Con đường hướng tới tuân thủ PDPD còn nhiều thách thức

Về mặt nguyên tắc, dự thảo nghị định này phù hợp với các tiêu chuẩn quốc tế, như Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu. Những quy định mới sẽ làm thay đổi phương thức mà doanh nghiệp: như tiến hành các thủ tục đánh giá rủi ro liên quan tới xử lý dữ liệu cá nhân một cách nghiêm ngặt; rà soát và cập nhật những tài liệu quy trình và hướng dẫn thực hiện liên quan phù hợp với quy định mới; xem xét các quyền của chủ thể dữ liệu một cách toàn diện.

Dự thảo đưa ra những khái niệm rộng mở về dữ liệu cá nhân, quyền chủ thể dữ liệu, chuyên viên bảo vệ dữ liệu, áp dụng ngoài lãnh thổ và các mức xử phạt đối với việc không tuân thủ…

Ảnh minh họa

PwC chỉ ra, dự thảo nghị định khi được thông qua sẽ tác động đến mọi công ty xử lý dữ liệu cá nhân tại Việt Nam và nước ngoài nếu đơn vị nước ngoài xử lý dữ liệu cá nhân của người dân Việt Nam; có thể bao gồm dữ liệu cá nhân nhạy cảm, chuyển dữ liệu cá nhân ra nước ngoài, các chương trình khách hàng thân thiết...

Tuy nhiên kết quả từ khảo sát của PwC về mức độ sẵn sàng cho PDPD của doanh nghiệp được tiến hành tại Việt Nam từ ngày 19/7/2021 đến ngày 9/8/2021 cho thấy, nhiều tổ chức ở Việt Nam chưa sẵn sàng cho dự thảo nghị định được đề xuất. Hơn một nửa (66%) số người tham gia khảo sát không có kế hoạch hoặc mới lên kế hoạch một phần cho lộ trình hướng tới tuân thủ PDPD và các quy định về quyền riêng tư dữ liệu địa phương; 41% nhận thức được yêu cầu thông báo cho chủ thể dữ liệu về tất cả các hoạt động liên quan đến xử lý dữ liệu cá nhân của họ, nhưng không biết phương pháp chuẩn bị cho việc này hoặc không biết về yêu cầu của PDPD. Chỉ 21% có DPO (cán bộ bảo vệ dữ liệu) chính thức để quản lý tất cả các vấn đề liên quan đến bảo vệ dữ liệu cá nhân.

Theo PwC, các tổ chức ở Việt Nam đã chuẩn bị cho PDPD ở một mức độ nhất định nhưng họ thực hiện chính sách và thủ tục kiểm soát khác nhau. Các tổ chức hiện đang hạn chế quyền truy cập vào dữ liệu cá nhân họ nắm giữ đối với chủ thể dữ liệu. 50% người tham gia khảo sát đã xác định các chính sách và thủ tục kiểm soát để hạn chế quyền truy cập vào dữ liệu cá nhân. 29% sử dụng giải pháp mật khẩu và xác thực hai yếu tố. 13% thực hiện đánh giá rủi ro dữ liệu cá nhân. Các biện pháp ngăn chặn truy cập trái phép vào các thiết bị được sử dụng để xử lý dữ liệu cá nhân hoặc để đọc, sao chép, thay đổi hoặc xóa dữ liệu cá nhân. 65% xác định và thực hiện các quy trình và giải pháp kiểm soát truy cập để ngăn chặn truy cập trái phép. Chỉ có 12% không biết về các yêu cầu của PDPD và hiện không có bất kỳ biện pháp nào để quản lý quá trình này.

PwC cũng chỉ ra những hạn chế dự kiến đối với việc truyền dữ liệu cá nhân xuyên biên giới gây ra rủi ro đáng kể cho nhiều tổ chức ở Việt Nam. Như 60% hiện đang lưu trữ dữ liệu trên đám mây hoặc bên ngoài Việt Nam; 52% không có bất kỳ quy trình quản lý rủi ro nào đối với bên thứ ba để quản lý việc bảo vệ dữ liệu cá nhân khi chia sẻ/chuyển giao cho bên thứ ba; 52% không có quy trình ứng phó sự cố/vi phạm dữ liệu.

Trong khi đó, theo dự thảo thời điểm hiệu lực Nghị định dự kiến ngày 1/12/2021 đã gần kề, vì vậy việc chuẩn bị đóng vai trò then chốt. PwC chỉ ra những vấn đề cần lưu ý chuẩn bị theo dự thảo nghị định như: Các tổ chức phải có một bộ phận giám sát việc bảo vệ dữ liệu cá nhân và (các) Cán bộ bảo vệ dữ liệu (DPO); Tổ chức xử lý dữ liệu cá nhân phải phát triển và ban hành bộ quy định dữ liệu cá nhân của riêng mình. Hay như để đáp ứng việc chuyển dữ liệu cá nhân xuyên biên giới chỉ có thể được thực hiện khi đáp ứng 5 điều kiện cụ thể (Chủ thể dữ liệu đã đồng ý với việc chuyển giao dữ liệu; Dữ liệu cá nhân gốc được lưu trữ tại Việt Nam; Quốc gia của bên nhận áp dụng mức bảo vệ dữ liệu tương đương hoặc cao hơn; Ủy ban Bảo vệ dữ liệu cá nhân (PDPC) đồng ý với việc chuyển giao bằng văn bản; Các công ty sẽ cần đăng ký dữ liệu cá nhân nhạy cảm với PDPC). Đồng thời phải đảm bảo 8 nguyên tắc bảo vệ dữ liệu chính mà mỗi bộ xử lý dữ liệu sẽ cần tuân theo khi xử lý dữ liệu cá nhân.

Theo dự thảo, việc vi phạm nghị định bảo vệ dữ liệu cá nhân có thể bị phạt tài chính tới 5% tổng doanh thu của doanh nghiệp tại Việt Nam. “Những doanh nghiệp không bảo vệ dữ liệu cá nhân và không tuân thủ PDPD không chỉ có nguy cơ bị xử phạt tài chính mà còn phải đối mặt với rủi ro hoạt động kém hiệu quả, chịu sự can thiệp của các cơ quan quản lý và quan trọng nhất là mất lòng tin vĩnh viễn của người tiêu dùng”, PwC khuyến nghị.