Nếu tuần trước chúng ta đã nhìn tổng quan về khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam, thì câu hỏi đặt ra ngay sau đó là: doanh nghiệp phải làm gì để tuân thủ? Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) không chỉ trao quyền cho cá nhân, mà còn đặt lên vai doanh nghiệp — với tư cách Bên Kiểm soát và/hoặc Bên Kiểm soát và Xử lý dữ liệu — một loạt nghĩa vụ pháp lý cụ thể, xuyên suốt toàn bộ vòng đời dữ liệu.

Nghĩa vụ pháp lý của doanh nghiệp

Xuyên suốt vòng đời của dữ liệu, khởi đầu với hoạt động cơ bản từ thu thập – xử lý – lưu trữ dữ liệu, doanh nghiệp có các nghĩa vụ trọng tâm sau:

Về thu thập dữ liệu: doanh nghiệp phải công khai chính sách bảo mật, giải thích rõ cách thức thu thập, sử dụng và chia sẻ dữ liệu cá nhân; chỉ thu thập đúng phạm vi, đúng mục đích đã thông báo, và có được sự đồng ý hợp lệ của chủ thể dữ liệu đối với những hoạt động xử lý thuộc diện bắt buộc phải xin sự đồng ý.

Về lưu trữ và bảo mật: doanh nghiệp phải cung cấp cho người dùng cơ chế truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư cho dữ liệu cá nhân, đồng thời áp dụng các biện pháp kỹ thuật, quản trị phù hợp để bảo vệ dữ liệu trong suốt thời gian lưu trữ.

Về thực thi quyền của chủ thể dữ liệu: khi chủ thể dữ liệu thực hiện các quyền của mình (truy cập, chỉnh sửa, xóa...), doanh nghiệp phải kịp thời thực hiện trong thời hạn theo quy định của pháp luật — đòi hỏi doanh nghiệp phải có sẵn quy trình nội bộ để tiếp nhận, đánh giá yêu cầu, phối hợp giữa các bộ phận liên quan và phản hồi đúng hạn, chứ không thể xử lý tùy nghi.

Về đánh giá tác động (DPIA và DTIA): doanh nghiệp có nghĩa vụ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và, khi có hoạt động chuyển dữ liệu ra nước ngoài, lập thêm Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (DTIA) — trong đó đánh giá mức độ rủi ro, biện pháp giảm thiểu và trách nhiệm của bên tiếp nhận dữ liệu. Các hồ sơ này phải được gửi đến cơ quan chuyên trách trong thời hạn luật định và luôn sẵn sàng để phục vụ công tác kiểm tra khi có yêu cầu. Đây không phải là thủ tục làm một lần cho có, mà cần được cập nhật ngay khi có thay đổi về mục đích, phạm vi hoặc loại dữ liệu xử lý.

Về xử lý và ứng phó sự cố: một điểm mới đáng chú ý là nghĩa vụ báo cáo các vi phạm về bảo mật, quyền riêng tư và xây dựng quy trình xử lý vi phạm nhanh chóng, hiệu quả — tức doanh nghiệp không chỉ cần phòng ngừa mà còn phải có sẵn quy trình phản ứng khi sự cố xảy ra. Với dữ liệu chuyển ra nước ngoài, doanh nghiệp còn có nghĩa vụ bảo vệ dữ liệu cá nhân của công dân Việt Nam khi chuyển dữ liệu xuyên biên giới.

Có thể thấy, năm nhóm nghĩa vụ trên không tồn tại độc lập mà gắn kết chặt chẽ với nhau trong suốt vòng đời dữ liệu: một chính sách thu thập minh bạch sẽ vô nghĩa nếu không đi kèm cơ chế lưu trữ an toàn; quyền của chủ thể dữ liệu chỉ được đảm bảo khi doanh nghiệp có quy trình nội bộ rõ ràng để tiếp nhận và phản hồi; hồ sơ đánh giá tác động (DPIA, DTIA) là công cụ để doanh nghiệp tự nhận diện rủi ro trước khi cơ quan quản lý yêu cầu; và mọi nỗ lực tuân thủ đều cần được kiểm chứng qua khả năng ứng phó khi sự cố thực sự xảy ra. Nói cách khác, tuân thủ không phải là một thủ tục hành chính làm một lần, mà là một hệ thống vận hành cần được duy trì liên tục — và mức độ nghiêm túc trong việc xây dựng hệ thống đó sẽ quyết định trực tiếp mức độ rủi ro mà doanh nghiệp phải đối mặt, như phần tiếp theo sẽ phân tích.

Rủi ro khi vi phạm

Luật quy định rõ: tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ, hậu quả, có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật. Luật đã ấn định sẵn mức trần cho một số hành vi:

•  Đối với hành vi mua, bán dữ liệu cá nhân: mức phạt tiền tối đa là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn 3 tỷ đồng thì áp dụng mức phạt tối đa 3 tỷ đồng.
• Đối với hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: mức phạt tiền tối đa đối với tổ chức là 5% doanh thu của năm trước liền kề của tổ chức đó
• Các mức trần trên áp dụng đối với tổ chức; nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng 1/2 mức phạt tiền đối với tổ chức

Lưu ý: đây là các mức trần đã được quy định ngay trong Luật. Nghị định hướng dẫn chi tiết mức xử phạt cho từng hành vi vi phạm cụ thể trong lĩnh vực bảo vệ dữ liệu cá nhân hiện vẫn đang trong quá trình dự thảo, chưa chính thức ban hành — doanh nghiệp cần tiếp tục theo dõi để cập nhật kịp thời khi văn bản này có hiệu lực.

Ngoài khung xử phạt chung nêu trên, doanh nghiệp hoạt động trong các lĩnh vực đặc thù — như tài chính - ngân hàng, bảo hiểm, viễn thông, y tế, hoặc thương mại điện tử — còn có thể đồng thời chịu sự điều chỉnh của các quy định chuyên ngành riêng về bảo mật thông tin khách hàng. Trong nhiều trường hợp, cùng một hành vi vi phạm có thể cấu thành vi phạm nhiều quy định pháp luật khác nhau (ví dụ: vừa vi phạm Luật Bảo vệ dữ liệu cá nhân, vừa vi phạm quy định chuyên ngành về an toàn thông tin khách hàng), dẫn đến việc doanh nghiệp phải gánh chịu chế tài tổng hợp nặng hơn so với chỉ áp dụng một khung xử phạt đơn lẻ. Đây là lý do doanh nghiệp trong các lĩnh vực có yếu tố quản lý nhà nước chuyên ngành cần đặc biệt thận trọng khi đánh giá rủi ro tuân thủ, thay vì chỉ nhìn từ góc độ Luật Bảo vệ dữ liệu cá nhân.

Ngoài chế tài trực tiếp, doanh nghiệp vi phạm còn đối mặt với rủi ro gián tiếp nhưng không kém phần nghiêm trọng: mất niềm tin của khách hàng, đối tác chấm dứt hợp tác do lo ngại rủi ro liên đới, và bất lợi khi tham gia đấu thầu hoặc gọi vốn từ nhà đầu tư nước ngoài — những bên ngày càng đưa tiêu chí tuân thủ dữ liệu vào quy trình thẩm định (due diligence).

Vai trò của SenLaw trong tư vấn tuân thủ

Tuân thủ pháp luật bảo vệ dữ liệu cá nhân đòi hỏi một hệ thống toàn diện, được xây dựng bài bản và duy trì liên tục. SenLaw đồng hành cùng doanh nghiệp trong toàn bộ hành trình đó, bao gồm:

1. Rà soát hiện trạng tuân thủ gồm thu thập, lưu trữ, xử lý dữ liệu, xác định các khoảng trống cần khắc phục và đề xuất giải pháp khắc phục;
2. Lập Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) và đánh giá tác động chuyển dữ liệu ra nước ngoài (DTIA) — bao gồm ánh xạ luồng dữ liệu thực tế và các yêu cầu kỹ thuật liên quan, không chỉ dừng ở soạn thảo văn bản;
3. Xây dựng bộ tài liệu tuân thủ: chính sách, quy trình nội bộ, biểu mẫu đồng ý, điều khoản xử lý dữ liệu trong hợp đồng, quy trình ứng phó sự cố, v.v…
4. Đào tạo nội bộ để đội ngũ vận hành thực thi đúng quy trình đã xây dựng. 

Bài viết cùng chủ đề:

Bảo vệ dữ liệu cá nhân tại Việt Nam: Doanh nghiệp cần biết gì trong năm 2026?

📩 Liên hệ và trao đổi với SENLAW tại:
Phòng P.108, Tòa nhà Master Building, số 41–43 Trần Cao Vân, Phường Xuân Hòa, Thành phố Hồ Chí Minh
✉️ luatsu@senlaw.vn | 🌐 senlaw.vn | ☎️ 028 7307 3579

Theo dõi chúng tôi tại: LinkedIn SENLAW |  Facebook SENLAW