Biện pháp bảo vệ dữ liệu cá nhân: doanh nghiệp bắt buộc phải áp dụng những gì theo Luật 91/2025?

Biện pháp bảo vệ dữ liệu cá nhân là gì?

Bảo vệ dữ liệu cá nhân, theo khoản 4 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân. Biện pháp bảo vệ dữ liệu cá nhân vì vậy gồm hai nhóm mà nguyên tắc tại khoản 4 Điều 3 gọi là biện pháp về thể chế, kỹ thuật, con người, phải được thực hiện đồng bộ và hiệu quả. Nguyên tắc này nằm trong nhóm sáu nguyên tắc được phân tích tại cẩm nang nguyên tắc bảo vệ dữ liệu cá nhân.

Trong thực hành, LexData chia thành ba lớp:

• Biện pháp quản lý (thể chế): quy chế xử lý dữ liệu, phân công trách nhiệm, hợp đồng với bên xử lý, đánh giá tuân thủ định kỳ, quy trình ứng phó sự cố.
• Biện pháp kỹ thuật: phân quyền truy cập, xác thực, mã hóa, ẩn danh, nhật ký và giám sát, sao lưu, xóa dữ liệu an toàn.
• Biện pháp về con người: chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu (khoản 2 Điều 33 Luật 91/2025), thỏa thuận bảo mật, đào tạo nhận thức định kỳ.

Luật 91/2025 bắt buộc doanh nghiệp áp dụng biện pháp bảo vệ dữ liệu cá nhân nào?

Câu trả lời ngắn: luật bắt buộc phải có biện pháp, nhưng không có một danh sách biện pháp chung cho mọi doanh nghiệp. Cả Luật 91/2025 lẫn Nghị định 356/2025/NĐ-CP không có điều nào liệt kê trọn bộ biện pháp bắt buộc. Nghĩa vụ đến từ ba tầng:

1. Chuẩn chung. Điểm c khoản 1 Điều 37 yêu cầu bên kiểm soát thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân, rà soát và cập nhật khi cần thiết. Điểm c khoản 2 Điều 37 áp dụng nghĩa vụ tương tự với bên xử lý. Điểm g khoản 1 Điều 37 buộc bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra.
2. Biện pháp gắn với từng hoạt động xử lý. Luật đặt yêu cầu riêng khi xóa, hủy dữ liệu bằng biện pháp an toàn (khoản 3 Điều 14), khi công khai dữ liệu (khoản 5 Điều 16), khi xử lý sinh trắc học (khoản 4 Điều 31) và khi dùng dữ liệu lớn, AI, chuỗi khối, đám mây (khoản 3 Điều 30).
3. Biện pháp cụ thể theo Nghị định 356/2025/NĐ-CP. Đây là nơi mức "phù hợp" được nêu thành biện pháp đo được, như bảng dưới đây.

Chuẩn "phù hợp" là chuẩn có tính linh hoạt: doanh nghiệp có quy mô và rủi ro khác nhau sẽ áp dụng mức khác nhau, và phải chứng minh được lựa chọn của mình. Nói cách khác, biện pháp bảo vệ dữ liệu cá nhân được đo bằng mức rủi ro của dữ liệu và hoạt động xử lý, không đo bằng số lượng công cụ. Đây cũng là lý do bài này không đưa ra một danh sách cứng cho mọi doanh nghiệp.

Biện pháp bảo vệ dữ liệu cá nhân theo từng bối cảnh xử lý

Hai điểm cần lưu ý khi đọc bảng biện pháp bảo vệ dữ liệu cá nhân này. Thứ nhất, các yêu cầu về dữ liệu lớn có định nghĩa riêng: khoản 1 Điều 9 Nghị định 356 mô tả đây là xử lý ở quy mô lớn, liên tục, tích hợp nhiều nguồn và có khả năng phân tích hành vi, dự đoán xu hướng hoặc phân loại người dùng. Một cơ sở dữ liệu khách hàng thông thường không tự động là "dữ liệu lớn". Thứ hai, đây là các biện pháp được nêu rõ. Nếu hoạt động của doanh nghiệp không rơi vào các bối cảnh này, chuẩn vẫn là biện pháp "phù hợp" theo Điều 37.

Biện pháp bảo vệ dữ liệu cá nhân nào nên có tối thiểu?

Các biện pháp bảo vệ dữ liệu cá nhân dưới đây là nhận định của LexData về mức nền để chứng minh biện pháp là "phù hợp". Chúng không phải danh sách bắt buộc của luật, nhưng mỗi mục đều có căn cứ trong các điều khoản đã nêu:

1. Phân quyền theo vai trò và nguyên tắc cần biết mới được truy cập. Không dùng chung tài khoản; rà soát quyền định kỳ, thu hồi khi nhân sự nghỉ việc hoặc chuyển bộ phận (khoản 2 Điều 4 Nghị định 356 với dữ liệu nhạy cảm).
2. Xác thực mạnh cho tài khoản quản trị và tài khoản truy cập dữ liệu khách hàng, nhân sự. MFA là mức tối thiểu với dữ liệu lớn (điểm b khoản 3 Điều 9 Nghị định 356) và là mốc tham chiếu dễ chứng minh trong các trường hợp khác.
3. Mã hóa khi truyền và khi lưu trữ, ưu tiên với dữ liệu nhạy cảm và dữ liệu trên đám mây. Bắt buộc trong các trường hợp ở bảng trên; nhớ rằng dữ liệu mã hóa vẫn là dữ liệu cá nhân (khoản 1 Điều 12 Luật 91/2025).
4. Nhật ký truy cập và cảnh báo bất thường, giữ đủ lâu để điều tra khi có sự cố (điểm d khoản 3 Điều 9 Nghị định 356 với dữ liệu lớn; khoản 1 Điều 8 với tài chính, ngân hàng).
5. Sao lưu và khả năng khôi phục, kèm quy trình xóa an toàn cả với bản sao lưu.
6. Quy trình xóa, hủy an toàn. Không xóa an toàn hoặc không ngăn khôi phục trái phép dữ liệu đã xóa bị phạt 10–30 triệu đồng (điểm b, điểm c khoản 1 Điều 51 Nghị định 330/2026/NĐ-CP). Chi tiết xem cẩm nang quyền xóa dữ liệu cá nhân và khử nhận dạng dữ liệu.
7. Hợp đồng với bên xử lý và nhà cung cấp nêu rõ biện pháp bảo mật, thời hạn phối hợp, nghĩa vụ xóa hoặc trả dữ liệu khi kết thúc; xem hợp đồng xử lý dữ liệu (DPA).
8. Quy chế nội bộ và người chịu trách nhiệm. Cơ quan, tổ chức phải chỉ định bộ phận, nhân sự đủ điều kiện hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật 91/2025); nhiệm vụ của bộ phận này gồm triển khai biện pháp kỹ thuật bảo mật và kế hoạch ứng cứu sự cố (điểm e khoản 1 Điều 14 Nghị định 356). Xem thêm DPO là gì.
9. Đào tạo nhân sự định kỳ. Bắt buộc rõ ràng với xử lý dữ liệu lớn (điểm d khoản 2 Điều 9 Nghị định 356).
10. Kế hoạch ứng phó sự cố và thông báo trong 72 giờ, xem Data Breach và quy tắc 72 giờ.

Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 (đánh giá tác động, cập nhật hồ sơ, chỉ định nhân sự) theo khoản 3 Điều 38 Luật 91/2025, trừ khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể (Nghị định 356 xác định là từ 100 nghìn chủ thể trở lên, khoản 2 Điều 41). Điều này không miễn nghĩa vụ áp dụng biện pháp bảo vệ theo Điều 37.

Thiếu biện pháp bảo vệ dữ liệu cá nhân bị phạt bao nhiêu?

Nghị định 330/2026/NĐ-CP không có một điều phạt chung cho mọi biện pháp bảo vệ dữ liệu cá nhân; mức phạt gắn với từng hành vi và bối cảnh. Các mức sau áp dụng với tổ chức (cá nhân chịu một nửa):

Ngoài phạt tiền, cơ quan có thẩm quyền có thể buộc khắc phục, chẳng hạn buộc triển khai biện pháp bảo vệ phù hợp và cung cấp minh chứng (điểm đ khoản 4 Điều 47), buộc áp dụng xác thực đa yếu tố, phân quyền, mã hóa (điểm b khoản 5 Điều 66). Tổng hợp các mức phạt khác xem cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Doanh nghiệp chứng minh biện pháp bảo vệ dữ liệu cá nhân đã áp dụng bằng cách nào?

Nghị định 330/2026/NĐ-CP nhiều lần yêu cầu vi phạm phải khắc phục kèm "cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền" (điểm đ khoản 4 Điều 47, điểm d khoản 4 Điều 51, khoản 5 Điều 66). Trên thực tế, biện pháp chỉ có giá trị khi có hồ sơ đi kèm. Bộ hồ sơ tối thiểu LexData khuyến nghị:

• Quy chế xử lý và bảo vệ dữ liệu cá nhân, có ngày ban hành và người phê duyệt.
• Bảng phân quyền truy cập và biên bản rà soát quyền theo chu kỳ.
• Bảng kê hệ thống lưu trữ dữ liệu cá nhân và biện pháp áp dụng cho từng hệ thống (có thể gắn với sổ ghi hoạt động xử lý ROPA).
• Hợp đồng, phụ lục với bên xử lý, nhà cung cấp đám mây.
• Báo cáo đánh giá rủi ro hoặc hồ sơ đánh giá tác động DPIA khi thuộc diện phải lập.
• Nhật ký đào tạo, kế hoạch và biên bản diễn tập ứng phó sự cố.

Một lộ trình gọn để áp dụng biện pháp bảo vệ dữ liệu cá nhân: (1) lập bản đồ dữ liệu để biết dữ liệu nào nhạy cảm, nằm ở hệ thống nào, ai được truy cập, theo hướng dẫn trong khung quản trị dữ liệu cá nhân; (2) chọn biện pháp theo mức rủi ro và bối cảnh trong bảng trên; (3) lưu hồ sơ và rà soát ít nhất mỗi năm một lần, cũng là chu kỳ Nghị định 356 đặt ra cho tài chính, ngân hàng, AI, chuỗi khối và đám mây. Với hệ thống đặt trên đám mây, xem thêm bài lưu dữ liệu trên cloud có cần tuân thủ luật không.