Khi quyền dữ liệu khách hàng liên tiếp bị xâm phạm
Ủy ban Cạnh tranh Quốc gia, Bộ Công Thương vừa ban hành quyết định xử phạt vi phạm hành chính đối với Công ty TNHH Grab số tiền hơn 1,3 tỷ đồng sau kiểm tra việc chấp hành pháp luật về bảo vệ quyền lợi người tiêu dùng.
Có 6 hành vi vi phạm được cơ quan quản lý chỉ ra, từ bảo vệ thông tin người tiêu dùng, điều kiện giao dịch chung đến hiển thị đánh giá dịch vụ, quảng bá thông qua người có ảnh hưởng và chính sách dành cho người tiêu dùng dễ bị tổn thương.
Đáng chú ý nhất là việc Grab không cho người tiêu dùng lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin của mình để chia sẻ, tiết lộ, chuyển giao cho bên thứ ba.
Trao đổi với PV Tiền Phong, luật sư Nguyễn Thanh Hải - Giám đốc Công ty Luật TNHH An Hoàng Gia, Đoàn Luật sư TP. Hà Nội - cho rằng đây là hành vi liên quan trực tiếp đến quyền của người tiêu dùng đối với thông tin của chính mình.
“Đây không phải là vi phạm có thể xem nhẹ. Một doanh nghiệp càng lớn, càng có nhiều người sử dụng và nắm giữ lượng dữ liệu càng lớn thì trách nhiệm bảo vệ thông tin, quyền lợi của người tiêu dùng càng phải cao và tương xứng”, luật sư Hải nói.
Theo luật sư Nguyễn Thanh Hải, Luật Bảo vệ quyền lợi người tiêu dùng năm 2023 đã đặt ra trách nhiệm của tổ chức, cá nhân kinh doanh trong bảo vệ thông tin người tiêu dùng. Đặc biệt, từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực, thay thế cơ chế pháp lý trước đây theo Nghị định 13/2023/NĐ-CP.
“Tinh thần xuyên suốt của pháp luật hiện hành là cá nhân phải được bảo đảm quyền đối với dữ liệu của chính mình. Việc xử lý, sử dụng hay chia sẻ dữ liệu không thể chỉ xuất phát từ nhu cầu của doanh nghiệp mà phải tuân thủ các nguyên tắc, điều kiện do pháp luật quy định”, luật sư Hải cho biết.
Theo vị luật sư, khi pháp luật yêu cầu sự đồng ý thì “đồng ý” phải thực sự là một quyền lựa chọn, chứ không thể chỉ là thao tác hình thức để người dùng tiếp tục sử dụng ứng dụng hay dịch vụ.
Người tiêu dùng cần được biết thông tin nào được thu thập, sử dụng vào mục đích gì và trong trường hợp nào được chia sẻ cho bên thứ ba.
Thực tế, người dùng các nền tảng số thường phải đối diện với những điều khoản dài và phức tạp. Lựa chọn nhiều khi chỉ còn là bấm “đồng ý” để tiếp tục hoặc từ bỏ dịch vụ.
Khi đó, vấn đề không chỉ là doanh nghiệp có chính sách bảo mật hay không, mà là quyền đồng ý hoặc từ chối của người tiêu dùng có thực chất hay chỉ mang tính thủ tục.
Không thể coi một lần “đồng ý” là trao toàn quyền dữ liệu
Luật sư Nguyễn Thanh Hải cho rằng khi quyền lựa chọn không được bảo đảm, quyền bị ảnh hưởng trước hết là quyền kiểm soát thông tin cá nhân. Người tiêu dùng có thể không chủ động quyết định được thông tin của mình được sử dụng hoặc chia sẻ như thế nào.
“Nếu dữ liệu bị sử dụng sai mục đích hoặc không được bảo đảm an toàn thì có thể phát sinh nguy cơ bị quảng cáo ngoài mong muốn, cuộc gọi rác, phân tích hành vi, thậm chí bị lợi dụng để giả mạo, lừa đảo hoặc xâm phạm đời sống riêng tư”, luật sư Hải cảnh báo.
Thực tế, Grab không phải trường hợp duy nhất bị xử lý gần đây vì những vi phạm liên quan đến dữ liệu người dùng. Trước đó, vào tháng 1/2026, Công ty Cổ phần Tập đoàn VNG - đơn vị vận hành Zalo cũng bị phạt 810 triệu đồng, trong đó có vi phạm là không thiết lập phương thức để người tiêu dùng lựa chọn phạm vi thông tin đồng ý cung cấp; không có cơ chế để khách hàng lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin cho quảng cáo, giới thiệu sản phẩm, hàng hóa, dịch vụ và các hoạt động thương mại khác.
TikTok Pte. Ltd, Xiaomi bị xử phạt do hành vi vi phạm có việc không có cơ chế để người tiêu dùng lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin cho hoạt động quảng cáo, giới thiệu sản phẩm, hàng hóa, dịch vụ...
Luật sư Nguyễn Thanh Hải cho rằng để ngăn tình trạng tương tự, trách nhiệm trước hết thuộc về doanh nghiệp. Các nền tảng phải minh bạch mình thu thập thông tin gì, sử dụng vào mục đích nào, trường hợp nào chia sẻ cho bên thứ ba; đồng thời thiết kế cơ chế để người tiêu dùng có thể đồng ý hoặc từ chối một cách rõ ràng, thuận tiện và thực chất.
“Không thể đưa ra hàng loạt điều khoản dài, phức tạp rồi mặc nhiên coi một lần người dùng bấm ‘đồng ý’ là doanh nghiệp có quyền sử dụng thông tin cho mọi mục đích”, luật sư Hải nói.
Cùng với đó, cơ quan quản lý cần tăng cường kiểm tra chính sách bảo mật, điều kiện giao dịch chung và hoạt động thu thập, sử dụng, chia sẻ dữ liệu của những nền tảng có lượng người dùng lớn; xử lý nghiêm và công khai vi phạm để tăng tính răn đe.
“Trong môi trường số, bảo vệ người tiêu dùng không còn chỉ là bảo vệ tiền bạc hay tài sản. Dữ liệu cá nhân cũng là một quyền và lợi ích hợp pháp cần được bảo vệ. Doanh nghiệp có thể cung cấp nền tảng, nhưng không vì thế mà được quyền quyết định thay người tiêu dùng đối với dữ liệu của chính họ”, luật sư Nguyễn Thanh Hải nhấn mạnh.
