Bảo vệ dữ liệu cá nhân theo ngành bắt đầu từ việc hiểu mỗi ngành xử lý những loại dữ liệu nào và chịu thêm quy định chuyên ngành gì. Các trang dưới đây tổng hợp nghĩa vụ theo Luật 91/2025/QH15, rủi ro điển hình và lộ trình triển khai cho từng ngành, kèm cẩm nang, bài phân tích và dịch vụ liên quan.
Bảo vệ dữ liệu cá nhân ngành bất động sản là nghĩa vụ của chủ đầu tư, sàn giao dịch, môi giới và đơn vị quản lý tòa nhà, vì ngành này thu thập dữ liệu ở mọi khâu: tìm khách, đặt cọc, ký hợp đồng mua bán, vay vốn, bàn giao và vận hành tòa nhà. Rủi ro lớn nhất là mua bán data khách hàng và telesale không có sự đồng ý, bị Luật 91/2025/QH15 nghiêm cấm; tiếp theo là bản sao căn cước, thông tin tài khoản ngân hàng, camera và nhận diện khuôn mặt tại các tòa nhà.
Bảo vệ dữ liệu cá nhân ngành y tế khắt khe hơn các ngành khác vì gần như mọi hoạt động của cơ sở y tế đều xử lý dữ liệu sức khỏe, một nhóm dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP. Vì vậy bệnh viện, phòng khám, nhà thuốc và ứng dụng MedTech không được hưởng ưu đãi miễn DPIA, DPO dành cho doanh nghiệp nhỏ, và phải tuân thủ thêm Điều 26 Luật 91/2025/QH15 cùng quy định bảo mật hồ sơ bệnh án của Luật Khám bệnh, chữa bệnh.
Bảo vệ dữ liệu cá nhân ngành giáo dục chủ yếu là bảo vệ dữ liệu học sinh, vì phần lớn người học ở trường phổ thông, mầm non và trung tâm ngoại ngữ là trẻ em dưới 16 tuổi. Cơ sở giáo dục phải áp dụng Điều 24 Luật 91/2025/QH15: cha mẹ thực hiện quyền thay cho trẻ, trẻ từ đủ 07 tuổi cùng đồng ý khi công bố thông tin riêng tư, và phải xác minh tuổi theo Nghị định 330/2026/NĐ-CP. Hồ sơ sức khỏe học sinh, camera lớp học và điểm danh khuôn mặt còn làm phát sinh dữ liệu nhạy cảm.
Bảo vệ dữ liệu cá nhân ngành sản xuất xoay quanh dữ liệu người lao động: một nhà máy vài nghìn công nhân giữ hồ sơ nhân sự, kết quả khám sức khỏe, vân tay hoặc khuôn mặt chấm công và hình ảnh camera của từng người. Phần lớn là dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP, nên nhà máy phải tuân thủ Điều 25 Luật 91/2025/QH15 về lao động, lập DPIA, và lập hồ sơ riêng khi gửi dữ liệu nhân sự cho công ty mẹ ở nước ngoài.
Bảo vệ dữ liệu cá nhân ngành bảo hiểm chịu hai lớp quy định. Lớp thứ nhất là Điều 26 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, quy định riêng cho hoạt động kinh doanh bảo hiểm. Lớp thứ hai là nghĩa vụ bảo mật thông tin khách hàng trong Luật Kinh doanh bảo hiểm số 08/2022/QH15. Hồ sơ thẩm định và bồi thường chứa nhiều dữ liệu sức khỏe và tài chính, là dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP. Vì vậy doanh nghiệp bảo hiểm, đại lý, môi giới và ngân hàng bán bảo hiểm đều cần sự đồng ý của khách hàng, hồ sơ DPIA và kiểm soát chặt việc chia sẻ dữ liệu với đối tác.
Bảo vệ dữ liệu cá nhân ngành ngân hàng có quy định riêng tại Điều 27 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 8 Nghị định 356/2025/NĐ-CP. Các quy định này gồm: đánh giá tuân thủ mỗi năm một lần, ghi nhật ký toàn bộ hoạt động xử lý, xin đồng ý trước khi chấm điểm tín dụng, và thông báo cho cả Cục A05 lẫn khách hàng trong 72 giờ khi lộ dữ liệu nhạy cảm. Ngân hàng, công ty tài chính, ví điện tử và fintech còn phải tuân thủ nghĩa vụ bảo mật thông tin khách hàng của Luật Các tổ chức tín dụng và các thông tư về sinh trắc học, Open API của Ngân hàng Nhà nước.
Bảo vệ dữ liệu cá nhân ngành khách sạn bắt đầu từ quầy lễ tân. Cơ sở lưu trú phải thông báo lưu trú với công an theo Điều 30 Luật Cư trú, và khai báo tạm trú cho khách nước ngoài theo Điều 33 Luật Nhập cảnh, xuất cảnh, quá cảnh, cư trú của người nước ngoài tại Việt Nam. Xử lý dữ liệu cho hai thủ tục này không cần sự đồng ý của khách theo khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, nhưng chỉ trong phạm vi luật yêu cầu. Chụp ảnh căn cước, dữ liệu thẻ, camera khách sạn, dữ liệu chia sẻ với OTA, hệ thống đặt ở nước ngoài và chương trình hội viên đều cần căn cứ và biện pháp kiểm soát riêng.
Bảo vệ dữ liệu cá nhân ngành logistics xoay quanh ba nhóm dữ liệu: dữ liệu người nhận hàng in trên vận đơn, dữ liệu vị trí tài xế, và dữ liệu đơn hàng gửi cho đối tác, kể cả đối tác nước ngoài. Doanh nghiệp chuyển phát, giao hàng, kho vận và giao nhận phải tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, giữ bí mật thông tin bưu gửi theo Luật Bưu chính 2010 và thực hiện trách nhiệm của đơn vị logistics theo Luật Thương mại điện tử 2025.
Bảo vệ dữ liệu cá nhân ngành SaaS bắt đầu từ việc tách hai vai trò. Với dữ liệu khách hàng đưa lên nền tảng, nhà cung cấp là bên xử lý dữ liệu và chỉ được xử lý theo hợp đồng (khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Với dữ liệu tài khoản, thanh toán, analytics của chính mình, doanh nghiệp là bên kiểm soát. Ngành còn chịu quy định riêng về điện toán đám mây, điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân (Nghị định 356/2025/NĐ-CP) và nghĩa vụ lưu trữ dữ liệu tại Việt Nam theo Luật An ninh mạng số 116/2025/QH15.
