Dữ Liệu Của Trẻ Em Theo Nghị Định 330/2026: Liệu Quy Tắc Đồng Ý Đồng Thời Cũ Đã Quay Trở Lại?

Liệu một doanh nghiệp có phải có phải xin cả sự đồng ý của trẻ em và người đại diện theo pháp luật của trẻ em, tức cha mẹ hoặc người giám hộ (đồng ý đồng thời), bất cứ khi nào doanh nghiệp xử lý dữ liệu cá nhân của trẻ em từ đủ 7 tuổi trở lên không? Theo Luật Bảo Vệ Dữ Liệu Cá Nhân (Luật BVDLCN), câu trả lời là không. Đồng ý đồng thời chỉ được yêu cầu đối với việc xử lý làm tiết lộ đời sống riêng tư hoặc bí mật cá nhân của trẻ em. Đối với các hoạt động xử lý khác, người đại diện theo pháp luật đồng ý thay cho trẻ em và không cần sự đồng ý của chính trẻ em (Điều 24.2 Luật BVDLCN). Tuy nhiên, Nghị Định 330/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Nghị Định 330/2026) dường như áp dụng quy định đồng ý đồng ý đồng thời trong phạm vi rộng hơn. Điều 60.1(c) Nghị Định 330/2026 phạt tiền đối với hành vi xử lý dữ liệu của trẻ em từ đủ 7 tuổi trở lên mà không có sự đồng ý đồng thời. Quy định này được lấy từ Nghị Định 13/2023, đã hết hiệu lực từ ngày 01 tháng 1 năm 2026.

Các quan ngại chính trong Dự thảo Nghị định xử phạt về An ninh mạng & Bảo vệ dữ liệu cá nhân

Ngày 16 tháng 3 năm 2026, Bộ Công an (BCA) đã công bố dự thảo nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Dự Thảo Nghị Định) để lấy ý kiến công khai. Đây là bước đi đầu tiên nhằm áp dụng các chế tài cụ thể cho LBVDLCN 2025, luật đã có hiệu lực từ ngày 1 tháng 1 năm 2026 nhưng giao chi tiết thi hành cho Chính Phủ. Dự thảo bao quát nhiều lĩnh vực như an ninh mạng, dữ liệu cá nhân, AI, viễn thông và chữ ký số. Bài viết này tập trung vào các quy định về dữ liệu cá nhân (từ Điều 57 đến Điều 69 của Dự Thảo Nghị Định), đề cập những quan ngại tiềm ẩn đối với các doanh nghiệp.

Dữ Liệu Đặc Tả (Metadata) Có Phải Là Dữ Liệu Cá Nhân? Những Rủi Ro Mới Theo Luật Bảo Vệ Dữ Liệu Cá Nhân Việt Nam (LBVDLCN 2025)

Khi các doanh nghiệp xem xét về vấn đề bảo vệ dữ liệu, họ thường tập trung vào những dữ liệu “hữu hình” như họ tên, địa chỉ email hoặc các thông tin ngân hàng. Tuy nhiên, tồn tại một lớp dữ liệu ẩn gọi là dữ liệu đặc tả (metadata) – về cơ bản là “dữ liệu về dữ liệu” - thường bị bỏ qua.

Theo các quy định pháp lý mới về bảo vệ dữ liệu cá nhân tại Việt Nam, việc bỏ qua dữ liệu đặc tả tiềm ẩn rủi ro đáng kể. Nếu dữ liệu đặc tả có thể được sử dụng để nhận diện một cá nhân cụ thể, nó sẽ chịu sự điều chỉnh của các quy định pháp lý nghiêm ngặt tương tự như dữ liệu cá nhân thông thường.

Những Điểm Nổi Bật Của Nghị Định 356/2025 Hướng Dẫn Luật Bảo Vệ Dữ Liệu Cá Nhân (LBVDLCN 2025)

Vào ngày 31 tháng 12 năm 2025, Chính Phủ đã ban hành Nghị Định 356/2025 hướng dẫn thi hành Luật BVDLCN 2025, có hiệu lực từ ngày 01 tháng 01 năm 2026. Nghị định 356/2025 cung cấp các hướng dẫn chi tiết quan trọng và đáng chú ý là đã giải quyết được một số điểm chưa rõ ràng trong khuôn khổ Luật BVDLCN 2025. Bài viết này nêu bật những điểm mấu chốt từ văn bản mới này.

1.         Mở rộng phạm vi "dữ liệu cá nhân nhạy cảm": Thẻ căn cước và thông tin đăng nhập

So với Dự Thảo Nghị Định Luật BVDLCN 2025, Nghị Định 356/2025 mở rộng phạm vi dữ liệu cá nhân nhạy cảm, trong đó quy định rõ ràng bao gồm: