Bảo vệ dữ liệu cá nhân: Kiến nghị đảo ngược nghĩa vụ chứng minh lỗi

Kiến nghị được TS. Trần Thị Thu Hương, Giảng viên Khoa Luật, Trường Đại học Công nghệ TP.HCM; Phó Chủ tịch kiêm Trọng tài viên Trung tâm Trọng tài Thương mại Số 1 Việt Nam chia sẻ tại Hội thảo “Dữ liệu cá nhân trong kỷ nguyên số: Bảo vệ quyền riêng tư trước những rủi ro công nghệ” do Khoa Luật - Trường Đại học Hoa Sen phối hợp với Tạp chí Luật sư Việt Nam tổ chức.

Theo thống kê từ Cổng thông tin điện tử công bố bản án của Tòa án nhân dân tối cao, từ năm 2023 đến nay đã có khoảng 220 vụ án dân sự liên quan đến dữ liệu cá nhân và quyền riêng tư được công bố. Con số này phản ánh thực tế các tranh chấp về dữ liệu cá nhân đang ngày càng phổ biến trong quá trình chuyển đổi số.

Từ đó, TS. Trần Thị Thu Hương nhận định phần lớn các vụ việc tập trung vào hai nhóm chính. Nhóm thứ nhất là hành vi cá nhân tự công khai hình ảnh, số điện thoại, thông tin gia đình hoặc đời tư của người khác trên mạng xã hội nhằm bôi nhọ, xúc phạm danh dự hoặc giải quyết mâu thuẫn cá nhân. Nhóm còn lại là các vụ rò rỉ dữ liệu khách hàng từ ngân hàng, doanh nghiệp viễn thông, sàn thương mại điện tử và các đơn vị cung cấp dịch vụ do hệ thống bảo mật yếu hoặc quản trị dữ liệu thiếu chặt chẽ.

Hậu quả của các vụ việc không chỉ dừng ở việc người dân bị làm phiền bởi cuộc gọi rác mà còn trở thành mục tiêu của các đường dây lừa đảo công nghệ cao, gây thiệt hại về tài sản và ảnh hưởng nghiêm trọng đến đời sống cá nhân.

Người dân khó chứng minh lỗi của doanh nghiệp

Theo TS. Trần Thị Thu Hương, vướng mắc lớn nhất hiện nay nằm ở quy định về nghĩa vụ chứng minh trong tố tụng dân sự.

TS. Trần Thị Thu Hương, Giảng viên Khoa Luật, Trường Đại học Công nghệ TP.HCM; Phó Chủ tịch kiêm Trọng tài viên Trung tâm Trọng tài Thương mại Số 1 Việt Nam chia sẻ bài tham luận “Trách nhiệm dân sự bồi thường thiệt hại do xâm phạm dũ liệu cá nhân từ thực tiễn xét xử của Tòa án và vai trò của luật sư”.

Điều 91 Bộ luật Tố tụng dân sự năm 2015 quy định người khởi kiện phải cung cấp chứng cứ chứng minh yêu cầu của mình là có căn cứ. Tuy nhiên, trong các vụ việc rò rỉ dữ liệu cá nhân, yêu cầu này gần như vượt quá khả năng của người dân.

Thực tế, chủ thể dữ liệu không có điều kiện tiếp cận hệ thống máy chủ, nhật ký vận hành hay các biện pháp bảo mật của doanh nghiệp để xác định dữ liệu bị lộ từ đâu và lỗi phát sinh ở khâu nào. Trong khi đó, toàn bộ chứng cứ điện tử lại nằm trong quyền kiểm soát của chính doanh nghiệp bị kiện, tạo nên sự bất đối xứng rất lớn về khả năng tiếp cận chứng cứ.

Bên cạnh khó khăn trong việc chứng minh lỗi, việc xác định thiệt hại cũng là một rào cản đáng kể. Phần lớn các vụ xâm phạm dữ liệu cá nhân gây ra tổn thất về tinh thần, danh dự, uy tín hoặc cảm giác mất an toàn, nhưng pháp luật hiện hành chưa có tiêu chí cụ thể để lượng hóa các thiệt hại này.

Kết quả tổng hợp các bản án dân sự giai đoạn 2023 - 2026 cho thấy, dù nguyên đơn thường yêu cầu bồi thường tổn thất tinh thần từ 50 - 100 triệu đồng, mức được tòa án chấp nhận phổ biến chỉ khoảng 10 - 20 triệu đồng, với tỷ lệ chấp nhận khoảng 20%. Đối với các yêu cầu bồi thường trên 100 triệu đồng, tỷ lệ được chấp nhận chỉ khoảng 5%, và mức bồi thường thường không vượt quá giới hạn theo Điều 592 Bộ luật Dân sự.

Hội thảo “Dữ liệu cá nhân trong kỷ nguyên số: Bảo vệ quyền riêng tư trước những rủi ro công nghệ” do Khoa Luật - Trường Đại học Hoa Sen phối hợp với Tạp chí Luật sư Việt Nam tổ chức.

TS. Trần Thị Thu Hương cho rằng điều này cho thấy các tòa án vẫn có xu hướng áp dụng mức bồi thường ở ngưỡng thấp do thiếu cơ sở pháp lý để lượng hóa thiệt hại phi vật chất trong môi trường số.

Cần thiết lập cơ chế suy đoán lỗi của bên xử lý dữ liệu

Từ thực tiễn xét xử, TS. Trần Thị Thu Hương kiến nghị xây dựng cơ chế suy đoán lỗi kỹ thuật theo hướng đảo ngược nghĩa vụ chứng minh.

Theo đề xuất, khi xảy ra sự cố rò rỉ dữ liệu trên diện rộng, người khởi kiện chỉ cần chứng minh mình bị thiệt hại và chứng minh có sự cố rò rỉ dữ liệu xảy ra. Trách nhiệm chứng minh hệ thống bảo mật hoạt động đúng quy trình, không có lỗi sẽ thuộc về doanh nghiệp hoặc tổ chức kiểm soát và xử lý dữ liệu.

Theo bà, đây là giải pháp phù hợp với đặc thù của môi trường số, góp phần khắc phục tình trạng bất đối xứng về công nghệ và chứng cứ giữa người dân với doanh nghiệp, đồng thời bảo vệ thực chất quyền lợi của chủ thể dữ liệu.

Bên cạnh đó, TS. Trần Thị Thu Hương cũng đề xuất xây dựng bộ tiêu chí định lượng thiệt hại tinh thần dựa trên mức độ nhạy cảm của dữ liệu bị xâm phạm. Những loại dữ liệu có tính độc bản và không thể thay thế như dữ liệu sinh trắc học, khuôn mặt, giọng nói hay thông tin tài chính cần được áp dụng mức bồi thường cao hơn so với các dữ liệu thông thường.

 Hội thảo quy tụ hơn 150 chuyên gia, nhà khoa học, chuyên gia pháp lý, đại diện cơ quan quản lý và cộng đồng doanh nghiệp,...

Một kiến nghị khác là chuẩn hóa quy trình tố tụng nhằm bảo vệ quyền riêng tư sau xét xử. Theo đó, Tòa án nhân dân tối cao cần ban hành hướng dẫn bắt buộc về việc tự động mã hóa các thông tin định danh như số căn cước, địa chỉ, tài khoản điện tử trước khi công bố bản án trên Cổng thông tin điện tử; đồng thời tạo điều kiện để đương sự yêu cầu xét xử kín đối với các vụ việc có nguy cơ tiếp tục làm lộ bí mật đời tư.

TS. Trần Thị Thu Hương cũng nhấn mạnh vai trò của luật sư trong các vụ án dữ liệu cá nhân. Không chỉ tham gia bảo vệ quyền lợi của khách hàng, luật sư còn là cầu nối giữa công nghệ và pháp luật thông qua việc thu thập, bảo toàn chứng cứ điện tử, phối hợp với chuyên gia an ninh mạng và đề xuất giám định kỹ thuật để giúp tòa án làm rõ nguyên nhân rò rỉ dữ liệu.

Theo bà, khi dữ liệu cá nhân đã trở thành một loại tài sản đặc biệt trong nền kinh tế số, hệ thống pháp luật cũng cần thay đổi tư duy từ bảo vệ hình thức sang bảo vệ thực chất. Trong đó, cơ chế đảo ngược nghĩa vụ chứng minh sẽ là bước cải cách quan trọng nhằm cân bằng vị thế giữa người dân và các doanh nghiệp nắm giữ khối lượng lớn dữ liệu cá nhân, đồng thời góp phần nâng cao hiệu quả thực thi quyền riêng tư trong kỷ nguyên số.

Nhật Linh