Bảo vệ dữ liệu cá nhân trẻ em theo Điều 24 Luật PDPD số 91/2025/QH15

Bảo vệ dữ liệu cá nhân trẻ em: Nguyên tắc cốt lõi theo Điều 24 Luật PDPD

Dữ liệu cá nhân trẻ em là nhóm đối tượng bảo vệ đặc biệt trong pháp luật bảo vệ quyền riêng tư. Sự bùng nổ của không gian số, các nền tảng giáo dục trực tuyến (EdTech), ứng dụng giải trí, mạng xã hội và trò chơi điện tử trực tuyến (Game Online) đã mở ra không gian học tập và sáng tạo không giới hạn cho thanh thiếu nhi. Tuy nhiên, đi cùng với đó là những hiểm họa khôn lường về an toàn thông tin: trẻ em trở thành đối tượng dễ bị tổn thương nhất trước các nguy cơ tấn công mạng, đánh cắp danh tính, bạo lực mạng (Cyberbullying), xâm hại tình dục trực tuyến và hành vi khai thác thương mại phi đạo đức thông qua các thuật toán dẫn dụ hành vi.

Nhận thức sâu sắc tính chất nhạy cảm này, Nhà nước Việt Nam đã dành riêng Mục 2 Chương II với Điều 24 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, kết hợp cùng các nguyên tắc bảo vệ quyền trẻ em tại Luật Trẻ em số 102/2016/QH13, để kiến tạo một 'lá chắn pháp lý toàn diện' bảo vệ dữ liệu cá nhân trẻ em trên môi trường mạng và trong đời sống thực tế.

1. Độ tuổi trẻ em theo Luật Việt Nam và sự khác biệt với chuẩn quốc tế

Một điểm mấu chốt mà các doanh nghiệp công nghệ số, đặc biệt là các tập đoàn đa quốc gia khi phát hành sản phẩm tại Việt Nam thường nhầm lẫn, đó là định nghĩa về độ tuổi của trẻ em:

• Theo pháp luật Việt Nam (Điều 1 Luật Trẻ em 2016): Trẻ em là người dưới 16 tuổi. Đây là định nghĩa áp dụng xuyên suốt cho mọi quy định tại Điều 24 Luật 91/2025/QH15.
• Đối chiếu quốc tế: Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu (GDPR) quy định mốc độ tuổi trẻ em là dưới 16 tuổi (các quốc gia thành viên có thể hạ xuống tối thiểu 13 tuổi); trong khi Đạo luật Bảo vệ Quyền riêng tư Trẻ em trên Mạng của Hoa Kỳ (COPPA) lấy mốc dưới 13 tuổi.

Do đó, nếu một nền tảng quốc tế phát hành game hoặc mạng xã hội tại Việt Nam chỉ áp dụng cơ chế xác minh cho người dùng dưới 13 tuổi thì nền tảng đó đang vi phạm pháp luật Việt Nam đối với nhóm người dùng từ 13 đến dưới 16 tuổi.

2. Cơ chế Đồng ý (Consent) theo từng nhóm tuổi tại Khoản 2 Điều 24

Căn cứ Khoản 2 Điều 24 Luật 91/2025/QH15, pháp luật phân chia năng lực thể hiện ý chí của trẻ em thành các cấp độ chặt chẽ (nguyên tắc chung về sự đồng ý xem tại cẩm nang Consent là gì):

1. Đối với trẻ em dưới 07 tuổi: Do chưa có nhận thức đầy đủ về quyền riêng tư, toàn bộ các quyền của chủ thể dữ liệu (bao gồm việc đưa ra sự đồng ý, yêu cầu chỉnh sửa hoặc xóa dữ liệu) do cha, mẹ hoặc người đại diện theo pháp luật thay mặt thực hiện.

2. Đối với trẻ em từ đủ 07 tuổi đến dưới 16 tuổi (Quy tắc Đồng ý kép - Double Consent): Pháp luật ghi nhận nhận thức của trẻ em bắt đầu hình thành. Luật quy định rõ:

   "Việc xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của trẻ em và người đại diện theo pháp luật."

   Quy định này áp dụng phổ biến khi trường học, câu lạc bộ, nhà xuất bản hoặc các trang mạng muốn đăng tải hình ảnh khuôn mặt, clip phỏng vấn, kết quả học tập hoặc thông tin gia đình của học sinh lên mạng xã hội hoặc phương tiện truyền thông công cộng. Thiếu sự đồng ý của một trong hai bên (chỉ có phụ huynh đồng ý nhưng trẻ phản đối, hoặc trẻ đồng ý nhưng phụ huynh không cho phép) thì hành vi công bố đều là trái luật.

   Ngoài hoạt động công bố, tiết lộ, Điểm c Khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP còn xử phạt hành vi xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật (trừ trường hợp tại Khoản 1 Điều 19 Luật 91/2025/QH15). Vì vậy, doanh nghiệp nên áp dụng đồng ý kép cho mọi hoạt động xử lý dữ liệu của nhóm tuổi này, không chỉ khi công bố thông tin.

3. Đối với cá nhân từ đủ 16 tuổi trở lên: Không còn là trẻ em theo Luật Trẻ em nên không thuộc Điều 24, cá nhân tự mình thực hiện các quyền của chủ thể dữ liệu theo quy định chung của Luật 91. Lưu ý: người từ 16 đến dưới 18 tuổi vẫn là người chưa thành niên theo Điều 21 Bộ luật Dân sự 2015 (người thành niên là người từ đủ 18 tuổi trở lên theo Điều 20).

3. Nghĩa vụ ngừng xử lý và xóa dữ liệu trẻ em theo Khoản 3 Điều 24

Căn cứ Khoản 3 Điều 24, Bên kiểm soát và Bên xử lý dữ liệu có trách nhiệm ngừng xử lý dữ liệu cá nhân của trẻ em trong hai trường hợp sau, trừ trường hợp pháp luật có quy định khác. Khoản 3 Điều 60 Nghị định 330/2026/NĐ-CP còn xử phạt hành vi không xóa, hủy dữ liệu của trẻ trong chính hai trường hợp này, nên doanh nghiệp cần ngừng xử lý và xóa, hủy dữ liệu:

• Khi người đã đồng ý rút lại sự đồng ý: Khi cha, mẹ hoặc trẻ em (đối với trường hợp đồng ý kép) rút lại sự đồng ý cho phép xử lý dữ liệu, tổ chức cần vô hiệu hóa tài khoản, gỡ bỏ hình ảnh/nội dung đã đăng tải và xóa dữ liệu khỏi hệ thống lưu trữ. Luật không ấn định số giờ cụ thể, nhưng thực hành tốt là xử lý ngay khi nhận được yêu cầu.
• Theo yêu cầu của cơ quan có thẩm quyền: Khi cơ quan có thẩm quyền có đủ căn cứ chứng minh việc xử lý dữ liệu có thể xâm phạm đến quyền, lợi ích hợp pháp của trẻ em và yêu cầu ngừng xử lý, tổ chức phải thực hiện theo yêu cầu đó.

4. Năm nguyên tắc bảo vệ dữ liệu cá nhân trẻ em cho EdTech, Game Online và Trường học

Các tổ chức cung cấp dịch vụ trực tiếp hoặc gián tiếp hướng tới người dùng là trẻ em nên áp dụng 5 nguyên tắc sau. Đây là khuyến nghị thực hành của LexData; chỗ nào có căn cứ pháp lý trực tiếp thì được dẫn cụ thể:

Nguyên tắc 1: Thiết lập Cổng xác thực độ tuổi đáng tin cậy (Age Verification Gate)

Điểm a Khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP xử phạt hành vi không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ. Doanh nghiệp không nên chỉ dựa vào hộp kiểm tự khai đơn giản (như 'Tôi xác nhận đã đủ 18 tuổi'). Nên thiết kế màn hình yêu cầu nhập ngày tháng năm sinh cụ thể ngay từ bước đầu đăng ký tài khoản. Nếu người dùng dưới 16 tuổi, hệ thống phải tự động kích hoạt luồng quy trình dành riêng cho trẻ em (Child User Flow).

Nguyên tắc 2: Cơ chế Xác minh sự chấp thuận của phụ huynh (Verifiable Parental Consent)

Để đảm bảo sự đồng ý của cha mẹ là có thật, doanh nghiệp cần triển khai các biện pháp xác minh hợp lý phù hợp với công nghệ hiện có:

• Gửi mã xác nhận OTP kèm nội dung thông báo quyền riêng tư đến số điện thoại hoặc email chính thức của phụ huynh.
• Yêu cầu phụ huynh ký điện tử hoặc xác thực qua tài khoản định danh điện tử VNeID.
• Xác minh thông qua giao dịch thẻ ngân hàng vi mô của phụ huynh theo thông lệ quốc tế.

Nguyên tắc 3: Tối thiểu hóa dữ liệu và Tắt tính năng định vị ngầm

Áp dụng nguyên tắc chỉ thu thập dữ liệu tối thiểu cần thiết để phục vụ học tập hoặc giải trí. Không nên âm thầm thu thập danh bạ điện thoại hoặc quyền truy cập micro/camera trên thiết bị của trẻ mà không phục vụ trực tiếp cho tính năng đang sử dụng. Riêng dữ liệu vị trí, Điểm a Khoản 3 Điều 31 Luật 91/2025/QH15 không cho phép theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác nếu không có sự đồng ý của chủ thể dữ liệu, trừ khi cơ quan có thẩm quyền yêu cầu hoặc pháp luật có quy định khác.

Nguyên tắc 4: Hạn chế tối đa Hồ sơ hóa (Profiling) và Quảng cáo nhắm mục tiêu

Khuyến nghị hệ thống CNTT của doanh nghiệp mặc định tắt tính năng theo dõi hành vi trực tuyến (Tracking Cookies) đối với các tài khoản trẻ em, và không xây dựng hồ sơ hành vi tiêu dùng hoặc hiển thị quảng cáo nhắm mục tiêu (Targeted/Behavioral Advertising) đối với người dùng dưới 16 tuổi. Luật 91/2025/QH15 không có điều khoản cấm riêng, nhưng hoạt động xử lý dữ liệu này vẫn cần sự đồng ý của người đại diện theo pháp luật (và của chính trẻ từ đủ 07 tuổi, theo Khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP) và dữ liệu theo dõi hành vi trên không gian mạng thuộc danh mục dữ liệu nhạy cảm (Điểm l Khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP).

Nguyên tắc 5: Thiết lập Kênh hỗ trợ khẩn cấp cho phụ huynh

Bố trí đường dây nóng hoặc nút tính năng chuyên biệt trên ứng dụng cho phép cha mẹ kiểm tra toàn bộ thông tin con mình đã đăng tải, sửa đổi thông tin hoặc kích hoạt lệnh xóa tài khoản vĩnh viễn. Khuyến nghị xử lý trong vòng 24 giờ; thời hạn pháp lý để thực hiện yêu cầu xóa dữ liệu là 20 ngày (30 ngày nếu cần yêu cầu bên xử lý, bên thứ ba; có thể gia hạn tối đa 01 lần, không quá 20 ngày) theo Khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP.

5. Mức phạt vi phạm bảo vệ dữ liệu cá nhân trẻ em theo Nghị định 330/2026/NĐ-CP

Hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em (và người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi) bị xử phạt theo Điều 60 Nghị định 330/2026/NĐ-CP với khung phạt tiền từ 30.000.000 đến 200.000.000 VNĐ đối với tổ chức (cá nhân vi phạm chịu mức bằng một nửa theo Khoản 1 Điều 7), tùy hành vi:

• Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu; xử lý dữ liệu của trẻ dưới 07 tuổi mà không có sự đồng ý của người đại diện theo pháp luật; xử lý dữ liệu của trẻ từ đủ 07 tuổi mà không có đồng thời sự đồng ý của trẻ và người đại diện (trừ trường hợp Khoản 1 Điều 19 Luật 91/2025/QH15): Phạt tiền từ 30.000.000 đến 50.000.000 VNĐ (Khoản 1 Điều 60).
• Tiết lộ, công bố thông tin đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi mà không có đồng thời sự đồng ý của trẻ và người đại diện: Phạt tiền từ 50.000.000 đến 100.000.000 VNĐ (Điểm a Khoản 2 Điều 60), kèm buộc gỡ bỏ thông tin đã công bố.
• Không ngừng xử lý dữ liệu trẻ em khi người đại diện rút lại sự đồng ý hoặc khi cơ quan có thẩm quyền yêu cầu: Phạt tiền từ 50.000.000 đến 100.000.000 VNĐ (Điểm b, c Khoản 2 Điều 60), kèm đình chỉ hoạt động xử lý dữ liệu liên quan từ 01 đến 03 tháng.
• Không xóa, hủy dữ liệu trẻ em khi xử lý sai mục đích hoặc đã hoàn thành mục đích, khi cha mẹ/người giám hộ rút lại sự đồng ý hoặc theo yêu cầu của cơ quan có thẩm quyền: Phạt tiền từ 100.000.000 đến 200.000.000 VNĐ (Khoản 3 Điều 60), kèm đình chỉ hoạt động xử lý dữ liệu liên quan từ 03 đến 06 tháng.
• Khai thác thương mại, mua bán dữ liệu cá nhân trái phép (bao gồm dữ liệu trẻ em): Xử phạt theo Điều 53 Nghị định 330/2026/NĐ-CP — phạt 2–10 lần khoản thu bất hợp pháp; nếu không có khoản thu (khoản 3 Điều 53): 70–100 triệu đồng (dưới 1.000 chủ thể dữ liệu cơ bản hoặc dưới 200 chủ thể dữ liệu nhạy cảm), 100–300 triệu đồng (1.000 đến dưới 2.000 / 200 đến dưới 400), 300–500 triệu đồng (2.000 đến dưới 10.000 / 400 đến 2.000), 500 triệu–1 tỷ đồng (từ 10.000 chủ thể dữ liệu cơ bản hoặc từ 2.000 chủ thể dữ liệu nhạy cảm trở lên), 1–3 tỷ đồng nếu xâm phạm quốc phòng, an ninh trật tự, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu.

Lưu ý: chế tài phạt theo tỷ lệ doanh thu (1–5% doanh thu năm liền trước tại thị trường Việt Nam) chỉ áp dụng cho một số vi phạm chuyển dữ liệu cá nhân xuyên biên giới theo Điều 56 Nghị định 330/2026/NĐ-CP. Xem thêm cẩm nang Mức phạt vi phạm bảo vệ dữ liệu cá nhân.