Hoàn thiện pháp luật về bảo vệ thông tin cá nhân của người mua hàng qua website, ứng dụng di động

1. Khái quát về thông tin cá nhân

Theo quy định tại khoản 15 Điều 3 Luật An toàn thông tin mạng năm 2015, thông tin cá nhân là thông tin gắn với việc xác định danh tính của một người cụ thể. Nghị định số 64/2007/NĐ-CP ngày 10/4/2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước định nghĩa chi tiết hơn về thông tin cá nhân, theo đó, thông tin cá nhân là thông tin đủ để xác định chính xác danh tính một cá nhân, bao gồm ít nhất nội dung trong những thông tin như: Họ tên, ngày sinh, nghề nghiệp, chức danh, địa chỉ liên hệ, địa chỉ thư điện tử, số điện thoại, số chứng minh nhân dân, số hộ chiếu. Những thông tin thuộc bí mật cá nhân gồm có hồ sơ y tế, hồ sơ nộp thuế, số thẻ bảo hiểm xã hội, số thẻ tín dụng và những bí mật cá nhân khác (khoản 5 Điều 3).

Khoản 13 Điều 3 Nghị định số 52/2013/NĐ-CP ngày 16/5/2013 của Chính phủ về thương mại điện tử (Nghị định số 52/2013/NĐ-CP) quy định: Thông tin cá nhân là các thông tin góp phần định danh một cá nhân cụ thể, bao gồm tên, tuổi, địa chỉ nhà riêng, số điện thoại, thông tin y tế, số tài khoản, thông tin về các giao dịch thanh toán cá nhân và những thông tin khác mà cá nhân mong muốn giữ bí mật.

Như vậy, pháp luật Việt Nam quy định thông tin cá nhân trong phạm vi hẹp, mang tính trực tiếp, là thông tin gắn với việc xác định danh tính của một người cụ thể. Pháp luật châu Âu quy định thông tin cá nhân ở phạm vi rộng hơn, phức tạp hơn. Cụ thể, theo Quy định chung về bảo vệ dữ liệu (General Data Protection Regulation - GDPR) năm 2016 của Liên minh châu Âu, thông tin cá nhân bao gồm bất kỳ thông tin nào liên quan tới một cá nhân, mà thông qua các thông tin đó có thể trực tiếp hoặc gián tiếp xác định danh tính một người như: Họ tên, số định danh, dữ liệu về địa chỉ (data    location), thông tin định danh online (online identifiers) hoặc các thông tin cụ thể liên quan đến thể chất, sinh học, gen, tâm lý, kinh tế, đặc điểm nhận dạng văn hóa - xã hội của người đó.

Như vậy, ngoài các thông tin định danh trực tiếp, cụ thể như họ tên, địa chỉ, số điện thoại, số bảo hiểm xã hội giống như pháp luật Việt Nam, GDPR còn quy định các thông tin khác thuộc về cá nhân có thể trực tiếp, gián tiếp xác định danh tính của cá nhân đó, bao gồm: Dữ liệu liên quan đến ngoại hình; sức khỏe thể chất và tinh thần, các yếu tố di truyền và gen; dữ liệu liên quan đến tình trạng văn hóa - xã hội của một cá nhân như giáo dục, công việc, thu nhập.

Ngoài ra, GDPR còn quy định hai nhóm thông tin cá nhân rất quan trọng thường được lưu lại khi các cá nhân mua hàng trên website/ứng dụng di động, cụ thể:

- Dữ liệu về vị trí: Dữ liệu về vị trí có thể được xác định thông qua địa chỉ đăng ký thường trú, tạm trú, nơi làm việc của cá nhân. Khi mua hàng qua website/ứng dụng di động, khách hàng cũng có thể để lại thông tin về vị trí hiện tại của mình thông qua việc cài đặt trên các thiết bị như máy tính, điện thoại và cho phép các website/ứng dụng di động truy cập vào những thông tin này. Ban quản lý website/ứng dụng di động có thể đưa ra các quảng cáo, gợi ý sản phẩm dịch vụ liên quan tới vị trí hiện tại của khách hàng.

- Dữ liệu định danh online: Thông tin định danh online có thể xác định thông qua thiết bị mà khách hàng sử dụng, ứng dụng khách hàng đang truy cập, thông tin đăng nhập vào các website/ứng dụng di động, địa chỉ internet, cookie[1]…; những thông tin này có thể để lại gợi ý về một cá nhân cụ thể. Ví dụ, khi khách hàng đăng nhập vào một ứng dụng mua sắm thông qua tài khoản Facebook, ban quản lý website/ứng dụng di động sẽ biết thông tin trang Facebook của cá nhân và có thể thực hiện chiến dịch quảng cáo trên Facebook hướng tới khách hàng này. Nếu khách hàng cho phép một website được thu thập thông tin cookie của mình, website sẽ có các thông tin liên quan tới thiết bị, địa chỉ của cá nhân đó. Một ví dụ phổ biến của việc các website sử dụng cookie của khách hàng để thực hiện quảng cáo là, nếu khách hàng cho phép website A thu thập thông tin cookie của mình, sau đó khách hàng truy cập vào website B thì khách hàng sẽ nhìn thấy các quảng cáo về sản phẩm dịch vụ của website A được hiển thị trên website B. Giữa website A và website B sẽ có một hợp đồng dịch vụ quảng cáo hướng tới các đối tượng để lại thông tin cookie như vậy.

Mặc dù Nghị định số 52/2013/NĐ-CP quy định mở về phạm vi của thông tin cá nhân, theo đó, thông tin cá nhân bao gồm cả những thông tin khác mà cá nhân mong muốn giữ bí mật, nhưng quy định này cũng đặt ra hai vấn đề, đó là: (i) Làm thế nào để xác định được thông tin mà một cá nhân mong muốn giữ bí mật; (ii) Các website/ứng dụng di động cần có cơ chế, cách thức cụ thể nào để xác định một thông tin được coi là thông tin mà khách hàng muốn giữ bí mật.

2. Trách nhiệm của các bên liên quan khi thu thập, sử dụng thông tin cá nhân của người mua hàng qua website, ứng dụng di động

2.1. Thu thập, sử dụng, bảo vệ thông tin cá nhân

Theo quy định của Luật An toàn thông tin mạng năm 2015, Luật Công nghệ thông tin năm 2006, Nghị định số 52/2013/NĐ-CP, website/ứng dụng di động khi thu thập, sử dụng thông tin cá nhân của khách hàng phải tuân thủ các nghĩa vụ cụ thể sau:

Một là, xây dựng và công bố chính sách bảo vệ thông tin cá nhân.

Chính sách bảo vệ thông tin cá nhân gồm các nội dung cơ bản như: Mục đích thu thập thông tin, phạm vi sử dụng thông tin, thời gian lưu trữ thông tin, thẩm quyền tiếp cận các thông tin cá nhân, phương thức và công cụ để khách hàng có thể chỉnh sửa thông tin cá nhân. Các chính sách này phải được hiển thị rõ ràng cho khách hàng tại thời điểm thu thập thông tin. Các website/ứng dụng di động thường công bố chính sách này tại thời điểm khách hàng đăng ký tài khoản, hoặc trước khi khách hàng thực hiện thanh toán. Việc khách hàng chọn “đồng ý” với các chính sách này, đã thiết lập một hợp đồng giữa website/ứng dụng di động và khách hàng.

Hai là, xây dựng cơ chế cụ thể để khách hàng thể hiện sự đồng ý hoặc không đồng ý với việc sử dụng thông tin cá nhân của khách hàng.

Website/ứng dụng di động phải xây dựng công cụ, cách thức để khách hàng bày tỏ ý kiến đồng ý hoặc không đồng ý hoặc rút lại sự đồng ý về việc cho phép website/ứng dụng di động thu thập và sử dụng thông tin cá nhân. Tuy nhiên, người sở hữu hoặc vận hành website/ứng dụng di động không cần sự đồng ý của khách hàng trong trường hợp thu thập thông tin cá nhân để ký kết hoặc thực hiện hợp đồng, tính chi phí sử dụng dịch vụ hoặc thu thập các thông tin cá nhân đã công bố công khai trên các website thương mại điện tử. Ví dụ, nếu khách hàng đặt phòng khách sạn trên một ứng dụng du lịch, với cùng một hạng phòng, nếu là trẻ em dưới 12 tuổi thì sẽ có mức giá ưu tiên hơn. Trong trường hợp này, ban quản lý ứng dụng và nhà cung cấp sẽ thu thập thông tin ngày sinh của khách hàng để tính phí đặt phòng mà không cần xin ý kiến và chấp thuận của khách hàng.

Theo Nghị định số 91/2020/NĐ-CP ngày 14/8/2020 của Chính phủ về chống tin nhắn rác, thư điện tử, cuộc gọi rác (Nghị định số 91/2020/NĐ-CP), khách hàng được quyền từ chối bất kỳ cuộc gọi, tin nhắn quảng cáo nào đến số điện thoại thuộc quyền sở hữu của mình. Các website/ứng dụng di động cần phải nhận được sự đồng ý rõ ràng của khách hàng về việc tiếp nhận quảng cáo qua tin nhắn, email, cuộc gọi. Với mỗi tin nhắn quảng cáo hoặc email quảng cáo đều phải có hướng dẫn để khách hàng từ chối nhận quảng cáo. Tuy nhiên, các website/ứng dụng di động có thể sử dụng các thông tin cá nhân khác của khách hàng để thực hiện quảng cáo mà không vi phạm quy định của Nghị định số 91/2022/NĐ-CP như ví dụ sử dụng cookie nêu trên.

Tại Việt Nam, chưa có quy định rõ ràng và cụ thể về cơ chế, cách thức, công cụ mà các  website/ứng dụng di động cần phải xây dựng khi xin ý kiến khách hàng về việc thu thập, sử dụng thông tin cá nhân. Vì vậy, rất nhiều website/ứng dụng di động thường hỏi ý kiến khách hàng thông qua chính sách bảo mật thông tin, chính sách mua hàng hoặc quy chế hoạt động của website/ứng dụng di động. Việc hỏi ý kiến khách hàng thường được lồng ghép vào rất nhiều chính sách khác và có thể dẫn tới một số tình huống như: (i) Website/ứng dụng di động cho phép khách hàng nhấn chọn “đồng ý” với chính sách thu thập thông tin cá nhân của mình. Khách hàng buộc phải chọn “đồng ý” để có thể tiếp tục mua hàng hoặc thanh toán. (ii) Website/ứng dụng di động đã cài đặt mặc định là “đồng ý”, nếu khách hàng không đồng ý cho phép website/ứng dụng di động thu thập, sử dụng thông tin cá nhân của mình, thì khách hàng phải bỏ chọn “đồng ý”. Tuy nhiên, việc này cũng đồng nghĩa với việc khách hàng sẽ không thể tiếp tục mua hàng hoặc thanh toán. (iii) Nếu khách hàng chỉ đồng ý cho phép website chia sẻ thông tin cá nhân với người bán để cung cấp dịch vụ và khách hàng không đồng ý việc website thu thập thông tin về cookie, hoặc không đồng ý việc website/ứng dụng di động sử dụng thông tin cá nhân của khách hàng để thực hiện các quảng cáo, thì khách hàng không có công cụ để thể hiện ý kiến của mình.

GDPR đã có các quy định rõ ràng về việc hỏi ý kiến khách hàng khi thu thập, sử dụng thông tin cá nhân. Với GDPR, sự đồng ý của khách hàng phải được thể hiện rõ ràng như sau:

- Sự đồng ý phải được thể hiện bằng một hành động rõ ràng, cụ thể, dựa trên tự do ý chí và khách hàng đã được cung cấp đầy đủ thông tin.

- Sự đồng ý có thể bao gồm việc chọn vào ô “đồng ý” khi truy cập vào website/ứng dụng di động.

- Sự đồng ý có thể thể hiện qua việc cài đặt trên các thiết bị của khách hàng hoặc cài đặt khi sử dụng website/ứng dụng di động.

- Sự im lặng của khách hàng hoặc việc các wesbite/ứng dụng di động chọn sẵn ô “đồng ý” sẽ không được coi là sự chấp thuận của khách hàng.

- Nếu việc thu thập thông tin cho nhiều mục đích, khách hàng được quyền lựa chọn đồng ý cho toàn bộ hoặc một phần mục đích.

- Khách hàng có quyền rút lại sự đồng ý của mình bất kỳ lúc nào và không được có bất kỳ khó khăn nào trong việc rút lại sự đồng ý.

Ba là, bảo vệ thông tin cá nhân đã thu thập.

Để bảo vệ thông tin cá nhân đã thu thập thì pháp luật Việt Nam yêu cầu các website/ứng dụng di động phải thực hiện các nội dung như: (i) Website/ứng dụng di động chỉ được sử dụng thông tin cá nhân phù hợp với mục đích và phạm vi đã thông báo/xin phép khách hàng tại thời điểm thu thập, ngoại trừ, trường hợp có một thỏa thuận riêng với cá nhân hoặc để cung cấp dịch vụ theo yêu cầu của cá nhân;               (ii) Wesbite/ứng dụng di động phải cơ chế để khách hàng thông báo/khiếu nại về việc sử dụng sai các thông tin cá nhân; (iii) Thay đổi, bổ sung hoặc hủy bỏ thông tin cá nhân theo yêu cầu của khách hàng hoặc sau khi hết thời hạn lưu trữ thông tin và phải thông báo cho khách hàng biết sau khi hoàn thành việc thay đổi, bổ sung hoặc hủy bỏ thông tin cá nhân.

2.2. Chuyển giao, chia sẻ thông tin cá nhân

Các giao dịch trên website/ứng dụng di động mua bán hàng hóa được hoàn thành thông qua sự tham gia của nhiều bên, bao gồm ban quản lý website/ứng dụng di động, các nhà cung cấp (hay người bán), các đơn vị trung gian thanh toán, các đơn vị cung cấp dịch vụ vận chuyển... Trong đó, ban quản lý website/ứng dụng di động sẽ là đơn vị đầu tiên được tiếp cận thông tin cá nhân của khách hàng. Ban quản lý    website/ứng dụng di động sẽ chuyển giao các thông tin này cho nhà cung cấp hoặc bên thứ ba phục vụ cho mục đích hoàn thành giao dịch mua bán hàng hóa của khách hàng. Ví dụ, khách hàng đặt mua vé máy bay trên một   website của đại lý bán vé máy bay. Các thông tin định danh của khách hàng, các thông tin liên quan đến vé (điểm đi - điểm đến, thời gian cất cánh - thời gian hạ cánh) loại vé, hạng vé, số chuyến bay sẽ được chuyển cho hãng hàng không vì mục đích xác nhận yêu cầu và cung cấp dịch vụ. Các thông tin định danh, thông tin tài khoản ngân hàng sẽ được chuyển cho các đơn vị trung gian thanh toán vì mục đích xử lý giao dịch thanh toán.

Nghị định số 52/2013/NĐ-CP chỉ quy định trách nhiệm của các tổ chức, cá nhân thu thập thông tin cá nhân: Trong quá trình hoạt động kinh doanh thương mại điện tử, nếu thương nhân, tổ chức, cá nhân thực hiện việc thu thập thông tin cá nhân của người tiêu dùng thì phải tuân thủ các quy định tại Nghị định này và những quy định pháp luật liên quan về bảo vệ thông tin cá nhân. Trong ví dụ trên, các nhà cung cấp, đơn vị trung gian thanh toán không trực tiếp thu thập thông tin cá nhân của khách hàng mà tiếp nhận những thông tin này thông qua ban quản lý website/ứng dụng di động. Tuy nhiên, hiện nay chưa có quy định pháp luật cụ thể về trách nhiệm của bên được chuyển giao thông tin. Thay vào đó, trách nhiệm bảo mật thông tin của các bên thứ ba sẽ được quy định tại hợp đồng giữa ban quản lý website/ứng dụng di động và các đơn vị trung gian. Điểm b khoản 2 Điều 68 Nghị định số 52/2013/NĐ-CP quy định: Nếu hợp đồng giữa hai bên không quy định rõ trách nhiệm của mỗi bên thì thương nhân, tổ chức, cá nhân hoạt động kinh doanh thương mại điện tử chịu trách nhiệm trong trường hợp việc thu thập, lưu trữ và sử dụng thông tin cá nhân của người tiêu dùng vi phạm các quy định tại Nghị định này và những quy định pháp luật liên quan về bảo vệ thông tin cá nhân. Như vậy, nếu trong hợp đồng giữa      website/ứng dụng di động và bên trung gian không có quy định phân chia trách nhiệm bảo vệ thông tin cá nhân, thì website/ứng dụng di động sẽ phải hoàn toàn chịu trách nhiệm nếu bên trung gian vi phạm các quy định của pháp luật về bảo vệ thông tin cá nhân. Quy định này nhằm bảo vệ quyền lợi của khách hàng, tuy nhiên, cần xem xét trách nhiệm của các bên trung gian, vì trong hoạt động thương mại điện tử, đặc biệt là việc mua bán hàng hóa qua website/ứng dụng di động thì việc chuyển giao tất cả hoặc một số thông tin cá nhân là rất phổ biến và cần thiết để hoàn thành giao dịch.

GDPR có sự phân biệt giữa người kiểm soát và người xử lý các thông tin cá nhân và từ đó có sự phân chia trách nhiệm cụ thể của các bên liên quan. Người kiểm soát có thể là cá nhân hoặc tổ chức, chịu trách nhiệm về việc xác định mục đích và cách thức thu thập, sử dụng, xử lý thông tin cá nhân. Người xử lý là tổ chức hoặc cá nhân, chịu trách nhiệm xử lý thông tin cá nhân theo ủy quyền của người kiểm soát. Ví dụ, khách hàng mua quần áo từ một ứng dụng chuyên cung cấp các sản phẩm thời trang, khách hàng cung cấp cho website số điện thoại và địa chỉ để giao nhận sản phẩm. Website đóng vai trò là người kiểm soát, xác định mục đích thu thập thông tin (để giao sản phẩm cho khách hàng), cách thức thu thập thông tin (khách hàng điền thông tin trên website). Đơn vị vận chuyển sẽ là người xử lý, tiếp nhận thông tin cá nhân của khách hàng từ website và thay mặt website giao hàng cho khách. Việc phân chia trách nhiệm của các bên trong việc xử lý thông tin cá nhân sẽ bảo đảm tính công bằng và khách quan. Đồng thời, quy định rõ ràng trách nhiệm của các bên trung gian cũng giúp cho thông tin cá nhân được bảo vệ một cách cẩn trọng và cụ thể hơn.

2.3. Chuyển nhượng, mua bán thông tin cá nhân

Nghị định số 52/2013/NĐ-CP cấm việc thực hiện hành vi mua bán, chuyển nhượng thông tin cá nhân của khách hàng (điểm a khoản 4 Điều 4). Hành vi này sẽ bị phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với cá nhân và mức phạt tiền với tổ chức sẽ gấp hai lần mức phạt tiền với cá nhân (theo quy định tại điểm b khoản 5 Điều 63 Nghị định số 98/2020/NĐ-CP ngày 26/8/2020 của Chính phủ quy định xử phạt vi phạm hành chính trong hoạt động thương mại, sản xuất, buôn bán hàng giả, hàng cấm và bảo vệ quyền lợi người tiêu dùng…).

3. Hoàn thiện pháp luật Việt Nam về bảo vệ thông tin cá nhân

Một là, mở rộng phạm vi của thông tin cá nhân: Trong nền kinh tế số, công nghệ được sử dụng để thúc đẩy việc mua bán hàng hóa, tìm kiếm khách hàng thông qua việc theo dõi và phân tích hành vi của khách hàng khi sử dụng internet. Một website cung cấp mỹ phẩm sẽ có nhiều quảng cáo hướng tới một khách hàng cụ thể nếu khách hàng này đã có hành vi tìm kiếm các thông tin về một sản phẩm mỹ phẩm trên Google hoặc các mạng xã hội như Facebook, Tiktok… Nếu một website về các sản phẩm du lịch phân tích lịch sử mua sắm và thanh toán của khách hàng A trên website của mình và nhận thấy có khách hàng này thường xuyên đặt các khách sạn năm sao hoặc các tour du lịch với chi phí cao, thì có khả năng là khách hàng A sẽ nhìn thấy các quảng cáo về khách sạn năm sao của website nói trên thông qua mạng xã hội, hoặc các website khác mà khách hàng A truy cập vào. Việc phân tích hành vi của khách hàng là việc cần thiết trong hoạt động kinh doanh. Tuy nhiên, việc sử dụng các phân tích trên để thực hiện các quảng cáo hướng tới khách hàng thì cần có sự chấp thuận của khách hàng.

Nếu thông tin cá nhân chỉ giới hạn ở những thông tin định danh, thì khách hàng sẽ không được bảo vệ trong ví dụ ở trên. Hơn nữa, việc mở rộng phạm vi của thông tin cá nhân cũng góp phần tăng cường trách nhiệm của các tổ chức thu thập, xử lý thông tin cá nhân. Việc mở rộng phạm vi của thông tin cá nhân rất cần thiết trong nền kinh tế số, khi các doanh nghiệp ngày càng sở hữu nhiều thông tin về khách hàng. Do vậy, thông tin cá nhân nên bao gồm nhóm thông tin định danh và bất kỳ thông tin nào khác (như ngoại hình, thể chất, các yếu tố sinh học và tâm lý, các yếu tố văn hóa - xã hội, các hành vi cá nhân…), không phụ thuộc vào việc đó là thông tin được thu thập trực tiếp hay thông tin đã được xử lý, mà việc sử dụng thông tin đó hoặc việc kết hợp thông tin đó với các nhóm thông tin khác, có thể giúp xác định một cá nhân.

Hai là, xây dựng cơ chế cụ thể về việc hỏi ý kiến khách hàng: Các website/ứng dụng di động cần có cơ chế cụ thể để hỏi ý kiến khách hàng về việc đồng ý hoặc không đồng ý với từng mục đích sử dụng thông tin cá nhân của website/ ứng dụng di động. Khách hàng phải có quyền đồng ý toàn bộ hoặc một phần với mục đích thu thập thông tin của website/ứng dụng di động. Khách hàng cũng có quyền rút lại sự đồng ý của mình. Website không được phép gây cản trở việc mua sắm của khách hàng nếu khách hàng từ chối một mục đích thu thập thông tin cụ thể, trừ trường hợp đó là thông tin cần thiết để xử lý yêu cầu mua sắm của khách hàng. Ví dụ, khách hàng không thể từ chối việc sử dụng số điện thoại để giao hàng, nhưng khách hàng có quyền từ chối việc website thu thập thông tin cookie của mình hoặc sử dụng các thông tin cá nhân của mình để quảng cáo.

Hiện nay, rất nhiều website/ứng dụng di động yêu cầu khách hàng nhấn chọn “đồng ý” với chính sách bảo mật thông tin, quy chế hoạt động của website/ứng dụng di động khi mua hàng. Các chính sách này thường là tập hợp của rất nhiều nội dung, bao gồm việc thu thập thông tin vì mục đích xử lý đơn hàng, quảng cáo, khuyến mại và chuyển giao thông tin. Nếu không nhấn chọn “đồng ý”, khách hàng sẽ không thể tiếp tục mua sắm. Đây có thể coi là hành vi gây cản trở hoạt động của khách hàng. Do vậy, pháp luật cần yêu cầu các doanh nghiệp có cơ chế, cách thức xin ý kiến của khách hàng về từng mục đích cụ thể của việc thu thập và sử dụng thông tin cá nhân.

Ba là, xác định trách nhiệm của các bên thứ ba không trực tiếp thu thập thông tin: Hoạt động thương mại điện tử và nền kinh tế chia sẻ yêu cầu sự tham gia của rất nhiều bên trong việc xử lý một giao dịch, thực hiện một yêu cầu của khách hàng như ban quản lý website/ứng dụng di động, đơn vị trung gian thanh toán, đơn vị chấp nhận thanh toán (ngân hàng), đơn vị vận chuyển, đơn vị quảng cáo, người bán hàng, nhà sản xuất… Mỗi bên sẽ được tiếp nhận một phần hoặc toàn bộ thông tin cá nhân mà khách hàng đã cung cấp. Do vậy, việc xác định trách nhiệm của từng chủ thể là rất quan trọng để tăng cường trách nhiệm của các chủ thể này trong việc bảo vệ thông tin cá nhân. Đồng thời, các cá nhân cũng có thể yêu cầu từng chủ thể cụ thể bồi thường trong trường hợp vi phạm quy định về bảo vệ thông tin cá nhân.

 

Theo tcdcpl.gov.vn

 

HOÀNG THỊ THẢO (Phòng Pháp chế, Vietnam Travel)