Luật Bảo vệ dữ liệu cá nhân
Bài viết về Luật Bảo vệ dữ liệu cá nhân 2025 theo bốn chủ đề: hiểu luật, vận hành doanh nghiệp, website và cookie, quyền của người dân.
Giải thích dễ hiểu
Luật này nói về CCCD, số điện thoại khách nhập vào form: nhiều người nghĩ vậy, và đúng một phần. Họ tên, số điện thoại, số định danh cá nhân thuộc danh mục cơ bản của Nghị định 356/2025/NĐ-CP; khi xin khách đồng ý, doanh nghiệp phải nói rõ thu loại dữ liệu nào, để làm gì.
Nhưng website còn thu dữ liệu theo cách khách không nhìn thấy. quảng cáo của Facebook hay TikTok gửi trang khách đang xem, món khách bấm và mã nhận diện trình duyệt thẳng về Meta, TikTok ngay khi trang mở, dù khách chưa gõ gì. Người dán Pixel vào trang là chủ website, nên chủ website là bên chịu trách nhiệm.
Nghị định 356/2025/NĐ-CP xếp trên không gian mạng vào . Chưa có hướng dẫn chính thức nói Pixel thuộc nhóm này; theo cách hiểu thận trọng thì có, nên Pixel chỉ nên chạy sau khi khách đồng ý.
Hiểu luật
Luật 91/2025/QH15 và các nghị định đi kèm, nói bằng tiếng Việt thường ngày: dữ liệu cá nhân là gì, ai phải làm gì, phạt bao nhiêu.
Mọi bài của chủ đề- Dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài?
Pixel gửi dữ liệu khách về Meta: dùng nền tảng nước ngoài có thể là chuyển dữ liệu ra nước ngoài, cần hồ sơ trong 60 ngày. Phạt từ 30 triệu đồng.
- Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ luật dữ liệu cá nhân?
Điều 38 chỉ miễn một số nghĩa vụ cho hộ kinh doanh, doanh nghiệp nhỏ. Xử lý dữ liệu nhạy cảm, gồm Pixel theo dõi hành vi, thì có thể mất miễn trừ.
- Dữ liệu cá nhân là gì? Phân biệt dữ liệu cơ bản và nhạy cảm
Dữ liệu cá nhân là thông tin gắn với một người cụ thể. Giải thích dữ liệu cơ bản, dữ liệu nhạy cảm và vì sao Pixel, cookie cũng tính theo luật mới.
- Dữ liệu cá nhân nhạy cảm gồm những gì? Danh mục và ví dụ
Nghị định 356/2025 liệt kê dữ liệu nhạy cảm: sức khoẻ, sinh trắc học, vị trí, ảnh thẻ căn cước, ngân hàng, theo dõi hành vi trên mạng. Ví dụ theo ngành.
- Hồ sơ đánh giá tác động xử lý dữ liệu: ai phải lập, nộp ở đâu
Ai phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, ai được miễn, mẫu 01a/02a/03a, nộp qua Cổng Dịch vụ công trong 60 ngày, cập nhật 6 tháng.
- Lộ dữ liệu khách hàng: phải làm gì trong 72 giờ
Website bị hack, gửi nhầm file Excel, Google Sheet để công khai: các bước xử lý theo thứ tự và hạn báo cơ quan chuyên trách chậm nhất 72 giờ.
- Luật Bảo vệ dữ liệu cá nhân 2025: tóm tắt cho chủ doanh nghiệp
Luật 91/2025/QH15 có hiệu lực từ 1/1/2026. Tóm tắt quyền của khách, nghĩa vụ của doanh nghiệp, mức phạt, hạn nộp hồ sơ và việc cần làm với website.
- Mua bán dữ liệu cá nhân bị phạt thế nào?
Mua bán dữ liệu cá nhân, kể cả mua danh sách khách để gọi bán hàng, bị cấm. Phạt 02–10 lần khoản thu; không có khoản thu thì 70 triệu đến 3 tỷ đồng.
- Mức phạt vi phạm dữ liệu cá nhân theo Nghị định 330/2026
Bảng mức phạt theo Nghị định 330/2026/NĐ-CP: 30–50 triệu đồng cho lỗi xin đồng ý, 10–20 hay 30–40 triệu khi xử lý yêu cầu chậm, trần 3 tỷ đồng.
- Nghị định 356/2025/NĐ-CP: những điểm doanh nghiệp cần biết
Nghị định 356/2025/NĐ-CP thay Nghị định 13/2023: đồng ý phải lưu được bằng chứng, cấm mặc định đồng ý, thời hạn xử lý yêu cầu, mẫu hồ sơ và cách nộp.
- Số điện thoại có phải là dữ liệu cá nhân không?
Có. Số điện thoại nằm trong danh mục dữ liệu cá nhân cơ bản của Nghị định 356/2025/NĐ-CP. Lưu, gọi, nhắn tin cho khách cần gì, và chỗ chủ shop hay sót.
- Theo dõi hành vi trên mạng là dữ liệu nhạy cảm: Pixel, cookie cũng tính
Theo Nghị định 356/2025, dữ liệu theo dõi hành vi trên mạng là dữ liệu nhạy cảm. Pixel quảng cáo và cookie theo dõi thuộc nhóm này.
Vận hành doanh nghiệp
Dữ liệu nhân viên và ứng viên, gọi điện và nhắn tin quảng cáo, nhân sự bảo vệ dữ liệu: việc hằng ngày của doanh nghiệp.
Mọi bài của chủ đề- Bán hàng qua Facebook, Zalo có phải lo luật dữ liệu cá nhân không?
Có. Không có website, shop vẫn giữ tên, số điện thoại, địa chỉ khách và là bên kiểm soát dữ liệu. Việc cần làm với tin nhắn, file đơn hàng, ảnh feedback.
- Lắp camera ở cửa hàng, văn phòng: luật dữ liệu cá nhân đòi gì?
Hình ảnh qua camera là dữ liệu cá nhân. Báo cho khách và nhân viên, giới hạn người xem, lưu có hạn; camera nhận diện khuôn mặt cần thận trọng hơn.
- Chấm công bằng vân tay, khuôn mặt: doanh nghiệp cần làm gì?
Dữ liệu sinh trắc học là dữ liệu nhạy cảm theo Nghị định 356/2025. Chấm công vân tay, khuôn mặt cần báo rõ cho nhân viên, giữ kỹ và xoá khi nhân viên nghỉ.
- Chia sẻ dữ liệu khách hàng cho đối tác: cần thoả thuận gì?
Hãng giao hàng, kế toán thuê ngoài, agency, phần mềm bán hàng đều nhận dữ liệu khách của bạn. Ai là bên xử lý, ai là bên thứ ba, thoả thuận cần gì.
- Chụp CCCD của khách có vi phạm luật dữ liệu cá nhân không?
Ghi số CCCD là dữ liệu cơ bản, còn ảnh thẻ căn cước là dữ liệu nhạy cảm theo Nghị định 356/2025. Khi nào nên chụp, phải báo khách gì, giữ và xoá ra sao.
- Trung tâm, trường học đăng ảnh học sinh: cần xin phép những gì?
Ảnh học sinh là dữ liệu cá nhân, và Luật 91/2025 Điều 24 có quy định riêng cho trẻ em. Việc cần làm với ảnh, phiếu đăng ký, nhóm Zalo phụ huynh.
- Dữ liệu nhân viên và ứng viên: doanh nghiệp cần làm gì?
Luật Bảo vệ dữ liệu cá nhân 2025 (Điều 25) đặt ra gì với CV ứng viên, hồ sơ nhân viên và camera văn phòng? Tóm tắt dễ hiểu và việc cần làm.
- Dán dữ liệu khách hàng vào ChatGPT, công cụ AI: có sao không?
Dán tên, số điện thoại của khách vào công cụ AI là xử lý dữ liệu cá nhân, có thể là chuyển ra nước ngoài. Bỏ thông tin nhận dạng trước khi dán.
- Gọi điện, nhắn tin quảng cáo: cần gì để không vi phạm luật dữ liệu?
Telesales, SMS, Zalo quảng cáo theo Luật Bảo vệ dữ liệu cá nhân 2025: không mua bán số điện thoại, xin đồng ý và cho khách cách từ chối.
- Khách sạn, homestay giữ thông tin khách thế nào cho đúng luật?
Ảnh CCCD, hộ chiếu, danh sách khách, camera hành lang, khách đặt qua nền tảng nước ngoài: việc khách sạn, homestay nhỏ cần làm theo luật dữ liệu cá nhân.
- Mẫu văn bản đồng ý xử lý dữ liệu cá nhân: cần ghi những gì?
Mẫu phiếu đồng ý xử lý dữ liệu cá nhân cho khách đến tận nơi, giải thích từng phần theo Luật 91/2025 Điều 9, Nghị định 356/2025: mục đích, quyền, rút lại.
- Môi giới bất động sản và dữ liệu khách hàng: chỗ nào dễ phạm luật?
Mua data, chia khách cho cộng tác viên lấy hoa hồng, đăng số chủ nhà, chụp CCCD khi đặt cọc: việc môi giới bất động sản cần xem lại theo luật mới.
- Có bắt buộc phải có nhân sự bảo vệ dữ liệu cá nhân (DPO) không?
Luật 91/2025 yêu cầu tổ chức chỉ định nhân sự bảo vệ dữ liệu hoặc thuê ngoài. Doanh nghiệp nhỏ, hộ kinh doanh được miễn trừ đến đâu theo Điều 38?
- Nhân viên nghỉ việc mang theo dữ liệu khách hàng: làm gì?
Nhân viên nghỉ việc mang danh sách khách đi là chuyện thường gặp. Việc cần làm ngay, khi nào phải báo trong 72 giờ, cách phòng từ ngày nhân viên vào làm.
- Phòng khám, nha khoa và dữ liệu bệnh nhân: luật mới đòi gì?
Hồ sơ khám là dữ liệu sức khoẻ, thuộc nhóm nhạy cảm. Phòng khám nhỏ khó dựa vào miễn trừ Điều 38. Cần làm gì với form đặt lịch, nhóm Zalo, X-quang, Pixel.
- Khách đòi xoá dữ liệu: doanh nghiệp có bao nhiêu ngày?
Thời hạn xử lý yêu cầu xoá, xem, sửa dữ liệu, rút đồng ý theo Nghị định 356/2025/NĐ-CP: xoá dữ liệu 20 ngày, rút đồng ý phản hồi trong 2 ngày làm việc.
Website, cookie và Pixel
Banner xin đồng ý, Facebook Pixel, Google Analytics, chính sách trên website và ô đồng ý trên form.
Mọi bài của chủ đề- Chính sách bảo vệ dữ liệu cá nhân cho website cần có những gì
Chính sách bảo vệ dữ liệu cá nhân của website nên ghi: thu gì, để làm gì, lưu bao lâu, chia sẻ cho ai, quyền của khách và cách liên hệ. Có mục tạo sẵn.
- Cookie banner là gì, website Việt Nam có bắt buộc không?
Luật Việt Nam không có chữ 'cookie banner', nhưng website có Pixel hoặc cookie theo dõi vẫn cần xin đồng ý đúng: chặn thật, có nút Từ chối, lưu nhật ký.
- Gửi email marketing, bản tin: xin đồng ý thế nào cho đúng luật?
Email bản tin, khuyến mãi cần đồng ý riêng, không đánh dấu sẵn, lưu được bằng chứng và huỷ dễ dàng. Danh sách email mua ngoài thì không dùng.
- Facebook Pixel có vi phạm Luật bảo vệ dữ liệu cá nhân không?
Facebook Pixel gửi dữ liệu khách thẳng sang Meta, nhưng chủ website là bên chịu trách nhiệm. Gắn Pixel không sai, gắn mà chưa xin đồng ý mới là vấn đề.
- Google Analytics và Consent Mode v2: website Việt Nam cần làm gì
Consent Mode v2 là cách banner báo cho Google biết khách đã đồng ý hay chưa. Luật Việt Nam đòi đồng ý; Consent Mode giúp GA4, Google Ads theo lựa chọn đó.
- Cách kiểm tra website có đang gửi dữ liệu cho Facebook không
Tự kiểm tra website có gửi dữ liệu cho Facebook, TikTok trước khi khách đồng ý: DevTools tab Network, cookie _fbp, hoặc máy quét miễn phí. Kèm giới hạn.
- Ô đồng ý trên form đăng ký, form liên hệ: viết thế nào cho đúng
Ô đồng ý trên form phải không tick sẵn, nói rõ dùng dữ liệu làm gì, tách riêng marketing. Có mẫu câu cho form liên hệ, đăng ký học, đặt lịch.
- "Tiếp tục sử dụng là đồng ý" có hợp lệ không?
Im lặng hay cứ dùng tiếp website không phải là đồng ý. Nghị định 330/2026 phạt 50–70 triệu khi coi im lặng là đồng ý, 30–50 triệu khi mặc định đồng ý.
- TikTok Pixel và luật dữ liệu cá nhân: shop cần làm gì
TikTok Pixel gửi dữ liệu khách thẳng sang TikTok. Shop dán mã nên shop phải xin đồng ý trước. Cách chặn Pixel, giữ đo lường và lưu bằng chứng.
- Ứng dụng thu thập vị trí người dùng: luật dữ liệu cá nhân đòi gì?
Vị trí qua dịch vụ định vị là dữ liệu nhạy cảm. Ứng dụng phải thông báo việc dùng vị trí và cho người dùng tuỳ chọn theo dõi (Luật 91/2025, Điều 31).
Cho người dân
Bị gọi làm phiền, muốn công ty xoá số điện thoại, nghi dữ liệu bị lộ: quyền của bạn và cách dùng quyền đó.
Mọi bài của chủ đề- Làm sao biết ai đã bán số điện thoại của mình?
Thường không tra ra được ai bán số của bạn. Nhưng bạn có quyền hỏi công ty lấy số từ đâu, và luật cấm mua bán dữ liệu cá nhân.
- Bị gọi mời mua nhà, vay tiền: làm sao bắt họ xoá số điện thoại
Bị gọi mời mua nhà, vay tiền hoài? Bạn có quyền yêu cầu ngừng quảng cáo và xoá số điện thoại. Cách làm, hạn công ty phải trả lời.
- Cách bảo vệ dữ liệu cá nhân: 10 việc nên làm trước khi bị lộ
Mười việc người dân làm được để giữ dữ liệu cá nhân: hỏi lại trước khi gửi ảnh CCCD, từ chối ô quảng cáo, tắt định vị không cần, dùng quyền đòi xoá.
- Cách yêu cầu công ty xoá dữ liệu cá nhân của bạn (có mẫu thư)
Mẫu thư yêu cầu công ty xoá dữ liệu cá nhân, ngừng quảng cáo, cho biết giữ gì. Có căn cứ luật và hạn theo Nghị định 356/2025/NĐ-CP.
- Dữ liệu cá nhân bị lộ: bạn nên làm gì ngay
Biết dữ liệu cá nhân bị lộ? Việc cần làm ngay: cảnh giác lừa đảo, đổi mật khẩu, bật xác thực hai lớp, hỏi công ty để lộ.
- Quyền của chủ thể dữ liệu cá nhân: bạn được đòi những gì?
Luật 91/2025 Điều 4 cho bạn quyền được biết, rút lại đồng ý, xem, sửa, đòi xoá, phản đối, khiếu nại. Doanh nghiệp phải phản hồi trong 02 ngày làm việc.
Thuật ngữ
Mỗi thuật ngữ có một câu ngắn, một đoạn giải thích kèm ví dụ, và căn cứ pháp lý khi có.
Nhận tin quy định và xử phạt
Tin quy định mới và các vụ xử phạt liên quan đến dữ liệu cá nhân ở Việt Nam, mỗi tin kèm link nguồn. Thư nào cũng có liên kết huỷ nhận.
Xem các tin đã đăngĐang tải câu đồng ý…