Cách bảo vệ thông tin người dùng trên nền tảng số

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực và trở thành khuôn khổ pháp lý trung tâm cho hoạt động xử lý dữ liệu cá nhân tại Việt Nam. Nghị định 356/2025/NĐ-CP, cũng có hiệu lực từ ngày 01/01/2026, quy định chi tiết việc thực hiện luật và thay thế Nghị định 13/2023/NĐ-CP. Bên cạnh đó, chủ quản hệ thống thông tin phục vụ giao dịch điện tử còn phải tuân thủ pháp luật về an toàn thông tin mạng, an ninh mạng và bảo vệ dữ liệu cá nhân.

Nền tảng phải bảo vệ dữ liệu trong toàn bộ quá trình xử lý

Nghĩa vụ cốt lõi của nền tảng là không để việc bảo vệ thông tin chỉ xuất hiện ở một khâu riêng lẻ. Dữ liệu phải được kiểm soát trong cả quá trình thu thập, lưu trữ, truy cập, phân tích, sử dụng, cung cấp, chuyển giao và xóa.

Luật Bảo vệ dữ liệu cá nhân yêu cầu bên kiểm soát dữ liệu áp dụng các biện pháp quản lý và kỹ thuật phù hợp, rà soát và cập nhật khi cần thiết, bảo đảm quyền của chủ thể dữ liệu và ngăn chặn hoạt động thu thập dữ liệu trái phép từ hệ thống, thiết bị hoặc dịch vụ do mình quản lý. Bên xử lý dữ liệu cũng phải thực hiện đầy đủ các biện pháp bảo vệ theo pháp luật và xử lý dữ liệu đúng phạm vi thỏa thuận với bên kiểm soát.

Vì vậy, một nền tảng không thể coi mình đã hoàn thành nghĩa vụ chỉ vì có tường lửa hoặc mã hóa dữ liệu. Cơ chế bảo vệ phải đồng thời trả lời được các câu hỏi: dữ liệu nào đang được thu thập, ai được phép truy cập, dữ liệu được dùng cho mục đích gì, được giữ trong bao lâu, được chuyển cho ai và được xử lý thế nào khi người dùng yêu cầu hạn chế hoặc xóa.

Đối với nền tảng phục vụ giao dịch điện tử, Luật Giao dịch điện tử còn yêu cầu chủ quản hệ thống tuân thủ pháp luật về bảo vệ thông tin cá nhân, dữ liệu cá nhân, an toàn thông tin mạng và an ninh mạng, đồng thời thực hiện giám sát an toàn đối với hệ thống của mình.

Thu thập đúng mục đích và có sự đồng ý hợp lệ của người dùng

Một trong những biện pháp quan trọng nhất để bảo vệ thông tin người dùng là hạn chế dữ liệu ngay từ đầu. Nền tảng chỉ nên thu thập dữ liệu cần thiết cho mục đích đã xác định và không tự ý mở rộng sang mục đích khác nếu chưa có căn cứ pháp lý phù hợp.

Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân, sự đồng ý chỉ có hiệu lực khi người dùng tự nguyện và biết rõ ít nhất loại dữ liệu được xử lý, mục đích xử lý, chủ thể kiểm soát dữ liệu cùng các quyền và nghĩa vụ liên quan. Sự đồng ý phải được thể hiện rõ ràng, có thể kiểm chứng và được xác lập riêng đối với từng mục đích. Im lặng hoặc không phản hồi không được coi là đồng ý.

Điều này có ý nghĩa trực tiếp đối với thiết kế giao diện của nền tảng. Không nên gộp hàng loạt mục đích như vận hành tài khoản, quảng cáo cá nhân hóa, chia sẻ đối tác và phân tích hành vi vào một lựa chọn duy nhất nếu các hoạt động đó cần những căn cứ đồng ý riêng. Việc yêu cầu người dùng chấp thuận những mục đích không liên quan như điều kiện bắt buộc để sử dụng dịch vụ cũng có thể làm mất tính tự nguyện của sự đồng ý.

Đối với mạng xã hội và dịch vụ truyền thông trực tuyến, pháp luật còn yêu cầu thông báo rõ dữ liệu được thu thập khi người dùng cài đặt và sử dụng dịch vụ, không thu thập trái phép hoặc vượt phạm vi đã thỏa thuận. Người dùng phải có lựa chọn từ chối việc thu thập và chia sẻ cookie cũng như lựa chọn không bị theo dõi, trừ trường hợp họ đồng ý.

Ngoại lệ cần lưu ý là không phải mọi hoạt động xử lý dữ liệu đều bắt buộc dựa trên sự đồng ý. Luật quy định một số trường hợp có thể xử lý không cần sự đồng ý, vì vậy nền tảng phải xác định chính xác căn cứ áp dụng thay vì mặc định rằng mọi dữ liệu đều có thể xử lý chỉ vì điều khoản sử dụng đã được người dùng chấp nhận.

Áp dụng biện pháp kỹ thuật và kiểm soát quyền truy cập

Bảo vệ dữ liệu phải được chuyển thành các kiểm soát kỹ thuật cụ thể. Mục tiêu không chỉ là ngăn người bên ngoài xâm nhập mà còn hạn chế truy cập nội bộ không cần thiết, ngăn sao chép trái phép và giảm thiệt hại nếu một tài khoản hoặc thành phần hệ thống bị xâm phạm.

Các biện pháp phù hợp phụ thuộc vào loại dữ liệu, quy mô hệ thống và mức độ rủi ro, nhưng về nguyên tắc nền tảng cần kiểm soát xác thực, phân quyền truy cập, nhật ký hoạt động, lưu trữ an toàn, sao lưu và cơ chế phát hiện hành vi bất thường. Với dữ liệu nhạy cảm, Nghị định 356/2025/NĐ-CP yêu cầu tổ chức thiết lập quy định giới hạn quyền truy cập, quy trình xử lý và các biện pháp bảo mật tương ứng.

Luật cũng ghi nhận mã hóa là một biện pháp xử lý dữ liệu cá nhân. Khi dữ liệu đã được xóa hoặc hủy, việc xóa phải được thực hiện bằng biện pháp an toàn nhằm ngăn xâm nhập và ngăn khôi phục trái phép. Điều này cho thấy nghĩa vụ bảo vệ không kết thúc ở thao tác “delete” trên giao diện mà phải xét đến khả năng dữ liệu còn tồn tại trong hệ thống lưu trữ hoặc có thể được phục hồi trái phép.

Đối với hệ thống sử dụng dữ liệu lớn, trí tuệ nhân tạo hoặc điện toán đám mây, luật yêu cầu tích hợp biện pháp bảo mật phù hợp, áp dụng phương thức xác thực, định danh và phân quyền truy cập khi xử lý dữ liệu cá nhân; hoạt động dùng AI còn phải được phân loại theo mức độ rủi ro để áp dụng biện pháp bảo vệ tương ứng.

Điểm quan trọng là biện pháp kỹ thuật phải đi cùng biện pháp quản trị. Mã hóa mạnh nhưng nhân viên có quyền truy cập quá rộng, tài khoản quản trị dùng chung hoặc nhà cung cấp bên ngoài không được kiểm soát vẫn có thể tạo ra rủi ro đáng kể.

Công khai chính sách và trao quyền kiểm soát cho người dùng

Người dùng phải biết nền tảng đang làm gì với dữ liệu của họ. Vì vậy, chính sách bảo mật không nên chỉ là một văn bản dài dùng để hoàn tất thủ tục pháp lý mà phải giải thích được cách thu thập, sử dụng, lưu giữ và chia sẻ dữ liệu.

Riêng với mạng xã hội và dịch vụ truyền thông trực tuyến, Điều 29 Luật Bảo vệ dữ liệu cá nhân yêu cầu công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu, đồng thời cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư. Nền tảng cũng phải có quy trình xử lý vi phạm về bảo vệ dữ liệu cá nhân nhanh chóng và hiệu quả.

Quyền kiểm soát còn phải có khả năng thực hiện trong thực tế. Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát dữ liệu xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để người dùng thực hiện các quyền của mình. Khi nhận được yêu cầu đúng thủ tục, chủ thể có trách nhiệm phải phản hồi về thủ tục trong thời hạn 2 ngày làm việc và thực hiện yêu cầu trong thời hạn 15 ngày, với khả năng gia hạn một lần tối đa 15 ngày khi có lý do cần thiết, hợp lý.

Các quyền này cũng ảnh hưởng đến kiến trúc dữ liệu của nền tảng. Nếu dữ liệu của một người dùng bị phân tán ở nhiều cơ sở dữ liệu nhưng nền tảng không thể xác định nơi lưu trữ hoặc không thể chuyển yêu cầu xóa, chỉnh sửa đến các bên xử lý liên quan, chính sách quyền riêng tư dù đầy đủ trên giấy vẫn khó được thực thi.

Với việc xóa dữ liệu, luật xác định nhiều trường hợp phải xóa hoặc hủy, chẳng hạn khi đã hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ theo quy định. Khi không thể thực hiện yêu cầu xóa vì lý do chính đáng, bên kiểm soát phải thông báo cho chủ thể dữ liệu biết.

Kiểm soát chia sẻ, quảng cáo và chuyển dữ liệu cho bên thứ ba

Rủi ro đối với thông tin người dùng thường tăng khi dữ liệu rời khỏi hệ thống ban đầu. Do đó, nền tảng phải kiểm soát không chỉ dữ liệu do mình trực tiếp xử lý mà còn cả hoạt động chuyển dữ liệu cho nhà cung cấp dịch vụ, đối tác quảng cáo hoặc bên xử lý khác.

Theo Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát phải lựa chọn bên xử lý phù hợp và xác định rõ trách nhiệm, quyền, nghĩa vụ của các bên trong thỏa thuận hoặc hợp đồng có liên quan đến xử lý dữ liệu. Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng và phải xử lý đúng phạm vi đã được giao.

Việc cung cấp hoặc chuyển giao dữ liệu cho bên khác cũng không đồng nghĩa nền tảng được tự do sử dụng dữ liệu cho mọi mục đích. Luật quy định dữ liệu cá nhân chỉ được cung cấp cho tổ chức, cá nhân khác khi có sự đồng ý của chủ thể, trừ các trường hợp pháp luật quy định khác; hoạt động công khai dữ liệu cũng phải có mục đích cụ thể và phạm vi phù hợp với mục đích đó.

Đối với quảng cáo, yêu cầu còn cụ thể hơn. Việc xử lý dữ liệu khách hàng để kinh doanh dịch vụ quảng cáo phải có sự đồng ý và người dùng cần biết nội dung, phương thức, hình thức cũng như tần suất giới thiệu sản phẩm. Người dùng có quyền yêu cầu ngừng nhận quảng cáo, và tổ chức cung cấp dịch vụ phải thiết lập cơ chế để thực hiện yêu cầu đó. Với quảng cáo dựa trên theo dõi hành vi, nền tảng phải có cơ chế cho phép từ chối chia sẻ dữ liệu và xác định thời gian lưu trữ phù hợp.

Nếu dữ liệu được chuyển ra nước ngoài hoặc xử lý xuyên biên giới, nền tảng còn phải xác định nghĩa vụ đánh giá tác động chuyển dữ liệu và các trường hợp ngoại lệ tương ứng. Luật cho phép cơ quan chuyên trách kiểm tra hoạt động chuyển dữ liệu xuyên biên giới định kỳ hoặc đột xuất khi phát hiện vi phạm hoặc xảy ra sự cố lộ, mất dữ liệu.

Đánh giá tác động và chuẩn bị cơ chế ứng phó sự cố dữ liệu

Bảo vệ thông tin người dùng cần được thực hiện trước khi xảy ra sự cố. Vì vậy, pháp luật không chỉ yêu cầu khắc phục hậu quả mà còn đặt ra cơ chế đánh giá trước các rủi ro phát sinh từ hoạt động xử lý dữ liệu.

Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát hoặc bên vừa kiểm soát vừa xử lý dữ liệu phải lập và lưu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đồng thời gửi một bản chính cho cơ quan chuyên trách trong vòng 60 ngày kể từ ngày đầu tiên xử lý dữ liệu, trừ trường hợp thuộc diện được miễn. Hồ sơ này phải được cập nhật khi có thay đổi; Điều 22 còn quy định việc cập nhật định kỳ 6 tháng khi có thay đổi và cập nhật ngay trong một số trường hợp nhất định.

Đây không nên được hiểu đơn thuần là nghĩa vụ lập hồ sơ. Về mặt vận hành, đánh giá tác động giúp nền tảng xác định dữ liệu nào có rủi ro cao, hoạt động nào có thể ảnh hưởng lớn đến người dùng, bên thứ ba nào tham gia xử lý và biện pháp nào cần được bổ sung trước khi hệ thống được triển khai hoặc thay đổi.

Khi xảy ra vi phạm có khả năng gây tổn hại đến quốc phòng, an ninh, trật tự an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hay tài sản của chủ thể dữ liệu, bên kiểm soát hoặc bên vừa kiểm soát vừa xử lý phải thông báo cho cơ quan chuyên trách chậm nhất trong 72 giờ kể từ khi phát hiện. Đồng thời, tổ chức phải lập biên bản xác nhận sự việc và phối hợp xử lý vi phạm.

Thời hạn 72 giờ không có nghĩa mọi sự cố dữ liệu trong mọi hoàn cảnh đều áp dụng hoàn toàn giống nhau. Một số loại dữ liệu và lĩnh vực có yêu cầu thông báo riêng; chẳng hạn Nghị định 356/2025/NĐ-CP quy định cụ thể nghĩa vụ thông báo trong 72 giờ đối với sự cố liên quan dữ liệu vị trí hoặc dữ liệu sinh trắc học, cũng như đối với trường hợp lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng và thông tin tín dụng.

Vì vậy, nền tảng nên có sẵn quy trình phát hiện, phân loại, cô lập và điều tra sự cố; xác định đầu mối chịu trách nhiệm; đánh giá mức ảnh hưởng đến người dùng; lưu bằng chứng; khắc phục lỗ hổng và thực hiện nghĩa vụ thông báo đúng trường hợp. Chờ đến khi dữ liệu bị lộ mới xác định ai chịu trách nhiệm thường khiến cả thiệt hại kỹ thuật lẫn rủi ro pháp lý tăng lên.

Một nền tảng số bảo vệ thông tin người dùng hiệu quả phải kết hợp ba lớp: xử lý dữ liệu đúng căn cứ và đúng mục đích, triển khai biện pháp kỹ thuật–quản trị phù hợp, và trao cho người dùng khả năng kiểm soát dữ liệu của chính họ. Với mạng xã hội và dịch vụ truyền thông trực tuyến, pháp luật còn đặt ra những yêu cầu cụ thể về cookie, theo dõi hành vi, chính sách bảo mật và cơ chế quyền riêng tư.

Do đó, bảo vệ thông tin người dùng trên nền tảng không nên được xem là một tính năng bảo mật riêng lẻ. Đây là nghĩa vụ xuyên suốt toàn bộ vòng đời dữ liệu, từ thiết kế sản phẩm và xin sự đồng ý cho đến quản lý bên thứ ba, đánh giá tác động, xử lý yêu cầu của người dùng và ứng phó sự cố.