Trong bối cảnh chuyển đổi số và hoạt động kinh doanh ngày càng phụ thuộc vào việc thu thập, lưu trữ, khai thác thông tin khách hàng, người lao động và đối tác, dữ liệu cá nhân đang trở thành một nguồn tài nguyên quan trọng đối với doanh nghiệp. Tuy nhiên, việc xử lý dữ liệu cá nhân không đúng quy định có thể dẫn đến những rủi ro pháp lý đáng kể, ảnh hưởng trực tiếp đến quyền riêng tư của cá nhân cũng như uy tín và hoạt động kinh doanh của doanh nghiệp.
Đặc biệt, kể từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, đặt ra khuôn khổ pháp lý mới về quyền của chủ thể dữ liệu và trách nhiệm của các tổ chức, cá nhân tham gia hoạt động xử lý dữ liệu cá nhân. Vậy doanh nghiệp cần thực hiện những nghĩa vụ gì để bảo đảm tuân thủ pháp luật?
1. Dữ liệu cá nhân là gì? Doanh nghiệp nào phải tuân thủ quy định về bảo vệ dữ liệu cá nhân?
Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Trong hoạt động kinh doanh, dữ liệu cá nhân có thể bao gồm:
- Thông tin định danh: Họ tên, ngày tháng năm sinh, số CCCD, số hộ chiếu;
- Thông tin liên hệ: Địa chỉ cư trú, số điện thoại, địa chỉ email;
- Thông tin tài chính: Thông tin tài khoản ngân hàng và các thông tin tài chính gắn với cá nhân;
- Thông tin người lao động: Hồ sơ nhân sự, quá trình làm việc, thu nhập và thông tin liên quan;
- Thông tin khách hàng: Lịch sử giao dịch, nhu cầu mua sắm, thông tin sử dụng dịch vụ;
- Dữ liệu nhạy cảm: Những dữ liệu thuộc nhóm nhạy cảm theo quy định pháp luật, có thể ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân khi bị xâm phạm.
Theo Điều 1 Luật Bảo vệ dữ liệu cá nhân năm 2025, phạm vi áp dụng không chỉ giới hạn ở các cơ quan, tổ chức, cá nhân Việt Nam mà còn bao gồm tổ chức, cá nhân nước ngoài tại Việt Nam và một số chủ thể nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam.
Do đó, doanh nghiệp cần xác định rõ các hoạt động thu thập, lưu trữ, sử dụng, chia sẻ và xử lý dữ liệu cá nhân đang diễn ra trong quá trình hoạt động để xác định nghĩa vụ tuân thủ tương ứng.
2. Những nghĩa vụ pháp lý doanh nghiệp cần thực hiện khi xử lý dữ liệu cá nhân
2.1. Xác định mục đích và căn cứ xử lý dữ liệu cá nhân
Doanh nghiệp cần xác định rõ mục đích xử lý dữ liệu cá nhân trước khi tiến hành thu thập và sử dụng thông tin. Việc thu thập dữ liệu phải gắn với mục đích cụ thể, hợp pháp và phù hợp với hoạt động xử lý đã được xác định.
Chẳng hạn, doanh nghiệp thu thập số điện thoại của khách hàng để thực hiện giao hàng không đồng nghĩa với việc doanh nghiệp mặc nhiên được quyền sử dụng số điện thoại đó để gửi quảng cáo hoặc cung cấp cho bên thứ ba phục vụ mục đích tiếp thị.
Đặc biệt, doanh nghiệp cần lưu ý rằng việc xử lý dữ liệu cá nhân phải có căn cứ hợp pháp theo quy định của Luật Bảo vệ dữ liệu cá nhân. Sự đồng ý của chủ thể dữ liệu là một căn cứ quan trọng, nhưng không phải căn cứ duy nhất trong mọi trường hợp. Doanh nghiệp cần kiểm tra các trường hợp xử lý dữ liệu không cần sự đồng ý được pháp luật cho phép.
2.2. Bảo đảm quyền của chủ thể dữ liệu cá nhân
Theo khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025, cá nhân có các quyền cơ bản đối với dữ liệu cá nhân của mình, bao gồm:
- Được biết về hoạt động xử lý dữ liệu cá nhân;
- Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
- Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
- Yêu cầu cung cấp, xóa hoặc hạn chế xử lý dữ liệu cá nhân;
- Gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
- Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.
Như vậy, doanh nghiệp không chỉ có trách nhiệm bảo vệ thông tin mà còn phải có cơ chế tiếp nhận và xử lý các yêu cầu hợp pháp của chủ thể dữ liệu.
Ví dụ, khi khách hàng yêu cầu doanh nghiệp xóa thông tin cá nhân đã cung cấp, doanh nghiệp cần xem xét căn cứ xử lý, mục đích lưu trữ và các nghĩa vụ lưu giữ dữ liệu theo quy định pháp luật để giải quyết phù hợp.
2.3. Thiết lập biện pháp bảo vệ dữ liệu cá nhân
Doanh nghiệp cần xây dựng và triển khai các biện pháp quản lý, kỹ thuật phù hợp nhằm hạn chế nguy cơ truy cập trái phép, tiết lộ, chiếm đoạt, thay đổi hoặc làm mất dữ liệu cá nhân.
Một số biện pháp doanh nghiệp có thể triển khai gồm:
- Phân quyền truy cập dữ liệu theo chức năng và nhiệm vụ của từng bộ phận;
- Thiết lập quy trình quản lý, lưu trữ và tiêu hủy dữ liệu;
- Sử dụng các biện pháp bảo mật phù hợp đối với hệ thống thông tin;
- Kiểm soát việc sao chép, tải xuống và chia sẻ dữ liệu nội bộ;
- Xây dựng quy trình ứng phó khi xảy ra sự cố liên quan đến dữ liệu cá nhân;
- Đào tạo nhân viên về trách nhiệm bảo mật thông tin trong quá trình làm việc.
Đặc biệt, doanh nghiệp cần kiểm soát việc nhân viên sử dụng dữ liệu khách hàng, đối tác và đồng nghiệp ngoài phạm vi công việc được giao.
2.4. Rà soát hoạt động chia sẻ và chuyển dữ liệu cá nhân cho bên thứ ba
Trong quá trình kinh doanh, doanh nghiệp thường xuyên chia sẻ dữ liệu với các đơn vị cung cấp dịch vụ, đơn vị vận chuyển, đối tác tiếp thị, nền tảng công nghệ hoặc công ty mẹ ở nước ngoài.
Việc chia sẻ dữ liệu cần được xem xét trên cơ sở mục đích, vai trò của từng bên và căn cứ xử lý hợp pháp. Doanh nghiệp cần xác định rõ trách nhiệm của các bên trong hợp đồng, phạm vi dữ liệu được tiếp cận, biện pháp bảo mật và cách thức xử lý khi xảy ra vi phạm.
Đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới, doanh nghiệp cần đặc biệt lưu ý các điều kiện và nghĩa vụ đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định số 356/2025/NĐ-CP.
2.5. Xây dựng hồ sơ và cơ chế quản lý việc xử lý dữ liệu cá nhân
Doanh nghiệp cần rà soát và thiết lập hệ thống tài liệu nội bộ phục vụ việc quản lý dữ liệu cá nhân, tùy theo vai trò, quy mô và hoạt động xử lý thực tế.
Các tài liệu có thể bao gồm:
- Chính sách bảo vệ dữ liệu cá nhân;
- Thông báo xử lý dữ liệu cá nhân dành cho khách hàng và người lao động;
- Mẫu ghi nhận sự đồng ý khi pháp luật yêu cầu;
- Quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu;
- Quy chế phân quyền và kiểm soát truy cập dữ liệu;
- Thỏa thuận xử lý dữ liệu với đối tác;
- Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ liên quan đến chuyển dữ liệu xuyên biên giới khi thuộc trường hợp phải thực hiện.
Ngoài ra, doanh nghiệp cần rà soát yêu cầu về nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân theo quy định áp dụng đối với mình. Không nên mặc định mọi doanh nghiệp đều có cùng một nghĩa vụ hoặc cùng một phạm vi miễn trừ.
3. Doanh nghiệp có thể phải đối mặt với những hậu quả pháp lý nào nếu vi phạm?
Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025, tổ chức, cá nhân có hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, tùy theo tính chất và mức độ, có thể bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự. Trường hợp gây thiệt hại còn có thể phải bồi thường theo quy định pháp luật. Các mức phạt tiền tối đa được quy định đối với tổ chức như sau:
- Đối với hành vi mua, bán dữ liệu cá nhân: Có thể bị phạt tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm trong trường hợp áp dụng phương pháp tính theo khoản thu;
- Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: Mức phạt tối đa có thể lên đến 5% doanh thu của năm trước liền kề;
- Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân: Mức phạt tiền tối đa là 03 tỷ đồng.
Cần lưu ý, đây là mức phạt tối đa theo từng nhóm hành vi, không phải mức phạt mặc nhiên áp dụng cho mọi trường hợp vi phạm. Việc xác định mức phạt cụ thể phải căn cứ vào hành vi, tính chất, mức độ và các quy định xử phạt có liên quan.
Bên cạnh chế tài hành chính, việc để lộ hoặc làm mất dữ liệu cá nhân còn có thể dẫn đến tranh chấp, yêu cầu bồi thường thiệt hại, mất niềm tin của khách hàng và ảnh hưởng đến hoạt động kinh doanh của doanh nghiệp.
4. Doanh nghiệp cần làm gì để chủ động phòng ngừa rủi ro pháp lý?
Để hạn chế nguy cơ vi phạm, doanh nghiệp nên chủ động triển khai các công việc sau:
Thứ nhất, rà soát toàn bộ dữ liệu cá nhân đang quản lý. Xác định dữ liệu được thu thập từ đâu, thuộc nhóm nào, đang được lưu trữ ở đâu và bộ phận nào có quyền tiếp cận.
Thứ hai, kiểm tra mục đích và căn cứ xử lý dữ liệu. Đối chiếu từng hoạt động thu thập, sử dụng, chia sẻ dữ liệu với quy định pháp luật để phát hiện những hoạt động chưa có căn cứ phù hợp.
Thứ ba, rà soát hợp đồng và chính sách nội bộ. Điều chỉnh các hợp đồng với khách hàng, người lao động và đối tác có nội dung liên quan đến xử lý dữ liệu cá nhân.
Thứ tư, xây dựng quy trình bảo mật và ứng phó sự cố. Phân công trách nhiệm cụ thể cho từng bộ phận, đồng thời thiết lập cơ chế tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu.
Thứ năm, tổ chức đào tạo và kiểm tra tuân thủ định kỳ. Nhân viên cần được phổ biến về trách nhiệm bảo mật thông tin, đặc biệt là những người trực tiếp tiếp cận dữ liệu khách hàng và dữ liệu nhân sự.
Tóm lại, việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không chỉ là yêu cầu pháp lý mà còn là một yếu tố quan trọng trong quản trị rủi ro và xây dựng uy tín của doanh nghiệp.
Căn cứ pháp lý:
1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, có hiệu lực từ ngày 01/01/2026.
2. Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026.
3. Các văn bản quy phạm pháp luật có liên quan đến bảo vệ dữ liệu cá nhân và xử lý vi phạm hành chính trong lĩnh vực dữ liệu.
Lưu ý: Nội dung bài viết nhằm cung cấp thông tin pháp lý tham khảo, không thay thế ý kiến tư vấn đối với từng vụ việc cụ thể.
