Thông tin nào không được phép yêu cầu cung cấp theo pháp luật?

Khung pháp lý về giới hạn yêu cầu cung cấp thông tin

Trong pháp luật Việt Nam, quyền yêu cầu cung cấp thông tin không phải là quyền tuyệt đối. Việc thu thập, xác minh và sử dụng thông tin phải phù hợp với mục đích, đúng phạm vi và bảo đảm tôn trọng quyền riêng tư, bí mật cá nhân, bí mật gia đình và dữ liệu cá nhân. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 trở thành đạo luật nền tảng điều chỉnh trực tiếp nhiều hành vi liên quan đến việc yêu cầu, tiếp nhận và xử lý dữ liệu của cá nhân. Theo điểm d khoản 1 Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025, hành vi xử lý dữ liệu cá nhân trái quy định của pháp luật là hành vi bị nghiêm cấm.

Ở góc độ thực tiễn, câu hỏi trọng tâm không chỉ là “có được thu thập hay không”, mà còn là “loại thông tin nào pháp luật không cho phép yêu cầu cung cấp”. Giới hạn này đặc biệt rõ trong hoạt động xác thực tài khoản, giao dịch điện tử, tuyển dụng, cung ứng dịch vụ và quản lý nội bộ của cơ quan, tổ chức. Khi một yêu cầu vượt quá phạm vi luật cho phép, yêu cầu đó không làm phát sinh nghĩa vụ cung cấp đối với cá nhân.

Những thông tin không được phép yêu cầu cung cấp

1. Hình ảnh, video chứa toàn bộ hoặc một phần giấy tờ tùy thân để xác thực tài khoản

Pháp luật hiện hành quy định rõ rằng không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản. Quy định này nhằm ngăn chặn việc thu thập tràn lan dữ liệu định danh, giảm nguy cơ lộ lọt thông tin căn cước, số định danh, ảnh chân dung và các chi tiết nhận dạng khác. Đây là giới hạn trực tiếp áp dụng cho hoạt động xác thực trên môi trường số.

Vì vậy, nếu một nền tảng, ứng dụng hoặc tổ chức yêu cầu người dùng gửi ảnh chụp căn cước công dân, ảnh chụp màn hình giấy tờ hoặc video quay rõ giấy tờ tùy thân chỉ để “xác minh” mà không có căn cứ pháp luật phù hợp, yêu cầu đó trái quy định. Cách thức xác thực phải chuyển sang biện pháp ít xâm lấn hơn, tương xứng với mục đích xử lý dữ liệu.

2. Dữ liệu cá nhân không cần thiết cho mục đích đã công bố

Pháp luật bảo vệ dữ liệu cá nhân đặt ra nguyên tắc cần thiết và tương xứng trong xử lý dữ liệu. Theo đó, cơ quan, tổ chức không được yêu cầu cung cấp những thông tin vượt quá phạm vi mục đích đã xác định, đặc biệt khi dữ liệu đó không liên quan trực tiếp đến việc cung ứng dịch vụ, thực hiện hợp đồng, tuyển dụng hoặc quản trị hệ thống. Đây là giới hạn quan trọng để ngăn chặn tình trạng thu thập “cho đủ hồ sơ” nhưng không có căn cứ sử dụng thực sự.

Trong thực tiễn, các thông tin như quan hệ gia đình, tình trạng hôn nhân, tôn giáo, tình trạng sức khỏe, thói quen cá nhân, lịch sử tài chính hoặc thông tin sinh trắc học chỉ được yêu cầu khi có cơ sở pháp lý rõ ràng và mục đích hợp pháp cụ thể. Nếu không có căn cứ cần thiết, việc đặt ra yêu cầu cung cấp các thông tin này bị xem là vượt quá giới hạn xử lý dữ liệu.

3. Dữ liệu thuộc nhóm bị nghiêm cấm xử lý hoặc bị cấm khai thác trái quy định

Luật Bảo vệ dữ liệu cá nhân 2025 tại Điều 7 liệt kê nhóm hành vi bị nghiêm cấm, trong đó bao gồm mua, bán dữ liệu cá nhân; chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân; và sử dụng dữ liệu cá nhân trái pháp luật. Khi một chủ thể yêu cầu cung cấp thông tin nhằm phục vụ cho việc mua bán, chuyển giao trái phép hoặc khai thác ngoài mục đích hợp pháp, yêu cầu đó rơi vào vùng cấm của pháp luật.

Do đó, không được yêu cầu cá nhân cung cấp dữ liệu để tạo lập nguồn dữ liệu thương mại trái phép, để chia sẻ cho bên thứ ba không có căn cứ, hoặc để phục vụ các hành vi gây phương hại đến quyền, lợi ích hợp pháp của người khác. Cơ sở pháp lý ở đây không chỉ là nguyên tắc bảo vệ dữ liệu, mà còn là chế tài cấm tuyệt đối đối với các hành vi khai thác dữ liệu trái quy định.

Các trường hợp yêu cầu thông tin bị giới hạn chặt chẽ theo lĩnh vực

1. Xác thực tài khoản trên nền tảng số

Trong môi trường số, pháp luật đã đặt ra giới hạn cụ thể đối với việc yêu cầu giấy tờ tùy thân dưới dạng hình ảnh hoặc video. Điều này có ý nghĩa đặc biệt đối với mạng xã hội, dịch vụ trực tuyến, ứng dụng cung cấp nội dung và các hệ thống đăng ký người dùng. Chỉ những yêu cầu thật sự cần thiết, có cơ sở pháp lý rõ ràng và tương xứng mới được chấp nhận.

Việc yêu cầu cung cấp bản chụp toàn bộ căn cước công dân, hộ chiếu hoặc video cầm giấy tờ trước mặt để mở tài khoản, trừ trường hợp luật chuyên ngành cho phép, không phù hợp với giới hạn nêu trên. Cách tiếp cận đúng là áp dụng phương thức xác thực ít xâm phạm hơn, bảo đảm an toàn dữ liệu ngay từ khâu thu thập.

2. Thu thập dữ liệu trong quan hệ lao động, dịch vụ và giao dịch dân sự

Trong tuyển dụng, cung ứng dịch vụ hoặc giao kết hợp đồng, bên yêu cầu không được biến nghĩa vụ cung cấp thông tin thành công cụ thu thập dữ liệu quá mức. Chỉ những thông tin cần thiết để đánh giá năng lực, thực hiện hợp đồng hoặc đáp ứng yêu cầu pháp luật mới được đặt ra. Những dữ liệu ngoài phạm vi đó, nhất là dữ liệu nhạy cảm hoặc dữ liệu riêng tư sâu, phải được loại trừ nếu không có căn cứ đặc biệt.

Ví dụ, việc yêu cầu toàn bộ lịch sử bệnh án, thông tin tài khoản ngân hàng, danh sách liên hệ cá nhân hoặc quan hệ gia đình trong một giao dịch thông thường đều không đáp ứng tiêu chí cần thiết. Sự hạn chế này nhằm bảo đảm nguyên tắc tối thiểu hóa dữ liệu trong pháp luật hiện hành.

Nguyên tắc nhận diện yêu cầu cung cấp thông tin trái pháp luật

Một yêu cầu cung cấp thông tin có dấu hiệu trái pháp luật khi nó thiếu căn cứ pháp lý, không phục vụ mục đích hợp pháp, vượt quá phạm vi cần thiết hoặc xâm phạm trực tiếp dữ liệu cá nhân nhạy cảm. Ngoài ra, yêu cầu đó cũng trái pháp luật nếu nhằm thực hiện hành vi bị cấm như mua bán, chiếm đoạt, làm lộ hoặc sử dụng dữ liệu cá nhân trái quy định theo Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025. Đây là tiêu chí thực hành quan trọng để cá nhân và tổ chức tự kiểm tra tính hợp pháp của việc thu thập thông tin.

Trong trường hợp phát sinh tranh chấp, việc đánh giá phải đặt trên ba trụ cột: cơ sở pháp lý, mục đích xử lý và mức độ tương xứng của dữ liệu yêu cầu. Nếu một trong ba yếu tố này không đạt, yêu cầu cung cấp thông tin không có giá trị ràng buộc. Cách tiếp cận này phù hợp với xu hướng bảo vệ quyền riêng tư và bảo đảm an toàn dữ liệu trong giai đoạn chuyển đổi số.

Hệ quả pháp lý khi yêu cầu thông tin bị cấm

Yêu cầu cung cấp thông tin trái pháp luật có thể dẫn đến trách nhiệm dân sự, hành chính hoặc hình sự tùy tính chất và hậu quả của hành vi. Trong lĩnh vực dữ liệu cá nhân, hành vi vi phạm còn có thể kéo theo nghĩa vụ chấm dứt xử lý, xóa dữ liệu, khắc phục hậu quả và bồi thường thiệt hại nếu làm phát sinh tổn thất cho chủ thể dữ liệu. Mức độ xử lý phụ thuộc vào hành vi cụ thể và quy định chuyên ngành liên quan.

Về quản trị tuân thủ, cơ quan, tổ chức cần rà soát biểu mẫu thu thập thông tin, quy trình xác thực, điều khoản sử dụng và chính sách quyền riêng tư để loại bỏ mọi yêu cầu vượt quá giới hạn pháp luật. Đây là yêu cầu bắt buộc để giảm rủi ro pháp lý và bảo vệ uy tín trong hoạt động.

Kết luận

Pháp luật Việt Nam không cho phép yêu cầu cung cấp thông tin một cách tùy tiện. Đặc biệt từ năm 2026, việc yêu cầu hình ảnh hoặc video chứa toàn bộ hay một phần giấy tờ tùy thân để xác thực tài khoản đã bị cấm; đồng thời, mọi hành vi xử lý dữ liệu cá nhân trái quy định đều bị nghiêm cấm theo Luật Bảo vệ dữ liệu cá nhân 2025. Do đó, chỉ những thông tin thật sự cần thiết, có căn cứ pháp lý và tương xứng với mục đích hợp pháp mới được phép yêu cầu.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15.
• Bộ luật Dân sự 2015.
• Bộ luật Hình sự 2015, sửa đổi, bổ sung 2017.
• Nghị định hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân 2025.
• Văn bản công báo và cổng thông tin pháp luật chính thức về Luật Bảo vệ dữ liệu cá nhân 2025.