Luật được Quốc hội ban hành vào tháng 6/2025, gồm 5 chương, 39 điều, quy định rõ thế nào là dữ liệu cá nhân, nguyên tắc xử lý dữ liệu, quyền - nghĩa vụ của người dùng, cũng như trách nhiệm pháp lý của các nền tảng mạng xã hội, doanh nghiệp và tổ chức liên quan. Với sự phát triển mạnh mẽ của chuyển đổi số, đây được xem là “lá chắn pháp lý” quan trọng để bảo vệ công dân trên môi trường Internet.
Hình minh họa dữ liệu cá nhân - Quyền con người trong thời đại số.
Mạng xã hội phải minh bạch hơn
Một trong những nội dung được người dân quan tâm nhất là trách nhiệm của các nền tảng mạng xã hội đối với dữ liệu người dùng, được quy định cụ thể tại Điều 29 của Luật. Theo đó, ngay từ khi người dùng cài đặt và sử dụng dịch vụ, nền tảng mạng xã hội phải thông báo rõ ràng, minh bạch loại dữ liệu nào sẽ được thu thập, thu thập để làm gì và trong phạm vi nào. Mọi hành vi thu thập dữ liệu ngoài thỏa thuận hoặc trái phép đều bị nghiêm cấm.
Đáng chú ý, luật cấm tuyệt đối việc yêu cầu người dùng cung cấp ảnh hoặc video chứa giấy tờ tùy thân như căn cước công dân, hộ chiếu để xác thực tài khoản. Đây là điểm thay đổi rất lớn, bởi trước đây nhiều nền tảng từng yêu cầu người dùng chụp ảnh giấy tờ cá nhân để mở khóa hoặc xác minh danh tính.
Bên cạnh đó, người dùng có quyền từ chối cookies, từ chối theo dõi hành vi, hoặc chỉ cho phép theo dõi khi đã đồng ý rõ ràng. Mạng xã hội không được nghe lén, ghi âm cuộc gọi, đọc tin nhắn nếu chưa có sự cho phép của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.
Các nền tảng cũng buộc phải công khai chính sách bảo mật, giải thích dễ hiểu cách thu thập - sử dụng - chia sẻ dữ liệu, đồng thời cung cấp công cụ để người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư.
IM LẶNG KHÔNG CÒN LÀ “ĐỒNG Ý”
Một điểm rất quan trọng của luật mới là định nghĩa lại khái niệm “sự đồng ý” của người dùng. Luật khẳng định rõ: im lặng hoặc không phản hồi không được coi là đồng ý.
Sự đồng ý chỉ có giá trị khi người dùng tự nguyện và biết rõ: Dữ liệu nào được thu thập; Mục đích xử lý dữ liệu; Đơn vị nào kiểm soát và xử lý dữ liệu; Quyền và nghĩa vụ của chính người dùng.
Đặc biệt, việc đồng ý không phải là cam kết vĩnh viễn. Người dùng có quyền rút lại sự đồng ý, yêu cầu ngừng hoặc hạn chế xử lý dữ liệu bất cứ lúc nào nếu nghi ngờ dữ liệu bị sử dụng sai mục đích hoặc không chính xác. Khi người dùng yêu cầu dừng xử lý dữ liệu, đơn vị kiểm soát dữ liệu phải thực hiện ngay, không được trì hoãn hay gây khó khăn.
Một số nền tảng mạng xã hội hiện tại trên không gian mạng. (Ảnh: Internet)
Luật cũng quy định một số trường hợp xử lý dữ liệu không cần sự đồng ý, như để bảo vệ tính mạng, sức khỏe trong tình huống cấp bách; phòng chống tội phạm, khủng bố; bảo vệ an ninh quốc gia… Tuy nhiên, các trường hợp này đều được giới hạn chặt chẽ và không thể bị lạm dụng.
BẢO VỆ NGHIÊM NGẶT DỮ LIỆU NGƯỜI DÙNG
Trong lĩnh vực quảng cáo, Luật Bảo vệ dữ liệu cá nhân đặt ra các yêu cầu rất cụ thể. Doanh nghiệp không được tự do sử dụng dữ liệu cá nhân để quảng cáo nếu chưa có sự đồng ý của người dùng.
Người nhận quảng cáo phải được biết rõ: Nội dung quảng cáo; Phương thức, hình thức gửi; Tần suất nhận thông tin. Quan trọng hơn, người dùng có quyền từ chối nhận quảng cáo và yêu cầu ngừng gửi quảng cáo bất cứ lúc nào. Doanh nghiệp bắt buộc phải có cơ chế tiếp nhận và xử lý yêu cầu này.
Với các hình thức quảng cáo cá nhân hóa, quảng cáo theo hành vi, việc theo dõi người dùng trên website hoặc ứng dụng chỉ được thực hiện khi đã có sự đồng ý rõ ràng. Khi dữ liệu không còn cần thiết, doanh nghiệp phải xóa hoặc hủy dữ liệu, không được lưu trữ vô thời hạn.
Luật quy định rõ: mua, bán dữ liệu cá nhân là hành vi bị nghiêm cấm, trừ trường hợp pháp luật có quy định khác. Ngoài ra, các hành vi như chiếm đoạt dữ liệu, cố ý làm lộ thông tin, sử dụng dữ liệu để vi phạm pháp luật đều bị xử lý nghiêm.
Mức xử phạt được đánh giá là rất cao nhằm răn đe: Phạt tiền tối đa 10 lần khoản thu từ hành vi mua, bán dữ liệu cá nhân; Vi phạm chuyển dữ liệu xuyên biên giới có thể bị phạt đến 5% doanh thu năm liền kề; Các vi phạm khác có thể bị phạt hành chính tối đa 3 tỷ đồng đối với tổ chức. Ngoài xử phạt hành chính, cá nhân và tổ chức vi phạm còn có thể bị truy cứu trách nhiệm hình sự và bồi thường thiệt hại.
Luật cũng đặt ra trách nhiệm rõ ràng cho doanh nghiệp, tổ chức trong việc đánh giá tác động xử lý dữ liệu cá nhân, lập hồ sơ và giải trình với cơ quan chức năng. Khi xảy ra sự cố rò rỉ dữ liệu, doanh nghiệp phải thông báo trong vòng 72 giờ kể từ khi phát hiện.
Để tạo điều kiện thích ứng, doanh nghiệp nhỏ, startup được miễn hoặc giảm một số nghĩa vụ trong 5 năm đầu, nhưng không áp dụng với doanh nghiệp xử lý dữ liệu nhạy cảm hoặc dữ liệu quy mô lớn.
MỘT SỐ LƯU Ý QUAN TRỌNG
Từ năm 2026, mỗi người dùng mạng xã hội cần ghi nhớ một số nguyên tắc đơn giản nhưng rất quan trọng: Đọc kỹ chính sách quyền riêng tư trước khi đồng ý; Không chia sẻ tùy tiện thông tin cá nhân, giấy tờ tùy thân; Chủ động từ chối theo dõi, quảng cáo không cần thiết; Mạnh dạn yêu cầu xóa dữ liệu khi thấy không còn phù hợp; Khi quyền lợi bị xâm phạm, có thể khiếu nại, tố cáo hoặc khởi kiện theo pháp luật.
Luật Bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của Nhà nước hay doanh nghiệp, mà còn là công cụ pháp lý để mỗi người dân tự bảo vệ mình trên không gian mạng. Hiểu đúng - nhớ đúng - làm đúng chính là cách tốt nhất để sử dụng mạng xã hội an toàn, văn minh và hợp pháp trong kỷ nguyên số.
