Bảo vệ quyền bên thứ ba trong hoạt động công nghệ

Khung pháp luật hiện hành đã tăng cường yêu cầu này. Luật Công nghiệp công nghệ số số 71/2025/QH15 có hiệu lực từ ngày 01/01/2026; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cũng có hiệu lực từ ngày 01/01/2026; riêng Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026.

Quyền của bên thứ ba được bảo vệ theo nguyên tắc nào?

Điểm quan trọng trước tiên là tổ chức, cá nhân hoạt động công nghệ không thể chỉ dựa vào quyền tự chủ, quyền nghiên cứu hoặc quyền kinh doanh của mình để loại trừ quyền hợp pháp của người khác.

Luật Khoa học, công nghệ và đổi mới sáng tạo năm 2025 áp dụng đối với cơ quan, tổ chức, cá nhân trực tiếp tham gia hoặc có liên quan đến hoạt động khoa học, công nghệ và đổi mới sáng tạo. Luật đồng thời đặt ra yêu cầu bảo đảm quyền tự do nghiên cứu, sáng tạo nhưng gắn với đạo đức nghề nghiệp, tính trung thực, khách quan và trách nhiệm trong hoạt động khoa học, công nghệ và đổi mới sáng tạo.

Đối với công nghệ số và trí tuệ nhân tạo, nguyên tắc bảo vệ quyền của bên thứ ba được thể hiện rõ hơn thông qua các yêu cầu về:

·         Tôn trọng quyền con người, quyền công dân và quyền, lợi ích hợp pháp của tổ chức, cá nhân

·         Minh bạch và trách nhiệm giải trình

·         Bảo đảm an toàn, an ninh mạng

·         Tuân thủ pháp luật về dữ liệu và bảo vệ dữ liệu cá nhân

·         Kiểm soát rủi ro trong quá trình phát triển và sử dụng công nghệ

·         Bảo đảm quyền lợi người tiêu dùng và các quy định pháp luật liên quan

Do đó, có thể hiểu cơ chế bảo vệ bên thứ ba vận hành theo nguyên tắc quyền công nghệ phải được thực hiện trong giới hạn không xâm phạm quyền và lợi ích hợp pháp của chủ thể khác.

Dữ liệu cá nhân của bên thứ ba phải được bảo vệ như thế nào?

Đây là một trong những trường hợp rõ nhất của việc bên thứ ba được pháp luật bảo vệ trong hoạt động công nghệ.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ghi nhận một loạt quyền của chủ thể dữ liệu, gồm quyền được biết về hoạt động xử lý dữ liệu; đồng ý hoặc rút lại sự đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định pháp luật. Cơ quan, tổ chức, cá nhân có trách nhiệm tạo điều kiện để các quyền này được thực hiện và không được gây khó khăn, cản trở trái pháp luật.

Điều này có ý nghĩa trực tiếp đối với hoạt động công nghệ có sử dụng dữ liệu. Việc một tổ chức thu thập dữ liệu để phát triển phần mềm, huấn luyện hệ thống, cung cấp dịch vụ hoặc phân tích hành vi không đồng nghĩa với việc tổ chức đó được sử dụng dữ liệu không giới hạn.

Đặc biệt, khi áp dụng biện pháp công nghệ, kỹ thuật để xử lý dữ liệu cá nhân, pháp luật yêu cầu việc áp dụng phải phù hợp pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu.

Vì vậy, về thực tế quản trị, tổ chức hoặc cá nhân triển khai công nghệ nên xác định trước:

1.    Dữ liệu của bên thứ ba được thu thập từ đâu

2.    Căn cứ nào cho phép thu thập và xử lý

3.    Mục đích xử lý là gì

4.    Phạm vi sử dụng có vượt quá mục đích ban đầu hay không

5.    Ai được quyền truy cập hoặc tiếp tục xử lý

6.    Khi nào phải xóa, hạn chế hoặc chấm dứt xử lý

7.    Cơ chế tiếp nhận và thực hiện yêu cầu của chủ thể dữ liệu

Đây là cách chuyển yêu cầu bảo vệ quyền từ một nguyên tắc pháp lý thành kiểm soát cụ thể trong vòng đời công nghệ.

Công nghệ và trí tuệ nhân tạo phải kiểm soát tác động đến người bị ảnh hưởng ra sao?

Với trí tuệ nhân tạo, vấn đề bảo vệ bên thứ ba còn rõ hơn vì người chịu tác động có thể không trực tiếp sử dụng hệ thống.

Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026. Luật thiết lập cơ chế phân loại hệ thống AI theo mức độ rủi ro, trong đó việc phân loại có tính đến mức độ tác động đến quyền con người, an toàn, an ninh và lợi ích công cộng. Với hệ thống rủi ro cao, pháp luật đặt ra yêu cầu quản lý chặt chẽ hơn.

Một điểm đáng chú ý là trách nhiệm không chỉ nằm ở nhà cung cấp công nghệ. Bên triển khai cũng phải chịu trách nhiệm về vận hành, kiểm soát rủi ro, xử lý sự cố và bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân trong các trường hợp pháp luật quy định.

Cách tiếp cận này cho thấy khi công nghệ có khả năng ảnh hưởng đến bên thứ ba, cần kiểm soát ít nhất ba lớp:

·         Trước khi triển khai: xác định mục đích, phạm vi sử dụng và rủi ro đối với quyền của người khác

·         Trong quá trình vận hành: giám sát hệ thống, kiểm soát dữ liệu, khả năng giải trình và sự can thiệp của con người

·         Sau khi xảy ra sự cố: phát hiện, xử lý, khắc phục và thực hiện trách nhiệm đối với thiệt hại hoặc quyền lợi bị ảnh hưởng

Với các hệ thống AI có rủi ro cao hoặc tác động đáng kể đến quyền con người, lợi ích công cộng, việc đánh giá tác động và duy trì khả năng giám sát, can thiệp của con người trở thành yếu tố quan trọng để bảo vệ bên bị ảnh hưởng.

Quyền sở hữu trí tuệ và lợi ích tài sản của bên thứ ba được bảo vệ thế nào?

Một công nghệ có thể sử dụng mã nguồn, dữ liệu, sáng chế, thiết kế, tác phẩm, bí mật kinh doanh hoặc các kết quả sáng tạo do chủ thể khác tạo ra. Vì vậy, quyền tự phát triển công nghệ không đồng nghĩa với quyền tự do sử dụng mọi tài sản trí tuệ của bên thứ ba.

Luật Khoa học, công nghệ và đổi mới sáng tạo năm 2025 cũng gắn phát triển tiêu chuẩn công nghệ với việc hỗ trợ đăng ký, bảo hộ, quản lý và khai thác quyền sở hữu trí tuệ. Đồng thời, luật nghiêm cấm việc chiếm đoạt, sử dụng trái phép kết quả nghiên cứu, phát triển công nghệ và đổi mới sáng tạo của tổ chức, cá nhân khác hoặc các hành vi xâm phạm quyền sở hữu trí tuệ.

Vì vậy, trước khi đưa một công nghệ vào sử dụng hoặc thương mại hóa, cần kiểm tra quyền đối với các thành phần do bên thứ ba cung cấp hoặc tạo ra, chẳng hạn:

·         Quyền tác giả đối với phần mềm, tài liệu hoặc nội dung

·         Quyền sở hữu công nghiệp đối với sáng chế, kiểu dáng, nhãn hiệu

·         Quyền đối với dữ liệu và các tài sản có liên quan

·         Quyền đối với kết quả nghiên cứu hoặc công nghệ được chuyển giao

·         Phạm vi quyền sử dụng theo hợp đồng hoặc giấy phép

Nếu hoạt động công nghệ gây thiệt hại đến tài sản hoặc quyền, lợi ích hợp pháp của bên thứ ba, trách nhiệm dân sự cũng có thể phát sinh. Điều 584 Bộ luật Dân sự 2015 quy định người có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác mà gây thiệt hại thì phải bồi thường, trừ các trường hợp pháp luật quy định khác.

Người tiêu dùng và bên thứ ba trong giao dịch công nghệ được bảo vệ ra sao?

Trong sản phẩm, dịch vụ công nghệ hướng tới thị trường, bên thứ ba thường xuất hiện dưới tư cách người tiêu dùng, người sử dụng nền tảng hoặc chủ thể có thông tin được xử lý trong giao dịch.

Luật Bảo vệ quyền lợi người tiêu dùng 2023 yêu cầu tổ chức, cá nhân kinh doanh bảo đảm an toàn, chất lượng, công dụng của sản phẩm, hàng hóa, dịch vụ và phải cảnh báo khi có khả năng gây mất an toàn hoặc ảnh hưởng xấu đến tính mạng, sức khỏe, tài sản của người tiêu dùng.

Đối với môi trường số, cơ chế bảo vệ thông tin còn được mở rộng tới trường hợp doanh nghiệp thuê hoặc ủy quyền cho bên thứ ba xử lý thông tin người tiêu dùng. Việc này phải có sự đồng ý của người tiêu dùng và văn bản phải xác định phạm vi, trách nhiệm của mỗi bên về bảo vệ thông tin. Khi người tiêu dùng giao dịch thông qua bên thứ ba, chính bên thứ ba cũng có trách nhiệm bảo vệ thông tin theo pháp luật.

Do đó, một mô hình công nghệ có nhiều lớp nhà cung cấp không làm mất trách nhiệm bảo vệ người dùng. Ngược lại, càng có nhiều bên tham gia thu thập, lưu trữ, phân tích hoặc cung cấp dịch vụ thì càng cần xác định rõ:

·         Ai quyết định mục đích xử lý

·         Ai trực tiếp xử lý dữ liệu

·         Ai chịu trách nhiệm bảo mật

·         Ai tiếp nhận yêu cầu hoặc khiếu nại

·         Cách phối hợp khi xảy ra sự cố

·         Cơ chế khắc phục quyền lợi bị ảnh hưởng

Khi công nghệ gây thiệt hại, bên thứ ba được bảo vệ bằng cơ chế nào?

Bảo vệ quyền không chỉ dừng ở việc ngăn ngừa vi phạm. Khi thiệt hại thực tế xảy ra, pháp luật còn cung cấp cơ chế khắc phục.

Theo Bộ luật Dân sự 2015, trách nhiệm bồi thường ngoài hợp đồng có thể phát sinh khi có hành vi xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, uy tín, tài sản hoặc quyền, lợi ích hợp pháp khác của người khác và gây thiệt hại. Thiệt hại thực tế về nguyên tắc phải được bồi thường toàn bộ và kịp thời, với các giới hạn và trường hợp loại trừ theo pháp luật.

Trong lĩnh vực công nghệ, cơ chế này có thể trở nên quan trọng khi thiệt hại phát sinh từ việc:

·         Xử lý dữ liệu trái pháp luật

·         Sử dụng công nghệ gây thiệt hại cho tài sản hoặc quyền nhân thân

·         Sử dụng trái phép tài sản trí tuệ

·         Cung cấp sản phẩm, dịch vụ công nghệ không bảo đảm an toàn

·         Vận hành hệ thống tạo ra hậu quả mà pháp luật quy định phải chịu trách nhiệm

Đối với một số hoạt động công nghệ mới, pháp luật còn có cơ chế thử nghiệm có kiểm soát và quy định về miễn, loại trừ trách nhiệm trong những điều kiện nhất định. Tuy nhiên, cơ chế này không thể được hiểu là miễn trách nhiệm tuyệt đối. Luật Khoa học, công nghệ và đổi mới sáng tạo 2025 đặt điều kiện đối với trường hợp thử nghiệm có kiểm soát, trong đó việc miễn hoặc loại trừ trách nhiệm không áp dụng khi chủ thể đã biết hoặc buộc phải biết về nguy cơ nhưng không áp dụng đầy đủ biện pháp phù hợp để ngăn ngừa, hạn chế thiệt hại.

Vì vậy, nguyên tắc thực tế là thử nghiệm công nghệ có thể được pháp luật cho phép trong phạm vi kiểm soát, nhưng không phải là cơ chế loại bỏ nghĩa vụ bảo vệ bên thứ ba.

Tổ chức, cá nhân nên làm gì để bảo vệ quyền bên thứ ba?

Để biến yêu cầu pháp lý thành quy trình quản trị công nghệ, có thể áp dụng một chuỗi kiểm soát theo vòng đời:

1.    Xác định chủ thể có thể bị ảnh hưởng: Không chỉ xem xét người trực tiếp sử dụng công nghệ mà cả người có dữ liệu, tài sản, quyền sở hữu trí tuệ hoặc lợi ích có thể bị tác động

2.    Lập bản đồ quyền: Xác định dữ liệu, quyền tài sản, quyền nhân thân, quyền người tiêu dùng và các quyền khác có liên quan

3.    Xác định căn cứ pháp lý: Kiểm tra quy định chuyên ngành, hợp đồng, giấy phép, sự đồng ý và các căn cứ khác trước khi thu thập, sử dụng hoặc chuyển giao

4.    Đánh giá rủi ro: Xác định tình huống công nghệ có thể gây thiệt hại, phân biệt đối xử, mất dữ liệu, xâm phạm quyền hoặc ảnh hưởng đến lợi ích của bên thứ ba

5.    Thiết lập kiểm soát kỹ thuật và tổ chức: Phân quyền truy cập, bảo mật, lưu vết, giám sát, kiểm tra và cơ chế can thiệp của con người khi cần

6.    Quản lý bên thứ ba: Nếu thuê nhà cung cấp, đơn vị xử lý dữ liệu hoặc đối tác công nghệ, cần phân định rõ phạm vi công việc và trách nhiệm bảo vệ quyền

7.    Thiết lập cơ chế phản hồi và khắc phục: Bên bị ảnh hưởng phải có kênh thực hiện quyền, khiếu nại, yêu cầu sửa chữa, hạn chế xử lý hoặc yêu cầu bồi thường theo trường hợp pháp luật quy định

8.    Lưu bằng chứng tuân thủ: Hồ sơ đánh giá, thỏa thuận, nhật ký xử lý, quyết định phê duyệt và tài liệu kiểm soát rủi ro giúp chứng minh việc tuân thủ khi phát sinh tranh chấp

Cách tiếp cận này phù hợp với xu hướng pháp luật hiện hành: không chỉ xử lý vi phạm sau khi xảy ra mà còn yêu cầu minh bạch, trách nhiệm giải trình, kiểm soát rủi ro và bảo vệ quyền ngay trong quá trình thiết kế, triển khai và vận hành công nghệ.

Tóm lại, bảo vệ quyền bên thứ ba trong hoạt động công nghệ được thực hiện bằng nhiều lớp pháp luật. Tùy trường hợp, quyền của bên thứ ba có thể được bảo vệ thông qua quy định về dữ liệu cá nhân, trí tuệ nhân tạo, sở hữu trí tuệ, người tiêu dùng, hợp đồng và trách nhiệm bồi thường thiệt hại. Điểm cốt lõi là tổ chức, cá nhân không chỉ phải chứng minh công nghệ của mình được phép triển khai, mà còn phải kiểm soát tác động của công nghệ đối với quyền và lợi ích hợp pháp của những người có thể bị ảnh hưởng.