Luật Bảo vệ dữ liệu cá nhân vừa được Quốc hội thông qua sáng 26/6 quy định mức phạt hành chính với hành vi mua, bán dữ liệu cá nhân có thể lên tới 10 lần khoản thu từ vi phạm. Luật quy định 7 hành vi bị nghiêm cấm, trong đó cấm mua bán dữ liệu cá nhân.
Sáng 26/6, tiếp tục chương trình Kỳ họp thứ 9, với 433/435 (đạt 90,59%) đại biểu tham gia biểu quyết tán thành, Quốc hội chính thức thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/7/2025.
Đại biểu Quốc hội tại hội trường Diên Hồng. (ảnh: Quốc hội)
Trong đó, Luật quy định 7 hành vi bị nghiêm cấm, gồm: Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; Cản trở hoạt động bảo vệ dữ liệu cá nhân; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.
Ngoài ra còn nghiêm cấm: Xử lý dữ liệu cá nhân trái quy định của pháp luật; Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật; Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.
Tổ chức, cá nhân có hành vi vi phạm quy định của Luật và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.
Quốc hội chính thức thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/7/2025. (ảnh: Quốc hội)
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 3 tỷ đồng.
Trước khi đại biểu biểu quyết, trình bày báo cáo giải trình, tiếp thu, chỉnh lý dự án Luật, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới cho biết, nhiều ý kiến cho rằng, dự thảo Luật đang tuyệt đối hóa quyền của chủ thể dữ liệu cá nhân, đề nghị quy định các quyền cho rõ ràng hơn, chặt chẽ hơn để tránh lạm dụng; cân nhắc thời gian thực hiện các quyền là 72 giờ.
Tiếp thu ý kiến của đại biểu Quốc hội, Uỷ ban Thường vụ Quốc hội đã chỉ đạo thiết kế lại quy định về quyền của chủ thể dữ liệu tại Điều 4 cho rõ ràng hơn, phù hợp với thông lệ quốc tế.
Theo đó, quyền của chủ thể dữ liệu cá nhân bao gồm: Được biết về hoạt động xử lý dữ liệu cá nhân; Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân; Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
Ngoài ra còn có quyền: Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật; Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.
Mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần doanh thu (ảnh: internet)
Đồng thời, dự án Luật cũng bổ sung quy định khi thực hiện quyền, chủ thể dữ liệu phải có nghĩa vụ tuân thủ các nguyên tắc: đúng pháp luật và tuân thủ nghĩa vụ theo hợp đồng; phải nhằm mục đích bảo vệ quyền, lợi ích hợp pháp của chính chủ thể dữ liệu cá nhân.
Không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ pháp lý của các bên và không được xâm phạm đến quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.
Ngân hàng không được thu thập thông tin tín dụng để chấm điểm
Luật cũng đặt ra các nguyên tắc bảo vệ dữ liệu trong lĩnh vực tài chính, ngân hàng và thông tin tín dụng.
Theo đó, tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng không sử dụng thông tin tín dụng của chủ thể dữ liệu cá nhân để chấm điểm, xếp hạng tín dụng, đánh giá thông tin tín dụng, đánh giá mức độ tín nhiệm về tín dụng của chủ thể dữ liệu cá nhân khi chưa có sự đồng ý.
Tổ chức tín dụng chỉ thu thập những dữ liệu cá nhân cần thiết phục vụ cho hoạt động thông tin tín dụng từ các nguồn phù hợp với quy định và phải thông báo cho chủ thể dữ liệu cá nhân trong trường hợp lộ, mất thông tin về tài khoản ngân hàng, tài chính, tín dụng, thông tin tín dụng.
Tổ chức, cá nhân thực hiện hoạt động thông tin tín dụng áp dụng các biện pháp phòng, chống truy cập, sử dụng, tiết lộ, chỉnh sửa trái phép dữ liệu cá nhân của khách hàng; có giải pháp khôi phục dữ liệu cá nhân của khách hàng trong trường hợp bị mất; bảo mật trong quá trình thu thập, cung cấp, xử lý dữ liệu cá nhân của khách hàng.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026.
Hoàng Hà (Theo vov.vn)