Internationell rätt om skydd av personuppgifter och konsekvenser för Vietnam

Att skydda personuppgifter är ingen enkel fråga, särskilt inte i samband med integration, där storskalig övervakning och insamling av personuppgifter sker, och det vietnamesiska rättssystemet som reglerar denna fråga fortfarande håller på att byggas upp och finslipas.

Som ett av de länder med den högsta internetutvecklings- och användningsgraden i världen , med nästan 80 % av befolkningen som använder internet, lagras, laddas upp, delas och samlas in personuppgifter för två tredjedelar av Vietnams befolkning online i olika former och med varierande detaljnivåer.

Under 2022 och 2023 väckte Vietnam åtal i fem fall gällande köp och försäljning av tusentals GB data och miljarder personuppgifter. Detta belyser det akuta behovet av att förbättra lagarna om skydd av personuppgifter baserat på forskning och hänvisning till internationell rätt.

Internationell rätt om skydd av personuppgifter

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

GDPR anses vara ett stort juridiskt steg framåt och skapar världens strängaste mekanism för att skydda personlig information idag.

Europeiska unionens (EU) allmänna dataskyddsförordning (GDPR) anses vara ett stort rättsligt steg framåt, eftersom den skapar världens strängaste mekanism för att skydda personuppgifter och gäller för alla organisationer och företag som behandlar EU-medborgares personuppgifter.

GDPR tillämpar enhetliga påföljder för affärsöverträdelser i hela unionen. Mer specifikt är det maximala straffet 2 % av intäkterna eller 10 miljoner euro för mindre överträdelser och 4 % av intäkterna eller 20 miljoner euro för större överträdelser. Utöver böter kan företag som bryter mot GDPR också drabbas av andra sanktioner, såsom att tvingas upphöra med databehandling eller radera data som har behandlats i strid med GDPR.

EU:s myndighet för personuppgiftsskydd är EU:s dataskyddsmyndighet (EDPS) – ett oberoende organ vars medlemmar består av erfarna jurister, IT-experter och administratörer.

Denna myndighets huvudsakliga funktion är att övervaka behandlingen av personuppgifter inom EU:s institutioner och att ge råd i frågor som rör personuppgifter. GDPR kräver också att en personuppgiftsskyddsmyndighet inrättas i varje medlemsland, såsom en nationell kommission för personuppgiftsskydd (Frankrike, Irland, etc.) eller en dataskyddsinspektion (Finland, Lettland, etc.).

Tillsammans med dataskyddsmyndigheten inrättade EU även Europeiska dataskyddskommissionen (EDPB), som består av representanter från medlemsstaternas nationella dataskyddsmyndigheter och representanter för EU. Dess funktion är att fungera som det huvudsakliga oberoende rådgivande organet i frågor som rör skydd av personuppgifter och ansvara för en enhetlig tillämpning av GDPR i hela unionen.

GDPR ger starka avskräckande påföljder, både materiella och icke-materiella. Dessutom arbetar EU:s dataskyddsmyndighet enligt en kommissionärsmodell, vilket ger den betydande befogenhet och oberoende att ålägga sanktioner mot organisationer som bryter mot bestämmelserna om dataskydd och att självständigt bedöma och besluta om hanteringen av personuppgifter.

Kinas lag om skydd av personuppgifter (PIPL), som antogs 2021, anses vara den första heltäckande nationella lagen om skydd av personuppgifter i Kina. PIPL ger en relativt enhetlig syn på personuppgifter/personlig information som information avsedd att identifiera eller känna igen en specifik individ, specifikt riktad mot individer inom Kina (artikel 4, kapitel 1 i PIPL). Samtidigt reglerar den känsliga personuppgifter och fastställer därmed regler om parternas rättigheter och skyldigheter avseende mer specifika datagrupper.

Straffen för brott mot personuppgiftsrättigheter enligt PIPL-reglerna är mycket stränga, inklusive obligatorisk åtgärd, konfiskering av olagliga inkomster, avstängning av tjänster, återkallelse av drifts- eller affärslicenser och böter på upp till 50 miljoner RMB eller 5 % av en organisations årliga intäkter under föregående räkenskapsår. Dessutom kan överträdelser också registreras i bearbetningsenhetens "kreditregister" enligt det nationella sociala kreditsystemet.

Dessutom kommer bearbetningsenheterna att hållas ansvariga för skador om de kränker organisationers och individers rättigheter och intressen. Straffrättsliga påföljder för denna typ av överträdelser anges också uttryckligen i den kinesiska strafflagen, som föreskriver strängare straffrättsligt ansvar för dem som är skyldiga att upprätthålla tystnadsplikt, lägger till formen av förverkande av tillgångar och sätter livstids fängelse som det högsta fängelsestraffet.

Singapores lag om skydd av personuppgifter (PDPA), som antogs 2012 (ändrad 2020), erkänner rätten att skydda personuppgifter och behovet av att organisationer samlar in, använder och lämnar ut information för ändamål som är lämpliga för de specifika omständigheterna.

PDPA föreskriver också strikta ekonomiska påföljder för dataintrång. Personer som bryter mot lagen kan riskera böter eller fängelse. Bötesbeloppet beror på brottets art och allvarlighetsgrad och varierar från 2 000 till 100 000 Singaporianska dollar (cirka 1,6 miljarder VND) och/eller fängelse i upp till 12 månader, eller upp till 3 år i allvarliga fall. För organisationer och företag som bryter mot lagen kan straffet vara upp till 10 % av deras årsintäkter.

Den myndighet som spelar en avgörande roll i att säkerställa att PDPA efterlevs är Personuppgiftsskyddskommissionen (PDPC). Denna specialiserade myndighet har omfattande befogenheter och breda verkställighetsmöjligheter, inklusive befogenhet att begära att individer och organisationer lämnar information och dokument relaterade till behandling av personuppgifter, ålägga ekonomiska påföljder för överträdelser och vidta andra korrigerande åtgärder.

Inrättandet av en särskild myndighet, Singapores kommission för skydd av personuppgifter, som arbetar oberoende och proaktivt med att upptäcka och hantera överträdelser och tillämpa sanktioner, är en av förutsättningarna för ett effektivt skydd av personuppgifter i Singapore.

Rekommendationer för att förbättra lagstiftningen om personuppgiftsskydd i Vietnam

För närvarande finns det i Vietnam 69 rättsdokument som är direkt relaterade till frågan om skydd av personuppgifter, reglerade i olika dokument, inklusive konstitutionen, kodexen (4), lagen (39), förordningen (1), dekretet (2), cirkuläret/gemensamt cirkuläret (4) och ministerbeslutet (1).

Dessa dokument behandlar i huvudsak frågan om skydd av personuppgifter genom att betona principen om att säkerställa individers integritet; de innehåller dock olika bestämmelser om information relaterad till personuppgifter, och behandlar frågor om individers rättigheter och skyldigheter, informationsbehandling och metoder för att skydda personuppgifter. Vietnamesisk lag som reglerar skydd av personuppgifter har uppnått några anmärkningsvärda resultat, särskilt utfärdandet av dekret nr 12/2023/ND-CP om skydd av personuppgifter den 17 april 2023 – ett unikt dokument som reglerar denna fråga i vårt land. Dessa rättsliga dokument har skapat en rättslig ram för skydd av personuppgifter. De specificerar rättigheterna för registrerade samt behandlande parter, föreskriver sanktioner för brott mot personuppgiftsskyddet och identifierar den specialiserade myndigheten för skydd av personuppgifter som avdelningen för cybersäkerhet och högteknologisk brottsförebyggande under ministeriet för allmän säkerhet ...

Vietnam står inför ett flertal risker, utmaningar och hot från cyberrymden, särskilt läckage och stöld av personlig information och data, vilket orsakar betydande skada för medborgare och samhället.

Det praktiska genomförandet av dessa dokument har dock också avslöjat många begränsningar, såsom det faktum att de nuvarande separata rättsdokumenten endast är på dekretnivå och inte uppfyller vikten av att skydda personuppgifter; många nuvarande bestämmelser är vaga och oklara, vilket leder till brist på specifik vägledning för varje enskilt fall; och straffen är fortfarande för milda och inte tillräckligt avskräckande…

Mot bakgrund av denna situation har och fortsätter att vara en fråga som kräver uppmärksamhet och forskning att ytterligare förbättra den rättsliga ramen för skydd av personuppgifter i Vietnam, baserat på erfarenheter från andra länder. Mer specifikt:

För det första behöver en lag om skydd av personuppgifter stiftas . Mot bakgrund av den fjärde industriella revolutionen har 80 länder på regional och nationell nivå redan stiftat sina egna rättsdokument som skyddar personuppgifter. Vietnam behöver snarast undersöka och stifta en allmän, specialiserad datalag, liknande dataskyddslagarna i EU, Kina och Singapore, som skulle definiera de grundläggande frågorna och principerna för skydd av personuppgifter. Att stifta en separat lag om personuppgifter skulle ge en avgörande rättslig grund för att skydda personuppgifter, eftersom nuvarande rättsdokument i Vietnam saknar enhetlighet i terminologi och innehåll.

För det andra bör straffen för brott mot personuppgiftsskyddet ses över och kompletteras för att bli strängare, i proportion till överträdelsernas art och allvar. Även om straffen för personuppgiftsöverträdelser i vårt land inkluderar administrativa, civilrättsliga och straffrättsliga sanktioner, är de i allmänhet ganska milda och saknar stark avskräckande effekt. Den huvudsakliga metoden för närvarande är fortfarande att tillämpa administrativa sanktioner, men dessa är utspridda över många förordningar med relativt låga böter, där den högsta är 100 miljoner VND för individer och 200 miljoner VND för organisationer.

Även om skadorna som orsakas av administrativa överträdelser av personuppgifter inte är begränsade till materiella förluster utan även påverkar heder och värdighet, finns straffrättsliga påföljder för överträdelser av personuppgifter för närvarande endast i bestämmelserna om integritet och informationsteknik samt cybersäkerhet, särskilt artiklarna 159 och 288 i den nuvarande strafflagen, med relativt låga fängelsestraff på högst 7 år och böter som inte överstiger 1 miljard VND. Jämfört med EU:s 20 miljoner euro, Singapores 1 miljon SGD eller Kinas livstids fängelse är dessa straff fortfarande mycket låga och oproportionerliga i förhållande till många överträdelser.

Samtidigt är det nödvändigt att reglera fler kategorier av beteenden som för närvarande inte nämns i lagen, såsom storskalig datahandel, etablering av system för att begå dataintrång, överträdelser inom marknadsföringstjänster etc.

För det tredje, angående modellen för en dataskyddsmyndighet i Vietnam : För närvarande är avdelningen för cybersäkerhet och högteknologisk brottsförebyggande under ministeriet för offentlig säkerhet den specialiserade myndigheten för skydd av personuppgifter. Med hänvisning till internationella bestämmelser skulle vi kunna överväga att inrätta en oberoende dataskyddsmyndighet som ansvarar för att upprätthålla personuppgiftslagen, genomföra inspektioner och revisioner, utfärda riktlinjer, ge rekommendationer och tillämpa sanktioner för överträdelser.

Vi kan lära oss av dessa modeller i EU eller Singapore ... för att säkerställa att brottsbekämpande åtgärder som skyddar personuppgifter är mycket effektiva och balanserar skyddet av individuella rättigheter och garanterar cybersäkerhet.

Att studera internationell rätt i denna fråga i samband med den praktiska situationen i Vietnam kommer att hjälpa oss att snabbt utveckla en heltäckande rättslig ram för skydd av personuppgifter som är förenlig med internationell rätt och effektivt tillämpas.

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

[annons_2]
Källa