กฎหมายระหว่างประเทศว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและผลกระทบต่อประเทศเวียดนาม

การปกป้องข้อมูลส่วนบุคคลไม่ใช่เรื่องง่าย โดยเฉพาะอย่างยิ่งเมื่ออยู่ในบริบทของการบูรณาการ เมื่อมีการตรวจสอบและเก็บรวบรวมข้อมูลส่วนบุคคลในวงกว้าง และระบบกฎหมายของเวียดนามที่ควบคุมประเด็นนี้ยังอยู่ในระหว่างการพัฒนาและปรับปรุงให้สมบูรณ์

เวียดนามเป็นหนึ่งในประเทศที่มีการพัฒนาและใช้งานอินเทอร์เน็ตเร็วที่สุด ในโลก โดยมีประชากรเกือบ 80% ใช้งานอินเทอร์เน็ต ทำให้ข้อมูลส่วนบุคคลของประชากร 2 ใน 3 ของเวียดนามถูกจัดเก็บ โพสต์ แชร์ และรวบรวมในโลกไซเบอร์ในหลากหลายรูปแบบและระดับรายละเอียด

ในปี 2022 และ 2023 เวียดนามดำเนินคดีอาญา 5 คดีที่เกี่ยวข้องกับการซื้อขายข้อมูลจำนวนหลายพันกิกะไบต์และข้อมูลส่วนบุคคลจำนวนมหาศาล ซึ่งแสดงให้เห็นว่ามีความจำเป็นเร่งด่วนในการปรับปรุงกฎหมายคุ้มครองข้อมูลส่วนบุคคลโดยอิงจากการวิจัยและอ้างอิงกฎหมายระหว่างประเทศ

กฎหมายระหว่างประเทศว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

GDPR ถือเป็นก้าวสำคัญทางกฎหมายที่สร้างกลไกการคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดที่สุดในโลกในปัจจุบัน

ระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลทั่วไปของสหภาพยุโรป (GDPR) ถือเป็นก้าวสำคัญทางกฎหมายที่สร้างกลไกการคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดที่สุดในโลกในปัจจุบัน และบังคับใช้กับองค์กรและธุรกิจทั้งหมดที่ประมวลผลข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรป

กฎระเบียบ GDPR กำหนดบทลงโทษที่เป็นมาตรฐานเดียวกันสำหรับธุรกิจทั่วทั้งกลุ่มประเทศสหภาพยุโรป โดยเฉพาะอย่างยิ่ง ค่าปรับจะอยู่ที่สูงสุด 2% ของรายได้หรือ 10 ล้านยูโรสำหรับการละเมิดเล็กน้อย และ 4% ของรายได้หรือ 20 ล้านยูโรสำหรับการละเมิดร้ายแรง นอกจากค่าปรับแล้ว ธุรกิจที่ละเมิด GDPR อาจต้องรับโทษอื่นๆ ด้วย เช่น ถูกบังคับให้หยุดการประมวลผลข้อมูล หรือลบข้อมูลที่ได้รับการประมวลผลโดยฝ่าฝืน GDPR

หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปคือ สำนักงานกำกับดูแลการคุ้มครองข้อมูลของสหภาพยุโรป (EU Data Protection Supervisor หรือ EDPS) ซึ่งเป็นองค์กรอิสระที่มีสมาชิกประกอบด้วยทนายความผู้มีประสบการณ์ ผู้เชี่ยวชาญด้านไอที และผู้บริหาร

หน่วยงานนี้มีหน้าที่หลักในการกำกับดูแลการประมวลผลข้อมูลส่วนบุคคลในหน่วยงานและองค์กรของสหภาพยุโรป ตลอดจนให้คำปรึกษาเกี่ยวกับประเด็นที่เกี่ยวข้องกับข้อมูลส่วนบุคคล นอกจากนี้ GDPR ยังกำหนดให้มีการจัดตั้งหน่วยงานคุ้มครองข้อมูลส่วนบุคคลในแต่ละประเทศสมาชิก เช่น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งชาติ (ฝรั่งเศส ไอร์แลนด์...) หรือสำนักงานตรวจสอบการคุ้มครองข้อมูล (ฟินแลนด์ ลัตเวีย...)

นอกเหนือจาก EDPS แล้ว สหภาพยุโรปยังได้จัดตั้งคณะกรรมการคุ้มครองข้อมูลแห่งยุโรป (EDPB) ซึ่งประกอบด้วยตัวแทนจากหน่วยงานคุ้มครองข้อมูลระดับชาติของประเทศสมาชิกและตัวแทนจากสหภาพยุโรป โดยทำหน้าที่เป็นหน่วยงานให้คำปรึกษาอิสระหลักในประเด็นเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และรับผิดชอบในการบังคับใช้ GDPR อย่างสม่ำเสมอทั่วทั้งสหภาพยุโรป

GDPR กำหนดบทลงโทษที่มีประสิทธิภาพสูง ทั้งทางด้านวัตถุและไม่ใช่วัตถุ นอกจากนี้ หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป ซึ่งดำเนินการตามแบบคณะกรรมาธิการ/กรรมาธิการ มีอำนาจกว้างขวางและเป็นอิสระในการกำหนดบทลงโทษหากองค์กรละเมิดกฎระเบียบการคุ้มครองข้อมูลส่วนบุคคล และสามารถประเมินและตัดสินใจเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลได้อย่างอิสระ

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน (PIPL) ที่ประกาศใช้ในปี 2021 ถือเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลระดับชาติฉบับแรกที่ครอบคลุมในประเทศจีน PIPL ให้มุมมองที่เป็นเอกภาพเกี่ยวกับข้อมูลส่วนบุคคล โดยกำหนดให้ข้อมูลส่วนบุคคลคือข้อมูลที่ระบุตัวตนหรือบ่งชี้ตัวบุคคลใดบุคคลหนึ่งโดยเฉพาะ โดยมุ่งเป้าไปที่กลุ่มบุคคลเฉพาะกลุ่มภายในอาณาเขตของประเทศจีน (มาตรา 4 บทที่ 1 PIPL) ในขณะเดียวกัน กฎหมายนี้ยังควบคุมประเด็นข้อมูลส่วนบุคคลที่ละเอียดอ่อน เพื่อกำหนดระเบียบเกี่ยวกับสิทธิและหน้าที่ของฝ่ายต่างๆ ที่เกี่ยวข้องกับข้อมูลกลุ่มเฉพาะเจาะจงมากขึ้น

บทลงโทษสำหรับการละเมิดสิทธิข้อมูลส่วนบุคคลภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PIPL) นั้นรุนแรงมาก รวมถึงการบังคับให้แก้ไข การยึดรายได้ที่ได้มาโดยมิชอบ การระงับการให้บริการ การเพิกถอนใบอนุญาตประกอบกิจการ และค่าปรับสูงถึง 50 ล้านหยวน หรือ 5% ของรายได้ประจำปีขององค์กรในปีก่อนหน้า นอกจากนี้ การละเมิดอาจถูกบันทึกไว้ใน “แฟ้มประวัติเครดิต” ของหน่วยประมวลผลภายใต้ระบบเครดิตทางสังคมของประเทศด้วย

นอกจากนี้ หน่วยประมวลผลจะต้องรับผิดชอบชดเชยค่าเสียหายหากละเมิดสิทธิและผลประโยชน์ขององค์กรและบุคคล บทลงโทษทางอาญาสำหรับการละเมิดประเภทนี้ยังได้รับการกำหนดไว้อย่างชัดเจนในกฎหมายอาญาของจีน ซึ่งกำหนดความรับผิดทางอาญาที่หนักกว่าสำหรับผู้ที่มีหน้าที่ต้องรักษาข้อมูลเป็นความลับ เพิ่มรูปแบบของการยึดทรัพย์สิน และกำหนดโทษจำคุกตลอดชีวิตเป็นโทษจำคุกสูงสุด

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสิงคโปร์ (PDPA) ผ่านการอนุมัติในปี 2555 (แก้ไขเพิ่มเติมในปี 2563) กฎหมายของสิงคโปร์รับรองสิทธิในการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนความจำเป็นในการจัดการการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลเพื่อวัตถุประสงค์ที่เหมาะสมในบางสถานการณ์

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ยังกำหนดบทลงโทษทางการเงินอย่างรุนแรงสำหรับการละเมิดข้อมูล ผู้กระทำผิดที่เป็นบุคคลจะต้องถูกปรับหรือจำคุก ค่าปรับขึ้นอยู่กับลักษณะและความร้ายแรงของการละเมิด โดยมีตั้งแต่ 2,000 ถึง 100,000 ดอลลาร์สิงคโปร์ (เทียบเท่า 1.6 พันล้านดองเวียดนาม) และ/หรือจำคุกไม่เกิน 12 เดือน หรือสูงสุด 3 ปีในกรณีร้ายแรง¹ สำหรับหน่วยงานและบริษัทที่ละเมิด อาจถูกปรับสูงสุดถึง 10% ของรายได้ประจำปี

หน่วยงานที่มีบทบาทสำคัญในการรับรองการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) คือ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) นี่คือหน่วยงานเฉพาะทางที่มีอำนาจและขีดความสามารถในการบังคับใช้กฎหมายอย่างกว้างขวาง มีสิทธิที่จะร้องขอข้อมูลและเอกสารที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลจากบุคคลและองค์กรต่างๆ เรียกเก็บค่าปรับสำหรับการละเมิด ตลอดจนดำเนินการอื่นๆ เพื่อจัดการกับการละเมิดนั้น

การจัดตั้งหน่วยงานเฉพาะทาง คือ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสิงคโปร์ ซึ่งทำงานอย่างเป็นอิสระและเชิงรุกในการตรวจจับ จัดการการละเมิด และลงโทษ ถือเป็นเงื่อนไขประการหนึ่งสำหรับการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพในสิงคโปร์

ข้อเสนอแนะเพื่อปรับปรุงกฎหมายคุ้มครองข้อมูลส่วนบุคคลในเวียดนาม

ปัจจุบันในเวียดนามมีเอกสารทางกฎหมาย 69 ฉบับที่เกี่ยวข้องโดยตรงกับประเด็นการคุ้มครองข้อมูลส่วนบุคคล ซึ่งระบุไว้ในเอกสารต่างๆ เช่น รัฐธรรมนูญ ประมวลกฎหมาย (4) กฎหมาย (39) พระราชบัญญัติ (1) พระราชกฤษฎีกา (2) หนังสือเวียน/หนังสือเวียนร่วม (4) คำสั่งของรัฐมนตรี (1)

เอกสารเหล่านี้โดยพื้นฐานแล้วกล่าวถึงประเด็นการคุ้มครองข้อมูลส่วนบุคคลในทิศทางของการส่งเสริมหลักการรับรองความเป็นส่วนตัวของเจ้าของข้อมูล แต่มีข้อกำหนดที่แตกต่างกันเกี่ยวกับข้อมูลที่เกี่ยวข้องกับข้อมูลส่วนบุคคล โดยอ้างถึงประเด็นสิทธิและหน้าที่ของเจ้าของข้อมูล การประมวลผลข้อมูล และวิธีการคุ้มครองข้อมูลส่วนบุคคล กฎหมายที่ควบคุมประเด็นการคุ้มครองข้อมูลส่วนบุคคลในเวียดนามประสบความสำเร็จอย่างน่าทึ่ง โดยเฉพาะอย่างยิ่งเมื่อวันที่ 17 เมษายน 2566 รัฐบาลได้ออกพระราชกฤษฎีกาฉบับที่ 12/2023/ND-CP ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นเอกสารแยกต่างหากที่ควบคุมประเด็นนี้ในประเทศของเรา เอกสารทางกฎหมายเหล่านี้ได้สร้างช่องทางทางกฎหมายในการดำเนินการคุ้มครองข้อมูลส่วนบุคคล ระบุสิทธิของเจ้าของข้อมูลและผู้ประมวลผลข้อมูล กำหนดบทลงโทษสำหรับการละเมิดการคุ้มครองข้อมูลส่วนบุคคล และระบุหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลคือ กรมความมั่นคงทางไซเบอร์และการป้องกันอาชญากรรมไฮเทคภายใต้ กระทรวงความมั่นคงสาธารณะ ...

เวียดนามกำลังเผชิญกับความเสี่ยง ความท้าทาย และอันตรายมากมายจากโลกไซเบอร์ โดยเฉพาะอย่างยิ่งการรั่วไหลและการนำข้อมูลส่วนบุคคลไปใช้ในทางที่ผิด ซึ่งก่อให้เกิดผลเสียมากมายต่อประชาชนและสังคม

อย่างไรก็ตาม การนำเอกสารเหล่านี้ไปปฏิบัติใช้จริงได้เผยให้เห็นข้อจำกัดหลายประการ เช่น เอกสารทางกฎหมายที่แยกเป็นรายฉบับในปัจจุบันอยู่ในระดับพระราชกฤษฎีกาเท่านั้น ซึ่งไม่สอดคล้องกับความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล เนื้อหาหลายส่วนในปัจจุบันมีการกำกับดูแลโดยทั่วไปและไม่ชัดเจน ส่งผลให้ขาดแนวทางที่เฉพาะเจาะจงสำหรับแต่ละกรณี และบทลงโทษยังเบาบางและไม่รุนแรงเพียงพอ...

ในสถานการณ์เช่นนี้ การปรับปรุงกฎหมายคุ้มครองข้อมูลส่วนบุคคลในเวียดนามอย่างต่อเนื่องเป็นประเด็นที่ต้องศึกษาโดยอาศัยประสบการณ์จากประเทศอื่นๆ โดยเฉพาะอย่างยิ่ง:

ประการแรก ต้องร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคล ในบริบทของการปฏิวัติอุตสาหกรรม 4.0 ปัจจุบัน 80 ประเทศได้ออกเอกสารทางกฎหมายแยกต่างหากเพื่อคุ้มครองข้อมูลส่วนบุคคลทั้งในระดับภูมิภาคและระดับชาติ เวียดนามจำเป็นต้องเร่งวิจัยและออกกฎหมายทั่วไปเฉพาะด้านข้อมูลเช่นเดียวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป จีน หรือสิงคโปร์ ซึ่งระบุประเด็นและหลักการพื้นฐานในการคุ้มครองข้อมูลส่วนบุคคล การออกกฎหมายเฉพาะด้านข้อมูลส่วนบุคคลจะเป็นพื้นฐานทางกฎหมายที่สำคัญสำหรับการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากปัจจุบันเอกสารทางกฎหมายที่เกี่ยวข้องกับประเด็นนี้ในประเทศของเรายังไม่เป็นเอกภาพในแง่ของคำศัพท์และข้อกำหนดด้านเนื้อหา

ประการที่สอง แก้ไขและเพิ่มเติมบทลงโทษสำหรับการละเมิดข้อมูลส่วนบุคคลให้เข้มงวดมากขึ้น เพื่อให้สอดคล้องกับลักษณะและความร้ายแรงของการละเมิด แม้ว่าบทลงโทษสำหรับการละเมิดข้อมูลส่วนบุคคลในประเทศของเราจะรวมถึงบทลงโทษทางปกครอง ทางแพ่ง และทางอาญา แต่โดยทั่วไปแล้วบทลงโทษเหล่านั้นค่อนข้างเบาและไม่มีผลยับยั้งสูง วิธีหลักในปัจจุบันยังคงเป็นการใช้บทลงโทษทางปกครอง แต่กฎระเบียบกระจัดกระจายอยู่ในพระราชกฤษฎีกาหลายฉบับ โดยมีค่าปรับค่อนข้างต่ำ สูงสุดคือ 100 ล้านดองสำหรับบุคคล และ 200 ล้านดองสำหรับองค์กร

ความเสียหายที่เกิดจากการละเมิดข้อมูลส่วนบุคคลในทางปกครองนั้น ไม่ได้มีเพียงแค่ความเสียหายทางวัตถุเท่านั้น แต่ยังรวมถึงความเสียหายต่อเกียรติและศักดิ์ศรีด้วย นอกจากมาตรการลงโทษทางปกครองแล้ว บทลงโทษทางอาญาสำหรับการละเมิดข้อมูลส่วนบุคคลนั้น ปรากฏอยู่ในกฎหมายว่าด้วยความเป็นส่วนตัวและด้านเทคโนโลยีสารสนเทศและความปลอดภัยทางเครือข่าย ในมาตรา 159 และมาตรา 288 ของประมวลกฎหมายอาญาฉบับปัจจุบัน โดยมีโทษจำคุกค่อนข้างต่ำ คือไม่เกิน 7 ปี และปรับไม่เกิน 1,000 ล้านดองเวียดนาม เมื่อเทียบกับโทษปรับของสหภาพยุโรปที่ 20 ล้านยูโร โทษจำคุกตลอดชีวิตของสิงคโปร์ที่ 1 ล้านดอลลาร์สิงคโปร์ หรือโทษจำคุกตลอดชีวิตของจีนแล้ว โทษปรับนี้ยังถือว่าต่ำมาก ไม่เหมาะสมกับความผิดที่เกิดขึ้นหลายกรณี

ในขณะเดียวกัน ก็จำเป็นต้องออกกฎระเบียบควบคุมพฤติกรรมหลายกลุ่มที่ยังไม่ได้ระบุไว้ในกฎหมาย เช่น การซื้อขายข้อมูลขนาดใหญ่ การจัดตั้งระบบเพื่อละเมิดข้อมูล การละเมิดในธุรกิจบริการด้านการตลาด เป็นต้น

ประการที่สาม เกี่ยวกับรูปแบบของหน่วยงานคุ้มครองข้อมูลส่วนบุคคลในเวียดนาม ปัจจุบัน กรมความมั่นคงทางไซเบอร์และการป้องกันอาชญากรรมทางเทคโนโลยีขั้นสูง สังกัดกระทรวงความมั่นคงสาธารณะ เป็นหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล โดยอ้างอิงจากกฎระเบียบระหว่างประเทศ เราอาจพิจารณาจัดตั้งหน่วยงานคุ้มครองข้อมูลส่วนบุคคลอิสระ ซึ่งมีหน้าที่บังคับใช้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ดำเนินการตรวจสอบ สอบสวน ออกแนวทางและข้อแนะนำ และลงโทษผู้ฝ่าฝืนหากมี

เราสามารถอ้างอิงถึงแบบจำลองเหล่านี้ในสหภาพยุโรปหรือสิงคโปร์... เพื่อบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ โดยสร้างสมดุลระหว่างการคุ้มครองสิทธิส่วนบุคคลและการรับรองความปลอดภัยของเครือข่าย

การคุ้มครองข้อมูลส่วนบุคคลไม่ใช่เรื่องง่าย โดยเฉพาะอย่างยิ่งเมื่ออยู่ในบริบทของการบูรณาการ เมื่อมีการตรวจสอบและเก็บรวบรวมข้อมูลส่วนบุคคลในวงกว้าง และระบบกฎหมายของเวียดนามที่ควบคุมเรื่องนี้ยังอยู่ในระหว่างการพัฒนาและปรับปรุงให้สมบูรณ์

การศึกษาค้นคว้ากฎหมายระหว่างประเทศในประเด็นนี้ โดยอ้างอิงถึงสถานการณ์จริงในเวียดนาม จะช่วยให้เราสามารถสร้างกรอบกฎหมายสำหรับการคุ้มครองข้อมูลส่วนบุคคลอย่างครอบคลุม ซึ่งสอดคล้องกับกฎหมายระหว่างประเทศและบังคับใช้ได้อย่างมีประสิทธิภาพในอนาคตอันใกล้นี้

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

[โฆษณา_2]
แหล่งที่มา