Sáng 26/6, tiếp tục chương trình Kỳ họp thứ 9, với 433/435 (đạt 90,59%) đại biểu tham gia biểu quyết tán thành, Quốc hội chính thức thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/7/2025.

Trong đó, Luật quy định 7 hành vi bị nghiêm cấm, gồm: Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; Cản trở hoạt động bảo vệ dữ liệu cá nhân; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.

Ngoài ra còn nghiêm cấm: Xử lý dữ liệu cá nhân trái quy định của pháp luật; Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật; Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Tổ chức, cá nhân có hành vi vi phạm quy định của Luật và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 3 tỷ đồng.

Trước khi đại biểu biểu quyết, trình bày báo cáo giải trình, tiếp thu, chỉnh lý dự án Luật, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới cho biết, nhiều ý kiến cho rằng, dự thảo Luật đang tuyệt đối hóa quyền của chủ thể dữ liệu cá nhân, đề nghị quy định các quyền cho rõ ràng hơn, chặt chẽ hơn để tránh lạm dụng; cân nhắc thời gian thực hiện các quyền là 72 giờ.

Tiếp thu ý kiến của đại biểu Quốc hội, Uỷ ban Thường vụ Quốc hội đã chỉ đạo thiết kế lại quy định về quyền của chủ thể dữ liệu tại Điều 4 cho rõ ràng hơn, phù hợp với thông lệ quốc tế.

Theo đó, quyền của chủ thể dữ liệu cá nhân bao gồm: Được biết về hoạt động xử lý dữ liệu cá nhân; Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân; Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;

Ngoài ra còn có quyền: Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật; Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.

Đồng thời, dự án Luật cũng bổ sung quy định khi thực hiện quyền, chủ thể dữ liệu phải có nghĩa vụ tuân thủ các nguyên tắc: đúng pháp luật và tuân thủ nghĩa vụ theo hợp đồng; phải nhằm mục đích bảo vệ quyền, lợi ích hợp pháp của chính chủ thể dữ liệu cá nhân.

Không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ pháp lý của các bên và không được xâm phạm đến quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.