Tin công nghệ

Luật Bảo vệ dữ liệu cá nhân 2026: doanh nghiệp cần làm gì?

Posted on by superadmin

Khung pháp lý mới về dữ liệu cá nhân

Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, cùng với Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025 quy định chi tiết thi hành. Nghị định mới thay thế hoàn toàn Nghị định 13/2023/NĐ-CP trước đây. Sau gần mười tháng áp dụng, nhiều doanh nghiệp vẫn còn lúng túng: công ty mình có thuộc diện phải làm hồ sơ không, cần bổ nhiệm ai, và nếu lộ dữ liệu khách hàng thì phải xử lý ra sao.

Bài viết dưới đây tóm tắt các điểm chính dưới góc nhìn thực tế cho chủ doanh nghiệp và bộ phận hành chính, nhân sự, IT. Đây là thông tin tham khảo, không thay thế tư vấn pháp lý.

Dữ liệu cá nhân có ở khắp nơi trong doanh nghiệp

Nhiều công ty nghĩ rằng mình “không làm về dữ liệu” nên không liên quan. Thực tế, gần như doanh nghiệp nào cũng xử lý dữ liệu cá nhân: hồ sơ nhân viên, bảng lương, số căn cước, danh sách khách hàng, số điện thoại trong phần mềm bán hàng, hình ảnh camera an ninh, dữ liệu chấm công vân tay hoặc khuôn mặt. Mọi thao tác như thu thập, lưu trữ, chia sẻ, chuyển ra nước ngoài hay xóa đều được coi là xử lý dữ liệu.

Các nghĩa vụ chính cần lưu ý

Sự đồng ý phải rõ ràng và chứng minh được

Doanh nghiệp phải có sự đồng ý tự nguyện, cụ thể của chủ thể dữ liệu cho từng mục đích, đồng thời lưu lại bằng chứng về việc ai đồng ý, đồng ý điều gì và vào lúc nào. Các ô tích sẵn hoặc cách trình bày gây hiểu nhầm không được chấp nhận. Hình thức đồng ý được mở rộng hơn trước, có thể qua email, website, ứng dụng hoặc cuộc gọi có ghi âm.

Hồ sơ đánh giá tác động

Doanh nghiệp xử lý dữ liệu cá nhân cần lập hồ sơ đánh giá tác động xử lý dữ liệu và, nếu chuyển dữ liệu ra nước ngoài (ví dụ dùng dịch vụ đám mây đặt máy chủ ở nước ngoài, gửi dữ liệu nhân sự về công ty mẹ), cần thêm hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Theo tổng hợp của EY, hồ sơ được gửi tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) và phải cập nhật khi mục đích xử lý hoặc các bên liên quan thay đổi.

Nhân sự hoặc bộ phận bảo vệ dữ liệu

Doanh nghiệp thuộc diện áp dụng cần chỉ định nhân sự hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân. Nghị định đặt ra tiêu chuẩn về trình độ, kinh nghiệm và đào tạo, đồng thời cho phép thuê ngoài dịch vụ hoặc kết hợp giữa nhân sự nội bộ và đơn vị bên ngoài.

Thông báo khi xảy ra sự cố

Khi phát hiện vi phạm như rò rỉ, mất dữ liệu, doanh nghiệp phải thông báo cho cơ quan chuyên trách. Với một số loại dữ liệu nhạy cảm, theo các bản tổng hợp pháp lý, thời hạn thông báo là 72 giờ kể từ khi phát hiện, kèm thông tin về tính chất sự cố, loại dữ liệu bị ảnh hưởng và biện pháp đã thực hiện. Hồ sơ sự cố cần được lưu giữ trong nhiều năm.

Quyền của chủ thể dữ liệu

Nhân viên và khách hàng có quyền được biết, yêu cầu chỉnh sửa, xóa hoặc rút lại sự đồng ý. Doanh nghiệp cần có quy trình tiếp nhận và phản hồi các yêu cầu này đúng hạn.

Ưu đãi cho doanh nghiệp nhỏ và hộ kinh doanh

Đây là điểm nhiều chủ doanh nghiệp quan tâm. Theo Nghị định 356/2025/NĐ-CP:

  • Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn các nghĩa vụ như chỉ định nhân sự bảo vệ dữ liệu và lập hồ sơ đánh giá tác động.
  • Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được miễn các nghĩa vụ trên trong 5 năm kể từ ngày 1/1/2026.
  • Ưu đãi không áp dụng nếu doanh nghiệp cung cấp dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của số lượng lớn chủ thể (theo tổng hợp của EY là từ 100.000 người trở lên).

Cần lưu ý rằng được miễn thủ tục không có nghĩa là được miễn trách nhiệm bảo vệ dữ liệu. Nếu để lộ dữ liệu khách hàng, doanh nghiệp nhỏ vẫn có thể bị xử lý.

Mức phạt đáng kể

Luật mới cho phép phạt hành chính với mức cao, trong đó một số vi phạm nghiêm trọng có thể bị phạt tới 5% doanh thu năm trước tại Việt Nam, còn hành vi mua bán dữ liệu trái phép có thể bị phạt tới 10 lần khoản thu bất chính. Ngoài phạt tiền, doanh nghiệp còn đối mặt với trách nhiệm bồi thường, thậm chí trách nhiệm hình sự trong trường hợp nghiêm trọng, cùng thiệt hại khó đo đếm về uy tín.

Biện pháp kỹ thuật không thể thiếu

Pháp luật yêu cầu biện pháp quản lý và kỹ thuật phù hợp. Ở góc độ IT, các việc nên làm gồm:

  • Lập danh mục dữ liệu cá nhân: dữ liệu gì, lưu ở đâu, ai được truy cập.
  • Phân quyền truy cập theo vai trò, bật MFA cho email và phần mềm chứa dữ liệu khách hàng.
  • Mã hóa ổ cứng laptop, mã hóa bản sao lưu và đường truyền.
  • Ghi nhật ký truy cập để có thể điều tra khi xảy ra sự cố.
  • Rà soát hợp đồng với nhà cung cấp phần mềm, dịch vụ đám mây về trách nhiệm bảo vệ dữ liệu.
  • Xóa dữ liệu không còn cần thiết theo thời hạn lưu trữ đã công bố.

Doanh nghiệp nên làm gì?

Trước hết, hãy xác định công ty thuộc nhóm nào (siêu nhỏ, nhỏ hay vừa và lớn) và có xử lý dữ liệu nhạy cảm hay không, rồi lập kế hoạch tuân thủ theo từng giai đoạn. Phần pháp lý nên tham vấn luật sư; còn phần hạ tầng như mã hóa, sao lưu, phân quyền và thiết bị bảo mật, DTIC có thể hỗ trợ tư vấn và cung cấp giải pháp phù hợp.

Nguồn tham khảo