Sự phát triển nhanh chóng của kinh tế số, trí tuệ nhân tạo (AI), dữ liệu lớn, điện toán đám mây và các nền tảng số xuyên biên giới đang làm thay đổi cấu trúc quản trị xã hội và mô hình vận hành của nền kinh tế toàn cầu. Dữ liệu cá nhân đã trở thành một loại “tài nguyên chiến lược”, đồng thời cũng trở thành đối tượng của các rủi ro về xâm phạm quyền riêng tư, lừa đảo, giả mạo thông tin, lạm dụng dữ liệu, thao túng hành vi,... Trong bối cảnh đó, việc hoàn thiện hệ thống luật pháp về bảo vệ dữ liệu cá nhân là yêu cầu cấp thiết đặt ra đối với các nước, trong đó có Việt Nam.

Những bước ngoặt trong bảo vệ dữ liệu tại Việt Nam

Từ năm 2010 đến năm 2016, nền kinh tế số của Việt Nam vẫn trong giai đoạn phát triển tự phát. Điện thoại thông minh bắt đầu phổ biến và các nhà mạng cạnh tranh để thu hút người dùng bằng cách cung cấp thẻ SIM và cước gọi miễn phí. Thẻ SIM ẩn danh lưu hành rộng rãi, bị vứt bỏ sau khi sử dụng và được gọi là "SIM rác". Điều này dẫn đến nhiều hệ lụy như tình trạng quấy rối do quảng cáo, gian lận viễn thông, lừa đảo trực tuyến. Trong giai đoạn này, dữ liệu được coi là "nguồn tài nguyên vô chủ" và các doanh nghiệp có thể thu thập thông tin công khai hoặc mua các gói dữ liệu giá rẻ. Ranh giới về quyền riêng tư hầu như không tồn tại.

Ngày 24/4/2017, Chính phủ ban hành Nghị định 49/2017/NĐ-CP (sửa đổi, bổ sung một số điều của Nghị định 25/2011/NĐ-CP và Nghị định 174/2013/NĐ-CP), quy định chặt chẽ về việc quản lý thông tin thuê bao di động nhằm chấm dứt tình trạng SIM rác, SIM kích hoạt sẵn. Chỉ trong 6 tháng đầu năm 2017, khoảng 24 triệu sim rác đã bị thu hồi. Luật An ninh mạng 2018 (24/2018/QH14) tiếp tục thiết lập khung pháp lý cho quản trị không gian mạng. Công tác bảo vệ dữ liệu của nước ta bước vào "giai đoạn thức tỉnh" và các quy định bắt đầu được ban hành một cách có hệ thống.

Bước ngoặt thực sự kể từ khi Chính phủ khởi động Đề án 06 năm 2022 (Đề án phát triển ứng dụng dữ liệu về dân cư, định danh và xác thực điện tử), được xem là nền tảng cốt lõi của chuyển đổi số quốc gia. Đề án cách mạng hóa cách vận hành dữ liệu: Biến "dữ liệu dân cư" thành trục kết nối, giúp cải cách thủ tục hành chính, tiến tới số hóa toàn diện và bảo vệ quyền riêng tư của người dân trên không gian mạng. Việt Nam sử dụng cơ sở dữ liệu dân số quốc gia và VNeID làm nền tảng để thúc đẩy tích hợp thông tin định danh với các hệ thống tài chính, an sinh xã hội và các hệ thống khác, giúp việc xác minh và truy vết về mặt kỹ thuật trở nên khả thi. Đề án đi kèm việc hoàn thiện hành lang pháp lý, quy định rõ quyền và trách nhiệm của cơ quan nhà nước, doanh nghiệp trong việc lưu trữ, chia sẻ và bảo vệ dữ liệu. Mọi hành vi khai thác đều phải được bảo mật và giám sát chặt chẽ.

Thực tiễn trong công tác quản lý, chỉ riêng trong nửa đầu năm 2025, các cơ quan chức năng đã điều tra 56 vụ giao dịch dữ liệu bất hợp pháp, liên quan đến hơn 110 triệu dữ liệu cá nhân; vào tháng 5/2025, nền tảng Telegram đã bị cấm vì từ chối hợp tác cung cấp dữ liệu; đến tháng 7/2025, Ngân hàng Nhà nước Việt Nam tạm ngừng hoạt động hoặc xử lý khoảng 86 triệu tài khoản ngân hàng chưa hoàn tất xác minh sinh trắc học. Những con số này cho thấy nước ta đang siết chặt quản lý tuân thủ đối với vấn đề dữ liệu.

Ngày 26/6/2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), chính thức có hiệu lực từ ngày 01/01/2026, trở thành quy định có tính ràng buộc pháp lý cao nhất đối với dữ liệu cá nhân, đánh dấu một bước ngoặt quan trọng trong hệ thống pháp luật Việt Nam. Cùng với việc thực thi Luật dữ liệu mới này, Nghị định hướng dẫn của Chính phủ (Nghị định 356/2025/ND-CP) ban hành ngày 31/12/2025 tiếp tục hoàn thiện danh mục dữ liệu nhạy cảm và mẫu đánh giá tuân thủ. Việc hoàn thiện các quy định liên quan đến dữ liệu cá nhân đánh dấu bước chuyển quan trọng từ mô hình quản lý phân tán sang mô hình quản trị dữ liệu cá nhân có tính hệ thống, tiếp cận gần hơn với các chuẩn mực quốc tế như Quy định bảo vệ dữ liệu chung của Liên minh châu Âu (GDPR).

Bên cạnh đó, ngày 10/12/2025, Quốc hội đã thông qua Luật An ninh mạng (Luật số 116/2025/QH15), có hiệu lực từ ngày 01/7/2026, thiết lập một khung pháp lý toàn diện hơn cho an ninh mạng, xác định đầy đủ các quyền, nghĩa vụ và trách nhiệm của các tổ chức, cơ quan và cá nhân trong không gian mạng.

Ý nghĩa của Luật bảo vệ dữ liệu cá nhân 2025

Việc ra đời Luật Bảo vệ dữ liệu cá nhân là cam kết mạnh mẽ của Việt Nam với quyền riêng tư và sự an toàn của người dân trong kỷ nguyên số, khi thông tin cá nhân trở thành một loại tài sản quan trọng, dễ bị khai thác và lạm dụng nếu không có luật pháp bảo vệ. Trước Luật Bảo vệ dữ liệu cá nhân, khuôn khổ bảo vệ dữ liệu cá nhân của nước ta chủ yếu dựa trên Nghị định hành chính, trong đó chỉ tập trung vào quy định kỹ thuật và tuân thủ. Nhưng Luật Bảo vệ dữ liệu cá nhân đã nâng dữ liệu cá nhân lên thành quyền được pháp luật bảo vệ một cách rõ ràng và toàn diện.

Một trong những điểm nổi bật của Luật Bảo vệ dữ liệu cá nhân là yêu cầu sự đồng ý rõ ràng trước khi bất kỳ dữ liệu nào được thu thập, qua đó chuyển người dùng từ vị thế bị động sang vai trò chủ thể có quyền quyết định ai được sử dụng dữ liệu của mình và sử dụng trong hoàn cảnh nào. Trong bối cảnh nguy cơ mất an toàn dữ liệu cá nhân ngày càng gia tăng, quy định này mang ý nghĩa quan trọng, góp phần củng cố nền tảng pháp lý cho việc bảo vệ quyền riêng tư của công dân.

Việc Luật quy định rõ các quyền, như: Quyền được biết, quyền truy cập, quyền chỉnh sửa, quyền xóa và quyền phản đối xử lý dữ liệu trái phép không chỉ là những quy định trách nhiệm pháp lý đối với tổ chức, doanh nghiệp mà còn là những công cụ để bảo vệ quyền con người trong môi trường số, tạo cơ hội cho công dân tự chủ hơn trong quản lý thông tin cá nhân của mình. Với quy định rõ ràng về hành vi bị nghiêm cấm, như: Mua bán dữ liệu, sử dụng dữ liệu trái pháp, hay chuyển dữ liệu ra nước ngoài thiếu kiểm soát, Luật đã dựng lên hàng rào pháp lý để giảm thiểu nguy cơ xâm phạm quyền riêng tư, tránh các vụ rò rỉ, lộ thông tin cá nhân vốn rất phổ biến hiện nay.

Việc kết nối pháp luật nội địa với các tiêu chuẩn quốc tế không chỉ giúp bảo vệ quyền lợi người dân Việt Nam, mà còn tạo niềm tin với nhà đầu tư và các đối tác quốc tế, những bên thường xuyên xem xét khung pháp lý như một thước đo của môi trường kinh doanh minh bạch, an toàn. Đồng thời, Luật cũng góp phần hỗ trợ quá trình hội nhập kinh tế số và thúc đẩy ngành công nghệ thông tin Việt Nam phát triển lành mạnh.

Ở góc độ quyền con người, Luật Bảo vệ dữ liệu cá nhân là bước tiến lớn khi xem quyền tự chủ dữ liệu là một phần không thể tách rời của quyền con người trong kỷ nguyên số. Luật không chỉ nâng tầm nhận thức pháp luật về quyền dữ liệu cá nhân mà còn đặt nền móng cho một xã hội số công bằng hơn, an toàn hơn và tôn trọng quyền tự do cá nhân trong kỷ nguyên số.

So với các quốc gia, khu vực

Liên minh châu Âu (EU) xây dựng mô hình quản trị dữ liệu dựa trên quyền cơ bản của con người trong môi trường số. GDPR của EU thiết lập các nguyên tắc cốt lõi như giới hạn mục đích, tối thiểu hóa dữ liệu tính tương xứng, xử lý dữ liệu hợp pháp và trách nhiệm giải trình. GDPR đồng thời trao cho chủ thể dữ liệu các quyền quan trọng như quyền truy cập dữ liệu, quyền xóa dữ liệu và quyền phản đối quyết định tự động. Bên cạnh đó, EU đang mở rộng quản trị nền tảng số thông qua Đạo luật Dịch vụ kỹ thuật số và Đạo luật AI nhằm kiểm soát trách nhiệm giải trình AI, tính minh bạch thuật toán và hệ thống AI rủi ro cao. Cách tiếp cận này phản ánh xu hướng quản trị số lấy con người làm trung tâm, trong đó bảo vệ dữ liệu cá nhân gắn trực tiếp với bảo vệ quyền con người số.

Mỹ không có luật bảo vệ dữ liệu toàn diện ở cấp liên bang như GDPR của châu Âu. Thay vào đó, quốc gia này áp dụng các quy định rời rạc theo từng lĩnh vực như y tế (HIPAA), tài chính (Gramm-Leach-Bliley), hoặc theo từng bang. Các tiểu bang tự ban hành đạo luật riêng (như CCPA của California), tạo ra một ma trận pháp lý phức tạp, gây khó khăn và tốn kém cho các doanh nghiệp khi tuân thủ. Mô hình của Mỹ chú trọng vào việc bảo vệ thông tin cá nhân tĩnh (kiểm soát việc thu thập) hơn là kiểm soát thuật toán và hành vi suy luận dữ liệu. Các nền tảng công nghệ lớn thường đặt người dùng vào thế yếu, "đồng ý" mang tính hình thức, “ép buộc” người dùng phải chấp nhận điều khoản nếu muốn sử dụng dịch vụ. Mô hình này ưu tiên thúc đẩy đổi mới sáng tạo và thị trường dữ liệu hơn là kiểm soát tập trung. Tuy nhiên, sự phát triển của mạng xã hội, dịch vụ điện toán đám mây và AI cũng đặt ra các thách thức pháp lý mới cho Mỹ liên quan đến bảo vệ dữ liệu.

Đối với Trung Quốc, mô hình quản trị dữ liệu mang tính chủ quyền dữ liệu và kiểm soát dữ liệu chiến lược rất rõ nét. Các luật như Luật An ninh mạng, Luật Bảo mật dữ liệu và Luật Bảo vệ thông tin cá nhân cho phép Chính phủ Trung Quốc kiểm soát mạnh dữ liệu xuyên biên giới, định vị dữ liệu và thuật toán nền tảng số. Trung Quốc coi dữ liệu, nền tảng AI và cơ sở hạ tầng đám mây là nguồn lực chiến lược quốc gia, từ đó hình thành mô hình quản trị dữ liệu gắn chặt với an ninh quốc gia và chủ quyền không gian mạng.

Trong khi đó, Singapore lựa chọn mô hình cân bằng giữa đổi mới sáng tạo và quản trị rủi ro. Luật Bảo vệ dữ liệu cá nhân của Singapore kết hợp bảo vệ dữ liệu với thúc đẩy phát triển kinh tế số và đổi mới AI. Quốc gia Đông Nam Á này áp dụng cơ chế điều chỉnh bằng thử nghiệm, cho phép thử nghiệm công nghệ mới trong môi trường kiểm soát trước khi ban hành quy định cứng. Đồng thời, quốc gia này chú trọng phát triển các quy định, hướng dẫn quản trị AI nhằm bảo đảm trách nhiệm giải trình AI nhưng không cản trở đổi mới sáng tạo.

Luật Bảo vệ dữ liệu cá nhân của Thái Lan chịu ảnh hưởng lớn từ tiêu chuẩn GDPR của châu Âu, chủ yếu tập trung vào quyền riêng tư cá nhân và thương mại điện tử, đồng thời cung cấp cho các công ty thời gian đệm dài hơn và nhiều khoảng trống hơn để sửa lỗi trong giai đoạn triển khai ban đầu.

Kết luận

Kinh nghiệm quốc tế cho thấy pháp luật về bảo vệ dữ liệu cá nhân đang chuyển dịch từ mô hình bảo vệ quyền riêng tư thuần túy sang mô hình quản trị dữ liệu gắn với lợi ích, an ninh quốc gia, trong đó dữ liệu vừa được xem là quyền cá nhân, vừa là nguồn lực chiến lược của quốc gia. Các quốc gia và khu vực pháp lý lớn như Mỹ, EU, Trung Quốc đã phát triển các mô hình quản trị khác nhau, phản ánh sự khác biệt về triết lý lập pháp, mô hình phát triển kinh tế và chiến lược an ninh quốc gia.

Trong kỷ nguyên vươn mình của Việt Nam, năng lực bảo vệ dữ liệu cá nhân trở thành một chỉ số quan trọng phản ánh mức độ hoàn thiện của thể chế, mức độ tin cậy của môi trường kinh doanh số và rộng hơn là năng lực cạnh tranh quốc gia. Luật Bảo vệ dữ liệu cá nhân 2025 và các quy định pháp lý liên quan trong môi trường số của Việt Nam, phù hợp với xu thế chung về quản trị xã hội và mô hình vận hành của nền kinh tế toàn cầu trong thời đại kinh tế số.