Chế tài này nhằm buộc các đơn vị nắm giữ dữ liệu lớn phải chịu trách nhiệm tương xứng, không thể để xảy ra rò rỉ rồi xem tiền phạt như một khoản chi phí kinh doanh. Trong nền kinh tế số, dữ liệu không chỉ là thông tin cần bảo vệ mà còn là tài sản; quy mô khai thác càng lớn thì nghĩa vụ bảo đảm an toàn càng phải cao.
Không để tiền phạt thành chi phí kinh doanh
Cơ quan chức năng đã phát hiện 300 vụ rao bán với hơn 1,7 triệu bản ghi dữ liệu trong các lĩnh vực y tế, giáo dục, dịch vụ công, ngân hàng, điện lực, bảo hiểm, chứng khoán, căn cước công dân, vận chuyển, viễn thông… Đáng chú ý, từng có vụ tin tặc chiếm đoạt, rao bán hơn 160 triệu bản thông tin khách hàng của Trung tâm Thông tin tín dụng quốc gia thuộc Ngân hàng Nhà nước Việt Nam. Nguy cơ lộ lọt dữ liệu vì vậy không chỉ gây phiền toái từ các cuộc gọi quảng cáo mà còn có thể trở thành đầu vào cho những kịch bản lừa đảo có tổ chức.
Ông Đăng Hà, ngụ phường Dĩ An (TPHCM), thường xuyên nhận các cuộc gọi môi giới bất động sản, thông báo trúng thưởng dù không tham gia. Người gọi nắm rõ họ tên, năm sinh, địa chỉ của ông; không biết thông tin lọt từ đâu.
Khoản 2 Điều 57 của dự thảo luật đề xuất phạt tối đa 5% doanh thu tại Việt Nam của năm tài chính liền kề trước đó đối với doanh nghiệp vi phạm đặc biệt nghiêm trọng về bảo vệ dữ liệu quan trọng, dữ liệu cốt lõi. Đề xuất này thay cho chế tài hiện nay chủ yếu là phạt tiền cố định, chưa đủ sức răn đe đối với doanh nghiệp có doanh thu lớn. Một mức phạt cố định có thể rất lớn với doanh nghiệp nhỏ nhưng lại quá thấp với tập đoàn quy mô hàng chục ngàn tỷ đồng. Phạt theo tỷ lệ doanh thu đặt trách nhiệm tài chính trong tương quan với năng lực kinh tế của chủ thể vi phạm.
TS Trần Quý, Viện trưởng Viện Phát triển kinh tế số Việt Nam, nhận định phạt theo tỷ lệ doanh thu là bước chuyển cần thiết trong quản trị dữ liệu. Khi tiền phạt thấp hơn lợi ích thu được hoặc thấp hơn chi phí tuân thủ, chế tài dễ bị xem như chi phí kinh doanh. Theo ông, cơ chế này bảo đảm tính tương xứng với quy mô doanh nghiệp, duy trì sức răn đe và buộc hội đồng quản trị xem an ninh dữ liệu là trách nhiệm quản trị cấp cao. TS Bạch Thị Nhã Nam, giảng viên Khoa Luật, Trường Đại học Kinh tế - Luật (Đại học Quốc gia TPHCM), cho rằng việc chuyển từ mức phạt cố định sang tỷ lệ doanh thu giúp bảo đảm nguyên tắc tương xứng: quy mô hoạt động càng lớn, trách nhiệm tài chính càng cao. Tuy nhiên, mức 5% chỉ nên là mức trần. Mức phạt cụ thể cần căn cứ tính chất, mức độ nghiêm trọng, hậu quả và các tình tiết của từng vụ việc. Mục tiêu của chế tài là phòng ngừa vi phạm, bảo vệ quyền lợi người dân chứ không đơn thuần chỉ thu tiền phạt.
TS Bạch Thị Nhã Nam đề xuất phân loại cụ thể mức độ vi phạm, đánh giá trách nhiệm giải trình của doanh nghiệp, công khai căn cứ xác định mức phạt. TS Trần Quý kiến nghị bổ sung nghĩa vụ thông báo trực tiếp cho người bị ảnh hưởng khi xảy ra sự cố; quy định trách nhiệm liên đới giữa các bên kiểm soát, xử lý và lưu trữ dữ liệu để tránh đùn đẩy trách nhiệm.
Chế tài mạnh phải đi cùng tiêu chí rõ
Theo TS Bạch Thị Nhã Nam, Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu cho phép phạt tối đa 4% tổng doanh thu toàn cầu hoặc 20 triệu EUR, tùy mức nào cao hơn... Một số nước như Brazil, Singapore, Hàn Quốc, Trung Quốc cũng xây dựng cơ chế xử lý gắn với doanh thu hoặc lợi ích thu được trong trường hợp vi phạm nghiêm trọng. Kinh nghiệm quốc tế cho thấy điều quan trọng không chỉ là mức trần cao, mà còn là phương pháp xác định mức phạt minh bạch để doanh nghiệp dự báo được rủi ro pháp lý và cơ quan có thẩm quyền áp dụng thống nhất. TS Trần Quý cho rằng pháp luật phải làm rõ phạm vi doanh thu được tính, tiêu chí xác định vi phạm và cơ chế kiểm soát quyết định xử phạt. Cần phân biệt sự cố do tấn công mạng với hành vi vi phạm nghĩa vụ bảo vệ dữ liệu. Doanh nghiệp chỉ nên bị xử phạt khi có lỗi, thiếu biện pháp bảo vệ hợp lý, che giấu hoặc chậm thông báo cho cơ quan chức năng và người bị ảnh hưởng.
Luật sư Đoàn Thị Hồng Linh, Đoàn Luật sư TPHCM, đề xuất xây dựng khung tiêu chí định lượng để xác định mức độ vi phạm, tránh áp dụng hoàn toàn theo đánh giá chủ quan. Các tiêu chí có thể gồm số lượng chủ thể dữ liệu bị ảnh hưởng, loại dữ liệu bị xâm phạm, hậu quả thực tế, mức độ lỗi và hành vi của doanh nghiệp sau sự cố. Hệ thống tiêu chí rõ ràng sẽ giúp áp dụng pháp luật thống nhất và tạo cơ sở để doanh nghiệp chủ động đánh giá rủi ro. Suy cho cùng, doanh nghiệp được hưởng lợi từ việc thu thập, phân tích và khai thác dữ liệu thì cũng phải chịu trách nhiệm tương xứng khi không bảo vệ được dữ liệu ấy. Một mức phạt đủ mạnh, đi kèm tiêu chí rõ và cơ chế giải trình minh bạch, sẽ tạo áp lực để an ninh dữ liệu trở thành yêu cầu quản trị ngay từ đầu, thay vì chỉ được xử lý sau khi sự cố xảy ra.
