Ngày 26/6/2025, Quốc hội khoá XV thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, gồm 5 chương và 39 điều, có hiệu lực từ ngày 01/01/2026. Cùng ngày luật có hiệu lực, Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành cũng bắt đầu áp dụng, thay thế Nghị định 13/2023/NĐ-CP vốn là văn bản duy nhất điều chỉnh lĩnh vực này suốt gần ba năm.

Khác biệt lớn nhất giữa hai giai đoạn không nằm ở số lượng nghĩa vụ, mà ở chỗ nghĩa vụ nay đi kèm chế tài. Trước đây, phần lớn doanh nghiệp coi bảo vệ dữ liệu cá nhân là việc của bộ phận pháp chế, xử lý khi có sự vụ. Từ 2026, đây là một hệ thống quản trị phải vận hành thường xuyên, có người chịu trách nhiệm, có hồ sơ chứng minh và có thanh tra.

Bốn thay đổi doanh nghiệp cần nắm

1. Sự im lặng không còn là đồng ý

Luật khẳng định nguyên tắc chủ thể dữ liệu phải thể hiện ý chí rõ ràng. Việc mặc định tích sẵn ô đồng ý, hay suy diễn sự đồng ý từ việc người dùng tiếp tục sử dụng dịch vụ, không còn được chấp nhận. Doanh nghiệp phải lưu giữ được bằng chứng về sự đồng ý: đồng ý cho mục đích nào, vào thời điểm nào, và đã rút lại hay chưa.

2. Thông báo sự cố trong 72 giờ

Khi xảy ra vi phạm có khả năng gây tổn hại, tổ chức phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất trong vòng 72 giờ. Thời hạn này tính từ khi phát hiện sự cố, không phải từ khi điều tra xong. Thực tế triển khai cho thấy phần lớn doanh nghiệp Việt Nam chưa có quy trình phát hiện và phân loại sự cố đủ nhanh để đáp ứng mốc này.

3. Phải có người chịu trách nhiệm, và người đó phải đủ năng lực

Nghị định 356/2025 yêu cầu tổ chức chỉ định bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân, với tiêu chuẩn tối thiểu hai năm kinh nghiệm trong lĩnh vực pháp luật, công nghệ thông tin, an ninh mạng hoặc nhân sự, cùng chứng nhận đào tạo về bảo vệ dữ liệu. Đây là điểm nhiều doanh nghiệp bỏ sót: luật không chỉ yêu cầu có người, mà yêu cầu người đó có hồ sơ năng lực tương ứng.

4. Hồ sơ đánh giá tác động là tài liệu sống

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài đều phải lập theo biểu mẫu mới và gửi Bộ Công an. Quan trọng hơn, hai hồ sơ này phải được cập nhật định kỳ sáu tháng một lần khi phát sinh mục đích xử lý mới hoặc thay đổi bên tham gia, và cập nhật trong vòng mười ngày khi doanh nghiệp tái cơ cấu, ngừng hoạt động, đổi nhà cung cấp dịch vụ hoặc thay đổi phạm vi kinh doanh.

Mức chế tài

Đây là phần khiến đạo luật này khác hẳn giai đoạn trước.

Mức phạt tính theo phần trăm doanh thu là điểm đáng lưu ý nhất. Với một doanh nghiệp doanh thu vài nghìn tỷ đồng, 5% doanh thu năm liền trước là con số vượt xa mọi khoản đầu tư cần thiết để tuân thủ. Đây chính là logic mà các cơ quan lập pháp trên thế giới đã dùng để buộc doanh nghiệp chuyển từ thái độ chịu phạt sang thái độ đầu tư phòng ngừa.

Việc cần làm trong quý tới

• Lập bản đồ dữ liệu. Liệt kê toàn bộ loại dữ liệu cá nhân đang thu thập, hệ thống nào lưu trữ, ai truy cập được, chia sẻ với bên thứ ba nào. Không có bản đồ này thì không thể lập hồ sơ đánh giá tác động.
• Rà soát cơ sở pháp lý cho từng luồng xử lý. Mỗi mục đích sử dụng dữ liệu cần một cơ sở rõ ràng, và sự đồng ý phải lưu được bằng chứng.
• Chỉ định và đào tạo nhân sự phụ trách. Kèm hồ sơ năng lực đáp ứng tiêu chuẩn của Nghị định 356/2025.
• Xây quy trình phát hiện và thông báo sự cố. Diễn tập ít nhất một lần để kiểm chứng mốc 72 giờ là khả thi.
• Rà soát các luồng dữ liệu ra nước ngoài. Bao gồm cả dịch vụ đám mây, công cụ phân tích và mô hình AI đặt ngoài lãnh thổ.

Bài viết cung cấp thông tin tham khảo, không thay thế ý kiến tư vấn pháp lý cho trường hợp cụ thể. Doanh nghiệp nên tham vấn luật sư khi xây dựng chương trình tuân thủ.