Luật Bảo vệ Dữ liệu cá nhân 2025: Doanh nghiệp cần làm gì để tránh rủi ro pháp lý trong năm 2026?
Một doanh nghiệp có thể đầu tư hàng tỷ đồng vào hệ thống công nghệ, bảo mật thông tin nhưng vẫn đối mặt với rủi ro pháp lý nếu việc thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân không đáp ứng các yêu cầu của pháp luật.
Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, cùng với Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật, đặt ra những yêu cầu pháp lý cụ thể đối với hoạt động xử lý dữ liệu cá nhân.
Đối với các doanh nghiệp vừa và lớn, đặc biệt là doanh nghiệp có vốn đầu tư nước ngoài (FDI), doanh nghiệp sản xuất, thương mại điện tử, tài chính, công nghệ và các đơn vị quản lý lượng lớn dữ liệu khách hàng, người lao động, bảo vệ dữ liệu cá nhân không còn đơn thuần là vấn đề kỹ thuật hay bảo mật thông tin.
Đây là vấn đề quản trị rủi ro pháp lý, gắn trực tiếp với trách nhiệm của doanh nghiệp, chi phí tuân thủ, khả năng duy trì hoạt động kinh doanh và uy tín trên thị trường.
Vậy doanh nghiệp cần thực hiện những nghĩa vụ nào? Trường hợp nào được miễn trừ hoặc áp dụng quy định chuyển tiếp? Và làm thế nào để xây dựng hệ thống tuân thủ hiệu quả, thay vì chỉ hoàn thiện hồ sơ mang tính hình thức?
1. Rủi ro pháp lý về dữ liệu cá nhân có thể tồn tại ngay trong hoạt động thường ngày của doanh nghiệp
Trên thực tế, hầu hết doanh nghiệp đều xử lý dữ liệu cá nhân dưới nhiều hình thức, kể cả khi không kinh doanh trong lĩnh vực công nghệ.
Một doanh nghiệp sản xuất có thể quản lý hàng nghìn hồ sơ lao động, dữ liệu chấm công, hình ảnh camera và thông tin sức khỏe của người lao động. Một doanh nghiệp bán lẻ có thể thu thập số điện thoại, địa chỉ, lịch sử mua hàng và hành vi tiêu dùng của hàng trăm nghìn khách hàng thông qua hệ thống CRM, website, ứng dụng và chương trình chăm sóc khách hàng. Một doanh nghiệp FDI có thể thường xuyên chuyển thông tin nhân sự, khách hàng hoặc đối tác về hệ thống quản lý tập trung của công ty mẹ ở nước ngoài.
Mục đích kinh doanh hợp pháp không đồng nghĩa với việc mọi hoạt động xử lý dữ liệu đều đương nhiên đáp ứng yêu cầu của pháp luật.
Doanh nghiệp cần trả lời được: Dữ liệu được xử lý trên căn cứ pháp lý nào? Đã thực hiện nghĩa vụ thông báo và lấy sự đồng ý trong những trường hợp bắt buộc hay chưa? Ai được truy cập, chia sẻ dữ liệu? Có chuyển dữ liệu xuyên biên giới không? Bộ phận nào chịu trách nhiệm khi có sự cố hoặc yêu cầu của chủ thể dữ liệu?
Vấn đề đáng lo ngại không chỉ là nguy cơ mất dữ liệu, mà còn là khả năng doanh nghiệp đang xử lý dữ liệu không đúng quy định trong khi hệ thống vẫn vận hành bình thường. Đây là rủi ro khó nhận diện nếu chỉ kiểm tra bảo mật kỹ thuật mà không rà soát quy trình và căn cứ pháp lý.
2. Những nghĩa vụ pháp lý doanh nghiệp cần đặc biệt quan tâm
2.1. Xác định đúng vai trò và trách nhiệm pháp lý trong hoạt động xử lý dữ liệu
Theo khoản 7, 8, 9 và 10 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025, các chủ thể tham gia xử lý dữ liệu được phân định thành bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và bên thứ ba. Việc xác định vai trò quyết định phạm vi trách nhiệm pháp lý của doanh nghiệp.
Doanh nghiệp thuê nhà cung cấp phần mềm quản lý nhân sự không đương nhiên được miễn trách nhiệm đối với dữ liệu người lao động. Ngược lại, nhà cung cấp công nghệ cũng cần xác định rõ phạm vi xử lý, quyền hạn, nghĩa vụ bảo mật và trách nhiệm theo hợp đồng, pháp luật.
Sai lầm thường gặp là chỉ phân định trách nhiệm bằng hợp đồng thương mại mà chưa đánh giá vai trò pháp lý thực tế của từng bên.
2.2. Kiểm soát căn cứ pháp lý, mục đích và phạm vi xử lý dữ liệu
Khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025 yêu cầu hoạt động thu thập, xử lý dữ liệu cá nhân phải đúng phạm vi, mục đích cụ thể, rõ ràng và tuân thủ pháp luật. Điều 9 quy định về sự đồng ý của chủ thể dữ liệu; Điều 19 quy định trường hợp được xử lý dữ liệu mà không cần sự đồng ý.
Thông tin khách hàng được thu thập để thực hiện hợp đồng mua bán không có nghĩa doanh nghiệp được tự do dùng cho quảng cáo, tiếp thị hoặc chuyển cho đối tác. Tương tự, hồ sơ tuyển dụng không mặc nhiên được sử dụng cho mọi mục đích. Tuy nhiên, không phải mọi hoạt động xử lý đều phải xin sự đồng ý nếu thuộc trường hợp pháp luật cho phép.
Doanh nghiệp phải xác định đúng căn cứ pháp lý cho từng hoạt động xử lý và có khả năng chứng minh việc tuân thủ.
2.3. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Không chỉ là thủ tục hành chính
Theo khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân năm 2025, bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm lập, lưu trữ hồ sơ đánh giá tác động và gửi 01 bản chính đến cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu, trừ trường hợp được miễn trừ. Khoản 3 Điều 21 quy định trách nhiệm lập, lưu trữ hồ sơ của bên xử lý dữ liệu theo thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý.
Điều 19 Nghị định số 356/2025/NĐ-CP quy định chi tiết về hồ sơ đánh giá tác động. Hồ sơ phải phản ánh hoạt động thực tế, bao gồm báo cáo đánh giá, hợp đồng hoặc thỏa thuận liên quan và chính sách, quy trình, tài liệu theo quy định.
Khoản 2 Điều 21 Luật quy định việc đánh giá tác động thực hiện một lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22. Điều 20 Nghị định số 356/2025/NĐ-CP hướng dẫn cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Doanh nghiệp cần tránh cả việc không lập hồ sơ khi bắt buộc và lập hồ sơ hình thức, không phản ánh đúng hoạt động xử lý dữ liệu.
2.4. Chuyển dữ liệu cá nhân xuyên biên giới: Rủi ro đặc biệt đối với doanh nghiệp FDI
Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân năm 2025 xác định các trường hợp chuyển dữ liệu cá nhân xuyên biên giới, gồm chuyển dữ liệu đang lưu trữ tại Việt Nam ra hệ thống lưu trữ ở nước ngoài, chuyển cho tổ chức, cá nhân ở nước ngoài hoặc sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam.
Theo khoản 2 Điều 20, tổ chức, cá nhân thực hiện hoạt động chuyển dữ liệu thuộc phạm vi điều chỉnh phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi 01 bản chính đến cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp miễn. Điều 17 và Điều 18 Nghị định số 356/2025/NĐ-CP hướng dẫn cụ thể.
Doanh nghiệp FDI sử dụng hệ thống quản trị tập trung của công ty mẹ, phần mềm nhân sự toàn cầu, CRM hoặc điện toán đám mây nước ngoài cần rà soát theo bản chất xử lý thực tế. Khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP quy định một số trường hợp không phải thực hiện nghĩa vụ lập hồ sơ, bao gồm những hoạt động nhân sự, lưu trữ trên điện toán đám mây đáp ứng điều kiện luật định.
Được miễn hồ sơ đánh giá tác động chuyển dữ liệu không đồng nghĩa với được miễn toàn bộ trách nhiệm bảo vệ dữ liệu cá nhân.
2.5. Thiết lập cơ chế quản trị, bảo vệ dữ liệu và xử lý sự cố
Doanh nghiệp cần thiết lập cơ chế phối hợp giữa pháp chế, nhân sự, công nghệ thông tin và kinh doanh; kiểm soát quyền truy cập, quản lý nhà cung cấp, xử lý yêu cầu của chủ thể dữ liệu và ứng phó sự cố. Tùy quy mô và lĩnh vực, cần xem xét nghĩa vụ về nhân sự, bộ phận hoặc tổ chức bảo vệ dữ liệu theo Điều 33 Luật Bảo vệ dữ liệu cá nhân năm 2025.
3. Quy định chuyển tiếp và miễn trừ: Doanh nghiệp nào được áp dụng?
3.1. Doanh nghiệp đã thực hiện theo Nghị định 13/2023/NĐ-CP có phải làm lại toàn bộ hồ sơ?
Theo khoản 1 Điều 39 Luật Bảo vệ dữ liệu cá nhân năm 2025, hoạt động xử lý dữ liệu đang thực hiện đã được chủ thể dữ liệu đồng ý hoặc theo thỏa thuận phù hợp với Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026 được tiếp tục, không phải xin lại sự đồng ý hoặc thỏa thuận lại chỉ vì Luật mới có hiệu lực.
Khoản 2 Điều 39 quy định hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài đã được cơ quan chuyên trách tiếp nhận trước ngày Luật có hiệu lực tiếp tục được sử dụng, không phải lập lại; việc cập nhật sau ngày 01/01/2026 tuân thủ quy định mới.
Doanh nghiệp đã tuân thủ trước đây nên ưu tiên rà soát và cập nhật hồ sơ hiện có thay vì mặc nhiên lập lại toàn bộ.
3.2. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp
Khoản 2 Điều 38 Luật Bảo vệ dữ liệu cá nhân năm 2025 cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp lựa chọn thực hiện hoặc không thực hiện các nghĩa vụ tại Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm kể từ ngày 01/01/2026. Cơ chế này không áp dụng với doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể dữ liệu.
Điều 41 Nghị định số 356/2025/NĐ-CP xác định ngưỡng số lượng lớn là từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
3.3. Doanh nghiệp siêu nhỏ và hộ kinh doanh
Khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện nghĩa vụ tại Điều 21, Điều 22 và khoản 2 Điều 33, trừ trường hợp ngoại lệ. Điều 41 Nghị định 356/2025/NĐ-CP hướng dẫn áp dụng. Việc miễn một số nghĩa vụ hồ sơ, nhân sự không đồng nghĩa miễn nguyên tắc bảo vệ dữ liệu và trách nhiệm pháp lý khác.
3.4. Doanh nghiệp vừa và lớn
Về nguyên tắc, doanh nghiệp vừa và lớn không thuộc nhóm ưu đãi theo quy mô tại khoản 2 và khoản 3 Điều 38. Tuy nhiên, vẫn cần kiểm tra ngoại lệ theo từng hoạt động cụ thể, đặc biệt đối với chuyển dữ liệu xuyên biên giới theo khoản 6 Điều 20. Việc xác định nghĩa vụ phải dựa đồng thời vào quy mô, loại dữ liệu, mục đích, vai trò và bản chất xử lý.
4. Doanh nghiệp có thể phải đối mặt với những hệ quả pháp lý nào?
Thứ nhất, nguy cơ bị xử phạt và áp dụng các biện pháp xử lý theo quy định pháp luật.
Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định các mức phạt tiền tối đa đặc thù đối với một số nhóm hành vi. Đối với tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa có thể lên tới 5% doanh thu năm trước liền kề, tùy hành vi và quy định áp dụng. Mức phạt đối với hành vi mua bán dữ liệu cá nhân trái phép: tối đa 10 lần khoản thu có được từ hành vi vi phạm (khoản 3 Điều 8). Mức phạt đối với các hành vi vi phạm khác: tối đa 03 tỷ đồng đối với tổ chức (cá nhân bằng 1/2)
Thứ hai, nguy cơ tranh chấp và trách nhiệm bồi thường thiệt hại.
Thu thập, sử dụng hoặc tiết lộ dữ liệu không đúng quy định có thể dẫn đến khiếu nại, tranh chấp từ người lao động, khách hàng và chủ thể liên quan.
Thứ ba, ảnh hưởng hoạt động kinh doanh và quan hệ hợp đồng.
Đối tác quốc tế và các tập đoàn lớn có thể coi năng lực bảo vệ dữ liệu là tiêu chí lựa chọn nhà cung cấp. Thiếu tuân thủ có thể ảnh hưởng đến thẩm định và đàm phán hợp đồng.
Thứ tư, tổn thất uy tín và niềm tin khách hàng.
Sự cố dữ liệu có thể tác động kéo dài tới hình ảnh doanh nghiệp, nhất là tài chính, y tế, thương mại điện tử và dịch vụ số. Chi phí khắc phục hậu quả có thể lớn hơn chi phí phòng ngừa.
5. Ba tình huống thực tiễn doanh nghiệp cần đặc biệt lưu ý
Tình huống 1: Doanh nghiệp FDI sử dụng hệ thống quản lý nhân sự tập trung tại nước ngoài
Một doanh nghiệp sản xuất FDI sử dụng phần mềm nhân sự của tập đoàn để quản lý hiệu suất và tính lương. Cần làm rõ bên quyết định mục đích xử lý, quyền truy cập, địa điểm lưu trữ, bản chất hoạt động chuyển dữ liệu và nghĩa vụ tương ứng.
Giải pháp: Rà soát luồng dữ liệu giữa công ty Việt Nam và tập đoàn, vai trò pháp lý của từng bên, nghĩa vụ hồ sơ và hợp đồng.
Tình huống 2: Doanh nghiệp bán lẻ dùng dữ liệu khách hàng cho marketing
Một doanh nghiệp sử dụng dữ liệu chương trình thành viên để phân nhóm, quảng cáo và chia sẻ cho đối tác triển khai. Cần đánh giá mục đích ban đầu, căn cứ xử lý tiếp theo, cung cấp dữ liệu và quyền của khách hàng.
Giải pháp: Rà soát quy trình thu thập, cơ chế đồng ý khi cần thiết, thông báo và thỏa thuận với các bên xử lý.
Tình huống 3: Doanh nghiệp thuê nhà cung cấp Cloud và CRM
Hợp đồng chỉ quy định chung về bảo mật mà chưa làm rõ phạm vi xử lý, quyền truy cập, nhà thầu phụ và trách nhiệm sự cố, tạo nguy cơ tranh chấp khi có vấn đề.
Giải pháp: Rà soát thỏa thuận xử lý dữ liệu, phân định trách nhiệm và bổ sung cơ chế kiểm soát, thông báo sự cố, xử lý yêu cầu và chấm dứt xử lý.
Lưu ý: Các tình huống trên nhằm minh họa vấn đề pháp lý phổ biến, không phải thông tin về vụ việc hoặc khách hàng cụ thể của Vietlink.
6. Doanh nghiệp cần làm gì ngay trong năm 2026?
Bước 1. Kiểm kê và lập bản đồ hoạt động xử lý dữ liệu
Xác định loại dữ liệu, nguồn, mục đích, bộ phận sử dụng, bên nhận, nơi lưu trữ và thời hạn lưu giữ.
Bước 2. Đánh giá mức độ tuân thủ hiện tại
Rà soát chính sách, quy trình, biểu mẫu, hợp đồng, chuyển dữ liệu, hồ sơ đánh giá tác động và cơ chế đáp ứng quyền chủ thể dữ liệu.
Bước 3. Hoàn thiện hồ sơ và quy định nội bộ
Xây dựng hoặc điều chỉnh tài liệu theo nghĩa vụ thực sự áp dụng, phản ánh đúng mô hình vận hành.
Bước 4. Phân công trách nhiệm và đào tạo
Xác định trách nhiệm pháp chế, nhân sự, IT, kinh doanh, marketing; hướng dẫn nhân viên xử lý dữ liệu đúng phạm vi.
Bước 5. Kiểm tra và cập nhật định kỳ
Đánh giá lại nghĩa vụ khi có sản phẩm, công nghệ, nhà cung cấp, thị trường hoặc mục đích xử lý mới.
Điều doanh nghiệp cần hướng đến không chỉ là hoàn thành hồ sơ tại một thời điểm, mà là cơ chế kiểm soát rủi ro pháp lý vận hành được trong thực tế.
7. Vietlink – Đồng hành cùng doanh nghiệp trong quản trị rủi ro và tuân thủ bảo vệ dữ liệu cá nhân
Công ty Luật TNHH Vietlink tiếp cận bảo vệ dữ liệu cá nhân từ cả yêu cầu tuân thủ pháp luật và nhu cầu kiểm soát rủi ro, bảo đảm hoạt động kinh doanh. Đội ngũ luật sư và chuyên gia pháp lý của Vietlink có kinh nghiệm tư vấn pháp luật doanh nghiệp, hợp đồng, đầu tư, quản trị rủi ro và giải quyết tranh chấp.
Rà soát và đánh giá tuân thủ
Khảo sát hoạt động xử lý, xác định nghĩa vụ, nhận diện rủi ro và đề xuất ưu tiên khắc phục.
Xây dựng và hoàn thiện hồ sơ, chính sách, quy trình
Hỗ trợ hồ sơ đánh giá tác động, chính sách, biểu mẫu và thỏa thuận liên quan theo nghĩa vụ áp dụng.
Tư vấn chuyển dữ liệu xuyên biên giới
Đánh giá mô hình có yếu tố nước ngoài, trách nhiệm các bên và thủ tục liên quan.
Rà soát hợp đồng với nhà cung cấp công nghệ
Tư vấn điều khoản xử lý dữ liệu, bảo mật, trách nhiệm và cơ chế kiểm soát.
Đào tạo pháp lý và nâng cao năng lực tuân thủ
Đào tạo lãnh đạo, pháp chế, nhân sự, IT, kinh doanh và các bộ phận xử lý dữ liệu.
Tư vấn pháp luật thường xuyên
Cập nhật quy định, rà soát thay đổi hoạt động và hỗ trợ giải quyết vấn đề phát sinh.
Trọng tâm tư vấn của Vietlink là nhận diện đúng rủi ro, xác định đúng nghĩa vụ và đề xuất giải pháp phù hợp thực tế doanh nghiệp.
8. Tuân thủ từ sớm là giải pháp bảo vệ doanh nghiệp bền vững
Luật Bảo vệ dữ liệu cá nhân năm 2025 đánh dấu bước phát triển quan trọng của khung pháp lý tại Việt Nam. Thách thức của doanh nghiệp không chỉ là hiểu quy định mà còn là chuyển yêu cầu pháp lý thành chính sách, quy trình và biện pháp kiểm soát phù hợp.
Một doanh nghiệp có hệ thống công nghệ hiện đại chưa chắc có hệ thống tuân thủ đầy đủ. Một doanh nghiệp đã ban hành chính sách bảo vệ dữ liệu cũng chưa chắc kiểm soát được toàn bộ hoạt động xử lý dữ liệu trong thực tế.
Câu hỏi quan trọng đối với Ban lãnh đạo không phải là doanh nghiệp đã có bao nhiêu văn bản, mà là có thể chứng minh hoạt động xử lý dữ liệu phù hợp với pháp luật hay không.
Doanh nghiệp của bạn đã đánh giá đầy đủ rủi ro pháp lý về bảo vệ dữ liệu cá nhân?
Nếu doanh nghiệp gặp khó khăn trong xác định nghĩa vụ, lập hồ sơ đánh giá tác động, kiểm soát chuyển dữ liệu xuyên biên giới hoặc xây dựng hệ thống tuân thủ, rà soát chuyên sâu từ góc độ pháp lý sẽ giúp xác định công việc ưu tiên.
Công ty Luật TNHH Vietlink sẵn sàng trao đổi và tư vấn giải pháp phù hợp với quy mô, lĩnh vực kinh doanh và mô hình xử lý dữ liệu của từng doanh nghiệp.
CÔNG TY LUẬT TNHH VIETLINK
Địa chỉ: Phòng 203, Tòa nhà Giảng Võ Lake View, D10 Giảng Võ, Hà Nội.
Vietlink – Tư vấn pháp lý chuyên sâu, đồng hành cùng doanh nghiệp trong quản trị rủi ro và phát triển bền vững.
================
CÔNG TY LUẬT TNHH VIETLINK
📌 Trụ sở: P203 tòa nhà Giảng Võ Lake View D10, Phường Giảng Võ, Thành phố Hà Nội
📌 Chi nhánh tại TP.HCM: 602, Lầu 6, tòa nhà số 60 đường Nguyễn Văn Thủ, phường Tân Định, Thành phố Hồ Chí Minh
📞 Tổng đài tư vấn trực tiếp 24/7: 0983.509.365
📩 Email: hanoi@vietlinklaw.com
🌐 Website: https://vietlinklaw.vn
🔗 LinkedIn: Vietlink Law Firm
📸 Instagram: vietlink.lawfirm
