Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026. Đây là lần đầu Việt Nam có một đạo luật riêng về dữ liệu cá nhân, thay vì chỉ có nghị định. Bài này tóm tắt những nghĩa vụ ảnh hưởng trực tiếp tới doanh nghiệp vừa và nhỏ, và việc nên làm trước khi thanh tra hỏi tới.
Ai chịu tác động
Phạm vi rộng hơn nhiều người nghĩ: luật áp dụng cho tổ chức xử lý dữ liệu cá nhân của người Việt Nam, kể cả tổ chức nước ngoài không có hiện diện tại Việt Nam. Trong thực tế, gần như mọi doanh nghiệp đều thuộc phạm vi này — chỉ cần bạn có danh sách khách hàng kèm số điện thoại, hồ sơ nhân sự, camera chấm công, hay biểu mẫu đăng ký trên website.
Bốn nghĩa vụ chính
- Sự đồng ý phải rõ ràng và đúng mục đích. Không còn chỗ cho ô tích sẵn hay điều khoản gộp "đồng ý mọi mục đích". Thu thập dữ liệu cho mục đích nào thì phải nói rõ mục đích đó.
- Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Doanh nghiệp phải lập, lưu và nộp hồ sơ, đồng thời cập nhật định kỳ sáu tháng khi có thay đổi thuộc diện phải cập nhật.
- Đánh giá tác động chuyển dữ liệu ra nước ngoài (TIA). Áp dụng khi dữ liệu được chuyển hoặc lưu trữ ngoài lãnh thổ — bao gồm cả trường hợp dùng dịch vụ đám mây đặt máy chủ ở nước ngoài.
- Báo cáo sự cố trong 72 giờ kể từ khi phát hiện vi phạm; với dữ liệu sinh trắc học hoặc dữ liệu của tổ chức cung cấp dịch vụ tài chính, còn phải thông báo cho chính người bị ảnh hưởng.
Doanh nghiệp nhỏ được hoãn, không được miễn
Luật có nhượng bộ cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp: trong 5 năm kể từ ngày luật có hiệu lực, nhóm này được lựa chọn chưa thực hiện nghĩa vụ lập DPIA, cập nhật DPIA định kỳ và chỉ định bộ phận, nhân sự bảo vệ dữ liệu. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn, trừ khi xử lý dữ liệu nhạy cảm hoặc dữ liệu quy mô lớn.
Cần đọc kỹ chữ "hoãn": các nghĩa vụ còn lại — sự đồng ý hợp lệ, quyền của chủ thể dữ liệu, an toàn dữ liệu, báo cáo sự cố 72 giờ — vẫn áp dụng ngay từ 01/01/2026.
Mức phạt
Đây là điểm khiến nhiều doanh nghiệp chú ý hơn cả. Theo tổng hợp của hãng luật Tilleke & Gibbins, vi phạm về chuyển dữ liệu ra nước ngoài có thể bị phạt tới 5% doanh thu năm, tối thiểu 3 tỷ đồng; mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần khoản thu có được từ giao dịch; các vi phạm khác có mức trần 3 tỷ đồng. Mức phạt gắn với doanh thu là thay đổi lớn so với cách phạt theo khung cố định trước đây.
Việc nên làm trong quý này
Không cần dự án lớn. Bốn việc dưới đây làm được trong vài tuần và giải quyết phần lớn rủi ro:
- Lập bản đồ dữ liệu. Liệt kê: thu thập dữ liệu cá nhân nào, từ đâu, lưu ở đâu, ai truy cập được, giữ bao lâu. Phần lớn doanh nghiệp phát hiện dữ liệu nằm rải rác ở những nơi không ai nghĩ tới: file Excel trên máy cá nhân, nhóm chat, bản sao cơ sở dữ liệu trên máy lập trình viên.
- Rà lại các biểu mẫu thu thập. Website, biểu mẫu tuyển dụng, phiếu khảo sát — thêm mục đích sử dụng rõ ràng và cơ chế đồng ý thật, bỏ ô tích sẵn.
- Siết quyền truy cập. Hồ sơ nhân sự, bảng lương, danh sách khách hàng phải phân quyền theo vai trò và ghi nhật ký truy cập. Đây cũng là bằng chứng bạn đã áp dụng biện pháp bảo vệ.
- Viết sẵn quy trình xử lý sự cố. Ai phát hiện, báo cho ai, ai quyết định báo cơ quan chức năng. 72 giờ là ngắn nếu sự cố rơi vào tối thứ sáu.
Góc nhìn hệ thống
Phần lớn nghĩa vụ của luật này là chuyện tổ chức, nhưng có ba thứ nằm ở phần mềm: phân quyền theo vai trò và theo phạm vi dữ liệu, nhật ký truy cập dữ liệu nhạy cảm, và khả năng xoá hoặc trích xuất dữ liệu của một cá nhân khi họ yêu cầu. Nếu hệ thống quản trị hiện tại không làm được ba việc đó, việc chứng minh tuân thủ sẽ rất tốn công — và đây là lý do đáng cân nhắc khi đánh giá lại hệ thống trong năm nay.
Nguồn tham khảo
- Tilleke & Gibbins — Vietnam's New Personal Data Protection Law: A Closer Look
- Vietnam Briefing — Personal Data Privacy Protection Law
Bài viết tổng hợp thông tin công khai tới ngày 24/9/2026, không thay thế tư vấn pháp lý. Trước khi ra quyết định tuân thủ, nên tham vấn luật sư cho tình huống cụ thể của doanh nghiệp.
