Trách nhiệm bảo vệ dữ liệu cá nhân của Trường Tiểu học

Với sự ra đời và hiệu lực của Luật Bảo vệ dữ liệu cá nhân 2025, các cơ sở giáo dục như Trường Tiểu học không chỉ cần hiểu mà còn phải triển khai một lộ trình tuân thủ nghiêm ngặt. Việc không tuân thủ không chỉ gây ảnh hưởng đến uy tín mà còn đối mặt với các rủi ro pháp lý nghiêm trọng.

Bài viết này Luật Kỳ Vọng Việt sẽ đi sâu phân tích trách nhiệm Bảo vệ dữ liệu cá nhân cụ thể mà mỗi Trường Tiểu học phải thực hiện theo quy định mới, từ việc thu thập sự đồng ý hợp pháp, xây dựng quy chế bảo mật nội bộ, đến các biện pháp bảo vệ dữ liệu trẻ em một cách đặc biệt.

1. Dữ liệu cá nhân Trường Tiểu học xử lý

Căn cứ pháp lý: Khoản 1, 2, 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025

(1) Dữ liệu cá nhân là dữ liệu số hoặc thông tin xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

Dữ liệu cá nhân cơ bản: thông tin cá nhân (họ tên, ngày sinh, số điện thoại,…)

Dữ liệu cá nhân nhạy cảm (gắn liền với quyền riêng tư của cá nhân): kết quả kiểm tra sức khỏe định kỳ, hồ sơ bệnh án; hình ảnh giám sát từ camera an ninh, dữ liệu vân tay, khuôn mặt,…

(2) Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh. Đối với Trường Tiểu học Chủ thể dữ liệu cá nhân bao gồm: nhân viên, giáo viên, phụ huynh, người giám hộ, học sinh…

2. Trường Tiểu học đóng vai trò gì?

Căn cứ pháp lý: Khoản 6, 7, 8. 9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025

Khi thực hiện hoạt động bảo vệ dữ liệu cá nhân, tổ chức có thể sẽ thuộc một trong các vai trò sau:

Bên kiểm soát dữ liệu cá nhân. Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân
Bên xử lý dữ liệu cá nhân. Thực hiện việc xử lý dữ liệu cá nhân. Ví dụ như: thu thập, phân tích, tổng hợp, mã hóa giải mã, chỉnh sửa, …. Theo yêu cầu và thông qua hợp đồng.
Bên kiểm soát và xử lý dữ liệu cá nhân. Quyết định mục đích, phương tiện, trực tiếp xử lý dữ liệu.

Như vậy, Trường Tiểu học sẽ có vai trò là Bên kiểm soát dữ liệu cá nhân hoặc Bên xử lý dữ liệu cá nhân hoặc cả hai.

3. Trách nhiệm bảo vệ dữ liệu cá nhân của Trường Tiểu học khi là Bên kiểm soát dữ liệu cá nhân

Căn cứ pháp lý: Khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025

Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân.
Quyết định mục đích và phương tiện xử lý dữ liệu tại các văn bản, thỏa thuận với chủ thể.
Thực hiện biện pháp quản lý, kỹ thuật phù hợp.
Thông báo hành vi vi phạm về bảo vệ dữ liệu cá nhân cho cơ quan chuyên trách.
Lựa chọn bên xử lý dữ liệu cá nhân phù hợp.
Bảo đảm các quyền của chủ thể dữ liệu cá nhân.
Chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý dữ liệu gây ra.
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị của mình.
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

4. Trách nhiệm bảo vệ dữ liệu cá nhân của Trường Tiểu học khi là Bên xử lý dữ liệu cá nhân

Căn cứ pháp lý: Khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025

Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.
Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu.
Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định.
Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị,…
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

5. Một số trách nhiệm khác của Trường Tiểu học

Căn cứ pháp lý: Khoản 2 Điều 20, Khoản 2 Điều 21, Khoản 2 Điều 24 Luật Bảo vệ dữ liệu cá nhân 2025

(1) Thực hiện đánh giá tác động xử lý dữ liệu cá nhân. Trường Tiểu học có trách nhiệm lập, lưu trữ, và gửi 01 bản chính hồ sơ đánh giá tác động cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày. Bên cạnh đó, hồ sơ này cần được cập nhật định kỳ 06 tháng khi có sự thay đổi.

(2) Đối với dữ liệu cá nhân của trẻ em. Người đại diện theo pháp luật thay mặt thực hiện các quyền của chủ thể dữ liệu cá nhân, và trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật.

(3) Chuyển dữ liệu cá nhân ra nước ngoài. Nếu có dữ liệu chuyển ra nước ngoài, Trường Tiểu học có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày sau khi chuyển dữ liệu.

6. Hậu quả pháp lý của hành vi vi phạm về bảo vệ dữ liệu cá nhân

Căn cứ pháp lý:

Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025
Điều 584 Bộ luật Dân sự 2015

Hành vi vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự tùy tính chất, mức độ… vi phạm. Nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Hành chính

Hành vi mua, bán dữ liệu cá nhân. Tối đa 10 lần khoản thu có được từ hành vi vi phạm. (Nếu không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn 03 tỷ => Phạt tiền tối đa là 03 tỷ đồng)
Hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới. Tối đa 5% doanh thu của năm trước liền kề của tổ chức. (Nếu không có doanh thu năm trước hoặc mức phạt tính theo khoản thu thấp hơn 03 tỷ => Phạt tiền tối đa là 03 tỷ đồng)
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng.

Dân sự

Trường Tiểu học có thể bị khởi kiện đòi bồi thường thiệt hại. Về tinh thần và vật chất nếu thiệt hại có thật và có đủ chứng cứ.
Ngoài ra, sau khi có hành vi vi phạm, danh dự và uy tín của. Trường Tiểu học cũng sẽ bị ảnh hưởng.

Vì vậy, để đảm bảo trách nhiệm về bảo vệ dữ liệu cá nhân. Trường Tiểu học cần thực hiện các công việc sau:

Xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân. Nêu rõ những việc cần thực hiện, phải thực hiện của bên kiểm soát dữ liệu. Bên xử lý dữ liệu, bên thứ ba và bao gồm các phòng, ban liên quan của họ.
Áp dụng các tiêu chuẩn bảo vệ dữ liệu cá nhân phù hợp.
Nên chỉ định người phụ trách bảo vệ dữ liệu cá nhân. Cử 1 cán bộ chuyên trách hoặc kiêm nhiệm chịu trách nhiệm:
Theo dõi, tiếp nhận phản ánh, khiếu nại của nhân viên, phụ huynh,…
Phối hợp với Bộ Công an khi được yêu cầu

KẾT LUẬN

Việc thực hiện Trách nhiệm Bảo vệ dữ liệu cá nhân không còn là tùy chọn mà đã trở thành nghĩa vụ pháp lý bắt buộc đối với mỗi Trường Tiểu học kể từ khi Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực. Các trường cần coi đây là một khoản đầu tư chiến lược để xây dựng niềm tin với phụ huynh và đảm bảo môi trường học tập an toàn, minh bạch cho học sinh.

Trên đây là Trách nhiệm bảo vệ dữ liệu cá nhân của Trường Tiểu học. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với Luật Kỳ Vọng Việt để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 090.225.5492