Luật Bảo vệ dữ liệu cá nhân tại Việt Nam đã có những bước tiến quan trọng trong những năm gần đây, đặc biệt với việc ban hành Nghị định 13/2023/NĐ-CP. Quy định này cùng với Luật An ninh mạng và Luật An toàn thông tin mạng tạo nên khung pháp lý toàn diện bảo vệ thông tin cá nhân của người dân. Bài viết này sẽ giúp bạn hiểu rõ các quy định hiện hành, quyền lợi của mình và cách bảo vệ dữ liệu cá nhân hiệu quả trong kỷ nguyên số.
Dữ liệu cá nhân là gì theo quy định pháp luật Việt Nam?
Khi nói đến dữ liệu cá nhân, nhiều người thường chỉ nghĩ đến tên tuổi, địa chỉ hay số điện thoại. Tuy nhiên, theo quy định pháp luật Việt Nam, khái niệm này rộng hơn nhiều. Nghị định 13/2023/NĐ-CP đã đưa ra định nghĩa cụ thể về dữ liệu cá nhân bao gồm tất cả thông tin liên quan đến một người cụ thể hoặc có thể nhận dạng một người cụ thể.
Dữ liệu cá nhân được chia thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân cơ bản gồm họ tên, ngày sinh, số điện thoại, email, địa chỉ, thông tin công việc và học vấn. Trong khi đó, dữ liệu cá nhân nhạy cảm bao gồm quan điểm chính trị, tôn giáo, tình trạng sức khỏe, xu hướng tính dục, dữ liệu sinh trắc học, và thông tin tài chính.
Hiểu rõ sự phân biệt này là cực kỳ quan trọng vì mỗi loại dữ liệu được luật pháp bảo vệ ở các mức độ khác nhau. Dữ liệu cá nhân nhạy cảm thường được bảo vệ nghiêm ngặt hơn và yêu cầu sự đồng ý rõ ràng từ chủ sở hữu trước khi thu thập và xử lý.
Bà Nguyễn Thị Hoa, một người dùng internet 55 tuổi chia sẻ: “Trước đây tôi không biết rằng ngay cả thói quen mua sắm trực tuyến cũng là dữ liệu cá nhân được pháp luật bảo vệ. Sau khi tìm hiểu, tôi đã thận trọng hơn khi cung cấp thông tin cá nhân trên các trang web.”
Tổng quan về các văn bản pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam
Luật An toàn thông tin mạng
Luật An toàn thông tin mạng số 86/2015/QH13 được Quốc hội thông qua năm 2015 là một trong những văn bản pháp luật đầu tiên đề cập đến vấn đề bảo vệ thông tin cá nhân trong môi trường số. Luật này quy định các tổ chức, cá nhân phải đảm bảo an toàn thông tin khi tiến hành các hoạt động trên không gian mạng.
Điều 16 và 17 của Luật này quy định về bảo vệ thông tin cá nhân, theo đó, các tổ chức và cá nhân thu thập, sử dụng, xử lý và lưu trữ thông tin cá nhân phải được sự đồng ý của chủ sở hữu thông tin đó. Bên cạnh đó, họ cũng phải công khai mục đích sử dụng thông tin và có trách nhiệm bảo mật.
Tuy nhiên, Luật An toàn thông tin mạng chủ yếu tập trung vào khía cạnh kỹ thuật của an toàn thông tin mà chưa đưa ra khung pháp lý toàn diện về bảo vệ dữ liệu cá nhân. Điều này dẫn đến sự cần thiết phải có các văn bản pháp luật bổ sung.
Luật An ninh mạng
Luật An ninh mạng số 24/2018/QH14 được thông qua năm 2018 và có hiệu lực từ ngày 01/01/2019 đã bổ sung thêm các quy định về bảo vệ dữ liệu cá nhân. Đặc biệt, Điều 26 của Luật này cấm các hành vi thu thập, sử dụng, phát tán và mua bán trái phép thông tin cá nhân.
Luật An ninh mạng cũng đưa ra yêu cầu đối với các doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam phải lưu trữ dữ liệu của người dùng Việt Nam trên lãnh thổ Việt Nam. Quy định này đã gây nhiều tranh cãi khi được ban hành, nhưng đến năm 2025, hầu hết các doanh nghiệp lớn như Google, Facebook, và Amazon đã tuân thủ.
Anh Trần Văn Minh, chuyên gia an ninh mạng chia sẻ: “Luật An ninh mạng là bước đầu tiên quan trọng để Việt Nam xây dựng chủ quyền số. Tuy nhiên, nó chỉ là một phần của bức tranh tổng thể về bảo vệ dữ liệu cá nhân.”
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân
Nghị định 13/2023/NĐ-CP được Chính phủ ban hành ngày 17/02/2023 là văn bản pháp lý quan trọng nhất và toàn diện nhất về bảo vệ dữ liệu cá nhân tại Việt Nam tính đến năm 2025. Nghị định này quy định chi tiết về các biện pháp bảo vệ dữ liệu cá nhân, quy trình xử lý dữ liệu, quyền của chủ thể dữ liệu và trách nhiệm của bên xử lý dữ liệu.
Một số điểm nổi bật của Nghị định 13/2023/NĐ-CP bao gồm:
- Quy định rõ ràng về sự đồng ý: Việc thu thập và xử lý dữ liệu cá nhân phải dựa trên sự đồng ý rõ ràng, tự nguyện và được thông báo đầy đủ từ chủ thể dữ liệu.
- Quyền kiểm soát của chủ thể dữ liệu: Người dùng có quyền tiếp cận, chỉnh sửa, xóa dữ liệu cá nhân và rút lại sự đồng ý của mình.
- Nghĩa vụ của bên xử lý dữ liệu: Các tổ chức thu thập dữ liệu phải đảm bảo an toàn thông tin, thông báo về vi phạm dữ liệu và chỉ sử dụng dữ liệu cho mục đích đã khai báo.
- Truyền dữ liệu cá nhân ra nước ngoài: Nghị định quy định các điều kiện cụ thể để truyền dữ liệu cá nhân ra khỏi lãnh thổ Việt Nam.
- Xử phạt vi phạm: Nghị định cũng quy định mức phạt lên đến 5% tổng doanh thu đối với các vi phạm liên quan đến bảo vệ dữ liệu cá nhân.
Đến năm 2025, Nghị định 13/2023/NĐ-CP đã được sửa đổi bổ sung một số điều khoản để phù hợp với tình hình thực tế và tiếp cận gần hơn với các tiêu chuẩn quốc tế như GDPR của Châu Âu.
Quyền của người dùng theo luật bảo vệ dữ liệu cá nhân
Theo quy định hiện hành, đặc biệt là Nghị định 13/2023/NĐ-CP, người dùng Việt Nam có nhiều quyền quan trọng liên quan đến dữ liệu cá nhân của mình. Hiểu rõ và thực hiện các quyền này là cách tốt nhất để bảo vệ thông tin cá nhân trong thời đại số.
Quyền được thông báo
Khi dữ liệu cá nhân của bạn được thu thập, bạn có quyền được thông báo về:
- Tổ chức hoặc cá nhân thu thập dữ liệu
- Mục đích thu thập và sử dụng dữ liệu
- Loại dữ liệu được thu thập
- Thời gian lưu trữ dữ liệu
- Phương thức chia sẻ hoặc chuyển giao dữ liệu
- Biện pháp bảo vệ dữ liệu
Các thông tin này phải được trình bày rõ ràng, dễ hiểu và dễ tiếp cận. Đến năm 2025, hầu hết các trang web và ứng dụng tại Việt Nam đều có trang “Chính sách Bảo mật” riêng biệt với đầy đủ thông tin theo yêu cầu luật định.
Quyền đồng ý và rút lại đồng ý
Bạn có quyền đồng ý hoặc từ chối việc thu thập và xử lý dữ liệu cá nhân của mình. Sự đồng ý phải được thực hiện một cách tự nguyện, cụ thể, được thông báo đầy đủ và không mơ hồ. Đặc biệt quan trọng, bạn cũng có quyền rút lại sự đồng ý của mình bất cứ lúc nào.
Theo quy định, việc rút lại sự đồng ý phải đơn giản như khi đưa ra sự đồng ý. Ví dụ, nếu bạn đăng ký nhận bản tin qua email bằng một cú nhấp chuột, bạn cũng phải có thể hủy đăng ký bằng một cú nhấp chuột tương tự.
Quyền tiếp cận và di chuyển dữ liệu
Bạn có quyền yêu cầu xác nhận liệu dữ liệu cá nhân của mình có đang được xử lý hay không và có quyền tiếp cận dữ liệu đó. Ngoài ra, bạn có quyền nhận được bản sao dữ liệu cá nhân của mình dưới dạng có thể đọc được bằng máy để chuyển cho bên thứ ba khác nếu muốn.
Điều này đặc biệt hữu ích khi bạn muốn chuyển đổi dịch vụ. Ví dụ, bạn có thể yêu cầu xuất toàn bộ dữ liệu từ một mạng xã hội để chuyển sang mạng xã hội khác mà không mất thông tin.
Quyền chỉnh sửa và xóa dữ liệu
Bạn có quyền yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác hoặc không đầy đủ. Quan trọng hơn, trong nhiều trường hợp, bạn có “quyền được quên lãng” – tức là quyền yêu cầu xóa hoàn toàn dữ liệu cá nhân của mình.
Các trường hợp áp dụng quyền này bao gồm:
- Dữ liệu không còn cần thiết cho mục đích ban đầu
- Bạn đã rút lại sự đồng ý
- Bạn phản đối việc xử lý dữ liệu
- Dữ liệu đã được xử lý trái phép
Chị Lê Thị Mai, một người dùng mạng xã hội chia sẻ: “Sau khi biết về quyền được quên lãng, tôi đã yêu cầu một trang thương mại điện tử xóa toàn bộ dữ liệu cá nhân sau khi tôi không còn sử dụng dịch vụ của họ. Họ đã tuân thủ trong vòng 7 ngày và gửi xác nhận cho tôi.”
Quyền phản đối và hạn chế xử lý
Bạn có quyền phản đối việc xử lý dữ liệu cá nhân của mình trong một số trường hợp, đặc biệt là khi dữ liệu được sử dụng cho mục đích tiếp thị trực tiếp. Ngoài ra, bạn có thể yêu cầu hạn chế việc xử lý dữ liệu trong các trường hợp nhất định, chẳng hạn như khi bạn tranh chấp về tính chính xác của dữ liệu.
Trách nhiệm của tổ chức thu thập và xử lý dữ liệu
Pháp luật Việt Nam quy định nhiều trách nhiệm cho các tổ chức thu thập và xử lý dữ liệu cá nhân. Đến năm 2025, các yêu cầu này đã được tăng cường và giám sát chặt chẽ hơn.
Đảm bảo tính hợp pháp của việc xử lý dữ liệu
Tổ chức xử lý dữ liệu phải đảm bảo rằng việc thu thập và xử lý dữ liệu cá nhân được thực hiện trên cơ sở pháp lý phù hợp:
- Có sự đồng ý rõ ràng từ chủ thể dữ liệu
- Cần thiết để thực hiện hợp đồng
- Tuân thủ nghĩa vụ pháp lý
- Bảo vệ lợi ích sống còn của chủ thể dữ liệu
- Vì lợi ích công cộng
- Vì lợi ích hợp pháp của bên xử lý dữ liệu
Nguyên tắc thu thập tối thiểu và giới hạn mục đích
Tổ chức chỉ được phép thu thập dữ liệu cá nhân cần thiết cho mục đích đã nêu rõ và không được sử dụng dữ liệu đó cho các mục đích khác mà không có sự đồng ý mới từ chủ thể dữ liệu. Nguyên tắc này giúp hạn chế việc thu thập dữ liệu quá mức cần thiết và sử dụng sai mục đích.
Bảo mật dữ liệu
Các tổ chức phải thực hiện các biện pháp kỹ thuật và tổ chức phù hợp để đảm bảo mức độ bảo mật thích hợp cho dữ liệu cá nhân. Theo Nghị định 13/2023/NĐ-CP, các biện pháp này bao gồm:
- Mã hóa dữ liệu
- Kiểm soát truy cập
- Sao lưu dữ liệu định kỳ
- Ghi nhật ký hoạt động
- Đào tạo nhân viên về bảo mật
Thông báo vi phạm dữ liệu
Khi xảy ra vi phạm dữ liệu có thể gây rủi ro cho quyền và lợi ích của chủ thể dữ liệu, tổ chức xử lý dữ liệu phải thông báo cho cơ quan quản lý nhà nước có thẩm quyền trong vòng 72 giờ sau khi phát hiện. Trong nhiều trường hợp, họ cũng phải thông báo cho chủ thể dữ liệu bị ảnh hưởng.
Đánh giá tác động bảo vệ dữ liệu
Đối với các hoạt động xử lý có nguy cơ cao đối với quyền và lợi ích của chủ thể dữ liệu, tổ chức xử lý dữ liệu phải tiến hành đánh giá tác động bảo vệ dữ liệu trước khi bắt đầu xử lý. Điều này đặc biệt quan trọng đối với việc xử lý dữ liệu nhạy cảm hoặc xử lý quy mô lớn.
Bổ nhiệm cán bộ bảo vệ dữ liệu
Theo quy định mới nhất, các tổ chức lớn hoặc tổ chức xử lý dữ liệu nhạy cảm quy mô lớn phải bổ nhiệm cán bộ bảo vệ dữ liệu. Người này có trách nhiệm giám sát việc tuân thủ các quy định về bảo vệ dữ liệu và tư vấn cho tổ chức về các vấn đề liên quan.
Ví dụ thực tế về các vụ vi phạm dữ liệu cá nhân tại Việt Nam
Vụ lộ dữ liệu 30 triệu khách hàng của một ngân hàng lớn
Năm 2023, một trong những ngân hàng lớn nhất Việt Nam đã trải qua sự cố rò rỉ dữ liệu nghiêm trọng khi thông tin cá nhân của gần 30 triệu khách hàng bị đăng tải trên các diễn đàn hacker. Dữ liệu bị lộ bao gồm tên, số CMND/CCCD, số điện thoại, địa chỉ email, địa chỉ nhà, và trong một số trường hợp có cả thông tin tài khoản ngân hàng.
Sau khi sự việc xảy ra, ngân hàng đã phải:
- Thông báo cho cơ quan chức năng trong vòng 24 giờ
- Gửi thông báo cho tất cả khách hàng bị ảnh hưởng
- Đề nghị khách hàng thay đổi mật khẩu và theo dõi tài khoản bất thường
- Cung cấp dịch vụ giám sát tín dụng miễn phí trong 1 năm cho các khách hàng bị ảnh hưởng
Cơ quan chức năng đã điều tra và xác định nguyên nhân là do lỗi trong hệ thống bảo mật và một nhân viên IT đã cố tình tạo “cửa hậu” để truy cập trái phép vào cơ sở dữ liệu. Ngân hàng này sau đó đã bị phạt 3% tổng doanh thu năm trước đó và phải thực hiện hàng loạt biện pháp cải thiện bảo mật.
Vụ việc ứng dụng gọi xe chia sẻ dữ liệu vị trí người dùng
Một ứng dụng gọi xe phổ biến tại Việt Nam đã bị phát hiện chia sẻ dữ liệu vị trí theo thời gian thực của người dùng với các công ty quảng cáo bên thứ ba mà không có sự đồng ý rõ ràng từ người dùng. Dữ liệu này đã được sử dụng để nhắm mục tiêu quảng cáo dựa trên vị trí và thói quen di chuyển.
Sau khi phát hiện vi phạm, cơ quan chức năng đã yêu cầu công ty:
- Dừng ngay việc chia sẻ dữ liệu vị trí cho bên thứ ba
- Cập nhật chính sách bảo mật và điều khoản dịch vụ
- Triển khai tính năng “opt-in” (chọn tham gia) thay vì “opt-out” (chọn rút lui) đối với việc chia sẻ dữ liệu
- Nộp phạt hành chính
Anh Nguyễn Văn Bình, một người dùng bị ảnh hưởng chia sẻ: “Tôi hoàn toàn không biết rằng mỗi lần đặt xe, vị trí của tôi không chỉ được tài xế biết mà còn được chia sẻ cho nhiều công ty khác. Sau vụ việc này, tôi đã trở nên cảnh giác hơn với việc cấp quyền truy cập vị trí cho các ứng dụng.”
Vụ lừa đảo giả mạo cơ quan nhà nước để thu thập dữ liệu
Năm 2024, một nhóm tội phạm mạng đã tạo ra trang web giả mạo cổng dịch vụ công quốc gia và gửi email hàng loạt yêu cầu người dân cập nhật thông tin cá nhân. Hàng nghìn người đã vô tình cung cấp thông tin cá nhân nhạy cảm như số CMND/CCCD, hình ảnh giấy tờ tùy thân, và thông tin tài khoản ngân hàng.
Các cơ quan chức năng đã nhanh chóng:
- Gỡ bỏ trang web giả mạo
- Phát đi cảnh báo trên các phương tiện truyền thông
- Phối hợp với các ngân hàng để tăng cường giám sát các tài khoản có khả năng bị ảnh hưởng
- Bắt giữ một số đối tượng liên quan
Vụ việc này cho thấy tầm quan trọng của việc nâng cao nhận thức về lừa đảo trực tuyến và kỹ năng nhận biết các trang web giả mạo.
Danh sách kiểm tra đơn giản để bảo vệ dữ liệu cá nhân
Để giúp bạn bảo vệ dữ liệu cá nhân trong cuộc sống hàng ngày, dưới đây là danh sách kiểm tra đơn giản mà bạn có thể áp dụng ngay:
Trước khi cung cấp thông tin cá nhân
- Xác minh danh tính của bên yêu cầu thông tin
- Đọc kỹ chính sách bảo mật
- Chỉ cung cấp thông tin cần thiết
- Hỏi về mục đích sử dụng thông tin
- Kiểm tra xem website có sử dụng kết nối HTTPS an toàn không
Bảo vệ tài khoản trực tuyến
- Sử dụng mật khẩu mạnh và khác nhau cho mỗi tài khoản
- Bật xác thực hai yếu tố khi có thể
- Kiểm tra và cập nhật quyền riêng tư trên mạng xã hội
- Đăng xuất khỏi tài khoản khi sử dụng thiết bị công cộng
- Kiểm tra hoạt động đăng nhập bất thường định kỳ
Bảo vệ thiết bị
- Cập nhật phần mềm và hệ điều hành thường xuyên
- Cài đặt phần mềm chống virus tin cậy
- Mã hóa dữ liệu trên thiết bị di động
- Sao lưu dữ liệu quan trọng
- Xóa dữ liệu trước khi bán hoặc vứt bỏ thiết bị cũ
Khi phát hiện vi phạm dữ liệu
- Thay đổi mật khẩu ngay lập tức
- Thông báo cho tổ chức liên quan
- Theo dõi các giao dịch bất thường
- Báo cáo với cơ quan chức năng nếu cần thiết
- Sử dụng dịch vụ giám sát tín dụng
Xu hướng và cập nhật về bảo vệ dữ liệu cá nhân năm 2025
Đến năm 2025, lĩnh vực bảo vệ dữ liệu cá nhân tại Việt Nam đã có nhiều thay đổi và phát triển đáng kể:
Tăng cường thực thi pháp luật
Cơ quan quản lý nhà nước đã tăng cường giám sát và thực thi các quy định về bảo vệ dữ liệu cá nhân. Hàng loạt các cuộc thanh tra đã được tiến hành đối với các doanh nghiệp lớn như ngân hàng, bệnh viện, trung tâm thương mại và các nền tảng số.
Mức phạt đối với các vi phạm cũng đã được áp dụng nghiêm túc hơn, với một số trường hợp bị phạt lên đến 5% tổng doanh thu. Điều này đã tạo ra hiệu ứng răn đe mạnh mẽ và khuyến khích các doanh nghiệp tuân thủ quy định.
Phát triển hệ sinh thái dịch vụ bảo vệ dữ liệu cá nhân
Năm 2025 chứng kiến sự phát triển mạnh mẽ của các dịch vụ hỗ trợ bảo vệ dữ liệu cá nhân tại Việt Nam:
- Dịch vụ tư vấn tuân thủ quy định về bảo vệ dữ liệu
- Giải pháp công nghệ giúp quản lý sự đồng ý của người dùng
- Dịch vụ đánh giá tác động bảo vệ dữ liệu
- Phần mềm quản lý vi phạm dữ liệu
- Dịch vụ giám sát quyền riêng tư trực tuyến cho người dùng cá nhân
Hội tụ với các tiêu chuẩn quốc tế
Việt Nam đang ngày càng tiếp cận gần hơn với các tiêu chuẩn quốc tế về bảo vệ dữ liệu cá nhân, đặc biệt là GDPR của Châu Âu. Điều này không chỉ giúp nâng cao chuẩn mực bảo vệ dữ liệu trong nước mà còn tạo điều kiện thuận lợi cho các doanh nghiệp Việt Nam hoạt động trên thị trường quốc tế.
Các hiệp định thương mại tự do thế hệ mới cũng đưa ra yêu cầu về bảo vệ dữ liệu cá nhân như một điều kiện để thúc đẩy thương mại số.
Nâng cao nhận thức người dùng
Nhận thức của người dùng Việt Nam về quyền riêng tư và bảo vệ dữ liệu cá nhân đã tăng lên đáng kể. Các chiến dịch giáo dục công cộng, bài viết trên truyền thông và nội dung giáo dục trong trường học đã góp phần quan trọng vào quá trình này.
Theo một khảo sát năm 2025, hơn 70% người dùng internet Việt Nam đã đọc chính sách bảo mật trước khi sử dụng một dịch vụ mới, so với chỉ 30% vào năm 2022.
Kết luận
Luật Bảo vệ dữ liệu cá nhân tại Việt Nam đã có những bước tiến quan trọng trong những năm qua, đặc biệt với việc ban hành và thực thi Nghị định 13/2023/NĐ-CP. Khung pháp lý này đã mang lại nhiều quyền cho người dùng và áp đặt trách nhiệm rõ ràng cho các tổ chức xử lý dữ liệu.
Tuy nhiên, bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của nhà nước và doanh nghiệp mà còn là của mỗi người dùng. Việc hiểu rõ các quyền của mình, áp dụng các biện pháp bảo vệ dữ liệu cá nhân hàng ngày, và nâng cao cảnh giác đối với các mối đe dọa trực tuyến là vô cùng quan trọng trong kỷ nguyên số.
Hãy nhớ khẩu hiệu: “Hiểu luật – Bảo vệ quyền riêng tư của bạn“. Bằng cách nắm vững kiến thức về luật bảo vệ dữ liệu cá nhân và thực hiện các biện pháp bảo vệ phù hợp, bạn không chỉ bảo vệ thông tin của mình mà còn góp phần xây dựng một không gian mạng an toàn và đáng tin cậy cho tất cả mọi người.
