Luật Bảo vệ dữ liệu cá nhân đã chính thức được Quốc hội thông qua và bắt đầu có hiệu lực từ 1/1/2026.
Theo Điều 29 của Luật Bảo vệ dữ liệu cá nhân, tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến hoạt động tại Việt Nam có trách nhiệm thông báo rõ cho người dùng được biết những dữ liệu cá nhân bị thu thập khi họ cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến; không thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với người dùng.
Các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến không được phép yêu cầu người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân, chẳng hạn như căn cước công dân, bằng lái xe… làm yếu tố xác thực tài khoản.
Các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến cũng cần phải cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (gọi là cookies); cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng.
Luật Bảo vệ dữ liệu cá nhân cũng quy định các nền tảng mạng xã hội tại Việt Nam không được phép nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn khi không có sự đồng ý của người dùng, trừ trường hợp pháp luật có quy định khác.
Các nền tảng mạng xã hội cần phải công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu cá nhân; cung cấp cho người dùng cơ chế truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư cho dữ liệu cá nhân, báo cáo các vi phạm về bảo mật và quyền riêng tư; bảo vệ dữ liệu cá nhân của công dân Việt Nam khi chuyển dữ liệu xuyên biên giới; xây dựng quy trình xử lý vi phạm về bảo vệ dữ liệu cá nhân nhanh chóng và hiệu quả.
Tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến hoạt động tại Việt Nam sẽ bị xử phạt hành chính, với mức xử phạt nặng, nếu vi phạm các quy định về bảo vệ dữ liệu cá nhân của người dùng Việt, cụ thể:
- Đối với hành vi mua, bán dữ liệu cá nhân: Mức phạt tiền tối đa là 10 lần khoản thu có được từ hành vi vi phạm. Trong trường hợp không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt chung, thì sẽ áp dụng mức phạt tối đa là 3 tỷ đồng.
- Đối với vi phạm về chuyển dữ liệu cá nhân xuyên biên giới: Mức phạt tiền tối đa đối với tổ chức là 5% doanh thu của năm trước liền kề của tổ chức đó. Nếu không có doanh thu năm trước hoặc mức phạt tính theo doanh thu thấp hơn mức phạt chung, sẽ áp dụng mức phạt tối đa là 3 tỷ đồng.
Ngoài xử phạt hành chính, Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (thuộc Bộ Công an) có thể quyết định yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới của cơ quan, tổ chức, cá nhân khi phát hiện dữ liệu cá nhân được chuyển để sử dụng vào hoạt động có thể gây tổn hại đến quốc phòng, an ninh quốc gia.
- Đối với các hành vi vi phạm khác: Mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân (ví dụ: không cung cấp lựa chọn "không theo dõi", nghe lén cuộc gọi, đọc tin nhắn trái phép...) là 3 tỷ đồng.
Các mức phạt tiền nêu trên áp dụng đối với tổ chức. Nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa sẽ bằng 1/2 mức phạt đối với tổ chức.
