Toàn cảnh Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam có hiệu lực năm 2025 và những việc doanh nghiệp cần chuẩn bị trong thực tiễn

01 - Mở rộng phạm vi áp dụng ra nước ngoài: Áp dụng trực tiếp cho cả doanh nghiệp, cá nhân nước ngoài

Luật 2025 quy định rõ: áp dụng không chỉ với cơ quan, tổ chức, cá nhân trong nước mà cả doanh nghiệp, cá nhân nước ngoài - phù hợp với thực tế giao dịch dữ liệu xuyên biên giới và điện toán đám mây ngày càng phổ biến. Tổ chức, cá nhân nước ngoài thuộc đối tượng áp dụng - dù không có trụ sở tại Việt Nam - khi đáp ứng một trong các điều kiện:

• Trực tiếp tham gia xử lý dữ liệu cá nhân của cá nhân mang quốc tịch Việt Nam (ví dụ: pháp nhân Nhật Bản xử lý dữ liệu của nhân viên mang quốc tịch Việt Nam tại trụ sở chính ở Nhật Bản)
• Tham gia xử lý dữ liệu cá nhân của "người gốc Việt" đang cư trú tại Việt Nam, chưa xác định quốc tịch nhưng đã được cấp giấy tờ tùy thân

02 - Mở rộng định nghĩa "dữ liệu cá nhân": Đối tượng bảo vệ không chỉ giới hạn ở thông tin điện tử

Luật 2025 định nghĩa "dữ liệu cá nhân" (khoản 1 Điều 2): "Dữ liệu số hoặc thông tin dưới hình thức khác giúp nhận dạng hoặc hỗ trợ nhận dạng một cá nhân cụ thể". Như vậy, không chỉ dữ liệu điện tử (tệp điện tử, dữ liệu trên đám mây...) mà cả thông tin cá nhân chứa trong tài liệu giấy, bản ghi âm, hình ảnh, phương tiện lưu trữ vật lý hoặc dữ liệu dưới hình thức chưa xác định cũng đều thuộc đối tượng bảo vệ.

03 - Chuyển dữ liệu cá nhân xuyên biên giới: Mở rộng phạm vi áp dụng và đưa vào quy định ngoại lệ

• Luật 2025 thay cách diễn đạt cũ "chuyển dữ liệu cá nhân ra nước ngoài" bằng khái niệm rộng hơn: "chuyển dữ liệu cá nhân xuyên biên giới".
• Nghị định 13 giới hạn đối tượng chỉ ở "dữ liệu cá nhân của công dân Việt Nam" - việc chuyển dữ liệu của người nước ngoài ra nước ngoài không chịu nghĩa vụ lập văn bản đánh giá. Luật 2025 đã bỏ cụm từ "công dân Việt Nam": mọi "dữ liệu cá nhân" đều thuộc đối tượng bảo vệ (khoản 1 Điều 20). Hệ quả: ngay cả khi chuyển dữ liệu của người nước ngoài đang cư trú tại Việt Nam ra nước ngoài, doanh nghiệp cũng phát sinh nghĩa vụ lập văn bản đánh giá tác động. Ví dụ: pháp nhân tại Việt Nam tuyển nhân viên nước ngoài và gửi thông tin cá nhân của người này về trụ sở chính (ở nước ngoài) - được coi là "chuyển dữ liệu xuyên biên giới" và phải nộp văn bản đánh giá tác động.
• Quy định ngoại lệ đối với nghĩa vụ đánh giá (khoản 6 Điều 20): một số trường hợp được miễn nghĩa vụ nộp văn bản đánh giá khi đáp ứng điều kiện nhất định - tiêu biểu: lưu trữ dữ liệu nhân viên của công ty trên dịch vụ đám mây (Google Cloud, Microsoft Azure, AWS...); chủ thể dữ liệu tự mình gửi dữ liệu cá nhân ra nước ngoài theo ý chí của bản thân. Đây là sự cân nhắc với các trường hợp phổ biến trên thực tiễn.

Lưu ý thực tiễn: điều kiện áp dụng cụ thể và quy trình thực hiện của quy định ngoại lệ sẽ được quy định chi tiết tại các nghị định, thông tư hướng dẫn ban hành trong thời gian tới. Với doanh nghiệp có vốn nước ngoài và doanh nghiệp Nhật Bản có hoạt động toàn cầu - việc sử dụng môi trường đám mây và trao đổi dữ liệu với công ty mẹ diễn ra thường xuyên - cần tiếp tục theo dõi sát diễn biến của pháp luật.

04 - Chế tài đối với vi phạm: từ xử phạt hành chính, trách nhiệm hình sự đến bồi thường thiệt hại

Nghị định 13 có nêu các hình thức xử lý ("kỷ luật, xử phạt hành chính, truy cứu trách nhiệm hình sự" - Điều 4) nhưng chưa nêu rõ hành vi vi phạm cụ thể và mức chế tài. Luật 2025 làm rõ ba hình thức xử lý:

• ① Truy cứu trách nhiệm hình sự: với hành vi vi phạm nghiêm trọng (ví dụ: cố ý mua bán thông tin, để lộ lọt dữ liệu quy mô lớn) có thể bị truy tố hình sự
• ② Bồi thường thiệt hại: chủ thể dữ liệu bị thiệt hại - phát sinh trách nhiệm bồi thường bằng tiền theo pháp luật dân sự
• ③ Xử phạt hành chính: mức phạt tối thiểu và tối đa được quy định rõ ngay trong luật (Điều 8) - loại bỏ cách áp dụng mơ hồ trước đây, nâng cao tính minh bạch và khả năng dự đoán

Khung phạt tiền hành chính theo loại vi phạm:

Hành vi vi phạm	Khung phạt tiền
Mua bán dữ liệu cá nhân	Tối thiểu 3.000.000.000 VND, tối đa gấp 10 lần khoản thu lợi bất hợp pháp
Vi phạm liên quan đến chuyển dữ liệu xuyên biên giới	Tối thiểu 3.000.000.000 VND, tối đa 5% doanh thu năm trước
Các hành vi vi phạm khác	Phạt tiền tối đa đến 3.000.000.000 VND

Ví dụ các vi phạm nghiêm trọng chắc chắn bị áp mức phạt từ một số tiền nhất định trở lên: cung cấp dữ liệu cho bên thứ ba mà không có sự đồng ý của chủ thể; không thực hiện biện pháp bảo vệ dẫn đến lộ, lọt dữ liệu; không nộp văn bản đánh giá chuyển dữ liệu xuyên biên giới hoặc báo cáo sai sự thật. Nội dung chế tài cụ thể theo từng hành vi sẽ được quy định tại các nghị định, thông tư ban hành sau. Đây là hệ thống chế tài mạnh mẽ chưa từng có trong lịch sử pháp luật Việt Nam về lĩnh vực này. Với doanh nghiệp, thông điệp rất rõ: "dù cố ý hay vô ý, bản thân việc chưa xây dựng cơ chế quản lý phù hợp cũng đã là rủi ro" - xây dựng nội quy và đào tạo nhân viên không còn là biện pháp phòng ngừa đơn thuần, mà là nghĩa vụ tuân thủ pháp luật cần tái xây dựng ngay.

05 - Văn bản đánh giá tác động (DPIA): nghĩa vụ lập và tần suất cập nhật

Luật 2025 hoàn thiện các quy tắc về lập, cập nhật "văn bản đánh giá tác động (DPIA)":

• ① Lần nộp đầu tiên chỉ cần thực hiện một lần: theo Điều 20 và Điều 21, hai loại văn bản - đánh giá tác động về xử lý dữ liệu cá nhân, và đánh giá tác động về chuyển dữ liệu xuyên biên giới - chỉ cần lập một lần duy nhất vào thời điểm doanh nghiệp thành lập, bắt đầu hoạt động.
• ② Nghĩa vụ cập nhật (Điều 22): Nghị định 13 có những quy định về tần suất cập nhật chưa rõ hoặc khó thực hiện (ví dụ: nghĩa vụ cập nhật trong vòng 10 ngày). Luật mới quy định: định kỳ cập nhật 6 tháng một lần (nếu có thay đổi); và cập nhật ngay khi phát sinh thay đổi quan trọng: tái cơ cấu tổ chức, sáp nhập hoặc chia tách doanh nghiệp; thay đổi nhà cung cấp dịch vụ liên quan đến bảo vệ dữ liệu; thay đổi phạm vi xử lý dữ liệu liên quan đến ngành nghề, sản phẩm, dịch vụ kinh doanh đã đăng ký.

Lưu ý thực tiễn và rủi ro vi phạm: bỏ sót thay đổi và không cập nhật văn bản đánh giá - khi thanh tra hành chính có thể bị coi là "chưa hoàn thiện văn bản đánh giá", trở thành đối tượng bị xử phạt, nhắc nhở, đình chỉ hoạt động tạm thời. Doanh nghiệp cần: xây dựng quy trình nội bộ thu thập thông tin thay đổi từ các bộ phận; tăng cường phối hợp giữa bộ phận IT và pháp chế để nắm bắt thay đổi về dịch vụ bên ngoài, hệ thống; khi cần, tham khảo luật sư, chuyên gia tư vấn để rà soát văn bản đánh giá thường xuyên. Việc cập nhật không phải nghĩa vụ hình thức - mà là phần thực chất của việc xây dựng cơ chế và tuân thủ pháp luật.

06 - Quy định bảo vệ đặc biệt đối với dữ liệu cá nhân trong quan hệ lao động

Luật 2025 (Điều 25) lần đầu tiên quy định rõ về xử lý dữ liệu cá nhân trong hoạt động tuyển dụng và thực hiện hợp đồng lao động. Người sử dụng lao động cần lưu ý:

Nội dung nghĩa vụ chính

• Thông tin được phép thu thập giới hạn trong phạm vi cần thiết cho mục đích tuyển dụng; thông tin đã thu thập không được sử dụng ngoài mục đích tuyển dụng hoặc mục đích khác đã được đồng ý
• Dữ liệu cá nhân của ứng viên không trúng tuyển phải bị xóa (trừ trường hợp có sự đồng ý rõ ràng)
• Khi hợp đồng lao động chấm dứt: phải xóa dữ liệu cá nhân của người lao động (trừ trường hợp có thỏa thuận riêng hoặc pháp luật quy định nghĩa vụ lưu trữ)

Rủi ro vi phạm thường gặp trên thực tiễn

Các hành vi thường thấy dưới đây có khả năng cao bị coi là vi phạm trong thời gian tới:

• Thu thập, lưu trữ thông tin riêng tư như tài khoản mạng xã hội (Facebook, Instagram...) khi tuyển dụng
• Tự ý lưu giữ thông tin của ứng viên không trúng tuyển với tư cách "ứng viên tiềm năng trong tương lai" theo quyết định đơn phương của doanh nghiệp
• Tiếp tục lưu giữ thông tin cá nhân của người lao động đã nghỉ việc mà không có sự đồng ý rõ ràng hay căn cứ lưu trữ

Các thông lệ này, nếu không có sự đồng ý của chủ thể dữ liệu, bị coi là sử dụng, lưu trữ dữ liệu ngoài mục đích - có thể bị xử phạt hành chính.

Biện pháp khuyến nghị: rà soát cơ chế nội bộ và hoàn thiện văn bản

• Rà soát toàn bộ quy trình tuyển dụng, lao động (tuyển mộ, phỏng vấn, ký hợp đồng lao động, nghỉ việc)
• Lấy văn bản đồng ý trước của ứng viên về việc xử lý thông tin cá nhân
• Quy định rõ bằng văn bản trong hợp đồng lao động về quy tắc lưu trữ, xóa dữ liệu
• Xây dựng quy chế nội bộ về xử lý dữ liệu của người đã nghỉ việc (thời hạn lưu trữ, thủ tục xóa...)

Bỏ qua các quy định này - khi chẳng may xảy ra sự cố lộ, lọt dữ liệu, doanh nghiệp có thể gánh chịu trách nhiệm pháp lý nghiêm trọng và rủi ro tổn hại uy tín (reputational damage).

07 - Bảo vệ dữ liệu liên quan đến thông tin sức khỏe: bắt buộc có sự đồng ý và quản lý đặc biệt

Điều 26 Luật 2025 đưa ra quy định bảo vệ đặc biệt mới đối với thông tin sức khỏe - điểm mới chưa từng có trong Nghị định 13. Khi xử lý các thông tin: tình trạng sức khỏe, hồ sơ chẩn đoán, giấy khám sức khỏe của cá nhân - doanh nghiệp có nghĩa vụ: bắt buộc có sự đồng ý rõ ràng của chủ thể dữ liệu; và do đây là "dữ liệu cá nhân nhạy cảm", cần biện pháp bảo vệ nghiêm ngặt hơn dữ liệu thông thường.

7.1. Ảnh hưởng đến thực tiễn của doanh nghiệp

Điều khoản này liên quan mật thiết đến việc xử lý thông tin sức khỏe trong quá trình tuyển dụng, quản lý, đánh giá người lao động:

• ① Giấy khám sức khỏe yêu cầu nộp khi tuyển dụng
• ② Kết quả khám sức khỏe định kỳ trong thời gian làm việc
• ③ Hồ sơ trao đổi với bác sĩ chuyên trách hoặc hồ sơ liên quan đến sức khỏe tâm thần

Các thông tin này là "thông tin nhạy cảm" theo pháp luật - cần cơ chế quản lý nghiêm ngặt trong tất cả các giai đoạn: thu thập, lưu trữ, chia sẻ.

7.2. Cách lấy sự đồng ý và những điểm lưu ý thực tiễn

Lấy sự đồng ý từ chính người lao động theo một trong hai phương thức: ① lập văn bản đồng ý riêng về xử lý thông tin sức khỏe và lấy chữ ký; hoặc ② lồng ghép nội dung đồng ý rõ ràng trong hợp đồng lao động hoặc hợp đồng thử việc. Trong cả hai trường hợp: ghi cụ thể mục đích sử dụng, thời hạn lưu trữ, có hay không việc cung cấp cho bên thứ ba.

7.3. Cần tăng cường các biện pháp bảo mật kỹ thuật và tổ chức

Dữ liệu sức khỏe nếu bị lộ, lọt sẽ có nguy cơ cao dẫn đến xâm phạm nghiêm trọng quyền riêng tư và làm mất uy tín doanh nghiệp - cần áp dụng các biện pháp bảo mật kỹ thuật và tổ chức mang tính chuyên sâu.

08 - Nghĩa vụ chỉ định bộ phận, nhân sự phụ trách bảo vệ dữ liệu cá nhân: áp dụng cho mọi tổ chức

Nghị định 13 chỉ yêu cầu bố trí bộ phận/nhân sự phụ trách trong trường hợp "xử lý dữ liệu nhạy cảm", không quy định tiêu chuẩn năng lực (Điều 28, Điều 30). Ngược lại, Luật 2025 (khoản 2 Điều 33) quy định: mọi doanh nghiệp, tổ chức đều bắt buộc phải bố trí nhân sự, bộ phận phụ trách bảo vệ dữ liệu cá nhân - "Tổ chức phải chỉ định nhân sự hoặc bộ phận có đủ năng lực về bảo vệ dữ liệu cá nhân, hoặc thuê ngoài đơn vị chuyên nghiệp". Áp dụng bất kể loại dữ liệu xử lý: ngay cả tổ chức chỉ xử lý dữ liệu cá nhân cơ bản cũng phải xây dựng cơ chế bảo vệ.

Yêu cầu cụ thể về "năng lực đầy đủ" (năng lực, kinh nghiệm, chứng chỉ) chưa có quy định rõ - cần theo dõi thông tư, nghị định sắp ban hành, đồng thời cân nhắc: chỉ định nội bộ (từ bộ phận pháp chế, nhân sự, IT hiện có) hoặc thuê ngoài (đơn vị có kiến thức chuyên môn và kinh nghiệm thực tiễn). Với doanh nghiệp Nhật Bản khó bảo đảm nhân sự nội bộ am hiểu pháp luật Việt Nam: nên chọn đối tác bên ngoài đáp ứng - có kinh nghiệm thực tế về quản lý thông tin cá nhân tại Việt Nam; có thế mạnh cả về hạ tầng IT lẫn pháp lý; có khả năng hỗ trợ ứng phó với cơ quan nhà nước (kiểm toán, báo cáo).

Qua lần sửa đổi này: bảo vệ dữ liệu cá nhân không còn là một phần của "bảo mật IT" hay "hành chính tổng hợp" - mà đã trở thành vấn đề quản trị doanh nghiệp đi kèm trách nhiệm pháp lý. Doanh nghiệp cần đồng thời bố trí nhân lực và xây dựng nội quy, quy trình ứng phó.

09 - Cơ chế miễn trừ, gia hạn nghĩa vụ đối với doanh nghiệp nhỏ, startup (Điều 38)

Luật 2025 đưa ra cơ chế miễn trừ hoặc gia hạn một số nghĩa vụ dành cho doanh nghiệp nhỏ, startup (Điều 38): trong khoảng thời gian 5 năm kể từ ngày luật có hiệu lực, các nghĩa vụ sau có thể được miễn trừ hoặc gia hạn:

• Nghĩa vụ lập văn bản đánh giá tác động về xử lý dữ liệu cá nhân
• Nghĩa vụ báo cáo, thông báo đánh giá liên quan đến chuyển dữ liệu xuyên biên giới
• Nghĩa vụ chỉ định người phụ trách bảo vệ dữ liệu
• Việc cập nhật định kỳ văn bản đánh giá và nộp cho cơ quan có thẩm quyền

Đây là biện pháp giảm gánh nặng pháp lý cho doanh nghiệp mới thành lập, doanh nghiệp vừa và nhỏ, bảo đảm thời gian chuyển tiếp. Nhưng lưu ý: tính đến tháng 7/2025, văn bản luật chưa quy định rõ định nghĩa "doanh nghiệp nhỏ", "doanh nghiệp siêu nhỏ", "startup", và chưa rõ "số lượng lớn chủ thể dữ liệu" là ở quy mô nào - để xác định doanh nghiệp mình có thuộc diện được miễn/gia hạn hay không, cần theo dõi sát các nghị định, thông tư hướng dẫn sắp ban hành. Điều 38 giúp cân bằng giữa "giảm nhẹ gánh nặng" và "tuân thủ theo từng giai đoạn" - doanh nghiệp nên chuẩn bị cơ chế từng bước, có kế hoạch, sẵn sàng cho việc mở rộng phạm vi áp dụng trong tương lai.

10 - Quy định đặc thù theo lĩnh vực: tài chính, mạng xã hội, AI, blockchain... (Điều 27-30)

Ngoài quy định chung, Luật 2025 đặt nghĩa vụ bổ sung, tăng cường đối với các lĩnh vực được coi là rủi ro cao:

• Lĩnh vực tài chính, ngân hàng, tín dụng (Điều 27)
• Doanh nghiệp cung cấp dịch vụ mạng xã hội, nền tảng truyền thông trực tuyến (Điều 29)
• Lĩnh vực công nghệ: dữ liệu lớn (Big Data), trí tuệ nhân tạo (AI), blockchain, điện toán đám mây... (Điều 30)

Các yêu cầu chính chung cho các ngành này:

• Xây dựng cơ chế mã hóa dữ liệu và bảo mật ở mức cao hơn (do rủi ro lộ, lọt rất cao)
• Với xử lý bằng AI: bắt buộc phân loại mức độ rủi ro và áp dụng biện pháp bảo vệ theo từng giai đoạn
• Cung cấp cơ chế để người dùng từ chối, quản lý rõ ràng đối với cookie và thông tin theo dõi (Do-not-track, opt-out...)
• Công bố chính sách bảo mật dễ hiểu với người dùng, công khai quy trình xử lý khi xảy ra sự cố

Lưu ý thực tiễn: doanh nghiệp có vốn nước ngoài và doanh nghiệp cung cấp dịch vụ số nhiều trường hợp thuộc các lĩnh vực trên - cần: xác nhận doanh nghiệp mình có thuộc lĩnh vực áp dụng không, rà soát nghĩa vụ theo điều khoản tương ứng; nếu nội bộ không tự xử lý được, xây dựng cơ chế phối hợp với doanh nghiệp bảo mật IT hoặc văn phòng luật sư; rà soát lại chính sách bảo mật, điều khoản sử dụng hiện có cho phù hợp pháp luật Việt Nam. Yêu cầu theo ngành đặc thù không phải khuyến nghị mà là nghĩa vụ pháp lý - không thực hiện có thể chịu chế tài cao hơn hoặc bị đình chỉ hoạt động kinh doanh so với doanh nghiệp thông thường. Trong thời gian tới, bảo vệ dữ liệu cá nhân cần được đặt không đơn thuần là "quản lý thông tin", mà là trọng tâm của quản trị rủi ro chiến lược trong các lĩnh vực AI, điện toán đám mây, fintech, mạng xã hội.

Kết luận: Luật Bảo vệ Dữ liệu Cá nhân 2025 là phép thử về trách nhiệm pháp lý mới và năng lực cạnh tranh

Luật Bảo vệ Dữ liệu Cá nhân là cột mốc cực kỳ quan trọng trong việc thiết lập khung pháp lý bảo vệ thông tin cá nhân trong nền kinh tế số. Với quy định chi tiết, nghiêm ngặt cùng chế tài nặng, mọi doanh nghiệp - đặc biệt doanh nghiệp FDI - cần xây dựng cơ chế tuân thủ ở mức độ cao hơn. Khuyến nghị bắt đầu ngay:

• Rà soát toàn diện quy trình xử lý dữ liệu cá nhân hiện tại
• Nắm rõ mức độ tuân thủ pháp luật hiện tại và đánh giá rủi ro
• Xây dựng cơ chế cần thiết, cập nhật quy chế nội bộ, hợp đồng và tổ chức đào tạo nhân viên

Chuẩn bị chậm trễ không chỉ dẫn đến rủi ro xử phạt hành chính, trách nhiệm hình sự - mà còn có thể mất uy tín, năng lực cạnh tranh trên trường quốc tế. Bảo vệ dữ liệu là vấn đề gắn liền trực tiếp với giá trị doanh nghiệp - đây chính là lúc cần ứng phó thực chất từ góc độ chiến lược và pháp lý.