Bảo vệ dữ liệu cá nhân: Áp lực mới trong chiến lược phát triển của Zalo

Những ngày cuối năm 2025, cộng đồng người dùng Zalo chứng kiến một tình huống chưa từng có tiền lệ: hoặc chấp nhận điều khoản sử dụng mới, bao gồm việc cho phép xử lý dữ liệu cá nhân ở phạm vi rộng hơn, hoặc tài khoản sẽ bị xóa sau 45 ngày. Sự việc không chỉ dừng lại ở một tranh cãi giữa doanh nghiệp và người dùng, mà nhanh chóng trở thành phép thử lớn đầu tiên đối với hiệu lực thực tế của Luật Bảo vệ dữ liệu cá nhân 2025, chuẩn bị có hiệu lực từ ngày 1/1/2026.

“Cưỡng ép kỹ thuật số” và sự đồng ý mang tính hình thức

TS Nguyễn Tấn Sơn, Chủ nhiệm cấp cao bộ môn Kế toán và Luật, Đại học RMIT Việt Nam, nhận định, với vị thế của một “siêu ứng dụng” gần như không thể thay thế trong đời sống xã hội Việt Nam, từ liên lạc cá nhân, kinh doanh đến giao dịch công việc, Zalo đang sở hữu lợi thế thị trường vượt trội. Khi người dùng không có lựa chọn thực tế nào khác, pháp luật buộc phải đóng vai trò “tấm khiên” để điều chỉnh quyền lực và bảo vệ bên yếu thế.

Vả trong câu chuyện của Zalo, theo ông Sơn, cốt lõi của tranh cãi nằm ở lựa chọn “chấp nhận hoặc bị xóa tài khoản”. Về bản chất, đây là một dạng “cưỡng ép kỹ thuật số”, nơi tính tự nguyện, vốn là nền tảng của mọi sự đồng ý hợp pháp, lại bị triệt tiêu.

Theo ông Sơn, Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ: sự đồng ý của chủ thể dữ liệu chỉ có giá trị khi được đưa ra trên cơ sở tự nguyện, có đầy đủ thông tin và không bị điều kiện hóa. Khi quyền tiếp cận một dịch vụ thiết yếu bị đem ra làm “đòn bẩy” để buộc người dùng cho phép xử lý dữ liệu cá nhân, sự đồng ý đó khó có thể được coi là hợp lệ. Nỗi sợ bị cắt khỏi hạ tầng liên lạc thiết yếu đã chi phối hoàn toàn quyết định của người dùng.

Đáng chú ý, luật cũng cấm doanh nghiệp gắn việc đồng ý xử lý dữ liệu với các mục đích khác ngoài nội dung thỏa thuận cốt lõi. Trong bối cảnh này, “bấm đồng ý” không còn là sự lựa chọn, mà chỉ là phản xạ để tránh bị loại khỏi hệ sinh thái số.

Dẫn chứng từ thực tiễn quốc tế, vị chuyên gia của RMIT Việt Nam nhấn mạnh, các hệ thống pháp luật tiên tiến đã sớm nhận diện rủi ro từ mô hình “đồng ý hoặc rời khỏi dịch vụ”. Chẳng hạn, tại Liên minh châu Âu, sự đồng ý chỉ được coi là hợp lệ khi không tồn tại chênh lệch quyền lực rõ rệt giữa doanh nghiệp và người dùng. Khi dịch vụ mang tính thiết yếu, việc buộc người dùng chấp nhận điều khoản để tiếp tục sử dụng thường bị xem là không đáp ứng tiêu chuẩn tự nguyện.

Australia và Canada cũng đi theo hướng tương tự: doanh nghiệp phải chứng minh sự cần thiết và hợp lý của việc thu thập dữ liệu; sự “đồng ý có ý nghĩa” chỉ tồn tại khi người dùng thực sự hiểu dữ liệu sẽ được dùng vào đâu và có hệ quả gì. Việc tiếp tục sử dụng dịch vụ vì không còn lựa chọn khác không bao giờ được coi là đồng ý hợp lệ.

"Trong bối cảnh đó, cách tiếp cận 'tất cả hoặc không có gì' của Zalo cho thấy khoảng cách đáng lo ngại giữa thực tiễn kinh doanh tại Việt Nam và chuẩn mực bảo vệ quyền riêng tư toàn cầu", tiến sĩ Sơn nhận xét.

“Tối hậu thư 45 ngày” và dấu hiệu xung đột pháp luật

Không chỉ đặt vấn đề về tính hợp lệ của sự đồng ý, việc đe dọa xóa tài khoản còn tiềm ẩn xung đột trực tiếp với Luật Bảo vệ dữ liệu cá nhân 2025. Trên thực tế, luật chỉ cho phép xóa dữ liệu trong những trường hợp cụ thể như hoàn thành mục đích xử lý, hết thời hạn lưu trữ hoặc theo yêu cầu của chính chủ thể dữ liệu. Doanh nghiệp không được trao quyền sử dụng “xóa tài khoản” như công cụ gây sức ép.

Cách làm này còn làm suy yếu quyền cơ bản của người dùng, đặc biệt là quyền không đồng ý hoặc rút lại sự đồng ý.

"Thay vì tạo điều kiện để người dùng thực thi quyền, 'tối hậu thư 45 ngày' có thể bị nhìn nhận như hành vi cản trở bảo vệ dữ liệu cá nhân, điều mà luật mới nghiêm cấm", ông Sơn nói thêm.

Phân tích sâu hơn, chuyên gia của RMIT Việt Nam nhấn mạnh, nguy cơ lớn nhất không nằm ở những dữ liệu người dùng biết mình đã cung cấp, mà ở các dữ liệu phái sinh được tạo ra âm thầm thông qua phân tích hành vi, mạng lưới quan hệ và thuật toán AI. Từ thói quen sinh hoạt, xu hướng tiêu dùng đến quan điểm cá nhân, những “hồ sơ số” này có thể bị khai thác sâu mà người dùng không hề hay biết.

Trong khi đó, Luật Bảo vệ dữ liệu cá nhân chỉ cho phép phân tích, tổng hợp và chuyển giao dữ liệu khi có sự đồng ý hợp lệ, dựa trên thông tin minh bạch. Những điều khoản diễn đạt chung chung về mục đích sử dụng và bên nhận dữ liệu khó có thể đáp ứng tiêu chuẩn này.

"Luật Bảo vệ dữ liệu cá nhân 2025 ra đời nhằm giảm sự mất cân đối quyền lực trong nền kinh tế số. Khi luật chính thức có hiệu lực từ ngày 1/1/2026, các doanh nghiệp công nghệ không còn có thể tự ý định đoạt quyền riêng tư của người dùng", ông Sơn nói thêm.

“Gót chân Achilles” trong hệ sinh thái VNG

Trở lại câu chuyện của Zalo, những tranh cãi xoay quanh quyền riêng tư đang khiến nền tảng này đối mặt với làn sóng phản ứng tiêu cực, thậm chí là kêu gọi tẩy chay. Trong bối cảnh Zalo giữ vai trò “con bò sữa” và là nền tảng điều hướng người dùng quan trọng bậc nhất trong hệ sinh thái VNG, bất kỳ khủng hoảng niềm tin nào cũng có thể tác động trực tiếp đến kết quả kinh doanh của tập đoàn.

Theo báo cáo tài chính hợp nhất quý III/2025, Zalo cùng mảng game tiếp tục là hai trụ cột doanh thu của VNG, giúp doanh thu thuần đạt 2.535 tỷ đồng, tăng 8,6% so với cùng kỳ. Đáng chú ý, sự tăng trưởng của các dịch vụ trên nền tảng Zalo đã kéo biên lợi nhuận gộp toàn tập đoàn cải thiện từ 32% lên 37%, tương đương 938 tỷ đồng.

Không chỉ tạo doanh thu trực tiếp từ quảng cáo và dịch vụ doanh nghiệp, Zalo còn đóng vai trò then chốt trong việc dẫn dắt người dùng sang các mảng fintech và cloud, góp phần giúp dòng tiền thuần từ hoạt động kinh doanh 9 tháng đầu năm 2025 của VNG đảo chiều sang mức dương 136 tỷ đồng.

Với quy mô người dùng lớn, Zalo trở thành “vùng đệm” tài chính, giúp VNG giảm áp lực từ các khoản lỗ tại công ty liên kết và chi phí đầu tư lớn cho AI và cloud.

Trong bối cảnh VNG vẫn ghi nhận lỗ ròng do chi phí tài chính và đầu tư dài hạn tăng cao, mảng Zalo đang là nguồn thu ổn định để nuôi dưỡng các tham vọng công nghệ trong tương lai. Như chia sẻ của ông Lê Hồng Minh, nhà sáng lập kiêm CEO VNG hồi cuối tháng 10/2025, thành công hiện tại của Zalo là kết quả của hơn một thập kỷ kiên trì, nhưng đó mới chỉ là bước khởi đầu.

“Mục tiêu của Zalo không chỉ là kết nối, mà là phục vụ nhiều nhu cầu đa dạng hơn, và có thể cần thêm 10 năm nữa để hiện thực hóa”, ông Minh thẳng thắn.

Tuy nhiên, nếu không sớm kiểm soát khủng hoảng truyền thông liên quan đến quyền riêng tư, tham vọng đó có nguy cơ bị kéo giãn đáng kể.

Nhìn sâu hơn vào cấu trúc tài chính, VNG vẫn đối mặt với những “điểm nghẽn” lớn. Tính đến ngày 30/9/2025, tổng nợ vay đạt 2.898 tỷ đồng, tăng 46,4% so với đầu năm, kéo chi phí lãi vay quý III lên 118 tỷ đồng, tăng 82% so với cùng kỳ. Song song đó, các khoản đầu tư vào công ty liên kết tiếp tục kém hiệu quả với dự phòng giảm giá đầu tư tài chính dài hạn lên tới hơn 4.276 tỷ đồng và khoản lỗ 151 tỷ đồng chỉ trong 9 tháng.

Dù vậy, điểm sáng là chất lượng dòng tiền kinh doanh đã cải thiện rõ rệt, cho thấy hoạt động cốt lõi vẫn tạo ra tiền mặt thực. Lưu chuyển tiền thuần từ hoạt động kinh doanh 9 tháng đạt dương 136 tỷ đồng, đảo chiều mạnh so với mức âm 380 tỷ đồng cùng kỳ năm trước.

Rõ ràng, thách thức lớn nhất của VNG hiện không nằm ở khả năng tạo doanh thu, mà ở hiệu quả phân bổ vốn và quản trị rủi ro đầu tư. Trong bối cảnh đó, những diễn biến xoay quanh Zalo không chỉ là câu chuyện truyền thông, mà còn là phép thử quan trọng đối với Luật Bảo vệ dữ liệu cá nhân 2025 - nơi không nền tảng số nào, dù lớn đến đâu, có thể đứng trên pháp luật khi xử lý dữ liệu của người dùng.