Từ bảo vệ quyền riêng tư đến tạo lập giá trị dữ liệu cá nhân trong nền kinh tế số
NCLP - Vai trò của dữ liệu cá nhân trong nền kinh tế số ngày càng thay đổi nhanh chóng cùng với sự phát triển của các công nghệ mới nổi. Dữ liệu cá nhân gắn liền với nhân thân của con người đang dần trở thành nguồn tài nguyên quan trọng cho nền kinh tế số. Tiếp cận từ góc độ giá trị của dữ liệu cá nhân trong hoạt động xử lý dữ liệu, bài viết lập luận rằng, trong khi cá nhân cung cấp dữ liệu ban đầu như những dữ liệu thô cho hoạt động xử lý, giá trị kinh tế được hình thành chủ yếu ở các lớp dữ liệu suy luận. Sự tách biệt giữa dữ liệu cá nhân ban đầu và nơi giá trị tạo lập làm phát sinh hiện tượng “tách rời giá trị dữ liệu”. Trên cơ sở phân tích pháp luật của Liên minh châu Âu và nhận diện khoảng trống trong pháp luật Việt Nam, bài viết gợi mở sự cần thiết xem xét dữ liệu cá nhân là tài sản đặc biệt trong kinh tế số.
Từ khóa: Dữ liệu cá nhân; kinh tế số; tách rời giá trị dữ liệu; trí tuệ nhân tạo; dữ liệu lớn.Abstract: The role of personal data in the digital economy is changing rapidly alongside the development of emerging technologies. Personal data, which is closely tied to a person’s identity, is gradually becoming an important resource for the digital economy. Approaching the issue from the perspective of the value of personal data in data processing activities, the article argues that while individuals provide the initial data as raw inputs for processing, economic value is formed mainly in the layers of inferred data. The separation between the point at which personal data originates and the point at which value is created gives rise to the phenomenon of “data value decoupling”. Based on an analysis of European Union law and an identification of gaps in Vietnamese law, the article suggests the need to consider personal data as a special type of asset in the digital economy.Keywords: Personal data; digital economy; data value decoupling; artificial intelligence; big data.
Ảnh minh họa: Nguồn Internet.
Đặt vấn đề
Trong lĩnh vực pháp luật bảo vệ dữ liệu cá nhân (DLCN), DLCN trước hết là đối tượng gắn liền với nhân thân và các quyền cơ bản của cá nhân. Pháp luật Liên minh châu Âu (EU) là một ví dụ điển hình, theo đó quyền bảo vệ DLCN là một quyền cơ bản độc lập, tách biệt với quyền riêng tư truyền thống[1], tập trung vào bảo vệ lợi ích của chủ thể dữ liệu trong kiểm soát việc xử lý dữ liệu như thu thập, sử dụng, lưu trữ hay chia sẻ DLCN. Tư tưởng này kế thừa từ học thuyết “quyền tự quyết thông tin” của Đức[2]. Tuy nhiên, sự phát triển của các công nghệ mới nổi như trí tuệ nhân tạo (AI), xử lý dữ liệu quy mô lớn (Big data) đã làm thay đổi vai trò của DLCN trong nền kinh tế số. Khi mà DLCN được thu thập như những thông tin thô ban đầu, sau đó được xử lý và trở thành đầu vào của quá trình phân tích, dự đoán và mô hình hóa hành vi[3], từ đó tạo ra giá trị kinh tế. Giá trị này phát sinh chủ yếu từ các DLCN được xử lý, tác động bởi công nghệ, đó là dữ liệu suy luận. Điều này cho thấy giá trị của DLCN không ở DLCN ban đầu, mà ở các dữ liệu khi được xử lý. Bên cạnh đó, các dữ liệu này được kết hợp, suy luận, phân tích tạo ra những rủi ro đáng kể đối với quyền riêng tư[4], định danh cá nhân[5], bảo vệ dữ liệu[6] và quyền tự quyết thông tin[7]. Điều này đặt ra câu hỏi khi giá trị của DLCN được tạo ra ở dữ liệu suy luận, liệu pháp luật bảo vệ DLCN hiện hành dựa trên quyền riêng tư và quyền kiểm soát dữ liệu đầu vào có còn đủ để điều chỉnh thực tiễn này hay không?
1. Dữ liệu cá nhân vừa mang tính nhân thân vừa mang tính tài sản
1.1. Dữ liệu cá nhân mang tính nhân thân
Khái niệm DLCN được ghi nhận sớm trong Hướng dẫn của Tổ chức Hợp tác và phát triển kinh tế (OECD) năm 1980[8], theo đó“DLCN là bất kỳ thông tin nào liên quan đến một cá nhân đã được xác định hoặc có thể được xác định (chủ thể dữ liệu)”. Dưới góc độ pháp lý, DLCN được xác định trên cơ sở tiêu chí “liên quan đến”, theo đó bao gồm bất kỳ thông tin nào có mối liên hệ với một cá nhân tự nhiên đã được định danh hoặc có thể được định danh, trực tiếp hoặc gián tiếp[9], miễn là thông tin đó có khả năng dẫn tới việc nhận diện cá nhân[10]. Vì vậy, trước hết, DLCN được hiểu chủ yếu như phần thông tin của đời sống riêng tư cần được che chở khỏi sự can thiệp tùy tiện. Theo đó, quyền riêng tư luôn gắn liền với cá nhân, cá nhân lại là chủ thể của những thông tin liên quan đến họ, nên, tất nhiên để bảo vệ quyền riêng tư thì phải bảo vệ chính DLCN[11]. Bên cạnh đó, DLCN gắn với một cá nhân định danh là bất khả chuyển nhượng cũng như ta có thể thấy ở thân thể và các bộ phận khác của con người[12]. Ví dụ, Ủy ban Tư vấn đạo đức quốc gia Pháp khi diễn giải Điều 16-10 Bộ luật Dân sự Pháp, coi dấu vân tay di truyền là bất khả chuyển nhượng[13] bởi nó gắn liền với một cá nhân.
Từ cuối thế kỷ XX, khi trình độ khoa học, công nghệ phát triển đến mức độ nhất định, tiêu chí “liên quan đến” được hiểu theo nghĩa rộng, cho phép bao trùm cả những thông tin không trực tiếp nhận diện cá nhân nhưng có thể định danh cá nhân, ví dụ dữ liệu suy luận. EU cũng đã thiết lập một quyền cơ bản về bảo vệ DLCN được ghi nhận tại Điều 8 Hiến chương các quyền cơ bản[14]. Như vậy, bảo vệ con người luôn là mục tiêu trung tâm mà EU hướng đến.
Tóm lại, trong bối cảnh kinh tế số, lớp dữ liệu này có thể xem là dữ liệu thô về cá nhân, tồn tại ở trạng thái ban đầu tại thời điểm thu thập, trước khi trải qua các quá trình xử lý, tổng hợp hoặc suy luận. Pháp luật bảo vệ DLCN hiện nay chủ yếu điều chỉnh lớp DLCN ở trạng thái ban đầu này nhưng với sự phát triển của công nghệ mới nổi, đòi hỏi phải mở rộng điều chỉnh đến các lớp dữ liệu suy luận.
1.2. Dữ liệu cá nhânmang tính tài sản
Trong nền kinh tế số, DLCN sau khi được thu thập thường tiếp tục được xử lý, kết hợp và phân tích nhằm phục vụ các mục đích khác nhau. Chính trong bối cảnh này, dữ liệu, bao gồm DLCN bộc lộ những đặc điểm đặc thù.
Thứ nhất, DLCN có tính phi cạnh tranh và tính sao chép. Khác với tài sản hữu hình, việc một chủ thể sử dụng DLCN không làm giảm khả năng sử dụng cùng dữ liệu đó của chủ thể khác. Dữ liệu như lịch sử vị trí, hồ sơ y tế, dữ liệu lái xe, có thể được nhiều tổ chức hoặc cá nhân khai thác đồng thời mà không bị hao mòn hay cạn kiệt[15]. Đặc điểm này khiến dữ liệu có thể được sử dụng lặp lại vô hạn lần, đồng thời tạo ra hiệu suất tăng theo quy mô nếu dữ liệu được chia sẻ và khai thác rộng rãi[16].
Thứ hai, DLCN không mang tính ổn định do dòng chảy DLCN bị điều chỉnh, chi phối bởi các hệ thống chuẩn mực xã hội, các quy tắc trong các bối cảnh xã hội khác nhau[17]. Ví dụ, thông tin về sức khỏe có thể chia sẻ hợp pháp với bác sĩ trong bối cảnh y tế, nhưng việc công khai thông tin đó trong bối cảnh thương mại lại vi phạm quyền riêng tư. Việc xác định một thông tin có phải là DLCN hay không, và mức độ rủi ro riêng tư đến đâu, vì thế phải dựa vào hoàn cảnh sử dụng, mục đích xử lý và khả năng nhận diện trong thực tế. Một dữ liệu có thể trở thành DLCN khi được kết hợp với các tập dữ liệu khác để có thể định danh một người cụ thể[18].
Thứ ba, DLCN có tính phi vật chất nhưng tạo giá trị kinh tế. Trong nền kinh tế số, chính đặc điểm này khiến DLCN trở thành một loại tài nguyên có khả năng tạo ra giá trị kinh tế lớn. Một minh chứng, năm 2011, diễn đàn kinh tế thế giới đã phân loại DLCN là một loại tài sản mới cùng với các tài sản truyền thống, các khoản đầu tư, tiền mặt liên quan đến tất cả các khía cạnh của xã hội[19]. Việc khẳng định rằng, DLCN như “một loại dầu mỏ mới, một loại tiền tệ có giá trị trong thế kỷ XXI” chỉ là tổng hợp những gì mà những người tham gia thị trường đã thừa nhận lâu nay[20]. Cũng theo hướng này, OECD[21] khẳng định đổi mới dựa trên dữ liệu là một trong những động lực then chốt thúc đẩy tăng trưởng kinh tế, năng suất và phúc lợi xã hội. Từ đó, DLCN cũng ngày càng được tranh luận là hàng hóa và có thể được trao đổi, mua bán[22]. Chính điều này khiến DLCN ngày càng được xem là một nguồn tài nguyên quan trọng của nền kinh tế số.
Tuy nhiên, giá trị kinh tế của DLCN không nằm trực tiếp ở dữ liệu đầu vào mà phụ thuộc vào cách thức dữ liệu được xử lý, kết hợp và khai thác dữ liệu. Vì vậy, DLCN cần được coi như là một dạng tài sản phi truyền thống, vì chính DLCN đó và những dữ liệu phát sinh từ DLCN đó đã và đang thực sự tạo ra các giá trị thương mại rất lớn trong nền kinh tế số mà ở đó DLCN vừa mang tính nhân thân vừa mang tính tài sản.
2. Nơi tạo lập giá trị của dữ liệu cá nhân và pháp luật điều chỉnh
2.1. Dữ liệu suy luận và cách thức tạo ra dữ liệu suy luận là nơi tạo lập giá trị của dữ liệu cá nhân
Sự phát triển của các công nghệ mới nổi cho thấy giá trị kinh tế ngày càng được tạo ra thông qua quá trình xử lý dữ liệu, thay vì từ dữ liệu thô về cá nhân. Xét ở cấp độ cá nhân là một chủ thể riêng lẻ vốn gắn liền với danh tính, đời sống riêng tư và các quyền nhân thân thì DLCN hầu như không mang giá trị kinh tế đáng kể. Tuy nhiên, khi DLCN được thu thập, tập hợp ở quy mô lớn, được kết hợp, xử lý và phân tích xuyên biên giới, thông qua các công nghệ AI hoặc Big data như phân tích ở tiểu mục 2.2, có thể thấy, DLCN đang tạo ra giá trị kinh tế rất lớn. Lớp dữ liệu này gọi là dữ liệu suy luận (inferred data/derived data).
Trước hết, cần phân biệt dữ liệu thô và dữ liệu suy luận. Sự phân biệt này cũng được thừa nhận trong các hướng dẫn pháp lý về bảo vệ dữ liệu. Chẳng hạn, Ủy ban Bảo vệ DLCN Singapore (PDPC) ghi nhận rằng, các tổ chức có thể trích xuất DLCN từ dữ liệu thô cá nhân thu thập được, DLCN không chỉ tồn tại ở dạng thông tin được thu thập trực tiếp mà còn được hình thành thông qua các quá trình xử lý và suy luận[23]. Về mặt pháp lý, pháp luật EU không đưa ra một định nghĩa riêng biệt về dữ liệu suy luận. Tuy nhiên, với định nghĩa rộng của DLCN có thể thấy, DLCN đã bao gồm cả các dữ liệu suy luận[24]. Đồng quan điểm, PDPC cho rằng: “Dữ liệu suy luận được hiểu là DLCN về một cá nhân được một tổ chức thu thập trong quá trình kinh doanh từ các DLCN khác về cá nhân đó hoặc một cá nhân khác, thuộc sở hữu hoặc dưới sự kiểm soát của tổ chức đó. Nói chung, nó đề cập đến các yếu tố dữ liệu mới được tạo ra thông qua việc xử lý DLCN (ví dụ: thông qua các phương pháp toán học, logic, thống kê, tính toán, thuật toán hoặc phân tích dựa trên việc áp dụng các quy tắc cụ thể của doanh nghiệp)”[25].
Tuy nhiên, vấn đề pháp lý quan trọng hơn là xác định dữ liệu suy luận có là DLCN hay không bởi chỉ khi là DLCN thì các quy định của pháp luật bảo vệ DLCN mới được áp dụng. Các hướng dẫn mang tính không ràng buộc pháp lý của Nhóm Công tác Điều 29[26] ủng hộ quan điểm rằng, các suy luận là DLCN. Khi nói về phạm vi áp dụng của quyền di chuyển dữ liệu của chủ thể dữ liệu (data portability), Hướng dẫn của Nhóm Công tác Điều 29[27] đã diễn giải dữ liệu suy luận là bất kỳ DLCN nào được tạo ra bởi bên kiểm soát dữ liệu như một phần của việc xử lý dữ liệu, ví dụ như điểm tín dụng hoặc kết quả của một đánh giá về tình trạng sức khỏe của người dùng, hồ sơ hành vi, hồ sơ tiếp thị. Bên cạnh đó, Nhóm Công tác Điều 29 đã đề xuất một mô hình ba bước để xác định DLCN[28], bao gồm nội dung, mục đích và kết quả[29] của dữ liệu hoặc quá trình xử lý dữ liệu phải liên quan trực tiếp hoặc gián tiếp đến một cá nhân có thể xác định được. Trong đó, bước thứ ba của mô hình, kết quả có ý nghĩa then chốt đối với tình trạng pháp lý của các suy luận[30]. Nhóm Công tác Điều 29 cho rằng dữ liệu “có khả năng tác động đến quyền và lợi ích của một cá nhân nhất định”[31] là đủ để dữ liệu đó được coi là DLCN. Ngoài ra, thực tiễn hướng dẫn của Hội đồng Bảo vệ dữ liệu châu Âu (EDPB) cho thấy, các dữ liệu suy luận, đánh giá hoặc dự đoán về cá nhân, có thể vẫn thuộc phạm vi điều chỉnh của GDPR nếu chúng có khả năng tác động đến quyền và lợi ích của chủ thể dữ liệu[32].
Mặc dù cách tiếp cận của GDPR đối với DLCN là tương đối rộng, trên thực tiễn, việc xác định phạm vi dữ liệu suy luận là DLCN không phải lúc nào cũng rõ ràng. Điều này xuất phát từ việc trong quá trình hình thành dữ liệu suy luận thường tồn tại sự đan xen giữa thông tin về cá nhân, kết quả đánh giá và các yếu tố thuộc về quá trình lập luận hoặc xử lý dữ liệu. Điển hình là vụ việc YS., M. and S.[33] và vụ việc Nowak[34]. Trong vụ YS., M. and S., CJEU đã giải quyết luận điểm một bản phân tích pháp lý nội bộ của cơ quan nhà nước có phải DLCN không. CJEU tiếp nhận ý kiến của Tổng luật sư cho rằng, phân tích pháp lý[35] không thể được coi là DLCN, bởi lẽ “chỉ những thông tin liên quan đến các sự kiện về một cá nhân mới có thể là DLCN”[36], và do đó phân tích pháp lý không phải là thông tin về một cá nhân cụ thể, “bản thân phân tích pháp lý không phải là DLCN”[37]. Bên cạnh đó, CJEU cũng thừa nhận rằng, các đánh giá và ý kiến, với tư cách là kết quả của quá trình đánh giá, có thể là DLCN[38], qua đó phân biệt rõ giữa kết quả đánh giá về cá nhân và quá trình lập luận tạo ra kết quả đó. Cách tiếp cận này được củng cố trong vụ Nowak, liên quan đến câu hỏi bài thi và nhận xét của giám khảo có phải là DLCN hay không? CJEU xác nhận rằng, bài thi và nhận xét của giám khảo là DLCN vì chúng liên quan đến thí sinh và ảnh hưởng trực tiếp đến quyền lợi của họ, nhưng phương pháp chấm điểm hay logic học thuật không phải là DLCN[39]. CJEU lưu ý rằng, chỉ những dữ liệu như “tên, ngày sinh, quốc tịch, giới tính, nguồn gốc dân tộc, tôn giáo và ngôn ngữ của người nộp đơn”[40], hay nói chung là những dữ liệu về chủ thể dữ liệu, mới được coi là DLCN[41]. Sự phân biệt này cho thấy, mặc dù dữ liệu suy luận có thể được coi là DLCN trong một số trường hợp, pháp luật bảo vệ DLCN chỉ điều chỉnh các kết quả suy luận về cá nhân, mà không điều chỉnh quá trình, tiêu chí, cách thức tạo ra các suy luận đó. Trong khi đó, các quá trình này dù không phải là DLCN nhưng lại là nơi giá trị kinh tế của DLCN chủ yếu được tạo lập. Tuy nhiên, pháp luật chưa điều chỉnh nơi tạo lập giá trị kinh tế này.
Tại Việt Nam, định nghĩa DLCN được xây dựng theo hướng rộng, DLCN là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể[42]. Tuy nhiên, pháp luật chưa có sự phân biệt rõ ràng giữa DLCN ở trạng thái ban đầu và dữ liệu suy luận được tạo lập thông qua quá trình xử lý. Điều này cho thấy, mặc dù dữ liệu suy luận có thể là DLCN, pháp luật bảo vệ DLCN không điều chỉnh đầy đủ toàn bộ quá trình tạo lập dữ liệu suy luận. Từ đó có thể rút ra rằng, nơi pháp luật tập trung điều chỉnh không thống nhất với nơi tạo lập giá trị của DLCN trong nền kinh tế số.
2.2. Giới hạn của pháp luật bảo vệ dữ liệu cá nhân
Theo pháp luật EU, lợi ích quan trọng của chủ thể dữ liệu được bảo vệ là khả năng kiểm soát của chủ thể dữ liệu đối với DLCN[43]. Tòa tuyên bố rằng mỗi cá nhân có “quyền tự do quyết định việc tiết lộ và sử dụng DLCN liên quan đến mình”[44]. EU đã bảo vệ quyền nhân thân này trong thời đại số qua hai tầng bảo vệ, đó là quyền riêng tư dữ liệu (Data privacy) và bảo vệ dữ liệu (Data protection). Ở tầng quyền riêng tư dữ liệu, GDPR đã trao cho chủ thể dữ liệu các quyền để bảo vệ lợi ích của mình[45]. Ở châu Âu, một trong những con đường sớm nhất để chuẩn hóa hoạt động xử lý tự động là thiết lập các quyền tiếp cận dữ liệu của chủ thể[46]. Ở tầng bảo vệ dữ liệu, GDPR đặt ra các quy tắc đối với toàn bộ quá trình xử lý DLCN, bao gồm việc thu thập, sử dụng, truy cập, khả năng di chuyển của DLCN qua bên thứ ba hoặc xuyên qua biên giới quốc gia. Mặc dù có các quyền nhưng cá nhân có rất ít khả năng kiểm soát và giám sát cách DLCN của họ được sử dụng để tạo ra các suy luận dựa trên dữ liệu của họ[47].
Ví dụ, GDPR quy định yêu cầu các bên cung cấp nhiều loại thông tin cho chủ thể dữ liệu khi dữ liệu được thu thập trực tiếp từ họ (Điều 13) hoặc từ bên thứ ba (Điều 14). Điều 13 quy định tại thời điểm thu thập, bên kiểm soát phải cung cấp thông tin về mục đích xử lý và bất kỳ bên nhận thứ ba hoặc nhóm bên nhận nào. Tại thời điểm này, suy luận chưa được hình thành nên mang tính dự kiến và khái quát về các hoạt động xử lý, bao gồm cả khả năng dữ liệu được sử dụng cho mục đích phân tích hoặc lập hồ sơ[48]. Điều 14 có phạm vi rộng hơn, trong vòng một tháng kể từ khi nhận dữ liệu, bên kiểm soát phải cung cấp cho chủ thể các thông tin như danh mục DLCN thu thập, mục đích xử lý, bên nhận hoặc nhóm bên nhận, lợi ích hợp pháp làm căn cứ xử lý, và nguồn gốc của DLCN, kể cả việc dữ liệu có xuất phát từ nguồn công khai hay không. GDPR không yêu cầu phải tiết lộ chi tiết cụ thể của từng dữ liệu mà chỉ cần cung cấp các nhóm hoặc loại dữ liệu là đủ[49]. Điều này khiến chủ thể dữ liệu không biết chính xác dữ liệu nào đang được xử lý và chi tiết cách thức tạo ra dữ liệu suy luận từ DLCN của họ.
Một ví dụ khác, GDPR[50] không trao cho chủ thể dữ liệu quyền di chuyển dữ liệu (data portability) cho dữ liệu suy luận, chỉ áp dụng cho “dữ liệu do chủ thể dữ liệu cung cấp”[51], bao gồm dữ liệu thô và dữ liệu quan sát được.
Thực tiễn xét xử trong vụ YS., M. and S.[52] và vụ Nowak[53], cũng như quan điểm của Tổng luật sư trong các vụ việc này[54], Tòa án đã khẳng định rằng, pháp luật bảo vệ dữ liệu không nhằm đánh giá tính đúng đắn của quá trình ra quyết định, việc đánh giá chất lượng lập luận hay nội dung quyết định thuộc thẩm quyền của các cơ quan chuyên ngành có thẩm quyền giải quyết khiếu nại, chứ không thuộc phạm vi của quyền bảo vệ dữ liệu[55]. Theo đó, các quyền tiếp cận và chỉnh sửa dữ liệu được hiểu chủ yếu như công cụ kiểm tra tính chính xác và đầy đủ của dữ liệu ban đầu, chứ không phải để xem xét lập luận hay tiêu chí đánh giá sau đó cho dữ liệu suy luận[56].
Theo pháp luật Việt Nam, Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ DLCN (trước đây) và hiện nay là Luật Bảo vệ DLCN năm 2025 và các quan điểm chính sách của Nhà nước[57] đều đặt trọng tâm vào điều kiện xử lý dữ liệu, sự đồng ý của chủ thể dữ liệu và nghĩa vụ của bên kiểm soát dữ liệu, bên xử lý dữ liệu. Chủ thể dữ liệu cũng có các quyền đối với DLCN[58]. Tuy nhiên, tương tự như GDPR, các quyền này chủ yếu vận hành đối với DLCN ban đầu được thu thập, mà chưa thiết lập một cơ chế riêng biệt điều chỉnh dữ liệu suy luận và nơi tạo lập giá trị của DLCN trong nền kinh tế số.
3. Gợi mở và kết luận
Từ những phân tích nêu trên, có thể xem đó chính là các yếu tố để hình thành một hiện tượng mà bài viết gọi là “tách rời giá trị dữ liệu”. Các yếu tố đó bao gồm: (i) Tính phi cạnh tranh và khả năng sao chép vô hạn của DLCN; (ii) Sự phát triển của các hệ thống xử lý dữ liệu quy mô lớn như AI, Big data và (iii) Pháp luật bảo vệ dữ liệu hiện hành chưa điều chỉnh cách thức tạo ra giá trị kinh tế của DLCN. Theo đó, có thể hiểu: “Hiện tượng tách rời giá trị dữ liệu là hiện tượng trong đó giá trị kinh tế của DLCN được tạo lập chủ yếu tại các tầng DLCN suy luận. Trong khi đối tượng điều chỉnh trực tiếp của pháp luật bảo vệ dữ liệu và quyền của chủ thể dữ liệu lại tập trung vào DLCN ở trạng thái ban đầu”.
Hiện tượng này phản ánh sự dịch chuyển giá trị của DLCN từ trạng thái thô gắn với nhân thân sang các lớp dữ liệu suy luận được tạo lập thông qua xử lý bởi công nghệ mới nổi. Theo cách hiểu này, “dữ liệu” được đề cập chủ yếu là DLCN ở trạng thái ban đầu. Trong khi “giá trị dữ liệu” được hiểu là giá trị kinh tế phát sinh từ dữ liệu suy luận. “Tách rời” vì vậy không phải là sự tách biệt giữa dữ liệu và cá nhân, mà là sự tách biệt giữa dữ liệu ban đầu và nơi giá trị của DLCN thực tế được tạo lập. Hiện tượng này cho thấy pháp luật bảo vệ DLCN hiện hành chưa phản ánh đầy đủ cách thức dữ liệu vận hành và tạo lập giá trị trong nền kinh tế số. Khái niệm “tách rời giá trị dữ liệu” do đó không chỉ mang ý nghĩa mô tả, mà còn đóng vai trò như một khung phân tích nhằm nhận diện khoảng trống của pháp luật hiện hành. Từ đó, hiện tượng “tách rời giá trị dữ liệu” đặt ra một số hệ quả pháp lý quan trọng: Một là, DLCN không chỉ là đối tượng của bảo vệ quyền riêng tư, mà còn là đầu vào của các quá trình tạo lập giá trị trong nền kinh tế số. Hai là, quyền kiểm soát của chủ thể dữ liệu đối với dữ liệu đầu vào không đương nhiên đồng nghĩa với khả năng kiểm soát đối với giá trị được tạo ra từ dữ liệu đó. Ba là, cách tiếp cận pháp lý đối với DLCN cần được thay đổi theo hướng không chỉ bảo vệ DLCN ở trạng thái ban đầu, mà còn phải tính đến các tầng tạo lập giá trị của dữ liệu.
Trên cơ sở đó, các tác giả gợi mở sự cần thiết phát triển cách tiếp cận xem xét DLCN như một loại tài sản đặc biệt, vừa mang tính nhân thân vừa mang tính tài sản, với cấu trúc quyền phân tầng, nhằm kết nối giữa dữ liệu thô và giá trị kinh tế được tạo ra từ dữ liệu đó./.
[1] Điều 7 và Điều 8 của Hiến chương Quyền cơ bản của Liên minh châu Âu - Charter of Fundamental Rights of the European Union (Hiến chương).
[2] Bundesverfassungsgericht (German Federal Constitutional Court), Census Act Case (1983) BVerfGE 65, 1.
[3] Shoshana Zuboff, The Age of Surveillance Capitalism: The Fight for a Human Future at the New Frontier of Power, PublicAffairs, 2019, tr. 94 - 97; Julie E. Cohen, Between Truth and Power: The Legal Constructions of Informational Capitalism, Oxford University Press, 2019, tr. 83 - 88.
[4] Paul Ohm, The Fourth Amendment in a World without Privacy, Mississippi Law Journal, số 81, năm 2011, tr.1309; Pauline T. Kim, Data-Driven Discrimination at Work, William & Mary Law Review, số 58, năm 2017, tr. 857.
[5] Luciano Floridi, The Informational Nature of Personal Identity, Minds and Machines, số 21, năm 2011, tr. 549.
[6] Sandra Wachter, Privacy: Primus Inter Pares – Privacy as a Precondition for Self-Development, Personal Fulfilment and the Free Enjoyment of Fundamental Human Rights, Social Science Research Network (SSRN), 2017.
[7] Volkszählungsurteil, Federal Constitutional Court of Germany (BVerfG), Judgment of 15 December 1983, 1 BvR 209/83 et al. Xem thêm: Jan Klabbers, The Right to Be Taken Seriously: Self-Determination in International Law, Human Rights Quarterly, số 28, năm 2006, tr. 186.
[8] OECD, Guidelines on the Protection of Privacy and Transborder Flows of Personal Data, 23/9/1980, sửa đổi 11/7/2013.
[9] Điều 4(1) Quy định chung về Bảo vệ dữ liệu của EU (GDPR).
[10] Trong vụ Lindqvist v. Sweden [2003] ECRI-12971, đoạn 24, chẳng hạn, Tòa án Công lý châu Âu (CJEU) đã đưa ra hướng dẫn về những gì cấu thành dữ liệu cá nhân theo Chỉ thị năm 1995. Tòa án cho rằng, thông tin cá nhân “… chắc chắn bao gồm tên của một người khi được kết hợp với thông tin liên lạc qua điện thoại hoặc thông tin về điều kiện làm việc hay sở thích của người đó”.
[11] Alan F. Westin, Privacy and Freedom, Atheneum, 1967, tr. 7.
[12] Václav Janeček and Gianclaudio Malgieri, Commerce in Data and the Dynamically Limited Alienability Rule, German Law Journal, số 21, năm 2020, tr. 924 - 943, doi:10.1017/glj.2020.47.
[13] Els J. Kindt, Privacy and Data Protection Issues of Biometric Applications: A Comparative Legal Analysis, Springer, 2013; F. El Atmani, Données sensibles: la notion de consentement de la personne concernée, Lamy Droit de l’Informatique, số 86, năm 1996, tr. 1 - 4.
[14] Hiến chương quy định: Điều 7. Bảo đảm quyền riêng tư: “Mọi người đều có quyền được tôn trọng đời sống riêng tư và gia đình, nhà ở và các giao tiếp của mình”. Điều 8 tách biệt quyền bảo vệ dữ liệu (quyền bảo vệ dữ liệu cá nhân) khỏi quyền riêng tư và định nghĩa nó như một quyền cơ bản độc lập. Điều này quy định: “1. Mọi người đều có quyền được bảo vệ dữ liệu cá nhân liên quan đến mình. 2. Những dữ liệu này phải được xử lý một cách công bằng, cho các mục đích cụ thể và dựa trên sự đồng ý của người liên quan hoặc một căn cứ hợp pháp khác được quy định bởi pháp luật. Mọi người đều có quyền truy cập dữ liệu đã được thu thập liên quan đến mình, và quyền yêu cầu chỉnh sửa dữ liệu đó. 3. Việc tuân thủ các quy tắc này sẽ do một cơ quan độc lập giám sát”.
[15] World Economic Forum, Personal Data: The Emergence of a New Asset Class, 2011, tr. 7 - 10. Đặc tính này của dữ liệu cũng được phân tích rõ trong mô hình kinh tế học dữ liệu của Jones và Tonetti. Xem: Charles I. Jones và Christopher Tonetti, Nonrivalry and the Economics of Data, American Economic Review, số 110(9), năm 2020, tr. 2819 -2 858, doi:10.1257/aer.20191330.
[16] OECD, Data-Driven Innovation, OECD Publishing, 2015, tr. 34 - 37; Charles I Jones and Christopher Tonetti, tlđd, tr. 2819, 2822.
[17] Helen Nissenbaum, Privacy in Context: Technology, Policy, and the Integrity of Social Life, Stanford University Press, 2010, chương 4 - 6.
[18] Chẳng hạn, một chuỗi tìm kiếm hay địa chỉ IP riêng lẻ có thể không nhận diện được ai, nhưng khi được liên kết với dữ liệu hành vi, vị trí, hoặc cookie, nó có thể xác định chính xác một người.
[19] World Economic Forum, Personal Data: The Emergence of a New Asset Class - An Initiative of the World Economic Forum January 2011, http://www3.weforum.org/docs/WEF_ITTC_Persona lDataNewAsset_Report_2011.pdf, truy cập ngày 15/3/2026.
[20] Anette Gärtner, Building a European Data Economy – Summary Report on the Right to Data Consultation, Reed Smith, 08/8/2017, https://www.reedsmith.com/en/perspectives/2017/08/ building-a-european-data-economy-summary-report, truy cập ngày 15/3/2026.
[21] OECD, Data-Driven Innovation: Big Data for Growth and Well-Being, OECD Publishing, 2015.
[22] Yihan Dai, Cross-Border Data Transfers Regulations in the Context of International Trade Law: A PRC Perspective, Springer Nature Singapore, 2022, tr. 41. Vào năm 2015, Cộng hòa nhân dân Trung Hoa đã đưa ra Trao đổi dữ liệu lớn toàn cầu (GBDE), một nền tảng trao đổi dữ liệu lớn đầu tiên trong thế giới. Tại Hoa Kỳ, DLCN dần trở thành hàng hóa. Một ví dụ trong thời đại số là nội dung số, đó là dữ liệu được sản xuất và cung cấp trong hình thức kỹ thuật số. Ví dụ như nội dung kỹ thuật số bao gồm phần mềm, game, ứng dụng, sách điện tử, tạp chí trực tuyến, các phương tiện kỹ thuật số như âm nhạc, phim, truyền hình. Nội dung số có thể được cung cấp dưới dạng hữu hình, như trên đĩa hoặc dưới dạng vô hình, như các tập tải xuống, phát trực tiếp hoặc truy cập trên website. Hình thức này cũng được coi là hàng hóa và được trao đổi mua bán để kiếm lời. Xem thêm: Maia T. Spilman, EACC Insights: Personal Data: a Commodity or a Right?, https://eaccny.com/news/eacc-insights-personal-data-a-commodity-or-a-right. truy cập ngày 15/3/2026.
[23] Personal Data Protection Commission Singapore (PDPC), Advisory Guidelines on Key Concepts in the PDPA (1 October 2021).0, Mục 16.9, tr. 113.
[24] Sandra Wachter và Brent Mittelstadt, A Right to Reasonable Inferences: Re-Thinking Data Protection Law in the Age of Big Data and AI, Columbia Business Law Review, số 2, năm 2019, tr. 494 - 620.
[25] Mục 5.21 trang 19 của Advisory Guidelines on Key Concepts in the PDPA do Personal Data Protection Commission (PDPC) Singapore.
[26] Nhóm công tác Điều 29 là cơ quan tư vấn độc lập của EU về bảo vệ dữ liệu và quyền riêng tư, hoạt động theo Chỉ thị 95/46/EC. Từ ngày 25/5/2018, nhóm này đã được thay thế bởi Hội đồng Bảo vệ dữ liệu châu Âu (EDPB) theo Quy định chung về Bảo vệ dữ liệu của EU (GDPR).
[27] Article 29 Data Protection Working Party, Guidelines on the right to data portability, WP242 rev.01, adopted 13 December 2016, endorsed by EDPB, 25 May 2018, pp 9 - 10.
[28] Article 29 Data Protection Working Party, Opinion 4/2007 on the Concept of Personal Data; 01248/07/EN WP 136 (n 68); định nghĩa dữ liệu cá nhân xem thêm: Nadezhda Purtova, The Law of Everything: Broad Concept of Personal Data and Future of EU Data Protection Law, Innovation and Technology, 2018, DOI:10.1080/17579961.2018.1452176.
[29] “Kết quả” ở đây được hiểu là “đánh giá, xử lý theo một cách nhất định hoặc tác động đến tình trạng hay hành vi của một cá nhân”. Article 29 Data Protection Working Party, Opinion 4/2007 on the Concept of Personal Data; 01248/07/EN WP 136 (n 68) 10.
[30] Douwe Korff, New Challenges to Data Protection Study, Working Paper No. 2, Council of Europe, 2010, tr. 52 - 53. Trong đó, tác giả lập luận rằng, các hồ sơ (profiles), được hiểu như một tập hợp các suy luận và giả định, nên được coi là dữ liệu cá nhân.
[31] Article 29 Data Protection Working Party, Opinion 4/2007 on the Concept of Personal Data; 01248/07/EN WP 136 (n 68) 11.
[32] European Data Protection Board (EDPB), Guidelines 3/2018 on the territorial scope of the GDPR (thông qua ngày 12/11/2019), đoạn 13 - 21; EDPB, Guidelines 1/2020 on processing personal data in the context of connected vehicles and mobility related applications, Phiên bản 2.0, thông qua ngày 09/3/2021, đoạn 12 - 14; Article 29 Data Protection Working Party (WP29), Opinion 4/2007 on the concept of personal data, WP136, ngày 20/6/2007, tr. 6 - 10.
[33] YS., M. and S. v. Minister voor Immigratie, Integratie en Asiel Joined Cases C-141/12 and C-372/12 (n 7) (“YS., M. and S.”).
[34] Peter Nowak v. Data Protection Commissioner Case C‑434/16 (n 8) (“Nowak”).
[35] Trong vụ YS., M. and S., CJEU đã giải quyết luận điểm một bản phân tích pháp lý nội bộ của cơ quan nhà nước có phải DLCN không? CJEU đã theo ý kiến Tổng luật sư định nghĩa “phân tích pháp lý” là “việc phân loại pháp lý các sự kiện liên quan đến một người đã được xác định hoặc có thể xác định […] và việc đánh giá các sự kiện đó trong bối cảnh của pháp luật áp dụng” (đoạn 54), hoặc là “lý lẽ cơ bản để giải quyết một vấn đề pháp lý” (đoạn 59).
[36] YS., M. and S., đoạn 56.
[37] YS., M. and S., đoạn 61.
[38] YS., M. and S., đoạn 61.
[39] Nowak, đoạn 70.
[40] Nowak, đoạn 38.
[41] Nowak, đoạn 38.
[42] Khoản 2 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025.
[43] Tư tưởng này kế thừa từ học thuyết quyền tự quyết thông tin (informationelle Selbstbestimmung - information self determination), lần đầu tiên được Tòa án Hiến pháp Cộng hòa Liên bang Đức xác lập trong phán quyết Census Act Case năm 1983.
[44] Bundesverfassungsgericht (German Federal Constitutional Court), Census Act Case (1983) BVerfGE 65, 1.
[45] Điều 12 – 22 GDPR: (i) Quyền được biết về mục đích sử dụng dữ liệu cá nhân; (ii) Quyền được tiếp cận thông tin cá nhân sau xử lý dữ liệu; (iii) Quyền được bảo đảm rằng thông tin cá nhân luôn luôn được sửa đổi với các dữ liệu cập nhật; (iv) Quyền yêu cầu hạn chế xử lý dữ liệu và thông tin cá nhân; quyền được truy vấn thông tin cá nhân của mình đã được thu thập trong toàn bộ môi trường mạng; (v) Quyền từ chối thu thập và xử lý thông tin cá nhân cho bất cứ mục đích nào; và quan trọng nhất là (vi) Quyền “được lãng quên”, tức cá nhân có quyền yêu cầu doanh nghiệp xóa bỏ toàn bộ các thông tin đã được thu thập về mình không giới hạn thời gian.
[46] Điều 15 GDPR; Lilian Edwards & Michael Veale, Slave to the Algorithm? Why a ‘Right to an Explanation’ Is Probably Not the Remedy You Are Looking For, Duke Law & Technology Review, tr. 38.
[47] Sandra Wachter, tlđd, tr. 34 - 37.
[48] Concerning Article 15, see: Article 29 Data Protection Working Party, Guidelines on the Right to Data Portability (n 67) 10 Fn 20, tr. 10.
[49] Rainer Knyrim, ‘DS-GVO Art. 14 Informationspflicht bei Erhebung von Daten’ in Eugen Ehmann and Martin Selmayr (eds), Datenschutz-Grundverordnung(1st edn, CHBeck 2017), Rn. 26 - 27.
[50] Điều 20 GDPR.
[51] European Data Protection Board, Guidelines on the right to data portability (WP242 rev.01) (5/4/2017).
[52] YS., M. and S., đoạn 45 - 47.
[53] Nowak, đoạn 54-55.
[54] YS., M. and S., đoạn 32, 60; Nowak, đoạn 54 - 55.
[55] YS., M. and S., đoạn 32, 60; Nowak, đoạn 54 - 55.
[56] Sandra Wachter and Brent Mittelstadt, tlđd, tr. 500 - 503, 506 - 509.
[57] Nghị quyết số 48-NQ/TW của Bộ Chính trị về Chiến lược Xây dựng và hoàn thiện hệ thống pháp luật Việt Nam đến năm 2010, định hướng đến năm 2020; Chỉ thị số 44-CT/TW ngày 20/7/2010 của Ban Bí thư về Công tác nhân quyền trong tình hình mới; Nghị quyết số 52-NQ/TW ngày 27/9/2019 của Bộ Chính trị về Một số chủ trương, chính sách chủ động tham gia cuộc Cách mạng công nghiệp lần thứ tư; Nghị quyết số 30-NQ/TW ngày 25/7/2018 của Bộ Chính trị về Chiến lược An ninh mạng quốc gia và Nghị quyết số 22/NQ-CP ngày 18/10/2019 của Chính phủ ban hành Chương trình hành động thực hiện Nghị quyết số 30-NQ/TW.
[58] Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025.
(Nguồn tin: Bài viết đăng tải trên ấn phẩm Tạp chí Nghiên cứu lập pháp số 20 (527), tháng 10/2026.)