Bảo vệ dữ liệu cá nhân ngành y tế: bệnh viện, phòng khám, nhà thuốc và ứng dụng MedTech
Bảo vệ dữ liệu cá nhân ngành y tế khắt khe hơn các ngành khác vì gần như mọi hoạt động của cơ sở y tế đều xử lý dữ liệu sức khỏe, một nhóm dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP. Vì vậy bệnh viện, phòng khám, nhà thuốc và ứng dụng MedTech không được hưởng ưu đãi miễn DPIA, DPO dành cho doanh nghiệp nhỏ, và phải tuân thủ thêm Điều 26 Luật 91/2025/QH15 cùng quy định bảo mật hồ sơ bệnh án của Luật Khám bệnh, chữa bệnh.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 26); Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP; Luật Khám bệnh, chữa bệnh số 15/2023/QH15 (Điều 10, 45, 69); Thông tư 13/2025/TT-BYT; Thông tư 33/2025/TT-BYT
Nguồn văn bản chính thức
Điểm cốt lõi về bảo vệ dữ liệu cá nhân ngành y tế
- Nguyên tắc đầu tiên của bảo vệ dữ liệu cá nhân ngành y tế: cơ sở y tế xử lý dữ liệu sức khỏe phải có sự đồng ý của người bệnh trong quá trình thu thập, xử lý, trừ các trường hợp tại khoản 1 Điều 19 Luật 91/2025/QH15, như cấp cứu để bảo vệ tính mạng, sức khỏe (điểm a khoản 1 Điều 26).
- Không cung cấp dữ liệu cá nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe, bảo hiểm sức khỏe hoặc bảo hiểm nhân thọ, trừ khi người bệnh yêu cầu bằng văn bản hoặc thuộc khoản 1 Điều 19 (khoản 2 Điều 26).
- Doanh nghiệp y tế trực tiếp xử lý dữ liệu nhạy cảm nên không được hưởng ưu đãi miễn DPIA và DPO của doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh (khoản 2, 3 Điều 38 Luật 91/2025/QH15): phải lập hồ sơ DPIA gửi Cục A05 trong 60 ngày và chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ.
Dữ liệu cá nhân ngành y tế thường xử lý
| Nhóm dữ liệu | Ví dụ | Phân loại |
|---|---|---|
| Thông tin hành chính của người bệnh | Họ tên, ngày sinh, số điện thoại, địa chỉ, mã số bảo hiểm y tế | Cơ bản |
| Dữ liệu sức khỏe | Hồ sơ bệnh án, chẩn đoán, kết quả xét nghiệm, chẩn đoán hình ảnh, đơn thuốc, lịch sử tiêm chủng | Nhạy cảm |
| Dữ liệu di truyền và sinh trắc học | Kết quả giải trình tự gen, xét nghiệm ADN, vân tay hoặc khuôn mặt dùng để định danh người bệnh | Nhạy cảm |
| Đời sống riêng tư, đời sống tình dục | Sức khỏe sinh sản, bệnh lây truyền qua đường tình dục, tư vấn tâm lý | Nhạy cảm |
| Ảnh thẻ căn cước, tài khoản định danh điện tử | Ảnh chụp CCCD khi tiếp đón, đăng nhập bằng VNeID | Nhạy cảm |
| Dữ liệu vị trí | Vị trí của người bệnh hoặc nhân viên y tế trong ứng dụng khám tại nhà, xét nghiệm tận nơi | Nhạy cảm |
Phân loại theo danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Cùng một loại thông tin có thể đổi phân loại tùy ngữ cảnh xử lý.
1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành y tế?
Bảo vệ dữ liệu cá nhân ngành y tế áp dụng cho mọi tổ chức xử lý dữ liệu sức khỏe tại Việt Nam. Các tổ chức này đều chịu Điều 26 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dù là cơ sở công lập, tư nhân hay có vốn nước ngoài:
- Bệnh viện, phòng khám đa khoa và chuyên khoa: hồ sơ bệnh án, kết quả cận lâm sàng, dữ liệu thanh toán bảo hiểm y tế.
- Phòng xét nghiệm, trung tâm chẩn đoán hình ảnh, xét nghiệm gen: mẫu bệnh phẩm gắn với danh tính, dữ liệu di truyền, kết quả gửi đối tác phân tích ở nước ngoài.
- Chuỗi nhà thuốc: đơn thuốc, lịch sử mua thuốc, chương trình khách hàng thân thiết.
- Ứng dụng MedTech, khám từ xa, đặt lịch khám: tài khoản người dùng, ghi hình buổi tư vấn, dữ liệu từ thiết bị đeo, vị trí khi khám tại nhà.
- Thẩm mỹ viện, nha khoa, trung tâm sức khỏe: ảnh trước và sau điều trị, hồ sơ tiền sử bệnh.
Điểm khác biệt lớn nhất so với ngành khác: dữ liệu sức khỏe là dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP. Vì vậy ngay cả phòng khám nhỏ cũng không được hưởng ưu đãi lựa chọn không lập hồ sơ DPIA, không chỉ định bộ phận bảo vệ dữ liệu, do ưu đãi này loại trừ tổ chức trực tiếp xử lý dữ liệu nhạy cảm (khoản 2, 3 Điều 38 Luật 91/2025/QH15).
2. Điều 26: bốn quy tắc riêng cho dữ liệu sức khỏe
Điều 26 Luật 91/2025/QH15 đặt ra các quy tắc riêng, áp dụng bên cạnh quy định chung:
- Sự đồng ý trong suốt quá trình thu thập, xử lý dữ liệu sức khỏe, trừ các trường hợp tại khoản 1 Điều 19, như cấp cứu để bảo vệ tính mạng, sức khỏe hoặc thực hiện theo quy định của pháp luật (điểm a khoản 1).
- Không cung cấp dữ liệu cho bên thứ ba là tổ chức chăm sóc sức khỏe, bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ khi người bệnh yêu cầu bằng văn bản hoặc thuộc khoản 1 Điều 19 (khoản 2).
- Ứng dụng y tế phải tuân thủ đầy đủ quy định bảo vệ dữ liệu ngay từ khâu phát triển (khoản 3).
- Tái bảo hiểm có chuyển dữ liệu cho đối tác phải được nêu rõ trong hợp đồng với khách hàng (khoản 4), áp dụng với doanh nghiệp kinh doanh bảo hiểm.
3. Luật chuyên ngành: bảo mật hồ sơ bệnh án và bí mật người bệnh
Cơ sở y tế phải tuân thủ đồng thời Luật 91/2025/QH15 và các quy định chuyên ngành sau. Theo khoản 2 Điều 5 Luật 91, quy định cụ thể về bảo vệ dữ liệu cá nhân trong luật ban hành trước ngày 01/01/2026, như Luật Khám bệnh, chữa bệnh, vẫn được áp dụng nếu không trái nguyên tắc của Luật 91.
- Quyền được giữ bí mật của người bệnh: người bệnh được giữ bí mật thông tin trong hồ sơ bệnh án và thông tin về đời tư đã cung cấp cho người hành nghề, trừ khi người bệnh đồng ý chia sẻ hoặc thuộc các trường hợp tại khoản 3, 4 Điều 69 (khoản 2 Điều 10 Luật Khám bệnh, chữa bệnh số 15/2023/QH15). Người hành nghề có nghĩa vụ giữ bí mật tình trạng bệnh và hồ sơ bệnh án (khoản 5 Điều 45).
- Ai được tiếp cận hồ sơ bệnh án: Điều 69 Luật Khám bệnh, chữa bệnh liệt kê các trường hợp được đọc, sao chép hồ sơ, như học viên, người hành nghề (khi cơ sở đồng ý) và cơ quan điều tra, viện kiểm sát, tòa án, thanh tra. Người bệnh hoặc người đại diện được đọc, xem, sao chụp hồ sơ và nhận bản tóm tắt khi có yêu cầu bằng văn bản. Người sử dụng thông tin trong hồ sơ phải giữ bí mật và dùng đúng mục đích (khoản 5 Điều 69).
- Hồ sơ bệnh án điện tử: hồ sơ điện tử có giá trị pháp lý như hồ sơ giấy (khoản 1 Điều 69). Theo Thông tư 13/2025/TT-BYT, bệnh viện phải triển khai hồ sơ bệnh án điện tử chậm nhất ngày 30/9/2025, các cơ sở khám bệnh, chữa bệnh khác chậm nhất ngày 31/12/2026. Thông tư này cũng yêu cầu tuân thủ pháp luật về bảo vệ dữ liệu cá nhân khi triển khai.
- Thời hạn lưu trữ: Thông tư 33/2025/TT-BYT quy định hồ sơ bệnh án nội trú, ngoại trú lưu 10 năm; bệnh án tâm thần, tai nạn lao động, tai nạn giao thông, ghép mô, tạng, phẫu thuật thẩm mỹ lưu 20 năm; bệnh án tử vong lưu 30 năm, áp dụng cho cả hồ sơ giấy và điện tử.
Thời hạn lưu trữ bắt buộc là lý do chính đáng để không xóa hồ sơ bệnh án khi người bệnh yêu cầu xóa (điểm c khoản 1 và khoản 5 Điều 14 Luật 91/2025/QH15). Khi đó, cơ sở y tế phải thông báo lý do cho người bệnh, và nên xóa các dữ liệu không thuộc hồ sơ bệnh án như dữ liệu marketing, tài khoản ứng dụng.
4. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành y tế
Năm rủi ro dưới đây là những tình huống LexData gặp nhiều nhất khi tư vấn bảo vệ dữ liệu cá nhân ngành y tế. Mỗi rủi ro đi kèm căn cứ pháp lý và mức phạt tương ứng.
Chia sẻ dữ liệu người bệnh qua ứng dụng nhắn tin
Bác sĩ gửi ảnh phim X-quang, kết quả xét nghiệm vào nhóm Zalo khoa để hội chẩn là tình huống phổ biến. Dữ liệu nằm trên điện thoại cá nhân, không phân quyền, không nhật ký truy cập, và có thể bị chuyển tiếp ra ngoài. Cơ sở y tế nên cung cấp kênh hội chẩn trong hệ thống có kiểm soát, và quy định rõ việc cấm gửi dữ liệu người bệnh qua ứng dụng cá nhân.
Gửi kết quả khám cho công ty bảo hiểm hoặc doanh nghiệp
Khám sức khỏe định kỳ cho nhân viên doanh nghiệp, khám cho hồ sơ bảo hiểm nhân thọ đều có bên thứ ba muốn nhận kết quả. Với tổ chức bảo hiểm sức khỏe, nhân thọ, khoản 2 Điều 26 cấm cung cấp nếu không có văn bản yêu cầu của người được khám. Với doanh nghiệp đặt khám cho nhân viên, cơ sở y tế vẫn cần căn cứ pháp lý (như sự đồng ý của người lao động) trước khi gửi kết quả chi tiết.
Marketing dựa trên dữ liệu bệnh lý
Nhắn tin mời tái khám là hoạt động chăm sóc người bệnh. Nhưng dùng chẩn đoán để gửi quảng cáo gói dịch vụ, thực phẩm chức năng là xử lý dữ liệu sức khỏe cho mục đích quảng cáo, cần sự đồng ý riêng theo Điều 9 và Điều 28 Luật 91/2025/QH15. Sự đồng ý phải thể hiện cho từng mục đích và không được kèm điều kiện bắt buộc cho mục đích khác (khoản 4 Điều 9).
Nghiên cứu, huấn luyện AI trên hồ sơ bệnh án
Dùng dữ liệu bệnh án để nghiên cứu hoặc huấn luyện AI chẩn đoán là mục đích mới so với mục đích khám chữa bệnh ban đầu. Cơ sở y tế cần sự đồng ý cho mục đích này, hoặc khử nhận dạng dữ liệu để dữ liệu không còn là dữ liệu cá nhân (khoản 1 Điều 2), đồng thời không được tái nhận dạng (điểm b khoản 6 Điều 14). Xử lý dữ liệu bằng AI còn phải phân loại theo mức độ rủi ro (khoản 4 Điều 30).
Rò rỉ dữ liệu từ hệ thống HIS, EMR
Hệ thống thông tin bệnh viện là mục tiêu tấn công mã độc tống tiền phổ biến. Lộ dữ liệu sức khỏe có thể xâm phạm danh dự, nhân phẩm của người bệnh, nên thuộc diện phải thông báo Cục A05 chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật 91/2025/QH15). Thông báo chậm hơn 72 giờ bị phạt 40 đến 60 triệu đồng; không thực hiện biện pháp ngăn chặn, khắc phục bị phạt 60 đến 80 triệu đồng (Điều 54 Nghị định 330/2026/NĐ-CP).
5. Nghĩa vụ bảo vệ dữ liệu cá nhân ngành y tế và căn cứ pháp lý
Bảng dưới đây tóm tắt các nghĩa vụ chính. Mỗi dòng là một hạng mục cần có trong kế hoạch bảo vệ dữ liệu cá nhân ngành y tế của doanh nghiệp.
Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành y tế
| Nghĩa vụ | Căn cứ | Áp dụng trong ngành |
|---|---|---|
| Đồng ý khi thu thập, xử lý dữ liệu sức khỏe | Điểm a khoản 1 Điều 26 Luật 91/2025 | Phiếu tiếp đón, đăng ký khám trên ứng dụng, khám từ xa |
| Thông báo đây là dữ liệu nhạy cảm | Khoản 4 Điều 6 NĐ 356/2025; Điều 43 NĐ 330/2026 | Thông báo xử lý dữ liệu tại quầy tiếp đón và trên ứng dụng |
| Giữ bí mật hồ sơ bệnh án, chỉ cho tiếp cận đúng đối tượng | Điều 10, 45, 69 Luật Khám bệnh, chữa bệnh 2023 | Phân quyền HIS/EMR, quy trình cung cấp bản sao bệnh án |
| Lưu hồ sơ bệnh án đúng thời hạn, sau đó xóa, hủy an toàn | Thông tư 33/2025/TT-BYT; Điều 14 Luật 91/2025 | 10, 20 hoặc 30 năm tùy loại bệnh án, cả giấy và điện tử |
| Không cung cấp cho tổ chức bảo hiểm nếu không có văn bản yêu cầu | Khoản 2 Điều 26 Luật 91/2025 | Kết quả khám hồ sơ bảo hiểm, bồi thường bảo hiểm sức khỏe |
| Bảo vệ dữ liệu di truyền, sinh trắc học | Khoản 4 Điều 31 Luật 91/2025 | Xét nghiệm gen, định danh người bệnh bằng khuôn mặt |
| Lập hồ sơ DPIA, gửi Cục A05 trong 60 ngày | Điều 21, khoản 2 và 3 Điều 38 Luật 91/2025 | Bắt buộc với cả phòng khám nhỏ, do xử lý dữ liệu nhạy cảm |
| Chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ | Khoản 2 Điều 33 Luật 91/2025 | Bệnh viện, chuỗi phòng khám, nhà thuốc, MedTech |
| Hồ sơ chuyển dữ liệu xuyên biên giới | Điều 20 Luật 91/2025; Mẫu số 09 NĐ 356/2025 | Cloud, AI chẩn đoán, phòng xét nghiệm đối tác ở nước ngoài |
| Thông báo vi phạm trong 72 giờ | Điều 23 Luật 91/2025; Điều 54 NĐ 330/2026 | Tấn công HIS/EMR, lộ hồ sơ bệnh án |
6. Bảo vệ dữ liệu cá nhân ngành y tế cho doanh nghiệp FDI
Với bệnh viện và doanh nghiệp y tế có vốn nước ngoài, bảo vệ dữ liệu cá nhân ngành y tế thường vướng ở luồng dữ liệu ra nước ngoài. Bệnh viện quốc tế, chuỗi phòng khám và doanh nghiệp dược có vốn nước ngoài thường dùng hệ thống EMR, CRM hoặc trung tâm dữ liệu của tập đoàn đặt ở nước ngoài, và gửi mẫu xét nghiệm chuyên sâu cho phòng thí nghiệm ở nước ngoài. Mỗi luồng này là chuyển dữ liệu cá nhân xuyên biên giới (khoản 1 Điều 20 Luật 91/2025/QH15), cần hồ sơ đánh giá tác động riêng. Bên cạnh đó, quy tắc tại khoản 2 Điều 26 về cung cấp dữ liệu cho tổ chức bảo hiểm chặt hơn nhiều so với thông lệ ở một số nước, nên quy trình phối hợp với công ty bảo hiểm quốc tế cần được thiết kế lại cho thị trường Việt Nam.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Ngành y tế đã có truyền thống giữ bí mật cho người bệnh, nhưng bảo vệ dữ liệu cá nhân ngành y tế theo Luật 91/2025/QH15 đòi hỏi nhiều hơn một cam kết đạo đức: phải có sự đồng ý chứng minh được, hồ sơ DPIA, và kiểm soát được mọi đối tác chạm vào dữ liệu. Tôi khuyến nghị cơ sở y tế bắt đầu từ hai điểm rủi ro cao nhất là luồng dữ liệu gửi cho công ty bảo hiểm và thói quen trao đổi thông tin người bệnh qua ứng dụng nhắn tin."
Checklist bảo vệ dữ liệu cá nhân ngành y tế
- Lập bản đồ dữ liệu cho toàn bộ luồng khám chữa bệnh: tiếp đón, HIS/EMR, LIS, PACS, nhà thuốc, thanh toán bảo hiểm, ứng dụng đặt lịch, tổng đài.
- Tách riêng thông báo xử lý dữ liệu và biểu mẫu đồng ý cho từng mục đích: khám chữa bệnh, chăm sóc khách hàng, marketing, nghiên cứu. Không gộp đồng ý marketing vào phiếu khám.
- Bảo mật hồ sơ bệnh án bằng cách phân quyền truy cập theo vai trò (bác sĩ điều trị, điều dưỡng, thu ngân, IT), bật nhật ký truy cập và rà soát định kỳ.
- Ký hợp đồng xử lý dữ liệu (DPA) với nhà cung cấp HIS/EMR, phòng xét nghiệm gửi mẫu, đối tác cloud, tổng đài và agency marketing.
- Lập hồ sơ DPIA theo Mẫu số 10 Nghị định 356/2025/NĐ-CP và gửi Cục A05 trong 60 ngày kể từ ngày bắt đầu xử lý; cập nhật khi thay đổi hệ thống hoặc đối tác.
- Nếu dữ liệu nằm trên nền tảng hoặc máy chủ ở nước ngoài (cloud, AI chẩn đoán, phòng xét nghiệm quốc tế), lập thêm hồ sơ chuyển dữ liệu xuyên biên giới theo Mẫu số 09.
- Xây dựng quy trình ứng phó sự cố: thông báo Cục A05 trong 72 giờ khi thuộc diện phải thông báo, thông báo cho người bệnh khi rò rỉ dữ liệu sinh trắc học.
- Đào tạo nhân viên về bảo vệ dữ liệu cá nhân ngành y tế, nhất là việc chia sẻ dữ liệu người bệnh qua Zalo, nhóm chat, và kiểm tra hồ sơ trước khi đăng ảnh ca bệnh lên mạng xã hội.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân ngành y tế
Phòng khám có được gửi kết quả xét nghiệm của người bệnh cho công ty bảo hiểm không?
Không, trừ khi người bệnh yêu cầu bằng văn bản hoặc thuộc một trường hợp tại khoản 1 Điều 19 Luật 91/2025/QH15. Khoản 2 Điều 26 cấm cơ sở hoạt động trong lĩnh vực sức khỏe cung cấp dữ liệu cá nhân cho tổ chức cung cấp dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ. Trong thực tế, cơ sở nên nhận văn bản yêu cầu hoặc giấy ủy quyền của người bệnh (bản giấy hoặc điện tử) và lưu cùng hồ sơ trước khi gửi.
Bệnh viện có cần xin đồng ý của người bệnh cấp cứu bất tỉnh không?
Không. Điểm a khoản 1 Điều 19 Luật 91/2025/QH15 cho phép xử lý dữ liệu không cần đồng ý để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác trong trường hợp cấp bách. Bệnh viện có trách nhiệm chứng minh trường hợp này, nên ghi nhận tình trạng cấp cứu trong hồ sơ, và phải thiết lập cơ chế giám sát theo khoản 2 Điều 19.
Phòng khám tư nhỏ có được miễn lập DPIA không?
Thông thường là không, và đây là điểm khác biệt quan trọng của bảo vệ dữ liệu cá nhân ngành y tế. Luật 91/2025/QH15 chỉ cho doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh, doanh nghiệp siêu nhỏ lựa chọn không lập DPIA, không chỉ định DPO khi không trực tiếp xử lý dữ liệu nhạy cảm (khoản 2, 3 Điều 38). Dữ liệu sức khỏe là dữ liệu nhạy cảm, nên phòng khám, nhà thuốc có lưu hồ sơ bệnh án, đơn thuốc gần như luôn thuộc diện phải thực hiện.
Bác sĩ đăng ảnh ca bệnh lên Facebook để chia sẻ chuyên môn có vi phạm không?
Có rủi ro cao nếu người xem có thể nhận ra người bệnh qua khuôn mặt, hình xăm, tên, số giường hoặc bối cảnh. Công khai dữ liệu cá nhân cần sự đồng ý của chủ thể hoặc căn cứ khác tại khoản 2 Điều 16 Luật 91/2025/QH15. Cách an toàn là có đồng ý bằng văn bản riêng cho việc đăng tải, hoặc khử nhận dạng triệt để trước khi đăng (che mặt, xóa tên, cắt bỏ chi tiết định danh).
Người bệnh yêu cầu xóa hồ sơ bệnh án thì bệnh viện có phải xóa không?
Thông thường là không, trong thời hạn lưu trữ bắt buộc. Thông tư 33/2025/TT-BYT yêu cầu lưu hồ sơ bệnh án nội trú, ngoại trú 10 năm, một số loại 20 hoặc 30 năm. Luật 91/2025/QH15 cho phép xóa khi hết thời hạn lưu trữ theo quy định (điểm c khoản 1 Điều 14), và khi không thể xóa vì lý do chính đáng thì phải thông báo cho người bệnh (khoản 5 Điều 14). Bệnh viện vẫn nên xóa dữ liệu ngoài hồ sơ bệnh án, như danh sách nhận tin khuyến mãi, và ngừng dùng dữ liệu cho mục đích khác.
Người bệnh có quyền xin bản sao hồ sơ bệnh án của mình không?
Có. Theo Điều 69 Luật Khám bệnh, chữa bệnh số 15/2023/QH15, người bệnh hoặc người đại diện được đọc, xem, sao chụp, ghi chép hồ sơ bệnh án và được cung cấp bản tóm tắt hồ sơ khi có yêu cầu bằng văn bản. Đây cũng là một nội dung của quyền được cung cấp dữ liệu cá nhân theo Điều 4 Luật 91/2025/QH15; thời hạn thực hiện yêu cầu cung cấp dữ liệu là 10 ngày theo Điều 5 Nghị định 356/2025/NĐ-CP.
Ứng dụng MedTech dùng máy chủ ở Singapore có phải làm hồ sơ gì thêm?
Có. Sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu cá nhân xuyên biên giới (điểm c khoản 1 Điều 20 Luật 91/2025/QH15). Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi Cục A05 trong 60 ngày kể từ lần chuyển đầu tiên, ngoài hồ sơ DPIA.
Luật sư Hồ Thị Hà Nhi
Luật sư Sáng lập LexData Consulting · Đoàn Luật sư TP.HCM
Nội dung trang được rà soát theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, các nghị định hướng dẫn và văn bản pháp luật chuyên ngành được trích dẫn.
