Doanh nghiệp nhỏ được miễn trừ nhân sự bảo vệ dữ liệu cá nhân trong 5 năm

Sáng 5/6, tiếp tục chương trình phiên họp thứ 46 của Ủy ban Thường vụ Quốc hội, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới trình bày báo cáo giải trình, tiếp thu, chỉnh lý Dự thảo Luật Bảo vệ dữ liệu cá nhân.

Chủ nhiệm Lê Tấn Tới cho biết, qua quá trình thảo luận tại Tổ và Hội trường, dự thảo luật đã nhận được 97 lượt phát biểu tại Tổ, 14 lượt tại Hội trường và 03 ý kiến gửi bằng văn bản. Dự thảo sau chỉnh lý rút gọn còn 5 chương, 47 điều, giảm 2 chương và 21 điều so với bản Chính phủ trình. Tất cả các nội dung đã được cơ quan thẩm tra và cơ quan soạn thảo thống nhất, bảo đảm tính đồng bộ, khả thi và phù hợp thông lệ quốc tế.

Mở rộng phạm vi, nâng cao quyền chủ thể dữ liệu

Về phạm vi điều chỉnh, dự thảo luật làm rõ áp dụng đối với cả môi trường mạng và môi trường vật lý, kể cả tổ chức, cá nhân nước ngoài trực tiếp hoặc liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam.

Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới báo cáo giải trình, tiếp thu, chỉnh lý Dự thảo Luật Bảo vệ dữ liệu cá nhân. Ảnh: VPQH

Khái niệm “dữ liệu cá nhân” được điều chỉnh phù hợp với pháp luật chuyên ngành, thông lệ quốc tế. Dự thảo bổ sung khái niệm “dữ liệu cá nhân cơ bản”, “dữ liệu cá nhân nhạy cảm”, “bảo vệ dữ liệu cá nhân”, “đánh giá tác động xử lý dữ liệu cá nhân”. Dữ liệu cá nhân sau khi khử nhận dạng sẽ không được coi là dữ liệu cá nhân nữa. Các khái niệm chỉ dùng một lần trong luật được đưa vào điều khoản cụ thể để thuận tiện tra cứu.

Về quyền của chủ thể dữ liệu, dự thảo đã thiết kế lại, quy định rõ các quyền như quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa, xóa dữ liệu, quyền yêu cầu hạn chế xử lý, rút lại sự đồng ý và các quyền khác. Đồng thời, bổ sung nghĩa vụ của chủ thể dữ liệu: tuân thủ pháp luật, không cản trở hoạt động hợp pháp của bên xử lý, không xâm phạm quyền và lợi ích của người khác.

Dự thảo không quy định cứng thời hạn 72 giờ như trước mà yêu cầu thực hiện “kịp thời” theo pháp luật chuyên ngành, giao Chính phủ quy định chi tiết, tạo tính linh hoạt trong áp dụng.

Các hành vi bị nghiêm cấm được làm rõ tại Điều 7 như: xử lý dữ liệu để chống Nhà nước, cản trở hoạt động bảo vệ dữ liệu, lợi dụng bảo vệ dữ liệu để vi phạm pháp luật, thu thập trái phép, tiết lộ, chuyển giao, mua bán, chiếm đoạt hoặc cố ý làm lộ dữ liệu cá nhân.

Về xử lý vi phạm, Điều 8 quy định rõ nguyên tắc: tùy theo tính chất, mức độ, hậu quả mà xử phạt hành chính hoặc truy cứu trách nhiệm hình sự. Mức phạt hành chính được thiết kế ở ngưỡng cao: phạt đến 10 lần khoản thu trái pháp luật từ hành vi mua bán dữ liệu, phạt đến 5% doanh thu đối với vi phạm chuyển dữ liệu xuyên biên giới, phạt đến 3 tỷ đồng cho hành vi khác. Cá nhân vi phạm bị phạt bằng một nửa so với tổ chức. Chính phủ sẽ quy định chi tiết phương pháp tính phạt.

Miễn trừ nghĩa vụ cho doanh nghiệp nhỏ, cắt giảm thủ tục hành chính

Về chuyển dữ liệu cá nhân ra nước ngoài, dự thảo đã đổi tên Điều 30 cho thống nhất với Luật Dữ liệu và áp dụng cơ chế hậu kiểm thay vì yêu cầu xin phép trước. Hồ sơ đánh giá tác động chỉ lập một lần cho suốt quá trình hoạt động, cập nhật khi cần thiết. Cơ quan chuyên trách chỉ kiểm tra khi xét thấy cần thiết. Nếu đã đánh giá tác động theo Luật này thì không cần đánh giá tương tự theo Luật Dữ liệu.

Dự thảo tiếp tục kế thừa nội dung Chính phủ trình, yêu cầu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển dữ liệu xuyên biên giới. Giao Chính phủ quy định cụ thể điều kiện, trình tự, thủ tục.

Sáng 5/6/2025, Uỷ ban Thường vụ Quốc hội cho ý kiến về việc tiếp thu, giải trình, chỉnh lý dự thảo Luật Bảo vệ dữ liệu cá nhân. Ảnh: VPQH

Theo Chủ nhiệm Lê Tấn Tới, có ý kiến đề nghị quy định rõ lực lượng bảo vệ dữ liệu cá nhân và đề nghị miễn trừ thuê chuyên gia bảo vệ dữ liệu cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp; bổ sung quy định cho phép doanh nghiệp tự bảo vệ nếu đủ năng lực, chỉ thuê khi cần thiết, tránh gây gánh nặng cho doanh nghiệp nhỏ.

Tiếp thu ý kiến của đại biểu Quốc hội, Thường trực Ủy ban Quốc phòng An ninh Đối ngoại đã phối hợp với cơ quan soạn thảo chỉnh lý. Về lực lượng bảo vệ dữ liệu cá nhân (Điều 34), dự thảo quy định gồm ba nhóm: lực lượng chuyên trách thuộc Bộ Công an, bộ phận hoặc nhân sự nội bộ phụ trách bảo vệ dữ liệu tại tổ chức, doanh nghiệp và các tổ chức, chuyên gia cung cấp dịch vụ. Quy định chuyển từ bắt buộc sang lựa chọn, cho phép doanh nghiệp tự bố trí nhân sự nội bộ hoặc lựa chọn dịch vụ phù hợp.

“Đặc biệt, Điều 46 quy định hiệu lực thi hành và các chính sách linh hoạt. Doanh nghiệp siêu nhỏ và hộ kinh doanh được miễn trừ hoàn toàn nghĩa vụ phải có nhân sự, chuyên gia bảo vệ dữ liệu cá nhân cũng như yêu cầu về đánh giá tác động xử lý dữ liệu cá nhân. Đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, được quyền lựa chọn thực hiện hoặc không thực hiện các yêu cầu này trong thời hạn 5 năm kể từ khi thành lập hoặc kể từ khi Luật này có hiệu lực’’, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới cho biết.

Quán triệt Nghị quyết 27-NQ/TW và chỉ đạo của Tổng Bí thư, Chủ tịch Quốc hội, dự thảo đã cắt giảm mạnh thủ tục hành chính, giao Chính phủ quy định tại 9 điều luật. Dự thảo bỏ quy định về điều kiện kinh doanh dịch vụ bảo vệ dữ liệu, dịch vụ chuyên gia, bỏ Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân và các trình tự, hồ sơ liên quan đến cung cấp dữ liệu, xếp hạng tín nhiệm, cấp chứng nhận.

Ngoài những nội dung trên, dự thảo đã được rà soát toàn diện về bố cục, kỹ thuật lập pháp, bổ sung quy định chuyển tiếp, bảo đảm tính rõ ràng, khả thi, phù hợp yêu cầu thực tiễn.