Trong bối cảnh tình trạng mua bán, trao đổi dữ liệu cá nhân diễn ra ngày càng phức tạp và tinh vi trên không gian mạng, Bộ Công an đã chính thức hoàn thiện hồ sơ dự thảo Nghị định quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng (tháng 09/2021). Đây được xem là bước đi quyết liệt nhằm cụ thể hóa các quy định của Luật An ninh mạng 2018, tạo hành lang pháp lý đủ mạnh để bảo vệ quyền riêng tư của công dân.

Siết chặt quản lý: Mức phạt tiền lên tới 100 triệu đồng

Theo nội dung tại Điều 28 của dự thảo, các hành vi vi phạm về bảo vệ dữ liệu cá nhân sẽ bị áp dụng những khung hình phạt rất nghiêm khắc. Cụ thể, mức phạt tiền được phân định dựa trên quy mô và tính chất của hành vi vi phạm:

1. Phạt tiền từ 60 triệu đồng đến 80 triệu đồng đối với các hành vi:

• Thực hiện hành vi mua bán dữ liệu cá nhân với số lượng dưới 10.000 dữ liệu cá nhân.
• Chuyển giao dữ liệu cá nhân cho bên thứ ba không đúng với mục đích xử lý ban đầu mà chủ thể dữ liệu đã đồng ý.
• Các tổ chức, cá nhân không áp dụng các biện pháp kỹ thuật và quản lý cần thiết để ngăn chặn tình trạng nhân viên thu thập trái phép hoặc chiếm đoạt dữ liệu từ hệ thống nội bộ.

2. Phạt tiền từ 80 triệu đồng đến 100 triệu đồng đối với các hành vi:

• Mua bán dữ liệu cá nhân với quy mô lớn, từ 10.000 dữ liệu cá nhân trở lên.
• Các trường hợp đã bị xử phạt hành chính về các hành vi nêu trên nhưng vẫn tiếp tục tái phạm.

Chế tài đặc biệt: Phạt 5% tổng doanh thu cho hành vi tái phạm nhiều lần

Điểm đáng chú ý nhất trong dự thảo lần này chính là chế tài mang tính răn đe cực cao đối với các doanh nghiệp. Nếu tổ chức, cá nhân vẫn tiếp tục vi phạm từ lần thứ ba trở lên đối với các hành vi mua bán dữ liệu trái phép, mức phạt có thể lên tới 5% tổng doanh thu của đơn vị đó tại thị trường Việt Nam. Đây là quy định tương đồng với các tiêu chuẩn bảo vệ dữ liệu khắt khe trên thế giới (như GDPR của châu Âu), cho thấy quyết tâm của cơ quan quản lý trong việc buộc các doanh nghiệp phải có trách nhiệm cao nhất với dữ liệu khách hàng.

Các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Bên cạnh việc phạt tiền, dự thảo còn quy định hàng loạt các hình thức xử phạt bổ sung nhằm triệt tiêu động cơ và khả năng tiếp tục vi phạm của các đối tượng:

• Ngừng cung cấp dịch vụ: Các cơ sở vi phạm có thể bị đình chỉ hoạt động hoặc ngừng cung cấp các dịch vụ liên quan đến xử lý dữ liệu.
• Tước quyền sử dụng giấy phép: Thu hồi các loại giấy phép liên quan đến hoạt động xử lý dữ liệu cá nhân.
• Công khai xin lỗi: Buộc phải thực hiện xin lỗi công khai trên các phương tiện thông tin đại chúng.
• Bồi thường thiệt hại: Phải bồi thường cho các tổ chức, cá nhân bị xâm phạm dữ liệu theo quy định của pháp luật dân sự.

Cảnh báo đối với hoạt động tiếp thị và quảng cáo

Dự thảo cũng dành riêng một phần để điều chỉnh các cá nhân, tổ chức kinh doanh dịch vụ tiếp thị, giới thiệu sản phẩm. Nếu các đơn vị này sử dụng dữ liệu khách hàng có nguồn gốc từ việc mua bán trái phép hoặc không được thu thập trực tiếp thông qua hoạt động kinh doanh hợp pháp của mình, mức phạt sẽ dao động từ 60 - 80 triệu đồng. Nếu tái phạm lần hai, mức phạt tăng lên 80 - 100 triệu đồng và áp dụng mức phạt 5% doanh thu từ lần vi phạm thứ ba.

Dự kiến, nếu được thông qua, các quy định này sẽ chính thức có hiệu lực từ ngày 01/12/2021. Việc ban hành Nghị định này không chỉ giúp bảo vệ quyền lợi hợp pháp của người dân mà còn thúc đẩy môi trường kinh doanh số lành mạnh, an toàn tại Việt Nam.