Từ năm 2026, mạng xã hội tuyệt đối không được làm những điều này, người dùng cần biết để bảo vệ bản thân

Ngày 26/6/2025, tại Kỳ họp thứ 9, Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam đã chính thức thông qua Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15). Luật này đưa ra nhiều quy định đáng chú ý, trong đó nổi bật là quy định nghiêm cấm hành vi mua bán dữ liệu cá nhân; yêu cầu doanh nghiệp xóa dữ liệu người lao động sau khi hợp đồng lao động kết thúc; và quy định mạng xã hội không được yêu cầu người dùng cung cấp hình ảnh, video chứa thông tin giấy tờ tùy thân nhằm xác thực tài khoản.

Nghiêm cấm hành vi mua bán dữ liệu cá nhân
Tại Điều 7 của Luật Bảo vệ dữ liệu cá nhân, có tổng cộng 07 hành vi bị nghiêm cấm liên quan đến dữ liệu cá nhân. Cụ thể:

- Xử lý dữ liệu cá nhân với mục đích chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, cũng như quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

- Cản trở việc thực hiện các hoạt động nhằm bảo vệ dữ liệu cá nhân.

- Lợi dụng danh nghĩa bảo vệ dữ liệu cá nhân để thực hiện các hành vi vi phạm pháp luật.

- Thực hiện xử lý dữ liệu cá nhân không đúng theo quy định pháp luật.

- Dùng dữ liệu cá nhân của người khác hoặc cho phép người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật.

- Thực hiện mua bán dữ liệu cá nhân, ngoại trừ các trường hợp được quy định khác trong luật.

- Chiếm đoạt, cố ý làm rò rỉ, làm mất dữ liệu cá nhân.

Doanh nghiệp phải xóa dữ liệu cá nhân người lao động sau khi chấm dứt hợp đồng
Khoản 2 Điều 25 quy định rõ trách nhiệm của các cơ quan, tổ chức, cá nhân trong việc quản lý và sử dụng người lao động liên quan đến dữ liệu cá nhân. Theo đó, doanh nghiệp sau khi chấm dứt hợp đồng lao động có nghĩa vụ:

- Tuân thủ đúng các quy định tại Luật Bảo vệ dữ liệu cá nhân, cùng các văn bản pháp luật liên quan về lao động, việc làm, và dữ liệu.

- Lưu trữ dữ liệu cá nhân của người lao động trong thời hạn pháp luật quy định hoặc theo nội dung đã thỏa thuận giữa các bên.

- Tiến hành xóa hoặc hủy dữ liệu cá nhân của người lao động sau khi hợp đồng kết thúc, trừ trường hợp có thỏa thuận hoặc quy định pháp luật khác cho phép giữ lại dữ liệu.

Mạng xã hội không được yêu cầu cung cấp hình ảnh, video chứa nội dung về giấy tờ tùy thân làm yếu tố xác thực
Tại Điều 29, luật quy định nghĩa vụ của tổ chức, cá nhân cung cấp dịch vụ mạng xã hội và dịch vụ truyền thông trực tuyến. Theo đó, họ phải:

- Minh bạch về loại dữ liệu cá nhân được thu thập khi người dùng cài đặt và sử dụng dịch vụ; không được thu thập dữ liệu cá nhân trái phép hoặc vượt quá phạm vi đã thỏa thuận với người dùng.

- Không được yêu cầu người sử dụng cung cấp hình ảnh hoặc video có chứa một phần hay toàn bộ giấy tờ tùy thân để xác thực tài khoản.

- Cung cấp tùy chọn để người dùng từ chối việc thu thập và chia sẻ dữ liệu thông qua cookies.

- Cho phép người dùng chọn “không theo dõi” hoặc chỉ tiến hành theo dõi hành vi sử dụng dịch vụ khi có sự đồng thuận.

- Tuyệt đối không được nghe lén, nghe trộm, ghi âm cuộc gọi hay đọc tin nhắn của người dùng khi chưa có sự cho phép, trừ trường hợp pháp luật quy định.

- Công khai chính sách bảo mật; giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu cá nhân; đồng thời, cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư.

- Thiết lập quy trình báo cáo vi phạm và xử lý các sự cố liên quan đến quyền riêng tư, bảo vệ dữ liệu cá nhân công dân Việt Nam trong trường hợp dữ liệu được chuyển ra nước ngoài.

Luật Bảo vệ dữ liệu cá nhân sẽ chính thức có hiệu lực từ ngày 01/01/2026.

>> Bộ trưởng Bộ Công an: Cần chế tài xử lý nghiêm minh việc mua bán dữ liệu cá nhân