Từ 1/1/2026, Điều 29 Luật Bảo vệ dữ liệu cá nhân yêu cầu nền tảng mạng xã hội/truyền thông trực tuyến phải thông báo rõ dữ liệu thu thập, không thu thập trái phép hoặc ngoài thỏa thuận; không yêu cầu ảnh/video chứa giấy tờ tùy thân để xác thực; cho phép người dùng từ chối cookies, có lựa chọn 'không theo dõi' và chỉ theo dõi khi được đồng ý; không nghe lén/ghi âm, đọc tin nhắn khi chưa có đồng ý (trừ trường hợp luật quy định). Điều 7 nghiêm cấm xử lý dữ liệu trái luật, mua bán dữ liệu (trừ ngoại lệ), chiếm đoạt/làm lộ/mất dữ liệu và các hành vi gây hại an ninh, trật tự.