Kinh nghiệm bảo đảm quyền bảo vệ dữ liệu cá nhân của Liên minh châu Âu và gợi mở cho Việt Nam

Tóm tắt: Nghiên cứu tập trung vào quyền của chủ thể dữ liệu, trách nhiệm giải trình, bảo vệ dữ liệu ngay từ thiết kế và theo mặc định, quản trị dựa trên rủi ro và cơ chế khắc phục. Kết quả cho thấy Việt Nam đã có nhiều công cụ bảo vệ tương ứng; giá trị tham khảo của GDPR chủ yếu nằm ở cách kết nối các công cụ này với quy trình vận hành và khả năng kiểm chứng tuân thủ. Bài viết đề xuất cụ thể hóa thủ tục thực hiện quyền, nâng cao trách nhiệm giải trình, tích hợp bảo vệ vào thiết kế, hướng dẫn đánh giá rủi ro và tăng khả năng tiếp cận cơ chế khắc phục. Các đề xuất nhằm nâng cao hiệu quả thực thi trong điều kiện Việt Nam, không sao chép nguyên trạng mô hình EU.

Từ khóa: Dữ liệu cá nhân; Quyền bảo vệ dữ liệu cá nhân; Chủ thể dữ liệu; Liên minh châu Âu; Việt Nam; GDPR.

The European Union’s Experience in Safeguarding the Right to Personal Data Protection and Implications for Vietnam

Abstract: The entry into force of Vietnam’s Law on Personal Data Protection 2025 creates a need to move from recognizing rights to ensuring their practical exercise. This article examines Vietnam’s legal framework and the European Union’s experience under the GDPR through legal analysis, documentary research and a comparison of protection mechanisms. It focuses on data subject rights, accountability, data protection by design and by default, risk-based governance and remedies. The analysis shows that Vietnam already provides several corresponding safeguards. The principal value of the GDPR as a reference therefore lies in connecting those safeguards to operational procedures and verifiable compliance, rather than introducing each mechanism as if it were absent. The article proposes clearer procedures for exercising rights, stronger operational accountability, protection integrated into system design, practical guidance on risk assessment and accessible remedies. These proposals aim to improve implementation within Vietnam’s legal and institutional conditions. The study identifies normative requirements and implementation risks; it does not offer an empirical assessment of the comparative effectiveness of the two systems.

Keywords: Personal data; Right to personal data protection; Data subject; European Union; Vietnam; GDPR.

Ảnh minh hoạ

1. Đặt vấn đề

Trong bối cảnh chuyển đổi số, dữ liệu cá nhân được khai thác rộng rãi trong hoạt động kinh tế và quản lý, trong khi cá nhân thường khó nhận biết đầy đủ việc dữ liệu của mình được thu thập, sử dụng và chia sẻ. Việt Nam đã từng bước hoàn thiện khung pháp luật từ các quy định về quyền riêng tư đến Nghị định số 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Từ ngày 01/01/2026, Luật và Nghị định số 356/2025/NĐ-CP là những căn cứ trực tiếp cần được xem xét khi đánh giá cơ chế bảo vệ hiện hành. Vấn đề nghiên cứu không chỉ là phạm vi quyền đã được ghi nhận, mà còn là cách tổ chức nghĩa vụ để cá nhân có thể thực hiện và bảo vệ quyền của mình.^[1]

Trên bình diện quốc tế, GDPR cung cấp một khuôn khổ liên kết quyền của chủ thể dữ liệu với nghĩa vụ giải trình, bảo vệ ngay từ thiết kế, quản trị rủi ro và cơ chế thực thi. Các hướng dẫn của European Data Protection Board (EDPB) giải thích cách vận dụng những cơ chế này; nghiên cứu trong nước cũng đã đặt vấn đề về thực thi và kinh nghiệm quốc tế. Bài viết tiếp nối hướng nghiên cứu đó bằng việc đối chiếu từng cơ chế với pháp luật Việt Nam hiện hành, tránh đề xuất lại những công cụ đã được ghi nhận.^[2]

Câu hỏi nghiên cứu là: kinh nghiệm EU về bảo đảm quyền bảo vệ dữ liệu cá nhân có thể gợi mở những giải pháp nào để cụ thể hóa pháp luật và nâng khả năng thực hiện quyền tại Việt Nam? Bài viết sử dụng phương pháp phân tích văn bản, tổng hợp tài liệu và so sánh theo chức năng của từng cơ chế. Nguồn chính gồm GDPR, hướng dẫn EDPB, Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP. Các thông tin thực tiễn được dùng để chỉ ra nhu cầu bảo vệ; bài viết không khảo sát doanh nghiệp hoặc đo lường hiệu quả của hai hệ thống. Phạm vi này giúp phân biệt kết luận từ quy phạm với giả thuyết về những khó khăn có thể phát sinh khi thực hiện quyền.

2. Khái quát pháp luật bảo đảm quyền bảo vệ dữ liệu cá nhân tại Việt Nam

Quyền riêng tư là nền tảng quan trọng của pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam. Điều 21 Hiến pháp năm 2013 bảo vệ đời sống riêng tư, bí mật cá nhân, bí mật gia đình và an toàn thông tin liên quan; Điều 38 Bộ luật Dân sự năm 2015 cụ thể hóa việc bảo vệ các lợi ích này. Các bảo đảm đó áp dụng đối với mọi người, không chỉ công dân. Tuy nhiên, quyền bảo vệ dữ liệu cá nhân không hoàn toàn đồng nhất với quyền riêng tư: phạm vi điều chỉnh còn bao gồm việc xử lý thông tin giúp xác định một cá nhân, dù thông tin không thuộc bí mật đời tư. Những quy định chuyên ngành trước đây đã tạo tiền đề, nhưng còn phân tán theo từng lĩnh vực. Nghị định số 13/2023/NĐ-CP đánh dấu bước hệ thống hóa khái niệm, nguyên tắc, quyền và trách nhiệm. Luật Bảo vệ dữ liệu cá nhân năm 2025 tiếp tục nâng khuôn khổ này lên cấp luật. Nghị định số 356/2025/NĐ-CP có hiệu lực từ ngày 01/01/2026 và làm chấm dứt hiệu lực của Nghị định số 13/2023/NĐ-CP; vì vậy, nghị định cũ chỉ được phân tích như một giai đoạn phát triển pháp luật.^[3]

Về phạm vi áp dụng, Luật Bảo vệ dữ liệu cá nhân năm 2025 điều chỉnh các cơ quan, tổ chức, cá nhân thuộc những nhóm được xác định tại Điều 1, bao gồm chủ thể Việt Nam, chủ thể nước ngoài tại Việt Nam và một số chủ thể nước ngoài liên quan đến xử lý dữ liệu cá nhân của người Việt Nam theo điều kiện luật định. Khoản 1 Điều 2 xác định dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể. Khái niệm không chỉ giới hạn ở môi trường điện tử. Lịch sử duyệt web hoặc hành vi mua sắm có thể là dữ liệu cá nhân nếu đáp ứng tiêu chí này. Luật phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; danh mục được quy định chi tiết tại Nghị định số 356/2025/NĐ-CP. Việc phân loại giúp xác định mức bảo vệ, nhưng cần kết hợp với mục đích và bối cảnh xử lý.^[4]

Xét về quyền và nghĩa vụ của chủ thể dữ liệu, Luật Bảo vệ dữ liệu cá nhân năm 2025 đã xây dựng một cơ chế tương đối toàn diện, trong đó cá nhân không còn là đối tượng bị động của hoạt động xử lý dữ liệu mà được trao khả năng nhận biết, quyết định và tự bảo vệ thông tin của chính mình. Các quyền này có ý nghĩa quan trọng bởi việc bảo vệ dữ liệu không chỉ được thực hiện thông qua nghĩa vụ của bên xử lý, mà còn phải bắt đầu từ việc chủ thể dữ liệu có đủ khả năng pháp lý để phản ứng trước việc dữ liệu của mình bị khai thác. Có thể khái quát thành 3 nhóm quyền chính: Đầu tiên là nhóm quyền quyết định đối với việc xử lý dữ liệu, bao gồm quyền được biết về hoạt động xử lý, quyền đồng ý hoặc không đồng ý và quyền rút lại sự đồng ý, qua đó bảo đảm sự chủ động của cá nhân ngay từ thời điểm dữ liệu được thu thập. Tiếp đến là nhóm quyền kiểm soát dữ liệu, bao gồm quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối việc xử lý dữ liệu. Sau cùng là nhóm quyền bảo vệ và khắc phục hậu quả, cho phép cá nhân khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại, đồng thời yêu cầu cơ quan có thẩm quyền và các chủ thể liên quan thực hiện những biện pháp cần thiết để bảo vệ dữ liệu của mình.^[5]

Tuy nhiên, pháp luật cũng xác định nghĩa vụ đối với chủ thể dữ liệu. Theo đó, mỗi cá nhân phải tự bảo vệ dữ liệu của mình, tôn trọng và bảo vệ dữ liệu của người khác, cung cấp thông tin đầy đủ, chính xác theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý. Bên cạnh đó, chủ thể dữ liệu còn có trách nhiệm chấp hành pháp luật và tham gia phòng, chống các hoạt động xâm phạm dữ liệu cá nhân. Như vậy, quyền được quy định song hành với nghĩa vụ nhằm bảo đảm quyền kiểm soát của cá nhân đối với thông tin của mình, đồng thời nâng cao trách nhiệm của chính chủ thể dữ liệu trong việc xây dựng môi trường dữ liệu an toàn.^[6]

Về nghĩa vụ, cần phân biệt bên kiểm soát dữ liệu cá nhân, bên xử lý và bên kiểm soát và xử lý theo vai trò luật định. Các chủ thể phải xác định mục đích, căn cứ xử lý và biện pháp bảo vệ; sự đồng ý không phải điều kiện duy nhất, vì Điều 19 quy định những trường hợp xử lý không cần sự đồng ý. Các nghĩa vụ đánh giá tác động, cập nhật hồ sơ và bố trí bộ phận hoặc nhân sự bảo vệ dữ liệu cũng phải áp dụng đúng chủ thể, điều kiện và cơ chế chuyển tiếp. Không nên đồng nhất nhân sự bảo vệ dữ liệu của Việt Nam với chức danh DPO theo GDPR khi chưa đối chiếu đầy đủ vị trí và nhiệm vụ.^[7]

Đối với vi phạm, Điều 23 yêu cầu bên kiểm soát, bên kiểm soát và xử lý hoặc bên thứ ba thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện hành vi thuộc trường hợp luật định. Bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không thể suy ra một nghĩa vụ chung rằng mọi chủ thể đều phải thông báo cho cả cơ quan và mọi người dùng trong 72 giờ đối với mọi sự cố.^[8]

Luật cũng quy định mức phạt tối đa đối với tổ chức: hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ vi phạm; vi phạm chuyển dữ liệu xuyên biên giới đến 5% doanh thu năm trước liền kề; các vi phạm khác đến 03 tỷ đồng, theo các điều kiện tại Điều 8. Đây là giới hạn luật định, không phải mức phạt tự động của từng vụ việc; mức tối đa đối với cá nhân bằng một nửa mức đối với tổ chức. Chế tài cần được xem xét cùng cơ chế phát hiện, xử lý và khắc phục, vì mức phạt cao tự nó chưa chứng minh quyền được bảo vệ hiệu quả.^[9]

3. Sự cần thiết bảo đảm quyền bảo vệ dữ liệu cá nhân

Quy mô tương tác số cho thấy tầm quan trọng của việc bảo vệ dữ liệu cá nhân. Theo DataReportal, đầu năm 2025 Việt Nam có 79,8 triệu người sử dụng Internet, tương đương 78,8% dân số, và 76,2 triệu danh tính người dùng mạng xã hội đang hoạt động, tương đương 75,2% dân số. Chỉ số thứ hai không nhất thiết phản ánh số cá nhân duy nhất. Theo thông tin công bố của Bộ Công an ngày 07/7/2025, trong sáu tháng đầu năm 2025 lực lượng Công an đã phát hiện và đấu tranh xử lý 56 vụ việc mua bán trái phép dữ liệu cá nhân với hơn 110 triệu bản ghi. Đây là dấu hiệu về quy mô rủi ro, không phải thước đo hiệu quả của Luật có hiệu lực từ năm 2026. Yêu cầu bảo vệ toàn bộ hành trình số của người dùng cũng được nhấn mạnh tại hội thảo được VietnamPlus đưa tin ngày 14/8/2026.^[10]

Ở phương diện quyền con người, bảo vệ dữ liệu cá nhân không đơn thuần là yêu cầu kỹ thuật nhằm bảo đảm an toàn thông tin mà trước hết là cơ chế pháp lý bảo vệ sự riêng tư, nhân phẩm, danh dự và quyền tự quyết của mỗi cá nhân đối với những thông tin gắn với chính mình. Trong môi trường số, một lượng lớn thông tin về một cá nhân có thể được thu thập, liên kết, phân tích và suy luận từ nhiều nguồn khác nhau, qua đó hình thành những “hồ sơ dữ liệu” phản ánh tương đối toàn diện về nhân thân, hành vi, thói quen, quan hệ xã hội và nhu cầu của cá nhân. Khi dữ liệu được xử lý mà cá nhân không biết hoặc không có khả năng kiểm soát, nguy cơ xâm phạm quyền riêng tư không chỉ nằm ở việc một thông tin cụ thể bị tiết lộ, mà còn ở khả năng các dữ liệu tưởng như không nhạy cảm được kết hợp, phân tích để tạo ra những thông tin mới có thể tác động trực tiếp đến quyền và lợi ích hợp pháp của cá nhân. Do đó, bảo đảm quyền bảo vệ dữ liệu cá nhân cần được nhìn nhận như một điều kiện quan trọng để cá nhân duy trì quyền kiểm soát đối với danh tính số và các thông tin liên quan đến đời sống của mình trong xã hội ngày càng phụ thuộc vào dữ liệu.

Luật Bảo vệ dữ liệu cá nhân năm 2025 củng cố khả năng của cá nhân trong việc biết, quyết định và kiểm soát hoạt động xử lý theo điều kiện pháp luật. Tuy nhiên, ghi nhận quyền chưa tự bảo đảm rằng cá nhân có thể thực hiện quyền thuận lợi. Sự bất cân xứng về thông tin và năng lực có thể làm cho lựa chọn đồng ý thiếu thực chất; thông báo dài và khó hiểu có thể khiến cá nhân không nhận biết được bên xử lý hoặc mục đích sử dụng. Đây là những nguy cơ cần kiểm soát, không phải kết luận về tình trạng chung của doanh nghiệp khi bài viết chưa thực hiện khảo sát. Thủ tục yêu cầu thực hiện quyền, cách phản hồi và cơ chế khắc phục vì vậy phải được xem xét cùng nội dung quyền, thay vì chỉ đánh giá mức độ đầy đủ của danh mục quyền.^[11]

Từ đó có thể thấy, vấn đề đặt ra đối với Việt Nam hiện nay là pháp luật có tạo ra một cơ chế bảo đảm quyền đầy đủ, khả thi và hiệu quả hay không. Việc bảo đảm quyền cần được tiếp cận trên cả ba phương diện: (i) ghi nhận đầy đủ quyền và lợi ích hợp pháp của chủ thể dữ liệu; (ii) thiết lập nghĩa vụ, trách nhiệm giải trình và các biện pháp phòng ngừa rủi ro đối với chủ thể xử lý dữ liệu; và (iii) bảo đảm cơ chế giám sát, thực thi quyền và khắc phục hiệu quả khi xảy ra vi phạm. Cách tiếp cận này không chỉ góp phần tăng cường bảo vệ quyền con người trong môi trường số mà còn tạo lập niềm tin pháp lý cho người dân, doanh nghiệp và các chủ thể tham gia nền kinh tế số. Qua đó, bảo vệ dữ liệu cá nhân không trở thành rào cản đối với đổi mới sáng tạo và khai thác dữ liệu, mà ngược lại, trở thành nền tảng pháp lý để dữ liệu được khai thác một cách minh bạch, an toàn, có trách nhiệm và phù hợp với yêu cầu bảo vệ quyền con người.

4. Kinh nghiệm của Liên minh châu Âu về bảo đảm quyền bảo vệ dữ liệu cá nhân

Khuôn khổ GDPR liên kết quyền của chủ thể dữ liệu với nguyên tắc xử lý, trách nhiệm của tổ chức và cơ chế giám sát. Quy định (EU) 2016/679 được ban hành ngày 27/4/2016, có hiệu lực năm 2016 và được áp dụng từ ngày 25/5/2018. Vì vậy, cần phân biệt thời điểm có hiệu lực với thời điểm bắt đầu áp dụng. Bài viết xem xét năm cơ chế dưới đây như những kinh nghiệm về thiết kế pháp luật; sự tồn tại của chúng không tự chứng minh rằng việc thực thi tại EU luôn hiệu quả.^[12]

4.1. Đặt chủ thể dữ liệu vào vị trí trung tâm của cơ chế bảo vệ

GDPR đặt yêu cầu minh bạch tại Điều 12 và quy định các quyền cụ thể trong Điều 13–22, bao gồm được thông tin, tiếp cận, chỉnh sửa, xóa, hạn chế xử lý, chuyển dữ liệu, phản đối và quyền liên quan đến quyết định tự động. Quyền chuyển dữ liệu và quyền đối với quyết định tự động chỉ áp dụng khi đáp ứng điều kiện tương ứng, không phải quyền tuyệt đối đối với mọi hoạt động xử lý. Quyền xóa tại Điều 17 cũng có ngoại lệ, chẳng hạn khi cần tuân thủ nghĩa vụ pháp lý hoặc bảo vệ những lợi ích được quy định. Bài học là kết nối từng quyền với điều kiện và thủ tục thực hiện: cá nhân cần biết gửi yêu cầu cho ai, nhận phản hồi thế nào và xử lý việc từ chối ra sao. Cơ chế bảo vệ do đó phải giúp cá nhân tác động được đến quá trình xử lý, đồng thời làm rõ giới hạn của quyền để tránh gây kỳ vọng vượt quá pháp luật.^[13]

4.2. Kết hợp quyền của cá nhân với nguyên tắc kiểm soát hoạt động xử lý

Điều 5 GDPR đặt ra các nguyên tắc về tính hợp pháp, công bằng, minh bạch, giới hạn mục đích, giảm thiểu dữ liệu, chính xác, giới hạn lưu trữ, toàn vẹn và bảo mật. Các nguyên tắc này hạn chế việc thu thập quá mức hoặc tái sử dụng không phù hợp. Khoản 2 Điều 5 đồng thời yêu cầu bên kiểm soát chịu trách nhiệm và chứng minh tuân thủ. Theo EDPB, việc chứng minh cần thể hiện qua ghi nhận lựa chọn và thực hành bảo vệ dữ liệu. Cơ chế này kết nối quyền của cá nhân với bằng chứng về cách tổ chức xử lý, thay vì chỉ dựa vào cam kết bảo mật chung.^[14]

Điểm đáng chú ý của cách tiếp cận này là trách nhiệm bảo vệ dữ liệu không chỉ phát sinh sau khi có hành vi vi phạm. Chủ thể kiểm soát phải chủ động xây dựng cơ chế bảo đảm tuân thủ ngay trong quá trình tổ chức hoạt động xử lý dữ liệu. Theo đó, bảo vệ quyền của cá nhân trở thành một trách nhiệm thường xuyên của tổ chức thay vì chỉ là nghĩa vụ khắc phục hậu quả sau khi xảy ra sự cố.

4.3. Bảo vệ dữ liệu ngay từ thiết kế và theo mặc định

GDPR quy định yêu cầu bảo vệ dữ liệu ngay từ khâu thiết kế và theo mặc định (data protection by design and by default), được quy định tại Điều 25. Theo hướng dẫn của EDPB, nguyên tắc này yêu cầu việc bảo vệ dữ liệu phải được xem xét ngay từ khi xây dựng hoặc thiết kế một hoạt động xử lý, sản phẩm, dịch vụ hoặc hệ thống có liên quan đến dữ liệu cá nhân. Các biện pháp bảo vệ phải được tích hợp vào quá trình xử lý thay vì chỉ được bổ sung sau khi hệ thống đã được triển khai hoặc sau khi xảy ra sự cố. Bên cạnh đó, Điều 25 còn yêu cầu bảo vệ dữ liệu theo mặc định. Theo đó, với các thiết lập mặc định, chỉ những dữ liệu cá nhân cần thiết cho từng mục đích cụ thể mới được xử lý. Yêu cầu này liên quan đến cả số lượng dữ liệu được thu thập, phạm vi xử lý, thời gian lưu trữ và khả năng tiếp cận dữ liệu.^[15]

Cách tiếp cận trên thể hiện sự chuyển dịch từ mô hình bảo vệ mang tính phản ứng sang mô hình phòng ngừa. Thay vì chờ đến khi quyền của cá nhân bị xâm phạm mới áp dụng biện pháp xử lý, GDPR yêu cầu nguy cơ đối với dữ liệu cá nhân phải được tính đến ngay từ giai đoạn thiết kế hoạt động xử lý. Điều này đặc biệt có ý nghĩa trong bối cảnh các hoạt động xử lý dữ liệu ngày càng phụ thuộc vào công nghệ và được tích hợp sâu vào sản phẩm, dịch vụ và nền tảng số.

4.4. Quản trị dữ liệu dựa trên mức độ rủi ro

GDPR thể hiện cách tiếp cận dựa trên mức độ rủi ro đối với quyền và tự do của cá nhân. Theo đó, không phải mọi hoạt động xử lý dữ liệu đều phải chịu cùng một mức độ kiểm soát. Điều 24 yêu cầu chủ thể kiểm soát áp dụng các biện pháp kỹ thuật và tổ chức phù hợp với tính chất, phạm vi, bối cảnh và mục đích xử lý cũng như các rủi ro khác nhau đối với quyền và tự do của cá nhân.  Một cơ chế tiêu biểu thể hiện cách tiếp cận này là đánh giá tác động về bảo vệ dữ liệu (Data Protection Impact Assessment – DPIA). Theo Điều 35 GDPR, khi một loại xử lý, đặc biệt là việc sử dụng công nghệ mới, có khả năng dẫn đến rủi ro cao đối với quyền và tự do của cá nhân, chủ thể kiểm soát phải tiến hành đánh giá tác động trước khi thực hiện hoạt động xử lý. DPIA nhằm xác định tính cần thiết và tương xứng của hoạt động xử lý, đánh giá những nguy cơ có thể phát sinh và xác định các biện pháp nhằm kiểm soát hoặc giảm thiểu những nguy cơ đó. EDPB xác định DPIA là một công cụ quan trọng để các tổ chức nhận diện và quản lý rủi ro đối với dữ liệu cá nhân trong trường hợp hoạt động xử lý có khả năng gây ra rủi ro cao.^[16]

Cách tiếp cận này cho phép cơ chế bảo vệ dữ liệu có sự phân hóa giữa các hoạt động xử lý. Những hoạt động có khả năng ảnh hưởng lớn hơn đến quyền và tự do của cá nhân sẽ phải chịu yêu cầu kiểm soát chặt chẽ hơn. Điều này giúp cơ chế bảo vệ dữ liệu vừa duy trì mức độ bảo vệ cần thiết đối với cá nhân, vừa tránh việc áp dụng một cách máy móc cùng một mức độ nghĩa vụ đối với mọi hoạt động xử lý dữ liệu.

4.5. Gắn giám sát với khả năng thực hiện quyền và khắc phục

GDPR quy định cơ quan giám sát độc lập tại Điều 51–52, quyền hạn tại Điều 58 và các cơ chế khiếu nại, khởi kiện, bồi thường tại Điều 77–82. Những cơ chế này tạo đường tiếp cận bảo vệ khi yêu cầu của cá nhân không được giải quyết hoặc khi phát sinh thiệt hại. Bồi thường không phát sinh chỉ vì có vi phạm: cần đáp ứng các điều kiện trách nhiệm theo Điều 82. Điểm cần học hỏi là kết nối thủ tục thực hiện quyền với cơ chế xem xét và khắc phục, thay vì coi xử phạt hành chính là công cụ bảo vệ duy nhất.^[17]

Đối với Việt Nam, Luật đã ghi nhận quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường. Vì vậy, sự khác biệt cần nghiên cứu là cách tổ chức thẩm quyền, khả năng tiếp cận thủ tục và chứng minh thiệt hại, không phải việc hoàn toàn thiếu cơ chế. Mô hình độc lập của cơ quan giám sát EU là kinh nghiệm về chức năng và bảo đảm thực thi; việc tham khảo không đồng nghĩa phải sao chép cấu trúc tổ chức này.^[18]

5. Gợi mở hoàn thiện pháp luật Việt Nam từ kinh nghiệm của Liên minh châu Âu

Giá trị tham khảo của GDPR cần được xác định từ đối chiếu với những cơ chế Việt Nam đã có. Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP đã thiết lập quyền, nghĩa vụ đánh giá tác động, trách nhiệm của các bên và yêu cầu tổ chức bảo vệ dữ liệu. Vì vậy, kiến nghị nên tập trung vào cách cụ thể hóa, kết nối và kiểm chứng các cơ chế này. Bảng 1 tóm tắt đối chiếu theo năm hướng tiếp cận; các gợi mở được giải thích tiếp dưới bảng để phân biệt yêu cầu pháp luật hiện hành với đề xuất của tác giả.

Bảng 1. Đối chiếu cơ chế bảo vệ dữ liệu và gợi mở cho Việt Nam^[19]

5.1. Cụ thể hóa việc thực hiện quyền của chủ thể dữ liệu

Trên cơ sở Điều 4 của Luật và hướng dẫn tại Nghị định số 356/2025/NĐ-CP, Nghị định đã yêu cầu quy trình, thủ tục, biểu mẫu và quy định mốc phản hồi 02 ngày làm việc đối với các nhóm yêu cầu tại khoản 2–4 Điều 5. Trọng tâm là giúp tổ chức thực hiện nhất quán những yêu cầu này và giúp cá nhân sử dụng kênh tiếp nhận, theo dõi phản hồi. Thông báo cho cá nhân nên làm rõ bên chịu trách nhiệm, mục đích xử lý và cách sử dụng từng quyền bằng ngôn ngữ dễ hiểu. Cần phân biệt yêu cầu hợp lệ với những trường hợp được từ chối hoặc giới hạn theo luật; khi từ chối, phải giải thích căn cứ và hướng tiếp cận bảo vệ. Kiến nghị này nhằm giúp các quyền đã được ghi nhận vận hành thuận lợi, không mặc nhiên bổ sung quyền mới. Nếu nghiên cứu quyền chuyển dữ liệu theo Điều 20 GDPR, cần đánh giá riêng phạm vi, chi phí kỹ thuật và quan hệ với quyền hiện hành của Việt Nam.

5.2. Gắn trách nhiệm giải trình với bằng chứng tuân thủ

Trách nhiệm của các bên đã được xác định tại Điều 37; vấn đề là làm rõ bằng chứng về việc thực hiện. Doanh nghiệp cần kết nối chính sách bảo vệ, hồ sơ đánh giá tác động, quyết định mục đích và biện pháp kỹ thuật trong cùng một quy trình. Khi thuê dịch vụ xử lý, hợp đồng phải phân công vai trò và cách kiểm tra, không dùng thỏa thuận để loại bỏ trách nhiệm luật định. Việc giám sát nên đối chiếu hồ sơ với hoạt động thực tế, chẳng hạn quyền truy cập và cập nhật khi mục đích thay đổi. Cách tiếp cận này cụ thể hóa nghĩa vụ đã có và hạn chế nguy cơ hồ sơ chỉ phục vụ thủ tục.

5.3. Tích hợp bảo vệ dữ liệu vào thiết kế và thiết lập mặc định

Kinh nghiệm Điều 25 GDPR gợi mở việc hướng dẫn doanh nghiệp đưa yêu cầu bảo vệ vào sản phẩm, dịch vụ và quy trình từ giai đoạn xây dựng. Các lựa chọn như chỉ thu thập thông tin cần thiết, giới hạn người truy cập và xác định thời hạn lưu giữ cần được xem xét cùng mục đích xử lý. Đối với nền tảng số, trí tuệ nhân tạo và dữ liệu lớn, hướng dẫn nên có tình huống minh họa để tổ chức tự kiểm tra thiết kế. Việc áp dụng cần dựa trên nghĩa vụ bảo vệ và quy định chuyên ngành hiện hành; nếu tạo nghĩa vụ hoặc tiêu chuẩn bắt buộc mới, phải xác định thẩm quyền và lộ trình phù hợp.

5.4. Hướng dẫn quản trị tương xứng với rủi ro

Việt Nam đã có nghĩa vụ đánh giá tác động xử lý và chuyển dữ liệu xuyên biên giới, nên không cần trình bày DPIA như một công cụ hoàn toàn mới. Hướng dẫn có thể làm rõ cách nhận diện quy mô, mức độ nhạy cảm, khả năng liên kết và tác động đến quyền của cá nhân để lựa chọn biện pháp kiểm soát. Kết quả đánh giá cần được dùng khi triển khai và cập nhật hoạt động xử lý. Khác biệt giữa ngưỡng rủi ro cao của Điều 35 GDPR với phạm vi nghĩa vụ tại Điều 21 của Luật Việt Nam phải được tôn trọng. Phân tầng biện pháp không cho phép doanh nghiệp tự bỏ nghĩa vụ, và cần tính đến cơ chế chuyển tiếp, miễn trừ cùng ngoại lệ hiện hành.

5.5. Nâng khả năng tiếp cận giám sát và khắc phục

Trên cơ sở thẩm quyền hiện có, cần giúp cá nhân xác định nơi tiếp nhận yêu cầu, khiếu nại hoặc phản ánh và cách theo dõi kết quả. Các cơ quan liên quan cần phối hợp để người yêu cầu không phải tự tìm kiếm nhiều đầu mối cho cùng một vụ việc. Với tranh chấp bồi thường, hướng dẫn thực tiễn về chứng cứ xử lý, thiệt hại và quan hệ nhân quả có thể hỗ trợ thực hiện quyền mà không thay đổi điều kiện trách nhiệm ngoài thẩm quyền. Nâng năng lực kiểm tra và giải quyết yêu cầu cần đi cùng tuyên truyền quyền; không nên chỉ đo hiệu quả bảo vệ bằng số vụ xử phạt hoặc tổng tiền phạt.

Việc tiếp thu cần phù hợp với thẩm quyền, nguồn lực và cấu trúc pháp luật Việt Nam. Nội dung có thể được làm rõ trong hướng dẫn và thực thi cần ưu tiên triển khai trên cơ sở luật hiện hành; nội dung tạo quyền hoặc nghĩa vụ mới phải được đánh giá và ban hành ở cấp văn bản thích hợp. Cách tiếp cận này tránh vừa bỏ sót những công cụ đã có, vừa đề xuất thêm thủ tục không tương xứng với rủi ro.

6. Kết luận

Kinh nghiệm của EU cho thấy việc bảo đảm quyền bảo vệ dữ liệu cá nhân cần kết nối quyền của cá nhân với trách nhiệm giải trình, bảo vệ ngay từ thiết kế, kiểm soát rủi ro và cơ chế khắc phục. Pháp luật Việt Nam đã ghi nhận nhiều công cụ tương ứng; trọng tâm tiếp theo là cụ thể hóa điều kiện thực hiện, tổ chức vận hành và chứng minh tuân thủ. Năm hướng gợi mở của bài viết gồm làm rõ thủ tục thực hiện quyền, tăng trách nhiệm giải trình, tích hợp bảo vệ vào thiết kế, hướng dẫn đánh giá rủi ro và nâng khả năng tiếp cận cơ chế khắc phục. Những đề xuất này bổ trợ cho nghĩa vụ hiện hành, không mặc nhiên sao chép mô hình EU hoặc giảm yêu cầu bảo vệ. Do chủ yếu phân tích văn bản và tài liệu, bài viết chưa đo lường hiệu quả thực thi của hai hệ thống. Việc kiểm nghiệm các đề xuất cần có thêm nghiên cứu về hoạt động của cơ quan có thẩm quyền, doanh nghiệp và trải nghiệm thực hiện quyền của cá nhân.

(Bài viết được thực hiện trong khuôn khổ Đề tài “Bảo đảm quyền về bảo đảm dữ liệu cá nhân ở Việt Nam: Kinh nghiệm quốc tế và khuyến nghị hoàn thiện pháp luật” do PGS.TS Phan Thị Lan Hương hướng dẫn theo Kế hoạch số 1040/ KH-ĐHLHN ngày 15/7/2026 của Hiệu Trưởng Trường Đại học Luật Hà Nội về việc Ban hành Thể lệ Cuộc thi Sinh viên Nghiên cứu khoa học 2027)