Thu thập dữ liệu trẻ em, học sinh theo PDPL cần gì?

Thu thập dữ liệu trẻ em học sinh PDPL có gì khác so với người lớn?

Khác biệt lớn nhất là phải xem trẻ em là nhóm dữ liệu cần bảo vệ đặc biệt. Trong bối cảnh EdTech, dữ liệu của học sinh có thể gồm họ tên, ngày sinh, lớp, điểm số, lịch học, hình ảnh lớp học, giọng nói, vị trí đăng nhập, hành vi học tập trên app. Theo quy định, doanh nghiệp không nên mặc định rằng học sinh tự đồng ý là đủ, mà phải kiểm tra độ tuổi, vai trò của cha mẹ/người giám hộ và mục đích xử lý cụ thể.

Với các sản phẩm học trực tuyến, LMS, app luyện tập, camera lớp học hay hệ thống chấm điểm tự động, dữ liệu trẻ em thường phát sinh cả từ tài khoản chính và log kỹ thuật. Điều này làm tăng yêu cầu kiểm soát: chỉ thu thập phần cần thiết, giới hạn chia sẻ cho bên thứ ba, và thiết kế mặc định theo hướng bảo vệ dữ liệu từ đầu.

Khi nào cần đồng ý của cha mẹ hoặc người giám hộ?

Câu trả lời ngắn gọn là: khi xử lý dữ liệu cá nhân của trẻ em theo quy định, doanh nghiệp cần bảo đảm có sự đồng ý phù hợp của cha mẹ hoặc người giám hộ, đặc biệt với các hoạt động như đăng ký tài khoản, phân tích hành vi học tập, quảng cáo, cá nhân hóa nội dung, hoặc chia sẻ với nhà cung cấp tích hợp.

Trong thực tế EdTech Việt Nam, một số luồng cần kiểm tra rất kỹ:

• Tạo tài khoản cho học sinh tiểu học, THCS.
• Thu âm giọng nói để luyện phát âm.
• Chụp ảnh chân dung để nhận diện danh tính.
• Theo dõi vị trí hoặc thiết bị để chống gian lận.
• Gửi dữ liệu học tập sang đối tác phân tích, AI, cloud.

Nếu nền tảng chỉ yêu cầu học sinh tự tick vào ô “đồng ý” thì rủi ro rất lớn về mặt tuân thủ. Cách làm đúng thường là thiết kế quy trình xác minh người đại diện hợp pháp, lưu bằng chứng đồng ý, và cho phép rút lại đồng ý theo quy định.

Doanh nghiệp EdTech cần bảo vệ đặc biệt cho dữ liệu trẻ em như thế nào?

Doanh nghiệp nên áp dụng biện pháp bảo vệ cao hơn mức thông thường vì dữ liệu trẻ em có tính nhạy cảm về rủi ro sử dụng lại, định danh, và bị khai thác lâu dài. Không phải mọi dữ liệu trẻ em đều là dữ liệu nhạy cảm theo nghĩa hẹp, nhưng theo quy định vẫn cần được bảo vệ đặc biệt về thu thập, lưu trữ, chia sẻ và thời hạn lưu.

Các biện pháp thực tế nên có:

• Mã hóa dữ liệu khi truyền và khi lưu.
• Phân quyền chặt theo vai trò: giáo viên, admin, CSKH, kỹ thuật.
• Ẩn/mask dữ liệu trên dashboard nội bộ.
• Không dùng dữ liệu trẻ em để quảng cáo hành vi nếu chưa có cơ sở hợp lệ.
• Có log truy cập để truy vết ai đã xem, sửa, tải dữ liệu.
• Rà soát SDK, tracker, pixel, công cụ đo lường bên thứ ba vì chúng làm phát sinh nghĩa vụ thông báo và kiểm soát chia sẻ dữ liệu.

Với startup EdTech, lỗi hay gặp là dùng chung analytics cho toàn bộ user mà không tách luồng trẻ em. Tốt hơn là tạo cấu hình riêng cho tài khoản học sinh: ít theo dõi hơn, thời gian lưu ngắn hơn, và mặc định tắt các tính năng không cần thiết.

Ví dụ thực tế: app học tiếng Anh cho học sinh tiểu học

Một app luyện nghe-nói cho học sinh tiểu học thường thu họ tên, lớp, giọng nói, file ghi âm, lịch sử bài học, và dữ liệu thiết bị. Nếu app muốn dùng ghi âm để “cải thiện AI”, doanh nghiệp cần kiểm tra lại mục đích ban đầu, thông báo rõ cho phụ huynh, và chỉ xử lý trong phạm vi đã được đồng ý theo quy định.

Nếu app tích hợp bên thứ ba để phân tích giọng nói hoặc gửi dữ liệu sang cloud nước ngoài, cần xem lại cơ sở pháp lý, hợp đồng xử lý dữ liệu, cơ chế kiểm soát truy cập, và các yêu cầu chuyển dữ liệu xuyên biên giới theo quy định hiện hành. Trường hợp chưa chắc chắn, nên hỏi luật sư trước khi triển khai.

Nếu xảy ra rò rỉ dữ liệu học sinh thì phải làm gì?

Nếu phát hiện lộ lọt tài khoản học sinh, file điểm, danh sách lớp hoặc bản ghi âm của trẻ em, doanh nghiệp cần kích hoạt quy trình ứng phó ngay. Theo quy định, thông báo vi phạm dữ liệu phải được thực hiện trong 72 giờ kể từ khi phát hiện.

Điểm cần làm sớm:

• Khóa nguồn rò rỉ và đổi khóa/API key nếu cần.
• Xác định loại dữ liệu, số lượng, nhóm người dùng bị ảnh hưởng.
• Ghi nhận thời điểm phát hiện và phạm vi tác động.
• Chuẩn bị thông báo cho cơ quan có thẩm quyền theo quy định.
• Thông báo cho phụ huynh/người giám hộ theo mức độ ảnh hưởng thực tế.

Với dữ liệu trẻ em, chậm xử lý thường gây hậu quả lớn hơn vì phụ huynh có xu hướng khiếu nại nhanh và tác động danh tiếng rất mạnh.

Cần chuẩn bị gì trước khi triển khai sản phẩm EdTech?

Trước khi launch, hãy làm 4 việc: lập bản đồ dữ liệu trẻ em đang thu, phân loại ai là chủ thể dữ liệu và ai là người đại diện, soạn lại màn hình consent/notice, và kiểm tra toàn bộ nhà cung cấp tích hợp. Nếu có thu thập dữ liệu học sinh quy mô lớn, đừng để team product tự quyết một mình; nên có checklist pháp lý và kỹ thuật cùng kiểm tra.

Nếu bạn đang xây dựng banner cookie, lưu bằng chứng đồng ý hay luồng DSAR cho nền tảng EdTech, consent.vn có thể giúp chuẩn hóa ngay từ thiết kế sản phẩm.

Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP; Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — https://thuvienphapluat.vn; https://bocongan.gov.vn