Tăng quyền cho người dùng bảo vệ dữ liệu

Luật Bảo vệ dữ liệu cá nhân (DLCN) 2025 chính thức có hiệu lực, quyền kiểm soát DLCN của người dân rõ ràng hơn, tạo "lá chắn" pháp lý nhằm hạn chế tình trạng lộ lọt dữ liệu, ngăn chặn các chiêu trò lừa đảo ngày càng tinh vi.

Tăng mức phạt gấp nhiều lần

Những ngày cận Tết, anh Lương Thanh Thịnh (ngụ TP HCM) liên tục nhận được các cuộc gọi từ những số lạ có đầu 024899xxx, 081xxx, 082xxx mời chào đầu tư chứng khoán, mở thẻ tín dụng, thậm chí thông báo có đơn hàng online yêu cầu thanh toán. "Sau khi tôi đặt mua quần áo trên Facebook và cung cấp thông tin cá nhân như số điện thoại, địa chỉ, họ tên, chỉ vài ngày sau đã bị nhiều số lạ gọi làm phiền. Các cuộc gọi mời chào dịch vụ tài chính diễn ra liên tục, rất phiền phức" - anh Thịnh chia sẻ.

Tình trạng tương tự cũng xảy ra với chị Nguyễn Thị Đan Sương, nhân viên marketing tại TP HCM. Các đối tượng xấu nắm rõ thông tin chị có một đơn hàng hồ sơ do đối tác gửi từ Đồng Nai, đã gọi điện yêu cầu chị thanh toán 6.000 đồng để được giao hàng. Ít phút sau, một cuộc gọi khác tiếp tục tự xưng là shipper, thông báo có lịch và quà Tết do đối tác gửi đến, kèm theo yêu cầu thanh toán số tiền tương tự nếu không đơn hàng sẽ bị hoàn về hoặc tính phí lưu kho. "Điều khiến tôi giật mình là họ đọc đúng họ tên, địa chỉ và số điện thoại. Nếu không tỉnh táo, rất dễ làm theo vì thông tin quá chính xác" - chị Sương nói.

Những trường hợp như vậy không phải là cá biệt. Theo Kaspersky, năm 2025, phishing tiếp tục là phương thức lừa đảo phổ biến trong bối cảnh mua sắm trực tuyến gia tăng, đặc biệt vào dịp cuối năm. Riêng giai đoạn từ tháng 11-2024 đến tháng 10-2025, hãng này đã chặn 6,6 triệu lượt truy cập vào các liên kết lừa đảo, trong đó hơn một nửa nhắm trực tiếp vào người mua hàng online, còn lại giả mạo hệ thống thanh toán và dịch vụ giao nhận.

Trong bối cảnh đó, Luật Bảo vệ DLCN 2025 vừa có hiệu lực từ ngày 1-1-2026 bổ sung nhiều quy định nhằm tăng cường quyền kiểm soát thông tin của người dân. Cụ thể, người dùng có quyền đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý DLCN; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa DLCN; thậm chí còn có quyền yêu cầu các tổ chức, doanh nghiệp (DN) có nghĩa vụ xem xét và thực hiện yêu cầu của người dùng về việc xóa hay gỡ bỏ thông tin, DLCN hoặc rút lại sự đồng ý trước đó…

Luật cũng quy định rõ các đơn vị cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản; bảo vệ DLCN của công dân Việt Nam khi chuyển dữ liệu xuyên biên giới; xây dựng quy trình xử lý vi phạm về bảo vệ DLCN nhanh chóng và hiệu quả…

Đáng chú ý, luật đưa ra khung hình phạt mang tính răn đe cao. Đối với vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu, mức phạt tối đa là 3 tỉ đồng. Đặc biệt, với hành vi kinh doanh, mua bán DLCN trái phép, mức phạt tiền tối đa lên tới 10 lần khoản thu có được từ hành vi vi phạm.

Minh bạch dữ liệu

Theo một chuyên gia về thương mại điện tử, Luật Bảo vệ DLCN chính thức có hiệu lực là bước ngoặt quan trọng trong cách pháp luật Việt Nam tiếp cận quyền riêng tư của người dùng số. Luật không chỉ đặt ra các nguyên tắc chung mà còn trao quyền cho cá nhân quyết định dữ liệu của mình, từ quyền đồng ý, rút lại đồng ý đến yêu cầu xóa hoặc hạn chế xử lý. Đây được coi là "lá chắn pháp lý", giúp người dùng không còn bị động trước việc thu thập và khai thác thông tin cá nhân.

Thực tế, nhiều năm qua, một vài đơn vị vẫn xem DLCN như nguồn tài nguyên phục vụ kinh doanh mà chưa đặt trọng tâm vào quyền lợi hợp pháp của người dùng. Luật mới buộc DN điều chỉnh cách quản trị dữ liệu theo hướng minh bạch và có trách nhiệm, chỉ thu thập thông tin thật sự cần thiết, giải thích rõ mục đích sử dụng và bảo đảm an toàn.

TS Trần Quý, Viện trưởng Viện Phát triển Kinh tế số Việt Nam, cho hay quyền xóa dữ liệu cần được áp dụng thực tế, phù hợp với khung pháp lý và điều kiện kỹ thuật. Khi sử dụng các nền tảng số, người dùng đã chấp nhận các điều khoản sử dụng, nên không phải mọi dữ liệu đều có thể bị xóa ngay lập tức, đặc biệt với dữ liệu đã sao lưu hoặc cần lưu trữ tạm thời theo quy định. Để phòng ngừa rủi ro, người dùng cần chủ động thiết lập cơ chế bảo vệ dữ liệu, chỉ định người quản lý tài khoản hoặc quyền truy cập trong các trường hợp bất trắc.

Theo TS Nguyễn Tấn Sơn, Chủ nhiệm cấp cao Bộ môn Kế toán và Luật - Đại học RMIT Việt Nam, người dùng chia sẻ số điện thoại hay ảnh đại diện nhưng thông qua phân tích dữ liệu và thuật toán, DN có thể tạo ra các dữ liệu phát sinh như thói quen chi tiêu, mối quan hệ xã hội, thậm chí là quan điểm cá nhân hay tình trạng sức khỏe. Nguy cơ vì thế không chỉ nằm ở những gì người dùng biết mình đã cung cấp, mà còn ở những dữ liệu được tạo ra một cách âm thầm từ quá trình xử lý. Ngày 1-1-2026 đánh dấu thời điểm các DN công nghệ không còn có thể tự ý quyết định việc xử lý DLCN. Luật Bảo vệ DLCN ra đời nhằm giảm sự mất cân đối quyền lực, bảo vệ người dùng trước những "ma trận" dữ liệu và thuật toán ngày càng tinh vi.