Trong bối cảnh kỷ nguyên số phát triển mạnh mẽ, việc bảo vệ dữ liệu cá nhân trở nên cấp thiết hơn bao giờ hết. Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 330/2026/NĐ-CP đã chính thức có hiệu lực, tạo ra một hành lang pháp lý vững chắc nhằm bảo vệ quyền riêng tư của người dùng và đặt ra những nghĩa vụ rõ ràng cho các tổ chức, doanh nghiệp.
Các quy định này không chỉ tập trung vào việc xử lý vi phạm mà còn nhấn mạnh cơ chế phòng ngừa, buộc các tổ chức, doanh nghiệp và cá nhân phải chủ động bảo vệ dữ liệu và đảm bảo an toàn trên không gian mạng.
Các điểm chính cần lưu ý
- Luật Bảo vệ dữ liệu cá nhân 2025 (có hiệu lực từ 01/01/2026) và Nghị định 330/2026/NĐ-CP (có hiệu lực từ 19/8/2026) là hai văn bản pháp lý cốt lõi.
- Người dùng có 6 quyền cốt lõi đối với dữ liệu cá nhân của mình, bao gồm quyền được biết, đồng ý, xem, chỉnh sửa, yêu cầu xóa và khiếu nại.
- Doanh nghiệp phải tuân thủ nghiêm ngặt các quy định về thu thập, xử lý, lưu trữ và chuyển giao dữ liệu cá nhân, đặc biệt là dữ liệu nhạy cảm và dữ liệu trẻ em.
- Nghị định 330/2026/NĐ-CP quy định các chế tài xử phạt hành chính nghiêm khắc, bao gồm phạt tiền lên đến 03 tỷ đồng cho hành vi mua bán trái phép dữ liệu cá nhân và tối đa 5% doanh thu đối với vi phạm chuyển dữ liệu xuyên biên giới.
- Người dùng cần chủ động thực hiện các quyền của mình và tự bảo vệ dữ liệu cá nhân trên không gian mạng.
Luật Bảo vệ Dữ liệu Cá nhân 2025 và Nghị định 330/2026/NĐ-CP: Khung pháp lý mới
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, là nền tảng pháp lý quan trọng xác lập các quyền dữ liệu cơ bản của công dân và trách nhiệm của doanh nghiệp trong việc xử lý dữ liệu. Tiếp đó, Nghị định số 330/2026/NĐ-CP, ban hành và có hiệu lực từ ngày 19/8/2026, quy định chi tiết về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Nghị định này áp dụng cho cả cá nhân, tổ chức Việt Nam và nước ngoài hoạt động hoặc xử lý dữ liệu trong phạm vi thuộc quyền tài phán của Việt Nam.
Sự ra đời của hai văn bản này cho thấy quyết tâm của Việt Nam trong việc xây dựng một môi trường số an toàn, minh bạch, bảo vệ quyền riêng tư của người dân trước những thách thức ngày càng tăng của kỷ nguyên số.
Quyền của chủ thể dữ liệu: Người dùng được trao quyền gì?
Theo Luật Bảo vệ dữ liệu cá nhân 2025, mỗi chủ thể dữ liệu (người dùng) có 6 quyền cốt lõi. Việc nắm rõ các quyền này giúp người dùng chủ động hơn trong việc kiểm soát thông tin cá nhân của mình:
Quyền được biết và đồng ý
- Quyền được biết: Người dùng có quyền được thông báo rõ ràng về hoạt động xử lý dữ liệu cá nhân của mình, bao gồm mục đích, phạm vi, phương thức xử lý và các bên liên quan.
- Quyền đồng ý hoặc không đồng ý: Người dùng có quyền đưa ra hoặc rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân của mình. Các tổ chức không được tự động coi sự im lặng là đồng ý.
Quyền truy cập và chỉnh sửa
- Quyền xem và chỉnh sửa: Người dùng có quyền truy cập, xem và yêu cầu chỉnh sửa dữ liệu cá nhân của mình để đảm bảo tính chính xác và đầy đủ.
Quyền yêu cầu xóa hoặc hạn chế xử lý
- Quyền yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý: Người dùng có thể yêu cầu các tổ chức cung cấp bản sao dữ liệu, xóa dữ liệu, hạn chế xử lý dữ liệu hoặc phản đối việc xử lý dữ liệu cá nhân của mình trong một số trường hợp nhất định.
Quyền khiếu nại và bồi thường
- Quyền khiếu nại, tố cáo, khởi kiện: Người dùng có quyền khiếu nại, tố cáo hoặc khởi kiện nếu quyền bảo vệ dữ liệu cá nhân của mình bị vi phạm.
- Quyền yêu cầu bồi thường thiệt hại: Trong trường hợp bị thiệt hại do vi phạm quy định về bảo vệ dữ liệu cá nhân, người dùng có quyền yêu cầu bồi thường.
Để thực hiện các quyền này, người dùng có thể gửi yêu cầu bằng văn bản (bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được) đến bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Các tổ chức phải phản hồi và thực hiện yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý trong vòng 15 ngày, yêu cầu xóa hoặc chỉnh sửa dữ liệu trong vòng 20 ngày (có thể kéo dài đến 30 ngày nếu liên quan đến bên thứ ba).
Nghĩa vụ của doanh nghiệp và chế tài xử phạt
Nghị định 330/2026/NĐ-CP đã cụ thể hóa các chế tài xử phạt nghiêm khắc đối với các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, đặt ra áp lực tuân thủ lớn cho các doanh nghiệp.
Các hành vi vi phạm và mức phạt
- Vi phạm quy định về sự đồng ý: Phạt tiền từ 30 triệu đồng đến 50 triệu đồng. Nếu cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu đã yêu cầu dừng hoặc hạn chế xử lý, hoặc tự coi sự im lặng là đồng ý, mức phạt có thể từ 50 triệu đồng đến 70 triệu đồng.
- Mua bán trái phép dữ liệu cá nhân: Phạt tiền từ 02 lần đến 10 lần khoản thu bất hợp pháp, mức phạt tối đa lên đến 03 tỷ đồng.
- Phát tán thông tin sai sự thật: Làm ra, phát tán thông tin sai sự thật, chưa được kiểm chứng, kích động, gây hoang mang, chia rẽ hoặc xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân có thể bị phạt tiền từ 05 triệu đồng đến 20 triệu đồng.
- Chuyển dữ liệu cá nhân xuyên biên giới: Đối với tổ chức, hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tối đa 5% doanh thu của năm trước liền kề.
- Ngoài phạt tiền, cơ quan có thẩm quyền có thể buộc gỡ bỏ, xóa, cải chính thông tin, thu hồi tên miền hoặc đình chỉ hoạt động.
Trách nhiệm của doanh nghiệp
Doanh nghiệp cần lập bản đồ rủi ro chế tài, xây dựng ma trận đối chiếu giữa các hoạt động xử lý dữ liệu với các mức phạt để xác định điểm mù pháp lý. Đặc biệt lưu ý các căn cứ, mục đích xử lý, sự đồng ý hợp lệ, phạm vi dữ liệu được thu thập và các biện pháp bảo vệ dữ liệu đối với dữ liệu trẻ em và dữ liệu cá nhân nhạy cảm.
Doanh nghiệp không thể lấy lý do hệ thống AI tự động xử lý để miễn trừ trách nhiệm, bởi chủ thể quyết định việc thu thập, đưa dữ liệu vào hệ thống và khai thác kết quả xử lý vẫn phải bảo đảm tuân thủ pháp luật.
Nghĩa vụ của người dùng trong việc tự bảo vệ dữ liệu
Bên cạnh các quyền được pháp luật bảo vệ, chủ thể dữ liệu cũng có nghĩa vụ tự bảo vệ dữ liệu của mình. Điều này bao gồm việc cung cấp dữ liệu chính xác trong các giao dịch pháp lý, chấp hành pháp luật và tham gia phòng chống tội phạm dữ liệu. Người dùng cần nâng cao cảnh giác trước các chiêu trò lừa đảo, không chia sẻ thông tin cá nhân một cách tùy tiện và thường xuyên kiểm tra các cài đặt quyền riêng tư trên các nền tảng trực tuyến.
Tầm quan trọng của việc tuân thủ đối với nền tảng giải trí trực tuyến
Đối với các nền tảng giải trí trực tuyến và cá cược, việc tuân thủ Luật Bảo vệ dữ liệu cá nhân và Nghị định 330/2026/NĐ-CP là cực kỳ quan trọng. Các nền tảng này thường xử lý một lượng lớn dữ liệu cá nhân nhạy cảm của người dùng, từ thông tin tài khoản, lịch sử giao dịch đến các dữ liệu liên quan đến hành vi cá cược. Việc không tuân thủ không chỉ đối mặt với các mức phạt hành chính nghiêm khắc mà còn làm mất uy tín, niềm tin của người dùng.
Các nền tảng cần đảm bảo rằng họ có các chính sách bảo mật rõ ràng, minh bạch, dễ hiểu cho người dùng, đồng thời triển khai các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu. Điều này bao gồm việc mã hóa dữ liệu, kiểm soát truy cập chặt chẽ, đào tạo nhân viên và có quy trình xử lý sự cố dữ liệu hiệu quả.
Lời kết: Chủ động bảo vệ dữ liệu trong kỷ nguyên số
Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 330/2026/NĐ-CP đánh dấu một bước tiến lớn trong việc bảo vệ quyền riêng tư và an ninh mạng tại Việt Nam. Đối với người dùng, đây là cơ hội để chủ động kiểm soát thông tin cá nhân của mình. Đối với doanh nghiệp, đây là thách thức nhưng cũng là cơ hội để xây dựng niềm tin với khách hàng thông qua việc tuân thủ nghiêm ngặt các quy định pháp luật.
Việc hiểu rõ và thực hiện đúng các nghĩa vụ, quyền lợi sẽ góp phần xây dựng một không gian mạng an toàn và lành mạnh hơn cho tất cả mọi người.