Hôm nay 1.1.2026, luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực, đã đánh dấu bước ngoặt khi định hình bộ khung pháp lý cho việc xử lý dữ liệu cá nhân. Trong bối cảnh đó, việc Zalo cập nhật điều khoản sử dụng, trong đó có nhiều yêu cầu về việc thu thập dữ liệu và xử lý thông tin của người dùng càng trở thành chủ đề được chú ý.
Chia sẻ tại Talkshow "Hiểu đúng về điều khoản khi người dùng tham gia mạng xã hội", do Báo Pháp Luật TP.HCM tổ chức chiều 31.12.2025, luật sư Nguyễn Văn Hậu, Chủ tịch Trung tâm Trọng tài Thương mại Luật gia Việt Nam, cho rằng Zalo đang có nhiều dấu hiệu vi phạm pháp luật hiện hành.
Luật sư Nguyễn Văn Hậu, Chủ tịch Trung tâm Trọng tài Thương mại Luật gia Việt Nam, chia sẻ tại tọa đàm hôm 31.12 do Báo Pháp Luật TP.HCM tổ chức
ẢNH: NGUYỆT NHI/PLO
Đầu tiên, điều khoản sử dụng dịch vụ mới của Zalo có phạm vi thu thập dữ liệu quá lớn, không phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Việc này không đáp ứng tinh thần mỗi lần xử lý dữ liệu cá nhân là phải thông báo và nhận được sự đồng ý của người dùng. Người dùng chỉ có hai lựa chọn là có hoặc không, nếu có thì được tiếp tục sử dụng Zalo theo đúng các nội dung đã đồng ý, nếu không thì không thể tiếp tục sử dụng dịch vụ.
"Hành vi này của Zalo đã có dấu hiệu vi phạm luật Bảo vệ dữ liệu cá nhân, không thực hiện đúng tinh thần Hiến pháp, Bộ Luật Dân sự và luật An ninh mạng", luật sư Nguyễn Văn Hậu nói.
Theo điều khoản dịch vụ mới, Zalo không chỉ thu thập các thông tin định danh cơ bản mà còn mở rộng sang dữ liệu vị trí, thiết bị, địa chỉ IP, hành vi sử dụng, tần suất hoạt động và cả nội dung tương tác của người dùng. Toàn bộ khối dữ liệu rộng và nhạy cảm này được "hợp pháp hóa" chỉ bằng một thao tác bấm nút "Đồng ý tất cả", không có cơ chế lựa chọn riêng biệt cho từng nhóm dữ liệu. Việc chỉ đưa ra hai phương án lựa chọn, không có sự phân hóa về phạm vi và mục đích sử dụng dữ liệu đã vi phạm quy định tại khoản 4 Điều 9 luật Bảo vệ dữ liệu cá nhân.
Zalo yêu cầu người dùng phải đồng ý với điều khoản sử dụng dịch vụ nếu từ chối, tài khoản sẽ bị xóa sau 45 ngày
ẢNH: KHƯƠNG NHA
Thứ hai, Zalo đã tự trao cho mình quyền kiểm duyệt nội dung gần như tuyệt đối đối với người dùng, vi phạm quyền bảo mật thông tin riêng tư và an toàn thư tín của công dân. Theo điều khoản dịch vụ, Zalo có toàn quyền đánh giá, hạn chế hoặc xử lý nội dung do người dùng tạo ra dựa trên các tiêu chí nội bộ, mà không bắt buộc phải giải thích cụ thể hay minh bạch về căn cứ pháp lý. Điều này đặt quyền tự do biểu đạt của người dùng hoàn toàn dưới "luật chơi" do doanh nghiệp đơn phương ban hành. Cách tiếp cận này đi ngược lại nguyên tắc bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và quyền tự do giao tiếp được Hiến pháp 2013 bảo vệ tại Điều 21.
Thứ ba, các điều khoản miễn trừ trách nhiệm của Zalo được xây dựng theo hướng quá rộng và gây bất lợi cho người dùng. Zalo tuyên bố không chịu trách nhiệm nếu dữ liệu cá nhân bị lộ do tấn công mạng hoặc các nguyên nhân được cho là "ngoài tầm kiểm soát". Tuy nhiên, theo nguyên tắc của pháp luật dân sự, chỉ khi chứng minh được sự kiện bất khả kháng hoặc các trường hợp miễn trừ trách nhiệm do luật định thì chủ thể mới được miễn trách nhiệm bồi thường. Điều này vi phạm quy định tại khoản 2 Điều 584 Bộ Luật Dân sự 2015.
Việc miễn trừ trách nhiệm một cách chung chung và áp đặt bằng điều khoản dịch vụ không thể làm mất đi nghĩa vụ bồi thường thiệt hại vật chất và tinh thần phát sinh từ hành vi làm lộ dữ liệu cá nhân, nếu lỗi hoặc rủi ro quản lý vẫn thuộc về Zalo. Theo luật sư Hậu: "Zalo vẫn phải chịu trách nhiệm nếu như làm lộ lọt dữ liệu cá nhân, gây thiệt hại cho người dùng, khách hàng".
Thứ tư, các điều khoản cho thấy sự mất cân bằng nghiêm trọng về quyền lực giữa Zalo và người dùng. Trong đó, Zalo là bên soạn thảo toàn bộ "luật chơi", người dùng không có khả năng thương lượng, phản biện hay lựa chọn thực chất nào ngoài việc chấp nhận hoặc rời bỏ nền tảng.
"Nhìn vào mặt bản chất, đây là một hợp đồng giữa Zalo và người dùng. Theo đó về mặt nguyên tắc, các điều khoản gây bất lợi cho người dùng sẽ phải được giải thích theo hướng có lợi hơn cho người dùng theo nguyên tắc bảo vệ bên yếu thế hơn được đặt ra tại khoản 6 Điều 404 Bộ Luật Dân sự 2015", Chủ tịch Trung tâm Trọng tài Thương mại Luật gia Việt Nam nhận định.
Ủy ban Cạnh tranh quốc gia mời VNG làm việc về thu thập dữ liệu của Zalo
Theo luật sư Hậu, Zalo không có quyền đơn phương chấm dứt hợp đồng chỉ bằng việc người dùng lựa chọn không đồng ý cho phép cung cấp thông tin. Theo Điều 428 Bộ Luật Dân sự 2015, Zalo phải chứng minh được rằng người dùng vi phạm nghiêm trọng hoặc có thỏa thuận trước đó về việc không đồng ý có thể chấm dứt cung cấp dịch vụ. Nếu không chứng minh được mà Zalo lại tự đặt ra điều khoản (không có sự thỏa thuận), khách hàng không đồng ý và tự ý chấm dứt cung cấp dịch vụ là đã vi phạm quy định này tại Bộ Luật Dân sự.
Thứ năm, cơ chế vô hiệu hóa hoặc hạn chế tài khoản của Zalo thiếu tính minh bạch, hạn chế quyền khiếu nại, tố cáo của người dùng một cách bất hợp pháp. Người dùng có thể bị hạn chế hoặc mất hoàn toàn quyền sử dụng tài khoản khi Zalo áp dụng biện pháp vô hiệu hóa, trong khi không tồn tại một cơ chế giải trình rõ ràng, không có quy trình kháng nghị độc lập hay bên thứ ba xem xét. Điều này làm suy giảm nghiêm trọng quyền được khiếu nại, kiến nghị và bảo vệ lợi ích hợp pháp của công dân, đi ngược lại tinh thần của Điều 30 Hiến pháp 2013 về quyền khiếu nại, tố cáo và được xem xét công bằng.
"Trường hợp của Zalo đã cho thấy rõ rằng mặc dù đã có các khung pháp lý cụ thể, song việc bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu vẫn còn hạn chế. Nhận thức về việc xử lý dữ liệu cá nhân của một bộ phận doanh nghiệp và nền tảng còn phiến diện mà chưa đúng tinh thần của pháp luật về bảo vệ dữ liệu cá nhân", luật sư Nguyễn Văn Hậu nhận định.
