Ngày 26 tháng 6 năm 2025, Quốc hội Việt Nam đã chính thức thông qua "Luật Bảo vệ dữ liệu cá nhân". Đạo luật này sẽ chính thức có hiệu lực từ ngày 01 tháng 01 năm 2026, thay thế cho "Nghị định số 13/2023/NĐ-CP" hiện hành, trở thành khung pháp lý toàn diện điều chỉnh các hoạt động thu thập, sử dụng, quản lý và chia sẻ thông tin cá nhân tại Việt Nam.

Trong bài viết này, chúng tôi sẽ làm rõ những điểm khác biệt giữa Luật mới và Nghị định cũ, đồng thời phân tích những lưu ý quan trọng và định hướng ứng phó thực tiễn, đặc biệt dành cho các doanh nghiệp có vốn đầu tư nước ngoài.

Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định rõ ràng việc mở rộng phạm vi áp dụng không chỉ đối với các cơ quan, tổ chức, cá nhân trong nước mà còn bao gồm cả các tổ chức, cá nhân ở nước ngoài. Quy định này nhằm tăng cường bảo vệ dữ liệu tại Việt Nam, đồng thời đáp ứng thực tiễn hiện nay khi các giao dịch dữ liệu xuyên biên giới và việc sử dụng điện toán đám mây đã trở nên phổ biến.

Các tổ chức, cá nhân nước ngoài nào thuộc đối tượng áp dụng?

Các cơ quan, doanh nghiệp, cá nhân nước ngoài đáp ứng một trong các điều kiện sau đây, ngay cả khi không có cơ sở hoạt động tại Việt Nam, vẫn thuộc phạm vi điều chỉnh của Luật này:

1. Trực tiếp tham gia vào quá trình xử lý dữ liệu cá nhân của cá nhân mang quốc tịch Việt Nam.

(Ví dụ: Pháp nhân Nhật Bản xử lý dữ liệu của người lao động mang quốc tịch Việt Nam tại trụ sở chính).

2. Tham gia vào quá trình xử lý dữ liệu cá nhân của "người gốc Việt Nam" đang cư trú tại Việt Nam, chưa xác định được quốc tịch nhưng đã được cấp giấy tờ tùy thân.

Theo Luật năm 2025, "dữ liệu cá nhân" được định nghĩa như sau (Khoản 1 Điều 2): "Là dữ liệu kỹ thuật số hoặc thông tin dưới các hình thức khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể."

Như vậy, có thể hiểu rằng đối tượng bảo vệ không chỉ đơn thuần là các thông tin kỹ thuật số (như tệp điện tử hay dữ liệu đám mây), mà toàn bộ thông tin cá nhân được chứa đựng trong tài liệu giấy, bản ghi âm, hình ảnh, các phương tiện vật lý hoặc dữ liệu dưới bất kỳ hình thức chưa xác định nào khác cũng đều thuộc phạm vi điều chỉnh của pháp luật.

1. Luật Bảo vệ dữ liệu cá nhân năm 2025 đã đưa vào một khái niệm rộng hơn là "Chuyển dữ liệu cá nhân xuyên biên giới", thay thế cho thuật ngữ "Chuyển dữ liệu cá nhân ra nước ngoài" từng được sử dụng trước đây.

2. Theo Nghị định 13, đối tượng áp dụng của quy định chuyển dữ liệu ra nước ngoài được giới hạn là "dữ liệu cá nhân của công dân Việt Nam", và hành vi chuyển dữ liệu của người nước ngoài ra khỏi lãnh thổ Việt Nam được hiểu là không chịu sự điều chỉnh của các quy định như nghĩa vụ lập hồ sơ đánh giá. Tuy nhiên, Luật Bảo vệ dữ liệu cá nhân năm 2025 đã bãi bỏ cụm từ "công dân Việt Nam" và quy định mọi "dữ liệu cá nhân" đều là đối tượng được bảo vệ (Khoản 1 Điều 20). Theo đó, ngay cả trong trường hợp chuyển dữ liệu của người nước ngoài đang cư trú tại Việt Nam ra nước ngoài, doanh nghiệp cũng sẽ phát sinh nghĩa vụ lập hồ sơ đánh giá.

Ví dụ: Trường hợp pháp nhân tại Việt Nam tuyển dụng người lao động nước ngoài và chuyển thông tin cá nhân của nhân sự đó về công ty mẹ (ở nước ngoài), hành vi này sẽ được coi là "chuyển dữ liệu xuyên biên giới" và bắt buộc phải nộp hồ sơ đánh giá.

3. Quy định ngoại lệ đối với nghĩa vụ đánh giá (Khoản 6 Điều 20)

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã luật hóa việc miễn trừ nghĩa vụ nộp hồ sơ đánh giá đối với các trường hợp đáp ứng điều kiện nhất định. Dưới đây là các trường hợp tiêu biểu:

·      Lưu trữ dữ liệu người lao động của công ty trên các dịch vụ điện toán đám mây (Google Cloud, Microsoft Azure, AWS v.v.).

·      Bản thân chủ thể dữ liệu tự nguyện chuyển dữ liệu cá nhân của chính mình ra nước ngoài.

Những ngoại lệ này được xem là sự điều chỉnh nhằm phù hợp với các tình huống thường gặp trên thực tế. Nhờ đó, việc chuyển dữ liệu thông qua sử dụng hệ thống đám mây hoặc do cá nhân tự gửi sẽ không làm phát sinh nghĩa vụ lập hồ sơ đánh giá.

Lưu ý thực tiễn: Mặc dù vậy, các điều kiện áp dụng cụ thể và trình tự thực hiện đối với các quy định ngoại lệ này dự kiến sẽ được hướng dẫn chi tiết tại các Nghị định, Thông tư ban hành trong thời gian tới. Đặc biệt, đối với các doanh nghiệp có vốn đầu tư nước ngoài hoặc các doanh nghiệp Nhật Bản hoạt động trên phạm vi toàn cầu – nơi việc sử dụng môi trường điện toán đám mây và liên kết dữ liệu với công ty mẹ diễn ra hằng ngày, việc tiếp tục theo dõi sát sao các động thái pháp lý là vô cùng cần thiết.

Tại Nghị định 13, mặc dù pháp luật đã đề cập đến các hình thức xử lý đối với hành vi vi phạm bảo vệ dữ liệu cá nhân như "xử lý kỷ luật, xử phạt vi phạm hành chính, xử lý hình sự", nhưng lại chưa quy định cụ thể hành vi vi phạm hay khung hình phạt (Điều 4).

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã hệ thống hóa rõ ràng vấn đề này, quy định minh thị bằng văn bản luật 3 hình thức xử lý sau đây:

① Xử phạt vi phạm hành chính

② Trách nhiệm hình sự (Truy cứu theo Bộ luật Hình sự)

③ Trách nhiệm bồi thường thiệt hại dân sự (Theo Bộ luật Dân sự)

Cần lưu ý rằng, chế tài cụ thể áp dụng cho từng hành vi vi phạm dự kiến sẽ được quy định chi tiết tại các Nghị định và Thông tư ban hành trong thời gian tới. 

Đối với doanh nghiệp, điều này đồng nghĩa với việc chúng ta đã bước vào kỷ nguyên mà "việc không trang bị một hệ thống quản lý phù hợp, bất kể do cố ý hay vô ý, bản thân nó đã bị coi là một rủi ro". Việc hoàn thiện các quy chế nội bộ và đào tạo nhân sự không còn đơn thuần là biện pháp phòng ngừa, mà đây là thời điểm bắt buộc phải tái cấu trúc hệ thống nhằm đáp ứng nghĩa vụ tuân thủ pháp luật.

Căn cứ Luật Bảo vệ dữ liệu cá nhân năm 2025, việc xử lý vi phạm bảo vệ dữ liệu cá nhân được thể chế hóa thông qua 3 biện pháp pháp lý như sau:

① Truy cứu trách nhiệm hình sự: Các hành vi vi phạm nghiêm trọng có thể trở thành đối tượng bị truy cứu trách nhiệm hình sự (Ví dụ: Cố ý mua bán thông tin, rò rỉ dữ liệu quy mô lớn v.v.).

② Bồi thường thiệt hại: Trường hợp gây thiệt hại cho chủ thể dữ liệu sẽ phát sinh trách nhiệm bồi thường bằng tiền căn cứ theo trách nhiệm dân sự.

③ Xử phạt vi phạm hành chính: Tùy thuộc vào tính chất hành vi vi phạm, các khung phạt tiền sau đây sẽ được áp dụng:

Như vậy, có thể thấy tùy theo loại hình vi phạm mà nội dung xử phạt được phân định cực kỳ rõ ràng. Điểm đặc trưng là một cơ cấu chế tài mạnh mẽ, nghiêm khắc chưa từng có trong lịch sử hệ thống pháp luật Việt Nam đã được thiết lập.

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã hệ thống hóa các quy định về việc lập và cập nhật "Hồ sơ đánh giá tác động (DPIA)", nhằm làm rõ trách nhiệm bảo vệ dữ liệu của doanh nghiệp.

① Chỉ cần nộp lần đầu tiên một lần duy nhất

② Theo quy định tại Điều 20 và Điều 21, các hồ sơ đánh giá dưới đây chỉ cần lập một lần khi thành lập doanh nghiệp hoặc bắt đầu hoạt động kinh doanh:

• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

③ Các trường hợp phát sinh nghĩa vụ cập nhật định kỳ 6 tháng một lần

• Tại Nghị định số 13, có tồn tại các quy định thiếu rõ ràng hoặc khó vận hành trên thực tế về tần suất báo cáo, cập nhật hồ sơ (ví dụ: nghĩa vụ cập nhật trong vòng 10 ngày v.v.).
• Ngược lại, Luật mới (Điều 22) đã bắt buộc phải cập nhật hồ sơ đánh giá trong các trường hợp sau:
• Cập nhật định kỳ 6 tháng một lần (nếu có sự thay đổi).
• Cập nhật ngay lập tức khi phát sinh những thay đổi quan trọng sau:
• Tổ chức lại, sáp nhập hoặc chia tách doanh nghiệp.
• Thay đổi nhà cung cấp dịch vụ liên quan đến bảo vệ dữ liệu.
• Thay đổi phạm vi xử lý dữ liệu liên quan đến nội dung kinh doanh đã đăng ký (ngành nghề, sản phẩm, dịch vụ).

Như vậy, việc cập nhật hồ sơ đánh giá không phải là một nghĩa vụ mang tính hình thức, mà cần được nhìn nhận là một phần thực chất trong việc xây dựng hệ thống và tuân thủ pháp luật.

Luật Bảo vệ dữ liệu cá nhân năm 2025 (Điều 25) lần đầu tiên đưa ra các quy định rõ ràng về việc xử lý dữ liệu cá nhân liên quan đến hoạt động tuyển dụng và thực hiện hợp đồng lao động. Theo điều khoản này, người sử dụng lao động (pháp nhân, cá nhân kinh doanh) cần lưu ý các điểm sau:

[Nghĩa vụ trọng tâm]

• Thông tin được thu thập chỉ giới hạn trong phạm vi cần thiết cho mục đích tuyển dụng; thông tin đã thu thập không được sử dụng cho mục đích khác ngoài mục đích tuyển dụng hoặc mục đích đã được đồng ý.
• Bắt buộc xóa dữ liệu cá nhân của các ứng viên không trúng tuyển (trừ trường hợp có sự đồng ý rõ ràng).
• Khi chấm dứt hợp đồng lao động, phải xóa dữ liệu cá nhân của người lao động (trừ trường hợp có thỏa thuận khác hoặc pháp luật có quy định về nghĩa vụ lưu trữ).

Giải pháp khuyến nghị: Rà soát hệ thống nội bộ và hoàn thiện văn bản

Để xây dựng một hệ thống tuân thủ hiệu quả, việc áp dụng các biện pháp sau là vô cùng quan trọng:

• Rà soát toàn bộ quy trình nhân sự - tuyển dụng (thông báo tuyển dụng, phỏng vấn, hợp đồng lao động, nghỉ việc).
• Lấy ý kiến đồng ý trước của ứng viên về việc xử lý thông tin cá nhân.
• Minh thị các quy tắc lưu trữ, xóa dữ liệu trong hợp đồng lao động.
• Hoàn thiện các quy chế nội bộ liên quan đến việc xử lý dữ liệu của người đã nghỉ việc (thời hạn lưu trữ, thủ tục xóa v.v.).

Nếu lơ là các công tác này, trong trường hợp rủi ro rò rỉ dữ liệu xảy ra, doanh nghiệp có thể phải đối mặt với trách nhiệm pháp lý nghiêm trọng cũng như rủi ro tổn hại danh tiếng (reputational damage).

Luật Bảo vệ dữ liệu cá nhân năm 2025 (Điều 26) đã bổ sung quy định bảo vệ đặc biệt đối với thông tin sức khỏe. Đây là một điểm mới hoàn toàn chưa từng có trong Nghị định số 13 cũ. Theo quy định này, khi xử lý các thông tin về tình trạng sức khỏe, hồ sơ bệnh án, giấy khám sức khỏe v.v., sẽ phát sinh các nghĩa vụ sau:

• Bắt buộc phải thu thập sự đồng ý rõ ràng của bản thân (chủ thể dữ liệu).
• Đồng thời, do các thông tin này thuộc danh mục "dữ liệu cá nhân nhạy cảm", doanh nghiệp phải áp dụng các biện pháp bảo vệ nghiêm ngặt hơn so với dữ liệu cá nhân thông thường.

7.1. Tác động thực tiễn đối với doanh nghiệp có vốn đầu tư nước ngoài và doanh nghiệp thông thường?

Điều khoản này có liên quan mật thiết đến việc xử lý thông tin sức khỏe mà doanh nghiệp thực hiện trong quá trình tuyển dụng, quản lý và đánh giá người lao động, bao gồm:

① Giấy khám sức khỏe yêu cầu nộp tại thời điểm tuyển dụng.

② Kết quả khám sức khỏe định kỳ trong thời gian làm việc.

③ Hồ sơ trao đổi với bác sĩ y tế cơ quan hoặc các hồ sơ liên quan đến sức khỏe tinh thần.

Vì các thông tin này về mặt pháp lý được coi là "thông tin nhạy cảm", doanh nghiệp cần thiết lập cơ chế quản lý chặt chẽ trong toàn bộ các khâu từ thu thập, lưu trữ đến chia sẻ.

7.2. Phương thức lấy ý kiến đồng ý và điểm lưu ý thực tiễn

Việc lấy ý kiến đồng ý từ chính người lao động được khuyến nghị thực hiện bằng một trong các phương thức sau:

① Lập văn bản đồng ý riêng biệt về việc xử lý thông tin sức khỏe và yêu cầu ký xác nhận.

② Hoặc lồng ghép minh thị các điều khoản đồng ý vào trong hợp đồng lao động hoặc hợp đồng thử việc.

Dù áp dụng phương thức nào, văn bản cũng phải ghi rõ cụ thể mục đích sử dụng, thời hạn lưu trữ và việc có chia sẻ cho bên thứ ba hay không.

7.3. Yêu cầu tất yếu về tăng cường biện pháp quản lý an toàn kỹ thuật và tổ chức

Dữ liệu sức khỏe nếu bị rò rỉ ra bên ngoài sẽ kéo theo rủi ro rất cao về xâm phạm quyền riêng tư nghiêm trọng và làm mất uy tín của công ty, do đó doanh nghiệp được yêu cầu phải có những biện pháp đối phó ở cấp độ cao.

Tại Nghị định số 13, việc thành lập bộ phận hoặc chỉ định người phụ trách bảo vệ dữ liệu cá nhân chỉ được yêu cầu giới hạn trong trường hợp "có xử lý dữ liệu nhạy cảm". Hơn nữa, cũng không có quy định cụ thể về yêu cầu năng lực, trình độ đối với người phụ trách (Điều 28, Điều 30).

Ngược lại, Luật Bảo vệ dữ liệu cá nhân năm 2025 (Khoản 2 Điều 33) đã bắt buộc tất cả các doanh nghiệp, tổ chức đều phải bố trí nhân sự, bộ phận bảo vệ dữ liệu cá nhân.

Cụ thể: "Tổ chức phải chỉ định nhân sự hoặc bộ phận có đủ năng lực bảo vệ dữ liệu cá nhân, hoặc ủy thác cho doanh nghiệp chuyên môn bên ngoài."

Lời khuyên thực tiễn khi chọn mô hình ủy thác bên ngoài

Đặc biệt đối với các doanh nghiệp Nhật Bản và doanh nghiệp có vốn đầu tư nước ngoài, do có những trường hợp khó khăn trong việc tuyển dụng nhân sự am hiểu tường tận hệ thống pháp luật Việt Nam, nên việc sử dụng các đối tác bên ngoài đáp ứng các điều kiện sau được khuyến nghị:

• Có thành tích quản lý thông tin cá nhân thực tế tại Việt Nam.
• Có thế mạnh về cả hai khía cạnh: hạ tầng IT và pháp lý.
• Có khả năng hỗ trợ làm việc với cơ quan hành chính như thanh tra, báo cáo v.v.

Có thể nói, sửa đổi này đã chỉ rõ rằng bảo vệ dữ liệu cá nhân không đơn thuần là một phần của "An ninh mạng (IT)" hay "Hành chính tổng hợp", mà là một bài toán quản trị doanh nghiệp gắn liền với trách nhiệm pháp lý. Doanh nghiệp không chỉ cần bố trí nguồn nhân lực mà còn phải song song tiến hành hoàn thiện quy chế nội bộ và quy trình xử lý.

Tại Nghị định số 13, việc thành lập bộ phận hoặc chỉ định người phụ trách bảo vệ dữ liệu cá nhân chỉ được yêu cầu giới hạn trong trường hợp "có xử lý dữ liệu nhạy cảm". Hơn nữa, cũng không có quy định cụ thể về yêu cầu năng lực, trình độ đối với người phụ trách (Điều 28, Điều 30).

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã đưa ra chế độ miễn trừ hoặc hoãn thi hành một số nghĩa vụ nhất định liên quan đến bảo vệ dữ liệu cá nhân đối với một số doanh nghiệp quy mô nhỏ và doanh nghiệp khởi nghiệp (start-up) (Điều 38).

Cụ thể, chỉ trong một khoảng thời gian nhất định là 5 năm kể từ ngày Luật có hiệu lực, các nghĩa vụ sau đây có thể được miễn hoặc hoãn thi hành:

• Nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Nghĩa vụ thông báo, báo cáo đánh giá về chuyển dữ liệu xuyên biên giới.
• Nghĩa vụ bổ nhiệm người phụ trách bảo vệ dữ liệu.
• Việc cập nhật hồ sơ đánh giá định kỳ và nộp cho cơ quan chức năng.

Các quy định này được xem là biện pháp nhằm giảm bớt gánh nặng pháp lý cho các doanh nghiệp mới nổi, doanh nghiệp vừa và nhỏ, đồng thời đảm bảo khoảng thời gian chuyển tiếp để triển khai tuân thủ.

Tuy nhiên, định nghĩa về đối tượng doanh nghiệp vẫn chưa được xác định

Tính đến thời điểm hiện tại (Tháng 7/2025), các khái niệm như "doanh nghiệp quy mô nhỏ", "doanh nghiệp siêu nhỏ", "start-up" vẫn chưa được định nghĩa rõ ràng trong văn bản Luật, cũng như chưa xác định rõ quy mô cụ thể thế nào là "số lượng lớn chủ thể dữ liệu". Do đó, để đánh giá chính xác doanh nghiệp của mình có thuộc diện được miễn hoặc hoãn hay không, cần phải theo dõi và kiểm tra cẩn trọng các nghị định, thông tư (văn bản hướng dẫn) sẽ được ban hành trong thời gian tới.

Như vậy, Điều 38 là một điều khoản quan trọng đối với các start-up và doanh nghiệp vừa và nhỏ tại Việt Nam nhằm hiện thực hóa mục tiêu kép: "giảm thiểu gánh nặng pháp lý" và "đáp ứng pháp luật theo từng giai đoạn". Việc chuẩn bị hệ thống từng bước và có kế hoạch nhằm đón đầu việc mở rộng đối tượng thi hành trong tương lai là yếu tố then chốt.

Trong Luật Bảo vệ dữ liệu cá nhân năm 2025, bên cạnh các quy định chung áp dụng cho mọi doanh nghiệp, tổ chức, còn có các nghĩa vụ bổ sung và tăng cường đối với một số ngành nghề nhất định được đánh giá là có rủi ro cao. Các lĩnh vực thuộc đối tượng áp dụng bao gồm:

• Lĩnh vực tài chính, ngân hàng, tín dụng (Điều 27).
• Doanh nghiệp cung cấp mạng xã hội (SNS), truyền thông trực tuyến, nền tảng (Điều 29).
• Các lĩnh vực công nghệ như Dữ liệu lớn (Big Data), Trí tuệ nhân tạo (AI), Chuỗi khối (Blockchain), Điện toán đám mây v.v. (Điều 30).

Ví dụ về các nghĩa vụ bổ sung theo ngành nghề

Các yêu cầu chính mang tính phổ quát cho các ngành nghề này bao gồm:

• Triển khai hệ thống bảo mật và mã hóa dữ liệu ở cấp độ cao hơn (do nguy cơ rò rỉ thông tin là cực kỳ lớn).
• Đối với hoạt động xử lý bằng AI, bắt buộc phải phân loại mức độ rủi ro và áp dụng các biện pháp bảo vệ tương ứng theo từng cấp độ.
• Cung cấp cơ chế cho phép người dùng từ chối và quản lý rõ ràng đối với Cookie hoặc thông tin theo dõi (Cơ chế Do-not-track, Opt-out v.v.).
• Trình bày chính sách bảo mật (Privacy Policy) dưới hình thức dễ hiểu đối với người dùng và công khai quy trình xử lý khi xảy ra sự cố. 

Tới đây, trong các lĩnh vực kinh doanh liên quan đến AI, Đám mây, Fintech, SNS, doanh nghiệp cần định vị việc bảo vệ dữ liệu cá nhân không đơn thuần là "quản lý thông tin", mà phải là cốt lõi của chiến lược quản trị rủi ro.