Luật Bảo Vệ
Dữ Liệu Cá Nhân
2025 – Doanh Nghiệp
Cần Biết Gì?

Luật Bảo vệ Dữ liệu Cá nhân (Luật số 91/2025/QH15) được Quốc hội Việt Nam thông qua ngày 26/6/2025, chính thức có hiệu lực từ 01/01/2026. Đây là luật chuyên biệt đầu tiên về bảo vệ dữ liệu cá nhân tại Việt Nam, thiết lập khung pháp lý toàn diện cho việc thu thập, xử lý và bảo vệ dữ liệu cá nhân trong kỷ nguyên số.

Luật quy định 3 mức phạt chính: (1) Tối đa 3 tỷ đồng cho các vi phạm bảo vệ dữ liệu cá nhân thông thường; (2) Tối đa 5% doanh thu năm trước liền kề cho vi phạm về chuyển dữ liệu cá nhân xuyên biên giới; (3) Phạt lên đến 10 lần khoản thu bất hợp pháp cho hành vi mua bán dữ liệu cá nhân trái phép. Ngoài ra, vi phạm nghiêm trọng có thể bị truy cứu hình sự và phải bồi thường dân sự.

Luật áp dụng cho tất cả tổ chức và cá nhân — trong nước lẫn quốc tế — thu thập, lưu trữ hoặc xử lý dữ liệu cá nhân của người dùng tại Việt Nam. Bao gồm: doanh nghiệp mọi quy mô, cơ quan nhà nước, nền tảng trực tuyến, thương mại điện tử, tài chính, y tế, giáo dục và công ty đa quốc gia có hoạt động tại Việt Nam — dù máy chủ đặt ở đâu.

DPIA (Data Protection Impact Assessment – Hồ sơ Đánh giá Tác động Chuyển Dữ liệu) là tài liệu bắt buộc khi doanh nghiệp chuyển dữ liệu cá nhân ra nước ngoài — bao gồm: dùng phần mềm SaaS quốc tế, lưu trữ dữ liệu trên cloud nước ngoài, hoặc chia sẻ dữ liệu với đối tác nước ngoài. Doanh nghiệp phải nộp DPIA cho Bộ Công an trong vòng 60 ngày kể từ lần chuyển đầu tiên. Đây là thủ tục một lần, cập nhật khi có thay đổi — không cần xin phép từng lần.

Có. Luật không miễn trừ theo quy mô doanh nghiệp. Mọi tổ chức — kể cả startup và SME — khi thu thập và xử lý dữ liệu cá nhân đều phải tuân thủ. Tuy nhiên, mức độ và phức tạp của các biện pháp cần áp dụng có thể tỷ lệ với lượng dữ liệu xử lý. Doanh nghiệp nhỏ có thể bắt đầu bằng: cập nhật chính sách bảo mật, triển khai công cụ bảo mật dữ liệu cơ bản như 689Cloud, và đào tạo nhân viên về quy định mới.

689Cloud cung cấp hai giải pháp chính: SecureDrive — nền tảng chia sẻ tài liệu bảo mật với IRM, mã hóa, giám sát truy cập và thu hồi quyền từ xa; và SecureMail — bảo mật tệp đính kèm email bằng IRM, ngăn sao chép/tải xuống trái phép. Cả hai giải pháp cung cấp nhật ký hoạt động đầy đủ để dùng làm bằng chứng tuân thủ khi cơ quan kiểm tra, và hỗ trợ thực hiện quyền xóa dữ liệu của người dùng thông qua tính năng thu hồi quyền từ xa.

Luật quy định 6 quyền cơ bản: (1) Quyền được biết về việc thu thập và xử lý dữ liệu; (2) Quyền đồng ý/từ chối (opt-in/opt-out) và rút lại đồng ý bất cứ lúc nào; (3) Quyền truy cập và chỉnh sửa dữ liệu cá nhân; (4) Quyền xóa hoặc hạn chế xử lý dữ liệu; (5) Quyền khiếu nại và bồi thường khi quyền riêng tư bị xâm phạm; (6) Quyền yêu cầu biện pháp bảo vệ khẩn cấp từ cơ quan chức năng. Doanh nghiệp có nghĩa vụ đảm bảo và tôn trọng tất cả 6 quyền này.