Bảo vệ dữ liệu cá nhân
LexData cung cấp dịch vụ bảo vệ dữ liệu cá nhân cho doanh nghiệp SME và FDI tại Việt Nam: rà soát tuân thủ, lập hồ sơ DPIA, DPO thuê ngoài và đào tạo DPO. Chưa rõ nên bắt đầu từ đâu? Hãy đối chiếu tình huống của doanh nghiệp ở phần dưới.
Phạm vi tư vấn đối chiếu Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và khung xử phạt tại Nghị định 330/2026/NĐ-CP, có hiệu lực từ 19/08/2026. Mỗi dịch vụ dẫn các điều khoản liên quan trong phần văn bản tham chiếu.
Chọn theo tình huống
Một doanh nghiệp có thể gặp nhiều tình huống cùng lúc; khi đó, rà soát tuân thủ là điểm khởi đầu để sắp xếp thứ tự ưu tiên.
Bắt đầu với tư vấn tuân thủ bảo vệ dữ liệu cá nhân: bản đồ luồng dữ liệu, sổ ghi hoạt động xử lý và lộ trình khắc phục theo rủi ro. Nếu thuộc diện, hồ sơ đánh giá tác động phải gửi trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025/QH15).
Dữ liệu sức khỏe, sinh trắc học, vị trí hay tài khoản ngân hàng là dữ liệu cá nhân nhạy cảm (Điều 4 Nghị định 356/2025/NĐ-CP). Nên kết hợp rà soát tuân thủ với lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
Lưu dữ liệu trên máy chủ ở nước ngoài hay gửi cho công ty mẹ ở nước ngoài là chuyển dữ liệu cá nhân xuyên biên giới; trừ ngoại lệ tại khoản 6, cần hồ sơ riêng gửi trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2 Điều 20 Luật 91/2025/QH15). Xem dịch vụ lập hồ sơ DPIA và chuyển dữ liệu xuyên biên giới.
Liên hệ ngay LexData; DPO thuê ngoài là đầu mối xử lý sự cố và làm việc với Cục A05. Vi phạm thuộc diện phải thông báo chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật 91/2025/QH15); xem quy tắc 72 giờ báo cáo sự cố.
Tư vấn M&A của LexData bao gồm thẩm định bảo vệ dữ liệu cá nhân, nhận diện rủi ro về căn cứ xử lý, hồ sơ đã nộp và lịch sử sự cố trước khi ký kết. Sau khi tổ chức lại, hồ sơ đánh giá tác động đã nộp phải cập nhật trong 10 ngày (điểm a khoản 2 Điều 20 Nghị định 356/2025/NĐ-CP).
Doanh nghiệp chỉ định nhân sự đủ điều kiện hoặc thuê tổ chức cung cấp dịch vụ (khoản 2 Điều 33 Luật 91/2025/QH15). Chọn DPO thuê ngoài để vận hành ngay hoặc đào tạo chuyên gia bảo vệ dữ liệu cá nhân (DPO) để xây dựng năng lực nội bộ.
Danh mục dịch vụ
Mỗi dịch vụ có trang riêng nêu phạm vi, sản phẩm bàn giao và thời gian dự kiến; có thể dùng độc lập hoặc kết hợp theo lộ trình.
Rà soát hoạt động xử lý, lập bản đồ dữ liệu và lộ trình tuân thủ phù hợp với doanh nghiệp.
Thời gian02–06 tuần
Xem chi tiết
Hỗ trợ giám sát tuân thủ, duy trì hồ sơ và phối hợp xử lý yêu cầu chủ thể dữ liệu theo thỏa thuận.
Thời gian01–02 tuần khởi tạo
Xem chi tiết
Lập, nộp và duy trì hồ sơ DPIA và chuyển dữ liệu xuyên biên giới theo quy định.
Thời gian03–08 tuần
Xem chi tiết
Khóa học DPO trang bị kiến thức pháp lý và kỹ năng vận hành bảo vệ dữ liệu cá nhân thực tiễn cho doanh nghiệp.
Thời gian01 buổi – 03 ngày
Xem chi tiếtCách làm việc
Mỗi trang dịch vụ mô tả quy trình chi tiết; nhìn chung, một dự án với LexData gồm bốn giai đoạn.
Xác định vai trò của doanh nghiệp (bên kiểm soát, bên xử lý hay cả hai), nghĩa vụ có thể phát sinh và dịch vụ phù hợp. Với sự cố dữ liệu, đây là bước tiếp nhận khẩn cấp.
Phạm vi, tiến độ, đầu mối, sản phẩm bàn giao và chi phí được ghi rõ trước khi triển khai.
Rà soát tài liệu, làm việc với pháp chế, IT, nhân sự, vận hành và đối chiếu Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP.
Bàn giao báo cáo, hồ sơ theo phạm vi; hỗ trợ cập nhật hồ sơ, vận hành vai trò DPO hoặc đào tạo khi doanh nghiệp cần.
Nên chuẩn bị trước danh mục hệ thống, loại dữ liệu, mục đích xử lý, hợp đồng với nhà cung cấp và chính sách hiện có. Thời hạn theo pháp luật (60 ngày gửi hồ sơ, 72 giờ thông báo vi phạm) không bắt đầu lại khi doanh nghiệp thuê đơn vị hỗ trợ.
Văn bản pháp luật
Luật, nghị định và quyết định LexData đối chiếu khi tư vấn trong lĩnh vực này, kèm tóm tắt và trạng thái hiệu lực.
Câu hỏi thường gặp
Doanh nghiệp nhỏ vẫn có nghĩa vụ bảo vệ dữ liệu cá nhân. Khoản 2 Điều 38 Luật 91/2025/QH15 chỉ cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp lựa chọn chưa thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 (hồ sơ đánh giá tác động, cập nhật hồ sơ, chỉ định nhân sự bảo vệ dữ liệu) trong 05 năm kể từ 01/01/2026, trừ khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể; hộ kinh doanh, doanh nghiệp siêu nhỏ theo khoản 3. Các nghĩa vụ khác, gồm hồ sơ chuyển dữ liệu xuyên biên giới, vẫn áp dụng. Rà soát tuân thủ giúp xác định doanh nghiệp thuộc diện nào.
Pháp luật cho phép cả hai và có thể kết hợp (khoản 2 Điều 33 Luật 91/2025/QH15, khoản 4 Điều 16 Nghị định 356/2025/NĐ-CP). DPO thuê ngoài phù hợp khi cần vận hành ngay; đào tạo DPO giúp nhân sự nội bộ đáp ứng điều kiện “đã được đào tạo, bồi dưỡng” tại điểm c khoản 2 Điều 13 Nghị định 356, bên cạnh điều kiện về trình độ và kinh nghiệm. Xem thêm DPO là gì và khi nào bắt buộc.
LexData báo giá theo từng dự án, dựa trên số pháp nhân, hệ thống, luồng dữ liệu, mức độ rà soát và sản phẩm bàn giao; phạm vi và chi phí được thống nhất bằng văn bản trước khi triển khai. Tham khảo chi phí tư vấn bảo vệ dữ liệu cá nhân và tiêu chí chọn đơn vị tư vấn.
Chưa chắc bắt đầu từ đâu?
Kể cho LexData hiện trạng của bạn.
Chia sẻ nhu cầu và hiện trạng để LexData hỗ trợ xác định dịch vụ, phạm vi công việc và thông tin cần chuẩn bị.
Trao đổi để chọn dịch vụBắt đầu
Đặt lịch tư vấn 30 phút miễn phí. Chúng tôi sẽ phác thảo các điểm rủi ro ưu tiên và bước đi phù hợp với quy mô của bạn — không ràng buộc.
Hoặc liên hệ trực tiếp
Đã gửi!
Chúng tôi sẽ phản hồi trong 1 ngày làm việc.
