ĐÀI PHÁT THANH
& TRUYỀN HÌNH HÀ NỘI

Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua ngày 26/6, hiệu lực từ 1/1/2026, là văn bản luật đầu tiên của Việt Nam về bảo vệ dữ liệu cá nhân. Trước đó, lĩnh vực này chỉ được quy định trong Nghị định 13/2023. So với quy định cũ, luật bổ sung nhiều quy định mới, điều chỉnh phạm vi rộng hơn, đồng thời cụ thể hóa việc bảo vệ dữ liệu cá nhân trong một số lĩnh vực có tác động toàn dân như lao động, ngân hàng, dịch vụ truyền thông, mạng xã hội, bảo hiểm...

Đây là một bước ngoặt pháp lý quan trọng, đặt nền móng cho việc bảo vệ quyền riêng tư và nhân thân của công dân Việt Nam trong thời đại số. Trong đó, quy định cấm mua bán dữ liệu cá nhân dưới mọi hình thức là điểm nhấn thể hiện rõ quan điểm: dữ liệu cá nhân không thể bị đối xử như một món hàng trao đổi, mà phải được nhìn nhận là quyền con người cần được bảo vệ tuyệt đối.

Từ lâu, thông tin cá nhân như số điện thoại, căn cước công dân, địa chỉ nhà, tình trạng vay nợ… của người dân đã bị rao bán trên mạng. Nhiều “chợ đen dữ liệu” hình thành và phát triển tinh vi, tạo điều kiện cho các hành vi lừa đảo giả danh cơ quan công quyền, ngân hàng, công an... để chiếm đoạt tài sản. Phần lớn người dân bị xâm phạm đời tư nhưng không hề hay biết, hoặc chỉ biết khi đã trở thành nạn nhân của các vụ lừa đảo. Trong khi đó, hành lang pháp lý chưa đầy đủ khiến các đối tượng vi phạm dễ dàng lách luật, đẩy người dùng rơi vào trạng thái bị động và không có công cụ để tự bảo vệ. Đó là thực trạng nhức nhối suốt nhiều năm qua.

Dữ liệu cá nhân vốn gắn với nhân thân, danh dự, quyền riêng tư, lại bị đối xử như món hàng, như “nguyên liệu đầu vào” của các hoạt động bất hợp pháp. Và hệ lụy không chỉ là các vụ lừa đảo tài chính đang đầy rẫy trên mạng xã hội và cả đời thực, mà là một môi trường số thiếu an toàn, thiếu tin cậy.

Luật Bảo vệ dữ liệu cá nhân được thông qua là một tuyên bố pháp lý về quyền con người trong thời đại số. Dù vẫn còn nhiều thách thức phía trước, sự ra đời của Luật không chỉ thể hiện cam kết bảo vệ quyền riêng tư cá nhân, mà còn giúp Việt Nam hội nhập tốt hơn với các chuẩn mực quốc tế.

Chẳng hạn, Liên minh châu Âu có quy định bảo vệ dữ liệu chung từ năm 2018. Đây được coi là một trong những bộ luật nghiêm ngặt nhất về bảo vệ dữ liệu cá nhân. Bộ luật này không chỉ đặt ra nguyên tắc minh bạch, tự nguyện và giới hạn mục đích thu thập dữ liệu, mà còn áp dụng mức phạt có thể lên tới 4% doanh thu toàn cầu của doanh nghiệp vi phạm. Trong khi đó, Singapore đã ban hành Đạo luật Bảo vệ Dữ liệu cá nhân (PDPA) từ năm 2012 và liên tục cập nhật trong thập kỷ qua, quy định rõ quyền của cá nhân, trách nhiệm của tổ chức và mức xử phạt hành chính lên tới 1 triệu SGD cho các hành vi xâm phạm dữ liệu.

Quay trở lại với Luật Bảo vệ dữ liệu cá nhân của chúng ta. Một điểm đáng chú ý khác là Luật còn tiếp cận những vấn đề đang rất được quan tâm trên thế giới như bảo vệ dữ liệu trẻ em và quyền tự chủ dữ liệu từ sớm. Theo đó, trẻ em từ 7 tuổi trở lên có quyền đồng ý hoặc từ chối việc xử lý dữ liệu của mình, cùng với người giám hộ. Điều này tương đồng với khuyến nghị của Quỹ Nhi đồng Liên hợp quốc (UNICEF) và các chuẩn mực quốc tế về quyền trẻ em trong môi trường số, vốn nhấn mạnh việc trẻ cần được bảo vệ khỏi việc bị theo dõi, quảng cáo, hoặc công khai thông tin cá nhân khi chưa đủ năng lực tự bảo vệ.

Một điểm tích cực khác là cơ chế xử phạt hành chính lên tới 3 tỷ đồng, thậm chí là 10 lần khoản thu bất hợp pháp, cho thấy sự quyết liệt của nhà làm luật trong việc răn đe và hướng đến thay đổi hành vi.

Ngoài ra, Luật cũng quy định rõ các nguyên tắc và giới hạn trong việc xử lý dữ liệu cá nhân. Trong một số trường hợp nhất định, việc xử lý dữ liệu cá nhân có thể không cần sự đồng ý của chủ thể, ví dụ như: phục vụ hoạt động của cơ quan nhà nước; phục vụ hoạt động quản lý nhà nước theo quy định pháp luật; để giải quyết tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố; phòng, chống tội phạm và vi phạm pháp luật...

Dữ liệu cá nhân chỉ được công khai với mục đích cụ thể, đúng luật, đúng mục đích, phạm vi và khi có sự đồng ý của chủ thể dữ liệu đó. Tùy mức độ, các hành vi vi phạm về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính tới 3 tỷ đồng hoặc xử lý hình sự. Riêng với hành vi mua bán dữ liệu cá nhân, mức phạt có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm. Đặc biệt, với hành vi chuyển dữ liệu cá nhân xuyên biên giới trái quy định, mức phạt hành chính tối đa có thể lên tới 5% doanh thu của năm trước liền kề của tổ chức vi phạm.

Khi Việt Nam đang đẩy mạnh chuyển đổi số trong mọi lĩnh vực, từ giáo dục, y tế, tài chính đến hành chính công… thì dữ liệu cá nhân trở thành “nguyên liệu” trung tâm. Nhưng nếu không có hành lang pháp lý chặt chẽ, không gian số sẽ không thể trở thành môi trường đáng tin cậy cho người dân, doanh nghiệp, tổ chức.

Thách thức lớn nhất hiện nay là sự hạn chế trong nhận thức về bảo vệ dữ liệu cá nhân từ cá nhân, doanh nghiệp đến cả cán bộ công quyền. Trong thực tế, nhiều người dân vẫn rất chủ quan, thiếu cảnh giác, dễ dàng chia sẻ thông tin cho bên thứ ba. Trong khi nhiều tổ chức vẫn coi dữ liệu là “tài nguyên kinh doanh” mà chưa ý thức rõ về nghĩa vụ pháp lý và đạo đức.

Vì vậy, đi cùng với luật, rất cần một chiến dịch truyền thông quốc gia về bảo vệ dữ liệu cá nhân, để mỗi người dân hiểu rằng: thông tin cá nhân không phải món hàng để mặc cả, trao đổi hay sử dụng vô trách nhiệm. Luật đã ban hành, giờ là lúc xã hội cùng chung tay làm cho quyền riêng tư trở thành chuẩn mực trong từng tương tác số hàng ngày.