Trước khi có luật, dữ liệu cá nhân ở Việt Nam được bảo vệ chủ yếu bằng Nghị định 13/2023/NĐ-CP, có hiệu lực từ 1/7/2023. Năm 2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, nâng các nguyên tắc đó lên cấp luật, bổ sung nhiều quy định cho từng bối cảnh xử lý dữ liệu và đặt khung chế tài riêng. Tính tới thời điểm viết (tháng 11/2026), luật đã có hiệu lực; ngày bắt đầu hiệu lực cụ thể và điều khoản chuyển tiếp, bạn đối chiếu nguyên văn trên cơ sở dữ liệu quốc gia về văn bản pháp luật.
Câu hỏi của doanh nghiệp đã làm hồ sơ theo nghị định là: có phải đập đi làm lại không? Câu trả lời ngắn là không phải làm lại từ đầu, vì các trụ cột vẫn giữ, nhưng phải rà và sửa ở một số chỗ. Bài này không giảng lại khái niệm cơ bản về dữ liệu cá nhân; nó chỉ đặt hai văn bản cạnh nhau để bạn biết sửa ở đâu.
Vì sao từ nghị định lên luật lại quan trọng
Nghị định là văn bản của Chính phủ, còn luật là văn bản của Quốc hội. Khác biệt này không chỉ là thứ bậc trên giấy. Một số việc chỉ luật mới quy định được, chẳng hạn hạn chế quyền của tổ chức, cá nhân ở mức sâu, hay đặt khung xử phạt khác với mức chung của pháp luật xử lý vi phạm hành chính. Nghị định 13/2023 vì vậy bị giới hạn: nó đặt ra nghĩa vụ nhưng chế tài đi kèm phải dựa vào văn bản khác.
Khi lên luật, bảo vệ dữ liệu cá nhân có chỗ đứng ngang với các luật về an ninh mạng, giao dịch điện tử, dữ liệu. Các luật chuyên ngành khi nói tới dữ liệu cá nhân phải đặt trong tương quan với luật này. Với doanh nghiệp, điều đó có nghĩa: đây không còn là "quy định mềm", và rủi ro khi vi phạm lớn hơn rõ rệt.
Cũng cần nhớ, khi luật có hiệu lực, văn bản hướng dẫn luật được ban hành để thay thế dần các quy định cũ. Doanh nghiệp không nên tiếp tục dẫn Nghị định 13/2023 trong chính sách bảo mật như văn bản duy nhất, mà cần cập nhật căn cứ theo luật và văn bản hướng dẫn hiện hành.
Phần giữ và phần đổi giữa hai văn bản
Bảng ghi ở mức nguyên tắc những điểm đã rõ. Chi tiết từng nghĩa vụ, mẫu hồ sơ và thời hạn bạn đối chiếu luật và văn bản hướng dẫn.
| Nội dung | Nghị định 13/2023/NĐ-CP | Luật Bảo vệ dữ liệu cá nhân 2025 |
|---|---|---|
| Cấp văn bản | Nghị định của Chính phủ | Luật của Quốc hội |
| Phân loại dữ liệu | Dữ liệu cá nhân cơ bản và nhạy cảm | Giữ cách chia cơ bản và nhạy cảm |
| Sự đồng ý | Tự nguyện, rõ ràng, im lặng không phải đồng ý | Giữ tinh thần đó, quy định đầy đủ hơn các trường hợp không cần đồng ý |
| Đánh giá tác động | Hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu ra nước ngoài | Giữ hai loại hồ sơ, có quy định lại phạm vi và cách làm |
| Mua bán dữ liệu cá nhân | Bị cấm | Cấm ở cấp luật, trừ trường hợp luật khác quy định |
| Bối cảnh đặc thù | Quy định khá chung | Có các điều riêng cho một số bối cảnh như tuyển dụng và quản lý lao động, quảng cáo, mạng xã hội, dữ liệu lớn và trí tuệ nhân tạo, dữ liệu vị trí, sinh trắc học |
| Chế tài | Dựa vào văn bản xử phạt hành chính chung | Luật đặt khung xử phạt riêng cho vi phạm về dữ liệu cá nhân |
Bài cố ý không ghi con số mức phạt. Những con số lan truyền trên mạng thường bị cắt khỏi ngữ cảnh: áp cho hành vi nào, chủ thể nào, tính trên cơ sở gì. Khi cần ước lượng rủi ro, bạn đọc nguyên văn điều khoản xử phạt và văn bản hướng dẫn, đừng dựa vào bản tin tóm tắt.
Năm chỗ doanh nghiệp hay phải sửa
Căn cứ pháp lý trong chính sách bảo mật. Nhiều chính sách viết năm 2023, 2024 chỉ dẫn Nghị định 13/2023. Cần cập nhật căn cứ theo luật và văn bản hướng dẫn hiện hành, đồng thời rà lại các câu chữ dùng khái niệm cũ.
Mẫu xin đồng ý. Kiểm tra mẫu đồng ý trên trang web, ứng dụng, phiếu đăng ký: có nêu rõ mục đích, loại dữ liệu, bên nhận, thời gian lưu; có tách riêng từng mục đích; có cách rút lại đồng ý dễ như khi đồng ý. Ô đánh dấu sẵn hay câu "tiếp tục sử dụng là đồng ý" là thứ nên bỏ.
Hồ sơ đánh giá tác động. Hồ sơ lập theo nghị định không mất giá trị ngay, nhưng phải xem lại theo yêu cầu của luật và mẫu mới (nếu có). Đặc biệt với doanh nghiệp có chuyển dữ liệu ra nước ngoài, dùng phần mềm đặt máy chủ ở nước ngoài.
Hợp đồng với bên xử lý. Đơn vị làm phần mềm, chăm sóc khách hàng, gửi tin nhắn quảng cáo thay bạn là bên xử lý dữ liệu. Hợp đồng cần ghi rõ phạm vi xử lý, biện pháp bảo vệ, việc xoá dữ liệu khi kết thúc, trách nhiệm khi có sự cố.
Nguồn dữ liệu tiếp thị. Danh sách khách hàng mua lại từ bên ngoài, dữ liệu "quét" từ mạng xã hội để gọi điện, nhắn tin quảng cáo là vùng rủi ro cao nhất khi luật cấm mua bán dữ liệu cá nhân. Doanh nghiệp nên ngừng dùng nguồn không rõ gốc và lưu bằng chứng về nguồn của danh sách đang dùng.
Những bối cảnh luật có điều riêng: ai nên đọc kỹ
Điểm mới đáng kể của luật là không chỉ đặt nguyên tắc chung mà còn có quy định riêng cho một số bối cảnh. Nếu doanh nghiệp của bạn thuộc nhóm dưới đây, phần chung chưa đủ, cần đọc thêm điều khoản riêng.
- Tuyển dụng, quản lý người lao động: thu hồ sơ ứng viên, chấm công khuôn mặt, giám sát thiết bị làm việc.
- Quảng cáo, tiếp thị: gửi tin nhắn, thư điện tử, gọi điện giới thiệu sản phẩm; nhắm quảng cáo theo hành vi.
- Mạng xã hội, dịch vụ truyền thông trực tuyến: nền tảng có lượng người dùng lớn, thu thập dữ liệu hành vi.
- Dữ liệu lớn, trí tuệ nhân tạo, điện toán đám mây: dùng dữ liệu cá nhân để huấn luyện, phân tích, hoặc lưu trữ quy mô lớn.
- Dữ liệu vị trí, sinh trắc học: ứng dụng định vị, khoá cửa nhận diện, thiết bị đeo theo dõi sức khoẻ.
- Tài chính, ngân hàng, tín dụng: chấm điểm tín dụng, thông tin tín dụng, xác thực khách hàng.
Danh sách trên là cách gom nhóm để bạn tự nhận diện, không phải trích nguyên văn tên điều luật. Khi đọc, hãy tìm các điều có tiêu đề gần với bối cảnh của mình trong toàn văn luật và văn bản hướng dẫn.
Ví dụ giả định: một chuỗi spa ba cơ sở rà lại hồ sơ
Một chuỗi spa ba cơ sở ở Khánh Hoà đã lập chính sách bảo mật và mẫu đồng ý năm 2023 theo Nghị định 13/2023. Khi rà lại theo luật, họ thấy chính sách vẫn dùng được phần lớn, nhưng có ba chỗ phải sửa. Thứ nhất, phiếu đăng ký khách có ô đánh dấu sẵn "đồng ý nhận tin khuyến mãi" — cần bỏ đánh dấu sẵn và tách mục đích quảng cáo khỏi mục đích đặt lịch.
Thứ hai, chuỗi lưu ảnh trước và sau liệu trình của khách trong nhóm chat của nhân viên. Ảnh này gắn với tình trạng da, cơ thể của khách, nên cần được xem như dữ liệu nhạy cảm: chuyển sang kho lưu có phân quyền, chỉ dùng khi khách đồng ý riêng. Thứ ba, đơn vị gửi tin nhắn chăm sóc khách hàng chưa có điều khoản về bảo vệ dữ liệu trong hợp đồng.
Cả ba chỗ đều sửa được trong vài tuần mà không phải viết lại toàn bộ hồ sơ. Đó là hình mẫu chung: phần khung theo nghị định vẫn đứng được, việc cần làm là siết các điểm thực hành hằng ngày.
Kế hoạch chuyển đổi trong 30 ngày
Với doanh nghiệp đã có nền theo Nghị định 13/2023, kế hoạch dưới đây giúp cập nhật mà không làm lại từ đầu.
- Tuần 1: thu thập mọi tài liệu đã lập theo nghị định (chính sách, mẫu đồng ý, hồ sơ đánh giá tác động, hợp đồng với bên xử lý) vào một thư mục.
- Tuần 1: tải toàn văn luật và văn bản hướng dẫn hiện hành, đánh dấu những điều liên quan tới hoạt động của mình.
- Tuần 2: so từng tài liệu với luật; ghi danh sách chỗ phải sửa, chỗ phải bổ sung, chỗ giữ nguyên.
- Tuần 3: sửa mẫu đồng ý và chính sách bảo mật trước, vì đây là phần khách hàng nhìn thấy; sau đó tới hợp đồng với bên xử lý.
- Tuần 4: rà hồ sơ đánh giá tác động, đặc biệt phần chuyển dữ liệu ra nước ngoài; cập nhật và lưu bản mới.
- Cuối tháng: phổ biến nội bộ cho bộ phận bán hàng, chăm sóc khách hàng, nhân sự; giao một người theo dõi văn bản mới.
Doanh nghiệp nhỏ, hộ kinh doanh: được nới tới đâu
Luật có tính tới gánh nặng của doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp và hộ kinh doanh, với cơ chế giảm nhẹ một số nghĩa vụ mang tính thủ tục trong một số trường hợp. Tuy nhiên cơ chế này có điều kiện và có thể có thời hạn; nó cũng không xoá các nghĩa vụ cốt lõi như xin đồng ý đúng cách, dùng dữ liệu đúng mục đích, bảo mật dữ liệu và không mua bán dữ liệu.
Vì điều kiện cụ thể nằm trong luật và văn bản hướng dẫn, bài không liệt kê chi tiết. Nếu bạn là chủ cửa hàng, quán ăn, tiệm dịch vụ nhỏ, cách thực tế là giữ ba thói quen: chỉ hỏi khách những thông tin thật cần, nói rõ dùng để làm gì, và không chuyển danh sách khách cho người ngoài.
Ngoại lệ đáng nhớ: nếu doanh nghiệp nhỏ nhưng kinh doanh chính là xử lý dữ liệu, hoặc xử lý dữ liệu nhạy cảm như sức khoẻ, sinh trắc học, tài chính, thì đừng mặc định mình được nới. Đọc kỹ điều kiện trước khi bỏ qua bất kỳ nghĩa vụ nào.
Câu hỏi thường gặp
Nghị định 13/2023/NĐ-CP còn hiệu lực không?
Khi luật có hiệu lực, các quy định trái hoặc đã được luật thay thế không còn áp dụng, và văn bản hướng dẫn mới được ban hành. Tình trạng hiệu lực của Nghị định 13/2023 tại thời điểm bạn đọc nên được tra trên cơ sở dữ liệu quốc gia về văn bản pháp luật.
Hồ sơ đánh giá tác động đã nộp theo nghị định có phải làm lại không?
Không nhất thiết làm lại toàn bộ, nhưng cần rà theo yêu cầu của luật và mẫu mới nếu có. Khi hoạt động xử lý dữ liệu thay đổi, như thêm mục đích, thêm bên nhận hay chuyển dữ liệu ra nước ngoài, hồ sơ cũng phải được cập nhật.
Luật mới có cấm hoàn toàn việc dùng danh sách khách hàng để quảng cáo không?
Không cấm việc doanh nghiệp tiếp thị tới khách hàng của chính mình khi có căn cứ phù hợp, như sự đồng ý cho mục đích quảng cáo. Điều bị cấm là mua bán dữ liệu cá nhân. Dùng danh sách mua lại hoặc không rõ nguồn là rủi ro lớn.
Chủ hộ kinh doanh có phải chỉ định người phụ trách bảo vệ dữ liệu không?
Luật có cơ chế giảm nhẹ một số nghĩa vụ thủ tục cho hộ kinh doanh, doanh nghiệp nhỏ trong những trường hợp nhất định. Điều kiện cụ thể nằm trong luật và văn bản hướng dẫn; nếu bạn xử lý dữ liệu nhạy cảm, không nên mặc định mình được miễn.
Khách hàng rút lại sự đồng ý thì doanh nghiệp làm gì?
Doanh nghiệp phải ngừng xử lý dữ liệu cho mục đích đã bị rút đồng ý trong thời hạn theo quy định và thông báo cho các bên xử lý liên quan, trừ trường hợp pháp luật cho phép tiếp tục xử lý trên căn cứ khác như thực hiện hợp đồng hay nghĩa vụ pháp lý.
Chính sách bảo mật cần ghi căn cứ pháp lý thế nào sau khi luật có hiệu lực?
Chính sách nên dẫn Luật Bảo vệ dữ liệu cá nhân và văn bản hướng dẫn hiện hành thay vì chỉ dẫn Nghị định 13/2023. Ngoài căn cứ, cần rà nội dung để mục đích, loại dữ liệu, bên nhận, thời gian lưu và cách thực hiện quyền khớp với thực tế.