Những điểm doanh nghiệp cần lưu ý và rà soát theo quy định bảo vệ dữ liệu cá nhân 2026
Dữ liệu cá nhân của khách hàng, người lao động và đối tác hiện diện trong hầu hết hoạt động của doanh nghiệp, từ tuyển dụng, bán hàng, chăm sóc khách hàng đến tiếp thị trực tuyến. Kể từ khi Luật Bảo vệ dữ liệu cá nhân có hiệu lực ngày 01/01/2026, cùng với văn bản hướng dẫn và chế tài xử phạt chuyên biệt, bảo vệ dữ liệu cá nhân đã trở thành nghĩa vụ pháp lý bắt buộc của mọi doanh nghiệp, với mức phạt tối đa lên đến 5% doanh thu. Bài viết dưới đây phân tích các quy định trọng tâm và những lưu ý thực tiễn để doanh nghiệp rà soát mức độ tuân thủ.
Ảnh minh họa
1. Khung pháp lý và phạm vi áp dụng
Từ ngày 01/01/2026, hoạt động bảo vệ dữ liệu cá nhân tại Việt Nam được điều chỉnh bởi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (“Luật BVDLCN”) và Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết Luật (“Nghị định 356”). Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ cùng ngày. Chế tài hành chính chuyên biệt được bổ sung bằng Nghị định 330/2026/NĐ-CP (“Nghị định 330”), có hiệu lực từ ngày 19/8/2026.
Tại khoản 2 Điều 1 Luật BVDLCN, phạm vi áp dụng được quy định như sau:
“2. Luật này áp dụng đối với:
a) Cơ quan, tổ chức, cá nhân Việt Nam;
b) Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam;
c) Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.”
Do đó, doanh nghiệp Việt Nam và doanh nghiệp nước ngoài hoạt động tại Việt Nam có xử lý dữ liệu cá nhân trong quá trình kinh doanh thuộc phạm vi điều chỉnh của Luật. Đối với doanh nghiệp nước ngoài không hiện diện tại Việt Nam, Luật vẫn có thể áp dụng nếu doanh nghiệp trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu thuộc nhóm chủ thể được quy định tại khoản 2 Điều 1.
Về chuyển tiếp, Điều 39 Luật BVDLCN cho phép tiếp tục sử dụng sự đồng ý và hồ sơ đánh giá tác động đã lập theo Nghị định 13/2023/NĐ-CP. Khoản 1 Điều 39 quy định:
“1. Hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể dữ liệu cá nhân đồng ý hoặc theo thỏa thuận theo quy định của Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ trước ngày Luật này có hiệu lực thi hành thì tiếp tục thực hiện, không phải xin đồng ý lại hoặc thỏa thuận lại.”
Tuy nhiên, việc cập nhật các hồ sơ đó sau ngày 01/01/2026 phải theo Luật mới. Doanh nghiệp vì vậy vẫn cần rà soát lại toàn bộ hồ sơ cũ.
2. Xác định vai trò của doanh nghiệp trong từng luồng dữ liệu
Bước rà soát đầu tiên là xác định doanh nghiệp đóng vai trò gì, vì nghĩa vụ pháp lý phụ thuộc vào vai trò. Tại các khoản 7, 8, 9 và 10 Điều 2 Luật BVDLCN, các vai trò được định nghĩa như sau:
“7. Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
8. Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
9. Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
10. Bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.”
Trên thực tế, doanh nghiệp thường đóng vai trò là bên kiểm soát và xử lý dữ liệu cá nhân đối với các luồng dữ liệu khách hàng, người lao động mà doanh nghiệp tự quyết định mục đích, phương tiện và trực tiếp thực hiện hoạt động xử lý. Tuy nhiên, vai trò của doanh nghiệp cần được xác định riêng đối với từng hoạt động, từng luồng dữ liệu và từng quan hệ hợp đồng, thay vì mặc định áp dụng một vai trò cho toàn bộ hoạt động kinh doanh.
Tại Điều 37 Luật BVDLCN, trách nhiệm được phân định theo vai trò. Bên kiểm soát phải:
“a) Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
b) Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật này
c) Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
d) Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 của Luật này;
đ) Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
e) Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định tại Điều 4 của Luật này;
g) Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
h) Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
i) Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
k) Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.”
Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có hợp đồng với bên kiểm soát, xử lý đúng phạm vi hợp đồng và chịu trách nhiệm trước bên kiểm soát về thiệt hại. Bên kiểm soát và xử lý gánh cả hai nhóm nghĩa vụ.
Lưu ý rà soát: lập bản đồ dữ liệu (data map) cho từng luồng, ghi rõ vai trò của doanh nghiệp và của từng đối tác. Doanh nghiệp cần rà soát và phân định vai trò của từng nhà cung cấp có tiếp cận dữ liệu cá nhân (kế toán, IT, cloud, CRM, call center, agency quảng cáo). Trường hợp nhà cung cấp đóng vai trò là bên xử lý dữ liệu cá nhân, hợp đồng hoặc phụ lục hợp đồng cần quy định rõ phạm vi, mục đích, trách nhiệm và nghĩa vụ bảo vệ dữ liệu cá nhân của các bên. Đối với các trường hợp chuyển giao dữ liệu cho bên thứ ba hoặc bên kiểm soát độc lập, doanh nghiệp cần xác định căn cứ pháp lý và điều kiện chuyển giao tương ứng.
3. Phân loại dữ liệu cá nhân cơ bản và nhạy cảm
Doanh nghiệp phải phân loại dữ liệu mình nắm giữ, vì dữ liệu nhạy cảm kéo theo nghĩa vụ thông báo riêng, biện pháp bảo mật cao hơn, mất quyền miễn trừ của doanh nghiệp nhỏ và mức phạt nặng hơn. Tại khoản 1 Điều 2 Luật BVDLCN:
“1. Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.”
Tại Điều 3 Nghị định 356, dữ liệu cơ bản gồm họ tên, ngày sinh, giới tính, nơi sinh và các địa chỉ, quốc tịch, hình ảnh cá nhân, số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, biển số xe, tình trạng hôn nhân, quan hệ gia đình và thông tin tài khoản số.
Tại khoản 1 Điều 4 Nghị định 356, danh mục dữ liệu nhạy cảm gồm:
“a) Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
b) Quan điểm về chính trị, tôn giáo, tín ngưỡng;
c) Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
d) Tình trạng sức khỏe;
đ) Dữ liệu sinh trắc học, đặc điểm di truyền;
e) Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
g) Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
h) Vị trí của cá nhân được xác định qua dịch vụ định vị;
i) Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
k) Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
l) Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
m) Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.”
Nhiều doanh nghiệp không nhận ra mình đang xử lý dữ liệu nhạy cảm. Các trường hợp phổ biến là lưu ảnh chụp Căn cước của khách hàng hoặc người lao động, máy chấm công vân tay hoặc khuôn mặt, hồ sơ khám sức khỏe, định vị GPS của nhân viên giao hàng, và dữ liệu hành vi trên website, ứng dụng.
Tại khoản 2 Điều 4 Nghị định 356, khi xử lý dữ liệu nhạy cảm, “cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.”
Lưu ý rà soát: lập danh mục các loại dữ liệu theo từng bộ phận (nhân sự, kinh doanh, marketing, IT, an ninh), đánh dấu loại nhạy cảm, và loại bỏ dữ liệu không cần thiết (ví dụ bản chụp Căn cước khi chỉ cần số định danh).
4. Sự đồng ý của chủ thể dữ liệu và các trường hợp không cần đồng ý
Sự đồng ý là căn cứ xử lý chủ yếu, và doanh nghiệp là bên phải chứng minh đã có sự đồng ý hợp lệ. Tại khoản 1 Điều 11 Luật BVDLCN, “Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác.”
Tại các khoản 2, 3 và 4 Điều 9 Luật BVDLCN, điều kiện hiệu lực của sự đồng ý được quy định như sau:
“2. Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây:
a) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân;
b) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân;
c) Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân.
3. Sự đồng ý của chủ thể dữ liệu cá nhân được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.
4. Sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm các nguyên tắc sau đây:
a) Thể hiện sự đồng ý đối với từng mục đích;
b) Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận;
c) Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật;
d) Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.”
Tại Điều 6 Nghị định 356, phương thức xin đồng ý phải kiểm chứng được ai đã đồng ý, vào thời điểm nào và với nội dung gì, thông qua văn bản, cuộc gọi ghi âm, cú pháp tin nhắn, thư điện tử, website hoặc ứng dụng có thiết lập kỹ thuật. Ba yêu cầu thực tiễn doanh nghiệp hay vi phạm nhất được quy định tại các khoản 2, 3 và 4:
“2. Bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu cá nhân phải lưu trữ sự đồng ý của chủ thể dữ liệu. Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý của chủ thể dữ liệu thuộc về bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.
3. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không được thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Các thiết lập mặc định sẵn có phải đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân, tôn trọng các quyền của chủ thể dữ liệu cá nhân.
4. Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.”
Như vậy, dữ liệu cá nhân chỉ được thu thập, xử lý khi có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
Tại khoản 1 Điều 19 Luật BVDLCN, các trường hợp không cần sự đồng ý gồm:
“a) Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên. Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có trách nhiệm chứng minh trường hợp này;
b) Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;
c) Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;
d) Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;
đ) Trường hợp khác theo quy định của pháp luật.”
Trên thực tế, doanh nghiệp thường xử lý dữ liệu không cần sự đồng ý trong trường hợp “thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật”, như giao hàng cho khách hàng hay trả lương, đóng bảo hiểm cho người lao động theo hợp đồng. Khi xử lý dữ liệu không cần sự đồng ý, doanh nghiệp phải thiết lập cơ chế giám sát theo quy định tại khoản 2 Điều 19 Luật BVDLCN.
Lưu ý rà soát: xác định căn cứ xử lý cho từng mục đích; tách sự đồng ý theo từng mục đích trên biểu mẫu, website, hợp đồng; lưu trữ bằng chứng về sự đồng ý.
5. Quyền của chủ thể dữ liệu và thời hạn đáp ứng
Doanh nghiệp phải có quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu với thời hạn rất ngắn, phản hồi ban đầu trong 02 ngày làm việc. Tại khoản 1 Điều 4 Luật BVDLCN, quyền của chủ thể dữ liệu bao gồm:
“a) Được biết về hoạt động xử lý dữ liệu cá nhân;
b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
đ) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
e) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.”
Tại khoản 1 Điều 5 Nghị định 356, bên kiểm soát “phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân phù hợp với hoạt động xử lý dữ liệu cá nhân và trách nhiệm các bộ phận có liên quan”. Thời hạn cụ thể quy định tại Điều 5 này, như sau:
| Loại yêu cầu | Phản hồi ban đầu | Thực hiện | Khi cần bên xử lý, bên thứ ba thực hiện | Gia hạn tối đa (01 lần) |
| Rút lại đồng ý, hạn chế, phản đối xử lý | 02 ngày làm việc | 15 ngày | 20 ngày | 15 ngày |
| Xem, chỉnh sửa, cung cấp dữ liệu | 02 ngày làm việc | 10 ngày | 15 ngày | 10 ngày |
| Xóa dữ liệu | 02 ngày làm việc | 20 ngày | 30 ngày | 20 ngày |
| Áp dụng biện pháp bảo vệ dữ liệu | 02 ngày làm việc | 15 ngày | — | 15 ngày |
Khi gia hạn, doanh nghiệp phải thông báo lý do cho chủ thể dữ liệu và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.
Quyền này không tuyệt đối. Tại khoản 2 Điều 14 Luật BVDLCN, doanh nghiệp “Không thực hiện yêu cầu của chủ thể dữ liệu cá nhân về việc xóa, hủy dữ liệu cá nhân trong các trường hợp quy định tại Điều 19 của Luật này hoặc việc xóa, hủy dữ liệu cá nhân vi phạm quy định tại khoản 3 Điều 4 của Luật này.” Ví dụ, hồ sơ kế toán, chứng từ thuế phải lưu theo luật chuyên ngành thì không xóa theo yêu cầu. Trong mọi trường hợp từ chối, doanh nghiệp phải thông báo lý do chính đáng cho chủ thể dữ liệu.
Lưu ý rà soát: ban hành quy trình xử lý yêu cầu của chủ thể dữ liệu kèm biểu mẫu, công bố kênh tiếp nhận (email, form), giao đầu mối chịu trách nhiệm, theo dõi thời hạn bằng sổ đăng ký yêu cầu, và quy định thời hạn thực hiện trong hợp đồng với bên xử lý.
6. Hồ sơ đánh giá tác động xử lý dữ liệu và chuyển dữ liệu xuyên biên giới
Hai loại hồ sơ này là nghĩa vụ thủ tục bắt buộc phải nộp cho cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ ngày đầu tiên xử lý hoặc chuyển dữ liệu.
6.1. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
Tại khoản 1 và khoản 2 Điều 21 Luật BVDLCN:
“1. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.
2. Đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và được cập nhật theo quy định tại Điều 22 của Luật này.”
Đây là nghĩa vụ bắt buộc đối với doanh nghiệp là bên kiểm soát hoặc bên kiểm soát và xử lý, trừ trường hợp được miễn trừ nêu tại mục 6.4. Doanh nghiệp là bên xử lý cũng phải lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát.
6.2. Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới
Tại khoản 1 Điều 20 Luật BVDLCN, chuyển dữ liệu xuyên biên giới bao gồm:
“a) Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;
b) Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;
c) Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.”
Theo quy định này, việc cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài “sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam” cũng là chuyển dữ liệu cá nhân xuyên biên giới. Do đó, doanh nghiệp sử dụng email, CRM, phần mềm kế toán hay công cụ AI có máy chủ ở nước ngoài, hoặc chuyển dữ liệu nhân sự cho công ty mẹ ở nước ngoài, đều có thể thuộc diện phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Các trường hợp miễn lập hồ sơ được quy định tại khoản 6 Điều 20 Luật BVDLCN và khoản 3 Điều 17 Nghị định 356, gồm:
- cơ quan, tổ chức lưu trữ dữ liệu của chính người lao động của mình trên dịch vụ điện toán đám mây;
- chủ thể dữ liệu tự chuyển dữ liệu của mình;
- hoạt động báo chí, truyền thông; dữ liệu đã được công khai theo quy định; tình huống khẩn cấp;
- chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo nội quy lao động, quy chế và thỏa ước lao động tập thể;
- cung cấp dữ liệu để ký hợp đồng hoặc làm thủ tục vận chuyển, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.
Trường hợp miễn về quản lý nhân sự xuyên biên giới gắn với nội quy, quy chế lao động và thỏa ước. Doanh nghiệp FDI muốn áp dụng nên ghi nhận rõ việc chuyển dữ liệu cho công ty mẹ trong các văn bản này. Ngoài các trường hợp miễn, việc lập và nộp hồ sơ trong 60 ngày là bắt buộc với mọi doanh nghiệp chuyển dữ liệu xuyên biên giới, kể cả doanh nghiệp nhỏ.
6.3. Cập nhật hồ sơ
Tại Điều 20 Nghị định 356, cả hai loại hồ sơ được cập nhật định kỳ 06 tháng khi phát sinh mục đích mới hoặc thay đổi các bên tham gia. Việc cập nhật phải thực hiện ngay trong 10 ngày khi doanh nghiệp tổ chức lại, giải thể, phá sản, khi thay đổi tổ chức cung cấp dịch vụ bảo vệ dữ liệu, hoặc khi phát sinh, thay đổi ngành nghề liên quan đến xử lý dữ liệu.
6.4. Miễn trừ cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ
Tại khoản 2 và khoản 3 Điều 38 Luật BVDLCN:
“2. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này trong thời gian 05 năm kể từ ngày Luật này có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.
3. Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.”
Tại Điều 41 Nghị định 356, “số lượng lớn” được lượng hóa là từ 100 nghìn chủ thể dữ liệu trở lên, tính theo tổng lượng tích lũy đã xử lý. Cần lưu ý ba điểm. Thứ nhất, miễn trừ chỉ áp dụng cho hồ sơ đánh giá tác động xử lý và nhân sự bảo vệ dữ liệu, không áp dụng cho hồ sơ chuyển dữ liệu xuyên biên giới. Thứ hai, doanh nghiệp chỉ cần lưu ảnh Căn cước hoặc dữ liệu sức khỏe của người lao động là đã có thể bị coi là trực tiếp xử lý dữ liệu nhạy cảm và mất miễn trừ. Thứ ba, các nghĩa vụ còn lại như xin đồng ý, đáp ứng quyền, thông báo vi phạm vẫn áp dụng đầy đủ.
Lưu ý rà soát: xác định ngày đầu tiên xử lý, chuyển dữ liệu để tính hạn 60 ngày; kiểm kê toàn bộ hệ thống, phần mềm có máy chủ nước ngoài; đánh giá doanh nghiệp có thuộc diện miễn trừ hay không; nếu đã nộp hồ sơ theo Nghị định 13/2023 thì chuyển sang cơ chế cập nhật theo quy định mới.
7. Nhân sự bảo vệ dữ liệu, biện pháp bảo vệ và thông báo vi phạm
7.1. Chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân
Tại khoản 2 Điều 33 Luật BVDLCN, “Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.”
Tại khoản 1 và khoản 2 Điều 13 Nghị định 356:
“1. Việc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó; thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức đó.
2. Nhân sự bảo vệ dữ liệu cá nhân được cơ quan, tổ chức chỉ định phải đáp ứng đủ các điều kiện năng lực như sau:
a) Có trình độ cao đẳng trở lên;
b) Có ít nhất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ;
c) Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.”
Doanh nghiệp còn phải ký thỏa thuận trách nhiệm bảo mật với nhân sự này và tổ chức đào tạo cho họ. Tại Điều 14 Nghị định 356, nhiệm vụ của bộ phận bảo vệ dữ liệu gồm xây dựng chính sách, quy trình, biểu mẫu; triển khai quyền của chủ thể dữ liệu; đánh giá tuân thủ định kỳ; lập các hồ sơ đánh giá tác động; tiếp nhận, báo cáo vi phạm; đào tạo nội bộ; và triển khai biện pháp kỹ thuật, kế hoạch ứng cứu sự cố.
7.2. Biện pháp quản lý, kỹ thuật
Tại Điều 3 Luật BVDLCN, doanh nghiệp phải tuân thủ các nguyên tắc xử lý đúng phạm vi, mục đích cụ thể; bảo đảm tính chính xác; lưu trữ trong thời gian phù hợp với mục đích; và thực hiện đồng bộ các biện pháp về thể chế, kỹ thuật, con người. Những yêu cầu cụ thể cần chú ý:
- chia sẻ dữ liệu giữa các phòng ban phải có quy trình kiểm soát và biện pháp chống nhân sự nội bộ chia sẻ trái phép cho bên thứ ba;
- chuyển giao dữ liệu cho đối tác phải có thỏa thuận nêu rõ mục đích, loại dữ liệu, thời hạn xử lý, yêu cầu xóa, cơ sở pháp lý và trách nhiệm các bên;
- dữ liệu nhạy cảm khi chuyển giao phải được mã hóa hoặc ẩn danh và bảo mật vật lý thiết bị;
- việc xóa, hủy phải bằng biện pháp an toàn, chống khôi phục trái phép.
Cần lưu ý rằng tại khoản 1 Điều 12 Luật BVDLCN, “dữ liệu cá nhân sau khi được mã hóa vẫn là dữ liệu cá nhân”. Chỉ dữ liệu đã khử nhận dạng mới nằm ngoài phạm vi điều chỉnh.
7.3. Thông báo vi phạm trong 72 giờ
Tại khoản 1 Điều 23 Luật BVDLCN:
“1. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm. Trường hợp bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.”
Bên kiểm soát còn phải lập biên bản xác nhận vi phạm và phối hợp xử lý. Tại Điều 28 Nghị định 356, thông báo theo Mẫu số 08 phải mô tả tính chất vi phạm, loại và số lượng dữ liệu liên quan, đầu mối liên lạc, hậu quả có thể xảy ra và biện pháp khắc phục.
Vi phạm liên quan đến dữ liệu vị trí hoặc sinh trắc học có nghĩa vụ nặng hơn. Tại Điều 29 Nghị định 356, doanh nghiệp phải thông báo cả cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong sự cố. Trong lĩnh vực tài chính, ngân hàng, nghĩa vụ thông báo cho cả cơ quan chuyên trách và chủ thể dữ liệu trong 72 giờ cũng áp dụng khi lộ, mất dữ liệu nhạy cảm.
Lưu ý rà soát: ban hành quyết định chỉ định nhân sự hoặc hợp đồng thuê dịch vụ bảo vệ dữ liệu; kiểm tra điều kiện năng lực và chứng chỉ đào tạo của nhân sự; xây dựng kế hoạch ứng cứu sự cố với mốc 72 giờ, mẫu biên bản và mẫu thông báo; quy định trong hợp đồng nghĩa vụ bên xử lý báo ngay khi phát hiện sự cố.
8. Chế tài xử phạt
Vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại. Tại các khoản 3, 4, 5 và 6 Điều 8 Luật BVDLCN, mức phạt tối đa được quy định như sau:
“3. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.
4. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.
5. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng.
6. Mức phạt tiền tối đa quy định tại các khoản 3, 4 và 5 Điều này được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.”
Nghị định 330/2026/NĐ-CP ngày 19/8/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực cùng ngày, đã cụ thể hóa mức phạt cho từng hành vi tại Mục 6 Chương II. Một số mức phạt đối với tổ chức mà doanh nghiệp dễ vi phạm:
| Hành vi vi phạm | Mức phạt đối với tổ chức | Căn cứ tại Nghị định 330/2026 |
| Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân | ||
| – Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân | 30 – 50 triệu đồng | Khoản 1 Điều 43 |
| – Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu vào các mục đích khác không liên quan đến nội dung thỏa thuận | ||
| – Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý | ||
| – Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý; | ||
| – Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ | ||
| – Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân | ||
| – Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền; | ||
| – Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý. | ||
| – Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản | 50 – 70 triệu đồng | Khoản 2 Điều 43 |
| – Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý | ||
| Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân | ||
| – Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân | 10 – 20 triệu đồng | Khoản 1 Điều 44 |
| – Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân | ||
| – Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật BVDLCN | ||
| – Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ; | ||
| – Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân | ||
| – Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày; | 30 – 40 triệu đồng | Khoản 3 Điều 44 |
| – Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày; | ||
| – Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 20 ngày; | ||
| – Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày | ||
| Vi phạm quy định về thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân | ||
| – Bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm nhưng không thông báo kịp thời cho bên kiểm soát dữ liệu; | 10 – 20 triệu đồng | Khoản 1 Điều 54 |
| – Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; | ||
| – Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân thực hiện báo cáo vi phạm sự cố rò rỉ dữ liệu cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân nhưng cố ý che giấu, cung cấp thông tin sai lệch về tính chất sự cố, quy mô, các loại dữ liệu cá nhân và số lượng chủ thể dữ liệu bị ảnh hưởng. | ||
| – Hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp sau đây: a) Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; b) Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận; c) Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân. | 20 – 40 triệu đồng | Khoản 2 Điều 54 |
| – Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có hành vi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ kể từ khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân. | 40 – 60 triệu đồng | Khoản 3 Điều 54 |
| – Không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc phục hậu quả xảy ra | 60 – 80 triệu đồng | Khoản 4 Điều 54 |
| – Không phối hợp với cơ quan chuyên trách trong việc xử lý hành vi vi phạm | ||
| Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân | ||
| – Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không duy trì hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; | 20 – 30 triệu đồng | Khoản 1 Điều 55 |
| – Không gửi 01 bản chính hồ sơ cho cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân; | ||
| – Cố ý không hoàn thiện hồ sơ đánh giá tác động theo yêu cầu của cơ quan chuyên trách trong trường hợp hồ sơ chưa đầy đủ, đúng quy định; | ||
| – Không cập nhật định kỳ 06 tháng hoặc không cập nhật hồ sơ trong thời hạn 10 ngày khi thuộc trường hợp phải cập nhật; | ||
| – Cố tình làm giả số liệu, cung cấp sai lệch thông tin trong hồ sơ, hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ khi có văn bản yêu cầu khắc phục. | 50 – 100 triệu đồng | Khoản 2 Điều 55 |
| Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới | ||
| – Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trước hoặc trong thời gian tiến hành chuyển dữ liệu | 30 – 50 triệu đồng | Khoản 1 Điều 56 |
| – Không nộp 01 bản chính hồ sơ cho cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu | ||
| – Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân | ||
| – Không cập nhật định kỳ hoặc không cập nhật hồ sơ khi có thay đổi theo quy định | ||
| – Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân | ||
| – Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển dữ liệu cá nhân xuyên biên giới; | ||
| – Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài phạm vi đã khai báo trong hồ sơ đánh giá tác động. | ||
| – Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá nhân sau khi dữ liệu được chuyển; | 50 – 100 triệu đồng | Khoản 2 Điều 56 |
| – Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý | ||
| – Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển | ||
| – Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân | ||
| – Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân | ||
| – Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân | ||
| – Chuyển dữ liệu cá nhân xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 công dân Việt Nam trở lên | 1% – 5% doanh thu năm tài chính liền trước tại thị trường Việt Nam; nếu không có doanh thu hoặc mức tính theo doanh thu thấp hơn 03 tỷ đồng thì phạt từ 200 triệu đến 03 tỷ đồng | Khoản 3, khoản 4 Điều 56 |
| Vi phạm quy định về chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân | ||
| – Không ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân | Cảnh cáo hoặc 10 – 20 triệu đồng | Khoản 1 Điều 57 |
| – Không tổ chức đào tạo, bồi dưỡng kiến thức và kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự bảo vệ dữ liệu cá nhân | ||
| – Văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá nhân, quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân không nêu rõ chức năng, nhiệm vụ, quyền hạn và các yêu cầu về công tác bảo vệ dữ liệu cá nhân theo quy định pháp luật | ||
| – Chỉ định nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 02 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự | 20 – 30 triệu đồng | Khoản 2 Điều 57 |
| – Chỉ định nhân sự bảo vệ dữ liệu cá nhân chưa được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân | ||
| – Không ban hành văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc không ban hành quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân | ||
Bên cạnh phạt tiền, biện pháp khắc phục hậu quả phổ biến là buộc hủy, xóa dữ liệu đã thu thập trái phép tới mức không thể khôi phục và buộc nộp lại khoản thu bất hợp pháp. Đối với doanh nghiệp hoạt động dựa trên dữ liệu, biện pháp buộc xóa toàn bộ cơ sở dữ liệu khách hàng có thể gây thiệt hại lớn hơn nhiều so với khoản tiền phạt.
9. Kết luận
Khung pháp lý mới đặt ra cho doanh nghiệp một hệ thống nghĩa vụ toàn diện, từ khâu thu thập, xử lý, lưu trữ đến chuyển giao và chuyển dữ liệu ra nước ngoài. Phần lớn các nghĩa vụ này áp dụng cho mọi doanh nghiệp, không phân biệt quy mô. Cơ chế miễn trừ dành cho doanh nghiệp nhỏ, khởi nghiệp chỉ giới hạn ở hồ sơ đánh giá tác động xử lý dữ liệu và nhân sự bảo vệ dữ liệu, và không áp dụng khi doanh nghiệp xử lý dữ liệu nhạy cảm hoặc dữ liệu của từ 100 nghìn chủ thể trở lên.
Nghị định 330/2026/NĐ-CP đã có hiệu lực, nên cơ quan chức năng có đầy đủ cơ sở để kiểm tra và xử phạt. Doanh nghiệp nên chủ động rà soát sớm, trước hết là xác định dữ liệu đang nắm giữ và vai trò của mình trong từng luồng dữ liệu; hoàn thiện cơ chế xin đồng ý và quy trình đáp ứng quyền của chủ thể dữ liệu; chỉ định nhân sự bảo vệ dữ liệu; lập hồ sơ đánh giá tác động trong thời hạn luật định; và chuẩn hóa hợp đồng với người lao động, đối tác.
Tuân thủ quy định bảo vệ dữ liệu cá nhân giúp doanh nghiệp tránh rủi ro bị xử phạt, buộc xóa dữ liệu và bồi thường thiệt hại, đồng thời củng cố niềm tin của khách hàng, người lao động và đối tác trong môi trường kinh doanh số.
Bài viết này được thực hiện bởi chuyên viên pháp lý Nguyễn Trúc Vy và được tham vấn ý kiến của Luật sư Huỳnh Thị Ý.
Bài viết này chỉ nhằm mục đích cung cấp thông tin chung và không được xem là ý kiến tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Các quy định pháp luật được dẫn chiếu trong bài viết có hiệu lực tại thời điểm đăng tải, nhưng có thể đã được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực tại thời điểm Bạn đọc quan tâm. Do đó, Chúng tôi khuyến nghị Bạn đọc nên tham khảo ý kiến của luật sư trước khi áp dụng.
