Bảo vệ dữ liệu cá nhân trên thị trường số: Kinh nghiệm Liên minh châu Âu và việc hoàn thiện pháp luật về bảo vệ dữ liệu cá nhân ở Việt Nam

Tổng quan về thị trường số và bảo vệ dữ liệu cá nhân

Thị trường số

Thị trường số là không gian kinh tế nơi hàng hóa, dịch vụ và thông tin được trao đổi qua công nghệ số, với đặc trưng là hiệu ứng mạng lưới, dữ liệu lớn, và thay đổi nhanh chóng, dẫn đến sự thống trị của các nền tảng số lớn⁽¹⁾. Quyền lực thị trường phát sinh từ dữ liệu và thuật toán, tạo lợi thế cạnh tranh cho doanh nghiệp, nhưng đồng thời gây ra cản trở gia nhập thị trường cho đối thủ⁽²⁾. Thị trường số nhấn mạnh đến tiếp thị kỹ thuật số, sử dụng dữ liệu cá nhân để cá nhân hóa dịch vụ, nhưng đặt ra những thách thức về đạo đức và pháp lý⁽³⁾. Theo Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu (EU), nền tảng số là dịch vụ trung gian trực tuyến kết nối người dùng và doanh nghiệp⁽⁴⁾. Luật Bảo vệ dữ liệu cá nhân của Việt Nam quy định, nền tảng số là môi trường trực tuyến xử lý dữ liệu cá nhân, yêu cầu đăng ký và bảo vệ dữ liệu lớn, nhạy cảm, hoặc chuyển giao quốc tế⁽⁵⁾.

Thị trường số tạo cơ hội cho doanh nghiệp thương mại điện tử tiếp cận thị trường toàn cầu mà không cần hiện diện thương mại, thúc đẩy thương mại xuyên biên giới thông qua hiệu ứng mạng lưới và dữ liệu lớn. Thị trường số tăng cường kết nối kinh tế, nhưng vấn đề quản lý dữ liệu cá nhân trở thành yếu tố quan tâm cốt lõi, nguy cơ rủi ro xâm phạm quyền riêng tư nếu quản lý kém hiệu quả. Đặc trưng của thị trường số là sự thống trị của nền tảng lớn, nơi thuật toán và dữ liệu định hình lợi thế cạnh tranh, tạo ra cơ hội tăng trưởng nhưng cũng đặt ra thách thức về ảnh hưởng đến đạo đức và bảo mật thông tin trong bối cảnh toàn cầu hóa⁽⁶⁾.

Bảo vệ dữ liệu cá nhân trên thị trường số

Bảo vệ dữ liệu cá nhân trên thị trường số là việc áp dụng biện pháp pháp lý, công nghệ, quản trị để bảo đảm an toàn, minh bạch và quyền kiểm soát dữ liệu cá nhân trong kinh doanh trực tuyến, bao gồm thương mại điện tử, mạng xã hội, dịch vụ tài chính, sử dụng trí tuệ nhân tạo (AI) và dữ liệu lớn để cá nhân hóa dịch vụ⁽⁷⁾. Tuy nhiên, nếu quản lý kém sẽ dẫn đến vi phạm quyền riêng tư, rủi ro bảo mật thông tin, đặc biệt đối với kinh doanh trực tuyến xuyên biên giới⁽⁸⁾. Dữ liệu cá nhân nhạy cảm (sức khỏe, tôn giáo…) có nguy cơ cao bị lạm dụng trong kinh doanh trên nền tảng số để cá nhân hóa dịch vụ hoặc phân tích hành vi⁽⁹⁾. Luật Bảo vệ dữ liệu cá nhân 2025 (Điều 2) định nghĩa, dữ liệu cá nhân bao gồm dữ liệu cơ bản (nhân thân, giao dịch) và dữ liệu nhạy cảm (gắn với quyền riêng tư). Có thể thấy, Luật Bảo vệ dữ liệu cá nhân đã có những bước hoàn thiện đáng kể, song vẫn cần có quy định chi tiết hơn nhằm tăng cường giám sát công nghệ, đáp ứng nhu cầu thực tiễn của thị trường số toàn cầu.

Để bảo vệ dữ liệu cá nhân trên thị trường số, cần nhận diện hai nội dung sau:

Thứ nhất, quyền của chủ thể về kiểm soát và quản lý thông tin cá nhân trong thị trường số: Quyền của chủ thể dữ liệu bao gồm quyền truy cập, sửa chữa, xóa dữ liệu và từ chối xử lý (opt-out). Quyền này nhằm hạn chế rủi ro lạm dụng dữ liệu trên các nền tảng xuyên biên giới như thương mại điện tử, tài chính trực tuyến hoặc các phương tiện truyền thông xã hội. GDPR (EU) quy định chi tiết quyền kiểm soát dữ liệu, bao gồm quyền truy cập (Điều 15), sửa chữa (Điều 16), xóa (“quyền được lãng quên”, Điều 17), phản đối xử lý dữ liệu (Điều 21). Luật Bảo vệ dữ liệu cá nhân 2025 quy định quyền rút đồng ý (Điều 10), sửa chữa (Điều 13), xóa hoặc khử nhận dạng (Điều 14), truy cập (Điều 15), và chuyển giao chỉ với đồng ý cụ thể (Điều 16 - 17).

Quyền riêng tư dữ liệu là quyền cơ bản, cho phép cá nhân quyết định ai được quyền thu thập, sử dụng, hoặc chia sẻ dữ liệu, là nền tảng niềm tin trong kinh doanh số, đặc biệt với dữ liệu nhạy cảm trên nền tảng xuyên biên giới. GDPR yêu cầu xử lý minh bạch, hợp pháp (Điều 5(1)(a)), đánh giá tác động bảo vệ dữ liệu (DPIA) là quy trình bắt buộc nhằm hạn chế xâm phạm quyền riêng tư trong xử lý dữ liệu rủi ro cao, như sử dụng cookies, AI, hoặc chuyển giao quốc tế. Luật Bảo vệ dữ liệu cá nhân 2025 khẳng định, quyền riêng tư (Điều 4) và yêu cầu minh bạch (Điều 20), áp dụng đánh giá DPIA cho những trường hợp có rủi ro cao (Điều 21), nhưng cần hướng dẫn chi tiết và tăng cường công nghệ giám sát để đáp ứng nhu cầu vận hành của nền kinh tế số quốc gia.

Thứ hai, những vi phạm phổ biến về bảo vệ dữ liệu cá nhân trên thị trường số, bao gồm: (i) Thu thập dữ liệu cá nhân trái phép xảy ra phổ biến trên thị trường số toàn cầu, đó là việc sử dụng cookies/pixel theo dõi hành vi mà không đồng ý, phục vụ quảng cáo nhắm mục tiêu. Mặc dù mang lại hiệu quả kinh tế song việc thu thập này dẫn đến rủi ro xâm phạm quyền riêng tư, gây mất niềm tin đối với người dùng và tình trạng bất bình đẳng trong cạnh tranh; (ii) Chuyển giao thông tin cá nhân cho bên thứ ba trái phép trong hệ sinh thái số, tạo dòng chảy dữ liệu liên tổ chức, hình thành chuỗi cung ứng tiếp thị nhằm tăng doanh thu quảng cáo. Chuyển giao dữ liệu được thực hiện qua nền tảng trung gian dữ liệu (data brokers) nhằm tối ưu hóa quảng cáo nhưng gia tăng rủi ro về quyền riêng tư; (iii) Sử dụng dữ liệu nhạy cảm cho quảng cáo nhắm mục tiêu, tuy mang lại hiệu quả cho quảng cáo song lại gây ra tình trạng bất bình đẳng trong cạnh tranh, xâm phạm quyền riêng tư, đặc biệt là liên quan đến trẻ em; (iv) Chuyển giao dữ liệu quốc tế trái phép. Hoạt động chuyển giao dữ liệu quốc tế trên thị trường số có thể mang lại lợi ích thương mại, song làm gia tăng nguy cơ lộ lọt thông tin của người dùng. Vì vậy cần có khung pháp lý điều chỉnh phù hợp và nền tảng công nghệ giám sát hiệu quả để thúc đẩy phát triển thương mại xuyên biên giới, bảo vệ chủ quyền dữ liệu quốc gia.

Pháp luật điều chỉnh bảo vệ dữ liệu cá nhân trên thị trường số

Về quyền đồng ý của chủ thể dữ liệu đối với hoạt động thu thập dữ liệu cá nhân. Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu nhấn mạnh việc xử lý dữ liệu cá nhân chỉ hợp pháp khi có sự đồng ý tự nguyện (Điều 6(1)(a)), quá trình thu thập dữ liệu phải minh bạch, cụ thể cho từng mục đích (Recital 40). Đối với dữ liệu trẻ em, cần xác minh bởi phụ huynh, và dữ liệu nhạy cảm phải có sự đồng ý riêng biệt. Điều 5(1)(a) nhấn mạnh nguyên tắc minh bạch, yêu cầu các nền tảng số thông báo rõ mục đích, phạm vi, quyền lợi người dùng, tránh mô hình thao túng như đồng ý ngầm. Luật Bảo vệ dữ liệu cá nhân 2025 quy định sự đồng ý phải dựa trên nguyên tắc tự nguyện, rõ ràng, bằng văn bản hoặc tương đương (Điều 9), không coi sự im lặng là đồng ý (Khoản 4). Tuy nhiên, các trường hợp ngoại lệ liên quan đến an ninh quốc gia hoặc lợi ích công cộng, việc xử lý dữ liệu cá nhân được phép thực hiện mà không cần sự đồng ý của chủ thể dữ liệu (Điều 19).

Về tính tương đồng, GDPR và Luật Bảo vệ dữ liệu cá nhân 2025 đều nhấn mạnh sự đồng ý tự nguyện, minh bạch, rõ ràng, có thể rút lại. Tuy nhiên, EU quy định nghiêm ngặt hơn với đồng ý riêng biệt đối với dữ liệu nhạy cảm/trẻ em; Việt Nam quy định ngoại lệ rộng, thiếu quy định chi tiết về thu thập dữ liệu trẻ em.

Về chia sẻ dữ liệu cá nhân với bên thứ ba. GDPR định nghĩa bên thứ ba là tổ chức hoặc cá nhân ngoài mối quan hệ kiểm soát - xử lý (Điều 4(10)), đồng thời yêu cầu phải có sự đồng ý rõ ràng của chủ thể dữ liệu với việc xử lý dữ liệu cá nhân cho một hoặc nhiều mục đích cụ thể (Điều 6(1)(a)), hoặc lợi ích hợp pháp của bên kiểm soát dữ liệu hoặc bên thứ ba như tối ưu hóa dịch vụ, cải thiện trải nghiệm người dùng (Điều 6(1)(f)). Việc bảo đảm tính minh bạch, bao gồm thông báo rõ ràng về mục đích chia sẻ dữ liệu cũng như thông tin liên quan đến bên nhận dữ liệu, được quy định là nghĩa vụ bắt buộc (Điều 13 - 14), đồng thời yêu cầu thực hiện đánh giá tác động rủi ro đối với các hoạt động mang tính rủi ro cao, chẳng hạn như chia sẻ dữ liệu nhạy cảm (Điều 35). Luật Bảo vệ dữ liệu cá nhân 2025 quy định sự đồng ý của chủ thể dữ liệu phải tự nguyện, dựa trên thông tin rõ ràng về loại dữ liệu, mục đích xử lý, bên kiểm soát và quyền nghĩa vụ; đồng ý phải cụ thể (văn bản/điện tử), riêng từng mục đích, không kèm điều kiện khác, hiệu lực đến khi thay đổi, im lặng không coi là đồng ý (Điều 9). Việc chuyển giao dữ liệu chỉ được thực hiện khi có đồng ý, chia sẻ nội bộ, sáp nhập tổ chức, theo yêu cầu cơ quan nhà nước hoặc các trường hợp đặc biệt, không coi là mua bán dù có phí (Điều 17). Các bên kiểm soát và xử lý dữ liệu phải lập hồ sơ đánh giá tác động, gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý (Điều 21).

Về mặt tương đồng, quy định của GDPR và Luật Bảo vệ dữ liệu cá nhân 2025 đều nhấn mạnh yêu cầu đồng ý minh bạch từ chủ thể dữ liệu, đồng thời bắt buộc đánh giá và báo cáo rủi ro để đảm bảo an toàn xử lý. Tuy nhiên, GDPR quy định linh hoạt về lợi ích hợp pháp (Điều 6(1)(f)), cho phép cân nhắc các mục đích hợp lý như tối ưu hóa dịch vụ, trong khi bảo vệ dữ liệu cá nhân tập trung vào ngoại lệ chia sẻ nội bộ hoặc sáp nhập tổ chức (Điều 17), song lại thiếu quy định bắt buộc thông báo rõ ràng về bên thứ ba nhận dữ liệu, dẫn đến bất cập trong tính minh bạch và trách nhiệm.

Về quảng cáo trực tuyến sử dụng dữ liệu cá nhân nhạy cảm để nhắm mục tiêu. Hành vi này thường xâm phạm quyền riêng tư và phân biệt đối xử, đặc biệt là các nền tảng trung gian. Đạo luật Dịch vụ kỹ thuật số (DSA) quy định các nhà cung cấp nền tảng trực tuyến không được phép trình bày quảng cáo trên giao diện của mình dựa trên việc lập hồ sơ, thông qua việc sử dụng các loại dữ liệu cá nhân đặc biệt. Quy định này, nhằm bảo vệ quyền riêng tư và ngăn chặn lạm dụng dữ liệu nhạy cảm trong hoạt động quảng cáo kỹ thuật số⁽¹⁰⁾. Những hành vi bao gồm việc xử lý tự động dữ liệu cá nhân để phân tích hoặc dự đoán hành vi, sở thích, vị trí của chủ dữ liệu (GDPR, điều 4(1)). Vi phạm có thể dẫn đến mức phạt lên đến 20 triệu EUR hoặc 4 - 6% doanh thu toàn cầu hằng năm. Luật Bảo vệ dữ liệu cá nhân yêu cầu sự đồng ý của chủ thể dữ liệu khi thu thập, sử dụng, hoặc chuyển giao dữ liệu cho quảng cáo, thông báo rõ ràng về mục đích, phạm vi... Người dùng có quyền từ chối nhận quảng cáo, việc thu thập dữ liệu qua theo dõi trực tuyến mà không có sự đồng ý của chủ dữ liệu là bị cấm. Luật Quảng cáo yêu cầu tuân thủ quy định của pháp luật về quảng cáo, an ninh mạng, bảo vệ dữ liệu cá nhân, bảo vệ quyền lợi người tiêu dùng, bảo vệ trẻ em⁽¹¹⁾.

Về mặt tương đồng, EU và Việt Nam đều cấm sử dụng dữ liệu cá nhân nhạy cảm cho mục đích quảng cáo nếu không có sự đồng ý rõ ràng từ chủ thể dữ liệu, nhằm bảo vệ quyền riêng tư và ngăn chặn lạm dụng. Tuy nhiên, EU quy định cấm tuyệt đối việc lập hồ sơ quảng cáo dựa trên dữ liệu nhạy cảm, trong khi Việt Nam chưa có quy định tương tự trong Luật Bảo vệ dữ liệu cá nhân, dẫn đến bất cập về xử phạt (mức phạt ở Việt Nam thường thấp hơn, không dựa trên tỷ lệ doanh thu toàn cầu như EU).

Về chuyển giao dữ liệu cá nhân xuyên biên giới. Chuyển giao dữ liệu cá nhân trong môi trường thị trường số đang đặt ra những thách thức pháp lý phức tạp, bởi nếu thiếu quy định rõ ràng hoặc biện pháp bảo vệ thích đáng, hoạt động này có thể xâm phạm nghiêm trọng quyền riêng tư của chủ thể và an ninh quốc gia. Theo GDPR của EU, việc chuyển giao dữ liệu ra ngoài lãnh thổ EU đòi hỏi hệ thống pháp luật quốc gia nhận phải đảm bảo mức độ bảo vệ tương đương (Điều 45), thông qua cơ chế công nhận tính tương đương đối với các quốc gia có khung pháp lý phù hợp (như Hàn Quốc, Nhật Bản). Nếu không, có thể áp dụng biện pháp thay thế như Hợp đồng chuẩn mực (SCCs - Điều 46) hoặc Quy tắc ràng buộc doanh nghiệp (BCRs - Điều 47) mà Việt Nam đang sử dụng hoặc miễn trừ trong các trường hợp cụ thể vì lợi ích công cộng hay cần thiết để thực thi hợp đồng giữa chủ thể dữ liệu và bên kiểm soát (Điều 49). Những quy định này nhằm duy trì dòng chảy dữ liệu tự do nhưng vẫn bảo đảm tiêu chuẩn bảo vệ cao, tránh rủi ro từ giám sát chính phủ nước ngoài.

Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân quy định phạm vi chuyển giao xuyên biên giới bao gồm việc chuyển dữ liệu từ lãnh thổ Việt Nam ra nước ngoài, cơ quan nhà nước chuyển cho bên nước ngoài, hoặc sử dụng nền tảng nước ngoài để xử lý dữ liệu thu thập trong nước. Luật quy định phải lập hồ sơ đánh giá tác động chuyển giao xuyên biên giới và nộp cho cơ quan chuyên trách trong vòng 60 ngày, ngoại lệ dành cho cơ quan nhà nước, lưu trữ dữ liệu lao động trên đám mây, hoặc chủ thể dữ liệu tự thực hiện (Điều 20). Hồ sơ chuyển giao dữ liệu xuyên biên giới cần cập nhật định kỳ (Điều 22), cơ quan thẩm quyền có quyền kiểm tra đột xuất, buộc ngừng chuyển giao nếu gây tổn hại đến an ninh quốc gia, phản ánh sự ưu tiên bảo vệ chủ quyền dữ liệu.

Về mặt tương đồng, cả hai khung pháp lý của EU và Việt Nam đều nhấn mạnh đánh giá tác động rủi ro và ngoại lệ liên quan đến hợp đồng, bảo đảm sự cân bằng giữa vấn đề thương mại và bảo vệ chủ quyền dữ liệu. Tuy nhiên, khác biệt nổi bật nằm ở cơ chế công nhận tính tương đương (adequacy decision) của EU, trong khi Việt Nam tập trung vào kiểm tra đột xuất để linh hoạt ứng phó, song bất cập vẫn tồn tại ở việc thiếu cơ chế tương đương, dẫn đến thủ tục hành chính rườm rà, có thể cản trở dòng chảy dữ liệu quốc tế và hội nhập kinh tế số.

Một số kinh nghiệm và hoàn thiện pháp luật về quản lý bảo vệ dữ liệu cá nhân ở Việt Nam

Trên cơ sở phân tích pháp luật và thực trạng hành vi vi phạm trên thị trường số, một số khuyến nghị được đề xuất nhằm hoàn thiện pháp luật về quản lý bảo vệ dữ liệu cá nhân ở Việt Nam như sau:

Thứ nhất, về hành vi thu thập dữ liệu cá nhân trái phép, kinh nghiệm EU nhấn mạnh việc xây dựng pháp luật với cơ chế giám sát chặt chẽ và tính răn đe mạnh mẽ nhằm bảo vệ quyền tự chủ của chủ thể trong bối cảnh công nghệ theo dõi tự động. GDPR không chỉ cấm xử lý dữ liệu không có cơ sở hợp pháp, mà còn yêu cầu bên kiểm soát dữ liệu chứng minh tính cần thiết của thu thập dữ liệu và áp dụng ngoại lệ chỉ giới hạn cho lợi ích công cộng hoặc an ninh quốc gia (Recital 51 - 52). Ví dụ điển hình trong xử lý vi phạm là vụ Công ty Criteo (2023) sử dụng “tracking pixels” để thu thập dữ liệu hành vi mà không có sự đồng ý rõ ràng, đã bị CNIL (Pháp) phạt 40 triệu EUR, buộc xóa dữ liệu và cải thiện hệ thống thu thập dữ liệu. Luật Bảo vệ dữ liệu cá nhân quy định nguyên tắc tự nguyện và minh bạch (Điều 9), song kết quả xử lý vi phạm còn hạn chế, một số vi phạm bị xử mức phạt khiêm tốn, thiếu tính răn đe so với quy mô thiệt hại⁽¹²⁾. Do đó, cần bổ sung cơ chế tự động hóa xác minh đồng ý qua công nghệ số, thành lập cơ quan độc lập giám sát đột xuất, nâng chế tài phạt dựa trên tỷ lệ doanh thu để tăng hiệu quả thực thi, đồng bộ với tiêu chuẩn quốc tế.

Thứ hai, về chia sẻ dữ liệu cá nhân với bên thứ ba không minh bạch, pháp luật của EU yêu cầu phải thông báo rõ ràng về bên nhận dữ liệu và mục đích chia sẻ (GDPR Điều 13 - 14), kết hợp đánh giá tác động bảo vệ dữ liệu (DPIA) chi tiết cho các hoạt động chi sẻ có rủi ro cao (Điều 35). Sự đồng ý của chủ dữ liệu phải được thể hiện cụ thể, lợi ích hợp pháp chỉ được chấp nhận nếu không vượt quyền chủ thể, nhằm duy trì trách nhiệm và giảm thiểu lạm dụng việc chia sẻ dữ liệu. Trong xử lý vi phạm, vụ Meta (2023) chia sẻ dữ liệu EU sang Mỹ thiếu minh bạch, bị DPC Ireland phạt 1,2 tỷ EUR và buộc cải thiện cơ chế đồng ý và nâng cao bảo mật⁽¹³⁾. Tương tự, vụ Clearview AI bị phạt 20 triệu EUR (2023) bởi CNIL do chia sẻ dữ liệu sinh trắc học mà không thông báo, minh chứng cho cách tiếp cận toàn diện kết hợp xử phạt nặng với khắc phục thiệt hại⁽¹⁴⁾. Ở Việt Nam, Luật Bảo vệ dữ liệu cá nhân quy định chỉ được chuyển giao dữ liệu khi có đồng ý của củ dữ liệu hoặc ngoại lệ như chia sẻ nội bộ/sáp nhập (Điều 17) và yêu cầu đánh giá tác động bảo vệ dữ liệu (Điều 21), song vẫn tồn tại bất cập do thiếu quy định thông báo về bên thứ ba và lợi ích hợp pháp của các bên. Do đó, khuyến nghị bổ sung quy định bắt buộc thông báo minh bạch về bên nhận dữ liệu, tích hợp giám sát tự động qua công nghệ số, nâng chế tài phạt dựa trên tỷ lệ doanh thu để tăng tính răn đe, đồng bộ với tiêu chuẩn quốc tế.

Thứ ba, về sử dụng dữ liệu nhạy cảm cho quảng cáo nhắm mục tiêu, phát luật của EU nghiêm cấm tuyệt đối việc lập hồ sơ dựa trên dữ liệu nhạy cảm mà không có đồng ý riêng biệt (GDPR, điều 9). Đạo luật dịch vụ kỹ thuật số (DSA) bổ sung quy định cấm xử lý tự động dự đoán hành vi (Điều 26(3)) nhằm bảo vệ quyền riêng tư và ngăn chặn phân biệt đối xử trong cạnh tranh. Bên cạnh đó, mức phạt dựa trên tỷ lệ doanh thu toàn cầu (đến 6%) nhằm bảo đảm tính răn đe. Một số trường hợp điển hình như vụ Meta và Schrems (2024): Tòa án CJEU phán quyết Meta phải hạn chế sử dụng dữ liệu cá nhân nhạy cảm (hướng tính dục) cho quảng cáo mục tiêu trên Facebook, buộc điều chỉnh mô hình kinh doanh. Tương tự, Vụ IAB Europe RTB (2024): CJEU phán quyết khung TCF vi phạm vì chia sẻ dữ liệu cá nhân nhạy cảm (vị trí, sở thích chính trị) mà không có sự đồng ý hợp lệ, dẫn đến lệnh cấm một phần mô hình quảng cáo dựa trên dữ liệu cá nhân nhạy cảm. Ở Việt Nam, Luật Bảo vệ dữ liệu cá nhân yêu cầu phải có sự đồng ý khi sử dụng dữ liệu cá nhân cho quảng cáo (Điều 2), nhưng thiếu quy định về cấm lập hồ sơ quảng cáo đối với dữ liệu nhạy cảm dẫn đến xử lý vi phạm hạn chế. Do đó, khuyến nghị bổ sung quy định cấm lập hồ sơ quảng cáo vào Luật Quảng cáo 2025, nâng chế tài xử phạt căn cứ vào tỷ lệ doanh thu toàn cầu cho vi phạm; ưu tiên bảo vệ trẻ em bằng quy định bắt buộc phải có đồng ý của phụ huynh; xây dựng hướng dẫn DPIA chi tiết cho quảng cáo nhắm mục tiêu dựa trên dữ liệu cá nhân nhạy cảm.

Thứ tư, về chuyển giao dữ liệu xuyên biên giới không an toàn, kinh nghiệm EU nhấn mạnh xây dựng pháp luật với cơ chế công nhận tính tương đương (adequacy decision) để giảm rủi ro giám sát vi phạm dữ liệu cá nhân từ nước ngoài (GDPR Điều 45), kết hợp SCCs/BCRs cho hợp đồng/thay thế linh hoạt (Điều 46 - 47), và miễn trừ chuyển giao dữ liệu xuyên biên biên giới chỉ giới hạn đối với lợi ích công cộng (Điều 49). Thực tiễn minh chứng cách EU kết hợp xử phạt nặng với khắc phục hậu quả toàn diện để bảo vệ chủ quyền dữ liệu⁽¹⁵⁾. Ở Việt Nam, Luật Bảo vệ dữ liệu cá nhân yêu cầu DPIA chuyển giao trong 60 ngày và kiểm tra đột xuất nếu xâm hại an ninh quốc gia (Điều 20), nhưng thiếu quy định về cơ chế tương đương trong bảo vệ dữ liệu. Do đó, khuyến nghị bổ sung công nhận tính tương đương vào Luật Bảo vệ dữ liệu cá nhân để giảm thủ tục hành chính; tăng cường hợp tác quốc tế giám sát hoạt động chuyển giao dữ liệu xuyên biên giới, nâng cao kiểm tra tự động và xử lý vi phạm kịp thời.

Từ kinh nghiệm của EU, Việt Nam có thể hoàn thiện Luật Bảo vệ dữ liệu cá nhân trên nguyên tắc minh bạch, bảo vệ quyền chủ thể dữ liệu và trách nhiệm của bên kiểm soát dữ liệu nhằm bảo vệ quyền lợi người dùng, phù hợp với tinh thần của Nghị quyết số 52-NQ/TW, ngày 27-9-2019, của Bộ Chính trị, “Về một số chủ trương, chính sách chủ động tham gia cuộc Cách mạng công nghiệp lần thứ tư”./.

--------------------------------

(1) Haucap, J., & Stühmeier, T. (2019): Market power, competition and innovation in digital markets: A survey (tạm dịch: Sức mạnh thị trường, cạnh tranh và đổi mới trong thị trường kỹ thuật số: Một cuộc khảo sát), Information Economics and Policy, 49, 29 - 42
(2) OECD (2022): The evolving concept of market power in the digital economy (tạm dịch: Khái niệm về sức mạnh thị trường đang phát triển trong nền kinh tế số), OECD Publishing
(3) Arnull, E., et al. (2023): Digital Marketing in The Legal Profession: What's Going On and Does It Matter? (tạm dịch: Tiếp thị kỹ thuật số trong ngành luật: Điều gì đang diễn ra và liệu nó có quan trọng không?), Vol. 5 No. 2 (2023): Law, Technology and Humans, https://lthj.qut.edu.au/article/view/2828/1387
(4) The Regulation (EU) 2016/679 (GDPR)
(5) Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15 ngày 26-6-2025)
(6) Crane, D. A. (2024): Defining Relevant Markets in Digital Ecosystems (tạm dịch: Xác định các thị trường phù hợp trong hệ sinh thái kỹ thuật số), Journal of Law and Innovation
(7) Kotler, P., & Keller, K. L. (2021): Marketing management (tạm dịch: Quản lý tiếp thị), Pearson
(8) Chaffey, D., & Ellis-Chadwick, F. (2022): Digital marketing (tạm dịch: Tiếp thị kỹ thuật số), Pearson
(9) Solove, D. J. (2021): Understanding privacy (tạm dịch: Hiểu về quyền riêng tư), Harvard University Press
(10) Regulation (EU) 2022/2065 (Digital Services Act)
(11) Luật Quảng cáo (Luật số 75/2025/QH15 ngày 16-6-2025)
(12) Xem: Hùng Quân: Mạnh tay xử lý doanh nghiệp quảng cáo phát tán tin nhắn rác, cuộc gọi rác, Báo Công an nhân dân, ngày 10-9-2024, https://cand.com.vn/Xa-hoi/manh-tay-xu-ly-doanh-nghiep-quang-cao-phat-tan-tin-nhan-rac-cuoc-goi-rac-i743304/
(13) Xem: 1.2 billion euro fine for Facebook as a result of EDPB binding decision (tạm dịch: Facebook bị phạt 1,2 tỷ euro theo quyết định ràng buộc của EDPB),  https://www.edpb.europa.eu/news/news/2023/12-billion-euro-fine-facebook-result-edpb-binding-decision_en
(14) Xem: The French SA fines Clearview AI EUR 20 million (tạm dịch: Cơ quan quản lý viễn thông Pháp (SA) phạt Clearview AI 20 triệu euro), https://www.edpb.europa.eu/news/national-news/2022/french-sa-fines-clearview-ai-eur-20-million_en
(15) Trong xử lý vi phạm, vụ Uber (năm 2024) bị DPA Hà Lan phạt 290 triệu EUR do chuyển dữ liệu nhạy cảm sang Mỹ nhưng thiếu cơ chế bảo vệ; vụ Amazon bị phạt 746 triệu EUR (năm 2021) bởi CNPD Luxembourg vì chuyển dữ liệu khách hàng không an toàn cho quảng cáo