Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua ngày 26/6, hiệu lực từ 1/1/2026 là văn bản luật đầu tiên của Việt Nam về bảo vệ dữ liệu cá nhân. Trước đó, lĩnh vực này chỉ được quy định trong Nghị định 13/2023.

So với quy định cũ, luật bổ sung nhiều quy định mới, điều chỉnh phạm vi rộng hơn, đồng thời cụ thể hóa việc bảo vệ dữ liệu cá nhân trong một số lĩnh vực có tác động toàn dân như lao động, ngân hàng, dịch vụ truyền thông, mạng xã hội, bảo hiểm...

Luật cũng bổ sung 3 hành vi bị nghiêm cấm: Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật; Mua, bán dữ liệu cá nhân; Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

>>Xem thêm: 7 hành vi bị nghiêm cấm

Dữ liệu cá nhân bị bán với giá 1.000 đồng

Việc mua bán, cho thuê thông tin cá nhân tiếp tay cho các hành vi trái pháp luật những năm gần đây liên tục được cơ quan điều tra, tố tụng phát hiện, xử lý. Dữ liệu cá nhân bị các đường dây trung gian mua bán tràn lan trên mạng xã hội có khi giá chỉ 1.000 đồng mỗi dữ liệu người dùng.

Trong vụ án bị Công an Huế triệt phá đầu năm 2022, cho thấy nhóm 5 thanh niên đã tập hợp, mua bán 7.000-10.000 dữ liệu/ngày. Trong 14 tháng hoạt động, 6,2 triệu dữ liệu cá nhân trên cả nước đã bị nhóm này rao bán với tổng số tiền 720 triệu đồng.

Nhà chức trách khuyến cáo người dân bảo mật dữ liệu cá nhân, không cho mượn, cho thuê, bán, để người khác sử dụng vào mục đích trái pháp luật. Ảnh: Hải Thư

Loại vi phạm điển hình khác là việc "cho mượn" giấy tờ tùy thân để mở thẻ ngân hàng, hoặc mở tài khoản ngân hàng, bán cho các nhóm tội phạm lừa đảo, rửa tiền sử dụng vào mục đích chuyển, nhận, rút tiền chiếm đoạt trái pháp luật.

Trong vụ việc tháng 11/2024 ở Đồng Tháp, cha con người đàn ông 47 tuổi bán ba tài khoản ngân hàng cho nhóm tội phạm với giá 9 triệu đồng, bị công an phạt hành chính 127,5 triệu đồng về hành vi Cho mượn và bán tài khoản ngân hàng để thanh toán.

Trước đó, con rể ông này thấy có người trên mạng xã hội muốn mua tài khoản ngân hàng nên rủ bố vợ cùng bán. Người mua đã dùng những tài khoản này để giao dịch trong đường dây tổ chức xuất nhập cảnh trái phép, bị Công an Lạng Sơn triệt phá, nên việc bán tài khoản cũng bị lộ.

Trong các trường hợp nêu trên, người vi phạm không bị truy cứu trách nhiệm hình sự do không biết việc các tài khoản ngân hàng đứng tên mình sẽ bị mua lại để phục vụ cho mục đích trái pháp luật.

Ngược lại, nếu biết mà vẫn cho mượn, cho thuê thông tin cá nhân, giấy tờ tùy thân... hình phạt sẽ là án tù. Vụ án được TAND Hà Nội xét xử tháng 12/2020 là một ví dụ. Ba bị cáo ở độ tuổi 20, được một người Đài Loan thuê mở tài khoản ngân hàng ở Việt Nam, trả công 2 triệu đồng mỗi tài khoản. Ba thanh niên đã bán 12 tài khoản và dùng để rút thuê 2,4 tỷ đồng cho người ngoại quốc này.

Đây đều là tiền của các nạn nhân, bị nhóm lừa đảo giả danh công an đe dọa, ép chuyển. Ba thanh niên tại tòa khai biết việc mở tài khoản thuê nhằm phục vụ lừa đảo, song vẫn làm. Họ bị kết tội Lừa đảo chiếm đoạt tài sản, án 7-13 năm tù.

Qua các vụ việc trên có thể thấy, trước Luật Bảo vệ dữ liệu cá nhân, hành vi cho mượn thông tin cá nhân để phạm tội không bị xử lý hình sự độc lập mà thông qua các tội khác, nếu chứng minh được yếu tố đồng phạm, giúp sức hoặc tiếp tay. Trường hợp người cho mượn không biết việc dùng vào mục đích phạm tội thì chỉ bị xử lý hành chính.

Luật Bảo vệ dữ liệu cá nhân khi ra đời đã luật hóa hành vi này thành "hành vi bị nghiêm cấm", có giá trị định hướng, là bước đệm để tiến tới xử phạt hành chính rõ ràng hơn và có thể tạo cơ sở cho hình sự hóa tội danh cụ thể trong tương lai.

Trẻ từ 7 tuổi có quyền quyết định việc xử lý dữ liệu cá nhân của mình

Luật Bảo vệ dữ liệu cá nhân còn bổ sung nội dung quan trọng không có trong Nghị định 13/2023, về bảo vệ dữ liệu cá nhân của trẻ em và người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi. Theo đó, quyền của nhóm này sẽ do người đại diện theo pháp luật thay mặt thực hiện.

Riêng với trẻ em từ đủ 7 tuổi trở lên, việc xử lý dữ liệu cá nhân nhằm công bố, tiết lộ thông tin về đời tư, bí mật cá nhân của trẻ phải được sự đồng ý của cả cháu bé và người đại diện theo pháp luật (cha mẹ, người giám hộ).

>>Xem chi tiết quy định

Trong một số trường hợp, việc xử lý dữ liệu cá nhân sẽ không cần sự đồng ý của chủ thể: phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật; để giải quyết tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật...

Dữ liệu cá nhân chỉ được công khai với mục đích cụ thể, đúng luật, đúng mục đích, phạm vi và khi có sự đồng ý của chủ thể dữ liệu đó.

Tùy mức độ, các vi phạm về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính tối đa 3 tỷ đồng hoặc xử lý hình sự. Mua, bán dữ liệu cá nhân, có thể bị phạt tối đa là 10 lần khoản thu có được từ hành vi vi phạm.

Với vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới, mức phạt hành chính tối đa là 5% doanh thu của năm trước liền kề của tổ chức đó.

Hải Thư