Khi “đồng ý” không còn là lựa chọn của người dùng

Quyết định xử phạt 810 triệu đồng đối với VNG vì vi phạm trong việc cập nhật điều khoản sử dụng Zalo không chỉ dừng ở chế tài hành chính, mà còn đặt ra câu hỏi cốt lõi: khi người dùng đã “đồng ý”, quyền lựa chọn của họ đang ở đâu?

Điều khoản dịch vụ của Zalo gây phẫn nộ trong cộng đồng người dùng Việt Nam.

Cuối năm 2025, việc Zalo đồng loạt cập nhật điều khoản dịch vụ mới kèm thời hạn 45 ngày đã khiến cộng đồng người dùng xôn xao. Trước màn hình thông báo, nhiều người rơi vào thế khó: hoặc nhấn “Đồng ý” để tiếp tục duy trì liên lạc, công việc và dữ liệu cá nhân tích lũy suốt nhiều năm, hoặc chấp nhận nguy cơ bị hạn chế tính năng, thậm chí mất quyền truy cập tài khoản.

Lựa chọn tưởng chừng đơn giản ấy nhanh chóng làm dấy lên nghi vấn về tính “tự nguyện” trong việc chấp thuận điều khoản và cho phép thu thập dữ liệu cá nhân. Trước phản ánh từ người dùng và truyền thông, Ủy ban Cạnh tranh Quốc gia đã vào cuộc xác minh. Kết quả, Công ty VNG – đơn vị vận hành Zalo – bị xử phạt hành chính 810 triệu đồng do vi phạm quy định về bảo vệ quyền lợi người tiêu dùng.

Cùng với quyết định xử phạt, cơ quan quản lý yêu cầu doanh nghiệp chấm dứt hành vi vi phạm, rà soát và hoàn thiện các chính sách liên quan, bảo đảm tuân thủ đầy đủ, chính xác quy định pháp luật về bảo vệ dữ liệu và quyền lợi người dùng.

Đã nhấn “Đồng ý”, người dùng còn quyền gì?

Trả lời câu hỏi này, luật sư Hoàng Văn Hà (Công ty Luật ARC Hà Nội) nhấn mạnh: việc người dùng từng nhấn “Đồng ý” không đồng nghĩa với việc hợp pháp hóa hành vi vi phạm của doanh nghiệp. Khi điều khoản bị cơ quan có thẩm quyền xác định là trái luật, sự chấp thuận đó không làm phát sinh “lá chắn miễn trách nhiệm” cho nền tảng.

Theo Bộ luật Dân sự 2015, một giao dịch dân sự chỉ có hiệu lực khi nội dung và mục đích không vi phạm điều cấm của luật, không trái đạo đức xã hội. Do đó, nếu các điều khoản liên quan đến thu thập, xử lý hoặc chia sẻ dữ liệu cá nhân vi phạm quy định bắt buộc của pháp luật, phần nội dung vi phạm vẫn có thể bị tuyên vô hiệu, bất chấp việc người dùng đã “đồng ý”.

Bên cạnh đó, Nghị định 13/2023/NĐ-CP quy định rõ: sự đồng ý của chủ thể dữ liệu chỉ có giá trị pháp lý khi bảo đảm tính tự nguyện, cụ thể, rõ ràng, có thể chứng minh và được cung cấp đầy đủ thông tin trước khi chấp thuận. Việc Zalo bị xử phạt đồng nghĩa với việc cơ chế xin ý kiến hoặc quá trình xử lý dữ liệu đã không đáp ứng đầy đủ các tiêu chuẩn này, khiến sự “đồng ý” của người dùng có nguy cơ chỉ mang tính hình thức.

Về nguyên tắc, pháp luật Việt Nam không cho phép doanh nghiệp sử dụng điều khoản hợp đồng để hợp pháp hóa hành vi trái luật. Trách nhiệm pháp lý – từ hành chính đến dân sự, thậm chí các trách nhiệm khác trong trường hợp nghiêm trọng – vẫn được đặt lên vai nền tảng cung cấp dịch vụ.

Ở chiều ngược lại, người dùng vẫn được pháp luật bảo vệ đầy đủ quyền và lợi ích hợp pháp. Họ có quyền yêu cầu doanh nghiệp chấm dứt hành vi vi phạm, điều chỉnh chính sách, minh bạch hóa việc xử lý dữ liệu; có quyền rút lại sự đồng ý, yêu cầu hạn chế, ngừng xử lý hoặc xóa dữ liệu cá nhân theo quy định; và trong trường hợp chứng minh được thiệt hại thực tế, có thể yêu cầu bồi thường.

Quan niệm “đã bấm đồng ý thì coi như chịu” vì vậy là cách hiểu chưa phù hợp với tinh thần pháp luật hiện đại về bảo vệ dữ liệu cá nhân. Pháp luật đặt trách nhiệm chính lên doanh nghiệp – chủ thể nắm lợi thế về công nghệ, dữ liệu và khả năng kiểm soát thông tin – trong khi người dùng được xác định là bên yếu thế cần được bảo vệ trước các điều khoản bất lợi, thiếu minh bạch.

Tuy nhiên, cũng cần nhìn nhận rằng khi điều khoản rõ ràng, hợp pháp và minh bạch, người dùng phải chịu trách nhiệm trong phạm vi dữ liệu mà mình đã tự nguyện chia sẻ. Pháp luật không bảo vệ sự chủ quan hay thiếu thận trọng của người sử dụng.

Từ vụ việc của Zalo, một lần nữa nổi lên lo ngại về tình trạng “chấp nhận trong cưỡng ép”, khi các nền tảng số đã trở thành công cụ liên lạc thiết yếu của xã hội. Lựa chọn “đồng ý hoặc rời đi” trong bối cảnh đó khó có thể xem là một thỏa thuận dân sự bình đẳng.

Nhiều chuyên gia cho rằng, về lâu dài, khung pháp lý cần được hoàn thiện theo hướng tăng chế tài răn đe, thậm chí tính phạt theo tỷ lệ doanh thu – tương tự mô hình GDPR của châu Âu – thay vì chỉ dừng ở mức phạt trần cố định, để bảo vệ thực chất quyền riêng tư của người dùng trong môi trường số.