Ví dụ thực tế về Dữ liệu cá nhân

Pháp luật Việt Nam không dùng thuật ngữ "DPO" hay "chuyên gia bảo vệ dữ liệu". Vai trò này được quy định là BỘ PHẬN, NHÂN SỰ BẢO VỆ DỮ LIỆU CÁ NHÂN trong nội bộ tổ chức, hoặc TỔ CHỨC, CÁ NHÂN CUNG CẤP DỊCH VỤ BẢO VỆ DỮ LIỆU CÁ NHÂN thuê ngoài. Từ 01/01/2026, MỌI cơ quan, tổ chức đều phải chỉ định hoặc thuê vai trò này. Khung pháp lý là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP). 1) AI PHẢI CHỈ ĐỊNH DPO Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: "Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân." Nghĩa vụ này áp dụng cho MỌI cơ quan, tổ chức - không giới hạn ở nơi xử lý dữ liệu nhạy cảm hay quy mô lớn. Đây là thay đổi lớn so với quy định cũ (Nghị định 13/2023 chỉ đặt nghĩa vụ này ở điều về dữ liệu nhạy cảm). Tổ chức có hai phương án: (A) chỉ định bộ phận/nhân sự nội bộ bằng văn bản; hoặc (B) ký hợp đồng thuê tổ chức/cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (có thể kết hợp cả hai). Về vị trí: khoản 1 Điều 33 xác định "lực lượng bảo vệ dữ liệu cá nhân" gồm cơ quan chuyên trách thuộc Bộ Công an; bộ phận, nhân sự trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ; và lực lượng được huy động. DPO là cầu nối giữa tổ chức và cơ quan chuyên trách. 2) BẢY NHÓM NHIỆM VỤ CỐT LÕI (Điều 14 Nghị định 356/2025/NĐ-CP) Bộ phận bảo vệ dữ liệu cá nhân có các nhiệm vụ sau (nhân sự bảo vệ DLCN thực hiện với vai trò tham mưu, tham gia): (1) Xây dựng chính sách, quy trình, biểu mẫu để tổ chức tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. (2) Tổ chức thực hiện các quyền của chủ thể dữ liệu cá nhân (tiếp nhận, xử lý yêu cầu đúng thời hạn - xem mục 4). (3) Đánh giá tuân thủ định kỳ: rà soát mức độ tuân thủ, lập báo cáo và đề xuất biện pháp kiểm soát rủi ro. (4) Lập hồ sơ và làm việc với cơ quan chuyên trách: chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài; tiếp nhận và báo cáo vi phạm; đáp ứng yêu cầu của cơ quan chức năng. (5) Lập kế hoạch và tổ chức đào tạo, tập huấn định kỳ về bảo vệ dữ liệu cá nhân. (6) Triển khai biện pháp bảo mật kỹ thuật, tiêu chuẩn kỹ thuật và phương án ứng phó khẩn cấp với sự cố dữ liệu cá nhân. (7) Nghiên cứu, đề xuất các quyết định về bảo vệ dữ liệu cá nhân của tổ chức. 3) BA NGHĨA VỤ CÓ THỜI HẠN BẮT BUỘC (phần dễ bị xử phạt nhất) a) THÔNG BÁO VI PHẠM - CHẬM NHẤT 72 GIỜ. Khoản 1 Điều 23 Luật 91/2025/QH15: khi phát hiện vi phạm về bảo vệ dữ liệu cá nhân "có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm." Phải lập biên bản xác nhận vi phạm (khoản 2). Nội dung thông báo (Điều 28 Nghị định 356/2025): tính chất vi phạm (thời gian, địa điểm, hành vi, loại và số lượng dữ liệu); chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN; hậu quả có thể xảy ra; biện pháp khắc phục - theo Mẫu số 08. Bên xử lý phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát. b) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN - GỬI TRONG 60 NGÀY. Khoản 1 Điều 21 Luật 91/2025/QH15: bên kiểm soát, bên kiểm soát và xử lý "lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân". Hồ sơ (Điều 19 Nghị định 356/2025) gồm báo cáo theo Mẫu số 10, bản sao hợp đồng/thỏa thuận xử lý, chính sách - quy trình - biểu mẫu; báo cáo phải ghi chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN, mục đích, loại dữ liệu, luồng dữ liệu, chính sách đồng ý và lưu trữ, biện pháp bảo mật, tự đánh giá tuân thủ và rủi ro. Cơ quan chức năng trả kết quả trong 15 ngày; nếu thiếu thì cho 30 ngày để hoàn thiện. Hồ sơ phải "luôn có sẵn" để phục vụ kiểm tra. Cơ quan nhà nước được miễn. c) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI - GỬI TRONG 60 NGÀY. Khoản 2 Điều 20 Luật 91/2025/QH15: cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới "phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển". Hồ sơ theo Điều 18 Nghị định 356/2025 (Mẫu số 09), cũng ghi chi tiết liên lạc của DPO và đánh giá mức độ bảo vệ của bên nhận. Một số trường hợp được miễn (cơ quan nhà nước; tổ chức lưu dữ liệu nhân sự của mình trên đám mây; cá nhân tự chuyển dữ liệu của mình). 4) THỜI HẠN XỬ LÝ YÊU CẦU CỦA CHỦ THỂ DỮ LIỆU (Điều 5 Nghị định 356/2025/NĐ-CP) DPO phải xây dựng quy trình để chủ thể dữ liệu thực hiện các quyền tại Điều 4 Luật 91/2025 (được biết, đồng ý/rút đồng ý, xem/chỉnh sửa, yêu cầu cung cấp/xóa/hạn chế/phản đối, khiếu nại - khởi kiện - bồi thường, yêu cầu biện pháp bảo vệ). Mọi yêu cầu phải được PHẢN HỒI TRONG 02 NGÀY LÀM VIỆC; thời hạn thực hiện: - Rút đồng ý, hạn chế, phản đối xử lý: thực hiện trong 15 ngày (20 ngày nếu qua bên xử lý/bên thứ ba); gia hạn một lần tối đa 15 ngày. - Xem, chỉnh sửa, cung cấp dữ liệu: 10 ngày (15 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 10 ngày. - Xóa dữ liệu: 20 ngày (30 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 20 ngày. - Yêu cầu áp dụng biện pháp bảo vệ: 15 ngày; gia hạn tối đa 15 ngày. Mỗi lần gia hạn phải thông báo cho chủ thể dữ liệu kèm lý do. 5) HỒ SƠ PHẢI LƯU TRỮ VÀ CẬP NHẬT - Hồ sơ đánh giá tác động xử lý DLCN và hồ sơ chuyển dữ liệu xuyên biên giới: lưu từ thời điểm bắt đầu, luôn có sẵn để kiểm tra (Điều 21 Luật; Điều 18-19 Nghị định). - Cập nhật hồ sơ ĐỊNH KỲ 6 THÁNG khi có thay đổi; cập nhật ngay khi tổ chức lại/giải thể, đổi bên cung cấp dịch vụ, hoặc thay đổi ngành nghề liên quan xử lý dữ liệu (Điều 22 Luật 91/2025). - Biên bản xác nhận vi phạm mỗi khi xảy ra vi phạm (khoản 2 Điều 23 Luật). - Văn bản chỉ định nhân sự/bộ phận (nêu chức năng, quyền hạn) và thỏa thuận bảo mật với nhân sự (Điều 13 Nghị định); hồ sơ năng lực nếu thuê tổ chức dịch vụ (Điều 16). 6) ĐIỀU KIỆN NĂNG LỰC CỦA DPO VÀ NGHĨA VỤ CÔNG KHAI - Nhân sự nội bộ (khoản 2 Điều 13 Nghị định 356/2025): "a) Có trình độ cao đẳng trở lên; b) Có ít nhất 02 năm kinh nghiệm công tác… liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ; c) Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân." Việc chỉ định phải bằng văn bản nêu rõ chức năng, quyền hạn; tổ chức ký thỏa thuận bảo mật và phải đào tạo nhân sự này. - Cá nhân cung cấp dịch vụ (khoản 2 Điều 15): cao đẳng trở lên, ít nhất 03 năm kinh nghiệm, được đào tạo chuyên sâu. Tổ chức cung cấp dịch vụ (khoản 1 Điều 16): có ít nhất 03 nhân sự đủ điều kiện nêu trên. - CÔNG KHAI, KHÔNG ĐĂNG KÝ: thông tin về nhân sự/tổ chức bảo vệ DLCN phải được công khai cho chủ thể dữ liệu và các bên liên quan (khoản 3 Điều 15, khoản 3 Điều 16). Danh tính DPO đến cơ quan chức năng gián tiếp qua các hồ sơ DPIA, hồ sơ chuyển dữ liệu và thông báo vi phạm. 7) ĐIỂM MỚI SO VỚI NGHỊ ĐỊNH 13/2023 - Mở rộng phạm vi: trước đây nghĩa vụ chỉ định bộ phận/nhân sự bảo vệ DLCN nằm trong điều về dữ liệu nhạy cảm (Điều 28 Nghị định 13/2023); nay áp dụng cho mọi cơ quan, tổ chức. - Bỏ nghĩa vụ "thông báo danh tính DPO" cho cơ quan chức năng: Nghị định 13/2023 buộc "trao đổi thông tin về bộ phận và cá nhân phụ trách… với Cơ quan chuyên trách"; khung 2026 không còn nghĩa vụ đăng ký riêng này. 8) NHỮNG GÌ LUẬT VIỆT NAM KHÔNG QUY ĐỊNH (đừng nhầm với GDPR) - Không có chức danh luật định "chuyên gia bảo vệ dữ liệu cá nhân"; luật chỉ dùng "nhân sự/bộ phận" và "tổ chức/cá nhân cung cấp dịch vụ". - Không quy định về tính độc lập, xung đột lợi ích, "không nhận chỉ đạo" hay bảo vệ DPO khỏi bị sa thải (khác GDPR Điều 38); chỉ có văn bản chỉ định và thỏa thuận bảo mật. - Không có nghĩa vụ đăng ký danh tính DPO với cơ quan chức năng (khác GDPR Điều 37.7). - Không có ngưỡng số nhân sự/hồ sơ để xác định khi nào bắt buộc có DPO - nghĩa vụ áp dụng cho mọi tổ chức. - Mốc 72 giờ chỉ áp dụng khi thông báo cho cơ quan chức năng; luật không đặt mốc riêng buộc thông báo trực tiếp cho từng chủ thể dữ liệu bị ảnh hưởng. CƠ QUAN CHUYÊN TRÁCH Bộ Công an là cơ quan đầu mối quản lý nhà nước về bảo vệ dữ liệu cá nhân (Điều 36 Luật 91/2025). Cơ quan chuyên trách là đơn vị trực thuộc Bộ Công an (Điều 39 Nghị định 356/2025) - theo biểu mẫu kèm Nghị định là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Hồ sơ nộp qua đơn vị này hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. DOANH NGHIỆP NÊN LÀM GÌ 1) Ra văn bản chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân đủ điều kiện (hoặc ký hợp đồng thuê dịch vụ); ký thỏa thuận bảo mật; công khai thông tin DPO cho chủ thể dữ liệu. 2) Ban hành chính sách, quy trình, biểu mẫu bảo vệ dữ liệu cá nhân; xây quy trình tiếp nhận yêu cầu của chủ thể dữ liệu với các mốc 02 ngày làm việc/10-20 ngày. 3) Lập và nộp hồ sơ đánh giá tác động xử lý DLCN (và hồ sơ chuyển dữ liệu xuyên biên giới nếu có) trong 60 ngày; cập nhật định kỳ 6 tháng. 4) Thiết lập quy trình phát hiện - lập biên bản - thông báo vi phạm trong 72 giờ; chuẩn bị phương án ứng phó sự cố. 5) Tổ chức đào tạo định kỳ; đánh giá tuân thủ và báo cáo rủi ro theo định kỳ. Mức xử phạt cụ thể nằm ở văn bản xử phạt vi phạm hành chính riêng; hãy đối chiếu bản hợp nhất mới nhất và tham vấn chuyên môn trước khi áp dụng.Nguồn: Điều 4, 20, 21, 22, 23, 33, 36 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5, 13, 14, 15, 16, 18, 19, 28, 39 Nghị định 356/2025/NĐ-CP; đối chiếu Điều 28 Nghị định 13/2023/NĐ-CP (hết hiệu lực 01/01/2026)

Từ 01/01/2026, bảo vệ dữ liệu cá nhân được nâng cấp lên cấp LUẬT: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, kèm Nghị định 356/2025/NĐ-CP hướng dẫn, THAY THẾ Nghị định 13/2023/NĐ-CP trước đây. Doanh nghiệp xử lý dữ liệu khách hàng phải: có sự đồng ý hợp lệ trước khi thu thập, minh bạch mục đích xử lý, bảo đảm quyền của chủ thể dữ liệu, và đánh giá tác động xử lý dữ liệu. 1) VĂN BẢN ĐANG ÁP DỤNG VÀ THAY ĐỔI Trước đây, bảo vệ dữ liệu cá nhân điều chỉnh bởi Nghị định 13/2023/NĐ-CP (hiệu lực 01/07/2023). Nay được nâng lên thành Luật: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (ban hành 26/06/2025, hiệu lực 01/01/2026). Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành; Điều 42 Nghị định này nêu: "1. Nghị định này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026. 2. Nghị định số 13/2023/NĐ-CP… về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Vậy khung pháp lý hiện hành (từ 01/01/2026) là Luật 91/2025/QH15 + Nghị định 356/2025/NĐ-CP. 2) DỮ LIỆU CÁ NHÂN LÀ GÌ Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: "Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân." Tên, số điện thoại, email, thông tin thanh toán... của khách hàng đều là dữ liệu cá nhân thuộc phạm vi bảo vệ. 3) NGHĨA VỤ CỐT LÕI CỦA DOANH NGHIỆP a) THU THẬP PHẢI CÓ SỰ ĐỒNG Ý TRƯỚC. Khoản 1 Điều 11 Luật 91/2025/QH15: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." b) SỰ ĐỒNG Ý PHẢI HỢP LỆ (tự nguyện, biết rõ thông tin). Điều 9 Luật 91/2025/QH15: "1. Sự đồng ý của chủ thể dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình… 2. Sự đồng ý… chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây: a) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân; b) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý…" Do đó việc "mặc định đồng ý", ép buộc, hoặc xin đồng ý mập mờ là không hợp lệ. c) BẢO ĐẢM QUYỀN CỦA CHỦ THỂ DỮ LIỆU. Luật quy định chủ thể dữ liệu có các quyền như: được biết về hoạt động xử lý; đồng ý/không đồng ý và rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại. Doanh nghiệp phải có cơ chế để khách hàng thực hiện các quyền này. d) ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN. Điều 2 Luật 91/2025/QH15 định nghĩa: "Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân." Doanh nghiệp (bên kiểm soát/xử lý dữ liệu) phải lập và lưu hồ sơ đánh giá tác động theo quy định; hồ sơ, thủ tục chi tiết (kể cả chuyển dữ liệu ra nước ngoài) theo Nghị định 356/2025/NĐ-CP. 4) NHỮNG VIỆC DOANH NGHIỆP NÊN CHUẨN BỊ - Rà soát toàn bộ dữ liệu cá nhân đang thu thập, lưu trữ, sử dụng; xác định vai trò (bên kiểm soát, bên xử lý). - Thiết kế cơ chế xin sự đồng ý rõ ràng, đúng luật (nêu rõ loại dữ liệu, mục đích, bên xử lý); lưu bằng chứng đồng ý. - Ban hành chính sách bảo vệ dữ liệu cá nhân, quy trình tiếp nhận và xử lý yêu cầu của khách hàng (xem/sửa/xóa/rút đồng ý). - Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; áp dụng biện pháp bảo mật kỹ thuật và tổ chức. - Kiểm soát việc chuyển dữ liệu cho bên thứ ba và ra nước ngoài theo quy định. - Với dữ liệu nhạy cảm (sức khỏe, tài chính, sinh trắc học...), áp dụng mức bảo vệ cao hơn theo quy định. RỦI RO NẾU KHÔNG TUÂN THỦ Vi phạm quy định bảo vệ dữ liệu cá nhân (thu thập/sử dụng không có sự đồng ý hợp lệ, làm lộ, mua bán dữ liệu...) bị xử lý theo pháp luật - có thể bị xử phạt vi phạm hành chính, bồi thường thiệt hại cho chủ thể dữ liệu, và trong trường hợp nghiêm trọng có thể bị xử lý hình sự. Mức chế tài cụ thể theo văn bản xử phạt hiện hành. BẠN NÊN LÀM GÌ 1) Xác định doanh nghiệp thuộc diện phải tuân thủ (hầu như mọi doanh nghiệp có xử lý dữ liệu khách hàng/nhân sự đều thuộc phạm vi). 2) Chuẩn bị tuân thủ theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP trước/kể từ mốc 01/01/2026: cơ chế đồng ý, chính sách bảo vệ dữ liệu, hồ sơ đánh giá tác động. 3) Đào tạo nhân sự về bảo vệ dữ liệu; rà soát hợp đồng với đối tác xử lý dữ liệu. 4) Với doanh nghiệp xử lý dữ liệu lớn hoặc dữ liệu nhạy cảm, nên tham vấn luật sư/chuyên gia tuân thủ để xây dựng hồ sơ và quy trình đúng quy định.Nguồn: Điều 2, 9, 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026); Điều 42 Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP)

Lừa đảo chiếm đoạt tiền qua chuyển khoản là hành vi phạm tội hình sự. Việc cần làm NGAY là báo ngân hàng để khóa/tra soát dòng tiền và trình báo công an càng sớm càng tốt - thời gian là yếu tố quyết định khả năng thu hồi. Căn cứ pháp lý là Bộ luật Hình sự 100/2015/QH13 (đã được sửa đổi, bổ sung). 1) KẺ LỪA ĐẢO PHẠM TỘI GÌ Tùy cách thức, hành vi có thể cấu thành một trong hai tội: TỘI LỪA ĐẢO CHIẾM ĐOẠT TÀI SẢN (Điều 174 Bộ luật Hình sự 100/2015/QH13): cấu thành khi "bằng thủ đoạn gian dối chiếm đoạt tài sản của người khác". Đây là trường hợp điển hình khi bạn bị ĐÁNH LỪA để tự nguyện chuyển tiền (mua hàng không có thật, giả danh người quen/cơ quan, dụ đầu tư sinh lời ảo...). Yếu tố cốt lõi là "thủ đoạn gian dối". TỘI SỬ DỤNG MẠNG MÁY TÍNH, MẠNG VIỄN THÔNG, PHƯƠNG TIỆN ĐIỆN TỬ THỰC HIỆN HÀNH VI CHIẾM ĐOẠT TÀI SẢN (Điều 290 Bộ luật Hình sự): khoản 1 quy định người "sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử thực hiện một trong những hành vi sau đây, nếu không thuộc một trong các trường hợp quy định tại Điều 173 và Điều 174 của Bộ luật này", trong đó có: "a) Sử dụng thông tin về tài khoản, thẻ ngân hàng của cơ quan, tổ chức, cá nhân để chiếm đoạt tài sản của chủ tài khoản, chủ thẻ hoặc thanh toán hàng hóa, dịch vụ;…". Điều 290 là tội mang tính "dự phòng": áp dụng khi việc chiếm đoạt qua mạng KHÔNG thuộc tội trộm cắp hay lừa đảo - ví dụ chiếm quyền tài khoản, dùng trái phép thông tin thẻ để rút tiền (nạn nhân không hề bị lừa để tự chuyển). Phân biệt ngắn gọn: nếu bạn bị GIAN DỐI để tự nguyện chuyển tiền → thường là tội lừa đảo (Điều 174); nếu kẻ gian dùng thông tin tài khoản/thẻ để tự lấy tiền mà bạn không hề đồng ý → thường là Điều 290. (Lưu ý: mức định lượng giá trị chiếm đoạt và mức hình phạt của Bộ luật Hình sự đã được điều chỉnh bởi luật sửa đổi năm 2025, nên bài viết không nêu con số cụ thể; việc định tội, định khung do cơ quan tố tụng xác định.) 2) VIỆC CẦN LÀM NGAY (thời gian rất quan trọng) Đây là hướng dẫn thực tiễn để tăng khả năng thu hồi và phục vụ điều tra: 1) BÁO NGÂN HÀNG NGAY: gọi tổng đài ngân hàng của bạn (và nếu biết, ngân hàng nhận tiền) để báo giao dịch bị lừa đảo, yêu cầu tra soát, phong tỏa/khoanh giữ số tiền nếu còn trong tài khoản người nhận. Chuyển tiền vừa xong mà báo sớm thì cơ hội giữ được tiền cao hơn. 2) LƯU TOÀN BỘ CHỨNG CỨ: sao kê/biên lai chuyển khoản, số tài khoản và tên người nhận, tin nhắn/cuộc gọi/trang web/nội dung trao đổi với kẻ lừa đảo, số điện thoại, đường link. Chụp màn hình đầy đủ trước khi bị xóa. 3) TRÌNH BÁO CÔNG AN: làm đơn tố giác tội phạm gửi cơ quan công an nơi bạn cư trú (công an cấp xã/Cơ quan Cảnh sát điều tra) kèm toàn bộ chứng cứ; có thể phản ánh tới đường dây nóng/kênh tiếp nhận tin báo về tội phạm sử dụng công nghệ cao. Việc trình báo sớm giúp công an phối hợp ngân hàng truy vết dòng tiền. 4) CẢNH GIÁC LỪA ĐẢO LẦN HAI: sau khi bị lừa, có thể xuất hiện đối tượng mạo danh "hỗ trợ lấy lại tiền", "luật sư thu hồi" yêu cầu nộp phí - đây thường là bẫy lừa tiếp. Không chuyển thêm bất kỳ khoản nào cho các dịch vụ hứa "lấy lại tiền". 3) KHẢ NĂNG THU HỒI VÀ QUYỀN DÂN SỰ Nếu bắt được đối tượng và xử lý hình sự, bạn là bị hại có quyền yêu cầu bồi thường, hoàn trả số tiền bị chiếm đoạt trong vụ án. Nếu chỉ xác định được người nhận tiền mà chưa đủ yếu tố hình sự, bạn vẫn có thể khởi kiện dân sự đòi lại khoản tiền đã chuyển nhầm/bị chiếm giữ không có căn cứ. BẠN NÊN LÀM GÌ 1) Hành động trong "giờ vàng": báo ngân hàng và trình báo công an ngay khi phát hiện bị lừa. 2) Thu thập, sao lưu đầy đủ chứng cứ trước khi bị xóa. 3) Không nghe theo dịch vụ "lấy lại tiền" đòi phí - tránh bị lừa lần hai. 4) Theo dõi, phối hợp cung cấp thông tin cho cơ quan điều tra; giữ biên nhận đơn tố giác. 5) Nếu cần, tham vấn luật sư để làm đơn tố giác và yêu cầu bồi thường đúng thủ tục.Nguồn: Điều 174, Điều 290 Bộ luật Hình sự 100/2015/QH13 (sửa đổi, bổ sung bởi Luật 12/2017/QH14 và Luật 86/2025/QH15)

Có — hành vi bịa đặt, chửi bới, bôi nhọ danh dự người khác trên mạng xã hội là VI PHẠM PHÁP LUẬT, và tùy tính chất, mức độ có thể bị xử phạt hành chính hoặc TRUY CỨU TRÁCH NHIỆM HÌNH SỰ. Đặc biệt, việc thực hiện hành vi này QUA MẠNG (Facebook, TikTok...) còn là TÌNH TIẾT TĂNG NẶNG. Bạn hoàn toàn có quyền yêu cầu pháp luật bảo vệ danh dự, nhân phẩm của mình. Cần phân biệt hai hành vi (có thể là hai tội danh khác nhau tùy nội dung): (1) Nếu người đó BỊA ĐẶT những điều KHÔNG CÓ THẬT (loan truyền chuyện sai sự thật, vu cho bạn làm điều xấu/phạm tội) — đây có dấu hiệu của TỘI VU KHỐNG. Điều 156 Bộ luật Hình sự 100/2015/QH13 quy định phạt tiền từ 10.000.000 đến 50.000.000 đồng, cải tạo không giam giữ đến 02 năm hoặc phạt tù từ 03 tháng đến 01 năm đối với hành vi "Bịa đặt hoặc loan truyền những điều BIẾT RÕ LÀ SAI SỰ THẬT nhằm xúc phạm nghiêm trọng nhân phẩm, danh dự hoặc gây thiệt hại đến quyền, lợi ích hợp pháp của người khác" hoặc "Bịa đặt người khác phạm tội và tố cáo họ trước cơ quan có thẩm quyền." (2) Nếu người đó CHỬI BỚI, XÚC PHẠM nghiêm trọng danh dự, nhân phẩm của bạn (không nhất thiết là bịa chuyện, mà là lăng mạ, sỉ nhục) — đây có dấu hiệu của TỘI LÀM NHỤC NGƯỜI KHÁC. Điều 155 Bộ luật Hình sự quy định phạt cảnh cáo, phạt tiền từ 10.000.000 đến 30.000.000 đồng hoặc cải tạo không giam giữ đến 03 năm đối với hành vi "xúc phạm nghiêm trọng nhân phẩm, danh dự của người khác." Điểm QUAN TRỌNG — thực hiện qua mạng là TÌNH TIẾT TĂNG NẶNG: cả hai điều luật đều quy định việc "SỬ DỤNG MẠNG MÁY TÍNH HOẶC MẠNG VIỄN THÔNG, PHƯƠNG TIỆN ĐIỆN TỬ để phạm tội" là tình tiết định khung TĂNG NẶNG — chuyển sang khung hình phạt cao hơn (với tội vu khống, khoản 2 Điều 156 phạt tù từ 01 năm đến 03 năm; với tội làm nhục, khoản 2 Điều 155 phạt tù từ 03 tháng đến 02 năm). Nghĩa là việc người đó đăng bài, livestream bôi nhọ bạn trên Facebook, TikTok — có sức lan tỏa rộng — khiến hành vi bị coi là NGHIÊM TRỌNG HƠN so với xúc phạm thông thường, mức xử lý nặng hơn. Về xử lý hành chính (với hành vi chưa đến mức truy cứu hình sự): nếu mức độ chưa nghiêm trọng đến mức xử lý hình sự, người vi phạm vẫn có thể bị XỬ PHẠT VI PHẠM HÀNH CHÍNH về hành vi cung cấp, chia sẻ thông tin sai sự thật, xúc phạm danh dự, nhân phẩm người khác trên mạng (theo các nghị định về xử phạt trong lĩnh vực an ninh mạng/thông tin và truyền thông), với mức phạt tiền đáng kể. Về quyền dân sự — yêu cầu BỒI THƯỜNG và cải chính: ngoài việc bị xử lý hành chính/hình sự, người vi phạm còn phải chịu trách nhiệm DÂN SỰ. Bạn có quyền yêu cầu người đó CHẤM DỨT hành vi, XIN LỖI, CẢI CHÍNH công khai, và BỒI THƯỜNG THIỆT HẠI (bao gồm thiệt hại về danh dự, uy tín, và thiệt hại vật chất nếu chứng minh được, như mất thu nhập, mất khách hàng...) theo quy định về bảo vệ quyền nhân thân và bồi thường thiệt hại ngoài hợp đồng của Bộ luật Dân sự. Bạn nên làm gì: 1) THU THẬP, LƯU GIỮ BẰNG CHỨNG ngay: chụp màn hình, quay video các bài đăng, livestream, bình luận bịa đặt/chửi bới (ghi rõ thời gian, link, tài khoản người đăng); tốt nhất nên lập VI BẰNG (do Thừa phát lại lập) để có giá trị chứng cứ cao — vì nội dung trên mạng có thể bị xóa. 2) Có thể gửi yêu cầu người đó GỠ BỎ nội dung, xin lỗi, cải chính; đồng thời báo cáo (report) nội dung vi phạm với nền tảng (Facebook, TikTok) để được gỡ. 3) TỐ GIÁC/TỐ CÁO đến cơ quan công an (hoặc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) về hành vi vu khống/làm nhục qua mạng — kèm bằng chứng đã thu thập, yêu cầu xử lý theo Điều 155/156 Bộ luật Hình sự. 4) Song song, có thể KHỞI KIỆN DÂN SỰ yêu cầu chấm dứt hành vi, xin lỗi cải chính công khai và bồi thường thiệt hại về danh dự, uy tín và vật chất. 5) Nên tham vấn luật sư để được hỗ trợ đánh giá hành vi thuộc tội danh nào, thu thập chứng cứ đúng cách (lập vi bằng), và lựa chọn hướng xử lý (hình sự, hành chính, dân sự — có thể kết hợp) phù hợp, hiệu quả nhất để bảo vệ danh dự và quyền lợi của bạn.Nguồn: Điều 155, Điều 156 Bộ luật Hình sự 100/2015/QH13

Bạn đã bị LỪA ĐẢO — đây là một thủ đoạn tinh vi đang phổ biến: kẻ gian dụ nạn nhân tự tay bấm VAY TIỀN trên các ứng dụng tài chính/ví điện tử (MoMo, Viettel Money, Cake...), rồi lừa nạn nhân chuyển/quét QR số tiền vừa vay đó cho chúng, để lại KHOẢN NỢ treo trên tài khoản nạn nhân. Điều quan trọng nhất bây giờ là hành động NHANH: báo công an, liên hệ ví/tổ chức cho vay để phong tỏa và ngăn phát sinh lãi, đồng thời tuyệt đối không cung cấp thêm OTP/mật khẩu cho bất kỳ ai. Về bản chất pháp lý — đây là tội LỪA ĐẢO CHIẾM ĐOẠT TÀI SẢN: hành vi của đối tượng (mạo danh người quen, dùng thủ đoạn gian dối "tặng tiền/tăng điểm tín dụng" để khiến bạn tin và tự thực hiện các thao tác vay tiền rồi chuyển cho chúng) có dấu hiệu của Điều 174 Bộ luật Hình sự 100/2015/QH13 — "bằng thủ đoạn gian dối chiếm đoạt tài sản của người khác." Vì thủ đoạn được thực hiện qua mạng viễn thông, tài khoản mạng xã hội bị chiếm dụng và ứng dụng ví điện tử, hành vi này ĐỒNG THỜI có thể liên quan đến Điều 290 Bộ luật Hình sự — "Tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản" (bao gồm hành vi lừa đảo trong thanh toán điện tử, sử dụng thông tin tài khoản để chiếm đoạt). Việc xác định chính xác tội danh do cơ quan điều tra quyết định, nhưng dù theo điều nào, đây đều là hành vi phạm tội cần được trình báo. Về khoản nợ treo trên tài khoản của bạn — điểm bạn lo lắng nhất: về nguyên tắc, hợp đồng vay mà bạn xác lập DO BỊ LỪA DỐI có thể bị tuyên VÔ HIỆU. Điều 127 Bộ luật Dân sự 91/2015/QH13 quy định: "Khi một bên tham gia giao dịch dân sự do bị LỪA DỐI... thì có quyền yêu cầu Tòa án tuyên bố giao dịch dân sự đó là vô hiệu." Nghĩa là bạn có căn cứ để yêu cầu xử lý khoản nợ này theo hướng bạn là NẠN NHÂN bị lừa, không phải người tự nguyện vay để sử dụng. Tuy nhiên, thực tế cần chứng minh được yếu tố bị lừa dối (bằng chứng tin nhắn, lịch sử giao dịch...), và cần phối hợp với tổ chức cho vay + cơ quan điều tra để giải quyết — đây là lý do phải trình báo và lưu giữ bằng chứng ngay. Bạn nên làm gì NGAY LẬP TỨC: 1) TRÌNH BÁO CÔNG AN ngay: đến cơ quan công an nơi cư trú, hoặc gọi đường dây nóng tiếp nhận tin báo lừa đảo (tổng đài 156 về tin nhắn/cuộc gọi rác, lừa đảo; hoặc 113) — cung cấp đầy đủ thông tin về vụ việc. 2) LIÊN HỆ NGAY tổng đài/bộ phận chăm sóc khách hàng của các ví điện tử, tổ chức cho vay (MoMo, Viettel Money, Cake...): thông báo mình bị lừa, YÊU CẦU PHONG TỎA/TẠM KHÓA tài khoản, ngăn phát sinh thêm lãi/nợ, và đề nghị tạm dừng thu hồi khoản vay trong khi chờ xác minh, điều tra. 3) GỬI VĂN BẢN chính thức đến tổ chức cho vay trình bày rõ mình bị lừa dối khi xác lập khoản vay, đề nghị xem xét hủy/vô hiệu hợp đồng vay theo Điều 127 Bộ luật Dân sự và tạm dừng nghĩa vụ trả nợ chờ kết quả điều tra. 4) LƯU GIỮ TOÀN BỘ bằng chứng: tin nhắn/cuộc trò chuyện với đối tượng (kể cả tài khoản mạo danh người quen), lịch sử giao dịch trên ví, mã QR/mã giao dịch, thông tin tài khoản nhận tiền — đây là chứng cứ then chốt để điều tra và để chứng minh bạn bị lừa dối. 5) TUYỆT ĐỐI KHÔNG cung cấp mã OTP, mật khẩu, thông tin tài khoản cho bất kỳ ai — kể cả người tự xưng là nhân viên ngân hàng/ví điện tử/công an gọi đến "hỗ trợ xử lý"; đây thường là chiêu lừa tiếp theo. 6) Nên tham vấn luật sư để được hỗ trợ về thủ tục yêu cầu vô hiệu hợp đồng vay, đòi bồi thường thiệt hại (khi cơ quan điều tra xác định được đối tượng), và bảo vệ quyền lợi trong quá trình làm việc với tổ chức cho vay.Nguồn: Điều 174, Điều 290 Bộ luật Hình sự 100/2015/QH13; Điều 127 Bộ luật Dân sự 91/2015/QH13

Yêu cầu "phải đi cùng người vay lên công ty mới gỡ được" là một đòi hỏi VÔ LÝ và không có căn cứ pháp luật — bạn không có nghĩa vụ gì với khoản vay đó, và công ty tài chính không có quyền tiếp tục sử dụng số điện thoại của bạn (dữ liệu cá nhân) khi đã biết rõ bạn không liên quan, không đồng ý. Về bản chất pháp lý: việc người vay khai số điện thoại của bạn làm "số tham chiếu" (thường là để công ty tài chính liên hệ khi không gọi được người vay) mà KHÔNG có sự đồng ý của bạn là hành vi SỬ DỤNG DỮ LIỆU CÁ NHÂN CỦA NGƯỜI KHÁC không đúng quy định. Khoản 5 Điều 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định rõ đây là một trong các HÀNH VI BỊ NGHIÊM CẤM: "Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật." Việc người vay cung cấp số điện thoại của bạn cho công ty tài chính mà không hỏi ý kiến bạn, và công ty tài chính tiếp tục xử lý (gọi điện, nhắn tin) số điện thoại đó sau khi đã biết bạn không liên quan, đều có dấu hiệu vi phạm nguyên tắc xử lý dữ liệu cá nhân phải có sự đồng ý của chủ thể dữ liệu. Về quyền của bạn với tư cách chủ thể dữ liệu: điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân quy định bạn có quyền "Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; GỬI YÊU CẦU PHẢN ĐỐI XỬ LÝ DỮ LIỆU CÁ NHÂN" — đây chính xác là quyền bạn cần sử dụng ở đây: yêu cầu công ty tài chính NGỪNG xử lý (gọi điện, nhắn tin, lưu trữ) số điện thoại của bạn liên quan đến khoản vay đó. Điều 5 Nghị định 356/2025/NĐ-CP (quy định chi tiết thi hành luật) buộc bên kiểm soát dữ liệu (ở đây là công ty tài chính) phải xây dựng quy trình rõ ràng để tiếp nhận, xử lý các yêu cầu này của chủ thể dữ liệu — công ty KHÔNG được đặt điều kiện tùy tiện (như "phải đi cùng người vay lên công ty") để né tránh nghĩa vụ này. Về chế tài nếu công ty tài chính tiếp tục vi phạm: khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm (ngoài các trường hợp đặc thù về mua bán dữ liệu hay chuyển dữ liệu xuyên biên giới) là 03 TỶ ĐỒNG — áp dụng cho tổ chức; đây là mức răn đe đáng kể, và bạn hoàn toàn có căn cứ để khiếu nại/tố cáo hành vi này đến cơ quan chức năng nếu công ty tiếp tục phớt lờ yêu cầu chấm dứt. Bạn nên làm gì: 1) Gửi YÊU CẦU BẰNG VĂN BẢN (không chỉ gọi điện) đến công ty tài chính — có thể qua email, đơn khiếu nại gửi trực tiếp hoặc qua đường bưu điện có xác nhận — nêu rõ: bạn không phải là người vay, không có bất kỳ quan hệ nghĩa vụ nào với khoản vay, và YÊU CẦU CHẤM DỨT NGAY việc sử dụng số điện thoại của bạn để liên hệ đòi nợ, đồng thời xóa thông tin số điện thoại của bạn khỏi hồ sơ khoản vay đó — trích dẫn quyền phản đối xử lý dữ liệu cá nhân theo Điều 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. 2) Lưu giữ đầy đủ bằng chứng: ghi âm các cuộc gọi (nếu có thể), chụp màn hình tin nhắn, ghi lại số điện thoại/tên công ty đã gọi, thời gian, tần suất — đây là bằng chứng quan trọng nếu cần khiếu nại chính thức. 3) Nếu công ty tài chính không phản hồi hoặc tiếp tục gọi điện, nhắn tin sau khi đã nhận được yêu cầu bằng văn bản, bạn có quyền khiếu nại đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) hoặc cơ quan quản lý nhà nước về bảo vệ dữ liệu cá nhân, đồng thời có thể khiếu nại lên Ngân hàng Nhà nước (nếu công ty tài chính là tổ chức được NHNN cấp phép) về hành vi thu hồi nợ không đúng quy định. 4) Nếu tình trạng quấy rối nghiêm trọng, ảnh hưởng đến công việc/danh dự, có thể tham vấn luật sư để đánh giá khả năng yêu cầu bồi thường thiệt hại theo quy định của pháp luật, vì Điều 4 Luật Bảo vệ dữ liệu cá nhân cũng trao quyền "khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại" cho chủ thể dữ liệu bị xâm phạm.Nguồn: Khoản 5 Điều 7, Điều 4, Khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Có hai vấn đề pháp lý tách biệt trong câu hỏi của bạn, và cả hai đều đáng lo ngại hơn bạn nghĩ — không chỉ dừng ở việc "có phải đền khách hàng không" mà còn ở chỗ chính mô hình kinh doanh mua-bán dữ liệu trung gian này có thể đã vi phạm quy định cấm của Luật Bảo vệ dữ liệu cá nhân ngay từ đầu. 1) VỀ TRÁCH NHIỆM VỚI KHÁCH HÀNG NẾU DỮ LIỆU ĐẦU VÀO CÓ VẤN ĐỀ: căn cứ Điều 444 Bộ luật Dân sự 91/2015/QH13 về bảo đảm quyền sở hữu của bên bán đối với tài sản mua bán: nếu tài sản (ở đây là dữ liệu/report) bị người thứ ba tranh chấp về quyền sở hữu/quyền sử dụng hợp pháp, bên mua (khách hàng doanh nghiệp của bạn) có quyền hủy hợp đồng và YÊU CẦU BÊN BÁN (tức công ty bạn) BỒI THƯỜNG THIỆT HẠI — trừ trường hợp bên mua đã biết hoặc phải biết về tranh chấp này khi giao kết hợp đồng. Nói cách khác: nếu khách hàng của bạn không biết dữ liệu gốc có vấn đề về quyền sở hữu/cấp phép, CÔNG TY BẠN CÓ THỂ PHẢI CHỊU TRÁCH NHIỆM BỒI THƯỜNG cho khách hàng — dù chính công ty bạn cũng là "nạn nhân" của việc đối tác cung cấp dữ liệu không có quyền bán. Đây là nguyên tắc "bảo đảm chuỗi cung ứng hợp pháp" — công ty bán sản phẩm cuối cùng (report) vẫn phải chịu trách nhiệm với khách hàng của mình, dù lỗi gốc nằm ở đối tác cung cấp dữ liệu. 2) VỀ VIỆC BẢN THÂN MÔ HÌNH KINH DOANH CÓ HỢP PHÁP HAY KHÔNG — ĐÂY LÀ ĐIỂM QUAN TRỌNG HƠN CẦN LƯU Ý NGAY: khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định về các hành vi bị nghiêm cấm: "Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác." Đây là ĐIỀU CẤM CHUNG, áp dụng cho bất kỳ hoạt động mua bán dữ liệu cá nhân nào, trừ khi có luật khác cho phép cụ thể. Với mô hình công ty bạn mô tả — lấy dữ liệu từ trung tâm xét nghiệm (dữ liệu SỨC KHỎE, thuộc nhóm dữ liệu NHẠY CẢM theo quy định), tổng hợp thành report, rồi BÁN cho khách hàng doanh nghiệp — đây có dấu hiệu RẤT GẦN với hành vi "mua, bán dữ liệu cá nhân" bị cấm, bất kể có thông qua trung gian hay không. Đây là rủi ro pháp lý cần được đánh giá nghiêm túc, không chỉ là vấn đề "đối tác có quyền bán hay không." Một quy định liên quan khác, khoản 2 Điều 26 Luật này (dù không hoàn toàn khớp 100% với tình huống của bạn) quy định các đơn vị trong lĩnh vực y tế không được cung cấp dữ liệu cá nhân về sức khỏe cho bên thứ ba (dịch vụ y tế, bảo hiểm...) khi chưa có sự đồng ý BẰNG VĂN BẢN của chủ thể dữ liệu — cho thấy tinh thần chung của luật là bảo vệ đặc biệt nghiêm ngặt với dữ liệu sức khỏe, đúng loại dữ liệu công ty bạn đang xử lý. 3) VỀ MỐI QUAN HỆ GIỮA TRÁCH NHIỆM HÌNH SỰ/HÀNH CHÍNH VÀ TRÁCH NHIỆM DÂN SỰ VỚI KHÁCH HÀNG: khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định: người vi phạm "tùy theo tính chất, mức độ, hậu quả... có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật." Đây xác nhận rõ: xử lý hình sự/hành chính (nếu công ty bị truy tố vì sử dụng dữ liệu trái phép) và trách nhiệm bồi thường dân sự với khách hàng là HAI HƯỚNG XỬ LÝ ĐỘC LẬP, KHÔNG TỰ ĐỘNG KÉO THEO NHAU — công ty có thể bị xử lý hình sự về hành vi mua bán dữ liệu trái phép (với Nhà nước), ĐỒNG THỜI vẫn có thể (hoặc không) phải bồi thường hợp đồng cho khách hàng tùy vào việc khách hàng có bị thiệt hại thực tế và có căn cứ hợp đồng để đòi bồi thường hay không — đây là hai quan hệ pháp lý tách biệt (một là Nhà nước xử lý vi phạm, một là quan hệ hợp đồng dân sự giữa công ty và khách hàng). Đáng chú ý: khoản 3 Điều 8 quy định mức phạt hành chính cho hành vi mua bán dữ liệu cá nhân có thể lên tới 10 LẦN khoản thu lợi bất chính có được từ vi phạm — đây là mức phạt rất nặng, cho thấy mức độ nghiêm trọng mà pháp luật đặt ra cho loại hành vi này. Công ty bạn nên làm gì NGAY: 1) Rà soát lại toàn bộ mô hình kinh doanh hiện tại: việc "tổng hợp dữ liệu từ đối tác thành report rồi bán" có đang thực chất là mua bán dữ liệu cá nhân trá hình dưới danh nghĩa "report" hay không — đây là câu hỏi cần luật sư chuyên về bảo vệ dữ liệu cá nhân đánh giá kỹ, vì ranh giới giữa "cung cấp dịch vụ phân tích dữ liệu" hợp pháp và "mua bán dữ liệu cá nhân" bị cấm có thể khá mong manh tùy cách thiết kế hợp đồng và bản chất dữ liệu trong report. 2) Yêu cầu đối tác cung cấp dữ liệu (trung tâm xét nghiệm/bên trung gian) xuất trình đầy đủ căn cứ pháp lý về quyền thu thập, xử lý, và đặc biệt là quyền CHIA SẺ/BÁN dữ liệu này cho bên thứ ba — bao gồm bằng chứng đã có sự đồng ý của chủ thể dữ liệu (bệnh nhân) cho việc chia sẻ này, trước khi tiếp tục hợp tác. 3) Rà soát hợp đồng với khách hàng doanh nghiệp hiện tại — xem có điều khoản giới hạn trách nhiệm, cam kết về nguồn gốc hợp pháp của dữ liệu hay không, để đánh giá mức độ rủi ro bồi thường nếu phát sinh tranh chấp. 4) Nên tham vấn luật sư chuyên sâu về bảo vệ dữ liệu cá nhân càng sớm càng tốt để đánh giá toàn diện rủi ro của mô hình kinh doanh, trước khi vấn đề phát sinh trên thực tế — đây không chỉ là câu hỏi "nếu xảy ra thì sao" mà là vấn đề cần rà soát ngay cả khi chưa có sự cố.Nguồn: Điều 444 Bộ luật Dân sự 91/2015/QH13; Điều 7, Điều 8, Điều 26 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Ngày 09/07/2026, Trường Luật Đại học Chicago (University of Chicago Law School) công bố một bản "AI Strategy Statement" (Tuyên bố chiến lược về AI) — một trong những văn bản chính sách công khai, chi tiết nhất từ một trường luật hàng đầu của Mỹ về cách tổ chức đào tạo luật sư trong thời đại AI tạo sinh. Đây là nguồn nước ngoài, không phải văn bản pháp luật Việt Nam, nên phần dưới đây trình bày dưới dạng tóm lược thông tin công khai và góc nhìn liên hệ, không phải trích dẫn luật. Tuyên bố của UChicago xoay quanh ba trụ cột chiến lược: (1) phương pháp giảng dạy và đánh giá "có sức đề kháng với AI" (AI-resilient pedagogy) — thiết kế bài giảng, bài kiểm tra sao cho sinh viên không thể chỉ dựa vào AI để hoàn thành mà không thực sự tư duy; (2) đề cao các kỹ năng con người thiết yếu — tranh luận miệng (oral advocacy), khả năng phán đoán chiến lược, xây dựng quan hệ với khách hàng — những thứ AI khó thay thế; (3) dạy cách dùng AI có trách nhiệm — sử dụng AI một cách đạo đức, hiệu quả, và có phân tích phản biện, không phải cấm hoàn toàn. Chính sách cụ thể đáng chú ý theo từng cấp học: - Lớp năm nhất (1L) — các môn học bắt buộc: cấm thiết bị điện tử trong lớp (trừ trường hợp cần thiết bị hỗ trợ người khuyết tật hoặc người ghi chép), thi không được truy cập internet/ứng dụng, tiếp tục duy trì phương pháp Socratic (thầy cô liên tục đặt câu hỏi vấn đáp trực tiếp) — áp dụng thí điểm trong năm học 2026-2027. - Môn Nghiên cứu và Viết luận pháp lý năm nhất: cách tiếp cận theo lớp — trước tiên sinh viên phải viết KHÔNG dùng AI để xây nền tảng tư duy và kỹ năng viết, sau đó mới được hướng dẫn dùng AI hỗ trợ cho việc nghiên cứu, chỉnh sửa, chuẩn bị tranh luận miệng — có sự rà soát chung giữa bài viết của sinh viên và cách sinh viên đã dùng AI. - Các môn tự chọn: chính sách về thiết bị điện tử và phương pháp Socratic chỉ là MẶC ĐỊNH, không bắt buộc — giảng viên được khuyến khích tự thử nghiệm với đánh giá theo tiến trình (formative assessment) kết hợp công cụ AI; mở rộng thêm các môn tự chọn chuyên sâu về AI. - Yêu cầu viết luận văn bậc cao (Substantial Research Papers): bổ sung yêu cầu BẢO VỆ MIỆNG bắt buộc — sinh viên phải trình bày, bảo vệ luận văn trực tiếp (một-một hoặc theo nhóm workshop) với giáo viên hướng dẫn — đây là cách kiểm tra thực chất tư duy của sinh viên đứng sau bài viết, khó gian lận bằng AI. - Đào tạo thực hành tại các phòng thực hành pháp lý (clinics): sinh viên được tiếp cận công cụ AI cho các mảng thực hành khác nhau (giao dịch, di trú, tố tụng), mỗi phòng thực hành tự xây dựng chính sách AI riêng phù hợp đặc thù, tập trung vào kỹ năng hành nghề lấy con người làm trung tâm, có AI hỗ trợ dưới sự giám sát. Ba nguyên tắc xuyên suốt: MINH BẠCH (mọi chính sách AI phải được ghi rõ trong đề cương môn học và thảo luận công khai trên lớp, không để ngầm hiểu); CẬP NHẬT (liên tục theo sát xu hướng hành nghề thực tế và hợp tác với các đối tác công nghệ); LINH HOẠT (rà soát, điều chỉnh chính sách định kỳ khi công nghệ và thực tiễn hành nghề thay đổi). Trường tóm gọn triết lý đào tạo bằng một câu: dạy sinh viên biết tư duy "cùng với AI, không có AI, và VỀ AI" (with, without, and about AI). GÓC NHÌN LIÊN HỆ VỚI VIỆT NAM (phần bình luận, không phải quy định pháp luật): Việt Nam hiện chưa có một văn bản tương tự dành riêng cho đào tạo luật — nhưng đã có khung pháp lý nền tảng để các trường luật, đoàn luật sư, và văn phòng luật tham chiếu khi tự xây dựng chính sách AI của mình. Luật Trí tuệ nhân tạo 134/2025/QH15 (hiệu lực từ 01/03/2026) đặt ra nguyên tắc cốt lõi tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người. Bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo." Đây chính là tinh thần rất gần với cách UChicago đặt vấn đề: AI là công cụ hỗ trợ, không phải thứ thay thế năng lực phán đoán, trách nhiệm nghề nghiệp của luật sư — một sinh viên/luật sư dùng AI để tra cứu, soạn thảo vẫn phải là người chịu trách nhiệm cuối cùng về nội dung, không thể đổ lỗi cho AI khi có sai sót. Một điểm khác biệt đáng lưu ý: khung pháp lý Việt Nam (Luật Trí tuệ nhân tạo) tập trung vào quản lý RỦI RO của hệ thống AI khi được TRIỂN KHAI SỬ DỤNG trong thực tế xã hội, kinh doanh — không trực tiếp điều chỉnh vấn đề giáo dục, đào tạo (cách một trường luật tổ chức lớp học, ra đề thi). Nghĩa là quyết định có nên cấm thiết bị điện tử trong lớp, có yêu cầu sinh viên viết luận không dùng AI trước, hay không — vẫn hoàn toàn thuộc thẩm quyền tự chủ của từng cơ sở đào tạo tại Việt Nam, chưa có hướng dẫn thống nhất từ Bộ Giáo dục và Đào tạo dành riêng cho ngành luật. Điều các cơ sở đào tạo luật và văn phòng luật tại Việt Nam có thể cân nhắc học hỏi từ UChicago, dù không có ràng buộc pháp lý: 1) Nguyên tắc minh bạch — nếu một môn học/một văn phòng luật cho phép dùng AI, nên ghi rõ ràng, công khai phạm vi được phép, không để mỗi người tự hiểu theo cách khác nhau. 2) Phân tầng kỹ năng — kỹ năng nền tảng (viết, lập luận, tranh biện miệng) nên được rèn không có AI trước, để đảm bảo người học thực sự nắm được tư duy pháp lý, trước khi được hướng dẫn dùng AI như công cụ tăng tốc. 3) Không cấm tuyệt đối, không thả nổi tuyệt đối — cách tiếp cận "mặc định nhưng linh hoạt theo môn/theo nhóm thực hành" của UChicago có thể phù hợp hơn cách cấm cứng hoặc cho phép tự do hoàn toàn, vì nhu cầu sử dụng AI khác nhau rất nhiều giữa các mảng hành nghề (tố tụng cần tranh biện miệng nhiều hơn, giao dịch/soạn thảo hợp đồng có thể tận dụng AI nhiều hơn). 4) Với các công cụ AI tra cứu pháp luật cụ thể (như Lawgical), nguyên tắc minh bạch và trách nhiệm giải trình theo Luật Trí tuệ nhân tạo cũng là tiêu chí đáng để người dùng — dù là sinh viên luật, luật sư, hay doanh nghiệp — cân nhắc: công cụ có trích dẫn rõ nguồn, đúng Điều/Khoản, để người dùng tự đối chiếu và chịu trách nhiệm về quyết định cuối cùng, hay chỉ đưa ra câu trả lời không kiểm chứng được.Nguồn: Điều 4 Luật Trí tuệ nhân tạo 134/2025/QH15