Nguyên tắc bảo vệ dữ liệu cá nhân: 6 nguyên tắc theo Điều 3 Luật 91/2025
Nguyên tắc bảo vệ dữ liệu cá nhân là 6 nguyên tắc tại Điều 3 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Mọi hoạt động thu thập, xử lý dữ liệu cá nhân phải tuân thủ các nguyên tắc này: đúng pháp luật; đúng phạm vi và mục đích cụ thể, rõ ràng; dữ liệu chính xác và chỉ lưu trữ trong thời gian phù hợp; áp dụng đồng bộ biện pháp thể chế, kỹ thuật, con người; chủ động phòng ngừa, xử lý vi phạm; và hài hòa giữa lợi ích quốc gia với quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 & Nghị định 356/2025/NĐ-CP
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Điều 3 Luật 91/2025/QH15 quy định 6 nguyên tắc bảo vệ dữ liệu cá nhân. Đây là chuẩn để đánh giá mọi hoạt động xử lý dữ liệu, kể cả những hoạt động chưa có quy định chi tiết.
- So với 8 nguyên tắc của Nghị định 13/2023/NĐ-CP (đã hết hiệu lực từ 01/01/2026), việc cấm mua bán dữ liệu được chuyển thành hành vi bị nghiêm cấm (khoản 6 Điều 7 Luật 91/2025). Nguyên tắc 'chứng minh sự tuân thủ' không còn là một nguyên tắc riêng, nhưng nghĩa vụ chứng minh vẫn còn ở các quy định cụ thể.
- Hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ được miễn hoặc lựa chọn không thực hiện một số nghĩa vụ (Điều 21, 22 và khoản 2 Điều 33) theo Điều 38 Luật 91/2025, nhưng vẫn phải tuân thủ các nguyên tắc tại Điều 3.
Nguyên tắc bảo vệ dữ liệu cá nhân là gì?
Nguyên tắc bảo vệ dữ liệu cá nhân là những quy tắc nền tảng mà mọi cơ quan, tổ chức, cá nhân phải tuân thủ khi thu thập và xử lý dữ liệu cá nhân. Các nguyên tắc này được quy định tại Điều 3 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026.
Các điều khoản khác của Luật và Nghị định 356/2025/NĐ-CP quy định nghĩa vụ cụ thể, như lấy sự đồng ý, lập hồ sơ đánh giá tác động hay thông báo vi phạm. Nguyên tắc bảo vệ dữ liệu cá nhân thì trả lời câu hỏi rộng hơn: hoạt động xử lý này có hợp lý và đúng tinh thần luật không. Khi một tình huống chưa có hướng dẫn chi tiết, như dùng dữ liệu khách hàng để huấn luyện AI hay giữ dữ liệu bao lâu, doanh nghiệp nên đối chiếu với 6 nguyên tắc này trước tiên.
6 nguyên tắc bảo vệ dữ liệu cá nhân theo Điều 3 Luật 91/2025
6 nguyên tắc bảo vệ dữ liệu cá nhân tại Điều 3 Luật 91/2025 và nghĩa vụ cụ thể hóa
| Khoản | Nguyên tắc | Doanh nghiệp cần làm gì | Quy định cụ thể hóa |
|---|---|---|---|
| 1 | Tuân thủ Hiến pháp, Luật Bảo vệ dữ liệu cá nhân và pháp luật liên quan | Xác định đầy đủ luật áp dụng, gồm cả luật chuyên ngành (lao động, tín dụng, y tế, quảng cáo) | Điều 5, Điều 24–32 Luật 91/2025 |
| 2 | Chỉ thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng | Ghi mục đích cho từng hoạt động xử lý; không thu thập "để dành"; dùng cho mục đích mới thì phải có căn cứ mới | Điều 9 (đồng ý theo từng mục đích), Điều 17 Luật 91/2025; Điều 7 NĐ 356/2025 |
| 3 | Dữ liệu chính xác, được chỉnh sửa, cập nhật; chỉ lưu trữ trong thời gian phù hợp với mục đích | Có kênh cho khách hàng sửa thông tin; đặt thời hạn lưu trữ và lịch xóa | Điều 13, Điều 14 Luật 91/2025; Điều 5 NĐ 356/2025 |
| 4 | Thực hiện đồng bộ biện pháp thể chế, kỹ thuật, con người | Ban hành quy chế nội bộ; phân quyền, mã hóa, ghi nhật ký; chỉ định nhân sự bảo vệ dữ liệu | Điều 33, điểm c khoản 1 Điều 37 Luật 91/2025; Điều 13–16 NĐ 356/2025 |
| 5 | Chủ động phòng ngừa, phát hiện, ngăn chặn, xử lý vi phạm | Có quy trình ứng phó sự cố và thông báo cho cơ quan chuyên trách trong 72 giờ khi thuộc diện phải thông báo | Điều 23 Luật 91/2025; Điều 28–29 NĐ 356/2025 |
| 6 | Gắn với bảo vệ lợi ích quốc gia; hài hòa với quyền, lợi ích hợp pháp của tổ chức, cá nhân | Đánh giá tác động trước khi chuyển dữ liệu ra nước ngoài; cân bằng nhu cầu kinh doanh và quyền riêng tư | Điều 19, Điều 20 Luật 91/2025 |
Nguyên tắc đúng phạm vi, mục đích: nguyên tắc hay bị vi phạm nhất
Khi rà soát tuân thủ, lỗi LexData gặp nhiều nhất liên quan đến khoản 2 Điều 3. Ba ví dụ điển hình:
- Biểu mẫu đăng ký thu thập cả số CCCD, ngày sinh, nghề nghiệp, dù dịch vụ chỉ cần họ tên và số điện thoại.
- Dữ liệu khách hàng thu thập để giao hàng bị dùng lại cho quảng cáo mà không có sự đồng ý riêng.
- Dữ liệu chấm công bằng khuôn mặt bị dùng để theo dõi thời gian nghỉ giải lao của nhân viên.
Mỗi mục đích mới cần một căn cứ xử lý mới, thường là sự đồng ý theo nguyên tắc lấy consent hoặc một trường hợp tại Điều 19.
Nguyên tắc lưu trữ có thời hạn
Khoản 3 Điều 3 không đặt ra một thời hạn cố định. Dữ liệu chỉ được lưu "trong khoảng thời gian phù hợp với mục đích xử lý", trừ trường hợp pháp luật có quy định khác. Hết thời hạn này, dữ liệu phải được xóa, hủy theo điểm b, c khoản 1 Điều 14. Xem quyền xóa dữ liệu cá nhân.
So sánh nguyên tắc bảo vệ dữ liệu cá nhân: Luật 91/2025, Nghị định 13/2023 và GDPR
Doanh nghiệp đã tuân thủ theo Nghị định 13/2023/NĐ-CP (nay đã được thay thế bởi Nghị định 356/2025/NĐ-CP) hoặc theo GDPR thường hỏi các nguyên tắc có gì khác. LexData tổng hợp như sau:
Đối chiếu nguyên tắc bảo vệ dữ liệu cá nhân giữa Luật 91/2025, Nghị định 13/2023 và GDPR
| Nội dung | Luật 91/2025 (Điều 3) | Nghị định 13/2023 (Điều 3, đã hết hiệu lực) | GDPR (Điều 5) |
|---|---|---|---|
| Hợp pháp | Khoản 1 | Có | Có (lawfulness, fairness) |
| Minh bạch, chủ thể được biết | Không là nguyên tắc riêng; là quyền được biết tại điểm a khoản 1 Điều 4 | Có | Có (transparency) |
| Giới hạn mục đích | Khoản 2 | Có | Có (purpose limitation) |
| Tối thiểu hóa dữ liệu | Gộp trong "đúng phạm vi" tại khoản 2 | Có (thu thập giới hạn trong phạm vi cần xử lý) | Có (data minimisation) |
| Chính xác | Khoản 3 | Có | Có (accuracy) |
| Giới hạn lưu trữ | Khoản 3 | Có | Có (storage limitation) |
| An ninh, bảo mật | Khoản 4 (thể chế, kỹ thuật, con người) | Có | Có (integrity and confidentiality) |
| Chứng minh sự tuân thủ | Không là nguyên tắc riêng; nghĩa vụ chứng minh nằm ở quy định cụ thể, ví dụ khoản 2 Điều 6 NĐ 356/2025 | Có | Có (accountability) |
| Cấm mua bán dữ liệu | Chuyển thành hành vi bị cấm tại khoản 6 Điều 7 | Có | Không |
| Chủ động phòng ngừa, xử lý vi phạm | Khoản 5 | Không | Không là nguyên tắc riêng |
| Gắn với lợi ích quốc gia, quốc phòng, an ninh | Khoản 6 | Không | Không |
Hai điểm doanh nghiệp FDI cần lưu ý. Thứ nhất, Luật 91/2025 bổ sung các nguyên tắc mang tính quản lý nhà nước (khoản 5, khoản 6), gắn việc bảo vệ dữ liệu với an ninh quốc gia. Đây là lý do các quy định về chuyển dữ liệu ra nước ngoài của Việt Nam chặt hơn GDPR. Thứ hai, dù "chứng minh sự tuân thủ" không còn là nguyên tắc riêng, doanh nghiệp vẫn phải chứng minh được sự đồng ý khi có tranh chấp (khoản 2 Điều 6 Nghị định 356/2025/NĐ-CP). Vì vậy, hồ sơ tuân thủ vẫn cần thiết như trước.
Áp dụng nguyên tắc bảo vệ dữ liệu cá nhân vào vận hành doanh nghiệp
Cách LexData thường giúp khách hàng biến 6 nguyên tắc thành việc làm cụ thể:
- Lập bản đồ dữ liệu: liệt kê từng hoạt động xử lý, gồm loại dữ liệu, mục đích, căn cứ, nơi lưu, thời hạn và bên nhận. Xem cách làm data mapping.
- Rà soát từng hoạt động theo khoản 2 và khoản 3: bỏ các trường dữ liệu không cần thiết, đặt thời hạn lưu trữ.
- Ban hành quy chế nội bộ thể hiện khoản 4. Xem hướng dẫn xây dựng quy chế bảo vệ dữ liệu cá nhân nội bộ.
- Chỉ định nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ theo Điều 33. Xem DPO là gì.
- Diễn tập ứng phó sự cố để đáp ứng mốc thông báo 72 giờ (khoản 5). Xem data breach và quy tắc 72 giờ.
- Đánh giá tác động trước khi triển khai hoạt động xử lý mới hoặc chuyển dữ liệu ra nước ngoài (khoản 6). Xem DPIA là gì.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Khi cơ quan chức năng kiểm tra, câu hỏi đầu tiên thường là: doanh nghiệp thu thập dữ liệu này để làm gì, và vì sao cần đến từng trường dữ liệu? Doanh nghiệp trả lời được câu hỏi đó cho từng hoạt động xử lý là đã tuân thủ được phần lớn nguyên tắc bảo vệ dữ liệu cá nhân tại Điều 3 Luật 91/2025."
Câu hỏi thường gặp (FAQ)
Luật 91/2025 có nguyên tắc 'tối thiểu hóa dữ liệu' như GDPR không?
Điều 3 Luật 91/2025/QH15 không dùng thuật ngữ 'tối thiểu hóa dữ liệu'. Tuy nhiên, khoản 2 Điều 3 chỉ cho phép thu thập, xử lý 'đúng phạm vi, mục đích cụ thể, rõ ràng'. Khoản 1 Điều 30 yêu cầu dữ liệu trong môi trường dữ liệu lớn, trí tuệ nhân tạo, điện toán đám mây được xử lý 'giới hạn trong phạm vi cần thiết'. Khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu loại dữ liệu chuyển giao giới hạn trong phạm vi mục đích. Trong thực tế, doanh nghiệp vẫn nên áp dụng tối thiểu hóa như một cách để tuân thủ khoản 2 Điều 3.
Hộ kinh doanh có phải tuân thủ nguyên tắc bảo vệ dữ liệu cá nhân không?
Có. Khoản 3 Điều 38 Luật 91/2025/QH15 chỉ cho hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện Điều 21 (đánh giá tác động), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (nhân sự bảo vệ dữ liệu), với một số ngoại lệ. Nguyên tắc tại Điều 3, sự đồng ý, quyền của chủ thể dữ liệu và các hành vi bị cấm vẫn áp dụng đầy đủ.
Luật có quy định dữ liệu cá nhân được lưu trữ tối đa bao lâu không?
Không có một thời hạn chung. Khoản 3 Điều 3 Luật 91/2025/QH15 yêu cầu dữ liệu 'được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý', trừ trường hợp pháp luật có quy định khác. Doanh nghiệp tự xác định thời hạn cho từng loại dữ liệu, dựa trên mục đích và các luật chuyên ngành (kế toán, thuế, lao động), rồi ghi thời hạn đó vào thông báo xử lý dữ liệu. Khi hết thời hạn, dữ liệu phải được xóa, hủy (điểm b, c khoản 1 Điều 14).
Vi phạm nguyên tắc bảo vệ dữ liệu cá nhân bị phạt thế nào?
Các nguyên tắc được cụ thể hóa thành nghĩa vụ trong Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Khi xử phạt, cơ quan có thẩm quyền áp dụng Nghị định 330/2026/NĐ-CP theo từng hành vi cụ thể, ví dụ xử lý không có sự đồng ý hợp lệ, không thực hiện quyền của chủ thể dữ liệu hay không thông báo vi phạm. Mức phạt tối đa chung là 3 tỷ đồng với tổ chức (khoản 5 Điều 8 Luật 91/2025).
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Dịch vụ Tư vấn Tuân thủ Bảo vệ Dữ liệu Cá nhân cho Doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ