Luật Bảo vệ dữ liệu cá nhân 2025: Hiệu lực, nghĩa vụ doanh nghiệp và quan hệ với Nghị định 13/2023

Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026. Đây là lần đầu tiên Việt Nam quy định về bảo vệ dữ liệu cá nhân bằng một đạo luật riêng, thay vì chỉ ở cấp nghị định như Nghị định 13/2023/NĐ-CP trước đây. Với doanh nghiệp, luật này kéo theo nhiều thay đổi: căn cứ pháp lý được nâng cấp, nghĩa vụ chặt hơn, mức phạt tính theo doanh thu, và từ ngày 19/8/2026 đã có nghị định xử phạt chuyên ngành.

Bài viết dưới đây tổng hợp ba nội dung doanh nghiệp hay hỏi nhất: hiệu lực và văn bản hướng dẫn, nghĩa vụ cụ thể của doanh nghiệp, và quan hệ giữa Luật với Nghị định 13/2023.

1. Hiệu lực và hệ thống văn bản hướng dẫn

1.1. Mốc thời gian quan trọng

Văn bản	Nội dung	Hiệu lực
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15	Đạo luật gốc về bảo vệ dữ liệu cá nhân	01/01/2026
Nghị định 356/2025/NĐ-CP	Quy định chi tiết một số điều và biện pháp thi hành Luật	01/01/2026
Nghị định 13/2023/NĐ-CP	Nghị định cũ về bảo vệ dữ liệu cá nhân	Hết hiệu lực từ 01/01/2026 (được thay thế bởi Nghị định 356/2025/NĐ-CP)
Nghị định 330/2026/NĐ-CP	Xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân	19/8/2026

Đến nay, doanh nghiệp chịu ba lớp quy định: Luật (nguyên tắc, quyền, nghĩa vụ, khung phạt), Nghị định 356/2025 (thủ tục, biểu mẫu, thời hạn) và Nghị định 330/2026 (hành vi vi phạm, mức phạt cụ thể).

1.2. Cơ quan có thẩm quyền

Bộ Công an là cơ quan chủ trì quản lý nhà nước về bảo vệ dữ liệu cá nhân. Đơn vị trực tiếp tiếp nhận hồ sơ đánh giá tác động, thông báo vi phạm và cấp phép dịch vụ xử lý dữ liệu là cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an — Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

2. Những điểm mới đáng chú ý của Luật Bảo vệ dữ liệu cá nhân 2025

2.1. Mức phạt tính theo doanh thu

Đây là thay đổi lớn nhất so với giai đoạn trước. Theo Điều 8 Luật:

• Mua, bán dữ liệu cá nhân: mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm;
• Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới (đối với tổ chức): mức phạt tối đa 5% doanh thu năm trước liền kề; nếu không có doanh thu năm trước hoặc mức tính theo doanh thu thấp hơn mức phạt chung thì áp dụng mức phạt chung;
• Các hành vi vi phạm khác: mức phạt tối đa 03 tỷ đồng.

2.2. Cấm mua, bán dữ liệu cá nhân

Luật xác định rõ hành vi mua, bán dữ liệu cá nhân là hành vi bị nghiêm cấm (trừ trường hợp luật có quy định khác). Đây là điểm doanh nghiệp làm marketing, telesale, mua "data khách hàng" từ bên thứ ba cần đặc biệt lưu ý.

2.3. Cơ chế linh hoạt cho doanh nghiệp nhỏ, khởi nghiệp

Theo Điều 38 Luật, trong 05 năm kể từ ngày Luật có hiệu lực, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được quyền lựa chọn có thực hiện hay không các nghĩa vụ: lập hồ sơ đánh giá tác động xử lý dữ liệu (Điều 21), đánh giá tác động chuyển dữ liệu xuyên biên giới (Điều 22) và chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân (khoản 2 Điều 33).

Lưu ý thực tiễn: quyền lựa chọn này không áp dụng nếu doanh nghiệp nhỏ, khởi nghiệp đó kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể. Một startup fintech, healthtech hay nền tảng có lượng người dùng lớn rất dễ rơi vào nhóm ngoại lệ — đừng mặc định mình được miễn.

3. Nghĩa vụ cụ thể của doanh nghiệp

3.1. Thu thập và xử lý dữ liệu phải có căn cứ hợp pháp, chủ yếu là sự đồng ý

Theo Nghị định 356/2025/NĐ-CP, sự đồng ý của chủ thể dữ liệu phải:

• Gắn với mục đích cụ thể, được liệt kê rõ;
• Được thể hiện rõ ràng bằng văn bản, giọng nói, đánh dấu vào ô đồng ý hoặc hình thức tương đương có thể kiểm chứng;
• Không được thiết lập mặc định đồng ý (ví dụ ô đã tích sẵn), không dùng ngôn ngữ gây nhầm lẫn giữa đồng ý và từ chối;
• Được lưu vết; khi có tranh chấp, doanh nghiệp có nghĩa vụ chứng minh chủ thể đã đồng ý.

Lưu ý thực tiễn: "im lặng" hoặc "tiếp tục sử dụng dịch vụ" không được coi là đồng ý. Doanh nghiệp nên rà soát lại toàn bộ form đăng ký, popup cookie, điều khoản sử dụng trên website/app.

3.2. Đáp ứng quyền của chủ thể dữ liệu trong thời hạn luật định

Nghị định 13/2023 trước đây áp dụng thời hạn chung 72 giờ cho nhiều yêu cầu của chủ thể dữ liệu. Nghị định 356/2025 thay bằng các thời hạn phân loại theo từng yêu cầu, có thể tóm tắt như sau:

Yêu cầu của chủ thể dữ liệu	Thời hạn xử lý (theo Nghị định 356/2025)
Rút lại sự đồng ý, hạn chế xử lý, phản đối xử lý	Phản hồi trong 02 ngày làm việc; hoàn thành trong 15 ngày (20 ngày nếu có bên xử lý/bên thứ ba)
Truy cập, chỉnh sửa, cung cấp dữ liệu	10 ngày
Xóa dữ liệu	20 ngày

3.3. Lập và cập nhật hồ sơ đánh giá tác động

Bên kiểm soát, bên kiểm soát và xử lý dữ liệu cá nhân phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 21 Luật) và gửi cơ quan chuyên trách theo biểu mẫu tại Nghị định 356/2025. Nếu chuyển dữ liệu ra nước ngoài (kể cả lưu trữ trên cloud đặt ở nước ngoài, chia sẻ cho công ty mẹ), doanh nghiệp còn phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 22 Luật), có thỏa thuận bằng văn bản ràng buộc bên nhận ở nước ngoài về trách nhiệm bảo vệ dữ liệu.

Điểm tích cực: theo Luật, dữ liệu đã được đánh giá trong hồ sơ theo Luật Bảo vệ dữ liệu cá nhân thì không phải đánh giá trùng lặp theo Luật Dữ liệu 2024.

3.4. Chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân

Doanh nghiệp phải chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân hoặc thuê tổ chức cung cấp dịch vụ (Điều 33 Luật). Nghị định 356/2025 đặt điều kiện cho nhân sự này: trình độ từ cao đẳng trở lên, có tối thiểu 02 năm kinh nghiệm trong các lĩnh vực liên quan (pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, tuân thủ, nhân sự…) và đã được đào tạo về pháp luật, kỹ năng bảo vệ dữ liệu cá nhân.

3.5. Thông báo khi xảy ra vi phạm

Khi phát hiện dữ liệu cá nhân bị lộ, mất, truy cập trái phép, doanh nghiệp phải thông báo cho cơ quan chuyên trách trong vòng 72 giờ theo mẫu quy định. Với dữ liệu nhạy cảm (ví dụ trong lĩnh vực tài chính, ngân hàng), việc thông báo còn phải gửi tới chủ thể dữ liệu.

3.6. Hợp đồng với bên xử lý, đối tác và người lao động

Nghĩa vụ bảo vệ dữ liệu không dừng ở nội bộ. Hợp đồng thuê ngoài (IT, marketing, logistics, chăm sóc khách hàng), hợp đồng chia sẻ dữ liệu với đối tác và hợp đồng lao động đều cần điều khoản rõ về: phạm vi, mục đích xử lý; biện pháp bảo mật; nghĩa vụ thông báo sự cố; xóa/hoàn trả dữ liệu khi chấm dứt; phân chia trách nhiệm bồi thường. Đây là phần việc Luật Taga thường hỗ trợ qua dịch vụ tư vấn, soạn thảo hợp đồng.

4. Quan hệ giữa Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 13/2023

Nhiều doanh nghiệp đã tuân thủ Nghị định 13/2023 hỏi: "Có phải làm lại từ đầu không?". Câu trả lời là không phải làm lại hoàn toàn, nhưng bắt buộc phải rà soát và cập nhật, vì:

Tiêu chí	Nghị định 13/2023/NĐ-CP	Luật 91/2025/QH15 + Nghị định 356/2025/NĐ-CP
Cấp độ văn bản	Nghị định	Luật + nghị định hướng dẫn
Tình trạng	Hết hiệu lực từ 01/01/2026	Đang có hiệu lực
Thời hạn đáp ứng yêu cầu chủ thể	Chủ yếu 72 giờ	Phân loại theo từng yêu cầu (02 ngày làm việc – 20 ngày)
Mua bán dữ liệu	Chưa có chế tài riêng tính theo khoản thu	Bị nghiêm cấm; phạt đến 10 lần khoản thu
Chuyển dữ liệu xuyên biên giới	Có hồ sơ đánh giá	Có hồ sơ đánh giá; phạt đến 5% doanh thu năm trước
Doanh nghiệp nhỏ, khởi nghiệp	Không có cơ chế riêng	Được lựa chọn trong 05 năm (trừ ngoại lệ)
Danh mục dữ liệu nhạy cảm	Hẹp hơn	Mở rộng (dữ liệu vi phạm pháp luật, dữ liệu ngân hàng chi tiết, dữ liệu theo dõi hành vi sử dụng dịch vụ trực tuyến…)

Lưu ý thực tiễn: hồ sơ đánh giá tác động lập theo mẫu của Nghị định 13/2023 cần được đối chiếu với biểu mẫu mới tại Nghị định 356/2025. Chính sách quyền riêng tư (privacy policy) trên website/app cũng nên cập nhật căn cứ pháp lý — vẫn trích dẫn Nghị định 13/2023 như văn bản hiện hành là dấu hiệu cho thấy doanh nghiệp chưa rà soát tuân thủ.

5. Checklist tuân thủ cho doanh nghiệp

1. Lập bản đồ dữ liệu: doanh nghiệp đang thu thập dữ liệu gì, của ai (khách hàng, người lao động, ứng viên), lưu ở đâu, chia sẻ cho ai, có chuyển ra nước ngoài không.
2. Phân loại dữ liệu cơ bản và nhạy cảm theo danh mục mới.
3. Rà soát cơ chế lấy sự đồng ý trên mọi kênh; loại bỏ mặc định đồng ý.
4. Lập/cập nhật hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu xuyên biên giới (nếu có).
5. Chỉ định nhân sự/bộ phận bảo vệ dữ liệu hoặc thuê dịch vụ đạt chuẩn.
6. Xây dựng quy trình tiếp nhận yêu cầu của chủ thể dữ liệu và ứng phó sự cố 72 giờ.
7. Sửa đổi hợp đồng với bên xử lý, đối tác, người lao động.
8. Dừng ngay việc mua, bán "data" và kiểm tra nguồn gốc các danh sách khách hàng đang dùng.

Để tìm hiểu thêm, bạn có thể đọc các bài liên quan: Luật Bảo vệ dữ liệu cá nhân: Doanh nghiệp cần tuân thủ những gì?, Pháp luật về quyền riêng tư và bảo mật thông tin khách hàng và Luật An ninh mạng và nghĩa vụ của doanh nghiệp.

Căn cứ pháp lý

• Bộ luật Dân sự 2015 (quyền về đời sống riêng tư, bí mật cá nhân);
• Luật Dữ liệu số 60/2024/QH15;
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026);
• Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP);
• Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (hiệu lực từ 19/8/2026).

Luật Taga đồng hành cùng doanh nghiệp tuân thủ dữ liệu cá nhân

Luật Taga hỗ trợ rà soát hiện trạng, soạn chính sách quyền riêng tư, lập hồ sơ đánh giá tác động, soạn điều khoản bảo vệ dữ liệu trong hợp đồng và tư vấn xử lý khi có sự cố.

Liên hệ Luật Taga qua hotline 0968 856 464 hoặc gửi yêu cầu tư vấn để được luật sư hỗ trợ.