Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, ứng dụng thu thập vị trí người dùng cần điều kiện gì?

02/07/2026
4 lượt xem
0 bình luận

Ba nghĩa vụ cụ thể với nhà cung cấp nền tảng ứng dụng di động, cộng thêm việc dữ liệu vị trí xác định qua dịch vụ định vị thuộc danh mục nhạy cảm.

Rất nhiều ứng dụng xin quyền truy cập vị trí, kể cả khi tính năng chính không cần đến. Điều 31 Luật 91/2025/QH15 đặt ra khuôn khổ cho việc này.

Dữ liệu vị trí cá nhân là gì

Khoản 1 Điều 31 định nghĩa dữ liệu vị trí cá nhân là dữ liệu được xác định thông qua công nghệ định vị để biết vị trí và giúp xác định con người cụ thể.

Điều 4 Nghị định 356/2025/NĐ-CP xếp vị trí của cá nhân được xác định qua dịch vụ định vị vào danh mục dữ liệu cá nhân nhạy cảm. Đây là điểm nhiều đội phát triển chưa nắm: dữ liệu vị trí không phải dữ liệu cơ bản.

Hai quy định về bảo vệ dữ liệu vị trí

Khoản 3 Điều 31 quy định:

Không áp dụng việc theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác, trừ trường hợp có sự đồng ý của chủ thể dữ liệu cá nhân, hoặc có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật, hoặc trường hợp pháp luật có quy định khác;
Tổ chức, cá nhân cung cấp nền tảng ứng dụng di động phải thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân; có biện pháp ngăn chặn việc thu thập dữ liệu vị trí cá nhân của tổ chức, cá nhân không liên quan; cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân.

Nghĩa vụ ngăn chặn bên không liên quan

Yêu cầu "có biện pháp ngăn chặn việc thu thập dữ liệu vị trí cá nhân của tổ chức, cá nhân không liên quan" hướng thẳng vào thực tế của ứng dụng di động: các thư viện quảng cáo và đo lường tích hợp trong ứng dụng thường tự thu thập vị trí cho mục đích riêng của nhà cung cấp thư viện.

Về mặt kỹ thuật, điều này đòi hỏi đội phát triển phải rà lại danh sách thư viện của bên thứ ba trong ứng dụng, kiểm tra thư viện nào truy cập vị trí, và giới hạn quyền tương ứng.

Cung cấp tùy chọn theo dõi vị trí

Yêu cầu này vượt quá cơ chế xin quyền của hệ điều hành. Người dùng cần có tùy chọn ngay trong ứng dụng, chẳng hạn chỉ dùng vị trí khi đang mở ứng dụng, hoặc tắt hoàn toàn tính năng liên quan tới vị trí mà vẫn dùng được các tính năng khác.

Dữ liệu sinh trắc học được quy định cùng điều

Khoản 2 Điều 31 định nghĩa dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó.

Khoản 4 Điều 31 yêu cầu cơ quan, tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải; hạn chế quyền truy cập; có hệ thống theo dõi để phòng ngừa, phát hiện hành vi xâm phạm; tuân thủ quy định của pháp luật và tiêu chuẩn quốc tế có liên quan. Trường hợp xử lý dữ liệu sinh trắc học gây thiệt hại cho chủ thể dữ liệu thì phải thông báo cho chủ thể dữ liệu đó theo quy định của Chính phủ.

Nghĩa vụ thông báo khi có sự cố

Điều 29 Nghị định 356/2025/NĐ-CP quy định khi xảy ra sự cố vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện, báo cáo cho cơ quan nhà nước có thẩm quyền, và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.

Danh sách kiểm tra cho một ứng dụng di động

Tính năng nào thực sự cần vị trí; các tính năng còn lại có chạy được khi không có vị trí không;
Xin quyền vị trí ở thời điểm nào, có giải thích lý do trước khi xin không;
Có thông báo rằng dữ liệu vị trí là dữ liệu nhạy cảm khi xin đồng ý chưa;
Thư viện bên thứ ba nào đang truy cập vị trí;
Có tùy chọn trong ứng dụng để người dùng điều chỉnh mức độ theo dõi vị trí chưa;
Dữ liệu vị trí lưu bao lâu và ai truy cập được.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 31
Nghị định 356/2025/NĐ-CP Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.