Bảo vệ dữ liệu cá nhân: Yêu cầu cấp thiết từ thực tiễn

Vì vậy, bảo vệ dữ liệu cá nhân không còn là vấn đề riêng của lĩnh vực công nghệ mà đã trở thành một yêu cầu cấp thiết trong hệ thống pháp luật hiện đại của một quốc gia.

Tạo nền tảng pháp lý vững chắc

Việc Quốc hội đã thông qua Luật Bảo vệ dữ liệu cá nhân là dấu mốc có ý nghĩa quan trọng, thể hiện quyết tâm chính trị của Đảng, Nhà nước trong việc bảo vệ quyền con người, quyền công dân và quyền riêng tư của cá nhân trên môi trường số. Tuy nhiên, theo Giáo sư, Tiến sĩ Đỗ Văn Đại, Phó Hiệu trưởng Trường đại học Luật Thành phố Hồ Chí Minh, để các quy định pháp luật được thực thi hiệu quả, cần tiếp tục nghiên cứu chuyên sâu về các hành vi vi phạm, biện pháp xử lý, quyền của chủ thể dữ liệu và trách nhiệm của các bên liên quan.

Từ thực tiễn chuyển đổi số phát triển mạnh mẽ như hiện nay, chuyên gia cho rằng, các quy định hiện nay chưa phản ánh đầy đủ tính đặc thù và mức độ nguy hiểm ngày càng gia tăng của các hành vi vi phạm dữ liệu cá nhân. Trên cơ sở tham khảo kinh nghiệm một số quốc gia như Pháp, Nga, Australia, Tiến sĩ Trần Thanh Thảo (Khoa Luật Hình sự-Đại học Luật Thành phố Hồ Chí Minh) đề xuất một số kiến nghị mang tính định hướng.

Trước hết, cần xây dựng các tội danh riêng về vi phạm quy định bảo vệ dữ liệu cá nhân trong Bộ luật Hình sự, khẳng định dữ liệu cá nhân là một khách thể độc lập, có giá trị riêng biệt và cần được bảo vệ tương xứng. Bên cạnh đó, việc quy định các hành vi vi phạm cần theo hướng bao quát toàn bộ “vòng đời” của dữ liệu, từ thu thập, sử dụng, chia sẻ đến xóa, hủy dạng dữ liệu, nhằm bảo đảm kiểm soát rủi ro pháp lý ở từng công đoạn. Đồng thời, mở rộng phạm vi truy cứu trách nhiệm hình sự đối với pháp nhân, là yêu cầu tất yếu, phù hợp với chuẩn mực quốc tế và thực tiễn vi phạm hiện nay.

Khung pháp lý về bảo vệ dữ liệu cá nhân đã từng bước được hoàn thiện. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026; Chính phủ ban hành Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật, cùng Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Tuy nhiên, theo các chuyên gia, một số quy định có liên quan vẫn sử dụng khái niệm “thông tin cá nhân”, chưa bao quát đầy đủ các hình thức và hoạt động xử lý “dữ liệu cá nhân” trong môi trường số. Việc xác định hành vi, mức độ vi phạm và căn cứ áp dụng chế tài ở một số trường hợp cũng cần được hướng dẫn cụ thể hơn để bảo đảm thực thi thống nhất. Những khoảng trống này có thể bị các đối tượng lợi dụng để thu thập, trao đổi, mua bán dữ liệu trái phép, phục vụ hành vi lừa đảo, chiếm đoạt tài sản.

Chia sẻ về vấn đề này, Đại tá Hoàng Văn Định, Trưởng phòng Phòng, chống tội phạm công nghệ cao, Công an thành phố Quảng Ninh cho rằng, từ đầu năm 2026 đến nay, Công an thành phố đã tiếp nhận, đấu tranh, xử lý 43 vụ việc liên quan tội phạm sử dụng công nghệ cao, tăng 23 vụ so với cùng kỳ năm 2025. Phần lớn các vụ việc này đều liên quan việc mua bán, thu thập và sử dụng trái phép dữ liệu cá nhân. Để thực hiện hành vi phạm tội, các đối tượng thường bắt đầu từ việc lợi dụng mạng xã hội, nền tảng tin nhắn, thương mại điện tử và thanh toán trực tuyến để tiếp cận, thu thập trái phép dữ liệu thông tin cá nhân để tạo lòng tin và thực hiện hành vi lừa đảo, chiếm đoạt tài sản.

Trên các nền tảng này, việc ứng dụng trí tuệ nhân tạo (AI), Deepfake, website giả mạo, QR… để giả mạo danh tính được các đối tượng sử dụng triệt để, nhằm đánh cắp thông tin dữ liệu cá nhân và dẫn dụ nạn nhân thực hiện giao dịch. Cùng với việc lợi dụng công nghệ, các đối tượng lừa đảo còn lợi dụng sự chủ quan tâm lý của người dân, doanh nghiệp để dùng “chiêu trò” chiếm đoạt thông tin cá nhân, mã xác thực hoặc cài đặt ứng dụng không rõ nguồn gốc. Đặc biệt, nguồn dữ liệu cá nhân như: Tài khoản ngân hàng, sim điện thoại và tài khoản mạng xã hội đang bị thu thập, mua bán trái phép đã tạo điều kiện để tội phạm mạng xây dựng kịch bản lừa đảo có tính cá nhân hóa.

Để luật, nghị định đi vào cuộc sống

Luật Bảo vệ dữ liệu cá nhân và các nghị định liên quan đã có hiệu lực thi hành, góp phần tạo hành lang pháp lý đồng bộ, hiệu quả về bảo vệ quyền dữ liệu cá nhân. Trong đó có quy định rõ trách nhiệm của các bên kiểm soát và xử lý dữ liệu cá nhân; xác lập quyền của chủ thể dữ liệu như: Quyền được biết, đồng ý, truy cập hoặc yêu cầu xóa dữ liệu... Tuy nhiên, một số chuyên gia pháp luật cho rằng, luật và nghị định không chỉ hướng đến xử lý hành vi vi phạm (hành chính, hình sự, dân sự) mà cần hướng đến bảo vệ quyền lợi của chủ thể dữ liệu bị vi phạm, trách nhiệm các bên liên quan.

Cụ thể, cần tiếp tục nghiên cứu, bổ sung các nội dung liên quan để xác định hành vi vi phạm, như: Xử lý dữ liệu nhạy cảm, chuyển dữ liệu xuyên biên giới, vi phạm quyền chủ thể và trách nhiệm các bên liên quan. Về chế tài, cần đa dạng hình thức xử phạt, như: Phạt tiền, tước giấy phép, đình chỉ, tịch thu, trục xuất, truy cứu trách nhiệm hình sự và tăng mức phạt, phạt bổ sung đối với vi phạm nghiêm trọng, đặc biệt nghiêm trọng. Đồng thời, bổ sung biện pháp khắc phục hậu quả như: Buộc xóa, hủy dữ liệu và nộp lại khoản lợi nhuận bất hợp pháp. Qua đó, nâng cao hiệu quả bảo vệ dữ liệu cá nhân trong bối cảnh chuyển đổi số mạnh mẽ.

Pháp luật Việt Nam đã có những quy định cơ bản về bảo vệ dữ liệu cá nhân dưới góc độ dân sự. Tuy nhiên, những cơ chế xử lý đối với các vi phạm dân sự vẫn đang được dựa trên các quy định truyền thống tại Bộ luật Dân sự, Bộ luật Tố tụng dân sự hiện hành mà chưa ghi nhận những cơ chế, quy định chuyên biệt để xử lý những vi phạm có tính đặc thù về thu thập, bảo vệ dữ liệu cá nhân.

Phó Giáo sư, Tiến sĩ Phan Hoài Nam, Phó Trưởng khoa Luật Quốc tế (Đại học Luật Thành phố Hồ Chí Minh)

Phó Giáo sư, Tiến sĩ Phan Hoài Nam, Phó Trưởng khoa Luật Quốc tế (Đại học Luật Thành phố Hồ Chí Minh) nhận định: Pháp luật Việt Nam đã có những quy định cơ bản về bảo vệ dữ liệu cá nhân dưới góc độ dân sự. Tuy nhiên, những cơ chế xử lý đối với các vi phạm dân sự vẫn đang được dựa trên các quy định truyền thống tại Bộ luật Dân sự, Bộ luật Tố tụng dân sự hiện hành mà chưa ghi nhận những cơ chế, quy định chuyên biệt để xử lý những vi phạm có tính đặc thù về thu thập, bảo vệ dữ liệu cá nhân.

Từ kinh nghiệm quốc tế và một số nước, có thể đề xuất một số kiến nghị và giải pháp cụ thể nhằm hoàn thiện khung pháp luật dân sự điều chỉnh về lĩnh vực này như: Hoàn thiện các quy định liên quan xác định thiệt hại và mở rộng phạm vi trách nhiệm của bên kiểm soát, bên xử lý dữ liệu cá nhân, nhất là vấn đề chấp nhận sự thỏa thuận liên quan bồi thường thiệt hại ước tính. Quy định cụ thể hơn các hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân nhạy cảm, gắn với quyền riêng tư của cá nhân. Xác định trách nhiệm của các cơ quan nhà nước trong trường hợp các chủ thể này vi phạm về bảo vệ dữ liệu cá nhân. Ngoài ra, cần tiếp tục bổ sung và tăng nặng mức xử phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân trong các nghị định liên quan.