Bảo vệ dữ liệu cá nhân khi sử dụng mạng xã hội đúng cách
Tuy nhiên, không phải ai cũng nhận thức được rằng những thông tin tưởng chừng bình thường như số điện thoại, hình ảnh, địa chỉ hay vị trí cũng có thể trở thành dữ liệu bị khai thác trái phép. Vậy pháp luật bảo vệ những thông tin này như thế nào và mỗi người cần làm gì để bảo vệ quyền riêng tư của mình?
1. Dữ liệu cá nhân là gì và vì sao cần được bảo vệ?
|
Trong đời sống số, dữ liệu cá nhân không chỉ đơn giản là họ tên hay số căn cước công dân. Trên thực tế, nhiều thông tin mà chúng ta chia sẻ hằng ngày đều có thể giúp nhận diện một cá nhân cụ thể. Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Để hiểu rõ hơn, pháp luật phân chia dữ liệu cá nhân thành hai nhóm chính. Dữ liệu cá nhân cơ bản là những thông tin phản ánh các yếu tố nhân thân, lai lịch phổ biến và thường xuyên được sử dụng trong các giao dịch, quan hệ xã hội. Theo Điều 3 Nghị định số 356/2025/NĐ-CP, nhóm dữ liệu này bao gồm họ tên, ngày tháng năm sinh, giới tính, địa chỉ, quốc tịch, hình ảnh cá nhân, số điện thoại, số định danh cá nhân, số hộ chiếu, thông tin tài khoản số và một số thông tin khác có khả năng xác định một cá nhân. Trong khi đó, dữ liệu cá nhân nhạy cảm là những thông tin gắn liền với quyền riêng tư mà khi bị xâm phạm có thể gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cá nhân. Theo Điều 4 Nghị định số 356/2025/NĐ-CP, nhóm này bao gồm thông tin về đời sống riêng tư, bí mật cá nhân, tình trạng sức khỏe, dữ liệu sinh trắc học, vị trí cá nhân, thông tin tài khoản ngân hàng, mật khẩu truy cập và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.
Sự phân biệt này có ý nghĩa quan trọng bởi mức độ rủi ro khi thông tin bị lộ không giống nhau. Chẳng hạn, việc một người biết số điện thoại của bạn có thể dẫn đến những cuộc gọi quảng cáo không mong muốn. Nhưng nếu thông tin đăng nhập tài khoản ngân hàng, dữ liệu sinh trắc học hoặc vị trí cá nhân bị sử dụng trái phép, hậu quả có thể nghiêm trọng hơn nhiều. Trong thực tế, dữ liệu cá nhân có thể bị thu thập thông qua các hoạt động rất quen thuộc như đăng ký tài khoản, điền biểu mẫu trực tuyến, cài đặt ứng dụng, tham gia chương trình khuyến mại hoặc đăng ảnh trên mạng xã hội. Khi các thông tin này được kết hợp với nhau, chúng có thể tạo thành hồ sơ khá chi tiết về thói quen, sở thích và hoạt động của một cá nhân. Vì vậy, bảo vệ dữ liệu cá nhân không chỉ là vấn đề bảo mật thông tin mà còn là cách bảo vệ quyền riêng tư, tài sản và sự an toàn của mỗi người trong môi trường số.
2. Người dùng có những quyền gì đối với dữ liệu cá nhân của mình?
Một trong những điểm đáng chú ý của Luật Bảo vệ dữ liệu cá nhân năm 2025 là quy định tương đối đầy đủ về quyền của chủ thể dữ liệu. Thay vì chỉ thụ động cung cấp thông tin theo yêu cầu của các nền tảng hoặc tổ chức, người dùng có cơ sở pháp lý để kiểm soát việc sử dụng dữ liệu của mình. Theo khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu cá nhân có các quyền cơ bản như: được biết về hoạt động xử lý dữ liệu của mình; đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu; yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu và phản đối hoạt động xử lý dữ liệu; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại; đồng thời yêu cầu cơ quan có thẩm quyền hoặc tổ chức, cá nhân liên quan thực hiện các biện pháp bảo vệ dữ liệu cá nhân.
Những quyền này có thể được áp dụng trong nhiều tình huống thực tế. Ví dụ, khi một ứng dụng yêu cầu cung cấp thông tin cá nhân để đăng ký dịch vụ, người dùng có quyền tìm hiểu thông tin nào sẽ được thu thập, sử dụng vào mục đích gì và đơn vị nào chịu trách nhiệm xử lý. Đặc biệt, sự đồng ý của người dùng không phải là một thủ tục mang tính hình thức. Điều 9 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định sự đồng ý chỉ có hiệu lực khi được đưa ra một cách tự nguyện và người dùng biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu cũng như các quyền và nghĩa vụ liên quan.
Theo khoản 4 Điều 9, việc xin sự đồng ý phải tuân thủ một số nguyên tắc quan trọng: sự đồng ý phải được thể hiện riêng cho từng mục đích; không được gắn việc đồng ý với những mục đích khác không thuộc nội dung thỏa thuận; đặc biệt, sự im lặng hoặc không phản hồi không được xem là sự đồng ý. Điều này có nghĩa là việc một người không phản đối một thông báo hoặc không thực hiện thao tác từ chối không mặc nhiên đồng nghĩa với việc họ đã đồng ý cho phép sử dụng dữ liệu cá nhân.
Bên cạnh đó, người dùng còn có quyền thay đổi quyết định của mình. Theo Điều 10 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu có thể yêu cầu rút lại sự đồng ý hoặc yêu cầu hạn chế xử lý dữ liệu khi có nghi ngờ về phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu, trừ những trường hợp pháp luật có quy định khác. Tuy nhiên, cần lưu ý rằng việc rút lại sự đồng ý không làm cho hoạt động xử lý dữ liệu đã diễn ra trước thời điểm rút lại trở thành trái pháp luật. Đây là nội dung được quy định tại khoản 4 Điều 10. Như vậy, quyền bảo vệ dữ liệu cá nhân không chỉ dừng lại ở việc từ chối cung cấp thông tin ban đầu mà còn bao gồm quyền theo dõi, kiểm soát và yêu cầu chấm dứt việc xử lý dữ liệu trong những trường hợp phù hợp với pháp luật.
3. Mạng xã hội có trách nhiệm gì trong việc bảo vệ thông tin người dùng?
Khi đăng ký và sử dụng mạng xã hội, người dùng thường phải cung cấp một số thông tin để xác lập tài khoản. Tuy nhiên, việc sử dụng dịch vụ không đồng nghĩa với việc nền tảng có quyền tự do thu thập, khai thác hoặc chia sẻ mọi dữ liệu của người dùng. Để bảo đảm quyền riêng tư trên môi trường trực tuyến, Điều 29 Luật Bảo vệ dữ liệu cá nhân năm 2025 đặt ra những trách nhiệm cụ thể đối với tổ chức, cá nhân cung cấp dịch vụ mạng xã hội và dịch vụ truyền thông trực tuyến.
Trước hết, các nền tảng phải thông báo rõ ràng về những loại dữ liệu cá nhân được thu thập khi người dùng cài đặt và sử dụng dịch vụ. Việc thu thập không được thực hiện trái phép hoặc vượt quá phạm vi đã thỏa thuận với người dùng. Một điểm đáng chú ý là các nền tảng không được yêu cầu người dùng cung cấp hình ảnh, video chứa toàn bộ hoặc một phần giấy tờ tùy thân để làm yếu tố xác thực tài khoản theo khoản 2 Điều 29. Quy định này góp phần hạn chế nguy cơ thông tin trên căn cước công dân, chứng minh nhân dân hoặc giấy tờ định danh bị thu thập và khai thác không cần thiết.
Ngoài ra, các nền tảng còn phải cung cấp cho người dùng lựa chọn từ chối việc thu thập, chia sẻ dữ liệu thông qua cookies; cung cấp lựa chọn không theo dõi hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người dùng. Đặc biệt, khoản 5 Điều 29 quy định các nền tảng không được nghe lén, nghe trộm, ghi âm cuộc gọi hoặc đọc tin nhắn văn bản khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác. Bên cạnh những nghĩa vụ trên, nền tảng còn phải công khai chính sách bảo mật, giải thích cách thức thu thập, sử dụng và chia sẻ dữ liệu; đồng thời cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư.
Có thể thấy, các quy định này hướng đến việc tạo ra một môi trường trực tuyến minh bạch hơn, trong đó người dùng được biết thông tin của mình đang được sử dụng như thế nào và có khả năng thực hiện các quyền liên quan. Tuy nhiên, việc pháp luật đặt ra trách nhiệm cho các nền tảng không có nghĩa người dùng có thể hoàn toàn bỏ qua các biện pháp tự bảo vệ. Mỗi người vẫn cần chủ động kiểm tra quyền truy cập, cài đặt bảo mật và cân nhắc trước khi cung cấp thông tin cho các ứng dụng.
4. Đăng hình ảnh và thông tin của người khác lên mạng có cần xin phép?
Một tình huống khá phổ biến hiện nay là đăng tải hình ảnh bạn bè, đồng nghiệp, người thân hoặc chia sẻ thông tin của người khác lên mạng xã hội. Nhiều người cho rằng những hình ảnh được chụp tại nơi công cộng hoặc thông tin đã xuất hiện trên Internet thì có thể tự do sử dụng. Tuy nhiên, cần phân biệt giữa việc một thông tin có thể tiếp cận công khai và việc một cá nhân được tự do thu thập, sử dụng hoặc công khai thông tin đó cho bất kỳ mục đích nào.
Theo Điều 16 Luật Bảo vệ dữ liệu cá nhân năm 2025, dữ liệu cá nhân được công khai vì một mục đích cụ thể, với phạm vi và loại dữ liệu phù hợp với mục đích đó, đồng thời không được xâm phạm quyền và lợi ích hợp pháp của chủ thể dữ liệu. Khoản 2 Điều 16 quy định dữ liệu cá nhân được công khai trong một số trường hợp, bao gồm khi có sự đồng ý của chủ thể dữ liệu, thực hiện theo quy định pháp luật, một số trường hợp được quy định tại điểm b khoản 1 Điều 19 hoặc thực hiện nghĩa vụ theo hợp đồng.
Điều này đặc biệt cần lưu ý khi đăng tải hình ảnh có thể nhận diện người khác, số điện thoại, địa chỉ hoặc những thông tin liên quan đến đời sống riêng tư. Việc một người từng công khai hình ảnh trên trang cá nhân không đồng nghĩa với việc bất kỳ ai cũng được quyền sử dụng lại hình ảnh đó để quảng cáo, kinh doanh hoặc phục vụ những mục đích khác.
Đối với trẻ em, yêu cầu bảo vệ còn được đặt ra chặt chẽ hơn. Theo khoản 2 Điều 24 Luật Bảo vệ dữ liệu cá nhân năm 2025, việc xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật. Đây là quy định có ý nghĩa thiết thực trong bối cảnh nhiều cha mẹ thường xuyên đăng tải hình ảnh, video và thông tin sinh hoạt của con lên mạng xã hội. Dù xuất phát từ mong muốn lưu giữ kỷ niệm hoặc chia sẻ niềm vui, người lớn vẫn cần cân nhắc đến quyền riêng tư và lợi ích lâu dài của trẻ. Vì vậy, trước khi đăng tải hình ảnh hoặc thông tin có liên quan đến người khác, mỗi người nên cân nhắc mục đích sử dụng, phạm vi công khai và xin sự đồng ý khi cần thiết. Một thao tác chia sẻ tưởng như đơn giản đôi khi có thể ảnh hưởng đến quyền riêng tư của người được nhắc đến.
5. Khi dữ liệu cá nhân bị sử dụng trái phép, người dùng nên làm gì?
Khi phát hiện thông tin cá nhân bị thu thập, công khai hoặc sử dụng không đúng mục đích, nhiều người thường không biết nên bắt đầu xử lý từ đâu. Trên thực tế, pháp luật đã thiết lập cơ chế để người dùng yêu cầu các tổ chức, cá nhân liên quan thực hiện quyền của chủ thể dữ liệu. Trước tiên, người bị ảnh hưởng nên xác định loại dữ liệu bị xâm phạm, đơn vị đang thu thập hoặc xử lý thông tin và mục đích sử dụng dữ liệu. Những bằng chứng như ảnh chụp màn hình, đường dẫn trang web, nội dung tin nhắn, lịch sử giao dịch và thời điểm xảy ra sự việc nên được lưu giữ đầy đủ.
Tiếp theo, người dùng có thể gửi yêu cầu trực tiếp đến tổ chức hoặc nền tảng đang xử lý dữ liệu để yêu cầu cung cấp thông tin, chỉnh sửa, hạn chế xử lý hoặc xóa dữ liệu trong trường hợp đáp ứng điều kiện theo pháp luật. Theo Điều 14 Luật Bảo vệ dữ liệu cá nhân năm 2025, việc xóa, hủy dữ liệu cá nhân có thể được thực hiện khi chủ thể dữ liệu có yêu cầu và chấp nhận các rủi ro, thiệt hại có thể xảy ra; khi mục đích xử lý đã hoàn thành; hết thời hạn lưu trữ theo quy định hoặc thuộc những trường hợp khác được pháp luật quy định. Tuy nhiên, quyền yêu cầu xóa dữ liệu không phải là quyền tuyệt đối. Theo khoản 2 Điều 14, yêu cầu xóa, hủy dữ liệu không được thực hiện trong một số trường hợp thuộc Điều 19 hoặc khi việc xóa, hủy vi phạm nguyên tắc tại khoản 3 Điều 4 của Luật này.
Để người dùng có cơ sở theo dõi việc giải quyết yêu cầu, Điều 5 Nghị định số 356/2025/NĐ-CP quy định thời hạn thực hiện quyền của chủ thể dữ liệu cá nhân. Cụ thể, đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu, bên kiểm soát dữ liệu phải phản hồi trong 02 ngày làm việc và thực hiện trong 15 ngày, trừ những trường hợp pháp luật quy định khác. Đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu, thời hạn thực hiện là 10 ngày sau khi tiếp nhận yêu cầu hợp lệ. Riêng yêu cầu xóa dữ liệu phải được thực hiện trong thời hạn 20 ngày. Trong trường hợp cần gia hạn, bên có trách nhiệm phải thông báo lý do và chứng minh việc gia hạn là cần thiết, hợp lý theo các giới hạn được quy định tại Điều 5.
Nếu phát hiện hành vi vi phạm hoặc không được bảo đảm các quyền hợp pháp, người dùng có thể khiếu nại, tố cáo hoặc yêu cầu cơ quan có thẩm quyền hỗ trợ giải quyết theo quy định tại điểm đ, điểm e khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025. Việc chủ động thực hiện các quyền này không chỉ giúp hạn chế hậu quả của việc lộ, mất dữ liệu mà còn góp phần nâng cao trách nhiệm của những tổ chức, cá nhân tham gia xử lý thông tin.
6. Vi phạm quy định về bảo vệ dữ liệu cá nhân có thể chịu hậu quả gì?
Bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm về mặt đạo đức hay cam kết trong chính sách bảo mật. Đây còn là nghĩa vụ được pháp luật quy định và việc vi phạm có thể dẫn đến những hậu quả pháp lý đáng kể. Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025, tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân, tùy tính chất, mức độ và hậu quả, có thể bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự. Trường hợp gây thiệt hại còn phải thực hiện nghĩa vụ bồi thường theo quy định pháp luật.
Đặc biệt, luật quy định mức phạt tiền tối đa đối với một số hành vi có tính chất nghiêm trọng, bao gồm: hành vi mua, bán dữ liệu cá nhân có thể bị phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm; tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tiền tối đa bằng 5% doanh thu của năm trước liền kề; đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa là 03 tỷ đồng.
Theo khoản 6 Điều 8, các mức phạt tiền tối đa nêu trên áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức. Cần lưu ý rằng đây là các mức phạt tối đa theo luật, không phải mức phạt mặc nhiên áp dụng cho mọi trường hợp. Việc xác định hình thức và mức xử phạt cụ thể phải căn cứ vào hành vi, tính chất, mức độ vi phạm và quy định xử lý vi phạm hành chính có liên quan.
Những quy định này cho thấy pháp luật không chỉ bảo vệ quyền riêng tư của người dùng mà còn đặt ra yêu cầu rõ ràng đối với các chủ thể tham gia thu thập, lưu trữ, sử dụng và chuyển giao dữ liệu cá nhân.
Kết luận
Trong thời đại số, dữ liệu cá nhân trở thành một phần quan trọng trong các hoạt động học tập, làm việc, giao dịch và giao tiếp hằng ngày. Tuy nhiên, sự tiện lợi của công nghệ cũng đi kèm với những rủi ro về quyền riêng tư và an toàn thông tin. Luật Bảo vệ dữ liệu cá nhân năm 2025 cùng Nghị định số 356/2025/NĐ-CP đã thiết lập khuôn khổ pháp lý rõ ràng hơn về quyền của chủ thể dữ liệu, trách nhiệm của tổ chức xử lý thông tin và các biện pháp bảo vệ dữ liệu cá nhân trong môi trường trực tuyến.
Dù vậy, pháp luật chỉ có thể phát huy hiệu quả khi mỗi người chủ động thực hiện quyền của mình. Hãy cân nhắc trước khi cung cấp thông tin, thường xuyên kiểm tra quyền truy cập của ứng dụng, sử dụng các thiết lập bảo mật và thận trọng khi công khai hình ảnh hoặc thông tin của người khác. AGS hy vọng bài viết giúp bạn đọc hiểu rõ hơn về quyền riêng tư trên môi trường số và biết cách vận dụng các quy định pháp luật để bảo vệ thông tin của chính mình. Hãy cùng AGS xây dựng thói quen sử dụng công nghệ an toàn, có trách nhiệm và tôn trọng quyền riêng tư của mọi người!
Nguồn: Tổng hợp
