Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực tại Việt Nam. Một trong những quy định đáng chú ý liên quan trực tiếp đến Facebook, Instagram, TikTok và các nền tảng mạng xã hội là việc không được yêu cầu người dùng cung cấp hình ảnh hoặc video chứa toàn bộ hoặc một phần giấy tờ tùy thân để làm yếu tố xác thực tài khoản.
Quy định này đặt ra một câu hỏi rất thực tế:
Nếu tài khoản Facebook bị đánh cắp, hacker đã thay đổi mật khẩu, email và số điện thoại thì người dùng phải làm thế nào để chứng minh mình là chủ tài khoản nếu không thể gửi ảnh CCCD?
Câu trả lời nằm ở sự thay đổi từ mô hình xác minh bằng giấy tờ sang mô hình xác minh quyền kiểm soát tài khoản và đánh giá rủi ro.
Mục lục
1. Luật 91/2025/QH15 quy định gì về việc xác thực tài khoản?
Khoản 2 Điều 29 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định:
“Không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản.”
Quy định này có hiệu lực từ ngày 01/01/2026.
Điều đáng chú ý là luật không nói rằng mạng xã hội không được xác minh tài khoản. Ngược lại, nền tảng vẫn phải có các cơ chế xác thực theo quy định pháp luật khác.
Điều bị giới hạn là việc sử dụng hình ảnh hoặc video chứa giấy tờ tùy thân làm yếu tố xác thực tài khoản.
Nói cách khác:
Xác thực tài khoản vẫn cần thiết, nhưng ảnh CCCD không còn là phương thức được phép sử dụng cho mục đích đó theo quy định trên.
2. Tại sao quy định này gây ra bài toán khó cho Facebook?
Trong nhiều năm, các nền tảng mạng xã hội đã sử dụng nhiều phương thức xác minh danh tính.
Trong một số trường hợp, người dùng có thể được yêu cầu cung cấp giấy tờ tùy thân khi:
- tài khoản bị khóa;
- tài khoản bị nghi ngờ giả mạo;
- tài khoản bị chiếm quyền;
- hệ thống phát hiện hoạt động bất thường;
- người dùng cần chứng minh danh tính.
Về mặt kỹ thuật, giấy tờ tùy thân là một phương thức khá trực quan.
Ví dụ:
Tài khoản Facebook
→ tên trên tài khoản
→ thông tin người dùng
→ ảnh trên giấy tờ
→ đối chiếu
→ xác định người yêu cầu có phải chủ tài khoản hay không.
Nhưng phương pháp này tạo ra một vấn đề lớn về quyền riêng tư.
Một bức ảnh CCCD có thể chứa rất nhiều thông tin nhạy cảm của một cá nhân. Nếu cơ sở dữ liệu của một nền tảng bị tấn công hoặc dữ liệu bị sử dụng sai mục đích, hậu quả có thể nghiêm trọng.
Luật Bảo vệ dữ liệu cá nhân vì vậy đặt ra giới hạn đối với việc sử dụng ảnh/video giấy tờ tùy thân làm yếu tố xác thực tài khoản.
3. Luật không nói rằng Facebook được phép bỏ xác minh
Đây là điểm rất dễ hiểu nhầm.
Nếu Facebook chỉ cần bỏ toàn bộ xác minh thì việc chiếm đoạt tài khoản sẽ trở nên cực kỳ dễ dàng.
Hãy tưởng tượng một trường hợp:
Một hacker chiếm được tài khoản.
Sau đó hacker:
- đổi mật khẩu;
- đổi email;
- đổi số điện thoại;
- bật xác thực hai yếu tố của hacker.
Chủ tài khoản sau đó liên hệ Facebook và nói:
“Đây là tài khoản của tôi.”
Nếu Facebook không có bất kỳ cơ chế xác minh nào, họ không có căn cứ để phân biệt chủ tài khoản với hacker.
Do đó, xác minh vẫn phải tồn tại.
Chỉ là phương thức xác minh phải thay đổi.
4. Facebook có thể chuyển sang xác minh quyền kiểm soát tài khoản
Một trong những hướng quan trọng của hệ thống khôi phục tài khoản hiện đại là không chỉ hỏi:
“Bạn là ai?”
mà còn hỏi:
“Bạn có chứng minh được rằng trước đây bạn là người kiểm soát tài khoản này không?”
Đây là sự khác biệt rất lớn.
Facebook hiện có trang khôi phục tài khoản bị xâm nhập tại:
facebook.com/hacked
Facebook cũng hướng dẫn người dùng thực hiện quá trình khôi phục từ thiết bị mà họ từng sử dụng để đăng nhập tài khoản.
Điều này cho thấy thiết bị quen thuộc có thể trở thành một tín hiệu quan trọng trong quá trình đánh giá.
5. Thiết bị quen thuộc có thể trở thành một bằng chứng
Ví dụ một người đã sử dụng Facebook trong nhiều năm trên:
- một máy tính;
- một trình duyệt;
- một điện thoại;
- một mạng Internet;
- một khu vực địa lý tương đối ổn định.
Sau khi tài khoản bị hack, người đó sử dụng chính thiết bị quen thuộc để bắt đầu quá trình khôi phục.
Hệ thống có thể đánh giá nhiều tín hiệu kỹ thuật khác nhau.
Ví dụ:
- thiết bị từng đăng nhập;
- trình duyệt;
- phiên đăng nhập;
- lịch sử đăng nhập;
- thời điểm hoạt động;
- các thay đổi bảo mật gần đây;
- thông tin khôi phục cũ;
- những dấu hiệu bất thường trong quá trình chiếm quyền.
Meta không công khai toàn bộ thuật toán đánh giá những tín hiệu này.
Tuy nhiên, đây là hướng tiếp cận phổ biến của các hệ thống bảo mật hiện đại: không dựa vào một bằng chứng duy nhất mà đánh giá tổng hợp nhiều tín hiệu.
6. Email và số điện thoại vẫn là những yếu tố quan trọng
Nếu hacker chưa thay đổi toàn bộ thông tin khôi phục, người dùng vẫn có thể sử dụng:
- email cũ;
- số điện thoại cũ;
- mã xác nhận;
- các phương thức khôi phục được liên kết với tài khoản.
Ví dụ:
Facebook gửi mã xác nhận đến số điện thoại đã liên kết.
Nếu người dùng nhận được mã:
hệ thống có thêm bằng chứng rằng người yêu cầu vẫn kiểm soát một yếu tố đã được liên kết với tài khoản.
Điều này không cần đến CCCD.
7. Xác thực hai yếu tố và mã khôi phục cũng trở nên quan trọng
Người dùng đã bật xác thực hai yếu tố có thể có thêm các cơ chế khôi phục như:
- ứng dụng xác thực;
- thiết bị tin cậy;
- mã khôi phục;
- các phương thức bảo mật khác.
Nếu người dùng vẫn sở hữu một trong những yếu tố này, họ có thể chứng minh quyền kiểm soát tài khoản mà không cần cung cấp giấy tờ tùy thân.
Điều này cho thấy một tài khoản được bảo vệ tốt từ trước sẽ có lợi thế lớn khi xảy ra sự cố.
8. Nếu hacker đã thay đổi cả email và số điện thoại thì sao?
Đây là trường hợp khó nhất.
Giả sử hacker đã:
- đổi mật khẩu;
- đổi email;
- đổi số điện thoại;
- bật 2FA;
- đăng xuất thiết bị của chủ tài khoản.
Lúc này Facebook không thể đơn giản gửi mã OTP đến email hoặc số điện thoại cũ.
Hệ thống cần sử dụng những bằng chứng khác.
Có thể bao gồm các tín hiệu như:
Thiết bị cũ
↓
lịch sử đăng nhập
↓
hoạt động trước đây
↓
thông tin khôi phục cũ
↓
các thay đổi tài khoản bất thường
↓
các tín hiệu bảo mật khác
Từ đó hệ thống đánh giá khả năng người yêu cầu thực sự là chủ tài khoản.
Điểm quan trọng là Meta không công khai toàn bộ cách chấm điểm và thuật toán của hệ thống này, vì nếu công khai chi tiết, hacker có thể tìm cách vượt qua nó.
9. Video selfie là một phương thức đáng chú ý
Một phương thức khác đã xuất hiện trong hệ sinh thái Meta là video selfie.
Trong một số trường hợp khôi phục tài khoản Instagram, người dùng có thể được yêu cầu quay video khuôn mặt và thực hiện một số chuyển động theo hướng dẫn.
Mục đích là xác định:
Đây có phải là người thật đang đứng trước camera hay không?
và trong những trường hợp phù hợp, hệ thống có thể sử dụng hình ảnh trên tài khoản để hỗ trợ quá trình xác minh.
Điều này khác hoàn toàn với việc yêu cầu:
“Hãy chụp CCCD.”
Video selfie không chứa giấy tờ tùy thân.
Tuy nhiên, điều đó không có nghĩa video selfie nằm ngoài phạm vi pháp luật bảo vệ dữ liệu cá nhân.
10. Vì sao video selfie vẫn là dữ liệu nhạy cảm?
Khuôn mặt và dữ liệu dùng để nhận diện một cá nhân có thể thuộc nhóm dữ liệu cá nhân nhạy cảm, trong đó dữ liệu sinh trắc học được pháp luật Việt Nam quy định với yêu cầu bảo vệ cao hơn.
Do đó, nếu nền tảng sử dụng video selfie hoặc công nghệ nhận diện khuôn mặt thì họ vẫn phải tuân thủ các quy định liên quan đến:
- mục đích xử lý;
- phạm vi xử lý;
- cơ sở xử lý;
- bảo mật;
- quyền của chủ thể dữ liệu;
- thời gian lưu trữ;
- việc xóa dữ liệu khi không còn cần thiết theo quy định.
Vì vậy:
“Không dùng CCCD” không có nghĩa là nền tảng được phép thu thập mọi loại dữ liệu sinh trắc học.
Đây là hai vấn đề khác nhau.
11. Một điểm rất quan trọng: xác thực tài khoản và xác minh danh tính không giống nhau
Hai khái niệm này thường bị sử dụng lẫn lộn.
Xác thực tài khoản
Câu hỏi là:
“Bạn có quyền kiểm soát tài khoản này không?”
Có thể sử dụng:
- mật khẩu;
- OTP;
- email;
- số điện thoại;
- thiết bị;
- mã khôi phục;
- lịch sử đăng nhập;
- các tín hiệu bảo mật.
Xác minh danh tính
Câu hỏi là:
“Bạn là người nào ngoài đời?”
Có thể liên quan đến:
- giấy tờ;
- thông tin định danh;
- sinh trắc học;
- các nguồn dữ liệu định danh khác.
Luật 91/2025/QH15 đặc biệt hạn chế việc dùng hình ảnh/video giấy tờ tùy thân làm yếu tố xác thực tài khoản.
Điều đó không có nghĩa Facebook không được xây dựng hệ thống để xác định người đang yêu cầu khôi phục có phải là người từng kiểm soát tài khoản hay không.
12. Nghị định 147 cũng khiến Facebook phải xác thực tài khoản
Một vấn đề khác cần được đặt cạnh Luật Bảo vệ dữ liệu cá nhân là Nghị định 147/2024/NĐ-CP.
Nghị định này quy định về quản lý, cung cấp và sử dụng dịch vụ Internet và thông tin trên mạng.
Đối với mạng xã hội thuộc phạm vi điều chỉnh, tài khoản phải được xác thực theo quy định.
Phương thức xác thực chủ yếu liên quan đến:
số điện thoại di động tại Việt Nam
và trong một số trường hợp theo quy định:
số định danh cá nhân.
Do đó, pháp luật Việt Nam không đi theo hướng:
“Mạng xã hội không cần xác minh người dùng.”
Mà theo hướng:
“Mạng xã hội vẫn phải xác thực tài khoản, nhưng không được sử dụng ảnh/video giấy tờ tùy thân làm yếu tố xác thực tài khoản.”
Đây là sự khác biệt rất quan trọng.
13. Quy trình khôi phục tài khoản có thể trở thành một hệ thống nhiều tầng
Nếu mô hình hóa một quy trình phù hợp với yêu cầu pháp luật hiện nay, có thể hình dung:
Tầng 1: Email hoặc số điện thoại
Người dùng còn quyền kiểm soát:
email hoặc số điện thoại cũ.
→ Gửi mã xác nhận.
→ Khôi phục.
Tầng 2: Thiết bị quen thuộc
Nếu không còn email hoặc số điện thoại:
hệ thống kiểm tra thiết bị và các tín hiệu đăng nhập trước đây.
→ Nếu mức độ tin cậy đủ cao:
→ tiếp tục khôi phục.
Tầng 3: Lịch sử tài khoản
Hệ thống có thể xem xét:
- lịch sử đăng nhập;
- thay đổi bảo mật;
- thông tin khôi phục trước đây;
- hoạt động bất thường;
- các tín hiệu liên quan.
→ đánh giá khả năng tài khoản vừa bị chiếm quyền.
Tầng 4: Xác minh bổ sung
Nếu các bằng chứng trên chưa đủ, nền tảng có thể sử dụng một phương thức xác minh bổ sung phù hợp pháp luật.
Trong hệ sinh thái Meta, video selfie là một ví dụ về phương thức xác minh đã được sử dụng trong một số trường hợp.
Tầng 5: Kiểm tra thủ công
Đối với những trường hợp có rủi ro cao:
hệ thống tự động không đưa ra quyết định ngay.
Có thể cần chuyển sang quá trình đánh giá bổ sung.
14. Đây là sự chuyển đổi từ “Document Verification” sang “Risk-Based Authentication”
Có thể mô tả sự thay đổi bằng hai mô hình.
Mô hình truyền thống
Tài khoản bị hack
↓
Gửi CCCD
↓
Đối chiếu danh tính
↓
Khôi phục
Mô hình nhiều lớp
Tài khoản bị hack
↓
Phân tích rủi ro
↓
Email / SMS
↓
Thiết bị quen thuộc
↓
Lịch sử tài khoản
↓
Mã khôi phục
↓
Tín hiệu bảo mật
↓
Xác minh bổ sung
↓
Video selfie nếu phù hợp
↓
Đánh giá
↓
Khôi phục
Mô hình thứ hai phức tạp hơn nhưng có ưu điểm là không cần biến một bản sao giấy tờ tùy thân thành chìa khóa duy nhất để lấy lại tài khoản.
15. Quy định mới cũng có thể mang lại lợi ích về quyền riêng tư
Có một nghịch lý rất đáng chú ý.
Nếu một nền tảng có hàng chục hoặc hàng trăm triệu người dùng và lưu trữ ảnh CCCD của họ, thì bản thân kho dữ liệu đó trở thành một mục tiêu rất giá trị đối với hacker.
Một vụ rò rỉ có thể làm lộ:
- họ tên;
- ngày sinh;
- số định danh;
- ảnh chân dung;
- thông tin trên giấy tờ.
Trong khi đó, một hệ thống khôi phục dựa nhiều hơn vào:
thiết bị + email + số điện thoại + lịch sử đăng nhập + các tín hiệu bảo mật
có thể giảm nhu cầu lưu trữ hàng loạt bản sao giấy tờ.
Đây là một trong những lợi ích tiềm năng của nguyên tắc thu thập dữ liệu tối thiểu.
16. Tuy nhiên, không nên hiểu rằng Facebook đã công bố một quy trình hoàn toàn mới chỉ vì Luật 91
Đây là điểm cần phân biệt khi đánh giá vấn đề.
Meta đã có các hệ thống:
- khôi phục tài khoản bị hack;
- xác thực bằng email/số điện thoại;
- thiết bị quen thuộc;
- xác thực hai yếu tố;
- mã khôi phục;
- video selfie trong một số trường hợp.
Những công nghệ này tồn tại từ trước.
Hiện chưa có tài liệu công khai đủ rõ để khẳng định rằng:
“Meta đã thay toàn bộ hệ thống khôi phục tài khoản trên toàn cầu chỉ vì Luật Bảo vệ dữ liệu cá nhân của Việt Nam.”
Do đó, chính xác hơn nên nói:
Các phương thức khôi phục không dựa vào ảnh giấy tờ đã tồn tại trong hệ sinh thái Meta và phù hợp với hướng mà pháp luật Việt Nam đang yêu cầu.
Meta có thể áp dụng hoặc điều chỉnh cách thức triển khai riêng cho thị trường Việt Nam, nhưng các chi tiết kỹ thuật của hệ thống không được công khai đầy đủ.
17. Người dùng Facebook nên làm gì để giảm nguy cơ mất tài khoản?
Trong bối cảnh phương thức khôi phục ngày càng dựa vào quyền kiểm soát tài khoản, người dùng nên chủ động chuẩn bị từ trước.
Nên làm:
1. Sử dụng email riêng cho tài khoản
Email này nên được bảo vệ bằng mật khẩu mạnh và xác thực hai yếu tố.
2. Liên kết số điện thoại
Đây là một phương thức quan trọng để khôi phục tài khoản.
3. Bật xác thực hai yếu tố
Nên sử dụng ứng dụng xác thực hoặc phương thức bảo mật phù hợp.
4. Lưu mã khôi phục
Không lưu mã khôi phục công khai trên máy tính hoặc gửi cho người khác.
5. Không đăng nhập vào website lạ
Rất nhiều vụ chiếm tài khoản bắt đầu từ phishing chứ không phải từ việc hacker phá trực tiếp hệ thống Facebook.
6. Khi bị hack, sử dụng trang khôi phục chính thức
Người dùng nên bắt đầu từ hệ thống hỗ trợ chính thức của Facebook thay vì cung cấp giấy tờ cho những người tự xưng là “hỗ trợ Facebook” trên Telegram, Messenger hoặc các website không rõ nguồn gốc.
18. Một thay đổi quan trọng trong tư duy bảo mật
Trước đây nhiều người có suy nghĩ:
“Tôi có CCCD nên Facebook biết tôi là ai.”
Nhưng trong hệ thống bảo mật tài khoản hiện đại, câu hỏi quan trọng hơn là:
“Tôi có thể chứng minh mình đã kiểm soát tài khoản này trước khi nó bị chiếm hay không?”
Đó là lý do:
- email cũ;
- số điện thoại cũ;
- thiết bị cũ;
- phiên đăng nhập;
- 2FA;
- recovery code;
- lịch sử hoạt động
ngày càng trở nên quan trọng.
Một tài khoản được bảo mật tốt trước khi bị hack sẽ có nhiều “dấu vết sở hữu” hơn để hệ thống xác minh.
19. Điều này cũng cho thấy dữ liệu cá nhân không phải thứ doanh nghiệp càng thu thập nhiều càng tốt
Luật Bảo vệ dữ liệu cá nhân đang thúc đẩy một tư duy khác:
Chỉ thu thập những gì thực sự cần thiết cho mục đích cụ thể.
Một nền tảng không nhất thiết phải biết mọi thông tin về người dùng chỉ để cung cấp một dịch vụ.
Facebook cần biết:
“Tài khoản này thuộc quyền kiểm soát của ai?”
không đồng nghĩa với:
“Facebook phải lưu một bản sao CCCD của người đó.”
Đây là hai vấn đề hoàn toàn khác nhau.
20. Bài học đối với các website và nền tảng khác
Quy định này không chỉ đáng quan tâm với Facebook.
Các doanh nghiệp cung cấp dịch vụ trực tuyến cũng nên nhìn vào cách tiếp cận này để thiết kế hệ thống của mình.
Ví dụ một website như VinaSocial không nhất thiết phải thu:
- CCCD;
- ảnh khuôn mặt;
- ngày sinh;
- địa chỉ nhà;
- thông tin định danh không cần thiết.
Nếu mục tiêu chỉ là quản lý tài khoản và đơn hàng, hệ thống có thể sử dụng:
↓
Mật khẩu
↓
OTP/2FA
↓
Lịch sử đăng nhập
↓
Lịch sử giao dịch
↓
Lịch sử đơn hàng
↓
Cơ chế khôi phục tài khoản
Như vậy doanh nghiệp có thể giảm đáng kể lượng dữ liệu cá nhân phải lưu trữ.
Đây là nguyên tắc:
Thu thập ít hơn – lưu trữ ít hơn – rủi ro thấp hơn.
Kết luận
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không khiến Facebook, Instagram hay các mạng xã hội khác được phép bỏ hoàn toàn cơ chế xác thực tài khoản.
Ngược lại, các nền tảng vẫn phải đáp ứng các yêu cầu xác thực tài khoản theo pháp luật Việt Nam.
Điểm thay đổi quan trọng là:
Không được yêu cầu hình ảnh hoặc video chứa toàn bộ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản.
Vì vậy, khi tài khoản bị đánh cắp, hướng xử lý phù hợp hơn là xây dựng một hệ thống xác minh nhiều tầng:
Email → số điện thoại → thiết bị quen thuộc → lịch sử đăng nhập → mã khôi phục → tín hiệu bảo mật → xác minh bổ sung → sinh trắc học/video selfie trong trường hợp phù hợp → đánh giá rủi ro.
Đây là sự chuyển đổi từ mô hình:
“Hãy chứng minh bạn là ai bằng CCCD.”
sang:
“Hãy chứng minh bạn là người đã kiểm soát tài khoản này bằng nhiều bằng chứng kỹ thuật và bảo mật.”
Đối với người dùng, điều này càng làm nổi bật tầm quan trọng của việc bật xác thực hai yếu tố, bảo vệ email, giữ số điện thoại liên kết và lưu mã khôi phục ngay từ khi tài khoản vẫn còn an toàn.
Đối với doanh nghiệp, bài học lớn hơn là không nên thu thập dữ liệu cá nhân chỉ vì dữ liệu đó có thể hữu ích trong tương lai. Một hệ thống được thiết kế với nguyên tắc thu thập tối thiểu sẽ vừa giảm rủi ro bảo mật, vừa giảm đáng kể gánh nặng tuân thủ pháp luật về dữ liệu cá nhân.
