Cách xác định phạm vi điều chỉnh pháp luật công nghệ

Cách tiếp cận này giúp phân biệt hai tình huống dễ bị nhầm lẫn: nhiều luật cùng áp dụng và nhiều luật thực sự xung đột về cùng một vấn đề. Trường hợp thứ nhất rất phổ biến trong lĩnh vực công nghệ và không đòi hỏi phải loại bỏ một luật để chọn luật khác.

Phạm vi điều chỉnh được xác định theo quan hệ pháp lý, không chỉ theo tên công nghệ

Tên của công nghệ chỉ cho biết bối cảnh thực tế, chưa đủ xác định luật áp dụng. “Ứng dụng AI”, “nền tảng số”, “điện toán đám mây” hay “ứng dụng di động” đều có thể chứa nhiều hoạt động pháp lý khác nhau.

Luật Công nghệ thông tin xác định phạm vi của mình đối với hoạt động ứng dụng, phát triển công nghệ thông tin, các biện pháp bảo đảm cho các hoạt động đó và quyền, nghĩa vụ của chủ thể tham gia. Luật này đồng thời ghi nhận việc ứng dụng công nghệ thông tin phải tuân thủ cả các quy định pháp luật có liên quan; với một số hoạt động như viễn thông hoặc phát thanh, truyền hình trên môi trường mạng, pháp luật chuyên ngành tương ứng vẫn được áp dụng.

Điều đó cho thấy một hoạt động có yếu tố công nghệ không tự động biến mọi vấn đề phát sinh thành một vấn đề chỉ thuộc “pháp luật công nghệ”. Chính quan hệ đang được điều chỉnh mới quyết định lớp pháp luật liên quan.

Ví dụ, cùng một dịch vụ trực tuyến có thể phát sinh:

·         Quan hệ giữa nhà cung cấp và khách hàng

·         Việc tạo lập và thực hiện giao dịch bằng phương tiện điện tử

·         Hoạt động thu thập, phân tích hoặc chia sẻ dữ liệu

·         Nghĩa vụ bảo vệ hệ thống và thông tin

·         Việc khai thác phần mềm, nội dung hoặc tài sản trí tuệ

Các quan hệ này tồn tại đồng thời, nên phạm vi pháp luật cũng có thể chồng lấn một cách hợp pháp.

Tách hoạt động công nghệ thành từng hành vi pháp lý trước khi tìm luật áp dụng

Muốn xác định đúng phạm vi điều chỉnh, cần “bóc tách” mô hình công nghệ thành những hành vi có ý nghĩa pháp lý. Không nên đánh giá toàn bộ sản phẩm như một khối duy nhất.

Chẳng hạn, một doanh nghiệp vận hành ứng dụng có chức năng cá nhân hóa dịch vụ có thể thực hiện nhiều hành vi riêng: mở tài khoản cho người dùng, thu thập thông tin, lưu dữ liệu, phân tích hành vi, tạo đề xuất tự động, ký kết hợp đồng trực tuyến và cung cấp dịch vụ có thu phí. Mỗi hành vi có một câu hỏi pháp lý khác nhau.

Việc tách này đặc biệt quan trọng vì hệ thống pháp luật Việt Nam hiện có nhiều đạo luật cùng liên quan đến môi trường số. Luật Giao dịch điện tử 2023 có hiệu lực từ ngày 1/7/2024; Luật Dữ liệu 2024 có hiệu lực từ ngày 1/7/2025; Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ ngày 1/1/2026.

Do đó, không thể kết luận đơn giản rằng một hệ thống “thuộc Luật Công nghệ thông tin” rồi dừng việc phân tích. Nếu hệ thống đồng thời thực hiện giao dịch điện tử hoặc xử lý dữ liệu cá nhân, các lớp quy định tương ứng phải tiếp tục được kiểm tra.

Kiểm tra bốn yếu tố để xác định một văn bản có điều chỉnh hay không

Sau khi xác định từng hành vi, có thể kiểm tra phạm vi áp dụng của mỗi văn bản theo bốn nhóm yếu tố.

Thứ nhất là phạm vi vật chất. Cần xem văn bản điều chỉnh hành vi, quan hệ hoặc đối tượng nào. Nếu luật điều chỉnh việc xử lý dữ liệu cá nhân thì phải xác định hoạt động thực tế có cấu thành xử lý dữ liệu cá nhân hay không; nếu luật điều chỉnh giao dịch điện tử thì phải xác định vấn đề đang xét có thuộc quá trình thực hiện giao dịch bằng phương tiện điện tử hay không.

Thứ hai là chủ thể. Cùng một hoạt động nhưng nghĩa vụ có thể khác tùy doanh nghiệp là nhà cung cấp dịch vụ, bên kiểm soát dữ liệu, bên xử lý dữ liệu, người tiêu dùng, chủ quản hệ thống hoặc một chủ thể chuyên ngành khác.

Thứ ba là phạm vi lãnh thổ hoặc điểm kết nối với Việt Nam. Đây là yếu tố đặc biệt quan trọng với dịch vụ xuyên biên giới, hệ thống đặt máy chủ ở nước ngoài hoặc doanh nghiệp nước ngoài cung cấp dịch vụ cho người dùng tại Việt Nam.

Thứ tư là thời điểm. Chỉ nên sử dụng văn bản và quy định có hiệu lực đối với thời điểm cần đánh giá. Chẳng hạn, từ ngày 1/1/2026, khuôn khổ bảo vệ dữ liệu cá nhân phải được xem xét trên cơ sở Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản thi hành hiện hành, trong đó có Nghị định 356/2025/NĐ-CP có hiệu lực cùng ngày.

Một văn bản chỉ thực sự thuộc phạm vi áp dụng khi các yếu tố liên quan của tình huống thực tế đáp ứng điều kiện mà văn bản đó đặt ra.

Nhiều luật cùng áp dụng không đồng nghĩa với xung đột pháp luật

Đây là điểm quan trọng nhất khi xác định phạm vi điều chỉnh pháp luật công nghệ.

Hai đạo luật cùng tác động đến một sản phẩm chưa có nghĩa chúng mâu thuẫn. Nếu mỗi luật điều chỉnh một khía cạnh khác nhau thì các nghĩa vụ thường phải được thực hiện song song.

Ví dụ, một giao dịch mua dịch vụ trên ứng dụng có thể đồng thời phải đáp ứng yêu cầu về giá trị và hình thức của giao dịch điện tử, nghĩa vụ đối với người tiêu dùng và yêu cầu về xử lý dữ liệu cá nhân. Các nhóm quy định này không loại trừ nhau chỉ vì chúng cùng tác động tới một quy trình kinh doanh.

Chỉ nên đặt vấn đề giải quyết xung đột khi có hai quy định cùng điều chỉnh đúng một vấn đề pháp lý nhưng dẫn tới những yêu cầu không thể đồng thời thực hiện.

Ngay trong Luật Công nghệ thông tin 2006 cũng có điều khoản riêng về áp dụng luật: trường hợp Luật Công nghệ thông tin và luật khác có quy định khác nhau về cùng một vấn đề liên quan đến hoạt động ứng dụng và phát triển công nghệ thông tin thì Luật Công nghệ thông tin quy định cách xử lý đối với trường hợp đó.

Vì vậy, trình tự đúng là xác định phạm vi của từng luật trước, sau đó mới kiểm tra xem giữa các quy định có xung đột thực chất hay chỉ đang tạo ra các nghĩa vụ bổ sung cho nhau.

Khi có giao thoa, phải xác định chính xác vấn đề pháp lý đang bị trùng

Không nên xử lý giao thoa bằng một nguyên tắc quá rộng như “luật chuyên ngành luôn thắng luật chung”. Trước hết phải xác định điều khoản nào đang cùng điều chỉnh vấn đề nào, hiệu lực của từng văn bản và chính điều khoản về áp dụng pháp luật hoặc chuyển tiếp có liên quan.

Một quy định về bảo vệ dữ liệu và một quy định về an toàn hệ thống có thể cùng liên quan đến cùng một cơ sở dữ liệu nhưng vẫn điều chỉnh hai vấn đề khác nhau. Quy định thứ nhất có thể tập trung vào quyền đối với dữ liệu và điều kiện xử lý; quy định thứ hai tập trung vào biện pháp bảo vệ hệ thống. Không có xung đột nếu doanh nghiệp có thể tuân thủ cả hai.

Ngược lại, khi hai quy định thực sự đưa ra hai cách xử lý khác nhau đối với cùng một vấn đề, việc phân tích phải chuyển sang tầng áp dụng văn bản: kiểm tra hiệu lực pháp lý, thời điểm có hiệu lực, điều khoản chuyên biệt về quan hệ giữa các luật và các quy định chuyển tiếp liên quan. Luật Ban hành văn bản quy phạm pháp luật hiện hành là Luật số 64/2025/QH15, có hiệu lực từ ngày 1/4/2025 và đã được sửa đổi, bổ sung bởi Luật số 87/2025/QH15 có hiệu lực từ ngày 1/7/2025.

Điểm cần tránh là sử dụng quy tắc giải quyết xung đột ngay từ đầu để loại bỏ một lĩnh vực pháp luật mà chưa chứng minh được rằng xung đột thực sự tồn tại.

Có thể xác định phạm vi điều chỉnh bằng ma trận hành vi – quy phạm

Trong thực tiễn, cách dễ kiểm soát nhất là lập một ma trận thay vì chỉ lập danh sách các luật có khả năng liên quan.

Mỗi hàng là một hành vi thực tế: thu thập dữ liệu, xác thực người dùng, tạo hợp đồng điện tử, lưu trữ thông tin, cung cấp nội dung, tự động ra quyết định hoặc chuyển dữ liệu cho bên thứ ba. Mỗi cột thể hiện vấn đề cần kiểm tra: đối tượng điều chỉnh, chủ thể, điều kiện phát sinh nghĩa vụ, lãnh thổ, thời điểm và quy định pháp luật tương ứng.

Quy trình có thể thực hiện theo thứ tự:

1.    Xác định chính xác hoạt động công nghệ và các chủ thể tham gia

2.    Tách hoạt động thành từng hành vi hoặc quan hệ pháp lý

3.    Đối chiếu từng hành vi với phạm vi điều chỉnh và đối tượng áp dụng của các văn bản hiện hành

4.    Ghi nhận tất cả các nghĩa vụ có thể đồng thời áp dụng

5.    Chỉ kiểm tra quy tắc ưu tiên khi phát hiện các quy định thực sự khác nhau về cùng một vấn đề

6.    Kết luận phạm vi pháp luật theo từng hành vi thay vì gán toàn bộ hoạt động cho một luật duy nhất

Cách làm này cũng giúp phát hiện “khoảng trống” trong phân tích. Nếu một tính năng của sản phẩm xử lý dữ liệu, giao kết với khách hàng hoặc kết nối với hệ thống bên ngoài nhưng chưa được gắn với bất kỳ câu hỏi pháp lý nào, rất có thể phạm vi rà soát vẫn chưa đầy đủ.

Khi một hoạt động công nghệ chịu sự điều chỉnh của nhiều lĩnh vực pháp luật, phạm vi điều chỉnh nên được xác định theo từng hành vi, quan hệ pháp lý, chủ thể, đối tượng, lãnh thổ và thời điểm, không theo tên sản phẩm hay tên công nghệ. Nhiều luật có thể cùng áp dụng và tạo ra các nghĩa vụ tích lũy. Chỉ khi hai quy định thực sự điều chỉnh cùng một vấn đề nhưng đưa ra yêu cầu khác nhau mới cần chuyển sang bước giải quyết xung đột và xác định quy định được ưu tiên áp dụng.