Một phụ nữ sử dụng điện thoại tại TP.HCM. Quyền kiểm soát hình ảnh và mục đích sử dụng dữ liệu ngày càng quan trọng khi nội dung số có thể được sao chép, biến đổi nhanh chóng. Ảnh: Vietnam Tri Duong Photographer/Pexels.

Một bức ảnh có thể được đăng lên mạng để lưu kỷ niệm, giới thiệu công việc hoặc chia sẻ với bạn bè. Nhưng từ đó đến việc lấy gương mặt để tạo video AI, ghép vào quảng cáo nhạy cảm hay dùng cho mục đích hoàn toàn khác là một bước xử lý dữ liệu mới. Khung pháp lý có hiệu lực trong năm 2026 đang làm rõ hơn câu hỏi: khi nào người có dữ liệu thật sự đồng ý?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026. Nghị định 356/2025/NĐ-CP xếp “hình ảnh của cá nhân” vào nhóm dữ liệu cá nhân cơ bản. Với AI, việc sử dụng dữ liệu cá nhân để nghiên cứu, phát triển hệ thống phải tuân thủ quy định bảo vệ dữ liệu; dữ liệu do AI suy luận nếu giúp xác định một người cụ thể cũng phải được bảo vệ.

Ngày 19/8/2026, Nghị định 330/2026/NĐ-CP có hiệu lực, bổ sung chế tài hành chính cho vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Điểm đáng chú ý nằm ở cách nghị định xử lý “sự đồng ý”: không chỉ hỏi có hay không, mà đòi hỏi sự đồng ý phải rõ ràng, theo từng mục đích và có thể chứng minh.

Đồng ý phải rõ và có thể kiểm chứng

Nghị định 330 quy định mức phạt từ 30 đến 50 triệu đồng đối với các hành vi như xử lý dữ liệu sau khi thu thập mà chưa có sự đồng ý, trừ trường hợp pháp luật quy định khác; cài đặt mặc định là đồng ý; tạo chỉ dẫn gây nhầm lẫn; xin đồng ý không rõ ràng; không cung cấp đủ thông tin; hoặc không cho phép lựa chọn riêng theo từng mục đích xử lý.

Bên xử lý còn phải lưu nhật ký và có khả năng chứng minh sự đồng ý khi được yêu cầu. Một lần bấm “đồng ý” vì thế không phải tấm vé cho mọi mục đích phát sinh về sau.

Với hành vi cố ý tiếp tục xử lý sau khi chủ thể đã yêu cầu ngừng, hạn chế xử lý, hoặc tự coi sự im lặng, không phản hồi là đồng ý, mức phạt là 50–70 triệu đồng. Các mức phạt tại Mục 6 Chương II về bảo vệ dữ liệu cá nhân áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng một nửa. Nghị định cũng quy định buộc hủy, xóa tới mức không thể khôi phục dữ liệu trong một số trường hợp vi phạm về sự đồng ý.

Ba điểm cần nhớ về “đồng ý”

1. Im lặng hoặc không phản hồi không mặc nhiên là đồng ý.

2. Đồng ý phải gắn với từng mục đích xử lý, không thể được thiết kế bằng lựa chọn mặc định gây nhầm lẫn.

3. Việc cố ý tiếp tục xử lý sau yêu cầu ngừng hoặc hạn chế có thể bị xử phạt.

Quy định này không có nghĩa mọi hình ảnh ở nơi công cộng đều chỉ được xử lý khi có sự đồng ý. Điều 32 Luật Bảo vệ dữ liệu cá nhân cho phép một số trường hợp ghi âm, ghi hình tại nơi công cộng, hoạt động công cộng mà không cần đồng ý. Tuy vậy, dữ liệu vẫn phải được sử dụng đúng mục đích, không trái pháp luật hoặc xâm phạm quyền, lợi ích hợp pháp của người có dữ liệu.

Việc một hình ảnh đã xuất hiện trên mạng không đồng nghĩa người trong ảnh đã đồng ý cho mọi mục đích xử lý tiếp theo. Ảnh minh họa: Kristin Hardwick/Wikimedia Commons, CC0.

 Vì sao câu chuyện dữ liệu cần một góc nhìn giới

Pháp luật bảo vệ dữ liệu cá nhân áp dụng cho mọi người, không phân biệt giới. Nhưng rủi ro trên môi trường số không phân bổ đồng đều. Liên Hợp Quốc tại Việt Nam dẫn các nghiên cứu toàn cầu ước tính 16%–58% phụ nữ và trẻ em gái từng trải qua bạo lực có sự hỗ trợ của công nghệ, gồm lạm dụng hình ảnh, theo dõi trên mạng, mạo danh, deepfake và quấy rối trực tuyến. Đây là số liệu toàn cầu, không phải tỷ lệ riêng của Việt Nam.

Tháng 4/2026, UNFPA dẫn nghiên cứu cho biết lượng video xâm hại do AI tạo ra tăng 550% trong giai đoạn 2019–2023; khoảng 98% nhóm nội dung này là deepfake được tạo ra không có sự đồng thuận và 99% nhắm tới phụ nữ. Đây là số liệu về nhóm video xâm hại do AI trong nghiên cứu được UNFPA dẫn lại, không phải tỷ lệ của mọi video deepfake trên Internet.

Sự chênh lệch đó khiến quy định về đồng ý, mục đích xử lý và quyền yêu cầu ngừng xử lý có ý nghĩa giới rõ hơn. Việc một phụ nữ đã công khai ảnh để giới thiệu nghề nghiệp, bán hàng hay giao tiếp xã hội tự nó không chứng minh rằng người đó đồng ý cho mọi mục đích xử lý tiếp theo. PNM gần đây đã phản ánh trường hợp một cô gái cho biết gương mặt của mình bị dùng để tạo quảng cáo sản phẩm nhạy cảm bằng AI mà không có thỏa thuận hay sự đồng ý.

Góc nhìn giới cũng không nên dừng ở việc xác định phụ nữ là nhóm chịu rủi ro. Phụ nữ cần có tiếng nói trong thiết kế cơ chế bảo vệ, từ tiếp nhận khiếu nại, gỡ nội dung đến nhận diện lạm dụng hình ảnh. Một quy trình “một cỡ cho tất cả” có thể bỏ sót những dạng tổn hại xảy ra không cân xứng. Liên Hợp Quốc tại Việt Nam cũng đề xuất tăng trách nhiệm của nền tảng, cải thiện hệ thống báo cáo và gỡ nội dung, đồng thời nâng năng lực số cho phụ nữ và trẻ em gái.

Có mức phạt chưa có nghĩa cơ chế bảo vệ đã hoàn tất

Nghị định 330 tạo thêm công cụ xử lý hành chính, nhưng không phải cơ chế duy nhất giải quyết mọi trường hợp deepfake hoặc lạm dụng hình ảnh. Một vụ việc cụ thể có thể đồng thời liên quan đến dữ liệu cá nhân, quyền đối với hình ảnh, danh dự, đời sống riêng tư hoặc quy định khác. Trách nhiệm pháp lý còn tùy cách dữ liệu được thu thập, mục đích sử dụng, chủ thể thực hiện và hậu quả phát sinh.

Nội dung số có thể bị tải xuống, sửa và đăng lại trên nhiều tài khoản trước khi khiếu nại đầu tiên được xử lý. Vì vậy, mức phạt cần đi cùng quy trình thực thi: biết đang giữ dữ liệu gì, xin đồng ý cho mục đích nào và xử lý ra sao khi người dùng rút lại sự đồng ý.

Nghị định 356 còn yêu cầu bên kiểm soát dữ liệu trong xử lý tự động phải thông báo, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu, đồng thời đưa ra lựa chọn để họ có quyền không tham gia.

Bảo vệ dữ liệu cá nhân cần đi từ nguyên tắc đồng ý đến quy trình có thể kiểm chứng và thực thi. Ảnh minh họa: Santeri Viinamäki/Wikimedia Commons, CC BY-SA 4.0.

Ở cấp nền tảng và doanh nghiệp, cơ chế đồng ý cần tách theo mục đích, có nhật ký kiểm chứng, có đường rút lại dễ tìm và phản hồi nhanh khi dữ liệu bị sử dụng sai. Với cơ quan thực thi, hướng dẫn áp dụng cho nội dung AI tạo sinh, mạo danh và lạm dụng hình ảnh sẽ quyết định khoảng cách giữa quy định và khả năng bảo vệ thực tế.

Khi phát hiện hình ảnh hoặc dữ liệu bị sử dụng ngoài ý muốn, người dùng nên lưu đường dẫn, thời điểm, ảnh chụp màn hình và nội dung trao đổi để phục vụ báo cáo, khiếu nại hoặc yêu cầu xử lý. Đồng thời, không tiếp tục chia sẻ nội dung xâm hại, kể cả để cảnh báo, giúp hạn chế vòng lan truyền.

Điểm thay đổi đáng kể là sự đồng ý không còn có thể được hiểu theo hướng “không phản đối tức là chấp nhận”. Hiệu quả bảo vệ sẽ phụ thuộc vào việc cơ quan quản lý, nền tảng, doanh nghiệp và bên xử lý dữ liệu biến nguyên tắc đó thành quy trình có thể kiểm tra, rút lại và cưỡng chế. Trong môi trường mà một gương mặt có thể bị sao chép và biến đổi rất nhanh, phần việc này không thể để người có dữ liệu tự gánh.