Từ vụ Grab bị phạt 1,36 tỷ đồng: Các app gọi xe được thu thập, sử dụng dữ liệu khách hàng đến đâu?

Theo thông tin báo chí, Ủy ban Cạnh tranh Quốc gia xác định Grab có 6 hành vi vi phạm quy định về bảo vệ quyền lợi người tiêu dùng và yêu cầu doanh nghiệp thực hiện các biện pháp khắc phục. Trong đó có những vấn đề liên quan đến quyền lựa chọn của người tiêu dùng trong việc cung cấp, sử dụng thông tin cá nhân, bên cạnh các nội dung về điều kiện giao dịch.

Vụ việc chỉ liên quan đến hành vi cụ thể của Grab được cơ quan có thẩm quyền xem xét, không đồng nghĩa các nền tảng gọi xe khác cũng có hành vi vi phạm tương tự.

Tuy nhiên, khi một ứng dụng không còn chỉ phục vụ gọi xe mà mở rộng sang giao đồ ăn, giao hàng, mua sắm, thanh toán và nhiều tiện ích khác, câu chuyện dữ liệu cá nhân của khách hàng được thu thập và sử dụng như thế nào ngày càng đáng quan tâm.

Một cuốc xe có thể để lại nhiều dữ liệu hơn người dùng nghĩ

Để kết nối một hành khách với tài xế, ứng dụng gọi xe cần xử lý một lượng thông tin nhất định phục vụ việc cung cấp dịch vụ.

Tùy từng nền tảng, tính năng và quyền mà người dùng cho phép, dữ liệu phát sinh có thể liên quan đến:

• Họ tên, số điện thoại, email và thông tin tài khoản;

• Vị trí của người dùng;

• Điểm đón và điểm đến;

• Thời gian đặt xe;

• Loại phương tiện, dịch vụ được lựa chọn;

• Lịch sử chuyến đi;

• Phương thức thanh toán và thông tin liên quan đến giao dịch;

• Thiết bị sử dụng ứng dụng;

• Đánh giá, phản hồi hoặc khiếu nại;

• Thông tin phát sinh trong quá trình sử dụng dịch vụ.

Đối với tài xế, hoạt động trên nền tảng cũng có thể phát sinh nhiều dữ liệu như vị trí, thời gian trực tuyến, lịch sử nhận chuyến, hủy chuyến và các thông tin phục vụ việc điều phối.

Một dữ liệu riêng lẻ có thể không nói lên nhiều điều. Nhưng khi lịch sử sử dụng được tích lũy trong thời gian dài, chúng có thể phản ánh khá rõ thói quen của một người.

Chẳng hạn, lịch sử điểm đón và điểm đến có thể phần nào thể hiện những địa điểm người dùng thường xuyên lui tới. Lịch sử đặt đồ ăn có thể phản ánh thói quen tiêu dùng. Thời gian đặt dịch vụ cho thấy các khung giờ hoạt động thường xuyên.

Đặc biệt, Luật Bảo vệ dữ liệu cá nhân 2025 xác định dữ liệu vị trí cá nhân là dữ liệu được xác định thông qua công nghệ định vị để biết vị trí và giúp xác định một con người cụ thể.

Do đó, thông tin vị trí không đơn thuần chỉ là một “chấm trên bản đồ”, mà là dữ liệu cá nhân cần được bảo vệ theo quy định pháp luật.

Khi app gọi xe trở thành “siêu ứng dụng”, lượng dữ liệu cũng tăng theo

Trước đây, người dùng có thể chỉ mở một ứng dụng để đặt xe từ điểm A đến điểm B.

Hiện nay, nhiều nền tảng đã phát triển hệ sinh thái dịch vụ rộng hơn như giao đồ ăn, giao hàng, mua sắm, đặt vé, thanh toán hoặc kết nối với những dịch vụ khác.

Điều này mang lại sự thuận tiện nhưng cũng đồng nghĩa mỗi người có thể tạo ra nhiều nhóm dữ liệu khác nhau trên cùng một hệ sinh thái.

Ví dụ, từ hoạt động gọi xe, nền tảng có thể có thông tin về địa điểm và thời gian di chuyển. Khi sử dụng thêm dịch vụ giao đồ ăn, dữ liệu có thể xuất hiện thêm về địa chỉ nhận hàng, món ăn, nhà hàng và khung giờ đặt món. Khi thanh toán trực tuyến, lại phát sinh thêm thông tin liên quan đến giao dịch.

Nếu những dữ liệu này được kết hợp và phân tích, doanh nghiệp có thể hiểu sâu hơn về hành vi và nhu cầu của từng nhóm khách hàng.

Đó cũng là lý do pháp luật không chỉ quan tâm đến việc doanh nghiệp có thu thập dữ liệu hay không, mà còn đặt ra yêu cầu đối với mục đích, phạm vi và cách thức xử lý dữ liệu.

App gọi xe có được quyền thu thập dữ liệu vị trí của khách hàng không?

Về nguyên tắc, việc một ứng dụng gọi xe cần sử dụng vị trí để cung cấp dịch vụ không phải điều bất thường. Nếu không biết điểm đón, hệ thống rất khó tìm và điều phối tài xế phù hợp.

Tuy nhiên, việc một loại dữ liệu cần thiết cho dịch vụ không đồng nghĩa doanh nghiệp có thể tùy ý thu thập và sử dụng dữ liệu đó cho mọi mục đích.

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực và trở thành một trong những căn cứ pháp lý quan trọng điều chỉnh hoạt động xử lý dữ liệu cá nhân tại Việt Nam.

Theo đó, doanh nghiệp phải tuân thủ các nguyên tắc và nghĩa vụ về bảo vệ dữ liệu cá nhân trong quá trình thu thập, lưu trữ, phân tích, sử dụng, chia sẻ và thực hiện các hoạt động xử lý dữ liệu khác.

Nói cách khác, vấn đề pháp lý không nằm ở câu hỏi đơn giản rằng “app có được thu thập vị trí không?”, mà cần xem xét:

Thu thập dữ liệu gì – để làm gì – xử lý trong phạm vi nào – trong bao lâu – chia sẻ với ai – và căn cứ pháp lý nào cho phép việc xử lý đó?

Dữ liệu thu thập để gọi xe có được dùng cho mục đích khác?

Đây là điểm người dùng và doanh nghiệp cần đặc biệt lưu ý.

Việc khách hàng cung cấp vị trí để tài xế tìm đến điểm đón không nên được hiểu mặc nhiên rằng khách hàng đã đồng ý cho doanh nghiệp sử dụng thông tin đó cho mọi mục đích khác.

Tương tự, việc người dùng cung cấp số điện thoại để tạo tài khoản không đồng nghĩa số điện thoại có thể được sử dụng không giới hạn cho quảng cáo, tiếp thị hoặc chuyển cho những đơn vị khác.

Khi doanh nghiệp muốn xử lý dữ liệu cho những mục đích như:

• Cá nhân hóa dịch vụ;

• Phân tích hành vi;

• Tiếp thị, quảng cáo;

• Nghiên cứu và phát triển sản phẩm;

• Xây dựng hồ sơ hoặc phân nhóm khách hàng;

• Kết nối với sản phẩm, dịch vụ của đối tác;

• Chia sẻ hoặc chuyển dữ liệu cho bên khác;

thì phải xem xét đầy đủ căn cứ pháp lý và các nghĩa vụ tương ứng đối với hoạt động xử lý đó.

Đặc biệt, mục đích xử lý dữ liệu cần được xác định và thông tin phù hợp; doanh nghiệp không nên coi việc khách hàng cài đặt ứng dụng hoặc sử dụng một dịch vụ là sự cho phép vô hạn đối với toàn bộ hoạt động khai thác dữ liệu về sau.

Dữ liệu chuyến xe có thể được dùng để phát triển dịch vụ mới như thế nào?

Đối với doanh nghiệp công nghệ, dữ liệu không chỉ phục vụ một giao dịch đơn lẻ.

Khi được tổng hợp ở quy mô lớn, dữ liệu có thể hỗ trợ doanh nghiệp dự báo nhu cầu, điều phối tài xế, xác định khu vực có nhu cầu cao, cải thiện thuật toán và nghiên cứu sản phẩm mới.

Ví dụ, dữ liệu tổng hợp về nhu cầu đặt món tại một khu vực có thể cho thấy vào buổi trưa có nhiều người tìm kiếm một nhóm món ăn nhưng số lượng nhà hàng cung cấp chưa đáp ứng đủ.

Ở góc độ kinh doanh, thông tin tổng hợp như vậy có thể giúp nhận diện khoảng trống thị trường, hỗ trợ nhà hàng lựa chọn khu vực mở cửa hàng hoặc điều chỉnh sản phẩm.

Tương tự, dữ liệu về mật độ đặt xe theo khu vực và thời gian có thể giúp nền tảng dự báo nhu cầu để điều phối tài xế.

Tuy nhiên, cần phân biệt dữ liệu thống kê, dữ liệu đã được xử lý theo cách không còn xác định cá nhân với việc trực tiếp sử dụng hồ sơ của một người dùng cụ thể. Càng có khả năng xác định hoặc xây dựng hồ sơ về một cá nhân, yêu cầu bảo vệ dữ liệu càng cần được xem xét chặt chẽ.

Đối với doanh nghiệp công nghệ, dữ liệu được phục vụ cho nhiều nhu cầu khác

Có được dùng lịch sử gọi xe, đặt đồ ăn để đánh giá khả năng vay tiền?

Khi các ứng dụng mở rộng hệ sinh thái sang thanh toán hoặc kết nối dịch vụ tài chính, vấn đề này càng trở nên đáng chú ý.

Về mặt công nghệ, lịch sử giao dịch có thể được phân tích để tìm ra những đặc điểm về hành vi tiêu dùng. Tuy nhiên, khả năng thực hiện về kỹ thuật không đồng nghĩa doanh nghiệp mặc nhiên được quyền sử dụng dữ liệu cho mục đích đánh giá tài chính.

Nếu dữ liệu ban đầu được thu thập để cung cấp dịch vụ gọi xe hoặc giao đồ ăn nhưng sau đó được sử dụng để đánh giá người dùng cho một sản phẩm tài chính, doanh nghiệp phải xem xét mục đích xử lý mới, căn cứ xử lý dữ liệu, phạm vi thông tin được sử dụng và các quy định chuyên ngành có liên quan.

Đặc biệt, người dùng cần được cung cấp thông tin phù hợp để có thể hiểu dữ liệu nào của mình đang được sử dụng và cho mục đích gì.

App gọi xe có được chia sẻ dữ liệu khách hàng cho tài xế và đối tác không?

Trong một chuyến xe hoặc đơn giao hàng, việc một số thông tin cần được chuyển đến tài xế hoặc đối tác thực hiện dịch vụ là khó tránh khỏi.

Chẳng hạn, tài xế cần biết vị trí đón khách hoặc địa chỉ giao hàng để hoàn thành dịch vụ.

Tuy nhiên, nguyên tắc quan trọng là phạm vi dữ liệu được tiếp cận phải phù hợp với mục đích cần thực hiện.

Một bên cần địa chỉ để giao hàng không đồng nghĩa họ cần được tiếp cận toàn bộ lịch sử giao dịch của khách hàng.

Tương tự, một nhà hàng cần thông tin để hoàn tất đơn đặt món không đồng nghĩa nhà hàng cần biết toàn bộ lịch sử di chuyển của người mua.

Doanh nghiệp vận hành nền tảng vì vậy phải quản trị quyền truy cập và hoạt động chia sẻ dữ liệu, đồng thời thực hiện các biện pháp bảo vệ phù hợp đối với dữ liệu cá nhân.

Người dùng đã bấm “đồng ý” thì doanh nghiệp có thể sử dụng dữ liệu tùy ý?

Không nên hiểu theo cách này.

Một trong những vấn đề lớn của môi trường số là người dùng thường gặp một chính sách bảo mật dài, sau đó bấm “đồng ý” để nhanh chóng sử dụng ứng dụng.

Nhưng về mặt pháp lý, một nút “đồng ý” không nên được xem như một giấy phép vô hạn cho mọi hoạt động xử lý dữ liệu.

Khi sự đồng ý là căn cứ được sử dụng để xử lý dữ liệu, doanh nghiệp cần bảo đảm việc lấy và quản lý sự đồng ý đáp ứng yêu cầu của pháp luật.

Đồng thời, doanh nghiệp cần đặc biệt thận trọng với những thiết kế giao diện khiến người dùng khó từ chối, khó tìm hiểu mục đích xử lý hoặc bị dẫn dắt đến một lựa chọn nhất định.

Vụ việc Grab bị xử phạt cũng một lần nữa đặt vấn đề quyền lựa chọn thực chất của người tiêu dùng trong môi trường ứng dụng số.

Người dùng có những quyền gì đối với dữ liệu cá nhân?

Pháp luật về bảo vệ dữ liệu cá nhân không đặt người dùng vào vị trí hoàn toàn bị động.

Tùy từng trường hợp và điều kiện pháp luật quy định, chủ thể dữ liệu có các quyền liên quan đến dữ liệu cá nhân của mình.

Người dùng vì vậy nên quan tâm đến các chức năng hoặc cơ chế mà ứng dụng cung cấp để:

• Biết dữ liệu nào đang được xử lý;

• Kiểm tra và chỉnh sửa thông tin;

• Quản lý các quyền truy cập của ứng dụng;

• Quản lý lựa chọn liên quan đến xử lý dữ liệu;

• Yêu cầu thực hiện các quyền đối với dữ liệu theo quy định;

• Khiếu nại hoặc thực hiện các biện pháp bảo vệ quyền, lợi ích hợp pháp khi có căn cứ cho rằng dữ liệu bị xử lý trái quy định.

Đặc biệt, người dùng nên định kỳ kiểm tra quyền truy cập vị trí, camera, micro, danh bạ và các quyền khác của ứng dụng trên điện thoại. Không phải tính năng nào cũng cần mọi quyền truy cập trong toàn bộ thời gian sử dụng.

Doanh nghiệp vận hành app cần lưu ý gì khi xử lý dữ liệu khách hàng?

Vụ Grab bị xử phạt là lời nhắc đáng chú ý không chỉ đối với lĩnh vực gọi xe mà còn với mọi doanh nghiệp vận hành website, ứng dụng, sàn thương mại điện tử hoặc nền tảng số có xử lý dữ liệu khách hàng.

Trong năm 2026, khi Luật Bảo vệ dữ liệu cá nhân 2025 đã có hiệu lực, doanh nghiệp cần rà soát toàn bộ vòng đời dữ liệu thay vì chỉ đăng một “Chính sách bảo mật” trên website hoặc ứng dụng.

Một số vấn đề cần đặc biệt quan tâm gồm:

• Doanh nghiệp đang thu thập những loại dữ liệu nào?

• Mỗi loại dữ liệu được thu thập cho mục đích gì?

• Căn cứ pháp lý nào được sử dụng để xử lý?

• Có thu thập dữ liệu vượt quá nhu cầu thực tế hay không?

• Dữ liệu được lưu trữ trong bao lâu?

• Bộ phận nào được quyền tiếp cận?

• Dữ liệu có được chia sẻ cho công ty liên kết, nhà cung cấp hoặc đối tác không?

• Có hoạt động phân tích hành vi, cá nhân hóa hoặc quảng cáo dựa trên dữ liệu không?

• Cơ chế lấy và rút lại sự đồng ý đã phù hợp chưa?

• Khi khách hàng yêu cầu thực hiện quyền đối với dữ liệu, doanh nghiệp xử lý như thế nào?

• Nếu xảy ra sự cố liên quan đến dữ liệu, quy trình ứng phó đã được xây dựng hay chưa?

Đặc biệt, doanh nghiệp không nên đồng nhất việc “đã có chính sách bảo mật” với việc “đã tuân thủ pháp luật về bảo vệ dữ liệu cá nhân”.

Chính sách bảo mật chỉ là một phần. Việc tuân thủ còn liên quan đến toàn bộ quy trình thu thập, xử lý, phân quyền truy cập, lưu trữ, chia sẻ, bảo mật và xóa dữ liệu trong thực tế.

Từ vụ Grab bị phạt 1,36 tỷ đồng: Dữ liệu khách hàng không thể được xem là nguồn tài nguyên “muốn dùng thế nào cũng được”

Sự phát triển của các ứng dụng gọi xe cho thấy dữ liệu ngày càng có giá trị đối với hoạt động kinh doanh.

Một chuyến xe có thể tạo ra dữ liệu vị trí. Một đơn đồ ăn tạo thêm dữ liệu tiêu dùng. Một giao dịch thanh toán lại bổ sung một lớp thông tin khác. Khi hàng triệu giao dịch được kết nối và phân tích, doanh nghiệp có thể hiểu rất sâu về nhu cầu thị trường và hành vi khách hàng.

Nhưng chính giá trị đó cũng khiến trách nhiệm pháp lý đối với dữ liệu ngày càng lớn.

Doanh nghiệp có thể xử lý dữ liệu để vận hành và phát triển dịch vụ, nhưng phải trong khuôn khổ pháp luật. Người dùng cung cấp dữ liệu để sử dụng ứng dụng cũng không đồng nghĩa từ bỏ quyền kiểm soát đối với thông tin cá nhân của mình.

Với doanh nghiệp đang vận hành website, ứng dụng hoặc nền tảng số, việc rà soát chính sách và quy trình xử lý dữ liệu không còn chỉ là vấn đề kỹ thuật hay bảo mật thông tin, mà đã trở thành một nội dung quan trọng trong quản trị rủi ro pháp lý.

Nếu có bất kỳ thắc mắc hay cần tư vấn pháp luật vui lòng liên hệ chúng tôi qua các hình thức sau:

Hotline Luật sư tư vấn trực tiếp: 1900 2929 01

Nhập thông tin đăng ký tư vấn luật tại đây: https://luatsulh.com/dang-ky-tu-van.html

Liên hệ đặt lịch hẹn qua zalo số: 0903 796 830

Website: https://luatsulh.com/

Văn phòng: Hồ Chí Minh | Hà Nội | Khánh Hòa

Theo dõi Công ty Luật LH Legal tại:

Website: https://luatsulh.com/

Facebook: Luật sư LH Legal

Youtube: Luật sư LH Legal

Kênh Tiktok Luật sư Hoà: Luật sư Hoà (LH Legal)

Kênh Tiktok Công ty: Luật sư LH Legal

Kênh Tiktok Luật sư Hình sự: Luật sư Hình sự

Kênh Zalo OA

Hồ sơ năng lực LH Legal