Trách nhiệm doanh nghiệp khi sử dụng dữ liệu vị trí của khách hàng

Trách nhiệm doanh nghiệp khi sử dụng dữ liệu vị trí của khách hàng là phải tuân thủ nghiêm ngặt các quy định pháp luật về việc có được sự đồng ý rõ ràng và bảo mật tuyệt đối thông tin nhạy cảm này. Để đảm bảo hoạt động an toàn và bền vững, DPO.VN mang đến giải pháp giúp doanh nghiệp bạn đáp ứng đầy đủ các nghĩa vụ pháp lý và xây dựng niềm tin nơi người dùng. Việc tuân thủ quy định bảo vệ dữ liệu, quản lý quyền riêng tư và bảo mật thông tin định vị là nền tảng cho sự phát triển.

Điều kiện tiên quyết để doanh nghiệp thu thập và xử lý dữ liệu vị trí của khách hàng là gì?

Điều kiện tiên quyết và bắt buộc là phải có sự đồng ý tự nguyện, rõ ràng của chủ thể dữ liệu sau khi đã được thông báo đầy đủ về mục đích thu thập, phạm vi sử dụng và các bên liên quan. Sự im lặng hay không phản hồi không được coi là đồng ý.

Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị là một loại dữ liệu cá nhân nhạy cảm theo quy định tại điểm i, khoản 4, Điều 2 của Nghị định 13/2023/NĐ-CP. Do đó, việc thu thập và xử lý loại dữ liệu này đòi hỏi sự tuân thủ chặt chẽ hơn so với dữ liệu cá nhân cơ bản.

💡 Luật sư Nguyễn Tiến Hảo chia sẻ: Nền tảng của mọi hoạt động xử lý dữ liệu vị trí là sự đồng ý của chủ thể dữ liệu. Sự đồng ý này phải đáp ứng các tiêu chí sau theo Điều 9 Luật Bảo vệ dữ liệu cá nhân năm 2025:

• Tự nguyện: Khách hàng không bị ép buộc hay ràng buộc bởi bất kỳ điều kiện nào để phải đồng ý.
• Biết rõ thông tin: Trước khi khách hàng đồng ý, doanh nghiệp phải thông báo một cách minh bạch và dễ hiểu về:
  • Mục đích xử lý dữ liệu vị trí (ví dụ: để xác định địa chỉ giao hàng, hiển thị cửa hàng gần nhất, gửi quảng cáo theo địa điểm).
  • Loại dữ liệu vị trí được thu thập (ví dụ: tọa độ GPS thời gian thực, lịch sử di chuyển).
  • Tổ chức, cá nhân được phép xử lý dữ liệu.
  • Quyền và nghĩa vụ của khách hàng.
• Thể hiện rõ ràng: Sự đồng ý phải được thể hiện qua một hành động cụ thể như đánh dấu vào ô đồng ý, chọn các thiết lập kỹ thuật (ví dụ: nhấn nút “Cho phép truy cập vị trí” trên ứng dụng di động), hoặc một hành động khác thể hiện rõ ràng điều này. Việc cài đặt mặc định theo dõi vị trí và yêu cầu người dùng phải tự tìm cách tắt đi không được xem là một sự đồng ý hợp lệ.

Ví dụ thực tế, một ứng dụng xe công nghệ khi người dùng cài đặt lần đầu phải hiển thị một pop-up giải thích: “Chúng tôi cần truy cập vị trí của bạn để xác định điểm đón và cung cấp dịch vụ chính xác. Dữ liệu này chỉ được sử dụng khi bạn đang mở ứng dụng. Bạn có đồng ý không?”. Đi kèm là các tùy chọn rõ ràng như “Chỉ cho phép khi dùng ứng dụng”, “Cho phép một lần”, hoặc “Không cho phép”.

Doanh nghiệp phải cung cấp cơ chế kiểm soát nào cho người dùng về dữ liệu vị trí?

Doanh nghiệp bắt buộc phải cung cấp cho người dùng các tùy chọn rõ ràng và dễ dàng truy cập để họ có thể quản lý, bật/tắt hoặc rút lại sự đồng ý cho việc theo dõi vị trí bất cứ lúc nào.

Trao quyền kiểm soát lại cho khách hàng là một nghĩa vụ pháp lý quan trọng, thể hiện sự tôn trọng quyền riêng tư và tuân thủ nguyên tắc minh bạch. Khoản 3, Điều 31 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 nhấn mạnh rằng các tổ chức, cá nhân cung cấp nền tảng ứng dụng di động phải cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân.

DPO.VN khuyến nghị các doanh nghiệp nên tích hợp các tính năng sau vào sản phẩm, dịch vụ của mình:

1. Bảng điều khiển Quyền riêng tư (Privacy Dashboard): Tạo một mục cài đặt riêng tư trong ứng dụng hoặc trên website, nơi người dùng có thể dễ dàng xem và quản lý tất cả các quyền đã cấp, bao gồm cả quyền truy cập vị trí.
2. Tùy chọn linh hoạt: Cung cấp các mức độ cho phép truy cập vị trí khác nhau, tương tự như các hệ điều hành di động hiện đại:
   • Luôn luôn (Allow all the time): Chỉ nên yêu cầu tùy chọn này khi thực sự cần thiết cho các tính năng cốt lõi (ví dụ: ứng dụng cảnh báo an toàn, tìm thiết bị thất lạc) và phải giải thích cực kỳ rõ ràng cho người dùng.
   • Chỉ khi sử dụng ứng dụng (Allow only while using the app): Đây là tùy chọn phổ biến và hợp lý nhất cho hầu hết các dịch vụ như bản đồ, gọi xe, giao hàng.
   • Hỏi mỗi lần (Ask every time): Cho phép người dùng quyết định cấp quyền theo từng phiên sử dụng.
   • Từ chối (Don’t allow): Người dùng có toàn quyền từ chối và ứng dụng phải hoạt động bình thường (có thể bị hạn chế tính năng liên quan đến vị trí) mà không bị lỗi.
3. Quyền rút lại sự đồng ý: Theo Điều 10 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu có quyền rút lại sự đồng ý. Doanh nghiệp phải đảm bảo việc tắt theo dõi vị trí trong cài đặt cũng đơn giản như khi bật, và việc rút lại sự đồng ý này có hiệu lực ngay lập tức cho các hoạt động xử lý trong tương lai.

Giới hạn mục đích sử dụng dữ liệu vị trí được quy định ra sao?

Dữ liệu vị trí chỉ được sử dụng cho mục đích cụ thể, rõ ràng đã được chủ thể dữ liệu đồng ý. Mọi hoạt động sử dụng cho mục đích khác, như quảng cáo nhắm mục tiêu hay phân tích hành vi, đều cần có sự đồng ý riêng biệt và minh bạch.

Nguyên tắc giới hạn mục đích (khoản 2, Điều 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15) là một trong những nền tảng quan trọng nhất của pháp luật bảo vệ dữ liệu. Đối với dữ liệu vị trí, việc tuân thủ nguyên tắc này càng trở nên thiết yếu.

• Mục đích chính: Nếu doanh nghiệp thu thập dữ liệu vị trí để cung cấp một dịch vụ cốt lõi (ví dụ: hiển thị vị trí tài xế trên bản đồ), thì chỉ được dùng cho mục đích đó.
• Mục đích thứ cấp (cần sự đồng ý riêng):
  • Quảng cáo theo địa điểm (Geofencing/Geotargeting): Gửi thông báo khuyến mãi khi khách hàng đi vào một khu vực địa lý nhất định. Đây là một mục đích xử lý khác và đòi hỏi sự đồng ý riêng. Doanh nghiệp cần hỏi: “Bạn có muốn nhận các ưu đãi đặc biệt từ các đối tác của chúng tôi khi ở gần cửa hàng của họ không?”.
  • Phân tích và nghiên cứu: Sử dụng dữ liệu vị trí (thường là ở dạng ẩn danh hoặc tổng hợp) để phân tích mô hình di chuyển, mật độ giao thông, hoặc hành vi người tiêu dùng. Hoạt động này cũng cần được thông báo và có sự đồng ý.
  • Cá nhân hóa trải nghiệm: Gợi ý các địa điểm, sự kiện hoặc nội dung dựa trên lịch sử vị trí của người dùng.

Theo một nghiên cứu của Pew Research Center, 72% người dùng cảm thấy lo ngại về việc các công ty thu thập dữ liệu vị trí của họ. Do đó, việc minh bạch và chỉ sử dụng dữ liệu đúng mục đích không chỉ là tuân thủ pháp luật mà còn là chìa khóa để xây dựng lòng tin, giữ chân khách hàng.

Pháp luật nghiêm cấm những hành vi theo dõi vị trí nào?

Pháp luật nghiêm cấm mọi hình thức theo dõi định vị không có sự đồng ý của chủ thể dữ liệu, bao gồm theo dõi ngầm khi không sử dụng ứng dụng hoặc sử dụng các công nghệ khác như thẻ RFID cho mục đích theo dõi mà không được sự cho phép.

Điều 31 của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã đưa ra những quy định rất cụ thể về các lằn ranh đỏ mà doanh nghiệp tuyệt đối không được vượt qua. Việc vi phạm những quy định này có thể dẫn đến những chế tài pháp lý nghiêm khắc.

Các trường hợp ngoại lệ duy nhất cho việc theo dõi mà không cần sự đồng ý là khi có yêu cầu của cơ quan nhà nước có thẩm quyền theo quy định của pháp luật, ví dụ như để phục vụ điều tra tội phạm hoặc trong các tình huống khẩn cấp về an ninh quốc gia.

Doanh nghiệp có nghĩa vụ bảo mật và lưu trữ dữ liệu vị trí như thế nào?

Doanh nghiệp phải áp dụng các biện pháp bảo mật mạnh mẽ như mã hóa, kiểm soát truy cập; chỉ lưu trữ dữ liệu trong thời gian cần thiết cho mục đích xử lý và phải xóa hoặc khử nhận dạng dữ liệu khi hết thời hạn.

Vì đây là dữ liệu cá nhân nhạy cảm theo điểm h khoản 1 Điều 4 Nghị định số 356/2025/NĐ-CP, dữ liệu vị trí đòi hỏi các biện pháp bảo vệ đặc biệt phù hợp với đặc điểm và mức độ nhảy cảm của loại dữ liệu cá nhân này. Vậy nên, trong quá trình xử lý loại dữ liệu này, cơ quan, tổ chức phải thiết lập quy định phân quyền, giới hạn truy cập, quy trình xử lý và các biện pháp bảo mất. Việc lộ, lọt dữ liệu vị trí có thể gây ra những hậu quả nghiêm trọng cho sự an toàn và riêng tư của khách hàng.

Nghĩa vụ bảo mật (Gợi ý):

• Biện pháp kỹ thuật: Doanh nghiệp cần áp dụng các biện pháp kỹ thuật tiên tiến như mã hóa dữ liệu cả khi đang được lưu trữ (at rest) và khi đang được truyền đi (in transit), sử dụng tường lửa, hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS).
• Biện pháp quản lý: Thiết lập chính sách kiểm soát truy cập nghiêm ngặt, đảm bảo chỉ những nhân sự có thẩm quyền và có lý do chính đáng mới được phép truy cập vào dữ liệu vị trí. Tổ chức các buổi đào tạo định kỳ để nâng cao nhận thức về an toàn thông tin cho nhân viên.
• Lập Hồ sơ Đánh giá Tác động: Việc xử lý dữ liệu vị trí trên quy mô lớn thường yêu cầu doanh nghiệp phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 21 Luật Bảo vệ dữ liệu cá nhân năm 2025 để xác định và giảm thiểu các rủi ro.

Nghĩa vụ lưu trữ:

Nguyên tắc giới hạn lưu trữ (khoản 3, Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025) yêu cầu dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý. Doanh nghiệp cần xây dựng chính sách lưu trữ rõ ràng, quy định thời gian lưu trữ tối đa cho dữ liệu vị trí. Ví dụ, lịch sử di chuyển của một chuyến xe công nghệ có thể chỉ cần lưu trữ trong 30-90 ngày để giải quyết khiếu nại, sau đó phải được xóa hoặc khử nhận dạng. Việc lưu trữ vô thời hạn là một hành vi vi phạm pháp luật.

Mặt khác, trong trường hợp phát sinh sự cố, vi phạm đối với dữ liệu ví trị cá nhân, Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm ghi nhận và lưu trữ hồ sơ vi phạm phục vụ công tác điều tra, thanh tra trong thời gian tối thiểu 05 năm kể từ ngày khắc phục xong sự cố theo quy định tại điểm c khoản 1 Điều 29 Nghị định số 356/2025/NĐ-CP.

Các Câu Hỏi Thường Gặp Về Trách Nhiệm Sử Dụng Dữ Liệu Vị Trí

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
• Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ về quy định chi tiết một số Điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân
• Pew Research Center – Location Data and Privacy.
• Tổng quan về GDPR – Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu.
• Cổng Dịch vụ công Bộ Công an.