Luật Dữ liệu là Luật số 60/2024/QH15, được Quốc hội thông qua ngày 30/11/2024 và có hiệu lực từ 01/07/2025. Khác với Luật Bảo vệ dữ liệu cá nhân, luật này điều chỉnh mọi dữ liệu số, kể cả dữ liệu không gắn với cá nhân nào, và áp dụng cho cả doanh nghiệp tư nhân, doanh nghiệp có vốn đầu tư nước ngoài (Điều 1, Điều 2). Với doanh nghiệp, Luật Dữ liệu đặt một nghĩa vụ chung là phân loại dữ liệu thành dữ liệu cốt lõi, dữ liệu quan trọng và dữ liệu khác (khoản 2 Điều 13). Nếu có dữ liệu thuộc hai nhóm đầu, doanh nghiệp phải đánh giá rủi ro hằng năm, ghi nhật ký, cử người chịu trách nhiệm và lập hồ sơ (hoặc xin chấp thuận) trước khi chuyển dữ liệu đó ra nước ngoài.
Điều nhiều doanh nghiệp chưa để ý: danh mục kèm Quyết định 20/2025/QĐ-TTg không chỉ gồm dữ liệu của cơ quan nhà nước mà còn tính theo quy mô. Theo cách đọc của chúng tôi, dữ liệu công dân cơ bản chưa công khai của từ 100.000 người, hay dữ liệu về tài khoản ngân hàng, lịch sử thanh toán, nghĩa vụ nợ của từ 10.000 doanh nghiệp, đã là dữ liệu quan trọng. Các nghĩa vụ này đã áp dụng từ 01/07/2025; điều sắp thay đổi là chế tài: Nghị định 363/2026/NĐ-CP về xử phạt có hiệu lực từ 11/11/2026 và tại ngày 17/10/2026 chưa có hiệu lực. Bài viết cập nhật theo văn bản đến ngày 17/10/2026.
Luật Dữ liệu áp dụng với ai và có hiệu lực khi nào?#
Luật dữ liệu có hiệu lực khi nào? Từ ngày 01/07/2025 (Điều 45), không có thời hạn chuyển tiếp cho doanh nghiệp. Ba nghị định hướng dẫn (160/2025, 165/2025, 169/2025) và danh mục dữ liệu có hiệu lực cùng ngày, nên câu hỏi luật dữ liệu có hiệu lực khi nào đã có lời đáp từ hơn một năm nay; điều mới trong năm 2026 là khung xử phạt và sàn dữ liệu.
Luật dữ liệu 2024 áp dụng cho tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam; và tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu số tại Việt Nam (Điều 2), nên công ty mẹ ở nước ngoài nhận dữ liệu từ công ty con cũng có thể nằm trong phạm vi. Bộ Công an là cơ quan đầu mối quản lý nhà nước về dữ liệu (điểm b khoản 2 Điều 8).
| Văn bản | Nội dung chính với doanh nghiệp | Hiệu lực |
|---|---|---|
| Luật Dữ liệu số 60/2024/QH15 | Phân loại, chuyển dữ liệu xuyên biên giới, cung cấp dữ liệu cho Nhà nước, dịch vụ dữ liệu | 01/07/2025 |
| Nghị định 165/2025/NĐ-CP | Tiêu chí dữ liệu cốt lõi, quan trọng; hồ sơ chuyển ra nước ngoài; nghĩa vụ bảo vệ | 01/07/2025 |
| Quyết định 20/2025/QĐ-TTg | Danh mục 26 mục dữ liệu cốt lõi, 18 mục dữ liệu quan trọng | 01/07/2025 |
| Nghị định 169/2025/NĐ-CP | Dịch vụ trung gian, phân tích dữ liệu; sàn dữ liệu; giấy chứng nhận đủ điều kiện | 01/07/2025 |
| Nghị định 314/2026/NĐ-CP | Hoạt động của sàn dữ liệu, Sàn dữ liệu quốc gia | 25/09/2026 |
| Nghị định 363/2026/NĐ-CP | Xử phạt vi phạm hành chính trong lĩnh vực dữ liệu | 11/11/2026 |
Luật dữ liệu số 60/2024/QH15 đăng Công báo số 1523 + 1524 ngày 29/12/2024.
Luật Dữ liệu khác Luật Bảo vệ dữ liệu cá nhân ở điểm nào?#
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 bảo vệ quyền của cá nhân đối với thông tin về mình (xem tổng quan về PDPD). Luật Dữ liệu coi dữ liệu là tài nguyên cần phát triển thành tài sản (khoản 1 Điều 6) và kiểm soát những dữ liệu có thể ảnh hưởng tới an ninh, kinh tế vĩ mô, sức khỏe cộng đồng.
| Tiêu chí | Luật Dữ liệu 2024 | Luật Bảo vệ dữ liệu cá nhân 2025 |
|---|---|---|
| Đối tượng | Mọi dữ liệu số | Dữ liệu cá nhân |
| Chủ thể dữ liệu | Cơ quan, tổ chức, cá nhân được dữ liệu phản ánh (khoản 12 Điều 3) | Cá nhân |
| Vai trò | Chủ sở hữu dữ liệu, chủ quản dữ liệu | Bên kiểm soát, bên xử lý |
| Phân loại | Cốt lõi, quan trọng, khác | Cơ bản, nhạy cảm |
| Chuyển ra nước ngoài | Chỉ kiểm soát dữ liệu cốt lõi, quan trọng | Mọi dữ liệu cá nhân |
| Xử phạt | Nghị định 363/2026/NĐ-CP | Nghị định 330/2026/NĐ-CP |
Chủ sở hữu và chủ quản dữ liệu. Chủ sở hữu dữ liệu có quyền quyết định việc xây dựng, bảo vệ, xử lý, sử dụng và trao đổi giá trị của dữ liệu (khoản 14 Điều 3). Chủ quản dữ liệu xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của chủ sở hữu (khoản 13). Phần lớn nghĩa vụ trong Nghị định 165/2025/NĐ-CP đặt lên chủ quản. Doanh nghiệp tự vận hành hệ thống thường giữ cả hai vai trò; khi thuê ngoài, nhà cung cấp có thể là chủ quản. Cặp khái niệm này gần với bên kiểm soát và bên xử lý nhưng không trùng hẳn, nên hợp đồng thuê ngoài cần ghi rõ ai gánh nghĩa vụ của chủ quản.
Khi một dữ liệu thuộc cả hai luật, có ba quy định phân định:
- Luật khác ban hành trước ngày Luật Dữ liệu có hiệu lực mà có quy định riêng, không trái nguyên tắc của Luật Dữ liệu, thì áp dụng luật đó (khoản 1 Điều 4). Luật 91/2025 được thông qua ngày 26/06/2025.
- Đã đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật 91 thì không phải đánh giá theo pháp luật về dữ liệu (khoản 4 Điều 5 Luật 91/2025).
- Việc bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân thực hiện theo Luật Bảo vệ dữ liệu cá nhân; khi chuyển ra nước ngoài, chủ quản dữ liệu lập hồ sơ theo pháp luật bảo vệ dữ liệu cá nhân, không phải đánh giá thêm theo Nghị định 165 (khoản 2 Điều 16 Nghị định 165, sửa bởi khoản 3 Điều 42 Nghị định 356/2025/NĐ-CP).
Theo cách đọc của chúng tôi, ba quy định này không miễn nghĩa vụ phân loại theo Điều 13 Luật Dữ liệu; chúng chỉ quyết định bộ quy tắc bảo vệ và hồ sơ nào được áp dụng sau khi đã phân loại.
Dữ liệu cốt lõi là gì, dữ liệu quan trọng là gì?#
Dữ liệu quan trọng là dữ liệu có thể tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng, thuộc danh mục do Thủ tướng ban hành (khoản 6 Điều 3). Dữ liệu cốt lõi là dữ liệu quan trọng trực tiếp tác động đến các lĩnh vực đó (khoản 7 Điều 3). Câu trả lời cho câu hỏi dữ liệu cốt lõi là gì vì vậy có hai lớp: tiêu chí chung và danh mục cụ thể.
Điều 3, Điều 4 Nghị định 165/2025/NĐ-CP đặt tiêu chí theo mức độ gây nguy hiểm khi dữ liệu bị thu thập, sử dụng trái phép (không gồm bí mật nhà nước): "có thể gây tác động nguy hiểm" là dữ liệu quan trọng, "trực tiếp gây tác động nguy hiểm" là dữ liệu cốt lõi. Quyết định 20/2025/QĐ-TTg liệt kê 26 mục dữ liệu cốt lõi và 18 mục dữ liệu quan trọng; mục II.1 đưa toàn bộ dữ liệu cốt lõi vào danh mục dữ liệu quan trọng. Phần lớn các mục là dữ liệu "do cơ quan nhà nước thu thập, quản lý chưa công khai"; doanh nghiệp chỉ chạm tới khi được Nhà nước giao hoặc chia sẻ dữ liệu, ví dụ nhà thầu hệ thống thông tin công.
Các mục tính theo quy mô có thể chạm tới doanh nghiệp#
Mục I.26 và II.18 ("dữ liệu về tổ chức, công dân chưa công khai") không gắn với cơ quan nhà nước, và Quyết định 20 không nói rõ ai là chủ thể nắm giữ. Theo cách đọc của chúng tôi, doanh nghiệp nắm đủ khối lượng dưới đây là đang nắm dữ liệu quan trọng hoặc cốt lõi:
| Dữ liệu chưa công khai | Dữ liệu quan trọng (II.18) | Dữ liệu cốt lõi (I.26) |
|---|---|---|
| Dữ liệu công dân cơ bản | từ 100.000 công dân Việt Nam | từ 1.000.000 công dân Việt Nam |
| Dữ liệu công dân nhạy cảm | từ 10.000 công dân Việt Nam | từ 100.000 công dân Việt Nam |
| Dữ liệu về tài khoản ngân hàng, lịch sử thanh toán, nghĩa vụ nợ của doanh nghiệp, tổ chức Việt Nam | từ 10.000 doanh nghiệp, tổ chức | từ 100.000 doanh nghiệp, tổ chức |
Khi áp ngưỡng cần lưu ý:
- Quyết định 20 không định nghĩa "dữ liệu công dân cơ bản", "dữ liệu công dân nhạy cảm". Cách hiểu gần nhất là đối chiếu với dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm tại Điều 3, Điều 4 Nghị định 356/2025/NĐ-CP, nhưng chưa có hướng dẫn chính thức.
- Ngưỡng chỉ đếm công dân và doanh nghiệp, tổ chức Việt Nam.
- Khi chuyển ra nước ngoài, khối lượng được cộng dồn từ ngày 01/07/2025 (khoản 10 Điều 12 Nghị định 165).
Hai nhóm đầu là dữ liệu cá nhân, nên phần bảo vệ và hồ sơ chuyển ra nước ngoài đi theo Luật Bảo vệ dữ liệu cá nhân. Nhóm thứ ba không phải dữ liệu cá nhân, nên chịu trọn chế độ của Luật Dữ liệu; nhóm này có thể chạm tới ngân hàng, trung gian thanh toán, công ty thông tin tín dụng, nền tảng cho vay, phần mềm kế toán có đồng bộ sao kê ngân hàng của khách hàng doanh nghiệp.
Danh mục có thể thay đổi. Phụ lục nhiệm vụ Chiến lược dữ liệu quốc gia giai đoạn 2026–2030 kèm Quyết định 1308/QĐ-TTg ngày 18/07/2026 giao Bộ Công an chủ trì sửa Quyết định 20/2025/QĐ-TTg và rà soát, đề xuất sửa Luật Dữ liệu, thời hạn 2026–2027. Theo Báo Công an TP.HCM, Nghị quyết 07/2026/UBTVQH16 đã bổ sung dự án Luật An ninh dữ liệu vào Chương trình lập pháp năm 2026, dự kiến trình Quốc hội tại kỳ họp tháng 10/2026; chúng tôi chưa đối chiếu văn bản gốc.
Phân loại dữ liệu theo Luật Dữ liệu: việc mọi doanh nghiệp phải làm#
Khoản 2 Điều 13 Luật Dữ liệu quy định chủ sở hữu, chủ quản dữ liệu không phải cơ quan nhà nước "phải phân loại dữ liệu" thành dữ liệu cốt lõi, dữ liệu quan trọng, dữ liệu khác, không phân biệt quy mô doanh nghiệp. Từ 11/11/2026, tổ chức không phân loại, hoặc không rà soát kết quả phân loại khi mục đích xử lý, phạm vi khai thác hay tính chất dữ liệu thay đổi, có thể bị phạt 30–50 triệu đồng (điểm a, b khoản 1 Điều 9 Nghị định 363/2026/NĐ-CP). Nghĩa vụ phân loại đã có từ 01/07/2025; Nghị định 363 chỉ bổ sung chế tài.
Luật không có mẫu hồ sơ phân loại. Với đa số doanh nghiệp, kết quả là "toàn bộ là dữ liệu khác", nhưng nên có văn bản ngắn ghi lại cách làm để chứng minh khi bị kiểm tra:
- Kiểm kê các nhóm dữ liệu theo hệ thống (CRM, ERP, nhân sự, kế toán, thanh toán, log). Doanh nghiệp đã có sổ ghi hoạt động xử lý (RoPA) có thể dùng làm nền và bổ sung dữ liệu không phải dữ liệu cá nhân.
- Đối chiếu từng nhóm với 44 mục của Quyết định 20; đánh dấu dữ liệu nhận từ cơ quan nhà nước.
- Đếm khối lượng công dân, doanh nghiệp Việt Nam trong từng tập dữ liệu, ghi ngày đếm.
- Ghi kết luận, căn cứ và người duyệt; đặt điểm kích hoạt rà soát: sản phẩm mới, mua lại công ty, số khách hàng vượt ngưỡng, danh mục được sửa.
Tình huống minh họa. Công ty A cung cấp phần mềm kế toán dạng SaaS cho 12.000 doanh nghiệp Việt Nam, có tính năng đồng bộ sao kê ngân hàng để đối soát; máy chủ đặt tại Singapore. Theo cách đọc của chúng tôi, tập sao kê là dữ liệu về lịch sử thanh toán của hơn 10.000 doanh nghiệp, tức dữ liệu quan trọng theo mục II.18. Phần lớn tập này không phải dữ liệu cá nhân, nên ngoại lệ của Nghị định 356 không giúp được. Dùng nền tảng ở nước ngoài để xử lý là chuyển, xử lý dữ liệu xuyên biên giới (điểm c khoản 2 Điều 23), nên Công ty A phải gửi hồ sơ đánh giá tác động cho Bộ Công an trước 15 ngày khi xử lý và thực hiện các nghĩa vụ ở mục dưới. Nếu khách hàng tăng lên 100.000 doanh nghiệp, tập dữ liệu thành dữ liệu cốt lõi và phải chờ kết quả đánh giá đạt mới được chuyển.
Nghĩa vụ của chủ quản dữ liệu cốt lõi, dữ liệu quan trọng#
Luật chỉ đặt khung: chủ quản dữ liệu cốt lõi, dữ liệu quan trọng phải định kỳ đánh giá rủi ro, thông báo cho Bộ Công an, Bộ Quốc phòng (khoản 4 Điều 25) và tuân thủ quy định về bảo vệ dữ liệu (khoản 3 Điều 27). Chi tiết nằm ở Nghị định 165/2025/NĐ-CP:
| Nghĩa vụ | Căn cứ Nghị định 165 |
|---|---|
| Hệ thống quản lý bảo vệ dữ liệu; quy trình thu thập, lưu trữ, sao lưu, phục hồi; truy cập theo đặc quyền tối thiểu | khoản 1–4 Điều 17 |
| Ghi nhật ký xử lý dữ liệu, lưu ít nhất 06 tháng | khoản 10 Điều 17 |
| Đánh giá rủi ro hằng năm, lưu Báo cáo theo Mẫu số 06 để sẵn sàng kiểm tra | khoản 11 Điều 17 |
| Người chịu trách nhiệm bảo vệ dữ liệu và bộ phận bảo vệ an toàn dữ liệu; không bố trí người có tiền án trong lĩnh vực công nghệ thông tin, viễn thông; thỏa thuận bảo mật với nhân viên; đào tạo hằng năm | Điều 18 |
| Báo cáo sự cố cho Bộ Công an, Bộ Quốc phòng sớm nhất có thể; diễn tập khẩn cấp 06 tháng một lần | khoản 4, 8 Điều 19 |
| Ủy thác xử lý: hợp đồng, xác minh năng lực bên nhận, mã hóa, ký số; lưu hồ sơ ủy thác dữ liệu quan trọng ít nhất 3 năm | khoản 3 Điều 16; khoản 9 Điều 17 |
| Xóa, hủy có tài liệu chứng minh không thể khôi phục; tổ chức lại, giải thể phải báo cáo phương án xử lý dữ liệu | khoản 7, 8 Điều 17 |
Đã lập hồ sơ chuyển dữ liệu xuyên biên giới theo Điều 12 thì không phải lập riêng Báo cáo đánh giá rủi ro hằng năm (khoản 11 Điều 17). Với dữ liệu quan trọng là dữ liệu cá nhân, theo cách đọc của chúng tôi, bảng trên được thay bằng nghĩa vụ của Luật 91 và Nghị định 356 (đánh giá tác động, nhân sự bảo vệ dữ liệu cá nhân, thông báo vi phạm trong 72 giờ), vì khoản 2 Điều 16 Nghị định 165 đã sửa đưa việc bảo vệ các dữ liệu này về Luật Bảo vệ dữ liệu cá nhân.
Với mọi dữ liệu, chủ thể dữ liệu (kể cả tổ chức) có quyền yêu cầu xóa, hủy dữ liệu của mình đã cung cấp (khoản 1 Điều 26 Luật Dữ liệu); hạn xử lý là 72 giờ, trừ khi pháp luật quy định khác (điểm b khoản 1 Điều 13 Nghị định 165).
Chuyển dữ liệu ra nước ngoài theo Luật Dữ liệu#
Luật Dữ liệu không cấm chuyển dữ liệu ra nước ngoài. Chuyển dữ liệu từ nước ngoài về và xử lý dữ liệu của nước ngoài tại Việt Nam là tự do (khoản 1 Điều 23). Chỉ dữ liệu cốt lõi, dữ liệu quan trọng chịu kiểm soát, với ba hình thức (khoản 2 Điều 23): chuyển dữ liệu đang lưu tại Việt Nam tới hệ thống lưu trữ ở nước ngoài; chuyển dữ liệu cho tổ chức, cá nhân nước ngoài; và sử dụng nền tảng ở nước ngoài để xử lý dữ liệu. Hình thức thứ ba bao trùm cả cloud, SaaS đặt máy chủ ở nước ngoài.
Thủ tục theo Điều 12 Nghị định 165/2025/NĐ-CP:
| Bước | Dữ liệu quan trọng | Dữ liệu cốt lõi |
|---|---|---|
| Đánh giá tác động (01 lần cho suốt thời gian hoạt động, cập nhật khi thay đổi mục đích, phạm vi, loại dữ liệu, cách xử lý của bên nhận, quyền kiểm soát; khoản 1, 8) | Bắt buộc | Bắt buộc |
| Hợp đồng với bên nhận có nội dung bắt buộc (khoản 3) | Bắt buộc | Bắt buộc |
| Gửi Bộ Công an (hoặc Bộ Quốc phòng) | 01 bản chính trước 15 ngày khi xử lý, không cần chờ chấp thuận | Gửi hồ sơ để đánh giá; kết quả trong 10 ngày, phức tạp không quá 15 ngày; chỉ chuyển khi kết quả đạt |
Hồ sơ gồm Báo cáo theo Mẫu số 02 và văn bản liên quan, gửi kèm thông báo Mẫu số 01b tới Trung tâm Dữ liệu quốc gia, Bộ Công an (khoản 4 và Phụ lục Nghị định 165). Ba trường hợp ngoại lệ không cần chấp thuận hay thông báo trước: tình huống khẩn cấp để bảo vệ tính mạng, sức khỏe, tài sản; quản lý nhân sự xuyên biên giới theo nội quy, thỏa ước lao động; và trường hợp thực sự cần để ký, thực hiện hợp đồng như vận chuyển, thanh toán, khách sạn, thị thực (khoản 11). Các trường hợp này vẫn phải gửi đánh giá tác động cho Bộ Công an; khoản 12 viết "sau 15 ngày kể từ ngày tiến hành thực hiện", chúng tôi hiểu là hạn chót.
Với dữ liệu cốt lõi, quan trọng là dữ liệu cá nhân, hồ sơ trên được thay bằng hồ sơ chuyển dữ liệu cá nhân xuyên biên giới gửi Cục A05 (xem chuyển dữ liệu ra nước ngoài là gì và hướng dẫn lập báo cáo gửi Cục A05).
Có phải lưu dữ liệu quan trọng tại Việt Nam không? Luật không viết thẳng như vậy. Nghị định 363 phạt tổ chức lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng trên hệ thống đặt ngoài lãnh thổ hoặc do tổ chức nước ngoài quản lý "trái quy định của pháp luật" (điểm c khoản 2 Điều 10). Theo cách đọc của chúng tôi, lưu ở nước ngoài là hợp pháp khi đã làm đủ thủ tục của Điều 12. Nghĩa vụ lưu trữ dữ liệu tại Việt Nam theo pháp luật an ninh mạng là chế độ riêng, áp dụng theo loại dịch vụ chứ không theo phân loại dữ liệu.
Khi nào phải cung cấp dữ liệu cho cơ quan nhà nước?#
Doanh nghiệp phải cung cấp dữ liệu khi cơ quan có thẩm quyền yêu cầu, không cần chủ thể dữ liệu đồng ý, trong bốn trường hợp: ứng phó tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia chưa đến mức ban bố tình trạng khẩn cấp; thảm họa; phòng, chống bạo loạn, khủng bố (khoản 2 Điều 18 Luật Dữ liệu). Cơ quan nhận phải dùng đúng mục đích và hủy dữ liệu khi không còn cần (khoản 3).
Trước khi giao dữ liệu, doanh nghiệp có thể kiểm tra yêu cầu theo Điều 8 Nghị định 165/2025/NĐ-CP: yêu cầu có văn bản hoặc xác nhận, nêu loại dữ liệu, khối lượng, căn cứ pháp lý, mục đích, thời hạn (điểm a khoản 2); người yêu cầu là Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân cấp tỉnh, Giám đốc Trung tâm dữ liệu quốc gia hoặc Giám đốc Công an cấp tỉnh (khoản 6); bàn giao lập biên bản (điểm c khoản 3). Doanh nghiệp được đề nghị sửa, rút lại yêu cầu trái luật hoặc ngoài phạm vi dữ liệu mình quản lý (khoản 5). Trong cùng bốn trường hợp, cơ quan có thẩm quyền được giải mã dữ liệu mà không cần chủ sở hữu đồng ý (khoản 4 Điều 22 Luật Dữ liệu).
Với doanh nghiệp FDI: yêu cầu của cơ quan thực thi pháp luật hoặc tư pháp nước ngoài đối với dữ liệu của tổ chức, cá nhân Việt Nam do cơ quan có thẩm quyền của Việt Nam xem xét, quyết định (khoản 3 Điều 7), nên công ty con nhận yêu cầu như vậy qua tập đoàn cần xin tư vấn trước khi chuyển dữ liệu.
Sàn dữ liệu, dịch vụ trung gian và phân tích dữ liệu#
Chương IV Luật Dữ liệu và Nghị định 169/2025/NĐ-CP biến một số hoạt động kinh doanh dữ liệu thành ngành nghề có điều kiện:
- Trung gian dữ liệu: phải đăng ký hoạt động theo pháp luật về đầu tư, trừ khi chỉ phục vụ nội bộ (khoản 2 Điều 40 Luật Dữ liệu). Dịch vụ trung gian giữa bên sử dụng và cơ quan nhà nước cần Giấy chứng nhận đủ điều kiện do Bộ Công an cấp, với điều kiện người đại diện là công dân Việt Nam thường trú tại Việt Nam, hạ tầng đặt tại Việt Nam, ký quỹ không dưới 05 tỷ đồng (khoản 3 Điều 23, Điều 25 Nghị định 169). Cloud và trung tâm dữ liệu không thuộc phạm vi này (khoản 4 Điều 23).
- Phân tích, tổng hợp dữ liệu: Nghị định 169 chia bốn cấp độ theo mức dùng trí tuệ nhân tạo (Điều 27). Giấy chứng nhận bắt buộc khi sản phẩm cấp độ 3, 4 dùng trong hệ thống của cơ quan nhà nước, khi kết nối với cơ sở dữ liệu quốc gia, chuyên ngành, hoặc khi sử dụng dữ liệu cốt lõi, dữ liệu quan trọng (khoản 1 Điều 28). Khoản 2 Điều 28 yêu cầu gửi thông báo cho Bộ Công an và liệt kê trợ lý ảo, AI tạo sinh, phân tích dữ liệu nhạy cảm của từ 01 triệu người, mô hình huấn luyện trên 10 TB; câu chữ chưa rõ thông báo áp dụng cho mọi dịch vụ phân tích hay chỉ các nhóm này. Hệ thống AI còn chịu Luật Trí tuệ nhân tạo.
- Sàn dữ liệu: chỉ đơn vị sự nghiệp công lập, doanh nghiệp nhà nước được kinh doanh (khoản 2 Điều 42 Luật Dữ liệu). Nghị định 314/2026/NĐ-CP (hiệu lực từ 25/09/2026) quy định hoạt động của Sàn dữ liệu quốc gia do Trung tâm dữ liệu quốc gia, Bộ Công an xây dựng, quản lý, vận hành (Điều 5). Pháp nhân nước ngoài muốn mua, bán trên sàn phải có hiện diện thương mại, chi nhánh hoặc văn phòng đại diện tại Việt Nam (khoản 2 Điều 16). Cấm lợi dụng sàn để mua bán dữ liệu cá nhân; dữ liệu có nguồn gốc từ dữ liệu cá nhân chỉ được giao dịch khi đã khử nhận dạng (khoản 6 Điều 4). Dữ liệu cốt lõi, quan trọng không được giao dịch (điểm a khoản 6 Điều 33 Nghị định 169).
Khoản 5 Điều 33 Nghị định 169 còn yêu cầu doanh nghiệp cung cấp sản phẩm, dịch vụ về dữ liệu "thực hiện thông qua sàn dữ liệu", trừ khi luật quy định khác; phạm vi câu này chưa được hướng dẫn.
Mức phạt vi phạm Luật Dữ liệu từ 11/11/2026#
Trước Nghị định 363/2026/NĐ-CP, LexData chưa thấy nghị định nào xử phạt riêng vi phạm Luật Dữ liệu. Nghị định này có hiệu lực từ 11/11/2026 (Điều 34), nên tại ngày 17/10/2026 chưa thể dùng để xử phạt. Mức phạt tối đa với cá nhân là 100 triệu đồng; tổ chức bị phạt gấp đôi, trừ một số điều đã ghi thẳng mức cho tổ chức (Điều 6). Thời hiệu xử phạt là 01 năm (khoản 1 Điều 3).
| Hành vi | Mức phạt với tổ chức | Căn cứ Nghị định 363 |
|---|---|---|
| Không phân loại hoặc không cập nhật kết quả phân loại dữ liệu | 30–50 triệu đồng | điểm a, b khoản 1 Điều 9 |
| Lưu dữ liệu cốt lõi, quan trọng ở nước ngoài trái quy định | 30–70 triệu đồng | điểm c khoản 2 Điều 10 |
| Không gửi hồ sơ đánh giá tác động đúng hạn; hợp đồng với bên nhận thiếu nội dung bắt buộc | 40–80 triệu đồng | khoản 1 Điều 19 |
| Chuyển dữ liệu cốt lõi khi chưa đánh giá tác động hoặc chưa có văn bản chấp thuận | 120–160 triệu đồng | khoản 3 Điều 19 |
| Không đánh giá rủi ro định kỳ với dữ liệu cốt lõi, quan trọng | 40–80 triệu đồng | điểm a khoản 2 Điều 22 |
| Không thông báo sự cố dữ liệu cốt lõi, quan trọng cho Bộ Công an, Bộ Quốc phòng | 120–200 triệu đồng | điểm a khoản 4 Điều 22 |
| Không cung cấp dữ liệu cho cơ quan nhà nước trong trường hợp bắt buộc | 80–120 triệu đồng | điểm d khoản 2 Điều 16 |
| Cung cấp dịch vụ trung gian dữ liệu khi chưa có giấy chứng nhận | 120–160 triệu đồng | điểm a khoản 3 Điều 24 |
Cơ quan có thẩm quyền còn có thể đình chỉ hoạt động chuyển dữ liệu xuyên biên giới từ 03 đến 12 tháng và buộc xóa dữ liệu đã chuyển trái quy định (khoản 5, khoản 6 Điều 19). Nghị định 363 không điều chỉnh hành vi thuộc phạm vi của nghị định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (khoản 2 Điều 1), hiện là Nghị định 330/2026/NĐ-CP. Hành vi bắt đầu trước 11/11/2026 mà còn tiếp diễn sau ngày đó bị xử theo Nghị định 363 (khoản 1 Điều 35).
Doanh nghiệp nên làm gì ngay bây giờ#
Phần lớn doanh nghiệp không nắm dữ liệu cốt lõi, dữ liệu quan trọng; việc của họ là chứng minh được điều đó. Các việc dưới đây là nghĩa vụ đã áp dụng từ 01/07/2025, không phải việc để dành đến 11/11/2026; khác biệt sau ngày đó là vi phạm còn tiếp diễn sẽ bị xử theo Nghị định 363:
- Lập bản phân loại dữ liệu có ngày, người duyệt, căn cứ từng mục Quyết định 20 và số lượng công dân, doanh nghiệp Việt Nam trong mỗi tập dữ liệu.
- Với dữ liệu quan trọng không phải dữ liệu cá nhân: xác định hệ thống nào đặt ở nước ngoài, lập hồ sơ Mẫu số 02 gửi Bộ Công an; với dữ liệu cốt lõi, chờ kết quả đánh giá.
- Cử người chịu trách nhiệm bảo vệ dữ liệu, giao bộ phận bảo vệ an toàn dữ liệu, bật nhật ký xử lý lưu ít nhất 06 tháng, lên lịch đánh giá rủi ro hằng năm và diễn tập 06 tháng một lần.
- Bổ sung hợp đồng với nhà cung cấp cloud, SaaS, đối tác thuê ngoài theo khoản 3 Điều 12 và khoản 9 Điều 17 Nghị định 165.
- Với dữ liệu quan trọng là dữ liệu cá nhân: kiểm tra hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu cá nhân ra nước ngoài theo Luật 91, vì đó là hồ sơ thay thế.
- Lập quy trình tiếp nhận yêu cầu cung cấp dữ liệu từ cơ quan nhà nước và cơ quan nước ngoài, có bước kiểm tra thẩm quyền và lập biên bản.
LexData hỗ trợ phân loại dữ liệu và lập hồ sơ chuyển dữ liệu ra nước ngoài trong dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân và lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
