Thời gian gần đây, mạng xã hội tại Việt Nam ghi nhận sự lan truyền rộng rãi các thông tin đời tư của một sinh viên đã qua đời – từ thư viết cho gia đình, tình trạng sức khỏe cho đến hoàn cảnh cá nhân trước khi mất[1]. Những nội dung này, dù được chia sẻ với nhiều mục đích khác nhau, từ tưởng niệm đến bày tỏ cảm xúc, đã nhanh chóng thu hút sự quan tâm lớn của cộng đồng. Tuy nhiên, bên cạnh những phản ứng mang tính đồng cảm, vụ việc cũng làm dấy lên một câu hỏi pháp lý đáng chú ý: liệu dữ liệu cá nhân của một người đã chết có được bảo vệ?
Các quyền như quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa hoặc xóa dữ liệu đều gắn với khả năng thể hiện ý chí của chính cá nhân đó
Khung pháp luật bảo vệ dữ liệu cá nhân của Việt Nam hiện nay chủ yếu được thiết kế xoay quanh chủ thể dữ liệu là người còn sống. “Chủ thể dữ liệu” được hiểu là cá nhân mà dữ liệu cá nhân phản ánh. Các quyền như quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa hoặc xóa dữ liệu đều gắn với khả năng thể hiện ý chí của chính cá nhân đó. Điều này dẫn đến một hệ quả quan trọng: khi cá nhân qua đời, khả năng thực hiện các quyền dữ liệu về mặt pháp lý gần như không còn, trong khi dữ liệu của họ vẫn tiếp tục tồn tại và có thể bị khai thác.
Bảo vệ mạnh người sống, nhưng chưa rõ với người đã mất
Nghị định 356/2025/NĐ-CP chỉ liệt kê thông tin về “ngày, tháng, năm chết” như một dạng dữ liệu cá nhân, thì cũng chưa có quy định làm rõ cách thức xử lý tổng thể đối với dữ liệu của người đã qua đời. Hệ quả là pháp luật chưa trả lời được những câu hỏi cốt lõi: liệu dữ liệu cá nhân có tiếp tục được bảo vệ sau khi chủ thể qua đời hay không, nếu có phạm vi được bảo vệ như thế nào và ai là người có quyền thực hiện các yêu cầu liên quan đến dữ liệu đó.
Khoảng trống này càng rõ khi đối chiếu với Bộ luật Dân sự 2015. Theo quy định, năng lực pháp luật dân sự của cá nhân chấm dứt khi người đó chết. Tuy nhiên, pháp luật vẫn duy trì cơ chế bảo vệ một số quyền nhân thân sau khi chết, đặc biệt là quyền đối với danh dự, nhân phẩm và uy tín, cho phép thân nhân yêu cầu bảo vệ khi các giá trị này bị xâm phạm.
Dù vậy, cơ chế này chủ yếu mang tính “hậu kiểm” và chỉ áp dụng đối với các giá trị nhân thân truyền thống, chưa đủ để xử lý các dạng dữ liệu số hiện đại như tài khoản trực tuyến, thư điện tử, dữ liệu sinh trắc học hoặc nội dung số được lưu trữ trên nền tảng công nghệ.
Điều này cho thấy pháp luật Việt Nam không hoàn toàn “bỏ mặc” người đã chết, nhưng cách tiếp cận hiện tại vẫn mang tính truyền thống, tập trung vào danh dự và hình ảnh, thay vì dữ liệu số.
Quốc tế có nhiều cách tiếp cận, nhưng cùng một mục tiêu
Trên thế giới, vấn đề dữ liệu cá nhân của người đã chết cũng chưa có một cách tiếp cận thống nhất, nhưng xu hướng chung là không để lĩnh vực này rơi vào “khoảng trống pháp lý”.
Tại châu Âu, Quy định chung về bảo vệ dữ liệu (GDPR) không áp dụng cho dữ liệu của người đã chết. Tuy nhiên, GDPR đồng thời cho phép các quốc gia thành viên xây dựng quy định riêng về vấn đề này. Trên thực tế, nhiều quốc gia đã tận dụng “khoảng mở” này để thiết kế cơ chế bảo vệ dữ liệu hậu tử.
Pháp là một ví dụ tiêu biểu. Luật của nước này cho phép mỗi cá nhân, khi còn sống, có thể đưa ra chỉ dẫn về cách xử lý dữ liệu của mình sau khi chết, bao gồm việc lưu trữ, xóa hoặc chuyển giao. Nếu không có chỉ dẫn, thân nhân có thể thực hiện một số quyền nhất định liên quan đến dữ liệu của người đã mất. Trong khi đó, Tây Ban Nha thậm chí còn đi xa hơn khi cho phép người thân hoặc người thừa kế yêu cầu truy cập, chỉnh sửa hoặc xóa dữ liệu của người đã chết, trừ khi người đó khi còn sống đã có ý chí ngược lại. Cách tiếp cận này tạo ra một cơ chế rõ ràng về chủ thể quyền và phạm vi quyền, giúp giảm thiểu tranh chấp và tăng tính khả thi trong thực thi.
Điểm chung của các mô hình này là thừa nhận rằng dữ liệu cá nhân không “biến mất” cùng với cái chết của con người, và do đó cần có một cơ chế pháp lý để điều chỉnh việc xử lý dữ liệu trong giai đoạn hậu tử.
Nguồn: The Saigon Times
Hướng hoàn thiện “khoảng trống” pháp luật
Từ những phân tích trên đây, chúng ta đều có thể đồng ý rằng dù góc độ lý luận hay thực tiễn, việc bảo vệ dữ liệu cá nhân người đã chết là cần thiết. Vì bảo vệ dữ liệu cá nhân của người đã chết không chỉ nhằm bảo vệ “quyền” của người đã mất, vốn là một khái niệm khó xác định về mặt pháp lý mà còn nhằm bảo vệ lợi ích của những người còn sống, đặc biệt là gia đình và người thân.
Để giải quyết vấn đề này, Việt Nam không nhất thiết phải mở rộng toàn bộ quyền dữ liệu cá nhân của người sống sang người đã chết. Cách tiếp cận phù hợp hơn là thiết lập một cơ chế riêng đối với dữ liệu hậu tử, với phạm vi, chủ thể yêu cầu và trách nhiệm xử lý được xác định rõ ràng.
Thứ nhất, cần xác lập khái niệm “dữ liệu hậu tử” trong pháp luật về bảo vệ dữ liệu cá nhân.
Khái niệm này có thể được hiểu là dữ liệu cá nhân liên quan đến một người đã chết, bao gồm cả dữ liệu do người đó tạo ra khi còn sống và dữ liệu phát sinh hoặc được xử lý sau khi người đó qua đời. Việc xác lập khái niệm này sẽ tạo nền tảng để phân biệt dữ liệu hậu tử với dữ liệu cá nhân thông thường, đồng thời tránh việc áp dụng máy móc các quyền của người còn sống cho người đã chết.
Thứ hai, cần xác định rõ chủ thể có quyền yêu cầu xử lý dữ liệu hậu tử.
Pháp luật có thể thiết kế thứ tự ưu tiên theo hướng: người được cá nhân chỉ định trước khi chết; vợ/chồng; con; cha mẹ; người thừa kế hoặc người đại diện hợp pháp khác. Cơ chế này vừa tôn trọng ý chí của cá nhân khi còn sống, vừa tạo cơ sở pháp lý rõ ràng để thân nhân yêu cầu gỡ bỏ, hạn chế truy cập, chỉnh sửa hoặc ngăn chặn việc khai thác dữ liệu trái với phẩm giá của người đã mất.
Thứ ba, cần quy định phạm vi dữ liệu hậu tử được bảo vệ theo mức độ rủi ro.
Không phải mọi thông tin liên quan đến người đã chết đều cần được bảo vệ như nhau. Pháp luật nên ưu tiên bảo vệ các nhóm dữ liệu nhạy cảm, bao gồm thông tin sức khỏe, dữ liệu sinh trắc học, thư từ cá nhân, tin nhắn riêng tư, hình ảnh riêng tư, dữ liệu tài khoản trực tuyến, dữ liệu về trẻ em trong gia đình, hoặc thông tin liên quan đến hoàn cảnh tử vong. Cách tiếp cận theo mức độ rủi ro sẽ giúp cân bằng giữa bảo vệ quyền riêng tư và quyền tiếp cận thông tin chính đáng của xã hội.
Thứ tư, cần thiết lập cơ chế xử lý nhanh đối với yêu cầu gỡ bỏ hoặc hạn chế truy cập.
Đối với dữ liệu hậu tử có tính nhạy cảm hoặc có nguy cơ gây tổn hại nghiêm trọng cho thân nhân, các nền tảng mạng xã hội, trang thông tin điện tử và đơn vị cung cấp dịch vụ trực tuyến nên có nghĩa vụ tiếp nhận, phản hồi và xử lý trong thời hạn rõ ràng. Cơ chế này cần đi kèm trách nhiệm lưu vết xử lý, kênh khiếu nại và biện pháp khẩn cấp trong trường hợp thông tin đang lan truyền nhanh.
Thứ năm, cần làm rõ trách nhiệm của các chủ thể xử lý dữ liệu.
Người đăng tải, đơn vị truyền thông, nền tảng mạng xã hội, tổ chức lưu trữ dữ liệu và các bên khai thác nội dung cần có nghĩa vụ kiểm tra tính hợp pháp, tính cần thiết và mức độ ảnh hưởng của việc sử dụng dữ liệu liên quan đến người đã chết. Đối với các trường hợp sử dụng dữ liệu vì mục đích thương mại, quảng bá hoặc tạo nội dung thu hút tương tác, pháp luật cần đặt ra yêu cầu nghiêm ngặt hơn về sự đồng ý hoặc yêu cầu từ thân nhân có quyền.
Thứ sáu, cần bảo đảm ngoại lệ hợp lý cho lợi ích công cộng.
Việc bảo vệ dữ liệu hậu tử không nên trở thành công cụ cản trở báo chí, nghiên cứu, điều tra hoặc hoạt động lưu trữ có giá trị lịch sử. Tuy nhiên, các ngoại lệ này cần được đặt dưới nguyên tắc tối thiểu hóa dữ liệu, tôn trọng phẩm giá người đã mất, hạn chế công bố thông tin nhạy cảm không cần thiết và tránh gây tổn hại cho thân nhân.
Trong kỷ nguyên số, cái chết không còn là điểm kết thúc của thông tin. Dữ liệu cá nhân của một người, từ tài khoản mạng xã hội, thư điện tử đến hồ sơ sức khỏe vẫn tiếp tục tồn tại, lưu trữ và có thể bị lan truyền hoặc khai thác sau khi người đó qua đời. Pháp luật Việt Nam đã có những quy định nhất định về bảo vệ nhân thân sau khi chết. Tuy nhiên, khoảng trống giữa hai lĩnh vực này vẫn còn tồn tại, đặc biệt trong môi trường số. Việc lấp đầy khoảng trống này không chỉ là một bước tiến về mặt pháp lý, mà còn là một biểu hiện của sự tôn trọng đối với phẩm giá con người – một giá trị không nên chấm dứt cùng với sự sống sinh học.
Luật sư Nguyễn Văn Phúc
Công ty Luật TNHH HM&P
Xem thêm:
Phần 1: Bảo vệ dữ liệu cá nhân – Phần 1: Thông tin của người đã mất có được chia sẻ?
Phần 2: Bảo vệ dữ liệu cá nhân – Phần 2: cần lấp ‘khoảng trống’ pháp luật
