Luật Thương mại điện tử: Cần cơ chế đủ mạnh để bảo vệ niềm tin số

Đây là chia sẻ của PGS, TS Trần Ngọc Mai - Khoa Kinh doanh Quốc tế, Học viện Ngân hàng với Diễn đàn Doanh nghiệp.

- Theo bà, đâu là “lỗ hổng” lớn nhất trong quy định pháp luật hiện nay về bảo mật dữ liệu người dùng trên các nền tảng thương mại điện tử và việc xây dựng một điều riêng về bảo mật trong Luật Thương mại điện tử liệu có cần thiết?

Thực tế thời gian qua cho thấy, việc người tiêu dùng bị lộ thông tin cá nhân sau khi giao dịch trực tuyến không còn là hiện tượng cá biệt mà đã trở thành một rủi ro hệ thống. Nguyên nhân sâu xa nằm ở sự “chia mảnh” của khung pháp lý hiện hành.

Cụ thể, trong khi Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và Luật An ninh mạng quy định khá toàn diện về an toàn thông tin, thì các quy định chuyên biệt cho nền tảng thương mại điện tử (TMĐT) nơi dữ liệu người dùng được thu thập, xử lý và lưu chuyển với tần suất lớn lại chưa đủ chi tiết và ràng buộc.

Các nghĩa vụ bảo mật hiện nay ví dụ như Nghị định 52/2013 và Nghị định 85/2021 mới dừng ở mức quy định trách nhiệm chung chứ chưa đặc thù hóa cho TMĐT, chưa buộc sàn TMĐT phải thực hiện “privacy-by-design” tức là bảo vệ dữ liệu ngay từ khâu thiết kế hệ thống, mã hóa thông tin nhạy cảm, kiểm soát quyền truy cập và lưu nhật ký giao dịch.

Chính vì vậy, tôi cho rằng việc bổ sung một điều riêng về bảo mật dữ liệu trong Luật TMĐT là hoàn toàn cần thiết và cấp bách để cụ thể hóa trách nhiệm của các chủ thể tham gia. Điều này không chỉ giúp đồng bộ với Nghị định 13/2023 mà còn “nội luật hóa” các chuẩn mực quốc tế như ISO/IEC 27001 (chuẩn quản lý an toàn thông tin), hay DSA – Digital Services Act của Liên minh châu Âu, vốn yêu cầu sàn giao dịch phải truy xuất được nguồn gốc người bán (traceability of traders) và minh bạch thuật toán hiển thị.

Điều luật này nên bao gồm: (1) định danh người bán – người mua rõ ràng (Know Your Business/Customer – KYB/KYC); (2) thu thập dữ liệu ở mức tối thiểu cần thiết (Data minimization); (3) cơ chế thông báo sự cố trong vòng 72 giờ; (4) lưu nhật ký giao dịch (Audit trail) phục vụ giải quyết tranh chấp; và (5) minh bạch tiêu chí gợi ý sản phẩm (Algorithmic transparency). Khi dữ liệu cá nhân được bảo vệ nghiêm ngặt thì niềm tin số mới trở thành nền tảng cho sự phát triển bền vững của TMĐT.

- Vấn nạn “like giả”, “comment giả” và “review giả” đang làm méo mó niềm tin của người tiêu dùng trên môi trường mạng. Vậy cần thiết lập cơ chế pháp lý nào để kiểm soát và xử lý hiệu quả các hành vi này, đồng thời vẫn bảo đảm quyền tự do kinh doanh và quyền tự do biểu đạt trên các nền tảng số, thưa bà?

Hiện tượng “like giả”, “comment giả” hay “review thuê” đang làm méo mó nghiêm trọng thị trường trực tuyến và bào mòn niềm tin của người tiêu dùng. Đáng mừng là Dự thảo Luật TMĐT đã nhận diện rõ hành vi “thao túng đánh giá” và coi đây là một hành vi bị cấm, đặt nền tảng cho việc xử lý pháp lý.

Tuy nhiên, vấn đề là phải thiết kế cơ chế đủ tinh tế để phân biệt giữa “biểu đạt cá nhân” và “thông tin thương mại có chủ đích”. Theo tôi, có thể thiết lập bốn lớp kiểm soát đồng thời.

Thứ nhất, yêu cầu nền tảng định danh người bán (Know Your Business – KYB), chỉ cho phép thương nhân được xác thực hoạt động.

Thứ hai, áp dụng cơ chế “Đã mua hàng- Verified Purchase” để đảm bảo chỉ người đã giao dịch thực tế mới có thể đánh giá sản phẩm.
Thứ ba, bắt buộc công khai khi người viết đánh giá nhận bất kỳ lợi ích kinh tế (paid endorsement) nào từ doanh nghiệp.

Thứ tư, xây dựng cơ chế “Safe Harbor – Miễn trừ có điều kiện” cho nền tảng tức là họ được miễn trừ trách nhiệm nếu có công cụ phát hiện, gỡ bỏ, và báo cáo minh bạch các đánh giá sai lệch trong thời gian hợp lý.

Cách tiếp cận này vừa bảo vệ quyền tự do ngôn luận của người dân, vừa tạo hàng rào pháp lý ngăn chặn hành vi thao túng niềm tin. Khi dữ liệu đánh giá trở nên đáng tin cậy, TMĐT mới thực sự phát triển bền vững.

- Hoạt động livestream bán hàng hiện phát triển mạnh nhưng cũng phát sinh nhiều hành vi quảng cáo sai sự thật, thổi phồng công dụng sản phẩm. Bà đánh giá thế nào về đề xuất buộc người livestream liên đới chịu trách nhiệm bồi thường thiệt hại khi quảng cáo sai lệch?

Tôi cho rằng quy định buộc người livestream chịu trách nhiệm liên đới (joint liability) khi quảng cáo sai lệch là cần thiết, song phải áp dụng linh hoạt theo mức độ lỗi và nguyên tắc “biết hoặc phải biết” (knew or should have known), chứ không nên quy trách nhiệm tuyệt đối.

Cơ sở pháp lý cho điều này đã xuất hiện trong Luật Bảo vệ quyền lợi người tiêu dùng 2023 và Nghị định 55/2024/NĐ-CP, quy định rõ trách nhiệm của “người có ảnh hưởng” khi quảng bá sản phẩm bao gồm nghĩa vụ minh bạch tài trợ và bảo đảm tính chính xác của thông tin.

Thông lệ quốc tế, đặc biệt tại Trung Quốc, cũng đã áp dụng cơ chế tương tự tức là người livestream hoặc KOL sẽ chịu liên đới nếu họ hưởng lợi kinh tế trực tiếp và không thực hiện thẩm tra tối thiểu hồ sơ pháp lý của sản phẩm.

Để khả thi, Việt Nam nên triển khai mô hình ba tầng trách nhiệm. Theo đó, người bán chịu trách nhiệm chính về tính hợp pháp và trung thực của sản phẩm; người livestream chịu trách nhiệm liên đới nếu nhận tài trợ mà không công khai, hoặc tiếp tục quảng bá dù đã được cảnh báo; nền tảng TMĐT chịu trách nhiệm khi không thực hiện nghĩa vụ giám sát, lưu trữ và gỡ bỏ nội dung vi phạm.

Khi đi kèm với các giải pháp kỹ thuật như bảo hiểm trách nhiệm nghề nghiệp (professional liability insurance) cho KOL, yêu cầu nền tảng có cơ chế lỹ thuật dừng phát sóng tự động (API– Application Programming Interface) đối với hàng hóa rủi ro cao, và hệ thống “Notice-and-Action” tức là gỡ bỏ trong vòng 24 giờ khi có yêu cầu thì quy định về ba tầng trách nhiệm này sẽ hoàn toàn khả thi.

- Trân trọng cảm ơn bà!

Yến Nhung thực hiện