Bảo vệ dữ liệu học sinh là nghĩa vụ của mọi trường tư thục, trường song ngữ, trung tâm ngoại ngữ và nền tảng học trực tuyến (LMS, ứng dụng học tập). Các đơn vị này giữ học bạ điện tử, kết quả đánh giá, thông tin sức khỏe (khám định kỳ, tiêm chủng), lịch sử đóng học phí, thông tin phụ huynh, cùng hình ảnh, giọng nói và video lớp học trực tuyến. Phần lớn học sinh là trẻ em, nên ngoài các quy định chung, việc xử lý còn phải tuân theo Điều 24 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 60 Nghị định 330/2026/NĐ-CP. Điểm khác biệt lớn nhất so với dữ liệu người lớn: với học sinh từ đủ 7 tuổi, cần có đồng thời sự đồng ý của học sinh và cha mẹ (dual consent).
1. Cơ chế 'Sự đồng ý kép' (Dual Consent) theo Điều 24 Luật 91/2025#
Điều 24 Luật 91/2025/QH15, cùng các hành vi bị xử phạt tại Điều 60 Nghị định 330/2026/NĐ-CP, chia điều kiện xử lý dữ liệu cá nhân của trẻ em theo hai ngưỡng tuổi:
- Trẻ em dưới 7 tuổi: người đại diện theo pháp luật (cha, mẹ hoặc người giám hộ) thay mặt trẻ thực hiện các quyền của chủ thể dữ liệu (khoản 2 Điều 24 Luật). Xử lý dữ liệu cá nhân của trẻ dưới 7 tuổi mà không có sự đồng ý của người đại diện theo pháp luật, trừ các trường hợp tại khoản 1 Điều 19 Luật, bị phạt từ 30 đến 50 triệu đồng (điểm b khoản 1 Điều 60 Nghị định 330).
- Trẻ em từ đủ 7 tuổi trở lên (đến dưới 16 tuổi theo Luật Trẻ em): phải có đồng thời sự đồng ý của trẻ và của người đại diện theo pháp luật, trừ các trường hợp tại khoản 1 Điều 19 Luật; vi phạm bị phạt từ 30 đến 50 triệu đồng (điểm c khoản 1 Điều 60 Nghị định 330). Riêng việc xử lý nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ được Luật quy định trực tiếp (khoản 2 Điều 24) và bị phạt nặng hơn, từ 50 đến 100 triệu đồng (điểm a khoản 2 Điều 60 Nghị định 330).
- Xác minh tuổi: tổ chức phải thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ (điểm a khoản 1 Điều 60 Nghị định 330).
Các mức phạt trên áp dụng cho tổ chức. Nhiều nền tảng học trực tuyến và trung tâm đào tạo chỉ tạo tài khoản dựa trên thông tin phụ huynh đăng ký. Với học sinh từ đủ 7 tuổi, cách làm này thiếu sự đồng ý của chính học sinh; form đăng ký cần có bước để học sinh xác nhận.
2. Bốn rủi ro bảo vệ dữ liệu học sinh lớn nhất trong trường học và các nền tảng EdTech#
a) Ghi hình buổi học và đăng video học sinh lên fanpage#
Giáo viên ghi hình buổi học Zoom, Google Meet rồi đăng lên YouTube, Facebook, TikTok làm tư liệu truyền thông là công khai dữ liệu cá nhân của học sinh (hình ảnh, giọng nói). Việc công khai chỉ được thực hiện trong các trường hợp tại khoản 2 Điều 16 Luật, thường là khi có sự đồng ý; với học sinh từ đủ 7 tuổi, cần đồng thời sự đồng ý của học sinh và cha mẹ (điểm c khoản 1 Điều 60 Nghị định 330).
b) Công khai bảng điểm, xếp hạng học lực và danh sách học phí#
Gửi danh sách học sinh kèm điểm số chi tiết hoặc danh sách phụ huynh chưa nộp tiền vào nhóm Zalo chung của lớp là thói quen phổ biến nhưng có thể vi phạm quy định về sự đồng ý, cung cấp và công khai dữ liệu cá nhân (Điều 9, Điều 15 và Điều 16 Luật 91/2025). Kết quả học tập và tình trạng đóng học phí nên được gửi riêng cho từng phụ huynh.
c) Rò rỉ dữ liệu qua giáo viên và trợ giảng#
Giáo viên lưu danh sách số điện thoại phụ huynh trên điện thoại cá nhân, tải file Excel học sinh về máy tính cá nhân không có mật khẩu. Khi nhân sự nghỉ việc hoặc mất thiết bị, dữ liệu học sinh dễ bị lộ hoặc bị bán cho trung tâm khác.
d) Điểm danh bằng nhận diện khuôn mặt tại cổng trường#
Nhiều trường lắp camera AI nhận diện khuôn mặt để điểm danh tự động. Dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm (điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP), nên nhà trường phải có sự đồng ý của cha mẹ hoặc người đại diện theo pháp luật và, với học sinh từ đủ 7 tuổi trở lên, của chính học sinh (khoản 2 Điều 24 Luật 91/2025; khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP), thông báo rõ đây là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP) và nên có cách điểm danh thay thế (quẹt thẻ, điểm danh thủ công) cho học sinh không đồng ý quét khuôn mặt. Đơn vị cung cấp phần mềm giáo dục có yếu tố giám sát như điểm danh, ghi hình, chấm điểm hành vi, nhận diện cảm xúc đang kinh doanh dịch vụ xử lý dữ liệu cá nhân (khoản 5 Điều 21 Nghị định 356), phải đáp ứng điều kiện tại Điều 22 Nghị định 356 và không được hưởng ưu đãi dành cho doanh nghiệp nhỏ tại Điều 38 Luật. Vụ Clearview AI bị xử phạt cho thấy rủi ro khi dữ liệu khuôn mặt bị thu thập và khai thác vượt mục đích.
3. Biện pháp kỹ thuật bảo vệ dữ liệu học sinh trên LMS và cloud#
Đội ngũ kỹ thuật EdTech nên thực hiện:
- Phân quyền theo vai trò (RBAC): giáo viên chỉ xem hồ sơ lớp mình dạy; nhân viên y tế học đường chỉ xem hồ sơ sức khỏe; kế toán chỉ xem thông tin học phí. Với thông tin sức khỏe là dữ liệu nhạy cảm, phân quyền giới hạn truy cập là yêu cầu bắt buộc (khoản 2 Điều 4 Nghị định 356).
- Mã hóa khi lưu trữ và khi truyền: dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm phân quyền truy cập chặt chẽ (khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP); với cơ sở dữ liệu học bạ và video bài giảng trên AWS, GCP hoặc cloud trong nước, nên dùng chuẩn mã hóa mạnh như AES-256.
- Thời hạn lưu trữ: đặt lịch tự động xóa video ghi hình buổi học sau một thời hạn cụ thể (ví dụ 30–60 ngày sau khi kết thúc kỳ học), vì dữ liệu chỉ được lưu trong khoảng thời gian phù hợp với mục đích xử lý (khoản 3 Điều 3 Luật).
- Kiểm soát SDK và plugin bên thứ ba: kiểm tra các tiện ích tích hợp vào LMS (chống gian lận thi cử, giám sát qua webcam) để tránh việc SDK ngầm gửi dữ liệu học sinh về máy chủ nước ngoài. Với ứng dụng học tập trên điện thoại, xem thêm cách quản lý SDK bên thứ ba và quyền truy cập thiết bị trên mobile app.
3.1. Phân quyền dữ liệu và kết nối API với bên thứ ba#
Trên LMS như Canvas, Moodle, Blackboard hay hệ thống tự phát triển, các trường định danh trực tiếp của học sinh (họ tên, ngày sinh, số định danh cá nhân, địa chỉ thường trú) nên được ẩn hoặc thay bằng mã (tokenization) trên giao diện của giáo viên, trợ giảng không trực tiếp phụ trách lớp.
Khi trường kết nối API với bên thứ ba (xe đưa đón, suất ăn bán trú, bảo hiểm y tế học đường), chỉ truyền những trường cần thiết cho công việc, ví dụ chỉ mã học sinh và điểm đón trả, không truyền điểm thi hay hồ sơ phụ huynh. Hợp đồng với các bên này cần nêu rõ trách nhiệm bảo vệ dữ liệu (điểm a khoản 1 Điều 37 Luật). Nếu lộ khóa API dẫn tới việc thông tin phụ huynh bị trích xuất hàng loạt, nhà trường phải đánh giá nghĩa vụ thông báo vi phạm trong 72 giờ (khoản 1 Điều 23 Luật).
3.2. Tình huống minh họa: file danh sách lớp trên nhóm Zalo phụ huynh#
Giáo viên chủ nhiệm tải lên nhóm Zalo phụ huynh một file Excel gồm số điện thoại của cả bố và mẹ, nơi công tác, chức vụ và mức đóng học phí của cả lớp. File bị một thành viên tải về và chia sẻ sang các nhóm môi giới bảo hiểm, gia sư.
Phân tích: việc gửi file cho cả nhóm là cung cấp, công khai dữ liệu của từng phụ huynh cho những người khác khi chưa có sự đồng ý (Điều 15, Điều 16 Luật). Công khai dữ liệu cá nhân khi chưa có sự đồng ý bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm b khoản 2 Điều 50 Nghị định 330). Nhà trường là bên kiểm soát dữ liệu, nên chịu trách nhiệm trước phụ huynh về thiệt hại do quá trình xử lý gây ra (điểm g khoản 1 Điều 37 Luật).
Cách xử lý đúng: gỡ file khỏi nhóm, yêu cầu thành viên xóa bản đã tải, đánh giá nghĩa vụ thông báo trong 72 giờ, lập biên bản sự việc (khoản 2 Điều 23 Luật). Về lâu dài: cấm chia sẻ danh sách thông tin cá nhân trong nhóm chat chung, dùng ứng dụng liên lạc học đường có phân quyền (phụ huynh chỉ xem thông tin của con mình) và đào tạo định kỳ cho giáo viên.
4. Quy chế bảo vệ dữ liệu học sinh và mẫu thỏa thuận đầu khóa#
Đầu mỗi năm học hoặc trước khi học sinh đăng ký khóa học, nhà trường và nền tảng EdTech nên ban hành văn bản thỏa thuận xử lý dữ liệu cá nhân của học sinh và phụ huynh, đính kèm phiếu đăng ký nhập học. Văn bản nêu rõ: mục đích thu thập, thời gian lưu trữ học bạ, các bên xử lý (nền tảng LMS, cổng thanh toán học phí), quyền rút lại sự đồng ý và yêu cầu xóa dữ liệu, và có chỗ để học sinh từ đủ 7 tuổi cùng xác nhận.
5. Câu hỏi thường gặp (FAQ) về bảo vệ dữ liệu học sinh#
Q1: Đăng ảnh học sinh đạt giải lên website trường có cần xin phép không?
A1: Có. Nhà trường cần sự đồng ý của cha mẹ và, với học sinh từ đủ 7 tuổi, của chính học sinh cho việc dùng hình ảnh để tuyên dương trên website, mạng xã hội (khoản 1 Điều 60 Nghị định 330). Sự đồng ý có thể lập bằng văn bản hoặc hình thức khác kiểm chứng được (khoản 1 Điều 6 Nghị định 356).
Q2: Cha mẹ đã ly hôn thì sự đồng ý của ai có giá trị?
A2: Cha, mẹ đều là người đại diện theo pháp luật của con chưa thành niên (khoản 1 Điều 136 Bộ luật Dân sự 2015). Luật 91/2025 không quy định riêng trường hợp cha mẹ ly hôn. Khi cha mẹ có ý kiến khác nhau về việc xử lý dữ liệu của con, nhà trường nên tạm dừng hoạt động đang có tranh chấp và xin ý kiến tư vấn pháp lý.
Q3: Sau khi học sinh chuyển trường, nhà trường có phải xóa toàn bộ hồ sơ không?
A3: Không phải toàn bộ. Học bạ và kết quả học tập được lưu theo thời hạn do pháp luật giáo dục quy định. Dữ liệu chỉ phục vụ việc học tại trường, như video bài giảng có hình học sinh hay dữ liệu khuôn mặt dùng để điểm danh, phải được xóa khi đã hoàn thành mục đích. Không xóa, hủy dữ liệu cá nhân của trẻ em khi đã hoàn thành mục đích xử lý bị phạt từ 100 đến 200 triệu đồng đối với tổ chức (khoản 3 Điều 60 Nghị định 330).
6. Nhà trường nên rà soát gì trước để bảo vệ dữ liệu học sinh?#
Rà lại phiếu nhập học và form đăng ký tài khoản để bảo đảm có sự đồng ý của cả học sinh từ đủ 7 tuổi và cha mẹ, sau đó kiểm tra các nhóm chat lớp và thời hạn lưu video buổi học. Cơ sở giáo dục chưa có nhân sự phụ trách có thể dùng DPO thuê ngoài để làm đầu mối giám sát và tiếp nhận yêu cầu của phụ huynh; nếu cần rà soát toàn bộ quy chế và hạ tầng LMS một lần, có thể dùng dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân. Toàn bộ nghĩa vụ và luật chuyên ngành cho cơ sở giáo dục có tại trang bảo vệ dữ liệu cá nhân ngành giáo dục.
