Luật Bảo vệ dữ liệu cá nhân 2025: tóm tắt cho chủ doanh nghiệp

Trả lời nhanh: Từ 1/1/2026, Việt Nam có Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thay cho Nghị định 13/2023/NĐ-CP. Doanh nghiệp thu, lưu hay dùng thông tin của khách đều phải xin đồng ý rõ ràng, lưu được bằng chứng, trả lời yêu cầu của khách đúng hạn và báo khi lộ dữ liệu. Website gắn Pixel quảng cáo hay cookie theo dõi cũng nằm trong phạm vi này.

Mục lục

1. Luật nói gì, áp dụng cho ai
2. Các khái niệm cần nắm
3. Quyền của khách hàng
4. Nghĩa vụ chính của doanh nghiệp
5. Mức phạt
6. Doanh nghiệp nhỏ có được miễn không
7. Với website: việc cần làm trước
8. Bạn cần làm gì

Luật nói gì, áp dụng cho ai

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025, có 5 chương, 39 điều, hiệu lực từ 1/1/2026. Nghị định 356/2025/NĐ-CP quy định chi tiết luật, cũng có hiệu lực từ 1/1/2026 và thay Nghị định 13/2023/NĐ-CP. Chi tiết xem ở bài Nghị định 356/2025/NĐ-CP: những điểm doanh nghiệp cần biết.

Nhiều chủ shop nghĩ luật này chỉ để canh việc thu CCCD hay số điện thoại khách nhập vào form. Thực tế rộng hơn. Luật gọi chung là "dữ liệu cá nhân": mọi thông tin gắn với một người cụ thể. Hành vi xem hàng của một người trên website, nếu truy ngược được về họ, cũng nằm trong đó.

Các khái niệm cần nắm

Ba vai trò xuất hiện xuyên suốt:

• Chủ thể dữ liệu: người mà dữ liệu nói về, tức khách hàng, nhân viên, ứng viên của bạn.
• Bên kiểm soát dữ liệu: bên quyết định thu dữ liệu để làm gì và thu bằng cách nào. Chủ website gắn mã theo dõi vào trang của mình là bên kiểm soát.
• Bên xử lý dữ liệu: bên xử lý hộ theo yêu cầu của bên kiểm soát, ví dụ công ty làm phần mềm chăm sóc khách hàng.

Dữ liệu chia hai nhóm: cơ bản và nhạy cảm. Nhóm nhạy cảm bị kiểm soát chặt hơn. Xem Dữ liệu cá nhân là gì? Phân biệt dữ liệu cơ bản và nhạy cảm. Điểm đáng chú ý: theo Nghị định 356/2025/NĐ-CP, dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu nhạy cảm. Đọc tiếp ở Theo dõi hành vi trên mạng là dữ liệu nhạy cảm. Danh mục và ví dụ: dữ liệu cá nhân nhạy cảm gồm những gì.

Cơ quan chuyên trách về bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Luật 91/2025/QH15, Điều 33).

Quyền của khách hàng

Điều 4 Luật 91/2025/QH15 trao cho chủ thể dữ liệu các quyền chính như:

• được biết dữ liệu của mình bị xử lý thế nào;
• đồng ý, không đồng ý hoặc rút lại đồng ý;
• xem, chỉnh sửa dữ liệu;
• yêu cầu cung cấp, xoá, hạn chế xử lý dữ liệu;
• phản đối việc xử lý;
• khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường.

Doanh nghiệp phải trả lời yêu cầu đúng hạn. Theo Nghị định 356/2025/NĐ-CP, thời hạn như sau:

Cách tính chi tiết nằm ở bài Khách đòi xoá dữ liệu: doanh nghiệp có bao nhiêu ngày để làm?.

Nghĩa vụ chính của doanh nghiệp

Xin đồng ý đúng cách (Điều 9, Điều 10). Nghị định 356/2025/NĐ-CP đòi đồng ý phải rõ ràng, và bạn phải lưu được thời điểm lẫn nội dung đồng ý để kiểm chứng. Cấm mặc định là đồng ý. Cấm chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý. Khách phải rút lại được sự đồng ý. Xem “Tiếp tục sử dụng là đồng ý” có hợp lệ không? và Ô đồng ý trên form.

Xoá, huỷ, khử nhận dạng (Điều 14). Khi hết mục đích hoặc khi khách yêu cầu hợp lệ, bạn phải xoá, huỷ hoặc khử nhận dạng dữ liệu.

Mua bán dữ liệu bị cấm (Điều 7). Điều 7 còn cấm xử lý dữ liệu trái pháp luật, chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu, cản trở hoạt động bảo vệ dữ liệu. Xem Mua bán dữ liệu cá nhân bị phạt thế nào?.

Hồ sơ đánh giá tác động (Điều 21, Điều 22). Bên kiểm soát phải lập hồ sơ đánh giá tác động xử lý dữ liệu và gửi cơ quan chuyên trách trong 60 ngày kể từ ngày bắt đầu xử lý. Lập một lần, cập nhật khi có thay đổi. Chi tiết ở Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Chuyển dữ liệu ra nước ngoài (Điều 20). Luật tính cả việc dùng nền tảng đặt ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài cũng phải gửi trong 60 ngày kể từ lần chuyển đầu tiên. Xem Dùng Facebook, Google có phải là chuyển dữ liệu ra nước ngoài không?.

Báo khi lộ dữ liệu (Điều 23). Khi phát hiện vi phạm có thể gây tổn hại tới quyền nhân thân hoặc tài sản của chủ thể dữ liệu, bên kiểm soát phải thông báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện, và lập biên bản xác nhận sự việc. Xem Lộ dữ liệu khách hàng: làm gì trong 72 giờ.

Quảng cáo (Điều 28). Quy định cho bên kinh doanh dịch vụ quảng cáo: cần đồng ý của khách, phải có cách để khách từ chối, và quảng cáo theo hành vi cần đồng ý khi theo dõi website, ứng dụng. Nếu bạn chỉ tự chạy quảng cáo cho shop mình thì áp dụng ra sao cần luật sư xác nhận. Xem Gọi điện, nhắn tin quảng cáo.

Nhân viên và ứng viên (Điều 25). Chỉ hỏi thông tin phục vụ tuyển dụng, xoá thông tin ứng viên không trúng tuyển (trừ khi có thoả thuận khác), và nếu dùng công nghệ giám sát thì nhân viên phải được biết. Xem Dữ liệu nhân viên và ứng viên.

Nhân sự bảo vệ dữ liệu (Điều 33). Tổ chức phải chỉ định bộ phận hoặc nhân sự đủ năng lực, hoặc thuê dịch vụ bên ngoài. Xem Có bắt buộc phải có nhân sự bảo vệ dữ liệu cá nhân (DPO) không?.

Mức phạt

Theo Điều 8 Luật 91/2025/QH15, vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại. Mức phạt tiền tối đa với tổ chức:

Với cá nhân, mức phạt tối đa bằng một nửa mức của tổ chức. Đây là trần phạt, không phải mức phạt mặc định cho mọi vi phạm.

Về mức phạt cụ thể cho từng hành vi, Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026) có toàn văn trên Công báo. Các mức dưới đây áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1):

• Sự đồng ý (Điều 43): coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Doanh nghiệp còn có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ (khoản 4 điểm a).
• Mua bán trái phép dữ liệu (Điều 53): từ 02 đến 10 lần khoản thu (khoản 1). Nếu không có khoản thu thì từ 70–100 triệu đồng (dưới 1.000 người, hoặc dưới 200 người với dữ liệu nhạy cảm) lên tới 500 triệu–1 tỷ đồng (từ 10.000 người, hoặc từ 2.000 người với dữ liệu nhạy cảm), và 1–3 tỷ đồng nếu xâm phạm quốc phòng, an ninh, tính mạng, sức khoẻ, tài sản của người có dữ liệu (khoản 3). Bị buộc xoá dữ liệu, nộp lại khoản thu, thông báo cho người bị ảnh hưởng (khoản 5).
• Chuyển dữ liệu ra nước ngoài (Điều 56): 30–50 triệu đồng nếu không lập hoặc không nộp hồ sơ đúng hạn 60 ngày (khoản 1); 50–100 triệu đồng nếu không bảo đảm đồng ý của khách hoặc không báo cho khách việc dữ liệu được chuyển ra nước ngoài (khoản 2 điểm b). Mức 1–5% tổng doanh thu năm tài chính liền trước tại Việt Nam (khoản 3) chỉ áp dụng khi không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc (mức 3–5%) khi tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia. Nếu không có doanh thu tại Việt Nam hoặc mức theo % thấp hơn 3 tỷ đồng thì phạt 200 triệu đến 3 tỷ đồng (khoản 4). Có thể bị đình chỉ chuyển dữ liệu ra nước ngoài 06–12 tháng (khoản 5).

Các hành vi khác của nghị định này chưa được nêu hết ở bài. Bảng theo từng hành vi có ở bài mức phạt vi phạm dữ liệu cá nhân.

Doanh nghiệp nhỏ có được miễn không

Một phần. Điều 38 cho doanh nghiệp nhỏ và khởi nghiệp được chọn có hay không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 5 năm kể từ khi luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này. Nhưng doanh nghiệp xử lý dữ liệu nhạy cảm, xử lý dữ liệu của số lượng lớn chủ thể hoặc kinh doanh dịch vụ xử lý dữ liệu thì không được miễn. Và miễn trừ này không nhắc tới Điều 20 về chuyển dữ liệu ra nước ngoài. Xem bài riêng Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không?.

Ví dụ: một phòng khám nha khoa nhỏ vẫn xử lý dữ liệu sức khoẻ của bệnh nhân, nên khó dựa vào miễn trừ này.

Với website: việc cần làm trước

Website là nơi dữ liệu chảy đi nhanh nhất mà chủ doanh nghiệp ít để ý. Lấy ví dụ shop gốm Hà Linh (shop tưởng tượng) chạy quảng cáo Facebook và TikTok. Chủ shop dán Pixel của hai nền tảng vào trang. Khi khách mở trang, trình duyệt của khách gửi thẳng tới Meta và TikTok: trang đang xem, hành động (xem trang, thêm giỏ, mua), giá trị đơn, mã nhận diện trình duyệt, kèm địa chỉ IP, loại máy. Máy chủ của shop không hề thấy.

Vì chủ shop quyết định gắn mã và là bên được lợi, chủ shop là bên kiểm soát và phải xin phép khách trước. Làm đúng gồm:

1. Có banner đồng ý hiện khi khách mở trang lần đầu.
2. Chặn tự động mã theo dõi tới khi khách bấm Đồng ý.
3. Nút Từ chối ngang hàng nút Đồng ý.
4. Lưu nhật ký đồng ý làm bằng chứng.
5. Có chính sách bảo vệ dữ liệu công khai.

Từng phần có bài hướng dẫn: Cookie banner là gì, có bắt buộc không?, Facebook Pixel, TikTok Pixel, Google Analytics và Consent Mode v2, Chính sách bảo vệ dữ liệu cá nhân cho website và Cách kiểm tra website có đang gửi dữ liệu cho Facebook.

Nếu bạn là người dân

Luật cũng là công cụ của bạn. Nếu bị gọi mời mua nhà, vay tiền, xem Bị gọi mời mua nhà, vay tiền: làm sao bắt họ xoá số điện thoại và Cách yêu cầu công ty xoá dữ liệu cá nhân của bạn. Muốn truy nguồn, xem Làm sao biết ai đã bán số điện thoại của mình?. Dữ liệu bị lộ thì xem Dữ liệu cá nhân bị lộ: bạn nên làm gì ngay.

Bạn cần làm gì

• Quét website xem đang gửi dữ liệu cho bên nào (Meta, TikTok, Google…).
• Lập danh sách dữ liệu bạn đang giữ: khách, nhân viên, ứng viên.
• Gắn banner đồng ý và chặn mã theo dõi tới khi khách đồng ý.
• Đăng chính sách bảo vệ dữ liệu cá nhân trên website.
• Lập quy trình nhận và trả lời yêu cầu của khách đúng hạn.
• Soạn sẵn quy trình báo lộ dữ liệu trong 72 giờ.
• Xác định bạn có thuộc diện miễn trừ ở Điều 38 không, và có cần hồ sơ đánh giá tác động không.

Bắt đầu nhanh: nhập địa chỉ website của bạn vào máy quét miễn phí ở trang chủ, dùng kiểm tra nghĩa vụ để biết mình thuộc diện nào, hoặc tạo chính sách miễn phí.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4, 7, 8, 9, 10, 14, 20, 21, 22, 23, 25, 28, 33, 38.
• Nghị định 356/2025/NĐ-CP quy định chi tiết Luật 91/2025/QH15 (theo bản tin EY tháng 3/2026 và luatvietnam.vn).
• Nghị định 13/2023/NĐ-CP (hết hiệu lực khi Nghị định 356/2025/NĐ-CP có hiệu lực).
• Nghị định 330/2026/NĐ-CP về xử phạt (hiệu lực 19/8/2026), Điều 7, 43, 53, 56: toàn văn trên Công báo.
• Nghị quyết 22/2026/NQ-CP về rút gọn hồ sơ và phân cấp thủ tục cho công an tỉnh, từ 29/4/2026 đến hết 1/3/2027.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.