Quy định pháp luật về bảo vệ thông tin cá nhân của người tiêu dùng như thế nào?

Cơ sở pháp lý:

Nghị định 52/2013/NĐ-CP;

Nghị định 98/2020/NĐ-CP;

1. Trách nhiệm bảo vệ thông tin cá nhân của người tiêu dùng

- Trong quá trình hoạt động kinh doanh thương mại điện tử, nếu thương nhân, tổ chức, cá nhân thực hiện việc thu thập thông tin cá nhân của người tiêu dùng thì phải tuân thủ các quy định tại Nghị định này và những quy định pháp luật liên quan về bảo vệ thông tin cá nhân.

- Trường hợp thương nhân, tổ chức, cá nhân hoạt động kinh doanh thương mại điện tử ủy quyền cho bên thứ ba thực hiện việc thu thập, lưu trữ thông tin cá nhân của người tiêu dùng:

a) Hợp đồng giữa hai bên phải quy định rõ trách nhiệm của mỗi bên trong việc tuân thủ các quy định tại Nghị định này và những quy định pháp luật liên quan về bảo vệ thông tin cá nhân;

b) Nếu hợp đồng giữa hai bên không quy định rõ trách nhiệm của mỗi bên thì thương nhân, tổ chức, cá nhân hoạt động kinh doanh thương mại điện tử chịu trách nhiệm trong trường hợp việc thu thập, lưu trữ và sử dụng thông tin cá nhân của người tiêu dùng vi phạm các quy định tại Nghị định này và những quy định pháp luật liên quan về bảo vệ thông tin cá nhân.

2. Chính sách bảo vệ thông tin cá nhân của người tiêu dùng

- Thương nhân, tổ chức, cá nhân thu thập và sử dụng thông tin cá nhân của người tiêu dùng phải xây dựng và công bố chính sách bảo vệ thông tin cá nhân với các nội dung sau:

a) Mục đích thu thập thông tin cá nhân;

b) Phạm vi sử dụng thông tin;

c) Thời gian lưu trữ thông tin;

d) Những người hoặc tổ chức có thể được tiếp cận với thông tin đó;

đ) Địa chỉ của đơn vị thu thập và quản lý thông tin, bao gồm cách thức liên lạc để người tiêu dùng có thể hỏi về hoạt động thu thập, xử lý thông tin liên quan đến cá nhân mình;

e) Phương thức và công cụ để người tiêu dùng tiếp cận và chỉnh sửa dữ liệu cá nhân của mình trên hệ thống thương mại điện tử của đơn vị thu thập thông tin.

- Những nội dung trên phải được hiển thị rõ ràng cho người tiêu dùng trước hoặc tại thời điểm thu thập thông tin.

- Nếu việc thu thập thông tin được thực hiện thông qua website thương mại điện tử của đơn vị thu thập thông tin, chính sách bảo vệ thông tin cá nhân phải được công bố công khai tại một vị trí dễ thấy trên website này.

3. Xin phép người tiêu dùng khi tiến hành thu thập thông tin

- Trừ trường hợp quy định tại Khoản 4 Điều này thương nhân, tổ chức thu thập và sử dụng thông tin cá nhân của người tiêu dùng trên website thương mại điện tử (gọi tắt là đơn vị thu thập thông tin) phải được sự đồng ý trước của người tiêu dùng có thông tin đó (gọi tắt là chủ thể thông tin).

- Đơn vị thu thập thông tin phải thiết lập cơ chế để chủ thể thông tin bày tỏ sự đồng ý một cách rõ ràng, thông qua các chức năng trực tuyến trên website, thư điện tử, tin nhắn, hoặc những phương thức khác theo thỏa thuận giữa hai bên.

- Đơn vị thu thập thông tin phải có cơ chế riêng để chủ thể thông tin được lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin cá nhân của họ trong những trường hợp sau:

a) Chia sẻ, tiết lộ, chuyển giao thông tin cho một bên thứ ba;

b) Sử dụng thông tin cá nhân để gửi quảng cáo, giới thiệu sản phẩm và các thông tin có tính thương mại khác.

- Đơn vị thu thập thông tin không cần được sự đồng ý trước của chủ thể thông tin trong các trường hợp sau:

a) Thu thập thông tin cá nhân đã công bố công khai trên các website thương mại điện tử;

b) Thu thập thông tin cá nhân để ký kết hoặc thực hiện hợp đồng mua bán hàng hóa và dịch vụ;

c) Thu thập thông tin cá nhân để tính giá, cước sử dụng thông tin, sản phẩm, dịch vụ trên môi trường mạng.

4. Sử dụng thông tin cá nhân

- Đơn vị thu thập thông tin phải sử dụng thông tin cá nhân của người tiêu dùng đúng với mục đích và phạm vi đã thông báo, trừ các trường hợp sau:

a) Có một thỏa thuận riêng với chủ thể thông tin về mục đích và phạm vi sử dụng ngoài những mục đích, phạm vi đã thông báo;

b) Để cung cấp dịch vụ hoặc sản phẩm theo yêu cầu của chủ thể thông tin;

c) Thực hiện các nghĩa vụ theo quy định của pháp luật.

- Việc sử dụng thông tin quy định tại Điều này bao gồm cả việc chia sẻ, tiết lộ và chuyển giao thông tin cá nhân cho bên thứ ba.

5. Bảo đảm an toàn, an ninh thông tin cá nhân

- Đơn vị thu thập thông tin phải đảm bảo an toàn, an ninh cho thông tin cá nhân mà họ thu thập và lưu trữ, ngăn ngừa các hành vi sau:

a) Đánh cắp hoặc tiếp cận thông tin trái phép;

b) Sử dụng thông tin trái phép;

c) Thay đổi, phá hủy thông tin trái phép.

- Đơn vị thu thập thông tin phải có cơ chế tiếp nhận và giải quyết khiếu nại của người tiêu dùng liên quan đến việc thông tin cá nhân bị sử dụng sai mục đích hoặc phạm vi đã thông báo.

- Trong trường hợp hệ thống thông tin bị tấn công làm phát sinh nguy cơ mất thông tin của người tiêu đùng, đơn vị lưu trữ thông tin phải thông báo cho cơ quan chức năng trong vòng 24 (hai mươi bốn) giờ sau khi phát hiện sự cố.

6. Kiểm tra, cập nhật và điều chỉnh thông tin cá nhân

- Chủ thể thông tin có quyền yêu cầu đơn vị thu thập thông tin thực hiện việc kiểm tra, cập nhật, điều chỉnh hoặc hủy bỏ thông tin cá nhân của mình.

- Đơn vị thu thập thông tin có nghĩa vụ kiểm tra, cập nhật, điều chỉnh, hủy bỏ thông tin cá nhân của chủ thể thông tin khi có yêu cầu hoặc cung cấp cho chủ thể thông tin công cụ để tự kiểm tra, cập nhật, điều chỉnh thông tin cá nhân của mình.

7. Mức phạt hành chính hành vi vi phạm về bảo vệ thông tin cá nhân trong hoạt động thương mại điện tử

Mức phạt hành chính hành vi vi phạm về bảo vệ thông tin cá nhân trong hoạt động thương mại điện tử được quy định tại Nghị định 98/2020/NĐ-CP, cụ thể như sau:

1. Phạt tiền từ 1.000.000 đồng đến 5.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Xây dựng chính sách bảo vệ thông tin cá nhân không đúng quy định;

b) Không hiển thị công khai cho người tiêu dùng chính sách bảo vệ thông tin cá nhân tại vị trí dễ thấy trên website thương mại điện tử.

2. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Không hiển thị rõ ràng cho người tiêu dùng chính sách bảo vệ thông tin cá nhân trước hoặc tại thời điểm thu thập thông tin;

b) Không tiến hành kiểm tra, cập nhật, điều chỉnh, hủy bỏ thông tin cá nhân khi có yêu cầu của chủ thể thông tin;

c) Không có cơ chế để chủ thể thông tin bày tỏ sự đồng ý một cách rõ ràng khi tiến hành thu thập thông tin, thông qua các chức năng trực tuyến trên website, thư điện tử, tin nhắn, hoặc những phương thức khác theo thỏa thuận giữa hai bên;

d) Không có cơ chế riêng để chủ thể thông tin được lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin cá nhân của họ trong những trường hợp: chia sẻ, tiết lộ, chuyển giao thông tin cho một bên thứ ba hoặc sử dụng thông tin cá nhân để gửi quảng cáo, giới thiệu sản phẩm và các thông tin có tính thương mại khác.

3. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Không thiết lập cơ chế tiếp nhận và giải quyết khiếu nại của người tiêu dùng liên quan đến việc thông tin cá nhân bị sử dụng sai mục đích hoặc phạm vi đã thông báo;

b) Không xây dựng, ban hành hoặc không thực hiện chính sách đảm bảo an toàn, an ninh cho việc thu thập và sử dụng thông tin cá nhân của người tiêu dùng;

c) Không công bố trên website chính sách về bảo mật thông tin thanh toán cho khách hàng trên website có chức năng thanh toán trực tuyến.

4. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi vi phạm sau đây.

a) Thu thập thông tin cá nhân của người tiêu dùng mà không được sự đồng ý trước của chủ thể thông tin;

b) Thiết lập cơ chế mặc định buộc người tiêu dùng phải đồng ý với việc thông tin cá nhân của mình bị chia sẻ, tiết lộ hoặc sử dụng cho mục đích quảng cáo và các mục đích thương mại khác;

c) Sử dụng thông tin cá nhân của người tiêu dùng không đúng với mục đích và phạm vi đã thông báo.

5. Hình thức xử phạt bổ sung:

Đình chỉ hoạt động thương mại điện tử từ 06 tháng đến 12 tháng đối với hành vi vi phạm sau trong trường hợp vi phạm nhiều lần hoặc tái phạm:

- Thu thập thông tin cá nhân của người tiêu dùng mà không được sự đồng ý trước của chủ thể thông tin;

- Thiết lập cơ chế mặc định buộc người tiêu dùng phải đồng ý với việc thông tin cá nhân của mình bị chia sẻ, tiết lộ hoặc sử dụng cho mục đích quảng cáo và các mục đích thương mại khác;

- Sử dụng thông tin cá nhân của người tiêu dùng không đúng với mục đích và phạm vi đã thông báo.

6. Biện pháp khắc phục hậu quả:

Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm sau:

- Thu thập thông tin cá nhân của người tiêu dùng mà không được sự đồng ý trước của chủ thể thông tin;

- Thiết lập cơ chế mặc định buộc người tiêu dùng phải đồng ý với việc thông tin cá nhân của mình bị chia sẻ, tiết lộ hoặc sử dụng cho mục đích quảng cáo và các mục đích thương mại khác;

- Sử dụng thông tin cá nhân của người tiêu dùng không đúng với mục đích và phạm vi đã thông báo.

MK LAW FIRM: Bài viết được đăng tải nhằm mục đích giáo dục, phổ biến, tuyên truyền pháp luật và chủ trương, chính sách của Đảng và Nhà nước không nhằm mục đích thương mại. Thông tin nêu trên chỉ có giá trị tham khảo vì vậy Quý khách khi đọc thông tin này cần tham khảo ý kiến luật sư, chuyên gia tư vấn trước khi áp dụng vào thực tế.)