Luật Bảo vệ dữ liệu cá nhân: cập nhật mới nhất và việc doanh nghiệp cần làm cho năm 2027

Từ ngày 1/1/2026, doanh nghiệp Việt Nam vận hành dưới một khung pháp lý mới về dữ liệu cá nhân: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định hướng dẫn 356/2025/NĐ-CP, và từ ngày 19/8/2026 là Nghị định 330/2026/NĐ-CP quy định mức xử phạt.

Năm 2027 sẽ là năm đầu tiên cả 3 lớp văn bản này cùng có hiệu lực trọn vẹn, nên đây là thời điểm hợp lý để rà soát lại cách doanh nghiệp thu thập, lưu trữ và chia sẻ dữ liệu khách hàng. Cần nói rõ ngay từ đầu: đến ngày 20/10/2026, Click Star chưa tìm thấy một đạo luật mới nào có hiệu lực riêng từ năm 2027.

Bài viết này vì vậy tóm tắt những gì đang có hiệu lực, những mốc thời gian đáng chú ý khi bước sang năm 2027, và một danh sách việc nên làm, dựa trên nội dung văn bản và các bản phân tích của hãng luật, đơn vị tư vấn. Đây là thông tin tham khảo cho doanh nghiệp, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.

Điểm chính

• Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026. Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025, cùng có hiệu lực từ 1/1/2026 và thay thế Nghị định 13/2023/NĐ-CP.
• Nghị định 330/2026/NĐ-CP, ban hành và có hiệu lực từ 19/8/2026, là văn bản xử phạt hành chính chuyên biệt đầu tiên cho lĩnh vực này theo các bản tóm tắt pháp lý mà Click Star đối chiếu.
• Mức phạt cao nhất rất lớn: tới 5% doanh thu năm trước với vi phạm về chuyển dữ liệu ra nước ngoài, tới 10 lần khoản thu có được với hành vi mua bán dữ liệu, và tới 3 tỷ đồng với các vi phạm còn lại.
• Báo cáo sự cố vi phạm dữ liệu trong 72 giờ kể từ khi phát hiện, trả lời yêu cầu của chủ thể dữ liệu trong 2 ngày làm việc, và lưu nhật ký sự đồng ý là những nghĩa vụ vận hành hằng ngày chứ không chỉ là giấy tờ.
• Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có 5 năm kể từ 1/1/2026 để quyết định có thực hiện việc đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu hay không, nhưng quyền này không áp dụng nếu doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm hoặc cung cấp dịch vụ xử lý dữ liệu.
• Việc chuẩn bị hiệu quả nhất là biết dữ liệu cá nhân đang nằm ở đâu: một cơ sở dữ liệu tập trung, có phân quyền và nhật ký, giúp đáp ứng yêu cầu xóa, sửa, rút lại đồng ý đúng hạn.

Khung pháp lý đang có hiệu lực

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026, theo thông tin tổng hợp từ báo VnEconomy và các cổng thông tin pháp luật. Trước đó, Việt Nam chỉ có Nghị định 13/2023/NĐ-CP ở cấp văn bản dưới luật, và Luật 2025 được xây dựng trên nền tảng này.

Theo VnEconomy, luật áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam và nước ngoài tại Việt Nam, cũng như tổ chức nước ngoài tham gia xử lý dữ liệu của công dân Việt Nam.

Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025, quy định chi tiết một số điều và biện pháp thi hành luật, đồng thời thay thế Nghị định 13/2023/NĐ-CP, theo các bản phân tích của EY Việt Nam và Luật Việt An.

Các điểm được các bản phân tích này nhấn mạnh gồm: điều chỉnh danh mục dữ liệu cá nhân cơ bản và nhạy cảm, siết chặt yêu cầu về sự đồng ý, làm rõ thời hạn thực hiện quyền của chủ thể dữ liệu và điều kiện chuyển dữ liệu ra nước ngoài.

Lớp thứ ba là Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Theo Báo Lào Cai và Luật Việt An, nghị định ban hành ngày 19/8/2026, có hiệu lực từ cùng ngày, gồm 4 chương và 82 điều.

Trước đó, các nguồn này ghi nhận chưa có một nghị định xử phạt chuyên biệt quy định đầy đủ hành vi và mức phạt tương ứng.

Vì tất cả các nguồn về nghị định này mà Click Star đối chiếu đều là bài tóm tắt của báo và đơn vị pháp lý, mọi con số dưới đây nên được đối chiếu với văn bản gốc trên Công báo hoặc cơ sở dữ liệu pháp luật chính thức trước khi áp dụng.

Những điểm mới doanh nghiệp cần nắm

Quyền của chủ thể dữ liệu có thời hạn xử lý cụ thể. Theo bản tổng hợp của Luật Việt An về Nghị định 356/2025/NĐ-CP, doanh nghiệp phải phản hồi trong 2 ngày làm việc đối với yêu cầu rút lại đồng ý, hạn chế hoặc phản đối xử lý. Việc thực hiện rút lại, hạn chế hoặc phản đối là 15 ngày (20 ngày nếu có liên quan bên xử lý hoặc bên thứ ba).

Xem, chỉnh sửa hoặc cung cấp dữ liệu là 10 ngày, và xóa dữ liệu là 20 ngày (30 ngày nếu có bên xử lý hoặc bên thứ ba). Chuyên gia bảo mật dữ liệu Hoàng Hà, được VnEconomy trích dẫn, nhận định đây là bước chuyển từ "ghi nhận quyền" sang cơ chế thực thi quyền có trách nhiệm.

Dữ liệu nhạy cảm được mở rộng. Theo Luật Việt An, danh mục dữ liệu nhạy cảm bao gồm thêm dữ liệu về hành vi vi phạm pháp luật (không chỉ vi phạm bị xử lý hình sự), chi tiết hóa dữ liệu ngân hàng (tên đăng nhập, mật khẩu, thông tin thẻ, lịch sử giao dịch) và bổ sung dữ liệu chứng khoán, bảo hiểm cùng dữ liệu theo dõi hành vi trên viễn thông, mạng xã hội, dịch vụ trực tuyến.

Điều này đặc biệt đáng chú ý với các website và ứng dụng có gắn mã theo dõi hành vi người dùng.

Sự đồng ý vẫn là trung tâm, nhưng có ngoại lệ có điều kiện. Hãng luật Tilleke & Gibbins cho biết luật giữ mô hình lấy sự đồng ý làm trung tâm, đồng thời bổ sung một số trường hợp không cần đồng ý, như xử lý để thực hiện hợp đồng với chủ thể dữ liệu hoặc để bảo vệ quyền, lợi ích hợp pháp.

Cơ sở "lợi ích chính đáng" hẹp hơn nhiều so với GDPR của châu Âu. Với dữ liệu của trẻ em, nhìn chung cần sự đồng ý của cha mẹ, và nếu liên quan đến đời sống riêng tư của trẻ từ đủ 7 tuổi thì cần cả trẻ và cha mẹ cùng đồng ý, theo Tilleke.

Mua bán dữ liệu bị cấm. Theo VnEconomy và Tilleke, luật cấm mua bán dữ liệu cá nhân trừ trường hợp luật có quy định khác, và loại trừ một số hình thức chuyển giao không bị coi là "bán" như chuyển giao có sự đồng ý, chia sẻ nội bộ đúng mục đích, chuyển giao khi tái cấu trúc doanh nghiệp hoặc theo yêu cầu của cơ quan nhà nước.

Báo cáo vi phạm trong 72 giờ. Theo Tilleke và Luật Việt An (Mẫu số 08), doanh nghiệp phải báo cáo sự cố vi phạm trong vòng 72 giờ kể từ khi phát hiện, thay vì kể từ khi sự cố xảy ra như quy định cũ. Với dữ liệu sinh trắc học hoặc doanh nghiệp cung cấp dịch vụ tài chính, chủ thể dữ liệu bị ảnh hưởng cũng phải được thông báo.

Chuyển dữ liệu ra nước ngoài chặt hơn. Theo Luật Việt An, Điều 18 của Nghị định 356/2025/NĐ-CP yêu cầu lập hồ sơ đánh giá tác động chuyển dữ liệu (Mẫu số 09), thông báo Bộ Công an và ký văn bản thỏa thuận ràng buộc trách nhiệm pháp lý với bên nhận ở nước ngoài.

Điều này ảnh hưởng trực tiếp đến doanh nghiệp dùng máy chủ, phần mềm đám mây hoặc công cụ marketing đặt ở nước ngoài.

Yêu cầu với nhân sự bảo vệ dữ liệu. Theo Luật Việt An, Điều 13 yêu cầu người phụ trách bảo vệ dữ liệu có trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm ở các lĩnh vực liên quan (pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro) và đã được đào tạo về bảo vệ dữ liệu cá nhân.

Mức phạt: những con số cần biết

Theo Tilleke, vi phạm về chuyển dữ liệu ra nước ngoài có thể bị phạt tới 5% doanh thu năm tài chính liền trước, và nếu doanh nghiệp không có doanh thu hoặc số tiền tính ra thấp hơn 3 tỷ đồng thì áp dụng mức 3 tỷ đồng.

Các vi phạm khác về dữ liệu cá nhân bị phạt tới 3 tỷ đồng, và hành vi mua bán dữ liệu trái phép bị phạt tới 10 lần khoản thu có được từ vi phạm. Các mức này được ghi nhận nhất quán trong nhiều bản phân tích mà Click Star đối chiếu.

Với các hành vi thường gặp trong vận hành hằng ngày, bản tóm tắt Nghị định 330/2026/NĐ-CP của Luật Việt An và Báo Lào Cai nêu các mức sau, và cần đối chiếu lại với văn bản gốc vì có chỗ 2 nguồn chưa khớp nhau về mức trần của từng nhóm:

• Xử lý dữ liệu khi chưa có sự đồng ý, đặt sẵn mặc định đồng ý, không minh bạch thông tin hoặc không lưu nhật ký đồng ý: 30 đến 50 triệu đồng.
• Coi sự im lặng là đồng ý, hoặc tiếp tục xử lý sau khi chủ thể đã yêu cầu dừng: 50 đến 70 triệu đồng.
• Không lập hoặc không cập nhật hồ sơ đánh giá tác động xử lý dữ liệu: 20 đến 30 triệu đồng.
• Từ chối yêu cầu truy cập hợp lệ của chủ thể dữ liệu: 10 đến 20 triệu đồng.
• Với mạng xã hội và nền tảng trực tuyến, thiếu thông báo quyền riêng tư hoặc cơ chế đồng ý cookie: 50 đến 70 triệu đồng, và thu thập vượt phạm vi đã thỏa thuận hoặc truy cập ngầm cuộc gọi, tin nhắn: 70 đến 150 triệu đồng.

Ngoài tiền phạt, các nguồn tóm tắt còn nêu biện pháp khắc phục như buộc hủy hoặc xóa dữ liệu đến mức không thể khôi phục, buộc nộp lại khoản thu bất hợp pháp và buộc công khai xin lỗi chủ thể dữ liệu trong một số trường hợp.

Doanh nghiệp nhỏ có được miễn gì không

Theo văn bản Luật Bảo vệ dữ liệu cá nhân, Điều 38 dành cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp quyền được lựa chọn thực hiện hoặc không thực hiện nghĩa vụ đánh giá tác động và chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu trong 5 năm kể từ ngày luật có hiệu lực, tức đến khoảng đầu năm 2031.

Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này.

Điều 39 của luật cũng cho phép việc xử lý dữ liệu đã dựa trên sự đồng ý hoặc thỏa thuận theo Nghị định 13/2023/NĐ-CP tiếp tục mà không phải xin đồng ý lại, và hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước ngày luật có hiệu lực vẫn được sử dụng.

Quan trọng là các ngoại lệ. Theo Tilleke và văn bản luật, quyền lựa chọn và quyền miễn trừ nói trên không áp dụng cho đơn vị cung cấp dịch vụ xử lý dữ liệu cá nhân, đơn vị trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

Một bài phân tích của Phòng Thương mại và Công nghiệp Việt Nam (VCCI) nêu các ví dụ như công ty công nghệ tài chính, thương mại điện tử và marketing số.

Nói cách khác, một công ty nhỏ làm thương mại điện tử có lưu số điện thoại, địa chỉ và lịch sử mua hàng của khách vẫn cần đánh giá kỹ xem mình có thuộc diện được miễn hay không, và các nghĩa vụ khác như đồng ý, quyền chủ thể, báo cáo vi phạm vẫn áp dụng bình thường.

Việc nên làm khi bước sang năm 2027

Đánh giá của Click Star. Với doanh nghiệp vận hành online, phần khó nhất của việc tuân thủ thường không phải là đọc luật mà là biết dữ liệu cá nhân của khách hàng đang nằm ở những đâu. Danh sách việc dưới đây xếp theo thứ tự nên làm:

1. Lập sơ đồ dữ liệu: liệt kê mọi nơi có dữ liệu khách hàng (website, biểu mẫu, Zalo, CRM, bảng tính, công cụ quảng cáo, nhà cung cấp bên thứ ba), loại dữ liệu và mục đích sử dụng.
2. Rà soát sự đồng ý: bỏ ô tích sẵn, ghi rõ mục đích, có cơ chế rút lại đồng ý dễ như khi đồng ý, và lưu nhật ký (ai đồng ý, lúc nào, cho mục đích gì, qua kênh nào).
3. Cập nhật chính sách quyền riêng tư và thông báo thu thập dữ liệu ở mọi điểm chạm, gồm cả banner cookie và mã theo dõi trên website.
4. Xây quy trình trả lời yêu cầu của chủ thể dữ liệu theo các thời hạn 2 ngày làm việc, 10, 15 và 20 ngày nêu trên, có người chịu trách nhiệm và hệ thống tìm được toàn bộ dữ liệu của một khách hàng.
5. Chuẩn bị kịch bản ứng phó sự cố có thể báo cáo trong 72 giờ: ai quyết định, ai liên hệ cơ quan chức năng, ai thông báo khách hàng, bằng nội dung nào.
6. Rà soát hợp đồng với nhà cung cấp và bên xử lý dữ liệu, đặc biệt các dịch vụ đặt ngoài Việt Nam, để có thỏa thuận ràng buộc trách nhiệm và hồ sơ đánh giá tác động chuyển dữ liệu khi cần.
7. Quyết định về nhân sự hoặc bộ phận bảo vệ dữ liệu: tự đảm nhiệm, thuê ngoài, hoặc dùng quyền lựa chọn 5 năm nếu thuộc diện được áp dụng, và ghi lại quyết định đó.
8. Đào tạo nhân viên kinh doanh, chăm sóc khách hàng và marketing, vì phần lớn rủi ro đến từ thao tác hằng ngày như gửi file khách hàng qua tin nhắn cá nhân hay chia sẻ danh sách cho đối tác.

Một mốc cần ghi vào lịch: hồ sơ đánh giá tác động và hồ sơ đánh giá tác động chuyển dữ liệu phải được cập nhật định kỳ 6 tháng một lần khi có thay đổi, theo Tilleke, nên doanh nghiệp đã nộp hồ sơ nên đặt lịch rà soát vào giữa năm và cuối năm.

Vì sao cơ sở dữ liệu tập trung là nền tảng tuân thủ

Hầu hết nghĩa vụ ở trên đều quy về một năng lực: tìm ra, sửa và xóa đúng dữ liệu của đúng người, và chứng minh được điều đó. Nếu dữ liệu khách hàng nằm rải rác trong nhiều bảng tính, nhóm chat và công cụ khác nhau, một yêu cầu xóa dữ liệu trong 20 ngày hay một yêu cầu báo cáo sự cố trong 72 giờ sẽ rất khó đáp ứng.

Một cơ sở dữ liệu tập trung, có phân quyền theo vai trò, có nhật ký truy cập và ghi lại sự đồng ý, biến các nghĩa vụ này thành những thao tác có thể làm được và kiểm tra được. Click Star đã có bài riêng về lý do doanh nghiệp nên dùng cơ sở dữ liệu trong vận hành online, và đây là một lý do thực tế để cân nhắc việc đó ngay từ năm 2027.

Những sai lầm thường gặp

1. Cho rằng luật chỉ áp dụng cho công ty lớn hoặc công ty công nghệ, trong khi mọi doanh nghiệp có thu thập số điện thoại, email hay địa chỉ khách hàng đều xử lý dữ liệu cá nhân.
2. Hiểu quyền miễn trừ của doanh nghiệp nhỏ là miễn toàn bộ. Quyền này chỉ liên quan đến một số nghĩa vụ nhất định và có các ngoại lệ về dữ liệu nhạy cảm, dịch vụ xử lý dữ liệu, quy mô dữ liệu.
3. Xem sự đồng ý là việc của một ô tích trên biểu mẫu, mà không lưu nhật ký và không có cách rút lại đồng ý.
4. Dùng dịch vụ đám mây hoặc công cụ marketing ở nước ngoài mà không rà lại nghĩa vụ về chuyển dữ liệu ra nước ngoài.
5. Chỉ có chính sách trên giấy, không có quy trình và người phụ trách để thực hiện trong thời hạn luật định.
6. Dựa vào một bài tóm tắt, kể cả bài này, mà không đối chiếu văn bản gốc và tham vấn luật sư khi quyết định những việc có rủi ro cao.