Trường học không chỉ là nơi truyền thụ kiến thức mà còn là “kho lưu trữ” khổng lồ dữ liệu cá nhân nhạy cảm: từ thông tin nhân thân, tình trạng sức khỏe đến kết quả học tập và hình ảnh sinh trắc học của học sinh. Bước sang năm 2026, với sự thực thi nghiêm ngặt của Luật Bảo vệ dữ liệu cá nhân 2025, các trường Trung học cơ sở đang đứng trước bài toán lớn về quản trị dữ liệu.

Trong bài viết này, VDPC sẽ đề cập tới cụ thể đối với trách nhiệm của Trường trung học cơ sở trong vấn đề về bảo vệ dữ liệu cá nhân của khách hàng.

Căn cứ pháp lý:

Điều 2, 8, 20, 21, 24, 37 Luật Bảo vệ dữ liệu cá nhân 2025
Điều 3, 4 Nghị định 356/2025/NĐ-CP

1. Dữ liệu cá nhân Trường trung học cơ sở xử lý

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.

Dữ liệu cá nhân cơ bản bao gồm:họ và tên, ngày sinh, địa chỉ thường trú, ảnh cá nhân (của học sinh tại trường), họ và tên, ngày sinh,địa chỉ thường trú, số định danh cá nhân, số điện thoại, mối quan hệ với học sinh (của giáo viên, nhân viên trường học, phụ huynh học sinh),…
Dữ liệu cá nhân nhạy cảm bao gồm: nguồn gốc dân tộc, tình trạng bệnh tật, tình trạng khuyết tật (của học sinh, giáo viên, nhân viên tại trường), nguồn gốc dân tộc, dữ liệu sinh trắc học (vân tay, giác mạc, khuôn mặt của giáo viên, nhân viên tại trường),…

2. Vai trò của Trường trung học cơ sở

Trong quá trình bảo vệ dữ liệu cá nhân Trường trung học cơ sở có thể đóng một trong các vai trò sau:

Với vai trò là Bên kiểm soát dữ liệu cá nhân

Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

Với vai trò là Bên xử lý dữ liệu cá nhân

Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.

Với vai trò là Bên kiểm soát và xử lý dữ liệu cá nhân

Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

3. Trách nhiệm của Trường trung học cơ sở với vai trò là Bên kiểm soát dữ liệu cá nhân

Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025;
Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 của Luật Bảo vệ dữ liệu cá nhân 2025;

Ngoài ra còn có các trách nhiệm khác như:

Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định tại Điều 4 của Luật Bảo vệ dữ liệu cá nhân 2025;
Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

4. Trách nhiệm của Trường trung học cơ sở với vai trò là Bên xử lý dữ liệu cá nhân

Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật này và các quy định khác của pháp luật có liên quan;
Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
Thực hiện các trách nhiệm khác theo quy định của Luật Bảo vệ dữ liệu cá nhân và quy định khác của pháp luật có liên quan.

5. Trách nhiệm khác của Trường trung học cơ sở

Cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới.
Thực hiện đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và được cập nhật.
Đối với việc xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của trẻ em và người đại diện theo pháp luật.

6. Xử phạt vi phạm bảo vệ dữ liệu cá nhân

Tổ chức, cá nhân có hành vi vi phạm quy định của Luật này và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
Việc xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân thực hiện theo quy định tại các khoản 3, 4, 5, 6 và 7 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 và pháp luật về xử lý vi phạm hành chính.
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân là 03 tỷ đồng thì áp dụng mức phạt tiền theo quy định là 03 tỷ đồng.

Còn có các mức xử phạt khác như:

Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân là 03 tỷ đồng thì áp dụng mức phạt tiền theo quy định 03 tỷ đồng.
Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng.
Mức phạt tiền tối đa quy định tại các khoản 3, 4 và 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Ngoài ra, Trường trung học cơ sở còn có thể phải chịu trách nhiệm dân sự khi không thực hiện các biện pháp bảo vệ dữ liệu cá nhân:

Trường Trung học cơ sở có thể bị khởi kiện đòi bồi thường thiệt hại về tinh thần, vật chất nếu bên chủ thể dữ liệu có đủ bằng chứng chứng minh được thiệt hại.
Trường Trung học cơ sở có thể bị ảnh hưởng uy tín nếu không thực hiện biện pháp bảo vệ dữ liệu cá nhân từ đó gây thiệt hại cho chủ thể dữ liệu.

KẾT LUẬN

Việc thực hiện đúng trách nhiệm của Trường Trung học cơ sở về bảo vệ dữ liệu cá nhân không chỉ là tuân thủ pháp luật, mà còn là xây dựng niềm tin nơi phụ huynh và tạo dựng môi trường giáo dục an toàn cho thế hệ trẻ.

Trên đây là Trách nhiệm của Trường Trung học cơ sở về bảo vệ dữ liệu cá nhân của khách hàng. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 090.225.5492

CẨM NANG PHÁP LUẬT, TIN PHÁP LUẬT

Trách nhiệm của Trường Trung học cơ sở về bảo vệ dữ liệu cá nhân của khách hàng