Doanh nghiệp có trách nhiệm gì khi sử dụng dữ liệu vị trí của khách hàng?

Doanh nghiệp có trách nhiệm gì khi sử dụng dữ liệu vị trí của khách hàng là một trong những vấn đề pháp lý trọng tâm, mang tính sống còn đối với các tổ chức trong kỷ nguyên số theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo tuân thủ tuyệt đối, phòng tránh rủi ro bị đình chỉ hệ thống và phạt tiền lên đến hàng tỷ đồng.

Dữ liệu vị trí cá nhân là gì theo quy định pháp luật hiện hành?

Tóm tắt chuyên môn: Theo khoản 1 Điều 31 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu vị trí cá nhân là dữ liệu được xác định thông qua công nghệ định vị để biết vị trí và giúp xác định con người cụ thể. Đây được phân loại là dữ liệu cá nhân nhạy cảm, đòi hỏi các biện pháp bảo mật vật lý và logic ở mức độ cao nhất trong suốt vòng đời xử lý.

Theo quy định của pháp luật, dữ liệu vị trí là một loại dữ liệu cá nhân nhạy cảm nên cần được áp dụng các biện pháp bảo vệ phù hợp trong suốt quá trình xử lý. Trên thực tế, dữ liệu này thường được thu thập thông qua hệ thống định vị toàn cầu (GPS), trạm phát sóng viễn thông, địa chỉ IP, kết nối Wi-Fi, thẻ nhận dạng tần số vô tuyến (RFID) hoặc các công nghệ định vị khác để cung cấp dịch vụ hoặc hỗ trợ hoạt động kinh doanh.

Việc xử lý dữ liệu vị trí có thể mang lại nhiều lợi ích to lớn trong hoạt động cung cấp dịch vụ (như gọi xe công nghệ, giao hàng, bản đồ số) và phân tích hành vi người dùng, nhưng cũng tiềm ẩn nguy cơ ảnh hưởng nghiêm trọng đến quyền riêng tư, an toàn cá nhân và an ninh quốc gia nếu không được thực hiện đúng quy định của pháp luật. Vì vậy, doanh nghiệp cần xác định rõ căn cứ pháp lý để xử lý, giới hạn mục đích sử dụng và áp dụng các biện pháp bảo vệ kỹ thuật mã hóa phù hợp ngay từ khi thiết kế hệ thống (Privacy by Design).

Doanh nghiệp cần đáp ứng những gì để nhận sự đồng ý cho việc theo dõi hợp pháp?

Tóm tắt chuyên môn: Tổ chức, cá nhân chỉ được áp dụng công nghệ theo dõi khi có sự đồng ý rõ ràng, tự nguyện của chủ thể dữ liệu cá nhân (điểm a khoản 3 Điều 31 Luật Bảo vệ dữ liệu cá nhân 2025). Sự đồng ý này không được thiết lập ở chế độ mặc định và phải đi kèm với cơ chế rút lại sự đồng ý dễ dàng.

Việc xin sự đồng ý phải được thực hiện trên cơ sở minh bạch và bảo đảm quyền của chủ thể dữ liệu cá nhân. Doanh nghiệp cần cung cấp đầy đủ thông tin về mục đích, phạm vi, thời gian xử lý dữ liệu vị trí, bên thứ ba tiếp nhận dữ liệu (nếu có) và xây dựng cơ chế kỹ thuật để chủ thể dữ liệu có thể dễ dàng đưa ra hoặc rút lại sự đồng ý theo quy định của pháp luật.

Để bảo đảm quyền của chủ thể dữ liệu cá nhân một cách toàn diện, doanh nghiệp nên triển khai các biện pháp sau:

• Cung cấp đầy đủ, minh bạch thông tin về mục đích và phạm vi xử lý dữ liệu vị trí trước khi tiến hành thu thập.
• Thiết kế cơ chế từ chối hoặc rút lại sự đồng ý đơn giản, thuận tiện và dễ thực hiện (ví dụ: nút gạt on/off trong phần cài đặt ứng dụng).
• Tuyệt đối không cài đặt sẵn hoặc mặc định kích hoạt chức năng theo dõi vị trí (opt-in mặc định) khi chưa có căn cứ xử lý theo quy định.
• Lưu trữ thông tin, nhật ký hệ thống (log files) hoặc bằng chứng chứng minh việc chủ thể dữ liệu đã đồng ý để phục vụ công tác giải trình khi có yêu cầu thanh tra, kiểm tra từ Cục A05.

Hình thức thông báo thu thập dữ liệu vị trí trên ứng dụng di động phải thiết kế như thế nào?

Theo điểm b khoản 3 Điều 31 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức, cá nhân cung cấp nền tảng ứng dụng di động phải thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân; có biện pháp ngăn chặn việc thu thập dữ liệu vị trí cá nhân của tổ chức, cá nhân không liên quan; cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân (ví dụ: “Chỉ khi dùng ứng dụng”, “Luôn luôn”, “Hỏi mỗi lần”).

Thông báo cần được trình bày rõ ràng, dễ hiểu và dễ tiếp cận (thường thông qua các pop-up hoặc banner) để người sử dụng có thể nhận biết trước khi quyết định cho phép ứng dụng truy cập dữ liệu vị trí. Doanh nghiệp nên thiết kế cơ chế thông báo riêng biệt đối với hoạt động xử lý dữ liệu vị trí, tránh lồng ghép nội dung này một cách mập mờ vào các điều khoản sử dụng chung khiến người dùng khó nhận biết.

Nội dung trong chính sách bảo vệ dữ liệu cá nhân và thông báo thu thập dữ liệu vị trí cần được trình bày bằng ngôn ngữ rõ ràng, dễ hiểu. Đồng thời, trách nhiệm của doanh nghiệp là bảo đảm người dùng được cung cấp đầy đủ thông tin và có thể đưa ra quyết định một cách tự nguyện, minh bạch trước khi dữ liệu vị trí của họ được thu thập và xử lý.

Việc tích hợp công nghệ theo dõi định vị vào hoạt động kinh doanh cần tuân thủ những giới hạn pháp lý nào?

Doanh nghiệp chỉ được áp dụng việc theo dõi định vị qua thẻ nhận dạng tần số vô tuyến (RFID) và công nghệ khác trong trường hợp có sự đồng ý của chủ thể dữ liệu hoặc khi pháp luật có quy định khác. Trên thực tiễn, ranh giới giữa việc sử dụng dữ liệu vị trí để cung cấp dịch vụ tối ưu hóa cho khách hàng và việc xử lý vượt quá mục đích đã thông báo có thể rất mong manh. Vì vậy, doanh nghiệp cần thường xuyên rà soát hoạt động xử lý dữ liệu vị trí để bảo đảm tuân thủ quy định của pháp luật.

Bảng trên minh họa ranh giới giữa hoạt động xử lý dữ liệu vị trí phù hợp với quy định và hoạt động có nguy cơ vi phạm. Doanh nghiệp cần định kỳ rà soát hệ thống, ứng dụng và quy trình xử lý dữ liệu vị trí để bảo đảm việc thu thập, sử dụng và lưu trữ dữ liệu luôn phù hợp với quy định của pháp luật, đặc biệt là nguyên tắc giới hạn mục đích và tối thiểu hóa dữ liệu.

Quy trình lập báo cáo đánh giá tác động (DPIA) đối với dữ liệu vị trí thực hiện theo các bước nào?

Tóm tắt chuyên môn: Doanh nghiệp phải lập, lưu trữ và nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu số 10) cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý theo Điều 21 Nghị định 356/2025/NĐ-CP.

Việc lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là nghĩa vụ bắt buộc đối với doanh nghiệp. Hồ sơ này giúp doanh nghiệp đánh giá các rủi ro phát sinh trong quá trình xử lý dữ liệu vị trí (dữ liệu nhạy cảm) và tuân thủ thủ tục hành chính bắt buộc. Dựa trên kinh nghiệm thực chiến của Luật DPO, quy trình lập hồ sơ chuẩn mực gồm các bước cơ bản sau:

• Bước 1: Rà soát toàn diện hoạt động xử lý: Xác định toàn bộ ứng dụng, website, hệ thống CRM, ERP hoặc thiết bị IoT đang thu thập, lưu trữ, sử dụng hoặc chia sẻ dữ liệu vị trí; phân loại rõ mục đích xử lý và tệp chủ thể dữ liệu liên quan.
• Bước 2: Xác định vị thế pháp lý của các bên: Xác định rõ vai trò của doanh nghiệp là Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân, hay Bên xử lý dữ liệu cá nhân để áp dụng đúng biểu mẫu và giới hạn trách nhiệm.
• Bước 3: Thiết kế sơ đồ luồng dữ liệu (Data Mapping): Vẽ sơ đồ mô tả toàn bộ quá trình luân chuyển dữ liệu vị trí từ thời điểm thu thập (điểm chạm), truyền tải, lưu trữ, sử dụng, chia sẻ cho bên thứ ba (nếu có) đến khi xóa hoặc hủy dữ liệu.
• Bước 4: Đánh giá rủi ro và thiết lập biện pháp bảo vệ: Xác định và mô tả chi tiết các biện pháp quản lý, kỹ thuật (mã hóa, tường lửa, xác thực đa yếu tố) và tổ chức (bổ nhiệm DPO) đã triển khai để bảo vệ dữ liệu vị trí.
• Bước 5: Hoàn thiện biểu mẫu và nộp hồ sơ: Điền đầy đủ thông tin vào Mẫu số 10 ban hành kèm theo Nghị định 356/2025/NĐ-CP, đính kèm các tài liệu liên quan (chính sách bảo mật, hợp đồng xử lý dữ liệu) và gửi 01 bản chính đến Cục A05 trong thời hạn 60 ngày.

Thực tiễn cho thấy việc lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đòi hỏi sự phối hợp chặt chẽ giữa bộ phận pháp chế và bộ phận công nghệ thông tin. Doanh nghiệp cũng cần thường xuyên rà soát, cập nhật hồ sơ định kỳ 06 tháng/lần hoặc ngay khi có thay đổi trọng yếu liên quan đến hoạt động xử lý dữ liệu vị trí.

Mức xử phạt vi phạm hành chính khi xử lý dữ liệu vị trí sai quy định là bao nhiêu?

Tóm tắt chuyên môn: Theo Điều 70 Nghị định 330/2026/NĐ-CP, hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân sẽ phải đối mặt với các chế tài vô cùng nghiêm khắc, phạt tiền từ 50.000.000 VNĐ đến 150.000.000 VNĐ kèm theo các hình phạt bổ sung mang tính triệt tiêu hoạt động kinh doanh.

Doanh nghiệp có thể bị xử phạt nặng nếu thực hiện thu thập dữ liệu vị trí khi không có căn cứ xử lý theo quy định. Cụ thể, theo khoản 1 Điều 70 Nghị định 330/2026/NĐ-CP, phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với các hành vi:

• Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người sử dụng.
• Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí của bên thứ ba không liên quan hoặc không cung cấp tùy chọn theo dõi vị trí.
• Không thực hiện thông báo cho cơ quan chuyên trách (Cục A05) và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện ra sự cố vi phạm dữ liệu vị trí.

Nghiêm trọng hơn, theo khoản 2 Điều 70 Nghị định 330/2026/NĐ-CP, phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với hành vi lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến (RFID) và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu cá nhân.

Ngoài hình thức phạt tiền, doanh nghiệp còn bị áp dụng các biện pháp phạt bổ sung và khắc phục hậu quả vô cùng khắt khe: Tịch thu tang vật, phương tiện vi phạm (thiết bị phát sóng, máy chủ); Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí từ 03 tháng đến 06 tháng; và buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân đã bị thu thập trái phép.

Khó khăn thực tiễn khi doanh nghiệp quản lý dữ liệu vị trí cá nhân là gì?

Doanh nghiệp thường gặp khó khăn lớn trong việc triển khai các biện pháp kỹ thuật mã hóa để bảo vệ dữ liệu vị trí và bảo đảm sự phối hợp nhịp nhàng giữa bộ phận công nghệ thông tin (IT) với bộ phận pháp chế (Legal) trong quá trình tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

Trên thực tế, nhiều doanh nghiệp chưa rà soát đầy đủ các chức năng hoặc dịch vụ của bên thứ ba (Third-party SDKs) có thu thập dữ liệu vị trí tích hợp trong ứng dụng của mình, dẫn đến việc dữ liệu được truyền hoặc lưu trữ ngoài phạm vi kiểm soát mà không được nhận diện kịp thời. Điều này làm gia tăng rủi ro vi phạm quy định về bảo vệ dữ liệu cá nhân, đặc biệt khi hoạt động xử lý có yếu tố chuyển dữ liệu cá nhân ra nước ngoài (yêu cầu phải lập thêm Mẫu số 09).

💡 Luật DPO chia sẻ: Sai lầm phổ biến của doanh nghiệp là chỉ tập trung xây dựng thông báo hoặc cơ chế xin sự đồng ý của khách hàng trên bề mặt giao diện (UI) mà chưa chú trọng bảo vệ dữ liệu trong toàn bộ quá trình xử lý ở hệ thống lõi (Backend). Việc quản lý dữ liệu vị trí cần được triển khai đồng bộ từ khâu thu thập, truyền tải, lưu trữ đến kiểm soát quyền truy cập và bảo mật hệ thống để giảm thiểu rủi ro bị thanh tra và đáp ứng yêu cầu khắt khe của pháp luật.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

ĐẠI DIỆN TRANH CHẤP & TỐ TỤNG THƯƠNG MẠI

Bảo vệ tối đa quyền và lợi ích hợp pháp của khách hàng tại Trọng tài thương mại và Tòa án các cấp trong các tranh chấp hợp đồng, sự cố rò rỉ dữ liệu và khủng hoảng truyền thông.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

FAQ – 5 Câu hỏi thường gặp về quản trị thông tin định vị

Thời hạn lưu trữ dữ liệu vị trí tối đa là bao lâu?

Pháp luật không quy định một thời hạn lưu trữ cố định bằng con số cụ thể đối với dữ liệu vị trí. Nhưng nguyên tắc chung về bảo vệ dữ liệu cá nhân là dữ liệu chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý đã thông báo, trừ trường hợp pháp luật có quy định khác. Dữ liệu phải được xóa hoặc hủy vĩnh viễn khi hoàn thành mục đích hoặc khi khách hàng rút lại sự đồng ý.

Cập nhật phiên bản ứng dụng có cần xin lại quyền truy cập định vị không?

Có. Nếu việc cập nhật ứng dụng làm thay đổi mục đích xử lý, phạm vi xử lý, cách thức xử lý hoặc chia sẻ cho bên thứ ba mới khác với nội dung sự đồng ý ban đầu đã được chủ thể dữ liệu xác nhận, doanh nghiệp bắt buộc phải thực hiện lại việc thông báo và xin sự đồng ý mới theo quy định của pháp luật.

Cơ quan hành chính nhà nước có phải nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi thu thập dữ liệu vị trí không?

Không. Theo khoản 6 Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 6 Điều 19 Nghị định 356/2025/NĐ-CP, cơ quan nhà nước có thẩm quyền được miễn thực hiện quy định về nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi xử lý dữ liệu để phục vụ hoạt động quản lý của cơ quan nhà nước theo quy định của pháp luật.

Doanh nghiệp chứng minh sự đồng ý của khách hàng đối với việc thu thập dữ liệu vị trí bằng cách nào?

Doanh nghiệp cần lưu giữ thông tin, nhật ký hệ thống (log files) hoặc bằng chứng chứng minh việc chủ thể dữ liệu đã đồng ý. Sự đồng ý này phải được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử (click đồng ý, mã OTP) hoặc định dạng kiểm chứng được khi Cục A05 yêu cầu thanh tra.

Nếu sử dụng đối tác giao hàng là bên thứ ba thì ai chịu trách nhiệm bảo mật dữ liệu vị trí?

Việc thuê đối tác giao hàng (Bên xử lý dữ liệu) không làm thay đổi trách nhiệm chính của doanh nghiệp (Bên kiểm soát dữ liệu) đối với dữ liệu cá nhân của khách hàng. Doanh nghiệp cần xác định rõ vai trò của các bên, quy định chặt chẽ trách nhiệm bảo mật, bồi thường thiệt hại trong hợp đồng xử lý dữ liệu và phải giám sát đối tác để bảo đảm dữ liệu vị trí được xử lý đúng pháp luật.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Quản trị rủi ro đối với dữ liệu vị trí cá nhân là một thách thức pháp lý và công nghệ phức tạp. Bất kỳ sai sót nào trong quy trình thu thập và lưu trữ đều có thể dẫn đến hậu quả pháp lý nặng nề theo Nghị định 330/2026/NĐ-CP. Với bề dày kinh nghiệm và chuyên môn sâu sắc, Công ty Luật TNHH DPO cam kết đồng hành cùng doanh nghiệp rà soát toàn diện hệ thống, xây dựng hồ sơ DPIA chuẩn mực và thiết lập cơ chế tuân thủ an toàn nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để bảo vệ tối đa quyền lợi và sự phát triển bền vững của doanh nghiệp.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.