Dữ liệu cá nhân vào “khuôn” mới: Doanh nghiệp phải minh bạch, người dùng có quyền kiểm soát

Không thể tùy tiện thu thập, xử lý dữ liệu cá nhân

Một trong những nội dung đáng chú ý của Nghị định 330/2026/NĐ-CP là nhóm quy định xử phạt đối với các hành vi vi phạm về sự đồng ý của chủ thể dữ liệu cá nhân.

Theo đó, hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu, trừ các trường hợp pháp luật có quy định khác, có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng.

Mức phạt này cũng áp dụng đối với một số hành vi như buộc người sử dụng phải đồng ý cho xử lý dữ liệu vào những mục đích không liên quan đến nội dung thỏa thuận cung cấp dịch vụ; không ghi nhận, lưu trữ nhật ký về sự đồng ý hoặc không chứng minh được sự đồng ý khi có yêu cầu; không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Đáng chú ý hơn, mức phạt từ 50 triệu đồng đến 70 triệu đồng được áp dụng đối với hành vi cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu đã yêu cầu ngừng hoặc hạn chế xử lý; hoặc thu thập, xử lý dữ liệu khi chủ thể dữ liệu giữ im lặng, không phản hồi trước yêu cầu xin sự đồng ý nhưng lại tự coi đó là sự đồng ý.

Quy định này đặt ra yêu cầu cao hơn về cách thức doanh nghiệp thiết kế quy trình xin sự đồng ý và xử lý dữ liệu. Sự đồng ý không thể được mặc nhiên suy diễn từ việc người dùng không phản hồi, cũng không thể được thiết lập theo cơ chế khiến người dùng khó phân biệt giữa đồng ý và không đồng ý.

Dữ liệu cá nhân vào “khuôn” mới: Doanh nghiệp phải minh bạch, người dùng có quyền kiểm soát

Minh bạch trong xử lý dữ liệu trở thành yêu cầu bắt buộc

Cùng với yêu cầu về sự đồng ý, Nghị định 330/2026/NĐ-CP đặt ra trách nhiệm bảo đảm tính minh bạch trong quá trình xử lý dữ liệu cá nhân.

Việc thu thập và xử lý dữ liệu phải được thực hiện trên cơ sở phù hợp với quy định pháp luật, đúng mục đích và bảo đảm quyền của chủ thể dữ liệu. Đối với dữ liệu cá nhân nhạy cảm, tổ chức, cá nhân xử lý dữ liệu còn phải thực hiện nghĩa vụ thông báo theo quy định.

Đặc biệt, việc thiết lập phương thức mặc định đồng ý, xây dựng giao diện hoặc chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý, không bảo đảm cho người dùng lựa chọn phù hợp với từng mục đích xử lý hoặc không lưu giữ được bằng chứng về sự đồng ý đều có thể bị xử phạt.

Như vậy, trách nhiệm bảo vệ dữ liệu không chỉ nằm ở khâu bảo mật hệ thống sau khi dữ liệu đã được thu thập mà được đặt ra ngay từ quá trình thiết kế phương thức thu thập, xin sự đồng ý và xác lập mục đích xử lý.

Doanh nghiệp phải chịu trách nhiệm với dữ liệu được đưa vào hệ thống AI

Trong bối cảnh trí tuệ nhân tạo ngày càng được sử dụng rộng rãi, trách nhiệm đối với dữ liệu được đưa vào các hệ thống AI cũng trở thành vấn đề cần được đặc biệt lưu ý.

Việc sử dụng công nghệ, bao gồm các hệ thống tự động xử lý dữ liệu, không làm mất đi trách nhiệm pháp lý của chủ thể quyết định việc thu thập, cung cấp và khai thác dữ liệu.

Do đó, tổ chức, doanh nghiệp sử dụng AI vẫn phải bảo đảm việc thu thập, xử lý và sử dụng dữ liệu cá nhân phù hợp với quy định pháp luật. Công nghệ tự động không thể được xem là căn cứ để loại trừ trách nhiệm đối với hành vi xử lý dữ liệu trái quy định.

Nghị định cũng đặt các hành vi sử dụng công nghệ để giả mạo hình ảnh, giọng nói, danh tính của người khác nhằm thực hiện hành vi vi phạm vào phạm vi xử lý theo các quy định tương ứng về an ninh mạng và bảo vệ dữ liệu cá nhân.

Dữ liệu trẻ em, dữ liệu nhạy cảm được yêu cầu bảo vệ chặt chẽ

Dữ liệu trẻ em và dữ liệu cá nhân nhạy cảm là những nhóm dữ liệu đòi hỏi mức độ bảo vệ cao hơn.

Đối với hoạt động thu thập, xử lý dữ liệu trẻ em, các tổ chức, doanh nghiệp cung cấp nền tảng, ứng dụng, dịch vụ giáo dục, giải trí, thương mại điện tử và các dịch vụ liên quan cần tuân thủ các yêu cầu về căn cứ xử lý, mục đích xử lý, sự đồng ý hợp lệ, phạm vi dữ liệu được thu thập và các biện pháp bảo vệ dữ liệu.

Đối với dữ liệu cá nhân nhạy cảm, Nghị định quy định phạt tiền từ 30 triệu đồng đến 50 triệu đồng đối với hành vi không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Các quy định này cho thấy trách nhiệm của doanh nghiệp không dừng ở việc bảo đảm an toàn kỹ thuật cho hệ thống mà còn bao gồm trách nhiệm xác định đúng loại dữ liệu, mục đích xử lý và quyền của chủ thể dữ liệu trong suốt quá trình xử lý.

Có thể bị buộc hủy, xóa dữ liệu vi phạm

Bên cạnh phạt tiền, Nghị định 330/2026/NĐ-CP còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả tùy từng hành vi.

Các hình thức xử phạt bổ sung có thể bao gồm tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 1 đến 24 tháng; đình chỉ hoạt động từ 1 đến 24 tháng; tịch thu tang vật, phương tiện vi phạm hoặc trục xuất đối với người nước ngoài có hành vi vi phạm.

Đáng chú ý, đối với một số hành vi xử lý dữ liệu cá nhân trái quy định, tổ chức, cá nhân vi phạm có thể bị buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục. Trường hợp có khoản thu bất hợp pháp từ hành vi vi phạm, chủ thể vi phạm còn có thể bị buộc nộp lại khoản thu này.

Cơ chế này cho thấy xử phạt không chỉ hướng tới việc áp dụng một khoản tiền phạt mà còn nhằm loại bỏ dữ liệu được thu thập, xử lý trái quy định và khắc phục những lợi ích bất hợp pháp phát sinh từ hành vi vi phạm.

Trách nhiệm không chỉ thuộc về doanh nghiệp

Nghị định 330/2026/NĐ-CP đồng thời củng cố vai trò của cá nhân trong việc kiểm soát dữ liệu của mình.

Người dân có quyền được biết về việc dữ liệu cá nhân được xử lý như thế nào và trong những trường hợp pháp luật quy định có quyền yêu cầu ngừng hoặc hạn chế xử lý. Vì vậy, việc cung cấp thông tin cá nhân, chấp thuận các yêu cầu xử lý dữ liệu hay tương tác với các nền tảng số cũng cần được thực hiện một cách chủ động và có ý thức.

Ở chiều ngược lại, người sử dụng không nên chia sẻ, phát tán thông tin chưa được kiểm chứng hoặc cung cấp dữ liệu cá nhân một cách tùy tiện. Việc bảo vệ tài khoản, mật khẩu, mã xác thực và các thông tin định danh cũng là một phần quan trọng trong bảo đảm an toàn trên không gian mạng.

Cùng với đó, người dùng cần thận trọng trước các đường dẫn không rõ nguồn gốc, yêu cầu cung cấp thông tin nhạy cảm hoặc những giao dịch có dấu hiệu bất thường; kiểm chứng thông tin trước khi chia sẻ, bình luận hoặc thực hiện các giao dịch quan trọng trên môi trường số.

Nghị định 330/2026/NĐ-CP vì vậy không chỉ tạo thêm căn cứ xử lý các hành vi vi phạm mà còn đặt ra yêu cầu thay đổi cách tiếp cận đối với dữ liệu cá nhân: từ coi dữ liệu là nguồn thông tin có thể khai thác sang xác định đây là đối tượng phải được quản lý, bảo vệ và xử lý trên cơ sở pháp luật.

Đối với doanh nghiệp, đây là yêu cầu phải rà soát lại quy trình thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu; đối với người dân, đó là yêu cầu chủ động hơn trong việc kiểm soát thông tin cá nhân và trách nhiệm khi tham gia môi trường mạng.