Việc bảo vệ dữ liệu cá nhân của trẻ em đã trở thành một mối quan tâm toàn cầu trong bối cảnh mạng Internet và các nền tảng xã hội phát triển nhanh chóng. Tại EU, Quy định bảo vệ dữ liệu chung (GDPR) có các điều khoản đặc biệt nhằm bảo vệ trẻ em khi trực tuyến. Tương tự, Mỹ áp dụng Luật Bảo vệ Quyền riêng tư Trẻ em COPPA.
Có thể thấy, TikTok – nền tảng chia sẻ video ngắn sở hữu bởi ByteDance, ngày càng phổ biến trong giới trẻ toàn cầu. Tuy nhiên, việc cũng kéo theo nhiều rủi ro về riêng tư trẻ em. Trong những năm gần đây, nhiều cơ quan giám sát đã tập trung điều tra và xử lý TikTok vì vi phạm quyền riêng tư của trẻ em, từ châu Âu đến Anh và Mỹ.
Quyết định 02/2023 của EDPB là quyết định nghiêm khắc và được cân nhắc
Ngày 2/8/2023, Ủy ban Bảo vệ Dữ liệu Châu Âu (EDPB) đã ban hành Quyết định ràng buộc số 2/2023 liên quan tới TikTok Technology Ltd, theo thủ tục thảo luận phối hợp giữa các Cơ quan Bảo vệ Dữ liệu thành viên. Quyết định này ghi nhận TikTok vi phạm nghiêm trọng quyền riêng tư của người dùng vị thành niên tại EU, và đưa ra các biện pháp xử lý bắt buộc.
Tuy nhiên, trước đó Cơ quan Bảo vệ Dữ liệu Ireland (DPC Ireland) là cơ quan đầu mối trong EU giám sát TikTok. DPC đã tiến hành điều tra về việc TikTok xử lý dữ liệu cá nhân của trẻ em (dưới 16 tuổi) trong khoảng thời gian 2020. Bản Dự thảo Quyết định của DPC đề xuất nhiều vi phạm, gồm để mặc định tài khoản dưới 16 tuổi ở chế độ công khai, không kiểm tra hiệu quả mối quan hệ phụ huynh trong tính năng Family Pairing, thiếu biện pháp bảo mật phù hợp cho trẻ em…, và yêu cầu TikTok khắc phục mà không đề xuất phạt. Sau đó, một số cơ quan thành viên, điển hình là Cơ quan Bảo vệ Dữ liệu Ý – IT SA và Hà Lan – DE SAs đã phản đối, cho rằng DPC chưa đủ nghiêm khắc, đề nghị EDPB xem xét thêm các vi phạm.
Ngày 2/8/2023, EDPB ban hành Quyết định Ràng buộc 02/2023 theo Điều 65 GDPR[1], gồm các kết luận sau:
Vi phạm nguyên tắc công bằng (Điều 5(1)(a) GDPR): EDPB xác định TikTok đã vi phạm nghiêm trọng quy tắc “công bằng” khi thiết kế giao diện và mặc định tài khoản trẻ em. Cụ thể, TikTok sử dụng những thiết kế dẫn dụ (gọi là dark patterns) để khuyến khích người dùng trẻ chấp nhận tài khoản công khai thay vì riêng tư, cũng như “cách bày trí, màu sắc nút bấm” khiến trẻ khó từ chối đăng tải nội dung công khai. Việc này làm suy giảm khả năng đưa ra quyết định sáng suốt của trẻ em và xâm phạm quyền riêng tư của chúng. EDPB yêu cầu cơ quan Ireland bổ sung trong Quyết định cuối cùng lệnh buộc TikTok “loại bỏ tất cả các thủ đoạn thiết kế gây hiểu nhầm” đã được chỉ ra.
Vi phạm minh bạch (Điều 12/13 GDPR): Tại bản Dự thảo của Ireland, đã nêu TikTok không cung cấp thông tin rõ ràng cho trẻ em về hậu quả của tài khoản công khai, ví dụ, pop-up đăng ký dùng từ “bất kỳ ai/everyone” thiếu giải thích, không liên kết tới Chính sách bảo mật cụ thể cho trẻ em. DPC kết luận TikTok vi phạm Điều 12,13 GDPR trong việc thông báo về quyền riêng tư cho trẻ em. Tuy nhiên, DPC không coi đây là vi phạm nguyên tắc công bằng tại Điều 5(1)(a). EDPB trong quyết định của mình không thay đổi đánh giá này.
Biện pháp khắc phục: EDPB không tự phạt nhưng chỉ dẫn cơ quan Ireland mở rộng biện pháp yêu cầu xử lý (“compliance order”) với TikTok. Theo đó, TikTok phải thực hiện các biện pháp kỹ thuật và tổ chức cần thiết để tuân thủ quy định, bao gồm loại bỏ các thiết kế thiếu công bằng nêu trên trong giao diện đăng ký và đăng video của trẻ em. DPC Ireland sẽ căn cứ vào quyết định của EDPB để ra Quyết định cuối cùng. EDPB cũng yêu cầu DPC ghi rõ hiện chưa thể kết luận về hệ thống kiểm chứng tuổi của TikTok có vi phạm Điều 25 GDPR về Bảo vệ dữ liệu theo mặc định hay không, do còn thiếu chứng cứ đầy đủ để đánh giá.
Quyết định 02/2023 của EDPB khẳng định TikTok có hành vi xâm phạm nghiêm trọng về quyền riêng tư của trẻ em do thiết kế mặc định thiếu an toàn và các biện pháp giao diện gây hiểu nhầm. EDPB đã ra lệnh buộc TikTok khắc phục bằng cách sửa đổi thiết kế như mặc định riêng tư, minh bạch hơn, không dùng màu sắc/nội dung “dụ” trẻ đăng công khai. Các bên liên quan (TikTok, CSA Ý, Đan Mạch/Đức) đều được tham gia trình bày lập luận trong quá trình này. Kết quả cuối cùng của vụ việc là DPC Ireland phạt 345 triệu EUR TikTok, đánh dấu đòn giáng mạnh về pháp lý đối với TikTok tại EU.
Quyết định 02 là bài học lớn cho Tiktok và các nền tảng mạng xã hội toàn cầu
Quyết định Ràng buộc 02/2023 của EDPB đã có ảnh hưởng lớn cả về mặt pháp luật lẫn xã hội đối với TikTok và các nền tảng công nghệ khác, không chỉ đối với Châu Âu mà trên phạm vi toàn thế giới:
Đối với TikTok: Đây là cảnh báo mạnh mẽ buộc TikTok thay đổi cơ bản chính sách và thiết kế. Sau quyết định, TikTok đã công bố thay đổi mặc định tài khoản riêng tư cho người dùng dưới 16 tuổi (tương tự như DPC thông báo chấm dứt mặc định công khai từ đầu 2021), thắt chặt tính năng Family Pairing và cập nhật tài liệu minh bạch về quyền riêng tư. Trong Quyết định cuối cùng ngày 15/9/2023, DPC Ireland phạt TikTok 345 triệu EUR với các vi phạm dữ liệu trẻ em. Số tiền phạt lớn chưa từng có cho vấn đề này, chỉ đứng sau các án phạt khổng lồ dành cho Meta. Số tiền phạt này tương đương khoảng 1,5% doanh thu toàn cầu TikTok, thể hiện quan điểm nghiêm khắc của EU. Về lâu dài, TikTok sẽ phải tiếp tục duy trì các biện pháp bảo vệ trẻ em chặt chẽ hơn nhằm tránh hậu quả pháp lý nghiêm trọng. Về mặt hình ảnh, dư luận trong EU và thế giới nhìn nhận TikTok như một ví dụ điển hình về nền tảng cần chịu trách nhiệm khi người dùng vị thành niên bị xâm phạm.
Đối với các nền tảng công nghệ khác: Quyết định của EDPB tạo ra tiền lệ pháp lý quan trọng về bảo vệ trẻ em trực tuyến. Nó khẳng định nguyên tắc EU rằng các nền tảng phải thiết kế mặc định an toàn, minh bạch và trách nhiệm hơn khi hướng đến trẻ em. Ngay từ trước đó, nhiều cơ quan bảo vệ dữ liệu đã phạt TikTok về trẻ em như Cơ quan Bảo vệ Dữ liệu Hà Lan phạt 750.000 EUR do vi phạm bảo mật trẻ em 2021, Anh phạt 12,7 triệu Bảng Anh năm 2023 vì Tiktok cho dưới 13 tuổi truy cập không kiểm soát. Quyết định này là lần đầu tiên EDPB vào cuộc xét xử theo cơ chế nhất quán về nguyên tắc thiết kế, công bằng và trẻ em, nên tạo tâm lý áp lực cho toàn ngành công nghệ. Nó báo hiệu xu hướng kiểm soát nghiêm ngặt hơn, đặc biệt trên phương diện “dark patterns” – EDPB đã công bố hướng dẫn về cách nhận diện và tránh thiết kế lừa dối trên mạng xã hội. Các công ty khác như Meta, Snap hay YouTube cũng cần xem xét lại UX của họ để tránh bị hậu quả tương tự. Xã hội nói chung vì vậy ý thức hơn về quyền riêng tư của trẻ: phụ huynh, trường học sẽ phải chú ý kiểm tra cài đặt bảo mật của con em và yêu cầu nhà phát triển sản phẩm cho trẻ em phải minh bạch hơn. Đồng thời, quyết định này thúc đẩy các bên soạn thảo luật trong nhiều quốc gia siết chặt quy định về trẻ em trực tuyến, khởi nguồn cho các đạo luật hoặc quy định kỹ thuật riêng dành cho ứng dụng có đối tượng trẻ em.
Tác động xã hội: Đối với người dùng, nhất là trẻ em và phụ huynh, đây là tín hiệu tích cực. Quyền lợi của trẻ được chú trọng hơn trong các nền tảng số. Từ góc độ pháp lý, quyết định EDPB và án phạt sau đó của DPC Ireland cung cấp chuẩn mực để so sánh khi luật dữ liệu trẻ em của các nước mới ban hành, khiến các nền tảng công nghệ toàn cầu phải đối mặt với nhiều quy định mới cần tuân thủ hơn.
Trụ sở chính của TikTok tại Mỹ. Nguồn: Reuters
Kiến nghị chính sách cho Việt Nam
Việt Nam đã ban hành Nghị định 13/2023/NĐ-CP quy định về bảo vệ dữ liệu cá nhân có hiệu lực 1/7/2023, trong đó có Điều 20 dành cho dữ liệu trẻ em. Theo đó, “xử lý dữ liệu cá nhân của trẻ em luôn được thực hiện theo nguyên tắc bảo vệ các quyền và vì lợi ích tốt nhất của trẻ em” và “phải có sự đồng ý của trẻ em từ đủ 7 tuổi trở lên và có sự đồng ý của cha, mẹ hoặc người giám hộ” cùng với việc “xác minh tuổi của trẻ em” trước khi xử lý. Tiếp đó, ngày 26/06/2025, Việt Nam tiếp tục ban hành Luật Bảo vệ dữ liệu cá nhân tiếp tục ghi nhận dữ liệu trẻ em là một trong những đối tượng bảo vệ đặc biệt. Đây là những bước khởi đầu tích cực trong việc bảo vệ trẻ em trên không gian mạng. Tuy nhiên, từ bài học của EDPB và TikTok, Việt Nam cần tiếp tục hoàn thiện và thực thi pháp luật về bảo vệ dữ liệu trẻ em một cách có hiệu quả. Một số giải pháp mà Việt Nam có thể xem xét triển khai trong thời gian tới như:
Thứ nhất, nâng cao nhận thức và giám sát
Để khung pháp lý về bảo vệ dữ liệu trẻ em phát huy trên thực tế, nhà nước cần quan tâm tuyên truyền, hướng dẫn phụ huynh và trẻ em về bảo vệ dữ liệu cá nhân. Đồng thời, phụ huynh phải giám sát và hướng dẫn con cách sử dụng ứng dụng an toàn. Nhà trường, cơ quan quản lý nên phối hợp tổ chức chiến dịch nâng cao nhận thức về “an toàn dữ liệu trẻ em”. Về mặt pháp luật, cần trang bị năng lực cho cơ quan thực thi nhằm phát hiện và xử phạt vi phạm liên quan đến dữ liệu trẻ em. Như có thể quy định rõ thẩm quyền xử lý vi phạm dữ liệu trẻ em, buộc doanh nghiệp báo cáo vi phạm nghiêm trọng và dừng ngay lập tức việc xử lý dữ liệu trẻ em khi có yêu cầu không chỉ từ cơ quan có thẩm quyền mà đặc biệt là từ phụ huynh và chính trẻ em.
Thứ hai, khung pháp lý cần đồng bộ và chặt chẽ
Luật Bảo vệ dữ liệu cá nhân đã được Quốc hội ban hành nhưng quy định chung chung về xử lý dữ liệu trẻ em tại Điều 2. Chúng tôi cho rằng, trong Nghị định hướng dẫn Luật cần hướng dẫn rõ ràng các yêu cầu trong quá trình xử lý dữ liệu trẻ em như xác định độ tuổi trẻ em, phân chia độ tuổi trẻ em cần có sự đồng ý cho phù hợp. Ngoài ra, Nghị định hướng dẫn cũng cần làm rõ quy định về chế độ mặc định an toàn cho người dùng vị thành niên trên các nền tảng. Ví dụ như kể cả khi không yêu cầu, nhà cung cấp dịch vụ nên mặc định tài khoản trẻ em ở chế độ riêng tư. Bên cạnh đó, Việt Nam cũng nên có quy định cấm các thiết kế giao diện gây hiểu nhầm. Các nền tảng khi cung cấp dịch vụ cho trẻ em phải hiển thị đầy đủ các lựa chọn đăng ký công khai/riêng tư, đồng ý từ chối,…ở chế độ công bằng, cân đối. Chẳng hạn như không được lợi dụng màu sắc hay sắp xếp tiêu chí để đẩy trẻ vào tùy chọn kém an toàn. Cơ quan chức năng có thể xây dựng Bộ quy tắc ứng xử hoặc quy chuẩn giao diện cho các dịch vụ trực tuyến với trẻ em, tương tự như “Children’s Code” tại Anh. Điều này cũng khuyến khích nhận thức của nhà phát triển ứng dụng về bảo vệ trẻ em. Đồng thời cơ quan có thẩm quyền yêu cầu tích hợp sẵn tính năng riêng tư hoặc giám sát hợp pháp cho người giám hộ.
Như đề cập ở trên, EDPB nhấn mạnh tầm quan trọng của cung cấp thông tin bằng ngôn ngữ rõ ràng, dễ hiểu. Ở VN, các nhà cung cấp cần đảm bảo các điều khoản, chính sách riêng tư dành cho trẻ em (nếu có) phải được trình bày ngắn gọn, rõ ràng trên giao diện dành cho trẻ, và có đường dẫn thuận tiện đến các tài liệu đó. Việc sử dụng từ ngữ mơ hồ phải được làm rõ. Cơ quan quản lý nên ban hành hướng dẫn về ngôn ngữ phù hợp cho người dùng vị thành niên.
Thứ ba, thực thi nghiêm khắc và hiệu quả đối với các vi phạm
Pháp luật bảo vệ trẻ em chỉ nằm trên giấy nếu tất cả các biện pháp được đề cập không được thực thi nghiêm khắc và hiệu quả trên thực tiễn. Do đó, cơ quan quản lý hoạt động dữ liệu cá nhân tại Việt Nam là bộ công an cần thành lập một cơ quan chuyên trách về bảo vệ dữ liệu cá nhân nhằm bảo đảm thực thi các yêu cầu về bảo vệ dữ liệu cá nhân và đặc biệt là dữ liệu cá nhân của trẻ em một cách minh bạch, an toàn. Chỉ khi các doanh nghiệp nhìn thấy sự hài hòa trong chính sách, sự tuân thủ nghiêm minh của pháp luật Việt Nam thì sự tuân thủ của doanh nghiệp mới không còn là biện pháp đối phó đơn thuần mà là cách nâng cao uy tín và thương hiệu của doanh nghiệp tại Việt Nam cũng như trên toàn cầu.
Quyết định EDPB nhấn mạnh trách nhiệm của các nền tảng mạng xã hội trong việc thực thi quyền của trẻ em trên không gian mạng. Để thấy rằng với Châu Âu và nhiều quốc gia phát triển trong việc bảo vệ đối tượng nhạy cảm, dễ bị tổn thương là ưu tiên hàng đầu trong việc thực thi các chính sách pháp luật. Việt Nam, với vị thế quốc gia đi sau trong lĩnh vực này sẽ rút ra nhiều bài học quý báu từ thực tiễn xử lý vi phạm dữ liệu của Châu Âu để áp dụng phù hợp với bối cảnh của đất nước.
