Luật Dữ liệu cá nhân số 60/2024/QH15 chính thức có hiệu lực từ ngày 01/07/2025 tại Việt Nam. Đây là văn bản pháp luật đầu tiên chuyên biệt về bảo vệ dữ liệu cá nhân, đặt ra khung pháp lý rõ ràng cho mọi doanh nghiệp thu thập và xử lý thông tin người dùng. Nghị định 165/2025/NĐ-CP hướng dẫn chi tiết cách thức thực hiện, buộc các tổ chức phải tuân thủ nghiêm ngặt nếu không muốn đối mặt với mức phạt lên đến hàng trăm triệu đồng.
Bài viết tổng hợp những điểm quan trọng nhất mà chủ doanh nghiệp, lập trình viên và người dùng cá nhân cần hiểu về Luật Dữ liệu cá nhân.
Luật Dữ liệu cá nhân là gì?
Luật Dữ liệu cá nhân (Luật số 60/2024/QH15) được Quốc hội thông qua ngày 30/11/2024 và có hiệu lực từ 01/07/2025. Luật này quy định về hoạt động bảo vệ dữ liệu cá nhân, bao gồm nguyên tắc xử lý, quyền của cá nhân, nghĩa vụ của tổ chức xử lý dữ liệu và cơ chế giám sát.
Theo Luật, dữ liệu cá nhân bao gồm hai loại chính:
- Dữ liệu cá nhân cơ bản: tên, ngày sinh, số điện thoại, email, số CMND/CCCD, địa chỉ nơi cư trú.
- Dữ liệu cá nhân nhạy cảm: quan điểm chính trị, sức khỏe, tài chính, vị trí, sinh trắc học, tín dụng, dữ liệu vị trí.
Nghị định 165/2025/NĐ-CP hướng dẫn chi tiết
Nghị định 165/2025/NĐ-CP được Chính phủ ban hành ngày 18/8/2025, hướng dẫn thi hành Luật Dữ liệu cá nhân. Điểm đáng chú ý:
- Doanh nghiệp phải hoàn thành rà soát dữ liệu cá nhân và xây dựng hệ thống quản lý trước hạn theo quy định.
- Các cơ quan nhà nước phải áp dụng quy định bảo vệ dữ liệu ngay cả trong nội bộ.
- Quy định về chuyển giao dữ liệu cá nhân ra nước ngoài được siết chặt.
- Cơ chế khiếu nại, tố cáo và bồi thường thiệt hại được quy định rõ ràng.
Quyền của cá nhân khi bị thu thập dữ liệu
Luật trao cho mỗi cá nhân những quyền cơ bản sau:
- Quyền được biết: Biết rõ tổ chức nào đang xử lý dữ liệu, mục đích và thời hạn lưu trữ.
- Quyền đồng ý: Yêu cầu xác nhận bằng văn bản trước khi tổ chức thu thập dữ liệu.
- Quyền truy cập: Yêu cầu tổ chức cung cấp bản sao dữ liệu cá nhân đang lưu trữ.
- Quyền xóa: Yêu cầu xóa dữ liệu khi mục đích xử lý đã hoàn thành hoặc khi có khiếu nại.
- Quyền hạn chế xử lý: Yêu cầu ngừng xử lý dữ liệu trong một khoảng thời gian nhất định.
- Quyền khiếu nại: Khiếu nại đến cơ quan nhà nước có thẩm quyền.
Nghĩa vụ của doanh nghiệp khi xử lý dữ liệu
Chủ doanh nghiệp cần lưu ý những nghĩa vụ chính sau đây:
- Thực hiện đánh giá tác động xử lý dữ liệu cá nhân (DPIA) trước khi xử lý dữ liệu ở quy mô lớn.
- Báo cáo Bộ Công an về hoạt động xử lý dữ liệu theo định kỳ.
- Thông báo cho người dùng khi xảy ra sự cố rò rỉ dữ liệu trong vòng 72 giờ.
- Thiết lập bộ phận phụ trách bảo vệ dữ liệu cá nhân (DPO) trong một số trường hợp bắt buộc.
- Lưu trữ dữ liệu không quá thời hạn cần thiết để đạt mục đích xử lý.
Mức phạt vi phạm Luật Dữ liệu cá nhân
Mức phạt được quy định rõ ràng trong Nghị định 165/2025/NĐ-CP. Cụ thể:
- Phạt hành chính: Từ 50 triệu đến 200 triệu đồng cho các hành vi thu thập trái phép, xử lý sai mục đích.
- Phạt nặng: Từ 200 triệu đến 500 triệu đồng nếu vi phạm quy định chuyển giao dữ liệu ra nước ngoài.
- Ngừng hoạt động: Doanh nghiệp có thể bị yêu cầu ngừng hoạt động kinh doanh liên quan đến xử lý dữ liệu.
- Truy cứu trách nhiệm hình sự: Trong trường hợp nghiêm trọng, người vi phạm có thể bị truy tố.
Cách doanh nghiệp chuẩn bị tuân thủ
Các bước cần thực hiện ngay:
- Rà soát toàn bộ dữ liệu: Liệt kê tất cả dữ liệu cá nhân đang lưu trữ, nguồn thu thập, mục đích sử dụng.
- Xây dựng chính sách bảo mật: Viết rõ ràng chính sách thu thập, xử lý và lưu trữ dữ liệu.
- Cập nhật điều khoản sử dụng: Điều chỉnh điều khoản trên website và ứng dụng theo quy định mới.
- Triển khai cơ chế đồng ý: Đảm bảo người dùng đồng ý rõ ràng trước khi thu thập dữ liệu.
- Đào tạo nhân viên: Nhân viên IT và marketing cần hiểu quy định mới.
- Kiểm tra định kỳ: Lên lịch rà soát dữ liệu theo quý hoặc theo năm.
So sánh với GDPR của châu Âu
Luật Dữ liệu cá nhân Việt Nam có nhiều điểm tương đồng với GDPR (General Data Protection Regulation) của Liên minh châu Âu:
| Điểm so sánh | Luật VN (60/2024) | GDPR |
|---|---|---|
| Phạm vi áp dụng | Tổ chức xử lý dữ liệu tại VN | Tổ chức xử lý dữ liệu công dân EU |
| Cơ chế đồng ý | Bắt buộc đồng ý trước khi thu thập | Bắt buộc consent hợp lệ |
| Mức phạt | 50-500 triệu VND | Tối đa 20 triệu EUR hoặc 4% doanh thu |
| Thông báo rò rỉ | Trong 72 giờ | Trong 72 giờ |
| DPIA | Bắt buộc cho xử lý quy mô lớn | Bắt buộc cho xử lý rủi ro cao |
Đối tượng nào cần đặc biệt quan tâm?
Luật áp dụng cho:
- Tất cả doanh nghiệp đang thu thập dữ liệu khách hàng qua website, ứng dụng di động, POS.
- Các công ty công nghệ, fintech, y tế, giáo dục có lưu trữ dữ liệu người dùng.
- Người bán hàng trên các sàn thương mại điện tử (Shopee, Lazada, Tiki).
- Doanh nghiệp sử dụng Google Analytics, Facebook Pixel hoặc các công cụ phân tích hành vi.
Cần lưu ý rằng ngay cả doanh nghiệp nhỏ cũng phải tuân thủ nếu thu thập dữ liệu cá nhân từ khách hàng.
Tóm tắt và khuyến nghị
Luật Dữ liệu cá nhân Việt Nam đánh dấu bước tiến quan trọng trong việc bảo vệ quyền riêng tư trực tuyến. Doanh nghiệp cần:
- Bắt đầu triển khai ngay các biện pháp tuân thủ, không đợi đến hạn cuối.
- Tham khảo hướng dẫn chi tiết từ Bộ Công an và Thanh tra Bộ Thông tin Truyền thông.
- Theo dõi cập nhật từ Nghị định 165/2025/NĐ-CP để nắm rõ các quy định mới nhất.
- Đầu tư vào hệ thống quản lý dữ liệu an toàn và minh bạch.
Bài viết được tham khảo từ Thư viện Pháp luật Việt Nam và Chinhphu.vn.
