PDP Law

Các nguyên tắc này cho thấy việc tuân thủ quyền riêng tư cần được tích hợp vào chương trình quản trị dữ liệu và an ninh rộng hơn của tổ chức.

Dữ liệu cá nhân theo pháp luật Việt Nam là gì?

Luật Bảo vệ dữ liệu cá nhân của Việt Nam định nghĩa dữ liệu cá nhân theo nghĩa rộng là dữ liệu số hoặc thông tin ở dạng khác giúp xác định hoặc góp phần xác định một cá nhân cụ thể.

Khuôn khổ này phân biệt giữa:

Do đó, tổ chức nên duy trì một danh mục dữ liệu xác định rõ cả loại dữ liệu cá nhân được xử lý lẫn việc dữ liệu đó có thuộc nhóm được bảo vệ đặc biệt hay không.

Căn cứ pháp lý để xử lý dữ liệu cá nhân

Sự đồng ý không phải là yêu cầu bắt buộc chung cho mọi hoạt động xử lý theo luật hiện hành của Việt Nam.

Luật định nghĩa sự đồng ý là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.

Theo đó, tổ chức nên xác định:

1. 1Dữ liệu cá nhân nào đang được xử lý;
2. 2Vì sao dữ liệu đó được xử lý;
3. 3Căn cứ pháp lý nào cho phép việc xử lý;
4. 4Sự đồng ý có bắt buộc hay không;
5. 5Phải cung cấp thông báo nào;
6. 6Những biện pháp bảo vệ nào được áp dụng; và
7. 7Có bắt buộc phải lập hồ sơ đánh giá tác động hoặc tài liệu khác hay không.

Đây là một thay đổi quan trọng so với cách mô tả khuôn khổ của Việt Nam như là đơn thuần yêu cầu sự đồng ý cho mọi hoạt động xử lý.

Yêu cầu về sự đồng ý

Khi sự đồng ý là căn cứ pháp lý được áp dụng, doanh nghiệp nên thiết kế cơ chế đồng ý sao cho rõ ràng, có thể chứng minh và được lập hồ sơ phù hợp.

Theo khuôn khổ hiện hành:

• Sự đồng ý là việc chủ thể dữ liệu cho phép xử lý dữ liệu;
• Các yêu cầu pháp lý áp dụng sẽ quyết định khi nào cần có sự đồng ý;
• Tổ chức phải chứng minh được căn cứ của việc xử lý;
• Sự đồng ý cần được ghi nhận thông qua cơ chế phù hợp và có thể tái tạo khi được yêu cầu; và
• Tổ chức nên lưu giữ bằng chứng chứng minh cho hoạt động xử lý.

Nghị định 356/2025/NĐ-CP thừa nhận các phương thức bao gồm đồng ý bằng văn bản, cuộc gọi được ghi âm, tin nhắn SMS, email, website, nền tảng, ứng dụng và các phương thức khác có thể tái tạo hoặc kiểm chứng.

Không nên coi sự đồng ý là vật thay thế cho quản trị quyền riêng tư

Chỉ riêng một banner đồng ý không tạo nên sự tuân thủ đầy đủ.

Doanh nghiệp nên kết nối việc quản lý sự đồng ý với:

• Thông báo quyền riêng tư;
• Danh mục dữ liệu;
• Hồ sơ hoạt động xử lý;
• Quy trình thực hiện quyền của chủ thể dữ liệu;
• Chính sách lưu trữ;
• Biện pháp kiểm soát an ninh;
• Quản lý nhà cung cấp;
• Kiểm soát việc chuyển dữ liệu xuyên biên giới; và
• Hồ sơ đánh giá tác động khi áp dụng.

Thông báo quyền riêng tư và tính minh bạch

Tổ chức nên cung cấp cho cá nhân thông tin phù hợp về việc xử lý dữ liệu cá nhân của họ.

Một thông báo quyền riêng tư thiết thực cần giải thích, khi có liên quan:

• Dữ liệu cá nhân nào được thu thập;
• Mục đích xử lý;
• Dữ liệu được sử dụng như thế nào;
• Căn cứ pháp lý được áp dụng;
• Các bên nhận hoặc nhóm bên nhận có liên quan;
• Các yếu tố về thời hạn lưu trữ dữ liệu;
• Việc chuyển dữ liệu quốc tế hoặc xuyên biên giới;
• Các quyền của cá nhân;
• Cách cá nhân có thể thực hiện quyền của mình;
• Thông tin liên hệ cho các yêu cầu liên quan đến quyền riêng tư; và
• Các thông tin khác theo quy định của pháp luật áp dụng.

Đối với website và ứng dụng, tính minh bạch cần mở rộng đến cookie, công cụ phân tích, công nghệ quảng cáo, công nghệ theo dõi và các định danh trực tuyến khác khi chúng liên quan đến dữ liệu cá nhân.

Quyền của chủ thể dữ liệu

Luật Bảo vệ dữ liệu cá nhân của Việt Nam quy định các quyền của chủ thể dữ liệu cá nhân và thiết lập trách nhiệm tương ứng cho các tổ chức xử lý dữ liệu cá nhân.

Tùy theo hoàn cảnh áp dụng, tổ chức cần sẵn sàng xử lý các yêu cầu liên quan đến:

• Truy cập dữ liệu cá nhân;
• Chỉnh sửa hoặc cập nhật dữ liệu không chính xác;
• Rút lại sự đồng ý khi việc xử lý dựa trên sự đồng ý;
• Xóa dữ liệu khi pháp luật cho phép;
• Hạn chế xử lý khi áp dụng;
• Phản đối hoặc các quyền khác được pháp luật thừa nhận; và
• Các quyền khác theo quy định của Luật Bảo vệ dữ liệu cá nhân và các văn bản hướng dẫn thi hành.

Tổ chức nên thiết lập quy trình nội bộ để tiếp nhận, xác thực, theo dõi và phản hồi yêu cầu của chủ thể dữ liệu trong thời hạn luật định.

Dữ liệu cá nhân của trẻ em

Việc xử lý dữ liệu cá nhân liên quan đến trẻ em đòi hỏi các biện pháp bảo vệ bổ sung theo khuôn khổ bảo vệ dữ liệu cá nhân của Việt Nam.

Doanh nghiệp cung cấp dịch vụ cho trẻ em hoặc biết rõ mình đang xử lý dữ liệu cá nhân của trẻ em nên đánh giá:

• Các yêu cầu liên quan đến độ tuổi;
• Yêu cầu về sự đồng ý;
• Sự tham gia của cha mẹ hoặc người đại diện theo pháp luật khi được yêu cầu;
• Thông báo quyền riêng tư phù hợp;
• Việc tối thiểu hóa dữ liệu;
• Biện pháp bảo vệ an ninh; và
• Yêu cầu về lưu trữ và xóa dữ liệu.

Các dịch vụ hướng đến trẻ em nên đưa những yêu cầu này vào thiết kế sản phẩm thay vì coi đó là việc bổ sung sau.

Dữ liệu cá nhân nhạy cảm

Dữ liệu cá nhân nhạy cảm được bảo vệ ở mức cao hơn theo khuôn khổ của Việt Nam.

Doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm nên xác định nhóm dữ liệu liên quan và đánh giá xem có phát sinh nghĩa vụ bổ sung đối với các nội dung sau hay không:

• Căn cứ pháp lý;
• Tính minh bạch;
• An ninh;
• Quản trị;
• Đánh giá tác động;
• Kiểm soát truy cập;
• Lưu trữ;
• Chuyển dữ liệu; và
• Quản lý sự cố.

Một chương trình quyền riêng tư nên duy trì danh mục rõ ràng cho thấy dữ liệu cá nhân nhạy cảm được thu thập, xử lý, lưu trữ hoặc chuyển giao ở đâu.

Đánh giá tác động xử lý dữ liệu cá nhân

Khuôn khổ hiện hành của Việt Nam bao gồm các yêu cầu về đánh giá tác động đối với những hoạt động xử lý được quy định.

Tổ chức nên đánh giá xem hoạt động xử lý của mình có cần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hay không và bảo đảm hồ sơ bắt buộc được lưu giữ và nộp theo đúng quy định áp dụng.

Một đánh giá hiệu quả cần xem xét:

• Các loại dữ liệu cá nhân;
• Mục đích xử lý;
• Phương thức xử lý;
• Rủi ro đối với chủ thể dữ liệu;
• Biện pháp bảo vệ an ninh;
• Thời hạn lưu trữ;
• Các thỏa thuận chia sẻ dữ liệu;
• Bên xử lý dữ liệu cá nhân và bên thứ ba;
• Việc xử lý xuyên biên giới; và
• Các biện pháp được sử dụng để giảm thiểu rủi ro đã xác định.

Chuyển dữ liệu xuyên biên giới

Việc xử lý xuyên biên giới là một lĩnh vực tuân thủ quan trọng theo luật hiện hành của Việt Nam.

Nghị định 356/2025/NĐ-CP định nghĩa hoạt động chuyển dữ liệu xuyên biên giới theo nghĩa rộng, bao gồm cả các trường hợp liên quan đến việc chuyển hoặc xử lý dữ liệu cá nhân được thu thập hoặc lưu trữ tại Việt Nam thông qua hạ tầng ở nước ngoài, dịch vụ đám mây nước ngoài hoặc bên nhận ở nước ngoài.

Doanh nghiệp sử dụng:

• Nhà cung cấp dịch vụ đám mây quốc tế;
• Hệ thống CRM toàn cầu;
• Nền tảng phân tích ở nước ngoài;
• Nền tảng quảng cáo quốc tế;
• Ứng dụng SaaS nước ngoài;
• Công cụ hỗ trợ khách hàng toàn cầu; hoặc
• Nhà cung cấp dịch vụ xử lý dữ liệu ở nước ngoài

nên đánh giá xem hoạt động của mình có cấu thành việc xử lý xuyên biên giới thuộc diện điều chỉnh hay không.

Tùy từng trường hợp, tổ chức có thể phải lập hoặc lưu giữ hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài hoặc tuân thủ một cơ chế luật định khác được áp dụng.

Yêu cầu về an ninh dữ liệu

Tổ chức xử lý dữ liệu cá nhân nên triển khai các biện pháp bảo vệ về tổ chức, kỹ thuật và con người phù hợp.

Các biện pháp an ninh có thể bao gồm:

• Kiểm soát truy cập;
• Xác thực;
• Mã hóa khi phù hợp;
• An ninh mạng và an ninh ứng dụng;
• Ghi nhật ký và giám sát;
• Quản lý lỗ hổng;
• Sao lưu và khôi phục;
• Đào tạo nhân viên;
• Kiểm soát an ninh đối với nhà cung cấp;
• Quy trình ứng phó sự cố; và
• Kiểm soát việc tối thiểu hóa và lưu trữ dữ liệu.

Mức độ an ninh cần tương xứng với tính chất và rủi ro gắn với dữ liệu đang được xử lý.

Thông báo vi phạm dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân hiện hành của Việt Nam thiết lập yêu cầu thông báo trong vòng 72 giờ đối với các vi phạm dữ liệu cá nhân thuộc diện phải thông báo kể từ khi tổ chức liên quan phát hiện hành vi vi phạm.

Yêu cầu này áp dụng đối với các vi phạm thuộc diện có thể gây thiệt hại tới những vấn đề như quốc phòng hoặc an ninh quốc gia, trật tự và an toàn xã hội, tính mạng hoặc sức khỏe, danh dự và nhân phẩm, hoặc tài sản, tùy thuộc vào các điều kiện luật định.

Do đó, tổ chức nên duy trì quy trình ứng phó sự cố có khả năng:

1. 1Phát hiện một vi phạm tiềm ẩn;
2. 2Đánh giá sự cố;
3. 3Xác định xem ngưỡng luật định có được đáp ứng hay không;
4. 4Báo cáo sự cố lên cấp có thẩm quyền trong nội bộ;
5. 5Chuẩn bị các thông báo bắt buộc;
6. 6Lập hồ sơ về việc ứng phó; và
7. 7Thực hiện các biện pháp khắc phục.

Quy trình quản lý sự cố về quyền riêng tư nên được kết nối với chương trình ứng phó sự cố an ninh mạng rộng hơn của tổ chức.

Bên kiểm soát và bên xử lý dữ liệu cá nhân

Doanh nghiệp nên xác định rõ vai trò của mình khi xử lý dữ liệu cá nhân.

Tùy theo hoạt động, một tổ chức có thể đóng vai trò là:

• Bên kiểm soát dữ liệu cá nhân;
• Bên xử lý dữ liệu cá nhân;
• Bên vừa kiểm soát vừa xử lý dữ liệu cá nhân; hoặc
• Một bên tham gia khác thuộc diện điều chỉnh trong chuỗi xử lý dữ liệu.

Hợp đồng với bên xử lý dữ liệu và nhà cung cấp cần quy định rõ:

• Mục đích xử lý;
• Các loại dữ liệu;
• Nghĩa vụ về an ninh;
• Tính bảo mật;
• Việc sử dụng bên xử lý phụ;
• Thời hạn lưu trữ dữ liệu;
• Việc xóa hoặc trả lại dữ liệu;
• Thông báo sự cố;
• Hỗ trợ xử lý yêu cầu của chủ thể dữ liệu; và
• Trách nhiệm đối với việc xử lý xuyên biên giới.

Lưu trữ và xóa dữ liệu

Khuôn khổ của Việt Nam yêu cầu dữ liệu cá nhân phải được lưu trữ trong thời gian phù hợp với mục đích xử lý, trừ trường hợp luật khác có quy định khác.

Do đó, tổ chức nên duy trì lịch lưu trữ được lập thành văn bản, bao gồm:

• Thông tin khách hàng;
• Dữ liệu người lao động;
• Cơ sở dữ liệu marketing;
• Thông tin tài khoản;
• Hồ sơ đồng ý;
• Dữ liệu cookie và dữ liệu theo dõi;
• Hồ sơ hỗ trợ khách hàng;
• Yêu cầu của chủ thể dữ liệu;
• Nhật ký an ninh; và
• Dữ liệu cá nhân do nhà cung cấp nắm giữ.

Không nên lưu trữ vô thời hạn chỉ vì về mặt kỹ thuật, chi phí lưu trữ dữ liệu là thấp.

Cookie và theo dõi trực tuyến

Doanh nghiệp vận hành website tại Việt Nam nên đánh giá cookie và các công nghệ theo dõi của mình như một phần của chương trình tuân thủ về dữ liệu cá nhân.

Điều này bao gồm:

• Cookie phân tích;
• Cookie quảng cáo;
• Công nghệ tiếp thị lại;
• Pixel mạng xã hội;
• Theo dõi chuyển đổi;
• Công nghệ phiên làm việc;
• Định danh thiết bị;
• SDK; và
• Các công nghệ khác thu thập thông tin có khả năng nhận diện hoặc liên quan đến cá nhân.

Yêu cầu về sự đồng ý phụ thuộc vào căn cứ pháp lý áp dụng và từng hoàn cảnh cụ thể. Tổ chức không nên mặc định rằng mọi cookie đều cần sự đồng ý, nhưng cũng nên tránh triển khai việc xử lý dữ liệu cá nhân mà chưa xác lập căn cứ pháp lý và biện pháp bảo vệ phù hợp.

ConsentX có thể giúp doanh nghiệp vận hành quy trình này bằng cách:

• Quét website để tìm cookie và trình theo dõi;
• Phân loại các công nghệ theo dõi;
• Chặn các công nghệ được chọn trước khi có sự cho phép áp dụng;
• Ghi nhận các lựa chọn đồng ý;
• Quản lý trải nghiệm đồng ý theo từng khu vực; và
• Lưu giữ bằng chứng đồng ý có thể kiểm toán.

Marketing trực tiếp và quảng cáo

Hoạt động marketing thường liên quan đến dữ liệu cá nhân và vì vậy nên được đưa vào chương trình tuân thủ quyền riêng tư của tổ chức.

Doanh nghiệp nên đánh giá:

• Nguồn dữ liệu marketing;
• Căn cứ pháp lý để xử lý;
• Sự đồng ý có bắt buộc hay không;
• Cách ghi nhận tùy chọn marketing;
• Cơ chế từ chối và rút lại;
• Nền tảng quảng cáo của bên thứ ba;
• Việc chia sẻ dữ liệu;
• Việc lập hồ sơ cá nhân;
• Thời hạn lưu trữ; và
• Việc chuyển dữ liệu quốc tế.

Khi sự đồng ý là bắt buộc, sự đồng ý cho mục đích marketing cần được tách bạch rõ ràng khỏi các điều khoản không liên quan.

Xử lý tự động, lập hồ sơ cá nhân và AI

Doanh nghiệp sử dụng AI, ra quyết định tự động, lập hồ sơ cá nhân hoặc phân tích hành vi nên đánh giá xem các hoạt động này có liên quan đến dữ liệu cá nhân hay không và có phát sinh yêu cầu bổ sung hay không.

Một đánh giá về quyền riêng tư cần xem xét:

• Dữ liệu nào được đưa vào hệ thống;
• Mục đích xử lý;
• Có liên quan đến dữ liệu cá nhân nhạy cảm hay không;
• Dữ liệu có được chuyển cho nhà cung cấp ở nước ngoài hay không;
• Các quyết định có ảnh hưởng đáng kể đến cá nhân hay không;
• Cá nhân có nhận được thông tin phù hợp hay không;
• Kiểm soát an ninh và kiểm soát truy cập;
• Thời hạn lưu trữ;
• Việc xử lý của nhà cung cấp; và
• Sự giám sát của con người khi phù hợp.

Tổ chức nên lập hồ sơ về các trường hợp sử dụng AI và xử lý tự động như một phần của chương trình quản trị dữ liệu cá nhân rộng hơn.

Doanh nghiệp nhỏ và startup

Luật Bảo vệ dữ liệu cá nhân của Việt Nam có các quy định chuyển tiếp về tuân thủ dành cho một số doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp.

Theo luật, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp đủ điều kiện có thể lựa chọn việc áp dụng một số quy định trong thời hạn năm năm kể từ ngày luật có hiệu lực, trừ các trường hợp ngoại lệ theo luật định. Việc miễn trừ thường không áp dụng khi doanh nghiệp cung cấp dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu.

Nghị định 356/2025/NĐ-CP quy định chi tiết hơn về các ngưỡng và trường hợp miễn trừ liên quan.

Do đó, doanh nghiệp nên xác định điều kiện áp dụng thay vì mặc định rằng mọi startup hoặc doanh nghiệp nhỏ đều đương nhiên được miễn trừ khỏi các yêu cầu về quyền riêng tư của Việt Nam.

Chuyển tiếp từ Nghị định 13/2023

Khuôn khổ về quyền riêng tư của Việt Nam đã thay đổi đáng kể từ ngày 1 tháng 1 năm 2026.

Luật Bảo vệ dữ liệu cá nhân mới quy định rõ cách xử lý chuyển tiếp đối với một số hoạt động xử lý đã được thực hiện trên cơ sở sự đồng ý hoặc thỏa thuận theo Nghị định 13/2023/NĐ-CP trước khi luật mới có hiệu lực. Một số hồ sơ đánh giá tác động đã nộp trước đó cũng có thể tiếp tục được áp dụng theo các quy định chuyển tiếp.

Đồng thời, Nghị định 356/2025/NĐ-CP quy định Nghị định 13/2023/NĐ-CP hết hiệu lực kể từ ngày 1 tháng 1 năm 2026.

Vì vậy, doanh nghiệp nên cập nhật chương trình tuân thủ của mình thay vì tiếp tục chỉ dựa vào các hướng dẫn được xây dựng cho cơ chế Nghị định 13 trước đây.

Luật Bảo vệ dữ liệu cá nhân của Việt Nam — Danh mục kiểm tra tuân thủ chính

Hãy sử dụng danh mục kiểm tra này để rà soát chương trình về quyền riêng tư tại Việt Nam của tổ chức bạn:

• Xác định dữ liệu cá nhân được thu thập và xử lý
• Phân loại dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm
• Lập bản đồ các mục đích xử lý
• Xác định căn cứ pháp lý áp dụng
• Rà soát cơ chế đồng ý khi sự đồng ý là bắt buộc
• Lưu giữ bằng chứng về sự đồng ý
• Cập nhật thông báo quyền riêng tư
• Thiết lập quy trình xử lý yêu cầu của chủ thể dữ liệu
• Triển khai các biện pháp bảo vệ an ninh phù hợp
• Rà soát thời hạn lưu trữ dữ liệu
• Xác định bên xử lý dữ liệu và bên thứ ba
• Rà soát việc chuyển dữ liệu quốc tế và xuyên biên giới
• Đánh giá các yêu cầu về đánh giá tác động
• Thiết lập quy trình ứng phó vi phạm
• Chuẩn bị cho các thông báo 72 giờ khi áp dụng
• Rà soát công nghệ marketing và quảng cáo
• Quét cookie và trình theo dõi trên website
• Chặn các công nghệ không thiết yếu được chọn trước khi có sự cho phép áp dụng
• Thường xuyên rà soát và cập nhật các biện pháp kiểm soát quyền riêng tư

Vì sao việc tuân thủ quy định về quyền riêng tư của Việt Nam lại quan trọng với doanh nghiệp số

Đối với các tổ chức vận hành website, ứng dụng và nền tảng số tại Việt Nam, việc tuân thủ về dữ liệu cá nhân ngày càng đòi hỏi sự phối hợp giữa các bộ phận quyền riêng tư, an ninh, pháp chế, marketing và công nghệ.

Vì vậy, một chương trình tuân thủ hiện đại cần kết hợp:

Căn cứ pháp lý + tính minh bạch + quản lý sự đồng ý + quản trị dữ liệu + an ninh + quản lý quyền + kiểm soát việc chuyển dữ liệu + bằng chứng kiểm toán.

ConsentX có thể hỗ trợ lớp quản lý sự đồng ý và quyền riêng tư trên website, trong khi tổ chức duy trì các biện pháp kiểm soát pháp lý và tổ chức rộng hơn theo yêu cầu của khuôn khổ Việt Nam.

Luật Bảo vệ dữ liệu cá nhân áp dụng trong khuôn khổ pháp luật Việt Nam và cũng chứa các quy định ảnh hưởng đến một số tổ chức, cá nhân nước ngoài tham gia xử lý dữ liệu cá nhân thuộc phạm vi điều chỉnh.

Các quy định khác về quyền riêng tư

Doanh nghiệp hoạt động trên phạm vi quốc tế cũng có thể cần đánh giá:

• GDPR — Liên minh châu Âu
• UK GDPR — Vương quốc Anh
• CCPA/CPRA — California
• LGPD — Brazil
• PIPEDA — Canada
• DPDP Act — Ấn Độ
• PDPA — Singapore
• PDPA — Thái Lan
• POPIA — Nam Phi
• FADP — Thụy Sĩ
• Law 25 — Quebec, Canada
• LFPDPPP — Mexico
• PDPL — Argentina
• Law 21.719 — Chile
• Law 1581 — Colombia
• Law 29733 — Peru
• Law 18.331 — Uruguay

Các yêu cầu áp dụng phụ thuộc vào tổ chức, hoạt động xử lý, các cá nhân liên quan và khu vực pháp lý.