Các quy định về bảo vệ dữ liệu cá nhân của Việt Nam được giới hạn trong phạm vi lãnh thổ. Theo đó, các quy định này áp dụng đối với cá nhân, tổ chức kể cả khối tư nhân và thuộc sở hữu nhà nước trong phạm vi lãnh thổ Việt Nam khi thực hiện hoạt động xử lý dữ liệu cá nhân, chủ yếu tập trung vào dữ liệu cá nhân của công dân Việt Nam.
Hiện tại, các quy định về bảo vệ dữ liệu cá nhân của Việt Nam được ghi nhận tại Nghị định 13/2023/NĐ-CP có hiệu lực ngày 01/07/2023. Dự thảo Luật bảo vệ dữ liệu cá nhân đang được lấy ý kiến và có khả năng sẽ có hiệu lực vào thời gian tới, dự đoán sẽ có những quy định chi tiết hơn và có một số điểm tương đồng với quy định của pháp luật bảo vệ dữ liệu cá nhân của một số quốc gia như Canada, Hàn Quốc, Singapore. Cần lưu ý là tính chất lãnh thổ của Nghị định 13/2023/NĐ-CP đang có hiệu lực được thể hiện khá rõ nét, cụ thể:
1. Đối tượng và phạm vi điều chỉnh hoạt động xử lý dữ liệu cá nhân
Các quy định về bảo vệ dữ liệu cá nhân của Việt Nam được áp dụng với các đối tượng sau:
- Cơ quan, tổ chức, cá nhân Việt Nam;
- Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam;
- Cơ quan, tổ chức, cá nhân Việt Nam hoạt động tại nước ngoài;
- Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
Việc xác định đối tượng chịu sự điều chỉnh của pháp luật bảo vệ dữ liệu cá nhân hướng đến khoanh vùng phạm vi thực hiện hoạt động xử lý dữ liệu trong biên giới Việt Nam và tập trung bảo vệ dữ liệu cá nhân của công dân Việt Nam được xử lý.
2. Kiểm soát việc chuyển dữ liệu cá nhân thu thập tại Việt Nam ra nước ngoài
Với mục tiêu bảo vệ an toàn dữ liệu cá nhân của công dân Việt Nam được thu thập tại Việt Nam, pháp luật Việt Nam thực hiện việc kiểm soát, giám sát khi bên kiểm soát, bên kiểm soát và chuyển dữ liệu, bên chuyển dữ liệu cá nhân của công dân Việt Nam (i) tới một địa điểm nằm ngoài lãnh thổ Việt Nam hoặc (ii) sử dụng một địa điểm nằm ngoài lãnh thổ Việt Nam để xử lý, bao gồm cả:
- Việc chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài cho tổ chức, doanh nghiệp, bộ phận quản lý ở nước ngoài để xử lý phù hợp với mục đích đã được chủ thể dữ liệu đồng ý;
- Xử lý dữ liệu cá nhân của công dân Việt Nam bằng các hệ thống tự động nằm ngoài lãnh thổ Việt Nam của bên kiểm soát, bên xử lý, bên kiểm soát và xử lý dữ liệu phù hợp với mục đích đã được chủ thể dữ liệu đồng ý.
Đối với trường hợp này, bên chuyển dữ liệu phải:
- thực hiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (“Hồ sơ”), đồng thời, nộp một Hồ sơ này đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân của công dân Việt Nam. Sau khi hoàn tất chuyển dữ liệu, bên chuyển dữ liệu phải
- thông báo việc chuyển dữ liệu thành công đến cơ quan nêu trên theo Điều 25 Nghị định 13/2023/NĐ-CP. Cần lưu ý rằng, trước khi thực hiện thủ tục chuyển dữ liệu ra nước ngoài, bên chuyển dữ liệu phải lập Hồ sơ đánh giá tác động xử lý dữ liệu đối với các dữ liệu cá nhân thu thập tại Việt Nam để lưu trữ và phục vụ việc kiểm tra, giám sát theo Điều 24 Nghị định 13/2023/NĐ-CP.
Từ quy định trên, có thể thấy việc chuyển dữ liệu cá nhân của các chủ dữ liệu không phải là công dân Việt Nam ra nước ngoài không phải tuân thủ các thủ tục nêu trên.
3. Doanh nghiệp FDI phải tuân thủ pháp luật bảo vệ dữ liệu cá nhân của Việt Nam
Các doanh nghiệp FDI hoạt động kinh doanh trên nhiều vùng lãnh thổ và quốc gia khác nhau sẽ bị tác động, điều chỉnh bởi nhiều quy định về bảo vệ dữ liệu cá nhân khác nhau.
Tuy vậy, cần lưu ý rằng không có ngoại lệ nào dành cho các doanh nghiệp FDI này tại Việt Nam. Theo đó, khi trực tiếp hoặc có liên quan đến hoạt động thu thập và xử lý dữ liệu cá nhân tại Việt Nam, các doanh nghiệp FDI buộc phải tuân thủ pháp luật Việt Nam. Điều này có thể tạo ra một số bỡ ngỡ, băn khoăn về việc xung đột giữa các hệ thống pháp luật mà họ đang chịu tác động.
Tuy nhiên, nếu đánh giá một cách kỹ lưỡng, pháp luật bảo vệ dữ liệu cá nhân của Việt Nam gần như không gây ra sự mâu thuẫn nào do tính chất lãnh thổ của nó. Theo đó, Nghị định 13/2023/NĐ-CP gần như chỉ giới hạn trong phạm vi lãnh thổ Việt Nam và với chủ thể dữ liệu là công dân Việt Nam, trừ trường hợp chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài nhưng vẫn được giám sát thông qua hồ sơ lập tại Việt Nam.
Trong khi đó, một số quy định pháp luật của các quốc gia, vùng lãnh thổ khác tập trung bảo vệ dữ liệu cá nhân của công dân của họ mà không giới hạn bởi lãnh thổ như EU. Vì vậy, với các hoạt động thu thập, xử lý dữ liệu cá nhân ngoài phạm vi lãnh thổ Việt Nam, doanh nghiệp FDI tuân thủ theo pháp luật của vùng lãnh thổ, quốc gia đó.
4. Kết luận
Như vậy, yếu tố lãnh thổ của pháp luật bảo vệ dữ liệu cá nhân của Việt Nam được thể hiện khá rõ nét bởi các quy định cụ thể, xác định rõ ràng phạm vi, đối tượng, chủ thể dữ liệu là công dân Việt Nam với các hoạt động thu thập, xử lý dữ liệu tại Việt Nam. PLF hy vọng nội dung bài viết này sẽ hỗ trợ làm rõ thêm các thắc mắc của các tổ chức, cá nhân thực hiện thu thập và xử lý dữ liệu cá nhân tại Việt Nam, đặt biệt là doanh nghiệp FDI.
Tại công ty Luật PLF
Pháp luật Bảo vệ Dữ liệu Cá nhân tại Việt Nam nhằm mục đích bảo vệ dữ liệu cá nhân của công dân Việt Nam, dù ở trong nước hay nước ngoài. PLF hỗ trợ các chủ doanh nghiệp, đặc biệt là những chủ doanh nghiệp tham gia hoạt động FDI, tuân thủ các yêu cầu về thu thập và xử lý dữ liệu.
Tại PLF, chúng tôi còn cung cấp dịch vụ toàn diện cho “Tư Vấn Đầu Tư“, hỗ trợ doanh nghiệp về nhu cầu pháp lý, từ “Thành Lập Công Ty“, “Giấy Phép” đến “Lao Động & Việc Làm”.
Liên hệ công ty Luật PLF qua email inquiry@plf.vn hoặc liên hệ số điện thoại +84913 902 906 hoặc Zalo | Viber | WhatsApp để nhận được 30 phút tư vấn miễn phí ban đầu.
Thời gian viết bài: ngày 10/10/2024.
Công ty Luật TNHH PLF
