Bảo vệ dữ liệu cá nhân ngành giáo dục: trường học, trung tâm đào tạo và nền tảng EdTech
Bảo vệ dữ liệu cá nhân ngành giáo dục chủ yếu là bảo vệ dữ liệu học sinh, vì phần lớn người học ở trường phổ thông, mầm non và trung tâm ngoại ngữ là trẻ em dưới 16 tuổi. Cơ sở giáo dục phải áp dụng Điều 24 Luật 91/2025/QH15: cha mẹ thực hiện quyền thay cho trẻ, trẻ từ đủ 07 tuổi cùng đồng ý khi công bố thông tin riêng tư, và phải xác minh tuổi theo Nghị định 330/2026/NĐ-CP. Hồ sơ sức khỏe học sinh, camera lớp học và điểm danh khuôn mặt còn làm phát sinh dữ liệu nhạy cảm.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 24, 31, 32); Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP (Điều 60); Luật Trẻ em số 102/2016/QH13 (Điều 6, 21, 54); Nghị định 56/2017/NĐ-CP (Điều 33, 36); Thông tư 70/2026/TT-BGDĐT về học bạ số
Nguồn văn bản chính thức
Điểm cốt lõi về bảo vệ dữ liệu cá nhân ngành giáo dục
- Trọng tâm của bảo vệ dữ liệu cá nhân ngành giáo dục là dữ liệu cá nhân trẻ em. Trẻ em là người dưới 16 tuổi (Điều 1 Luật Trẻ em 2016). Người đại diện theo pháp luật thực hiện các quyền của chủ thể dữ liệu thay cho trẻ; công bố, tiết lộ thông tin đời sống riêng tư của trẻ từ đủ 07 tuổi cần sự đồng ý của cả trẻ và người đại diện (khoản 2 Điều 24 Luật 91/2025/QH15).
- Điều 60 Nghị định 330/2026/NĐ-CP phạt tổ chức từ 30 đến 50 triệu đồng khi không xác minh tuổi trước khi xử lý dữ liệu trẻ em, hoặc xử lý dữ liệu trẻ từ đủ 07 tuổi mà không có đồng thời sự đồng ý của trẻ và người đại diện (trừ trường hợp khoản 1 Điều 19 Luật 91/2025/QH15).
- Ngừng xử lý và xóa dữ liệu của trẻ khi cha mẹ rút lại đồng ý hoặc theo yêu cầu của cơ quan có thẩm quyền (khoản 3 Điều 24); không xóa, hủy trong các trường hợp này bị phạt 100 đến 200 triệu đồng (khoản 3 Điều 60 Nghị định 330/2026/NĐ-CP).
Dữ liệu cá nhân ngành giáo dục thường xử lý
| Nhóm dữ liệu | Ví dụ | Phân loại |
|---|---|---|
| Hồ sơ học sinh, học viên | Họ tên, ngày sinh, lớp, mã học sinh, số định danh cá nhân, ảnh chân dung trong hồ sơ | Cơ bản |
| Thông tin cha mẹ, người giám hộ | Họ tên, số điện thoại, email, nghề nghiệp, thông tin liên hệ khẩn cấp | Cơ bản |
| Kết quả học tập và đánh giá | Điểm số, nhận xét, học bạ, kết quả kiểm tra đầu vào, xếp loại hạnh kiểm | Cơ bản |
| Dữ liệu sức khỏe | Kết quả khám sức khỏe định kỳ, tiền sử dị ứng, bệnh mãn tính, nhu cầu hỗ trợ đặc biệt, hồ sơ tư vấn tâm lý | Nhạy cảm |
| Dữ liệu sinh trắc học | Khuôn mặt hoặc vân tay dùng để điểm danh, đưa đón, chấm công giáo viên | Nhạy cảm |
| Dữ liệu vị trí | Định vị xe đưa đón, đồng hồ định vị, ứng dụng theo dõi hành trình học sinh | Nhạy cảm |
| Dữ liệu hành vi trên nền tảng học trực tuyến | Lịch sử học, thời gian truy cập, lượt xem bài giảng dùng để cá nhân hóa, gợi ý khóa học | Nhạy cảm |
Phân loại theo danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Cùng một loại thông tin có thể đổi phân loại tùy ngữ cảnh xử lý.
1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành giáo dục?
Bảo vệ dữ liệu cá nhân ngành giáo dục áp dụng cho mọi cơ sở xử lý dữ liệu học sinh, học viên. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không phân biệt trường công hay tư, trong nước hay có vốn nước ngoài: mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam đều phải tuân thủ (khoản 2 Điều 1). Các nhóm chịu tác động rõ nhất:
- Trường mầm non, phổ thông, trường quốc tế, song ngữ: hồ sơ học sinh và phụ huynh, y tế học đường, xe đưa đón, bán trú, camera lớp học.
- Trung tâm ngoại ngữ, kỹ năng, luyện thi: người học vừa là trẻ em vừa là người lớn, dữ liệu kiểm tra đầu vào, ghi hình buổi học.
- Nền tảng EdTech, học trực tuyến: tài khoản người học, dữ liệu hành vi học tập, ghi âm, ghi hình qua webcam, AI chấm bài.
- Trường đại học, cao đẳng, đơn vị tư vấn du học: hồ sơ tuyển sinh, học bổng, bảng điểm, hộ chiếu, dữ liệu gửi cho trường đối tác ở nước ngoài.
2. Dữ liệu cá nhân trẻ em: ba quy tắc cốt lõi
Theo Điều 1 Luật Trẻ em số 102/2016/QH13, trẻ em là người dưới 16 tuổi. Điều 24 Luật 91/2025/QH15 và Điều 60 Nghị định 330/2026/NĐ-CP đặt ra ba quy tắc cho mọi cơ sở giáo dục có người học là trẻ em:
- Xác minh tuổi trước khi xử lý. Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu bị phạt 30 đến 50 triệu đồng (điểm a khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP).
- Đồng ý theo độ tuổi. Với trẻ dưới 07 tuổi, cha mẹ hoặc người giám hộ đồng ý thay. Với trẻ từ đủ 07 tuổi, cần đồng thời sự đồng ý của trẻ và người đại diện theo pháp luật, trừ các trường hợp tại khoản 1 Điều 19 Luật 91/2025/QH15 (điểm b, c khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP). Công bố, tiết lộ thông tin đời sống riêng tư của trẻ từ đủ 07 tuổi mà thiếu một trong hai sự đồng ý bị phạt 50 đến 100 triệu đồng.
- Ngừng xử lý và xóa khi được yêu cầu. Khi cha mẹ rút lại đồng ý hoặc cơ quan có thẩm quyền yêu cầu, cơ sở giáo dục phải ngừng xử lý (khoản 3 Điều 24) và xóa, hủy dữ liệu; không xóa, hủy bị phạt 100 đến 200 triệu đồng (khoản 3 Điều 60 Nghị định 330/2026/NĐ-CP).
Xem phân tích chi tiết từng độ tuổi trong cẩm nang bảo vệ dữ liệu cá nhân trẻ em.
3. Luật chuyên ngành về bảo vệ dữ liệu cá nhân trong trường học
Ngoài Luật 91/2025/QH15, cơ sở giáo dục cần áp dụng các quy định chuyên ngành sau. Theo khoản 2 Điều 5 Luật 91, quy định cụ thể về bảo vệ dữ liệu cá nhân trong luật ban hành trước ngày 01/01/2026, như Luật Trẻ em, vẫn được áp dụng nếu không trái nguyên tắc của Luật 91.
- Hành vi bị nghiêm cấm: công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em mà không được sự đồng ý của trẻ từ đủ 07 tuổi trở lên và của cha, mẹ, người giám hộ (khoản 11 Điều 6 Luật Trẻ em số 102/2016/QH13).
- Quyền bí mật đời sống riêng tư: trẻ em có quyền bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và bí mật gia đình vì lợi ích tốt nhất của trẻ (khoản 1 Điều 21 Luật Trẻ em). Tổ chức cung cấp dịch vụ trên môi trường mạng phải bảo đảm an toàn và bí mật đời sống riêng tư cho trẻ (khoản 2 Điều 54).
- Thông tin nào là bí mật đời sống riêng tư của trẻ: Điều 33 Nghị định 56/2017/NĐ-CP liệt kê cả hình ảnh cá nhân, thông tin về trường, lớp, kết quả học tập và thông tin sức khỏe ghi trong bệnh án. Vì vậy ảnh học sinh và bảng điểm cần được bảo vệ như thông tin riêng tư, dù phần lớn không phải dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP. Điều 36 Nghị định này cũng yêu cầu sự đồng ý của cha mẹ và trẻ từ đủ 07 tuổi khi đưa các thông tin đó lên mạng.
- Học bạ số: Thông tư 70/2026/TT-BGDĐT về quản lý và sử dụng học bạ số trong cơ sở giáo dục phổ thông và giáo dục thường xuyên có hiệu lực từ ngày 08/10/2026. Học bạ số có giá trị pháp lý như học bạ giấy, và việc quản lý phải bảo đảm an toàn thông tin, bảo vệ dữ liệu cá nhân. Nhà trường nên rà soát phân quyền trên hệ thống học bạ số và hợp đồng với nhà cung cấp phần mềm trước ngày hiệu lực.
4. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành giáo dục
Năm rủi ro dưới đây là những tình huống LexData gặp nhiều nhất khi tư vấn bảo vệ dữ liệu cá nhân ngành giáo dục. Mỗi rủi ro đi kèm căn cứ pháp lý và mức phạt tương ứng.
Đăng ảnh, video học sinh lên mạng xã hội
Ảnh lễ khai giảng, clip học sinh biểu diễn, bảng vinh danh học sinh giỏi là nội dung truyền thông quen thuộc của trường. Đây là hoạt động công khai dữ liệu cá nhân của trẻ, cần phiếu đồng ý truyền thông riêng, có chữ ký của phụ huynh và xác nhận của học sinh từ đủ 07 tuổi. Phiếu cần ghi rõ kênh đăng tải, và nhà trường phải gỡ ảnh khi phụ huynh rút lại đồng ý.
Công khai điểm số và học phí trong nhóm chat
Gửi bảng điểm cả lớp hoặc danh sách phụ huynh chưa đóng học phí vào nhóm Zalo chung là tiết lộ dữ liệu cá nhân cho những người không cần biết. Kết quả học tập còn được Nghị định 56/2017/NĐ-CP xếp vào thông tin bí mật đời sống riêng tư của trẻ em. Thực hành đúng là gửi riêng cho từng phụ huynh qua ứng dụng quản lý trường học hoặc tin nhắn cá nhân.
Camera lớp học và điểm danh khuôn mặt
Camera trong lớp phục vụ an toàn và cho phụ huynh xem trực tuyến cần thông báo rõ và giới hạn người được xem. Nếu hệ thống nhận diện khuôn mặt để điểm danh, dữ liệu trở thành dữ liệu sinh trắc học của trẻ em: cần đồng ý của cha mẹ, biện pháp bảo mật theo khoản 4 Điều 31 Luật 91/2025/QH15, và phương án điểm danh thay thế cho gia đình không đồng ý.
Hồ sơ sức khỏe và tư vấn tâm lý học sinh
Trong dữ liệu học sinh, kết quả khám sức khỏe, tiền sử bệnh, hồ sơ tư vấn tâm lý là dữ liệu sức khỏe, thuộc nhóm nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP. Chỉ nhân viên y tế trường và tư vấn viên có nhiệm vụ mới nên truy cập. Khi cung cấp dữ liệu cho công ty bảo hiểm học sinh, nhà trường cần chú ý thêm khoản 2 Điều 26 Luật 91/2025/QH15 về cung cấp dữ liệu sức khỏe cho tổ chức bảo hiểm.
Nền tảng học trực tuyến và dữ liệu hành vi
Nền tảng EdTech ghi nhận thời gian học, bài đã xem, câu trả lời sai để cá nhân hóa lộ trình. Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng là dữ liệu nhạy cảm (Điều 4 Nghị định 356/2025/NĐ-CP). Dùng dữ liệu này để quảng cáo khóa học mới cần sự đồng ý riêng theo Điều 28 Luật 91/2025/QH15. Nếu nền tảng dùng AI để chấm bài, đánh giá năng lực, việc xử lý còn phải tuân thủ Điều 30 về dữ liệu cá nhân trong trí tuệ nhân tạo.
5. Nghĩa vụ bảo vệ dữ liệu cá nhân ngành giáo dục và căn cứ pháp lý
Bảng dưới đây tóm tắt các nghĩa vụ chính. Mỗi dòng là một hạng mục cần có trong kế hoạch bảo vệ dữ liệu cá nhân ngành giáo dục của doanh nghiệp.
Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành giáo dục
| Nghĩa vụ | Căn cứ | Áp dụng trong ngành |
|---|---|---|
| Xác minh tuổi trước khi xử lý dữ liệu trẻ em | Điểm a khoản 1 Điều 60 NĐ 330/2026 | Tuyển sinh, đăng ký khóa học, tạo tài khoản học trực tuyến |
| Đồng ý của cha mẹ, và của trẻ từ đủ 07 tuổi | Khoản 2 Điều 24 Luật 91/2025; khoản 1 Điều 60 NĐ 330/2026 | Hồ sơ nhập học, phiếu đồng ý truyền thông, ứng dụng học tập |
| Ngừng xử lý và xóa khi rút lại đồng ý | Khoản 3 Điều 24 Luật 91/2025; khoản 3 Điều 60 NĐ 330/2026 | Gỡ ảnh, xóa tài khoản, xóa dữ liệu khuôn mặt |
| Bảo vệ dữ liệu sinh trắc học | Khoản 4 Điều 31 Luật 91/2025 | Điểm danh FaceID, chấm công vân tay giáo viên |
| Thông báo khi ghi hình | Điều 32 Luật 91/2025; Điều 71 NĐ 330/2026 | Camera cổng trường, hành lang, lớp học |
| Lập hồ sơ DPIA, gửi Cục A05 trong 60 ngày | Điều 21 Luật 91/2025; Mẫu số 10 NĐ 356/2025 | Trường tư thục, trung tâm, EdTech xử lý dữ liệu nhạy cảm |
| Hồ sơ chuyển dữ liệu xuyên biên giới | Điều 20 Luật 91/2025; Mẫu số 09 NĐ 356/2025 | LMS, email, lưu trữ đám mây ở nước ngoài; gửi hồ sơ du học |
| Không công bố thông tin riêng tư của trẻ khi thiếu đồng ý | Khoản 11 Điều 6 Luật Trẻ em 2016; Điều 36 NĐ 56/2017 | Ảnh, kết quả học tập, thông tin gia đình học sinh |
| Bảo mật học bạ số | Thông tư 70/2026/TT-BGDĐT (hiệu lực 08/10/2026) | Phân quyền hệ thống học bạ số, hợp đồng với nhà cung cấp |
| Dữ liệu nhân sự của giáo viên | Điều 25 Luật 91/2025; Điều 61 NĐ 330/2026 | Tuyển dụng, chấm công, camera giám sát giáo viên |
6. Bảo vệ dữ liệu cá nhân ngành giáo dục cho trường quốc tế và doanh nghiệp FDI
Với trường quốc tế và nền tảng có vốn nước ngoài, bảo vệ dữ liệu cá nhân ngành giáo dục thường vướng ở luồng dữ liệu ra nước ngoài. Nhiều trường quốc tế dùng hệ thống quản lý học sinh, LMS và email của tập đoàn đặt ở nước ngoài, hoặc gửi hồ sơ học sinh cho tổ chức khảo thí, trường đối tác. Mỗi luồng này là chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 Luật 91/2025/QH15, cần hồ sơ đánh giá tác động gửi Cục A05. Chính sách bảo vệ dữ liệu trẻ em theo chuẩn quốc tế cũng cần rà soát lại: Việt Nam lấy mốc dưới 16 tuổi, trong khi COPPA của Hoa Kỳ lấy mốc dưới 13 tuổi, nên quy trình chỉ áp dụng cho người dùng dưới 13 tuổi sẽ không đủ tại Việt Nam.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Trong bảo vệ dữ liệu cá nhân ngành giáo dục, phần lớn vi phạm trong trường học không đến từ hệ thống công nghệ mà từ thói quen hằng ngày: một tấm ảnh đăng lên fanpage, một bảng điểm gửi vào nhóm Zalo. Nhà trường nên bắt đầu bằng phiếu đồng ý đầu năm học được thiết kế đúng, tách theo từng mục đích, và một buổi tập huấn ngắn cho giáo viên chủ nhiệm. Hai việc này giải quyết được phần lớn rủi ro."
Checklist bảo vệ dữ liệu cá nhân ngành giáo dục
- Thu thập ngày sinh ngay khi tuyển sinh, đăng ký tài khoản, và tự động chuyển người học dưới 16 tuổi sang luồng xin đồng ý của cha mẹ.
- Soạn phiếu đồng ý xử lý dữ liệu học sinh đầu năm học, tách theo mục đích: quản lý học tập, y tế học đường, đưa đón, truyền thông hình ảnh; với học sinh từ đủ 07 tuổi, có chỗ để chính học sinh xác nhận.
- Gửi điểm số, học phí, tình trạng sức khỏe riêng cho từng phụ huynh thay vì đăng vào nhóm Zalo lớp.
- Giới hạn quyền truy cập hồ sơ sức khỏe, tâm lý học sinh cho nhân viên y tế, tư vấn viên có nhiệm vụ.
- Với camera lớp học và điểm danh khuôn mặt: thông báo rõ, xin đồng ý của cha mẹ cho dữ liệu sinh trắc học, có phương án điểm danh thay thế, quy định thời hạn lưu.
- Ký hợp đồng xử lý dữ liệu với nhà cung cấp LMS, phần mềm quản lý trường học, xe đưa đón, suất ăn, bảo hiểm học sinh; chỉ chia sẻ trường dữ liệu tối thiểu.
- Lập hồ sơ DPIA gửi Cục A05 trong 60 ngày; nếu dùng LMS, Google Workspace, Microsoft 365 hoặc nền tảng AI đặt ở nước ngoài, lập thêm hồ sơ chuyển dữ liệu xuyên biên giới.
- Thiết lập quy trình ngừng xử lý và xóa dữ liệu khi phụ huynh rút lại đồng ý, và quy trình gỡ ảnh, video học sinh đã đăng.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân ngành giáo dục
Trường có được đăng ảnh học sinh lên fanpage không?
Được, nếu có sự đồng ý phù hợp. Với học sinh dưới 07 tuổi, cần đồng ý của cha mẹ hoặc người giám hộ; với học sinh từ đủ 07 đến dưới 16 tuổi, cần đồng ý của cả học sinh và cha mẹ (khoản 2 Điều 24 Luật 91/2025/QH15). Nhà trường nên dùng phiếu đồng ý truyền thông riêng, không gộp vào hồ sơ nhập học, và gỡ ảnh ngay khi phụ huynh rút lại đồng ý.
Trung tâm tiếng Anh dạy cả trẻ em và người lớn phải xác minh tuổi thế nào?
Nên hỏi ngày sinh cụ thể ở bước đăng ký thay vì chỉ đánh dấu ô tự khai. Điểm a khoản 1 Điều 60 Nghị định 330/2026/NĐ-CP xử phạt hành vi không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu. Người học dưới 16 tuổi cần được chuyển sang luồng xin đồng ý của cha mẹ, kèm xác nhận qua số điện thoại hoặc email của phụ huynh.
Trường học công lập có phải lập DPIA không?
Đây là câu hỏi thường gặp nhất về bảo vệ dữ liệu cá nhân trong trường học công lập. Khoản 6 Điều 21 Luật 91/2025/QH15 chỉ miễn DPIA cho cơ quan nhà nước có thẩm quyền. Trường công lập là đơn vị sự nghiệp, không phải cơ quan nhà nước, nên cần đánh giá nghĩa vụ này theo hoạt động xử lý cụ thể, nhất là khi xử lý dữ liệu sức khỏe, sinh trắc học của học sinh. Trường tư thục, trung tâm đào tạo và doanh nghiệp EdTech là doanh nghiệp, áp dụng đầy đủ Điều 21.
Nền tảng học trực tuyến có được dùng dữ liệu học tập của học sinh để quảng cáo khóa học không?
Chỉ khi có sự đồng ý riêng cho mục đích quảng cáo (khoản 3 Điều 28 Luật 91/2025/QH15), và với người học là trẻ em thì sự đồng ý phải đến từ cha mẹ (và trẻ từ đủ 07 tuổi theo Điều 60 Nghị định 330/2026/NĐ-CP). Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng là dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP, nên thực hành tốt là tắt quảng cáo nhắm mục tiêu cho tài khoản trẻ em.
Khi học sinh chuyển trường, trường cũ phải xóa dữ liệu ngay không?
Không phải xóa toàn bộ ngay. Hồ sơ quản lý học sinh mà pháp luật về giáo dục, lưu trữ yêu cầu giữ lại được lưu theo thời hạn luật định (điểm c khoản 1 Điều 14 Luật 91/2025/QH15). Các dữ liệu phục vụ mục đích đã kết thúc, như tài khoản ứng dụng, dữ liệu khuôn mặt điểm danh, thông tin đưa đón, nên được xóa khi hoàn thành mục đích xử lý (điểm b khoản 1 Điều 14).
Luật sư Hồ Thị Hà Nhi
Luật sư Sáng lập LexData Consulting · Đoàn Luật sư TP.HCM
Nội dung trang được rà soát theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, các nghị định hướng dẫn và văn bản pháp luật chuyên ngành được trích dẫn.
