Từ khóa chính: tuân thủ Luật Bảo vệ dữ liệu cá nhân

Từ khóa liên quan: Luật Bảo vệ dữ liệu cá nhân 2025, Luật số 91/2025/QH15, bảo vệ dữ liệu cá nhân doanh nghiệp, xử lý dữ liệu cá nhân, đánh giá tác động xử lý dữ liệu, chuyển dữ liệu cá nhân xuyên biên giới

Mô tả meta: Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 1/1/2026. BigLaw phân tích 10 việc doanh nghiệp cần triển khai để giảm rủi ro và tuân thủ.

Ngày 1/1/2026 đánh dấu một bước chuyển quan trọng trong quản trị dữ liệu tại Việt Nam khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực. Dữ liệu khách hàng, người lao động, đối tác, người dùng website hoặc ứng dụng không còn là vấn đề riêng của bộ phận công nghệ. Đây đã trở thành một nghĩa vụ pháp lý ở cấp doanh nghiệp, liên quan trực tiếp đến quản trị, nhân sự, marketing, bán hàng, hợp đồng và kiểm soát nhà cung cấp.

Đối với doanh nghiệp, tuân thủ không nên được hiểu đơn giản là bổ sung một chính sách bảo mật trên website. Một chương trình tuân thủ hiệu quả phải trả lời được toàn bộ vòng đời của dữ liệu: doanh nghiệp thu thập dữ liệu gì, từ ai, vì mục đích nào, dựa trên căn cứ nào, ai được truy cập, dữ liệu được chuyển cho bên nào, lưu trong bao lâu và xóa như thế nào. Bài viết dưới đây của BigLaw LH cung cấp một lộ trình thực hành gồm 10 nhóm công việc để doanh nghiệp triển khai có hệ thống.

Luật Bảo vệ dữ liệu cá nhân 2025 thay đổi điều gì đối với doanh nghiệp?

Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Luật xác lập một khung pháp lý thống nhất về quyền của chủ thể dữ liệu, trách nhiệm của tổ chức xử lý dữ liệu, bảo vệ dữ liệu trong các lĩnh vực đặc thù, đánh giá tác động và chuyển dữ liệu ra nước ngoài.

Đáng chú ý, pháp luật nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; nghiêm cấm chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu. Chế tài cũng gắn với mức độ và hậu quả của hành vi. Theo thông tin công bố chính thức, vi phạm về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tối đa tới 5% doanh thu năm trước liền kề của tổ chức; hành vi mua, bán dữ liệu có thể bị phạt tới 10 lần khoản thu có được từ vi phạm; các vi phạm khác có mức phạt tiền tối đa tới 3 tỷ đồng đối với tổ chức.

Như vậy, dữ liệu cá nhân đã trở thành một cấu phần của rủi ro pháp lý và rủi ro tài chính. Doanh nghiệp có lượng người dùng lớn, vận hành nền tảng số, dùng điện toán đám mây hoặc có hệ thống marketing đa kênh càng cần đánh giá sớm.

10 việc doanh nghiệp cần làm để tuân thủ Luật Bảo vệ dữ liệu cá nhân

1. Lập bản đồ dữ liệu và xác định vai trò pháp lý

Bước đầu tiên là kiểm kê các luồng dữ liệu cá nhân trong doanh nghiệp. Nguồn dữ liệu thường nằm rải rác tại biểu mẫu tuyển dụng, hồ sơ nhân sự, phần mềm kế toán, CRM, camera, tổng đài, website, ứng dụng, email marketing, hợp đồng và hệ thống của nhà cung cấp.

Mỗi luồng dữ liệu cần ghi rõ loại dữ liệu, chủ thể dữ liệu, mục đích sử dụng, căn cứ xử lý, nơi lưu trữ, thời hạn lưu, người có quyền truy cập và bên nhận dữ liệu. Đồng thời, doanh nghiệp cần xác định mình đang đóng vai trò bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên kiểm soát và xử lý dữ liệu hay bên thứ ba trong từng hoạt động. Việc xác định đúng vai trò giúp phân bổ đúng trách nhiệm trong hợp đồng và hồ sơ tuân thủ.

2. Phân loại dữ liệu thông thường và dữ liệu nhạy cảm

Không phải mọi dữ liệu đều có mức độ rủi ro như nhau. Họ tên hoặc địa chỉ email phục vụ giao dịch thường khác về mức độ nhạy cảm so với dữ liệu tài chính, sức khỏe, sinh trắc học, vị trí chính xác hoặc thông tin trẻ em. Doanh nghiệp nên xây dựng tiêu chí phân loại tối thiểu thành dữ liệu cá nhân cơ bản, dữ liệu cá nhân nhạy cảm và dữ liệu thuộc nhóm cần bảo vệ đặc biệt theo ngành.

Phân loại là nền tảng để quyết định mức kiểm soát truy cập, phương pháp mã hóa, quy trình phê duyệt, tần suất rà soát và cơ chế thông báo cho chủ thể dữ liệu. Nếu mọi dữ liệu được bảo vệ bằng cùng một mức, doanh nghiệp có thể vừa tốn kém vừa không bảo vệ đủ những dữ liệu có rủi ro cao.

3. Rà soát căn cứ xử lý và cơ chế xin sự đồng ý

Doanh nghiệp không nên mặc định rằng đã có thông tin của khách hàng thì được quyền sử dụng cho mọi mục đích. Sự đồng ý phải gắn với mục đích rõ ràng, phạm vi dữ liệu và cách thức xử lý. Cơ chế đồng ý nên cho phép chứng minh được thời điểm, nội dung và hành động thể hiện ý chí của chủ thể dữ liệu; đồng thời cần có phương án để chủ thể rút lại sự đồng ý.

Luật cũng quy định một số trường hợp xử lý không cần sự đồng ý, chẳng hạn tình huống cấp bách để bảo vệ tính mạng, sức khỏe hoặc quyền, lợi ích hợp pháp; hoạt động của cơ quan nhà nước; thực hiện thỏa thuận của chủ thể dữ liệu; hoặc trường hợp pháp luật quy định. Tuy nhiên, đây không phải là ngoại lệ chung để doanh nghiệp bỏ qua minh bạch và kiểm soát. Mỗi trường hợp áp dụng cần được pháp chế đánh giá, ghi nhận căn cứ và giới hạn phạm vi xử lý.

4. Viết lại thông báo và chính sách quyền riêng tư

Một chính sách quyền riêng tư tốt phải phản ánh đúng hoạt động thực tế, không sao chép máy móc từ mẫu trên mạng. Nội dung cần thể hiện dễ hiểu về loại dữ liệu thu thập, mục đích, phương thức xử lý, bên nhận dữ liệu, thời hạn lưu trữ, quyền của chủ thể dữ liệu và đầu mối liên hệ.

Doanh nghiệp nên kiểm tra sự thống nhất giữa chính sách công khai và biểu mẫu nội bộ. Nếu website công bố chỉ thu thập dữ liệu để cung cấp dịch vụ nhưng bộ phận marketing lại dùng cho quảng cáo hoặc chuyển cho đối tác, khoảng cách này có thể tạo ra rủi ro tuân thủ. Với ứng dụng và nền tảng số, thông báo cần xuất hiện đúng thời điểm người dùng cung cấp dữ liệu, không chỉ nằm ở một liên kết khó tìm.

5. Xây dựng quy trình thực hiện quyền của chủ thể dữ liệu

Khách hàng và người lao động có thể yêu cầu được biết, truy cập, chỉnh sửa, rút lại sự đồng ý, hạn chế xử lý hoặc thực hiện các quyền khác theo luật. Vì vậy, doanh nghiệp cần có một quy trình tiếp nhận và xác minh yêu cầu, phân công bộ phận xử lý, thời hạn phản hồi, tiêu chí từ chối hợp pháp và cơ chế lưu dấu vết.

Quy trình không thể chỉ thuộc về phòng công nghệ. Bộ phận chăm sóc khách hàng phải biết nhận diện yêu cầu; pháp chế phải đánh giá căn cứ; công nghệ phải tìm và xử lý dữ liệu trong các hệ thống; bộ phận kinh doanh cần dừng chiến dịch khi có yêu cầu hợp lệ. Một đầu mối điều phối tập trung sẽ tránh việc phản hồi chậm hoặc trả lời mâu thuẫn.

6. Kiểm soát dữ liệu người lao động từ tuyển dụng đến nghỉ việc

Hồ sơ nhân sự chứa nhiều dữ liệu nhạy cảm nhưng thường được chia sẻ qua email, bảng tính hoặc lưu trữ không giới hạn. Trong tuyển dụng, doanh nghiệp chỉ nên yêu cầu thông tin phù hợp với mục đích tuyển dụng và sử dụng đúng mục đích đã thông báo. Với hồ sơ không trúng tuyển, cần xác định thời hạn lưu và cơ chế xóa, trừ trường hợp có thỏa thuận hợp pháp cho việc lưu giữ để tuyển dụng sau này.

Khi người lao động chấm dứt hợp đồng, doanh nghiệp phải xóa hoặc hủy dữ liệu của người lao động, trừ trường hợp có thỏa thuận khác hoặc pháp luật yêu cầu lưu trữ. Trên thực tế, cần phối hợp việc khóa tài khoản, thu hồi quyền truy cập, lưu hồ sơ bắt buộc và xóa dữ liệu khỏi những hệ thống không còn mục đích hợp pháp.

7. Siết hợp đồng với nhà cung cấp và đối tác

Phần mềm nhân sự, CRM, tổng đài, dịch vụ quảng cáo, đơn vị vận chuyển, lưu trữ đám mây và đối tác chăm sóc khách hàng đều có thể tiếp cận dữ liệu. Doanh nghiệp cần lập danh sách nhà cung cấp, thẩm định năng lực bảo vệ dữ liệu và ký điều khoản xử lý dữ liệu phù hợp.

Hợp đồng nên làm rõ mục đích và phạm vi xử lý, tiêu chuẩn bảo mật, nhân sự được tiếp cận, việc sử dụng nhà thầu phụ, vị trí lưu trữ, nghĩa vụ hỗ trợ khi có yêu cầu của chủ thể, thông báo sự cố, hoàn trả hoặc xóa dữ liệu khi chấm dứt hợp tác, cũng như trách nhiệm bồi thường. Điều khoản bảo mật chung chung thường không đủ để quản trị toàn bộ chuỗi xử lý.

8. Lập và cập nhật hồ sơ đánh giá tác động

Đánh giá tác động giúp doanh nghiệp nhận diện mục đích xử lý, loại dữ liệu, bên liên quan, rủi ro đối với chủ thể và các biện pháp giảm thiểu. Theo thông tin chính thức khi Luật được thông qua, hồ sơ có thể được lập một lần cho suốt quá trình hoạt động và cập nhật khi có thay đổi; cơ quan chức năng có thể kiểm tra khi cần thiết.

Doanh nghiệp cần đặc biệt rà soát khi triển khai sản phẩm mới, đưa trí tuệ nhân tạo vào phân tích khách hàng, dùng sinh trắc học, theo dõi vị trí hoặc thay đổi nhà cung cấp. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có cơ chế lựa chọn áp dụng đối với một số nghĩa vụ trong thời hạn luật định; hộ kinh doanh và doanh nghiệp siêu nhỏ có trường hợp được miễn. Tuy nhiên, miễn một thủ tục cụ thể không đồng nghĩa được miễn các nguyên tắc bảo vệ dữ liệu nói chung.

9. Đánh giá chuyển dữ liệu cá nhân xuyên biên giới

Doanh nghiệp có thể đang chuyển dữ liệu ra nước ngoài mà không nhận ra, ví dụ khi dùng email doanh nghiệp, nền tảng quảng cáo, công cụ phân tích, dịch vụ lưu trữ đám mây hoặc hệ thống nhân sự của tập đoàn. Cần kiểm tra vị trí máy chủ, bên nhận dữ liệu, mục đích chuyển, cơ chế bảo vệ và các nhà thầu phụ ở nước ngoài.

Do chế tài đối với vi phạm chuyển dữ liệu xuyên biên giới có thể gắn với tỷ lệ doanh thu, đây là hạng mục cần ưu tiên cao. Hồ sơ không nên chỉ mô tả công nghệ; nó phải phản ánh đúng luồng dữ liệu, rủi ro đối với cá nhân và biện pháp pháp lý, tổ chức, kỹ thuật được áp dụng.

10. Thiết lập quản trị, đào tạo và ứng phó sự cố

Tuân thủ dữ liệu là một chương trình liên tục. Doanh nghiệp nên ban hành quy chế nội bộ, xác định người chịu trách nhiệm, phân quyền truy cập theo nhu cầu công việc, quản lý tài khoản đặc quyền, sao lưu, nhật ký truy cập và quy trình ứng phó sự cố. Hoạt động đào tạo phải phù hợp từng nhóm: nhân sự hiểu dữ liệu ứng viên và người lao động; marketing hiểu giới hạn của danh sách khách hàng; công nghệ hiểu yêu cầu bảo mật; quản lý hiểu trách nhiệm phê duyệt.

Quy trình sự cố cần xác định cách phát hiện, cô lập, điều tra, đánh giá tác động, bảo toàn chứng cứ, liên hệ cơ quan có thẩm quyền và thông tin cho các bên liên quan khi pháp luật yêu cầu. Diễn tập định kỳ giúp doanh nghiệp phát hiện sớm điểm yếu trước khi sự cố thật xảy ra.

Lộ trình triển khai trong 90 ngày

Giai đoạn 1 – 30 ngày đầu: thành lập nhóm phụ trách, lập danh sách hệ thống và nhà cung cấp, phỏng vấn các phòng ban, vẽ bản đồ dữ liệu, xác định các luồng rủi ro cao.

Giai đoạn 2 – ngày 31 đến 60: rà soát cơ chế đồng ý, chính sách quyền riêng tư, hợp đồng với bên xử lý, quy trình quyền của chủ thể, dữ liệu nhân sự và hoạt động chuyển dữ liệu ra nước ngoài.

Giai đoạn 3 – ngày 61 đến 90: hoàn thiện hồ sơ đánh giá tác động, ban hành quy trình nội bộ, thiết lập đầu mối, đào tạo nhân sự, thử nghiệm xử lý một yêu cầu của chủ thể dữ liệu và diễn tập một tình huống sự cố.

Doanh nghiệp không nhất thiết sửa mọi hệ thống trong một lần. Cách tiếp cận thực tế là ưu tiên theo rủi ro: dữ liệu nhạy cảm, số lượng lớn, trẻ em, sinh trắc học, tài chính, sức khỏe, theo dõi vị trí và chuyển dữ liệu xuyên biên giới nên được xử lý trước.

Những sai lầm phổ biến khi triển khai tuân thủ dữ liệu

• Chỉ giao toàn bộ việc tuân thủ cho bộ phận công nghệ.
• Sử dụng mẫu chính sách bảo mật nhưng không kiểm tra quy trình thực tế.
• Xin một sự đồng ý chung cho nhiều mục đích không liên quan.
• Không quản lý dữ liệu do nhà cung cấp và nhà thầu phụ xử lý.
• Lưu dữ liệu vô thời hạn vì “có thể cần trong tương lai”.
• Không cập nhật hồ sơ khi thay đổi hệ thống, mục đích hoặc đối tác.

Điểm chung của các sai lầm trên là thiếu liên kết giữa pháp lý và vận hành. Chính sách chỉ có giá trị khi được chuyển hóa thành cấu hình hệ thống, biểu mẫu, hợp đồng, phân quyền và hành vi hằng ngày của nhân sự.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Có. Luật có cơ chế giảm gánh nặng đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ ở một số nghĩa vụ cụ thể. Tuy nhiên, doanh nghiệp vẫn phải tôn trọng quyền của chủ thể dữ liệu, xử lý đúng mục đích, bảo đảm an toàn và không thực hiện các hành vi bị cấm.

Có sự đồng ý của khách hàng thì doanh nghiệp được sử dụng dữ liệu cho mọi mục đích?

Không. Sự đồng ý phải gắn với mục đích và phạm vi đã thông báo. Nếu doanh nghiệp muốn dùng dữ liệu cho một mục đích mới không tương thích, cần đánh giá lại căn cứ xử lý và thực hiện thông báo hoặc xin sự đồng ý phù hợp.

Dùng dịch vụ đám mây nước ngoài có phải là chuyển dữ liệu xuyên biên giới?

Có thể. Doanh nghiệp cần kiểm tra nơi dữ liệu được lưu trữ hoặc truy cập, pháp nhân cung cấp dịch vụ và chuỗi nhà thầu phụ. Không nên chỉ dựa vào tên thương mại hoặc hợp đồng bán hàng tại Việt Nam để kết luận.

Doanh nghiệp nên bắt đầu từ chính sách hay hệ thống công nghệ?

Nên bắt đầu từ bản đồ dữ liệu và đánh giá rủi ro. Kết quả này sẽ xác định chính sách nào cần sửa và biện pháp công nghệ nào thực sự cần thiết. Triển khai công nghệ trước khi hiểu luồng dữ liệu có thể dẫn đến đầu tư sai trọng tâm.

BigLaw LH đồng hành cùng doanh nghiệp xây dựng hệ thống tuân thủ

Tuân thủ Luật Bảo vệ dữ liệu cá nhân không chỉ giúp hạn chế nguy cơ xử phạt. Một hệ thống minh bạch và có kiểm soát còn giúp doanh nghiệp củng cố niềm tin của khách hàng, giảm rủi ro khi gọi vốn, thực hiện M&A, ký hợp đồng với đối tác lớn hoặc mở rộng hoạt động ra thị trường quốc tế.

BigLaw LH hỗ trợ doanh nghiệp kiểm kê và phân loại dữ liệu; rà soát căn cứ xử lý và cơ chế đồng ý; xây dựng chính sách, quy trình và hợp đồng; lập hồ sơ đánh giá tác động; đánh giá chuyển dữ liệu xuyên biên giới; đào tạo nhân sự và tư vấn ứng phó sự cố. Liên hệ BigLaw LH để được thiết kế lộ trình tuân thủ phù hợp với ngành nghề, quy mô và mô hình công nghệ của doanh nghiệp.

Lưu ý: Bài viết mang tính thông tin chung, không thay thế ý kiến tư vấn pháp lý cho một trường hợp cụ thể.

Nguồn pháp lý tham khảo: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Cổng thông tin điện tử Chính phủ; Cơ sở dữ liệu quốc gia về văn bản pháp luật.