Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội khóa XV thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026, thiết lập khung pháp lý toàn diện để bảo vệ quyền riêng tư và dữ liệu cá nhân trong kỷ nguyên số. Luật áp dụng đối với mọi tổ chức, cá nhân có hoạt động thu thập và xử lý dữ liệu tại Việt Nam, quy định chặt chẽ về quyền của chủ thể dữ liệu, trách nhiệm của doanh nghiệp (như chỉ định nhân sự chuyên trách DPO) và đưa ra các chế tài xử phạt hành chính nghiêm khắc lên đến 3 tỷ đồng đối với tổ chức hoặc tới 5% doanh thu năm trước liền kề đối với vi phạm chuyển dữ liệu xuyên biên giới.
Tầm quan trọng và phạm vi điều chỉnh
Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, Luật Bảo vệ dữ liệu cá nhân 2025 đóng vai trò như một “lá chắn” pháp lý nhằm bảo vệ quyền lợi hợp pháp của cá nhân, đồng thời ngăn chặn các hành vi xâm phạm quyền riêng tư và đe dọa an ninh quốc gia. Luật tác động toàn diện đến tất cả các chủ thể, bao gồm cơ quan nhà nước, doanh nghiệp, hộ kinh doanh và cá nhân có tham gia vào quy trình thu thập, xử lý dữ liệu.
Những thay đổi mang tính đột phá
So với các quy định trước đây, Luật số 91/2025/QH15 mang đến nhiều cải cách mang tính bước ngoặt để bảo vệ dữ liệu trong kỷ nguyên số:
- Chuẩn hóa dữ liệu: Luật phân loại dữ liệu thành hai nhóm chính là “dữ liệu cá nhân cơ bản” và “dữ liệu cá nhân nhạy cảm”, giúp xác định mức độ bảo vệ tương ứng.
- Quyền của chủ thể dữ liệu: Cá nhân được trao 6 nhóm quyền chính, bao gồm: quyền được biết, quyền đồng ý hoặc rút lại sự đồng ý, quyền truy cập, quyền chỉnh sửa/xóa, quyền hạn chế xử lý và quyền khiếu nại, khởi kiện. Một nguyên tắc quan trọng được khẳng định là việc “im lặng” của chủ thể dữ liệu không được coi là sự đồng ý.
- Kiểm soát chuyển dữ liệu xuyên biên giới: Các tổ chức phải thực hiện lập Hồ sơ đánh giá tác động và gửi cho cơ quan chuyên trách trong vòng 60 ngày kể từ ngày bắt đầu thực hiện việc chuyển dữ liệu ra nước ngoài.
- Nhân sự chuyên trách (DPO): Các tổ chức kiểm soát hoặc xử lý dữ liệu bắt buộc phải chỉ định bộ phận hoặc nhân sự chuyên trách để đảm bảo tuân thủ các quy định về bảo vệ dữ liệu.
Tăng cường tính răn đe qua chế tài xử phạt
Để bảo đảm tính nghiêm minh, Luật 91/2025/QH15 thiết lập hệ thống xử phạt nghiêm khắc:
- Hành vi mua, bán dữ liệu cá nhân trái phép: Phạt tối đa 10 lần khoản thu từ vi phạm.
- Vi phạm chuyển dữ liệu xuyên biên giới: Mức phạt có thể lên tới 5% tổng doanh thu của năm trước liền kề.
- Các vi phạm hành chính khác: Mức phạt tối đa đối với tổ chức là 3 tỷ đồng, mức phạt dành cho cá nhân bằng một nửa mức phạt của tổ chức.
Ngoài ra, Luật nghiêm cấm tuyệt đối các hành vi như: xử lý dữ liệu nhằm mục đích chống lại Nhà nước, gây ảnh hưởng đến quốc phòng, an ninh; chiếm đoạt, cố ý làm lộ hoặc mua bán trái phép dữ liệu cá nhân.
Lộ trình tuân thủ cho doanh nghiệp và tổ chức
Để tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, các doanh nghiệp cần chủ động thực hiện lộ trình cụ thể:
- Xây dựng chính sách nội bộ: Ban hành các quy định về bảo vệ dữ liệu và đào tạo nhân viên thường xuyên để đảm bảo toàn bộ quy trình vận hành đều tuân thủ luật định.
- Bổ nhiệm DPO: Chỉ định nhân sự phụ trách có chuyên môn để giám sát quy trình bảo vệ dữ liệu, đồng thời là đầu mối liên lạc với các cơ quan chức năng.
- Quản trị dữ liệu chặt chẽ: Tuân thủ nguyên tắc “đúng – đủ – sạch – sống”, chỉ thu thập dữ liệu đúng mục đích đã thông báo cho chủ thể và chỉ lưu giữ trong thời hạn cần thiết.
- Đánh giá tác động: Thực hiện các báo cáo định kỳ về mức độ ảnh hưởng của việc xử lý dữ liệu đối với quyền riêng tư của chủ thể.
- Bảo mật kỹ thuật: Áp dụng các giải pháp kỹ thuật tiên tiến để mã hóa và bảo vệ dữ liệu cá nhân trước các nguy cơ tấn công mạng.
Việc tuân thủ Luật 91/2025/QH15 không chỉ giúp doanh nghiệp tránh được các chế tài nặng nề mà còn xây dựng lòng tin vững chắc với khách hàng. Trong môi trường kinh doanh hiện đại, sự minh bạch trong quản lý dữ liệu cá nhân đã trở thành yếu tố cốt lõi để nâng cao năng lực cạnh tranh và phát triển bền vững.
Câu hỏi thường gặp (FAQs)
Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ khi nào?
Luật có hiệu lực thi hành kể từ ngày 01/01/2026.
Nếu chủ thể dữ liệu không phản hồi thì có được coi là đã đồng ý không?
Không, theo Luật số 91/2025/QH15, sự im lặng của chủ thể dữ liệu không được coi là sự đồng ý.
Mức phạt cao nhất đối với tổ chức vi phạm là bao nhiêu?
Tổ chức có thể bị phạt tối đa 3 tỷ đồng, hoặc lên tới 5% doanh thu năm trước liền kề tùy theo tính chất hành vi vi phạm.
Khi chuyển dữ liệu ra nước ngoài, doanh nghiệp cần làm gì?
Doanh nghiệp phải lập Hồ sơ đánh giá tác động và gửi cho cơ quan chuyên trách trong vòng 60 ngày kể từ ngày thực hiện chuyển dữ liệu.
DPO có vai trò gì trong Luật này?
DPO là nhân sự hoặc bộ phận chuyên trách được doanh nghiệp chỉ định để chịu trách nhiệm bảo vệ dữ liệu cá nhân và giám sát việc tuân thủ các quy định pháp luật.