Luật Bảo vệ dữ liệu cá nhân 91/2025: doanh nghiệp vừa và nhỏ phải làm gì?

1. Mốc hiệu lực

Việc đã được người dùng đồng ý theo Nghị định 13/2023 thì làm tiếp, không phải xin lại; hồ sơ đã nộp theo Nghị định 13 vẫn dùng được (Điều 39 Luật 91/2025).

2. Doanh nghiệp nào được miễn, miễn phần nào

Điều 38 Luật 91/2025 và Điều 41 Nghị định 356/2025 chỉ miễn hoặc lùi ba việc: lập hồ sơ đánh giá tác động xử lý (Điều 21), cập nhật hồ sơ 6 tháng (Điều 22), chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu (Điều 33 khoản 2).

Mất quyền miễn nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của số lượng lớn người — Nghị định 356 định nghĩa là từ 100.000 người trở lên, cộng dồn.

Lưu ý dữ liệu nhạy cảm theo Điều 4 Nghị định 356 gồm cả những thứ doanh nghiệp hay giữ: ảnh căn cước, CCCD của nhân viên, khách hàng; vị trí định vị (chấm công GPS, theo dõi xe giao hàng); dữ liệu sinh trắc (chấm công khuôn mặt, vân tay); sức khoẻ (hồ sơ khám sức khoẻ); thông tin tài khoản ngân hàng, lịch sử giao dịch; dữ liệu theo dõi hành vi trên dịch vụ trực tuyến. Doanh nghiệp chấm công bằng khuôn mặt hay lưu ảnh CCCD nhân viên nên kiểm tra kỹ có còn được miễn không.

3. Nghĩa vụ áp dụng cho mọi doanh nghiệp

Xin đồng ý đúng cách

• Đồng ý trước khi thu thập, tự nguyện, người dùng biết rõ loại dữ liệu, mục đích, ai xử lý, quyền của họ (Điều 9, 11 Luật 91).
• Từng mục đích một: đồng ý “liên hệ tư vấn” không kèm luôn “nhận quảng cáo”. Im lặng không phải là đồng ý (Điều 9 khoản 4).
• Cấm ô đồng ý đánh dấu sẵn, chỉ dẫn mập mờ; doanh nghiệp phải chứng minh được ai đồng ý, lúc nào, nội dung gì (Điều 6 Nghị định 356).
• Không cần đồng ý khi xử lý để thực hiện hợp đồng với chính người đó (Điều 19 khoản 1 điểm d) — ví dụ giao hàng cho khách đã đặt.

Website, quảng cáo, cookie

• Theo dõi hành vi trên website, ứng dụng để quảng cáo theo hành vi chỉ được làm khi có đồng ý, phải cho từ chối (Điều 28 khoản 8). Nghĩa là Meta Pixel, Google Tag Manager, các mã remarketing phải chờ người dùng đồng ý.
• Gửi tin nhắn, email, cuộc gọi quảng cáo cần đồng ý và cho ngừng nhận (Điều 28 khoản 3–5).

Nhân sự, tuyển dụng, camera

• Ứng viên: chỉ hỏi thông tin phục vụ tuyển dụng; không tuyển thì xoá (Điều 25 khoản 1).
• Người lao động: xoá khi chấm dứt hợp đồng, trừ phần luật bắt giữ; giám sát bằng công nghệ phải cho nhân viên biết (Điều 25 khoản 2, 3).
• Camera nơi công cộng, cửa hàng: phải có thông báo (Điều 32).

Quyền của người có dữ liệu

Phải có quy trình, biểu mẫu để người dân xem, sửa, xoá, rút lại đồng ý. Phản hồi đã nhận trong 02 ngày làm việc; xem, sửa trong 10 ngày; rút đồng ý, hạn chế trong 15 ngày; xoá trong 20 ngày (Điều 5 Nghị định 356).

Sự cố và chuyển dữ liệu ra nước ngoài

• Báo vi phạm cho cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện (Điều 23 Luật 91).
• Lưu dữ liệu trên đám mây ở nước ngoài, hoặc dùng nền tảng nước ngoài xử lý dữ liệu thu ở Việt Nam = chuyển dữ liệu xuyên biên giới, lập hồ sơ đánh giá tác động trong 60 ngày từ lần chuyển đầu (Điều 20). Được miễn khi doanh nghiệp lưu dữ liệu người lao động của mình trên đám mây (khoản 6).

4. Mức phạt theo Nghị định 330/2026

Mức trong phần dữ liệu cá nhân của Nghị định 330 là mức cho tổ chức; cá nhân vi phạm bằng 1/2 (Điều 7). Một số hành vi doanh nghiệp hay mắc:

Trần phạt theo Luật 91 (Điều 8): mua bán dữ liệu tới 10 lần khoản thu; vi phạm chuyển dữ liệu ra nước ngoài tới 5% doanh thu năm trước; vi phạm khác tới 3 tỷ đồng.

5. 10 việc doanh nghiệp nên làm ngay

1. Kê dữ liệu đang giữ: khách hàng, nhân viên, ứng viên, camera; ở phần mềm nào, Excel nào, ai xem được.
2. Đánh dấu dữ liệu nhạy cảm: ảnh CCCD, chấm công khuôn mặt, GPS, sức khoẻ, tài khoản ngân hàng — để biết còn được miễn hồ sơ hay không.
3. Viết lại chính sách bảo vệ dữ liệu trên website: mục đích, ai tiếp cận, lưu bao lâu, cách xem, sửa, xoá, khiếu nại.
4. Sửa form: thêm ô đồng ý không đánh dấu sẵn, tách ô “nhận quảng cáo”, lưu thời điểm đồng ý.
5. Banner cookie: chặn Pixel, Google Tag Manager, mã remarketing tới khi người dùng đồng ý; nút từ chối ngang hàng nút đồng ý.
6. Quy trình nhận yêu cầu: một email hoặc form, người phụ trách, sổ theo dõi thời hạn 2/10/15/20 ngày.
7. Tuyển dụng, nhân sự: mẫu đồng ý cho ứng viên, lịch xoá hồ sơ không tuyển, thông báo giám sát cho nhân viên.
8. Hợp đồng với nhà cung cấp: phần mềm, dịch vụ email, kế toán thuê ngoài — có điều khoản xử lý dữ liệu (DPA).
9. Dữ liệu ra nước ngoài: liệt kê dịch vụ nước ngoài đang dùng; cân nhắc chuyển dữ liệu quản lý về máy chủ trong nước.
10. Quy trình sự cố 72 giờ: ai phát hiện báo ai, mẫu thông báo, sao lưu để khôi phục.

Công cụ miễn phí để bắt đầu: kiểm tra website có tuân thủ không, tạo chính sách bảo mật, mẫu ô đồng ý và banner cookie (trên dorabot.io).

6. Phần mềm quản lý ảnh hưởng thế nào

Phần lớn dữ liệu cá nhân của doanh nghiệp nằm trong phần mềm bán hàng, CRM, nhân sự, kế toán. Phần mềm tốt giúp tuân thủ dễ hơn ở bốn chỗ:

• Phân quyền để chỉ đúng người xem đúng dữ liệu (Điều 3: biện pháp kỹ thuật, con người phù hợp).
• Tìm và xuất, sửa, xoá dữ liệu của một người trong vài phút khi có yêu cầu.
• Máy chủ đặt tại Việt Nam giúp tránh phải lập hồ sơ chuyển dữ liệu ra nước ngoài cho phần dữ liệu quản lý.
• Thoả thuận xử lý dữ liệu với nhà cung cấp để đưa vào hồ sơ đánh giá tác động.

Cloudify ERP lưu dữ liệu tại trung tâm dữ liệu ở Hà Nội và có mẫu DPA cho khách hàng. Xem Bảo mật & dữ liệu tại Cloudify.

7. Câu hỏi thường gặp

Nguồn: Luật 91/2025/QH15 (Công báo số 971+972 ngày 24/7/2025), Nghị định 356/2025/NĐ-CP (Công báo số 18 ngày 18/01/2026), Nghị định 330/2026/NĐ-CP (Công báo số 498 ngày 04/9/2026). Bài viết để tham khảo, không thay tư vấn pháp lý cho trường hợp cụ thể.