Tóm tắt: Trong bối cảnh chuyển đổi số và sự phát triển mạnh mẽ của nền kinh tế số, dữ liệu cá nhân trở thành nguồn tài nguyên quan trọng đối với các hoạt động kinh tế, đặc biệt trong các lĩnh vực thương mại điện tử, tài chính số và nền tảng công nghệ. Tuy nhiên, việc thu thập, xử lý và khai thác dữ liệu cá nhân cũng làm gia tăng nguy cơ xâm phạm quyền riêng tư, rò rỉ thông tin và lạm dụng dữ liệu. Bài viết phân tích vai trò của chính sách bảo vệ dữ liệu cá nhân trong nền kinh tế số, đánh giá thực trạng pháp lý tại Việt Nam, so sánh với các chuẩn mực quốc tế, từ đó đề xuất một số giải pháp hoàn thiện khung chính sách nhằm bảo đảm cân bằng giữa phát triển kinh tế số và bảo vệ quyền riêng tư của cá nhân.
Từ khóa: Dữ liệu cá nhân, kinh tế số, bảo mật thông tin, chính sách công, quyền riêng tư.
ĐẶT VẤN ĐỀ
Trong kỷ nguyên chuyển đổi số, dữ liệu được xem là “nguồn tài nguyên mới” của nền kinh tế. Dữ liệu cá nhân (DLCN) được thu thập và khai thác rộng rãi thông qua các dịch vụ trực tuyến như mạng xã hội, thương mại điện tử, dịch vụ tài chính và nền tảng số. Theo các nghiên cứu về kinh tế số, dữ liệu cá nhân trở thành nguyên liệu quan trọng cho nhiều ngành kinh doanh và dịch vụ, tạo ra giá trị kinh tế lớn.
Tại Việt Nam, với hơn 70 triệu người sử dụng Internet và tỷ lệ người dùng trực tuyến ngày càng tăng, lượng dữ liệu cá nhân được thu thập và lưu trữ trên môi trường số ngày càng lớn. Điều này đặt ra yêu cầu cấp thiết phải xây dựng các chính sách và khung pháp lý nhằm bảo vệ dữ liệu cá nhân, bảo đảm quyền riêng tư của người dân cũng như duy trì niềm tin đối với các dịch vụ số. Do đó, việc nghiên cứu chính sách bảo vệ dữ liệu cá nhân trong nền kinh tế số có ý nghĩa quan trọng cả về mặt lý luận và thực tiễn.
CƠ SỞ LÝ LUẬN VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN
1. Khái niệm dữ liệu cá nhân: Dữ liệu cá nhân được hiểu là các thông tin liên quan đến một cá nhân xác định hoặc có thể xác định được, bao gồm họ tên, ngày sinh, địa chỉ, số điện thoại, dữ liệu sinh trắc học, thông tin tài chính hoặc các dữ liệu hành vi trên môi trường mạng.
Trong nhiều hệ thống pháp luật hiện đại, dữ liệu cá nhân thường được phân loại thành hai nhóm: Nhóm Dữ liệu cá nhân cơ bản: họ tên, ngày sinh, địa chỉ, số điện thoại; Nhóm Dữ liệu cá nhân nhạy cảm: dữ liệu sinh trắc học, thông tin sức khỏe, tôn giáo, tài chính hoặc đời sống riêng tư. Việc phân loại này nhằm xác định mức độ bảo vệ và trách nhiệm của tổ chức xử lý dữ liệu.
2. Vai trò của dữ liệu cá nhân trong nền kinh tế số: Trong nền kinh tế số, dữ liệu cá nhân có vai trò quan trọng trong 3 hoạt động sau: (1) Cá nhân hóa dịch vụ: Các nền tảng công nghệ sử dụng dữ liệu người dùng để phân tích hành vi, từ đó cung cấp dịch vụ và quảng cáo phù hợp; (2) Phát triển trí tuệ nhân tạo và phân tích dữ liệu: Dữ liệu cá nhân là nguồn dữ liệu lớn (Big Data) để huấn luyện thuật toán trí tuệ nhân tạo; (3) Tăng hiệu quả hoạt động kinh doanh: Các doanh nghiệp có thể sử dụng dữ liệu khách hàng để tối ưu hóa chuỗi cung ứng, tiếp thị và quản trị khách hàng. Tuy nhiên, việc khai thác dữ liệu cá nhân không kiểm soát có thể dẫn đến nhiều rủi ro như rò rỉ dữ liệu, lừa đảo trực tuyến và xâm phạm quyền riêng tư.
KHUNG CHÍNH SÁCH BẢO VỆ DỮ LIỆU CÁ NHÂN
1. Chính sách bảo vệ dữ liệu cá nhân trên thế giới: Trên thế giới, nhiều quốc gia đã xây dựng hệ thống pháp luật toàn diện để bảo vệ DLCN. Ví dụ: GDPR (Liên minh châu Âu): được xem là tiêu chuẩn cao nhất về bảo vệ dữ liệu cá nhân; APEC Privacy Framework: khung bảo mật dữ liệu trong khu vực châu Á - Thái Bình Dương; OECD Privacy Guidelines: các nguyên tắc bảo vệ quyền riêng tư trong xử lý dữ liệu.
Các hệ thống này thường dựa trên một số nguyên tắc cơ bản là: Minh bạch trong thu thập dữ liệu; Thu thập dữ liệu có mục đích rõ ràng; Giới hạn phạm vi xử lý dữ liệu; Bảo đảm an toàn và bảo mật thông tin; Quyền kiểm soát dữ liệu của cá nhân.
2. Khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam: Tại Việt Nam, hệ thống pháp luật về bảo vệ dữ liệu cá nhân đang dần được hoàn thiện. Một văn bản quan trọng là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/7/2023. Nghị định này quy định: Nguyên tắc xử lý dữ liệu cá nhân; Quyền của chủ thể dữ liệu; Nghĩa vụ của tổ chức, cá nhân xử lý dữ liệu; Cơ chế giám sát và xử lý vi phạm.
Ngoài ra, nhiều văn bản pháp luật khác cũng liên quan đến bảo vệ dữ liệu như: Luật An ninh mạng, Luật Công nghệ thông tin, Luật Giao dịch điện tử.
Theo thống kê, Việt Nam có hàng chục văn bản pháp luật liên quan đến vấn đề bảo vệ dữ liệu cá nhân.
VÌ SAO PHẢI BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG NỀN KINH TẾ SỐ
Bảo vệ dữ liệu cá nhân trong nền kinh tế số là điều kiện tiên quyết và bắt buộc nhằm bảo vệ quyền lợi hợp pháp của người dân, nâng cao năng lực cạnh tranh của doanh nghiệp và bảo đảm an ninh quốc gia.
1. Bảo vệ an toàn tài chính và quyền riêng tư của cá nhân:
- Chặn đứng tội phạm: Ngăn ngừa các hành vi lừa đảo trực tuyến, giả mạo danh tính, hack tài khoản ngân hàng và vay tín dụng đen.
- Bảo vệ danh dự: Hạn chế lộ lọt thông tin nhạy cảm gây bôi nhọ đời tư hoặc tống tiền.
- Quyền tự quyết: Giúp người dùng giữ quyền quyết định chia sẻ, bán hoặc bảo mật dữ liệu hành vi của mình trước làn sóng thu thập dữ liệu của AI.
2. Xây dựng niềm tin số để doanh nghiệp phát triển bền vững:
- Tạo dựng uy tín: Thương hiệu bảo mật dữ liệu tốt sẽ giữ chân khách hàng trực tuyến lâu dài.Tuân thủ luật pháp: Doanh nghiệp bắt buộc phải xây dựng hệ thống quản trị, nhân sự bảo vệ dữ liệu để tránh các mức phạt hành chính nặng nề.
- Thúc đẩy giao dịch: Khách hàng an tâm mua sắm, thanh toán trực tuyến và trải nghiệm các dịch vụ số hóa phát sinh.
3. Đảm bảo an ninh quốc gia và chủ quyền dữ liệu:
- Ngăn chặn phá hoại: Chống lại việc lợi dụng dữ liệu cá nhân để xuyên tạc, chống phá Nhà nước hoặc gây ảnh hưởng quốc phòng.
- Quản lý xuyên biên giới: Giám sát các tập đoàn công nghệ quốc tế trong việc lưu trữ và xử lý dữ liệu của công dân Việt Nam.
- Kiểm soát quyền lực: Tạo cơ chế minh bạch và công bằng giữa cơ quan công quyền, doanh nghiệp công nghệ lớn và người dân.
4. Nền tảng pháp lý thực thi tại Việt Nam:
- Luật Bảo vệ dữ liệu cá nhân (Số 91/2025/QH15): Có hiệu lực thi hành để tạo hành lang pháp lý tối cao.
- Nghị định số 356/2025/NĐ-CP: Hướng dẫn chi tiết việc xử lý dữ liệu và trách nhiệm của các bên liên quan.
- Cơ quan chuyên trách: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trực tiếp quản lý và xử lý vi phạm.
THỰC TRẠNG THỰC THI CHÍNH SÁCH BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG NỀN KINH TẾ SỐ
Tại Việt Nam đang ghi nhận bước chuyển dịch mang tính lịch sử từ việc tuân thủ văn bản dưới luật sang áp dụng luật hóa toàn diện. Sau giai đoạn làm quen với Nghị định 13/2023/NĐ-CP, việc chính thức thực thi Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) từ ngày 01/01/2026 đã tái định hình toàn bộ nghĩa vụ pháp lý của doanh nghiệp và quyền lợi của công dân trong nền kinh tế số.
Dưới đây là bức tranh tổng quan về thực trạng thực thi chính sách này, phân tích chi tiết từ thành tựu đạt được đến những điểm nghẽn và thách thức thực tế.
1. Những điểm sáng và thành tựu thực thi:
- Hành lang pháp lý tiệm cận quốc tế: Luật Bảo vệ DLCN năm 2025 tạo ra một mô hình “quản trị rủi ro dữ liệu” và “trách nhiệm giải trình” nghiêm ngặt, tương đồng với chuẩn mực GDPR của châu Âu. Luật quy định rất rõ 07 hành vi bị nghiêm cấm, đặc biệt là triệt phá hoạt động mua bán trái phép dữ liệu.
- Chế tài xử phạt được siết chặt tối đa: Cơ quan quản lý đã áp dụng các khung hình phạt răn đe rất cao. Hành vi mua bán, xâm phạm dữ liệu quy mô lớn có thể bị phạt tiền lên tới 2 tỷ đồng hoặc xử lý hình sự đến 10 năm tù; các pháp nhân thương mại vi phạm có thể bị phạt tới 10 tỷ đồng và đình chỉ hoạt động.
- Doanh nghiệp chủ động chuyển đổi hạ tầng: Nhóm ngành có rủi ro cao như tài chính, ngân hàng, thương mại điện tử đã đầu tư mạnh mẽ vào các giải pháp công nghệ. Xu hướng ứng dụng các giải pháp bảo mật nội bộ (Local Data & AI Solutions) và Edge AI đang tăng mạnh để kiểm soát dữ liệu ngay trên hạ tầng của doanh nghiệp mà không bị phụ thuộc vào đám mây công cộng.
- Sự can thiệp quyết liệt của cơ quan chức năng: Bộ Công an và các đơn vị an ninh mạng liên tục tổ chức thanh tra, quét và triệt phá các “chợ đen” dữ liệu trên không gian mạng, buộc các nền tảng công nghệ lớn phải cập nhật lại chính sách bảo mật và xin ý kiến đồng ý tường minh từ người dùng.
2. Những điểm nghẽn và thách thức thực tế:
Dù khung pháp lý đã hoàn thiện, quá trình đưa luật vào đời sống thực tế trong nền kinh tế số vẫn đang đối mặt với nhiều rào cản lớn:
a. Về phía doanh nghiệp:
- Tuân thủ mang tính hình thức “Giấy tờ hóa”: Nhiều doanh nghiệp, đặc biệt là các doanh nghiệp vừa và nhỏ (SMEs), triển khai các chính sách bảo mật một cách đối phó. Họ thiết lập các điều khoản dài dặc buộc người dùng nhấn “Đồng ý” để tiếp tục sử dụng dịch vụ (hình thức hóa sự đồng ý) mà không thực sự tối ưu hóa hệ thống bảo mật cốt lõi.
- Gánh nặng về chi phí và công nghệ: Để đáp ứng các tiêu chuẩn đánh giá tác động xử lý dữ liệu (DPIA) và bảo mật dữ liệu nhạy cảm, doanh nghiệp phải bỏ ra chi phí nhân sự và vận hành rất lớn. Điều này tạo ra một rào cản tăng trưởng cho các startup công nghệ mới.
b.Về phía người dùng:
- Sự bất cân xứng quyền lực: Dù luật trao cho công dân quyền truy cập, chỉnh sửa hay yêu cầu xóa dữ liệu, người dùng thông thường vẫn ở thế yếu trước các tập đoàn công nghệ lớn. Khi từ chối chia sẻ dữ liệu, họ thường bị hạn chế quyền truy cập dịch vụ số thiết yếu.
- Tâm lý chủ quan từ thói quen sinh hoạt: Người dân vẫn dễ dàng chia sẻ thông tin cá nhân trên mạng xã hội hoặc lắp đặt các thiết bị thông minh (IoT) như camera giám sát gia đình nhưng không đổi mật khẩu mặc định. Kẻ xấu dễ dàng hack hệ thống để biến chúng thành công cụ tống tiền, lừa đảo trực tuyến.
c. Về góc độ thị trường ngầm:
- Sự tinh vi của tội phạm công nghệ cao: Dữ liệu cá nhân được ví như nguồn "dầu mỏ mới" của nền kinh tế số và luôn nằm trong tầm ngắm của hơn 30 loại tội phạm mạng. Các kịch bản lừa đảo deepfake, lừa đảo tài chính dựa trên dữ liệu thật bị lộ lọt ngày càng tinh vi, gây thiệt hại ước tính hàng nghìn tỷ đồng mỗi năm.
3. Định hướng thực thi trong kỷ nguyên kinh tế số mới:
Việt Nam đang nỗ lực đạt mục tiêu lọt vào nhóm 30 quốc gia dẫn đầu về khai thác dữ liệu và trí tuệ nhân tạo (AI) theo Chiến lược dữ liệu quốc gia. Do đó, việc thực thi chính sách bảo vệ dữ liệu đang chuyển dịch theo các hướng:
- Tích hợp bảo vệ dữ liệu với quản trị AI: Chuyển từ tư duy “bảo mật thông tin” truyền thống sang “quản trị dữ liệu tích hợp”, kiểm soát chặt chẽ cách các thuật toán AI thu thập và học từ dữ liệu của người dùng.
- Tăng cường kiểm tra xuyên biên giới: Siết chặt các luồng chuyển dữ liệu ra nước ngoài của các nền tảng xuyên biên giới nhằm bảo đảm chủ quyền dữ liệu quốc gia.
THÁCH THỨC TRONG BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG NỀN KINH TẾ SỐ
Mặc dù đã có tiến bộ trong xây dựng chính sách, việc bảo vệ dữ liệu cá nhân vẫn đối mặt với nhiều thách thức.
1. Gia tăng rủi ro rò rỉ dữ liệu: Việc lưu trữ và chia sẻ dữ liệu trên môi trường mạng khiến nguy cơ tấn công mạng và rò rỉ thông tin ngày càng lớn.
2. Nhận thức của người dùng còn hạn chế: Nhiều người dùng sẵn sàng cung cấp thông tin cá nhân để đổi lấy sự tiện lợi của dịch vụ số mà không nhận thức đầy đủ về rủi ro.
3. Khó khăn trong thực thi pháp luật: Các cơ quan quản lý gặp nhiều khó khăn trong việc giám sát và xử lý vi phạm do tính xuyên biên giới của dữ liệu.
4. Cân bằng giữa bảo vệ dữ liệu và phát triển kinh tế số: Chính sách quá chặt chẽ có thể làm giảm khả năng đổi mới sáng tạo của doanh nghiệp công nghệ.
GIẢI PHÁP HOÀN THIỆN CHÍNH SÁCH BẢO VỆ DỮ LIỆU CÁ NHÂN
Để hoàn thiện chính sách bảo vệ dữ liệu cá nhân tại Việt Nam, các cơ quan quản lý cần thực hiện đồng bộ những giải pháp cốt lõi dưới đây nhằm tối ưu hóa tính pháp lý và nâng cao hiệu quả thực thi trong kỷ nguyên số.
1. Nâng cao tính pháp lý của quy định
- Cần xây dựng Luật Bảo vệ dữ liệu cá nhân với phạm vi điều chỉnh toàn diện và phù hợp với chuẩn mực quốc tế.
- Luật hóa quy định: Nâng cấp Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân thành một luật độc lập (Luật Bảo vệ dữ liệu cá nhân) để tăng cường hiệu lực pháp lý cao nhất.
- Đồng bộ hóa văn bản: Rà soát, sửa đổi các quy định chồng chéo trong Luật An ninh mạng, Luật An toàn thông tin mạng và Bộ luật Dân sự nhằm tạo ra một bộ khung pháp lý thống nhất.
2. Chi tiết hóa quyền của chủ thể dữ liệu
- Đơn giản hóa thủ tục rút lại sự đồng ý: Quy định rõ ràng các phương thức kỹ thuật cho phép người dùng rút lại quyền khai thác dữ liệu một cách dễ dàng (chỉ bằng một cú click chuột).
- Cụ thể hóa "Quyền được quên": Ban hành hướng dẫn chi tiết về quy trình, thời hạn và trách nhiệm của doanh nghiệp khi người dùng yêu cầu xóa bỏ hoàn toàn dữ liệu cá nhân.
3. Thành lập Cơ quan quản lý chuyên trách độc lập:
- Mô hình chuyên trách: Thành lập Ủy ban hoặc Cơ quan Bảo vệ Dữ liệu Quốc gia độc lập (tương tự mô hình DPA tại châu Âu) thay vì phân mảnh quản lý giữa nhiều bộ ngành.
- Thẩm quyền kiểm tra: Trao quyền chủ động thanh tra, kiểm tra đột xuất và đình chỉ các hoạt động xử lý dữ liệu vi phạm nghiêm trọng.
4. Tăng mức xử phạt mang tính răn đe:
- Phạt tiền theo doanh thu: Áp dụng hình thức phạt tiền dựa trên tỷ lệ phần trăm doanh thu toàn cầu hoặc nội địa của doanh nghiệp vi phạm (học hỏi mô hình GDPR của Liên minh Châu Âu), thay vì áp dụng mức phạt trần cố định quá thấp.
- Xử lý hình sự: Bổ sung tội danh cụ thể vào Bộ luật Hình sự đối với các hành vi mua bán, chiếm đoạt dữ liệu cá nhân quy mô lớn gây hậu quả nghiêm trọng.
5. Tiêu chuẩn hóa quy trình cho doanh nghiệp:
- Bắt buộc bổ nhiệm DPO: Yêu cầu tất cả các doanh nghiệp xử lý dữ liệu quy mô lớn hoặc dữ liệu nhạy cảm (ngân hàng, viễn thông, y tế) phải có Nhân sự bảo vệ dữ liệu (DPO).
- Đánh giá tác động (DPIA): Ban hành các biểu mẫu mẫu tiêu chuẩn và công cụ tự động giúp doanh nghiệp dễ dàng lập Báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo đúng luật.
- Doanh nghiệp cần áp dụng các biện pháp bảo mật dữ liệu, mã hóa thông tin và tuân thủ các quy định về bảo vệ dữ liệu.
6. Thúc đẩy hợp tác quốc tế về chuyển dữ liệu xuyên biên giới:
- Xây dựng danh sách “Quốc gia an toàn”: Công bố danh sách các quốc gia có cơ chế bảo vệ dữ liệu tương đương để đơn giản hóa thủ tục chuyển dữ liệu ra nước ngoài.
- Tham gia các hiệp ước quốc tế: Chủ động đàm phán và gia nhập các cơ chế quốc tế về dòng chảy dữ liệu tin cậy (như hệ thống CBPR của APEC) nhằm hỗ trợ doanh nghiệp hội nhập toàn cầu an toàn.
7. Nâng cao năng lực quản lý nhà nước: Tăng cường vai trò của các cơ quan quản lý dữ liệu, xây dựng cơ chế giám sát và xử lý vi phạm hiệu quả.
8. Nâng cao nhận thức của người dân: Đẩy mạnh tuyên truyền, giáo dục về quyền riêng tư và an toàn thông tin cho người dùng Internet.
9. Tăng cường hợp tác quốc tế: Hợp tác với các quốc gia và tổ chức quốc tế trong việc xây dựng tiêu chuẩn và chia sẻ kinh nghiệm về bảo vệ dữ liệu.
Kết luận
Trong nền kinh tế số, dữ liệu cá nhân đã trở thành nguồn tài nguyên quan trọng cho sự phát triển kinh tế và đổi mới sáng tạo. Tuy nhiên, việc khai thác dữ liệu cá nhân cũng đặt ra nhiều thách thức đối với quyền riêng tư và an toàn thông tin.
Do đó, việc xây dựng và hoàn thiện chính sách bảo vệ dữ liệu cá nhân là yêu cầu tất yếu nhằm bảo đảm cân bằng giữa phát triển kinh tế số và bảo vệ quyền lợi của người dân. Trong thời gian tới, Việt Nam cần tiếp tục hoàn thiện khung pháp lý, tăng cường quản lý và nâng cao nhận thức xã hội để xây dựng một môi trường số an toàn, minh bạch và bền vững./.
ThS Bùi Văn Công
-------------------------------
Tài liệu tham khảo:
- Luật Bảo vệ dữ liệu cá nhân năm 2025: Đạo luật chuyên nghiệp tối cao của Quốc hội Việt Nam, đánh dấu bước chuyển mình sang mô hình quản trị rủi ro dữ liệu xuyên suốt vòng đời xử lý.
- Nghị định số 13/2023/NĐ-CP của Chính phủ về Bảo vệ dữ liệu cá nhân: Văn bản nền tảng đặt ra 11 quyền cơ bản của chủ thể dữ liệu và định hình nghĩa vụ bảo mật cho doanh nghiệp.
- Hiến pháp nước Cộng hòa Xã hội Chủ nghĩa Việt Nam năm 2013: Cụ thể tại Điều 21 quy định về quyền bất khả xâm phạm đời sống riêng tư và bí mật cá nhân.
- Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015: Quy định các biện pháp kỹ thuật và trách nhiệm bảo vệ hệ thống thông tin chứa dữ liệu.
- Tác động của kinh tế số đến bảo vệ dữ liệu cá nhân (Tạp chí Quản lý nhà nước, 2026).
- Luật Bảo vệ dữ liệu cá nhân và vấn đề thực thi - Kinh nghiệm từ một số quốc gia phát triển (Tạp chí Tòa án nhân dân, 2026)
