Hướng dẫn tuân thủ bảo vệ dữ liệu điện tử tại Lào – Nghĩa vụ pháp lý và phòng ngừa rủi ro cho doanh nghiệp có vốn đầu tư nước ngoài

Khi nền kinh tế số của Lào tiếp tục mở rộng, ngày càng nhiều doanh nghiệp có vốn đầu tư nước ngoài đang thiết lập hệ thống thông tin, xử lý dữ liệu khách hàng và thực hiện chuyển dữ liệu xuyên biên giới trong nước. Tuy nhiên, một số lượng đáng kể nhà đầu tư có kiến thức hạn chế về các yêu cầu tuân thủ của Luật Bảo vệ Dữ liệu Điện tử của Lào, dẫn đến những rủi ro pháp lý đáng kể. Bài viết này xem xét một cách hệ thống khung pháp lý bảo vệ dữ liệu hiện hành tại Lào, tập trung vào nghĩa vụ tuân thủ của doanh nghiệp, quản lý phân loại dữ liệu, yêu cầu về tiêu chuẩn kỹ thuật và hậu quả của việc vi phạm, nhằm cung cấp tài liệu tham khảo cho các cán bộ pháp lý và quản lý của các doanh nghiệp có vốn đầu tư nước ngoài.

I . Khung pháp lý: Hệ thống quản lý hai cấp

Khung pháp lý hiện hành về bảo vệ dữ liệu điện tử của Lào gồm hai cấp độ:

Lớp pháp lý đầu tiên: Luật Bảo vệ Dữ liệu Điện tử (số 25/NA, tháng 5 năm 2017) 　, được Quốc hội thông qua và Tổng thống ban hành, là luật cơ bản trong lĩnh vực bảo vệ dữ liệu tại Lào. Luật này thiết lập khung pháp lý cơ bản về phân loại dữ liệu, nghĩa vụ của người quản lý dữ liệu, quyền của chủ thể dữ liệu và trách nhiệm pháp lý đối với các hành vi vi phạm, và được áp dụng đầy đủ cho tất cả các tổ chức hoạt động kinh doanh tại Lào.

Lớp thứ hai: “Hướng dẫn thực hiện Luật Bảo vệ dữ liệu điện tử” (số 2526/ປທສ , tháng 8 năm 2018) , 　do cơ quan có thẩm quyền là Bộ Bưu chính Viễn thông (nay là Bộ Khoa học và Công nghệ Thông tin) ban hành , cung cấp giải thích chi tiết về nội dung kỹ thuật của từng điều khoản trong luật và đưa ra các ví dụ, do đó có tác dụng hướng dẫn thực hiện đáng kể. Các doanh nghiệp nên tham khảo hướng dẫn thực hiện song song với luật khi thực hiện xây dựng tuân thủ nội bộ.

Cần lưu ý rằng luật bảo vệ dữ liệu của Lào vẫn còn ở giai đoạn sơ khai so với GDPR của EU hoặc Luật Bảo vệ Thông tin Cá nhân của Trung Quốc, nhưng hệ thống nghĩa vụ cốt lõi về cơ bản đã được hình thành và năng lực thực thi của các cơ quan có thẩm quyền đang dần được cải thiện. Các công ty nước ngoài không nên xem nhẹ điều này.

II . Phạm vi áp dụng: Những doanh nghiệp nào phải tuân thủ các hạn chế này?

Điều 6 của Luật Bảo vệ Dữ liệu Điện tử quy định rõ ràng rằng luật này áp dụng cho các cá nhân, pháp nhân hoặc tổ chức trong nước và nước ngoài đang sinh sống và hoạt động tại Lào , không có bất kỳ ngoại lệ nào.

Điều này có nghĩa là tất cả các doanh nghiệp có vốn đầu tư nước ngoài, liên doanh, văn phòng đại diện hoặc chi nhánh đăng ký tại Lào đều phải tuân thủ các yêu cầu của luật này nếu họ thu thập, xử lý, lưu trữ hoặc truyền tải dữ liệu điện tử trong nước. Đối với các doanh nghiệp có vốn đầu tư nước ngoài trong các lĩnh vực như năng lượng, khai khoáng, cơ sở hạ tầng và tài chính, áp lực tuân thủ càng đặc biệt rõ rệt do lượng lớn dữ liệu khách hàng, tài chính và dự án liên quan đến hoạt động hàng ngày của họ.

III . Phân loại dữ liệu: Dữ liệu chung và dữ liệu cụ thể

Các điều 8 đến 10 của Luật Bảo vệ Dữ liệu Điện tử quy định hệ thống phân loại dữ liệu nhị phân như sau, tạo cơ sở cho các doanh nghiệp xây dựng hệ thống quản lý dữ liệu:

loại sự định nghĩa Ví dụ điển hình (Hướng dẫn triển khai)

Thông tin chung Việc truy cập và sử dụng công khai được cho phép, nhưng nguồn gốc dữ liệu phải được ghi rõ. Họ tên, chức danh, địa chỉ, số điện thoại, số liệu thống kê chung, v.v.

Dữ liệu cụ thể Không được phép truy cập, sử dụng hoặc tiết lộ bất kỳ dữ liệu nào mà không có sự cho phép của chủ sở hữu dữ liệu hoặc tổ chức có liên quan. Thông tin khách hàng, thông tin tài chính, hồ sơ y tế, kế hoạch dự án, kế hoạch ngân sách, thông tin mật chính thức, v.v.

Về phân loại bảo mật dữ liệu chính thức , hướng dẫn thực hiện chia thành hai cấp độ:

◆ Dữ liệu cấp 1: Dữ liệu mà việc rò rỉ hoặc hư hại sẽ gây tổn hại đến lợi ích của nhà nước, cá nhân hoặc tổ chức (chẳng hạn như thông tin khách hàng, tài khoản tài chính và hồ sơ y tế);

◆ Dữ liệu cấp 2: dữ liệu mà việc rò rỉ hoặc hư hỏng sẽ gây ra thiệt hại nghiêm trọng hoặc ảnh hưởng đến lợi ích công cộng (chẳng hạn như sở hữu trí tuệ, kết quả nghiên cứu y khoa, tài liệu đấu thầu dự án, thông tin kiểm toán ngân sách).

Đối với các công ty năng lượng, khai thác mỏ và cơ sở hạ tầng, ngân sách dự án, tài liệu đấu thầu và thông tin hợp đồng thường thuộc loại dữ liệu thứ cấp chuyên biệt, đòi hỏi phải thiết lập các cơ chế kiểm soát truy cập và bảo vệ nghiêm ngặt hơn.

IV . Các nghĩa vụ tuân thủ cốt lõi của doanh nghiệp

Điều 23 và Điều 30 của Luật Bảo vệ Dữ liệu Điện tử quy định một cách hệ thống các nghĩa vụ tuân thủ cốt lõi mà người quản lý dữ liệu (tức là các doanh nghiệp hoạt động tại Lào và xử lý dữ liệu điện tử) phải thực hiện, bao gồm các khía cạnh sau:

1. Thiết lập vị trí quản lý an ninh dữ liệu chuyên trách.　Phải có một đơn vị hoặc nhân sự chuyên trách về quản lý an ninh dữ liệu (xem Mục 5 để biết chi tiết).

2. Xây dựng hệ thống quản lý an ninh dữ liệu.　Điều này bao gồm việc xây dựng hệ thống thu thập và sử dụng dữ liệu, hệ thống quản lý an ninh, và hệ thống khôi phục và sao lưu dữ liệu.

3. Đánh giá rủi ro hàng năm:　Rủi ro an ninh của hệ thống thông tin phải được đánh giá ít nhất một lần mỗi năm, và mọi vấn đề được phát hiện phải được giải quyết và ghi lại bằng văn bản.

4. Kiểm soát truy cập:　Cần thiết lập quyền truy cập và ghi nhật ký ra/vào để đảm bảo rằng người không được ủy quyền không thể truy cập vào dữ liệu cụ thể;

5. Lưu trữ dữ liệu:　Dữ liệu liên lạc như nhật ký cuộc gọi và bản ghi email phải được lưu giữ trong ít nhất 90 ngày (chi tiết tại Điều 8 của Hướng dẫn thực hiện);

6. Nghĩa vụ thông báo cho chủ sở hữu dữ liệu về　việc thu thập dữ liệu: Trước khi thu thập dữ liệu, chủ sở hữu dữ liệu phải được thông báo về mục đích thu thập, chi tiết về thông tin cần thiết và phải được sự đồng ý của họ.

7. Chuyển dữ liệu xuyên biên giới:　Dữ liệu cá nhân và dữ liệu chính thức không được phép chuyển ra khỏi Lào nếu không có sự đồng ý của chủ sở hữu dữ liệu hoặc vi phạm pháp luật;

8. Ứng phó và báo cáo sự cố khẩn cấp:　Trong trường hợp xảy ra sự cố xâm nhập dữ liệu, cần phối hợp với Trung tâm Ứng phó Khẩn cấp Máy tính ( LaoCERT) thuộc Bộ Bưu chính Viễn thông (nay là Bộ Khoa học và Công nghệ Thông tin) để xử lý tình huống kịp thời và báo cáo.

V . Tiêu chuẩn kỹ thuật về bảo mật dữ liệu

Các hướng dẫn triển khai cung cấp các chỉ dẫn chi tiết, cụ thể về các yêu cầu kỹ thuật bảo mật dữ liệu mà các doanh nghiệp nên chú ý khi xây dựng hệ thống bảo mật thông tin nội bộ của mình.

Tiêu chuẩn mã hóa (Chi tiết tại Điều 17 của Hướng dẫn thực hiện): Khi gửi hoặc truyền dữ liệu tài chính, ngân hàng, đầu tư, kế toán và các dữ liệu quan trọng khác thông qua hệ thống máy tính, phải sử dụng các phương pháp tuân thủ tiêu chuẩn an ninh như chứng chỉ của Cơ quan cấp chứng chỉ ( CA) do Bộ Bưu chính Viễn thông (nay là Bộ Khoa học và Công nghệ Thông tin) cấp hoặc mã hóa PGP ; các chi tiết kỹ thuật cụ thể phải được thực hiện theo “Hướng dẫn duy trì an ninh hệ thống máy tính”.

Tiêu chuẩn lưu giữ dữ liệu (chi tiết tại Điều 8 của Hướng dẫn thực hiện): Các trung tâm lưu trữ dữ liệu và người quản lý dữ liệu phải đảm bảo dữ liệu liên lạc như nhật ký cuộc gọi và nhật ký email được lưu giữ không dưới 90 ngày ; sau khi hết thời hạn này, họ có thể xóa hoặc chặn quyền truy cập theo thỏa thuận, nhưng phải thông báo cho chủ sở hữu dữ liệu.

Nhật ký kiểm soát truy cập (chi tiết tại Điều 16 của Hướng dẫn thực hiện): Cài đặt quyền truy cập dữ liệu, nhật ký hoạt động và hồ sơ thay đổi phải được ghi chép tỉ mỉ để đảm bảo khả năng truy vết trong trường hợp dữ liệu bị thay đổi hoặc mất mát. Chủ sở hữu dữ liệu chịu trách nhiệm duy nhất về bảo mật mật khẩu, và người quản trị dữ liệu phải cung cấp các cơ chế hỗ trợ kỹ thuật phù hợp.

Ứng phó xâm nhập (Giải thích chi tiết Điều 18 Hướng dẫn thực hiện): Khi nhận được báo cáo xâm nhập, quản trị viên phải nhanh chóng xác minh, xử lý và báo cáo sự cố để ngăn ngừa tái diễn. Nếu vấn đề không thể tự giải quyết, phải báo cáo ngay lập tức cho LaoCERT. LaoCERT sẽ phối hợp với bộ phận an ninh của quản trị viên và các tổ chức trong nước và quốc tế có liên quan để cùng giải quyết vấn đề.

VI . Cần phải thiết lập một vị trí quản lý an ninh dữ liệu chuyên trách.

Điều 23 của Luật Bảo vệ Dữ liệu Điện tử quy định rõ ràng rằng người quản lý dữ liệu phải có một đơn vị hoặc nhân sự chuyên trách về quản lý an ninh dữ liệu theo quy định 201c . Đây là một yêu cầu pháp lý thiết yếu đối với cấu trúc tổ chức an ninh dữ liệu của doanh nghiệp.

Cần lưu ý rằng hiện tại cả luật lẫn hướng dẫn thực thi đều chưa quy định cụ thể chức danh công việc, yêu cầu về trình độ học vấn hoặc chứng chỉ chuyên môn cho các vị trí nêu trên. Các chi tiết hoạt động liên quan đang được Bộ Bưu chính Viễn thông (nay là Bộ Khoa học và Thông tin Công nghệ) liên tục nghiên cứu và xây dựng. Điều này có nghĩa là các công ty có một mức độ linh hoạt nhất định trong việc thiết kế công việc, nhưng cũng hàm chứa một mức độ không chắc chắn nhất định về các tiêu chuẩn quy định, đòi hỏi các công ty phải thận trọng trong thực tiễn.

Khuyến nghị thực tiễn: Do những lỗ hổng pháp lý tại Lào, nên tham khảo hệ thống quản lý an ninh thông tin ISO/IEC 27001 hoặc khung an ninh mạng NIST để xây dựng tiêu chuẩn công việc và mô tả công việc cho các vị trí an ninh dữ liệu. Điều này sẽ giúp lấp đầy những khoảng trống pháp lý và cung cấp bằng chứng tuân thủ hiệu quả trong các cuộc kiểm tra của cơ quan có thẩm quyền.

VII . Hậu quả pháp lý của các hành vi vi phạm

Luật Bảo vệ Dữ liệu Điện tử thiết lập hệ thống ba cấp trách nhiệm: hành chính, dân sự và hình sự, và chi phí xử lý vi phạm không nên bị đánh giá thấp.

◆ Hình phạt hành chính: Vi phạm các Điều 31 đến 33 (bao gồm truy cập, thu thập, sử dụng hoặc tiết lộ dữ liệu trái phép) sẽ bị phạt 15 triệu kip (khoảng 5.000 nhân dân tệ).

◆ Bồi thường dân sự: Bất cứ ai gây thiệt hại cho người khác do hành vi bất hợp pháp đều phải chịu trách nhiệm dân sự tương ứng để bồi thường;

◆ Trách nhiệm hình sự: Nếu cấu thành tội phạm, trách nhiệm hình sự sẽ được truy cứu theo Luật Hình sự và Luật Phòng chống tội phạm máy tính (Điều 21 của Hướng dẫn thực hiện được nêu rõ).

Ngoài ra, Bộ Bưu chính Viễn thông (nay là Bộ Thông tin Khoa học và Công nghệ) có thẩm quyền quản lý rộng rãi đối với việc bảo vệ dữ liệu điện tử, bao gồm kiểm tra định kỳ, kiểm tra theo thông báo và kiểm tra đột xuất (Điều 47 của luật). Các doanh nghiệp phải đảm bảo rằng hệ thống quản lý dữ liệu nội bộ và các hoạt động hàng ngày của mình luôn tuân thủ các quy định.

VIII . Các khuyến nghị thực tiễn về tuân thủ dành cho các doanh nghiệp có vốn đầu tư nước ngoài

Dựa trên phân tích pháp lý nêu trên, tác giả đề xuất các doanh nghiệp có vốn đầu tư nước ngoài hoạt động tại Lào cần chủ động thúc đẩy việc tuân thủ bảo vệ dữ liệu từ các khía cạnh sau:

1. Hoàn thành việc kiểm kê tài sản dữ liệu: Phân loại và dán nhãn các tài sản dữ liệu hiện có theo 　tiêu chuẩn “dữ liệu chung/dữ liệu cụ thể”, và xác định các đối tượng được bảo vệ chính;

2. Thiết lập một vị trí chuyên trách về tuân thủ,　xác định rõ ràng trách nhiệm quản lý an ninh dữ liệu, và xây dựng mô tả công việc cũng như tiêu chuẩn nội bộ cho vị trí này theo tiêu chuẩn quốc tế;

3. Xây dựng kế hoạch tuân thủ hàng năm và　thiết lập cơ chế đánh giá rủi ro hàng năm cho hệ thống thông tin, lưu giữ báo cáo đánh giá và phản hồi các cuộc kiểm tra định kỳ hoặc đột xuất của các cơ quan có thẩm quyền;

4. Tuân thủ các tiêu chuẩn bảo mật kỹ thuật　: Đảm bảo việc truyền dữ liệu quan trọng sử dụng chứng chỉ CA hoặc mã hóa PGP; lưu giữ dữ liệu liên lạc trong thời gian không dưới 90 ngày; thiết lập nhật ký truy cập và ghi lại thay đổi;

5. Thiết lập cơ chế kiểm soát truyền tải xuyên biên giới　; làm rõ các thủ tục ủy quyền và phê duyệt đối với việc truyền tải dữ liệu xuyên biên giới, và đảm bảo rằng mỗi lần truyền tải đều được sự đồng ý của chủ sở hữu dữ liệu hoặc tuân thủ các điều khoản miễn trừ theo luật định;

6. Thiết lập cơ chế liên lạc khẩn cấp với LaoCERT 　; làm rõ quy trình báo cáo nội bộ đối với các sự cố rò rỉ dữ liệu và các thủ tục báo cáo cho LaoCERT để rút ngắn thời gian phản hồi;

7. Ký kết các điều khoản hợp đồng tuân thủ:　Lồng ghép các nghĩa vụ bảo vệ dữ liệu vào các hợp đồng ký kết với các đối tác, nhà cung cấp và nhà cung cấp dịch vụ địa phương tại Lào, và xác định rõ ràng phạm vi trách nhiệm.

– Đừng để những rào cản về ngôn ngữ và thủ tục hành chính làm chậm bước tiến của doanh nghiệp bạn.

– MekongLinkLao tự hào là đơn vị chuyên cung cấp dịch vụ dịch thuật tài liệu pháp lý chuyên sâu, tư vấn thành lập doanh nghiệp và cung cấp số liệu thị trường Lào chính xác nhất.

– Liên hệ ngay với chúng tôi để được tư vấn chuyên nghiệp: Công ty TNHH Mekonglink Dịch thuật Lào – Việt – Anh – Trung Quốc Bản Thatluang Tai, quận Xaysettha, thành phố Vientiane 020 9520 6636; 020 9965 5568 * Website: Mekonglinklao.com. Facebook: Mekonglink