Bảo vệ dữ liệu cá nhân ngành logistics: chuyển phát, giao hàng chặng cuối, kho vận và giao nhận quốc tế

1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành logistics?

Bảo vệ dữ liệu cá nhân ngành logistics áp dụng cho mọi doanh nghiệp nhận hàng, vận chuyển, lưu kho, làm thủ tục hải quan, đóng gói hoặc giao hàng cho khách, tức là kinh doanh dịch vụ logistics theo Điều 233 Luật Thương mại 2005. Điều 3 Nghị định 163/2017/NĐ-CP liệt kê các dịch vụ cụ thể:

• Chuyển phát, bưu chính (khoản 4) và giao hàng chặng cuối, với shipper là nhân viên hoặc tài xế công nghệ là đối tác.
• Kho vận, fulfillment (khoản 8): lưu kho, phân loại và giao hàng cho người bán.
• Giao nhận quốc tế, đại lý hải quan (khoản 5, 6): trao đổi dữ liệu người nhận với đối tác nước ngoài.
• Vận tải hàng hóa đường bộ (khoản 12): xe tải, xe đầu kéo có thiết bị giám sát hành trình.

Doanh nghiệp nhỏ cũng hiếm khi được miễn lập DPIA và chỉ định nhân sự bảo vệ dữ liệu. Khoản 2, 3 Điều 38 Luật 91/2025/QH15 và Điều 41 Nghị định 356/2025/NĐ-CP loại trừ doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm hoặc đã xử lý dữ liệu của từ 100 nghìn người trở lên. Ứng dụng giao hàng có định vị tài xế đã xử lý dữ liệu nhạy cảm, và một hãng chuyển phát cỡ vừa vượt 100 nghìn người nhận rất nhanh. Vì vậy, bảo vệ dữ liệu cá nhân ngành logistics gần như luôn gồm hồ sơ DPIA nộp Cục A05.

2. Sàn, người bán hay hãng vận chuyển: ai chịu trách nhiệm bảo vệ dữ liệu cá nhân ngành logistics?

Một đơn hàng trực tuyến đi qua sàn, người bán, hãng vận chuyển và thường thêm nhà thầu giao hàng chặng cuối. Luật 91/2025/QH15 phân vai theo việc ai quyết định mục đích và phương tiện xử lý (khoản 7, 8, 9 Điều 2). Xem bên kiểm soát và bên xử lý dữ liệu.

Ba hệ quả thực tế:

• Chỉ nhận dữ liệu sau khi có hợp đồng. Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý dữ liệu (điểm a khoản 2 Điều 37), nên hãng nhận đơn qua API cần đưa phần này vào điều khoản dịch vụ. Xem hợp đồng xử lý dữ liệu.
• Bên kiểm soát vẫn chịu trách nhiệm. Sàn, người bán phải chọn bên xử lý phù hợp và chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại (điểm đ, g khoản 1 Điều 37).
• Giao dữ liệu cho hãng vận chuyển không phải mua bán dữ liệu. Chuyển giao cho bên xử lý theo điểm d khoản 1 Điều 17 Luật 91 không bị coi là mua bán dù có thu phí (khoản 2 Điều 17). Thỏa thuận chuyển giao phải nêu mục đích, loại dữ liệu, thời hạn, yêu cầu xóa và trách nhiệm các bên (khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP); thiếu nội dung về trách nhiệm bị phạt 20–30 triệu đồng (điểm a khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP).

Người bán có thể dựa vào việc thực hiện thỏa thuận với người mua (điểm d khoản 1 Điều 19 Luật 91). Khi người nhận không phải người mua, theo phân tích của LexData, yêu cầu bưu gửi có thông tin người nhận (điểm b khoản 1 Điều 11 Luật Bưu chính 2010) là căn cứ "pháp luật có quy định khác".

3. Luật chuyên ngành nào áp dụng cho bảo vệ dữ liệu cá nhân ngành logistics?

Bảo vệ dữ liệu cá nhân ngành logistics không chỉ dựa vào Luật 91. Quy định cụ thể trong các luật ban hành trước Luật 91 vẫn được áp dụng nếu không trái nguyên tắc của Luật này (khoản 2 Điều 5 Luật 91/2025/QH15).

Luật Bưu chính 2010: bí mật thông tin bưu gửi

Luật Bưu chính số 49/2010/QH12 còn hiệu lực và các điều dưới đây chưa bị sửa đổi. Thông tin về sử dụng dịch vụ bưu chính gồm nội dung bưu gửi, họ tên, địa chỉ, số điện thoại của người gửi, người nhận (khoản 15 Điều 3), tức gần như toàn bộ dữ liệu trên vận đơn.

• Tiết lộ thông tin này trái pháp luật là hành vi bị cấm (khoản 6 Điều 7).
• Doanh nghiệp bưu chính không được tiết lộ thông tin này, trừ khi cơ quan có thẩm quyền yêu cầu bằng văn bản trong các trường hợp tại khoản 2, 3 Điều 14 (khoản 10 Điều 29).
• Người gửi, người nhận có quyền được bảo đảm an toàn, an ninh thông tin (khoản 2 Điều 30).

Luật Bưu chính đang được sửa đổi; Bộ Khoa học và Công nghệ đang hoàn thiện dự thảo để trình Quốc hội tại kỳ họp tháng 10/2026.

Luật Thương mại điện tử 2025: trách nhiệm của đơn vị logistics

Luật Thương mại điện tử số 122/2025/QH15 (hiệu lực từ 01/7/2026) có Điều 34 về tổ chức cung cấp dịch vụ logistics hỗ trợ thương mại điện tử:

• Cung cấp thông tin, dữ liệu khi cơ quan nhà nước có thẩm quyền yêu cầu (khoản 3), tương ứng trường hợp chuyển giao tại điểm đ khoản 1 Điều 17 Luật 91.
• Cho người dùng theo dõi hành trình: địa điểm kho hàng, thời gian nhận, giao hàng (khoản 6). Luật không yêu cầu hiển thị họ tên, số điện thoại người nhận trên trang tra cứu.

Nền tảng trung gian là nền tảng số lớn phải công khai đơn vị logistics hợp tác (điểm đ khoản 3 Điều 17); mọi nền tảng phải công khai chính sách bảo mật (điểm b khoản 1 Điều 11).

Nghị định 163/2017 và Luật Trật tự, an toàn giao thông đường bộ

• Thương nhân kinh doanh logistics bằng phương tiện điện tử còn phải tuân thủ quy định về thương mại điện tử (khoản 2 Điều 4 Nghị định 163/2017/NĐ-CP).
• Khoản 2 Điều 35 Luật Trật tự, an toàn giao thông đường bộ số 36/2024/QH15, sửa đổi bởi Luật số 118/2025/QH15 (hiệu lực từ 01/7/2026), yêu cầu xe ô tô kinh doanh vận tải hàng hóa, xe đầu kéo lắp thiết bị giám sát hành trình và thiết bị ghi nhận hình ảnh người lái xe. Chính điều khoản này quy định việc xử lý dữ liệu thu được từ thiết bị ghi nhận hình ảnh người lái xe thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân, và khoản 18a Điều 9 của luật này (bổ sung bởi khoản 2 Điều 7 Luật số 118/2025/QH15) cấm sử dụng dữ liệu đó để xâm phạm danh dự, đời sống riêng tư, bí mật cá nhân.

4. Làm sao chặn lộ thông tin đơn hàng từ vận đơn, tổng đài và API?

Lộ thông tin đơn hàng là rủi ro đặc trưng nhất của bảo vệ dữ liệu cá nhân ngành logistics: kẻ gian biết tên, số điện thoại, món hàng, số tiền thu hộ rồi giả shipper đòi thêm phí hoặc giả nhân viên chăm sóc khách hàng. Dữ liệu người nhận hàng thường rò từ năm điểm:

1. Vận đơn dán ngoài bao bì: ai cầm kiện hàng cũng chụp được.
2. Nhóm chat của shipper: danh sách đơn được xuất Excel, gửi qua ứng dụng nhắn tin cá nhân.
3. Tổng đài, điều phối: nhân viên tra cứu được mọi đơn, không giới hạn theo nhiệm vụ.
4. Trang tra cứu, API: chỉ cần mã vận đơn là thấy họ tên, số điện thoại, địa chỉ; mã tăng dần nên dễ bị dò quét.
5. Người trong cuộc bán dữ liệu: nhân viên kho, shipper hoặc nhân viên của người bán.

Nghĩa vụ tương ứng:

• Chỉ in dữ liệu cần thiết: dữ liệu chỉ được xử lý đúng phạm vi, mục đích (khoản 2 Điều 3 Luật 91/2025/QH15); xử lý vượt mức cần thiết bị phạt 20–40 triệu đồng (điểm a khoản 1 Điều 39 Nghị định 330/2026/NĐ-CP).
• Ngăn thu thập trái phép từ hệ thống của mình: trách nhiệm của cả bên kiểm soát (điểm h khoản 1 Điều 37) và bên xử lý (điểm đ khoản 2 Điều 37). Trang tra cứu, API là một phần hệ thống đó.
• Kiểm soát chia sẻ nội bộ: phải có quy trình kiểm soát chia sẻ giữa các bộ phận và biện pháp chống nhân sự chia sẻ trái phép (khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP); thiếu bị phạt 20–30 triệu đồng (điểm b khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP).

Khi có người bán dữ liệu đơn hàng. Mua, bán dữ liệu cá nhân và cố ý làm lộ dữ liệu đều bị cấm (khoản 6, 7 Điều 7 Luật 91). Mua bán dữ liệu cá nhân bị phạt từ 02 đến 10 lần khoản thu (khoản 1 Điều 53 Nghị định 330/2026/NĐ-CP). Không có khoản thu thì phạt theo số người bị ảnh hưởng, từ 70–100 triệu đồng (dữ liệu cơ bản của dưới 1.000 người) đến 500 triệu–1 tỷ đồng (từ 10.000 người trở lên); mức 1–3 tỷ đồng áp dụng khi vi phạm xâm phạm quốc phòng, an ninh trật tự và các lợi ích khác nêu tại điểm đ khoản 3 Điều 53. Cơ quan xử phạt còn có thể buộc thông báo cho toàn bộ người bị ảnh hưởng (điểm c khoản 5 Điều 53), nên trong bảo vệ dữ liệu cá nhân ngành logistics, chi phí khắc phục một vụ lộ thông tin đơn hàng thường lớn hơn tiền phạt.

5. Dữ liệu vị trí tài xế, ảnh giao hàng và camera: được thu đến đâu?

Dữ liệu vị trí tài xế

Đây là phần khó nhất của bảo vệ dữ liệu cá nhân ngành logistics với các ứng dụng giao hàng. Vị trí xác định qua dịch vụ định vị là dữ liệu nhạy cảm (điểm h khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Doanh nghiệp phải cho tài xế biết đây là dữ liệu nhạy cảm (khoản 4 Điều 6); không thông báo bị phạt 30–50 triệu đồng (điểm h khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP). Quy định khác nhau theo quan hệ với tài xế:

• Shipper là người lao động: biện pháp công nghệ phải hợp pháp và người lao động biết rõ (điểm a khoản 3 Điều 25 Luật 91/2025/QH15). Định vị, lắp camera không thông báo bị phạt 50–70 triệu đồng (điểm c khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP). Xem dữ liệu nhân sự theo Luật 91/2025.
• Tài xế công nghệ là đối tác: áp dụng Điều 31 Luật 91: không theo dõi định vị khi không có sự đồng ý, trừ khi cơ quan có thẩm quyền yêu cầu hoặc luật quy định khác (điểm a khoản 3); ứng dụng phải cho tùy chọn theo dõi vị trí (điểm b khoản 3). Theo dõi không có đồng ý bị phạt 70–150 triệu đồng, kèm đình chỉ nền tảng theo dõi vị trí 03–06 tháng (điểm a khoản 2, điểm b khoản 3 Điều 70 Nghị định 330/2026/NĐ-CP).
• Xe tải có thiết bị giám sát hành trình bắt buộc: định vị theo luật giao thông là trường hợp luật quy định khác; theo phân tích của LexData, dùng dữ liệu đó để trừ thu nhập tài xế là mục đích mới, cần căn cứ riêng.

Khi lộ dữ liệu vị trí tài xế, phải báo cho người bị ảnh hưởng trong 72 giờ (Điều 29 Nghị định 356/2025/NĐ-CP).

Ảnh giao hàng, camera kho, bưu cục và camera hành trình

• Ảnh bằng chứng giao hàng: chỉ được lưu trong thời gian phù hợp mục đích (khoản 3 Điều 3 Luật 91); lưu quá hạn bị phạt 20–40 triệu đồng (điểm c khoản 1 Điều 39 Nghị định 330/2026/NĐ-CP). Nên tải ảnh thẳng lên hệ thống, không lưu vào điện thoại shipper, và dùng mã OTP thay cho chụp người nhận.
• Camera kho: nhân viên phải biết rõ vị trí, mục đích (điểm a khoản 3 Điều 25 Luật 91). Xem quy định lắp camera theo Luật 91/2025.
• Camera bưu cục: khu vực phục vụ khách phải có biển báo (khoản 2 Điều 32 Luật 91); thiếu bị phạt 10–20 triệu đồng (điểm a khoản 1 Điều 71 Nghị định 330/2026/NĐ-CP).
• Camera cabin: là biện pháp giám sát người lao động nếu tài xế là nhân viên.

6. Bảo vệ dữ liệu cá nhân ngành logistics khi dữ liệu ra nước ngoài: khi nào phải lập hồ sơ?

Chuyển dữ liệu ra hệ thống lưu trữ ở nước ngoài, cho tổ chức ở nước ngoài, hoặc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam đều là chuyển dữ liệu xuyên biên giới (khoản 1 Điều 20 Luật 91/2025/QH15). Doanh nghiệp phải lập hồ sơ theo Mẫu số 09, gửi Cục A05 trong 60 ngày (khoản 2 Điều 20), trừ trường hợp miễn trừ. Logistics có miễn trừ riêng: cung cấp dữ liệu xuyên biên giới để ký kết hợp đồng hoặc thực hiện thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần (điểm đ khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP, hướng dẫn điểm d khoản 6 Điều 20 Luật 91).

Miễn trừ chỉ bỏ thủ tục đánh giá tác động; vẫn cần hợp đồng với bên nhận và biện pháp bảo mật. Không lập hồ sơ bị phạt 30–50 triệu đồng; không có hợp đồng hoặc biện pháp bảo mật phù hợp bị phạt 50–100 triệu đồng (khoản 1, 2 Điều 56 Nghị định 330/2026/NĐ-CP). Chuyển dữ liệu không có hồ sơ dẫn đến lộ dữ liệu của từ 10.000 công dân Việt Nam bị phạt 1–5% doanh thu năm trước tại Việt Nam (khoản 3 Điều 56). Xem chuyển dữ liệu ra nước ngoài.

7. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành logistics

Đây là năm tình huống LexData gặp nhiều nhất khi rà soát bảo vệ dữ liệu cá nhân ngành logistics.

• Vận đơn in đủ số điện thoại và giá trị COD; che số điện thoại là thay đổi rẻ nhất.
• Người bán gửi danh sách đơn cho shipper qua ứng dụng nhắn tin mà không có thỏa thuận chuyển giao. Xem bài livestream bán hàng tuân thủ PDPD.
• Tổng đài tra cứu không giới hạn, không có nhật ký tra cứu.
• Ứng dụng tài xế định vị 24/7 vì SDK chạy nền vẫn gửi vị trí khi tài xế đã tắt nhận đơn.
• Hệ thống quản lý vận tải của tập đoàn đặt ở nước ngoài mà chưa có hồ sơ, vì hiểu nhầm miễn trừ vận chuyển xuyên biên giới bao trùm mọi luồng.

Các giải pháp kỹ thuật như số điện thoại ảo, mã hóa dữ liệu đơn hàng có trong lộ trình 5 bước tuân thủ PDPD cho doanh nghiệp logistics. Với nhà thầu giao hàng, xem quy trình đánh giá rủi ro vendor.

8. Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành logistics và mức phạt

Mỗi dòng dưới đây là một hạng mục trong kế hoạch bảo vệ dữ liệu cá nhân ngành logistics. Mức phạt áp dụng với tổ chức; cá nhân chịu một nửa (khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP).

Hãng vận chuyển là bên xử lý phải báo kịp thời cho sàn, người bán khi phát hiện vi phạm (khoản 1 Điều 23 Luật 91); không báo bị phạt 10–20 triệu đồng (điểm a khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP). Xem quy tắc 72 giờ và dịch vụ DPO thuê ngoài, bao gồm hỗ trợ xử lý sự cố.

9. Bảo vệ dữ liệu cá nhân ngành logistics cho doanh nghiệp FDI

Hãng chuyển phát quốc tế, công ty giao nhận vốn nước ngoài và trung tâm fulfillment khu vực thường gặp bốn khác biệt khi áp dụng bảo vệ dữ liệu cá nhân ngành logistics tại Việt Nam:

• Hồ sơ nộp cơ quan nhà nước: DPIA và hồ sơ chuyển dữ liệu xuyên biên giới phải nộp Cục A05, thủ tục không có tương đương trực tiếp trong GDPR. Luật 91/2025/QH15 cũng không có căn cứ "lợi ích hợp pháp" rộng như GDPR.
• Miễn trừ hẹp: điểm đ khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP giúp luồng dữ liệu của từng lô hàng quốc tế, không thay hồ sơ cho hệ thống quản lý vận tải hay kho dữ liệu khu vực.
• Tài xế là công dân Việt Nam: với vận tải hàng hóa đường bộ có vốn nước ngoài, 100% lái xe phải là công dân Việt Nam (điểm g khoản 3 Điều 4 Nghị định 163/2017/NĐ-CP). Dữ liệu hành trình gửi về công ty mẹ luôn là dữ liệu của công dân Việt Nam.
• Bí mật bưu chính: trụ sở khu vực không nên truy cập tự do dữ liệu người gửi, người nhận tại Việt Nam (khoản 10 Điều 29 Luật Bưu chính 2010).

LexData hỗ trợ lập hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu xuyên biên giới, rà soát hợp đồng với sàn, người bán, nhà thầu, và tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp logistics.