Ví dụ thực tế về Dữ liệu cá nhân — Trang 2

Có. Cửa hàng được lắp camera an ninh mà không cần xin từng khách đồng ý, nhưng bắt buộc phải cho khách biết họ đang bị ghi hình. Theo Điều 32 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026): 1) Được ghi hình không cần đồng ý để bảo đảm an toàn, bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân, ví dụ chống trộm (khoản 1 điểm a). 2) Phải thông báo để người bị quay biết mình đang bị ghi hình (khoản 2). 3) Chỉ dùng hình ảnh đúng mục đích, chỉ lưu trong thời gian cần thiết, hết hạn phải xóa (khoản 3, 4). Cách làm: dán biển "Khu vực có camera giám sát" ở cửa và chỗ dễ thấy; quy định ai được xem, trích xuất; cài tự ghi đè. Phạt tổ chức theo Điều 71 Nghị định 330/2026/NĐ-CP, cá nhân kinh doanh chịu một nửa: • 10 đến 20 triệu đồng: lắp camera ở khu vực phục vụ khách mà không có biển báo dễ nhận biết; không cung cấp thông tin liên hệ khi khách yêu cầu truy xuất hình ảnh. • 30 đến 50 triệu đồng: dùng hình ảnh camera cho mục đích thương mại, phân tích hành vi, nhận diện khuôn mặt để lập hồ sơ khách mà không có đồng ý; trích xuất, chia sẻ, công khai đoạn ghi hình trái phép. Đăng clip khách bị nghi lấy trộm lên mạng có thể rơi vào hành vi công khai trái phép này.Nguồn: Điều 32 khoản 1, 2, 3, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 7 khoản 1, Điều 71 Nghị định 330/2026/NĐ-CP

Phải cho khách biết họ đang nói chuyện với AI. Nếu chatbot xử lý thông tin cá nhân thì còn phải báo về việc xử lý dữ liệu và cho khách quyền từ chối. 1) Hệ thống AI tương tác trực tiếp với người dùng phải được thiết kế để người dùng nhận biết điều đó (Điều 11 khoản 1 Luật Trí tuệ nhân tạo 134/2025/QH15). Doanh nghiệp đưa chatbot vào dùng dưới thương hiệu của mình được coi là nhà cung cấp (Điều 3 khoản 4). Câu chào nên ghi rõ "trợ lý ảo AI". 2) Khi xin đồng ý, khách phải biết loại dữ liệu, mục đích, ai kiểm soát dữ liệu và quyền của họ (Điều 9 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). 3) Thông báo việc xử lý dữ liệu tự động, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng tới quyền lợi của khách, cho khách lựa chọn không tham gia (Điều 10 khoản 3 Nghị định 356/2025/NĐ-CP). Nên có nút chuyển sang nhân viên thật. Chatbot mà khách có thể không nhận ra là AI thuộc nhóm rủi ro trung bình (Điều 9 Nghị định 142/2026/NĐ-CP); nhà cung cấp phải thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ trước khi dùng (Điều 10 khoản 3 Luật Trí tuệ nhân tạo). Chatbot chạy từ trước 01/03/2026 có 12 tháng để tuân thủ (Điều 35 Luật Trí tuệ nhân tạo). Phạt tổ chức không thông báo, không giải thích thuật toán hoặc không cho từ chối xử lý tự động: 50 đến 70 triệu đồng (Điều 67 khoản 2 Nghị định 330/2026/NĐ-CP).Nguồn: Điều 3 khoản 4, Điều 10 khoản 3, Điều 11 khoản 1, Điều 35 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 9 Nghị định 142/2026/NĐ-CP; Điều 9 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 10 khoản 3 Nghị định 356/2025/NĐ-CP; Điều 67 khoản 2 Nghị định 330/2026/NĐ-CP

Không bắt buộc. Luật Giao dịch điện tử 20/2023/QH15 định nghĩa hợp đồng điện tử là hợp đồng thiết lập dưới dạng thông điệp dữ liệu (Điều 3 khoản 16); các bên tự thỏa thuận cách giao kết và yêu cầu kỹ thuật (Điều 36). Về chữ ký: 1) Chữ ký điện tử nói chung không bị phủ nhận giá trị pháp lý chỉ vì ở dạng điện tử (Điều 23 khoản 1). 2) Chỉ chữ ký số hoặc chữ ký điện tử chuyên dùng bảo đảm an toàn mới tương đương chữ ký tay trên giấy (Điều 23 khoản 2). 3) Hình thức xác nhận không phải chữ ký điện tử, như bấm nút đồng ý, thì giá trị tùy pháp luật liên quan (Điều 22 khoản 4). Thực tế: hợp đồng nhỏ với khách lẻ qua website, app có thể dùng chữ ký điện tử thông thường, miễn lưu được nhật ký giao dịch. Hợp đồng giá trị lớn hoặc dễ tranh chấp nên dùng chữ ký số, vì có chứng thư xác định người ký và phát hiện được mọi thay đổi sau khi ký (Điều 22 khoản 3); khi tranh chấp, độ tin cậy của cách ký, lưu trữ quyết định giá trị chứng cứ (Điều 11 khoản 2). Ngoại lệ: hợp đồng luật buộc công chứng, chứng thực thì bản điện tử cũng phải được công chứng, chứng thực (Điều 9 khoản 2); văn bản cần tổ chức xác nhận thì phải ký bằng chữ ký số hoặc chữ ký điện tử chuyên dùng bảo đảm an toàn của tổ chức đó (Điều 23 khoản 3).Nguồn: Điều 3 khoản 16, Điều 9 khoản 2, Điều 11 khoản 2, Điều 22 khoản 3, 4, Điều 23, Điều 36 Luật Giao dịch điện tử 20/2023/QH15

Luật không đặt một con số chung. Doanh nghiệp chỉ được giữ dữ liệu cá nhân của khách trong thời gian phù hợp với mục đích đã thu thập, trừ khi luật khác buộc giữ lâu hơn (Điều 3 khoản 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực 01/01/2026). Phải xóa, hủy dữ liệu khi (Điều 14 khoản 1): • Đã xong mục đích, ví dụ đã giao hàng và hết bảo hành, khách đã đóng tài khoản; • Hết thời hạn lưu trữ theo quy định; • Khách yêu cầu xóa; • Theo thỏa thuận hoặc quyết định của cơ quan có thẩm quyền. Được từ chối yêu cầu xóa nếu dữ liệu thuộc trường hợp xử lý không cần đồng ý, như đang thực hiện thỏa thuận với chính khách hàng (Điều 14 khoản 2, Điều 19), nhưng phải báo lý do cho khách (Điều 14 khoản 5). Khi khách yêu cầu xóa: phản hồi trong 2 ngày làm việc, xóa trong 20 ngày, gia hạn tối đa một lần thêm 20 ngày (Điều 5 khoản 4 Nghị định 356/2025/NĐ-CP). Nên ghi rõ thời gian lưu trữ từng loại dữ liệu trong chính sách bảo mật và đặt lịch xóa định kỳ. Phạt doanh nghiệp theo Nghị định 330/2026/NĐ-CP: lưu trữ quá thời gian cần thiết 20 đến 40 triệu đồng (Điều 39 khoản 1); không xóa khi luật buộc xóa 30 đến 50 triệu đồng (Điều 51 khoản 2); xóa trễ hạn theo yêu cầu của khách 30 đến 40 triệu đồng (Điều 44 khoản 3).Nguồn: Điều 3 khoản 3, Điều 14 khoản 1, 2, 3, 5, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 khoản 4 Nghị định 356/2025/NĐ-CP; Điều 39 khoản 1, Điều 44 khoản 3, Điều 51 khoản 2 Nghị định 330/2026/NĐ-CP

Điều kiện cốt lõi: khách phải đồng ý trước một cách rõ ràng. Gửi khi chưa có đồng ý là tin nhắn rác, thư rác. Theo Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác: 1) Lấy đồng ý qua mẫu đăng ký, website, ứng dụng, tổng đài hoặc một tin nhắn đăng ký duy nhất; khách từ chối hoặc không trả lời thì không nhắn tiếp (Điều 11 khoản 2, Điều 13 khoản 3). Lưu thông tin đăng ký, từ chối ít nhất 1 năm (Điều 11 khoản 7). 2) Gắn nhãn [QC] hoặc [AD] ở đầu tin nhắn, đầu tiêu đề email; cuối tin có cách từ chối nhận (Điều 15 đến Điều 20). 3) Tối đa 3 tin nhắn, 3 email, 1 cuộc gọi cho một người trong 24 giờ; nhắn tin từ 7 đến 22 giờ, gọi từ 8 đến 17 giờ, trừ khi đã thỏa thuận khác (Điều 13). 4) SMS phải dùng tên định danh (brandname), không dùng số điện thoại thường; không gửi tới số trong Danh sách không quảng cáo (Điều 7, Điều 13 khoản 8). Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 còn yêu cầu đồng ý riêng cho từng mục đích; im lặng không phải là đồng ý (Điều 9 khoản 4). Phạt doanh nghiệp theo Điều 37 Nghị định 330/2026/NĐ-CP (gấp đôi mức cá nhân): gửi khi chưa được đồng ý 20 đến 40 triệu đồng; không gắn nhãn 40 đến 60 triệu đồng; gửi tới số trong Danh sách không quảng cáo 160 đến 180 triệu đồng.Nguồn: Điều 7, Điều 11 khoản 2, 7, Điều 13, Điều 15 đến Điều 20 Nghị định 91/2020/NĐ-CP; Điều 9 khoản 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 7 khoản 1, Điều 37 Nghị định 330/2026/NĐ-CP

Sàn không phải người bán, nhưng phải chặn hàng giả từ đầu và phải bồi thường cho người mua nếu làm không đủ trách nhiệm. Theo Điều 17 Luật Thương mại điện tử 122/2025/QH15 (hiệu lực 01/07/2026) và Điều 17, 18 Nghị định 248/2026/NĐ-CP, sàn trung gian phải: 1) Xác thực điện tử danh tính người bán (họ tên, ngày sinh, số định danh) trước khi cho bán. 2) Kiểm duyệt thông tin sản phẩm trước khi hiển thị để chặn hàng giả, hàng xâm phạm sở hữu trí tuệ, hàng nhập lậu, hàng không rõ nguồn gốc. 3) Gỡ hàng vi phạm, tạm ngừng hoặc khóa tài khoản người bán trong 24 giờ khi cơ quan có thẩm quyền yêu cầu; phối hợp với chủ nhãn hiệu gỡ hàng có dấu hiệu xâm phạm. 4) Nhận lại hàng không đúng mô tả, đổi trả, hoàn tiền theo chính sách đã công bố. 5) Giữ dữ liệu sản phẩm ít nhất 1 năm, dữ liệu hợp đồng ít nhất 3 năm. Sàn không làm hoặc làm không đầy đủ các việc trên mà người mua bị thiệt hại thì phải bồi thường hoặc liên đới bồi thường (Điều 17 khoản 2 điểm k Luật). Sàn là nền tảng số lớn còn phải có hệ thống tự động rà soát, gỡ bỏ và chặn người bán tái phạm. Người mua nên giữ bằng chứng đơn hàng, khiếu nại qua kênh của sàn và phản ánh lên hệ thống online.gov.vn của Bộ Công Thương.Nguồn: Điều 15 khoản 1, Điều 17 khoản 1, 2, 3 Luật Thương mại điện tử 122/2025/QH15; Điều 17 khoản 1, Điều 18 khoản 1, 2, 3, Điều 45 Nghị định 248/2026/NĐ-CP

Phải thông báo nếu website hoặc app bán hàng có chức năng đặt hàng trực tuyến. Nhưng từ 01/07/2026, nơi xác nhận là UBND cấp tỉnh, không còn là Bộ Công Thương. Luật Thương mại điện tử 122/2025/QH15 buộc chủ website bán hàng có chức năng đặt hàng thông báo trước khi vận hành (Điều 14 khoản 1). Nghị định 248/2026/NĐ-CP, thay Nghị định 52/2013/NĐ-CP, quy định: 1) UBND cấp tỉnh xác nhận thông báo; có xác nhận rồi mới vận hành (Điều 23 khoản 1, Điều 24 khoản 5). 2) Hồ sơ gồm tờ khai Mẫu số 01 và bản chụp giấy phép nếu bán hàng thuộc ngành, nghề kinh doanh có điều kiện (Điều 24 khoản 1). 3) Đổi tên miền, người phụ trách, thông tin đăng ký doanh nghiệp hoặc chính sách công khai trên web thì sửa đổi thông báo trong 20 ngày làm việc (Điều 23 khoản 3). 4) Kết quả là biểu tượng xác nhận gắn trên web, dẫn về hệ thống online.gov.vn (Điều 45). Website được xác nhận trước 01/07/2026 hoạt động tiếp đến hết 30/06/2027, trong thời gian đó phải bổ sung hồ sơ theo quy định mới (Điều 53). Website chỉ giới thiệu sản phẩm, không cho đặt hàng thì không phải thông báo. Web bán hàng còn phải công khai thông tin doanh nghiệp, chính sách bảo mật, giá, thanh toán, giao hàng, đổi trả (Điều 11 Luật). Vi phạm có thể bị phạt, chặn truy cập hoặc rút khỏi danh sách đã xác nhận (Điều 39 Luật).Nguồn: Điều 23 khoản 1, 3, Điều 24 khoản 1, 5, Điều 45, Điều 53 Nghị định 248/2026/NĐ-CP; Điều 11, Điều 14 khoản 1, Điều 39 Luật Thương mại điện tử 122/2025/QH15

Có, nhưng không phải mọi nội dung AI đều phải gắn nhãn. Theo Luật Trí tuệ nhân tạo 134/2025/QH15 (hiệu lực 01/03/2026) và Nghị định 142/2026/NĐ-CP (hiệu lực 01/05/2026): 1) Âm thanh, hình ảnh, video giả lập ngoại hình, giọng nói người thật hoặc tái hiện sự kiện thực tế: bắt buộc gắn nhãn dễ nhận biết (Điều 11 khoản 4 Luật, Điều 18 khoản 2 Nghị định). 2) Nội dung AI tạo hoặc chỉnh sửa đưa ra công chúng, có thể gây nhầm lẫn về tính xác thực của sự kiện, nhân vật: phải thông báo rõ (Điều 11 khoản 3 Luật). 3) Bên cung cấp công cụ AI phải gắn dấu hiệu máy đọc được vào âm thanh, hình ảnh, video đầu ra; văn bản thì không bắt buộc (Điều 17 Nghị định). Không phải gắn nhãn khi chỉ làm nét ảnh, lọc tiếng mà không đổi bản chất; sửa chính tả, tóm tắt, dịch mà không làm sai nội dung gốc; hoặc nội dung chỉ dùng nội bộ (Điều 18 khoản 4 Nghị định). Nhãn đặt trên nội dung, ở tiêu đề, phần mô tả, giao diện nền tảng hoặc thông báo bằng âm thanh, miễn rõ ràng và xuất hiện trước hoặc ngay khi người xem tiếp cận nội dung (Điều 18 khoản 3, 5). Ví dụ: video quảng cáo dùng AI dựng hình, giọng một người có thật thì phải gắn nhãn. Tẩy xóa, làm sai lệch nhãn bắt buộc là hành vi bị cấm (Điều 7 khoản 5 Luật).Nguồn: Điều 7 khoản 5, Điều 11 khoản 2, 3, 4 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 17, Điều 18 khoản 2, 3, 4, 5 Nghị định 142/2026/NĐ-CP