu cá nhân trái phép mà gây thiệt hại có thể yêu cầu các nhà cung cấp bồi thường thiệt hại nếu đáp ứng đủ 3 nguyên tắc bồi thường thiệt hại hợp đồng là có hành vi vi phạm, có thiệt hại thực tế xảy ra và có mối quan hệ nhân quả giữa hành vi và thiệt hại. Vấn đề này đã được tác giả phân tích ở bài viết “Rao bán thông tin cá nhân” đăng tải trên trang web Legalguru.vn vào ngày 1/6/2021.

Tăng cường giải pháp bảo vệ dữ liệu cá nhân

Bộ công an đã ban hành dự thảo về nghị định bảo vệ dữ liệu cá nhân và đã hoàn thành giai đoạn lấy ý kiến đóng góp từ người dân. Nghị định dự kiến sẽ được ban hành và chính thức có hiệu lực kể từ ngày 31/12/2021. Nghị định sẽ góp phần giải quyết được những vấn đề đã tồn tại trong thời gian qua giúp nâng cao việc bảo vệ dữ liệu cá nhân.

Nhìn chung, dự thảo Nghị định về bảo vệ dữ liệu cá nhân xây dựng được một khung pháp lý rõ ràng và cụ thể đối với trách nhiệm bảo vệ dữ liệu cá nhân, trong đó quy định rõ về xử lý dữ liệu cá nhân, biện pháp bảo vệ dữ liệu cá nhân, trách nhiệm của cơ quan, tổ chức, cá nhân đặc biệt là ủy bản bảo vệ dữ liệu cá nhân.

Điểm đáng lưu ý nhất của dự thảo Nghị định về bảo vệ dữ liệu cá nhân là liệt kê cụ thể các dữ liệu cá nhân, cũng như quy định về dữ liệu cá nhân nhạy cảm, điều mà các văn bản pháp luật trước đây chưa thể hiện rõ. Các dữ liệu về sinh trắc học, lịch sử hoạt động trên mạng, thông tin vị trí địa lý… là những dữ liệu thường xuyên được bán cho bên thứ ba nhưng không bị xử phạt vì không có cơ sở xác định là thông tin cá nhân, nay đã được liệt kê cụ thể trong Nghị định. Qua đó giúp các cơ quan quản lý nhà nước có thẩm quyền mạnh tay hơn trong công tác xử lý vi phạm.

Bên cạnh đó, các quy định về xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu chết hay quy định về xử lý dữ liệu cá nhân của trẻ em rất đáng được lưu tâm.

Nghị định cũng quy định rõ về quyền đòi bồi thường thiệt hại của chủ thể bị xâm phạm đến quyền được bảo vệ dữ liệu cá nhân, trong khi các nghị định trước chưa quy định.

Đối với hành vi vi phạm, hình phạt tiền sẽ được áp dụng với mức phạt từ 50.000.000 đồng đến 100.000.000 đồng, và các hình phạt bổ sung, biện pháp khắc phục hậu quả khác. Ngoài ra, bên vi phạm có thể bị phạt tối đa 5% tổng doanh thu. Đối với các vi phạm nặng hơn, sẽ được đưa ra xử lý hình sự.

Quyền được bảo vệ dữ liệu cá nhân là một quyền cơ bản và quan trọng của mỗi người. Vì thế hành vi mua bán trái phép của các nhà cung cấp là vi phạm pháp luật và sẽ phải chịu những hình phạt tương ứng. Sau khi Nghị định về bảo vệ dữ liệu cá nhân được ban hành và chính thức có hiệu lực, đây sẽ là cơ sở pháp lý vững chắc để các cơ quan nhà nước có thẩm quyền mạnh tay xử lý hành vi vi phạm của các tổ chức không bảo vệ dữ liệu cá nhân của khách hàng.