Vấn đề: trường học đang nắm trong tay “kho dữ liệu” nhạy cảm nhất: thông tin cá nhân của trẻ em — họ tên, ngày sinh, địa chỉ, sức khỏe, hình ảnh, camera lớp học. Trả lời nhanh: từ 01/01/2026, khung pháp lý bảo vệ dữ liệu cá nhân là Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP — Nghị định 13/2023/NĐ-CP đã bị bãi bỏ (Điều 42.2 NĐ 356/2025). Trường học với tư cách bên kiểm soát, xử lý dữ liệu phải tuân thủ đầy đủ nghĩa vụ, với mức phạt vi phạm lên đến 5% doanh thu.
Ghi chú chuyển tiếp pháp lý (quan trọng)
Nhiều tài liệu, hợp đồng cũ vẫn viện dẫn Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Lưu ý: nghị định này đã bị bãi bỏ bởi Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực 01/01/2026) — văn bản hướng dẫn Luật 91/2025/QH15 về bảo vệ dữ liệu cá nhân. Mọi chính sách bảo mật, điều khoản hợp đồng, hồ sơ tuân thủ của trường học viện dẫn NĐ 13/2023 đều cần được rà soát, cập nhật sang khung mới.
Dữ liệu nào của học sinh được bảo vệ?
- Dữ liệu cá nhân cơ bản: họ tên, ngày sinh, giới tính, địa chỉ, số điện thoại phụ huynh, email.
- Dữ liệu nhạy cảm: thông tin sức khỏe, bệnh lý của học sinh; dữ liệu sinh trắc học (vân tay điểm danh, nhận diện khuôn mặt) — thuộc nhóm được bảo vệ ở mức cao hơn.
- Hình ảnh, video: ảnh chân dung, camera lớp học, video hoạt động — việc thu thập, đăng tải phải có căn cứ pháp lý (đồng ý của phụ huynh/người giám hộ với trẻ em).
Nghĩa vụ của trường học
- Thông báo và xin đồng ý: thông báo rõ mục đích, phạm vi, cách thức xử lý dữ liệu; với học sinh là trẻ em, phải có sự đồng ý của cha mẹ/người giám hộ.
- Bảo mật: áp dụng biện pháp kỹ thuật, quản lý bảo vệ dữ liệu; phân quyền truy cập (không phải giáo viên nào cũng được xem toàn bộ hồ sơ học sinh).
- Lưu trữ và xóa: chỉ lưu trữ trong thời gian cần thiết cho mục đích đã thông báo; xóa/hủy khi không còn nhu cầu hoặc khi có yêu cầu hợp pháp.
- Ứng phó sự cố: khi rò rỉ, mất dữ liệu (ví dụ danh sách học sinh bị phát tán), phải đánh giá, khắc phục và thông báo theo quy định.
Mức phạt: đến 5% doanh thu
Vi phạm quy định bảo vệ dữ liệu cá nhân có thể bị xử phạt đến 5% doanh thu theo khung mới — mức phạt đủ sức khiến bất kỳ trường tư thục nào cũng phải coi trọng. Ngoài phạt tiền, trường còn đối mặt với yêu cầu bồi thường thiệt hại từ phụ huynh, học sinh và tổn thất uy tín khó đo đếm.
Câu hỏi thường gặp
1. NĐ 13/2023 về bảo vệ dữ liệu cá nhân còn hiệu lực?
Không. NĐ 13/2023/NĐ-CP đã bị bãi bỏ bởi Điều 42.2 NĐ 356/2025/NĐ-CP (hiệu lực 01/01/2026). Khung hiện hành là Luật 91/2025/QH15 và NĐ 356/2025.
2. Trường học thu thập dữ liệu học sinh cần đồng ý của ai?
Với học sinh là trẻ em, cần sự đồng ý của cha mẹ/người giám hộ. Trường phải thông báo rõ mục đích, phạm vi xử lý dữ liệu.
3. Camera trong lớp học có vi phạm?
Không tự động vi phạm, nhưng trường phải thông báo việc lắp đặt, mục đích sử dụng hình ảnh, bảo mật dữ liệu ghi hình và chỉ dùng đúng mục đích đã thông báo.
4. Rò rỉ danh sách học sinh bị phạt thế nào?
Có thể bị xử phạt vi phạm hành chính đến 5% doanh thu theo khung mới, cộng trách nhiệm bồi thường thiệt hại cho người bị ảnh hưởng.
5. Trường phải cập nhật gì từ NĐ 13/2023 sang NĐ 356/2025?
Rà soát toàn bộ chính sách bảo mật, điều khoản hợp đồng, mẫu đồng ý thu thập dữ liệu, quy trình ứng phó sự cố — cập nhật viện dẫn và nghĩa vụ theo khung mới.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng.
