Quy định mức xử lý vi phạm về bảo vệ dữ liệu cá nhân như thế nào thì hợp lý?

Tại thảo luận tổ, các ĐBQH tán thành về sự cần thiết phải ban hành Luật Bảo vệ dữ liệu cá nhân. Bởi, trong bối cảnh chuyển đổi số diễn ra sâu rộng trên hầu hết các lĩnh vực hiện nay thì nguy cơ lộ, mất DLCN trong quá trình thu thập, chuyển giao, lưu trữ, khai thác, sử dụng ngày càng cao nếu không có biện pháp bảo vệ tương xứng; các hoạt động chiếm đoạt, đăng tải công khai, thu thập, xử lý DLCN mà chưa có sự đồng ý của chủ thể dữ liệu đã và đang gây ra những hậu quả đối với chủ thể dữ liệu, làm ảnh hưởng đến sự ổn định và phát triển của các ngành, lĩnh vực tương ứng, thậm chí ảnh hưởng đến sức cạnh tranh của nền kinh tế và chủ quyền số của quốc gia.

Bên cạnh đó, công tác bảo vệ DLCN của nhiều cơ quan, tổ chức, doanh nghiệp, cá nhân có hoạt động thu thập DLCN vẫn còn sơ hở, buông lỏng, chưa có các biện pháp quản lý và kỹ thuật phù hợp; các hoạt động thu thập, tấn công, chiếm đoạt, mua bán trái phép DLCN diễn biến phức tạp.

Góp ý vào dự án luật này, ĐBQH Mai Văn Hải (Thanh Hóa) quan tâm đến quy định tại Khoản 2, Điều 4 dự thảo luật quy định “Áp dụng mức xử phạt hành chính từ 1% đến 5% doanh thu năm liền trước của tổ chức, doanh nghiệp có vi phạm quy định về bảo vệ dữ liệu cá nhân. Chính phủ quy định cụ thể về mức phạt, khung tiền phạt đối với từng hành vi vi phạm hành chính”. Theo đại biểu Mai Văn Hải, quy định này chưa hợp lý, bởi nếu quy định phạt theo doanh thu thì với cùng một hành vi vi phạm thì doanh nghiệp lớn, doanh thu lớn sẽ phải nộp phạt nhiều; doanh nghiệp nhỏ, doanh thu ít thì nộp phạt ít; như vậy, mức xử phạt không công bằng và rất khó kiểm soát.

Đồng tình với quan điểm này, ĐBQH Vũ Xuân Hùng (Thanh Hóa) nêu thực tế, nhiều tổ chức, doanh nghiệp mới hoạt động năm đầu thì sẽ không có doanh thu năm liền trước để làm căn cứ xử phạt; một số doanh nghiệp chưa có doanh thu hoặc có doanh thu nhưng chưa có lợi nhuận sẽ rất khó khăn; chưa kể, đối với những doanh nghiệp, công ty đa ngành nghề hoặc mô hình công ty mẹ - công ty con, tập đoàn, nghiệp đoàn có tổng doanh thu rất lớn, nếu căn cứ doanh thu để xử phạt thì mức xử phạt rất cao, không phù hợp. “Hiện nay, mức xử phạt hành chính được quy định trong Luật xử lý vi phạm hành chính thì mức phạt không quá 2 tỷ đồng. Do đó, tôi đề nghị cần nghiên cứu xử phạt với tỷ lệ theo doanh thu của hành vi vi phạm”, đại biểu Hùng đề nghị.

Cho rằng việc quy định mức xử phạt theo doanh thu của tổ chức, doanh nghiệp là chưa hợp lý, ĐBQH Nguyễn Hoàng Mai (Tiền Giang) cho rằng: “Nếu đề xuất một mức quy định cụ thể như trong Luật xử lý vi phạm hành chính cũng rất khó vì có nhiều yếu tố khác nhau; còn nếu quy định bằng doanh thu thì phải có mức trần trên, tức là chủ thể không được vượt quá bao nhiêu, chúng ta không thể thả nổi mà không có mức trần để khống chế, rất nguy hiểm khi xử phạt hành chính”.

Các ĐBQH cũng nêu và phân tích rất nhiều vấn đề còn “bất cập”, chưa cụ thể, rõ ràng, chưa đồng bộ, thống nhất trong dự thảo Luật. Điển hình, như tại Khoản 1, Điều 3 quy định nguyên tắc công khai trong bảo vệ dữ liệu cá nhân, quy định “công khai” chưa đúng với nguyên tắc bảo vệ DLCN. Việc xử lý DLCN có liên quan đến quyền, lợi ích của chủ thể dữ liệu, đời sống riêng tư, bí mật cá nhân, bí mật gia đình, danh dự, uy tín của cá nhân (được Hiến pháp bảo vệ), nếu tất cả phải công khai thì không phù hợp và dễ bị các loại đối tượng thu thập, sử dụng trái phép gây thiệt hại cho chủ thể dữ liệu, cơ quan, tổ chức, doanh nghiệp. Do đó, đề nghị bỏ nguyên tắc xử lý “công khai”; trường hợp cần phải“công khai” thì quy định rõ đối với loại DLCN nào để thuận lợi cho việc thực hiện.

Bên cạnh đó, các ĐBQH cho rằng, dự thảo mới chỉ đề cập vấn đề xử lý vi phạm đối với tổ chức, còn đối với cá nhân thì chưa quy định rõ. Đối với Điều 8 quy định về quyền của chủ thể dữ liệu, theo các đại biểu, hầu hết các điều đều quy định “trừ trường hợp luật khác có quy định khác”. Cần làm rõ quy định này, bởi vì nếu không quy định cụ thể sẽ dẫn đến xung đột khi áp dụng pháp luật, nhất là với các quy định của Luật Dữ liệu liên quan đến dữ liệu dùng chung, dữ liệu mở và quy định của Điều 12 về thu thập, phân loại, thông báo xử lý dữ liệu cho cá nhân…

Tại phiên thảo, nhiều ĐBQH cũng đánh giá, Dự án Luật Bảo vệ dữ liệu cá nhân là một nội dung mới, khó, ít kinh nghiệm và còn nhiều nội dung chưa thực sự hợp lý. Do đó, cần thêm thời gian để nghiên cứu, thảo luận, chỉnh sửa để bảo đảm tính chặt chẽ, phù hợp thực tiễn khi ban hành.

Đào Cảnh