Dữ liệu cá nhân ngày càng trở thành nguồn tài nguyên có giá trị đối với hoạt động kinh doanh, quảng cáo, cung cấp dịch vụ và vận hành các nền tảng số. Nhưng phía sau những lợi ích từ việc khai thác dữ liệu là nguy cơ xâm phạm quyền riêng tư ngày càng lớn, khi thông tin cá nhân có thể bị thu thập vượt quá nhu cầu, sử dụng không đúng căn cứ pháp lý, chia sẻ cho bên thứ ba hoặc khai thác để theo dõi hành vi người dùng. Nghiên cứu những vấn đề này có ý nghĩa trực tiếp đối với việc bảo đảm quyền dữ liệu cá nhân và nâng cao hiệu quả quản trị nền tảng số tại Việt Nam.
Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ ngày 01/01/2026, đã hình thành khuôn khổ pháp lý chuyên biệt về bảo vệ dữ liệu cá nhân. Cùng với đó, Nghị định số 356/2025/NĐ-CP cụ thể hóa trách nhiệm của các chủ thể xử lý dữ liệu và yêu cầu bảo vệ thông tin trên môi trường số. Trong bối cảnh này, thực tiễn đặt ra yêu cầu tiếp tục đánh giá mức độ đầy đủ và khả thi của các quy định về căn cứ xử lý dữ liệu, sự đồng ý của người dùng, giới hạn mục đích sử dụng, chia sẻ thông tin, quyền yêu cầu xóa dữ liệu cũng như trách nhiệm khi xảy ra vi phạm.
Thực trạng bảo vệ dữ liệu cá nhân trước hành vi thu thập, sử dụng trái phép thông tin người dùng trên nền tảng số
Quá trình số hóa hoạt động giao tiếp, thương mại, tài chính và cung cấp dịch vụ khiến dữ liệu cá nhân ngày càng được tạo lập, lưu trữ và khai thác với quy mô lớn. Cùng với giá trị kinh tế gia tăng, nguy cơ xâm phạm dữ liệu cũng chuyển từ những vụ lộ lọt đơn lẻ sang hoạt động thu thập, tổng hợp, phân loại và mua bán có tổ chức trên mạng xã hội, các hội nhóm kín và website trung gian. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP có hiệu lực, đánh dấu bước chuyển từ các quy định còn phân tán sang khuôn khổ pháp lý chuyên biệt về bảo vệ dữ liệu cá nhân và trách nhiệm của các chủ thể xử lý dữ liệu.
Thứ nhất, thu thập, mua bán và sử dụng trái phép dữ liệu cá nhân đã đạt quy mô đáng lo ngại. Theo Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, trong 6 tháng đầu năm 2025, lực lượng chức năng phát hiện, xử lý 56 vụ việc liên quan đến mua bán trái phép dữ liệu cá nhân, với hơn 110 triệu bản ghi bị thu thập và giao dịch trái phép. Dữ liệu bị khai thác không chỉ phục vụ quảng cáo, tiếp thị mà còn có thể trở thành nguồn đầu vào cho các hành vi giả danh ngân hàng, doanh nghiệp viễn thông, sàn thương mại điện tử hoặc cơ quan nhà nước để lừa đảo, chiếm đoạt tài sản.
Quy mô này cho thấy quyền kiểm soát thông tin của cá nhân đang chịu sức ép đáng kể. Một khi dữ liệu bị thu thập trái phép, chúng có thể nhanh chóng được sao chép, kết hợp, phân loại và chuyển giao cho nhiều chủ thể khác nhau, trong khi người có dữ liệu rất khó biết thông tin của mình đang được ai nắm giữ, sử dụng vào mục đích gì và đã được chia sẻ đến đâu.
Thứ hai, phương thức thu thập trái phép ngày càng đa dạng, vượt ra ngoài trường hợp người dùng trực tiếp cung cấp thông tin cho nền tảng. Tháng 6/2026, Công an tỉnh Lâm Đồng phát hiện một đối tượng lợi dụng lỗ hổng bảo mật để xâm nhập Hệ thống thông tin tiêm chủng quốc gia, thu thập dữ liệu cá nhân rồi rao bán trong các hội, nhóm kín. Cơ quan điều tra xác định khoảng 20 triệu dữ liệu cá nhân đã bị thu thập và bán, với số tiền thu lợi hơn 100 triệu đồng.
Vụ việc cho thấy dữ liệu cá nhân có thể bị xâm phạm không chỉ từ hoạt động của chính nền tảng mà còn thông qua lỗ hổng kỹ thuật, quyền truy cập nội bộ hoặc hệ thống của bên thứ ba. Do đó, rủi ro không chỉ phát sinh tại thời điểm thu thập mà có thể kéo dài trong toàn bộ vòng đời dữ liệu, từ thu nhận, lưu trữ đến chia sẻ và khai thác.
Thứ ba, hoạt động mua bán dữ liệu đang hình thành những thị trường số có tổ chức, với khả năng giao dịch xuyên địa bàn. Tháng 7/2026, Công an Nghệ An phát hiện hai đối tượng mua bán hơn 50 triệu thông tin cá nhân, được lưu trữ trong hơn 72,4 GB dữ liệu. Các đối tượng sử dụng Facebook và các nhóm kín để tìm nguồn, Telegram để trao đổi, đồng thời sử dụng ví tiền ảo và tài khoản ngân hàng không chính chủ để thanh toán. Số tiền thu lợi bất chính được xác định hơn 1 tỷ đồng; vụ việc còn có dấu hiệu liên quan đến yếu tố nước ngoài.
Đáng chú ý, Công an Hà Nội công bố vụ website taphoammo.net vận hành như một sàn giao dịch tài nguyên số, cho phép mở gian hàng mua bán dữ liệu cá nhân, tài khoản mạng xã hội, thư điện tử và nhiều loại tài nguyên khác. Toàn hệ thống có hơn 1,35 triệu tài khoản đăng ký, hơn 46.000 gian hàng và trên 53 triệu lượt giao dịch; doanh thu bước đầu được xác định vượt 400 tỷ đồng. Các đối tượng sử dụng máy chủ đặt ở nước ngoài và quảng bá hoạt động qua Facebook, Telegram, TikTok, Instagram và Google.
Những vụ việc trên cho thấy mua bán dữ liệu cá nhân không còn dừng ở những giao dịch nhỏ lẻ mà có thể hình thành cả một chuỗi cung ứng dữ liệu bất hợp pháp, với các khâu tìm kiếm nguồn dữ liệu, quảng bá, trung gian giao dịch, thanh toán và phân phối tương đối hoàn chỉnh. Điều này đồng thời làm gia tăng khó khăn trong việc truy xuất nguồn gốc dữ liệu, xác định chủ thể chịu trách nhiệm và bảo đảm quyền kiểm soát thông tin của cá nhân.
Thứ tư, khuôn khổ pháp lý đã được nâng lên đáng kể nhưng đang bước vào giai đoạn kiểm nghiệm qua thực tiễn thi hành. Điều 7 Luật Bảo vệ dữ liệu cá nhân năm 2025 nghiêm cấm xử lý dữ liệu trái pháp luật, mua bán dữ liệu cá nhân, chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu. Đối với mạng xã hội và dịch vụ truyền thông trực tuyến, Điều 29 yêu cầu nhà cung cấp thông báo rõ loại thông tin được thu thập, không thu thập vượt phạm vi thỏa thuận, cho phép người dùng lựa chọn từ chối cookies và lựa chọn “không theo dõi”; đồng thời không được tự ý đọc tin nhắn, ghi âm cuộc gọi và phải thiết lập cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu, cũng như điều chỉnh quyền riêng tư.
Đối với quảng cáo dựa trên hành vi hoặc quảng cáo cá nhân hóa, Điều 28 yêu cầu việc theo dõi người dùng phải có sự đồng ý, đồng thời phải cung cấp phương thức để người dùng từ chối chia sẻ và ngừng nhận quảng cáo. Đây là bước tiến đáng kể về phương diện pháp lý khi trọng tâm bảo vệ dữ liệu đã được dịch chuyển từ việc xử lý hậu quả sang kiểm soát ngay từ cách thức nền tảng thu thập, sử dụng và khai thác thông tin người dùng.
Tuy nhiên, từ góc độ thực tiễn, hiệu quả của khuôn khổ này không chỉ phụ thuộc vào việc quy định quyền và nghĩa vụ trên giấy, mà còn ở khả năng kiểm soát các chuỗi xử lý dữ liệu phức tạp, hoạt động của bên thứ ba và các giao dịch xuyên biên giới. Đây cũng là những vấn đề cần tiếp tục được đánh giá trong quá trình triển khai pháp luật về bảo vệ dữ liệu cá nhân trên môi trường số.
Hạn chế và bất cập của quy định pháp luật về bảo vệ dữ liệu cá nhân trên nền tảng số
Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP đã tạo bước tiến quan trọng khi xác lập tương đối đầy đủ quyền của chủ thể dữ liệu, nghĩa vụ của bên xử lý và các yêu cầu riêng đối với mạng xã hội, dịch vụ truyền thông trực tuyến. Tuy nhiên, đặc thù của môi trường số với hoạt động thu thập dữ liệu tự động, liên tục, qua nhiều chủ thể và thường xuyên xuyên biên giới cho thấy một số quy định vẫn cần được tiếp tục cụ thể hóa để bảo đảm khả năng thực thi trên thực tế.
Thứ nhất, cơ chế về sự đồng ý của người dùng chưa giải quyết đầy đủ tình trạng “đồng ý mang tính hình thức” trên nền tảng số. Điều 29 Luật Bảo vệ dữ liệu cá nhân yêu cầu nhà cung cấp phải thông báo rõ loại dữ liệu được thu thập, không thu thập vượt phạm vi thỏa thuận, cho phép người dùng từ chối cookies và cung cấp lựa chọn “không theo dõi”. Tuy nhiên, pháp luật chưa có tiêu chí chuyên biệt để nhận diện những cách thức thiết kế giao diện có khả năng làm suy giảm tính tự nguyện của sự đồng ý. Chẳng hạn, nền tảng có thể gộp nhiều mục đích xử lý vào một lựa chọn, làm nổi bật nút “đồng ý” trong khi hạn chế khả năng tiếp cận lựa chọn từ chối, hoặc yêu cầu người dùng thực hiện nhiều thao tác mới có thể rút lại sự chấp thuận.
Khoảng trống này đáng lưu ý bởi sự đồng ý chỉ thực sự có ý nghĩa bảo vệ quyền riêng tư khi phản ánh một lựa chọn tự do và có đầy đủ thông tin, thay vì chỉ là thao tác kỹ thuật để người dùng tiếp tục sử dụng dịch vụ. Vì vậy, bên cạnh yêu cầu về nội dung thông báo, cần có tiêu chí rõ hơn về cách thức thu thập và biểu đạt sự đồng ý trên giao diện số, cũng như cơ chế bảo đảm việc rút lại sự đồng ý phải thuận tiện tương đương với việc chấp thuận.
Thứ hai, quyền kiểm soát dữ liệu đã được ghi nhận nhưng cơ chế thực hiện quyền đối với dữ liệu đã được chia sẻ trong chuỗi xử lý vẫn chưa thật sự rõ ràng. Điều 4 trao cho cá nhân các quyền được biết, đồng ý hoặc rút lại sự đồng ý, xem, chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế hoặc phản đối việc xử lý dữ liệu. Điều 29 tiếp tục yêu cầu nền tảng thiết lập cơ chế để người dùng truy cập, chỉnh sửa và xóa thông tin.
Tuy nhiên, vấn đề trở nên phức tạp khi dữ liệu ban đầu đã được chuyển cho đối tác quảng cáo, đơn vị phân tích, nhà cung cấp dịch vụ đám mây hoặc được sử dụng để hình thành các hồ sơ suy luận về hành vi người dùng. Trong những trường hợp này, cần làm rõ hơn trách nhiệm truy vết các lần chuyển giao, nghĩa vụ thông báo cho bên nhận dữ liệu và phạm vi xóa đối với bản sao, dữ liệu dự phòng hoặc các hồ sơ được tạo ra từ dữ liệu ban đầu.
Nếu thiếu cơ chế liên kết giữa các chủ thể trong chuỗi xử lý, quyền yêu cầu xóa hoặc rút lại sự đồng ý có nguy cơ chỉ được thực hiện tại nền tảng trực tiếp, trong khi dữ liệu vẫn tiếp tục tồn tại và được khai thác tại các chủ thể khác. Do đó, bảo đảm quyền kiểm soát dữ liệu trong môi trường số đòi hỏi cơ chế thực thi phải theo được “dòng đời” của dữ liệu, thay vì chỉ tập trung vào chủ thể đang trực tiếp cung cấp dịch vụ cho người dùng.
Thứ ba, cơ chế xử phạt hành chính chưa hoàn toàn tương xứng với mức độ chi tiết của các nghĩa vụ mới. Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định mức phạt tối đa đáng kể: hành vi mua bán dữ liệu có thể bị phạt tới 10 lần khoản thu có được từ vi phạm; vi phạm về chuyển dữ liệu xuyên biên giới đối với tổ chức có thể bị phạt tới 5% doanh thu của năm liền kề trước đó; các hành vi khác có mức phạt tối đa 3 tỷ đồng.
Tuy nhiên, tài liệu chính thức của Bộ Công an tháng 3/2026 cho thấy nghị định quy định cụ thể về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân vẫn đang được xây dựng nhằm khắc phục những “điểm nghẽn” của cơ chế xử phạt. Điều này cho thấy vẫn tồn tại khoảng cách giữa việc Luật xác lập các mức phạt tối đa và việc lượng hóa cụ thể đối với từng hành vi, mức độ vi phạm, tình tiết tăng nặng, giảm nhẹ cũng như biện pháp khắc phục hậu quả.
Đối với môi trường nền tảng số, việc xác định mức độ vi phạm càng phức tạp do một hành vi có thể liên quan đồng thời đến nhiều loại dữ liệu, nhiều chủ thể và nhiều khâu xử lý. Vì vậy, hiệu quả răn đe của pháp luật phụ thuộc đáng kể vào khả năng chuyển hóa các quy định khung thành tiêu chí xử phạt cụ thể, minh bạch và có khả năng áp dụng thống nhất.
Thứ tư, cơ chế kiểm soát chuỗi xử lý dữ liệu xuyên biên giới và trách nhiệm của nền tảng nước ngoài cần tiếp tục được củng cố. Luật năm 2025 áp dụng đối với cả tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam. Nghị định số 356/2025/NĐ-CP cũng thiết lập thủ tục đánh giá tác động đối với hoạt động xử lý và chuyển dữ liệu xuyên biên giới.
Tuy nhiên, đặc trưng của nền tảng số là dữ liệu có thể được lưu trữ, phân tích và chuyển tiếp qua nhiều pháp nhân tại nhiều quốc gia. Trong chuỗi này, việc xác định dữ liệu đang được lưu giữ ở đâu, do chủ thể nào kiểm soát, được chuyển cho những bên nào và ai chịu trách nhiệm khi phát sinh vi phạm có thể gặp nhiều khó khăn. Vì vậy, cần tiếp tục làm rõ trách nhiệm chứng minh dòng dữ liệu, nghĩa vụ hợp tác khi có yêu cầu của cơ quan có thẩm quyền, trách nhiệm của từng bên trong chuỗi kiểm soát – xử lý – nhận dữ liệu và cơ chế bảo đảm thực thi đối với những chủ thể không có hiện diện thương mại trực tiếp tại Việt Nam.
Nhìn tổng thể, những bất cập trên không cho thấy khoảng trống hoàn toàn của pháp luật mà chủ yếu phản ánh thách thức trong việc chuyển các nguyên tắc bảo vệ dữ liệu thành cơ chế thực thi phù hợp với đặc trưng của nền tảng số. Khi dữ liệu được thu thập tự động, xử lý liên tục, chia sẻ qua nhiều chủ thể và có thể di chuyển xuyên biên giới, yêu cầu đặt ra không chỉ là xác lập quyền của cá nhân mà còn phải bảo đảm khả năng thực thi quyền đó xuyên suốt toàn bộ vòng đời dữ liệu.
Kiến nghị và giải pháp hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân trên nền tảng số
Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP đã hình thành khuôn khổ pháp lý chuyên biệt, xác lập các quyền cơ bản của chủ thể dữ liệu và nghĩa vụ của các bên tham gia xử lý dữ liệu. Cả hai văn bản đều có hiệu lực từ ngày 01/01/2026. Tuy nhiên, yêu cầu đặt ra trong giai đoạn tiếp theo không chỉ là tiếp tục bổ sung quy định, mà quan trọng hơn là chuyển các quyền đã được pháp luật ghi nhận thành những cơ chế có khả năng thực hiện, kiểm tra và bảo đảm thi hành trên thực tế, đặc biệt đối với mạng xã hội và các nền tảng xử lý lượng lớn dữ liệu người dùng.
Thứ nhất, cụ thể hóa cơ chế đồng ý theo hướng bảo đảm quyền lựa chọn thực chất của người dùng. Pháp luật hiện hành đã ghi nhận quyền đồng ý, không đồng ý, rút lại sự đồng ý, yêu cầu xóa hoặc hạn chế xử lý dữ liệu; đối với mạng xã hội còn đặt ra yêu cầu cho phép người dùng từ chối cookies và lựa chọn “không theo dõi”. Tuy nhiên, để các quyền này có giá trị thực chất, các văn bản hướng dẫn cần xác lập rõ hơn các tiêu chí đối với giao diện và quy trình xin chấp thuận.
Theo đó, từng mục đích xử lý nên được trình bày riêng biệt, rõ ràng và dễ hiểu; lựa chọn đồng ý và từ chối cần có mức độ tiếp cận tương đương; không sử dụng thiết kế gây nhầm lẫn hoặc khiến người dùng phải thực hiện nhiều bước không cần thiết để rút lại sự chấp thuận. Đồng thời, bên xử lý cần có nghĩa vụ lưu giữ bằng chứng về thời điểm, nội dung và phạm vi của sự đồng ý, qua đó bảo đảm khả năng kiểm chứng khi phát sinh tranh chấp, thay vì đặt gánh nặng chứng minh chủ yếu lên cá nhân.
Thứ hai, tăng cường khả năng kiểm soát dữ liệu trong toàn bộ vòng đời và chuỗi chia sẻ. Quyền yêu cầu cung cấp, chỉnh sửa, xóa, hạn chế hoặc phản đối xử lý đã được Điều 4 Luật Bảo vệ dữ liệu cá nhân ghi nhận. Vấn đề cần tiếp tục hoàn thiện là cơ chế thực hiện các quyền này sau khi dữ liệu đã được chuyển giao cho nhiều chủ thể.
Pháp luật nên yêu cầu bên kiểm soát dữ liệu thiết lập cơ chế truy vết về nguồn dữ liệu, mục đích sử dụng, chủ thể tiếp nhận và các lần chuyển giao. Khi cá nhân rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu, nghĩa vụ xử lý tương ứng cần được truyền đạt đến các bên nhận dữ liệu có liên quan. Đồng thời, cần làm rõ cách thức xử lý đối với bản sao lưu, dữ liệu đã được kết hợp, hồ sơ suy luận và những thông tin được tạo ra trên cơ sở phân tích hành vi người dùng.
Cách tiếp cận này sẽ giúp quyền kiểm soát dữ liệu được thực hiện xuyên suốt chuỗi xử lý, thay vì chỉ dừng lại ở việc xóa thông tin trên nền tảng trực tiếp. Đây cũng là cơ sở để xác định rõ trách nhiệm của từng chủ thể khi dữ liệu tiếp tục được lưu giữ hoặc khai thác sau khi cá nhân đã thực hiện quyền của mình.
Thứ ba, hoàn thiện cơ chế xử phạt theo hướng đủ sức răn đe và gắn chế tài với tính chất, mức độ của từng vi phạm. Bộ Công an đã xây dựng dự thảo Nghị định chuyên biệt về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân nhằm khắc phục những điểm nghẽn của cơ chế hiện hành. Khi hoàn thiện cơ chế này, mức xử lý không nên chỉ dựa trên hành vi vi phạm về mặt hình thức mà cần tính đến các yếu tố như số lượng người bị ảnh hưởng, loại dữ liệu bị xâm phạm, thời gian vi phạm, mức độ lỗi, lợi ích thu được, tình trạng tái phạm và hậu quả thực tế.
Bên cạnh phạt tiền, cần chú trọng các biện pháp khắc phục hậu quả, như buộc xóa dữ liệu được thu thập trái pháp luật, chấm dứt việc chia sẻ hoặc khai thác dữ liệu, thông báo cho người bị ảnh hưởng và khắc phục lỗ hổng an toàn thông tin dẫn đến vi phạm. Cơ chế này sẽ giúp gắn trách nhiệm pháp lý không chỉ với hành vi vi phạm mà còn với mức độ rủi ro và hậu quả thực tế mà hành vi gây ra.
Thứ tư, củng cố cơ chế kiểm soát nền tảng xuyên biên giới và phân định trách nhiệm giữa các chủ thể tham gia xử lý dữ liệu. Theo điểm c khoản 2 Điều 1 Luật Bảo vệ dữ liệu cá nhân năm 2025, phạm vi áp dụng của Luật bao gồm cả cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam. Quy định này tạo cơ sở pháp lý quan trọng để kiểm soát hoạt động xử lý dữ liệu xuyên biên giới.
Tuy nhiên, để quy định có khả năng thực thi hiệu quả, cần tiếp tục cụ thể hóa cơ chế phối hợp giữa các chủ thể, nghĩa vụ cung cấp thông tin và chứng minh dòng dữ liệu, trách nhiệm đối với việc chuyển tiếp dữ liệu qua các bên trung gian cũng như cơ chế xử lý khi phát sinh vi phạm. Đối với các nền tảng không có hiện diện thương mại trực tiếp tại Việt Nam, cần nghiên cứu cơ chế bảo đảm thực thi phù hợp, đồng thời xác định rõ trách nhiệm của các chủ thể trong chuỗi kiểm soát, xử lý và tiếp nhận dữ liệu.
Nhìn chung, hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân trên nền tảng số cần chuyển trọng tâm từ việc xác lập quyền trên phương diện nguyên tắc sang bảo đảm khả năng thực thi quyền trong toàn bộ vòng đời dữ liệu. Ba yêu cầu có tính xuyên suốt là sự đồng ý phải thực chất, quyền kiểm soát phải theo được dữ liệu trong toàn bộ chuỗi xử lý và trách nhiệm pháp lý phải đủ rõ để có thể xác định, kiểm tra và cưỡng chế. Đây là những điều kiện quan trọng để khuôn khổ pháp lý mới không chỉ tạo lập quyền trên giấy mà thực sự nâng cao khả năng bảo vệ người dùng trong môi trường số.
Bảo vệ dữ liệu cá nhân trên nền tảng số đang trở thành yêu cầu trọng yếu của quản trị số hiện đại, trong bối cảnh thông tin người dùng ngày càng được thu thập, phân tích, chia sẻ và khai thác với quy mô lớn. Luật Bảo vệ dữ liệu cá nhân năm 2025 đã tạo nền tảng pháp lý quan trọng cho việc bảo đảm quyền của chủ thể dữ liệu và trách nhiệm của các bên tham gia xử lý. Tuy nhiên, hiệu quả bảo vệ trên thực tế vẫn phụ thuộc vào khả năng kiểm soát sự đồng ý, truy vết toàn bộ quá trình xử lý, bảo đảm quyền xóa và hạn chế sử dụng dữ liệu, cũng như xác định rõ trách nhiệm của từng chủ thể trong chuỗi chia sẻ thông tin.
Trong thời gian tới, việc hoàn thiện pháp luật cần tập trung vào bảo đảm sự đồng ý thực chất, tăng cường tính minh bạch, hoàn thiện chế tài đủ sức răn đe và nâng cao khả năng thực thi đối với các nền tảng xuyên biên giới. Quan trọng hơn, các quyền được pháp luật ghi nhận cần được chuyển hóa thành những cơ chế cụ thể, dễ tiếp cận và có thể kiểm chứng trong toàn bộ vòng đời dữ liệu.
Khi quyền kiểm soát dữ liệu của cá nhân được bảo đảm bằng các cơ chế thực thi hiệu quả, pháp luật không chỉ góp phần bảo vệ quyền riêng tư và hạn chế việc khai thác dữ liệu trái phép, mà còn tạo nền tảng cho một môi trường số an toàn, minh bạch và có trách nhiệm.
Anh Tuấn
Danh mục tài liệu tham khảo
1.Chính phủ (2024), Nghị định số 147/2024/NĐ-CP ngày 09 tháng 11 năm 2024 về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng, có hiệu lực từ ngày 25/12/2024.
2.Council of Europe (1981), Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (Convention 108), ETS No. 108, Strasbourg, 28 January 1981. Đây là một trong những văn kiện quốc tế nền tảng về xử lý tự động dữ liệu cá nhân, quyền tiếp cận, chỉnh sửa và bảo vệ thông tin.
3.European Parliament and Council of the European Union (2016), Regulation (EU) 2016/679 on the Protection of Natural Persons with regard to the Processing of Personal Data and on the Free Movement of Such Data (General Data Protection Regulation – GDPR), Official Journal of the European Union, L 119, pp. 1–88.
4.Liên Hợp Quốc (1966), International Covenant on Civil and Political Rights (ICCPR), được Đại hội đồng Liên Hợp Quốc thông qua ngày 16/12/1966, đặc biệt Điều 17 về quyền được bảo vệ khỏi sự can thiệp tùy tiện hoặc bất hợp pháp vào đời sống riêng tư, gia đình, nơi ở và thư tín.
5.OECD (2013), Recommendation of the Council concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data, OECD, Paris. Tài liệu xác lập các nguyên tắc quan trọng như giới hạn thu thập, chất lượng dữ liệu, xác định mục đích, giới hạn sử dụng, bảo mật, minh bạch, quyền tham gia của cá nhân và trách nhiệm giải trình. |
6.Quốc hội (2013), Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam năm 2013, đặc biệt Điều 21 về quyền bất khả xâm phạm đối với đời sống riêng tư, bí mật cá nhân, bí mật gia đình và quyền bảo đảm an toàn, bí mật thư tín, điện thoại, điện tín và các hình thức trao đổi thông tin riêng tư khác.
7.Quốc hội (2018), Luật An ninh mạng, Luật số 24/2018/QH14 ngày 12 tháng 6 năm 2018, có hiệu lực từ ngày 01/01/2019.
8.Quốc hội (2023), Luật Bảo vệ quyền lợi người tiêu dùng, Luật số 19/2023/QH15 ngày 20 tháng 6 năm 2023, có hiệu lực từ ngày 01/7/2024; là cơ sở pháp lý quan trọng đối với trách nhiệm bảo vệ thông tin của người tiêu dùng, đặc biệt trong các giao dịch và hoạt động cung cấp dịch vụ trên môi trường số.