Mạng xã hội có thể bị phạt nếu ép người dùng cung cấp giấy tờ cá nhân

Đây là một trong những thay đổi mang tính bước ngoặt của luật Bảo vệ dữ liệu cá nhân, buộc các “ông lớn công nghệ” phải thay đổi hoàn toàn quy trình vận hành mạng xã hội tại Việt Nam nếu không muốn đối mặt với mức phạt lên tới 5% tổng doanh thu.

Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực từ đầu năm 2026 đặt ra hàng loạt nghĩa vụ pháp lý mới đối với các tổ chức, cá nhân cung cấp dịch vụ trên không gian số, đặc biệt nhóm mạng xã hội và dịch vụ truyền thông trực tuyến. Đạo luật được đánh giá như hành lang pháp lý quan trọng nhằm siết chặt hoạt động thu thập, xử lý dữ liệu của người dùng, nhất là các dữ liệu nhạy cảm liên quan đến định danh cá nhân.

Một trong những quy định đáng chú ý nhất nằm tại Điều 29 của luật, liên quan trực tiếp đến quy trình xác minh danh tính (eKYC). Theo đó, các nền tảng mạng xã hội bị cấm hoàn toàn việc yêu cầu người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân để làm yếu tố xác thực tài khoản.

Quy định đã đánh dấu bước thay đổi lớn so với thực tiễn thời gian qua. Trước đây, nhiều nền tảng mạng xã hội xuyên biên giới thường áp dụng chính sách buộc người dùng phải gửi ảnh chụp căn cước công dân, chứng minh nhân dân hoặc hộ chiếu để mở khóa, khôi phục mật khẩu hay lấy tích xanh xác minh. Tuy nhiên, việc thu thập và lưu trữ tràn lan dữ liệu gốc kể trên tiềm ẩn rủi ro lớn về an ninh, an toàn thông tin. Nếu hệ thống bảo mật của nhà cung cấp dịch vụ không đảm bảo, kho dữ liệu giấy tờ tùy thân có thể bị tin tặc tấn công, lộ lọt, dẫn đến nhiều hệ lụy nghiêm trọng như giả mạo danh tính hay lừa đảo tài chính.

Chặn mối lo mạng xã hội nghe lén, theo dõi

Không chỉ dừng lại ở ngăn chặn thu thập giấy tờ tùy thân, luật Bảo vệ dữ liệu cá nhân còn thiết lập những “lằn ranh đỏ” về quyền riêng tư mà các nền tảng không được phép vượt qua. Cụ thể, mạng xã hội không được phép nghe lén, nghe trộm, ghi âm cuộc gọi hay đọc tin nhắn văn bản của người dùng khi không có sự đồng ý rõ ràng của chủ thể dữ liệu, trừ những trường hợp đặc biệt do luật định. Quy định nhằm giải tỏa nỗi lo lắng thường trực của công chúng về việc các ứng dụng âm thầm theo dõi hội thoại để phục vụ mục đích quảng cáo.

Đồng thời, luật cũng trao quyền chủ động kiểm soát dữ liệu lớn hơn cho người sử dụng. Các nền tảng bắt buộc phải cung cấp cho chủ tài khoản lựa chọn từ chối việc thu thập và chia sẻ cookie, cũng như cho phép bật chế độ “Không theo dõi” (Do Not Track). Mọi hoạt động theo dõi hành vi sử dụng chỉ được phép thực hiện khi người dùng đã nhấn nút đồng ý một cách minh bạch.

Các tổ chức cũng phải công khai chính sách bảo mật, giải thích rõ ràng cách thức thu thập, sử dụng, chia sẻ dữ liệu, đồng thời cung cấp cơ chế để người dùng truy cập, chỉnh sửa hoặc xóa bỏ dữ liệu cá nhân của mình.

Về phương thức xác thực thay thế cho giấy tờ tùy thân, hành lang pháp lý cũng đã có sự đồng bộ. Trước đó, vào cuối năm 2024, Chính phủ ban hành Nghị định 147 về quản lý, cung cấp và sử dụng dịch vụ internet và thông tin trên mạng, quy định rõ các nền tảng mạng xã hội có trách nhiệm xác thực tài khoản người sử dụng bằng số điện thoại di động chính chủ tại Việt Nam. Chỉ trong trường hợp người dùng xác nhận không có số điện thoại di động tại Việt Nam, tổ chức cung cấp dịch vụ mới được phép chuyển sang phương án xác thực bằng số định danh cá nhân theo quy định về định danh điện tử. Như vậy, số điện thoại sẽ trở thành lớp định danh chính, thay thế cho việc thu thập ảnh chụp giấy tờ đầy rủi ro.

Để đảm bảo tính răn đe và tuân thủ, luật được thiết kế khung hình phạt ở mức rất cao. Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, các nền tảng có thể bị phạt tới 5% tổng doanh thu của năm tài chính liền kề trước đó. Hành vi kinh doanh, mua bán dữ liệu cá nhân trái phép, mức phạt được quy định tối đa gấp 10 lần khoản thu lợi bất chính. Còn với hành vi khác, mức phạt tiền tối đa có thể lên tới 3 tỉ đồng đối với tổ chức.