Bảo đảm quyền của người học đối với dữ liệu cá nhân trong giáo dục số: Kinh nghiệm quốc tế và gợi mở cho Việt Nam

Từ khóa: bảo đảm quyền của người học; dữ liệu cá nhân người học; giáo dục số; quyền con người.  

Abstract: Learners’ personal data are therefore no longer merely an instrument of administration; they constitute an object of human rights protection, closely connected to the rights to privacy, informational self-determination, and education. Adopting a human-rights-based approach, this article compares the experiences of the European Union, the United States, and the Republic of Korea with Viet Nam’s current legal framework to identify limitations in safeguarding learners’ data rights and to propose directions for improving Vietnamese law.

Keywords: safeguarding learners' rights; learners’ personal data; digital education; human rights.

1. Mở đầu

Dữ liệu cá nhân (DLCN) là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể (Quốc hội, 2025). Trong giáo dục số, DLCN người học gồm dữ liệu nhận dạng, hồ sơ hành chính, điểm số, tương tác trực tuyến, hành vi, định vị, sinh trắc học và dữ liệu suy luận. Các hồ sơ này phản ánh sâu về năng lực và hoàn cảnh cá nhân nên dễ bị lạm dụng; khi bị xâm phạm thì người học đối mặt rủi ro từ đánh cắp danh tính đến tống tiền (UNESCO, 2022). Từ góc độ pháp luật quyền con người, DLCN người học thuộc phạm vi được bảo vệ bởi nhiều quyền đã được pháp luật quốc tế ghi nhận. Điều 17 Công ước quốc tế về các quyền dân sự và chính trị năm 1966 quy định không ai bị can thiệp tùy tiện vào đời sống riêng tư; khoản 3 Điều 2 buộc quốc gia thành viên bảo đảm biện pháp khắc phục hiệu quả cho người bị xâm phạm quyền - tiền đề pháp lý của quyền được biết khi dữ liệu bị xâm phạm (United Nations, 1966). Điều 16 Công ước về quyền trẻ em năm 1989 và Bình luận chung số 25 năm 2021 yêu cầu bảo vệ trẻ em trước việc thu thập, lưu giữ và thương mại hóa dữ liệu số (Committee on the Rights of the Child, 2021). Tại Việt Nam, bảo vệ DLCN người học được điều chỉnh bởi nhiều văn bản quy phạm pháp luật, như Hiến pháp năm 2013, Luật Bảo vệ DLCN năm 2025, Nghị định số 356/2025/NĐ-CP, Nghị định số 88/2026/NĐ-CP.

Bài viết tiếp cận vấn đề theo hướng pháp luật về quyền con người, xác định DLCN của người học là đối tượng của quyền chứ không chỉ là dữ liệu phục vụ quản trị. Bằng phương pháp phân tích, tổng hợp và so sánh pháp luật, bài viết khảo cứu kinh nghiệm của Liên minh châu Âu, Hoa Kỳ và Hàn Quốc, đối chiếu với pháp luật Việt Nam để xác định các khoảng trống về thông báo vi phạm dữ liệu, trách nhiệm của bên thứ ba, thiết chế quản trị dữ liệu, thẩm định công nghệ giáo dục và phối hợp liên ngành; từ đó đề xuất gợi mở hoàn thiện pháp luật và cơ chế thực thi nhằm nâng cao hiệu quả bảo đảm quyền của người học đối với DLCN trong ngành giáo dục, đặc biệt là tại các cơ sở giáo dục đại học.

2. Kinh nghiệm của Liên minh châu Âu và một số quốc gia về bảo vệ dữ liệu cá nhân người học

2.1. Liên minh châu Âu

Trung tâm khung pháp lý của Liên minh châu Âu (EU) về bảo vệ DLCN là Quy định Bảo vệ dữ liệu chung (GDPR). EU lấy quyền cơ bản làm nền tảng, xem DLCN là một phần của quyền riêng tư: cơ sở giáo dục và nhà cung cấp công nghệ phải thẩm định căn cứ xử lý, bảo đảm minh bạch, tối thiểu hóa dữ liệu và giới hạn lưu trữ (UNESCO, 2022; European Commission, 2018).

GDPR đòi hỏi trách nhiệm giải trình: bên kiểm soát dữ liệu phải có khả năng chứng minh việc tuân thủ. Cơ sở giáo dục do đó phải tự thẩm định nhà cung cấp công nghệ giáo dục (Educational Technology - EdTech), ký thỏa thuận xử lý dữ liệu, phân định vai trò kiểm soát - xử lý và thiết lập quy trình ứng phó sự cố. Với trẻ dưới 16 tuổi, sự đồng ý chỉ hợp pháp khi có cha mẹ hoặc người giám hộ cho phép (UNESCO, 2022).

Theo Điều 37 GDPR, cơ quan, tổ chức công quyền phải chỉ định cán bộ bảo vệ dữ liệu (Data Protection Officer - DPO) (European Parliament and Council of the European Union, 2016, art. 37). Cơ sở giáo dục công lập vì vậy phải chỉ định DPO bất kể quy mô xử lý; cơ sở ngoài công lập phải chỉ định nếu giám sát có hệ thống trên quy mô lớn. DPO giám sát tuân thủ và là đầu mối liên hệ với cơ quan giám sát và chủ thể dữ liệu (European Commission, 2018).

Một bảo đảm then chốt khác của bảo vệ DLCN trong mô hình Liên minh châu Âu là quyền được thông báo. Theo Điều 34 GDPR, khi vi phạm dữ liệu có khả năng gây rủi ro cao cho quyền và tự do của thể nhân, bên kiểm soát phải thông báo cho chủ thể dữ liệu không chậm trễ, nêu bản chất vi phạm, đầu mối liên hệ, hậu quả và biện pháp khắc phục (European Parliament and Council of the European Union, 2016, art. 34).

2.2. Hoa Kỳ

Pháp luật Hoa Kỳ bảo vệ dữ liệu người học theo mô hình phân tầng theo chủ thể và bối cảnh xử lý. Ở cấp liên bang, Đạo luật về quyền giáo dục và quyền riêng tư của gia đình (FERPA) trao cho cha mẹ quyền tiếp cận, sửa đổi hồ sơ giáo dục và kiểm soát việc tiết lộ thông tin nhận dạng của con; quyền này chuyển sang người học khi đủ 18 tuổi hoặc học bậc sau trung học, đồng thời buộc cơ sở giáo dục kiểm soát việc bên thứ ba sử dụng hồ sơ (U.S. Department of Education, n.d.-a, n.d.-b). Đạo luật Bảo vệ quyền riêng tư trực tuyến của trẻ em (COPPA) buộc dịch vụ trực tuyến phải có sự đồng ý có thể kiểm chứng của cha mẹ trước khi thu thập dữ liệu của trẻ dưới 13 tuổi (Federal Trade Commission, n.d.).

Ở cấp bang, Điều 2-d Luật Giáo dục bang New York và Phần 121 Quy định của Ủy viên Giáo dục New York chuyên biệt hóa yêu cầu này: cơ quan giáo dục phải công bố trên trang thông tin điện tử Tuyên ngôn quyền của phụ huynh về quyền riêng tư và an toàn dữ liệu, chính sách bảo vệ dữ liệu, danh mục dữ liệu và thông tin về hợp đồng liên quan đến dữ liệu người học (New York State Education Department [NYSED], n.d.).

2.3. Hàn Quốc

Hàn Quốc bảo vệ DLCN của người học chủ yếu trên cơ sở Luật Bảo vệ thông tin cá nhân (PIPA). Luật này áp dụng cho mọi hoạt động thu thập, lưu trữ, sử dụng, cung cấp, chỉnh sửa và hủy DLCN, kể cả dữ liệu xử lý qua hệ thống quản lý người học và công cụ công nghệ giáo dục (Personal Information Protection Act [PIPA], 2025, arts. 1-2).

PIPA yêu cầu xác định rõ mục đích, thu thập ở mức tối thiểu, không sử dụng vượt mục đích; ghi nhận quyền được biết, đồng ý, tiếp cận, chỉnh sửa, xóa, đình chỉ xử lý và yêu cầu bồi thường (PIPA, 2025, arts. 3-4). Cung cấp dữ liệu cho bên thứ ba phải có căn cứ pháp lý; khi dựa trên sự đồng ý, chủ thể dữ liệu phải được thông tin về bên nhận, mục đích, hạng mục dữ liệu và quyền từ chối (PIPA, 2025, arts. 15-17).

Trong giáo dục, Hướng dẫn bảo vệ thông tin cá nhân của Bộ Giáo dục Hàn Quốc cụ thể hóa yêu cầu chỉ thu thập dữ liệu cần thiết, công khai chính sách xử lý, chỉ định đầu mối chịu trách nhiệm và kiểm soát nội bộ. Nếu thuê bên ngoài xử lý thì cơ sở giáo dục phải lập thỏa thuận bằng văn bản, giới hạn theo mục đích ủy thác và giám sát bên nhận ủy thác; đồng thời phải thông báo cho chủ thể dữ liệu khi dữ liệu bị mất hoặc rò rỉ, nêu loại dữ liệu, diễn biến sự cố và biện pháp giảm thiểu (Ministry of Education [Republic of Korea], 2015). 

Ở cấp trung ương, Ủy ban Bảo vệ thông tin cá nhân (PIPC) hoạch định và giám sát chính sách, Bộ Giáo dục cụ thể hóa trong hệ thống giáo dục; Kế hoạch khung về bảo vệ thông tin cá nhân của trẻ em và thanh thiếu niên năm 2022 cho thấy đây là nhiệm vụ liên ngành (Government of the Republic of Korea, 2022). Ở cấp cơ sở, hiệu trưởng chịu trách nhiệm trực tiếp về thông tin học sinh; dữ liệu học sinh không được cung cấp cho bên thứ ba nếu không có sự đồng ý của học sinh hoặc người giám hộ (Educational Law Information Center, n.d.).

Bên cạnh đó, Hàn Quốc kiểm soát việc sử dụng công nghệ giáo dục ngay từ giai đoạn lựa chọn công cụ. Phần mềm hỗ trợ dạy học phải đáp ứng yêu cầu thu thập dữ liệu tối thiểu, xác định rõ mục đích và thời hạn lưu trữ, bảo vệ dữ liệu trẻ em và được rà soát trước khi sử dụng. Cách tiếp cận này giúp chuyển bảo vệ dữ liệu từ xử lý sự cố sang phòng ngừa rủi ro (Ministry of Education [Republic of Korea], 2025).

3. Khung pháp lý về bảo đảm quyền của người học đối với dữ liệu cá nhân tại Việt Nam

Tại Việt Nam, cùng với xu hướng hội nhập quốc tế, Nhà nước đã từng bước xây dựng và hoàn thiện các quy định của pháp luật về bảo vệ DLCN. Điều 21 Hiến pháp năm 2013 khẳng định quyền bất khả xâm phạm về đời sống riêng tư, là cơ sở pháp lý cao nhất cho bảo vệ DLCN (Quốc hội, 2013). Luật Bảo vệ DLCN năm 2025 là đạo luật đầu tiên về lĩnh vực này, trong đó Điều 3 ghi nhận các nguyên tắc bảo vệ dữ liệu; Điều 4 quy định quyền của chủ thể dữ liệu được biết, đồng ý, truy cập, chỉnh sửa, yêu cầu xóa, hạn chế và phản đối xử lý, khiếu nại, khởi kiện và yêu cầu bồi thường - căn cứ trực tiếp để người học thực hiện quyền mà không phải chờ văn bản chuyên ngành. Khoản 2 Điều 24 buộc công bố thông tin riêng tư của trẻ em từ đủ 07 tuổi phải có đồng ý của cả trẻ em và người đại diện (Quốc hội, 2025).

Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 hướng dẫn thi hành Luật Bảo vệ DLCN đã đưa quyền của chủ thể dữ liệu vào cơ chế thực hiện cụ thể. Điều 4 của Nghị định bổ sung dữ liệu theo dõi hành vi trên không gian mạng vào danh mục dữ liệu nhạy cảm - loại dữ liệu rất phổ biến trong hệ thống quản lý học tập. Điều 5 buộc bên kiểm soát xây dựng quy trình, biểu mẫu thực hiện quyền kèm thời hạn phản hồi; khoản 3 Điều 6 cấm trạng thái đồng ý mặc định hoặc hướng dẫn gây hiểu lầm. Nghị định số 356/2025/NĐ-CP cũng quy định hồ sơ đánh giá tác động xử lý, chuyển dữ liệu xuyên biên giới và điều kiện đối với nhân sự bảo vệ DLCN (Chính phủ, 2025).

Nghị định số 88/2026/NĐ-CP ngày 28/3/2026 lần đầu thiết lập khung quản lý dữ liệu chuyên ngành giáo dục, bao gồm cơ sở dữ liệu quốc gia, cơ sở dữ liệu của cơ sở giáo dục và nền tảng giáo dục số, kể cả xuyên biên giới. Theo Điều 16, hồ sơ học tập suốt đời được lưu trữ vĩnh viễn và gắn với số định danh cá nhân của người học. Nghị định số 88/2026/NĐ-CP yêu cầu việc khai thác, sử dụng dữ liệu giáo dục phải tuân thủ quy định về bảo vệ DLCN (Chính phủ, 2026). Đây là bước tiến quan trọng vì lần đầu dữ liệu giáo dục được quản lý theo kiến trúc thống nhất toàn quốc, cụ thể là:

Thứ nhất, Điều 23 Luật Bảo vệ DLCN năm 2025 chỉ buộc thông báo vi phạm cho cơ quan chuyên trách, không yêu cầu thông báo cho chủ thể dữ liệu. Điều 27 và Điều 31 Luật này chỉ buộc thông báo cho chủ thể dữ liệu trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng và với vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học (Quốc hội, 2025). Như vậy, sự cố liên quan đến phần lớn dữ liệu người học không làm phát sinh nghĩa vụ thông báo cho chính người học. Hệ quả là người học có thể không bao giờ biết dữ liệu của mình bị xâm phạm, do đó không thể khiếu nại, yêu cầu bồi thường, cũng không thể chủ động phòng ngừa, ngăn chặn hậu quả.  

Thứ hai, Điều 2 Luật Bảo vệ DLCN năm 2025 đã định danh bên thứ ba nhưng không quy định trách nhiệm riêng; Điều 15 và Điều 16 Nghị định số 356/2025/NĐ-CP chỉ điều chỉnh cá nhân, tổ chức cung cấp dịch vụ bảo vệ dữ liệu. Trách nhiệm của bên thứ ba đối với chủ thể dữ liệu và bên kiểm soát vì vậy chưa rõ, trong khi doanh nghiệp EdTech tham gia rất sâu vào xử lý dữ liệu tại cơ sở giáo dục. Pháp luật cũng chưa đặt giới hạn tối thiểu trong giáo dục về mục đích sử dụng, chia sẻ tiếp, xóa dữ liệu khi chấm dứt hợp đồng và trách nhiệm của nhà cung cấp khi có sự cố.

Thứ ba, cơ chế chỉ định nhân sự bảo vệ DLCN chưa gắn với đặc thù của cơ sở giáo dục, nhất là trường đại học - nơi xử lý dữ liệu quy mô lớn. Luật Bảo vệ DLCN năm 2025 và Nghị định số 356/2025/NĐ-CP chỉ đặt nghĩa vụ này ở mức chung, không có ngưỡng riêng cho giáo dục và chưa bảo đảm tính độc lập của nhân sự bảo vệ DLCN. Hệ quả là nhiệm vụ này dễ bị gộp vào đơn vị công nghệ thông tin, biến thiết chế phòng ngừa rủi ro thành đầu việc kỹ thuật kiêm nhiệm.

Thứ tư, chưa có bộ tiêu chuẩn hoặc quy trình thẩm định riêng đối với hệ thống quản lý học tập, hệ thống quản lý người học và nền tảng công nghệ giáo dục. Nghị định số 88/2026/NĐ-CP thừa nhận nền tảng giáo dục số xuyên biên giới nhưng không kèm tiêu chuẩn thẩm định, còn Nghị định số 356/2025/NĐ-CP chỉ có biểu mẫu đánh giá tác động dùng chung. Việc thẩm định do đó phụ thuộc năng lực từng cơ sở, dẫn tới nguy cơ mỗi trường một chuẩn.

Thứ năm, cơ chế phối hợp giữa cơ quan bảo vệ DLCN và cơ quan quản lý giáo dục chưa được thể chế hóa. Bộ Công an là đầu mối quản lý nhà nước về bảo vệ DLCN, Bộ Giáo dục và Đào tạo là chủ quản cơ sở dữ liệu quốc gia về giáo dục, nhưng chưa có văn bản xác định quy trình phối hợp trong hướng dẫn tuân thủ, thanh tra, tiếp nhận khiếu nại và xử lý sự cố.

4. Gợi mở hoàn thiện pháp luật nhằm bảo đảm quyền của người học ở Việt Nam

4.1. Bổ sung quyền được thông báo khi xảy ra vi phạm dữ liệu người học

Luật Bảo vệ DLCN năm 2025 cần xem xét, bổ sung nghĩa vụ thông báo cho chủ thể dữ liệu như quy tắc chung, áp dụng khi vi phạm có khả năng ảnh hưởng nghiêm trọng đến quyền và lợi ích chính đáng của của cá nhân, không giới hạn theo danh mục loại dữ liệu. Bên kiểm soát và bên thứ ba phải thông báo cho chủ thể dữ liệu trong thời hạn hợp lý, nêu bản chất vi phạm, loại dữ liệu ảnh hưởng, hậu quả có thể xảy ra, đầu mối khiếu nại và biện pháp nên thực hiện. Với người học chưa thành niên, thông báo phải gửi đồng thời cho người học và người đại diện theo pháp luật, giúp họ kịp thời phòng ngừa như thay đổi mật khẩu, khóa tài khoản, cảnh giác với lừa đảo.

4.2. Bổ sung quy định về trách nhiệm của bên thứ ba

Luật Bảo vệ DLCN năm 2025 cần bổ sung quy định về trách nhiệm của bên thứ ba nhằm hoàn thiện cơ chế phân bổ trách nhiệm trong chuỗi xử lý dữ liệu. Bên thứ ba (đối tác dịch vụ, nền tảng trung gian, đơn vị lưu trữ, phân tích dữ liệu) không luôn được định danh là “bên xử lý dữ liệu” nhưng vẫn tham gia xử lý và khai thác DLCN; quy định rõ trách nhiệm của họ giúp cơ sở giáo dục ràng buộc hợp đồng chặt chẽ hơn (Lê Trường Sơn et al., 2026, p. 458). Bên cạnh đó, cần chuẩn hóa điều khoản bắt buộc trong hợp đồng giữa cơ sở giáo dục và doanh nghiệp EdTech: giới hạn mục đích xử lý, cấm dùng dữ liệu cho quảng cáo, kiểm soát chia sẻ, thời hạn lưu trữ, xóa dữ liệu khi chấm dứt hợp đồng và nghĩa vụ thông báo sự cố. Đồng thời cần xây dựng bộ tiêu chuẩn thẩm định phần mềm và nền tảng số dùng trong giáo dục.

4.3. Chuyển quyền của người học thành quy trình hành chính bắt buộc trong cơ sở giáo dục

Kinh nghiệm của Hàn Quốc cho thấy giá trị của việc hành chính hóa quyền dữ liệu thành quy trình cụ thể, xác định đầu mối và thời hạn xử lý. Vấn đề của Việt Nam là chuyển các quyền này thành quy trình hành chính trong cơ sở giáo dục, gồm đầu mối tiếp nhận yêu cầu, thời hạn xử lý, biểu mẫu, cách thức phản hồi, trình tự khiếu nại nội bộ và nghĩa vụ thông báo vi phạm. Bộ Giáo dục và Đào tạo nên yêu cầu mỗi cơ sở niêm yết công khai các nội dung này và xác định thời điểm chuyển giao quyền quản lý hồ sơ từ phụ huynh sang sinh viên khi nhập học, tương tự FERPA.

4.4. Xây dựng thiết chế quản trị dữ liệu trong cơ sở giáo dục

Kinh nghiệm của EU cho thấy thể chế hóa một đầu mối chuyên trách biến bảo vệ dữ liệu thành chức năng quản trị thường trực. Nghị định số 356/2025/NĐ-CP đã đặt điều kiện về bộ phận bảo vệ DLCN, nhân sự bảo vệ DLCN trong cơ quan, tổ chức ở mức chung; trên cơ sở đó, Bộ Giáo dục và Đào tạo nên xem xét, yêu cầu các cơ sở giáo dục vận hành hệ thống quản lý sinh viên và LMS quy mô lớn chỉ định nhân sự phụ trách bảo vệ DLCN, với nhiệm vụ giám sát tuân thủ, tư vấn nội bộ, xây dựng quy trình ứng phó sự cố, làm đầu mối liên hệ với cơ quan bảo vệ dữ liệu, chủ thể dữ liệu.

4.5. Thiết lập cơ chế giám sát, thanh tra chuyên ngành và phối hợp liên ngành

Kinh nghiệm của Hàn Quốc cho thấy ý nghĩa của cơ chế kết hợp giữa đầu mối bảo vệ dữ liệu ở cấp trung ương, cơ quan quản lý giáo dục và trách nhiệm thực hiện tại từng cơ sở giáo dục. Tại Việt Nam, cơ chế phối hợp giữa Bộ Công an và Bộ Giáo dục và Đào tạo cần được cụ thể hóa bằng quy chế liên ngành. Theo đó, Bộ Giáo dục và Đào tạo chủ trì xây dựng tiêu chuẩn chuyên ngành, hướng dẫn tuân thủ và thanh tra định kỳ; Bộ Công an hỗ trợ nghiệp vụ bảo vệ dữ liệu, an ninh mạng và ứng phó sự cố. Quy chế cần xác định đầu mối tiếp nhận, quy trình phối hợp khi phát hiện vi phạm và trách nhiệm khắc phục. Việt Nam cũng nên yêu cầu cơ sở giáo dục công khai trên website chính sách bảo vệ dữ liệu người học, danh mục dữ liệu được xử lý, thông tin về việc chia sẻ hoặc thuê ngoài xử lý và đầu mối tiếp nhận yêu cầu của người học khi có sự cố xảy ra.

5. Kết luận

Đối chiếu ba mô hình nêu trên, pháp luật Việt Nam đã có khung nguyên tắc chung nhưng còn năm hạn chế cấu trúc: quyền được thông báo khi dữ liệu bị xâm phạm, trách nhiệm của bên thứ ba, cơ chế chỉ định nhân sự bảo vệ dữ liệu, tiêu chuẩn thẩm định nền tảng công nghệ giáo dục và phối hợp liên ngành. Trên cơ sở đó, bài viết đề xuất bổ sung quyền được thông báo khi xảy ra vi phạm dữ liệu; quy định trách nhiệm của bên thứ ba; chuyển quyền của người học thành quy trình hành chính bắt buộc; xây dựng thiết chế quản trị dữ liệu trong cơ sở giáo dục; thiết lập cơ chế giám sát, thanh tra chuyên ngành và phối hợp liên ngành. Các nhóm đề xuất này có tính bổ trợ, góp phần hình thành khuôn khổ quản trị dữ liệu người học có tính hệ thống và phù hợp hơn trong môi trường giáo dục số./.

--------------------------------------

Tài liệu tham khảo:

1. Chính phủ (2025), Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

2. Chính phủ (2026), Nghị định số 88/2026/NĐ-CP ngày 28/3/2026 quy định quản lý dữ liệu giáo dục và đào tạo.

3. Committee on the Rights of the Child (2021), General comment No. 25 (2021) on children's rights in relation to the digital environment (CRC/C/GC/25). United Nations. https://www.ohchr.org/en/documents/general-comments-and-recommendations/general-comment-no-25-2021-childrens-rights-relation

4. Educational Law Information Center (n.d.), 교육분야 개인정보보호를 위한 의무 및 구제방법 [Obligations and remedies for personal information protection in education]. https://www.easylaw.go.kr/CSP/CnpClsMain.laf?csmSeq=1702&ccfNo=4&cciNo=1&cnpClsNo=1

5. European Commission (2018, July 19), A brief guide to GDPR for schools and teachers. https://school-education.ec.europa.eu/en/discover/tutorials/brief-guide-gdpr-schools-and-teachers

6. European Parliament and Council of the European Union (2016), Regulation (EU) 2016/679 (General Data Protection Regulation). Official Journal of the European Union, L 119, 1-88. https://eur-lex.europa.eu/eli/reg/2016/679/oj

7. Federal Trade Commission (n.d.), Children's Online Privacy Protection Rule (COPPA). https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa

8. Government of the Republic of Korea (2022, July 11), Ministries jointly announce framework plan for child·youth personal information protection. Ministry of Education. https://english.moe.go.kr/boardCnts/viewRenewal.do?boardID=265&boardSeq=92036&lev=0&searchType=null&statusYN=W&page=4&s=english&m=0201&opType=N

9. Lê Trường Sơn, Nguyễn Thị Phương Hoa và Trần Thị Thùy Dương, Bảo vệ dữ liệu cá nhân trong môi trường số từ khía cạnh pháp lý. Nhà xuất bản Công an nhân dân, H. 2026.

10. Ministry of Education [Republic of Korea] (2015), 교육부 개인정보 보호지침 [Ministry of Education personal information protection guidelines]. Korean Law Information Center. https://www.law.go.kr/LSW/admRulLsInfoP.do?admRulSeq=2100000018570

11. Ministry of Education [Republic of Korea] (2025), 학교의 안전하고 효과적인 학습지원 소프트웨어 선정을 위한 기준 안내 [Guidance on criteria for the selection of safe and effective learning support software for schools]. https://www.moe.go.kr/boardCnts/viewRenew.do?boardID=294&boardSeq=105007&lev=0&m=020

12. New York State Education Department (n.d.), Required published documents. https://www.nysed.gov/data-privacy-security/ny-education-law-section-2-d-required-website-published-documents

13. Personal Information Protection Act, Act No. 20897 (Republic of Korea, 2025), Korean Law Information Center. https://www.law.go.kr/LSW/eng/engLsInfoR.do?lsiSeq=270351

14. Prinsloo, P., Slade, S., & Khalil, M (2023), Multimodal learning analytics-In-between student privacy and encroachment: A systematic review. British Journal of Educational Technology, 54(6), 1566-1586. https://doi.org/10.1111/bjet.13373

15. Quốc hội (2013), Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam năm 2013.

16. Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân, Luật số 91/2025/QH15.

17. UNESCO (2022), Minding the data: Protecting learners’ privacy and security. UNESCO Publishing. https://doi.org/10.54675/NNAA4843.

18. UNICEF (2024), Data protection in schools: Guidance for legislators, policy makers and schools. UNICEF Regional Office for Europe and Central Asia. https://www.unicef.org/eca/reports/data-protection-schools.

19. United Nations (1966), International Covenant on Civil and Political Rights. https://www.ohchr.org/en/instruments-mechanisms/instruments/international-covenant-civil-and-political-rights.

20. U.S. Department of Education (n.d.-a), FERPA. https://studentprivacy.ed.gov/ferpa.

21. U.S. Department of Education (n.d.-b), What is FERPA?. https://studentprivacy.ed.gov/faq/what-ferpa

ThS Phạm Xuân Phát - Trường Đại học Công nghệ kỹ thuật Thành phố Hồ Chí Minh