Từ hôm nay, Luật Bảo vệ dữ liệu cá nhân (BVDLCN) chính thức có hiệu lực thi hành. Đây được xem là bước ngoặt quan trọng trong bảo vệ quyền riêng tư, bảo đảm an ninh dữ liệu và củng cố niềm tin số tại Việt Nam.

 

Được Quốc hội thông qua ngày 26/6/2025, Luật Bảo vệ dữ liệu cá nhân đã xác lập rõ các quyền dữ liệu cơ bản của công dân, bao gồm quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa và yêu cầu xóa dữ liệu. Đồng thời, Luật có quy định trách nhiệm pháp lý của cơ quan nhà nước, tổ chức và doanh nghiệp trong toàn bộ vòng đời thu thập, xử lý, lưu trữ và chia sẻ dữ liệu.

Luật Bảo vệ dữ liệu cá nhân gồm 5 chương, 39 điều quy định về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.

Chủ thể dữ liệu cá nhân cần tuân thủ đầy đủ các nguyên tắc sau đây:

-Thực hiện theo quy định của pháp luật; tuân thủ nghĩa vụ của chủ thể dữ liệu cá nhân theo hợp đồng. Việc thực hiện quyền và nghĩa vụ của chủ thể dữ liệu cá nhân phải nhằm mục đích bảo vệ quyền, lợi ích hợp pháp của chính chủ thể dữ liệu cá nhân đó;

-Không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ pháp lý của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân;

-Không được xâm phạm đến quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.

Cơ quan, tổ chức, cá nhân có trách nhiệm tạo điều kiện thuận lợi, không được gây khó khăn, cản trở việc thực hiện quyền và nghĩa vụ của chủ thể dữ liệu cá nhân theo quy định của pháp luật.

Khi nhận được yêu cầu của chủ thể dữ liệu cá nhân để thực hiện quyền của chủ thể dữ liệu cá nhân quy định tại khoản 1 Điều 4, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải kịp thời thực hiện trong thời hạn theo quy định của pháp luật.

Các hành vi bị nghiêm cấm

Luật BVDLCN quy định các hành vi bị nghiêm cấm gồm có: Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Cản trở hoạt động bảo vệ dữ liệu cá nhân; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật; Xử lý dữ liệu cá nhân trái quy định của pháp luật.

Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật; Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

 

Ảnh minh họa

 

Xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân 

Tổ chức, cá nhân có hành vi vi phạm quy định của Luật này và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Việc xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân thực hiện theo quy định tại các khoản 3, 4, 5, 6 và 7 Điều 8 và pháp luật về xử lý vi phạm hành chính.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều 8 thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều 8.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều 8 thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều 8.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng.

Mức phạt tiền tối đa quy định tại các khoản 3, 4 và 5 Điều 8 được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Chính phủ quy định phương pháp tính khoản thu có được từ việc thực hiện hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Bên cạnh đó, nhận thấy tầm quan trọng của bảo vệ dữ liệu cá nhân trong các lĩnh vực đặc thù, quan trọng, Luật BVDLCN đã quy định các điều khoản cụ thể để điều chỉnh hoạt động bảo vệ dữ liệu cá nhân trong quá trình xử lý như: Trong tuyển dụng, quản lý, sử dụng người lao động; kinh doanh dịch vụ quảng cáo; nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến; xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây; hoạt động tài chính, ngân hàng, thông tin tín dụng; hoạt động kinh doanh bảo hiểm; hoạt động ghi âm, ghi hình tại nơi công cộng. Luật cũng công nhận ngành, nghề kinh doanh có điều kiện là kinh doanh dịch vụ xử lý dữ liệu cá nhân và giao Chính phủ quy định chi tiết nhằm quản lý chặt chẽ ngành nghề có quy mô xử lý dữ liệu cá nhân lớn và nhạy cảm này.

Đối với dữ liệu cá nhân của trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi, Luật cũng có quy định riêng chặt chẽ để bảo vệ dữ liệu cá nhân của nhóm đối tượng yếu thế, dễ tổn thương này. Đối với dữ liệu vị trí, dữ liệu sinh trắc học, luật quy định yêu cầu biện pháp bảo mật nghiêm ngặt, hạn chế quyền truy cập và có cơ chế thông báo cho chủ thể dữ liệu nếu xảy ra thiệt hại.

Liên quan quy định đánh giá tác động hoạt động xử lý và chuyển dữ liệu cá nhân xuyên biên giới, theo quy định của luật, tổ chức, cá nhân tiến hành chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 60 ngày kể từ ngày chuyển. Quy định này vừa giúp cơ quan chuyên trách quản lý hoạt động chuyển dữ liệu cá nhân của công dân Việt Nam xuyên biên giới, vừa tạo cơ chế linh hoạt cho doanh nghiệp, không quy định cấp phép kiểm duyệt trước khi chuyển dữ liệu cá nhân xuyên biên giới...

Việc Luật Bảo vệ dữ liệu cá nhân đi vào đời sống được kỳ vọng sẽ tạo ra môi trường số an toàn, minh bạch, bảo vệ tối đa quyền riêng tư của công dân trước các nguy cơ xâm phạm dữ liệu đang ngày càng phức tạp.