Bảo vệ dữ liệu cá nhân: Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP, phạm vi áp dụng ngoài lãnh thổ, bên kiểm soát và bên xử lý, sự đồng ý và các căn cứ pháp lý khác, dữ liệu nhạy cảm, quyền của chủ thể dữ liệu và thời hạn phản hồi, đánh giá tác động, thông báo vi phạm, nhân sự bảo vệ dữ liệu cá nhân, thời gian ân hạn cho doanh nghiệp nhỏ và vừa, xử phạt theo Nghị định số 330/2026/NĐ-CP và danh mục kiểm tra tuân thủ

Một đạo luật, không còn là nghị định

Văn bản toàn diện đầu tiên của Việt Nam về bảo vệ dữ liệu cá nhân là Nghị định số 13/2023/NĐ-CP. Từ ngày 1/1/2026, nghị định này được thay thế bởi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được thông qua ngày 26/6/2025, và nghị định hướng dẫn thi hành là Nghị định số 356/2025/NĐ-CP, ban hành ngày 31/12/2025 và có hiệu lực từ ngày hôm sau (Hỏi đáp số 81). Chế tài xử phạt được quy định tại Nghị định số 330/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026, nghị định này cũng điều chỉnh các vi phạm về an ninh mạng. Việc giám sát và thực thi thuộc về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) thuộc Bộ Công an, cơ quan tiếp nhận hồ sơ đánh giá tác động và thông báo vi phạm, vận hành cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân và kiểm tra việc tuân thủ.

Luật Bảo vệ dữ liệu cá nhân áp dụng đối với tổ chức, cá nhân Việt Nam và nước ngoài tại Việt Nam, và đối với tổ chức, cá nhân nước ngoài ở nước ngoài trực tiếp xử lý hoặc có liên quan đến việc xử lý dữ liệu cá nhân của công dân Việt Nam và một số người cư trú tại Việt Nam. Công ty mẹ ở nước ngoài vận hành hệ thống nhân sự của tập đoàn, doanh nghiệp thương mại điện tử nước ngoài bán hàng cho người tiêu dùng Việt Nam, và nhà cung cấp dịch vụ đám mây hoặc phân tích dữ liệu nước ngoài xử lý dữ liệu cho khách hàng Việt Nam đều có thể thuộc phạm vi điều chỉnh của luật. Các quy định giống nhau được áp dụng đối với doanh nghiệp trong nước và doanh nghiệp có vốn nước ngoài. Bảo vệ dữ liệu cá nhân có sự giao thoa với các quy định về an ninh mạng và lưu trữ dữ liệu tại Việt Nam, được trình bày tại An ninh mạng, lưu trữ dữ liệu tại Việt Nam và chuyển dữ liệu xuyên biên giới.

Vai trò: bên kiểm soát, bên xử lý và bên thứ ba

Luật Bảo vệ dữ liệu cá nhân phân bổ nghĩa vụ theo vai trò. Bên kiểm soát dữ liệu cá nhân quyết định mục đích và phương tiện xử lý; bên xử lý dữ liệu cá nhân xử lý dữ liệu thay mặt bên kiểm soát theo hợp đồng; bên kiểm soát và xử lý dữ liệu cá nhân thực hiện cả hai vai trò; và bên thứ ba là bất kỳ người nào khác được phép xử lý dữ liệu. Bên kiểm soát chịu các nghĩa vụ chính: xác định căn cứ pháp lý, thông báo, thu thập sự đồng ý, phản hồi chủ thể dữ liệu, lập hồ sơ đánh giá tác động, áp dụng biện pháp bảo mật và thông báo vi phạm. Bên xử lý chỉ được xử lý theo chỉ dẫn, phải áp dụng biện pháp bảo mật, hỗ trợ bên kiểm soát và xóa hoặc trả lại dữ liệu khi kết thúc hợp đồng. Nghị định số 356/2025/NĐ-CP yêu cầu thỏa thuận bằng văn bản đối với việc chuyển dữ liệu cho bên xử lý và bên thứ ba và đối với việc chuyển dữ liệu trong quá trình tái cơ cấu, bao gồm mục đích, chủ thể dữ liệu, loại dữ liệu, thời hạn, việc xóa dữ liệu, căn cứ pháp lý và trách nhiệm, đồng thời yêu cầu mã hóa, ẩn danh hóa hoặc biện pháp bảo vệ tương đương khi chuyển dữ liệu nhạy cảm.

Trong một tập đoàn, công ty con tại Việt Nam thường là bên kiểm soát dữ liệu khách hàng và người lao động của mình, còn công ty mẹ hoặc trung tâm dịch vụ dùng chung khu vực đóng vai trò bên xử lý hoặc một bên kiểm soát khác. Thỏa thuận chuyển dữ liệu nội bộ tập đoàn cần phản ánh đúng vai trò thực tế; công ty mẹ xác định mục đích của hệ thống quản lý nhân sự hoặc quản lý quan hệ khách hàng (CRM) toàn cầu nhiều khả năng tự mình là bên kiểm soát.

Căn cứ pháp lý và sự đồng ý

Sự đồng ý là căn cứ mặc định. Sự đồng ý phải được đưa ra một cách tự nguyện và rõ ràng cho một mục đích cụ thể, trên cơ sở được thông báo về mục đích, loại dữ liệu, bên nhận, quyền của chủ thể dữ liệu và hậu quả của việc xử lý; sự im lặng hoặc không phản hồi không được coi là đồng ý. Nghị định số 356/2025/NĐ-CP yêu cầu sự đồng ý phải được ghi nhận để có thể kiểm chứng thời điểm và nội dung, cấm các ô được đánh dấu sẵn và các thiết lập không rõ ràng hoặc gây nhầm lẫn, và chấp nhận sự đồng ý được đưa ra qua điện thoại, thư điện tử, trang web, nền tảng hoặc ứng dụng nếu thiết lập kỹ thuật đáp ứng các tiêu chuẩn đó. Sự đồng ý có thể được rút lại bất kỳ lúc nào, và khi đó bên kiểm soát phải ngừng xử lý trong thời hạn được nêu dưới đây. Mỗi mục đích cần có sự đồng ý riêng, do đó sự đồng ý gộp chung trong một chính sách quyền riêng tư dài có giá trị yếu.

Khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân liệt kê năm trường hợp dữ liệu cá nhân được xử lý không cần sự đồng ý: để bảo vệ tính mạng, sức khỏe, danh dự, quyền hoặc lợi ích hợp pháp của chủ thể dữ liệu hoặc người khác trong tình huống cấp bách; để ứng phó với tình trạng khẩn cấp, mối đe dọa đến an ninh quốc gia, khủng bố, tội phạm và các hành vi vi phạm khác; để phục vụ hoạt động của cơ quan nhà nước và quản lý nhà nước theo quy định của pháp luật; để thực hiện thỏa thuận giữa chủ thể dữ liệu với tổ chức, cá nhân có liên quan theo quy định của pháp luật; và các trường hợp khác do luật định. Do đó, hợp đồng lao động và hợp đồng với khách hàng có thể làm căn cứ cho việc xử lý cần thiết để thực hiện hợp đồng, nhưng hoạt động tiếp thị, lập hồ sơ người dùng, chuyển dữ liệu cho công ty trong tập đoàn vì mục đích riêng của họ và chia sẻ với đối tác nhìn chung vẫn cần sự đồng ý. Luật Bảo vệ dữ liệu cá nhân cấm mua bán dữ liệu cá nhân, trừ trường hợp pháp luật cho phép.

Dữ liệu cá nhân nhạy cảm

Luật Bảo vệ dữ liệu cá nhân phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, và Nghị định số 356/2025/NĐ-CP liệt kê từng loại. Dữ liệu nhạy cảm bao gồm dữ liệu về quan điểm chính trị, tôn giáo, tình trạng sức khỏe, dữ liệu di truyền và sinh trắc học, đời sống tình dục và xu hướng tính dục, lý lịch tư pháp, vị trí chính xác, và, trong số các bổ sung của nghị định, dữ liệu theo dõi hành vi và dữ liệu sử dụng từ dịch vụ viễn thông, mạng xã hội, truyền thông trực tuyến và các dịch vụ khác trên không gian mạng, tên đăng nhập và mật khẩu của tài khoản định danh điện tử, hình ảnh căn cước công dân, và dữ liệu về tài khoản ngân hàng, thẻ thanh toán và giao dịch tài chính. Việc xử lý dữ liệu nhạy cảm đòi hỏi phải thông báo rằng dữ liệu đó là nhạy cảm, áp dụng biện pháp bảo mật và kiểm soát truy cập chặt chẽ hơn, và làm mất quyền hưởng thời gian ân hạn dành cho doanh nghiệp nhỏ được nêu dưới đây. Do đó, doanh nghiệp theo dõi người dùng ứng dụng, xử lý thanh toán bằng thẻ hoặc lưu giữ bản sao căn cước của khách hàng là đang xử lý dữ liệu nhạy cảm và cần lập kế hoạch phù hợp.

Quyền của chủ thể dữ liệu và thời hạn phản hồi

Cá nhân có quyền được biết, quyền đồng ý và rút lại sự đồng ý, quyền truy cập dữ liệu và nhận bản sao, quyền chỉnh sửa, quyền yêu cầu xóa dữ liệu, quyền hạn chế hoặc phản đối việc xử lý, quyền khiếu nại và yêu cầu bồi thường (Hỏi đáp số 83). Nghị định số 356/2025/NĐ-CP quy định thời hạn cụ thể. Bên kiểm soát phải phản hồi mọi yêu cầu trong vòng hai ngày làm việc. Sau đó, bên kiểm soát phải thực hiện yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối việc xử lý trong vòng 15 ngày (20 ngày nếu có sự tham gia của bên xử lý hoặc bên thứ ba); yêu cầu truy cập, chỉnh sửa hoặc cung cấp dữ liệu trong vòng 10 ngày (15 ngày); và yêu cầu xóa dữ liệu trong vòng 20 ngày (30 ngày). Mỗi thời hạn có thể được gia hạn một lần, tối đa bằng số ngày tương ứng. Doanh nghiệp có số lượng người tiêu dùng lớn cần có quy trình xử lý yêu cầu, biện pháp xác minh danh tính và sổ theo dõi; thời hạn phản hồi quá ngắn để có thể đáp ứng bằng cách xử lý tùy tiện theo từng trường hợp.

Đánh giá tác động

Bên kiểm soát và bên xử lý phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, và trước khi chuyển dữ liệu cá nhân ra nước ngoài, kể cả bằng cách lưu trữ trên máy chủ ngoài Việt Nam hoặc sử dụng dịch vụ đám mây ở nước ngoài, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, và nộp trực tuyến cho A05 (Hỏi đáp số 82). Nghị định số 356/2025/NĐ-CP cho phép 60 ngày kể từ khi bắt đầu chuyển dữ liệu để nộp hồ sơ chuyển dữ liệu; A05 xem xét hồ sơ trong vòng 15 ngày và có thể yêu cầu bổ sung trong vòng 30 ngày. Hồ sơ phải bao gồm chính sách, quy trình và biểu mẫu nội bộ về bảo vệ dữ liệu của tổ chức và mô tả luồng dữ liệu cho từng vai trò, và phải được cập nhật sáu tháng một lần khi phát sinh mục đích mới hoặc có thay đổi về bên kiểm soát, bên xử lý hoặc bên thứ ba, và trong vòng mười ngày kể từ khi tổ chức lại, giải thể, thay đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu hoặc thay đổi ngành, nghề kinh doanh có liên quan đến dữ liệu cá nhân. Nghị định miễn hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài đối với việc chuyển dữ liệu phục vụ quản lý nhân sự theo quy định về lao động, nội quy lao động và thỏa ước lao động tập thể, nhưng trường hợp miễn trừ này hẹp, và các nền tảng nhân sự toàn cầu được sử dụng cho mục đích rộng hơn vẫn cần được đánh giá. Trường hợp dữ liệu cá nhân đồng thời là dữ liệu cốt lõi hoặc dữ liệu quan trọng theo Luật Dữ liệu, hồ sơ theo Luật Bảo vệ dữ liệu cá nhân thay thế cho hồ sơ đánh giá riêng theo Luật Dữ liệu.

Vi phạm, nhân sự bảo vệ dữ liệu và thời gian ân hạn cho doanh nghiệp nhỏ và vừa

Bên kiểm soát phải thông báo cho A05 trong vòng 72 giờ kể từ khi phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân thuộc diện phải thông báo, và bên xử lý phải thông báo kịp thời cho bên kiểm soát. Một số vi phạm còn phải được thông báo cho cá nhân bị ảnh hưởng, bao gồm vi phạm tại các đơn vị cung cấp dịch vụ tài chính và vi phạm liên quan đến dữ liệu sinh trắc học hoặc vị trí, trong vòng 72 giờ kể từ khi phát hiện hoặc, nếu không thể thông báo cho từng cá nhân, bằng hình thức công bố công khai; hồ sơ về vi phạm phải được lưu giữ ít nhất năm năm sau khi khắc phục. Tổ chức phải chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân đáp ứng điều kiện do Nghị định số 356/2025/NĐ-CP quy định, gồm trình độ cao đẳng trở lên, ít nhất hai năm kinh nghiệm liên quan và đã được đào tạo về bảo vệ dữ liệu, hoặc thuê đơn vị cung cấp dịch vụ bên ngoài đáp ứng điều kiện.

Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được hưởng thời gian ân hạn năm năm kể từ ngày 1/1/2026 đối với việc chỉ định nhân sự hoặc đơn vị cung cấp dịch vụ bảo vệ dữ liệu và việc lập, cập nhật và nộp hồ sơ đánh giá tác động, và hộ kinh doanh và doanh nghiệp siêu nhỏ phần lớn được miễn. Sự ưu đãi này không áp dụng đối với doanh nghiệp cung cấp dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể dữ liệu trở lên, do đó nhiều doanh nghiệp khởi nghiệp trong lĩnh vực công nghệ và hướng tới người tiêu dùng không được hưởng.

Xử phạt

Nghị định số 330/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026, cụ thể hóa các mức phạt tối đa trong Luật Bảo vệ dữ liệu cá nhân. Tổ chức có thể bị phạt tiền đến 3 tỷ đồng đối với phần lớn các hành vi vi phạm, và cá nhân bằng một nửa mức đó. Hành vi mua bán trái phép dữ liệu cá nhân bị phạt tiền đến mười lần khoản thu có được. Hành vi vi phạm quy định về chuyển dữ liệu xuyên biên giới, như chuyển dữ liệu mà không có hồ sơ theo quy định, che giấu hoặc làm sai lệch luồng dữ liệu dẫn đến lộ lọt, hoặc tiếp tục chuyển dữ liệu sau khi có yêu cầu dừng, bị phạt theo tỷ lệ phần trăm doanh thu tại Việt Nam của năm trước liền kề: từ 1% đến 2% khi từ 10.000 đến dưới 100.000 chủ thể dữ liệu bị ảnh hưởng, từ 2% đến 3% khi từ 100.000 đến dưới một triệu chủ thể dữ liệu, và từ 3% đến 5% khi từ một triệu chủ thể dữ liệu trở lên, với mức phạt cố định đến 3 tỷ đồng trong trường hợp không có doanh thu tại Việt Nam hoặc mức tính theo tỷ lệ phần trăm thấp hơn. Mức phạt thấp hơn áp dụng đối với các vi phạm về hồ sơ và thủ tục, việc xử lý có thể bị đình chỉ cho đến khi vi phạm về đánh giá tác động được khắc phục, và vi phạm nghiêm trọng về chuyển dữ liệu xuyên biên giới có thể dẫn đến đình chỉ việc chuyển dữ liệu từ sáu đến 12 tháng. Cá nhân chịu trách nhiệm cũng có thể bị truy cứu trách nhiệm hình sự về tội sử dụng trái phép thông tin trên mạng máy tính theo Bộ luật Hình sự.