Luật Bảo vệ dữ liệu cá nhân 2025 là gì? Doanh nghiệp phải làm gì theo Luật 91/2025/QH15
Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) là đạo luật đầu tiên của Việt Nam chuyên về dữ liệu cá nhân, có hiệu lực từ 01/01/2026, quy định cách thu thập, xử lý, chuyển ra nước ngoài và bảo vệ dữ liệu, kèm mức phạt tối đa 5% doanh thu.
Với doanh nghiệp, câu hỏi thực tế là phải lập hồ sơ gì, nộp khi nào và ai chịu trách nhiệm. Phần dưới trả lời theo Luật 91, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP về xử phạt. Cần người làm cùng? Xem dịch vụ tư vấn tuân thủ Luật Bảo vệ dữ liệu cá nhân của Musk-IS.
Điểm chính
- Luật 91/2025/QH15 được Quốc hội thông qua ngày 26/06/2025, có hiệu lực từ 01/01/2026; Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết và thay thế Nghị định 13/2023/NĐ-CP.
- Doanh nghiệp xử lý dữ liệu cá nhân phải lập hồ sơ đánh giá tác động (DPIA) và, nếu chuyển dữ liệu ra nước ngoài, hồ sơ đánh giá tác động chuyển dữ liệu (TIA), nộp trong 60 ngày kể từ lần xử lý hoặc lần chuyển đầu tiên.
- Vi phạm quy định chuyển dữ liệu xuyên biên giới có thể bị phạt tới 5% doanh thu năm liền trước; mua bán dữ liệu cá nhân tới 10 lần khoản thu; vi phạm khác tới 3 tỷ đồng.
- Doanh nghiệp nhỏ, khởi nghiệp được chọn chưa thực hiện một số nghĩa vụ trong 5 năm, trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu của số lượng lớn người.
Luật Bảo vệ dữ liệu cá nhân 2025 là gì, vì sao ra đời?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 là văn bản cấp luật quy định quyền của người có dữ liệu (chủ thể dữ liệu), nghĩa vụ của tổ chức xử lý dữ liệu và chế tài khi vi phạm. Luật gồm 5 chương, 39 điều, được Quốc hội thông qua ngày 26/06/2025 tại kỳ họp thứ 9.
Trước đó, Việt Nam quản lý dữ liệu cá nhân chủ yếu bằng Nghị định 13/2023/NĐ-CP, một văn bản cấp nghị định. Luật 91 nâng khung này lên cấp luật và đặt mức phạt trần ngay trong luật. Từ 01/01/2026, Nghị định 13 hết hiệu lực; Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025 thay thế và hướng dẫn chi tiết.
Luật chia dữ liệu cá nhân thành hai nhóm: dữ liệu cơ bản và dữ liệu nhạy cảm, theo danh mục do Chính phủ ban hành. Dữ liệu đã được khử nhận dạng, tức không còn xác định được một người cụ thể, thì không còn là dữ liệu cá nhân. Theo Nghị định 356/2025, nhóm nhạy cảm gồm các dữ liệu như tình trạng sức khỏe (không giới hạn trong hồ sơ bệnh án), dữ liệu sinh trắc học, đặc điểm di truyền, quan điểm chính trị, tôn giáo, đời sống tình dục, thông tin tài khoản và lịch sử giao dịch ngân hàng, tên đăng nhập và mật khẩu tài khoản định danh điện tử.
Một điểm dễ bỏ sót: dữ liệu chấm công vân tay hay nhận diện khuôn mặt của nhân viên là dữ liệu sinh trắc học. Nhà máy dùng máy chấm công khuôn mặt vì thế đang xử lý dữ liệu nhạy cảm, dù chưa từng nghĩ mình “làm dữ liệu”.
Chủ thể dữ liệu có những quyền gì theo Luật 91?
Khoản 1 Điều 4 Luật 91/2025/QH15 trao cho chủ thể dữ liệu sáu nhóm quyền: được biết về hoạt động xử lý; đồng ý, không đồng ý hoặc rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; và yêu cầu các bên liên quan áp dụng biện pháp bảo vệ dữ liệu của mình.
Với doanh nghiệp, mỗi quyền là một quy trình phải có thật. Khách hàng gửi email yêu cầu xóa tài khoản, ứng viên hỏi công ty còn giữ hồ sơ của mình không, nhân viên nghỉ việc yêu cầu bản sao dữ liệu: ai nhận, bao lâu trả lời, ai phê duyệt việc xóa. Nghị định 356/2025 yêu cầu bên kiểm soát xây dựng quy trình và biểu mẫu để chủ thể thực hiện các quyền này.
Sự đồng ý cũng có chuẩn rõ hơn. Theo Điều 9 Luật 91, đồng ý phải tự nguyện, người đồng ý biết rõ loại dữ liệu, mục đích và bên xử lý; đồng ý cho từng mục đích, không được kèm điều kiện ép buộc. Im lặng không được coi là đồng ý. Ô “tôi đồng ý” tick sẵn trên form đăng ký vì vậy không còn dùng được.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực khi nào, Nghị định 356 hướng dẫn gì?
Luật 91/2025/QH15 có hiệu lực từ 01/01/2026, cùng ngày với Nghị định 356/2025/NĐ-CP. Nghị định 356 gồm 5 chương, 42 điều, quy định chi tiết danh mục dữ liệu, sự đồng ý, hồ sơ đánh giá tác động, chuyển dữ liệu ra nước ngoài, điều kiện nhân sự bảo vệ dữ liệu, thông báo vi phạm và các mẫu biểu.
Phần xử phạt nằm ở văn bản thứ ba. Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực từ 19/08/2026, quy định mức phạt cụ thể cho từng hành vi. Từ tháng 8/2026, rủi ro bị phạt vì thiếu hồ sơ đã là chuyện có thật, không còn là lý thuyết.
Nhiều người gõ “luật bảo vệ dữ liệu cá nhân 1/7/2026” vì nhầm với Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ 01/07/2026. Đó là hai luật khác nhau. Luật Bảo vệ dữ liệu cá nhân đã áp dụng từ đầu năm 2026.
Ai phải tuân thủ Luật 91, kể cả doanh nghiệp nước ngoài?
Theo khoản 2 Điều 1, Luật 91 áp dụng với cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam; và tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam. Doanh nghiệp không có văn phòng ở Việt Nam vẫn có thể thuộc phạm vi điều chỉnh.
Luật phân biệt vai trò: bên kiểm soát quyết định mục đích và cách xử lý; bên xử lý làm theo hợp đồng với bên kiểm soát; bên kiểm soát và xử lý làm cả hai. Vai trò quyết định nghĩa vụ. Một công ty SaaS lưu dữ liệu khách hàng cho doanh nghiệp khác thường là bên xử lý, nhưng với dữ liệu nhân viên của chính mình thì lại là bên kiểm soát.
| Tình huống | Có thuộc phạm vi không? | Lưu ý |
|---|---|---|
| Công ty con, nhà máy, chi nhánh FDI tại Việt Nam | Có | Thường là bên kiểm soát với dữ liệu nhân viên và khách hàng |
| Công ty mẹ ở Đài Loan, Hàn Quốc, Nhật Bản xử lý dữ liệu nhân viên Việt Nam | Có thể có | Thường đồng thời là chuyển dữ liệu ra nước ngoài |
| Doanh nghiệp nước ngoài bán hàng trực tuyến cho người Việt, không có pháp nhân tại Việt Nam | Có thể có | Xử lý dữ liệu của công dân Việt Nam |
| Công ty phần mềm Việt Nam xử lý dữ liệu cho khách hàng nước ngoài | Có | Thường là bên xử lý; nghĩa vụ DPIA theo thỏa thuận với bên kiểm soát |
Doanh nghiệp nhỏ có ngoại lệ. Theo Điều 38 Luật 91 và Điều 41 Nghị định 356, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn chưa thực hiện nghĩa vụ lập, cập nhật hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu trong 5 năm kể từ 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này. Ngoại lệ không áp dụng khi doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 người trở lên.
Nghĩa vụ chính: đồng ý, DPIA, chuyển dữ liệu ra nước ngoài, nhân sự bảo vệ dữ liệu
Bốn nghĩa vụ làm doanh nghiệp tốn công nhất là xin đồng ý đúng chuẩn, lập hồ sơ đánh giá tác động xử lý dữ liệu (DPIA), lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (TIA) và chỉ định nhân sự bảo vệ dữ liệu. Cộng thêm nghĩa vụ thông báo vi phạm trong 72 giờ khi có sự cố.
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)
Theo Điều 21 Luật 91, bên kiểm soát và bên kiểm soát và xử lý lập, lưu hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong 60 ngày kể từ khi bắt đầu xử lý; bên xử lý lập theo thỏa thuận với bên kiểm soát. Nghị định 356 quy định cơ quan chuyên trách trả kết quả đạt hoặc không đạt trong 15 ngày, doanh nghiệp hoàn thiện trong 30 ngày nếu hồ sơ thiếu. Cách lập từng mục của Mẫu số 10 có trong bài DPIA là gì.
Hồ sơ chuyển dữ liệu cá nhân ra nước ngoài (TIA)
Điều 20 Luật 91 tính là chuyển dữ liệu xuyên biên giới cả khi lưu dữ liệu thu thập tại Việt Nam lên máy chủ hay đám mây ở nước ngoài, không riêng việc gửi cho đối tác nước ngoài. Hồ sơ nộp trong 60 ngày kể từ lần chuyển đầu tiên. Một số trường hợp không phải lập, trong đó có tổ chức lưu dữ liệu người lao động của mình trên điện toán đám mây, và theo Nghị định 356, việc quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, thỏa ước lao động tập thể. Các trường hợp tính là chuyển và cách lập hồ sơ có trong bài chuyển dữ liệu cá nhân ra nước ngoài.
Nhân sự, bộ phận bảo vệ dữ liệu cá nhân
Theo khoản 2 Điều 33, doanh nghiệp chỉ định bộ phận, nhân sự đủ điều kiện hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu. Nghị định 356 yêu cầu chỉ định bằng văn bản chính thức; nhân sự có trình độ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm trong lĩnh vực liên quan và đã được đào tạo về bảo vệ dữ liệu cá nhân. Ai phải chỉ định, ai được miễn và nên tuyển hay thuê ngoài được phân tích trong bài DPO là gì.
Thông báo vi phạm trong 72 giờ
Theo Điều 23, khi phát hiện vi phạm có thể gây hại cho quốc phòng, an ninh, trật tự hoặc tính mạng, sức khỏe, danh dự, tài sản của chủ thể, doanh nghiệp phải thông báo cơ quan chuyên trách chậm nhất 72 giờ. Với dữ liệu vị trí và sinh trắc học, Nghị định 356 còn yêu cầu thông báo cho người bị ảnh hưởng trong 72 giờ.
Checklist hồ sơ cần có
Bảng dưới là checklist hồ sơ doanh nghiệp nên có. Đây là phần mà khách hàng nước ngoài và cơ quan kiểm tra thường hỏi đầu tiên.
| Hồ sơ / việc cần có | Căn cứ | Thời hạn | Thường do ai phụ trách |
|---|---|---|---|
| Bản đồ luồng dữ liệu, phân loại cơ bản/nhạy cảm | Điều 2 Luật 91; Nghị định 356 | Trước khi lập DPIA | IT + các phòng ban có dữ liệu |
| Mẫu xin đồng ý, thông báo xử lý dữ liệu | Điều 9 Luật 91 | Trước khi thu thập | Pháp chế + Marketing/HR |
| Hồ sơ DPIA (Báo cáo theo Mẫu số 10) | Điều 21 Luật 91; Điều 19 Nghị định 356 | 60 ngày từ khi xử lý | Pháp chế + nhân sự bảo vệ dữ liệu |
| Hồ sơ TIA (Báo cáo theo Mẫu số 09) | Điều 20 Luật 91; Điều 18 Nghị định 356 | 60 ngày từ lần chuyển đầu | Pháp chế + IT + công ty mẹ |
| Văn bản chỉ định nhân sự/bộ phận bảo vệ dữ liệu hoặc hợp đồng dịch vụ | Điều 33 Luật 91; Điều 13 Nghị định 356 | Khi bắt đầu xử lý | Ban giám đốc |
| Quy trình xử lý yêu cầu của chủ thể dữ liệu | Điều 4 Luật 91 | Luôn sẵn sàng | Bộ phận bảo vệ dữ liệu + CSKH/HR |
| Quy trình thông báo vi phạm 72 giờ | Điều 23 Luật 91; Điều 28–29 Nghị định 356 | Khi có sự cố | IT + pháp chế |
| Hợp đồng, phụ lục xử lý dữ liệu với nhà cung cấp | Điều 21, 33 Luật 91 | Trước khi chia sẻ dữ liệu | Pháp chế + mua hàng |
Ở doanh nghiệp FDI, hồ sơ TIA hay bị quên nhất. Hệ thống email, CRM, phần mềm nhân sự của tập đoàn thường đặt máy chủ ở nước ngoài, nên việc dùng hằng ngày đã là chuyển dữ liệu xuyên biên giới. Lập hồ sơ cho từng luồng nhỏ lẻ thường không hiệu quả; nên gom theo hệ thống và theo bên nhận.
Mức phạt theo Luật 91 và Nghị định 330/2026
Điều 8 Luật 91 đặt mức phạt tối đa: mua bán dữ liệu cá nhân tới 10 lần khoản thu có được; vi phạm quy định chuyển dữ liệu xuyên biên giới tới 5% doanh thu năm liền trước; vi phạm khác tới 3 tỷ đồng. Mức này áp dụng với tổ chức, cá nhân bằng một nửa. Tùy tính chất, vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại.
Nghị định 330/2026/NĐ-CP chia nhỏ thành từng hành vi. Một số mức đáng chú ý với tổ chức:
| Hành vi | Mức phạt (tổ chức) | Căn cứ |
|---|---|---|
| Không lập, không nộp DPIA trong 60 ngày, không cập nhật | 20–30 triệu đồng | Điều 55 Nghị định 330 |
| Không lập, không nộp TIA đúng hạn | 30–50 triệu đồng | Điều 56 Nghị định 330 |
| Chuyển ra nước ngoài không lập TIA, che giấu dòng dữ liệu dẫn đến lộ, mất dữ liệu | 1–5% doanh thu năm tài chính liền trước tại Việt Nam, tùy số công dân bị ảnh hưởng | Điều 56 Nghị định 330 |
| Thông báo vi phạm chậm hơn 72 giờ | 40–60 triệu đồng | Điều 54 Nghị định 330 |
| Xử lý khi chưa có đồng ý hợp lệ | 30–50 triệu đồng | Điều 43 Nghị định 330 |
| Không ban hành văn bản chỉ định nhân sự, bộ phận bảo vệ dữ liệu | 20–30 triệu đồng | Điều 57 Nghị định 330 |
Theo Nghị định 330, thời hiệu xử phạt là 01 năm, và ngoài tiền phạt còn có thể bị đình chỉ hoạt động từ 1 đến 24 tháng hoặc đình chỉ chuyển dữ liệu ra nước ngoài từ 6 đến 12 tháng với vi phạm nặng về chuyển dữ liệu. Với doanh nghiệp xuất khẩu dịch vụ, bị đình chỉ chuyển dữ liệu nhiều khi thiệt hại hơn tiền phạt.
Luật 91 khác gì Nghị định 13/2023?
Khác biệt lớn nhất là cấp văn bản và chế tài: Nghị định 13/2023 là văn bản dưới luật, không có mức phạt theo phần trăm doanh thu; Luật 91 đặt trần phạt ngay trong luật và Nghị định 330/2026 cụ thể hóa từng hành vi. Luật mới cũng thêm ngoại lệ cho doanh nghiệp nhỏ và một số trường hợp không phải lập hồ sơ chuyển dữ liệu.
| Nội dung | Nghị định 13/2023 | Luật 91/2025 + Nghị định 356/2025 |
|---|---|---|
| Cấp văn bản | Nghị định của Chính phủ | Luật của Quốc hội + nghị định hướng dẫn |
| Mức phạt | Không có mức phạt theo % doanh thu | Tới 5% doanh thu (xuyên biên giới), 10 lần khoản thu (mua bán), 3 tỷ đồng (khác) |
| Doanh nghiệp nhỏ, khởi nghiệp | Không có ngoại lệ riêng | Được chọn chưa thực hiện DPIA, nhân sự bảo vệ dữ liệu trong 5 năm (có điều kiện) |
| Dữ liệu người lao động lưu trên cloud | Không có ngoại lệ riêng | Không phải lập hồ sơ chuyển dữ liệu ra nước ngoài |
| Nhân sự bảo vệ dữ liệu | Không quy định chi tiết điều kiện | Cao đẳng trở lên, ít nhất 2 năm kinh nghiệm, đã được đào tạo |
| Sự đồng ý, hồ sơ đã có trước 2026 | — | Đồng ý theo Nghị định 13 tiếp tục có hiệu lực; hồ sơ đã được tiếp nhận tiếp tục dùng (Điều 39) |
Điều khoản chuyển tiếp ở Điều 39 giúp doanh nghiệp đã làm hồ sơ theo Nghị định 13 không phải làm lại từ đầu. Hồ sơ cũ chỉ cần cập nhật khi có thay đổi theo quy định mới, ví dụ phát sinh mục đích xử lý mới hoặc đổi bên xử lý.
Hiểu lầm thường gặp về Luật Bảo vệ dữ liệu cá nhân
Bốn hiểu lầm dưới đây khiến doanh nghiệp hoặc làm thừa, hoặc bỏ sót đúng chỗ dễ bị phạt.
“Phải được Bộ Công an chấp thuận DPIA rồi mới được xử lý dữ liệu.” Không đúng. Hồ sơ đánh giá tác động được lập từ khi bắt đầu xử lý và nộp trong 60 ngày; cơ quan chuyên trách trả kết quả đạt hoặc không đạt trong 15 ngày, nếu chưa đạt thì doanh nghiệp hoàn thiện trong 30 ngày. Hệ thống đang chạy không phải dừng chờ.
“Gửi dữ liệu nhân viên về công ty mẹ là chuyện nội bộ.” Về mặt luật, đó là chuyển dữ liệu ra nước ngoài. Có ngoại lệ cho dữ liệu người lao động lưu trên điện toán đám mây và cho việc quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, nhưng gửi bảng lương cho bộ phận marketing của tập đoàn hay chia sẻ dữ liệu cho mục đích ngoài quản lý nhân sự thì không nằm trong ngoại lệ đó.
“Có ISO 27001 hoặc ISO 27701 là đã tuân thủ.” Hệ thống quản lý theo ISO 27001 giúp doanh nghiệp có biện pháp bảo vệ và bằng chứng vận hành, nhưng pháp luật Việt Nam không cấp chứng nhận tuân thủ, và chứng chỉ ISO không thay thế hồ sơ DPIA, TIA hay văn bản chỉ định nhân sự bảo vệ dữ liệu.
“Hồ sơ phải cập nhật đều đặn 6 tháng một lần.” Nghị định 356 quy định cập nhật định kỳ 6 tháng kể từ lần nộp đầu trong các trường hợp phát sinh mục đích xử lý mới hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba; và cập nhật trong 10 ngày khi doanh nghiệp tổ chức lại, giải thể hoặc đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu. Không thay đổi thì không cần nộp lại, nhưng nên rà soát 6 tháng một lần để chắc chắn.
Lộ trình tuân thủ 6 bước cho doanh nghiệp
Doanh nghiệp có phạm vi rõ ràng, ít luồng dữ liệu ra nước ngoài thường hoàn thành phần chính trong khoảng 2–3 tháng; doanh nghiệp có nhiều chi nhánh hoặc xử lý dữ liệu nhạy cảm cần lâu hơn. Lộ trình dưới đây theo thứ tự hồ sơ phụ thuộc nhau: chưa có bản đồ dữ liệu thì chưa lập được DPIA chính xác.
- Khảo sát hiện trạng và xác định phạm vi: doanh nghiệp là bên kiểm soát, bên xử lý hay cả hai; có thuộc diện được miễn trừ không.
- Kiểm kê dữ liệu và phân tích khoảng cách: lập bản đồ luồng dữ liệu, phân loại dữ liệu cơ bản và nhạy cảm, đối chiếu với từng yêu cầu của Luật và Nghị định.
- Đánh giá tác động và lập hồ sơ: lập DPIA, TIA và nộp cho cơ quan chuyên trách trong thời hạn 60 ngày.
- Xây dựng chính sách, quy trình, tài liệu: chính sách bảo vệ dữ liệu, thông báo quyền riêng tư, quy trình xử lý yêu cầu chủ thể và ứng phó vi phạm, điều khoản hợp đồng với nhà cung cấp.
- Hướng dẫn triển khai và đào tạo: đưa chính sách vào vận hành, đào tạo chung và đào tạo sâu cho bộ phận trực tiếp xử lý dữ liệu, chỉ định đầu mối tiếp nhận yêu cầu.
- Đánh giá nội bộ và duy trì: rà soát định kỳ, cập nhật hồ sơ khi có thay đổi, chuẩn bị bằng chứng khi cơ quan quản lý hoặc đối tác yêu cầu.
Bước 2 thường lộ ra những luồng dữ liệu không ai biết. Ví dụ công cụ chat chăm sóc khách hàng đặt máy chủ ở Singapore, file Excel danh sách khách VIP gửi qua ứng dụng nhắn tin cá nhân, hay camera văn phòng lưu hình lên đám mây của nhà cung cấp nước ngoài. Mỗi phát hiện như vậy có thể kéo theo một hồ sơ TIA hoặc một điều khoản hợp đồng mới.
Từng hồ sơ có dịch vụ riêng nếu doanh nghiệp chỉ cần một phần: lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, lập hồ sơ chuyển dữ liệu cá nhân ra nước ngoài hoặc dịch vụ DPO thuê ngoài khi chưa có người đủ điều kiện trong nội bộ.
Công ty mẹ ở nước ngoài cần dữ liệu nhân viên Việt Nam: bắt đầu từ đâu?
Hãy bắt đầu bằng một bảng liệt kê: hệ thống nào chứa dữ liệu nhân viên và khách hàng Việt Nam, máy chủ đặt ở đâu, công ty mẹ hay nhà cung cấp nào được truy cập, và mục đích là gì. Chỉ cần bảng này, doanh nghiệp đã biết mình có bao nhiêu luồng chuyển ra nước ngoài, luồng nào được miễn, luồng nào cần hồ sơ TIA, và hạn 60 ngày đã qua hay chưa.
Musk-IS làm việc với doanh nghiệp FDI Đài Loan, Hàn Quốc tại Việt Nam, có đội ngũ nói tiếng Việt, tiếng Trung, tiếng Hàn và luật sư dữ liệu cá nhân đồng hành. Nếu muốn có lộ trình đầy đủ từ khảo sát đến duy trì, hãy xem gói tư vấn tuân thủ Luật 91/2025, hoặc trao đổi trực tiếp với chuyên gia về tình huống của doanh nghiệp.
Câu hỏi thường gặp về Luật Bảo vệ dữ liệu cá nhân 2025
Luật Bảo vệ dữ liệu cá nhân có hiệu lực khi nào?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, cùng ngày với Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Từ ngày này Nghị định 13/2023/NĐ-CP hết hiệu lực. Mức phạt chi tiết theo từng hành vi được quy định tại Nghị định 330/2026/NĐ-CP, có hiệu lực từ 19/08/2026.
Doanh nghiệp có bắt buộc phải có DPO không?
Có, trừ trường hợp được miễn. Theo khoản 2 Điều 33 Luật 91, doanh nghiệp phải chỉ định bộ phận, nhân sự bảo vệ dữ liệu đủ điều kiện hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Doanh nghiệp nhỏ, khởi nghiệp được chọn chưa thực hiện trong 5 năm nếu không xử lý dữ liệu nhạy cảm, không kinh doanh dịch vụ xử lý dữ liệu và chưa đạt 100.000 chủ thể.
Gửi dữ liệu nhân viên về công ty mẹ ở nước ngoài có phải làm hồ sơ không?
Thông thường là có, vì đây là chuyển dữ liệu ra nước ngoài theo Điều 20 Luật 91, phải lập hồ sơ TIA trong 60 ngày từ lần chuyển đầu tiên. Ngoại lệ gồm lưu dữ liệu người lao động của chính tổ chức trên điện toán đám mây và quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, thỏa ước lao động tập thể. Mục đích nằm ngoài quản lý nhân sự vẫn cần hồ sơ.
Dữ liệu cá nhân nhạy cảm gồm những gì?
Theo Nghị định 356/2025/NĐ-CP, dữ liệu nhạy cảm gồm các nhóm như tình trạng sức khỏe, dữ liệu sinh trắc học, đặc điểm di truyền, quan điểm chính trị, tôn giáo, đời sống tình dục, thông tin tài khoản và lịch sử giao dịch ngân hàng, tên đăng nhập và mật khẩu tài khoản định danh điện tử. Doanh nghiệp xử lý dữ liệu nhạy cảm không được hưởng ngoại lệ dành cho doanh nghiệp nhỏ.
Xem toàn văn Luật 91/2025/QH15 ở đâu?
Văn bản gốc có chữ ký được đăng trên Cổng văn bản Chính phủ (vanban.chinhphu.vn), gồm 5 chương, 39 điều. Nên đọc cùng Nghị định 356/2025/NĐ-CP để biết mẫu hồ sơ và thời hạn chi tiết, và Nghị định 330/2026/NĐ-CP để biết mức phạt cụ thể. Bản tải ở các trang khác có thể là dự thảo trước khi Quốc hội thông qua.
Tài liệu tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Luật về bảo vệ dữ liệu cá nhân, 5 chương 39 điều, hiệu lực từ 01/01/2026. Quốc hội · 26/06/2025
- Triển khai thi hành Luật Bảo vệ dữ liệu cá nhân – Trích quyền của chủ thể dữ liệu theo Điều 4 Luật 91. Ngân hàng Nhà nước Việt Nam · 05/12/2025
- Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – Hồ sơ DPIA, TIA, nhân sự bảo vệ dữ liệu, thông báo vi phạm, mẫu biểu; hiệu lực 01/01/2026. Chính phủ · 31/12/2025
- Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – Tóm tắt Nghị định 330/2026/NĐ-CP, 4 chương 82 điều, hiệu lực 19/08/2026. Tạp chí Thị trường Tài chính Tiền tệ · 23/08/2026
