Nhiều chuyên gia nhìn nhận khi một nền tảng có hàng chục triệu người dùng và đang đóng vai trò cung cấp hạ tầng số quốc gia, cách làm này không đơn thuần là câu chuyện riêng giữa doanh nghiệp và người dùng.

Dữ liệu người dùng Zalo sẽ đi về đâu?

Trao đổi với Tuổi Trẻ, luật sư Trương Thanh Đức - trọng tài viên VIAC - cho biết về mặt pháp lý, doanh nghiệp được phép đưa ra các thỏa thuận người dùng. Việc thu thập dữ liệu không chỉ riêng ứng dụng mạng xã hội mà thực tế diễn ra ở hầu hết các lĩnh vực từ ngân hàng, chứng khoán, bất động sản, đến dịch vụ hàng không, nhà hàng...

Tuy nhiên, theo ông Đức, người dùng đang phản ứng rất gay gắt trước thông báo của Zalo, đặc biệt với những điều khoản mở rộng phạm vi thu thập dữ liệu người dùng để chuyển cho công ty mẹ và những công ty liên kết mà người dùng không yên tâm.

Có thể thấy Zalo vốn là một mảnh ghép quan trọng trong hệ sinh thái VNG với nhiều công ty con, dịch vụ số. Vậy dữ liệu người dùng Zalo có thể được chia sẻ, phân tích, khai thác nội bộ trong hệ sinh thái này?

Theo tìm hiểu của Tuổi Trẻ, Adtima hay Zalo Platforms đều là đơn vị quảng cáo trong hệ sinh thái Zalo. Trong đó, Công ty cổ phần Adtima được thành lập từ tháng 7-2021, có địa chỉ tại TP.HCM. Lĩnh vực kinh doanh của Adtima là quảng cáo.

Trên website, Adtima giới thiệu cung cấp dịch vụ quảng cáo với hệ sinh thái hơn 75 triệu người dùng trên Zalo, Znews, Báo Mới và Zing MP3. Với Zalo, có khá nhiều sản phẩm, dịch vụ trong hệ sinh thái như Zalo Business, Zalo Official Account, Zalo Notification Service, Zalo Mini App... 

Ngoài ra, VNG còn lập ra Công ty TNHH Zalo Platforms - một doanh nghiệp chuyên cung cấp giải pháp doanh nghiệp trên Zalo.

Luật sư Trương Thanh Đức nhận định với gần 80 triệu người dùng với tần suất rất lớn và có yếu tố cổ đông nước ngoài thì nhiều vấn đề khác được đặt ra: Dữ liệu phục vụ dịch vụ công có nguy cơ bị "trộn lẫn" với dữ liệu thương mại? Ai là người giám sát việc sử dụng dữ liệu này? Trách nhiệm giải trình của doanh nghiệp phải cao hơn thông thường hay không? Vấn đề này cần có sự vào cuộc của cơ quan chức năng để yêu cầu và giám sát thực hiện nghiêm túc quy định của pháp luật về bảo vệ dữ liệu cá nhân.

Một chuyên gia về bảo mật (đề nghị không nêu tên) cho rằng vấn đề cốt lõi không nằm ở việc dữ liệu có bị chia sẻ hay không, mà là chia sẻ trong phạm vi nào, cho mục đích gì và ai là người kiểm soát cuối cùng.

Theo chuyên gia này, trong các hệ sinh thái công nghệ lớn, việc các công ty thành viên dùng chung hạ tầng kỹ thuật, nền tảng phân tích hoặc dữ liệu đã được chuẩn hóa là điều không hiếm. Tuy nhiên ranh giới pháp lý trở nên đặc biệt nhạy cảm khi dữ liệu xuất phát từ một nền tảng có vai trò gần như hạ tầng số quốc gia, nơi người dùng không chỉ là khách hàng thương mại mà còn là công dân tiếp cận dịch vụ công.

Chưa kể doanh nghiệp này còn có cổ đông nước ngoài. Theo thông tin từ Phòng Đăng ký kinh doanh TP.HCM vào tháng 7-2025 cho thấy VNG Limited (trụ sở ở Cayman Islands) là cổ đông nước ngoài nắm 47,9% vốn của VNG. Còn lại là phần vốn tư nhân trong nước, song báo cáo đăng ký của VNG không đề cập chi tiết.

"Đồng ý tất cả" với Zalo nghĩa là sao?

Luật sư Nguyễn Hùng Quân - Đoàn luật sư TP.HCM - cho biết các nền tảng mạng xã hội nói chung và Zalo nói riêng trước khi cung cấp dịch vụ cho người dùng sử dụng đều có ban hành chính sách về các điều khoản phải thi hành cho người dùng mà đa phần mọi người thường bỏ qua hoặc ít để ý đến.

Tuy nhiên, từ ngày 1-1-2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực thi hành quy định cụ thể về nghĩa vụ của tổ chức cung cấp dịch vụ mạng xã hội là phải bảo vệ dữ liệu cá nhân của người dùng (khách hàng của nền tảng/ứng dụng) và chỉ được xử lý dữ liệu cá nhân trong đó các hoạt động về thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân khi có sự đồng ý của chủ thể dữ liệu cá nhân. 

Do đó việc Zalo yêu cầu người dùng "đồng ý tất cả" là nhằm tránh việc bị người dùng khiếu nại cũng như các phát sinh tranh chấp về sau ảnh hưởng đến uy tín của doanh nghiệp cung cấp ứng dụng.

"Tuy nhiên phải hiểu rõ việc chấp thuận bằng nút bấm "đồng ý tất cả" không đồng nghĩa với việc nền tảng được thu thập, phân tích, cung cấp, chia sẻ thông tin, dữ liệu cá nhân nhạy cảm một cách thoải mái", ông Quân nói.

Theo đó Zalo chỉ được chia sẻ, chuyển giao những dữ liệu cá nhân cơ bản của người dùng cho bên thứ ba là cơ quan, tổ chức nhà nước có thẩm quyền xử lý dữ liệu phục vụ cho quá trình giải quyết vụ việc có dấu hiệu nhằm chống lại Nhà nước Việt Nam, gây ảnh hưởng đến quốc phòng - an ninh quốc gia, trật tự - an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân mà không phải là cơ quan, tổ chức nào khác (có thể hiểu là không mang yếu tố công vụ nhà nước).

Như vậy có thể hiểu rằng việc bấm nút đồng ý chỉ là thỏa thuận giữa Zalo và người sử dụng, còn lại các hoạt động thu thập dữ liệu, chia sẻ thông tin của Zalo đều buộc phải tuân theo tất cả các quy định của pháp luật Việt Nam, trong đó có Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 1-1-2026.

Một chuyên gia khác về an ninh mạng (đề nghị không nêu tên) nhận thấy nhiều ứng dụng trước đây vẫn thực hiện các điều chỉnh một cách "âm thầm". Song động thái mới nhất của Zalo có thể liên quan Luật Bảo vệ dữ liệu cá nhân sắp có hiệu lực từ 1-1-2026.

Theo đó, sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm nguyên tắc gồm: thể hiện sự đồng ý đối với từng mục đích; không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận; sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật. Hay khi người dùng im lặng hoặc không phản hồi cũng không được coi là sự đồng ý.

Sẽ làm rõ với VNG

Ngày 29-12, Ủy ban Cạnh tranh quốc gia cho hay đã mời Công ty cổ phần Tập đoàn VNG - đơn vị quản lý vận hành ứng dụng Zalo - làm việc về việc thu thập, sử dụng thông tin người dùng và cung cấp dịch vụ trên nền tảng Zalo. Buổi làm việc dự kiến diễn ra vào sáng 31-12 nhằm làm rõ thông tin phục vụ công tác quản lý nhà nước về bảo vệ quyền lợi người tiêu dùng, theo lãnh đạo ủy ban này xác nhận.

Tại cuộc họp này, cơ quan cạnh tranh quốc gia yêu cầu VNG phối hợp báo cáo, cung cấp nhiều nhóm thông tin, tài liệu liên quan trực tiếp đến người dùng cá nhân, bao gồm thông tin pháp lý cơ bản của doanh nghiệp - tư cách pháp lý, vai trò của VNG trong việc sở hữu, quản lý, vận hành nền tảng Zalo tại Việt Nam, cũng như đối tượng người dùng của nền tảng này.

Đồng thời VNG phải cung cấp toàn bộ các văn bản, tài liệu liên quan đến điều khoản sử dụng Zalo hiện đang áp dụng đối với người dùng cá nhân tại Việt Nam; các phiên bản điều khoản sử dụng đã được áp dụng trong thời gian 12 tháng gần nhất. Đối với từng phiên bản, đề nghị làm rõ thời điểm ban hành, thời điểm có hiệu lực và hình thức công bố tới người dùng.

Ngoài ra, Ủy ban Cạnh tranh quốc gia cũng yêu cầu VNG cung cấp thông tin, tài liệu liên quan việc sửa đổi, cập nhật các điều khoản sử dụng. VNG cũng phải cung cấp toàn bộ các văn bản, tài liệu hiện hành quy định về việc thu thập, xử lý, lưu trữ, chia sẻ và bảo vệ thông tin người dùng Zalo.

Trong trường hợp không ban hành một văn bản riêng về chính sách bảo vệ thông tin người dùng Zalo, ủy ban sẽ đề nghị làm rõ hình thức thể hiện, vị trí công bố và cách thức để người dùng có thể tiếp cận, tìm hiểu đầy đủ các nội dung liên quan đến dữ liệu cá nhân của mình.

Người dùng bức xúc vì như bị "ép"

Chuyên gia truyền thông Dy Khoa nhận xét Zalo đã truyền thông thiếu đầy đủ về các quy định mới mà họ dự định ban hành qua các kênh truyền thông. Người dùng hoàn toàn bị đưa vào thế bị động và ép buộc phải chấp nhận điều khoản mới thì mới có thể sử dụng. Từ thiếu thông tin, đến bị thụ động tiếp nhận thông tin không đầy đủ đến buộc phải thực hiện hành vi mà bản thân khách hàng không hiểu hết.

Chuỗi này khiến cộng đồng bị ức chế, thúc đẩy sự lan truyền thông tin ngày càng mong muốn doanh nghiệp tích cực đối với nền tảng mà họ đang vận hành. Bên cạnh đó Zalo khiến người dùng nghi ngờ khi sử dụng rất nhiều tên pháp nhân chưa được nhận diện rõ trong công chúng trong cùng một văn bản "VNG", "Công ty TNHH Zalo Platforms"...

Đồng thời, theo ông Khoa, bản điều khoản cũng nhắc đến một số hành vi làm leo thang sự lo âu về dữ liệu người dùng như chuyển giao thông tin tài khoản với các công ty thành viên, được chia sẻ khi người dùng đồng ý - đây tiếp tục là hành vi làm người dùng cảm thấy bị ép buộc vì người dùng phải đồng ý điều khoản mới được tiếp tục sử dụng nền tảng mà không phải chấp nhận trong những tình huống cụ thể.

Một ý nữa cần lưu ý là người dùng cũng không biết sẽ xem lại bản điều khoản mà họ đã chấp nhận ở đâu, đây tiếp tục là điểm gây quan ngại tiếp theo.

Không thể coi là người dùng tự nguyện

Luật sư Nguyễn Ngô Quang Nhật cho hay việc Zalo cập nhật điều khoản sử dụng là một hoạt động phổ biến đối với các ứng dụng công nghệ để cung cấp thông tin cho người dùng và tuân thủ kịp thời các quy định pháp luật.

Tuy nhiên việc Zalo chỉ cho người dùng lựa chọn "đồng ý tất cả" hoặc bị xóa tài khoản sau 45 ngày có thể chưa đảm bảo các quy định về sự đồng ý của chủ thể dữ liệu cá nhân quy định tại điều 9 Luật Bảo vệ dữ liệu cá nhân (có hiệu lực từ 1-1-2026). Theo đó, sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin...

Sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm các nguyên tắc như: thể hiện sự đồng ý đối với từng mục đích; không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận; sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật; sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Như vậy từ ngày 1-1-2026, khi người dùng chỉ có quyền "đồng ý tất cả" hoặc mất tài khoản, thì sự đồng ý đó khó có thể coi là dựa trên sự tự nguyện.

Ủy ban Cạnh tranh quốc gia mời VNG làm việc về thu thập thông tin người dùng trên Zalo

Trao đổi với Tuổi Trẻ, Ủy ban Cạnh tranh quốc gia cho hay đang rà soát hợp đồng cung cấp dịch vụ trên nền tảng Zalo và mời công ty lên làm việc.