Kỳ họp thứ 9, Quốc hội khóa XV: Nâng cao năng lực bảo vệ dữ liệu cá nhân

Trình bày Tờ trình, Phó Thủ tướng Chính phủ Lê Thành Long cho biết, việc xây dựng Luật Bảo vệ dữ liệu cá nhân nhằm hoàn thiện hệ thống pháp luật về bảo vệ dữ liệu cá nhân của nước ta, tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân, nâng cao năng lực bảo vệ dữ liệu cá nhân cho các tổ chức, cá nhân trong nước tiếp cận trình độ quốc tế, khu vực; đẩy mạnh sử dụng dữ liệu cá nhân đúng pháp luật phục vụ phát triển kinh tế, xã hội.

Việc xây dựng luật nhằm cụ thể hóa tinh thần của Hiến pháp năm 2013, thể chế chủ trương, chính sách của Đảng, Nhà nước; đồng thời đáp ứng tốt yêu cầu phát triển kinh tế - xã hội, bảo đảm quốc phòng - an ninh; thúc đẩy ứng dụng, phát huy tối đa các thành tựu khoa học và công nghệ; phù hợp với các quy định của pháp luật, rà soát, tạo nền tảng để xây dựng một hệ thống pháp luật hoàn chỉnh, đồng bộ về bảo vệ dữ liệu cá nhân; hài hòa với quy định, pháp luật, kinh nghiệm của thế giới. Dự thảo Luật gồm 7 Chương, 68 Điều.

Trình bày Báo cáo thẩm tra dự án Luật, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới nhất trí với sự cần thiết ban hành Luật; cho rằng, việc xây dựng dự án Luật nhằm bảo đảm cơ sở pháp lý; đáp ứng yêu cầu bảo vệ dữ liệu cá nhân; ngăn chặn các hành vi xâm phạm dữ liệu cá nhân; nâng cao trách nhiệm của các cơ quan, tổ chức, cá nhân. Việc xây dựng, ban hành Luật này là phù hợp với chủ trương, đường lối, quan điểm chỉ đạo của Đảng về chuyển đổi số quốc gia, phát triển kinh tế số, xây dựng xã hội số, đáp ứng yêu cầu hội nhập quốc tế, góp phần tạo đà đưa đất nước bước vào kỷ nguyên vươn mình của dân tộc.

Về xử lý vi phạm quy định bảo vệ dữ liệu cá nhân, Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội đề nghị cân nhắc quy định tại khoản 2: “Áp dụng mức xử phạt hành chính từ 1% đến 5% doanh thu năm liền trước của tổ chức, doanh nghiệp có vi phạm quy định về bảo vệ dữ liệu cá nhân”. Bởi, một số ý kiến cho rằng, mức xử phạt hành chính như vậy là không khả thi và quá nặng đối với tổ chức, doanh nghiệp. Một số ý kiến cho rằng, quy định này không thống nhất với quan điểm xử phạt vi phạm hành chính hiện nay là “Việc xử phạt vi phạm hành chính phải căn cứ vào tính chất, mức độ, hậu quả vi phạm, đối tượng vi phạm và tình tiết giảm nhẹ, tình tiết tăng nặng”. Một số ý kiến cho rằng, quy định phạt theo doanh thu năm liền trước không phù hợp với tổ chức, doanh nghiệp mới thành lập và trường hợp tổ chức, doanh nghiệp không có doanh thu hoặc có doanh thu mà không có lợi nhuận...

Về quyền của chủ thể dữ liệu, một số ý kiến cho rằng, quy định tại các điều luật trên đang tuyệt đối hóa quyền của chủ thể dữ liệu cá nhân dễ dẫn đến lạm dụng quyền mà gây cản trở, khó khăn cho quá trình xử lý dữ liệu của các bên kiểm soát, xử lý dữ liệu cá nhân; đề nghị bổ sung các quy định nhằm bảo vệ quyền, lợi ích của các bên kiểm soát, xử lý dữ liệu cá nhân khi thực hiện các yêu cầu của chủ thể dữ liệu cá nhân để bảo đảm hài hòa về quyền và lợi ích của các bên có liên quan.

Một số ý kiến nêu, các quy định bắt buộc thực hiện yêu cầu về hạn chế xử lý dữ liệu, phản đối xử lý dữ liệu, cung cấp dữ liệu, chỉnh sửa dữ liệu, xóa dữ liệu trong 72 giờ sau khi có yêu cầu của chủ thể dữ liệu cá nhân tại điểm b khoản 6 và điểm c khoản 8 Điều 8, khoản 3 Điều 16, khoản 2 Điều 17 và khoản 5 Điều 18 là không phù hợp với thông lệ quốc tế DPR và không bảo đảm tính khả thi, vì điều kiện hạ tầng, kỹ thuật và con người không đáp ứng được...

Về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu, Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội cơ bản nhất trí với các quy định về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu tại Điều 19, vì cho rằng các quy định này cơ bản được kế thừa từ Nghị định 13/2023/NĐ-CP, là sự bổ sung cho các quy định về xử lý dữ liệu cá nhân khi được sự đồng ý của chủ thể dữ liệu trong dự thảo Luật này.

Tuy nhiên, có ý kiến đề nghị rà soát các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu để bổ sung cho đầy đủ, kết hợp với các trường hợp xử lý dữ liệu cá nhân phải có sự đồng ý của chủ thể dữ liệu, tạo thành một thể thống nhất, toàn diện.

Có ý kiến cho rằng, hiện nay có nhiều luật và văn bản dưới luật quy định về một số trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu, do đó đề nghị rà soát bổ sung, đồng thời chỉnh sửa cụm từ “theo quy định của luật” tại các khoản 2, 3, 4 và 5 thành cụm từ “theo quy định của pháp luật”.

Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội đề nghị rà soát kỹ lưỡng các quy định về Chuyên gia bảo vệ dữ liệu cá nhân (Điều 39), Tổ chức bảo vệ dữ liệu cá nhân (Điều 41), Kinh doanh dịch vụ Tổ chức bảo vệ dữ liệu cá nhân (Điều 42), Xếp hạng tín nhiệm bảo vệ dữ liệu cá nhân (Điều 43) nhằm triệt để cắt giảm, đơn giản hóa thủ tục hành chính, điều kiện đầu tư sản xuất, kinh doanh và không quy định trong Luật những nội dung về thủ tục hành chính, trình tự, hồ sơ mà giao Chính phủ, các Bộ quy định theo thẩm quyền.