Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân khác nhau thế nào?

Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân khác nhau thế nào?

Luật Dữ liệu điều chỉnh dữ liệu số và các hoạt động xây dựng, quản trị, bảo vệ, sử dụng dữ liệu; Luật Bảo vệ dữ liệu cá nhân tập trung vào thông tin xác định hoặc giúp xác định một con người. Vì vậy, một hệ thống có cả số liệu vận hành và thông tin khách hàng có thể phải đối chiếu cả hai luật. Hồ sơ giấy chứa thông tin cá nhân vẫn thuộc phạm vi bảo vệ dữ liệu cá nhân. Doanh nghiệp cần phân loại theo nội dung và hoạt động thực tế, đồng thời kiểm tra quy định phối hợp giữa hai cơ chế trước khi lập hồ sơ.

Hai luật điều chỉnh những loại dữ liệu nào?

Điều 1 và khoản 1 Điều 3 Luật Dữ liệu 60/2024/QH15 xác định phạm vi là dữ liệu số. Các con số về lượng hàng trong kho, lịch bảo trì thiết bị, thông số máy hoặc báo cáo doanh thu dưới dạng kỹ thuật số có thể thuộc phạm vi này dù không giúp nhận diện cá nhân. Luật còn quy định về Trung tâm dữ liệu quốc gia, cơ sở dữ liệu tổng hợp quốc gia và sản phẩm, dịch vụ về dữ liệu; những nhóm quy định đó không đồng nghĩa mọi doanh nghiệp đều phải thực hiện cùng một bộ thủ tục.

Trong khi đó, khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 bao quát dữ liệu số và thông tin dưới dạng khác giúp nhận diện một người cụ thể. Hồ sơ nhân viên trên phần mềm, danh sách người nhận hàng và phiếu ứng tuyển bằng giấy đều cần được xem xét. Tên một pháp nhân hoặc sản lượng tổng hợp của nhà máy không tự trở thành dữ liệu cá nhân; nhưng bảng sản lượng gắn với mã nhân viên có thể giúp xác định người lao động khi đối chiếu với danh sách nhân sự.

Nếu doanh nghiệp chưa rõ một trường thông tin có thể nhận diện ai, nên đối chiếu thêm cách nhận diện dữ liệu cá nhân trong doanh nghiệp. Cần xem cả khả năng liên kết dữ liệu, thay vì chỉ tìm cột họ tên.

Quyền đối với dữ liệu khác quyền của người được dữ liệu phản ánh

Khoản 12–15 Điều 3 Luật Dữ liệu phân biệt chủ thể dữ liệu, chủ quản dữ liệu và chủ sở hữu dữ liệu; chủ thể dữ liệu theo luật này có thể là cơ quan, tổ chức hoặc cá nhân. Khoản 5, 7–9 Điều 2 Luật Bảo vệ dữ liệu cá nhân lại xác định chủ thể dữ liệu cá nhân là người được thông tin phản ánh, còn vai trò kiểm soát, xử lý phụ thuộc việc quyết định mục đích, phương tiện và trực tiếp thực hiện hoạt động.

Do đó, doanh nghiệp sở hữu hệ thống hoặc bỏ tiền xây dựng cơ sở dữ liệu không vì thế có quyền dùng thông tin nhân viên cho mọi mục đích. Quyền đối với dữ liệu phải được thực hiện trong giới hạn của pháp luật, bao gồm quyền của cá nhân. Ngược lại, nhà cung cấp vận hành phần mềm theo hợp đồng không thể tự nhận toàn bộ dữ liệu là của mình chỉ vì dữ liệu đang nằm trên máy chủ do họ quản lý.

Khi soạn hợp đồng, cần làm rõ quyền khai thác dữ liệu vận hành và phạm vi xử lý dữ liệu cá nhân. Hai vấn đề có thể xuất hiện trong cùng một phụ lục, nhưng điều khoản về sở hữu không thay cho căn cứ thu thập, sử dụng, chuyển giao thông tin cá nhân.

Phân loại cốt lõi, quan trọng phải đối chiếu tiêu chí và danh mục hiện hành, gồm Quyết định 20/2025/QĐ-TTg. Không nên tự đặt tên “dữ liệu cốt lõi” cho mọi tài liệu quan trọng đối với việc kinh doanh rồi suy ra nghĩa vụ pháp lý. Tương tự, việc một nhóm thông tin không thuộc danh mục cốt lõi, quan trọng không làm mất các nghĩa vụ bảo vệ dữ liệu cá nhân nếu vẫn nhận diện được người.

 

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng đối chiếu để xác định nghĩa vụ

Bảng dưới đây dùng để rà từng nhóm dữ liệu hoặc luồng xử lý. Cột “việc cần kiểm tra” là hướng dẫn tổ chức công việc; kết luận cuối cùng phải dựa vào nội dung dữ liệu, vai trò và điều kiện của từng quy định.

Vấn đề	Luật Dữ liệu	Luật Bảo vệ dữ liệu cá nhân	Việc doanh nghiệp cần kiểm tra	Nguồn
Phạm vi thông tin	Dữ liệu dưới dạng kỹ thuật số, gồm cả dữ liệu không nhận diện cá nhân	Dữ liệu số hoặc dạng khác xác định, giúp xác định một người	Tách số liệu thuần vận hành, dữ liệu có mã liên kết và hồ sơ giấy	Luật 60: Điều 1, 3.1; Luật 91: Điều 1, 2.1
Vai trò pháp lý	Chủ sở hữu, chủ quản, chủ thể dữ liệu có nội hàm riêng	Bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên thứ ba	Ai quyết định mục đích, ai vận hành, quyền nào được giao trong hợp đồng	Luật 60: Điều 3.12–15; Luật 91: Điều 2.5, 2.7–10
Phân loại	Chủ sở hữu, chủ quản ngoài khu vực nhà nước phải phân loại theo tính chất quan trọng	Phân biệt dữ liệu cơ bản, nhạy cảm theo danh mục Chính phủ	Hai cách phân loại cùng tồn tại; nhạy cảm không tự đồng nghĩa cốt lõi	Luật 60: Điều 13.2; Luật 91: Điều 2.2–3; NĐ 356: Điều 3–4
Thu thập, sử dụng	Thu thập, tạo lập phục vụ hoạt động phải phù hợp pháp luật	Thu thập có đồng ý trước, trừ trường hợp pháp luật quy định khác; xử lý đúng phạm vi, mục đích	Căn cứ cho từng mục đích, nguồn hợp pháp, bằng chứng đồng ý khi áp dụng	Luật 60: Điều 11.3; Luật 91: Điều 3.2, 9, 11, 19
Lưu trữ, quản trị	Quyền lưu trữ và quản trị của doanh nghiệp có điều kiện theo luật	Lưu phù hợp mục đích; bảo vệ thông tin và thực hiện quyền của cá nhân	Thời hạn, người truy cập, bản sao và căn cứ giữ lại theo từng nhóm	Luật 60: Điều 14.2, 15.4, 16; Luật 91: Điều 3.3–4, 14, 18
Chuyển xuyên biên giới	Cơ chế riêng đối với chuyển, xử lý dữ liệu cốt lõi, quan trọng	Xác định luồng chuyển dữ liệu cá nhân và nghĩa vụ đánh giá, ngoại lệ tương ứng	Dữ liệu, nơi lưu, bên nhận, nền tảng và điều kiện không đánh giá trùng	Luật 60: Điều 23; Luật 91: Điều 5.4, 20; NĐ 356: Điều 42.3

 

 

 

Có phải làm hai lần đánh giá tác động cho cùng dữ liệu cá nhân?

Khoản 4 Điều 5 Luật 91/2025/QH15 quy định: khi thực hiện đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật này thì không phải thực hiện đánh giá rủi ro xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo pháp luật về dữ liệu. Đây là quy định phối hợp cụ thể, không phải nguyên tắc cho phép doanh nghiệp tự chọn một luật để áp dụng toàn bộ hoạt động.

Khoản 3 Điều 42 Nghị định 356/2025/NĐ-CP sửa khoản 2 Điều 16 Nghị định 165/2025/NĐ-CP. Theo nội dung hiện hành, bảo vệ dữ liệu cốt lõi, quan trọng là dữ liệu cá nhân thực hiện theo pháp luật bảo vệ dữ liệu cá nhân. Khi chuyển, xử lý xuyên biên giới các dữ liệu này, chủ quản thực hiện hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu cá nhân theo cơ chế tương ứng, không phải thực hiện đánh giá rủi ro, đánh giá tác động chuyển, xử lý xuyên biên giới theo Nghị định 165.

Vì vậy, không thể dùng nội dung cũ của khoản 2 Điều 16 Nghị định 165 để kết luận từ năm 2026 doanh nghiệp làm theo cơ chế Luật Dữ liệu và được bỏ hồ sơ bảo vệ dữ liệu cá nhân. Tuy nhiên, quy định tránh đánh giá trùng cũng không gộp hai loại hồ sơ của Luật Bảo vệ dữ liệu cá nhân thành một. Điều kiện, ngoại lệ của đánh giá xử lý và đánh giá chuyển vẫn phải kiểm tra riêng theo Điều 20–22, Điều 38 Luật và văn bản hướng dẫn.

Với hệ thống chứa cả dữ liệu cá nhân và dữ liệu khác, nên ghi rõ nhóm nào đang được áp dụng quy định phối hợp và hồ sơ nào chứng minh điều kiện. Việc hoàn thành hồ sơ về dữ liệu cá nhân không tự xử lý thay phần nghĩa vụ đối với dữ liệu không phải dữ liệu cá nhân thuộc cơ chế khác.

Ví dụ doanh nghiệp quản lý kho và thông tin khách hàng

Tình huống giả định: một doanh nghiệp bán thiết bị sử dụng phần mềm để quản lý mã hàng, lượng tồn, thông tin người nhận hàng, lịch sử liên hệ và bảng chấm công. Doanh nghiệp định chuyển hệ thống sang nhà cung cấp mới có hoạt động xử lý ở nước ngoài.

Đối với mã hàng và lượng tồn không gắn với cá nhân, đầu mối vận hành cần làm rõ quyền đối với dữ liệu, mức độ quan trọng theo luật và điều kiện lưu, chia sẻ. Đối với người nhận hàng, nhân viên và lịch sử liên hệ giúp nhận diện người, pháp chế phải kiểm tra thêm căn cứ xử lý, mục đích, thời hạn lưu và quyền của chủ thể. Kỹ thuật xác nhận các trường dữ liệu thực sự chuyển, vị trí xử lý và bên được truy cập; không suy ra toàn bộ luồng chỉ từ tên nhà cung cấp.

Nếu một tập dữ liệu cốt lõi hoặc quan trọng đồng thời là dữ liệu cá nhân và thuộc trường hợp chuyển, xử lý xuyên biên giới nêu trên, áp dụng khoản 2 Điều 16 Nghị định 165 đã được sửa đổi. Nếu có tập dữ liệu không phải dữ liệu cá nhân thuộc cơ chế riêng, doanh nghiệp tiếp tục xem xét nghĩa vụ của tập đó. Không kết luận cả hệ thống được miễn một loại đánh giá chỉ vì hồ sơ có chứa thông tin khách hàng.

Đầu ra nên là danh mục nhóm dữ liệu, bảng vai trò theo từng hoạt động, mô tả luồng chuyển và bản xác định nghĩa vụ có ghi điều kiện áp dụng. Đây là cách tổ chức được khuyến nghị để các bộ phận cùng sử dụng một kết luận; không phải biểu mẫu nhà nước bắt buộc. Sau khi xác định phạm vi, doanh nghiệp có thể đối chiếu lộ trình tuân thủ dữ liệu cá nhân để phân công phần cần triển khai.

Câu hỏi thường gặp

Chỉ lưu hồ sơ nhân viên bằng giấy thì có phải bảo vệ dữ liệu cá nhân?

Có, nếu hồ sơ xác định hoặc giúp xác định một người. Phạm vi Luật Bảo vệ dữ liệu cá nhân bao gồm thông tin dưới dạng khác ngoài dữ liệu số. Khi số hóa hồ sơ, cần đối chiếu thêm những quy định liên quan đến dữ liệu số và hoạt động thực tế phát sinh.

Có quyền sở hữu cơ sở dữ liệu thì có được bán danh sách khách hàng?

Không thể kết luận từ quyền sở hữu cơ sở dữ liệu. Khoản 6 Điều 7 Luật 91 cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Cần phân biệt với chuyển giao hợp pháp theo Điều 17; tên gọi hợp đồng hoặc khoản phí không tự quyết định tính hợp pháp.

Đã có một báo cáo đánh giá rủi ro công nghệ thì đã đáp ứng hai luật chưa?

Chưa đủ căn cứ để kết luận. Cần đối chiếu phạm vi dữ liệu, nội dung và điều kiện của nghĩa vụ pháp lý. Báo cáo kỹ thuật có thể cung cấp thông tin đầu vào; việc thay thế hoặc không phải thực hiện một đánh giá khác chỉ được áp dụng khi có căn cứ cụ thể.

Justix hỗ trợ xác định phạm vi tuân thủ

Khi doanh nghiệp chưa rõ một hệ thống thuộc những nhóm nghĩa vụ nào, Justix có thể hỗ trợ rà soát hoạt động, tài liệu và vai trò pháp lý trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân. Doanh nghiệp nên chuẩn bị danh sách hệ thống, mô tả dữ liệu, hợp đồng nhà cung cấp và hồ sơ đã có; chỉ gửi mẫu đã che thông tin khi cần trao đổi ban đầu. Liên hệ 0372 717 888 hoặc info@justix.vn để thống nhất phạm vi.