4. Mạng xã hội không được yêu cầu cung cấp hình ảnh, video chứa nội dung về giấy tờ tùy thân làm yếu tố xác thực:

Theo Điều 29 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến có trách nhiệm:

(a) Thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cá nhân cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến; không thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng.

(b) Không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản.

(c) Cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (cookies).

(d) Cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng.

(e) Không nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

(f) Công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu cá nhân; cung cấp cho người dùng cơ chế truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư cho dữ liệu cá nhân, báo cáo các vi phạm về bảo mật và quyền riêng tư; bảo vệ dữ liệu cá nhân của công dân Việt Nam khi chuyển dữ liệu xuyên biên giới; xây dựng quy trình xử lý vi phạm về bảo vệ dữ liệu cá nhân nhanh chóng và hiệu quả.

Như vậy, từ ngày 01/1/2026, các nền tảng mạng xã hội sẽ không được phép sử dụng thông tin về căn cước công dân, chứng minh nhân dân hộ chiếu hoặc các loại giấy tờ tùy thân khác dưới dạng ảnh, video làm yếu tố xác thực tài khoản của người dùng.

5. Cơ chế “hậu kiểm” thay vì “tiền kiểm” khi chuyển dữ liệu xuyên biên giới:

Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, thay vì cơ chế xin phép trước, doanh nghiệp chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động và gửi 01 bản chính đến cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới, trừ các trường hợp sau:

(a) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;

(b) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;

(c) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;

(d) Các trường hợp khác theo quy định của Chính phủ.

Cơ quan chuyên trách về bảo vệ dữ liệu cá nhân sẽ quyết định việc kiểm tra chuyển dữ liệu cá nhân xuyên biên giới định kỳ không quá 01 lần trong năm hoặc kiểm tra đột xuất khi phát hiện hành vi vi phạm quy định của pháp luật hoặc khi xảy ra sự cố lộ, mất dữ liệu cá nhân.

6. Ưu đãi và miễn trừ nghĩa vụ đối với doanh nghiệp nhỏ và siêu nhỏ:

Theo Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 quy định các ưu đãi và miễn trừ đối với doanh nghiệp nhỏ và siêu nhỏ, như:

(a) Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện các nghĩa vụ sau đây trong thời hạn 05 năm kể từ ngày luật có hiệu lực: (i) lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; (ii) cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới; và (iii) chỉ định nhân sự bảo vệ dữ liệu cá nhân.

(b) Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn thực hiện các nghĩa vụ đối với các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp ở trên.

7. Khuyến nghị của Pros Legal:

Trước những quy định quan trọng mới của Luật Bảo vệ dữ liệu cá nhân 2025, để tránh những rủi ro pháp lý không đáng có, doanh nghiệp nên chủ động thực hiện các công việc sau:

(a) Chủ động rà soát và đánh giá hiện trạng các hoạt động xử lý dữ liệu cá nhân tại doanh nghiệp;

(b) Chủ động xây dựng kế hoạch tuân thủ về bảo vệ dữ liệu cá nhân của người lao động, khách hàng, bên thứ ba có liên quan trong quá trình hoạt động kinh doanh;

(c) Xây dựng phương án quản trị toàn diện về hoạt động xử lý dữ liệu cá nhân;

(d) Thực hiện các thủ tục hành chính báo cáo và đánh giá tác động xử lý dữ liệu cá nhân; kịp thời cập nhật các điều chỉnh (đặc biệt đối với trường hợp chuyển dữ liệu xuyên biên giới) đến cơ quan chuyên trách về bảo vệ dữ liệu cá nhân.

Luật Bảo vệ dữ liệu cá nhân 2025 có phạm vi điều chỉnh tương đối rộng, chế tài nghiêm khắc và nhiều nghĩa vụ pháp lý phải tuân thủ nên đặt ra những yêu cầu mới mang tính bắt buộc đối với doanh nghiệp. Do đó, việc nhận thức đầy đủ và triển khai kịp thời các biện pháp tuân thủ không chỉ giúp doanh nghiệp loại bỏ các rủi ro pháp lý, tổn thất tài chính tiềm tàng mà còn góp phần xây dựng niềm tin với khách hàng, đối tác và cơ quan quản lý trong quá trình hoạt động kinh doanh của mình.