Doanh nghiệp cần làm gì để tuân thủ Luật Bảo vệ dữ liệu cá nhân?

Doanh nghiệp cần làm gì để tuân thủ Luật Bảo vệ dữ liệu cá nhân?

Doanh nghiệp cần xác định dữ liệu đang xử lý, căn cứ sử dụng, trách nhiệm của từng bên và biện pháp bảo vệ, sau đó hoàn thiện tài liệu và quy trình tương ứng. Nghĩa vụ lập hồ sơ đánh giá tác động, chuyển dữ liệu xuyên biên giới và bố trí nhân sự bảo vệ dữ liệu phải được kiểm tra riêng theo điều kiện áp dụng. Việc có một chính sách bảo mật hoặc một bộ biểu mẫu chưa đủ để chứng minh doanh nghiệp đã tuân thủ nếu hoạt động thực tế chưa phù hợp.

Khung pháp luật doanh nghiệp cần áp dụng từ năm 2026

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng có hiệu lực từ ngày 01/01/2026. Theo khoản 2 Điều 42 Nghị định 356, Nghị định 13/2023/NĐ-CP hết hiệu lực từ thời điểm này. Khi rà soát tuân thủ hiện tại, doanh nghiệp cần dùng quy định mới, đồng thời kiểm tra cơ chế chuyển tiếp đối với sự đồng ý, thỏa thuận và hồ sơ đã có trước đó. Nguồn: Điều 38–39 Luật và Điều 42 Nghị định 356.

Nghĩa vụ có thể phát sinh ngay trong tuyển dụng, tính lương, nhận đơn hàng, chăm sóc khách hàng, ghi hình hoặc sử dụng phần mềm. Khoản 1 Điều 2 Luật bao quát dữ liệu số và thông tin dưới dạng khác giúp xác định một người cụ thể. Vì vậy, đợt rà soát phải bao gồm cả hồ sơ giấy, bảng tính, email và thư mục chia sẻ, bên cạnh website, ứng dụng và hệ thống quản lý khách hàng.

Bắt đầu bằng danh mục hoạt động xử lý dữ liệu

Doanh nghiệp nên lập danh mục theo công việc thực tế. Chẳng hạn, “nhận hồ sơ ứng viên” và “lưu hồ sơ nhân viên để tính lương” là hai hoạt động có mục đích, căn cứ và thời gian lưu khác nhau, dù cùng do phòng nhân sự thực hiện. Mỗi hoạt động cần ghi nhóm người liên quan, trường dữ liệu, nguồn thu thập, mục đích, người được tiếp cận, nơi lưu, bên nhận và thời gian lưu.

Sau đó, xác định vai trò pháp lý. Doanh nghiệp quyết định mục đích và phương tiện là bên kiểm soát; nếu đồng thời trực tiếp xử lý thì là bên kiểm soát và xử lý. Đơn vị xử lý theo yêu cầu thông qua hợp đồng có thể là bên xử lý. Việc phân loại phải dựa trên cách thực hiện dịch vụ, theo khoản 7–9 Điều 2 Luật. Một nhà cung cấp phần mềm có thể là bên xử lý đối với dữ liệu của khách hàng doanh nghiệp, nhưng là bên kiểm soát và xử lý đối với dữ liệu nhân viên của chính mình.

Khi kiểm kê, cần tách dữ liệu cơ bản, dữ liệu nhạy cảm và dữ liệu của nhóm cần bảo vệ theo quy định riêng. Dữ liệu sức khỏe, sinh trắc học, ảnh thẻ căn cước và dữ liệu theo dõi hành vi trên mạng có thể xuất hiện ngay trong doanh nghiệp thông thường. Danh mục phân loại hiện hành nằm tại Điều 3–4 Nghị định 356; dữ liệu trẻ em có yêu cầu riêng tại Điều 24 Luật. Xem Luật 91/2025/QH15.

Kiểm tra căn cứ xử lý và bằng chứng đồng ý

Với mỗi mục đích, doanh nghiệp phải xác định vì sao được thu thập, sử dụng hoặc chuyển giao dữ liệu. Khi dựa vào sự đồng ý, Điều 9 Luật yêu cầu tính tự nguyện, thông tin rõ ràng và khả năng kiểm chứng. Sự đồng ý phải thể hiện theo từng mục đích; sự im lặng hoặc không phản hồi không được coi là đồng ý. Không được buộc người dùng chấp nhận các mục đích khác với nội dung thỏa thuận.

Điều 6 Nghị định 356 yêu cầu lưu bằng chứng về người đồng ý, thời điểm và nội dung được đồng ý; đồng thời không cho phép thiết lập phương thức mặc định đồng ý. Khi xin đồng ý xử lý dữ liệu nhạy cảm, phải thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. Nguồn: Điều 6 Nghị định 356.

Ví dụ, khách điền form yêu cầu báo giá chưa thể được coi là đã đồng ý nhận quảng cáo định kỳ. Doanh nghiệp nên làm rõ mục đích liên hệ báo giá và bố trí lựa chọn riêng cho việc nhận tiếp thị. Khi cần chứng minh, hệ thống phải truy xuất được nội dung khách đã chấp nhận tại thời điểm gửi form.

Nếu áp dụng trường hợp xử lý không cần sự đồng ý tại Điều 19 Luật, doanh nghiệp cần chỉ ra đúng trường hợp, phạm vi dữ liệu và cơ chế giám sát. Điều này bao gồm quy trình, trách nhiệm, biện pháp bảo vệ, đánh giá rủi ro và tiếp nhận phản ánh. Có hợp đồng với khách hàng không đồng nghĩa mọi mục đích sử dụng dữ liệu đều được miễn xin đồng ý.

Đưa bảo mật và quyền của chủ thể vào quy trình vận hành

Khoản 1 Điều 37 Luật đặt ra trách nhiệm thực hiện biện pháp quản lý, kỹ thuật phù hợp và bảo đảm quyền của chủ thể dữ liệu. Doanh nghiệp nên đối chiếu quy định nội bộ với quyền truy cập trên hệ thống, khả năng tải dữ liệu, việc gửi hồ sơ ra ngoài và cách thu hồi tài khoản khi nhân viên nghỉ việc. Với dữ liệu nhạy cảm, khoản 2 Điều 4 Nghị định 356 yêu cầu quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật.

Quy trình tiếp nhận yêu cầu phải có đầu mối, cách xác minh người gửi, hệ thống cần xử lý và bằng chứng hoàn tất. Điều 5 Nghị định 356 phân biệt thời hạn theo loại yêu cầu: phản hồi yêu cầu đúng thủ tục về rút đồng ý, hạn chế, phản đối, xem, chỉnh sửa, cung cấp hoặc xóa dữ liệu trong 02 ngày làm việc; thời gian thực hiện tiếp theo khác nhau theo yêu cầu và việc phải phối hợp với bên xử lý, bên thứ ba. Doanh nghiệp không nên dùng một thời hạn chung cho mọi yêu cầu. Nguồn: Điều 5 Nghị định 356.

Thời gian lưu phải gắn với mục đích, quy định chuyên ngành và thỏa thuận hợp pháp. Ví dụ, điểm c khoản 1 Điều 25 Luật yêu cầu xóa, hủy thông tin của người dự tuyển không được tuyển dụng, trừ khi có thỏa thuận khác. Với nhân viên nghỉ việc, cần đối chiếu cả nghĩa vụ lưu hồ sơ lao động, kế toán, thuế và quy định tại khoản 2 Điều 25, thay vì xóa toàn bộ ngay hoặc giữ vô thời hạn.

Rà soát nhà cung cấp và luồng dữ liệu ra nước ngoài

Hợp đồng với đơn vị phần mềm, tổng đài, tuyển dụng hoặc lưu trữ phải phản ánh vai trò và công việc thực tế. Theo Điều 37 Luật, bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng phù hợp và phải xử lý đúng nội dung đã ký. Điều 7 Nghị định 356 quy định thêm nội dung thỏa thuận trong các trường hợp chuyển giao thuộc diện áp dụng.

Doanh nghiệp nên làm rõ dữ liệu nào được giao, ai được truy cập, có nhà cung cấp phụ hay không, việc phối hợp thực hiện quyền và cách xử lý dữ liệu khi kết thúc dịch vụ. Một cam kết bảo mật chung khó giải quyết đầy đủ việc chuyển tiếp dữ liệu hoặc trách nhiệm khi xảy ra sự cố.

Điều 20 Luật xác định chuyển xuyên biên giới bao gồm chuyển đến hệ thống lưu trữ ở nước ngoài, chuyển cho tổ chức hoặc cá nhân ở nước ngoài và sử dụng nền tảng ngoài Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Vì vậy, cần kiểm tra vị trí hệ thống, bên tiếp nhận và cách nền tảng hoạt động. Riêng việc lưu dữ liệu người lao động của cơ quan, tổ chức trên dịch vụ điện toán đám mây có ngoại lệ về đánh giá tác động tại điểm b khoản 6 Điều 20; ngoại lệ này không tự mở rộng sang dữ liệu khách hàng hoặc mọi hoạt động sử dụng phần mềm nước ngoài. Nguồn: Điều 20 Luật.

Xác định nghĩa vụ hồ sơ và nhân sự theo từng trường hợp

Đối với bên kiểm soát và bên kiểm soát và xử lý thuộc diện áp dụng, khoản 1 Điều 21 Luật yêu cầu lập, lưu hồ sơ đánh giá tác động xử lý và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. Bên xử lý lập, lưu hồ sơ theo thỏa thuận tại khoản 3 Điều 21. Hồ sơ chuyển xuyên biên giới có nghĩa vụ và mốc 60 ngày riêng tại khoản 2 Điều 20. Đây là hai loại hồ sơ cần đánh giá riêng.

Khoản 2 Điều 33 Luật quy định cơ quan, tổ chức phải chỉ định bộ phận, nhân sự đủ năng lực bảo vệ dữ liệu hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Tuy nhiên, trước khi kết luận doanh nghiệp phải thực hiện nghĩa vụ này và Điều 21–22, cần kiểm tra cơ chế tại khoản 2–3 Điều 38 Luật và Điều 41 Nghị định 356:

Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp đủ điều kiện được lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm từ ngày Luật có hiệu lực. Mốc tính bắt đầu từ 01/01/2026, không phải ngày thành lập doanh nghiệp.

Hộ kinh doanh và doanh nghiệp siêu nhỏ đủ điều kiện không phải thực hiện các quy định nêu trên theo khoản 3 Điều 38.

Cơ chế này không áp dụng khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu đạt từ 100.000 chủ thể trở lên theo cách xác định tích lũy tại Điều 41 Nghị định 356.

Các cơ chế trên không miễn toàn bộ Luật và không liệt kê Điều 20 về chuyển xuyên biên giới trong phạm vi được lựa chọn hoặc miễn. Doanh nghiệp vẫn phải xác định căn cứ xử lý, bảo đảm quyền của chủ thể và bảo vệ dữ liệu. Việc xác định doanh nghiệp nhỏ, siêu nhỏ cũng phải dựa vào tiêu chí pháp luật áp dụng, thay vì chỉ nhìn số nhân viên.

Đối với tài liệu đã có trước năm 2026, Điều 39 Luật cho phép tiếp tục hoạt động đã được đồng ý hoặc thỏa thuận đúng quy định trước thời điểm Luật có hiệu lực. Hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước thời điểm đó tiếp tục được sử dụng; việc cập nhật sau này thực hiện theo Luật. Cần kiểm tra điều kiện và bằng chứng tiếp nhận, thay vì mặc định phải lập lại toàn bộ hồ sơ. Nguồn: Điều 21, 33, 38–39 Luật.

Doanh nghiệp có thể đọc thêm bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì để chuẩn bị tài liệu theo hoạt động đã kiểm kê.

Lộ trình triển khai theo mức độ ưu tiên

Doanh nghiệp nên ưu tiên ngăn chặn nguy cơ đang xảy ra và xử lý nghĩa vụ có thời hạn trước. Nếu phát hiện vi phạm thuộc khoản 1 Điều 23 Luật, bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba phải thông báo cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện khi có nguy cơ gây tổn hại hoặc xâm phạm các lợi ích được điều khoản này liệt kê. Bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không chờ hoàn tất đợt rà soát mới đánh giá và xử lý sự cố.

Bảng sau là cách phân công được khuyến nghị; doanh nghiệp cần bổ sung tên người và mốc hoàn thành theo hiện trạng. Tiến độ nội bộ không làm thay đổi thời hạn pháp luật.

Ví dụ minh họa: một doanh nghiệp bán hàng trực tuyến có form khách hàng, phần mềm quản lý đơn và máy chấm công vân tay. Nên kiểm tra ngay quyền truy cập mẫu vân tay và hồ sơ nhân sự; tiếp đó xác định căn cứ dùng dữ liệu khách hàng, luồng dữ liệu qua phần mềm và hợp đồng nhà cung cấp. Việc doanh nghiệp có quy mô nhỏ chưa đủ để kết luận được lựa chọn không lập hồ sơ theo Điều 38, vì đang trực tiếp xử lý dữ liệu sinh trắc học.

Sau khi ban hành tài liệu, nên thử một yêu cầu sửa thông tin và một tình huống nhân viên nghỉ việc. Nếu chưa rõ ai tiếp nhận, phải sửa ở đâu hoặc ai xác nhận thu hồi quyền, cần điều chỉnh quy trình. Với hồ sơ thuộc diện cập nhật, Điều 22 Luật quy định cập nhật định kỳ 06 tháng khi có thay đổi hoặc cập nhật ngay trong các trường hợp khoản 2 Điều này.

Câu hỏi thường gặp

Doanh nghiệp chỉ có vài nhân viên có phải bảo vệ dữ liệu cá nhân không

Có nghĩa vụ bảo vệ khi xử lý dữ liệu thuộc phạm vi Luật. Cơ chế dành cho một số nhóm doanh nghiệp chỉ liên quan các điều khoản được liệt kê và có điều kiện loại trừ. Cần kiểm tra cả loại dữ liệu, hoạt động kinh doanh và quy mô chủ thể dữ liệu.

Có chính sách bảo mật trên website đã đủ tuân thủ chưa

Chưa thể kết luận. Cần kiểm tra nội dung chính sách có khớp với form, phần mềm, mục đích sử dụng, bên nhận dữ liệu và việc thực hiện quyền trên thực tế hay không. Các hoạt động nhân sự và nhà cung cấp cũng cần rà soát riêng.

Thuê nhà cung cấp phần mềm có chuyển hết trách nhiệm bảo vệ dữ liệu không

Không. Trách nhiệm phụ thuộc vai trò trong từng hoạt động theo Điều 2 và Điều 37 Luật. Doanh nghiệp vẫn phải thực hiện nghĩa vụ của mình, lựa chọn bên xử lý phù hợp và ràng buộc trách nhiệm trong thỏa thuận, hợp đồng.

Hồ sơ đã nộp theo Nghị định 13 có phải làm lại từ đầu không

Nếu đã được cơ quan chuyên trách tiếp nhận trước khi Luật có hiệu lực và đáp ứng điều kiện tại khoản 2 Điều 39, hồ sơ tiếp tục được sử dụng. Những thay đổi sau đó phải được rà soát và cập nhật theo quy định hiện hành.

Rà soát tuân thủ dữ liệu cá nhân cùng Justix

Doanh nghiệp chưa rõ nghĩa vụ có thể chuẩn bị danh sách hệ thống, đầu mối phòng ban, chính sách, biểu mẫu, hợp đồng và hồ sơ đã lập để trao đổi với Justix. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân giúp xác định vấn đề còn thiếu và thứ tự khắc phục. Các hạng mục soạn quy chế, quy trình hoặc lập hồ sơ được thống nhất theo phạm vi công việc của doanh nghiệp.

Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.