Từ 1/1/2026, mua bán dữ liệu cá nhân có thể bị phạt tới 3 tỷ đồng

404 Not Found · 14:40

Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực từ ngày 1/1/2026 đánh dấu bước chuyển quan trọng trong cách Nhà nước quản lý hoạt động thu thập, xử lý và bảo vệ dữ liệu cá nhân trên không gian mạng. Lần đầu tiên, trách nhiệm của các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến được quy định cụ thể ở cấp luật, đi kèm cơ chế giám sát và chế tài đủ mạnh, chấm dứt tình trạng “vùng xám” pháp lý tồn tại trong thời gian dài.

Một trong những nội dung đáng chú ý là việc các nền tảng mạng xã hội sẽ không còn được phép yêu cầu người dùng cung cấp hình ảnh hoặc video chứa giấy tờ tùy thân để làm yếu tố xác thực tài khoản. Theo Điều 29 Luật Bảo vệ dữ liệu cá nhân, tổ chức và cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến chỉ được thu thập dữ liệu cá nhân trong phạm vi đã thông báo, phù hợp với mục đích xử lý và tuân thủ quy định của pháp luật. Việc yêu cầu người dùng gửi ảnh căn cước công dân, chứng minh nhân dân hoặc hộ chiếu, những loại dữ liệu nhạy cảm chứa nhiều thông tin định danh, bị xem là vượt quá nhu cầu cần thiết đối với hoạt động cung cấp dịch vụ mạng xã hội thông thường.

Quy định này nhằm trực tiếp hạn chế nguy cơ lạm dụng và rò rỉ dữ liệu cá nhân trong bối cảnh không ít nền tảng từng lấy lý do xác thực tài khoản để thu thập lượng lớn dữ liệu nhạy cảm, sau đó sử dụng cho các mục đích khác như phân tích hành vi, quảng cáo hoặc chia sẻ cho bên thứ ba. Khi luật có hiệu lực, các nền tảng buộc phải thay đổi phương thức vận hành, chuyển sang các giải pháp xác thực ít xâm phạm quyền riêng tư hơn và minh bạch hơn đối với người dùng.

Luật cũng lần đầu tiên xác lập rõ quyền lựa chọn của người dùng đối với hoạt động theo dõi và thu thập dữ liệu trên môi trường số. Các nền tảng mạng xã hội phải cung cấp cơ chế cho phép người dùng từ chối việc thu thập và chia sẻ dữ liệu thông qua cookies, đồng thời tạo điều kiện để người dùng lựa chọn quyền không bị theo dõi trong quá trình sử dụng dịch vụ. Việc theo dõi hành vi người dùng, dù nhằm phục vụ quảng cáo hay phân tích hệ thống, chỉ được phép thực hiện khi có sự đồng ý rõ ràng và hợp pháp của chủ thể dữ liệu.

Song song với đó, Luật Bảo vệ dữ liệu cá nhân tiếp tục khẳng định nguyên tắc bảo vệ nghiêm ngặt đời sống riêng tư trên không gian mạng. Các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến không được phép nghe lén, ghi âm cuộc gọi, đọc nội dung tin nhắn hoặc xâm nhập trái phép vào dữ liệu liên lạc của người dùng nếu chưa có sự cho phép, trừ những trường hợp đặc biệt theo quy định của pháp luật. Quy định này cụ thể hóa quyền bất khả xâm phạm về đời sống riêng tư, bí mật thư tín, điện thoại và điện tín đã được Hiến pháp ghi nhận.

Luật đồng thời đặt ra nghĩa vụ minh bạch và trách nhiệm chủ động đối với các doanh nghiệp cung cấp nền tảng. Các đơn vị này phải công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu cá nhân, đồng thời cung cấp cho người dùng cơ chế truy cập, chỉnh sửa, xóa dữ liệu và thiết lập các tùy chọn quyền riêng tư. Việc xây dựng cơ chế tiếp nhận phản ánh, báo cáo vi phạm và quy trình xử lý sự cố bảo mật cũng trở thành yêu cầu bắt buộc nhằm bảo đảm dữ liệu cá nhân của công Nhân dân Việt Nam được bảo vệ an toàn, kể cả trong trường hợp dữ liệu được chuyển ra nước ngoài.

Đáng chú ý, Luật Bảo vệ dữ liệu cá nhân đi kèm hệ thống chế tài mạnh, thể hiện rõ quan điểm không khoan nhượng đối với các hành vi xâm phạm dữ liệu.

Với hành vi mua bán dữ liệu cá nhân, mức phạt tiền tối đa là 10 lần khoản thu lợi bất hợp pháp từ hành vi vi phạm. Nếu không xác định được khoản thu hoặc mức phạt tính theo khoản thu thấp hơn, sẽ áp dụng mức phạt tối đa 3 tỷ đồng.
Đối với vi phạm liên quan đến việc chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa đối với tổ chức là 5% doanh thu của năm trước liền kề. Trường hợp không có doanh thu hoặc mức tính theo doanh thu thấp hơn, sẽ áp dụng mức phạt tối đa 3 tỷ đồng.
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an có quyền yêu cầu tạm dừng việc chuyển dữ liệu cá nhân xuyên biên giới nếu phát hiện dấu hiệu dữ liệu bị sử dụng sai mục đích, có khả năng ảnh hưởng đến quốc phòng hoặc an ninh quốc gia.
Với các hành vi vi phạm khác, như không cung cấp lựa chọn “không theo dõi” hoặc nghe lén, đọc tin nhắn trái phép, mức phạt tối đa được ấn định là 3 tỷ đồng.

Các mức phạt trên áp dụng cho tổ chức. Nếu cá nhân thực hiện hành vi vi phạm tương tự, mức xử phạt không vượt quá một nửa so với mức phạt áp dụng cho tổ chức.

Việc Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026 được kỳ vọng sẽ tạo ra khung pháp lý chặt chẽ và minh bạch hơn trong việc bảo vệ quyền riêng tư của người dùng mạng xã hội tại Việt Nam. Quan trọng hơn, luật khẳng định nguyên tắc dữ liệu cá nhân gắn liền với quyền con người và quyền công dân, không thể bị xem như tài sản để các nền tảng toàn quyền thu thập, khai thác hoặc thương mại hóa. Trong bối cảnh kinh tế số phát triển mạnh mẽ, đây được xem là nền tảng pháp lý cần thiết để bảo đảm sự cân bằng giữa đổi mới công nghệ, lợi ích doanh nghiệp và các quyền hiến định của công dân.

Theo whitehat.vn