Tiếp tục chương trình Kỳ họp thứ 9, Quốc hội khóa XV, chiều 12/5, Quốc hội thảo luận ở tổ về dự án Luật Bảo vệ dữ liệu cá nhân.

Làm rõ thế nào là "dữ liệu cá nhân nhạy cảm"

Tham gia ý kiến thảo luận, đại biểu Trần Quốc Tuấn (đoàn Trà Vinh) cho rằng nội hàm của cụm từ "dữ liệu cá nhân nhạy cảm" trong dự thảo Luật chưa rõ nghĩa, còn định tính vì dữ liệu cá nhân theo người này là nhạy cảm nhưng với người khác lại không nhạy cảm.

Đại biểu lấy ví dụ tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án của ông Nguyễn Văn A bị lộ lọt khi ông A đang làm Chủ tịch Hội đồng quản trị của một công ty lớn, công ty đang kinh doanh làm ăn phát đạt, giá trị cổ phiếu rất cao.

Tuy nhiên, bà B lại tung tin nói ông A bị bệnh ung thư giai đoạn cuối. Nguồn tin này gây tác động tiêu cực, làm cho giá trị cổ phiếu và số vốn hóa của công ty đó giảm sâu.

"Trên thực tế, ông A có bệnh thật, bà B cũng là người tung tin đúng sự thật. Song, nguồn tin đó lại gây thiệt hại lớn cho công ty. Vậy bà B tung tin ông A bị bệnh ung thư có bị cho là vi phạm pháp luật hay không?", đại biểu đặt vấn đề.

Do đó, đại biểu Tuấn đề nghị cần làm rõ nghĩa của cụm từ "thông tin nhạy cảm" ngay trong luật để đảm bảo tính khả thi.

Mức phạt 1% đến 5% doanh thu khó khả thi

Về xử lý vi phạm quy định bảo vệ dữ liệu cá nhân, tại khoản 2 Điều 4 dự thảo Luật có nêu: "Áp dụng mức xử phạt hành chính từ 1% đến 5% doanh thu năm liền trước của tổ chức, doanh nghiệp có vi phạm quy định về bảo vệ dữ liệu cá nhân".

Theo đại biểu Tuấn, quy định này khó khả thi, đặc biệt là với những doanh nghiệp mới thành lập đầu năm nhưng cuối năm vi phạm thì không thể xử phạt được. Hoặc cũng có trường hợp doanh nghiệp vi phạm xong bị giải thể trước khi phát hiện. Thậm chí có trường hợp doanh nghiệp có tỷ suất lợi nhuận thấp, nếu xử phạt sẽ thua lỗ nặng.

Có cùng quan điểm, đại biểu Đỗ Đức Hiển (đoàn TP Hồ Chí Minh) cho rằng, mức xử phạt như trên là quá nặng và không khả thi đối với doanh nghiệp, nhất là với các tập đoàn kinh doanh đa ngành nghề, lĩnh vực thì 1-5% doanh thu là rất lớn.

Đại biểu đề nghị nghiên cứu, chỉnh lý quy định này theo hướng có thể quy định mức phạt tối đa tương ứng với các lĩnh vực dữ liệu, công nghiệp công nghệ số. Trên cơ sở đó, Chính phủ quy định chi tiết mức phạt đối với từng hành vi vi phạm cụ thể, các tình tiết tăng nặng, giảm nhẹ, theo nguyên tắc xử lý vi phạm hành chính.

Liên quan nội dung này, đại biểu Trương Trọng Nghĩa (đoàn TP Hồ Chí Minh) đề xuất cân nhắc theo hướng quy định mức phạt dựa trên số tiền lãi thu được và mức độ thiệt hại gây ra, thay vì quy định mức phạt theo doanh thu như trong dự thảo.

Bổ sung quy định về thu thập, xử lý dữ liệu sức khỏe trong các ứng dụng y tế

Đối với quy định bảo vệ dữ liệu cá nhân liên quan đến thông tin sức khỏe, bảo hiểm, tại khoản 2 Điều 31 dự thảo Luật nêu rõ: “Các tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không cung cấp dữ liệu cá nhân cho các tổ chức cung cấp dịch vụ chăm sóc sức khỏe hoặc dịch vụ bảo hiểm sức khỏe, trừ khi có yêu cầu bằng văn bản của chủ thể dữ liệu”.

Theo đại biểu Nguyễn Trí Thức (đoàn TP Hồ Chí Minh), trong quá trình hoạt động chuyên môn của ngành y, nhất là những trường hợp khẩn cấp, cấp cứu, hay chuyển tuyến, các bác sĩ khi hội chẩn đa số là rất gấp, có khi chỉ trao đổi trực tiếp qua điện thoại chứ không kịp chuẩn bị đủ giấy tờ.

"Trường hợp bệnh nhân hôn mê, hay không có người nhà ở đó, các bác sĩ ở hai cơ sở y tế buộc phải trao đổi, xử lý dữ liệu sức khỏe không phải chờ sự cho phép của bệnh nhân cũng như gia đình người bệnh. Nếu buộc phải có sự đồng ý của chủ thể dữ liệu thì sẽ không kịp đáp ứng yêu cầu điều trị", đại biểu nêu thực tế.

Do vậy, đại biểu đoàn TP Hồ Chí Minh đề xuất bổ sung quy định cho phép chia sẻ dữ liệu sức khỏe trong các trường hợp khẩn cấp, cấp cứu, hoặc cần hội chẩn chuyên môn mà không cần sự đồng ý của bệnh nhân. Điều này rất quan trọng vì liên quan mật thiết đến hoạt động y tế hằng ngày.

Bên cạnh đó, đại biểu Thức cũng cho biết, trên thị trường hiện nay xuất hiện rất nhiều dữ liệu sức khỏe được các ứng dụng y tế số thu thập, như nhịp tim, lượng đường trong máu, các chỉ số vận động... Tuy nhiên, trong dự thảo Luật chưa có quy định cụ thể về kiểm soát các nền tảng y tế số này.

Đại biểu đề xuất bổ sung quy định về việc thu thập, xử lý dữ liệu sức khỏe trong các ứng dụng y tế, bao gồm các tiêu chuẩn mã hóa, bảo mật khi lưu trữ dữ liệu sức khỏe trên ứng dụng, quy trình cấp quyền truy cập cho bên thứ 3 (bệnh viện hay bảo hiểm y tế), cơ chế người dùng kiểm soát dữ liệu của họ trên ứng dụng (quyền xóa dữ liệu, giới hạn thu thập thông tin), giúp bảo mật thông tin dữ liệu khi sử dụng các ứng dụng theo dõi sức khỏe cá nhân.