Luật Bảo vệ dữ liệu cá nhân 2025: doanh nghiệp SME cần làm gì ngay?
Luật Bảo vệ dữ liệu cá nhân 2025: doanh nghiệp SME cần làm gì ngay?
Doanh nghiệp của bạn đã thật sự sẵn sàng với Luật Bảo vệ dữ liệu cá nhân chưa? Luật số 91/2025/QH15 đã chính thức có hiệu lực từ ngày 1/1/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết, thay thế Nghị định 13/2023/NĐ-CP. Nghĩa vụ tuân thủ đã phát sinh — không phải chờ đến khi có thanh tra mới bắt đầu.
Điểm đáng mừng: doanh nghiệp SME được hưởng ưu đãi tuân thủ trong 5 năm — nhưng là miễn trừ có điều kiện và có thời hạn, không phải "miễn hoàn toàn". Dưới đây là những việc một doanh nghiệp vừa và nhỏ cần làm ngay.
Luật mới áp dụng với những doanh nghiệp nào?
Câu trả lời ngắn gọn: gần như mọi doanh nghiệp. Bất kỳ tổ chức nào thu thập và xử lý dữ liệu cá nhân — tức gần như mọi công ty có khách hàng và có nhân sự — đều thuộc phạm vi điều chỉnh của Luật 91/2025/QH15.
Luật phân biệt hai vai trò chính: Bên kiểm soát dữ liệu (quyết định mục đích, phương tiện xử lý) và Bên xử lý dữ liệu (xử lý theo hợp đồng với bên kiểm soát). Một doanh nghiệp có thể đồng thời là cả hai vai trò ở các quy trình khác nhau.
Luật phân biệt dữ liệu cá nhân cơ bản (họ tên, số điện thoại, email, địa chỉ...) và dữ liệu cá nhân nhạy cảm (sức khỏe, tài chính, sinh trắc học, vị trí địa lý, quan điểm chính trị...). Dữ liệu nhạy cảm yêu cầu biện pháp bảo vệ cao hơn, và doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm không được hưởng ưu đãi miễn trừ dù là SME.
Ưu đãi 5 năm dành cho SME: hiểu đúng để không chủ quan
Đây là điểm nhiều SME hiểu lầm nhất. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện một số nghĩa vụ — cụ thể là lập hồ sơ đánh giá tác động xử lý dữ liệu và chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân — trong thời gian 5 năm kể từ ngày Luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn thực hiện hoàn toàn một số quy định.
Nhưng ưu đãi này có ba ngoại lệ quan trọng, trong đó doanh nghiệp nhỏ không được miễn:
- Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân (thuê xử lý dữ liệu cho bên khác).
- Doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm.
- Doanh nghiệp xử lý dữ liệu cá nhân từ 100.000 chủ thể dữ liệu trở lên, tính theo tích lũy.
Vì vậy, việc đầu tiên cần làm không phải là "làm hồ sơ tuân thủ" mà là xác định mình có thuộc diện được miễn trừ hay không — ví dụ, một phòng khám tư nhân xử lý dữ liệu sức khỏe thì chắc chắn không được miễn, dù chỉ có 10 nhân sự.
Rà soát dữ liệu cá nhân: 6 câu hỏi phải trả lời được
SME có thể tự làm bước rà soát nền tảng này trong nội bộ với một bảng tính, trả lời 6 câu hỏi:
- Đang giữ dữ liệu gì? Liệt kê loại dữ liệu, thu từ đâu (form web, hợp đồng giấy, chấm công...), với mục đích gì.
- Cơ bản hay nhạy cảm? Đánh dấu từng loại. Có dữ liệu nhạy cảm là mức nghĩa vụ tăng một bậc.
- Vai trò của mình là gì? Với mỗi quy trình: bạn là bên kiểm soát hay bên xử lý? Ai là bên xử lý thuê ngoài?
- Dữ liệu đi đâu? Có chuyển cho bên thứ ba hay ra nước ngoài không?
- Giữ bao lâu? Dữ liệu nào đã hết mục đích sử dụng nhưng vẫn còn lưu?
- Ai được xem? Có phân quyền truy cập rõ ràng không?
Kết quả của bước này là một bản đồ dữ liệu (data mapping) — tài liệu nền cho mọi bước tiếp theo.
Chuẩn hóa sự đồng ý: bỏ ngay checkbox tích sẵn
Luật yêu cầu sự đồng ý của chủ thể dữ liệu phải đáp ứng các nguyên tắc chặt chẽ, và đây là lỗi phổ biến nhất của SME trên website và app. Những việc cần làm ngay:
- Bỏ hết checkbox mặc định tích sẵn. Đồng ý phải là hành động khẳng định rõ ràng của người dùng — không được suy đoán từ sự im lặng hay ô đã tích sẵn.
- Tách riêng đồng ý cho từng mục đích. Không gộp "đồng ý nhận tin khuyến mãi" vào "đồng ý với điều khoản sử dụng dịch vụ". Mỗi mục đích một lựa chọn riêng.
- Soạn lại chính sách bảo mật. Nêu rõ: thu thập dữ liệu gì, mục đích gì, lưu bao lâu, chia sẻ với ai, quyền của chủ thể dữ liệu và liên hệ ai để thực hiện quyền.
Điểm thuận lợi: nếu doanh nghiệp đã thu thập đồng ý hợp lệ theo Nghị định 13/2023 trước đây thì không cần xin lại đồng ý.
Hồ sơ đánh giá tác động (DPIA): khi nào bắt buộc?
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bắt buộc với các trường hợp: xử lý dữ liệu cá nhân nhạy cảm, xử lý dữ liệu trên quy mô lớn, ứng dụng công nghệ mới (AI, nhận diện khuôn mặt, theo dõi hành vi), chuyển dữ liệu ra nước ngoài, hoặc giám sát, phân loại cá nhân.
Hồ sơ được gửi cho Bộ Công an (Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao) trong vòng 60 ngày kể từ thời điểm bắt đầu xử lý dữ liệu, và sau đó cập nhật, nộp báo cáo định kỳ 6 tháng một lần.
Với hoạt động chuyển dữ liệu cá nhân ra nước ngoài — chẳng hạn dùng dịch vụ lưu trữ đặt server ở nước ngoài — phải lập hồ sơ đánh giá tác động riêng biệt.
Quy định về dữ liệu người lao động: xóa khi nghỉ việc
Điều 25 của Luật quy định về xử lý dữ liệu cá nhân trong quản lý lao động — và đây là điểm "chạm" trực tiếp nhất với mọi SME có nhân sự. Bên sử dụng lao động phải xử lý dữ liệu người lao động đúng mục đích, trong phạm vi được đồng ý, và phải xóa hoặc hủy dữ liệu cá nhân khi hợp đồng lao động chấm dứt — trừ khi có thỏa thuận riêng với người lao động hoặc pháp luật yêu cầu lưu trữ (ví dụ hồ sơ bảo hiểm xã hội, thuế).
Quy định áp dụng cho toàn bộ dữ liệu, kể cả dữ liệu thu thập bằng công nghệ như phần mềm chấm công, camera giám sát, định vị. Luật nghiêm cấm mua bán dữ liệu cá nhân dưới mọi hình thức.
Trong thực tế, quy trình "offboarding" cần bổ sung một bước: rà soát và xóa/hủy dữ liệu cá nhân của nhân viên nghỉ việc khỏi hệ thống, email, các file chia sẻ — và lưu lại biên bản đã thực hiện để chứng minh khi cần.
Ứng phó sự cố rò rỉ dữ liệu trong 72 giờ
Khi xảy ra sự cố vi phạm quy định bảo vệ dữ liệu cá nhân (data breach), doanh nghiệp phải thông báo cho cơ quan chức năng trong 72 giờ kể từ khi phát hiện. Đây là mốc thời gian rất gấp — không thể "để mai tính" được.
SME nên chuẩn bị trước một kịch bản ứng phó sự cố đơn giản: ai phát hiện và báo cáo đầu tiên (thường là IT); ai ra quyết định điều phối (lãnh đạo); quy trình khoanh vùng (ngắt kết nối, bảo toàn chứng cứ, đánh giá phạm vi ảnh hưởng); mẫu thông báo cho cơ quan chức năng và cho chủ thể dữ liệu bị ảnh hưởng; và diễn tập thử ít nhất một lần.
Khả năng phát hiện sớm sự cố phụ thuộc rất lớn vào hạ tầng — hệ thống có log đầy đủ, có backup để khôi phục, có giám sát xâm nhập hay không.
Hạ tầng lưu trữ trong nước: giảm rủi ro, giảm thủ tục
Một quyết định hạ tầng đúng đắn có thể đơn giản hóa đáng kể bài toán tuân thủ. Khi dữ liệu cá nhân được lưu trữ trên hạ tầng đặt tại Việt Nam, doanh nghiệp không phát sinh nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài cho phần dữ liệu đó, đồng thời dễ chứng minh với cơ quan chức năng về nơi lưu trữ và biện pháp bảo vệ kỹ thuật.
Về mặt kỹ thuật, hãy ưu tiên nhà cung cấp có datacenter đạt chuẩn Tier III, chứng nhận ISO 27001, uptime cam kết rõ ràng, backup tự động và hỗ trợ kỹ thuật 24/7. Hạ tầng Cloud/VPS của SunCloud đặt tại trung tâm dữ liệu Tier III ở Hà Nội, cam kết uptime 99,98%, backup tự động hàng tuần và hỗ trợ kỹ thuật 24/7/365 — giúp SME vừa đáp ứng yêu cầu "biện pháp kỹ thuật bảo vệ dữ liệu phù hợp" của Luật, vừa có đối tác hạ tầng đồng hành khi cần chứng minh tuân thủ.
Bảng tóm tắt: SME cần làm gì theo mức ưu tiên
| Nhóm công việc | Việc cụ thể | Mức ưu tiên |
|---|---|---|
| Xác định phạm vi | Kiểm tra có thuộc 3 ngoại lệ miễn trừ không | Rất cao — làm đầu tiên |
| Rà soát dữ liệu | Kiểm kê, phân loại, lập bản đồ luồng dữ liệu | Rất cao |
| Sự đồng ý | Bỏ checkbox tích sẵn, tách đồng ý theo mục đích, cập nhật chính sách | Cao |
| Dữ liệu nhân sự | Bổ sung bước xóa dữ liệu vào quy trình offboarding | Cao |
| Thủ tục hành chính | Lập DPIA nếu thuộc diện bắt buộc, nộp trong 60 ngày | Cao (nếu thuộc diện) |
| Ứng phó sự cố | Xây dựng kịch bản, diễn tập, mẫu thông báo 72 giờ | Trung bình |
| Hạ tầng | Rà soát nơi lưu trữ, ưu tiên hạ tầng trong nước đạt chuẩn | Trung bình |
Kết luận
Luật Bảo vệ dữ liệu cá nhân không phải "luật của công ty lớn" — nó áp dụng với mọi SME đang xử lý dữ liệu khách hàng và nhân sự, và nghĩa vụ đã có hiệu lực từ 1/1/2026. Tin tốt là SME được hưởng ưu đãi 5 năm cho một số thủ tục, và lộ trình tuân thủ có thể bắt đầu từ những việc đơn giản, chi phí thấp: kiểm kê dữ liệu, chuẩn hóa form đồng ý, bổ sung quy trình xóa dữ liệu nhân sự nghỉ việc.
Bước tiếp theo thiết thực nhất: dành một buổi trong tuần này để lập bản đồ dữ liệu của công ty theo 6 câu hỏi ở trên. Khi đã biết mình đang giữ dữ liệu gì, ở đâu, của ai — mọi quyết định tiếp theo đều trở nên rõ ràng.
Nếu dữ liệu của bạn đang nằm rải rác trên nhiều dịch vụ nước ngoài và bạn muốn tập trung về hạ tầng trong nước đạt chuẩn để đơn giản hóa tuân thủ, đội ngũ SunCloud có thể tư vấn phương án Cloud Server, VPS hoặc Colocation phù hợp với quy mô SME. Liên hệ hotline 083 979 3434 hoặc truy cập suncloud.vn để được tư vấn miễn phí.
Câu hỏi thường gặp
SME có bắt buộc tuân thủ Luật Bảo vệ dữ liệu cá nhân không?
Có. Luật áp dụng với mọi tổ chức xử lý dữ liệu cá nhân. SME chỉ được ưu đãi (quyền lựa chọn thực hiện hoặc không) đối với một số nghĩa vụ như lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu, trong 5 năm kể từ 1/1/2026 — trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu, hoặc xử lý từ 100.000 chủ thể trở lên.
Công ty chỉ có website giới thiệu, có form liên hệ thì có thuộc phạm vi Luật không?
Có, nếu form thu thập họ tên, số điện thoại, email của khách hàng. Nghĩa vụ trong trường hợp này khá nhẹ: chính sách bảo mật rõ ràng, sự đồng ý hợp lệ và biện pháp bảo vệ kỹ thuật cơ bản.
Hồ sơ đánh giá tác động (DPIA) nộp cho cơ quan nào, thời hạn bao lâu?
Nộp cho Bộ Công an (Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao) trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu thuộc diện bắt buộc, sau đó nộp báo cáo định kỳ 6 tháng một lần. Hồ sơ chuyển dữ liệu ra nước ngoài được lập và nộp riêng.
Nhân viên nghỉ việc yêu cầu xóa toàn bộ dữ liệu, công ty có phải làm không?
Về nguyên tắc có, trừ trường hợp pháp luật yêu cầu lưu trữ (hồ sơ thuế, bảo hiểm xã hội) hoặc có thỏa thuận khác với người lao động. Nên có quy trình offboarding chuẩn và lưu biên bản đã xóa để làm bằng chứng.
Lưu dữ liệu trên server nước ngoài có vi phạm Luật không?
Không tự động vi phạm, nhưng phát sinh thêm nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài. Vì vậy nhiều SME chọn lưu trữ dữ liệu cá nhân trên hạ tầng trong nước để giảm thủ tục và rủi ro.
Doanh nghiệp nhỏ có cần chỉ định nhân sự bảo vệ dữ liệu cá nhân không?
SME trong diện ưu đãi 5 năm được quyền lựa chọn không thực hiện nghĩa vụ này. Tuy vậy, có một đầu mối rõ ràng (kể cả kiêm nhiệm) vẫn giúp vận hành an toàn hơn nhiều.
