Dịch vụ tư vấn tuân thủ
Luật Số 91 việt nam

Luật số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, cùng thời điểm với Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Hầu như mọi doanh nghiệp đều thuộc phạm vi điều chỉnh, vì chỉ cần có nhân viên, khách hàng hoặc đối tác là cá nhân thì đã phát sinh hoạt động xử lý dữ liệu cá nhân. Musk-IS sẽ khảo sát và xác định chính xác vai trò cùng phạm vi nghĩa vụ của doanh nghiệp ngay từ giai đoạn đầu.

Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn trừ một số nghĩa vụ; doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được miễn trừ trong thời hạn tối đa 5 năm kể từ ngày 01/01/2026. Tuy nhiên miễn trừ không áp dụng với đơn vị trực tiếp kinh doanh dịch vụ xử lý dữ liệu cá nhân, và không phải là miễn trách nhiệm khi để xảy ra vi phạm; nhiều khách hàng lớn vẫn yêu cầu nhà cung cấp chứng minh tuân thủ dù thuộc diện miễn trừ.

Có. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài là nghĩa vụ bắt buộc. Theo Nghị định 356/2025/NĐ-CP, cơ chế đã chuyển sang tiền kiểm, hồ sơ phải được cơ quan chuyên trách xem xét và chấp thuận, với thời hạn thẩm định 15 ngày và thời hạn bổ sung hồ sơ 30 ngày. Doanh nghiệp cần chuẩn bị hồ sơ sớm và đúng ngay từ đầu để không làm chậm kế hoạch kinh doanh.

Có. Đây là điểm doanh nghiệp thường bỏ sót nhất. Việc lưu trữ hoặc xử lý dữ liệu cá nhân của công dân Việt Nam trên hệ thống đặt ngoài lãnh thổ Việt Nam thuộc phạm vi chuyển dữ liệu ra nước ngoài và phải có hồ sơ tương ứng. Mức phạt cho vi phạm nhóm này lên tới 5% doanh thu năm liền trước, nên đây là hạng mục Musk-IS luôn rà soát đầu tiên.

Hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm. Vi phạm về chuyển dữ liệu ra nước ngoài bị phạt tối đa 5% doanh thu năm liền trước. Các hành vi vi phạm khác bị phạt tối đa 3 tỷ đồng đối với tổ chức, và tối đa bằng một nửa mức đó đối với cá nhân. Ngoài ra còn có thể bị xử lý kỷ luật, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Với doanh nghiệp vừa và nhỏ có phạm vi rõ ràng, dự án tư vấn thường kéo dài từ 2 đến 3 tháng, chưa kể thời gian thẩm định hồ sơ tại cơ quan quản lý; với doanh nghiệp nhiều chi nhánh, nhiều hệ thống hoặc xử lý dữ liệu nhạy cảm, thời gian có thể dài hơn. Chi phí phụ thuộc quy mô nhân sự, phạm vi xử lý dữ liệu, số lượng hệ thống cần rà soát, số hồ sơ đánh giá tác động cần lập và khối lượng tài liệu cần xây dựng mới.

Doanh nghiệp thuộc diện phải bố trí bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân và thông báo đầu mối cho cơ quan quản lý. Nghị định 356/2025/NĐ-CP đặt ra tiêu chuẩn cụ thể về trình độ và số năm kinh nghiệm. Musk-IS tư vấn mô hình tổ chức phù hợp và cung cấp dịch vụ nhân sự bảo vệ dữ liệu cá nhân thuê ngoài khi doanh nghiệp chưa có người đáp ứng điều kiện.

ISO/IEC 27001 tạo nền tảng tốt về an toàn thông tin nhưng chưa bao phủ các yêu cầu riêng của pháp luật Việt Nam, đặc biệt là nghĩa vụ lập và nộp hồ sơ đánh giá tác động cho Bộ Công an. Doanh nghiệp đã tuân thủ GDPR cũng cần bổ sung phần hồ sơ và thủ tục đặc thù của Việt Nam. Musk-IS tận dụng tối đa hệ thống sẵn có, chỉ bổ sung phần còn thiếu để rút ngắn thời gian và tối ưu chi phí triển khai.

Không. Pháp luật Việt Nam không cấp chứng nhận tuân thủ Luật Bảo vệ dữ liệu cá nhân cho doanh nghiệp. Musk-IS là đơn vị tư vấn độc lập, đồng hành cùng doanh nghiệp xây dựng hệ thống, lập hồ sơ, làm việc với cơ quan quản lý và duy trì tuân thủ. Nếu doanh nghiệp cần bằng chứng bên thứ ba để phục vụ khách hàng quốc tế, chúng tôi tư vấn thêm hướng chứng nhận ISO/IEC 27701 hoặc ISO/IEC 27001.