Khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam mới nhất 2026

[Hocluat.vn] Khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam đã có bước thay đổi quan trọng khi Luật Bảo vệ dữ liệu cá nhân năm 2025 chính thức có hiệu lực từ ngày 01/01/2026, cùng với Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Đặc biệt, Nghị định 330/2026/NĐ-CP tiếp tục hoàn thiện cơ chế xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân. Những quy định này tạo ra hành lang pháp lý tương đối toàn diện nhằm bảo vệ quyền riêng tư, kiểm soát hoạt động thu thập, sử dụng và chuyển giao thông tin cá nhân trong môi trường số. Vậy khung pháp lý về bảo vệ dữ liệu cá nhân ở Việt Nam hiện nay bao gồm những văn bản nào? Quyền của cá nhân, nghĩa vụ của doanh nghiệp và trách nhiệm pháp lý khi vi phạm được quy định ra sao?

1. Khái quát về bảo vệ dữ liệu cá nhân và khung pháp lý tại Việt Nam

1.1. Dữ liệu cá nhân là gì?

Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Như vậy, dữ liệu cá nhân không chỉ là những thông tin được lưu trữ trên máy tính, điện thoại hay các hệ thống điện tử mà còn có thể tồn tại dưới dạng văn bản giấy hoặc những hình thức khác.

Theo Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP, dữ liệu cá nhân được phân thành hai nhóm chủ yếu:

Thứ nhất, dữ liệu cá nhân cơ bản, bao gồm những thông tin phổ biến về nhân thân và đặc điểm nhận dạng của một người, chẳng hạn:

• Họ và tên, ngày tháng năm sinh, giới tính.
• Quốc tịch, quê quán, địa chỉ thường trú, tạm trú.
• Số điện thoại, số định danh cá nhân, số hộ chiếu.
• Hình ảnh của cá nhân.
• Tình trạng hôn nhân, thông tin về quan hệ gia đình.
• Thông tin về tài khoản số của cá nhân.

Thứ hai, dữ liệu cá nhân nhạy cảm, bao gồm những thông tin gắn liền với quyền riêng tư mà việc bị xâm phạm có thể gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp, như:

• Thông tin về tình trạng sức khỏe.
• Dữ liệu sinh trắc học và đặc điểm di truyền.
• Quan điểm chính trị, tôn giáo, tín ngưỡng.
• Thông tin về đời sống riêng tư, bí mật cá nhân và bí mật gia đình.
• Dữ liệu vị trí được xác định qua dịch vụ định vị.
• Hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân.
• Thông tin tài khoản, lịch sử giao dịch tài chính, tín dụng thuộc danh mục quy định.
• Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.

Việc phân loại có ý nghĩa quan trọng, bởi hoạt động xử lý dữ liệu cá nhân nhạy cảm thường phải đáp ứng những yêu cầu bảo vệ chặt chẽ hơn.

1.2. Bảo vệ dữ liệu cá nhân là gì?

Theo khoản 4 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025, bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp đề phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Hiểu đơn giản, bảo vệ dữ liệu cá nhân là việc áp dụng những biện pháp pháp lý, tổ chức và kỹ thuật nhằm ngăn chặn việc thu thập, sử dụng, tiết lộ, chuyển giao hoặc xử lý dữ liệu cá nhân trái pháp luật.

Hoạt động này không chỉ nhằm bảo mật thông tin mà còn bảo đảm cá nhân có thể thực hiện các quyền đối với dữ liệu của mình.

1.3. Khung pháp lý về bảo vệ dữ liệu cá nhân là gì?

Khung pháp lý về bảo vệ dữ liệu cá nhân là tổng thể các nguyên tắc, quy phạm pháp luật, văn bản pháp luật và cơ chế tổ chức thực hiện nhằm điều chỉnh hoạt động xử lý dữ liệu cá nhân, xác định quyền của chủ thể dữ liệu và trách nhiệm của những tổ chức, cá nhân có liên quan.

Về cơ bản, khung pháp lý này bao gồm:

• Các quy định của Hiến pháp về quyền riêng tư và bí mật cá nhân.
• Luật Bảo vệ dữ liệu cá nhân cùng các nghị định hướng dẫn.
• Pháp luật về dữ liệu, an ninh mạng và giao dịch điện tử.
• Các quy định chuyên ngành trong hoạt động tài chính, ngân hàng, y tế, lao động, thương mại điện tử.
• Cơ chế quản lý nhà nước, kiểm tra, giám sát và xử lý vi phạm pháp luật.

Đây là cơ sở pháp lý để vừa bảo vệ quyền riêng tư của cá nhân, vừa tạo điều kiện cho cơ quan, tổ chức và doanh nghiệp khai thác, sử dụng dữ liệu một cách hợp pháp.

2. Hệ thống văn bản pháp luật về bảo vệ dữ liệu cá nhân tại Việt Nam

2.1. Hiến pháp năm 2013 và Bộ luật Dân sự năm 2015

Trước khi có luật chuyên ngành về bảo vệ dữ liệu cá nhân, quyền riêng tư và bí mật thông tin của cá nhân đã được ghi nhận trong Hiến pháp và Bộ luật Dân sự.

Điều 21 Hiến pháp năm 2013 quy định mọi người có quyền bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và bí mật gia đình; có quyền bảo vệ danh dự, uy tín của mình.

Điều 38 Bộ luật Dân sự năm 2015 tiếp tục cụ thể hóa quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình.

Theo đó, việc thu thập, lưu giữ, sử dụng, công khai thông tin liên quan đến đời sống riêng tư, bí mật cá nhân về nguyên tắc phải được người đó đồng ý, trừ trường hợp luật có quy định khác.

Những quy định này là nền tảng hiến định và dân sự quan trọng của cơ chế bảo vệ dữ liệu cá nhân tại Việt Nam.

2.2. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15

Ngày 26/6/2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026. Đây là văn bản pháp luật chuyên ngành giữ vai trò trung tâm trong khung pháp lý bảo vệ dữ liệu cá nhân hiện nay.

Luật gồm 05 chương, 39 điều, tập trung vào các nội dung:

• Khái niệm, phân loại và nguyên tắc bảo vệ dữ liệu cá nhân.
• Quyền, nghĩa vụ của chủ thể dữ liệu cá nhân.
• Những hành vi bị nghiêm cấm.
• Điều kiện và yêu cầu trong hoạt động xử lý dữ liệu cá nhân.
• Chuyển dữ liệu cá nhân xuyên biên giới.
• Đánh giá tác động xử lý dữ liệu cá nhân.
• Bảo vệ dữ liệu cá nhân trong những lĩnh vực đặc thù.
• Trách nhiệm của cơ quan, tổ chức và cá nhân liên quan.
• Cơ chế kiểm tra, xử lý vi phạm và bảo đảm thực thi pháp luật.

Một trong những điểm nổi bật của luật là xác lập rõ quyền của chủ thể dữ liệu và trách nhiệm chứng minh việc tuân thủ pháp luật của tổ chức xử lý dữ liệu.

2.3. Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân

Ngày 31/12/2025, Chính phủ ban hành Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực từ ngày 01/01/2026. Nghị định hướng dẫn cụ thể những nội dung quan trọng như:

• Danh mục dữ liệu cá nhân cơ bản và nhạy cảm.
• Phương thức thể hiện sự đồng ý của chủ thể dữ liệu.
• Trình tự thực hiện các quyền liên quan đến dữ liệu cá nhân.
• Điều kiện, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
• Biện pháp bảo vệ dữ liệu trong công nghệ mới.
• Điều kiện, nhiệm vụ của bộ phận và nhân sự bảo vệ dữ liệu cá nhân.
• Trách nhiệm của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Đáng chú ý, theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP, Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 01/01/2026.

Vì vậy, khi nghiên cứu hoặc áp dụng pháp luật trong năm 2026, cần căn cứ vào Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP, đồng thời lưu ý những quy định chuyển tiếp đối với hoạt động và hồ sơ đã thực hiện trước đó.

2.4. Nghị định 330/2026/NĐ-CP về xử phạt vi phạm

Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực từ ngày 19/8/2026. Các hành vi vi phạm được điều chỉnh bao gồm:

• Thu thập, xử lý dữ liệu cá nhân trái quy định.
• Vi phạm quy định về sự đồng ý của chủ thể dữ liệu.
• Không bảo đảm việc thực hiện quyền của chủ thể dữ liệu.
• Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân.
• Vi phạm quy định về chuyển dữ liệu xuyên biên giới.
• Các hành vi vi phạm khác trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Nghị định này góp phần hoàn thiện cơ chế cưỡng chế thi hành và nâng cao trách nhiệm tuân thủ của doanh nghiệp, tổ chức và cá nhân.

2.5. Các văn bản pháp luật có liên quan

Ngoài những văn bản chuyên ngành kể trên, khung pháp lý bảo vệ dữ liệu cá nhân còn có sự liên hệ với:

• Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 01/7/2025 và Nghị định 165/2025/NĐ-CP hướng dẫn thi hành.
• Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/7/2026, thay thế Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015.
• Luật Giao dịch điện tử năm 2023, điều chỉnh những vấn đề liên quan đến giao dịch và thông điệp dữ liệu điện tử.
• Luật Trẻ em năm 2016, có các quy định về bảo vệ đời sống riêng tư và thông tin của trẻ em.
• Các quy định chuyên ngành về ngân hàng, y tế, lao động, viễn thông, quảng cáo và thương mại điện tử.

Như vậy, khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam được hình thành từ nhiều nhóm văn bản, trong đó Luật Bảo vệ dữ liệu cá nhân đóng vai trò điều chỉnh chuyên ngành trực tiếp.

3. Các nguyên tắc pháp lý cơ bản về bảo vệ dữ liệu cá nhân

Theo Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025, hoạt động bảo vệ và xử lý dữ liệu cá nhân phải tuân thủ những nguyên tắc cơ bản.

– Thứ nhất, tuân thủ pháp luật.

Việc xử lý dữ liệu cá nhân phải phù hợp với Hiến pháp, Luật Bảo vệ dữ liệu cá nhân và các quy định pháp luật có liên quan.

– Thứ hai, xử lý dữ liệu đúng phạm vi và mục đích.

Dữ liệu cá nhân chỉ được thu thập, xử lý theo phạm vi và mục đích cụ thể, rõ ràng và hợp pháp.

Ví dụ, nếu khách hàng cung cấp số điện thoại để nhận thông tin giao hàng, doanh nghiệp không thể mặc nhiên sử dụng số điện thoại đó cho mọi hoạt động quảng cáo không liên quan.

– Thứ ba, bảo đảm tính chính xác và thời hạn lưu trữ phù hợp.

Dữ liệu phải được chỉnh sửa, cập nhật, bổ sung khi cần thiết và chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác.

– Thứ tư, áp dụng các biện pháp bảo vệ phù hợp.

Cơ quan, tổ chức và cá nhân phải triển khai đồng bộ những biện pháp về tổ chức, nhân sự và công nghệ để bảo vệ dữ liệu cá nhân.

– Thứ năm, chủ động phòng ngừa và xử lý vi phạm.

Hoạt động bảo vệ dữ liệu cá nhân không chỉ được thực hiện khi xảy ra sự cố mà phải được triển khai trong suốt quá trình xử lý dữ liệu.

– Thứ sáu, bảo đảm sự hài hòa giữa bảo vệ dữ liệu và các lợi ích hợp pháp khác.

Việc bảo vệ dữ liệu cá nhân phải gắn với lợi ích quốc gia, an ninh, phát triển kinh tế – xã hội và quyền, lợi ích hợp pháp của các chủ thể liên quan.

Những nguyên tắc này là nền tảng cho việc xây dựng quy trình quản lý dữ liệu và đánh giá tính hợp pháp của hoạt động xử lý thông tin cá nhân.

4. Quyền của chủ thể dữ liệu cá nhân theo pháp luật Việt Nam

Một trong những nội dung quan trọng nhất của khung pháp lý là xác lập quyền của cá nhân đối với dữ liệu của chính mình. Theo khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu cá nhân có những quyền cơ bản sau:

• Quyền được biết: Được biết về hoạt động xử lý dữ liệu cá nhân liên quan đến mình.
• Quyền đồng ý hoặc không đồng ý: Quyết định có cho phép xử lý dữ liệu cá nhân trong những trường hợp pháp luật yêu cầu sự đồng ý hay không.
• Quyền rút lại sự đồng ý: Yêu cầu rút lại sự đồng ý đã đưa ra theo quy định.
• Quyền xem và chỉnh sửa dữ liệu: Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa thông tin không chính xác.
• Quyền yêu cầu cung cấp dữ liệu: Yêu cầu bên có trách nhiệm cung cấp dữ liệu cá nhân theo quy định.
• Quyền yêu cầu xóa, hạn chế xử lý: Yêu cầu xóa hoặc hạn chế việc xử lý dữ liệu cá nhân khi có căn cứ hợp pháp.
• Quyền phản đối xử lý dữ liệu: Đưa ra yêu cầu phản đối những hoạt động xử lý dữ liệu theo quy định.
• Quyền khiếu nại, tố cáo, khởi kiện: Yêu cầu cơ quan có thẩm quyền bảo vệ quyền lợi khi dữ liệu cá nhân bị xâm phạm.
• Quyền yêu cầu bồi thường: Yêu cầu bồi thường thiệt hại theo quy định pháp luật.
• Quyền yêu cầu áp dụng biện pháp bảo vệ: Yêu cầu cơ quan, tổ chức, cá nhân có liên quan bảo vệ dữ liệu cá nhân của mình.

Điều 5 Nghị định 356/2025/NĐ-CP quy định cụ thể thời hạn xử lý một số yêu cầu của chủ thể dữ liệu.

Ví dụ:

• Đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu hợp lệ, bên có trách nhiệm phải phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn 15 ngày, trừ trường hợp pháp luật quy định khác.
• Đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu hợp lệ, thời hạn thực hiện thông thường là 10 ngày.
• Đối với yêu cầu xóa dữ liệu hợp lệ, thời hạn thực hiện thông thường là 20 ngày.

Các thời hạn trên còn có những trường hợp liên quan đến bên xử lý dữ liệu, bên thứ ba và cơ chế gia hạn theo quy định của nghị định.

Cần lưu ý rằng quyền yêu cầu xóa dữ liệu hoặc rút lại sự đồng ý không phải quyền tuyệt đối. Một số hoạt động xử lý hoặc lưu trữ dữ liệu vẫn có thể được thực hiện khi có căn cứ pháp luật, chẳng hạn để thực hiện nghĩa vụ pháp lý hoặc trong những trường hợp quy định tại Điều 19 của Luật.

5. Quy định về thu thập, sử dụng và xử lý dữ liệu cá nhân

5.1. Nguyên tắc phải có sự đồng ý

Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân năm 2025 và Điều 6 Nghị định 356/2025/NĐ-CP, việc xử lý dữ liệu cá nhân trong trường hợp cần sự đồng ý phải đáp ứng các yêu cầu về tính tự nguyện, rõ ràng và khả năng kiểm chứng. Sự đồng ý có thể được thể hiện thông qua:

• Văn bản.
• Cuộc gọi có ghi âm.
• Tin nhắn điện thoại.
• Thư điện tử.
• Website, ứng dụng hoặc nền tảng có chức năng xác nhận sự đồng ý.
• Những phương thức khác có thể kiểm chứng phù hợp với quy định.

Đặc biệt, không được thiết lập sẵn lựa chọn đồng ý hoặc sử dụng cách trình bày gây hiểu lầm giữa đồng ý và không đồng ý.

Sự im lặng hoặc không phản hồi không được mặc nhiên xem là sự đồng ý.

Ngoài ra, nếu xử lý dữ liệu cá nhân nhạy cảm, bên xử lý phải thông báo rõ cho chủ thể dữ liệu biết loại dữ liệu này đang được xử lý theo quy định.

5.2. Các trường hợp xử lý dữ liệu không cần sự đồng ý

Không phải mọi hoạt động xử lý dữ liệu cá nhân đều bắt buộc phải xin sự đồng ý. Theo khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân, một số trường hợp không cần sự đồng ý bao gồm:

• Xử lý dữ liệu cần thiết để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp trong trường hợp cấp bách hoặc bảo vệ lợi ích chính đáng trước hành vi xâm phạm theo điều kiện luật định.
• Giải quyết tình trạng khẩn cấp, phòng chống tội phạm, vi phạm pháp luật và bảo vệ an ninh quốc gia.
• Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định.
• Thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định pháp luật.
• Những trường hợp khác theo quy định pháp luật.

Tuy nhiên, không cần sự đồng ý không đồng nghĩa với việc được tự do thu thập, sử dụng hoặc chia sẻ dữ liệu cá nhân.

Tổ chức xử lý vẫn phải tuân thủ nguyên tắc bảo vệ dữ liệu, có căn cứ hợp pháp và thực hiện những nghĩa vụ khác theo quy định.

5.3. Cấm mua bán dữ liệu cá nhân trái pháp luật

Khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân nghiêm cấm hành vi mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Bên cạnh đó, pháp luật còn nghiêm cấm những hành vi như:

• Chiếm đoạt dữ liệu cá nhân.
• Cố ý làm lộ, làm mất dữ liệu cá nhân.
• Xử lý dữ liệu cá nhân trái pháp luật.
• Sử dụng dữ liệu của người khác để thực hiện hành vi vi phạm pháp luật.

Tuy nhiên, theo Điều 17 của Luật, những hoạt động chuyển giao dữ liệu cá nhân hợp pháp thuộc các trường hợp luật định, dù có thu phí hoặc không, không mặc nhiên bị xác định là hành vi mua bán dữ liệu cá nhân. Điểm khác biệt nằm ở căn cứ pháp lý, mục đích và điều kiện của hoạt động chuyển giao.

6. Trách nhiệm của doanh nghiệp và tổ chức xử lý dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân đặt ra nhiều nghĩa vụ đối với cơ quan, tổ chức và doanh nghiệp trong hoạt động thu thập, lưu trữ, sử dụng và chuyển giao dữ liệu.

6.1. Xác định rõ vai trò trong hoạt động xử lý dữ liệu

Theo Điều 2 Luật Bảo vệ dữ liệu cá nhân, các chủ thể tham gia xử lý dữ liệu gồm:

• Bên kiểm soát dữ liệu cá nhân: Quyết định mục đích và phương tiện xử lý dữ liệu.
• Bên xử lý dữ liệu cá nhân: Thực hiện xử lý dữ liệu theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý, thông qua hợp đồng.
• Bên kiểm soát và xử lý dữ liệu cá nhân: Đồng thời quyết định mục đích, phương tiện và trực tiếp xử lý.
• Bên thứ ba: Tham gia hoạt động xử lý dữ liệu theo quy định.

Việc xác định đúng vai trò có ý nghĩa quan trọng vì trách nhiệm pháp lý của từng bên không hoàn toàn giống nhau.

Ví dụ, doanh nghiệp thương mại điện tử thu thập thông tin khách hàng để tiếp nhận và xử lý đơn hàng có thể đóng vai trò bên kiểm soát và xử lý dữ liệu.

Trong khi đó, đơn vị cung cấp dịch vụ công nghệ thực hiện việc xử lý dữ liệu theo hợp đồng có thể đóng vai trò bên xử lý dữ liệu.

6.2. Áp dụng biện pháp bảo vệ dữ liệu cá nhân

Theo Điều 37 Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát dữ liệu phải thực hiện các biện pháp quản lý và kỹ thuật phù hợp nhằm bảo vệ dữ liệu cá nhân.

Về thực tiễn, doanh nghiệp cần chú trọng:

• Xây dựng chính sách và quy trình bảo vệ dữ liệu cá nhân.
• Phân quyền truy cập dữ liệu theo vị trí công việc.
• Áp dụng biện pháp bảo mật đối với hệ thống lưu trữ.
• Kiểm soát việc chia sẻ dữ liệu cho đối tác, nhà cung cấp dịch vụ.
• Xây dựng quy trình tiếp nhận và xử lý yêu cầu của khách hàng.
• Đào tạo nhân viên về bảo mật thông tin.
• Xây dựng phương án ứng phó khi xảy ra sự cố dữ liệu.

Các biện pháp cụ thể phải phù hợp với tính chất, quy mô và mức độ rủi ro của hoạt động xử lý dữ liệu.

6.3. Chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân

Theo khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân, cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Nghị định 356/2025/NĐ-CP quy định cụ thể hơn về điều kiện và nhiệm vụ của các chủ thể này. Tuy nhiên, pháp luật có quy định ngoại lệ áp dụng đối với một số doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, doanh nghiệp siêu nhỏ và hộ kinh doanh.

Vì vậy, không nên khẳng định rằng mọi doanh nghiệp, bất kể quy mô, đều bắt buộc phải tổ chức một bộ phận bảo vệ dữ liệu chuyên trách riêng.

7. Quy định về đánh giá tác động xử lý dữ liệu cá nhân

Đánh giá tác động xử lý dữ liệu cá nhân là một trong những nghĩa vụ quan trọng nhằm giúp tổ chức nhận diện và kiểm soát rủi ro phát sinh trong quá trình xử lý dữ liệu.

7.1. Nghĩa vụ lập hồ sơ đánh giá tác động

Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân: Bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân phải lập, lưu trữ hồ sơ đánh giá tác động và gửi 01 bản chính đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp được miễn theo quy định.

Hồ sơ đánh giá tác động được lập để xác định:

• Hoạt động và mục đích xử lý dữ liệu.
• Loại dữ liệu cá nhân được xử lý.
• Các chủ thể tham gia.
• Những rủi ro có thể xảy ra.
• Biện pháp quản lý và kỹ thuật nhằm giảm thiểu rủi ro.
• Cơ chế bảo vệ quyền của chủ thể dữ liệu.
• Nghị định 356/2025/NĐ-CP quy định chi tiết thành phần hồ sơ và thủ tục thực hiện.

7.2. Trường hợp doanh nghiệp nhỏ và siêu nhỏ được miễn hoặc lựa chọn thực hiện

Theo Điều 38 Luật Bảo vệ dữ liệu cá nhân và Điều 41 Nghị định 356/2025/NĐ-CP:

Đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp: Được lựa chọn thực hiện hoặc không thực hiện một số nghĩa vụ về đánh giá tác động, cập nhật hồ sơ và chỉ định nhân sự bảo vệ dữ liệu trong thời gian 05 năm kể từ ngày 01/01/2026.

Đối với hộ kinh doanh và doanh nghiệp siêu nhỏ: Được miễn thực hiện những nghĩa vụ tương ứng theo quy định.

Tuy nhiên, các cơ chế này không áp dụng nếu thuộc những trường hợp ngoại lệ như:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân.
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm.
• Xử lý dữ liệu cá nhân có quy mô tích lũy từ 100.000 chủ thể dữ liệu cá nhân trở lên.

Lưu ý: Việc được miễn một số nghĩa vụ hành chính không đồng nghĩa với việc được miễn toàn bộ trách nhiệm bảo vệ dữ liệu cá nhân.

8. Quy định về chuyển dữ liệu cá nhân ra nước ngoài

Việc chuyển dữ liệu cá nhân xuyên biên giới là một trong những nội dung được quản lý chặt chẽ trong khung pháp lý hiện hành.

Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân, hoạt động chuyển dữ liệu cá nhân xuyên biên giới có thể bao gồm:

• Chuyển dữ liệu cá nhân được lưu trữ tại Việt Nam sang hệ thống lưu trữ ở nước ngoài.
• Tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài.
• Sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

Ví dụ, doanh nghiệp sử dụng nền tảng quản lý khách hàng quốc tế và truyền dữ liệu khách hàng đến hệ thống máy chủ tại nước ngoài có thể phát sinh hoạt động chuyển dữ liệu xuyên biên giới.

8.1. Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới

Theo khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân, tổ chức, cá nhân thực hiện chuyển dữ liệu xuyên biên giới thuộc diện phải đánh giá tác động có trách nhiệm lập hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.

Hồ sơ được lập một lần cho suốt thời gian hoạt động và cập nhật theo quy định khi phát sinh thay đổi.

8.2. Các trường hợp không phải đánh giá tác động

Khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 17 Nghị định 356/2025/NĐ-CP quy định một số trường hợp không phải thực hiện đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Ví dụ:

• Chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình ra nước ngoài.
• Cơ quan nhà nước có thẩm quyền thực hiện chuyển dữ liệu theo quy định.
• Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động trên dịch vụ điện toán đám mây thuộc trường hợp luật định.
• Một số hoạt động chuyển dữ liệu nhằm quản lý nhân sự xuyên biên giới.
• Những trường hợp khác được Chính phủ quy định.

Do đó, không phải mọi hoạt động sử dụng phần mềm, dịch vụ điện toán đám mây hoặc nền tảng nước ngoài đều mặc nhiên phải lập hồ sơ đánh giá tác động. Cần xác định bản chất hoạt động và đối chiếu chính xác với các trường hợp miễn trừ.

Dù được miễn đánh giá tác động, tổ chức vẫn phải tuân thủ những nghĩa vụ bảo vệ dữ liệu khác có liên quan.

9. Bảo vệ dữ liệu cá nhân trong một số lĩnh vực đặc thù

Luật Bảo vệ dữ liệu cá nhân có những quy định riêng đối với các hoạt động có nguy cơ cao về xâm phạm quyền riêng tư.

9.1. Bảo vệ dữ liệu cá nhân của trẻ em

Điều 24 Luật Bảo vệ dữ liệu cá nhân quy định cơ chế bảo vệ dữ liệu đối với trẻ em và một số chủ thể cần sự bảo vệ đặc biệt.

Đối với hoạt động xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư hoặc bí mật cá nhân, nếu trẻ từ đủ 07 tuổi trở lên thì phải có sự đồng ý của trẻ và người đại diện theo pháp luật theo quy định.

Việc xử lý dữ liệu cũng phải phù hợp với quyền và lợi ích hợp pháp của trẻ em.

9.2. Bảo vệ dữ liệu cá nhân của người lao động

Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải bảo vệ thông tin cá nhân trong hoạt động tuyển dụng và quản lý lao động.

Đáng chú ý:

• Chỉ được yêu cầu cung cấp thông tin cần thiết cho mục đích tuyển dụng.
• Thông tin ứng viên không trúng tuyển phải được xóa, hủy, trừ trường hợp có thỏa thuận khác.
• Dữ liệu cá nhân của người lao động phải được lưu trữ phù hợp với pháp luật hoặc thỏa thuận.
• Khi chấm dứt hợp đồng lao động, phải xóa, hủy dữ liệu cá nhân, trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác.

Như vậy, doanh nghiệp vẫn có thể phải lưu giữ một số hồ sơ lao động, kế toán, thuế và bảo hiểm sau khi người lao động nghỉ việc nếu pháp luật yêu cầu.

9.3. Bảo vệ dữ liệu trong hoạt động tài chính, ngân hàng

Theo Điều 27 Luật Bảo vệ dữ liệu cá nhân, các tổ chức hoạt động trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng phải áp dụng các biện pháp bảo vệ phù hợp đối với dữ liệu nhạy cảm. Những dữ liệu quan trọng cần bảo vệ gồm thông tin tài khoản, giao dịch tài chính, lịch sử tín dụng và những thông tin khách hàng khác. Các tổ chức còn có nghĩa vụ thông báo cho chủ thể dữ liệu trong những trường hợp lộ, mất thông tin theo quy định.

9.4. Bảo vệ dữ liệu trong quảng cáo và tiếp thị

Theo Điều 28 Luật Bảo vệ dữ liệu cá nhân, hoạt động xử lý dữ liệu cá nhân phục vụ kinh doanh dịch vụ quảng cáo phải bảo đảm các yêu cầu về sự đồng ý và quyền của khách hàng.

Đặc biệt:

• Khách hàng phải biết rõ nội dung, phương thức, hình thức và tần suất giới thiệu sản phẩm.
• Phải cung cấp cơ chế để khách hàng từ chối nhận quảng cáo.
• Phải ngừng gửi quảng cáo khi có yêu cầu hợp lệ.
• Hoạt động quảng cáo theo hành vi, quảng cáo mục tiêu và quảng cáo cá nhân hóa phải tuân thủ điều kiện thu thập và xử lý dữ liệu.

Đây là nhóm quy định có ảnh hưởng trực tiếp đến hoạt động marketing, quảng cáo trực tuyến và quản lý dữ liệu khách hàng.

9.5. Bảo vệ dữ liệu trên mạng xã hội

Theo Điều 29 Luật Bảo vệ dữ liệu cá nhân, các nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến phải thực hiện những nghĩa vụ như:

• Thông báo rõ dữ liệu cá nhân được thu thập.
• Không thu thập dữ liệu vượt quá phạm vi hợp pháp.
• Không yêu cầu hình ảnh hoặc video chứa thông tin giấy tờ tùy thân làm yếu tố xác thực tài khoản theo quy định của điều luật.
• Cung cấp lựa chọn từ chối cookies và tùy chọn không theo dõi.
• Công khai chính sách bảo mật.
• Cung cấp cơ chế để người dùng truy cập, chỉnh sửa hoặc xóa dữ liệu cá nhân.

Ngoài ra, Nghị định 356/2025/NĐ-CP còn quy định các yêu cầu bảo vệ dữ liệu cá nhân trong những công nghệ và hoạt động như trí tuệ nhân tạo (AI), dữ liệu lớn (Big Data), điện toán đám mây và các môi trường công nghệ mới.

10. Cơ chế xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân

10.1. Xử phạt vi phạm hành chính

Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025, mức phạt tiền tối đa đối với một số nhóm hành vi được xác định như sau:

• Hành vi mua, bán dữ liệu cá nhân: Mức phạt tối đa đối với tổ chức là 10 lần khoản thu có được từ hành vi vi phạm, với cơ chế xác định theo quy định pháp luật.
• Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: Mức phạt tối đa đối với tổ chức có thể lên đến 5% doanh thu của năm trước liền kề theo điều kiện luật định.
• Những hành vi vi phạm khác: Mức phạt tiền tối đa đối với tổ chức là 03 tỷ đồng.
• Đối với cá nhân: Mức phạt tiền tối đa bằng một phần hai mức phạt tối đa áp dụng đối với tổ chức thực hiện cùng hành vi.

Cần lưu ý, đây là các mức phạt tối đa theo luật, không phải mức phạt mặc nhiên áp dụng cho mọi vi phạm. Mức phạt cụ thể được xác định theo Nghị định 330/2026/NĐ-CP và các quy định liên quan.

Chẳng hạn, nghị định quy định mức phạt tiền từ 30 triệu đến 50 triệu đồng đối với một số hành vi vi phạm về sự đồng ý, bao gồm việc xử lý dữ liệu khi chưa có sự đồng ý trong trường hợp pháp luật yêu cầu.

10.2. Trách nhiệm dân sự

Cá nhân có dữ liệu bị xâm phạm có quyền yêu cầu bảo vệ quyền và lợi ích hợp pháp, trong đó có quyền yêu cầu bồi thường thiệt hại khi đáp ứng những điều kiện pháp luật. Trách nhiệm bồi thường có thể được xem xét theo quy định của Bộ luật Dân sự và các văn bản có liên quan.

10.3. Trách nhiệm hình sự

Đối với những hành vi xâm phạm dữ liệu cá nhân có đủ dấu hiệu cấu thành tội phạm, người thực hiện có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự. Tùy tính chất hành vi, có thể xem xét các tội danh liên quan đến việc xâm phạm bí mật thông tin, đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông, chiếm đoạt tài sản và những tội danh khác theo quy định.

Việc xác định tội danh phải căn cứ vào hành vi cụ thể và đầy đủ các yếu tố cấu thành tội phạm.

11. Những vấn đề cần hoàn thiện trong khung pháp lý bảo vệ dữ liệu cá nhân

Mặc dù Việt Nam đã có luật chuyên ngành và các nghị định hướng dẫn, quá trình áp dụng pháp luật về bảo vệ dữ liệu cá nhân vẫn đặt ra nhiều vấn đề cần tiếp tục nghiên cứu.

– Thứ nhất, nâng cao khả năng tuân thủ của doanh nghiệp.

Nhiều doanh nghiệp nhỏ chưa có đội ngũ chuyên môn về bảo mật hoặc pháp lý, trong khi hoạt động kinh doanh ngày càng gắn với việc thu thập và xử lý dữ liệu cá nhân.

– Thứ hai, hoàn thiện cơ chế bảo vệ dữ liệu trong công nghệ mới.

Sự phát triển của trí tuệ nhân tạo, điện toán đám mây, dữ liệu lớn và các hệ thống phân tích hành vi làm xuất hiện nhiều rủi ro mới đối với quyền riêng tư.

– Thứ ba, nâng cao hiệu quả thực thi và xử lý vi phạm.

Việc ban hành quy định pháp luật cần đi đôi với cơ chế phát hiện, điều tra, xử lý hành vi vi phạm và bảo vệ hiệu quả quyền lợi của người bị xâm phạm.

– Thứ tư, thúc đẩy hợp tác quốc tế.

Do dữ liệu thường xuyên được lưu trữ và chuyển giao xuyên biên giới, việc hợp tác quốc tế đóng vai trò quan trọng trong kiểm soát rủi ro, bảo vệ dữ liệu và giải quyết vi phạm.

– Thứ năm, nâng cao nhận thức của người dân.

Bên cạnh trách nhiệm của doanh nghiệp và cơ quan nhà nước, mỗi cá nhân cũng cần chủ động bảo vệ thông tin của mình, hạn chế cung cấp dữ liệu nhạy cảm không cần thiết và sử dụng các quyền pháp lý khi phát hiện hành vi xâm phạm.

Kết luận

Khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam đã được hoàn thiện đáng kể với Luật Bảo vệ dữ liệu cá nhân năm 2025, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP cùng các văn bản có liên quan về dữ liệu, an ninh mạng và giao dịch điện tử. Hệ thống pháp luật hiện hành không chỉ xác lập những nguyên tắc bảo vệ quyền riêng tư mà còn quy định cụ thể quyền của chủ thể dữ liệu, nghĩa vụ của tổ chức xử lý dữ liệu, cơ chế chuyển dữ liệu xuyên biên giới và trách nhiệm pháp lý khi xảy ra vi phạm. Việc xây dựng khung pháp lý thống nhất, minh bạch và có khả năng thực thi hiệu quả là nền tảng quan trọng để bảo vệ quyền con người, quyền công dân trong môi trường số, đồng thời thúc đẩy hoạt động chuyển đổi số và phát triển kinh tế số tại Việt Nam.

Bài viết liên quan

Khung pháp lý về bình đẳng giới tại Việt Nam mới nhất 2026

Khung pháp lý về tài sản số và quyền sở hữu tài sản số tại Việt Nam

Khung pháp lý của kế toán tài chính Việt Nam

Các quy định của pháp luật Việt Nam về quyền tự do hợp đồng

Một số điểm mới của Bộ luật Dân sự năm 2015 về tài sản

Khái niệm, đặc điểm pháp lý của quyền nhân thân của cá nhân