Luật Bảo vệ dữ liệu cá nhân năm 2025 được ban hành trong bối cảnh quá trình chuyển đổi số diễn ra mạnh mẽ, dữ liệu cá nhân ngày càng trở thành yếu tố cốt lõi trong hoạt động kinh tế - xã hội, nhưng cũng tiềm ẩn nhiều nguy cơ bị xâm phạm, lạm dụng, mua bán trái phép. Việc ban hành Luật thể hiện quyết tâm của Nhà nước trong việc bảo vệ quyền con người, quyền công dân theo Hiến pháp, đồng thời góp phần xây dựng môi trường số an toàn, minh bạch.

Một trong những điểm đáng chú ý của Luật là quy định rõ trách nhiệm của các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến. Theo khoản 2 Điều 29, các nền tảng này không được yêu cầu người dùng cung cấp hình ảnh hoặc video ghi lại toàn bộ hay một phần giấy tờ tùy thân như Chứng minh nhân dân, Căn cước công dân, hộ chiếu để xác thực tài khoản. Quy định này nhằm hạn chế nguy cơ lộ lọt dữ liệu nhạy cảm và bảo vệ tốt hơn quyền riêng tư của người sử dụng.

Bên cạnh đó, Luật yêu cầu các nền tảng, dịch vụ phải thông báo rõ ràng cho người dùng về loại dữ liệu cá nhân được thu thập, mục đích và phạm vi sử dụng; không được thu thập dữ liệu ngoài phạm vi đã thỏa thuận. Người dùng có quyền từ chối việc thu thập, chia sẻ dữ liệu cá nhân và lựa chọn không theo dõi hoạt động sử dụng dịch vụ. Việc nghe lén, ghi âm cuộc gọi, đọc tin nhắn chỉ được thực hiện khi có sự đồng ý của chủ thể dữ liệu hoặc theo quy định của pháp luật. Các tổ chức cung cấp dịch vụ phải công khai chính sách bảo mật, cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu cá nhân, thiết lập quyền riêng tư và báo cáo các vi phạm về bảo mật.

Luật Bảo vệ dữ liệu cá nhân cũng quy định 07 hành vi bị nghiêm cấm, trong đó có: xử lý dữ liệu cá nhân trái pháp luật; mua, bán dữ liệu cá nhân trái quy định; chiếm đoạt, làm lộ, làm mất dữ liệu cá nhân; lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật; cản trở hoạt động bảo vệ dữ liệu cá nhân; sử dụng dữ liệu cá nhân của người khác hoặc cho người khác sử dụng dữ liệu cá nhân của mình trái pháp luật.

Đối với các hành vi vi phạm, Luật quy định chế tài xử phạt nghiêm khắc. Hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu bất hợp pháp; vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới bị phạt tối đa 05% doanh thu của năm liền trước; các hành vi vi phạm khác có mức phạt tối đa đến 03 tỷ đồng. Cá nhân vi phạm bị phạt bằng một nửa mức phạt đối với tổ chức.

Luật cũng xác lập các nguyên tắc bảo vệ dữ liệu cá nhân như: tuân thủ Hiến pháp và pháp luật; thu thập, xử lý dữ liệu đúng mục đích, phạm vi; bảo đảm tính chính xác, khả năng chỉnh sửa và lưu trữ phù hợp; áp dụng đồng bộ các biện pháp về thể chế, kỹ thuật và con người; chủ động phòng ngừa, phát hiện, ngăn chặn và xử lý nghiêm các vi phạm, đồng thời gắn bảo vệ dữ liệu cá nhân với lợi ích quốc gia, phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh.

Theo Luật, chủ thể dữ liệu cá nhân có quyền được biết, đồng ý hoặc rút lại sự đồng ý đối với hoạt động xử lý dữ liệu; quyền xem, chỉnh sửa, xóa dữ liệu; quyền phản đối, khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại. Đồng thời, mỗi cá nhân cũng có trách nhiệm tự bảo vệ dữ liệu của mình, tôn trọng dữ liệu của người khác và chấp hành các quy định của pháp luật về bảo vệ dữ liệu cá nhân.

Để Luật được triển khai hiệu quả từ ngày 01/01/2026, các cơ quan, tổ chức, doanh nghiệp cần chủ động rà soát, hoàn thiện quy trình bảo mật, bảo đảm việc xử lý dữ liệu cá nhân đúng quy định pháp luật. Đối với mỗi người dân, việc nâng cao nhận thức, thận trọng khi cung cấp thông tin cá nhân, sử dụng các biện pháp bảo mật phù hợp là yếu tố quan trọng nhằm phòng ngừa rủi ro và bảo vệ quyền, lợi ích hợp pháp của chính mình trong môi trường số.

Nguyễn Hoàng - Phòng An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao