Luật Bảo vệ dữ liệu cá nhân 2025: doanh nghiệp cần làm gì để tuân thủ từ 1/1/2026?

Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực, đưa việc bảo vệ thông tin cá nhân từ cấp nghị định (Nghị định 13/2023/NĐ-CP) lên thành một đạo luật riêng với chế tài mạnh hơn. Theo số liệu được Báo Điện tử Chính phủ dẫn lại, chỉ trong 6 tháng đầu năm 2025 cơ quan chức năng đã phát hiện hàng chục vụ việc liên quan đến hơn 110 triệu bản ghi dữ liệu cá nhân bị thu thập, mua bán trái phép. Đây là lý do doanh nghiệp không thể xem nhẹ yêu cầu tuân thủ.

Dữ liệu cá nhân là gì? Doanh nghiệp nào phải tuân thủ?

Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh… gắn với hoặc giúp xác định một người cụ thể. Trong thực tế kinh doanh, đó là:

• Dữ liệu cơ bản: họ tên, ngày sinh, số điện thoại, email, địa chỉ, số CCCD, hình ảnh, lịch sử mua hàng, tài khoản mạng xã hội.
• Dữ liệu nhạy cảm: thông tin sức khoẻ, sinh trắc học (vân tay, khuôn mặt), tài chính – ngân hàng, vị trí, tình trạng hôn nhân, quan điểm chính trị, tôn giáo… Loại này đòi hỏi biện pháp bảo vệ cao hơn.

Bất kỳ doanh nghiệp nào thu thập, lưu trữ, sử dụng, chia sẻ thông tin của khách hàng, người lao động, ứng viên tuyển dụng hay đối tác đều là bên xử lý dữ liệu cá nhân. Nói cách khác: gần như mọi doanh nghiệp, cửa hàng có danh sách khách hàng hoặc bảng lương đều thuộc diện điều chỉnh.

5 nhóm nghĩa vụ cốt lõi

1. Có căn cứ hợp pháp – chủ yếu là sự đồng ý

Sự đồng ý phải tự nguyện, rõ ràng, cụ thể cho từng mục đích và có thể chứng minh được (bằng văn bản, thao tác bấm chọn, tin nhắn xác nhận…). Ô tích sẵn, điều khoản "mặc nhiên đồng ý" hoặc im lặng không được coi là đồng ý. Một số trường hợp được xử lý không cần đồng ý như thực hiện hợp đồng, thực hiện nghĩa vụ theo luật, tình huống khẩn cấp đe doạ tính mạng.

2. Tôn trọng quyền của chủ thể dữ liệu

Khách hàng, nhân viên có quyền được biết, đồng ý hoặc không đồng ý, truy cập, chỉnh sửa, yêu cầu xoá, hạn chế xử lý, rút lại sự đồng ý và khiếu nại, khởi kiện, yêu cầu bồi thường. Doanh nghiệp cần một đầu mối và quy trình để tiếp nhận, trả lời các yêu cầu này đúng hạn.

3. Bảo mật và xử lý sự cố

Phải có biện pháp kỹ thuật (mã hoá, phân quyền, sao lưu, ghi log) và biện pháp quản lý (quy chế nội bộ, cam kết bảo mật với nhân viên, hợp đồng với bên cung cấp dịch vụ). Khi xảy ra lộ lọt phải thông báo cho cơ quan chuyên trách của Bộ Công an và cho người bị ảnh hưởng theo thời hạn luật định.

4. Đánh giá tác động và chuyển dữ liệu ra nước ngoài

Doanh nghiệp xử lý dữ liệu ở quy mô lớn, xử lý dữ liệu nhạy cảm, hoặc chuyển dữ liệu ra nước ngoài (ví dụ: dùng máy chủ, phần mềm CRM, dịch vụ lưu trữ đám mây đặt ngoài Việt Nam) phải lập hồ sơ đánh giá tác động và gửi cơ quan có thẩm quyền theo quy định.

5. Không mua bán dữ liệu cá nhân

Luật cấm mua, bán dữ liệu cá nhân dưới mọi hình thức. Việc mua "data khách hàng tiềm năng" để gọi điện chào hàng – vốn phổ biến trong bất động sản, bảo hiểm, tài chính – là hành vi vi phạm. Kinh doanh dịch vụ xử lý dữ liệu cá nhân chỉ được thực hiện khi đáp ứng điều kiện tại Nghị định 356/2025/NĐ-CP.

Mức xử phạt: không còn là "phạt cho có"

Luật quy định chế tài theo hướng răn đe: vi phạm quy định mua bán dữ liệu có thể bị phạt đến gấp nhiều lần khoản thu có được từ hành vi vi phạm; vi phạm quy định chuyển dữ liệu xuyên biên giới có thể bị phạt theo tỷ lệ phần trăm doanh thu năm trước liền kề; các vi phạm khác có thể bị phạt tiền đến hàng tỷ đồng. Ngoài phạt hành chính, cá nhân vi phạm nghiêm trọng còn có thể bị truy cứu trách nhiệm hình sự (tội xâm phạm bí mật đời tư, tội sử dụng mạng máy tính để chiếm đoạt tài sản…) và phải bồi thường thiệt hại.

Checklist 8 bước tuân thủ cho doanh nghiệp

1. Kiểm kê dữ liệu: liệt kê doanh nghiệp đang thu thập dữ liệu gì, từ kênh nào (website, fanpage, Zalo OA, cửa hàng, tuyển dụng), lưu ở đâu, ai được truy cập.
2. Rà soát mục đích và căn cứ: mỗi loại dữ liệu dùng để làm gì, đã có sự đồng ý hoặc căn cứ pháp lý khác chưa.
3. Cập nhật chính sách quyền riêng tư trên website, ứng dụng, hợp đồng; viết ngắn gọn, dễ hiểu.
4. Thiết kế lại form thu thập: bỏ ô tích sẵn, tách riêng mục đồng ý nhận quảng cáo.
5. Ký phụ lục bảo mật với nhân viên và các bên cung cấp dịch vụ (kế toán, phần mềm, vận chuyển, marketing).
6. Thiết lập quy trình tiếp nhận yêu cầu truy cập/xoá dữ liệu và quy trình ứng phó sự cố lộ lọt.
7. Lập hồ sơ đánh giá tác động (nếu thuộc diện) và hồ sơ chuyển dữ liệu ra nước ngoài khi dùng dịch vụ quốc tế.
8. Chỉ định người/bộ phận phụ trách bảo vệ dữ liệu và đào tạo nhân viên định kỳ.

Góc nhìn của luật sư

Tuân thủ bảo vệ dữ liệu cá nhân không chỉ để tránh bị phạt. Trong bối cảnh chuyển đổi số, khách hàng ngày càng quan tâm thông tin của mình được dùng thế nào; doanh nghiệp minh bạch về dữ liệu sẽ có lợi thế về uy tín. Với doanh nghiệp vừa và nhỏ, cách hiệu quả nhất là bắt đầu từ bước kiểm kê dữ liệu và cập nhật chính sách, hợp đồng – phần việc pháp lý có thể hoàn thành trong vài tuần.

Nếu doanh nghiệp cần rà soát chính sách quyền riêng tư, mẫu văn bản xin sự đồng ý hoặc hồ sơ đánh giá tác động, Luật Tân Kim Hải có thể hỗ trợ trọn gói.