(Thanh tra) - Trong khi Ủy ban Cạnh tranh quốc gia mời VNG làm việc để làm rõ việc thu thập, sử dụng thông tin người dùng trên Zalo, thì các chuyên gia pháp lý cũng lên tiếng chỉ ra nhiều điểm thiếu minh bạch, có nguy cơ bất lợi cho người tiêu dùng trong điều khoản dịch vụ mới của nền tảng này.
Ngày 30/12, trao đổi với Báo Thanh tra, bà Nguyễn Quỳnh Anh, Phó Chủ tịch Ủy ban Cạnh tranh quốc gia (Bộ Công Thương), xác nhận cơ quan này đã gửi giấy mời Công ty cổ phần Tập đoàn VNG - đơn vị quản lý, vận hành ứng dụng Zalo - đến làm việc liên quan việc thu thập, sử dụng thông tin người dùng và cung cấp dịch vụ trên nền tảng Zalo.
Theo bà Quỳnh Anh, buổi làm việc dự kiến diễn ra vào sáng 31/12/2025, nhằm làm rõ các nội dung phục vụ công tác quản lý nhà nước về bảo vệ quyền lợi người tiêu dùng trong môi trường số.
Cùng với việc mời làm việc, Ủy ban Cạnh tranh quốc gia cũng yêu cầu VNG phối hợp báo cáo, cung cấp nhiều nhóm thông tin, tài liệu liên quan trực tiếp đến người dùng cá nhân đang sử dụng nền tảng Zalo.
Cụ thể, VNG phải cung cấp các thông tin pháp lý cơ bản của doanh nghiệp, bao gồm tư cách pháp lý; vai trò của doanh nghiệp trong việc sở hữu, quản lý và vận hành Zalo tại Việt Nam; đối tượng người dùng của nền tảng. Đồng thời, doanh nghiệp được yêu cầu cung cấp đầy đủ các văn bản, tài liệu liên quan đến điều khoản sử dụng Zalo đang áp dụng đối với người dùng cá nhân tại Việt Nam, cũng như toàn bộ các phiên bản điều khoản đã được áp dụng trong vòng 12 tháng gần nhất.
Đối với từng phiên bản điều khoản sử dụng, Ủy ban Cạnh tranh quốc gia đề nghị làm rõ thời điểm ban hành, thời điểm có hiệu lực và hình thức công bố tới người dùng. Cùng với đó là các tài liệu liên quan đến việc sửa đổi, cập nhật điều khoản, bao gồm cách thức thông báo cho người dùng; việc yêu cầu người dùng chấp thuận điều khoản mới; các hệ quả phát sinh trong trường hợp người dùng không đồng ý nội dung cập nhật.
Ngoài ra, VNG còn phải báo cáo các văn bản, tài liệu hiện hành quy định việc thu thập, xử lý, lưu trữ, chia sẻ và bảo vệ thông tin người dùng Zalo. Trường hợp doanh nghiệp không ban hành văn bản riêng về chính sách bảo vệ thông tin người dùng, Ủy ban yêu cầu làm rõ hình thức thể hiện, vị trí công bố và cách thức để người dùng có thể tiếp cận, tìm hiểu đầy đủ các nội dung liên quan đến dữ liệu cá nhân của mình.
Ủy ban Cạnh tranh quốc gia cũng đề nghị VNG cung cấp thông tin về cách thức tổ chức, vận hành và cung cấp dịch vụ cho người dùng cá nhân trên môi trường trực tuyến; quy trình cung cấp thông tin cho người dùng trong suốt quá trình sử dụng dịch vụ; các lựa chọn mà người dùng được đưa ra khi chấp nhận hoặc không chấp nhận các điều khoản, chính sách liên quan đến thông tin cá nhân.
Dưới góc nhìn pháp lý, luật sư Diệp Năng Bình (Đoàn luật sư TP Hồ Chí Minh) cho rằng điểm đáng quan ngại nhất trong các điều khoản dịch vụ mới của Zalo nằm ở mục đích sử dụng dữ liệu.
Theo ông Bình, điều khoản của Zalo quy định việc thu thập, sử dụng thông tin người dùng "để phục vụ các mục đích khác có liên quan đến hoạt động kinh doanh của Zalo mà chúng tôi cho là phù hợp tại từng thời điểm" hoặc "theo thỏa thuận giữa người dùng và chúng tôi và/hoặc bên thứ ba tại từng thời điểm phù hợp với quy định pháp luật" là cách diễn đạt rất rộng, thiếu tính xác định và minh bạch.
Trong khi đó, pháp luật về bảo vệ dữ liệu cá nhân yêu cầu việc xử lý dữ liệu phải tuân thủ các nguyên tắc cơ bản như xác định rõ và minh bạch mục đích xử lý, chỉ thu thập trong phạm vi cần thiết, không được xử lý dữ liệu cho mục đích khác với mục đích ban đầu nếu chưa có sự đồng ý lại của chủ thể dữ liệu, theo Điều 3 Nghị định 13/2023/NĐ-CP.
Tương tự, Luật Bảo vệ quyền lợi người tiêu dùng 2023 cũng quy định tổ chức, cá nhân kinh doanh chỉ được thu thập, sử dụng, chuyển giao thông tin người tiêu dùng đúng mục đích, phạm vi đã thông báo và được người tiêu dùng chấp thuận; trường hợp thay đổi mục đích phải thông báo lại và được người tiêu dùng đồng ý trước khi thực hiện.
Đối với mạng xã hội như Zalo, luật sư Diệp Năng Bình nhấn mạnh rằng thỏa thuận cung cấp và sử dụng dịch vụ còn phải nêu rõ các biện pháp bảo đảm quyền quyết định của người dùng trong việc cho phép thu thập, cung cấp thông tin của mình cho cơ quan, tổ chức, cá nhân khác, theo khoản 2 Điều 28 Nghị định 147/2024/NĐ-CP.
Đồng thời, thỏa thuận cũng phải mô tả rõ các biện pháp bảo vệ thông tin người dùng ngay trong nội dung điều khoản sử dụng dịch vụ, theo điểm d khoản 2 Điều 29 Nghị định này. Với các yêu cầu đó, việc Zalo ghi chung chung “các mục đích khác có liên quan đến hoạt động kinh doanh… mà chúng tôi cho là phù hợp tại từng thời điểm” không đáp ứng được tiêu chí về mục đích cụ thể, minh bạch và cũng không bảo đảm quyền quyết định thực chất của người dùng.
Luật sư Bình cũng lưu ý rằng Điều 14 của thỏa thuận là một trong những nội dung "nặng" nhất về mặt pháp lý, bởi xu hướng đẩy tối đa trách nhiệm và rủi ro sang phía người dùng, trong khi pháp luật về quan hệ tiêu dùng lại đặt ra rất nhiều giới hạn đối với các điều khoản loại này.
Khoản 14.1, với việc tuyên bố không bảo đảm sự ổn định hay bảo mật tuyệt đối, về nguyên tắc có thể chấp nhận ở mức độ nhất định, bởi không có hệ thống nào an toàn tuyệt đối. Tuy nhiên, điều đó không đồng nghĩa với việc doanh nghiệp được phép phủ nhận nghĩa vụ bảo đảm an toàn thông tin người tiêu dùng theo chuẩn mực mà pháp luật yêu cầu.
Đáng chú ý hơn, theo phân tích của luật sư, các quy định tại khoản 14.2 và phần cuối khoản 14.3, nơi người dùng được yêu cầu miễn trừ Công ty Cổ phần Tập đoàn VNG khỏi mọi trách nhiệm, hoặc đồng ý miễn trách nhiệm cho doanh nghiệp trong trường hợp bị tấn công, xâm nhập hay do các nguyên nhân ngoài tầm kiểm soát, mang tính chất loại trừ gần như toàn bộ trách nhiệm của doanh nghiệp đối với các tổn thất, thiệt hại mà người dùng có thể phải gánh chịu.
Bên cạnh đó, khoản 14.4, quy định người dùng phải bồi thường cho VNG mọi trách nhiệm, chi phí liên quan đến bên thứ ba, tiếp tục thể hiện xu hướng chuyển toàn bộ rủi ro pháp lý sang phía người tiêu dùng, kể cả những rủi ro mà lẽ ra doanh nghiệp phải chịu nếu có lỗi trong việc bảo mật hoặc vận hành dịch vụ.
Theo luật sư Diệp Năng Bình, tổng thể Điều 14 không chỉ dừng ở mức tuyên bố miễn trừ thông thường mà ở nhiều nội dung đã vượt quá giới hạn pháp luật cho phép trong quan hệ với người tiêu dùng. Các điều khoản này có dấu hiệu loại trừ gần như toàn bộ trách nhiệm của doanh nghiệp, buộc người dùng gánh chịu mọi hậu quả, thiệt hại, đồng thời thu hẹp trên thực tế các quyền dữ liệu cá nhân vốn đã được luật định.
Trong trường hợp phát sinh tranh chấp, những điều khoản như vậy có nguy cơ cao bị xem là điều khoản bất lợi và có thể bị tuyên vô hiệu.
Thời gian gần đây, Zalo gửi thông báo yêu cầu chủ tài khoản phải cập nhật điều khoản dịch vụ mới để tiếp tục sử dụng. Trong đó có nhiều nội dung gây chú ý như việc nền tảng có quyền thu thập, chia sẻ dữ liệu cá nhân của người dùng, bao gồm dữ liệu cơ bản (số điện thoại, họ tên, giới tính, quan hệ gia đình, thông tin căn cước công dân…) và cả dữ liệu cá nhân nhạy cảm. Nếu không đồng ý, người dùng sẽ không được tiếp tục sử dụng dịch vụ và tài khoản có thể bị hệ thống tự động xóa sau 45 ngày nếu không thay đổi quyết định.
Các điều khoản này đã vấp phải phản ứng mạnh từ cộng đồng người dùng. Nhiều ý kiến cho rằng việc "chấp nhận hoặc rời bỏ" là xâm phạm quyền dữ liệu riêng tư, nhất là trong bối cảnh Zalo đang được sử dụng phổ biến cho công việc và liên lạc hằng ngày. Không ít người dùng bày tỏ sự không đồng tình nhưng vẫn buộc phải chấp thuận để duy trì công việc, trong khi một số khác cho biết sẽ xóa ứng dụng, chuyển sang các nền tảng khác như Viber, WhatsApp và thậm chí kêu gọi tẩy chay.
Trên cả App Store và CH Play, ứng dụng Zalo thời gian qua liên tục nhận nhiều phản hồi, đánh giá tiêu cực sau yêu cầu cập nhật điều khoản dịch vụ mới. Một số chuyên gia công nghệ cũng cho rằng cách làm này đi ngược tinh thần của Luật Bảo vệ dữ liệu cá nhân sắp có hiệu lực, bởi sự đồng ý trong trường hợp bị "ép buộc" để tiếp tục sử dụng một dịch vụ thiết yếu không thể được coi là sự đồng ý tự nguyện.
Về khung pháp lý, Khoản 1 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng 2023 quy định tổ chức, cá nhân kinh doanh có trách nhiệm bảo đảm an toàn, bảo mật thông tin của người tiêu dùng khi thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật hoặc chia sẻ thông tin. Việc thu thập thông tin người tiêu dùng chỉ được thực hiện khi có sự đồng ý của người tiêu dùng, trừ trường hợp pháp luật có quy định khác, theo Điều 16 của luật này.
Luật cũng yêu cầu việc sử dụng thông tin phải đúng mục đích đã thông báo và được người tiêu dùng chấp thuận, đồng thời nhấn mạnh nghĩa vụ công khai, minh bạch các điều khoản, chính sách liên quan đến quyền và lợi ích của người tiêu dùng.
Trong trường hợp sửa đổi, bổ sung điều khoản, chính sách, tổ chức, cá nhân kinh doanh phải thông báo rõ ràng cho người tiêu dùng trước khi áp dụng. Luật Bảo vệ quyền lợi người tiêu dùng cũng khẳng định quyền cơ bản của người tiêu dùng là được bảo đảm an toàn thông tin, bí mật đời sống riêng tư, bí mật cá nhân và quyền quyết định đối với thông tin của mình.
