Khoản 2 Điều 29 cấm thẳng việc yêu cầu hình ảnh, video chứa giấy tờ tùy thân làm yếu tố xác thực tài khoản — với dịch vụ mạng xã hội và truyền thông trực tuyến.
Yêu cầu người dùng chụp ảnh cầm căn cước để mở khóa tài khoản là cách làm phổ biến. Với một nhóm dịch vụ cụ thể, cách này nay bị cấm.
Quy định cấm
Khoản 2 Điều 29 Luật 91/2025/QH15 quy định tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản.
Phạm vi áp dụng
Điều 29 hướng tới tổ chức, cá nhân cung cấp dịch vụ mạng xã hội và dịch vụ truyền thông trực tuyến. Đây là điểm cần xác định trước: doanh nghiệp có thuộc nhóm này hay không.
Lưu ý cách diễn đạt "nội dung đầy đủ hoặc một phần" — che bớt vài chữ số rồi gửi ảnh vẫn nằm trong phạm vi cấm.
Vì sao có quy định này
Điều 4 Nghị định 356/2025/NĐ-CP xếp hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân vào danh mục dữ liệu cá nhân nhạy cảm, cùng nhóm với tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử.
Ảnh giấy tờ tùy thân là mục tiêu giá trị cao của lừa đảo danh tính. Việc yêu cầu người dùng gửi ảnh này qua kênh trực tuyến tạo ra rủi ro lớn hơn lợi ích xác thực mang lại — nhất là khi ảnh thường được lưu lại vô thời hạn trong hệ thống hoặc trong hộp thư của nhân viên hỗ trợ.
Chế tài
Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân có hành vi vi phạm quy định của Luật thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường.
Khoản 5 Điều 8 quy định mức phạt tiền tối đa với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng; khoản 6 nêu cá nhân chịu tối đa bằng một phần hai mức của tổ chức.
Ngoài ra, khoản 4 Điều 7 xếp hành vi xử lý dữ liệu cá nhân trái quy định của pháp luật vào nhóm hành vi bị nghiêm cấm.
Thay thế bằng gì
Các phương án xác thực không cần ảnh giấy tờ:
- Mã xác nhận gửi tới số điện thoại hoặc thư điện tử đã đăng ký từ trước;
- Xác thực đa yếu tố qua ứng dụng sinh mã;
- Câu hỏi dựa trên lịch sử hoạt động của chính tài khoản;
- Dịch vụ định danh và xác thực điện tử theo quy định của pháp luật — Điều 23 Nghị định 356/2025/NĐ-CP có nhắc tới việc tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân thực hiện xác thực danh tính tổ chức theo pháp luật về định danh và xác thực điện tử.
Các nghĩa vụ khác trong cùng Điều 29
Điều 29 còn quy định nhiều nghĩa vụ khác cho nhóm dịch vụ này: thông báo rõ ràng nội dung dữ liệu thu thập khi cài đặt và sử dụng; cung cấp lựa chọn cho phép từ chối thu thập và chia sẻ cookies; cung cấp lựa chọn "không theo dõi" hoặc chỉ theo dõi khi có sự đồng ý; không nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý; công khai chính sách bảo mật và cung cấp cơ chế truy cập, chỉnh sửa, xóa dữ liệu.
Với ảnh giấy tờ đã thu thập trước đây
Điểm b khoản 1 Điều 14 Luật 91/2025/QH15 quy định việc xóa, hủy được thực hiện khi đã hoàn thành mục đích xử lý. Nếu mục đích là xác thực và việc xác thực đã xong, cơ sở để tiếp tục lưu giữ không còn.
Khoản 3 Điều 14 yêu cầu việc xóa, hủy phải được thực hiện bằng các biện pháp an toàn, ngăn chặn hoạt động xâm nhập và khôi phục trái phép — nên cần rà cả bản sao lưu và hộp thư của nhân viên hỗ trợ.
Đọc thêm cùng chủ đề
- Không cho từ chối cookies bị xử lý thế nào?
- Không mã hóa dữ liệu trên đám mây bị xử lý sao?
- Mạng xã hội phải bảo vệ dữ liệu người dùng thế nào?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 29
- Nghị định 356/2025/NĐ-CP Điều 4
- Luật 91/2025/QH15 Điều 8
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.