Luật Dữ liệu cá nhân 2025: Khoảng trống pháp lý và lộ trình tuân thủ dữ liệu trẻ em

Tin gốc: "Bảo vệ dữ liệu cá nhân của trẻ em theo Luật Bảo vệ dữ liệu cá nhân năm 2025: Khoảng trống pháp lý và kiến nghị hoàn thiện" (Tạp chí Điện tử Luật sư Việt Nam) · Tìm bài gốc Dưới đây là bài phân tích gốc do AI biên soạn dựa trên các sự kiện được xác minh từ 3 nguồn tin thực tế (không phải dịch hay sao chép bản gốc). Xem nguồn ở cuối bài.

Luật Bảo vệ dữ liệu cá nhân 2025 chính thức xác định trẻ em là nhóm đối tượng cần được bảo vệ đặc biệt, đặt ra yêu cầu tuân thủ nghiêm ngặt hơn so với Nghị định 13/2023/NĐ-CP trước đây. Với việc siết chặt điều kiện xử lý dữ liệu không dựa trên sự đồng ý và quy định bắt buộc xóa dữ liệu khi mất căn cứ hợp pháp, các doanh nghiệp và bộ phận pháp chế cần nhanh chóng rà soát cơ chế kiểm soát để tránh rủi ro pháp lý khi luật có hiệu lực.

Bối cảnh: Sự chuyển dịch từ Nghị định 13 sang Luật 2025

Sự ra đời của Luật Bảo vệ dữ liệu cá nhân năm 2025 đánh dấu một bước ngoặt quan trọng trong việc nâng tầm bảo vệ dữ liệu trẻ em từ văn bản hướng dẫn lên hành lang pháp lý cao nhất. Trước đây, các quy định về bảo vệ dữ liệu cá nhân của trẻ em chủ yếu dựa trên Nghị định 13/2023/NĐ-CP, một văn bản có hiệu lực thấp hơn và phạm vi áp dụng hạn chế hơn so với luật. Sự chuyển dịch này không chỉ tạo ra một khung pháp lý ràng buộc mạnh mẽ hơn mà còn khẳng định vị thế đặc biệt của nhóm đối tượng trẻ em trong hệ thống pháp luật Việt Nam.

Theo Luật Trẻ em 2016, trẻ em được định nghĩa là người dưới 16 tuổi, và Luật Bảo vệ dữ liệu cá nhân năm 2025 đã xác định rõ nhóm đối tượng này cần được bảo vệ đặc biệt. Điều này có nghĩa là mọi hoạt động xử lý dữ liệu cá nhân liên quan đến trẻ em, từ thu thập, lưu trữ đến sử dụng, đều phải tuân thủ các tiêu chuẩn nghiêm ngặt hơn so với người trưởng thành. Việc nâng cấp từ nghị định lên luật giúp giảm thiểu sự mơ hồ trong áp dụng pháp luật, đồng thời tăng cường trách nhiệm của các tổ chức, cá nhân xử lý dữ liệu.

Sự thay đổi này cũng phản ánh xu hướng toàn cầu trong việc bảo vệ quyền riêng tư và dữ liệu cá nhân của trẻ em trên môi trường số. Các quy định trước đây có thể chưa đủ mạnh để đối phó với những thách thức mới nổi từ công nghệ và sự phát triển của kinh tế số. Do đó, việc ban hành luật mới không chỉ là sự hoàn thiện về mặt pháp lý mà còn là nhu cầu thực tiễn để bảo vệ quyền lợi hợp pháp của trẻ em trong bối cảnh số hóa ngày càng sâu rộng.

Luật Bảo vệ dữ liệu cá nhân năm 2025 xác định trẻ em thuộc nhóm đối tượng cần được bảo vệ đặc biệt.
Nghị định 13/2023/NĐ-CP là quy định trước đó về bảo vệ dữ liệu cá nhân trẻ em tại Việt Nam.
Sự chuyển dịch từ nghị định lên luật tạo ra khung pháp lý ràng buộc mạnh mẽ hơn.
Các bên xử lý dữ liệu phải tuân thủ quy định chặt chẽ hơn khi thu thập dữ liệu nhân thân, học tập hoặc y tế của trẻ em.

Vấn đề cốt lõi: Định nghĩa và cơ chế đồng ý kép

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã chính thức nâng tầm bảo vệ đối với nhóm đối tượng dễ bị tổn thương nhất, đó là trẻ em, bằng cách xác định rõ ràng các tiêu chí về độ tuổi và cơ chế đồng ý. Khác với Nghị định 13/2023/NĐ-CP trước đây, văn bản luật mới không chỉ đơn thuần quy định về việc thu thập dữ liệu mà đi sâu vào bản chất của sự tự nguyện trong việc công bố thông tin. Theo đó, việc xác định "trẻ em" được gắn liền với định nghĩa trong Luật Trẻ em 2016, tức là người dưới 16 tuổi. Tuy nhiên, điểm mấu chốt nằm ở sự phân tầng về năng lực hành vi dân sự khi liên quan đến dữ liệu cá nhân. Luật quy định rằng việc xử lý dữ liệu cá nhân của trẻ em chủ yếu dựa trên sự đồng ý của người đại diện theo pháp luật, nhưng lại đưa ra một ngoại lệ quan trọng đối với nhóm trẻ em từ đủ 7 tuổi trở lên.

Cơ chế "đồng ý kép" được áp dụng chặt chẽ hơn khi liên quan đến việc công bố hoặc tiết lộ thông tin đời sống riêng tư, bí mật cá nhân của trẻ em. Đối với trẻ em từ đủ 7 tuổi, tổ chức, cá nhân xử lý dữ liệu không chỉ cần sự đồng ý của cha, mẹ hoặc người giám hộ mà còn phải có sự đồng ý trực tiếp từ chính trẻ em. Điều này phản ánh sự ghi nhận ngày càng cao về quyền tự quyết của trẻ em trong không gian số, nơi mà các hành vi như đăng tải hình ảnh, video hoặc thông tin cá nhân trên mạng xã hội ngày càng phổ biến. Sự khác biệt này tạo ra một rào cản pháp lý rõ ràng, buộc các bên xử lý dữ liệu phải thiết kế lại quy trình thu thập thông tin, đảm bảo không chỉ có chữ ký của người đại diện mà còn phải xác minh được sự đồng ý thật sự từ phía trẻ em, đặc biệt trong các trường hợp nhạy cảm liên quan đến nhân thân, học tập hoặc y tế.

Tuy nhiên, việc áp dụng cơ chế này trong thực tiễn đang bộc lộ những khoảng trống và thách thức về mặt kỹ thuật lẫn pháp lý. Thứ nhất, ranh giới giữa "thông tin đời sống riêng tư" và "thông tin thông thường" đôi khi không rõ ràng, dẫn đến nguy cơ vi phạm nếu doanh nghiệp không phân loại đúng. Thứ hai, việc xác minh độ tuổi và năng lực hiểu biết của trẻ em từ 7 tuổi trở lên để đảm bảo sự đồng ý là minh bạch và tự nguyện là một bài toán khó, đặc biệt khi các nền tảng số thường thu thập dữ liệu tự động. Nếu không có hướng dẫn chi tiết từ cơ quan nhà nước có thẩm quyền, nhiều tổ chức có thể rơi vào tình trạng tuân thủ hình thức, tức là chỉ xin đủ chữ ký nhưng không đảm bảo trẻ em thực sự hiểu và đồng ý, làm mất đi ý nghĩa bảo vệ thực sự của luật định.

Để đối phó với những thách thức này, doanh nghiệp và tổ chức xử lý dữ liệu cần lưu ý các điểm sau:

Thiết lập quy trình xác minh độ tuổi và năng lực hành vi riêng biệt cho nhóm trẻ em từ đủ 7 tuổi, tránh áp dụng chung quy trình cho người lớn.
Rà soát lại các điều khoản dịch vụ và biểu mẫu thu thập dữ liệu để tách biệt yêu cầu đồng ý của người đại diện và trẻ em trong các trường hợp công bố thông tin đời sống riêng tư.
Xây dựng cơ chế kiểm soát nội bộ nhằm đảm bảo dữ liệu thu thập từ trẻ em không được sử dụng cho các mục đích marketing hoặc phân tích hành vi nếu không có sự đồng ý kép rõ ràng.

Khoảng trống pháp lý: Hạn chế trong các trường hợp không dựa trên sự đồng ý

Sự chuyển dịch từ Nghị định 13/2023/NĐ-CP sang Luật Bảo vệ dữ liệu cá nhân năm 2025 đã tạo ra một khung pháp lý chặt chẽ hơn, trong đó trẻ em dưới 16 tuổi được xác định là nhóm đối tượng cần được bảo vệ đặc biệt. Tuy nhiên, việc siết chặt điều kiện xử lý dữ liệu ngoài căn cứ sự đồng ý đã tạo ra những khoảng trống pháp lý đáng kể, đặc biệt đối với các hoạt động vận hành thông thường của doanh nghiệp. Theo quy định mới, việc xử lý dữ liệu cá nhân của trẻ em chủ yếu dựa trên sự đồng ý của người đại diện theo pháp luật, và đối với trẻ em từ đủ 7 tuổi trở lên, việc công bố hoặc tiết lộ thông tin đời sống riêng tư, bí mật cá nhân còn yêu cầu sự đồng ý kép từ cả trẻ em và người đại diện. Điều này làm giảm đáng kể không gian cho các căn cứ hợp pháp khác như lợi ích hợp pháp hay nghĩa vụ pháp lý, vốn thường được áp dụng linh hoạt hơn trong các trường hợp xử lý dữ liệu người lớn.

Khoảng trống pháp lý này trở nên rõ nét khi doanh nghiệp gặp khó khăn trong việc xác định căn cứ hợp pháp cho các hoạt động không liên quan trực tiếp đến việc thu thập dữ liệu mới, chẳng hạn như lưu trữ hồ sơ nhân sự, quản lý khách hàng, hoặc phân tích dữ liệu nội bộ. Khi các căn cứ ngoài sự đồng ý bị hạn chế, doanh nghiệp phải đối mặt với rủi ro cao về việc xử lý dữ liệu không có cơ sở pháp lý nếu không thể chứng minh được sự phù hợp với các ngoại lệ hẹp được quy định. Sự mơ hồ trong việc xác định "lợi ích hợp pháp" đối với dữ liệu nhạy cảm của trẻ em, đặc biệt là trong bối cảnh thiếu các hướng dẫn chi tiết từ cơ quan quản lý, khiến nhiều tổ chức e ngại trong việc duy trì các quy trình xử lý dữ liệu hiện có.

Để đối phó với thách thức này, doanh nghiệp cần rà soát lại toàn bộ quy trình xử lý dữ liệu, tập trung vào các điểm sau:

Xác định lại căn cứ pháp lý: Đánh giá kỹ lưỡng từng hoạt động xử lý dữ liệu để đảm bảo không vi phạm nguyên tắc chỉ xử lý khi có sự đồng ý hoặc căn cứ pháp lý rõ ràng, tránh áp dụng máy móc các căn cứ dành cho người lớn.
Cơ chế dừng và xóa dữ liệu: Thiết lập quy trình tự động để dừng và xóa dữ liệu cá nhân của trẻ em ngay khi không còn căn cứ hợp pháp, tuân thủ nghiêm ngặt yêu cầu của Luật 2025.
Kiểm soát truy cập và công bố: Áp dụng biện pháp bảo mật chặt chẽ hơn đối với thông tin đời sống riêng tư và bí mật cá nhân của trẻ em từ đủ 7 tuổi, đảm bảo việc công bố hoặc tiết lộ thông tin luôn có sự đồng ý kép.
Cập nhật chính sách tuân thủ: Điều chỉnh chính sách bảo vệ dữ liệu và thỏa thuận xử lý dữ liệu để phản ánh đúng các yêu cầu mới, đồng thời đào tạo nhân sự về cách xử lý dữ liệu trẻ em trong các tình huống không dựa trên sự đồng ý.

Tác động thực tiễn: Rủi ro tuân thủ cho doanh nghiệp

Rủi ro pháp lý trong việc xác thực sự đồng ý

Doanh nghiệp xử lý dữ liệu cá nhân của trẻ em, đặc biệt là các nhóm đối tượng từ đủ 7 tuổi trở lên, đối mặt với rủi ro tuân thủ nghiêm trọng nếu không thiết lập được cơ chế xác thực sự đồng ý kép. Theo quy định, việc công bố hoặc tiết lộ thông tin đời sống riêng tư, bí mật cá nhân của trẻ em trong độ tuổi này không chỉ cần sự đồng ý của người đại diện theo pháp luật mà còn phải có sự đồng ý trực tiếp từ chính trẻ em. Sự phức tạp này đặt ra thách thức lớn về mặt kỹ thuật và quy trình cho các tổ chức, cá nhân khi thu thập dữ liệu nhân thân, học tập hoặc y tế. Nếu doanh nghiệp chỉ thu thập sự đồng ý từ cha mẹ hoặc người giám hộ mà bỏ qua bước xác nhận ý kiến của trẻ em, hành vi xử lý dữ liệu đó sẽ bị coi là vi phạm, dẫn đến nguy cơ bị xử phạt hành chính hoặc trách nhiệm dân sự.

Trách nhiệm dừng và xóa dữ liệu khi mất căn cứ hợp pháp

Một khía cạnh rủi ro khác nằm ở nghĩa vụ chủ động của bên xử lý dữ liệu trong việc duy trì tính hợp pháp của cơ sở xử lý. Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định chặt chẽ rằng tổ chức, cá nhân phải dừng ngay lập tức và xóa dữ liệu cá nhân của trẻ em khi không còn căn cứ hợp pháp để tiếp tục xử lý. Điều này có nghĩa là doanh nghiệp không thể giữ lại dữ liệu của trẻ em với lý do "dự trữ" hoặc "phục vụ phân tích trong tương lai" nếu mục đích ban đầu đã kết thúc hoặc sự đồng ý bị rút lại. Việc không thực hiện đúng quy trình này, đặc biệt là trong các trường hợp không dựa trên sự đồng ý, sẽ tạo ra lỗ hổng tuân thủ lớn. Doanh nghiệp cần xây dựng cơ chế rà soát định kỳ để đảm bảo rằng mọi dữ liệu trẻ em đang lưu trữ đều có căn cứ pháp lý rõ ràng và được xóa bỏ kịp thời khi không còn cần thiết.

Các điểm mấu chốt cần lưu ý cho doanh nghiệp

Để giảm thiểu rủi ro, doanh nghiệp cần tập trung vào các yếu tố thực tiễn sau:

Cơ chế đồng ý kép: Thiết kế quy trình thu thập dữ liệu riêng biệt cho trẻ em từ đủ 7 tuổi, đảm bảo có sự xác nhận độc lập từ cả trẻ em và người đại diện theo pháp luật.
Xác thực độ tuổi: Áp dụng các biện pháp kỹ thuật để xác minh chính xác độ tuổi của người dùng, từ đó áp dụng đúng mức độ bảo vệ và yêu cầu đồng ý tương ứng.
Quy trình xóa dữ liệu: Xây dựng quy trình tự động hoặc thủ công để dừng xử lý và xóa dữ liệu trẻ em ngay khi mục đích xử lý kết thúc hoặc khi có yêu cầu từ người đại diện.
Rà soát cơ sở pháp lý: Thường xuyên kiểm tra lại các trường hợp xử lý dữ liệu không dựa trên sự đồng ý để đảm bảo tuân thủ các điều kiện ngoại lệ nghiêm ngặt mà luật mới đưa ra.

Giải pháp: Cơ chế rà soát, dừng và xóa dữ liệu

Việc tuân thủ Luật Bảo vệ dữ liệu cá nhân năm 2025 đòi hỏi các tổ chức và cá nhân xử lý dữ liệu phải thiết lập quy trình nội bộ chặt chẽ để tự động dừng xử lý và xóa dữ liệu trẻ em ngay khi mất căn cứ hợp pháp. Khác với Nghị định 13/2023/NĐ-CP trước đây, luật mới siết chặt điều kiện xử lý trong các trường hợp không dựa trên sự đồng ý, đồng thời quy định rõ nghĩa vụ xóa dữ liệu khi không còn cơ sở pháp lý. Điều này đặt ra yêu cầu cấp thiết về việc rà soát định kỳ các hồ sơ dữ liệu của trẻ em, đặc biệt là những thông tin nhân thân, học tập hoặc y tế, để đảm bảo không tồn tại dữ liệu dư thừa hoặc không còn mục đích sử dụng.

Doanh nghiệp cần xây dựng cơ chế kỹ thuật và quy trình quản lý để nhận diện sớm các thay đổi trong tình trạng pháp lý của việc xử lý dữ liệu. Ví dụ, khi một đứa trẻ vượt quá 16 tuổi, định nghĩa "trẻ em" theo Luật Trẻ em 2016 sẽ không còn áp dụng, hoặc khi sự đồng ý của người đại diện bị thu hồi, hệ thống phải tự động kích hoạt quy trình dừng xử lý. Việc này không chỉ giúp tránh rủi ro vi phạm pháp luật mà còn thể hiện trách nhiệm xã hội trong bảo vệ quyền riêng tư của nhóm đối tượng dễ bị tổn thương.

Để hiện thực hóa yêu cầu này, các bên xử lý dữ liệu nên tập trung vào các biện pháp cụ thể sau:

Xây dựng quy trình rà soát định kỳ: Thiết lập lịch trình kiểm tra thường xuyên đối với tất cả dữ liệu cá nhân của người dưới 16 tuổi, đặc biệt chú trọng đến các trường hợp không dựa trên sự đồng ý để đảm bảo tính hợp pháp liên tục.
Tự động hóa cơ chế dừng và xóa: Tích hợp các công cụ kỹ thuật vào hệ thống quản lý dữ liệu để tự động khóa truy cập và xóa dữ liệu khi phát hiện mất căn cứ hợp pháp, giảm thiểu sai sót do yếu tố con người.
Đào tạo và nâng cao nhận thức: Tổ chức đào tạo nhân sự về quy trình xử lý dữ liệu trẻ em theo Luật 2025, nhấn mạnh vào nghĩa vụ dừng xử lý ngay lập tức khi có yêu cầu hoặc khi thay đổi tình trạng pháp lý.
Ghi chép và minh bạch hóa: Duy trì nhật ký xử lý dữ liệu chi tiết, ghi lại thời điểm dừng và xóa dữ liệu, cũng như căn cứ pháp lý cho mỗi hành động, để sẵn sàng cho việc kiểm tra, thanh tra của cơ quan nhà nước có thẩm quyền.

Câu hỏi thường gặp

Độ tuổi nào được Luật Bảo vệ dữ liệu cá nhân 2025 xác định là trẻ em cần bảo vệ đặc biệt?

Theo Luật Trẻ em 2016, trẻ em được định nghĩa là người dưới 16 tuổi. Luật Bảo vệ dữ liệu cá nhân năm 2025 xác định nhóm đối tượng này cần được bảo vệ đặc biệt trong quá trình xử lý dữ liệu.

Khi nào cần sự đồng ý của cả trẻ em và người đại diện theo pháp luật?

Đối với trẻ em từ đủ 7 tuổi trở lên, việc công bố hoặc tiết lộ thông tin đời sống riêng tư, bí mật cá nhân cần có sự đồng ý của cả trẻ em và người đại diện. Đây là quy định khác biệt so với các trường hợp xử lý dữ liệu khác chỉ dựa trên sự đồng ý của người đại diện.

Nghĩa vụ của tổ chức xử lý dữ liệu khi hết căn cứ hợp pháp là gì?

Tổ chức, cá nhân xử lý dữ liệu phải dừng và xóa dữ liệu cá nhân của trẻ em khi không còn căn cứ hợp pháp. Quy định này áp dụng cho các thông tin nhân thân, học tập hoặc y tế đã thu thập trước đó.