Với pháp luật về dữ liệu cá nhân, nhà trường là bên quyết định mục đích và cách xử lý dữ liệu của học sinh, phụ huynh và giáo viên, nên chịu trách nhiệm chính về việc dữ liệu được thu thập đúng mục đích, giữ an toàn, chỉ chia sẻ cho người có quyền và xử lý đúng khi có sự cố. Trường không cần phòng pháp chế để tuân thủ; phần lớn nghĩa vụ chuyển thành những thói quen quản lý cụ thể.
Bài này giải thích ở mức nguyên lý: luật áp dụng cho trường thế nào, các nguyên tắc chính nghĩa là gì trong việc hằng ngày, nhà cung cấp phần mềm và công cụ AI đứng ở đâu, việc đưa dữ liệu lên công cụ có máy chủ ở nước ngoài cần lưu ý gì, và lộ trình cho một năm học. Bài không thay tư vấn pháp lý; số điều khoản, thời hạn, mẫu hồ sơ bạn đối chiếu văn bản hiện hành và hướng dẫn của cơ quan quản lý giáo dục.
Khung pháp lý áp dụng cho nhà trường
Ở Việt Nam, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/7/2023 là văn bản đầu tiên quy định tương đối đầy đủ về chủ đề này. Năm 2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/1/2026, nâng các quy định lên tầm luật, kèm các văn bản hướng dẫn thi hành. Khi đọc tài liệu cũ chỉ nhắc nghị định, bạn kiểm lại xem nội dung đó đã được luật và văn bản mới điều chỉnh thế nào.
Luật áp dụng cho mọi cơ quan, tổ chức xử lý dữ liệu cá nhân, trong đó có trường công lập và tư thục, trung tâm giáo dục. Bên cạnh đó, trường còn chịu các quy định chuyên ngành: luật giáo dục và các thông tư về hồ sơ, đánh giá học sinh, quy định về an toàn thông tin của ngành, Luật Trẻ em về quyền bí mật đời sống riêng tư của trẻ. Các lớp quy định này bổ sung cho nhau.
Điều quan trọng với nhà trường không phải nhớ số điều khoản mà là hiểu tinh thần chung: dữ liệu cá nhân thuộc về người mà nó mô tả, tổ chức chỉ được dùng trong phạm vi có cơ sở hợp pháp, phải bảo vệ và phải giải trình được. Trẻ em được bảo vệ ở mức cao hơn người lớn.
Nhà trường đứng ở vai trò nào
Bên kiểm soát dữ liệu. Trường quyết định thu thập dữ liệu gì về học sinh, dùng làm gì, lưu bao lâu. Đây là vai trò mang nhiều nghĩa vụ nhất: bảo đảm cơ sở pháp lý, minh bạch với phụ huynh, giữ an toàn, đáp ứng quyền của chủ thể dữ liệu, thông báo khi có vi phạm.
Bên xử lý dữ liệu là đơn vị làm thay. Công ty cung cấp phần mềm quản lý trường học, nền tảng học trực tuyến, dịch vụ lưu trữ đám mây xử lý dữ liệu theo yêu cầu của trường. Họ có nghĩa vụ riêng, nhưng trường vẫn chịu trách nhiệm chọn đơn vị phù hợp và ràng buộc bằng hợp đồng.
Cơ quan quản lý cấp trên. Với hệ thống cơ sở dữ liệu ngành do Bộ, Sở triển khai, vai trò được phân chia theo quy định của hệ thống đó. Trường cập nhật dữ liệu theo hướng dẫn, đồng thời vẫn chịu trách nhiệm với phần dữ liệu mình nhập và các bản sao mình giữ.
Từng giáo viên. Giáo viên xử lý dữ liệu nhân danh trường, không phải với tư cách cá nhân. Vì vậy quy định của trường về dữ liệu ràng buộc giáo viên, và một giáo viên đưa dữ liệu học sinh vào công cụ cá nhân là đưa dữ liệu của trường ra ngoài phạm vi trường kiểm soát.
Các nguyên tắc chính chuyển thành việc làm ở trường
Pháp luật đặt ra một số nguyên tắc xử lý dữ liệu cá nhân. Bảng dưới diễn giải từng nguyên tắc thành việc cụ thể trong trường phổ thông; cách diễn đạt nguyên tắc trong văn bản có thể khác đôi chút.
| Nguyên tắc | Ở trường nghĩa là |
|---|---|
| Hợp pháp, minh bạch | Phụ huynh biết trường thu dữ liệu gì, để làm gì; có thông báo hoặc chính sách dữ liệu dễ đọc |
| Đúng mục đích | Số liên lạc phụ huynh thu để liên lạc về học tập thì không chuyển cho đơn vị bán bảo hiểm, khoá học thêm |
| Tối thiểu | Phiếu nhập học không hỏi những gì trường không dùng, như nghề nghiệp chi tiết, thu nhập của cha mẹ khi không cần |
| Chính xác | Có cách để phụ huynh báo sửa thông tin sai, cập nhật khi đổi số liên lạc, địa chỉ |
| Lưu trữ có thời hạn | Có lịch huỷ bản sao, danh sách tạm, ảnh sự kiện; hồ sơ phải lưu dài hạn thì theo quy định lưu trữ |
| An toàn | Phân quyền, mật khẩu, khoá tủ hồ sơ, xác thực hai lớp, không để bản in ở nơi công cộng |
| Trách nhiệm giải trình | Có người phụ trách, có bản kê dữ liệu, có sổ theo dõi sự cố, giữ phiếu đồng ý |
Nhiều trường đã làm phần lớn những việc này mà chưa gọi tên chúng là tuân thủ pháp luật dữ liệu. Việc còn thiếu thường là ghi lại thành văn bản và phân công rõ người.
Quyền của học sinh và phụ huynh đối với dữ liệu
Pháp luật trao cho chủ thể dữ liệu một nhóm quyền: được biết dữ liệu của mình đang được xử lý, đồng ý hoặc không đồng ý với những việc cần đồng ý, rút lại đồng ý, được xem và yêu cầu chỉnh sửa, yêu cầu xoá hoặc hạn chế xử lý trong những trường hợp luật cho phép, phản đối một số hình thức xử lý, khiếu nại và yêu cầu bồi thường khi bị thiệt hại. Với học sinh chưa thành niên, cha mẹ hoặc người giám hộ thường thực hiện các quyền này cùng hoặc thay các em, tuỳ độ tuổi và loại việc.
Ở trường, những yêu cầu này thường đến dưới dạng rất đời thường: phụ huynh hỏi vì sao trường có số điện thoại của ông bà, xin sửa ngày sinh bị nhập sai, đề nghị gỡ ảnh con trên trang của trường, hỏi ứng dụng học tập mới lấy những thông tin gì của con. Trường nên coi đây là yêu cầu chính đáng, không phải sự phiền hà, và có một người tiếp nhận, trả lời trong thời gian hợp lý.
Một quy trình ngắn là đủ: tiếp nhận yêu cầu bằng văn bản hoặc biểu mẫu, xác minh người yêu cầu đúng là phụ huynh hoặc người giám hộ, chuyển cho bộ phận giữ dữ liệu xử lý, trả lời bằng văn bản nêu rõ đã làm gì hoặc vì sao chưa làm được. Thời hạn trả lời cụ thể bạn đối chiếu văn bản hiện hành.
Nhà cung cấp phần mềm, ứng dụng học tập và công cụ AI
Trường dùng ngày càng nhiều dịch vụ bên ngoài. Mỗi dịch vụ chạm vào dữ liệu học sinh là một bên cần được ràng buộc. Khi chọn hoặc gia hạn, người phụ trách kiểm các điểm sau trong hợp đồng hoặc điều khoản dịch vụ.
- Dịch vụ thu thập dữ liệu gì của học sinh, giáo viên, có thu nhiều hơn mức cần cho chức năng không.
- Dữ liệu được lưu ở đâu, trong nước hay nước ngoài, bao lâu, xoá thế nào khi trường ngừng dùng.
- Nhà cung cấp có dùng dữ liệu học sinh để quảng cáo, huấn luyện mô hình AI hay chia sẻ cho bên khác không.
- Biện pháp bảo mật: mã hoá, phân quyền, nhật ký truy cập, xác thực hai lớp cho quản trị.
- Cam kết thông báo cho trường khi có sự cố dữ liệu, trong thời hạn đủ để trường thực hiện nghĩa vụ của mình.
- Độ tuổi tối thiểu của người dùng theo điều khoản, có phù hợp với cấp học của trường không.
- Ai trong trường được quyền tạo tài khoản, thêm công cụ mới, tránh việc mỗi giáo viên tự đăng ký một ứng dụng.
Ứng dụng miễn phí không có nghĩa là không có giá. Nếu dịch vụ không thu tiền của trường, cần hỏi họ sống bằng gì; câu trả lời đôi khi là dữ liệu người dùng.
Đưa dữ liệu vào công cụ AI có máy chủ ở nước ngoài
Phần lớn chatbot AI phổ biến do công ty nước ngoài vận hành, máy chủ đặt ngoài Việt Nam. Khi giáo viên dán dữ liệu cá nhân của học sinh vào đó, về bản chất là dữ liệu cá nhân được chuyển ra nước ngoài. Pháp luật Việt Nam có quy định riêng cho việc chuyển dữ liệu cá nhân ra nước ngoài, trong đó có yêu cầu lập hồ sơ đánh giá tác động và các nghĩa vụ liên quan; phạm vi và thủ tục cụ thể theo luật và văn bản hướng dẫn hiện hành.
Với một trường phổ thông, cách thực tế nhất để không vướng vào nghĩa vụ phức tạp này là không chuyển dữ liệu cá nhân của học sinh vào các công cụ đó. Giáo viên vẫn dùng AI thoải mái cho soạn bài, thiết kế hoạt động, gợi ý diễn đạt, với dữ liệu đã ẩn danh hoặc tình huống khái quát. Quy tắc này nên được ghi vào chính sách dùng AI của trường thành một câu rõ ràng.
Nếu trường muốn triển khai công cụ AI cho cả trường xử lý dữ liệu học sinh, ví dụ trợ lý gợi ý nhận xét gắn với phần mềm quản lý, đó là quyết định cấp ban giám hiệu, cần đánh giá nhà cung cấp theo danh sách ở mục trên, xem nghĩa vụ chuyển dữ liệu ra nước ngoài, thông báo cho phụ huynh và có thể cần sự đồng ý. Không phải quyết định của từng giáo viên.
Lộ trình tuân thủ cho một trường trong một năm học
Không trường nào làm xong mọi việc trong một tháng. Lộ trình dưới chia theo học kỳ, phù hợp với trường chưa có gì và muốn bắt đầu từ việc quan trọng nhất.
- Đầu năm: ban giám hiệu phân công bằng văn bản người phụ trách dữ liệu; mỗi tổ có người nhắc việc.
- Tháng đầu: lập bản kê dữ liệu theo tổ: dữ liệu gì, ở đâu, ai xem, mức nhạy cảm. Xoá các bản sao thừa.
- Cùng lúc: rà phiếu nhập học và phiếu đồng ý, bỏ câu hỏi không cần, tách mục đồng ý theo mục đích.
- Học kỳ một: ban hành một trang quy định ngắn về dữ liệu học sinh và dùng AI, phổ biến trong họp hội đồng.
- Học kỳ một: rà danh sách công cụ số đang dùng, kiểm điều khoản dữ liệu, ngừng công cụ không đáp ứng.
- Học kỳ hai: soạn quy trình xử lý sự cố một trang, cho toàn trường biết người đầu mối.
- Cuối năm: rà lại bản kê, sổ sự cố, phiếu đồng ý; cập nhật cho năm học sau; huỷ dữ liệu đã hết thời hạn lưu theo quy định.
Mỗi bước đều nhỏ, nhưng làm đủ trong một năm, trường đã có những thứ cơ bản để giải trình khi được hỏi, và quan trọng hơn, dữ liệu của học sinh thật sự được giữ cẩn thận hơn.
Câu hỏi thường gặp
Trường tư thục và trung tâm giáo dục có phải tuân thủ như trường công không?
Có. Luật bảo vệ dữ liệu cá nhân áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân, không phân biệt công lập hay ngoài công lập. Trung tâm ngoại ngữ, trung tâm kỹ năng, cơ sở giáo dục mầm non tư thục đều xử lý dữ liệu trẻ em nên càng cần chú ý. Một số quy định có thể có cơ chế riêng cho doanh nghiệp nhỏ; bạn đối chiếu văn bản hiện hành.
Trường có phải bổ nhiệm người bảo vệ dữ liệu chuyên trách không?
Yêu cầu về bộ phận hoặc nhân sự bảo vệ dữ liệu phụ thuộc quy định của luật và văn bản hướng dẫn cho từng loại tổ chức. Dù quy định thế nào, trong thực tế trường nên phân công một người đầu mối rõ ràng. Người này có thể kiêm nhiệm, quan trọng là có tên, có quyền và có thời gian làm việc.
Cập nhật dữ liệu lên cơ sở dữ liệu ngành có cần xin phép phụ huynh không?
Việc cập nhật dữ liệu theo yêu cầu của cơ quan quản lý giáo dục để thực hiện nhiệm vụ do pháp luật quy định thường thuộc các trường hợp xử lý theo quy định của luật. Trường vẫn nên thông báo minh bạch cho phụ huynh về việc này trong chính sách dữ liệu hoặc thông báo đầu năm.
Phụ huynh yêu cầu xoá dữ liệu của con thì trường làm thế nào?
Quyền yêu cầu xoá có giới hạn: dữ liệu mà trường phải lưu theo quy định, như hồ sơ học sinh, học bạ, không thể xoá theo yêu cầu. Dữ liệu dùng cho mục đích dựa trên đồng ý, như ảnh đăng trên trang của trường, thì trường xoá khi phụ huynh rút đồng ý. Trường trả lời phụ huynh bằng văn bản, giải thích phần nào xoá được và phần nào phải lưu.
Giáo viên cá nhân có bị xử phạt khi làm lộ dữ liệu học sinh không?
Trách nhiệm phụ thuộc mức độ và tính chất vi phạm, có thể là xử lý theo quy chế nội bộ, xử phạt hành chính hoặc nặng hơn với hành vi cố ý nghiêm trọng, theo quy định pháp luật. Với sơ suất thông thường, trọng tâm là khắc phục và rút kinh nghiệm. Giáo viên làm đúng quy định của trường là cách tự bảo vệ tốt nhất.
Trường nhỏ vùng khó khăn, ít máy tính thì có cần làm những việc này không?
Có, và thường đơn giản hơn: ít hệ thống số thì rủi ro chủ yếu nằm ở giấy tờ, nhóm chat và điện thoại của giáo viên. Tủ hồ sơ có khoá, không dán danh sách hoàn cảnh lên bảng tin, quản nhóm lớp cẩn thận, không đưa dữ liệu học sinh vào chatbot đã giải quyết phần lớn vấn đề.