Undang-undang antarabangsa mengenai perlindungan data peribadi dan implikasi untuk Vietnam

Melindungi data peribadi bukanlah perkara yang mudah, terutamanya apabila diletakkan dalam konteks penyepaduan, di mana pemantauan berskala besar dan pengumpulan data peribadi sedang berlaku, dan sistem perundangan Vietnam yang mengawal selia isu ini masih dalam proses pembinaan dan penyempurnaan.

Sebagai salah satu negara yang mempunyai kadar pembangunan dan penggunaan internet tertinggi di dunia , dengan hampir 80% penduduk menggunakan internet, data peribadi dua pertiga penduduk Vietnam disimpan, dimuat naik, dikongsi dan dikumpulkan dalam talian dalam pelbagai bentuk dan dengan tahap perincian yang berbeza-beza.

Pada 2022 dan 2023, Vietnam mendakwa lima kes jenayah yang melibatkan pembelian dan penjualan ribuan GB data dan berbilion-bilion keping maklumat peribadi. Ini menyerlahkan keperluan mendesak untuk menambah baik undang-undang mengenai perlindungan data peribadi berdasarkan penyelidikan dan rujukan kepada undang-undang antarabangsa.

Undang-undang antarabangsa mengenai perlindungan data peribadi

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

GDPR dianggap sebagai langkah besar undang-undang ke hadapan, mewujudkan mekanisme paling ketat di dunia untuk melindungi maklumat peribadi hari ini.

Peraturan Perlindungan Data Am (GDPR) Kesatuan Eropah (EU) dianggap sebagai langkah undang-undang utama ke hadapan, mewujudkan mekanisme paling ketat di dunia untuk melindungi maklumat peribadi dan memohon kepada semua organisasi dan perniagaan yang memproses data peribadi warga EU.

GDPR mengenakan penalti seragam untuk pelanggaran perniagaan di seluruh blok. Khususnya, penalti maksimum ialah 2% daripada hasil atau €10 juta untuk pelanggaran kecil dan 4% daripada hasil atau €20 juta untuk pelanggaran besar. Selain denda, perniagaan yang melanggar GDPR juga mungkin menghadapi sekatan lain seperti dipaksa untuk menghentikan operasi pemprosesan data atau memadamkan data yang telah diproses yang melanggar GDPR.

Pihak berkuasa perlindungan data peribadi EU ialah Pihak Berkuasa Penyeliaan Perlindungan Data EU (EDPS) – sebuah badan bebas yang ahlinya terdiri daripada peguam berpengalaman, profesional IT dan pentadbir.

Fungsi utama agensi ini adalah untuk mengawasi pemprosesan data peribadi dalam institusi EU dan memberi nasihat tentang perkara yang berkaitan dengan data peribadi. GDPR juga memerlukan penubuhan Pihak Berkuasa Perlindungan Data Peribadi di setiap negara anggota, seperti Suruhanjaya Perlindungan Data Peribadi Kebangsaan (Perancis, Ireland, dsb.) atau inspektorat perlindungan data (Finland, Latvia, dsb.).

Bersama EDPS, EU juga menubuhkan Suruhanjaya Perlindungan Data Eropah (EDPB), yang terdiri daripada wakil daripada agensi perlindungan data kebangsaan negara anggota dan wakil EU. Fungsinya adalah untuk bertindak sebagai badan penasihat bebas utama mengenai isu perlindungan data peribadi, yang bertanggungjawab untuk aplikasi GDPR yang konsisten di seluruh Kesatuan.

GDPR memberikan hukuman pencegahan yang kuat, baik material mahupun bukan material. Tambahan pula, agensi perlindungan data peribadi EU beroperasi pada model Suruhanjaya/Pesuruhjaya, memberikannya kuasa dan kebebasan yang ketara untuk mengenakan sekatan ke atas organisasi yang melanggar peraturan perlindungan data peribadi dan untuk menilai dan memutuskan secara bebas tentang pengendalian data peribadi.

Undang-undang Perlindungan Maklumat Peribadi (PIPL) China , yang digubal pada 2021, dianggap sebagai undang-undang perlindungan maklumat peribadi peringkat kebangsaan pertama yang komprehensif di China. PIPL memberikan pandangan yang agak bersatu tentang data peribadi/maklumat peribadi sebagai maklumat yang bertujuan untuk mengenal pasti atau mengenali individu tertentu, secara khusus menyasarkan individu dalam China (Perkara 4, Bab 1 PIPL). Pada masa yang sama, ia mengawal data peribadi yang sensitif, dengan itu mewujudkan peraturan mengenai hak dan kewajipan pihak berkenaan kumpulan data yang lebih khusus.

Penalti bagi pelanggaran hak data peribadi di bawah peraturan PIPL adalah sangat berat, termasuk pemulihan mandatori, rampasan pendapatan haram, penggantungan perkhidmatan, pembatalan lesen operasi atau perniagaan, dan denda sehingga 50 juta RMB atau 5% daripada hasil tahunan organisasi pada tahun fiskal sebelumnya. Selain itu, pelanggaran juga boleh direkodkan dalam "rekod kredit" unit pemprosesan di bawah sistem kredit sosial negara.

Tambahan pula, unit pemprosesan akan dipertanggungjawabkan untuk ganti rugi jika mereka melanggar hak dan kepentingan organisasi dan individu. Penalti jenayah untuk jenis pelanggaran ini juga ditetapkan secara khusus dalam Kanun Jenayah China, yang menetapkan liabiliti jenayah yang lebih keras bagi mereka yang mempunyai kewajipan untuk mengekalkan kerahsiaan, menambah bentuk rampasan aset, dan menetapkan hukuman penjara seumur hidup sebagai hukuman penjara tertinggi.

Akta Perlindungan Data Peribadi Singapura (PDPA), yang diluluskan pada 2012 (dipinda pada 2020), mengiktiraf hak untuk melindungi data peribadi dan keperluan untuk organisasi mengumpul, menggunakan dan mendedahkan maklumat untuk tujuan yang sesuai dengan keadaan tertentu.

PDPA juga menetapkan penalti kewangan yang ketat untuk pelanggaran data. Individu yang melanggar undang-undang akan dikenakan denda atau penjara. Jumlah denda bergantung pada jenis dan keterukan kesalahan, antara S$2,000 hingga S$100,000 (kira-kira VND 1.6 bilion) dan/atau penjara sehingga 12 bulan, atau sehingga 3 tahun dalam kes serius; untuk melanggar organisasi dan syarikat, penalti boleh sehingga 10% daripada hasil tahunan mereka.

Agensi yang memainkan peranan penting dalam memastikan penguatkuasaan PDPA ialah Suruhanjaya Perlindungan Data Peribadi (PDPC). Agensi khusus ini mempunyai kuasa yang luas dan keupayaan penguatkuasaan yang luas, termasuk kuasa untuk meminta individu dan organisasi untuk memberikan maklumat dan dokumen yang berkaitan dengan pemprosesan data peribadi, mengenakan penalti kewangan untuk pelanggaran dan mengambil langkah pemulihan lain.

Penubuhan sebuah agensi khusus, Suruhanjaya Perlindungan Data Peribadi Singapura, yang bekerja secara bebas dan proaktif dalam mengesan dan mengendalikan pelanggaran dan mengenakan sekatan, adalah salah satu syarat untuk perlindungan berkesan data peribadi di Singapura.

Syor untuk menambah baik undang-undang perlindungan data peribadi di Vietnam

Pada masa ini di Vietnam terdapat 69 dokumen undang-undang yang berkaitan secara langsung dengan isu melindungi data peribadi, dikawal dalam dokumen yang berbeza termasuk Perlembagaan, Kod (4), Undang-undang (39), Ordinan (1), Dekri (2), Pekeliling/Pekeliling Bersama (4), Keputusan Menteri (1).

Dokumen ini pada dasarnya mendekati isu perlindungan data peribadi dengan menekankan prinsip memastikan privasi individu; walau bagaimanapun, ia mengandungi peraturan yang berbeza mengenai maklumat yang berkaitan dengan data peribadi, menangani isu hak dan kewajipan individu, pemprosesan maklumat dan kaedah melindungi data peribadi. Undang-undang Vietnam yang mengawal selia perlindungan data peribadi telah mencapai beberapa keputusan yang patut diberi perhatian, terutamanya pengeluaran Dekri No. 12/2023/ND-CP mengenai perlindungan data peribadi pada 17 April 2023 – dokumen unik yang mengawal selia isu ini di negara kita. Dokumen undang-undang ini telah mencipta rangka kerja undang-undang untuk perlindungan data peribadi. Nyatakan hak subjek data serta pihak yang memproses, tetapkan sekatan untuk pelanggaran perlindungan data peribadi, dan kenal pasti agensi khusus untuk perlindungan data peribadi sebagai Jabatan Keselamatan Siber dan Pencegahan Jenayah Berteknologi Tinggi di bawah Kementerian Keselamatan Awam ...

Vietnam menghadapi pelbagai risiko, cabaran dan ancaman dari ruang siber, terutamanya kebocoran dan kecurian maklumat dan data peribadi, menyebabkan kemudaratan yang ketara kepada rakyat dan masyarakat.

Walau bagaimanapun, pelaksanaan praktikal dokumen ini juga telah mendedahkan banyak batasan, seperti fakta bahawa dokumen undang-undang berasingan semasa hanya berada di peringkat Dekri, gagal memenuhi kepentingan melindungi data peribadi; banyak peruntukan semasa adalah kabur dan tidak jelas, menyebabkan kekurangan panduan khusus untuk setiap kes; dan penalti masih terlalu ringan dan tidak cukup menghalang…

Memandangkan keadaan ini, menambah baik lagi rangka kerja undang-undang untuk perlindungan data peribadi di Vietnam telah dan terus menjadi perkara yang memerlukan perhatian dan penyelidikan, berdasarkan pengalaman negara lain. Secara khusus:

Pertama, undang-undang mengenai perlindungan data peribadi perlu digubal . Dalam konteks Revolusi Perindustrian Keempat, 80 negara di peringkat serantau dan nasional telah pun menggubal dokumen undang-undang mereka sendiri yang melindungi data peribadi. Vietnam perlu segera menyelidik dan menggubal undang-undang am dan khusus mengenai data, serupa dengan undang-undang privasi data di EU, China dan Singapura, yang akan mentakrifkan isu dan prinsip asas untuk melindungi data peribadi. Menggubal undang-undang berasingan mengenai data peribadi akan menyediakan asas undang-undang yang penting untuk melindungi data peribadi, kerana dokumen undang-undang semasa di Vietnam tidak mempunyai keseragaman dalam istilah dan kandungan.

Kedua, penalti bagi pelanggaran perlindungan data peribadi harus disemak dan ditambah supaya lebih berat, sepadan dengan sifat dan keterukan pelanggaran. Walaupun penalti untuk pelanggaran data peribadi di negara kita termasuk sekatan pentadbiran, sivil dan jenayah, ia biasanya agak ringan dan tidak mempunyai kesan pencegahan yang kuat. Kaedah utama pada masa ini masih menggunakan penalti pentadbiran, tetapi ini tersebar di banyak dekri dengan denda yang agak rendah, yang tertinggi ialah 100 juta VND untuk individu dan 200 juta VND untuk organisasi.

Walaupun kerosakan yang disebabkan oleh pelanggaran pentadbiran data peribadi tidak terhad kepada kerugian material tetapi juga menjejaskan kehormatan dan maruah, sekatan jenayah bagi pelanggaran data peribadi pada masa ini hanya terdapat dalam peruntukan mengenai privasi dan teknologi maklumat dan keselamatan siber, khususnya Artikel 159 dan 288 Kanun Keseksaan semasa, dengan hukuman penjara yang agak rendah tidak melebihi 1 bilion VND7 tahun dan denda tidak melebihi 7 tahun. Berbanding dengan 20 juta Euro EU, 1 juta SGD Singapura, atau penjara seumur hidup China, hukuman ini masih sangat rendah dan tidak seimbang dengan banyak pelanggaran.

Pada masa yang sama, adalah perlu untuk mengawal lebih banyak kategori tingkah laku yang tidak disebut pada masa ini dalam undang-undang, seperti perdagangan data berskala besar, mewujudkan sistem untuk melakukan pelanggaran data, pelanggaran dalam perkhidmatan pemasaran, dsb.

Ketiga, mengenai model agensi perlindungan data peribadi di Vietnam : Pada masa ini, Jabatan Pencegahan Jenayah Keselamatan Siber dan Teknologi Tinggi di bawah Kementerian Keselamatan Awam adalah agensi khusus untuk perlindungan data peribadi. Merujuk kepada peraturan antarabangsa, kami boleh mempertimbangkan untuk menubuhkan agensi perlindungan data peribadi bebas yang bertanggungjawab untuk menguatkuasakan Undang-undang Perlindungan Data Peribadi, menjalankan pemeriksaan dan audit, mengeluarkan garis panduan, membuat pengesyoran dan mengenakan sekatan bagi pelanggaran.

Kita boleh belajar daripada model ini di EU atau Singapura... untuk memastikan aktiviti penguatkuasaan undang-undang melindungi data peribadi adalah sangat berkesan, mengimbangi perlindungan hak individu dan jaminan keselamatan siber.

Melindungi data peribadi bukanlah perkara yang mudah, terutamanya dalam konteks penyepaduan, di mana pemantauan berskala besar dan pengumpulan data peribadi sedang berlaku, dan sistem perundangan Vietnam yang mengawal selia isu ini masih dalam pembangunan dan penghalusan.

Mempelajari undang-undang antarabangsa mengenai isu ini seiring dengan situasi praktikal di Vietnam akan membantu kami membangunkan rangka kerja undang-undang yang komprehensif untuk perlindungan data peribadi dengan cepat yang serasi dengan undang-undang antarabangsa dan dikuatkuasakan dengan cepat.

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

Sumber