Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Luật BVDLCN) và Nghị định 356/2025/NĐ-CP ngày 31/12/2025 Quy định chi tiết một số điều và biện pháp thi hành Luật BVDLCN (Nghị định 356) chính thức có hiệu lực ngày 01/01/2026 đã hoàn thiện khung pháp lý về quyền riêng tư, quyền kiểm soát dữ liệu cá nhân, đồng thời tiệm cận các chuẩn mực quốc tế về bảo vệ dữ liệu.
Luật bảo vệ dữ liệu cá nhân có tác động trực tiếp đến mọi tổ chức, doanh nghiệp trong và ngoài nước có hoạt động xử lý dữ liệu cá nhân tại Việt Nam. Bài viết dưới đây tổng hợp các điểm cơ bản và cốt lõi của Luật BVDLCN mà cá nhân, doanh nghiệp cần đặc biệt lưu ý.
Phạm vi điều chỉnh và đối tượng áp dụng Luật Bảo vệ dữ liệu cá nhân
Luật bảo vệ dữ liệu cá nhân điều chỉnh toàn bộ quá trình xử lý dữ liệu cá nhân, từ khâu thu thập, ghi nhận, lưu trữ cho đến việc phân tích, chia sẻ, chuyển giao hoặc xóa dữ liệu. Phạm vi điều chỉnh của Luật không chỉ giới hạn trong lãnh thổ Việt Nam mà còn áp dụng đối với tổ chức, cá nhân nước ngoài có hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam, dù việc xử lý đó được thực hiện ở trong hay ngoài lãnh thổ Việt Nam.
Quy định này cho thấy xu hướng tiếp cận của pháp luật Việt Nam đối với chuẩn mực quốc tế về bảo vệ dữ liệu cá nhân.
Khái niệm và phân loại dữ liệu cá nhân
Theo Luật bảo vệ dữ liệu cá nhân thì dữ liệu cá nhân được hiểu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một cá nhân cụ thể hoặc có thể xác định được một cá nhân cụ thể. Trên cơ sở đó, Luật phân chia dữ liệu cá nhân thành hai loại:
– Dữ liệu cá nhân cơ bản:
- Họ tên, ngày tháng năm sinh;
- Giới tính, quốc tịch;
- Số điện thoại, email, địa chỉ;
- Thông tin định danh khác gắn với cá nhân.
– Dữ liệu cá nhân nhạy cảm:
- Dữ liệu về sức khỏe, sinh trắc học, di truyền;
- Dữ liệu tài chính, tín dụng;
- Dữ liệu về vị trí, hành vi sử dụng dịch vụ;
- Quan điểm chính trị, tôn giáo, đời sống riêng tư.
Nguyên tắc xử lý dữ liệu cá nhân
Một trong những nội dung cốt lõi của Luật bảo vệ dữ liệu cá nhân là việc xác lập các nguyên tắc xử lý dữ liệu cá nhân. Theo đó, mọi hoạt động xử lý dữ liệu phải được thực hiện trên cơ sở hợp pháp, minh bạch và đúng mục đích đã được thông báo cho chủ thể dữ liệu.
Dữ liệu cá nhân chỉ được thu thập trong phạm vi cần thiết, phù hợp với mục đích xử lý, đồng thời phải được bảo đảm an toàn, bảo mật trong suốt quá trình xử lý. Việc xử lý dữ liệu cá nhân về nguyên tắc phải có sự đồng ý của chủ thể dữ liệu, trừ các trường hợp đặc biệt được pháp luật cho phép nhằm phục vụ lợi ích công cộng, an ninh quốc gia hoặc nghĩa vụ pháp lý.
Quyền của chủ thể dữ liệu cá nhân
Theo Luật BVDLCN, chủ thể dữ liệu có nhiều quyền quan trọng, tiêu biểu như:
- Quyền được biết về hoạt động xử lý dữ liệu;
- Quyền đồng ý hoặc rút lại sự đồng ý;
- Quyền truy cập, chỉnh sửa, cập nhật dữ liệu cá nhân;
- Quyền yêu cầu xóa, hạn chế hoặc phản đối việc xử lý dữ liệu;
- Quyền khiếu nại, tố cáo, yêu cầu bồi thường thiệt hại khi dữ liệu bị xâm phạm.
Nghĩa vụ của Doanh nghiệp để tuân thủ Luật BVDLCN
Với vai trò là Bên kiểm soát hoặc Bên Kiểm soát và xử lý dữ liệu, Luật bảo vệ dữ liệu cá nhân phân định rõ vai trò và trách nhiệm của các chủ thể tham gia xử lý dữ liệu, trong đó:
- Ban hành quy chế bảo mật nội bộ và áp dụng biện pháp kỹ thuật tương ứng để bảo vệ dữ liệu cá nhân;
- Lập bộ phận hoặc chỉ định nhân sự bảo vệ dữ liệu cá nhân – DPO;
- Thông báo vi phạm dữ liệu cá nhân cho cơ quan nhà nước có thẩm quyền và chủ thể dữ liệu khi xảy ra sự cố;
- Chỉ được chuyển dữ liệu cho bên thứ ba khi đáp ứng điều kiện pháp luật.
- Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo quy định.
Chuyển dữ liệu cá nhân ra nước ngoài
Hoạt động chuyển dữ liệu cá nhân ra nước ngoài được Luật BVDLCN kiểm soát thông qua cơ chế đánh giá và quản lý rủi ro. Theo đó, việc chuyển dữ liệu chỉ được thực hiện khi đáp ứng các điều kiện về bảo vệ dữ liệu, bảo đảm quyền lợi của chủ thể dữ liệu và tuân thủ thủ tục theo quy định của pháp luật Việt Nam.
Quy định này có ý nghĩa đặc biệt quan trọng đối với các doanh nghiệp có yếu tố nước ngoài (FDI) tại Việt Nam sử dụng phần mềm quản lý nhân sự (HRM) dùng chung của Tập đoàn mẹ hoặc sử dụng hệ thống lưu trữ, xử lý dữ liệu tại nước ngoài như Google Cloud, Azure, AWS..
Trách nhiệm pháp lý khi vi phạm
Tổ chức, cá nhân vi phạm quy định của Luật BVDLCN có thể phải chịu mức phạt hành chính cao (lên đến 5% doanh thu của năm trước liền kề đối với vi phạm xuyên biên giới hoặc 10 lần khoản thu có được từ hành vi vi phạm đối với cá nhân có hành vi mua bán dữ liệu bất hợp pháp) hoặc thậm chí là truy cứu trách nhiệm hình sự nếu hành vi vi phạm đủ yếu tố cấu thành tội phạm.
Ngoài các chế tài pháp lý, việc không tuân thủ quy định về bảo vệ dữ liệu cá nhân còn tiềm ẩn rủi ro lớn về uy tín và thương hiệu của doanh nghiệp.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356 đã thiết lập một khuôn khổ pháp lý tương đối toàn diện đối với hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
Trong bối cảnh các yêu cầu tuân thủ ngày càng chặt chẽ, đặc biệt đối với doanh nghiệp FDI, doanh nghiệp hoạt động trong lĩnh vực công nghệ (IT), trí tuệ nhân tạo (AI) hoặc có hoạt động xử lý dữ liệu xuyên biên giới, việc chủ động rà soát và hoàn thiện cơ chế bảo vệ dữ liệu cá nhân là nhu cầu thiết yếu nhằm hạn chế rủi ro pháp lý và bảo đảm hoạt động kinh doanh ổn định, bền vững.
Với kinh nghiệm tư vấn pháp lý doanh nghiệp và đầu tư, Công ty Luật Siglaw cung cấp dịch vụ tư vấn tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, bao gồm rà soát quy trình xử lý dữ liệu, xây dựng chính sách nội bộ, tư vấn và hỗ trợ thủ tục đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân ra nước ngoài, qua đó đồng hành cùng doanh nghiệp trong việc đáp ứng yêu cầu của Luật BVDLCN và các văn bản hướng dẫn thi hành.
Liên hệ ngay để được tư vấn miễn phí ban đầu từ đội ngũ chuyên viên pháp lý giàu kinh nghiệm của Công ty Luật Siglaw.
Trụ sở chính tại Tp. Hà Nội: Số 44/A32 – NV13, Khu A Geleximco, Đường Lê Trọng Tấn, Phường Tây Mỗ, Tp. Hà Nội.
Email: vphn@siglaw.com.vn
Chi nhánh tại miền Nam: Số 103 – 105, Đường Nguyễn Đình Chiểu, Phường Xuân Hòa, Tp. Hồ Chí Minh.
Email: vphcm@siglaw.com.vn
Chi nhánh tại miền Trung: VIFC DN – Tòa nhà ICT Công viên Phần mềm số 2, Đường Như Nguyệt, Phường Hải Châu, Đà Nẵng.
Email: vphcm@siglaw.com.vn
Hotline: 0961 366 238
Facebook: https://www.facebook.com/hangluatSiglaw
