PDPD là gì? Đây là cách doanh nghiệp và giới chuyên môn tại Việt Nam thường gọi tắt hệ thống quy định về bảo vệ dữ liệu cá nhân: các quy tắc về việc tổ chức, doanh nghiệp được thu thập, sử dụng và bảo vệ dữ liệu cá nhân ra sao. Văn bản gốc là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được Quốc hội thông qua ngày 26/06/2025 và có hiệu lực từ ngày 01/01/2026. Luật được hướng dẫn bởi Nghị định số 356/2025/NĐ-CP (ban hành ngày 31/12/2025, thay thế Nghị định 13/2023/NĐ-CP). Việc xử phạt vi phạm hành chính được quy định tại Nghị định số 330/2026/NĐ-CP. Mọi tổ chức, doanh nghiệp thu thập hoặc xử lý dữ liệu cá nhân tại Việt Nam đều phải tuân thủ các văn bản này.
PDPD là gì: các khái niệm cơ bản#
Dữ liệu cá nhân cơ bản và nhạy cảm#
Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể (khoản 1 Điều 2 Luật 91). Dữ liệu đã khử nhận dạng thì không còn là dữ liệu cá nhân.
Dữ liệu cá nhân chia thành hai nhóm, mỗi nhóm có danh mục do Chính phủ ban hành:
- Dữ liệu cá nhân cơ bản (Điều 3 Nghị định 356): họ tên, ngày sinh, giới tính, nơi cư trú, quốc tịch, hình ảnh, số điện thoại, số định danh cá nhân, số hộ chiếu, tình trạng hôn nhân, thông tin tài khoản số. Danh mục còn gồm các thông tin khác giúp xác định một người cụ thể. Vì vậy, địa chỉ IP hoặc mã cookie cũng có thể là dữ liệu cá nhân khi giúp xác định được người dùng.
- Dữ liệu cá nhân nhạy cảm (Điều 4 Nghị định 356): quan điểm chính trị, tôn giáo; tình trạng sức khỏe; dữ liệu sinh trắc học, di truyền; đời sống tình dục; vị trí xác định qua dịch vụ định vị; ảnh thẻ căn cước; thông tin tài khoản, thẻ ngân hàng và lịch sử giao dịch tài chính; dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội và các dịch vụ khác trên không gian mạng. Đây là dữ liệu mà khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cá nhân (khoản 3 Điều 2 Luật 91). Khi xử lý, doanh nghiệp phải phân quyền giới hạn truy cập (khoản 2 Điều 4 Nghị định 356) và phải báo cho người dùng biết đó là dữ liệu nhạy cảm khi xin đồng ý (khoản 4 Điều 6).
Bên kiểm soát và bên xử lý dữ liệu#
Bên kiểm soát dữ liệu cá nhân là tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân (khoản 7 Điều 2 Luật 91). Doanh nghiệp thu thập dữ liệu khách hàng, người lao động cho hoạt động của mình thường là bên kiểm soát. Nếu vừa quyết định mục đích vừa trực tiếp xử lý, doanh nghiệp là "bên kiểm soát và xử lý" và chịu nghĩa vụ của cả hai vai trò (khoản 3 Điều 37).
Bên xử lý dữ liệu cá nhân xử lý dữ liệu (thu thập, lưu trữ, phân tích, chuyển giao…) theo yêu cầu của bên kiểm soát thông qua hợp đồng (khoản 8 Điều 2 Luật 91). Ví dụ: nhà cung cấp CRM, nền tảng email marketing, dịch vụ lưu trữ đám mây, đơn vị tính lương thuê ngoài. Bên xử lý chỉ được nhận dữ liệu sau khi đã có thỏa thuận, hợp đồng với bên kiểm soát, và phải xử lý đúng thỏa thuận đó (điểm a, điểm b khoản 2 Điều 37).
Nguyên tắc và quyền của chủ thể dữ liệu#
Điều 3 Luật 91/2025/QH15 đặt ra 6 nguyên tắc bảo vệ dữ liệu cá nhân mà doanh nghiệp phải tuân thủ: tuân thủ Hiến pháp, Luật và quy định pháp luật liên quan; chỉ thu thập, xử lý dữ liệu đúng phạm vi, mục đích cụ thể, rõ ràng; bảo đảm tính chính xác của dữ liệu và chỉ lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý; thực hiện đồng bộ các biện pháp thể chế, kỹ thuật, con người để bảo vệ dữ liệu; chủ động phòng ngừa, phát hiện, ngăn chặn và xử lý vi phạm; và bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với lợi ích quốc gia và quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Bên cạnh đó, Điều 4 Luật bảo đảm cá nhân có quyền được biết, đồng ý hoặc rút lại sự đồng ý, xem, chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối việc xử lý dữ liệu của mình.
Nghĩa vụ của doanh nghiệp#
Các nghĩa vụ chính của doanh nghiệp với vai trò bên kiểm soát:
- Xin sự đồng ý trước khi thu thập, trừ các trường hợp không cần đồng ý tại Điều 19 Luật (khoản 1 Điều 11 Luật). Sự đồng ý chỉ có hiệu lực khi người dùng biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát và quyền của mình (khoản 2 Điều 9). Sự đồng ý phải được thể hiện theo cách kiểm chứng được (khoản 3 Điều 9) và được doanh nghiệp lưu trữ (khoản 2 Điều 6 Nghị định 356).
- Thực hiện quyền của chủ thể dữ liệu đúng hạn. Phản hồi yêu cầu trong 02 ngày làm việc. Thực hiện trong 10 ngày với yêu cầu xem, chỉnh sửa, cung cấp; 15 ngày với yêu cầu rút lại đồng ý, hạn chế, phản đối; 20 ngày với yêu cầu xóa (Điều 5 Nghị định 356).
- Chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật).
- Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi là DPIA) và gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật).
- Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong 60 ngày nếu lưu trữ, chuyển hoặc xử lý dữ liệu ở nước ngoài (khoản 1, khoản 2 Điều 20 Luật).
- Thông báo vi phạm cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại theo khoản 1 Điều 23 Luật.
Nghĩa vụ chỉ định nhân sự bảo vệ dữ liệu và lập DPIA được miễn cho hộ kinh doanh, doanh nghiệp siêu nhỏ. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hay không trong 05 năm. Ngoại lệ: không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100 nghìn chủ thể trở lên (Điều 38 Luật; Điều 41 Nghị định 356).
Vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự. Mức phạt tiền tối đa với tổ chức là 03 tỷ đồng; riêng vi phạm về chuyển dữ liệu xuyên biên giới là 5% doanh thu năm trước liền kề; mua bán dữ liệu cá nhân là 10 lần khoản thu có được (Điều 8 Luật). Nếu mức tính theo doanh thu hoặc khoản thu thấp hơn 03 tỷ đồng thì mức tối đa là 03 tỷ đồng.
Những nhầm lẫn thường gặp về PDPD#
Khi mới tìm hiểu PDPD là gì, doanh nghiệp hay gặp bốn nhầm lẫn sau.
- "Có chính sách bảo mật trên website là đủ." Chính sách chỉ là một phần. Doanh nghiệp còn phải có quy trình, thủ tục, biểu mẫu để người dùng thực hiện quyền (khoản 1 Điều 5 Nghị định 356). Thiếu quy trình này có thể bị phạt 10–20 triệu đồng (điểm a khoản 1 Điều 44 Nghị định 330).
- "Dữ liệu nhân viên không thuộc phạm vi." Điều 25 Luật 91 quy định riêng về dữ liệu trong tuyển dụng và quản lý người lao động. Ví dụ, doanh nghiệp phải xóa, hủy hồ sơ của ứng viên không trúng tuyển, trừ khi có thỏa thuận khác (điểm c khoản 1 Điều 25).
- "Dùng phần mềm nước ngoài không phải là chuyển dữ liệu ra nước ngoài." Sử dụng nền tảng ở ngoài Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới (điểm c khoản 1 Điều 20 Luật 91). Chỉ một số trường hợp được miễn lập hồ sơ, ví dụ lưu dữ liệu của chính người lao động trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20).
- "Doanh nghiệp nhỏ được miễn PDPD." Ưu đãi tại Điều 38 Luật chỉ gồm DPIA, cập nhật hồ sơ và chỉ định nhân sự bảo vệ dữ liệu. Các nghĩa vụ về sự đồng ý, quyền của chủ thể dữ liệu, hồ sơ chuyển dữ liệu xuyên biên giới và thông báo vi phạm vẫn áp dụng.
Sau khi hiểu PDPD là gì: checklist bắt đầu tuân thủ PDPD#
- Lập bản đồ dữ liệu: dữ liệu nào, lấy từ đâu, lưu ở đâu, chia sẻ cho ai (xem cách làm data mapping).
- Đánh dấu dữ liệu nhạy cảm theo Điều 4 Nghị định 356.
- Cập nhật thông báo xử lý dữ liệu và cơ chế xin đồng ý theo từng mục đích; lưu bằng chứng đồng ý.
- Ký thỏa thuận chuyển giao với từng bên xử lý (khoản 1 Điều 7 Nghị định 356).
- Xác định có chuyển dữ liệu ra nước ngoài không; nếu có, lập hồ sơ trong 60 ngày.
- Xác định doanh nghiệp có thuộc diện ưu đãi tại Điều 38 Luật không. Nếu không, lập DPIA và chỉ định nhân sự bảo vệ dữ liệu.
- Ban hành quy trình tiếp nhận yêu cầu của chủ thể dữ liệu và quy trình xử lý sự cố 72 giờ.
Nếu doanh nghiệp cần lộ trình tuân thủ PDPD theo quy mô và ngành nghề cụ thể, LexData có dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
