Xin chào quý khán thính giả đã quay trở lại với kênh The Lawyers Talk của Công ty Luật TNHH BLawyers Vietnam. Tôi là Huỳnh Kim Thành, và kế bên tôi là bạn Lê Thị Thanh Hà, chúng tôi rất vui được gặp lại mọi người trong tập podcast hôm nay. Chủ đề ngày hôm nay chúng ta cùng nhau thảo luận sẽ là về Luật Bảo vệ dữ liệu cá nhân 2025 (“Luật BVDLCN”), một luật mới vừa được ban hành vào ngày 26/6/2025 và sẽ chính thức có hiệu lực từ ngày 01/01/2026.
Vào ngày 29/11/2025 vừa qua, Chính phủ cũng đã ban hành Quyết định số 2623/QĐ-TTg ban hành kế hoạch triển khai thi hành Luật BVDLCN này. Vì vậy, trong tập này, chúng tôi sẽ đặt ra 03 câu hỏi, mỗi câu hỏi sẽ nhìn từ hai góc độ: (i) pháp luật quy định như thế nào; và (ii) thực tế đang diễn ra ra sao, để các bạn có thể có sự chuẩn bị chu đáo trước khi Luật này có hiệu lực.
Khách mời
Chào mọi người, mình là Hà, và câu hỏi đầu tiên mà mình nghĩ mọi người nên quan tâm đó là:
1. Dữ liệu cá nhân là gì, và có bao nhiêu chủ thể chính được Luật quy định?
Theo Luật BVDLCN, khái niệm dữ liệu cá nhân được quy định tại Khoản 1 Điều 2 của Luật này. Nói một cách dễ hiểu, dữ liệu cá nhân được chia thành hai nhóm, gồm: một là dữ liệu cá nhân cơ bản, và hai là dữ liệu cá nhân nhạy cảm. Hai nhóm này lần lượt được quy định tại Khoản 2 và Khoản 3 Điều 2 của Luật BVDLCN, và sẽ được cụ thể hóa theo danh mục do Chính phủ ban hành trong tương lai. Ở thời điểm này, chúng ta có thể hiểu khái quát như sau:
- Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội.
- Còn Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
Ngoài ra, Luật BVDLCN cũng quy định về các chủ thể tham gia vào quá trình xử lý dữ liệu cá nhân, gồm 4 chủ thể chính là:
- Bên kiểm soát dữ liệu cá nhân: họ là bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân, trên thực tế, bên này thông thường là các doanh nghiệp;
- Bên xử lý dữ liệu cá nhân: bên này là bên thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu hoặc thông qua hợp đồng;
- Bên kiểm soát và xử lý dữ liệu cá nhân: bên này là sự kết hợp của 02 bên vừa nêu; và
- Bên thứ ba, bên này là một bên khác với 3 bên mà tôi vừa nêu, họ cũng sẽ tham gia vào việc xử lý dữ liệu cá nhân.
Chủ biên
Trên thực tế, chúng tôi thấy một điểm rất phổ biến là doanh nghiệp thường không ý thức rõ mình đang đóng vai trò chủ thể nào theo Luật BVDLCN. Rất nhiều doanh nghiệp cho rằng: “Dữ liệu đang nằm trên hệ thống của bên khác, thì bên đó phải chịu trách nhiệm”.
Ở đây, tôi có thể đưa ra ví dụ sau: Phía trường học quản lý học sinh bằng việc thuê một bên thứ 3 cung cấp hệ thống CRM (Customer Relationship Management) – một hệ thống phổ biến để lưu trữ thông tin số điện thoại học sinh/ phụ huynh, địa chỉ nhà, hoặc lớp học và trình độ của các em học sinh. Trong những trường hợp như vậy, doanh nghiệp thường mặc định rằng trách nhiệm bảo vệ dữ liệu đã được chuyển sang cho bên cung cấp dịch vụ.
Tuy nhiên, khi đối chiếu với Luật BVDLCN, nếu doanh nghiệp vẫn là bên quyết định việc thu thập dữ liệu để làm gì, sử dụng dữ liệu vào mục đích gì, thì về mặt pháp lý, doanh nghiệp vẫn được xem là bên kiểm soát dữ liệu cá nhân và có trách nhiệm pháp lý đối với dữ liệu đó.
Khách mời
2. Doanh nghiệp cần lưu ý gì khi thu thập dữ liệu cá nhân?
Theo Luật Bảo vệ dữ liệu cá nhân 2025, khi thu thập dữ liệu cá nhân, doanh nghiệp cần lưu ý đầu tiên và quan trọng nhất là tuân thủ 06 nguyên tắc bảo vệ dữ liệu cá nhân được quy định tại Điều 3 của Luật BVDLCN, trong 06 nguyên tắc này có 02 nguyên tắc quan trọng cần chú ý, như sau:
- Thứ nhất, chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật;
- Thứ hai, bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân (một điển hình là trong trường hợp không tuyển dụng ứng viên hoặc chấm dứt hợp đồng lao động với người lao động thì người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của họ), trừ trường hợp pháp luật có quy định khác.
Bên cạnh việc tuân thủ nguyên tắc trên, dữ liệu cá nhân chỉ được thu thập khi có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác. Theo đó, sự đồng ý của chủ thể dữ liệu được quy định cụ thể tại Điều 9 Luật BVDLCN, tôi xin tóm lược như sau:
- Thứ nhất, sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi được đưa ra một cách tự nguyện, và dựa trên việc chủ thể dữ liệu đã biết rõ các thông tin sau đây:
- Loại dữ liệu cá nhân được xử lý;
- Mục đích xử lý dữ liệu cá nhân;
- Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân là ai; và
- Các quyền cũng như nghĩa vụ của chủ thể dữ liệu cá nhân.
- Thứ hai, sự đồng ý phải được thể hiện bằng phương thức rõ ràng, cụ thể. Tức là việc đồng ý phải thể hiện qua văn bản mà có thể kiểm chứng được.
- Thứ ba, sự đồng ý phải đảm bảo nguyên tắc của Luật BVDL quy định, chẳng hạn như: phải thể hiện được sự đồng ý đối với từng mục đích, nội dung không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận, hay sự im lặng hoặc không phản hồi cũng không được coi là sự đồng ý, vân vân.
Từ đó có thể thấy rằng, việc soạn thảo nội dung thông báo yêu cầu sự đồng ý của chủ thể dữ liệu là rất quan trọng cho doanh nghiệp.
Chủ biên
Ở góc độ thực tế, chúng tôi nhận thấy rằng rủi ro pháp lý liên quan đến dữ liệu cá nhân thường phát sinh ngay từ khâu thu thập dữ liệu. Một tình huống khá phổ biến là doanh nghiệp thu thập rất nhiều loại dữ liệu nhưng không xác định rõ dữ liệu đó thực sự cần thiết cho mục đích gì, và cũng không phân biệt đâu là dữ liệu cần thu thập, đâu là dữ liệu không cần thiết. Điều này, vô hình chung đã vi phạm nguyên tắc bảo vệ dữ liệu cá nhân.
Đối với việc thu thập sự đồng ý của chủ thể dữ liệu, trong thực tế thường được thực hiện theo cách rất hình thức như:
- Gộp nhiều mục đích xử lý dữ liệu khác nhau vào một nội dung đồng ý duy nhất khiến nội dung dài dòng, lan man; hoặc
- Sử dụng các câu chữ rất dài, chung chung, khó hiểu khiến chủ thể dữ liệu chỉ đồng ý mà không đọc.
Một hậu quả xảy ra đó là khi có tranh chấp hoặc khi cơ quan có thẩm quyền kiểm tra, doanh nghiệp sẽ gặp khó khăn trong việc giải thích, chứng minh về sự đồng ý đó là tự nguyện, có hiểu biết và việc thu thập dữ liệu không vượt quá mục đích của doanh nghiệp.
Do đó, khâu soạn thảo nội dung cũng như xây dựng quy trình thu thập sự đồng ý của chủ thể dữ liệu là một phần này là rất quan trọng trong toàn bộ quá trình xử lý dữ liệu cá nhân.
Khách mời
3. Doanh nghiệp cần lưu ý gì khi chuyển dữ liệu cá nhân xuyên biên giới?
Trong bối cảnh hiện nay, việc chuyển dữ liệu cá nhân ra nước ngoài là hoạt động diễn ra rất phổ biến, đặc biệt là đối với các doanh nghiệp là nhà đầu tư nước ngoài.
Theo Luật BVDLCN, việc chuyển dữ liệu cá nhân xuyên biên giới là không bị cấm, nhưng họ cần phải có nghĩa vụ đối với cơ quan Nhà nước Việt Nam đó là thực hiện đánh giá tác động khi chuyển dữ liệu cá nhân xuyên biên giới theo điều 20, 21 của Luật BVDLCN trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới. Theo đó, doanh nghiệp cần phải tuân thủ chặt chẽ quy trình này.
Và tất nhiên, không phải bất cứ ai khi chuyển dữ liệu cá nhân của mình xuyên biên giới cũng phải thực hiện nghĩa vụ này. Theo đó, những trường hợp sau đây thì không cần thực hiện, bao gồm:
- Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;
- Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;
- Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới; và
- Các trường hợp khác theo quy định của Chính phủ.
Chủ biên
Cảm ơn Hà, và đó cũng là phần kết thúc của Podcast ngày hôm nay, nếu quý vị cảm thấy chủ đề này hữu ích, hoặc có bất kỳ câu hỏi hay thắc mắc nào, hãy vui lòng bình luận bên dưới để chúng tôi có thể hỗ trợ các bạn. Hoặc để biết thêm thông tin về BLawyers Vietnam, xin mời các bạn xem Website của chúng tôi bên dưới màn hình podcast của The Lawyers Talk.
Xin chào và hẹn gặp lại.
Nội dung nêu trên không phải là ý kiến tư vấn chính thức từ BLawyers Vietnam. Nếu bạn có bất kỳ câu hỏi hay góp ý về nội dung trên vui lòng liên hệ với chúng tôi qua địa chỉ info@blawyersvn.com. Chúng tôi rất vui khi nghe từ bạn.
Ngày: 29/12/2025
