Dữ Liệu Của Trẻ Em Theo Nghị Định 330/2026: Liệu Quy Tắc Đồng Ý Đồng Thời Cũ Đã Quay Trở Lại?

Liệu một doanh nghiệp có phải có phải xin cả sự đồng ý của trẻ em và người đại diện theo pháp luật của trẻ em, tức cha mẹ hoặc người giám hộ (đồng ý đồng thời), bất cứ khi nào doanh nghiệp xử lý dữ liệu cá nhân của trẻ em từ đủ 7 tuổi trở lên không? Theo Luật Bảo Vệ Dữ Liệu Cá Nhân (Luật BVDLCN), câu trả lời là không. Đồng ý đồng thời chỉ được yêu cầu đối với việc xử lý làm tiết lộ đời sống riêng tư hoặc bí mật cá nhân của trẻ em. Đối với các hoạt động xử lý khác, người đại diện theo pháp luật đồng ý thay cho trẻ em và không cần sự đồng ý của chính trẻ em (Điều 24.2 Luật BVDLCN). Tuy nhiên, Nghị Định 330/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Nghị Định 330/2026) dường như áp dụng quy định đồng ý đồng ý đồng thời trong phạm vi rộng hơn. Điều 60.1(c) Nghị Định 330/2026 phạt tiền đối với hành vi xử lý dữ liệu của trẻ em từ đủ 7 tuổi trở lên mà không có sự đồng ý đồng thời. Quy định này được lấy từ Nghị Định 13/2023, đã hết hiệu lực từ ngày 01 tháng 1 năm 2026.

1. Quy định của Luật BVDLCN và quy định của Nghị Định 330/2026

Nghị Định 13/2023, nghị định về dữ liệu cá nhân trước đây, yêu cầu đồng ý đồng thời đối với việc xử lý dữ liệu của trẻ em từ đủ 7 tuổi nói chung, không chỉ trong trường hợp tiết lộ (Điều 20.2 Nghị Định 13/2023). Luật BVDLCN, có hiệu lực từ ngày 01 tháng 1 năm 2026, chỉ giữ lại đồng ý đồng thời đối với việc tiết lộ đời sống riêng tư và bí mật cá nhân. Nghị Định 13/2023 hết hiệu lực vào cùng ngày (Điều 42.2 Nghị Định 356/2025). Nghị Định 356/2025 hướng dẫn thi hành Luật BVDLCN không có quy định riêng về trẻ em, chẳng hạn như ngưỡng độ tuổi hay quy tắc về sự đồng ý của phụ huynh. Nội dung duy nhất của nghị định này đề cập đến trẻ em chỉ mang tính gián tiếp. Nghị định liệt kê việc xử lý dữ liệu cá nhân thông qua phần mềm giáo dục có tính năng giám sát, như điểm danh, ghi hình video hoặc nhận diện cảm xúc, vào nhóm các dịch vụ xử lý dữ liệu cá nhân mà nghị định điều chỉnh (Điều 21.5 Nghị Định 356/2025).

Theo Luật BVDLCN, sự đồng ý của người đại diện theo pháp luật là mức cơ bản. Người đại diện theo pháp luật của trẻ em là cha, mẹ, người giám hộ hoặc người do tòa án chỉ định (Điều 136 Bộ luật Dân sự 2015). Đồng ý là một trong các quyền của chủ thể dữ liệu, và đối với trẻ em, các quyền này do người đại diện theo pháp luật thực hiện (Điều 4.1(b) và Điều 24.2 Luật BVDLCN). Sự đồng ý của chính trẻ em chỉ được bổ sung trong một trường hợp duy nhất. Theo Luật BVDLCN, khi sự đồng ý là căn cứ để xử lý dữ liệu, luật có quy định như sau:

Độ tuổi	Xử lý thông thường	Xử lý để tiết lộ đời sống riêng tư hoặc bí mật cá nhân
Dưới 7	Người đại diện theo pháp luật	Người đại diện theo pháp luật
7 đến 15	Người đại diện theo pháp luật	Người đại diện theo pháp luật và trẻ em
16 và 17	Chỉ người chưa thành niên (không phải là "trẻ em")	Chỉ người chưa thành niên

Bảng trên áp dụng đối với mọi tổ chức, cá nhân xử lý dữ liệu của trẻ em. Sự đồng ý hoàn toàn không cần thiết, kể cả sự đồng ý của người đại diện theo pháp luật, nếu thuộc một trong các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý theo Luật BVDLCN (Điều 19.1 Luật BVDLCN). Ví dụ là thực hiện thỏa thuận với chủ thể dữ liệu và bảo vệ khẩn cấp tính mạng, sức khỏe. Bài viết này hiểu "trẻ em" theo ý nghĩa tại Luật Trẻ Em 2016, theo đó trẻ em được định nghĩa là người dưới 16 tuổi (Điều 1). Theo Bộ Luật Dân Sự 2015, người chưa thành niên là người chưa đủ 18 tuổi (Điều 21.1).

Các văn bản pháp luật không định nghĩa "đời sống riêng tư, bí mật cá nhân". Nghị Định 56/2017 quy định chi tiết Luật Trẻ em liệt kê tên, tuổi, hình ảnh, trường học, kết quả học tập và bạn bè của trẻ em, cùng với một số thông tin khác, là thông tin riêng tư (Điều 33 Nghị Định 56/2017). Do đó, ranh giới phân biệt dường như nằm ở mục đích xử lý thay vì thể loại dữ liệu. Sử dụng dữ liệu của trẻ em để cung cấp dịch vụ, chẳng hạn đăng ký cho trẻ tham gia một lớp học trực tiếp, nhiều khả năng là xử lý thông thường. Làm cho người khác có thể xem được dữ liệu đó, chẳng hạn trên hồ sơ công khai, bảng xếp hạng hoặc website của trường, có thể là công bố, tiết lộ. Việc cho một nhóm hạn chế xem, chẳng hạn các bạn cùng lớp, cũng có thể là công bố, tiết lộ.

Điều 60.1(c) Nghị Định 330/2026 hiện xử phạt quy tắc cũ này, với mức phạt từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức. Mức phạt tiền tương đối nhẹ, nhưng các biện pháp khắc phục hậu quả thì không như vậy. Đối với các vi phạm tại Điều 60, Nghị Định 330/2026 buộc hủy, xóa toàn bộ dữ liệu cá nhân đã được xử lý trái quy định (Điều 60.5(b)). Lượng dữ liệu phải xóa phụ thuộc vào việc dữ liệu nào đã bị xử lý trái quy định. Đối với doanh nghiệp hoạt động trong lĩnh vực giáo dục, trò chơi hoặc ứng dụng dành cho gia đình có quy trình lấy sự đồng ý chỉ được xây dựng theo Luật BVDLCN, rủi ro có thể đáng kể.

2. Hai cách hiểu

Theo cách hiểu nghĩa đen của Điều 60.1(c) Nghị Định 330/2026, đồng ý đồng thời là bắt buộc đối với mọi hoạt động xử lý dữ liệu của trẻ em từ đủ 7 tuổi trở lên, trừ khi thuộc một trong các trường hợp không cần sự đồng ý theo Luật BVDLCN. Các trường hợp đó bao gồm thực hiện thỏa thuận với chủ thể dữ liệu và bảo vệ khẩn cấp tính mạng, sức khỏe. Điều 60.2(a) Nghị Định 330/2026 quy định riêng việc phạt hành vi xử lý công bố, tiết lộ đời sống riêng tư của trẻ em mà không có đồng ý đồng thời, với mức phạt cao hơn là từ 50.000.000 đồng đến 100.000.000 đồng đối với tổ chức. Nếu Điều 60.1(c) cũng chỉ áp dụng đối với việc tiết lộ thì hai quy định sẽ trùng lặp, điều này cho thấy phạm vi của Điều 60.1(c) rộng hơn.

Cách hiểu thứ hai giới hạn Điều 60.1(c) trong phạm vi những gì Luật BVDLCN yêu cầu. Quy định về soạn thảo nghị định xử phạt yêu cầu mỗi hành vi vi phạm phải là hành vi vi phạm nghĩa vụ, trách nhiệm hoặc điều cấm theo quy định của pháp luật (Điều 4.1 Nghị Định 118/2021, được sửa đổi, bổ sung). Cơ quan thanh tra có thể lập luận rằng Điều 24.2 Luật BVDLCN không nêu rằng quy định về tiết lộ là trường hợp duy nhất cần có sự đồng ý của trẻ em. Nhưng Điều 24.2 phân định có chủ ý. Người đại diện theo pháp luật hành động thay cho trẻ em, và sự đồng ý của chính trẻ em chỉ được bổ sung đối với việc tiết lộ. Đây cũng là quan điểm của Luật Trẻ em 2016 và nghị định hướng dẫn thi hành luật này (Điều 6.11 Luật Trẻ em 2016; Điều 36.1 Nghị Định 56/2017). Luật BVDLCN đã thay thế quy định rộng hơn của Nghị Định 13/2023, và một nghị định không nên khôi phục những gì luật đã thu hẹp.

Theo quan điểm của chúng tôi, cách hiểu thứ hai hợp lý hơn: Điều 60.1(c) Nghị Định 330/2026 cần được hiểu là giới hạn trong phạm vi những gì Luật BVDLCN yêu cầu, bởi nếu không thì quy định này sẽ áp đặt một nghĩa vụ mà Luật BVDLCN đã chọn không áp đặt. Tuy nhiên, cách hiểu thứ nhất vẫn dẫn đến rủi ro trong thực thi. Cho đến khi cơ quan có thẩm quyền xác nhận cách hiểu hẹp hơn, các doanh nghiệp xử lý dữ liệu của trẻ em nên chuẩn bị theo cách hiểu rộng hơn.

Bài viết được thực hiện bởi Hà Thanh Phúc.