2025-07-08 · 26 phút đọc

Toàn cảnh Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam có hiệu lực năm 2025 và những việc doanh nghiệp cần chuẩn bị trong thực tiễn

Luật sư Việt Nam, Đại diện sở hữu công nghiệp

Luật sư điều hành chúng tôi
Luật sư Việt Nam
Hòa giải viên, Quản tài viên, Kiểm soát viên độc lập

Mục lục
01 - Mở rộng phạm vi áp dụng ra nước ngoài: Áp dụng trực tiếp cho cả doanh nghiệp, cá nhân nước ngoài
02 - Mở rộng định nghĩa "dữ liệu cá nhân": Đối tượng bảo vệ không chỉ giới hạn ở thông tin điện tử
03 - Chuyển dữ liệu cá nhân xuyên biên giới: Mở rộng phạm vi áp dụng và đưa vào quy định ngoại lệ
04 - Chế tài đối với vi phạm bảo vệ dữ liệu cá nhân: Bao quát từ xử phạt hành chính, trách nhiệm hình sự đến bồi thường thiệt hại
05 - Văn bản đánh giá tác động về xử lý dữ liệu cá nhân và chuyển dữ liệu xuyên biên giới: Làm rõ nghĩa vụ lập và tần suất cập nhật
06 - Quy định bảo vệ đặc biệt đối với dữ liệu cá nhân trong quan hệ lao động
07 - Bảo vệ dữ liệu cá nhân liên quan đến thông tin sức khỏe: Bắt buộc phải có sự đồng ý và quản lý đặc biệt
08 - Nghĩa vụ chỉ định bộ phận, nhân sự phụ trách bảo vệ dữ liệu cá nhân: Áp dụng cho mọi tổ chức
09 - Cơ chế miễn trừ, gia hạn nghĩa vụ đối với doanh nghiệp nhỏ, startup (Điều 38)
10 - Quy định đặc thù về bảo vệ dữ liệu cá nhân trong một số lĩnh vực: tài chính, mạng xã hội, AI, blockchain, v.v. (Điều 27-30)

Bài viết được luật sư người Việt Nam giải thích chi tiết về Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam có hiệu lực từ năm 2026. Bài viết hệ thống hóa dễ hiểu 10 điểm sửa đổi quan trọng mà doanh nghiệp Nhật Bản cần xác nhận ngay, cùng cách xử lý thực tiễn, bao gồm việc mở rộng phạm vi áp dụng đối với doanh nghiệp nước ngoài, quy tắc mới về chuyển dữ liệu xuyên biên giới, nghĩa vụ lập văn bản đánh giá tác động, tăng cường bảo vệ dữ liệu lao động và sức khỏe. Mức phạt khi vi phạm cũng cực kỳ nghiêm trọng, lên tới 3.000.000.000 VND. Chúng tôi có nhiều kinh nghiệm hỗ trợ doanh nghiệp Nhật Bản xây dựng cơ chế tuân thủ tại Việt Nam, soạn thảo quy chế bảo vệ dữ liệu, xây dựng cơ chế tiếp nhận khiếu nại nội bộ, hỗ trợ chỉ định DPO (người phụ trách bảo vệ dữ liệu), hỗ trợ toàn diện cả về pháp lý lẫn thực tiễn cho việc chuẩn bị chuyển đổi sang luật mới năm 2025.

Ngày 26/6/2025, Quốc hội Việt Nam đã thông qua "Luật Bảo vệ Dữ liệu Cá nhân" (Luật Bảo vệ Dữ liệu Cá nhân). Luật này chính thức có hiệu lực từ ngày 1/1/2026, thay thế cho "Nghị định số 13/2023/NĐ-CP" trước đây, trở thành khung pháp lý toàn diện điều chỉnh việc thu thập, sử dụng, quản lý, chia sẻ thông tin cá nhân tại Việt Nam.

Bài viết này hệ thống hóa những khác biệt giữa luật mới và nghị định cũ, đồng thời giải thích những điểm mà doanh nghiệp có vốn đầu tư nước ngoài cần đặc biệt lưu ý cùng định hướng xử lý thực tiễn.

01 - Mở rộng phạm vi áp dụng ra nước ngoài: Áp dụng trực tiếp cho cả doanh nghiệp, cá nhân nước ngoài

Luật Bảo vệ Dữ liệu Cá nhân 2025 quy định rõ luật này áp dụng không chỉ đối với cơ quan, tổ chức, cá nhân trong nước, mà cả đối với doanh nghiệp, cá nhân nước ngoài. Đây là quy định nhằm tăng cường bảo vệ dữ liệu trong nước, đồng thời phù hợp với thực tế hiện nay khi việc giao dịch dữ liệu xuyên biên giới và sử dụng điện toán đám mây ngày càng phổ biến.

Tổ chức, cá nhân nước ngoài nào thuộc đối tượng áp dụng?

Cơ quan, doanh nghiệp, cá nhân nước ngoài đáp ứng một trong các điều kiện sau đây sẽ thuộc phạm vi áp dụng của luật này, dù không có trụ sở tại Việt Nam.

Trực tiếp tham gia xử lý dữ liệu cá nhân của cá nhân mang quốc tịch Việt Nam
(Ví dụ: pháp nhân Nhật Bản xử lý dữ liệu của nhân viên mang quốc tịch Việt Nam tại trụ sở chính ở Nhật Bản)
Tham gia xử lý dữ liệu cá nhân của "người gốc Việt" đang cư trú tại Việt Nam, chưa xác định quốc tịch nhưng đã được cấp giấy tờ tùy thân

02 - Mở rộng định nghĩa "dữ liệu cá nhân": Đối tượng bảo vệ không chỉ giới hạn ở thông tin điện tử

Luật năm 2025 định nghĩa "dữ liệu cá nhân" như sau (Khoản 1 Điều 2).

"Dữ liệu số hoặc thông tin dưới hình thức khác giúp nhận dạng hoặc hỗ trợ nhận dạng một cá nhân cụ thể"

Như vậy, không chỉ dữ liệu điện tử đơn thuần (tệp điện tử, dữ liệu trên đám mây, v.v.), mà cả thông tin cá nhân chứa trong tài liệu giấy, bản ghi âm, hình ảnh, phương tiện lưu trữ vật lý hoặc dữ liệu dưới hình thức chưa xác định cũng đều được hiểu là thuộc đối tượng bảo vệ.

03 - Chuyển dữ liệu cá nhân xuyên biên giới: Mở rộng phạm vi áp dụng và đưa vào quy định ngoại lệ

1. Luật Bảo vệ Dữ liệu Cá nhân 2025 đã thay thế cách diễn đạt trước đây là "chuyển dữ liệu cá nhân ra nước ngoài" (Chuyển dữ liệu cá nhân ra nước ngoài) bằng khái niệm rộng hơn là "chuyển dữ liệu cá nhân xuyên biên giới" (Chuyển dữ liệu cá nhân xuyên biên giới).

2. Nghị định số 13 giới hạn đối tượng chuyển ra nước ngoài chỉ ở "dữ liệu cá nhân của công dân Việt Nam", theo đó việc chuyển dữ liệu của người nước ngoài ra nước ngoài không chịu sự điều chỉnh của các nghĩa vụ như lập văn bản đánh giá. Tuy nhiên, Luật Bảo vệ Dữ liệu Cá nhân 2025 đã bỏ cụm từ "công dân Việt Nam", quy định mọi "dữ liệu cá nhân" đều thuộc đối tượng bảo vệ (Khoản 1 Điều 20). Theo đó, ngay cả khi chuyển dữ liệu của người nước ngoài đang cư trú tại Việt Nam ra nước ngoài, doanh nghiệp cũng phát sinh nghĩa vụ lập văn bản đánh giá tác động, v.v.

Ví dụ, trường hợp pháp nhân tại Việt Nam tuyển dụng nhân viên nước ngoài và gửi thông tin cá nhân của người này về trụ sở chính (ở nước ngoài), việc này được coi là "chuyển dữ liệu xuyên biên giới" và phải nộp văn bản đánh giá tác động.

3. Quy định ngoại lệ đối với nghĩa vụ đánh giá (Khoản 6 Điều 20)

Luật Bảo vệ Dữ liệu Cá nhân 2025 quy định rõ một số trường hợp được miễn nghĩa vụ nộp văn bản đánh giá khi đáp ứng những điều kiện nhất định. Các trường hợp tiêu biểu bao gồm:

Trường hợp lưu trữ dữ liệu nhân viên của công ty trên dịch vụ đám mây (Google Cloud, Microsoft Azure, AWS, v.v.)
Trường hợp chủ thể dữ liệu tự mình gửi dữ liệu cá nhân ra nước ngoài theo ý chí của bản thân

Các ngoại lệ này được xem là sự cân nhắc đối với những trường hợp phổ biến trên thực tiễn, theo đó việc sử dụng dịch vụ đám mây hoặc việc chủ thể tự gửi dữ liệu sẽ không phát sinh nghĩa vụ lập văn bản đánh giá.

Lưu ý thực tiễn

Tuy nhiên, các điều kiện áp dụng cụ thể và quy trình thực hiện của quy định ngoại lệ này sẽ được quy định chi tiết tại các nghị định, thông tư hướng dẫn ban hành trong thời gian tới. Đặc biệt, đối với doanh nghiệp có vốn nước ngoài và doanh nghiệp Nhật Bản có hoạt động toàn cầu, do việc sử dụng môi trường đám mây và trao đổi dữ liệu với công ty mẹ diễn ra thường xuyên, cần tiếp tục theo dõi sát diễn biến của pháp luật.

04 - Chế tài đối với vi phạm bảo vệ dữ liệu cá nhân: Bao quát từ xử phạt hành chính, trách nhiệm hình sự đến bồi thường thiệt hại

Tại Nghị định số 13, các hình thức xử lý đối với vi phạm bảo vệ dữ liệu cá nhân như "kỷ luật, xử phạt hành chính, truy cứu trách nhiệm hình sự" đã được quy định, nhưng chưa nêu rõ hành vi vi phạm cụ thể cũng như mức chế tài (Điều 4).

Luật Bảo vệ Dữ liệu Cá nhân 2025 đã làm rõ điểm này, quy định rõ trong văn bản luật ba hình thức xử lý sau đây:

① Xử phạt hành chính

② Trách nhiệm hình sự (truy tố theo Bộ luật Hình sự)

③ Trách nhiệm bồi thường thiệt hại dân sự (theo Bộ luật Dân sự)

Ngoài ra, nội dung chế tài cụ thể áp dụng đối với từng hành vi vi phạm sẽ được quy định tại các nghị định, thông tư ban hành trong thời gian tới.

Mức phạt tối đa, tối thiểu trong xử phạt hành chính cũng đã được quy định rõ (Điều 8)

Điểm đặc biệt đáng chú ý là mức phạt tối thiểu và tối đa đối với xử phạt hành chính đã được quy định rõ trong luật. Nhờ đó, cách áp dụng mơ hồ như trước đây được loại bỏ, kỳ vọng sẽ nâng cao tính minh bạch và khả năng dự đoán trước về chế tài đối với doanh nghiệp và cá nhân.

Ví dụ:

Cung cấp dữ liệu cho bên thứ ba mà không có sự đồng ý của chủ thể dữ liệu
Không thực hiện biện pháp bảo vệ, dẫn đến để lộ, lọt dữ liệu cá nhân
Không nộp văn bản đánh giá chuyển dữ liệu xuyên biên giới hoặc báo cáo sai sự thật

Đối với những vi phạm nghiêm trọng như trên, chắc chắn sẽ bị áp dụng mức phạt từ một số tiền nhất định trở lên.

Đối với doanh nghiệp, điều này có nghĩa là "dù cố ý hay vô ý, bản thân việc chưa xây dựng cơ chế quản lý phù hợp cũng đã bị coi là rủi ro". Việc xây dựng nội quy công ty và đào tạo nhân viên không còn đơn thuần là biện pháp phòng ngừa, mà cần được coi là thời điểm phải tái xây dựng như một nghĩa vụ tuân thủ pháp luật.

Căn cứ Luật Bảo vệ Dữ liệu Cá nhân 2025, việc xử lý vi phạm bảo vệ dữ liệu cá nhân được thể chế hóa thông qua ba biện pháp pháp lý sau đây:

① Truy cứu trách nhiệm hình sự

Đối với hành vi vi phạm nghiêm trọng, có thể bị truy tố hình sự (ví dụ: cố ý mua bán thông tin, để lộ lọt dữ liệu quy mô lớn, v.v.).

② Bồi thường thiệt hại

Trường hợp chủ thể dữ liệu bị thiệt hại, sẽ phát sinh trách nhiệm bồi thường bằng tiền theo quy định của pháp luật dân sự.

③ Xử phạt hành chính

Tùy theo nội dung hành vi vi phạm, mức phạt tiền được áp dụng như sau:

Hành vi vi phạm

Khung phạt tiền

Mua bán dữ liệu cá nhân

Tối thiểu 3.000.000.000 VND, tối đa gấp 10 lần khoản thu lợi bất hợp pháp

Vi phạm liên quan đến chuyển dữ liệu xuyên biên giới

Tối thiểu 3.000.000.000 VND, tối đa 5% doanh thu năm trước

Các hành vi vi phạm khác

Phạt tiền tối đa đến 3.000.000.000 VND

Như vậy, nội dung xử lý được phân định rõ theo từng loại vi phạm, và điểm đặc trưng là hệ thống chế tài mạnh mẽ chưa từng có trong lịch sử pháp luật Việt Nam đã được thiết lập.

05 - Văn bản đánh giá tác động về xử lý dữ liệu cá nhân và chuyển dữ liệu xuyên biên giới: Làm rõ nghĩa vụ lập và tần suất cập nhật

Luật Bảo vệ Dữ liệu Cá nhân 2025 đã hoàn thiện các quy tắc về việc lập, cập nhật "văn bản đánh giá tác động (DPIA)" nhằm làm rõ trách nhiệm bảo vệ dữ liệu của doanh nghiệp.

① Lần nộp đầu tiên chỉ cần thực hiện một lần là đủ

② Theo quy định tại Điều 20 và Điều 21, các văn bản đánh giá sau đây chỉ cần lập một lần duy nhất vào thời điểm doanh nghiệp thành lập, bắt đầu hoạt động:

Văn bản đánh giá tác động về xử lý dữ liệu cá nhân
Văn bản đánh giá tác động về chuyển dữ liệu cá nhân xuyên biên giới

③ Trường hợp phát sinh nghĩa vụ cập nhật định kỳ 6 tháng một lần

Tại Nghị định số 13, có những quy định về tần suất cập nhật, báo cáo văn bản đánh giá chưa rõ ràng hoặc khó thực hiện trên thực tế (ví dụ: nghĩa vụ cập nhật trong vòng 10 ngày).
Để khắc phục điều này, luật mới (Điều 22) quy định nghĩa vụ cập nhật văn bản đánh giá trong các trường hợp sau đây:
Định kỳ cập nhật 6 tháng một lần (nếu có thay đổi)
Cập nhật ngay khi phát sinh những thay đổi quan trọng như sau:
Tái cơ cấu tổ chức, sáp nhập hoặc chia tách doanh nghiệp
Thay đổi nhà cung cấp dịch vụ liên quan đến bảo vệ dữ liệu
Thay đổi phạm vi xử lý dữ liệu liên quan đến ngành nghề, sản phẩm, dịch vụ kinh doanh đã đăng ký

Như vậy, việc cập nhật văn bản đánh giá không phải là nghĩa vụ mang tính hình thức, mà cần được coi là một phần thực chất của việc xây dựng cơ chế và tuân thủ pháp luật.

Lưu ý thực tiễn và rủi ro vi phạm

Trường hợp doanh nghiệp bỏ sót những thay đổi nêu trên và không cập nhật văn bản đánh giá, khi thanh tra hành chính có thể bị coi là "chưa hoàn thiện văn bản đánh giá" và trở thành đối tượng bị xử phạt, nhắc nhở, đình chỉ hoạt động tạm thời, v.v.

Do đó, doanh nghiệp cần:

Xây dựng quy trình nội bộ để thu thập thông tin thay đổi từ các bộ phận
Tăng cường cơ chế phối hợp giữa bộ phận IT và pháp chế để nắm bắt các thay đổi về dịch vụ bên ngoài, hệ thống
Khi cần thiết, tham khảo ý kiến luật sư, chuyên gia tư vấn để rà soát lại văn bản đánh giá thường xuyên

Thông qua các biện pháp như trên, doanh nghiệp cần xây dựng cơ chế bảo vệ dữ liệu một cách có kế hoạch và liên tục.

06 - Quy định bảo vệ đặc biệt đối với dữ liệu cá nhân trong quan hệ lao động

Luật Bảo vệ Dữ liệu Cá nhân 2025 (Điều 25) lần đầu tiên đưa ra quy định rõ ràng về việc xử lý dữ liệu cá nhân liên quan đến hoạt động tuyển dụng và thực hiện hợp đồng lao động. Theo điều khoản này, người sử dụng lao động (pháp nhân, cá nhân kinh doanh) cần lưu ý các điểm sau đây.

[Nội dung nghĩa vụ chính]

Thông tin được phép thu thập giới hạn trong phạm vi cần thiết cho mục đích tuyển dụng, và thông tin đã thu thập không được sử dụng ngoài mục đích tuyển dụng hoặc mục đích khác đã được đồng ý
Dữ liệu cá nhân của ứng viên không trúng tuyển phải bị xóa (trừ trường hợp có sự đồng ý rõ ràng)
Khi hợp đồng lao động chấm dứt, phải xóa dữ liệu cá nhân của người lao động (trừ trường hợp có thỏa thuận riêng hoặc pháp luật quy định nghĩa vụ lưu trữ)

Rủi ro vi phạm thường gặp trên thực tiễn

Trong hoạt động thực tế của doanh nghiệp, thường thấy các hành vi sau đây, và những hành vi này có khả năng cao sẽ bị coi là vi phạm pháp luật trong thời gian tới:

Thu thập, lưu trữ thông tin riêng tư như tài khoản mạng xã hội (Facebook, Instagram, v.v.) khi tuyển dụng
Tự ý lưu giữ thông tin của ứng viên không trúng tuyển với tư cách "ứng viên tiềm năng trong tương lai" theo quyết định đơn phương của doanh nghiệp
Tiếp tục lưu giữ thông tin cá nhân của người lao động đã nghỉ việc trong nội bộ công ty mà không có sự đồng ý rõ ràng hay căn cứ lưu trữ

Các thông lệ này, nếu không có sự đồng ý của chủ thể dữ liệu, sẽ bị coi là sử dụng và lưu trữ dữ liệu cá nhân ngoài mục đích, có thể trở thành đối tượng bị xử phạt hành chính.

Biện pháp khuyến nghị: Rà soát cơ chế nội bộ và hoàn thiện văn bản

Để xây dựng cơ chế tuân thủ, doanh nghiệp cần thực hiện các biện pháp quan trọng sau đây.

Rà soát toàn bộ quy trình tuyển dụng, lao động (tuyển mộ, phỏng vấn, ký hợp đồng lao động, nghỉ việc)
Lấy văn bản đồng ý trước của ứng viên về việc xử lý thông tin cá nhân
Quy định rõ bằng văn bản trong hợp đồng lao động về quy tắc lưu trữ, xóa dữ liệu
Xây dựng quy chế nội bộ về xử lý dữ liệu của người đã nghỉ việc (thời hạn lưu trữ dữ liệu, thủ tục xóa, v.v.)

Nếu bỏ qua việc xây dựng các quy định này, khi chẳng may xảy ra sự cố lộ, lọt dữ liệu, doanh nghiệp có thể phải gánh chịu trách nhiệm pháp lý nghiêm trọng cũng như rủi ro tổn hại uy tín (reputational damage).

07 - Bảo vệ dữ liệu cá nhân liên quan đến thông tin sức khỏe: Bắt buộc phải có sự đồng ý và quản lý đặc biệt

Điều 26 Luật Bảo vệ Dữ liệu Cá nhân 2025 đã đưa ra quy định bảo vệ đặc biệt mới đối với thông tin sức khỏe. Đây là điểm mới chưa từng có trong Nghị định số 13 trước đây.

Theo quy định này, khi xử lý các thông tin như tình trạng sức khỏe, hồ sơ chẩn đoán, giấy khám sức khỏe của cá nhân, doanh nghiệp phát sinh các nghĩa vụ sau đây:

Bắt buộc phải có sự đồng ý rõ ràng của chủ thể dữ liệu
Đồng thời, do thông tin này thuộc "dữ liệu cá nhân nhạy cảm", doanh nghiệp cần thực hiện các biện pháp bảo vệ nghiêm ngặt hơn so với dữ liệu cá nhân thông thường

7.1. Ảnh hưởng đến thực tiễn của doanh nghiệp có vốn nước ngoài và doanh nghiệp nói chung là gì?

Điều khoản này liên quan mật thiết đến việc xử lý thông tin sức khỏe mà doanh nghiệp thực hiện trong quá trình tuyển dụng, quản lý, đánh giá người lao động, ví dụ như sau đây.

① Giấy khám sức khỏe yêu cầu nộp khi tuyển dụng

② Kết quả khám sức khỏe định kỳ trong thời gian làm việc

③ Hồ sơ trao đổi với bác sĩ chuyên trách hoặc hồ sơ liên quan đến sức khỏe tâm thần

Các thông tin này được coi là "thông tin nhạy cảm" theo quy định pháp luật, do đó doanh nghiệp cần xây dựng cơ chế quản lý nghiêm ngặt trong tất cả các giai đoạn thu thập, lưu trữ, chia sẻ.

7.2. Cách lấy sự đồng ý và những điểm lưu ý thực tiễn

Nên lấy sự đồng ý từ chính người lao động theo một trong các phương thức sau đây:

① Lập văn bản đồng ý riêng về việc xử lý thông tin sức khỏe và lấy chữ ký

② Hoặc lồng ghép nội dung đồng ý rõ ràng trong hợp đồng lao động hoặc hợp đồng thử việc

Trong cả hai trường hợp, cần ghi cụ thể mục đích sử dụng thông tin, thời hạn lưu trữ, có hay không việc cung cấp cho bên thứ ba.

7.3. Cần thiết phải tăng cường các biện pháp bảo mật kỹ thuật và tổ chức

Do dữ liệu sức khỏe nếu bị lộ, lọt ra bên ngoài sẽ có nguy cơ cao dẫn đến xâm phạm nghiêm trọng quyền riêng tư và làm mất uy tín của doanh nghiệp, doanh nghiệp cần áp dụng các biện pháp mang tính chuyên sâu như sau đây.

08 - Nghĩa vụ chỉ định bộ phận, nhân sự phụ trách bảo vệ dữ liệu cá nhân: Áp dụng cho mọi tổ chức

Tại Nghị định số 13, chỉ yêu cầu bố trí bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân trong trường hợp "xử lý dữ liệu nhạy cảm". Ngoài ra, không có quy định cụ thể về tiêu chuẩn, năng lực yêu cầu đối với người phụ trách (Điều 28, Điều 30).

Ngược lại, Luật Bảo vệ Dữ liệu Cá nhân 2025 (Khoản 2 Điều 33) quy định mọi doanh nghiệp, tổ chức đều bắt buộc phải bố trí nhân sự, bộ phận phụ trách bảo vệ dữ liệu cá nhân.

Cụ thể:

"Tổ chức phải chỉ định nhân sự hoặc bộ phận có đủ năng lực về bảo vệ dữ liệu cá nhân, hoặc thuê ngoài đơn vị chuyên nghiệp."

Áp dụng cho mọi tổ chức, bất kể loại dữ liệu xử lý

Theo điều khoản này, ngay cả tổ chức chỉ xử lý dữ liệu cá nhân cơ bản cũng bắt buộc phải xây dựng cơ chế bảo vệ.

Bất kể có xử lý dữ liệu nhạy cảm hay không, tổ chức đều phải chỉ định nhân sự, bộ phận nội bộ phụ trách, hoặc thuê ngoài đơn vị chuyên trách.

Yêu cầu cụ thể về "năng lực đầy đủ" sẽ được quy định trong nghị định sắp tới

Hiện tại, chưa có quy định pháp luật rõ ràng về năng lực, kinh nghiệm, chứng chỉ cần có của người được chỉ định. Do đó, doanh nghiệp cần theo dõi các thông tư, nghị định sắp ban hành, đồng thời cân nhắc các phương án sau đây.

Chỉ định nội bộ: lựa chọn từ các bộ phận pháp chế, nhân sự, IT hiện có
Thuê ngoài: thuê đơn vị bên ngoài có kiến thức chuyên môn và kinh nghiệm thực tiễn

Lời khuyên thực tiễn khi lựa chọn phương án thuê ngoài

Đặc biệt, đối với doanh nghiệp Nhật Bản và doanh nghiệp có vốn nước ngoài, do có trường hợp khó bảo đảm nhân sự nội bộ am hiểu pháp luật Việt Nam, nên khuyến nghị sử dụng đối tác bên ngoài đáp ứng các điều kiện sau đây:

Có kinh nghiệm thực tế về quản lý thông tin cá nhân tại Việt Nam
Có thế mạnh cả về hạ tầng IT lẫn pháp lý
Có khả năng hỗ trợ ứng phó với cơ quan nhà nước như kiểm toán, báo cáo

Qua lần sửa đổi này, có thể thấy rõ việc bảo vệ dữ liệu cá nhân không còn là một phần của "bảo mật IT" hay "hành chính tổng hợp", mà đã trở thành một vấn đề quản trị doanh nghiệp đi kèm trách nhiệm pháp lý. Doanh nghiệp cần đồng thời bố trí nguồn nhân lực và xây dựng nội quy, quy trình ứng phó.

09 - Cơ chế miễn trừ, gia hạn nghĩa vụ đối với doanh nghiệp nhỏ, startup (Điều 38)

Luật Bảo vệ Dữ liệu Cá nhân 2025 đưa ra cơ chế miễn trừ hoặc gia hạn đối với một số nghĩa vụ bảo vệ dữ liệu cá nhân dành cho một số doanh nghiệp nhỏ, startup (Điều 38).

Cụ thể, trong một khoảng thời gian nhất định là 5 năm kể từ ngày luật có hiệu lực, các nghĩa vụ sau đây có thể được miễn trừ hoặc gia hạn:

Nghĩa vụ lập văn bản đánh giá tác động về xử lý dữ liệu cá nhân
Nghĩa vụ báo cáo, thông báo đánh giá liên quan đến chuyển dữ liệu xuyên biên giới
Nghĩa vụ chỉ định người phụ trách bảo vệ dữ liệu
Việc cập nhật định kỳ văn bản đánh giá và nộp cho cơ quan có thẩm quyền

Quy định này được cho là biện pháp nhằm giảm bớt gánh nặng pháp lý cho doanh nghiệp mới thành lập, doanh nghiệp vừa và nhỏ, đồng thời bảo đảm thời gian chuyển tiếp để áp dụng cơ chế tuân thủ.

Tuy nhiên, định nghĩa về doanh nghiệp thuộc đối tượng áp dụng vẫn chưa được xác định

Tính đến thời điểm hiện tại (tháng 7/2025), văn bản luật chưa quy định rõ định nghĩa về "doanh nghiệp nhỏ", "doanh nghiệp siêu nhỏ", "startup", và cũng chưa rõ "số lượng lớn chủ thể dữ liệu" cụ thể là ở quy mô nào.

Do đó, để xác định chính xác doanh nghiệp mình có thuộc đối tượng được miễn trừ hoặc gia hạn hay không, cần theo dõi sát các nghị định, thông tư (văn bản hướng dẫn) sẽ được ban hành trong thời gian tới.

Như vậy, Điều 38 là điều khoản quan trọng, giúp cân bằng giữa việc "giảm nhẹ gánh nặng pháp lý" và "tuân thủ pháp luật theo từng giai đoạn" đối với startup và doanh nghiệp vừa và nhỏ tại Việt Nam. Doanh nghiệp cần chuẩn bị cơ chế một cách từng bước và có kế hoạch, để sẵn sàng cho việc mở rộng phạm vi áp dụng trong tương lai.

10 - Quy định đặc thù về bảo vệ dữ liệu cá nhân trong một số lĩnh vực: tài chính, mạng xã hội, AI, blockchain, v.v. (Điều 27-30)

Ngoài các quy định chung áp dụng cho mọi doanh nghiệp, tổ chức, Luật Bảo vệ Dữ liệu Cá nhân 2025 còn đặt ra các nghĩa vụ bổ sung, tăng cường đối với một số lĩnh vực được coi là có rủi ro cao.

Các lĩnh vực thuộc đối tượng áp dụng bao gồm:

Lĩnh vực tài chính, ngân hàng, tín dụng (Điều 27)
Doanh nghiệp cung cấp dịch vụ mạng xã hội, nền tảng truyền thông trực tuyến (Điều 29)
Lĩnh vực công nghệ như dữ liệu lớn (Big Data), trí tuệ nhân tạo (AI), blockchain, điện toán đám mây, v.v. (Điều 30)

Ví dụ về nghĩa vụ bổ sung theo từng ngành

Các yêu cầu chính chung cho các ngành này bao gồm:

Xây dựng cơ chế mã hóa dữ liệu và bảo mật ở mức cao hơn (do rủi ro lộ, lọt thông tin rất cao)
Đối với việc xử lý bằng AI, bắt buộc phải phân loại mức độ rủi ro và áp dụng biện pháp bảo vệ theo từng giai đoạn
Cung cấp cơ chế để người dùng có thể từ chối, quản lý rõ ràng đối với cookie và thông tin theo dõi (Do-not-track, opt-out, v.v.)
Công bố chính sách bảo mật dễ hiểu đối với người dùng, và công khai quy trình xử lý khi xảy ra sự cố

Lưu ý thực tiễn và khuyến nghị

Đặc biệt, đối với doanh nghiệp có vốn nước ngoài và doanh nghiệp cung cấp dịch vụ số, nhiều trường hợp thuộc các lĩnh vực nêu trên, do đó cần chuẩn bị những việc sau đây:

Xác nhận doanh nghiệp mình có thuộc lĩnh vực áp dụng hay không, rà soát các nghĩa vụ theo điều khoản tương ứng
Trường hợp nội bộ không thể tự xử lý, xây dựng cơ chế phối hợp với doanh nghiệp bảo mật IT hoặc văn phòng luật sư
Rà soát lại chính sách bảo mật, điều khoản sử dụng hiện có cho phù hợp với pháp luật Việt Nam

Yêu cầu áp dụng cho các ngành nghề đặc thù không đơn thuần là khuyến nghị, mà là nghĩa vụ pháp lý; nếu không thực hiện, có thể phải chịu chế tài cao hơn, hoặc bị đình chỉ hoạt động kinh doanh so với doanh nghiệp thông thường.

Trong thời gian tới, doanh nghiệp cần đặt việc bảo vệ dữ liệu cá nhân không đơn thuần là "quản lý thông tin", mà là trọng tâm của quản trị rủi ro chiến lược trong các lĩnh vực AI, điện toán đám mây, fintech, mạng xã hội.

Kết luận: Luật Bảo vệ Dữ liệu Cá nhân 2025 là phép thử về trách nhiệm pháp lý mới và năng lực cạnh tranh đối với doanh nghiệp

Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam có hiệu lực năm 2025 là một cột mốc cực kỳ quan trọng trong việc thiết lập khung pháp lý bảo vệ thông tin cá nhân trong nền kinh tế số.

Với những quy định chi tiết, nghiêm ngặt cùng chế tài nặng đi kèm, mọi doanh nghiệp - đặc biệt là doanh nghiệp có vốn đầu tư nước ngoài (FDI) - sẽ cần xây dựng cơ chế tuân thủ ở mức độ cao hơn.

Do đó, doanh nghiệp được khuyến nghị bắt đầu ngay các hành động sau đây:

Rà soát toàn diện quy trình xử lý dữ liệu cá nhân hiện tại
Nắm rõ mức độ tuân thủ pháp luật hiện tại và đánh giá rủi ro
Xây dựng cơ chế cần thiết, cập nhật quy chế nội bộ, hợp đồng và tổ chức đào tạo nhân viên

Việc chuẩn bị chậm trễ không chỉ dẫn đến rủi ro xử phạt hành chính, trách nhiệm hình sự, mà còn có thể dẫn đến mất uy tín, năng lực cạnh tranh trên trường quốc tế. Bảo vệ dữ liệu là vấn đề gắn liền trực tiếp với giá trị doanh nghiệp. Đây chính là lúc cần có sự ứng phó thực chất từ góc độ chiến lược và pháp lý.