Đảm bảo dòng chảy dữ liệu an toàn và tự do cho phát triển kinh tế số

Theo Viện Nghiên cứu chính sách và Phát triển truyền thông (IPS), tổng hợp từ nhiều báo cáo gần đây cho thấy, dữ liệu xuyên biên giới đem lại 3 lợi ích chính: Cho phép người dùng tiếp cận với các dịch vụ tốt nhất; doanh nghiệp tham gia vào chuỗi cung ứng toàn cầu, tiếp cận thị trường nước ngoài; cho phép hầu hết các ngành, lĩnh vực từ sản xuất đến y tế, giáo dục, tài chính được hưởng lợi.

Trái lại, hạn chế dữ liệu xuyên biên giới tạo ra 4 tác động chính: Làm suy giảm tăng trưởng kinh tế vĩ mô và phúc lợi xã hội, tạo rào cản cho doanh nghiệp muốn gia nhập thị trường, gia tăng chi phí tuân thủ và có khả năng làm suy giảm an toàn, an ninh dữ liệu.

Việt Nam cần tiếp cận chính sách phù hợp để quản trị dòng dữ liệu cá nhân xuyên biên giới một cách an toàn, tin cậy và tự do hơn. (Ảnh minh họa: Internet)

Với tư cách là 1 trong 10 quốc gia có lượng dữ liệu xuyên biên giới lớn nhất thế giới và tốc độ tăng trưởng về luân chuyển dữ liệu xuyên biên giới cao nhất trong khu vực Châu Á, giai đoạn 2001-2019, Việt Nam đang đứng trước cơ hội để phát triển và hưởng lợi từ nền kinh tế số, vươn lên thành nước phát triển. Do đó, cần tiếp cận chính sách phù hợp để quản trị dòng dữ liệu cá nhân xuyên biên giới một cách an toàn, tin cậy và tự do hơn.

Muốn đạt được mục tiêu trên, chúng ta cần tìm hiểu cách tiếp cận chính sách bảo vệ dữ liệu cá nhân xuyên biên giới trên thế giới. Tham khảo từ kinh nghiệm thiết kế chính sách và pháp lý đối với dữ liệu xuyên biên giới của Liên minh Châu Âu, Trung Quốc, Nhật Bản, Singapore cho thấy: Cần kết hợp giữa giải pháp công nghệ với công cụ pháp lý để điều chỉnh hành vi chuyển dữ liệu cá nhân qua biên giới.

5 cách tiếp cận chính sách pháp luật bảo vệ dữ liệu cá nhân xuyên biên giới

Không có quy định về chuyển dữ liệu cá nhân qua biên giới, có thể do không có bất cứ văn bản pháp lý nào về bảo vệ dữ liệu cá nhân hoặc có văn bản pháp lý nhưng không quy định.

Không đòi hỏi chủ thể chuyển dữ liệu cá nhân qua biên giới phải đáp ứng các điều kiện được quy định trước, hoặc phải được cấp phép công khai trước mà cho phép chủ thể thực hiện hành vi chuyển dữ liệu cá nhân qua biên giới với nghĩa vụ đảm bảo an toàn cho dữ liệu và phải chịu trách nhiệm nếu dữ liệu bị xâm phạm. Ví dụ: mô hình quản lý của Singapore thể hiện trong PDPA.

Chủ thể chuyển dữ liệu cá nhân qua biên giới phải đáp ứng điều kiện từ cơ quan có thẩm quyền như: Quyết định về mức độ bảo vệ dữ liệu cá nhân tương thích giữa các quốc gia với quốc gia gốc, chính sách bảo vệ dữ liệu cá nhân tương thích với luật hoặc điều khoản hợp đồng về chuyển dữ liệu cá nhân qua biên giới được ấn định… Ví dụ: mô hình quản lý của Liên minh châu Âu thể hiện trong GDPR.

Chủ thể chuyển dữ liệu cá nhân qua biên giới phải được sự chấp thuận từ cơ quan có thẩm quyền trước khi chuyển dữ liệu cá nhân qua biên giới và trong từng trường hợp cụ thể. Ví dụ: mô hình quản lý của Trung Quốc thể hiện trong PIPA.

Chủ thể phải lưu trữ, xử lý dữ liệu cá nhân tại quốc gia thu thập dữ liệu cá nhân mà không được chuyển tới bất kì quốc gia, vùng lãnh thổ khác.

Thay đổi cách tiếp cận pháp luật bảo vệ dữ liệu cá nhân xuyên biên giới ở Việt Nam

Trước năm 2021, Việt Nam chưa có văn bản pháp luật quy định về quy trình chuyển dữ liệu cá nhân qua biên giới. Năm 2021, Dự thảo Nghị định quy định về bảo vệ dữ liệu cá nhân được công bố, quy định điều kiện bắt buộc để chuyển dữ liệu cá nhân qua biên giới là gửi hồ sơ đăng ký tới Ủy ban Bảo vệ dữ liệu cá nhân và được sự chấp thuận của cơ quan này. Tuy nhiên, đây có phải quy định cấp phép chuyển dữ liệu cá nhân qua biên giới cho từng trường hợp cụ thể hay không thì chưa được làm rõ tại Dự thảo.

Nếu áp dụng phương pháp quản lý cấp phép cho từng trường hợp cụ thể sẽ dẫn đến gia tăng gánh nặng thực thi cho các chủ thể liên quan, tạo rào cản đối với thu hút đầu tư nước ngoài và có khả năng làm suy giảm an ninh dữ liệu do dữ liệu tập trung công khai tại một khu vực.

Trước thực trạng này, Viện Nghiên cứu Chính sách và Phát triển Truyền thông (IPS) thuộc Hội Truyền thông số Việt Nam đã đưa ra khuyến nghị xây dựng chính sách về bảo vệ dữ liệu cá nhân xuyên biên giới cho Việt Nam. Cụ thể như sau:

Thiết kế chính sách bảo vệ dữ liệu cá nhân xuyên biên giới dựa trên 3 trụ cột: Quy định pháp luật; Hợp tác liên quốc gia trong các khuôn khổ đa phương; Cơ chế tự quản trong nội bộ ngành. Bên cạnh việc dùng công cụ pháp lý đối với quản trị dữ liệu cá nhân xuyên biên giới, cần chú trọng đến các khuôn khổ hợp tác quốc tế cũng như cơ chế tự quản trong nội bộ ngành. Đối với Việt Nam, cần gấp rút tham gia các khuôn khổ đa phương trong khu vực như APEC Privacy Framework, ASEAN PDP, đồng thời thúc đẩy áp dụng giải pháp công nghệ để bảo vệ quyền riêng tư (Privacy Enhancing Technology, PETs).

Thiết kế quy định pháp luật bảo vệ dữ liệu cá nhân xuyên biên giới theo cách tiếp cận sau: Thúc đẩy trách nhiệm giải trình của các chủ thể liên quan đến hoạt động xử lý dữ liệu; Xây dựng quy định pháp luật có sự thống nhất trong hệ thống pháp luật nội bộ của quốc gia cũng như có sự tương đồng giữa các quốc gia trong khu vực, thế giới; Hạn chế yêu cầu địa phương hóa dữ liệu.