Theo Luật An ninh mạng 2025, đơn vị cung cấp internet và truyền hình xử lý dữ liệu thuê bao thế nào?

Nhà cung cấp internet ở vị trí thấy được mọi hoạt động trực tuyến của thuê bao. Bài viết chỉ ra ranh giới và nghĩa vụ bảo vệ đặc thù.

Doanh nghiệp cung cấp internet và truyền hình trả tiền ở một vị trí đặc biệt: về mặt kỹ thuật, họ có khả năng thấy được thuê bao truy cập những đâu, xem gì, vào lúc nào. Đây là mức tiếp cận đời sống riêng tư mà ít loại hình kinh doanh nào có.

Lưu ý trước: hoạt động viễn thông chịu điều chỉnh của pháp luật chuyên ngành về viễn thông, bao gồm quy định về giấy phép, quản lý thuê bao và bảo mật thông tin. Bài viết này bàn về khía cạnh dữ liệu và quyền riêng tư.

Vì sao vị trí này đặc biệt nhạy cảm

Bốn lý do:

Thấy toàn bộ hoạt động. Không phải một mảnh như các dịch vụ khác mà là toàn cảnh: thuê bao vào trang nào, dùng ứng dụng gì, lúc mấy giờ.

Suy ra được nhiều điều. Truy cập trang y tế chuyên khoa, trang tư vấn pháp lý, trang tôn giáo, trang chính trị — mỗi hành vi nói lên điều gì đó rất riêng tư.

Gắn với địa chỉ nhà. Thuê bao internet cố định gắn với một địa chỉ cụ thể và một hộ gia đình.

Cả nhà dùng chung. Dữ liệu một đường truyền phản ánh hoạt động của nhiều người, gồm cả trẻ em.

Ranh giới về quyền riêng tư

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Bốn nguyên tắc nền tảng:

• Không xem nội dung mà thuê bao truyền tải — đây là ranh giới tuyệt đối;
• Dữ liệu kỹ thuật thu thập ở mức tối thiểu cần cho vận hành mạng và xử lý sự cố;
• Không dùng dữ liệu truy cập cho mục đích thương mại — bán cho đơn vị quảng cáo, phân tích hành vi để tiếp thị;
• Chỉ cung cấp cho cơ quan có thẩm quyền theo đúng trình tự pháp luật, có ghi nhận đầy đủ.

Điểm thứ ba là vùng cần cẩn trọng nhất về mặt thương mại. Dữ liệu hành vi truy cập có giá trị quảng cáo rất lớn, và áp lực khai thác nó là có thật.

Bảo vệ dữ liệu thuê bao

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu.

Tám biện pháp:

• Phân quyền rất chặt — nhân viên kỹ thuật xử lý sự cố không cần xem lịch sử truy cập của thuê bao;
• Ghi nhật ký mọi lần truy cập dữ liệu thuê bao, kể cả của quản trị viên;
• Giám sát truy cập bất thường — tra cứu nhiều thuê bao không liên quan công việc;
• Quy trình có phê duyệt cho việc tra cứu dữ liệu chi tiết;
• Thời hạn lưu tối thiểu cần thiết theo quy định pháp luật, không giữ lâu hơn;
• Mã hóa dữ liệu nhạy cảm;
• Nhân viên lắp đặt tại nhà ký cam kết bảo mật và được đào tạo về quyền riêng tư của khách;
• Kiểm soát nhà thầu — nhiều đơn vị thuê ngoài việc lắp đặt và bảo trì.

Điểm thứ bảy và thứ tám đáng nhấn mạnh. Nhân viên kỹ thuật vào tận nhà khách, biết địa chỉ, thấy bên trong nhà, đôi khi cấu hình thiết bị cho khách và biết cả mật khẩu wifi.

Thiết bị đầu cuối tại nhà khách

Bộ định tuyến và đầu thu do nhà cung cấp lắp là thiết bị nằm trong nhà khách nhưng do nhà cung cấp quản lý từ xa. Đây là vùng cần minh bạch.

Năm điều nên nói rõ với khách:

• Nhà cung cấp có truy cập từ xa vào thiết bị được không, để làm gì;
• Thiết bị có thu thập dữ liệu gì gửi về không;
• Khách có đổi được mật khẩu quản trị không;
• Khách có dùng thiết bị của mình thay thế được không;
• Khi ngừng dịch vụ thì thiết bị và dữ liệu trong đó xử lý thế nào.

Điểm thứ ba đáng chú ý: nhiều bộ định tuyến do nhà cung cấp lắp có tài khoản quản trị mà khách không đổi được, đồng nghĩa với việc khách không kiểm soát hoàn toàn mạng trong nhà mình.

Dữ liệu xem truyền hình

Với dịch vụ truyền hình trả tiền, lịch sử xem là dữ liệu riêng. Nó cho biết sở thích, thói quen sinh hoạt, và với một số nội dung thì cả quan điểm cá nhân.

Ba nguyên tắc:

• Gợi ý nội dung dựa trên lịch sử xem là tính năng hữu ích, nhưng khách nên tắt được;
• Không chia sẻ dữ liệu xem cho bên thứ ba ở dạng định danh;
• Hồ sơ riêng cho từng người trong nhà — vừa cải thiện gợi ý vừa tôn trọng riêng tư giữa các thành viên.

Không chia sẻ, mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Ba tình huống trong ngành:

Chia sẻ danh sách thuê bao cho đối tác bán chéo dịch vụ. Cần có cơ sở rõ ràng và khách phải biết.

Cung cấp dữ liệu hành vi cho đơn vị quảng cáo. Đây là vùng rủi ro cao nhất và nên tránh hoàn toàn ở dạng định danh.

Nhân viên tra cứu thông tin thuê bao vì tò mò hoặc theo yêu cầu người quen. Vi phạm phổ biến và cần được phát hiện bằng giám sát truy cập.

Khi có yêu cầu cung cấp dữ liệu

Đây là quy trình cần chuẩn hóa nghiêm ngặt. Năm nguyên tắc:

• Chỉ theo yêu cầu hợp pháp của cơ quan có thẩm quyền, đúng trình tự;
• Xác minh thẩm quyền của bên yêu cầu và tính hợp lệ của văn bản;
• Cung cấp đúng phạm vi được yêu cầu, không nhiều hơn;
• Ghi nhận đầy đủ — ai yêu cầu, căn cứ gì, cung cấp gì, ai duyệt;
• Không cung cấp theo yêu cầu miệng hoặc qua điện thoại.

Nguyên tắc thứ năm bảo vệ cả doanh nghiệp lẫn khách hàng trước các trường hợp mạo danh cơ quan chức năng.

An ninh hạ tầng

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng. Hạ tầng của nhà cung cấp internet là mục tiêu giá trị cao vì ảnh hưởng tới rất nhiều người dùng.

Ngoài ra, nếu hệ thống thuộc diện hệ thống thông tin quan trọng về an ninh quốc gia, sẽ có thêm nghĩa vụ theo quy định riêng — doanh nghiệp cần rà soát điểm này.

Danh sách kiểm tra

• Có ghi nhật ký mọi lần truy cập dữ liệu thuê bao không?
• Có giám sát truy cập bất thường của nhân viên không?
• Dữ liệu hành vi truy cập có bị dùng cho mục đích thương mại không?
• Khách có đổi được mật khẩu quản trị thiết bị không?
• Nhân viên lắp đặt và nhà thầu đã ký cam kết bảo mật chưa?
• Có quy trình bằng văn bản cho việc cung cấp dữ liệu theo yêu cầu không?
• Thời hạn lưu dữ liệu có đúng mức tối thiểu cần thiết không?

Đọc thêm cùng chủ đề

• Trung tâm tiệc cưới quản lý danh sách khách mời cần lưu ý gì?
• Đơn vị khảo sát thị trường thu thập ý kiến người dân cần tuân thủ gì?
• Kho hàng tự động hóa cần bảo đảm an toàn và dữ liệu thế nào?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 15
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.