Tuân thủ PDPD cho ứng dụng di động bắt đầu từ một thực tế: phần lớn dữ liệu cá nhân trong app iOS và Android không do đội phát triển tự viết code thu thập, mà đi qua các SDK bên thứ ba cho analytics, quảng cáo, push notification, chat hỗ trợ hay cổng thanh toán. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, doanh nghiệp sở hữu ứng dụng, với tư cách bên kiểm soát dữ liệu, chịu trách nhiệm về việc thu thập, lưu trữ và chia sẻ dữ liệu diễn ra trong ứng dụng của mình. Luật yêu cầu doanh nghiệp ngăn chặn việc thu thập dữ liệu cá nhân trái phép từ hệ thống, dịch vụ của mình (điểm h khoản 1 Điều 37). Riêng với mobile app, Luật còn yêu cầu thông báo cho người dùng về việc sử dụng dữ liệu vị trí, ngăn bên không liên quan thu thập dữ liệu vị trí và cho người dùng tùy chọn theo dõi vị trí (điểm b khoản 3 Điều 31).
1. Rủi ro thu thập dữ liệu ngầm từ các SDK bên thứ ba#
Khi rà soát tuân thủ PDPD cho ứng dụng di động, SDK là điểm dễ bị bỏ sót nhất. Nhiều doanh nghiệp tích hợp SDK miễn phí hoặc mã nguồn mở mà không đọc kỹ tài liệu kỹ thuật và điều khoản của nhà cung cấp SDK. Không ít SDK tự động theo dõi hành vi người dùng, thu thập mã định danh quảng cáo (IDFA trên iOS, AAID trên Android), danh sách ứng dụng đã cài, địa chỉ IP, có khi cả vị trí, rồi gửi về máy chủ ở nước ngoài.
Khi SDK gửi dữ liệu về máy chủ ở nước ngoài, doanh nghiệp đang dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam, tức là chuyển dữ liệu xuyên biên giới (điểm c khoản 1 Điều 20 Luật). Doanh nghiệp cần có căn cứ xử lý cho việc này, thường là sự đồng ý, và phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Mức phạt theo Điều 56 Nghị định 330/2026/NĐ-CP, áp dụng đối với tổ chức:
- Không lập hoặc không nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới: 30–50 triệu đồng (khoản 1).
- Không bảo đảm sự đồng ý của chủ thể dữ liệu đối với mục đích chuyển, hoặc không thông báo cho họ về việc dữ liệu được chuyển ra nước ngoài: 50–100 triệu đồng (điểm b khoản 2).
- Một số vi phạm nặng hơn theo khoản 3 (không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu, hoặc tiếp tục chuyển sau quyết định ngừng): 1–5% tổng doanh thu năm tài chính liền trước tại Việt Nam, kèm đình chỉ hoạt động chuyển dữ liệu xuyên biên giới 06–12 tháng.
2. Quản lý năm nhóm quyền truy cập thiết bị nhạy cảm#
Nguyên tắc chung là chỉ xin quyền truy cập thiết bị mà tính năng chính thực sự cần, và xin đúng lúc người dùng mở tính năng đó:
- Vị trí (location). Chỉ xin khi app cần giao nhận hàng hoặc chỉ đường theo thời gian thực. Tránh xin quyền vị trí chạy nền (background location) nếu không có lý do rõ ràng. Vị trí xác định qua dịch vụ định vị là dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP. Không thông báo cho người dùng về việc sử dụng dữ liệu vị trí, hoặc không ngăn bên thứ ba không liên quan thu thập dữ liệu vị trí, bị phạt 50–70 triệu đồng (điểm a, điểm b khoản 1 Điều 70 Nghị định 330). Đây là điểm cần kiểm tra kỹ với SDK quảng cáo.
- Thư viện ảnh và camera. Dùng bộ chọn ảnh của hệ điều hành (Photo Picker) thay vì xin quyền truy cập toàn bộ kho ảnh.
- Danh bạ (contacts). Không tải toàn bộ danh bạ lên máy chủ nếu chưa có sự đồng ý cho mục đích cụ thể đó.
- Micro và Bluetooth. Chỉ xin quyền khi người dùng chủ động mở tính năng tìm kiếm bằng giọng nói hoặc kết nối thiết bị ngoại vi.
- SMS và nhật ký cuộc gọi. Đây là nhóm quyền rủi ro cao nhất. Google Play chỉ chấp thuận các quyền này cho một số nhóm ứng dụng chuyên biệt; ứng dụng thông thường không nên xin.
3. Thiết kế màn hình đồng ý để tuân thủ PDPD cho ứng dụng di động#
Màn hình onboarding là nơi app xin sự đồng ý lần đầu. Luật 91/2025/QH15 yêu cầu sự đồng ý phải thể hiện cho từng mục đích, không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác, và im lặng không được coi là đồng ý (khoản 4 Điều 9). Trên giao diện, điều đó có nghĩa là:
- Không tích sẵn ô đồng ý. Người dùng phải tự bấm chọn. Thiết lập mặc định đồng ý bị phạt 30–50 triệu đồng (điểm c khoản 1 Điều 43 Nghị định 330).
- Tách từng mục đích. Đồng ý với điều khoản dịch vụ tách riêng khỏi đồng ý nhận quảng cáo hoặc phân tích hành vi. Người dùng từ chối quảng cáo vẫn phải dùng được dịch vụ cơ bản. Từ chối cung cấp dịch vụ vì người dùng không đồng ý cho mục đích không liên quan bị phạt theo điểm b khoản 1 Điều 43 Nghị định 330.
- Có trang quản lý quyền riêng tư trong phần cài đặt. Người dùng xem và thay đổi lựa chọn, rút lại sự đồng ý hoặc gửi yêu cầu xóa tài khoản, xóa dữ liệu cá nhân ngay trong app.
Mỗi lần đồng ý nên được ghi log (ai, lúc nào, đồng ý nội dung gì). Không chứng minh được sự đồng ý khi bị kiểm tra cũng là hành vi bị phạt (điểm g khoản 1 Điều 43 Nghị định 330).
4. Checklist tuân thủ PDPD cho ứng dụng di động trước khi phát hành#
- Bước 1: Lập danh mục dữ liệu và rà soát toàn bộ SDK trong mã nguồn (CocoaPods, Swift Package Manager, Gradle dependencies). Với mỗi SDK, ghi rõ dữ liệu nó thu thập và nơi nhận.
- Bước 2: Gỡ hoặc tắt các SDK thu thập dữ liệu không rõ mục đích. Với SDK giữ lại, cấu hình để chỉ chạy sau khi người dùng đồng ý.
- Bước 3: Soạn điều khoản ứng dụng và chính sách bảo mật theo mẫu, hiển thị trên App Store, Google Play và ngay tại màn hình đăng ký.
- Bước 4: Mã hóa dữ liệu truyền giữa app và backend (HTTPS/TLS 1.3, certificate pinning để chống tấn công man-in-the-middle).
- Bước 5: Lập hoặc cập nhật hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) của doanh nghiệp để bao gồm hoạt động xử lý qua mobile app, nộp cho Cục A05 trong 60 ngày kể từ ngày đầu tiên xử lý và cập nhật khi có thay đổi theo Điều 22 Luật, trừ trường hợp được miễn theo khoản 2, khoản 3 Điều 38 Luật. Nếu SDK chuyển dữ liệu ra nước ngoài, lập thêm hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.
- Bước 6: Cho người dùng tự xóa tài khoản và dữ liệu cá nhân ngay trong app. Apple và Google cũng yêu cầu tính năng này khi xét duyệt ứng dụng có tạo tài khoản.
Nếu app đã phát hành, việc tuân thủ PDPD cho ứng dụng di động nên bắt đầu từ bước 1 và bước 2: danh sách SDK và dữ liệu chúng gửi đi thường cho thấy ngay app đang chuyển dữ liệu ra nước ngoài hay không. Việc rà soát này có thể làm trong khuôn khổ tư vấn tuân thủ bảo vệ dữ liệu cá nhân, cùng với rà soát màn hình đồng ý.
