Giải pháp nào ngăn doanh nghiệp công nghệ trục lợi dữ liệu cá nhân

Tại phiên họp Ủy ban Thường vụ Quốc hội sáng 5/6, Thứ trưởng Công an Lê Quốc Hùng cho biết các hành vi vi phạm liên quan đến dữ liệu cá nhân, khi xảy ra tại những doanh nghiệp công nghệ lớn hoặc tập đoàn đa quốc gia, thường gây hậu quả nghiêm trọng. "Nếu mức phạt quá nhẹ, họ sẵn sàng nộp phạt để đổi lấy lợi nhuận hàng nghìn tỷ đồng", ông nói.

Theo kinh nghiệm quốc tế, nhiều quốc gia như Mỹ, EU, Singapore áp dụng mức phạt theo phần trăm doanh thu của doanh nghiệp, có thể lên đến 600 tỷ đồng (quy đổi). Dự thảo luật hiện đề xuất mức phạt hành chính tối đa 3 tỷ đồng, với mức tăng gấp 10 lần khoản thu bất hợp pháp. Đối với hành vi chuyển dữ liệu cá nhân ra nước ngoài, mức phạt có thể lên tới 5% doanh thu năm trước đó. Cá nhân vi phạm sẽ bị phạt tối đa bằng một nửa mức của tổ chức.

Ngoài hình phạt tiền, ông Hùng cho biết dự luật giao Chính phủ quy định chi tiết các hình thức xử phạt không bằng tiền, cũng như phương pháp tính khoản thu trái pháp luật. "Dữ liệu cá nhân gắn với quyền con người, quyền riêng tư nên không thể coi là hàng hóa thông thường. Việc khai thác phải đi đôi với bảo vệ ở mức cao nhất", ông nhấn mạnh. Thứ trưởng Hùng cũng khẳng định Chính phủ giữ nguyên đề nghị cấm mua bán dữ liệu cá nhân để phù hợp với thông lệ quốc tế.

Ông Lê Tấn Tới, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại, cho rằng tùy theo tính chất, mức độ và hậu quả, người vi phạm sẽ bị xử phạt hành chính, truy cứu trách nhiệm hình sự, hoặc phải bồi thường nếu gây thiệt hại. Ông đồng tình rằng cần đưa ra mức phạt cao hơn để bảo đảm tính răn đe, đặc biệt với các doanh nghiệp lớn như tập đoàn đa quốc gia hoặc doanh nghiệp công nghệ sở hữu doanh thu hàng nghìn tỷ đồng.

Tuy nhiên, Phó chủ nhiệm Ủy ban Pháp luật và Tư pháp Nguyễn Trường Giang lưu ý cần cân nhắc với mức phạt 5% doanh thu doanh nghiệp năm liền trước. Ông dẫn ví dụ: Viettel đạt gần 190.000 tỷ đồng doanh thu, VNPT hơn 58.000 tỷ và MobiFone khoảng 23.500 tỷ. "Phạt 5% là con số rất lớn", ông nhận xét.

Theo Nghị định 13/2023, mức phạt cho nhiều hành vi vi phạm về dữ liệu cá nhân hiện nay là 50-70 triệu đồng. Các hành vi vi phạm bao gồm xử lý dữ liệu trái pháp luật; không thông báo hoặc không để chủ thể dữ liệu biết về hoạt động xử lý; thu thập dữ liệu không phù hợp, vượt quá giới hạn; hoặc cập nhật, bổ sung dữ liệu trái mục đích. Mức phạt này cũng áp dụng nếu bên kiểm soát và xử lý dữ liệu không ngăn chặn, hạn chế tiết lộ thông tin hoặc tiếp tục sử dụng dữ liệu cho quảng cáo, tiếp thị dù đã bị chủ thể dữ liệu phản đối.

Ngoài phạt tiền, Nghị định cũng quy định các hình thức xử phạt bổ sung như tước giấy phép kinh doanh đối với ngành nghề yêu cầu thu thập dữ liệu cá nhân, tịch thu tang vật, phương tiện vi phạm, hoặc đình chỉ hoạt động trong 1-3 tháng.

Dự kiến, Quốc hội sẽ thông qua dự án Luật Dữ liệu cá nhân vào ngày 23/6.