Bảo vệ dữ liệu cá nhân: khung pháp lý mới và nghĩa vụ của doanh nghiệp.

1. Doanh nghiệp cần xác định loại dữ liệu, vai trò và quyền miễn trừ của mình

Việt Nam đã chuyển khung pháp lý về dữ liệu cá nhân từ cấp nghị định lên cấp luật. Thay đổi này không chỉ mang ý nghĩa hình thức: việc quy định ở cấp luật cho phép ấn định mức phạt tiền rất cao, mở đường cho chế tài tính theo tỷ lệ doanh thu, và tạo nền tảng cho các quy định chuyên ngành về dữ liệu người lao động, dữ liệu khách hàng tài chính và dữ liệu quảng cáo.

Đối với doanh nghiệp, có ba câu hỏi cần được trả lời trước tiên: dữ liệu đang xử lý thuộc loại cơ bản hay nhạy cảm, doanh nghiệp giữ vai trò pháp lý nào trong từng luồng dữ liệu, và doanh nghiệp có thuộc diện được miễn trừ một số nghĩa vụ hay không.

2. Phạm vi dữ liệu nhạy cảm đã được mở rộng đáng kể

2.1. Dữ liệu cá nhân cơ bản gồm các thông tin định danh thông thường

Dữ liệu cá nhân cơ bản gồm họ tên và tên gọi khác; ngày tháng năm sinh; ngày tháng năm chết hoặc mất tích; giới tính; nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại; quê quán; địa chỉ liên hệ; quốc tịch; hình ảnh cá nhân; số điện thoại; số định danh cá nhân; biển số xe; số hộ chiếu; số giấy phép lái xe; tình trạng hôn nhân; thông tin về mối quan hệ gia đình gồm cha mẹ, con và vợ chồng; dữ liệu phản ánh hoạt động và lịch sử hoạt động trên không gian mạng; và tài khoản số.

So với Nghị định 13/2023, danh mục này đã bỏ số chứng minh nhân dân, mã số thuế, số bảo hiểm xã hội và số thẻ bảo hiểm y tế, do các thông tin này đã được tích hợp vào số định danh cá nhân, đồng thời bổ sung thông tin về quan hệ vợ chồng.

2.2. Dữ liệu hành vi và giao dịch nay thuộc nhóm nhạy cảm

Dữ liệu cá nhân nhạy cảm gồm quan điểm chính trị và tôn giáo; tình trạng sức khỏe và đời tư ghi trong hồ sơ bệnh án, trừ thông tin về nhóm máu; nguồn gốc chủng tộc và dân tộc; đặc điểm di truyền; thuộc tính vật lý và sinh học đặc trưng; dữ liệu sinh trắc học; đời sống và xu hướng tình dục; dữ liệu về tội phạm và hoạt động tố tụng; thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và tổ chức cung ứng dịch vụ trung gian thanh toán, bao gồm thông tin định danh, tài khoản, tiền gửi, tài sản gửi, giao dịch và tổ chức bảo lãnh; dữ liệu về vị trí cá nhân xác định qua dịch vụ định vị; và dữ liệu khác được pháp luật quy định là đặc thù cần biện pháp bảo vệ cần thiết.

Điểm có tác động lớn nhất tới doanh nghiệp thương mại điện tử và quảng cáo số. Nghị định 356 mở rộng nhóm dữ liệu nhạy cảm sang dữ liệu phản ánh hành vi vi phạm pháp luật, sang lĩnh vực chứng khoán và bảo hiểm, sang thông tin đăng nhập và lịch sử giao dịch, và sang dữ liệu theo dõi hành vi cùng hoạt động sử dụng dịch vụ viễn thông, mạng xã hội và dịch vụ trực tuyến.

Hệ quả là dữ liệu hành vi duyệt web được sử dụng cho quảng cáo nhắm đối tượng nay phải đáp ứng chuẩn của dữ liệu nhạy cảm, kéo theo yêu cầu cao hơn về sự đồng ý và về hồ sơ đánh giá tác động.

Ngược lại, dữ liệu đã được ẩn danh không còn là dữ liệu cá nhân. Đây là cơ sở pháp lý để doanh nghiệp thu hẹp phạm vi tuân thủ bằng biện pháp kỹ thuật.

3. Phần lớn doanh nghiệp vừa là bên kiểm soát vừa là bên xử lý dữ liệu

Trên thực tế, phần lớn doanh nghiệp Việt Nam giữ vai trò Bên Kiểm soát và xử lý, vì vừa tự quyết định mục đích vừa tự vận hành hệ thống. Việc tự phân loại nhầm thành Bên Kiểm soát thuần túy là lỗi phổ biến khi lập hồ sơ và dẫn tới xác định sai phạm vi nghĩa vụ phải thực hiện.

4. Sự đồng ý phải đáp ứng các điều kiện chặt chẽ và được lưu bằng chứng

4.1. Sự đồng ý chỉ có giá trị khi đáp ứng đủ các điều kiện

• Sự đồng ý phải tự nguyện, và chủ thể dữ liệu phải biết rõ loại dữ liệu được xử lý, mục đích xử lý, các bên được tiếp cận và xử lý dữ liệu, cùng quyền và nghĩa vụ của mình.
• Sự đồng ý phải được thể hiện rõ ràng, cụ thể, bằng hình thức có thể kiểm chứng, chẳng hạn bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp tin nhắn, hoặc lựa chọn thiết lập kỹ thuật.
• Sự đồng ý phải ở định dạng in và sao chép được bằng văn bản, kể cả khi được thể hiện ở dạng điện tử.
• Sự im lặng hoặc không phản hồi không được coi là đồng ý.
• Sự đồng ý phải được tách bạch theo từng mục đích. Việc gộp nhiều mục đích vào một ô đánh dấu là không hợp lệ.
• Doanh nghiệp không được thiết lập mặc định đồng ý, và không được trình bày gây nhầm lẫn giữa đồng ý và không đồng ý.
• Doanh nghiệp không được từ chối cung cấp dịch vụ chỉ vì chủ thể dữ liệu không đồng ý cho xử lý những dữ liệu không cần thiết cho dịch vụ đó.

Nghĩa vụ mới của Nghị định 356/2025. Doanh nghiệp phải lưu trữ bằng chứng về sự đồng ý, bảo đảm khả năng kiểm chứng cả thời điểm và nội dung đã đồng ý. Đây là một yêu cầu kỹ thuật cụ thể chứ không phải nguyên tắc chung, và phần lớn hệ thống đang vận hành chưa đáp ứng được.

Chủ thể dữ liệu có quyền rút lại sự đồng ý bất kỳ lúc nào. Việc rút lại không ảnh hưởng tới tính hợp pháp của hoạt động xử lý đã thực hiện trước đó.

4.2. Một số trường hợp xử lý không cần sự đồng ý

Doanh nghiệp được xử lý dữ liệu cá nhân mà không cần sự đồng ý trong các trường hợp: bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu hoặc người khác trong tình huống khẩn cấp; phục vụ phòng chống nguy cơ đe dọa an ninh quốc gia, trật tự an toàn xã hội, bạo loạn, khủng bố, tội phạm và vi phạm pháp luật; phục vụ hoạt động của cơ quan nhà nước theo quy định của luật chuyên ngành; để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan; và các trường hợp khác theo quy định của pháp luật.

Miễn đồng ý không đồng nghĩa với miễn tuân thủ. Kể cả khi thuộc một trong các trường hợp nêu trên, doanh nghiệp vẫn phải thiết lập quy trình và quy định nội bộ về xử lý dữ liệu, cơ chế giám sát, đánh giá rủi ro định kỳ và cơ chế tiếp nhận phản ánh.

5. Thời hạn đáp ứng yêu cầu của chủ thể dữ liệu nay khác nhau theo loại yêu cầu

Chủ thể dữ liệu có các quyền cốt lõi gồm quyền được biết; quyền đồng ý và không đồng ý; quyền truy cập, xem và chỉnh sửa; quyền rút lại sự đồng ý; quyền xóa dữ liệu; quyền hạn chế xử lý; quyền phản đối xử lý; quyền yêu cầu cung cấp dữ liệu; quyền khiếu nại, tố cáo và khởi kiện; quyền yêu cầu bồi thường thiệt hại; và quyền tự bảo vệ.

Thời hạn đáp ứng đã được phân hóa. Nghị định 13/2023 áp dụng chung một mốc 72 giờ, còn Nghị định 356/2025 thay bằng các mốc khác nhau theo từng loại yêu cầu:

Doanh nghiệp cần thiết kế quy trình nội bộ với thời hạn chặt hơn các mốc nêu trên, vì thời gian xác minh danh tính người yêu cầu và thời gian rà soát hệ thống đều nằm trong khung thời hạn luật định.

6. Doanh nghiệp phải lập và nộp hồ sơ đánh giá tác động trong 60 ngày

Nghĩa vụ này được quy định tại Luật 91/2025 và Nghị định 356/2025/NĐ-CP.

Thành phần hồ sơ theo Nghị định 356 đã được bổ sung so với Nghị định 13/2023, trong đó có chính sách và quy trình bảo vệ dữ liệu và sơ đồ luồng dữ liệu chi tiết. Sơ đồ luồng dữ liệu là hạng mục đòi hỏi nhiều công sức nhất và nên được xây dựng trước, vì đây cũng là nền tảng cho toàn bộ các bước tuân thủ khác.

7. Chuyển dữ liệu ra nước ngoài đòi hỏi một hồ sơ đánh giá riêng

Doanh nghiệp chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Đây là hồ sơ riêng, độc lập với hồ sơ đánh giá tác động xử lý dữ liệu.

• Thành phần hồ sơ: báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài; bản sao hợp đồng hoặc thỏa thuận chuyển dữ liệu; chính sách bảo vệ dữ liệu của bên nhận.
• Thỏa thuận chuyển dữ liệu phải nêu rõ mục đích chuyển, loại dữ liệu, thời hạn xử lý, trách nhiệm của các bên và biện pháp bảo mật.
• Dữ liệu nhạy cảm phải được mã hóa hoặc ẩn danh trong quá trình chuyển.
• Thời hạn nộp: 60 ngày kể từ ngày tiến hành chuyển dữ liệu. Cơ quan có thẩm quyền phản hồi trong 15 ngày.

Các trường hợp được miễn đánh giá tác động chuyển dữ liệu, được mở rộng bởi Nghị định 356, gồm hoạt động báo chí; dữ liệu đã được công khai hợp pháp; tình huống khẩn cấp; quản lý nhân sự xuyên biên giới trong cùng tập đoàn; và chứng từ phục vụ giao dịch quốc tế.

Nhóm miễn trừ về quản lý nhân sự xuyên biên giới có ý nghĩa thực tiễn lớn đối với doanh nghiệp có vốn đầu tư nước ngoài, vì luồng dữ liệu nhân sự chuyển về công ty mẹ là luồng phổ biến nhất và trước đây phải lập hồ sơ riêng.

8. Vi phạm dữ liệu phải được thông báo trong 72 giờ

Doanh nghiệp phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện vi phạm, khi vi phạm có thể ảnh hưởng đến an ninh quốc gia, trật tự an toàn xã hội, hoặc quyền và lợi ích hợp pháp của chủ thể dữ liệu. Thông báo sau 72 giờ phải kèm theo lý do chậm trễ.

Nội dung thông báo gồm mô tả vi phạm, loại dữ liệu bị ảnh hưởng, số lượng chủ thể bị ảnh hưởng, mức độ nghiêm trọng, hậu quả và thiệt hại, biện pháp khắc phục đã và sẽ áp dụng, hướng dẫn phòng ngừa cho chủ thể dữ liệu, và thông tin liên hệ của bộ phận phụ trách.

Nghị định 356/2025 bổ sung nghĩa vụ thông báo trực tiếp cho chủ thể dữ liệu trong 72 giờ khi vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học. Hồ sơ về vi phạm phải được lưu giữ tối thiểu 05 năm.

9. Nhân sự phụ trách bảo vệ dữ liệu phải đáp ứng tiêu chuẩn

Đây là nội dung lần đầu được luật hóa, bởi Nghị định 13/2023 chưa đặt ra tiêu chuẩn đối với nhân sự phụ trách.

Tiêu chuẩn nhân sự nội bộ: trình độ cao đẳng trở lên; có ít nhất 02 năm kinh nghiệm công tác liên quan đến pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ; và đã được đào tạo, bồi dưỡng kiến thức pháp luật cùng kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

Thuê ngoài được chấp nhận. Doanh nghiệp có thể sử dụng dịch vụ bảo vệ dữ liệu cá nhân của tổ chức hoặc cá nhân đủ điều kiện, với yêu cầu từ 03 năm kinh nghiệm trở lên và có năng lực về công nghệ, tư vấn pháp lý hoặc an toàn thông tin. Doanh nghiệp cũng có thể kết hợp nhân sự nội bộ với dịch vụ thuê ngoài.

Việc kinh doanh dịch vụ xử lý và bảo vệ dữ liệu cá nhân phải có giấy chứng nhận đủ điều kiện. Nghị định 356 nêu các dịch vụ thuộc diện này bao gồm chấm điểm tín dụng, mã hóa, dữ liệu lớn, trí tuệ nhân tạo và blockchain.

9.1. Doanh nghiệp nhỏ được miễn trừ có điều kiện

Ba trường hợp làm mất quyền miễn trừ: doanh nghiệp trực tiếp kinh doanh hoạt động xử lý dữ liệu cá nhân; doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm; hoặc doanh nghiệp xử lý dữ liệu của từ 100.000 chủ thể dữ liệu trở lên.

Ngưỡng 100.000 chủ thể và tiêu chí xử lý dữ liệu nhạy cảm khiến nhiều doanh nghiệp nhỏ trong lĩnh vực thương mại điện tử, ứng dụng di động và dịch vụ trực tuyến không thực sự được hưởng miễn trừ, dù đáp ứng tiêu chí về quy mô. Đây là nội dung cần được kiểm tra sớm thay vì giả định doanh nghiệp đương nhiên thuộc diện miễn trừ.

10. Một số hoạt động có quy định riêng

10.1. Dữ liệu người lao động phải được xử lý theo từng giai đoạn của quan hệ lao động

Pháp luật đặt ra ba nghĩa vụ tương ứng với ba giai đoạn của quan hệ lao động:

• Khi tuyển dụng: doanh nghiệp chỉ được yêu cầu những thông tin phục vụ mục đích tuyển dụng. Nếu ứng viên không trúng tuyển thì doanh nghiệp phải xóa hoặc hủy dữ liệu của ứng viên, trừ trường hợp các bên có thỏa thuận khác.
• Khi quản lý lao động: doanh nghiệp phải có sự đồng ý của người lao động trước khi thu thập dữ liệu bằng phương tiện công nghệ, bao gồm giám sát, chấm công sinh trắc học, theo dõi vị trí và giám sát thiết bị làm việc.
• Khi chấm dứt hợp đồng lao động: doanh nghiệp phải xóa, hủy dữ liệu cá nhân của người lao động, trừ trường hợp pháp luật có quy định khác hoặc các bên có thỏa thuận khác.

Quy định về ứng viên không trúng tuyển ảnh hưởng trực tiếp tới thực tiễn lưu giữ hồ sơ ứng viên để phục vụ tuyển dụng về sau. Doanh nghiệp muốn giữ lại hồ sơ này cần có thỏa thuận riêng với ứng viên, trong đó xác định rõ thời hạn lưu trữ.

10.2. Doanh nghiệp không được thuê lại dịch vụ quảng cáo dùng dữ liệu cá nhân

Doanh nghiệp không được ủy quyền hoặc thuê lại dịch vụ quảng cáo có sử dụng dữ liệu cá nhân cho bên thứ ba; phải thông báo rõ cho khách hàng về tần suất quảng cáo; và phải có cơ chế để khách hàng từ chối nhận quảng cáo.

Đặt cạnh việc dữ liệu hành vi nay thuộc nhóm nhạy cảm, chuỗi quảng cáo lập trình với nhiều tầng trung gian là mô hình chịu ảnh hưởng nặng nhất từ khung pháp lý mới.

10.3. Mạng xã hội không được yêu cầu ảnh giấy tờ tùy thân để xác thực tài khoản

Nhà cung cấp mạng xã hội và dịch vụ trực tuyến không được yêu cầu người dùng cung cấp hình ảnh hoặc video chứa nội dung đầy đủ hay một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản; không được ghi âm và nghe lén khi chưa có sự đồng ý; đồng thời phải công khai chính sách bảo vệ dữ liệu, cung cấp tùy chọn không theo dõi và tùy chọn từ chối cookie, cho phép người dùng truy cập, chỉnh sửa và xóa dữ liệu.

10.4. Người xuất hiện trong ghi âm, ghi hình tại nơi công cộng phải được thông báo

Về nguyên tắc, người xuất hiện trong hoạt động ghi âm, ghi hình tại nơi công cộng phải được thông báo, trừ các trường hợp ngoại lệ không cần sự đồng ý, chẳng hạn hoạt động phục vụ an ninh trật tự, hoạt động báo chí và sự kiện công cộng. Doanh nghiệp lắp camera tại khu vực khách hàng và khu vực làm việc cần rà soát lại cả biển thông báo lẫn thời hạn lưu trữ hình ảnh.

10.5. Dữ liệu trẻ em từ 07 tuổi cần sự đồng ý của cha mẹ

Đối với trẻ em từ 07 tuổi trở lên, việc công khai dữ liệu phải có sự đồng ý của cha mẹ hoặc người giám hộ.

11. Mức phạt có thể tính theo doanh thu đối với một số vi phạm

11.1. Luật ấn định ba mức trần khác nhau

Luật 91/2025 ấn định ba mức trần khác nhau, và đây là căn cứ gốc cần được trích dẫn chính xác:

Về cơ chế phạt theo tỷ lệ doanh thu. Mức 5% doanh thu năm trước liền kề chỉ áp dụng cho hành vi chuyển dữ liệu ra nước ngoài trái quy định, chứ không phải là mức phạt chung cho mọi vi phạm về dữ liệu cá nhân.

11.2. Nghị định 330/2026/NĐ-CP quy định mức phạt cụ thể

Nghị định 330/2026/NĐ-CP có hiệu lực từ 19/8/2026, điều chỉnh cả lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nguyên tắc áp dụng ở đây khác với các nghị định xử phạt trong lĩnh vực lao động: mức phạt quy định trong nghị định áp dụng cho tổ chức, còn cá nhân vi phạm bị phạt bằng một nửa mức phạt của tổ chức. Thời hiệu xử phạt là 01 năm.

Ngoài phạt tiền, doanh nghiệp còn có thể bị áp dụng hình thức xử phạt bổ sung gồm tước quyền sử dụng giấy phép từ 01 đến 24 tháng, đình chỉ hoạt động từ 01 đến 24 tháng, tịch thu tang vật phương tiện, và trục xuất người nước ngoài. Biện pháp khắc phục hậu quả gồm buộc xóa dữ liệu thu thập trái phép và buộc nộp lại khoản thu bất hợp pháp.

Đáng chú ý là nhóm chế tài về dữ liệu người lao động được tách riêng với mức phạt cao, cho thấy đây là lĩnh vực được ưu tiên giám sát. Doanh nghiệp thường tập trung vào dữ liệu khách hàng mà bỏ qua dữ liệu nội bộ, trong khi hệ thống chấm công sinh trắc học và phần mềm giám sát nhân viên lại là những điểm dễ phát sinh vi phạm nhất.

11.3. Trách nhiệm hình sự hiện chưa được quy định riêng

Tính đến thời điểm hiện tại, Bộ luật Hình sự đang có hiệu lực chưa có tội danh riêng về dữ liệu cá nhân. Đã có đề xuất bổ sung các tội danh về xâm phạm dữ liệu cá nhân, mua bán trái phép dữ liệu cá nhân và cản trở hoạt động bảo vệ dữ liệu cá nhân trong dự thảo sửa đổi Bộ luật Hình sự, nhưng đây vẫn là nội dung đang trong quá trình xây dựng và chưa được thông qua.

12. Yêu cầu lưu trữ dữ liệu trong nước thuộc pháp luật an ninh mạng

Yêu cầu lưu trữ dữ liệu tại Việt Nam nằm trong khung pháp luật về an ninh mạng, không nằm trong Luật Bảo vệ dữ liệu cá nhân. Về nội dung này, cần lưu ý hai thay đổi sau:

• Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ 01/7/2026, hợp nhất và thay thế cả Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018.
• Nghị định 333/2026/NĐ-CP có hiệu lực từ 19/8/2026, thay thế Nghị định 53/2022/NĐ-CP.

Nghĩa vụ lưu trữ trong nước áp dụng với doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet và dịch vụ gia tăng trên không gian mạng tại Việt Nam, đối với dữ liệu thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam, dữ liệu do người sử dụng tạo ra, và dữ liệu về mối quan hệ của người sử dụng. Theo cơ chế hiện hành, nghĩa vụ này phát sinh theo yêu cầu bằng văn bản của Bộ Công an, chứ không áp dụng tự động đối với mọi doanh nghiệp.

13. Đồng ý và hồ sơ đã lập theo quy định cũ vẫn có giá trị

Pháp luật quy định hai nội dung chuyển tiếp có lợi cho doanh nghiệp:

• Hoạt động xử lý dữ liệu cá nhân đã có sự đồng ý hợp lệ theo Nghị định 13/2023 trước ngày 01/01/2026 được tiếp tục thực hiện và không phải xin lại sự đồng ý.
• Hồ sơ đánh giá tác động đã lập hoặc đã nộp theo Nghị định 13/2023 tiếp tục có giá trị. Khi cập nhật hồ sơ sau ngày 01/01/2026 thì áp dụng quy định mới.

Như vậy, doanh nghiệp đã tuân thủ Nghị định 13/2023 không phải thực hiện lại từ đầu, nhưng cần rà soát để bổ sung các nghĩa vụ mới, đặc biệt là việc lưu trữ bằng chứng đồng ý, tiêu chuẩn đối với nhân sự phụ trách, và việc phân loại lại dữ liệu theo danh mục nhạy cảm đã được mở rộng.