Dữ liệu cá nhân: Hiểu đúng để tuân thủ pháp luật!

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, như họ tên, số điện thoại, địa chỉ, hình ảnh, thông tin tài khoản. Dữ liệu cá nhân gắn với đời sống riêng tư, danh dự, công việc và các mối quan hệ. Việc sử dụng, công khai sai mục đích có thể ảnh hưởng quyền lợi của người có thông tin.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/1/2026; Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật cũng có hiệu lực từ thời điểm này. Ngày 19/8/2026, Nghị định 330/2026/NĐ-CP của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực, trong đó, Điều 4 của Luật xác định người dân có nghĩa vụ tự bảo vệ dữ liệu của mình, đồng thời tôn trọng, bảo vệ dữ liệu của người khác.

Một ảnh chụp chuyển khoản của mình có thể đồng thời chứa tên, số tài khoản của người nhận. Một tin nhắn mình nhận được vẫn có thông tin riêng của người gửi. Vì vậy, việc đang giữ giấy tờ, hình ảnh hay cuộc trò chuyện không mặc nhiên cho phép công khai dữ liệu của những người liên quan.

Theo Điều 9 và Điều 11 của Luật, việc thu thập dữ liệu cá nhân phải được chủ thể dữ liệu đồng ý trước, trừ trường hợp pháp luật có quy định khác. Sự đồng ý phải tự nguyện, gắn với từng mục đích; im lặng không được coi là đồng ý. Theo Điều 16, công khai dữ liệu phải thuộc trường hợp được phép, đúng mục đích, phạm vi và không xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Một trường hợp thường gặp trong thực tế, khách cung cấp số điện thoại, địa chỉ để giao hàng hoặc bảo hành. Điều đó không mặc nhiên cho phép cửa hàng chuyển danh sách khách cho nơi khác quảng cáo, đăng ảnh đơn hàng còn nguyên thông tin lên Facebook. Cửa hàng cần giải thích mục đích thu thập, sử dụng đúng phạm vi; khách nên hỏi rõ trước khi cung cấp.

Tương tự, hồ sơ cung cấp cho ngân hàng để mở tài khoản, xác minh khách hàng phải được bảo vệ theo Điều 27 của Luật. Nhân viên ngân hàng không được tùy tiện lấy thông tin trong hồ sơ để giới thiệu khách cho người quen bán bảo hiểm, chào mời dịch vụ. Khách hàng cũng cần hạn chế đăng công khai chứng từ có dữ liệu của mình và người khác.

Trong nhóm phụ huynh, danh sách có số định danh, địa chỉ học sinh, số điện thoại cha mẹ cần được quản lý đúng mục đích. Người thu thập phải xác định ai cần tiếp cận, tránh để mọi thành viên xem, tải toàn bộ thông tin. Phụ huynh không nên chuyển danh sách sang nhóm khác hoặc gửi cho người không liên quan chỉ vì mình đã được xem.

Trên mạng xã hội, việc tùy tiện đăng ảnh căn cước, bệnh án, tin nhắn riêng của người khác để đòi nợ, giải quyết mâu thuẫn hoặc nhờ tìm người có thể dẫn đến vi phạm về bảo vệ dữ liệu cá nhân. Khi phản ánh vi phạm, cá nhân nên gửi tài liệu đến cơ quan có thẩm quyền. Khi nhận thông tin từ người quen hoặc thấy trên mạng, người dân không mặc nhiên có quyền chia sẻ lại cho mọi mục đích.

Khi dữ liệu, thông tin bị khai thác, sử dụng sai mục đích có thể dẫn đến nhiều hệ lụy như bị giả mạo danh tính, gán ghép hình ảnh để lừa đảo chiếm đoạt tài sản, đe dọa, quấy rối, cưỡng đoạt tài sản. Điển hình như năm 2025, Công an tỉnh Thanh Hóa đã ra Quyết định khởi tố bị can, Lệnh tạm giam đối với 01 đối tượng trú tại Đồng Tháp về tội “Đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông” quy định tại khoản 2 Điều 288 Bộ luật hình sự. Đối tượng sử dụng tài khoản mạng xã hội rao bán và mua bán dữ liệu cá nhân công dân Việt Nam, ước tính khoảng 10 triệu thông tin cá nhân của người dân đã bị xâm hại, rao bán cho các đối tượng các Công ty lừa đảo hoạt động tại Campuchia để xây dựng kịch bản, tiếp cận, gọi điện thực hiện hành vi lừa đảo chiếm đoạt tài sản của người dân. 

Tiếp đó, tháng 6/2026, Công an Thanh Hóa ra Quyết định khởi tố đối với 14 đối tượng tại các tỉnh Thanh Hóa, Nghệ An, Hà Tĩnh và TP. Hà Nội đối với hành vi sản xuất, phát tán rộng rãi phần mềm mã độc đánh cắp thông tin, nhắm vào dữ liệu cá nhân và đặc biệt là tiền điện tử của nhiều cá nhân, tổ chức ở hàng trăm quốc gia. Chỉ trong gần 01 năm, các đối tượng đã thu thập về 93.657 tệp tin dữ liệu với dung lượng khoảng 100 Gigabytes.

Nghị định 330/2026/NĐ-CP của Chính phủ có hiệu lực từ ngày 19/8/2026 về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân quy định tại điểm b khoản 2 Điều 50 và khoản 1 Điều 7: Công khai dữ liệu cá nhân khi chưa được đồng ý, trừ trường hợp pháp luật cho phép, bị phạt 15–25 triệu đồng đối với cá nhân, 30–50 triệu đồng đối với tổ chức. Người vi phạm còn bị buộc gỡ bỏ, thu hồi dữ liệu đã công khai.

Như vậy, việc công khai dữ liệu cá nhân khi chưa được sự đồng ý có thể bị xử lý vi phạm về bảo vệ dữ liệu cá nhân. Ví dụ, ngày 15/9/2026, Công an phường Thành Sen - Công an tỉnh Hà Tĩnh đã xử phạt vi phạm hành chính 01 cá nhân vì hành vi đăng ảnh căn cước điện tử của người khác lên Facebook để nhờ tìm người khi chưa được đồng ý số tiền 20 triệu đồng.

Để bảo vệ dữ liệu cá nhân của mình, mỗi người dân cần cân nhắc mục đích và người xem trước khi đăng tải; không nên công khai toàn bộ căn cước, hồ sơ sức khỏe, thông tin tài khoản, hỏi tư vấn hay xác nhận giao dịch; che phần thông tin không cần thiết, gửi đúng người cần nhận vì khi thông tin đã đưa lên mạng có thể bị sao chép, chuyển tiếp ngoài khả năng kiểm soát của mình.

Bảo vệ dữ liệu cá nhân bắt đầu từ việc thận trọng với thông tin của mình, xin sự đồng ý khi cần sử dụng thông tin người khác, trừ trường hợp pháp luật cho phép, và chỉ sử dụng đúng mục đích, phạm vi hợp pháp.

Cơ quan, tổ chức, cơ sở dịch vụ phải quản lý chặt thông tin được giao, giới hạn người tiếp cận, hướng dẫn nhân viên và xử lý yêu cầu bảo vệ dữ liệu theo quy định. Khi thông tin bị sử dụng trái phép, người dân cần lưu bằng chứng, yêu cầu chấm dứt, gỡ bỏ; thực hiện quyền khiếu nại, tố cáo, yêu cầu bồi thường, trình báo cơ quan có thẩm quyền để xử lý theo quy định của pháp luật.