vn-law-check là gì?
vn-law-check là một bộ hướng dẫn, danh sách kiểm tra, tài liệu tham khảo và tập lệnh quét miễn phí, giúp các tác nhân lập trình AI rà soát website và ứng dụng di động nhằm phát hiện các rủi ro tuân thủ tiềm ẩn theo pháp luật Việt Nam. Công cụ này hoạt động với Claude Code, Cursor, GitHub Copilot, Windsurf, Cline và Codex.
Bạn có thể yêu cầu một tác nhân kiểm tra dự án. Tác nhân sẽ phân tích mã nguồn để tìm các tính năng liên quan, xác định vấn đề có thể xảy ra theo tệp và dòng, trích dẫn quy định pháp luật áp dụng, đồng thời đề xuất thay đổi. Sau đó, bạn có thể yêu cầu tác nhân xử lý các phát hiện có mức độ ưu tiên cao.
Dự án phù hợp khi một ứng dụng thu thập tên, địa chỉ email hoặc số điện thoại; sử dụng các dịch vụ như Google Analytics hoặc Facebook Pixel; cung cấp tài khoản, giỏ hàng hoặc chức năng thanh toán; hoặc tích hợp chatbot AI. Công cụ cũng có thể rà soát các website tĩnh đơn giản và báo cáo khi không phát hiện hoạt động thu thập dữ liệu liên quan.
vn-law-check là công cụ rà soát ban đầu, không thay thế luật sư. Báo cáo và các chính sách được tạo có thể chưa đầy đủ hoặc không chính xác; các phát hiện quan trọng cần được chuyên gia pháp lý có đủ năng lực xem xét.
Tính năng chính
- Kiểm tra mã nguồn và URL: Rà soát một dự án cục bộ hoặc quét các trang có thể truy cập công khai của một website.
- Phát hiện ở cấp tệp: Báo cáo có thể xác định tệp, dòng, nội dung hoặc cách triển khai có vấn đề, cơ sở pháp lý và phương án sửa đổi đề xuất.
- Kết quả được ưu tiên: Các phát hiện được phân loại là 🔴 cần chú ý ngay, 🟡 nên cải thiện, 🟢 tuân thủ hoặc ⚪ không áp dụng.
- Soạn thảo chính sách riêng tư: Tác nhân có thể chuẩn bị bản dự thảo chính sách riêng tư dựa trên luồng dữ liệu và các dịch vụ bên thứ ba được phát hiện trong mã nguồn.
- Hướng dẫn xin sự đồng ý: Các danh sách kiểm tra bao gồm hướng dẫn cho biểu mẫu xin sự đồng ý và banner cookie.
- Hỗ trợ ứng dụng di động: Trình quét có thể kiểm tra quyền truy cập, SDK theo dõi hoặc quảng cáo và chức năng xóa tài khoản.
- Nhiều công cụ AI: Các tệp trong kho mã được cấu trúc để những tác nhân được hỗ trợ có thể tải cùng một hướng dẫn tuân thủ cốt lõi thông qua định dạng chỉ dẫn ưa thích của chúng.
Các lĩnh vực pháp lý được hỗ trợ
Kho mã cho biết các tài liệu tham khảo bao gồm những văn bản pháp luật Việt Nam được cập nhật đến tháng 11 năm 2026. Các lĩnh vực được liệt kê gồm bảo vệ dữ liệu cá nhân, thương mại điện tử, an ninh mạng, quảng cáo, trí tuệ nhân tạo, bảo vệ người tiêu dùng và giao dịch điện tử. Liên kết toàn văn và ngày có hiệu lực được duy trì trong sources/legal-references.md.
README đặc biệt nêu bật Luật Bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356/2025. Tài liệu lưu ý rằng từ ngày 1 tháng 1 năm 2026, các tổ chức phải công khai rõ lý do thu thập dữ liệu cá nhân và xin sự đồng ý phù hợp. Kho mã cũng cảnh báo về các chính sách lỗi thời vẫn còn viện dẫn những quy định đã được thay thế.
Cài đặt và thiết lập
Tùy chọn 1: Cài đặt trong Claude Code
Nhập các lệnh sau bên trong Claude Code, không phải trong terminal thông thường:
/plugin marketplace add mhfed/vn-law-check
/plugin install vn-law-checkSau khi cài đặt, mở dự án bạn muốn rà soát trong Claude Code.
Tùy chọn 2: Cài đặt cho Cursor, Windsurf, Copilot, Cline hoặc Codex
Mở terminal trong thư mục dự án và chạy:
curl -fsSL https://raw.githubusercontent.com/mhfed/vn-law-check/main/install.sh | bashTrình cài đặt đặt danh sách kiểm tra vào .vn-law-check/ và không ghi đè các tệp dự án của bạn. Nếu dự án đã có tệp chỉ dẫn như AGENTS.md hoặc CLAUDE.md, tập lệnh chỉ thêm một tham chiếu ngắn đến danh sách kiểm tra đã cài đặt. Việc chạy lại trình cài đặt sẽ cập nhật tích hợp mà không chèn các tham chiếu trùng lặp.
Tùy chọn 3: Sao chép skill thủ công
Để cài đặt skill trên toàn hệ thống cho Claude mà không dùng marketplace, hãy chạy:
git clone --depth=1 https://github.com/mhfed/vn-law-check ~/.claude/skills/vn-law-checkĐể cài đặt riêng cho một dự án, hãy sao chép vào .claude/skills/vn-law-check bên trong dự án đó thay vì sử dụng đường dẫn trong thư mục home.
Thực hiện lần kiểm tra pháp lý đầu tiên
Kiểm tra một dự án đang mở
Mở dự án trong tác nhân lập trình AI được hỗ trợ và nhập câu lệnh tiếng Việt do kho mã đề xuất:
audit pháp lý website này theo luật Việt NamCâu này có nghĩa là “kiểm tra website này theo pháp luật Việt Nam”. Trước tiên, tác nhân sẽ phân loại loại website, sau đó áp dụng các danh sách kiểm tra liên quan. Tùy thuộc vào dự án, tác nhân có thể tìm kiếm biểu mẫu, trình theo dõi, hệ thống tài khoản, tính năng mua sắm, thanh toán, tích hợp AI, thông tin lưu trữ và các nội dung công khai liên quan.
Kiểm tra một URL công khai
Nếu không có mã nguồn, hãy cung cấp địa chỉ website công khai:
audit pháp lý https://ten-mien-cua-ban.vnĐối với việc kiểm tra URL, tập lệnh fetch-site.sh của kho mã sẽ tải các trang công khai từ website được chỉ định để scan.sh kiểm tra. Theo README, quy trình này giới hạn ở 15 trang và 20 tệp JavaScript từ cùng một tên miền. Quy trình không gửi dữ liệu website đã thu thập đến nơi khác.
Quét chỉ bằng URL không thể kiểm tra mã máy chủ riêng tư hoặc cấu hình không được công khai. Hãy xem kết quả là việc rà soát website có thể truy cập, thay vì đánh giá đầy đủ hệ thống bên dưới.
Hiểu báo cáo
Mỗi kết quả nhận một trong bốn phân loại:
- 🔴 Cần xử lý ngay: Vấn đề có khả năng nghiêm trọng, cần được điều tra và khắc phục kịp thời.
- 🟡 Khuyến nghị cải thiện: Điểm yếu hoặc phần triển khai chưa hoàn chỉnh cần được cải thiện.
- 🟢 Đạt yêu cầu: Hạng mục được đánh giá có vẻ đáp ứng danh sách kiểm tra liên quan.
- ⚪ Không áp dụng: Yêu cầu này không áp dụng cho dự án hoặc tính năng được đánh giá.
Một phát hiện có thể chỉ ra đoạn văn bản có vấn đề, vị trí trong mã nguồn, căn cứ pháp lý được viện dẫn và thay đổi được đề xuất. Một ví dụ trong bản demo đánh dấu chính sách bảo mật coi việc tiếp tục sử dụng website là sự đồng ý. Báo cáo viện dẫn Điều 9, Khoản 4, Điểm d của Luật 91/2025/QH15, theo đó không thể xem sự im lặng hoặc không phản hồi là sự đồng ý, đồng thời khuyến nghị yêu cầu sự đồng ý rõ ràng khi thu thập dữ liệu.
Một blog hoặc website tĩnh không thu thập thông tin liên quan có thể chỉ nhận được kết luận ngắn thay vì danh sách phát hiện dài.
Yêu cầu agent khắc phục các phát hiện nghiêm trọng
Sau khi xem xét báo cáo, hãy yêu cầu agent xử lý các mục màu đỏ:
sửa giúp các mục 🔴Câu này có nghĩa là “khắc phục các mục 🔴”. Trước khi chấp nhận các chỉnh sửa, hãy xem xét những thay đổi được đề xuất, kiểm thử các biểu mẫu và hành vi theo dõi bị ảnh hưởng, đồng thời xác nhận rằng phần triển khai phù hợp với quy trình kinh doanh thực tế. Thay đổi mã nguồn không thể xác minh những thông tin về tổ chức không có trong kho mã.
Tạo bản dự thảo chính sách bảo mật
Nếu dự án chưa có chính sách bảo mật hoặc hiện đang sử dụng chính sách chung được sao chép, hãy yêu cầu tạo bản dự thảo dành riêng cho dự án:
soạn chính sách bảo mật cho dự án nàyAgent có thể kiểm tra mã nguồn để xác định dữ liệu mà ứng dụng có vẻ thu thập và những dịch vụ có thể nhận dữ liệu đó, bao gồm các tích hợp như Google Analytics, Firebase hoặc OpenAI. Sau đó, agent có thể soạn nội dung chính sách và đề xuất cập nhật các biểu mẫu xin đồng ý cũng như biểu ngữ cookie.
Những thông tin không thể xác định từ mã nguồn, chẳng hạn như tên pháp lý hoặc mã số thuế của tổ chức, sẽ được để trống để bạn hoàn thiện. Hãy xác minh mọi trường thông tin, mục đích sử dụng dữ liệu, bên nhận dữ liệu, thực tiễn lưu giữ dữ liệu và thông tin liên hệ trước khi công bố bản dự thảo.
Mẹo sử dụng nâng cao
Ưu tiên kiểm tra mã nguồn khi có thể
Kiểm tra mã nguồn cục bộ có thể xem xét các chi tiết triển khai mà URL công khai có thể không thể hiện. Kho mã nêu rằng scan.sh chỉ đọc các tệp cục bộ khi quét một thư mục mã nguồn. Vì vậy, kiểm tra mã nguồn là lựa chọn tốt hơn để phát hiện các SDK được nhúng, trình theo dõi có điều kiện, quyền trên thiết bị di động, logic xóa tài khoản và những tích hợp không dễ nhận thấy từ các trang đã hiển thị.
Kiểm tra việc theo dõi trước khi xin đồng ý
Đặc biệt chú ý đến các tập lệnh phân tích và quảng cáo tải trước khi khách truy cập đưa ra lựa chọn đồng ý. Đồng thời, hãy xác minh rằng thông báo bảo mật mô tả chính xác các dịch vụ được tìm thấy trong dự án và không dựa vào việc tiếp tục duyệt web, sự im lặng hoặc trạng thái không hoạt động để coi là sự đồng ý.
Phân biệt thông tin kỹ thuật với thông tin kinh doanh
Agent có thể suy luận nhiều chi tiết triển khai, nhưng không thể xác định đáng tin cậy mọi thực tiễn vận hành chỉ từ mã nguồn. Hãy xác nhận với những người phụ trách trong tổ chức các thông tin như danh tính của bên kiểm soát dữ liệu, thời hạn lưu giữ, quy tắc truy cập nội bộ, hoạt động xử lý xuyên biên giới, quan hệ hợp đồng và quy trình hỗ trợ khách hàng.
Sử dụng danh sách kiểm tra mà không cần AI agent
Quy trình tự động hiện yêu cầu một trong các công cụ AI được hỗ trợ. Nếu không sử dụng AI coding agent, bạn vẫn có thể đọc các tệp trong thư mục references của kho mã và dùng chúng làm danh sách kiểm tra tự đánh giá thủ công.
Xử lý có trách nhiệm các cuộc kiểm tra bên thứ ba
Nếu quét một website mà bạn không sở hữu, hãy giữ kín kết quả và gửi trực tiếp cho chủ sở hữu website. Dự án nêu rõ rằng không nên công khai bêu xấu các tổ chức dựa trên kết quả quét.
Thận trọng khi xem xét các tài liệu tham chiếu chưa được xác minh
Người bảo trì tự nhận mình là nhà phát triển chứ không phải luật sư và đánh dấu những tài liệu tham chiếu chưa được đối chiếu với toàn văn pháp luật là CHƯA XÁC MINH, có nghĩa là “chưa được xác minh”. README cho biết vẫn còn vài chục mục như vậy, chủ yếu trong tài liệu tham chiếu về xử phạt và tài liệu Nghị định 356/2025. Hãy đặc biệt thận trọng với các mục này.
Đóng góp các nội dung đính chính
Các trích dẫn pháp lý và danh sách kiểm tra có thể thay đổi, vì vậy sự đánh giá của cộng đồng rất quan trọng. Bạn có thể mở một issue trên GitHub để báo cáo số điều không chính xác, văn bản đã lỗi thời, mức phạt không đúng, luật còn thiếu, vấn đề phổ biến chưa được đề cập trong danh sách kiểm tra hoặc phân loại website không chính xác. Việc kèm theo liên kết đến văn bản pháp lý gốc sẽ giúp người bảo trì xác minh nội dung đính chính.
Các nhà phát triển gửi pull request nên chỉnh sửa những tệp nguồn được kho mã liệt kê, chạy tools/sync.sh để tạo lại các bản sao dành cho từng công cụ và chạy tests/run.sh sau khi thay đổi scripts/scan.sh. Tích hợp liên tục sẽ báo lỗi khi các bản sao được tạo chưa được đồng bộ.
Chi phí, giấy phép và giới hạn
Kho mã này miễn phí. Chi phí sử dụng duy nhất của bạn là khoản tiêu thụ AI do công cụ lập trình hiện có tính. Mã nguồn và cấu trúc kho mã được cung cấp theo Giấy phép MIT, trong khi các văn bản pháp luật Việt Nam được tham chiếu là tài liệu công khai của cơ quan nhà nước và không thuộc phạm vi của giấy phép phần mềm đó.
Quan trọng nhất, một cuộc kiểm tra không đảm bảo tuân thủ pháp luật hoàn toàn. Hãy sử dụng vn-law-check để phát hiện những thiếu sót có khả năng tồn tại, sắp xếp công việc khắc phục và tạo bản dự thảo đầu tiên. Hãy nhờ một chuyên gia pháp lý đủ năng lực xem xét các phát hiện quan trọng và tài liệu chính sách trước khi sử dụng chúng trong môi trường vận hành thực tế.
Kết luận
vn-law-check tạo ra cầu nối thực tế giữa các danh sách kiểm tra tuân thủ tại Việt Nam và hoạt động phát triển phần mềm có AI hỗ trợ. Hãy cài đặt công cụ này trong một agent được hỗ trợ, kiểm tra mã nguồn hoặc URL công khai, xem báo cáo được sắp xếp theo mức độ ưu tiên, rồi yêu cầu thực hiện các sửa đổi cụ thể hoặc tạo bản dự thảo chính sách quyền riêng tư. Quy trình này có thể đẩy nhanh bước đánh giá ban đầu, nhưng các quyết định pháp lý cuối cùng vẫn cần dựa trên thông tin đã được xác minh, văn bản pháp luật hiện hành và phán đoán chuyên môn.