Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026. Chính phủ ban hành Nghị định 356/2025/NĐ-CP ngày 31/12/2025 để quy định chi tiết, có hiệu lực cùng ngày 1/1/2026 và thay thế Nghị định 13/2023/NĐ-CP. Bài viết này là cẩm nang tổng hợp để doanh nghiệp biết nên rà soát những gì.

1. Những điểm cốt lõi của Luật

  • Quyền của chủ thể dữ liệu (Điều 4): được biết, đồng ý hoặc rút lại sự đồng ý, truy cập, chỉnh sửa, xóa hoặc hạn chế xử lý, phản đối, khiếu nại và yêu cầu bồi thường.
  • Hành vi bị cấm (Điều 7): gồm mua bán dữ liệu cá nhân (trừ trường hợp luật khác cho phép) và cố ý làm lộ, làm mất dữ liệu cá nhân.
  • Thông báo vi phạm: khi vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự, an toàn xã hội hoặc quyền lợi của cá nhân, phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (Điều 23).
  • Người phụ trách bảo vệ dữ liệu cá nhân: tổ chức cần có bộ phận hoặc cá nhân phù hợp, hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân đủ điều kiện. Doanh nghiệp nhỏ và khởi nghiệp được miễn nghĩa vụ này trong 5 năm kể từ 1/1/2026 theo các tóm tắt pháp lý công khai; cần đối chiếu điều kiện cụ thể trong văn bản gốc.
  • Chuyển dữ liệu ra nước ngoài: phải thực hiện đánh giá tác động trước khi chuyển.
  • Lĩnh vực tài chính — ngân hàng (Điều 27): tuân thủ quy định về dữ liệu nhạy cảm, không dùng thông tin tín dụng để chấm điểm, xếp hạng nếu chưa có sự đồng ý, và thông báo khi thông tin bị lộ hoặc mất.
  • Mạng xã hội (Điều 29): không yêu cầu hình ảnh hoặc video giấy tờ tùy thân để xác thực tài khoản.

2. Mức xử phạt cần biết

  • Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: mức phạt tối đa 5% doanh thu năm liền kề (Điều 8).
  • Mua bán dữ liệu cá nhân: mức phạt theo tóm tắt pháp lý công khai là gấp 10 lần khoản thu bất hợp pháp.
  • Các vi phạm khác trong lĩnh vực này: mức phạt tối đa 3 tỷ đồng theo mô tả của Ngân hàng Nhà nước.
  • Tùy mức độ, người vi phạm còn có thể bị truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Các mức trên được tổng hợp từ nguồn công khai. Mức phạt cụ thể phụ thuộc vào hành vi và văn bản xử phạt hiện hành, vì vậy cần đối chiếu văn bản gốc.

3. Nghị định 356/2025 bổ sung gì?

Nghị định chi tiết hóa quy trình thông báo sự cố 72 giờ (mẫu số 08), quy định mốc thời gian phản hồi yêu cầu của chủ thể dữ liệu, các yêu cầu riêng cho tài chính — ngân hàng, xử lý dữ liệu lớn (bắt buộc xác thực đa yếu tố và phân quyền chặt chẽ), hệ thống AI và điều kiện năng lực của nhân sự phụ trách bảo vệ dữ liệu. Chi tiết xem tại bài Nghị định 356/2025/NĐ-CP: quy định mới về thông báo sự cố dữ liệu.

4. Danh sách 10 việc doanh nghiệp có thể bắt đầu

  1. Kiểm kê dữ liệu cá nhân: thu thập loại dữ liệu nào, của ai, lưu ở đâu, chia sẻ cho ai.
  2. Xác định căn cứ xử lý và sự đồng ý: mỗi mục đích xử lý cần có căn cứ rõ ràng, lưu được bằng chứng đồng ý.
  3. Phân loại dữ liệu nhạy cảm và áp dụng mức bảo vệ cao hơn.
  4. Chỉ định người hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân, hoặc cân nhắc thuê dịch vụ phù hợp.
  5. Xây quy trình đáp ứng quyền của chủ thể dữ liệu với thời hạn phản hồi rõ ràng.
  6. Chuẩn bị quy trình ứng phó sự cố 72 giờ, gồm mẫu thông báo và đầu mối liên hệ.
  7. Rà soát hợp đồng với bên xử lý và đối tác có tiếp cận dữ liệu cá nhân.
  8. Đánh giá việc chuyển dữ liệu ra nước ngoài, kể cả khi dùng nền tảng của nhà cung cấp nước ngoài.
  9. Áp dụng biện pháp kỹ thuật: mã hóa, phân quyền theo vai trò, xác thực đa yếu tố, nhật ký truy cập.
  10. Đào tạo nhân sự và kiểm tra định kỳ.

5. Công nghệ hỗ trợ ở đâu?

Yêu cầu thông báo trong 72 giờ chỉ khả thi khi doanh nghiệp biết tài liệu nào bị ảnh hưởng, ai đã truy cập và khi nào. Nền tảng bảo mật lấy dữ liệu làm trung tâm như Sản phẩm hỗ trợ mã hóa tệp, phân quyền theo người dùng và ghi nhật ký kiểm toán, giúp rút ngắn thời gian xác minh phạm vi sự cố. Công nghệ chỉ là một phần của tuân thủ, không thay thế chính sách, quy trình và tư vấn pháp lý. Bạn có thể bắt đầu với bài đánh giá tuân thủ miễn phí để nhận diện các nội dung cần rà soát.

Các vụ việc thực tế liên quan

Nhiều sự cố dữ liệu bắt nguồn từ chính nhân sự và đối tác: nhân viên bảo vệ xem hồ sơ bệnh án không vì công việc, thông tin đăng nhập của nhà thầu bị đánh cắp.

Nội dung trên tổng hợp từ các nguồn công khai tại thời điểm biên soạn, mang tính tham khảo, không phải tư vấn pháp lý. Doanh nghiệp nên đối chiếu văn bản gốc và tham vấn chuyên môn pháp lý trước khi áp dụng, đặc biệt với các điều khoản chuyển tiếp và văn bản hướng dẫn thi hành.

Nguồn tham khảo

相關文章

第 356/2025/NĐ-CP 號議定書：資料事件通報的新規定第 13/2023 號個人資料保護議定書：企業需要了解什麼Yakima 醫院：23 名保全人員因非工作原因查看 419 名病患的病歷Tất cả Case Study và tài nguyên