White Paper “Bảo vệ dữ liệu cá nhân theo quy định pháp luật” do AISA biên soạn giúp doanh nghiệp hiểu quy định, nhận diện rủi ro và xây dựng lộ trình tuân thủ thực tế. Tài liệu gồm 14 trang, chia làm bốn phần; bên dưới là phần tóm lược. Bản đầy đủ có thể tải về hoặc xem trực tuyến ở các nút phía trên; có cả bản tiếng Anh.
Phần I · Vì sao phải hành động
Chỉ cần một trong các dấu hiệu sau, doanh nghiệp đã xử lý dữ liệu cá nhân và thuộc phạm vi Luật 91/2025/QH15:
- Có người lao động hoặc ứng viên (hồ sơ nhân sự, bảng lương, bảo hiểm, CCCD).
- Có khách hàng là cá nhân (tên, số điện thoại, email, địa chỉ giao hàng).
- Lắp camera hoặc chấm công sinh trắc học (vân tay, khuôn mặt là dữ liệu nhạy cảm).
- Dùng đám mây, email, phần mềm hoặc AI, đặc biệt khi máy chủ đặt ở nước ngoài.
- Gửi dữ liệu cho đối tác như kế toán, ngân hàng, bảo hiểm, logistics, đại lý.
Tài liệu nêu ba điều lãnh đạo cần biết: dữ liệu cá nhân có ở khắp nơi (dữ liệu đã mã hóa vẫn là dữ liệu cá nhân); đây là bài toán vận hành chứ không chỉ việc của pháp chế; và doanh nghiệp phải có bằng chứng, vì khi tranh chấp, doanh nghiệp là bên phải chứng minh. Sự cố dữ liệu tác động đến bốn mặt: khách hàng và người lao động, vận hành, tài chính và cơ hội kinh doanh.
Về chi phí, theo IBM Cost of a Data Breach Report 2025, một vụ rò rỉ khi doanh nghiệp có mức độ cao dùng AI ngoài kiểm soát (shadow AI) tốn thêm trung bình khoảng 17,5 tỷ đồng (≈ 670.000 USD). White Paper cũng minh họa ba tình huống hằng ngày có thể tạo ra nghĩa vụ pháp lý: gửi bảng lương cho đối tác, tải hồ sơ khách hàng lên công cụ AI, và chấm công bằng vân tay hoặc khuôn mặt.
Phần II · Nghĩa vụ cần hiểu
- Theo ngành và quy mô: luật áp dụng cho mọi tổ chức. Miễn trừ chỉ áp dụng cho ba nghĩa vụ về hồ sơ và nhân sự, không phải miễn toàn bộ.
- Khung pháp lý ba lớp: nghĩa vụ nền tảng (Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP); yêu cầu theo hoạt động (Luật Dữ liệu, Luật An ninh mạng, Luật Trí tuệ nhân tạo và các nghị định hướng dẫn); và chế tài (Nghị định 330/2026/NĐ-CP).
- Vai trò: bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên thứ ba. Nghĩa vụ đi theo vai trò nên cần xác định đúng vai trò trước tiên.
- Chuyển dữ liệu xuyên biên giới: gồm ba trường hợp, trong đó có việc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam.
- Căn cứ xử lý và quyền của cá nhân: xin đồng ý theo từng mục đích, lưu nhật ký đồng ý; mọi yêu cầu của người có dữ liệu phải được phản hồi trong 02 ngày làm việc, rồi thực hiện trong thời hạn theo từng loại yêu cầu.
- Hồ sơ, nhân sự và nhà cung cấp: hồ sơ đánh giá tác động (DPIA), hồ sơ chuyển dữ liệu ra nước ngoài, nhân sự hoặc bộ phận bảo vệ dữ liệu, hợp đồng chuyển giao dữ liệu và hợp đồng dịch vụ đám mây.
Chế tài khi không tuân thủ
Mức phạt tối đa thông thường là 3 tỷ đồng; vi phạm quy định chuyển dữ liệu ra nước ngoài có thể bị phạt đến 5% doanh thu năm trước liền kề; mua bán dữ liệu cá nhân bị phạt 10 lần khoản thu có được. White Paper có bảng mức phạt theo từng hành vi (ví dụ xử lý khi chưa có sự đồng ý: 30–50 triệu đồng; báo cơ quan chuyên trách chậm hơn 72 giờ: 40–60 triệu đồng). Mức phạt tối đa không phải là mức sẽ bị phạt, và hậu quả vận hành thường đến trước tiền phạt.
Phần III · Triển khai và DCS
AI không bị cấm. Điều cần làm là biết dữ liệu nào đi vào, xử lý ở đâu và kết quả được dùng ra sao. Tài liệu đưa ra năm điểm kiểm soát: công cụ được phê duyệt, dữ liệu đầu vào, nhà cung cấp và nhà thầu phụ, kết quả đầu ra, lưu và xóa.
Bảo vệ dữ liệu dựa trên ba trụ cột là quy trình, con người và công nghệ; thiếu một trụ cột thì hai trụ cột còn lại mất hiệu quả. Nghị định 356/2025 yêu cầu có biện pháp chống nhân sự nội bộ chia sẻ trái phép dữ liệu. Đây là điểm quy trình và con người cần thêm một lớp kiểm soát ngay trên tệp dữ liệu, nơi bảo mật lấy dữ liệu làm trung tâm như DCS hỗ trợ.
Phần IV · Bắt đầu từ đâu
White Paper đề xuất lộ trình nền tảng 90 ngày: ngày 1–30 Nhận diện (kiểm kê dữ liệu, vẽ luồng dữ liệu, xác định vai trò và căn cứ), ngày 31–60 Thiết lập (DPIA, hồ sơ chuyển dữ liệu, hợp đồng nhà cung cấp, quy trình đồng ý và quyền), ngày 61–90 Kiểm chứng (kiểm thử, diễn tập sự cố 72 giờ, đào tạo). Lộ trình là khuyến nghị cách tổ chức công việc, không thay thế hay gia hạn thời hạn pháp luật.
