Còn băn khoăn trong thực hiện Nghị định về bảo vệ dữ liệu cá nhân

Theo đó, Nghị định 13/2023/NĐ-CP quy định về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan chính thức có hiệu lực từ 01/7/2023.

Nghị định nêu rõ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công An, có trách nhiệm giúp Bộ Công an thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân.

Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân: Cung cấp thông tin về chủ trương, đường lối, chính sách của Đảng, pháp luật của Nhà nước về bảo vệ dữ liệu cá nhân; tuyên truyền, phổ biến chính sách, pháp luật về bảo vệ dữ liệu cá nhân; cập nhật thông tin, tình hình bảo vệ dữ liệu cá nhân; tiếp nhận thông tin, hồ sơ, dữ liệu về hoạt động bảo vệ dữ liệu cá nhân qua không gian mạng; cung cấp thông tin về kết quả đánh giá công tác bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.

Bên cạnh đó, Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân tiếp nhận thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân; cảnh báo, phối hợp cảnh báo về nguy cơ, hành vi xâm phạm dữ liệu cá nhân theo quy định của pháp luật; xử lý vi phạm về bảo vệ dữ liệu cá nhân theo quy định của pháp luật; thực hiện hoạt động khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

Đồng thời, về các hành vi bị nghiêm cấm trong bảo vệ dữ liệu cá nhân, Điều 8 Nghị định 13/2023/NĐ-CP quy định, các hành vi bị nghiêm cấm gồm: Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân; Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của các tổ chức, cá nhân khác; Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật…

Với hàng loạt các quy định đã nêu, chính sách về bảo vệ dữ liệu cá nhân này được đánh giá cao bởi sự tiến bộ, chặt chẽ, tuy nhiên, bên cạnh những mặt tích cực, Nghị định mới vẫn để lại không ít băn khoăn, đặc biệt đối với cộng đồng doanh nghiệp nói chung và lĩnh vực ngân hàng nói riêng.

Theo ông Nguyễn Quốc Hùng - Tổng thư ký Hiệp hội Ngân hàng Việt Nam (VNBA), là một trong những quốc gia có tốc độ phát triển và ứng dụng Internet cao nhất thế giới, dữ liệu cá nhân của hơn 2/3 dân số Việt Nam đang được lưu trữ, đăng tải, chia sẻ và thu thập trên không gian mạng với nhiều hình thức và mức độ khác nhau. Theo đó, tình trạng mất an toàn dữ liệu, mua bán, trao đổi dữ liệu cá nhân trái phép diễn ra ngày càng phổ biến, trong khi các quy định về bảo vệ dữ liệu cá nhân còn nhiều hạn chế, chưa có sự thống nhất.

Để quản lý việc sử dụng và bảo vệ dữ liệu cá nhân, Chính phủ ban hành Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, và có hiệu lực từ ngày 01/7/2023, đây là hành lang pháp lý quan trọng nhằm quy định chặt chẽ các nghĩa vụ bảo vệ dữ liệu và an ninh mạng đối với các hoạt động xử lý dữ liệu cá nhân. Tuy nhiên, trong quá trình nghiên cứu tổ chức triển khai Nghị định 13/2023/NĐ-CP, các tổ chức tín dụng phản ánh với Hiệp hội gặp một số vướng mắc, gây lúng túng khi thực hiện.

Cụ thể, theo Câu lạc bộ Pháp chế Ngân hàng thuộc VNBA, hoạt động của các tổ chức tín dụng được điều chỉnh bởi các quy định pháp luật chuyên ngành như: Luật Các tổ chức tín dụng năm 2010 (sửa đổi, bổ sung năm 2014); Luật Phòng chống rửa tiền; Nghị định 117/2018/NĐ-CP về giữ bí mật, cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài; Thông tư 09/2020/TT-NHNN của Ngân hàng Nhà nước quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng đã hướng dẫn cụ thể về việc bảo vệ dữ liệu cá nhân khách hàng, việc quản lý, lưu trữ, sao lưu… Các tổ chức tín dụng hoàn toàn đã có hành lang pháp lý đầy đủ để triển khai, tuân thủ việc bảo vệ dữ liệu khách hàng theo các quy định nêu trên, tuy nhiên, với sự ra đời của Nghị định 13/2023/NĐ-CP có sự xung đột pháp luật.

Chẳng hạn, Nghị định 13/2023/NĐ-CP tại khoản 2, Điều 3 và khoản 1, Điều 9 quy định chủ thể có quyền được biết về việc xử lý dữ liệu cá nhân của mình, trừ trường hợp Luật khác có quy định khác; hay tại khoản 2, Điều 9 quy định chủ thể có quyền không đồng ý xử lý dữ liệu cá nhân của mình; chủ thể có quyền xóa, truy cập, yêu cầu hạn chế xử lý dữ liệu, phản đối xử lý dữ liệu, trừ trường hợp Luật khác có quy định khác tại Điều 9. Trong khi đó, hệ thống văn bản pháp luật lĩnh vực ngân hàng thì toàn bộ các hoạt động thu thập, xử lý dữ liệu khách hàng nói chung, khách hàng cá nhân nói riêng được quy định ở các văn bản quy phạm pháp luật cấp độ dưới Luật…

Không chỉ đối với lĩnh vực ngân hàng, mà đối với cộng đồng doanh nghiệp nói chung, không ít ý kiến cho rằng, nếu áp dụng theo quy định của Nghị định 13/2023/NĐ-CP thì doanh nghiệp không chỉ quản lý và xử lý những thông tin trên của người lao động mà còn cả thông tin tương tự của người thân trong gia đình và trẻ em là con của những người lao động. Doanh nghiệp có chế độ phúc lợi càng tốt càng xử lý nhiều thông tin cá nhân của các đối tượng này, dẫn đến tiềm ẩn không ít “gánh nặng” trong quá trình hoạt động.