Luật Bảo vệ dữ liệu cá nhân 2026: những thay đổi doanh nghiệp cần biết

Luật Bảo vệ dữ liệu cá nhân 2026: những thay đổi doanh nghiệp cần biết

Luật Bảo vệ dữ liệu cá nhân áp dụng từ năm 2026 là Luật số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026. Cùng thời điểm, Nghị định 356/2025/NĐ-CP có hiệu lực và Nghị định 13/2023/NĐ-CP hết hiệu lực. Doanh nghiệp cần đối chiếu lại phạm vi dữ liệu, cách phân loại, thời hạn thực hiện quyền, nhân sự phụ trách và nghĩa vụ hồ sơ; sự đồng ý và hồ sơ cũ được tiếp tục sử dụng khi đáp ứng điều kiện chuyển tiếp.

Hiểu đúng tên gọi Luật Bảo vệ dữ liệu cá nhân 2026

“Luật Bảo vệ dữ liệu cá nhân 2026” là cách gọi theo năm bắt đầu áp dụng, không phải số hiệu của một luật được ban hành năm 2026. Văn bản chính thức là Luật 91/2025/QH15, được Quốc hội thông qua ngày 26/06/2025. Khi cập nhật quy chế, hợp đồng hoặc hồ sơ, doanh nghiệp cần ghi đúng tên và số hiệu này. Nguồn: Luật 91/2025/QH15.

Nghị định 356 hướng dẫn nhiều yêu cầu cụ thể như danh mục dữ liệu, thực hiện quyền, nhân sự, hồ sơ và biểu mẫu. Việc chỉ thay số hiệu Nghị định 13 trong tài liệu chưa giải quyết được những thay đổi về nội dung và vận hành. Các yêu cầu về sự đồng ý và đánh giá tác động đã xuất hiện trong cơ chế cũ; doanh nghiệp cần xác định phần tiếp tục áp dụng, phần thay đổi và tài liệu được sử dụng theo chuyển tiếp.

Bảng đối chiếu những thay đổi cần ưu tiên

Bảng sau lựa chọn các thay đổi có tác động trực tiếp đến công việc trong doanh nghiệp. Căn cứ cũ dùng để đối chiếu lịch sử, còn việc xử lý hiện tại phải dựa vào Luật và Nghị định 356.

Nguồn đối chiếu: Nghị định 13/2023/NĐ-CP, Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Kiểm kê lại hồ sơ và dữ liệu nhạy cảm

Doanh nghiệp nên rà theo từng hoạt động, gồm tuyển dụng, quản lý nhân sự, bán hàng, chăm sóc khách hàng và sử dụng nền tảng. Phạm vi kiểm kê hiện tại phải bao quát thông tin giúp xác định người cụ thể, kể cả bản giấy và dữ liệu có thể nhận diện qua bảng liên kết. Không thể loại một hồ sơ ra khỏi đợt rà soát chỉ vì hồ sơ đó chưa được số hóa.

Danh mục tại Điều 4 Nghị định 356 có những nhóm được quy định cụ thể như hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân; thông tin truy cập tài khoản định danh điện tử; dữ liệu theo dõi hành vi trên mạng. Số định danh cá nhân vẫn được liệt kê tại khoản 7 Điều 3 về nhóm cơ bản, nên cần phân biệt trường chỉ ghi số với tài liệu chứa ảnh thẻ.

Ví dụ minh họa: công ty dùng form tuyển dụng yêu cầu tải ảnh căn cước, khai tình trạng sức khỏe và đăng ký chấm công vân tay. Kết quả rà soát phải chỉ ra từng loại dữ liệu, mục đích và quyền truy cập. Việc gọi toàn bộ là “hồ sơ nhân sự cơ bản” có thể làm bỏ sót yêu cầu đối với dữ liệu nhạy cảm. Khoản 2 Điều 4 Nghị định 356 yêu cầu phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật tương ứng.

Sửa quy trình thực hiện quyền và bằng chứng đồng ý

Điều 5 Nghị định 356 yêu cầu quy trình, thủ tục và biểu mẫu rõ ràng để thực hiện quyền của chủ thể. Với yêu cầu xóa dữ liệu đúng thủ tục, khoản 4 quy định phản hồi trong 02 ngày làm việc và thực hiện trong 20 ngày. Khi cần yêu cầu bên xử lý, bên thứ ba cung cấp, xóa hoặc hạn chế dữ liệu, thời hạn được quy định là 30 ngày; trường hợp cần gia hạn có điều kiện và chỉ được gia hạn tối đa một lần không quá 20 ngày.

Đây không phải thời hạn chung cho mọi yêu cầu. Yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu được quy định tại khoản 3; yêu cầu rút đồng ý, hạn chế hoặc phản đối xử lý tại khoản 2. Doanh nghiệp nên sửa bảng thời hạn và giao trách nhiệm cho người tiếp nhận, phòng nghiệp vụ, kỹ thuật và nhà cung cấp. Cần kiểm tra cả trường hợp được tiếp tục xử lý hoặc không xóa theo Luật, thay vì đặt một thao tác tự động cho mọi yêu cầu. Nguồn: Điều 5 Nghị định 356.

Về sự đồng ý, Điều 9 Luật tiếp tục yêu cầu tự nguyện, rõ ràng, kiểm chứng được và theo từng mục đích. Điều 6 Nghị định 356 quy định cụ thể bằng chứng về người đồng ý, thời điểm, nội dung và việc lưu trữ; không được thiết lập phương thức mặc định đồng ý. Khi xin đồng ý xử lý dữ liệu nhạy cảm, phải thông báo tính chất nhạy cảm của dữ liệu. Doanh nghiệp cần kiểm tra biểu mẫu cùng nhật ký thực tế, không chỉ sửa câu chữ trong chính sách.

Đánh giá lại việc bố trí nhân sự và điều kiện miễn một số nghĩa vụ

Khi thuộc diện thực hiện khoản 2 Điều 33 Luật, doanh nghiệp phải chỉ định bộ phận, nhân sự đủ năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu. Điều 13 Nghị định 356 yêu cầu việc chỉ định bằng văn bản chính thức. Nhân sự được chỉ định phải đáp ứng đủ điều kiện về trình độ, kinh nghiệm liên quan và đào tạo; Điều 14 quy định nhiệm vụ cụ thể.

Vì vậy, một quyết định cũ chỉ ghi tên đầu mối chưa đủ để kết luận mô hình hiện tại đáp ứng yêu cầu. Doanh nghiệp cần kiểm tra năng lực, nhiệm vụ, quyền hạn và cách phối hợp. Việc giao thêm việc cho nhân sự, pháp chế hoặc kỹ thuật cần phù hợp điều kiện pháp luật và nguồn lực thực hiện.

Cơ chế hiện tại tại Điều 38 Luật có phạm vi khác Điều 43 Nghị định 13. Doanh nghiệp nhỏ, khởi nghiệp đủ điều kiện được lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm từ 01/01/2026. Hộ kinh doanh, doanh nghiệp siêu nhỏ đủ điều kiện không phải thực hiện các quy định này. Cơ chế bị loại trừ khi kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt từ 100.000 chủ thể theo cách tính tích lũy tại Điều 41 Nghị định 356.

Không được giữ nguyên cách tính “02 năm từ ngày thành lập” cho nghĩa vụ hiện tại hoặc áp dụng quyền lựa chọn mới cho mọi doanh nghiệp vừa. Việc xác định nhóm doanh nghiệp và điều kiện loại trừ phải thực hiện theo quy định áp dụng. Các cơ chế nêu trên cũng không miễn toàn bộ nghĩa vụ bảo vệ dữ liệu.

Rà lại hồ sơ và hoạt động chuyển dữ liệu xuyên biên giới

Điều 20 Luật và Điều 17 Nghị định 356 mô tả các luồng chuyển dữ liệu xuyên biên giới, bao gồm việc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Quy định cũ cũng đã đề cập xử lý qua hệ thống tự động ngoài Việt Nam; doanh nghiệp cần đọc lại phạm vi và ngoại lệ hiện tại, thay vì mặc định mọi việc dùng nền tảng nước ngoài đều là nghĩa vụ mới.

Khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định 356 có các trường hợp không phải đánh giá tác động chuyển xuyên biên giới. Chẳng hạn, lưu dữ liệu người lao động của cơ quan, tổ chức trên dịch vụ điện toán đám mây có ngoại lệ tại Luật. Nghị định còn liệt kê các hoạt động theo điều kiện cụ thể như quản lý nhân sự xuyên biên giới hoặc cung cấp dữ liệu để thực hiện thủ tục vận chuyển, khách sạn, thị thực. Phải đối chiếu từng luồng với đúng điều khoản; ngoại lệ hồ sơ không tự miễn căn cứ xử lý, hợp đồng và bảo mật.

Đối với hồ sơ mới thuộc diện áp dụng, Điều 18–19 Nghị định 356 quy định báo cáo theo Mẫu số 09 cho chuyển xuyên biên giới và Mẫu số 10 cho xử lý dữ liệu. Hồ sơ đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 được xem xét theo khoản 2 Điều 39 Luật. Khi phát sinh thay đổi, áp dụng Điều 22 Luật và Điều 20 Nghị định 356 về cập nhật. Nguồn: Điều 17–20 Nghị định 356.

Kiểm tra chế tài theo đúng hành vi và thời điểm

Điều 8 Luật quy định mức phạt tiền tối đa và cách xác định khác nhau theo nhóm hành vi. Mức tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng đối với tổ chức; mua bán dữ liệu và vi phạm chuyển xuyên biên giới có cơ chế riêng. Đây không phải mức phạt cố định cho mọi thiếu sót.

Tại thời điểm cập nhật bài, Nghị định 330/2026/NĐ-CP về xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đã có hiệu lực từ 19/08/2026. Khi đánh giá một vi phạm, cần đọc điều khoản tương ứng, xác định chủ thể, hành vi, thời điểm và biện pháp khắc phục. Doanh nghiệp nên dùng kết quả này để ưu tiên sửa những hoạt động đang vi phạm hoặc có nghĩa vụ đến hạn.

Công việc doanh nghiệp nên thực hiện sau khi đối chiếu

Đợt rà soát nên tạo ra danh mục thay đổi gắn với người phụ trách và bằng chứng hoàn thành. Có thể bắt đầu bằng việc kiểm kê lại dữ liệu nhạy cảm, sửa bảng thời hạn thực hiện quyền, kiểm tra cơ chế đồng ý, đánh giá mô hình nhân sự và xác định trạng thái từng hồ sơ.

Với tài liệu cũ, ghi rõ phần được tiếp tục dùng theo chuyển tiếp, phần cần sửa và căn cứ của quyết định. Khi thay phần mềm hoặc bổ sung mục đích, phải đối chiếu lại luồng dữ liệu và nghĩa vụ cập nhật. Doanh nghiệp có thể tham khảo lộ trình tuân thủ Luật Bảo vệ dữ liệu cá nhân để phân công và kiểm tra việc thực hiện.

Câu hỏi thường gặp

Luật Bảo vệ dữ liệu cá nhân 2026 có số hiệu nào

Văn bản được áp dụng từ 01/01/2026 là Luật số 91/2025/QH15, ban hành ngày 26/06/2025. Khi dẫn căn cứ, cần ghi đúng số hiệu và tên Luật.

Đã tuân thủ Nghị định 13 có phải làm lại toàn bộ tài liệu không

Không mặc định phải làm lại toàn bộ. Cần kiểm tra điều kiện chuyển tiếp tại Điều 39 Luật, phạm vi hoạt động tiếp tục và những thay đổi sau 01/01/2026. Tài liệu không còn phù hợp hoặc thiếu bằng chứng phải được xử lý theo hiện trạng.

Chỉ có dữ liệu nhân viên thì doanh nghiệp có cần rà soát không

Có. Hồ sơ nhân sự có thể chứa dữ liệu cơ bản, nhạy cảm và dữ liệu người thân. Cần kiểm tra Điều 25 Luật, cách chấm công, lưu giữ, quyền truy cập và luồng dữ liệu qua nhà cung cấp.

Mọi vi phạm bảo vệ dữ liệu cá nhân đều bị phạt 03 tỷ đồng phải không

Không. Điều 8 Luật quy định mức tối đa theo nhóm hành vi; mức cụ thể phải đối chiếu quy định xử phạt áp dụng. Cần phân biệt mức tối đa đối với tổ chức và việc xác định mức phạt cho hành vi cụ thể.

Justix hỗ trợ cập nhật hệ thống tuân thủ dữ liệu cá nhân

Doanh nghiệp có thể chuẩn bị bộ tài liệu đã lập theo Nghị định 13, chứng từ tiếp nhận hồ sơ, danh sách hệ thống và các thay đổi trong hoạt động để Justix đề xuất phạm vi rà soát. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân giúp xác định phần còn phù hợp, vấn đề cần khắc phục và hạng mục triển khai theo quy định hiện hành.

Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.