Doanh nghiệp loay hoay khi đối tác làm lộ dữ liệu cá nhân của khách hàng

Một đoạn clip camera hành trình ghi lại vụ việc nhạc sĩ Minh Khang tranh cãi với tài xế Grab giữa tháng 3/2026 bị tài xế đăng tải và lan truyền trên mạng xã hội. Hình ảnh khuôn mặt, giọng nói và dữ liệu vị trí của hành khách đã bị phát tán công khai. Grab phản ứng bằng cách khóa vĩnh viễn tài khoản đối tác, nhưng sự cố này đặt ra câu hỏi then chốt cho hàng nghìn doanh nghiệp: khi đối tác, bên thứ ba làm lộ dữ liệu cá nhân khách hàng, doanh nghiệp chủ quản phải làm gì để đảm bảo tuân thủ pháp luật cũng như bảo vệ uy tín, niềm tin của khách hàng đối với thương hiệu?

Dữ liệu bị lộ trong trường hợp này bao gồm khuôn mặt, giọng nói, và dữ liệu vị trí được pháp luật Việt Nam xem là dữ liệu cá nhân nhạy cảm.

Pháp luật có như công chúng đang nghĩ

Sự việc bắt đầu từ ngày 11/3/2026 khi đoạn clip ghi lại cuộc cãi vã giữa Nhạc sĩ Minh Khang và tài xế được lan truyền mạnh trên mạng. Đến 12/3, nhạc sĩ chính thức phản ánh với Grab: hình ảnh, âm thanh và vị trí của anh cùng bạn đi cùng đã bị tiết lộ. Grab xác định ngay hành vi của tài xế là “thu thập, sử dụng và tiết lộ thông tin cá nhân ngoài phạm vi dịch vụ”. Sau đó, Grab yêu cầu tài xế ngừng vi phạm nhưng không nhận được sự hợp tác. Đến 16/3, công ty áp dụng Bộ Quy tắc Ứng xử và chính sách bảo mật để khóa vĩnh viễn tài khoản đối tác, khuyến nghị khách hàng hành xử văn minh[1].

Dữ liệu bị lộ trong trường hợp này bao gồm khuôn mặt, giọng nói, và dữ liệu vị trí được pháp luật Việt Nam xem là dữ liệu cá nhân nhạy cảm. Hành vi này không chỉ vi phạm nguyên tắc thu thập có giới hạn, đúng mục đích mà còn thiếu hoàn toàn sự đồng ý của chủ thể dữ liệu. Tuy nhiên, số đông người dân bức xúc cho rằng doanh nghiệp, mà cụ thể ở đây là Grab đã ủng hộ cho những hành xử thiếu văn minh của hành khách và “cắt” đường làm ăn của tài xế. Dường như vụ việc đã chạm phải cách nghĩ, cách làm thông thường mà đa số mọi người dân vẫn nghĩ, vẫn làm lâu nay.

Nhưng pháp luật Việt Nam từ khi Nghị định 13/2023/NĐ-CP ra đời cho đến Luật Bảo vệ dữ liệu cá nhân (Luật BVDLCN) 2025 đã có hiệu lực từ ngày 01/01/2026 buộc việc xử lý dữ liệu cá nhân (bao gồm cả thu thập và công bố) vào một khuôn khổ pháp lý nghiêm ngặt, trong đó yêu cầu cao nhất là phải được sự đồng ý của chủ thể dữ liệu. Trong vụ việc này, ông Minh Khang là hành khách sử dụng dịch vụ của Grab, tài xế là đối tác của Grab và thay mặt đơn vị này cung cấp dịch vụ cho khách hàng. Trong quá trình cung cấp dịch vụ, Grab chính là Bên kiểm soát dữ liệu của khách hàng thông qua việc thu thập thông tin khách hàng để cung cấp dịch vụ vận tải; chia sẻ một phần thông tin (tên, số điện thoại ẩn danh, vị trí) cho tài xế để thực hiện chuyến xe. Tài xế, trong quá trình thực hiện dịch vụ theo thỏa thuận với Grab, đóng vai trò là Bên xử lý dữ. Việc tài xế tự ý trích xuất camera hành trình và đăng tải lên mạng xã hội là hành vi xử lý dữ liệu vượt quá phạm vi chỉ thị của Bên kiểm soát - Grab. Trong trường hợp này, tài xế trở thành một Bên kiểm soát độc lập đối với hoạt động xử lý sai trái đó và phải chịu trách nhiệm pháp lý trực tiếp cho hành vi vi phạm của mình.

Khi chưa được sự cho phép của khách hàng, cũng như của Grab tài xế đã có hành vi ghi hình và phát tán chúng trên mạng xã hội. Tài xế cho rằng hành khách có ứng xử không đúng mực và thiếu tôn trọng là cơ sở để có quyền đăng tải thông tin hành khách một cách công khai. Dù cho Luật BVDLCN cho phép trong một số trường hợp đặc biệt có quyền thu thập, công khai dữ liệu cá nhân mà không cần sự đồng ý cùa người này để bảo vệ tính mạng, sức khỏe, danh dự của chủ thể hoặc của người khác trong trường hợp cấp bách; để bảo vệ lợi ích của Nhà nước; để giải quyết tình trạng khẩn cấp, an ninh quốc gia;…hoặc theo yêu cầu của pháp luật[2]. Tuy nhiên, khi đối chiếu với các quy định này, chúng tôi cho rằng rất khó để có thể khẳng định rằng tài xế rơi vào tình trạng cấp bách, khẩn cấp hay được phép của pháp luật để có thể công khai hình ảnh cá nhân của khách hàng.

Trách nhiệm của Grab

Trong vụ việc, Grab VN không phải là người trực tiếp thu thập, đăng tải dữ liệu cá nhân của hành khách lên mạng xã hội. Mà tài xế - đối tác của Grab đã thực hiện hành vi này trong quá trình thay mặt và đại diện cho Grab cung cấp dịch vụ vận tải cho khách hàng của Grab. Do đó, dù không có hành vi vi phạm trong việc xử lý dữ liệu của khách hàng nhưng là Grab bên chịu trách nhiệm cho những hành vi từ đối tác của mình với tư cách là đơn vị cung cấp dịch vụ vận tải cho khách hàng. Vì vậy, trong trường hợp này, nếu khách hàng có yêu cầu và đưa ra các bằng chứng cụ thể, Grab phải trách nhiệm dân sự bồi thường thiệt hại danh dự, uy tín theo quy định của Bộ luật Dân sự như bồi thường tổn thất tinh thần, thiệt hại về kinh tế và các chi phí khắc phục khác. Đây là trường hợp công ty phải bồi thường thiệt hại do người của công ty gây ra trong quá trình cung cấp dịch vụ. Sau khi Grab bồi thường thiệt hại, nếu xem xét hành vi có lỗi của tài xế có quyền yêu cầu hoàn trả khoản tiền này[3].

Để xử lý vụ việc, Grab đã chọn cách khóa vĩnh viễn tài khoản của tài xế và khẳng định sự tuân thủ nghiêm túc pháp luật về bảo vệ dữ liệu cá nhân của khách hàng. Đồng thời Grab nhấn mạnh không dung túng vi phạm quyền riêng tư của bất kỳ đối tác (tài xế) nào. Tuy nhiên, cách xử lý vụ việc này là đúng nhưng chưa đủ. Làn sóng chỉ trích của người dùng đối với Grab cho thấy Grab có thể làm tốt hơn thay vì chỉ “lạnh lùng” thông báo khóa vĩnh viễn tài khoản của tài xế có hành vi vi phạm theo quy chế của mình.

Vì một khi mô hình kinh doanh ngày càng phụ thuộc đối tác, bên thứ ba, rủi ro lộ dữ liệu cá nhân không còn là giả định mà là nguy cơ chực chờ bất kỳ lúc nào.

Grab có thể làm tốt hơn

Trên thế giới cũng từng có trường hợp tương tự. Jason Gargac, 32 tuổi, tài xế bán thời gian cho Uber và Lyft tại St. Louis, Missouri (Mỹ), đã lắp camera trong xe và livestream khoảng 700 chuyến đi từ tháng 3/2018 lên Twitch dưới nickname JustSmurf mà không thông báo hoặc xin đồng ý từ hành khách. Uber và Lyft ngay lập tức suspend vĩnh viễn tài khoản tài xế vì vi phạm Hướng dẫn cộng đồng. Dù may mắn tài xế không bị phạt tiền hoặc phải chịu các trách nhiệm khác. Nhưng vụ việc gây phẫn nộ dư luận Mỹ về quyền riêng tư, góp phần lớn thúc đẩy Uber/Lyft siết chặt chính sách ghi hình/livestream hành khách[4].

Hai vụ việc tương tự nhau, nhưng cách phản ứng của hai quốc gia là khác nhau. Ngoài khác biệt về văn hóa, hệ thống pháp luật, phản ứng của đơn vị có trách nhiệm trong trường hợp này cũng góp phần đẩy vụ việc theo các chiều hướng khác nhau.

Trong trường hợp tại Việt Nam, doanh nghiệp hoàn toàn có thể đưa ra phương án xử lý tốt hơn, cả về mặt pháp lý và sự thấu cảm của một thương hiệu dành cho khách hàng, đối tác/người lao động.

Thứ nhất, Grab nên công khai quy trình xử vụ việc. Trước tiên, nên tạm thời đình chỉ hoạt động của tài xế và tiến hành các bước xác minh vụ việc.

Thứ hai, tổ chức buổi làm việc trực tiếp có sự tham gia của những người có liên quan. Trường hợp, những người liên quan không tham gia có thể tiến hành điều tra vụ việc độc lập để thu thập và đưa ra hướng xử lý vụ việc phù hợp với các quy định của pháp luật một cách minh thị và thuyết phục các bên.

Thứ ba, tham vấn đội ngũ cố vấn và đưa ra hướng xử lý vụ việc dựa trên quy định pháp luật và cả xét đến các yếu tố khác để đưa ra những cách giải quyết không chỉ hợp pháp mà còn “thấu tình”. Tránh gây nên cảm giác doanh nghiệp thiên vị, khuyến khích hành vi sai trái của khách hàng thay vì là người “phân xử” và giảm thiểu rủi ro pháp lý cho tất cả các bên.

Cách xử lý đúng đắn, phù hợp không chỉ giúp tránh tranh cãi thành một sự kiện gây “khủng hoảng thương hiệu” mà còn biến sự kiện thành cơ hội khẳng định triết lý kinh doanh minh bạch và nhân văn của doanh nghiệp là tôn trọng dữ liệu cá nhân và quyền riêng tư của khách hàng trước những nguy cơ của nền kinh tế số.

Tuân thủ luật không còn là lựa chọn

Vụ việc trên đây là lời cảnh báo cho các doanh nghiệp, đặc biệt các công ty công nghệ và dịch vụ tại Việt Nam về những rủi ro của việc lộ, lọt dữ liệu khách hàng bởi bên thứ ba. Vì một khi mô hình kinh doanh ngày càng phụ thuộc đối tác, bên thứ ba, rủi ro lộ dữ liệu cá nhân không còn là giả định mà là nguy cơ chực chờ bất kỳ lúc nào. Khung pháp lý về bảo vệ dữ liệu cá nhân của Việt Nam đã hoàn thiện. Khung xử phạt vi phạm hành chính cũng đang được lấy ý kiến để sớm ban hành và thực thi trong thực tế sẽ là một bài toán lớn mà doanh nghiệp cần cẩn trọng cân nhắc trong các hoạt động kinh doanh trong thời gian tới.

Những doanh nghiệp hành động ngay hôm nay – cập nhật hợp đồng, quy định với bên thứ ba, phân định rõ trách nhiệm với cá bên cũng như xây dựng kế hoạch ứng phó với sự cố lộ, lọt dữ liệu sẽ không chỉ tránh được mức phạt hàng tỷ đồng mà còn nâng tầm thương hiệu, tăng lòng tin khách hàng và chiếm lợi thế cạnh tranh bền vững. Vì trong bối cảnh chuyển đổi số quốc gia, bảo vệ dữ liệu cá nhân không chỉ là nghĩa vụ pháp lý mà còn là yếu tố quyết định sự “sống còn” của doanh nghiệp.