Luật dữ liệu: bài toán niềm tin

(KTSG) – Ai trong chúng ta hẳn cũng đã từng trải qua cảm giác nơm nớp khi lần đầu tiên đăng ký tài khoản trên một nền tảng số nào đó, nhất là ở giai đoạn cung cấp thông tin. Ta lo lắng không biết ai sẽ bảo quản những thông tin như địa chỉ, số điện thoại, số tài khoản ngân hàng, không biết hệ thống của bên kia có đủ sức chống lại hacker hay không, không biết có ai khác ngoài đối phương “đọc” được dữ liệu về mình hay không…

Niềm tin là một trong những trụ cột không thể thiếu khi xây dựng nền móng cho công cuộc chuyển đổi số. Bên cạnh những nhiệm vụ khẩn bách, lần đầu tiên Quyết định 749/QĐ-TTg năm 2020 của Thủ tướng Chính phủ đặt thêm nhiệm vụ phải “tạo lập niềm tin trong môi trường số”(1). Tiếp đó, Quyết định 411/QĐ-TTg ban hành năm 2022 làm rõ hơn ý nghĩa của nhiệm vụ trên là “…xây dựng môi trường số an toàn, lành mạnh, tạo niềm tin để mạnh mẽ thực hiện chuyển đổi từ môi trường thực lên môi trường số”(2).

Với tư cách là văn bản quy phạm pháp luật chính thức, hai văn bản trên đã luật hóa quyết tâm sâu sắc của cơ quan nhà nước trong việc xây dựng một môi trường số an toàn, lành mạnh, thúc đẩy trao đổi và giao dịch dữ liệu.

Căn cơ vấn đề: luật phải xác định rõ đối tượng điều chỉnh

Thời điểm hiện tại, ta vẫn còn loay hoay giữa nhiều thuật ngữ pháp lý liên quan đến dữ liệu, chứ chưa nói đến việc có những đạo luật thống nhất về bảo vệ dữ liệu cá nhân nói riêng và dữ liệu số nói chung. Một tác giả đã thống kê được đến gần… 10 thuật ngữ pháp lý khác nhau liên quan đến dữ liệu cá nhân và thông tin cá nhân trong các văn bản pháp lý(3)! Nếu không có sự thống nhất về mặt thuật ngữ, làm sao có thể xác định đối tượng điều chỉnh cụ thể của quy phạm pháp luật? Sự lộn xộn về thuật ngữ ắt dẫn đến hệ quả là quy định chồng chéo, bất cập, như rất nhiều đạo luật ở lĩnh vực khác đã từng chứng kiến.

Bên cạnh đó, việc phân loại dữ liệu để có cơ chế điều chỉnh phù hợp là rất quan trọng. Báo cáo Phát triển Thế giới 2021 (World Development Report 2021) do nhóm nghiên cứu thuộc tổ chức Ngân hàng Thế giới (World Bank) phân loại dữ liệu thành (1) dữ liệu được dùng vào mục đích công, và (2) dữ liệu được dùng vào mục đích tư. Nếu nhóm dữ liệu (2) được sử dụng chủ yếu bởi doanh nghiệp trong những giao dịch đóng, thì dữ liệu ở nhóm (1) có thể được “mở” để phục vụ những bài toán phát triển lớn hơn của cộng đồng(4).

Khung pháp lý bảo đảm an toàn, cũng phải thúc đẩy chia sẻ

Để có được niềm tin vào thiết chế xã hội số, quyền và lợi ích của mọi bên liên quan đến việc sử dụng dữ liệu phải được đảm bảo. Muốn vậy, khung pháp lý về dữ liệu phải bao gồm nhóm quy phạm bảo đảm và nhóm quy phạm kiến tạo.

Đối với dữ liệu cá nhân, cần có cơ chế đảm bảo quyền của chủ thể dữ liệu, quy trách nhiệm về cho doanh nghiệp và thương nhân được trao quyền xử lý.

Nhóm quy phạm bảo đảm (safeguards) sẽ thúc đẩy niềm tin trong các giao dịch dữ liệu tư nhân bằng cách giảm thiểu thiệt hại phát sinh từ việc sử dụng dữ liệu sai (misuse). Đối với dữ liệu cá nhân, cần có cơ chế đảm bảo quyền của chủ thể dữ liệu, quy trách nhiệm về cho doanh nghiệp và thương nhân được trao quyền xử lý.

Đối với dữ liệu phi cá nhân, cần trung hòa lợi ích chính đáng của các bên trong quan hệ xử lý dữ liệu bằng các quy định về đánh giá, kiểm định bắt buộc, quy ước giới hạn chia sẻ, can thiệp của các bên liên quan.

Nhóm quy phạm này cần đặt ra nghĩa vụ cho chủ thể kiểm soát, xử lý dữ liệu phải bảo mật và bảo trì cơ sở hạ tầng công nghệ; đồng thời trao quyền cho cơ quan thi hành luật trong việc điều tra, xử lý sai phạm về dữ liệu theo đúng quy trình, thủ tục trong luật.

Hai đạo luật là Luật An ninh mạng 2018 và Luật an toàn thông tin mạng 2015 đã làm rất tốt vai trò này, tuy nhiên, cấu trúc của các quy phạm chưa thể hiện sự phân biệt giữa các biện pháp bảo vệ dữ liệu cá nhân với phi cá nhân, mà đang áp dụng cùng một cơ chế điều chỉnh cho cả hai loại dữ liệu.

Bên cạnh đó, dữ liệu có tính tái sử dụng rất cao. Điều này nghĩa là cùng một bể dữ liệu có thể được sử dụng vào nhiều mục đích khác nhau, bởi nhiều chủ thể khác nhau, với thời gian và không gian hết sức linh hoạt. Dữ liệu tư có thể được tái lập mục tiêu sử dụng (repurpose) để phục vụ các mục tiêu công. Ví dụ, dữ liệu về vị trí của người dùng mạng xã hội có thể được dùng để phân tích và kết nối người dùng với những nhà quảng cáo tiềm năng trong khu vực, nhưng đồng thời có thể phục vụ điều tra dịch tễ trong chống dịch.

Trong trường hợp này, nhóm quy phạm kiến tạo (enablers) sẽ phát huy vai trò là khung pháp quy để phục vụ chính sách dữ liệu, giảm thiểu chi phí chia sẻ, cho phép cơ quan nhà nước tiếp cận những dữ liệu vì mục đích công nhưng theo đúng quy trình, thủ tục được xác lập rõ ràng trong luật. Quy phạm kiến tạo cũng sẽ tạo dựng cơ chế kiểm soát hợp lý những ai có quyền tiếp cận nguồn tài nguyên này, cung cấp quy trình xác thực cho việc mở và chia sẻ bể dữ liệu, cùng những giới hạn, chuẩn mực tối thiểu mà các chủ thể chia sẻ dữ liệu phải đáp ứng.

Ngoài ra, quy phạm kiến tạo còn xác định những chủ thể có quyền tài phán, kiểm soát và giữ vai trò “người gác đền” trong quan hệ chia sẻ dữ liệu của nhiều chủ thể với nhau. Chủ thể này có thể là một cơ quan quyền lực nhà nước (như trường hợp Ủy ban Bảo vệ dữ liệu cá nhân theo Dự thảo Nghị định về bảo vệ dữ liệu cá nhân), tuy nhiên, lý tưởng là cho phép nhiều chủ thể đến từ các khu vực khác nhau tham gia vào vị thế trung gian này để đảm bảo tính khách quan trong những trường hợp dữ liệu được chia sẻ và sử dụng bởi cơ quan công quyền.

Tăng cường sự tham gia trong quá trình lập pháp

Khoa học dữ liệu là một lĩnh vực đặc thù, luật dữ liệu đòi hỏi nhà làm luật phải có trình độ kiến thức nhất định về khoa học dữ liệu và công nghệ điện toán. Về mặt thực tiễn, điều này đặt cơ quan lập pháp vào thế khó, vì phần lớn những người chắp bút soạn thảo văn bản liên quan đến khoa học công nghệ là người hoặc có trình độ chuyên môn về khoa học công nghệ, hoặc có trình độ về khoa học pháp lý và quản lý hành chính, chứ hiếm có ai là “văn võ vẹn toàn”.

Những thách thức của thời đại mới đòi hỏi tư duy lập pháp phải khác xưa. Kiên quyết bảo vệ lý tưởng, song linh hoạt trong hành động, quá trình soạn thảo văn bản quy phạm pháp luật về dữ liệu đảm bảo sự tham gia của nhiều bên gồm người dân (là những người dùng cuối trong nền kinh tế số), các chuyên gia trong lĩnh vực công nghệ, điện toán và khoa học dữ liệu, cùng các tổ chức xã hội.

Ưu tiên lập pháp về dữ liệu, cần đẩy mạnh tương tác, trao đổi giữa cơ quan lập pháp và nền hành chính để mang thực tiễn vào nghị trường(5). Đặc biệt, không nên đánh giá thấp tiếng nói của người trẻ – họ là thành phần dân cư đông đảo bậc nhất trong không gian số(6). Điều quan trọng là đánh giá tác động chính sách một cách cẩn trọng, đảm bảo những quy định ban hành về sau có tính khách quan, khoa học và ứng dụng được vào thực tiễn, giảm thiểu chi phí xã hội và bảo vệ quyền con người.

Suy cho cùng, niềm tin của người dân vào môi trường số chỉ có được khi hành động, lời nói và khả năng đáp ứng kỳ vọng của cơ quan công quyền là nhất quán.

———-

(*) Khoa Luật, trường Kinh tế, Luật và Quản lý nhà nước, trường Đại học Kinh tế TPHCM
(1) Xem khoản 5, điều IV, Quyết định 749/QĐ-TTg của Thủ tướng Chính phủ ban hành ngày 3-6-2020.
(2) Xem khoản 5, điều IV, Quyết định 411/QĐ-TTg của Thủ tướng Chính phủ ban hành ngày 31-3-2022.
(3) Bạch Thị Nhã Nam, ‘Hoàn Thiện Pháp Luật về Bảo vệ Dữ Liệu Cá Nhân’ (2022) 05 Tạp Chí Nghiên Cứu Lập Pháp <http://www.lapphap.vn/Pages/TinTuc/211048/Hoan-thien-phap-luat-ve-bao-ve-du-lieu-ca-nhan.html>.
(4) World Bank, ‘World Development Report 2021: Data for Better Lives’ (World Bank) <https://www.worldbank.org/en/publication/wdr2021> truy cập 16-3-2022.
(5) Phạm Duy Nghĩa, ‘Lập pháp thời chuyển đổi số’ (2021) 15 Tạp Chí Nghiên Cứu Lập Pháp <http://lapphap.vn:80/Pages/tintuc/tinchitiet.aspx?tintucid=210834> accessed 2 May 2022.
(6) Theo VOV, https://vov.vn/xa-hoi/con-loc-mang-xa-hoi-va-gioi-tre-viet-trong-thoi-ky-chuyen-doi-so-post915657.vov