Khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam: Từ Luật số 91/2025/QH15 đến Nghị định số 356/2025/NĐ-CP.

Trong bối cảnh chuyển đổi số diễn ra sâu rộng, dữ liệu cá nhân đã trở thành một loại “tài sản” đặc biệt, vừa mang giá trị kinh tế, vừa tiềm ẩn nguy cơ xâm phạm quyền riêng tư nếu bị thu thập, khai thác trái phép. Nhận diện rõ thực trạng này, ngày 26/6/2025, tại Kỳ họp thứ 9, Quốc hội khóa XV đã thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, chính thức có hiệu lực thi hành từ ngày 01/01/2026. Đây là văn bản có giá trị pháp lý cao nhất, lần đầu tiên hệ thống hóa toàn diện các quy định về bảo vệ dữ liệu cá nhân tại Việt Nam, được cụ thể hóa bởi Nghị định 356/2025/NĐ-CP và đặt trong mối liên hệ với nhiều đạo luật chuyên ngành khác.

Cấu trúc và các nguyên tắc nền tảng của Luật Bảo vệ dữ liệu cá nhân 2025

Luật số 91/2025/QH15 gồm 5 chương và 39 điều, đóng vai trò là đạo luật gốc quy định toàn diện về khái niệm dữ liệu cá nhân, hoạt động bảo vệ dữ liệu, cũng như quyền lợi và trách nhiệm pháp lý của mọi cơ quan, tổ chức, cá nhân. Điểm sáng trong cấu trúc của Luật là việc phân chia rõ ràng thành hai nhóm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Sự phân loại này giúp nhà nước và các tổ chức áp dụng những biện pháp bảo vệ phù hợp với mức độ rủi ro thực tế.

Ngay tại Điều 3, Luật đã vạch ra các nguyên tắc mang tính định hướng xuyên suốt: mọi việc thu thập và xử lý dữ liệu phải nằm trong khuôn khổ mục đích đã đặt ra và phải được thông báo rõ ràng; thông tin thu về phải chính xác, được chỉnh sửa hay cập nhật khi có sai sót; và thời gian lưu giữ chỉ nên kéo dài trong chừng mực cần thiết. Những nguyên tắc này cho thấy tư duy lập pháp của nước ta có nhiều điểm tương đồng với các tiêu chuẩn bảo vệ dữ liệu tiến bộ trên thế giới, chẳng hạn như Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR). Dù không áp dụng trực tiếp văn bản quốc tế này, Việt Nam đã khéo léo nội luật hóa những giá trị cốt lõi — như việc thu hẹp lượng dữ liệu thu thập ở mức tối thiểu và minh bạch hóa mục đích xử lý — sao cho vừa vặn với điều kiện thực tế trong nước.

Quyền của Chủ thể dữ liệu – trọng tâm của cơ chế bảo vệ dữ liệu cá nhân

Một trong những điểm đáng chú ý của Luật Bảo vệ dữ liệu cá nhân năm 2025 là việc xác lập tương đối đầy đủ các quyền của chủ thể dữ liệu, qua đó khẳng định cá nhân không chỉ là đối tượng có dữ liệu bị thu thập mà còn là chủ thể có quyền kiểm soát nhất định đối với dữ liệu của mình.

Các quyền này bao gồm quyền được biết, quyền đồng ý, quyền truy cập, quyền chỉnh sửa và các quyền liên quan đến việc yêu cầu xóa, hủy hoặc khử nhận dạng dữ liệu cá nhân theo quy định của pháp luật. Đặc biệt, pháp luật xác định sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được mặc nhiên coi là sự đồng ý đối với việc xử lý dữ liệu. Quy định này góp phần hạn chế tình trạng doanh nghiệp hoặc tổ chức thiết lập cơ chế mặc định theo hướng người sử dụng không phản đối thì được hiểu là đã chấp thuận.

Bên cạnh đó, chủ thể dữ liệu có quyền rút lại sự đồng ý đã đưa ra trong những trường hợp pháp luật cho phép. Việc ghi nhận quyền này có ý nghĩa quan trọng bởi sự đồng ý không phải là một sự cho phép vô thời hạn và không thể bị tách rời khỏi quyền kiểm soát dữ liệu của cá nhân.

Đáng chú ý, đối với hoạt động xử lý dữ liệu lớn (Big Data), pháp luật đặt ra yêu cầu tăng cường các biện pháp bảo đảm an toàn, trong đó có việc sử dụng phương thức xác thực mạnh, tối thiểu bao gồm xác thực đa yếu tố phù hợp với mức độ nhạy cảm của dữ liệu. Đồng thời, các chủ thể xử lý dữ liệu phải chú trọng đến phân quyền truy cập, bảo mật, phòng ngừa thất thoát dữ liệu và các biện pháp kỹ thuật cần thiết trong suốt quá trình xử lý.

Nghị định 356/2025/NĐ-CP hướng dẫn thi hành chi tiết Luật Bảo vệ dữ liệu cá nhân 2025

Nếu như Luật số 91/2025/QH15 dựng lên khung sườn chính, thì Nghị định số 356/2025/NĐ-CP lại là văn bản cầm tay chỉ việc, vạch rõ các bước tiến hành trên thực tế và thay thế Nghị định số 13/2023/NĐ-CP vốn đã bộc lộ nhiều điểm chưa sát với thực tiễn sau một thời gian áp dụng.

Nghị định này tập trung làm rõ năm mảng việc then chốt:

Chuẩn hóa biểu mẫu và quy trình đánh giá tác động khi xử lý dữ liệu cá nhân.
Thắt chặt các điều kiện pháp lý khi đưa dữ liệu cá nhân vượt qua biên giới quốc gia.
Quy định cụ thể chức năng, nhiệm vụ và tiêu chuẩn đối với nhân sự chuyên trách bảo vệ dữ liệu (DPO).
Cập nhật các mẫu báo cáo định kỳ cho đồng bộ.
Làm rõ cách thức phối hợp thanh tra, kiểm tra giữa các cơ quan quản lý, trong đó có vai trò chủ chốt của lực lượng công an chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05).

Về điều khoản chuyển tiếp, Nghị định tỏ ra rất linh hoạt khi quy định: những hồ sơ đánh giá tác động hoặc hồ sơ chuyển dữ liệu ra nước ngoài đã làm theo Nghị định cũ trước ngày Luật mới có hiệu lực vẫn tiếp tục được công nhận, giúp doanh nghiệp tránh được cảnh phải làm lại từ đầu.

Mối quan hệ giữa pháp luật về bảo vệ dữ liệu cá nhân với hệ thống pháp luật hiện hành

Quy định về bảo vệ dữ liệu cá nhân không đứng độc lập một mình mà nằm trong một hệ thống pháp luật gắn bó mật thiết với nhau. Đầu tiên, Bộ luật Dân sự 2015 (cụ thể tại Điều 38), nơi quyền về đời sống riêng tư, bí mật cá nhân và gia đình được xem là những quyền nhân thân thiêng liêng được pháp luật bảo vệ.

Ở cấp độ hiến định, Hiến pháp năm 2013 cũng ghi nhận quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình và quyền bảo vệ các thông tin liên quan đến đời sống riêng tư. Do đó, Luật Bảo vệ dữ liệu cá nhân năm 2025 có thể được nhìn nhận như một bước phát triển và cụ thể hóa sâu hơn cơ chế bảo vệ các quyền này trong môi trường dữ liệu và chuyển đổi số.

Bên cạnh đó, Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018 đóng vai trò như những chiếc khiên kỹ thuật, phòng chống các đợt tấn công mạng — có sự giao thoa trực tiếp với trách nhiệm bảo mật dữ liệu của các cơ quan, đoàn thể.

Sự góp mặt của Luật Giao dịch điện tử 2023 với các đòi hỏi khắt khe về an toàn thông tin trên môi trường mạng đã góp phần dệt nên một chiếc áo giáp pháp lý hoàn chỉnh, tạo đòn bẩy vững chắc để thực thi Luật Bảo vệ dữ liệu cá nhân 2025.

Lời kết

Việc Quốc hội ban hành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, cùng với việc Chính phủ ban hành Nghị định số 356/2025/NĐ-CP, đánh dấu một bước phát triển quan trọng trong quá trình hoàn thiện pháp luật Việt Nam về quản trị và bảo vệ dữ liệu cá nhân. Với hiệu lực từ ngày 01/01/2026, hai văn bản này tạo lập nền tảng pháp lý chuyên ngành tương đối toàn diện, đồng thời xác lập rõ hơn quyền của chủ thể dữ liệu và trách nhiệm của các cơ quan, tổ chức, cá nhân tham gia vào quá trình xử lý dữ liệu.

Điểm đáng chú ý không chỉ nằm ở việc bổ sung các quy định mới, mà còn ở sự thay đổi trong cách tiếp cận pháp lý: dữ liệu cá nhân không còn được nhìn nhận đơn thuần như một loại thông tin cần bảo mật, mà được đặt trong mối quan hệ với quyền nhân thân, quyền riêng tư và quyền kiểm soát dữ liệu của cá nhân. Đồng thời, trách nhiệm bảo vệ dữ liệu được chuyển dần từ yêu cầu mang tính phản ứng sang cơ chế quản trị chủ động, trong đó tổ chức phải nhận diện rủi ro, xây dựng quy trình, phân định trách nhiệm và áp dụng các biện pháp bảo vệ phù hợp ngay trong quá trình xử lý dữ liệu.

Đối với doanh nghiệp, việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân vì vậy không nên được xem đơn thuần là một nghĩa vụ hành chính. Trong nền kinh tế số, một cơ chế quản trị dữ liệu minh bạch và an toàn còn có thể trở thành yếu tố góp phần nâng cao uy tín, củng cố niềm tin của khách hàng và đối tác, đồng thời hạn chế các rủi ro pháp lý, tài chính và danh tiếng phát sinh từ sự cố dữ liệu. Đây cũng là cơ sở để doanh nghiệp chuyển từ tư duy “bảo mật dữ liệu khi có sự cố” sang tư duy “quản trị và bảo vệ dữ liệu ngay từ đầu”, phù hợp với xu hướng phát triển của pháp luật dữ liệu trong nước và quốc tế.