Bốn nhóm vấn đề: quyền truy cập thiết bị, dữ liệu người dùng, nội dung trong ứng dụng, và tính năng tự động — kèm yêu cầu riêng nếu ứng dụng có người dùng chưa thành niên.
Ứng dụng di động là kênh tiếp cận khách hàng phổ biến, nhưng cũng là nơi tập trung nhiều nghĩa vụ từ cả bốn đạo luật công nghệ. Bài viết tổng hợp theo bốn nhóm vấn đề thực tế.
Nhóm thứ nhất — quyền truy cập thiết bị
Ứng dụng thường xin nhiều quyền: vị trí, danh bạ, máy ảnh, micro, ảnh, thông báo, chạy nền.
Khoản 5 Điều 41 Luật Chuyển đổi số 148/2025/QH15 quy định người dùng được lựa chọn sử dụng hoặc ngừng sử dụng sản phẩm, dịch vụ số trên cơ sở được cung cấp thông tin đầy đủ, rõ ràng, chính xác, minh bạch, kịp thời về điều khoản, điều kiện sử dụng; KHÔNG BỊ ÁP ĐẶT ĐIỀU KIỆN BẤT HỢP LÝ hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.
Việc buộc người dùng cấp quyền không liên quan tới chức năng mới được dùng ứng dụng là vùng có thể bị coi là "điều kiện bất hợp lý".
Với quyền micro, cần lưu ý thêm điểm đ khoản 1 Điều 15 Luật An ninh mạng 116/2025/QH15: hành vi cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại thuộc nhóm hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.
Thực hành nên áp dụng
- Chỉ xin quyền thực sự cần cho chức năng người dùng đang dùng;
- Xin quyền đúng lúc — khi người dùng thao tác cần quyền đó, kèm giải thích, thay vì xin toàn bộ khi mở lần đầu;
- Ứng dụng vẫn dùng được khi người dùng từ chối quyền không thiết yếu;
- Rà soát định kỳ danh sách quyền — nhiều ứng dụng giữ quyền của tính năng đã gỡ bỏ từ lâu.
Nhóm thứ hai — dữ liệu người dùng
Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và PHƯƠNG THỨC ĐÁP ỨNG YÊU CẦU CỦA CHỦ THỂ DỮ LIỆU.
Cụm cuối đòi hỏi ứng dụng có kênh để người dùng gửi yêu cầu về dữ liệu của mình — và quy trình xử lý các yêu cầu đó.
Khoản 3 Điều 41 Luật 148/2025/QH15 cũng ghi nhận quyền được bảo vệ dữ liệu cá nhân theo pháp luật về bảo vệ dữ liệu cá nhân.
Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.
Ba câu hỏi cần trả lời khi thiết kế ứng dụng:
- Thu thập gì và để làm gì? Mỗi trường dữ liệu nên gắn với một mục đích cụ thể;
- Có gửi dữ liệu cho bên thứ ba không? Các bộ công cụ phân tích, quảng cáo tích hợp trong ứng dụng thường gửi dữ liệu ra ngoài mà doanh nghiệp không để ý;
- Lưu bao lâu và xóa khi nào?
Câu hỏi thứ hai đáng lưu ý nhất: nhiều ứng dụng tích hợp thư viện của bên thứ ba mà không rà soát dữ liệu các thư viện đó thu thập. Về mặt pháp lý, doanh nghiệp phát hành ứng dụng là bên chịu trách nhiệm.
Nhóm thứ ba — nội dung trong ứng dụng
Nếu ứng dụng có phần bình luận, đánh giá, hoặc nội dung do người dùng đăng, khoản 2 Điều 27 Luật 148/2025/QH15 áp dụng: chủ quản có trách nhiệm xây dựng công cụ để chủ động sàng lọc, phát hiện, thông báo, xử lý nhằm bảo vệ người sử dụng khỏi các nội dung xấu, độc hại, thông tin vi phạm pháp luật, tin giả, nội dung lừa đảo.
Khoản 1 Điều 14 Luật 116/2025/QH15 cũng đặt nghĩa vụ phòng ngừa, phát hiện, ngăn chặn, gỡ bỏ thông tin có nội dung quy định tại các khoản 1, 2 và 3 Điều 13 lên chủ quản hệ thống thông tin và doanh nghiệp cung cấp dịch vụ gia tăng trên không gian mạng.
Khoản 1 Điều 38 Luật 148/2025/QH15 yêu cầu công khai, minh bạch quy tắc ứng xử, điều khoản, điều kiện sử dụng, cơ chế tiếp nhận, giải quyết khiếu nại và chính sách bảo vệ quyền lợi người sử dụng.
Với ứng dụng quy mô nhỏ, mức triển khai phù hợp: có nút báo cáo nội dung trong ứng dụng, quy trình xử lý báo cáo có thời hạn, và người chịu trách nhiệm.
Một điểm cần rà soát cụ thể: điểm e khoản 1 Điều 13 Luật 116/2025/QH15 nêu hành vi đăng tải, truyền đưa hình ảnh sai lệch, không chính xác, không đầy đủ về bản đồ Việt Nam hoặc thể hiện sai chủ quyền quốc gia Việt Nam. Ứng dụng dùng bản đồ nền từ dịch vụ bên thứ ba là vùng dễ vướng nhất.
Nhóm thứ tư — tính năng tự động
Nếu ứng dụng có trợ lý ảo, hộp thoại tự động, hoặc gợi ý nội dung bằng thuật toán, Luật Trí tuệ nhân tạo 134/2025/QH15 áp dụng.
Khoản 1 Điều 11 yêu cầu bảo đảm người sử dụng nhận biết khi đang tương tác với hệ thống trí tuệ nhân tạo — thực hiện qua thiết kế và vận hành, không phải một dòng trong điều khoản sử dụng.
Điểm b khoản 1 Điều 9 xếp hệ thống có khả năng gây nhầm lẫn, tác động hoặc thao túng người sử dụng do không nhận biết được chủ thể tương tác là hệ thống trí tuệ nhân tạo hoặc nội dung do hệ thống tạo ra vào nhóm rủi ro trung bình.
Nếu ứng dụng tạo hoặc chỉnh sửa nội dung bằng công cụ tạo sinh, khoản 3 Điều 11 áp dụng khi nội dung có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật; khoản 4 Điều 11 yêu cầu gắn nhãn dễ nhận biết với nội dung mô phỏng ngoại hình, giọng nói người thật hoặc tái hiện sự kiện thực tế.
Nếu ứng dụng có người dùng chưa thành niên
Khoản 2 Điều 16 Luật 116/2025/QH15 quy định: trẻ em sử dụng dịch vụ giá trị gia tăng trên không gian mạng thì cha, mẹ hoặc người giám hộ theo quy định của pháp luật về dân sự đăng ký tài khoản bằng thông tin của cha, mẹ hoặc người giám hộ và có trách nhiệm giám sát, quản lý nội dung trẻ em truy cập, đăng tải và chia sẻ thông tin trên các nền tảng dịch vụ đó.
Với doanh nghiệp, quy định này hàm ý cần có cơ chế đăng ký tài khoản cho trẻ em thông qua người giám hộ, và công cụ để người giám hộ giám sát.
Khoản 3 Điều 16 đặt năm trách nhiệm lên chủ quản hệ thống thông tin và doanh nghiệp cung cấp dịch vụ giá trị gia tăng:
- Điểm a — kiểm soát nội dung thông tin để không gây nguy hại cho trẻ em hoặc xâm hại trẻ em hoặc xâm phạm quyền trẻ em;
- Điểm b — ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy hại cho trẻ em;
- Điểm c — xây dựng, triển khai các hệ thống kỹ thuật hỗ trợ hoạt động ngăn chặn nội dung xâm hại trẻ em;
- Điểm d — phối hợp với các cơ quan, tổ chức, doanh nghiệp thực hiện ngăn chặn các nguồn phát tán;
- Điểm đ — kịp thời thông báo, phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xử lý.
Khoản 1 Điều 43 Luật 148/2025/QH15 bổ sung nguyên tắc: quyền của trẻ em được bảo vệ, bảo đảm an toàn, lành mạnh trên môi trường số NGAY TỪ GIAI ĐOẠN THIẾT KẾ sản phẩm và dịch vụ số.
Khoản 4 Điều 43 quy định sản phẩm nội dung số mang nội dung không có lợi cho trẻ em phải có dấu hiệu cảnh báo.
Khoản 3 Điều 43 giao gia đình, nhà trường trách nhiệm giám sát thời gian, nội dung truy cập và lựa chọn cho phép các hoạt động trực tuyến của trẻ em — để thực hiện được, ứng dụng cần cung cấp công cụ tương ứng.
Khả năng tiếp cận
Khoản 6 Điều 41 Luật 148/2025/QH15 ghi nhận quyền được bảo đảm điều kiện tiếp cận công bằng, an toàn, đặc biệt là đối tượng dễ bị tổn thương trên môi trường số.
Nếu ứng dụng thuộc nhóm bắt buộc theo khoản 1 Điều 8 — hệ thống số phục vụ lợi ích công, dịch vụ số thiết yếu, hoặc của tổ chức được cơ quan nhà nước giao cung cấp dịch vụ công — thì khoản 7 Điều 8 áp dụng: phải đáp ứng tiêu chuẩn về khả năng tiếp cận tối thiểu đối với người sử dụng, đặc biệt là người khuyết tật, người cao tuổi và các nhóm đối tượng dễ bị tổn thương khác.
Với ứng dụng thương mại thông thường, đây là khuyến khích. Nhưng các thực hành cơ bản — cỡ chữ điều chỉnh được, độ tương phản đủ, tương thích công cụ đọc màn hình, nhãn mô tả cho biểu tượng — mở rộng tập người dùng và không tốn kém nhiều nếu làm từ đầu.
Nghĩa vụ khi ngừng phát hành ứng dụng
Điểm a khoản 2 Điều 10 Luật 116/2025/QH15 yêu cầu quy định nội bộ bao trùm cả giai đoạn hủy bỏ hệ thống thông tin — với ứng dụng, đây là lúc ngừng phát hành.
Các việc cần làm: thông báo trước cho người dùng; cho phép người dùng lấy dữ liệu của mình ra; xóa dữ liệu theo cam kết trong chính sách; và thu hồi các quyền truy cập của ứng dụng tới hệ thống nội bộ.
Khoản 5 Điều 41 Luật 148/2025/QH15 về quyền ngừng sử dụng cũng hàm ý người dùng phải lấy được dữ liệu của mình khi rời đi.
Danh mục kiểm tra trước khi phát hành
- Rà soát danh sách quyền — bỏ quyền không cần cho chức năng hiện có;
- Xin quyền đúng lúc, kèm giải thích; ứng dụng dùng được khi từ chối quyền không thiết yếu;
- Rà soát các thư viện bên thứ ba và dữ liệu chúng gửi ra ngoài;
- Công bố chính sách dữ liệu bằng ngôn ngữ dễ hiểu, kèm bản tóm tắt;
- Có kênh để người dùng gửi yêu cầu về dữ liệu của mình;
- Có nút báo cáo nội dung và quy trình xử lý nếu ứng dụng có nội dung người dùng đăng;
- Gắn dấu hiệu nhận biết cho trợ lý ảo, hộp thoại tự động;
- Rà soát bản đồ Việt Nam nếu ứng dụng có tính năng bản đồ;
- Nếu có người dùng chưa thành niên, bổ sung cơ chế đăng ký qua người giám hộ và công cụ giám sát;
- Kiểm tra quy trình hủy tài khoản và xuất dữ liệu — phải dễ thực hiện tương xứng với quy trình đăng ký;
- Áp dụng các thực hành cơ bản về khả năng tiếp cận.
Đọc thêm cùng chủ đề
- Luật An ninh mạng 2025 áp dụng cho những ai?
- An ninh mạng và an toàn thông tin khác nhau thế nào?
- Hệ thống thông tin được phân loại mấy cấp độ?
Căn cứ pháp lý
- Luật 148/2025/QH15 Điều 41
- Luật 116/2025/QH15 Điều 16
- Luật 134/2025/QH15 Điều 11
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.