Tóm tắt
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/06/2025 và có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025 hướng dẫn chi tiết luật, có hiệu lực cùng ngày và thay thế Nghị định 13/2023/NĐ-CP.
Với đội công nghệ, luật không chỉ là việc của bộ phận pháp chế. Phần lớn nghĩa vụ chỉ thực hiện được nếu hệ thống được thiết kế để làm điều đó: biết dữ liệu nằm ở đâu, ghi nhận được sự đồng ý, xoá được khi cần và chứng minh được khi bị kiểm tra.
Bản đồ dữ liệu có phân loại · Dịch vụ quản lý sự đồng ý · Quy trình xử lý yêu cầu của chủ thể dữ liệu · Kiến trúc và hồ sơ chuyển dữ liệu ra nước ngoài · Nhật ký truy cập và quy trình sự cố · Kiểm soát nhân sự và bên thứ ba.
1. Bản đồ dữ liệu có phân loại
Nghị định 356/2025 mở rộng và cụ thể hoá danh mục dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Mức bảo vệ khác nhau theo từng loại, nên hệ thống cần biết trường dữ liệu nào thuộc loại nào.
- Gắn nhãn phân loại ở mức trường dữ liệu trong danh mục dữ liệu (data catalog), không chỉ ở mức hệ thống.
- Ghi rõ nơi lưu, hệ thống nguồn, các hệ thống nhận và thời hạn lưu cho từng nhóm dữ liệu.
- Với fintech, chú ý dữ liệu tài chính, sinh trắc học từ eKYC và dữ liệu vị trí.
2. Quản lý sự đồng ý như một dịch vụ
Sự đồng ý cần gắn với mục đích cụ thể. Theo Nghị định 356/2025, trong lĩnh vực tài chính, ngân hàng, khi xin sự đồng ý phải nêu rõ các mục đích xử lý, bao gồm cả hoạt động chấm điểm, xếp hạng tín dụng.
- Xây một dịch vụ đồng ý dùng chung thay vì để mỗi ứng dụng tự lưu cờ đồng ý.
- Lưu phiên bản nội dung đã hiển thị, thời điểm, kênh và mục đích cho mỗi lần đồng ý.
- Rút lại sự đồng ý phải lan truyền tới mọi hệ thống đang dùng dữ liệu cho mục đích đó.
3. Quyền của chủ thể dữ liệu
Nghị định 356/2025 quy định các mốc thời gian cụ thể hơn cho việc phản hồi yêu cầu của chủ thể dữ liệu so với Nghị định 13/2023. Đối chiếu thời hạn chính xác cho từng loại yêu cầu trong văn bản và đưa vào SLA của hệ thống.
- Một đầu mối tiếp nhận yêu cầu (truy cập, chỉnh sửa, xoá, rút đồng ý) có mã theo dõi.
- Khả năng tìm toàn bộ dữ liệu của một người trên mọi hệ thống, kể cả kho dữ liệu và bản sao lưu.
- Quy trình xoá có xác nhận, và ghi nhận lý do khi phải giữ lại theo nghĩa vụ khác.
4. Chuyển dữ liệu ra nước ngoài
Dùng cloud, công cụ SaaS hoặc đội hỗ trợ ở nước ngoài thường là chuyển dữ liệu cá nhân ra nước ngoài. Điều này cần hồ sơ đánh giá tác động và kiến trúc phù hợp.
| Mô hình | Ưu điểm | Điều cần làm |
|---|---|---|
| Toàn bộ ở nước ngoài | Đơn giản, chi phí thấp | Hồ sơ chuyển dữ liệu đầy đủ; kiểm soát nhà cung cấp phụ |
| Lai: dữ liệu định danh tại Việt Nam | Giảm phạm vi dữ liệu chuyển ra | Tách dữ liệu định danh; dùng mã thay thế (token) khi xử lý ở nước ngoài |
| Toàn bộ tại Việt Nam | Phạm vi chuyển ra nhỏ nhất | Kiểm tra cả công cụ giám sát, hỗ trợ và sao lưu vẫn có thể gửi dữ liệu ra ngoài |
5. Nhật ký truy cập và quy trình sự cố
- Ghi nhật ký ai truy cập dữ liệu cá nhân nào, khi nào, vì mục đích gì; bảo vệ nhật ký khỏi bị sửa.
- Quy trình phát hiện, đánh giá và thông báo vi phạm theo mẫu và thời hạn trong Nghị định 356/2025.
- Diễn tập sự cố ít nhất một lần trước khi cần dùng thật.
6. Nhân sự và bên thứ ba
Nghị định 356/2025 quy định điều kiện đối với nhân sự bảo vệ dữ liệu cá nhân trong tổ chức, và đưa dịch vụ xử lý dữ liệu cá nhân thành ngành nghề kinh doanh có điều kiện.
- Chỉ định người chịu trách nhiệm bảo vệ dữ liệu, có quyền truy cập vào quy trình thiết kế hệ thống.
- Rà soát nhà cung cấp xử lý dữ liệu cho bạn: họ có đáp ứng điều kiện kinh doanh dịch vụ này không.
- Hợp đồng với bên xử lý ghi rõ phạm vi, nơi xử lý, nhà cung cấp phụ và nghĩa vụ khi có sự cố.
Checklist cho đội công nghệ
- Có danh mục dữ liệu cá nhân, phân loại cơ bản và nhạy cảm đến mức trường.
- Có dịch vụ đồng ý dùng chung, lưu được phiên bản và mục đích.
- Tìm và xoá được dữ liệu của một người trên mọi hệ thống trong thời hạn quy định.
- Biết mọi luồng dữ liệu đi ra nước ngoài, kể cả qua công cụ giám sát và hỗ trợ.
- Có hồ sơ đánh giá tác động cho xử lý và cho chuyển dữ liệu ra nước ngoài.
- Có nhật ký truy cập dữ liệu cá nhân và quy trình thông báo vi phạm đã diễn tập.
- Đã chỉ định nhân sự bảo vệ dữ liệu và rà soát các bên xử lý.
English summary
Vietnam’s Personal Data Protection Law (91/2025/QH15) took effect on 1 January 2026, together with its implementing Decree 356/2025/ND-CP, which replaces Decree 13/2023. Most obligations can only be met if systems are designed for them. We recommend six architecture changes: a classified data map down to field level; a shared consent service that records purpose and version; a data subject request process with SLAs matching the decree’s timelines; a deliberate model for cross-border transfers with the matching impact dossier; tamper-resistant access logs and a rehearsed breach process; and controls over data protection staff and third-party processors.
A full English version is in preparation. Ask us a question in English.