Internasjonal lov om beskyttelse av personopplysninger og dens implikasjoner for Vietnam.

Det er ikke enkelt å beskytte personopplysninger, spesielt ikke i en integrasjonssammenheng, hvor det foregår storstilt overvåking og innsamling av personopplysninger, og det vietnamesiske rettssystemet som regulerer dette spørsmålet fortsatt er under utvikling og perfeksjonering.

Som et av landene med høyest internettutvikling og -adopsjonsrater i verden , med nesten 80 % av befolkningen som bruker internett, lagres, lastes opp, deles og samles personopplysningene til to tredjedeler av Vietnams befolkning på nett i ulike former og med varierende detaljnivå.

I 2022 og 2023 reiste Vietnam tiltale mot fem straffesaker som involverte kjøp og salg av tusenvis av GB med data og milliarder av personopplysninger. Dette understreker det presserende behovet for å forbedre lovene om beskyttelse av personopplysninger basert på forskning og henvisning til internasjonal lov.

Internasjonal lov om beskyttelse av personopplysninger

GDPR regnes som et stort juridisk skritt fremover, og skaper i dag verdens strengeste mekanisme for å beskytte personopplysninger.

EUs personvernforordning (GDPR) regnes som et stort juridisk skritt fremover, og skaper verdens strengeste mekanisme for beskyttelse av personopplysninger og gjelder for alle organisasjoner og bedrifter som behandler personopplysninger tilhørende EU-borgere.

GDPR anvender ensartede straffer for forretningsbrudd på tvers av blokken. Mer spesifikt er den maksimale straffen 2 % av omsetningen eller 10 millioner euro for mindre brudd, og 4 % av omsetningen eller 20 millioner euro for større brudd. I tillegg til bøter kan bedrifter som bryter GDPR også bli utsatt for andre sanksjoner, som å bli tvunget til å stoppe databehandlingsvirksomheten eller slette data som er behandlet i strid med GDPR.

EUs personvernmyndighet er EUs datatilsynsmyndighet (EDPS) – et uavhengig organ med erfarne advokater, IT-fagfolk og administratorer.

Dette byråets hovedfunksjon er å føre tilsyn med behandlingen av personopplysninger i EU-institusjoner og gi råd om saker knyttet til personopplysninger. GDPR krever også opprettelse av en personvernmyndighet i hver medlemsstat, for eksempel en nasjonal kommisjon for personvern (Frankrike, Irland osv.) eller et datatilsyn (Finland, Latvia osv.).

Sammen med EDPS opprettet EU også Den europeiske databeskyttelseskommisjonen (EDPB), som består av representanter fra de nasjonale databeskyttelsesbyråene i medlemslandene og representanter for EU. Dens funksjon er å fungere som det viktigste uavhengige rådgivende organet i spørsmål om vern av personopplysninger, med ansvar for en ensartet anvendelse av GDPR i hele Unionen.

GDPR gir sterke avskrekkende sanksjoner, både materielle og immaterielle. Videre opererer EUs personvernbyrå etter en kommisjon/kommisjonær-modell, noe som gir det betydelig myndighet og uavhengighet til å ilegge sanksjoner mot organisasjoner som bryter regelverket for personvern, og til å uavhengig vurdere og avgjøre håndteringen av personopplysninger.

Kinas lov om beskyttelse av personopplysninger (PIPL), vedtatt i 2021, regnes som den første omfattende nasjonale loven om beskyttelse av personopplysninger i Kina. PIPL gir et relativt enhetlig syn på personopplysninger/personopplysninger som informasjon som er ment å identifisere eller gjenkjenne en bestemt person, spesifikt rettet mot enkeltpersoner i Kina (artikkel 4, kapittel 1 i PIPL). Samtidig regulerer den sensitive personopplysninger, og etablerer dermed regler om partenes rettigheter og plikter angående mer spesifikke datagrupper.

Straffene for brudd på personopplysningsrettigheter i henhold til PIPL-forskriftene er svært strenge, inkludert obligatorisk utbedring, inndragning av ulovlig inntekt, suspensjon av tjenester, tilbakekalling av drifts- eller forretningslisenser og bøter på opptil 50 millioner RMB eller 5 % av en organisasjons årlige inntekt i foregående regnskapsår. I tillegg kan brudd også registreres i behandlingsenhetens «kredittoversikt» under det nasjonale sosiale kredittsystemet.

Videre vil behandlingsenhetene bli holdt ansvarlige for skader dersom de krenker rettighetene og interessene til organisasjoner og enkeltpersoner. Strafferettslige sanksjoner for denne typen brudd er også spesifikt fastsatt i den kinesiske straffeloven, som foreskriver strengere straffeansvar for de som har taushetsplikt, legger til formen inndragning av eiendeler og setter livsvarig fengsel som den høyeste fengselsstraffen.

Singapores personopplysningslov (PDPA), vedtatt i 2012 (endret i 2020), anerkjenner retten til å beskytte personopplysninger og nødvendigheten av at organisasjoner samler inn, bruker og utleverer informasjon til formål som er passende for de spesifikke omstendighetene.

PDPA fastsetter også strenge økonomiske straffer for datainnbrudd. Personer som bryter loven kan bli straffet med bøter eller fengsel. Botens størrelse avhenger av lovbruddets art og alvorlighetsgrad, og varierer fra 2000 til 100 000 S$ (omtrent 1,6 milliarder VND) og/eller fengsel i opptil 12 måneder, eller opptil 3 år i alvorlige tilfeller. For brudd på loven kan straffen være opptil 10 % av deres årlige inntekt.

Personopplysningskommisjonen (PDPC) spiller en avgjørende rolle i å sikre håndhevingen av PDPA. Dette spesialiserte byrået har omfattende myndighet og bred håndhevingskapasitet, inkludert myndighet til å be enkeltpersoner og organisasjoner om å gi informasjon og dokumenter knyttet til behandling av personopplysninger, ilegge økonomiske straffer for brudd og iverksette andre korrigerende tiltak.

Opprettelsen av et eget byrå, Personopplysningskommisjonen i Singapore, som arbeider uavhengig og proaktivt med å oppdage og håndtere brudd og iverksette sanksjoner, er en av forutsetningene for effektivt vern av personopplysninger i Singapore.

Anbefalinger for forbedring av personvernlover i Vietnam

I Vietnam finnes det for tiden 69 juridiske dokumenter som er direkte knyttet til beskyttelse av personopplysninger, regulert i forskjellige dokumenter, inkludert grunnloven, kodeksen (4), loven (39), forordningen (1), dekretet (2), rundskrivet/felles rundskrivet (4) og ministeravgjørelsen (1).

Disse dokumentene tar i hovedsak for seg spørsmålet om beskyttelse av personopplysninger ved å legge vekt på prinsippet om å sikre enkeltpersoners personvern. De inneholder imidlertid forskjellige forskrifter angående informasjon knyttet til personopplysninger, og tar for seg spørsmål om enkeltpersoners rettigheter og plikter, informasjonsbehandling og metoder for å beskytte personopplysninger. Vietnamesisk lov som regulerer beskyttelse av personopplysninger har oppnådd noen bemerkelsesverdige resultater, særlig utstedelsen av dekret nr. 12/2023/ND-CP om beskyttelse av personopplysninger av 17. april 2023 – et unikt dokument som regulerer dette spørsmålet i vårt land. Disse juridiske dokumentene har skapt et juridisk rammeverk for beskyttelse av personopplysninger. De spesifiserer rettighetene til de registrerte samt behandlingspartene, foreskriver sanksjoner for brudd på beskyttelsen av personopplysninger og identifiserer det spesialiserte byrået for beskyttelse av personopplysninger som Department of Cyber ​​Security and High-Tech Crime Prevention under Ministry of Public Security ...

Vietnam står overfor en rekke risikoer, utfordringer og trusler fra cyberspace, særlig lekkasje og tyveri av personlig informasjon og data, noe som forårsaker betydelig skade for borgere og samfunnet.

Den praktiske implementeringen av disse dokumentene har imidlertid også avdekket mange begrensninger, slik som det faktum at de nåværende separate juridiske dokumentene kun er på dekretnivå, og dermed ikke oppfyller viktigheten av å beskytte personopplysninger; mange nåværende bestemmelser er vage og uklare, noe som fører til mangel på spesifikk veiledning for hvert tilfelle; og straffene er fortsatt for milde og ikke tilstrekkelig avskrekkende ...

Gitt denne situasjonen har det vært og er fortsatt et spørsmål om ytterligere forbedring av det juridiske rammeverket for beskyttelse av personopplysninger i Vietnam som krever oppmerksomhet og forskning, basert på erfaringer fra andre land. Mer spesifikt:

For det første må det vedtas en lov om beskyttelse av personopplysninger . I forbindelse med den fjerde industrielle revolusjonen har 80 land på regionalt og nasjonalt nivå allerede vedtatt sine egne juridiske dokumenter som beskytter personopplysninger. Vietnam må snarest undersøke og vedta en generell, spesialisert lov om data, i likhet med personvernlovgivningen i EU, Kina og Singapore, som vil definere de grunnleggende problemstillingene og prinsippene for beskyttelse av personopplysninger. Å vedta en egen lov om personopplysninger vil gi et avgjørende juridisk grunnlag for å beskytte personopplysninger, ettersom nåværende juridiske dokumenter i Vietnam mangler ensartethet i terminologi og innhold.

For det andre bør straffene for brudd på personvernregler revideres og suppleres slik at de blir strengere, i samsvar med arten og alvorlighetsgraden av bruddene. Selv om straffene for brudd på personopplysningsregler i landet vårt inkluderer administrative, sivile og strafferettslige sanksjoner, er de generelt ganske milde og mangler sterk avskrekkende effekt. Den viktigste metoden for tiden er fortsatt å bruke administrative straffer, men disse er spredt over mange dekreter med relativt lave bøter, hvor den høyeste er 100 millioner VND for enkeltpersoner og 200 millioner VND for organisasjoner.

Selv om skadene forårsaket av administrative brudd på personopplysninger ikke er begrenset til materielle tap, men også påvirker ære og verdighet, finnes strafferettslige sanksjoner for brudd på personopplysninger for tiden bare i bestemmelsene om personvern og informasjonsteknologi og cybersikkerhet, nærmere bestemt artikkel 159 og 288 i gjeldende straffelov, med relativt lave fengselsstraffer på ikke mer enn 7 år og bøter som ikke overstiger 1 milliard VND. Sammenlignet med EUs 20 millioner euro, Singapores 1 million SGD eller Kinas livsvarige fengsel, er disse straffene fortsatt svært lave og uforholdsmessige i forhold til mange brudd.

Samtidig er det nødvendig å regulere flere kategorier av atferd som ikke er nevnt i loven i dag, som for eksempel storskala datahandel, etablering av systemer for å begå datainnbrudd, brudd i markedsføringstjenester, osv.

For det tredje, angående modellen for et personvernbyrå i Vietnam : For tiden er avdelingen for cybersikkerhet og forebygging av høyteknologisk kriminalitet under departementet for offentlig sikkerhet det spesialiserte byrået for beskyttelse av personopplysninger. Med henvisning til internasjonale forskrifter kan vi vurdere å opprette et uavhengig personvernbyrå som er ansvarlig for å håndheve personvernloven, gjennomføre inspeksjoner og revisjoner, utstede retningslinjer, gi anbefalinger og iverksette sanksjoner for brudd.

Vi kan lære av disse modellene i EU eller Singapore ... for å sikre at rettshåndhevelsesaktiviteter som beskytter personopplysninger er svært effektive, og balanserer beskyttelsen av individuelle rettigheter og sikringen av cybersikkerhet.

Det er ikke enkelt å beskytte personopplysninger, spesielt i forbindelse med integrasjon, hvor det foregår storstilt overvåking og innsamling av personopplysninger, og det vietnamesiske rettssystemet som regulerer dette spørsmålet fortsatt er under utvikling og forbedring.

Å studere internasjonal lov om dette spørsmålet sammen med den praktiske situasjonen i Vietnam vil hjelpe oss med raskt å utvikle et omfattende juridisk rammeverk for beskyttelse av personopplysninger som er forenlig med internasjonal lov og håndheves effektivt.

---

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

Kilde: https://baoquocte.vn/phap-luat-quoc-te-ve-bao-ve-du-lieu-ca-nhan-va-goi-mo-cho-viet-nam-268402.html