Trong khoảng ba năm, khung pháp lý về dữ liệu, định danh và công nghệ số ở Việt Nam thay đổi nhiều hơn cả hai thập kỷ trước đó. Các mốc chính đã chắc chắn: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực 1/7/2023; Luật Căn cước 2023, Luật Giao dịch điện tử 2023 và Luật Bảo vệ quyền lợi người tiêu dùng 2023 cùng có hiệu lực 1/7/2024; Luật Dữ liệu 2024 có hiệu lực 1/7/2025. Năm 2025 Quốc hội thông qua thêm Luật Bảo vệ dữ liệu cá nhân và Luật Công nghiệp công nghệ số; ngày hiệu lực của hai luật này bạn đối chiếu nguyên văn.
Đọc riêng từng văn bản dễ bỏ sót chỗ chúng nối vào nhau. Bài xếp các văn bản thành một dòng thời gian, nói ngắn gọn mỗi văn bản chạm tới ai, rồi gợi ý cách một doanh nghiệp nhỏ đọc chúng thành một bộ. Nội dung tính tới tháng 11/2026; văn bản hướng dẫn ra theo nhiều đợt, nên trước khi áp dụng bạn tra lại tình trạng hiệu lực.
Dòng thời gian các văn bản chính
Bảng chỉ ghi ngày hiệu lực khi đã chắc chắn. Với văn bản ghi "đối chiếu", ngày hiệu lực và lộ trình áp dụng bạn kiểm trực tiếp trong văn bản.
| Mốc | Văn bản | Thay thế hoặc bổ sung cho | Chạm tới ai nhiều nhất |
|---|---|---|---|
| 1/7/2023 | Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân | Quy định rải rác trong nhiều luật | Mọi tổ chức xử lý dữ liệu cá nhân |
| 1/7/2024 | Luật Căn cước 2023 | Luật Căn cước công dân 2014 | Mọi công dân; nơi nhận giấy tờ tuỳ thân |
| 1/7/2024 | Luật Giao dịch điện tử 2023 | Luật Giao dịch điện tử 2005 | Doanh nghiệp ký điện tử, nền tảng số, ngân hàng |
| 1/7/2024 | Luật Bảo vệ quyền lợi người tiêu dùng 2023 | Luật Bảo vệ quyền lợi người tiêu dùng 2010 | Người bán hàng, đặc biệt bán trực tuyến |
| 1/7/2025 | Luật Dữ liệu 2024 | Văn bản lần đầu ở cấp luật | Cơ quan nhà nước, bên giữ dữ liệu quan trọng, dịch vụ dữ liệu |
| Đối chiếu | Luật Bảo vệ dữ liệu cá nhân (thông qua năm 2025) | Nâng Nghị định 13/2023 lên cấp luật | Mọi tổ chức xử lý dữ liệu cá nhân |
| Đối chiếu | Luật Công nghiệp công nghệ số (thông qua năm 2025) | Phần công nghiệp trong Luật Công nghệ thông tin 2006 | Doanh nghiệp công nghệ, AI, tài sản số |
Mốc 1/7/2025 còn là ngày chính quyền địa phương chuyển sang hai cấp, cả nước còn 34 tỉnh, thành phố. Sự kiện này không thay nội dung các luật trên, nhưng thay nơi tiếp nhận nhiều thủ tục liên quan, nên khi làm hồ sơ bạn nên hỏi lại cơ quan tiếp nhận hiện hành.
Giai đoạn 2023: đặt nền bảo vệ dữ liệu cá nhân
Trước tháng 7/2023, bảo vệ dữ liệu cá nhân dựa vào các quy định rải rác: quyền về đời sống riêng tư trong Bộ luật Dân sự, quy định bảo vệ thông tin cá nhân trên mạng trong Luật An toàn thông tin mạng, quy định về thông tin người tiêu dùng. Không có văn bản nào nói đầy đủ thế nào là xử lý dữ liệu đúng cách.
Nghị định 13/2023/NĐ-CP lần đầu gom lại các khái niệm: dữ liệu cá nhân cơ bản và nhạy cảm, chủ thể dữ liệu, bên kiểm soát, bên xử lý, sự đồng ý, hồ sơ đánh giá tác động. Dù chỉ là nghị định, nó buộc nhiều doanh nghiệp lần đầu viết chính sách bảo mật nghiêm túc và lập hồ sơ xử lý dữ liệu.
Giai đoạn này cũng cho thấy giới hạn của nghị định: chế tài phải dựa vào văn bản xử phạt khác, một số vấn đề lớn như mua bán dữ liệu hay dữ liệu trong quảng cáo cần cấp luật mới xử lý triệt để. Đó là lý do hai năm sau có luật riêng.
Giai đoạn 2024: định danh và giao dịch điện tử
Luật Căn cước 2023. Đổi thẻ căn cước công dân thành thẻ căn cước, đưa vào căn cước điện tử, mở rộng thông tin sinh trắc học, cho phép làm thẻ cho trẻ dưới 14 tuổi theo nhu cầu. Đây là lớp định danh mà các giao dịch điện tử khác dựa vào.
Luật Giao dịch điện tử 2023. Bỏ danh sách giấy tờ bị loại khỏi giao dịch điện tử, phân loại lại chữ ký điện tử, thêm dịch vụ tin cậy, quy định chuyển đổi giữa giấy và điện tử. Đây là lớp "giấy tờ điện tử có giá trị".
Luật Bảo vệ quyền lợi người tiêu dùng 2023. Thay luật năm 2010, có quy định về bảo vệ thông tin của người tiêu dùng và trách nhiệm của người bán trong giao dịch trên không gian mạng. Với cửa hàng bán trực tuyến, đây là văn bản nối trực tiếp chuyện dữ liệu khách với chuyện bán hàng.
Ba văn bản cùng một ngày. Cả ba có hiệu lực 1/7/2024. Doanh nghiệp bán hàng trực tuyến, nhận giấy tờ tuỳ thân của khách và ký hợp đồng điện tử chịu tác động của cả ba cùng lúc.
Giai đoạn 2025 trở đi: luật khung về dữ liệu và công nghệ số
Luật Dữ liệu 2024 có hiệu lực 1/7/2025, đặt khung chung cho dữ liệu số: chủ sở hữu, chủ quản dữ liệu, phân loại dữ liệu cốt lõi và quan trọng, dữ liệu mở, sản phẩm và dịch vụ dữ liệu, chuyển dữ liệu xuyên biên giới. Nó trả lời câu hỏi mà Nghị định 13/2023 không với tới: dữ liệu không phải dữ liệu cá nhân thì quản lý thế nào.
Cũng trong năm 2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, đưa bảo vệ dữ liệu cá nhân lên cấp luật với các quy định riêng cho nhiều bối cảnh và khung chế tài riêng; và Luật Công nghiệp công nghệ số, đặt nền cho trí tuệ nhân tạo, tài sản số, bán dẫn. Tính tới thời điểm viết, Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực; với cả hai luật, ngày hiệu lực cụ thể và lộ trình từng phần bạn đối chiếu nguyên văn.
Sau mỗi luật là một loạt nghị định hướng dẫn. Bài không liệt kê số hiệu các nghị định này để tránh bạn dựa vào thông tin có thể đã bị thay; tra theo tên luật trên cơ sở dữ liệu quốc gia về văn bản pháp luật sẽ ra danh sách văn bản hướng dẫn còn hiệu lực.
Đọc thành một bộ: câu hỏi nào tra văn bản nào
Khi gặp một tình huống cụ thể, cách nhanh nhất là biết câu hỏi của mình thuộc lớp nào. Danh sách dưới đây là bản đồ tra cứu gợi ý.
- Khách đưa căn cước điện tử thay thẻ, có nhận được không: Luật Căn cước và quy định chuyên ngành của lĩnh vực bạn.
- Hợp đồng ký qua ứng dụng có giá trị không: Luật Giao dịch điện tử, cộng luật chuyên ngành của loại hợp đồng.
- Thu số điện thoại khách để gửi khuyến mãi: pháp luật bảo vệ dữ liệu cá nhân và Luật Bảo vệ quyền lợi người tiêu dùng.
- Lưu dữ liệu trên dịch vụ đám mây nước ngoài: pháp luật bảo vệ dữ liệu cá nhân nếu có dữ liệu cá nhân; Luật Dữ liệu nếu là dữ liệu cốt lõi, quan trọng.
- Bán dữ liệu thống kê đã ẩn danh cho đối tác: Luật Dữ liệu về dịch vụ dữ liệu; kiểm tra lại việc ẩn danh theo pháp luật dữ liệu cá nhân.
- Làm sản phẩm AI hoặc nhận thanh toán bằng tài sản số: Luật Công nghiệp công nghệ số và văn bản quản lý chuyên biệt.
Bản đồ này đơn giản hoá; nhiều tình huống chạm ba, bốn văn bản cùng lúc. Nhưng biết bắt đầu từ đâu đã tiết kiệm được phần lớn thời gian tra cứu.
Nhầm lẫn hay gặp khi đọc tin về các luật này
Nhầm ngày thông qua với ngày hiệu lực. Một luật thông qua giữa năm có thể chỉ có hiệu lực từ đầu năm sau, hoặc có điều khoản áp dụng muộn hơn nữa. Tin "luật mới bắt buộc từ hôm nay" viết vào ngày Quốc hội bấm nút thường sai về thời điểm.
Nhầm luật với dự thảo. Trong giai đoạn soạn thảo, các phiên bản dự thảo được đăng để lấy ý kiến và hay bị trích như thể đã là luật. Những quy định gây chú ý, nhất là về mức phạt, có thể đã đổi hoặc bỏ ở bản cuối.
Nhầm luật khung với quy định chi tiết. Luật Dữ liệu hay Luật Công nghiệp công nghệ số đặt khái niệm và nguyên tắc; điều kiện, hồ sơ, biểu mẫu nằm ở nghị định. Đọc luật mà không đọc văn bản hướng dẫn dễ tưởng mình chưa có nghĩa vụ gì, hoặc ngược lại tưởng phải làm những việc luật không đòi.
Nhầm phạm vi giữa các luật. Dữ liệu cá nhân, dữ liệu số nói chung, thông điệp dữ liệu trong giao dịch, thông tin trên thẻ căn cước là bốn chuyện khác nhau dù đều có chữ "dữ liệu". Tra đúng luật cho đúng câu hỏi tránh được phần lớn hiểu lầm.
Lịch theo dõi các văn bản này trong năm
Các luật trên đều có văn bản hướng dẫn ra theo đợt. Một lịch đơn giản giúp doanh nghiệp nhỏ không bị bất ngờ.
- Đầu mỗi quý: tra theo tên năm luật trên cơ sở dữ liệu quốc gia về văn bản pháp luật, ghi lại văn bản hướng dẫn mới.
- Trước 1/1 và 1/7 hằng năm: rà danh sách văn bản sắp có hiệu lực, vì đây là hai mốc luật thường bắt đầu áp dụng.
- Mỗi khi đổi phần mềm bán hàng, phần mềm quản lý khách hàng hay nhà cung cấp lưu trữ: xem lại phần dữ liệu cá nhân và chuyển dữ liệu ra nước ngoài.
- Mỗi khi mở kênh bán mới, nhất là bán trực tuyến: xem lại nghĩa vụ với thông tin người tiêu dùng.
- Cuối năm: cập nhật chính sách bảo mật và mẫu đồng ý cho khớp các văn bản đã thay đổi trong năm.
Lịch này chỉ cần một người phụ trách và khoảng một buổi mỗi quý. Thứ quan trọng là ghi lại kết quả mỗi lần tra, kể cả khi không có gì mới, để năm sau nhìn lại biết mình đã kiểm tới đâu.
Câu hỏi thường gặp
Luật Căn cước 2023 và Luật Giao dịch điện tử 2023 có hiệu lực cùng ngày không?
Có. Cả hai cùng có hiệu lực từ ngày 1/7/2024, cùng ngày với Luật Bảo vệ quyền lợi người tiêu dùng 2023. Luật Căn cước thay Luật Căn cước công dân 2014, Luật Giao dịch điện tử 2023 thay luật cùng tên năm 2005.
Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân có phải một luật không?
Không. Luật Dữ liệu 2024, có hiệu lực 1/7/2025, là khung chung cho dữ liệu số. Luật Bảo vệ dữ liệu cá nhân, thông qua năm 2025, quy định riêng về dữ liệu gắn với con người cụ thể. Doanh nghiệp giữ dữ liệu khách hàng thường phải đọc cả hai.
Vì sao bài không ghi ngày hiệu lực của Luật Công nghiệp công nghệ số?
Luật này có lộ trình hiệu lực theo nhóm điều khoản, và bài chỉ ghi ngày khi chắc chắn. Bạn nên tra trực tiếp điều khoản hiệu lực trong văn bản trên cơ sở dữ liệu quốc gia về văn bản pháp luật để tránh dựa vào thông tin chưa chính xác.
Doanh nghiệp nhỏ có cần đọc hết năm luật này không?
Không cần đọc hết từng điều. Nên đọc kỹ phần liên quan tới hoạt động của mình, thường là dữ liệu cá nhân của khách và nhân viên, hợp đồng điện tử, và quyền của người tiêu dùng. Phần về dữ liệu cốt lõi hay tài sản số chỉ cần khi doanh nghiệp làm trong mảng đó.
Nghị định 13/2023 có còn dùng làm căn cứ được không?
Khi Luật Bảo vệ dữ liệu cá nhân có hiệu lực, các quy định của nghị định bị thay thế hoặc trái với luật không còn áp dụng. Tình trạng hiệu lực của nghị định tại thời điểm bạn đọc cần được tra trên cơ sở dữ liệu quốc gia về văn bản pháp luật.