Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, mạng xã hội phải bảo vệ dữ liệu người dùng thế nào?

30/06/2026
4 lượt xem
0 bình luận

Sáu nhóm trách nhiệm, trong đó có hai quy định rất cụ thể: cấm yêu cầu ảnh giấy tờ tùy thân để xác thực tài khoản, và bắt buộc có lựa chọn từ chối cookies.

Điều 29 Luật 91/2025/QH15 quy định trách nhiệm của tổ chức, cá nhân cung cấp dịch vụ mạng xã hội và dịch vụ truyền thông trực tuyến. Đây là điều có nhiều quy định kỹ thuật cụ thể nhất trong toàn bộ đạo luật.

Sáu nhóm trách nhiệm

Thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cài đặt và sử dụng dịch vụ; không thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng;
Không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản;
Cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu, gọi là cookies;
Cung cấp lựa chọn "không theo dõi", hoặc chỉ được theo dõi hoạt động sử dụng dịch vụ khi có sự đồng ý của người sử dụng;
Không nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác;
Công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu; cung cấp cơ chế truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư; báo cáo các vi phạm về bảo mật và quyền riêng tư; bảo vệ dữ liệu cá nhân của công dân Việt Nam khi chuyển dữ liệu xuyên biên giới; xây dựng quy trình xử lý vi phạm nhanh chóng và hiệu quả.

Cấm dùng ảnh giấy tờ tùy thân để xác thực

Khoản 2 Điều 29 là quy định thẳng và dứt khoát. Việc yêu cầu người dùng chụp ảnh căn cước cầm trên tay để mở khóa tài khoản — một cách làm phổ biến của nhiều nền tảng — không được phép áp dụng với dịch vụ mạng xã hội và truyền thông trực tuyến.

Quy định này có cơ sở thực tiễn rõ ràng: ảnh giấy tờ tùy thân là mục tiêu giá trị cao của lừa đảo danh tính, và Điều 4 Nghị định 356/2025/NĐ-CP xếp hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân vào danh mục dữ liệu nhạy cảm.

Lựa chọn từ chối cookies phải có thật

Khoản 3 Điều 29 yêu cầu cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ cookies. Từ ngữ là "lựa chọn cho phép từ chối", không phải "thông báo về việc sử dụng cookies".

Một thanh thông báo chỉ có nút "Đã hiểu" hoặc "Đóng" không đáp ứng yêu cầu này, vì không tồn tại lựa chọn từ chối.

Lựa chọn "không theo dõi"

Khoản 4 Điều 29 đưa ra hai phương án thay thế nhau: cung cấp lựa chọn "không theo dõi", hoặc chỉ theo dõi hoạt động sử dụng khi có sự đồng ý của người sử dụng.

Cách diễn đạt này cho phép nền tảng chọn mô hình phù hợp, nhưng cả hai đều dẫn tới cùng một kết quả: theo dõi mặc định không có lựa chọn cho người dùng là không đạt.

Nghe lén và đọc tin nhắn

Khoản 5 Điều 29 cấm nghe lén, nghe trộm, ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý, trừ trường hợp pháp luật có quy định khác.

Với nhà phát triển ứng dụng, quy định này liên quan trực tiếp tới việc xin quyền truy cập micro và tin nhắn trên thiết bị người dùng. Xin quyền không đồng nghĩa với có sự đồng ý cho việc xử lý nội dung thu được.

Nhóm thứ sáu là danh sách công việc dài nhất

Khoản 6 Điều 29 gộp nhiều nghĩa vụ: công khai chính sách bảo mật có giải thích rõ; cung cấp cơ chế cho người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư; báo cáo vi phạm; bảo vệ dữ liệu của công dân Việt Nam khi chuyển xuyên biên giới; và xây dựng quy trình xử lý vi phạm nhanh chóng, hiệu quả.

Yêu cầu về chuyển dữ liệu xuyên biên giới ở đây kết nối với Điều 20 của Luật, theo đó việc sử dụng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là một trường hợp chuyển dữ liệu xuyên biên giới, kèm nghĩa vụ lập hồ sơ đánh giá tác động.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 29

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.