Hướng dẫn pháp lý: Tuân thủ pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam cho doanh nghiệp

LỜI TỰA

Trong thời đại số hóa và kết nối toàn cầu, dữ liệu cá nhân đã trở thành một trong những tài sản quan trọng nhất – không chỉ đối với mỗi cá nhân mà còn đối với các tổ chức, doanh nghiệp và quốc gia. Tuy nhiên, việc bảo vệ dữ liệu cá nhân tại Việt Nam trong suốt một thời gian dài vẫn còn tản mạn, thiếu tính hệ thống và chưa được điều chỉnh bởi một văn bản luật chuyên biệt.

Trước năm 2023, quyền riêng tư chủ yếu được đề cập rải rác trong Hiến pháp và một số luật chuyên ngành, với cách hiểu và áp dụng chưa thống nhất. Sự ra đời của Nghị định 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân (“Nghị định 13”) đánh dấu một bước ngoặt quan trọng, lần đầu tiên thiết lập khung pháp lý toàn diện về bảo vệ dữ liệu cá nhân tại Việt Nam. Tiếp nối nền tảng này, Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 được Quốc hội khóa XV thông qua ngày 26/6/2025 và có hiệu lực thi hành kể từ ngày 01/01/2026 (“Luật BVDLCN”), càng củng cố rõ nét cam kết của Việt Nam trong việc hội nhập với các chuẩn mực quốc tế, đồng thời nâng cao trách nhiệm và chuẩn hóa hành vi xử lý dữ liệu trong mọi lĩnh vực đời sống.

Ấn phẩm “Hướng dẫn pháp lý: Tuân thủ pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam cho doanh nghiệp” được Công ty Luật TNHH HM&P (“HM&P”) biên soạn nhằm đồng hành cùng cộng đồng doanh nghiệp trong quá trình tiếp cận, hiểu đúng và vận dụng hiệu quả các quy định pháp luật hiện hành. Với nội dung toàn diện, thực tiễn và cập nhật, ấn phẩm không chỉ phân tích khung pháp lý nội địa mà còn đặt trong tương quan với kinh nghiệm quốc tế từ Châu Âu, Hoa Kỳ, Singapore – những khu vực đã xây dựng hệ thống pháp luật bảo vệ dữ liệu phát triển từ sớm.

Trong phạm vi ấn phẩm này, Luật BVDLCN, Nghị định 13 cùng dự thảo nghị định quy định chi tiết một số điều của Luật BVDLCN – bản xin ý kiến ngày 12/9/2025 (“Dự thảo Nghị định hướng dẫn Luật BVDLCN”) trước khi được thông qua sẽ được sử dụng làm cơ sở phân tích, diễn giải và cung cấp hướng dẫn thực tiễn cho doanh nghiệp trong quá trình xây dựng và triển khai chương trình tuân thủ.

Song song đó, nội dung ấn phẩm được xây dựng dựa trên thực tiễn hành nghề pháp lý đa ngành, đa lĩnh vực của HM&P, từ các doanh nghiệp khởi nghiệp, doanh nghiệp sản xuất, công ty công nghệ đến các tập đoàn đa quốc gia, trong đó bảo mật thông tin và dữ liệu cá nhân luôn là ưu tiên hàng đầu trong tư vấn và giải pháp pháp lý. Chúng tôi hy vọng ấn phẩm sẽ là tài liệu tham khảo hữu ích cho các doanh nghiệp, nhà đầu tư, tổ chức và cá nhân đang hoạt động tại Việt Nam – những doanh nghiệp tiên phong đang từng bước xây dựng văn hóa tuân thủ, hướng đến phát triển bền vững và có trách nhiệm trong kỷ nguyên dữ liệu tại Việt Nam.

Mọi thắc mắc về nội dung của tài liệu này, vui lòng liên hệ HM&P theo thông tin dưới đây:

Luật sư điều hành:

Luật sư Nguyễn Văn Phúc

Số điện thoại: 0932 768 630

Email: phuc.nguyen@hmplaw.vn

Công ty Luật TNHH HM&P

Địa chỉ: Tầng 7, Tòa nhà ITAXA, 126 Nguyễn Thị Minh Khai, Phường Xuân Hòa, TP. HCM

Số điện thoại: +84 28 73080839

Email: counsel@hmplaw.vn

Website: hmplaw.vn

Lưu ý: Ấn phẩm này chỉ nhằm cung cấp thông tin chung và không thay thế cho ý kiến tư vấn pháp lý trong từng trường hợp cụ thể. Do vậy, Quý độc giả nên tham khảo ý kiến luật sư hoặc chuyên gia pháp lý trước khi áp dụng. Mọi thắc mắc liên quan đến nội dung hoặc quyền sở hữu trí tuệ xin gửi về địa chỉ email: counsel@hmplaw.vn                                              Công ty Luật TNHH HM&P là một công ty luật chuyên nghiệp, có kinh nghiệm tư vấn pháp lý đa lĩnh vực, ngành, nghề, trong đó có bảo vệ dữ liệu cá nhân. Để tìm hiểu thêm về dịch vụ pháp lý mà chúng tôi cung cấp tại lĩnh vực này, vui lòng liên hệ qua email: phuc.nguyen@hmplaw.vn

PHẦN I. TÓM TẮT QUY ĐỊNH PHÁP LUẬT VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN TẠI VIỆT NAM

1. Các định nghĩa

1.1. Dữ liệu cá nhân (“DLCN”)

Theo Luật BVDLCN, dữ liệu cá nhân (“DLCN”) là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm DLCN cơ bản và DLCN nhạy cảm. Trong đó:

DLCN cơ bản	DLCN nhạy cảm
Là DLCN phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.	Là DLCN gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.

Hiện tại, chưa có hướng dẫn chi tiết về danh mục DLCN cơ bản và DLCN nhạy cảm. Tuy nhiên, doanh nghiệp có thể tham khảo quy định của Nghị định 13 và Dự thảo Nghị định hướng dẫn Luật BVDLCN. Theo đó:

	Nghị định 13	Dự thảo Nghị định hướng dẫn Luật BVDLCN (những quy định bổ sung so với Nghị định 13 được in nghiêng)
DLCN cơ bản	Họ tên; ngày sinh; giới tính; Nơi sinh; quốc tịch; Hình ảnh cá nhân; Số điện thoại; Số giấy tờ pháp lý; Tình trạng hôn nhân; thông tin gia đình; Thông tin tài khoản và lịch sử hoạt động; Các thông tin khác giúp xác định một con người cụ thể (không thuộc nhóm nhạy cảm).	DLCN cơ bản là DLCN phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, không thuộc danh mục DLCN nhạy cảm.
DLCN nhạy cảm	Quan điểm chính trị, tôn giáo; Tình trạng sức khỏe (không gồm nhóm máu); Nguồn gốc dân tộc; Thông tin di truyền, đặc điểm sinh học; Dữ liệu ngân hàng, tín dụng; Dữ liệu vị trí xác định; Thông tin về đất đai gắn với cá nhân; Thông tin về lương và thu nhập khác.	Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc; Quan điểm về chính trị, tôn giáo, tín ngưỡng; Dữ liệu tiết lộ về đời tư; Tình trạng sức khỏe; Dữ liệu sinh trắc học, đặc điểm di truyền; Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân; Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật; Vị trí của cá nhân được xác định qua dịch vụ định vị; Danh tính điện tử của cá nhân; Tên đăng nhập, mật khẩu truy cập của tài khoản; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin khác liên quan đến hoạt động giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác; Dữ liệu về hoạt động, lịch sử hoạt động của thuê bao viễn thông; Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng; DLCN khác được pháp luật quy định cần giữ bí mật hoặc do tổ chức, cá nhân xác định cần có biện pháp bảo mật chặt chẽ.

Ngoài ra, Luật BVDLCN cũng bổ sung quy định rằng DLCN sau khi khử nhận dạng không còn là DLCN. Trong đó, việc khử nhận dạng DLCN là quá trình thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc không thể giúp xác định được một con người cụ thể, và phải đảm bảo nguyên tắc không được tái nhận dạng DLCN sau khi đã được khử nhận dạng[1].

Hiện nay, Luật BVDLCN chưa đưa ra quy định cụ thể về phương thức khử nhận dạng dữ liệu. Doanh nghiệp có thể tham khảo các chuẩn mực quốc tế như hướng dẫn của Ủy ban Bảo vệ Dữ liệu Cá nhân Singapore. Theo đó, một quy trình khử nhận dạng chỉ được xem là đạt yêu cầu khi bảo đảm đầy đủ các tiêu chí nhất định: không thể truy ngược lại cá nhân, rủi ro tái nhận dạng ở mức rất thấp, có biện pháp kỹ thuật và quản trị phù hợp, được áp dụng nhất quán và có thể kiểm chứng bằng tài liệu, báo cáo đánh giá:[2]

Ví dụ:

Công ty A muốn phân tích hành vi mua sắm của khách hàng nhằm phục vụ cho việc tối ưu chiến lược kinh doanh. Công ty A đang sở hữu một tệp dữ liệu khách hàng đã từng mua sắm tại website của mình, bao gồm: họ tên, giới tính, năm sinh, email, số điện thoại, địa chỉ và lịch sử mua hàng.

Để đảm bảo tuân thủ các quy định về bảo vệ DLCN, A ký hợp đồng với Công ty B – đơn vị cung cấp giải pháp phân tích dữ liệu. Trước khi gửi dữ liệu cho B, A tiến hành khử nhận dạng bằng cách:

• Loại bỏ các thông tin liên quan trực tiếp đến danh tính của khách hàng như tên đăng nhập, địa chỉ email và địa chỉ giao hàng.
• Thay thế thông tin bằng số thứ tự ngẫu nhiên, đảm bảo số thứ tự này không có mối liên hệ nào đến thông tin khách hàng.
• Chỉ giữ lại các thông tin không mang tính định danh như năm sinh, giới tính, lịch sử đơn hàng, tần suất mua sắm và loại sản phẩm để phục vụ cho mục đích phân tích hành vi mua sắm.
• Đồng thời áp dụng các biện pháp bảo mật, đảm bảo dữ liệu không bị rò rỉ hay tái nhận dạng.

Trong trường hợp này, dữ liệu mà A cung cấp cho B không được xem là DLCN, vì đã được khử nhận dạng trước khi chuyển giao.

 

 

1.2. Các chủ thể liên quan trong quá trình xử lý DLCN

1.2.1. Chủ thể dữ liệu:

Chủ thể dữ liệu là cá nhân mà dữ liệu phản ánh,[3] sở hữu toàn bộ quyền đối với thông tin của mình. Do đó, mọi hoạt động thu thập và xử lý phải tôn trọng và bảo vệ tối đa quyền này. Trong doanh nghiệp, chủ thể dữ liệu có thể là khách hàng, đối tác, người lao động hoặc bất kỳ cá nhân nào mà doanh nghiệp thu thập và xử lý dữ liệu.

1.2.2. Bên kiểm soát DLCN, bên xử lý DLCN, bên kiểm soát và xử lý, và bên thứ ba

 

1.2.3. Xác định vai trò các bên đối với DLCN

Ví dụ minh họa

Tình huống:

Công ty A hoạt động trong lĩnh vực dịch vụ, có 200 nhân viên. Hàng năm, A tổ chức khám sức khỏe định kỳ cho nhân viên, đồng thời thực hiện các thủ tục về bảo hiểm xã hội và lưu trữ hồ sơ nhân sự. Cụ thể:

1. Công ty A gửi danh sách và thông tin nhân viên cho Bệnh viện B để sắp xếp khám sức khỏe định kỳ.
2. Bệnh viện B tiếp nhận thông tin, liên hệ với nhân viên để thông báo lịch khám và tiến hành khám theo yêu cầu của Công ty A.
3. Sau khi khám, Bệnh viện B gửi kết quả về cho Công ty A.
4. Công ty A sử dụng kết quả khám để cập nhật hồ sơ nhân viên và gửi thông tin liên quan đến cơ quan Bảo hiểm xã hội Phường X để thực hiện nghĩa vụ báo cáo, bồi thường hoặc chế độ khác cho nhân viên.
5. Hồ sơ nhân sự, bao gồm thông tin cá nhân và quá trình làm việc, được lưu trữ trên hệ thống của Công ty C – một đơn vị cung cấp dịch vụ lưu trữ đám mây. Công ty C chỉ lưu trữ dữ liệu và không xử lý cho mục đích riêng.

Vai trò	Định nghĩa	Tổ chức/ cá nhân	Giải thích
Bên Kiểm soát DLCN	Là tổ chức hoặc cá nhân quyết định dữ liệu nào được thu thập, với mục đích gì và bằng phương tiện nào.	Công ty A	Quyết định loại dữ liệu cần thu thập (thông tin nhân viên), mục đích (khám sức khỏe, quản lý hồ sơ, thực hiện Bảo hiểm xã hội) và phương tiện xử lý (thuê Bệnh viện B, sử dụng dịch vụ lưu trữ của C).
Bên Xử lý DLCN	Là tổ chức hoặc cá nhân thực hiện các hoạt động như thu thập, phân tích, mã hóa, xóa… theo chỉ đạo và hợp đồng với bên kiểm soát, không được sử dụng dữ liệu cho mục đích khác.	Bệnh viện B, Cơ quan Bảo hiểm xã hội Phường X	Thực hiện việc thu thập, xử lý hoặc sử dụng dữ liệu theo chỉ đạo và mục đích của Công ty A, không được dùng dữ liệu cho mục đích riêng.
Bên thứ ba	Là tổ chức, cá nhân không phải là chủ thể dữ liệu, bên kiểm soát hay bên xử lý DLCN, nhưng có tham gia vào một hoặc nhiều hoạt động xử lý DLCN phát sinh ngoài mối quan hệ hợp đồng trực tiếp giữa bên kiểm soát và bên xử lý.	Công ty C	Không phải là bên kiểm soát hay bên xử lý trực tiếp theo hợp đồng khám sức khỏe, nhưng tham gia vào việc lưu trữ dữ liệu, phát sinh ngoài quan hệ hợp đồng xử lý giữa Công ty A và Bệnh viện B.

Khuyến nghị:

Trước thời điểm Nghị định 13 được ban hành, nhiều hợp đồng hoặc thỏa thuận liên quan đến hoạt động xử lý DLCN chưa quy định rõ bên nào có quyền quyết định mục đích hoặc phương tiện xử lý dữ liệu, dẫn đến khó khăn trong việc xác định vai trò và trách nhiệm của các bên khi xảy ra sự cố. Để khắc phục, doanh nghiệp nên đàm phán, điều chỉnh hoặc bổ sung nội dung hợp đồng/thỏa thuận, phân định cụ thể quyền và nghĩa vụ, xác định rõ bên quyết định mục đích, phương tiện, hình thức xử lý, cũng như trách nhiệm khi có sự cố. Doanh nghiệp đặc biệt cần xem xét bổ sung hoặc cập nhật các điều khoản về xử lý DLCN trong hợp đồng/thỏa thuận với đối tác, nhà cung cấp, nhằm phục vụ yêu cầu báo cáo theo quy định của Nhà nước và bảo đảm rõ ràng trách nhiệm của từng bên, qua đó tuân thủ pháp luật và giảm thiểu rủi ro pháp lý.

1.3. Xử lý DLCN

Theo Luật BVDLCN, hoạt động xử lý DLCN bao gồm:

Khuyến nghị:

Doanh nghiệp cần lưu ý rằng theo Luật BVDLCN, mọi hoạt động liên quan đến dữ liệu cá nhân liệt kê ở trên đều được coi là “xử lý dữ liệu”. Vì vậy, doanh nghiệp nên rà soát toàn bộ quy trình vận hành, xác định rõ từng loại hoạt động xử lý đang thực hiện, từ đó thiết lập biện pháp bảo mật phù hợp, cơ chế xin đồng ý minh bạch và hồ sơ ghi nhận để bảo đảm tuân thủ pháp luật cũng như hạn chế rủi ro pháp lý.

1.4. Trách nhiệm chỉ định bộ phận/nhân sự hoặc thuê đơn vị cung cấp dịch vụ bảo vệ DLCN của doanh nghiệp

Luật BVDLCN yêu cầu các doanh nghiệp phải chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ DLCN hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN.[4] Nghĩa vụ này áp dụng cho mọi doanh nghiệp, trừ các trường hợp được miễn theo khoản 2 và khoản 3 Điều 38 của Luật.

Cụ thể, Luật cho phép các doanh nghiệp, tổ chức sau đây (ngoại trừ doanh nghiệp, tổ chức kinh doanh dịch vụ xử lý DLCN, trực tiếp xử lý DLCN nhạy cảm hoặc xử lý số lượng lớn chủ thể DLCN) được quyền lựa chọn thực hiện hoặc không thực hiện việc chỉ định bộ phận, nhân sự hay thuê tổ chức cung cấp dịch vụ bảo vệ DLCN[5]:

Nhóm doanh nghiệp/tổ chức	Tiêu chí miễn trừ
Doanh nghiệp khởi nghiệp	Hiện tại vẫn chưa có định nghĩa chung về doanh nghiệp khởi nghiệp. Tuy nhiên, chúng tôi sẽ sử dụng định nghĩa gần nhất là “doanh nghiệp khởi nghiệp sáng tạo”. Theo đó, doanh nghiệp khởi nghiệp sáng tạo là doanh nghiệp được thành lập để thực hiện ý tưởng trên cơ sở khai thác tài sản trí tuệ, công nghệ, mô hình kinh doanh mới và có khả năng tăng trưởng nhanh.  → Được lựa chọn thực hiện hoặc không thực hiện chỉ định/thuê dịch vụ bảo vệ DLCN trong 05 năm kể từ ngày Luật BVDLCN có hiệu lực.
Doanh nghiệp nhỏ[6]	Lĩnh vực nông nghiệp, lâm nghiệp, thủy sản; công nghiệp và xây dựng:  Doanh nghiệp có số lao động tham gia bảo hiểm xã hội bình quân năm từ 11 đến không quá 100 người, đồng thời có tổng doanh thu của năm từ hơn 3 tỷ đồng đến không quá 50 tỷ đồng hoặc tổng nguồn vốn của năm từ hơn 3 tỷ đồng đến không quá 20 tỷ đồng. Lĩnh vực thương mại và dịch vụ:  Doanh nghiệp có số lao động tham gia bảo hiểm xã hội bình quân năm từ 11 đến không quá 50 người, đồng thời có tổng doanh thu của năm từ hơn 10 tỷ đồng đến không quá 100 tỷ đồng hoặc tổng nguồn vốn của năm từ hơn 3 tỷ đồng đến không quá 50 tỷ đồng. → Được lựa chọn thực hiện hoặc không thực hiện chỉ định/thuê dịch vụ bảo vệ DLCN trong 05 năm kể từ ngày Luật BVDLCN có hiệu lực.
Doanh nghiệp siêu nhỏ[7]	Lĩnh vực nông nghiệp, lâm nghiệp, thủy sản; công nghiệp và xây dựng:  Doanh nghiệp có số lao động tham gia bảo hiểm xã hội bình quân năm không quá 10 người và tổng doanh thu của năm không quá 3 tỷ đồng hoặc tổng nguồn vốn của năm không quá 3 tỷ đồng. Lĩnh vực thương mại và dịch vụ:  Doanh nghiệp có số lao động tham gia bảo hiểm xã hội bình quân năm không quá 10 người và tổng doanh thu của năm không quá 10 tỷ đồng hoặc tổng nguồn vốn của năm không quá 3 tỷ đồng. → Không bắt buộc chỉ định/thuê dịch vụ bảo vệ DLCN.[8]
Hộ kinh doanh	Hộ kinh doanh là loại hình kinh doanh do một cá nhân hoặc các thành viên hộ gia đình đăng ký thành lập theo quy định của pháp luật và chịu trách nhiệm bằng toàn bộ tài sản của mình đối với hoạt động kinh doanh của hộ kinh doanh.[9] → Không bắt buộc chỉ định/thuê dịch vụ bảo vệ DLCN.[10]

 

Dự thảo Nghị định hướng dẫn Luật BVDLCN bổ sung quy định về thời điểm chấm dứt áp dụng cơ chế miễn trừ đối với các doanh nghiệp, tổ chức. Cụ thể:

• Đối với tổ chức nhỏ, tổ chức khởi nghiệp: miễn trừ không còn áp dụng kể từ khi quy mô xử lý dữ liệu cá nhân đạt từ 100.000 chủ thể dữ liệu cá nhân trở lên.
• Đối với hộ kinh doanh, tổ chức siêu nhỏ: miễn trừ không còn áp dụng kể từ khi quy mô xử lý dữ liệu cá nhân đạt từ 500.000 chủ thể dữ liệu cá nhân trở lên.

Khuyến nghị:

Doanh nghiệp cần rà soát quy mô và tính chất xử lý DLCN để xác định nghĩa vụ chỉ định nhân sự/bộ phận hoặc thuê dịch vụ bảo vệ DLCN, cũng như xem xét khả năng được miễn trừ. Ngay cả khi được miễn trừ tạm thời, doanh nghiệp nên chủ động lên kế hoạch bố trí nhân sự phụ trách hoặc thuê ngoài dịch vụ bảo vệ DLCN để sớm xây dựng năng lực tuân thủ. Với doanh nghiệp nhỏ hoặc khởi nghiệp, việc thuê dịch vụ bảo vệ DLCN bên ngoài là giải pháp tiết kiệm chi phí nhưng vẫn đáp ứng yêu cầu pháp luật.

2. Các vấn đề cần lưu ý trong quá trình thu thập và xử lý DLCN

2.1. Yêu cầu về sự đồng ý của chủ thể dữ liệu

Chủ thể dữ liệu chỉ xem là đã đồng ý hợp lệ khi đồng thời đáp ứng 05 điều kiện sau:[11]

1. Tự nguyện, biết rõ & không kèm điều kiện: Trước khi quyết định, chủ thể đã được thông báo đầy đủ về loại dữ liệu sẽ thu thập, mục đích sử dụng, bên kiểm soát/xử lý và quyền–nghĩa vụ của mình. Việc đồng ý không được gắn liền với yêu cầu bắt buộc phải chấp nhận các mục đích khác ngoài nội dung đã thỏa thuận.[12]
2. Rõ ràng & cụ thể: Việc đồng ý phải được thể hiện bằng hành động khẳng định rõ ràng (chẳng hạn như tích chọn ô “đồng ý”, ký tên, xác nhận điện tử, ghi âm/ghi hình…), không được mặc định từ im lặng hay không phản hồi, thể hiện qua các yêu cầu về hình thức và nội dung như trình bày ở dưới.[13]
3. Có khả năng kiểm chứng: Hồ sơ lưu trữ (giấy hoặc điện tử) phải in sao được, có chữ ký, con dấu, chữ ký số, hoặc ghi âm/cuộc gọi để xác minh sau này.[14]
4. Tương ứng mục đích: Nếu có nhiều mục đích xử lý, mỗi mục đích phải được liệt kê riêng để chủ thể có thể đồng ý từng phần, không ép buộc phải chấp nhận tất cả.[15]
5. Nhóm DLCN nhạy cảm: Với DLCN nhạy cảm (sức khỏe, sinh trắc học…), chủ thể phải được báo trước cụ thể rằng đây là “dữ liệu nhạy cảm” trước khi thu thập.[16]

2.2. Nghĩa vụ thông báo khi xử lý DLCN

Theo quy định tại Luật BVDLCN, việc thông báo trước mỗi lần xử lý DLCN[17] (như đã từng quy định tại Nghị định 13) sẽ không còn được yêu cầu; tuy vậy, bên kiểm soát DLCN và bên xử lý DLCN vẫn phải thực hiện nghĩa vụ thông báo cho chủ thể DLCN trong các trường hợp nhất định.

Các trường hợp mà bên kiểm soát DLCN và bên xử lý DLCN cần phải thực hiện nghĩa vụ thông báo cho chủ thể DLCN
STT	Trường hợp	Ví dụ minh hoạ
1	Khi bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu không thể xóa, hủy DLCN theo yêu cầu chính đáng của chủ thể dữ liệu, phải thông báo kịp thời để chủ thể dữ liệu biết và có biện pháp bảo vệ quyền lợi của mình.[18]	Tình huống tại ngân hàng thương mại: Một khách hàng cá nhân gửi yêu cầu xóa toàn bộ DLCN sau khi đã tất toán và đóng tài khoản ngân hàng. Tuy nhiên, ngân hàng không thể thực hiện yêu cầu này ngay do quy định pháp luật yêu cầu lưu trữ hồ sơ giao dịch và dữ liệu định danh trong vòng 5–10 năm để phục vụ mục tiêu chống rửa tiền và thanh tra kiểm tra nội bộ.[19] → Trách nhiệm thông báo: Ngân hàng có nghĩa vụ thông báo rõ lý do không thể xóa dữ liệu, căn cứ pháp lý liên quan (chẳng hạn như Luật Phòng chống rửa tiền), thời hạn lưu trữ còn lại và các biện pháp bảo vệ dữ liệu đang áp dụng (mã hóa, giới hạn truy cập, v.v.) để chủ thể nắm rõ quyền và tự bảo vệ mình.
2	Trong hoạt động tài chính, ngân hàng hoặc cung cấp thông tin tín dụng, nếu xảy ra lộ, mất, rò rỉ DLCN liên quan đến tài khoản ngân hàng, thông tin tín dụng…, bên kiểm soát và xử lý dữ liệu phải thông báo ngay cho chủ thể dữ liệu để chủ thể chủ động ứng phó.[20]	Tình huống tại tổ chức cung cấp dịch vụ ví điện tử: Một sự cố kỹ thuật khiến cơ sở dữ liệu của hệ thống ví điện tử bị truy cập trái phép, dẫn đến việc rò rỉ thông tin cá nhân (họ tên, số điện thoại, lịch sử giao dịch, số dư tài khoản) của hơn 1.000 người dùng. → Trách nhiệm thông báo: Tổ chức phải ngay lập tức gửi thông báo cho các chủ thể dữ liệu bị ảnh hưởng, mô tả chi tiết loại dữ liệu bị rò rỉ, thời điểm xảy ra, mức độ ảnh hưởng, và đề xuất biện pháp ứng phó như: khóa tạm thời ví, thay đổi mật khẩu, liên hệ hotline hỗ trợ, và khuyến nghị giám sát giao dịch gian lận.
3	Đối với các nền tảng mạng xã hội, dịch vụ trực tuyến, doanh nghiệp phải thông báo rõ ràng toàn bộ loại DLCN sẽ thu thập khi chủ thể dữ liệu cài đặt, đăng ký hoặc sử dụng nền tảng và tuyệt đối không thu thập dữ liệu ngoài phạm vi đã thông báo và thỏa thuận với chủ thể.[21]	Tình huống tại ứng dụng giao đồ ăn: Khi người dùng cài đặt ứng dụng, hệ thống âm thầm truy cập vào vị trí GPS, danh bạ và lịch sử tìm kiếm của thiết bị mà không thông báo rõ trong chính sách quyền riêng tư, cũng không yêu cầu đồng ý từng phần. → Trách nhiệm thông báo: Doanh nghiệp phải cập nhật lại chính sách thu thập dữ liệu theo hướng minh bạch, liệt kê đầy đủ loại dữ liệu thu thập (vị trí, danh bạ, thiết bị…), nêu rõ mục đích xử lý tương ứng từng loại, đồng thời cho phép người dùng tùy chọn “đồng ý từng phần”. Việc thu thập không thông báo là hành vi vi phạm và cần khắc phục trước khi tiếp tục xử lý dữ liệu.
4	Đối với dữ liệu sinh trắc học, doanh nghiệp lưu ý rằng chỉ khi việc xử lý dữ liệu sinh trắc học (chẳng hạn như vân tay, khuôn mặt) dẫn đến thiệt hại thực tế cho chủ thể dữ liệu, tổ chức/cá nhân thu thập và xử lý phải thông báo cho chủ thể dữ liệu theo quy định của Chính phủ.[22]	Tình huống tại trung tâm thể dục thể thao khi sử dụng ứng dụng nhận diện khuôn mặt: Một trung tâm gym sử dụng hệ thống camera nhận diện khuôn mặt để cho phép hội viên ra/vào. Do bị lỗi bảo mật, một bên thứ ba đã truy cập được vào dữ liệu sinh trắc học của nhiều hội viên và sử dụng hình ảnh đó để mạo danh đăng nhập vào hệ thống, gây ra mất mát tài sản. → Trách nhiệm thông báo: Trung tâm phải chủ động thông báo cụ thể đến từng hội viên bị ảnh hưởng, nêu rõ loại dữ liệu bị lộ (dữ liệu sinh trắc học - khuôn mặt), hậu quả đã xảy ra, và phương án khắc phục như: vô hiệu hóa dữ liệu cũ, chuyển sang xác thực đa lớp (MFA), và cung cấp hỗ trợ pháp lý hoặc tài chính nếu có thiệt hại.
5	Khi áp dụng biện pháp giám sát (ghi âm, ghi hình) và xử lý dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng, hoạt động công cộng, cơ quan, tổ chức, cá nhân không cần xin đồng ý, nhưng phải thông báo hoặc áp dụng hình thức thông tin tương đương để chủ thể dữ liệu biết mình đang bị ghi âm, ghi hình (trừ trường hợp pháp luật cho phép không thông báo) trong các trường hợp[23]:  ·  Thực hiện nhiệm vụ quốc phòng, an ninh, trật tự xã hội hoặc bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; ·  Hoạt động công cộng (hội nghị, hội thảo, thể thao, biểu diễn nghệ thuật…) mà không gây tổn hại đến danh dự, nhân phẩm, uy tín của cá nhân; ·  Trường hợp khác do pháp luật quy định.	Tình huống tại nhà máy sản xuất: Doanh nghiệp lắp đặt hệ thống CCTV tại các khu vực xưởng sản xuất, hành lang và cổng ra vào nhằm phục vụ mục đích bảo đảm an toàn, an ninh và kiểm soát nội bộ. Trong quá trình vận hành, có hai nhóm chủ thể bị giám sát: → Trách nhiệm thông báo: Khách đến tham quan (không có quan hệ hợp đồng với doanh nghiệp): Khách đến tham quan nhà máy, doanh nghiệp không cần phải xin sự đồng ý việc ghi âm, ghi hình cho mục đích an ninh, giám sát của nhà xưởng, nhưng doanh nghiệp phải thông báo công khai (qua bảng, biển báo, hướng dẫn) rằng khu vực có camera/ghi hình, và dữ liệu chỉ được dùng đúng mục đích, lưu trữ trong thời hạn cần thiết. Tuy nhiên, doanh nghiệp lưu ý, nếu doanh nghiệp muốn sử dụng hình ảnh khách tham quan cho mục đích khác (VD: quảng cáo, truyền thông), doanh nghiệp phải xin sự đồng ý riêng của khách trước khi sử dụng. Người lao động (có hợp đồng lao động với doanh nghiệp): Việc giám sát bằng CCTV được coi là hoạt động xử lý dữ liệu để thực hiện hợp đồng lao động, phục vụ mục tiêu an toàn lao động, giám sát quy trình sản xuất và an ninh nội bộ. Do đó, doanh nghiệp được xử lý DLCN mà không cần xin lại sự đồng ý riêng từ chủ thể, miễn là việc sử dụng dữ liệu đúng mục đích và không vượt quá phạm vi đã thỏa thuận trong hợp đồng lao động. Tuy nhiên, doanh nghiệp vẫn cần công khai thông báo bằng bảng/biển báo tại các khu vực có lắp đặt camera giám sát để bảo đảm minh bạch.

Ngoài các trường hợp phải thông báo theo Luật BVDLCN, Dự thảo Nghị định hướng dẫn Luật BVDLCN còn mở rộng thêm một số tình huống doanh nghiệp phải chủ động thông báo cho chủ thể DLCN, bao gồm:

• Khi bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cần gia hạn thời gian xử lý yêu cầu rút lại sự đồng ý, yêu cầu xem, chỉnh sửa, cung cấp, và/hoặc xóa dữ liệu, phải thông báo cho chủ thể DLCN lý do cần gia hạn[24].
• Khi DLCN của chủ thể dữ liệu được sử dụng trong hệ thống phân tích dữ liệu lớn, cơ quan, tổ chức, cá nhân có liên quan phải có cơ chế thông báo và giải thích phù hợp cho chủ thể dữ liệu[25].
• Trong hệ thống trí tuệ nhân tạo, vũ trụ ảo, bên Kiểm soát và xử lý DLCN phải thông báo cho chủ thể dữ liệu về việc xử lý DLCN tự động, giải thích ảnh hưởng thuật toán, trí tuệ nhân tạo và các hệ thống tự động đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu[26].
• Trong điện toán đám mây, các tổ chức, cá nhân ký kết hợp đồng có liên quan tới xử lý DLCN với các tổ chức cung cấp dịch vụ điện toán đám mây phải thông báo ngay lập tức cho các bên liên quan bất kỳ sự thay đổi nào có thể ảnh hưởng tới DLCN.

Lưu ý: Doanh nghiệp nên theo dõi sát sao Dự thảo Nghị định hướng dẫn và kịp thời cập nhật khi Nghị định chính thức ban hành, để bảo đảm tuân thủ đầy đủ các nghĩa vụ pháp lý về bảo vệ DLCN.

 

Tổng Bí thư Tô Lâm và Thủ tướng Chính phủ Phạm Minh Chính chúc mừng Ban Thường vụ Hiệp hội Dữ liệu quốc gia nhiệm kỳ 2025-2030. Nguồn: Báo Điện tử Chính phủ

 

Vui lòng xem thêm và tải nội dung đầy đủ của ấn phẩm (file PDF) tại đây