Ứng dụng thu thập vị trí người dùng: luật dữ liệu cá nhân đòi gì?

Điều 31 nói gì

Nguyên văn Luật 91/2025/QH15, Điều 31 khoản 3 điểm b:

"Tổ chức, cá nhân cung cấp nền tảng ứng dụng di động phải thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân; có biện pháp ngăn chặn việc thu thập dữ liệu vị trí cá nhân của tổ chức, cá nhân không liên quan; cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân"

Ba việc: thông báo; chặn bên không liên quan; cho người dùng tuỳ chọn. "Tổ chức, cá nhân cung cấp nền tảng ứng dụng di động" là chủ ứng dụng hay kho ứng dụng, hay cả hai, thì chưa có hướng dẫn chi tiết. Cách an toàn là chủ ứng dụng làm theo cả ba việc.

Ngoài Điều 31, các quy định chung cho dữ liệu nhạy cảm vẫn áp dụng:

• khi xin đồng ý, báo người dùng đây là dữ liệu cá nhân nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 6 khoản 4); không báo bị phạt 30–50 triệu đồng với tổ chức, cá nhân một nửa (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h);
• lộ dữ liệu vị trí thì ngoài cơ quan chuyên trách còn phải báo cho chính người bị ảnh hưởng trong 72 giờ (Nghị định 356/2025/NĐ-CP, Điều 29);
• miễn trừ ở Điều 38 (hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập hồ sơ; doanh nghiệp nhỏ, khởi nghiệp được chọn trong 5 năm) không áp cho bên trực tiếp xử lý dữ liệu nhạy cảm, bên kinh doanh dịch vụ xử lý dữ liệu, và bên xử lý dữ liệu của từ 100 nghìn người trở lên (Nghị định 356/2025/NĐ-CP, Điều 41).

Mỗi cách dùng vị trí cần gì

Lấy một chuỗi quán cà phê nhỏ tưởng tượng làm ứng dụng đặt món, và một công ty giao hàng nội bộ có ứng dụng cho tài xế.

Theo cách hiểu của chúng tôi, dòng cuối ứng với phần "ngăn chặn việc thu thập dữ liệu vị trí cá nhân của tổ chức, cá nhân không liên quan" của Điều 31; bộ công cụ của bên thứ ba có được coi là "không liên quan" không thì chưa có hướng dẫn chi tiết. Nhiều ứng dụng nhúng bộ công cụ của bên thứ ba để đo lường, quảng cáo. Nếu bộ công cụ đó đọc vị trí rồi gửi về máy chủ của họ, chủ ứng dụng cần biết và chặn. Gửi về máy chủ ở nước ngoài thì còn câu hỏi chuyển dữ liệu cá nhân xuyên biên giới (Luật 91/2025/QH15, Điều 20), là cách hiểu chưa có hướng dẫn chi tiết.

Hộp xin quyền của điện thoại chưa đủ

Hệ điều hành điện thoại có hộp hỏi "Cho phép ứng dụng dùng vị trí?", thường kèm các lựa chọn như chỉ khi đang dùng, hay vị trí gần đúng. Hộp đó giúp phần "tuỳ chọn", nhưng thường không nói ứng dụng dùng vị trí để làm gì và chưa báo đây là dữ liệu nhạy cảm.

Nên đặt một màn hình giải thích của chính ứng dụng ngay trước hộp xin quyền. Mẫu tham khảo (chờ luật sư duyệt):

Ứng dụng cần vị trí của bạn để tìm quán gần nhất. Vị trí là dữ liệu cá nhân nhạy cảm. Chúng tôi chỉ dùng vị trí khi bạn đang mở ứng dụng, không lưu lịch sử di chuyển, và không chia cho bên quảng cáo. Bạn có thể tắt bất kỳ lúc nào trong Cài đặt.

Rồi giữ đúng lời đó. Luật 91/2025/QH15, Điều 9 khoản 2: đồng ý chỉ có hiệu lực khi người dùng tự nguyện và biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu, và quyền, nghĩa vụ của mình.

Theo dõi vị trí nhân viên

Ứng dụng giao hàng nội bộ theo dõi tài xế là một biện pháp giám sát người lao động. Luật 91/2025/QH15, Điều 25 khoản 3 điểm a: "Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó". Ghi vào hợp đồng hoặc nội quy: theo dõi lúc nào (trong ca, không ngoài giờ), ai xem, lưu lịch sử bao lâu. Ứng dụng chấm công có định vị cũng vậy; xem chấm công bằng vân tay, khuôn mặt.

Bạn cần làm gì

• Liệt kê mọi chỗ ứng dụng đọc vị trí, kể cả trong bộ công cụ của bên thứ ba.
• Bỏ những chỗ không cần; dùng vị trí gần đúng khi đủ.
• Chỉ xin quyền lúc người dùng bấm vào tính năng cần vị trí.
• Thêm màn hình giải thích: dùng để làm gì, là dữ liệu nhạy cảm, tắt ở đâu.
• Tách mục đích quảng cáo theo vị trí thành lựa chọn riêng, mặc định tắt.
• Báo rõ cho nhân viên nếu theo dõi vị trí họ; chỉ trong giờ làm.
• Ghi việc dùng vị trí và các bên nhận vào chính sách bảo vệ dữ liệu.
• Hỏi luật sư về miễn trừ Điều 38 và hồ sơ đánh giá tác động.

Chính sách cho ứng dụng có thể bắt đầu từ công cụ tạo chính sách. Nếu ứng dụng có cả website, dán địa chỉ vào máy quét miễn phí ở trang chủ để xem trang đang gửi dữ liệu cho ai.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 9, 20, 25, 31 khoản 3 điểm b, 38.
• Nghị định 356/2025/NĐ-CP: Điều 4 (dữ liệu nhạy cảm, gồm vị trí), Điều 6 khoản 4, Điều 29.
• Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.