Internationaal recht inzake de bescherming van persoonsgegevens en de gevolgen voor Vietnam

Het beschermen van persoonsgegevens is geen eenvoudige kwestie, vooral niet wanneer het wordt geplaatst in de context van integratie, wanneer de monitoring en verzameling van persoonsgegevens op grote schaal plaatsvindt en het Vietnamese rechtssysteem dat deze kwestie reguleert nog in de opbouw en verfijning zit.

Vietnam is een van de landen met de hoogste internetontwikkeling en -toepassingssnelheid ter wereld . Bijna 80% van de bevolking maakt er gebruik van. De persoonlijke gegevens van 2/3 van de Vietnamese bevolking worden in veel verschillende vormen en met veel detailniveaus op internet opgeslagen, gepost, gedeeld en verzameld.

In 2022 en 2023 heeft Vietnam vijf strafzaken aangespannen, waarbij duizenden GB aan data en miljarden aan persoonlijke informatie werden verhandeld. Dit toont aan dat het dringend noodzakelijk is om de wetgeving inzake de bescherming van persoonsgegevens te verbeteren op basis van onderzoek en verwijzing naar het internationaal recht.

Internationaal recht inzake de bescherming van persoonsgegevens

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

De AVG wordt gezien als een belangrijke juridische stap voorwaarts en biedt wereldwijd het strengste mechanisme ter bescherming van persoonsgegevens.

De Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie (EU) wordt gezien als een belangrijke juridische stap voorwaarts. Deze verordening biedt het strengste mechanisme ter bescherming van persoonsgegevens ter wereld en is van toepassing op alle organisaties en bedrijven die persoonsgegevens van EU-burgers verwerken.

De AVG legt bedrijven in het hele land uniforme sancties op. Concreet bedragen de boetes maximaal 2% van de omzet of 10 miljoen euro voor kleine overtredingen, en 4% van de omzet of 20 miljoen euro voor grote overtredingen. Naast boetes kunnen bedrijven die de AVG overtreden ook andere sancties krijgen, zoals gedwongen worden om te stoppen met het verwerken van gegevens of het verwijderen van gegevens die in strijd met de AVG zijn verwerkt.

De autoriteit voor de bescherming van persoonsgegevens van de EU is de Toezichthouder voor gegevensbescherming van de EU (EDPS). Dit is een onafhankelijk orgaan waarvan ervaren juristen, IT-experts en bestuurders lid zijn.

Deze instantie heeft als belangrijkste taak het toezicht houden op de verwerking van persoonsgegevens door EU-agentschappen en -organisaties, en het adviseren over kwesties met betrekking tot persoonsgegevens. De AVG vereist ook de oprichting van een Autoriteit Persoonsgegevens in elke lidstaat, zoals een Nationale Commissie Persoonsgegevensbescherming (Frankrijk, Ierland...) of een Inspectie Gegevensbescherming (Finland, Letland...).

Naast de EDPS heeft de EU ook het Europees Comité voor gegevensbescherming (EDPB) opgericht. Dit orgaan bestaat uit vertegenwoordigers van de nationale gegevensbeschermingsautoriteiten van de lidstaten en vertegenwoordigers van de EU. Het EDPB fungeert als het belangrijkste onafhankelijke adviesorgaan op het gebied van de bescherming van persoonsgegevens en is verantwoordelijk voor de consistente toepassing van de AVG in de hele Unie.

De AVG voorziet in zeer afschrikwekkende sancties, zowel materieel als immaterieel. Daarnaast heeft de EU-autoriteit voor de bescherming van persoonsgegevens, die is geïmplementeerd volgens het model van de Commissie/commissaris, ruime en onafhankelijke bevoegdheden om sancties op te leggen indien organisaties de regelgeving inzake de bescherming van persoonsgegevens overtreden, en is zij in staat om de verwerking van persoonsgegevens onafhankelijk te beoordelen en daarover te beslissen.

De Chinese wet ter bescherming van persoonsgegevens (PIPL), die in 2021 werd aangenomen, wordt beschouwd als de eerste alomvattende wet op nationaal niveau ter bescherming van persoonsgegevens in China. PIPL biedt een relatief uniforme kijk op persoonsgegevens/persoonsgegevens als informatie die een specifieke persoon identificeert of identificeert, gericht op een beperkte groep personen binnen het Chinese grondgebied (artikel 4, hoofdstuk 1, PIPL). Tegelijkertijd reguleert het de kwestie van gevoelige persoonsgegevens om regels vast te stellen voor de rechten en plichten van partijen met betrekking tot meer specifieke groepen gegevens.

De sancties voor schendingen van de rechten op persoonsgegevens onder de PIPL zijn zeer streng, waaronder gedwongen herstel, inbeslagname van illegaal inkomen, opschorting van diensten, intrekking van bedrijfsvergunningen en boetes tot 50 miljoen yuan of 5% van de jaaromzet van een organisatie in het voorgaande fiscale jaar. Bovendien kunnen schendingen ook worden geregistreerd in het "kredietbestand" van de verwerkingseenheid onder het nationale sociale kredietsysteem.

Bovendien zijn de verwerkingseenheden verantwoordelijk voor het vergoeden van schade indien zij de rechten en belangen van organisaties en personen schenden. Strafrechtelijke sancties voor dit soort overtredingen worden ook specifiek geregeld in het Chinese strafrecht, dat zwaardere strafrechtelijke aansprakelijkheid voorschrijft voor degenen die verplicht zijn informatie vertrouwelijk te houden, de mogelijkheid van inbeslagname van eigendommen toevoegt en levenslange gevangenisstraf als hoogste gevangenisstraf voorschrijft.

De Singapore Personal Data Protection Act (PDPA) is in 2012 aangenomen (gewijzigd in 2020). De Singaporese wetgeving erkent het recht op bescherming van persoonsgegevens en de noodzaak om de verzameling, het gebruik en de openbaarmaking van informatie onder bepaalde omstandigheden voor passende doeleinden te organiseren.

De PDPA voorziet ook in zware financiële sancties voor datalekken. Individuele overtreders kunnen een boete of gevangenisstraf krijgen. De boetes zijn afhankelijk van de aard en ernst van de overtreding en variëren van SGD 2.000 tot SGD 100.000 (gelijk aan VND 1,6 miljard) en/of een gevangenisstraf van maximaal 12 maanden, of tot 3 jaar in ernstige gevallen1; bureaus en bedrijven die de wet overtreden, kunnen een boete krijgen tot 10% van hun jaaromzet.

De instantie die een belangrijke rol speelt bij het waarborgen van de implementatie van de PDPA is de Commissie Bescherming Persoonsgegevens (PDPC). Dit is een gespecialiseerde instantie met ruime bevoegdheden en ruime handhavingsmogelijkheden, die het recht heeft om personen en organisaties te verzoeken om informatie en documenten te verstrekken met betrekking tot de verwerking van persoonsgegevens, financiële sancties op te leggen bij overtredingen en deze met andere maatregelen af te handelen.

De oprichting van een gespecialiseerd agentschap, de Singapore Personal Data Protection Commission, dat onafhankelijk en proactief opereert bij het opsporen en aanpakken van overtredingen en het opleggen van sancties, is ook een van de voorwaarden voor een effectieve handhaving van de bescherming van persoonsgegevens in Singapore.

Aanbevelingen voor het verbeteren van de wetgeving inzake de bescherming van persoonsgegevens in Vietnam

Momenteel zijn er in Vietnam 69 juridische documenten die rechtstreeks verband houden met de kwestie van de bescherming van persoonsgegevens, vastgelegd in verschillende documenten, waaronder de grondwet, de code (4), de wet (39), de verordening (1), het decreet (2), de circulaire/gezamenlijke circulaire (4) en het besluit van de minister (1).

Deze documenten benaderen de kwestie van de bescherming van persoonsgegevens in principe vanuit het oogpunt van het bevorderen van het principe van het waarborgen van de privacy van de betrokkene, maar bevatten verschillende regels voor informatie met betrekking tot persoonsgegevens, met name met betrekking tot rechten en plichten van betrokkenen, informatieverwerking en methoden voor de bescherming van persoonsgegevens. De wet die de kwestie van de bescherming van persoonsgegevens in Vietnam regelt, heeft opmerkelijke resultaten geboekt, met name op 17 april 2023, toen de regering decreet nr. 12/2023/ND-CP over de bescherming van persoonsgegevens uitvaardigde - dit is een afzonderlijk document dat deze kwestie in ons land reguleert. Deze juridische documenten hebben een juridische corridor gecreëerd in de bescherming van persoonsgegevens; ze specificeren de rechten van betrokkenen en verwerkers, schrijven sancties voor bij schendingen van de bescherming van persoonsgegevens en identificeren de gespecialiseerde instantie voor de bescherming van persoonsgegevens als het Department of Cyber Security and High-Tech Crime Prevention van het Ministerie van Openbare Veiligheid ...

Vietnam wordt geconfronteerd met veel risico's, uitdagingen en gevaren vanuit cyberspace, met name het lekken en de toe-eigening van persoonlijke informatie en gegevens, met veel schadelijke gevolgen voor burgers en de samenleving.

De daadwerkelijke implementatie van deze documenten heeft echter ook veel beperkingen aan het licht gebracht. Zo zijn de huidige afzonderlijke juridische documenten slechts op decreetniveau, waardoor ze niet voldoen aan het belang van de bescherming van persoonsgegevens. Daarnaast zijn veel inhoudsstukken momenteel algemeen en onduidelijk gereguleerd, waardoor er geen specifieke richtlijnen voor elk specifiek geval zijn. Bovendien zijn de sancties nog steeds licht en niet afschrikwekkend genoeg.

In deze situatie is en blijft de voortdurende verbetering van de wetgeving inzake de bescherming van persoonsgegevens in Vietnam een kwestie die moet worden bestudeerd op basis van de ervaringen van andere landen. Meer specifiek:

Ten eerste, stel een wet op voor de bescherming van persoonsgegevens . In de context van de industriële revolutie 4.0 hebben 80 landen op regionaal en nationaal niveau aparte wetgeving uitgevaardigd ter bescherming van persoonsgegevens. Vietnam moet binnenkort een algemene, gespecialiseerde wet op gegevensbescherming uitvaardigen, zoals de Wet bescherming persoonsgegevens, zoals die ook geldt voor de EU, China en Singapore. Deze wet identificeert basiskwesties en principes voor de bescherming van persoonsgegevens. De uitvaardiging van een aparte wet op persoonsgegevens zal een belangrijke wettelijke basis vormen voor de bescherming van persoonsgegevens, aangezien de juridische documenten met betrekking tot dit onderwerp in ons land momenteel niet eenduidig zijn wat betreft terminologie en inhoudelijke regelgeving.

Ten tweede, de sancties voor schendingen van persoonsgegevens strenger aanpassen en aanvullen, zodat ze aansluiten bij de aard en ernst van de schending. Hoewel de sancties voor schendingen van persoonsgegevens in ons land administratieve, civiele en strafrechtelijke sancties omvatten, zijn ze over het algemeen vrij licht en hebben ze geen sterk afschrikkend effect. De belangrijkste methode is momenteel nog steeds het opleggen van sancties voor administratieve overtredingen, maar de regelgeving is verspreid over veel decreten met vrij lage boetes, waarvan de hoogste 100 miljoen VND voor individuen en 200 miljoen VND voor organisaties zijn.

Hoewel de schade die administratieve schendingen van persoonsgegevens kunnen veroorzaken niet alleen materiële schade is, maar ook schade aan eer en waardigheid, zijn strafrechtelijke sancties voor schendingen van persoonsgegevens alleen terug te vinden in de regelgeving inzake privacy en op het gebied van informatietechnologie en netwerkbeveiliging in artikel 159 en artikel 288 van het huidige Wetboek van Strafrecht, met een relatief lage gevangenisstraf van maximaal 7 jaar en een boete van maximaal 1 miljard VND. Deze boete is, vergeleken met het EU-niveau van 20 miljoen euro, de 1 miljoen SGD in Singapore of de levenslange gevangenisstraf in China, nog steeds zeer laag en niet in verhouding tot veel overtredingen.

Tegelijkertijd is het noodzakelijk om veel gedragingen te reguleren die op dit moment niet in de wet worden genoemd, zoals grootschalige gegevenshandel, het opzetten van systemen om gegevens te schenden, overtredingen in marketingdienstverlening, enzovoort.

Ten derde, naar het model van de Vietnamese instantie voor de bescherming van persoonsgegevens . Momenteel is het Department of Cyber Security and High-Tech Crime Prevention, onderdeel van het Ministerie van Openbare Veiligheid, de gespecialiseerde instantie voor de bescherming van persoonsgegevens. Verwijzend naar internationale regelgeving kunnen we overwegen een onafhankelijke instantie voor de bescherming van persoonsgegevens op te richten die verantwoordelijk is voor de handhaving van de Wet bescherming persoonsgegevens, het uitvoeren van inspecties en onderzoeken, het uitvaardigen van richtlijnen en aanbevelingen, en het opleggen van sancties bij eventuele overtredingen.

We kunnen naar deze modellen verwijzen in de EU of Singapore... om wetten ter bescherming van persoonsgegevens effectief te handhaven, en een evenwicht te vinden tussen de bescherming van persoonlijke rechten en het garanderen van de netwerkbeveiliging.

Het beschermen van persoonsgegevens is geen eenvoudige kwestie, zeker niet wanneer het wordt geplaatst in de context van integratie, waarbij op grote schaal toezicht wordt gehouden op persoonsgegevens en waarbij de verzameling ervan plaatsvindt. Bovendien is het Vietnamese rechtssysteem dat deze kwestie reguleert nog in ontwikkeling en geperfectioneerd.

Door onderzoek te doen naar het internationale recht op dit gebied met betrekking tot de praktische situatie in Vietnam, kunnen we binnenkort een juridisch kader creëren voor uitgebreide bescherming van persoonsgegevens, dat verenigbaar is met het internationale recht en effectief kan worden gehandhaafd.

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

Bron