Chỉ thu dữ liệu cá nhân thật sự cần cho nghiệp vụ, viết chính sách riêng tư đọc được, và xin đồng ý riêng khi đụng dữ liệu trẻ em

Chỉ thu đúng thứ nghiệp vụ cần, nói rõ mục đích, mỗi mục đích một lần đồng ý riêng; im lặng không tính là đồng ý. Công bố thông tin riêng tư của trẻ từ bảy tuổi cần cả trẻ và người đại diện đồng ý. Phạt tối đa 3.000.000.000 đồng.

Chi phí

Không mất tiền. Bạn cần dành một buổi rà từng trường trong cơ sở dữ liệu và từng quyền mà app xin, rồi xoá những trường không phục vụ việc gì đang chạy. Khó ở chỗ đội sản phẩm muốn giữ lại để sau này phân tích, còn bạn phải viết ra lý do cho từng trường tồn tại.

Lợi ích

Dữ liệu cá nhân nên được thu thập đúng nhu cầu, giải thích mục đích rõ và hạn chế quyền truy cập. Một mẫu đồng ý mơ hồ không thay thế được nghĩa vụ bảo vệ thông tin.

Pháp luật Việt Nam

Điều 3 khoản 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 nói chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng. Điều 9 khoản 4 buộc sự đồng ý thể hiện theo từng mục đích, không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác, và sự im lặng hoặc không phản hồi không được coi là đồng ý; khoản 2 buộc lúc xin đồng ý phải nêu loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu, quyền và nghĩa vụ của người dùng. Điều 24 khoản 2 nói với trẻ em thì người đại diện theo pháp luật thay mặt thực hiện các quyền, và việc xử lý dữ liệu của trẻ nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của trẻ em và người đại diện theo pháp luật. Điều 29 khoản 6 buộc nền tảng mạng xã hội công khai chính sách bảo mật, giải thích cách thu thập, sử dụng, chia sẻ dữ liệu, và cho người dùng cơ chế truy cập, chỉnh sửa, xoá dữ liệu, thiết lập quyền riêng tư. Điều 23 buộc thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại. Về chế tài, Điều 8 khoản 5 đặt mức phạt tiền tối đa 3.000.000.000 đồng cho các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, khoản 6 nói mức tối đa đó áp dụng cho tổ chức, còn cá nhân thực hiện cùng hành vi thì bằng một phần hai.

Ghi chú

Vì sao mức B: mục này đứng trên một luật có hiệu lực từ 01/01/2026, đọc được nguyên văn cả nghĩa vụ lẫn mức phạt tối đa, nhưng chưa có bản án nào về đúng hành vi thu quá tay trong một app Việt Nam, nên không lên A. Ba cái bẫy hay gặp. Một: bê nguyên bộ câu hỏi đăng ký của một app mẫu, thêm số căn cước, ảnh giấy tờ, danh bạ để xác thực; mỗi trường thêm vào là một trường phải giải trình khi bị hỏi, và là một trường sẽ nằm trong bản sao lưu khi rò rỉ. Hai: gộp ba mục đích vào một ô "Tôi đồng ý điều khoản"; Điều 9 khoản 4 đòi đồng ý theo từng mục đích và cấm treo điều kiện, còn ô bỏ trống thì không phải là đồng ý. Ba: app có phần dành cho học sinh, thiếu nhi mà vẫn dùng điều khoản của người lớn, không có bước xác nhận của người đại diện, vẫn đăng ảnh và thành tích của trẻ; đây đúng là chỗ Điều 24 khoản 2 đòi cả trẻ và người đại diện cùng đồng ý. Mục này không có nghĩa là thu ít dữ liệu thì khỏi phải làm gì: ít trường hơn làm nhẹ trách nhiệm, nhưng chính sách công khai, đồng ý theo mục đích và thông báo trong 72 giờ vẫn là nghĩa vụ, không phải tuỳ chọn.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Trước khi ra mắt, đối chiếu danh sách quyền app xin với chính sách quyền riêng tư, quyền nào bỏ được thì bỏ. Khó ở chỗ bên sản phẩm lúc nào cũng muốn giữ thêm ít dữ liệu "sau này có khi dùng tới"

Nói đơn giản

Chỉ thu thông tin cần cho nghiệp vụ, người chưa đủ 14 tuổi phải có người giám hộ đồng ý. Vi phạm thì trước hết bị buộc sửa, app có thể bị ngừng. Không chịu sửa thì phạt tới 1 triệu nhân dân tệ, người phụ trách bị phạt 10.000 đến 100.000 tệ. Nghiêm trọng thì phạt tới 50 triệu tệ hoặc tới 5% doanh thu năm trước, người phụ trách bị phạt 100.000 đến 1 triệu tệ.

Lợi ích

Xử lý thông tin cá nhân phải có mục đích rõ ràng, hợp lý, liên quan trực tiếp tới mục đích đó, và dùng cách ít ảnh hưởng nhất tới quyền lợi của cá nhân. Xử lý thông tin cá nhân phải được cá nhân đồng ý, hoặc thuộc trường hợp luật cho phép. Người chưa đủ 14 tuổi thì bắt buộc phải được cha mẹ hoặc người giám hộ đồng ý. Vi phạm thì cơ quan quản lý buộc sửa, cảnh cáo, tịch thu khoản thu lợi bất chính, buộc app vi phạm tạm ngừng hoặc chấm dứt cung cấp dịch vụ. Không chịu sửa thì phạt tới 1 triệu nhân dân tệ, người quản lý trực tiếp phụ trách và những người trực tiếp chịu trách nhiệm khác bị phạt 10.000 đến 100.000 nhân dân tệ. Tình tiết nghiêm trọng thì phạt tới 50 triệu nhân dân tệ, hoặc tới 5% doanh thu năm trước. Người chịu trách nhiệm bị phạt 100.000 đến 1 triệu nhân dân tệ. Những người này còn có thể bị cấm làm giám đốc, kiểm soát viên, quản lý cấp cao của doanh nghiệp liên quan trong một thời hạn. Bán hoặc cung cấp thông tin cá nhân đến mức phạm tội, xem mục 4 (toàn Trung Quốc)

Mức bằng chứng

B

Ghi chú

Điều luật không ghi "những người trực tiếp chịu trách nhiệm khác" là vị trí nào. Tác giả suy ra người viết code và làm sản phẩm cũng có thể bị tính vào; sách này chưa tìm thấy vụ việc đối chiếu được từng chữ. Bộ Công nghiệp và Công nghệ Thông tin (Trung Quốc) định kỳ thông báo gỡ các app vi phạm; chương này chưa xác minh được cụ thể là đợt thông báo nào nên không dẫn.

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 1

1. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Công báo 971+972 ngày 24/7/2025 (Điều 3 khoản 2, Điều 8 khoản 5 và 6, Điều 9 khoản 2 và 4, Điều 23, Điều 24 khoản 2, Điều 29 khoản 6) — congbao.chinhphu.vn/van-ban/luat-so-91-2025-q… . Tra ngày 3/11/2026.