Bảo vệ dữ liệu người tiêu dùng trên không gian mạng

Thông tin người tiêu dùng trở thành nguồn dữ liệu quan trọng đối với hoạt động kinh doanh, nhất là trong thương mại điện tử, quảng cáo trực tuyến,… song cũng làm gia tăng nguy cơ sử dụng sai mục đích, tiết lộ trái phép, mua bán dữ liệu nhằm thực hiện hành vi lừa đảo.

Mức độ bảo vệ giảm dần khi dữ liệu đi càng xa

Một người tiêu dùng ở Hà Nội tải ứng dụng mua sắm của một nền tảng có trụ sở ở nước ngoài, đăng ký bằng số điện thoại, nhập địa chỉ và liên kết thẻ thanh toán. Chỉ trong vài phút, các thông tin ấy đã đến máy chủ của nền tảng ở nước khác, rồi được chuyển cho người bán ở nước thứ ba, cho đơn vị vận chuyển và bên xử lý thanh toán. Cùng lúc đó, ứng dụng ghi lại người tiêu dùng đã xem sản phẩm nào, dừng lại bao lâu.

Vài tháng sau, người đó nhận được một cuộc gọi lừa đảo nêu đúng tên món hàng vừa mua nhưng không biết phải gửi yêu cầu cho ai, theo pháp luật nước nào và ai phải bồi thường nếu dữ liệu bị lộ? Thực tế, rủi ro kiểu này không nhỏ. Chỉ trong quý I/2026 đã có hơn 6,9 triệu tài khoản người dùng tại Việt Nam bị rò rỉ. Anh Nguyễn Mạnh Tùng (Hải Phòng) băn khoăn, “Khi dữ liệu cá nhân của người tiêu dùng như tôi rời khỏi Việt Nam, pháp luật Việt Nam bảo vệ chúng tôi đến đâu và chúng tôi còn những công cụ nào để tự bảo vệ?”.

Với tư cách chủ thể dữ liệu, người tiêu dùng được hưởng đầy đủ các quyền theo Luật Bảo vệ dữ liệu cá nhân, như quyền được biết, quyền đồng ý và rút lại sự đồng ý, chỉnh sửa, xóa dữ liệu… cùng các quyền về bảo vệ thông tin theo Luật Bảo vệ quyền lợi người tiêu dùng. Các quyền này phải được bảo đảm như nhau, dù dữ liệu được xử lý trong nước hay đã được chuyển ra nước ngoài. Tuy nhiên, phần lớn các quyền đó không đặt ra vấn đề riêng khi dữ liệu đi qua biên giới.

Thí dụ như quyền được thông báo về sự cố vi phạm dữ liệu cá nhân xảy ra ở nước ngoài máy chủ của một nhà cung cấp dịch vụ ở nước ngoài bị tấn công, làm lộ dữ liệu của hàng trăm nghìn khách hàng Việt Nam của một sàn thương mại điện tử. Quyền được thông báo của người tiêu dùng trong trường hợp này chỉ được bảo đảm khi cả một chuỗi nghĩa vụ thông báo vận hành, khi pháp luật quy định buộc thông báo cho chính chủ thể dữ liệu.

Hiện nay, nghĩa vụ này mới đặt ra cho một số trường hợp như sự cố liên quan dữ liệu sinh trắc học, dữ liệu vị trí và dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng. Một vụ lộ họ tên, số điện thoại, địa chỉ và lịch sử mua hàng không thuộc các trường hợp này, nên người tiêu dùng không có quyền được thông báo và khi sự cố xảy ra ở nước ngoài, có thể không bao giờ biết dữ liệu của mình đã bị lộ.

Tiến sĩ Nguyễn Ngọc Quyên, Khoa Pháp luật kinh tế, Trường đại học Luật Hà Nội phân tích, nhìn từ phía người tiêu dùng, có ba phương thức để dữ liệu bị chuyển ra nước ngoài. Thứ nhất là dữ liệu bị thu thập trực tiếp khi dùng ứng dụng, trang web của một doanh nghiệp ở nước ngoài và đi thẳng đến máy chủ của doanh nghiệp đó. Thứ hai, doanh nghiệp trong nước thu thập dữ liệu rồi lưu trữ ở nước ngoài, thuê một bên ở nước ngoài xử lý, hoặc chia sẻ cho công ty mẹ, đối tác ở nước ngoài. Thứ ba, một đơn hàng xuyên biên giới có nền tảng, người bán, đơn vị vận chuyển, bên xử lý thanh toán, mỗi bên giữ một phần dữ liệu ở những nước khác nhau.

Pháp luật Việt Nam hiện đã có công cụ cho cả ba phương thức chuyển dữ liệu xuyên biên giới gồm Luật: Bảo vệ dữ liệu cá nhân, Bảo vệ quyền lợi người tiêu dùng, Thương mại điện tử song mức độ bảo vệ giảm dần khi dữ liệu đi càng xa. Khi dữ liệu được doanh nghiệp trong nước chuyển ra nước ngoài, quyền của người tiêu dùng đi theo dữ liệu qua chuỗi hợp đồng, nhưng việc đánh giá nơi nhận mới dừng ở biện pháp của bên nhận, chưa tính đến pháp luật của nước nhận. Khi dữ liệu đi qua chuỗi nhiều bên, người tiêu dùng phải tự tìm ra mắt xích có lỗi vì chưa có chế định đồng kiểm soát và trách nhiệm liên đới.

Tiến sĩ Nguyễn Ngọc Quyên cho rằng, điểm chung của các vấn đề nêu trên là quyền đã được ghi nhận khá đầy đủ, nhưng các mối nối để quyền dữ liệu của người tiêu dùng đi theo ra nước ngoài còn thiếu. Để các mối nối ấy được vận hành, cần có các văn bản hướng dẫn cụ thể cũng như cân nhắc khi sửa đổi, bổ sung Luật Bảo vệ dữ liệu cá nhân.

Khó xử lý khi dữ liệu cá nhân người tiêu dùng bị xâm phạm

Hiện nay, có không ít vụ vi phạm như sử dụng thông tin khách hàng để quảng cáo ngoài phạm vi đã thông báo; mua bán dữ liệu khách hàng qua nhiều tổ chức trung gian; rò rỉ dữ liệu từ hệ thống của sàn thương mại điện tử xảy ra thời gian qua. Mặc dù khung pháp lý về xử lý vi phạm liên quan thông tin người tiêu dùng đã được củng cố, thực tiễn xử lý vi phạm do xâm phạm dữ liệu cá nhân của người tiêu dùng còn gặp nhiều khó khăn.

Theo bà Hoàng Bích Thủy, Ủy ban Cạnh tranh quốc gia, Bộ Công thương, trước hết là khó khăn trong xác định chủ thể chịu trách nhiệm. Trong môi trường số, dữ liệu thường được xử lý thông qua mạng lưới gồm doanh nghiệp thu thập dữ liệu, nền tảng trung gian, đơn vị lưu trữ, nhà cung cấp dịch vụ phân tích, đơn vị quảng cáo và bên sử dụng dữ liệu cuối cùng. Một chủ thể có thể trực tiếp quyết định mục đích sử dụng dữ liệu nhưng không trực tiếp lưu trữ; chủ thể khác có thể lưu trữ và chuyển giao dữ liệu nhưng không quyết định mục đích ban đầu.

Bên cạnh đó, việc chứng minh và thu thập chứng cứ bởi các giao dịch dữ liệu thường được thực hiện qua hệ thống điện tử, tài khoản trung gian hoặc nền tảng đặt ngoài lãnh thổ Việt Nam cũng gặp khó khăn. Trong nhiều trường hợp, người tiêu dùng có thể gặp khó khăn khi chứng minh thông tin của mình đã bị sử dụng trái phép, xác định bên chịu trách nhiệm hoặc chứng minh thiệt hại phát sinh. Việc dữ liệu bị chuyển giao qua nhiều bên cũng khiến người tiêu dùng khó biết ai đang nắm giữ và sử dụng thông tin của mình.

Trong bối cảnh kinh tế số, một khuôn khổ pháp lý hiệu quả cần kết hợp ba trụ cột: phòng ngừa thông qua nghĩa vụ tuân thủ; xử lý nghiêm minh, tương xứng với tính chất và hậu quả vi phạm và khôi phục quyền, lợi ích hợp pháp của người bị xâm phạm. Đây cũng là cơ sở để nâng cao trách nhiệm của doanh nghiệp, củng cố niềm tin của người tiêu dùng và tăng cường hiệu quả quản lý nhà nước đối với hoạt động kinh doanh dựa trên dữ liệu.

Bà Hoàng Bích Thủy, Ủy ban Cạnh tranh quốc gia, Bộ Công thương

Đề cập giải pháp cho thực trạng này, bà Thủy cho rằng, bên cạnh việc rà soát các quy định của pháp luật, cần tăng cường năng lực phát hiện các đường dây mua bán dữ liệu có tổ chức, nhất là trong môi trường thương mại điện tử và quảng cáo trực tuyến. Tăng cường trách nhiệm tuân thủ của doanh nghiệp và nền tảng số.

“Trong bối cảnh kinh tế số, một khuôn khổ pháp lý hiệu quả cần kết hợp ba trụ cột: phòng ngừa thông qua nghĩa vụ tuân thủ; xử lý nghiêm minh, tương xứng với tính chất và hậu quả vi phạm và khôi phục quyền, lợi ích hợp pháp của người bị xâm phạm. Đây cũng là cơ sở để nâng cao trách nhiệm của doanh nghiệp, củng cố niềm tin của người tiêu dùng và tăng cường hiệu quả quản lý nhà nước đối với hoạt động kinh doanh dựa trên dữ liệu”, đại diện Ủy ban Cạnh tranh quốc gia, Bộ Công thương nhấn mạnh.