Tình huống: một sàn TMĐT triển khai hệ thống “điểm tín nhiệm”: chấm điểm người mua dựa trên lịch sử mua hàng, tỷ lệ hoàn trả, thậm chí thời gian online và thiết bị sử dụng. Người điểm thấp bị hạn chế trả sau, hạn chế voucher. Người dùng không hề được hỏi ý kiến. Hệ thống này có vi phạm pháp luật bảo vệ dữ liệu cá nhân?
Chấm điểm tín dụng là “xử lý dữ liệu cá nhân”
Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026), mọi hoạt động thu thập, phân tích, đánh giá dữ liệu cá nhân — bao gồm chấm điểm, xếp hạng tín nhiệm — đều là “xử lý dữ liệu cá nhân” và phải có cơ sở pháp lý. Cơ sở phổ biến nhất là sự đồng ý của chủ thể dữ liệu. Lịch sử mua hàng, hành vi sử dụng dịch vụ, dữ liệu thiết bị đều là dữ liệu cá nhân; một số (dữ liệu tài chính, dữ liệu theo dõi hành vi) thuộc nhóm dữ liệu nhạy cảm, đòi hỏi biện pháp bảo vệ và cơ sở pháp lý chặt chẽ hơn. Chấm điểm mà không thông báo, không có sự đồng ý — như tình huống trên — là vi phạm nguyên tắc xử lý dữ liệu.
Điều kiện để chấm điểm hợp pháp
Để hệ thống chấm điểm hợp pháp, sàn phải: thông báo rõ ràng cho người dùng về việc chấm điểm (mục đích, loại dữ liệu sử dụng, logic chấm điểm ở mức độ người dùng hiểu được); có được sự đồng ý của người dùng trước khi chấm điểm, với cơ chế từ chối mà không bị phân biệt đối xử bất hợp lý; chỉ sử dụng dữ liệu cần thiết, tương xứng với mục đích (thu thập dữ liệu thiết bị, thời gian online để chấm điểm tín dụng mua hàng là khó biện minh về tính tương xứng); bảo đảm quyền của chủ thể dữ liệu — được biết logic chấm điểm, yêu cầu xem xét lại quyết định tự động ảnh hưởng đến quyền lợi của mình (bị từ chối trả sau, bị hạn chế ưu đãi); và áp dụng biện pháp bảo mật tương xứng. Quyết định hoàn toàn tự động gây bất lợi cho cá nhân mà không có sự can thiệp của con người là điểm rủi ro cao nhất của các hệ thống chấm điểm.
Phân biệt với thông tin tín dụng chính thức (CIC)
Cần phân biệt “điểm tín nhiệm” nội bộ của sàn với thông tin tín dụng chính thức. Hoạt động thông tin tín dụng (thu thập, xử lý thông tin tín dụng của khách hàng vay) tại Việt Nam do Trung tâm Thông tin tín dụng Quốc gia (CIC) thuộc Ngân hàng Nhà nước và các công ty thông tin tín dụng được cấp phép thực hiện, chịu sự điều chỉnh của pháp luật về hoạt động thông tin tín dụng. Sàn TMĐT, ví điện tử không phải là tổ chức thông tin tín dụng được cấp phép — điểm số nội bộ của sàn không có giá trị pháp lý như lịch sử tín dụng CIC, không được chia sẻ ra ngoài như “thông tin tín dụng”, và việc mạo danh, cung cấp “điểm tín dụng” như dịch vụ thông tin tín dụng có thể vi phạm quy định về hoạt động thông tin tín dụng.
Câu hỏi thường gặp
Người dùng có quyền yêu cầu xóa điểm tín nhiệm của mình?
Có, trong khuôn khổ quyền của chủ thể dữ liệu: yêu cầu xóa dữ liệu không còn cần thiết cho mục đích đã thông báo, rút lại sự đồng ý. Sàn phải có cơ chế tiếp nhận, xử lý yêu cầu này theo Nghị định 356/2025/NĐ-CP.
Sàn dùng điểm tín nhiệm để phân biệt giá có vi phạm?
Có thể vi phạm nhiều quy định: phân biệt đối xử về giá không minh bạch vi phạm quyền lợi người tiêu dùng; và nếu dựa trên dữ liệu cá nhân nhạy cảm mà không có cơ sở pháp lý thì vi phạm pháp luật bảo vệ dữ liệu cá nhân. Định giá cá nhân hóa (personalized pricing) là vấn đề đang được cơ quan quản lý nhiều nước siết chặt.
AI chấm điểm có cần đánh giá tác động xử lý dữ liệu?
Có. Hệ thống chấm điểm tự động ảnh hưởng đến quyền lợi của số lượng lớn chủ thể dữ liệu thuộc trường hợp phải thực hiện đánh giá tác động xử lý dữ liệu cá nhân theo Nghị định 356/2025/NĐ-CP, với biểu mẫu và thủ tục chuẩn.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng.
