Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: tóm tắt

QUỐC HỘI _______ Luật số: 91/2025/QH15

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc

LUẬT

BẢO VỆ DỮ LIỆU CÁ NHÂN

Cơ quan ban hành: Quốc hội khóa XV, Kỳ họp thứ 9
Người ký: Chủ tịch Quốc hội Trần Thanh Mẫn
Ngày thông qua: 26/06/2025 | Ngày có hiệu lực: 01/01/2026 (khoản 1 Điều 38)
Văn bản trước đây: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, hết hiệu lực từ 01/01/2026 theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP. Luật không có điều khoản bãi bỏ riêng; Điều 39 Luật quy định chuyển tiếp cho hoạt động xử lý và hồ sơ đã lập theo Nghị định 13.
Văn bản hướng dẫn: Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật
Xử phạt vi phạm hành chính: Nghị định 330/2026/NĐ-CP
Nguồn chính thức Cổng TTĐT Chính phủ: vanban.chinhphu.vn (DocID: 214590)
File văn bản: Tải file PDF — Công báo Chính phủ

Lưu ý: Trang này là tóm tắt các quy định chính do LexData biên soạn nhằm phục vụ tra cứu nhanh — không phải toàn văn Luật. Văn bản gốc gồm 5 chương, 39 điều; vui lòng tra cứu toàn văn từ nguồn chính thức ở liên kết trên. Bảng “Tra cứu nhanh theo Điều” ở cuối trang tóm lược nội dung từng điều.

Phạm vi điều chỉnh và cấu trúc

Luật quy định về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan (khoản 1 Điều 1). Luật áp dụng với ba nhóm đối tượng (khoản 2 Điều 1):

cơ quan, tổ chức, cá nhân Việt Nam;
cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam;
cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến việc xử lý dữ liệu cá nhân của công dân Việt Nam và của người gốc Việt Nam chưa xác định được quốc tịch, đang sinh sống tại Việt Nam và đã được cấp giấy chứng nhận căn cước.

Khác với nhóm thứ hai, nhóm thứ ba được xác định theo việc tham gia hoặc liên quan đến xử lý dữ liệu của các cá nhân nêu trên, không theo việc tổ chức có mặt tại Việt Nam.

Chương	Nội dung	Điều
I	Những quy định chung (phạm vi, khái niệm, nguyên tắc, quyền chủ thể dữ liệu, hành vi bị cấm, xử lý vi phạm)	1–8
II – Mục 1	Bảo vệ dữ liệu cá nhân trong quá trình xử lý	9–23
II – Mục 2	Bảo vệ dữ liệu cá nhân trong một số hoạt động	24–32
III	Lực lượng, điều kiện bảo đảm bảo vệ dữ liệu cá nhân	33–35
IV	Trách nhiệm của cơ quan, tổ chức, cá nhân	36–37
V	Điều khoản thi hành	38–39

Quan hệ với văn bản khác (Điều 5): luật, nghị quyết của Quốc hội ban hành trước ngày Luật có hiệu lực mà có quy định cụ thể về bảo vệ dữ liệu cá nhân, không trái nguyên tắc của Luật, thì tiếp tục được áp dụng (khoản 2); luật, nghị quyết ban hành sau có quy định khác thì phải nêu rõ nội dung nào thực hiện hoặc không thực hiện theo Luật này (khoản 3). Tổ chức đã lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật này thì không phải làm thêm đánh giá rủi ro, đánh giá tác động tương ứng theo pháp luật về dữ liệu (khoản 4).

Các khái niệm chính (Điều 2)

Dữ liệu cá nhân: dữ liệu số hoặc thông tin ở dạng khác xác định hoặc giúp xác định một con người cụ thể; gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu đã khử nhận dạng không còn là dữ liệu cá nhân (khoản 1). Ngược lại, dữ liệu đã mã hóa vẫn là dữ liệu cá nhân (khoản 1 Điều 12).
Dữ liệu cơ bản, dữ liệu nhạy cảm: đều xác định theo danh mục do Chính phủ ban hành (khoản 2, khoản 3), hiện tại là Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP.
Chủ thể dữ liệu cá nhân: người được dữ liệu cá nhân phản ánh (khoản 5).
Xử lý dữ liệu cá nhân: mọi hoạt động tác động đến dữ liệu cá nhân, như thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao (khoản 6).
Bên kiểm soát: quyết định mục đích và phương tiện xử lý (khoản 7). Bên xử lý: xử lý theo yêu cầu của bên kiểm soát thông qua hợp đồng (khoản 8). Bên kiểm soát và xử lý: vừa quyết định mục đích, phương tiện vừa trực tiếp xử lý (khoản 9). Bên thứ ba: chủ thể khác tham gia xử lý theo quy định của pháp luật (khoản 10).
Khử nhận dạng (khoản 11) và đánh giá tác động xử lý dữ liệu cá nhân (khoản 12).

Nguyên tắc bảo vệ dữ liệu cá nhân (Điều 3)

Sáu nguyên tắc, tóm lược:

tuân thủ Hiến pháp, Luật này và pháp luật liên quan;
chỉ thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng;
bảo đảm dữ liệu chính xác, được cập nhật khi cần; chỉ lưu trữ trong thời gian phù hợp với mục đích xử lý, trừ khi pháp luật quy định khác;
áp dụng đồng bộ biện pháp về thể chế, kỹ thuật, con người;
chủ động phòng ngừa, phát hiện, xử lý vi phạm;
gắn bảo vệ dữ liệu cá nhân với lợi ích quốc gia, phát triển kinh tế – xã hội, và hài hòa với quyền, lợi ích hợp pháp của các bên.

Quyền và nghĩa vụ của chủ thể dữ liệu (Điều 4, Điều 10, 13, 14, 15)

Sáu nhóm quyền (khoản 1 Điều 4): được biết về hoạt động xử lý; đồng ý, không đồng ý, rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; yêu cầu cơ quan có thẩm quyền hoặc các bên liên quan áp dụng biện pháp bảo vệ dữ liệu của mình.

Nghĩa vụ (khoản 2 Điều 4): tự bảo vệ dữ liệu của mình; tôn trọng dữ liệu của người khác; cung cấp dữ liệu đầy đủ, chính xác khi pháp luật, hợp đồng yêu cầu hoặc khi đã đồng ý; chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

Chủ thể dữ liệu thực hiện quyền phải nhằm bảo vệ quyền lợi của chính mình, không được gây khó khăn cho nghĩa vụ pháp lý của bên kiểm soát, bên xử lý, và không xâm phạm quyền lợi của Nhà nước, người khác (khoản 3 Điều 4). Khi nhận yêu cầu, bên kiểm soát và bên kiểm soát và xử lý phải thực hiện kịp thời trong thời hạn luật định (khoản 5 Điều 4); thời hạn cụ thể (phản hồi trong 02 ngày làm việc, thực hiện theo từng loại yêu cầu) tại Điều 5 Nghị định 356/2025/NĐ-CP.

Các điều cụ thể hóa quyền:

Rút lại đồng ý, hạn chế xử lý (Điều 10): yêu cầu được lập bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được; không áp dụng cho các trường hợp tại Điều 19 hoặc khi pháp luật quy định khác. Việc rút lại không có hiệu lực hồi tố với hoạt động xử lý đã diễn ra trước đó (khoản 4).
Chỉnh sửa (Điều 13): chủ thể tự chỉnh sửa một số loại dữ liệu theo thỏa thuận, hoặc đề nghị bên kiểm soát chỉnh sửa; nếu không chỉnh sửa được vì lý do chính đáng thì phải thông báo cho người yêu cầu.
Xóa, hủy (Điều 14): thực hiện khi chủ thể yêu cầu và chấp nhận rủi ro có thể xảy ra, khi đã hoàn thành mục đích, hết thời hạn lưu trữ, theo quyết định của cơ quan có thẩm quyền, theo thỏa thuận hoặc trường hợp khác luật định (khoản 1). Không thực hiện yêu cầu xóa trong các trường hợp tại Điều 19 hoặc khi yêu cầu vi phạm khoản 3 Điều 4 (khoản 2). Việc xóa phải dùng biện pháp an toàn, ngăn khôi phục trái phép; không xóa được vì lý do chính đáng thì phải thông báo cho chủ thể (khoản 3, khoản 5). Dữ liệu đã khử nhận dạng không được tái nhận dạng, trừ khi pháp luật quy định khác (điểm b khoản 6).
Cung cấp dữ liệu (Điều 15): bên kiểm soát cung cấp dữ liệu cho chính chủ thể theo yêu cầu, trừ khi việc cung cấp có thể gây tổn hại quốc phòng, an ninh, trật tự xã hội hoặc tính mạng, sức khỏe, tài sản của người khác; cung cấp cho bên khác khi chủ thể đồng ý, trừ khi pháp luật quy định khác.

Sự đồng ý và các căn cứ xử lý khác (Điều 9, 11, 16, 17, 19)

Điều kiện có hiệu lực của sự đồng ý (Điều 9):

tự nguyện, và chủ thể biết rõ: loại dữ liệu và mục đích xử lý; bên kiểm soát (hoặc bên kiểm soát và xử lý); quyền và nghĩa vụ của mình (khoản 2);
thể hiện rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được (khoản 3; Chính phủ quy định chi tiết);
đồng ý theo từng mục đích; không được kèm điều kiện buộc đồng ý với mục đích khác ngoài nội dung thỏa thuận; có hiệu lực đến khi chủ thể thay đổi hoặc theo quy định pháp luật; im lặng hoặc không phản hồi không phải là đồng ý (khoản 4).

Dữ liệu phải được đồng ý trước khi thu thập, trừ khi pháp luật quy định khác (khoản 1 Điều 11).

Năm trường hợp không cần sự đồng ý (khoản 1 Điều 19):

bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền lợi hợp pháp của chủ thể hoặc người khác trong tình huống cấp bách; bảo vệ quyền, lợi ích chính đáng của mình, người khác, Nhà nước, cơ quan, tổ chức trước hành vi xâm phạm (bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên thứ ba có trách nhiệm chứng minh trường hợp này);
giải quyết tình trạng khẩn cấp, nguy cơ đe dọa an ninh quốc gia chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật;
phục vụ hoạt động của cơ quan nhà nước, quản lý nhà nước;
thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân liên quan theo quy định của pháp luật;
trường hợp khác theo luật.

Khi dựa vào các căn cứ này, tổ chức phải thiết lập cơ chế giám sát: quy trình và phân công trách nhiệm, biện pháp bảo vệ và đánh giá rủi ro thường xuyên, kiểm tra tuân thủ định kỳ, kênh tiếp nhận phản ánh (khoản 2 Điều 19).

Công khai dữ liệu (Điều 16): chỉ với mục đích cụ thể, trong các trường hợp: có sự đồng ý; theo quy định pháp luật; trường hợp tại điểm b khoản 1 Điều 19; hoặc để thực hiện nghĩa vụ theo hợp đồng.

Chuyển giao dữ liệu (Điều 17): được phép khi có đồng ý; chia sẻ giữa các bộ phận trong cùng tổ chức đúng mục đích đã xác lập; khi chia, tách, sáp nhập, hợp nhất, tổ chức lại; từ bên kiểm soát sang bên xử lý, bên thứ ba; theo yêu cầu của cơ quan nhà nước có thẩm quyền; hoặc trong các trường hợp tại khoản 1 Điều 19. Chuyển giao trong các trường hợp này, dù có thu phí hay không, không bị coi là mua, bán dữ liệu cá nhân (khoản 2).

Dữ liệu cá nhân nhạy cảm

Luật định nghĩa dữ liệu nhạy cảm là dữ liệu gắn với quyền riêng tư, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp, thuộc danh mục do Chính phủ ban hành (khoản 3 Điều 2). Luật không dành một điều riêng cho việc xử lý dữ liệu nhạy cảm; các yêu cầu cao hơn nằm ở:

lĩnh vực tài chính, ngân hàng, thông tin tín dụng phải thực hiện đầy đủ quy định về bảo vệ dữ liệu nhạy cảm (điểm a khoản 1 Điều 27);
thông tin sức khỏe, bảo hiểm (Điều 26), dữ liệu vị trí và sinh trắc học (Điều 31);
doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm không được hưởng ưu đãi tại khoản 2, khoản 3 Điều 38 (về DPIA, cập nhật hồ sơ và chỉ định nhân sự bảo vệ dữ liệu).

Danh mục cụ thể và yêu cầu giới hạn truy cập được quy định tại Điều 4 Nghị định 356/2025/NĐ-CP.

Dữ liệu cá nhân của trẻ em và người bị hạn chế năng lực (Điều 24)

Người đại diện theo pháp luật thay mặt trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi thực hiện quyền của chủ thể dữ liệu, trừ các trường hợp tại khoản 1 Điều 19 (khoản 2).
Xử lý dữ liệu nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật (khoản 2).
Phải ngừng xử lý khi người đã đồng ý rút lại sự đồng ý, hoặc theo yêu cầu của cơ quan có thẩm quyền khi có đủ căn cứ cho thấy việc xử lý có thể xâm phạm quyền lợi của những người này (khoản 3).

Trách nhiệm của bên kiểm soát và bên xử lý (Điều 37)

Bên kiểm soát (khoản 1): ghi rõ quyền, nghĩa vụ các bên trong hợp đồng, thỏa thuận xử lý dữ liệu; quyết định mục đích, phương tiện xử lý; áp dụng biện pháp quản lý, kỹ thuật phù hợp, rà soát và cập nhật khi cần thiết; thông báo vi phạm theo Điều 23; lựa chọn bên xử lý phù hợp; bảo đảm quyền của chủ thể; chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do việc xử lý gây ra; ngăn chặn thu thập trái phép từ hệ thống của mình; phối hợp với Bộ Công an.
Bên xử lý (khoản 2): chỉ được tiếp nhận dữ liệu sau khi có hợp đồng, thỏa thuận với bên kiểm soát; xử lý đúng thỏa thuận; áp dụng đầy đủ biện pháp bảo vệ; chịu trách nhiệm trước bên kiểm soát về thiệt hại; ngăn chặn thu thập trái phép; phối hợp với Bộ Công an.
Bên kiểm soát và xử lý thực hiện đồng thời cả hai nhóm trách nhiệm (khoản 3).

Ngoài ra, bên kiểm soát, bên xử lý và bên thứ ba lưu trữ dữ liệu theo hình thức phù hợp và phải có biện pháp bảo vệ trong quá trình lưu trữ (khoản 1 Điều 18).

Hồ sơ đánh giá tác động và chuyển dữ liệu xuyên biên giới (Điều 20–22)

Đánh giá tác động xử lý dữ liệu cá nhân – DPIA (Điều 21)

Bên kiểm soát, bên kiểm soát và xử lý lập, lưu hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân (khoản 1).
Hồ sơ lập 01 lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22 (khoản 2). Bên xử lý lập hồ sơ theo thỏa thuận với bên kiểm soát (khoản 3).
Cơ quan chuyên trách có thể yêu cầu hoàn thiện hồ sơ chưa đầy đủ (khoản 4). Cơ quan nhà nước có thẩm quyền không phải lập DPIA (khoản 6). Thành phần hồ sơ và thủ tục do Chính phủ quy định (khoản 7).

LexData hỗ trợ lập hồ sơ đánh giá tác động DPIA và hồ sơ chuyển dữ liệu ra nước ngoài theo mẫu hiện hành.

Chuyển dữ liệu cá nhân xuyên biên giới (Điều 20)

Ba trường hợp được coi là chuyển xuyên biên giới (khoản 1): chuyển dữ liệu đang lưu trữ tại Việt Nam sang hệ thống lưu trữ ở nước ngoài; tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài; sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam.
Phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2); lập 01 lần và cập nhật theo Điều 22 (khoản 3).
Cơ quan chuyên trách kiểm tra định kỳ không quá 01 lần/năm, hoặc đột xuất khi phát hiện vi phạm, sự cố lộ, mất dữ liệu (khoản 4); có thể yêu cầu ngừng chuyển dữ liệu nếu dữ liệu được dùng vào hoạt động có thể gây tổn hại quốc phòng, an ninh quốc gia (khoản 5).
Không phải lập hồ sơ (khoản 6): chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; tổ chức lưu trữ dữ liệu của chính người lao động của mình trên dịch vụ điện toán đám mây; chủ thể tự chuyển dữ liệu của mình; trường hợp khác do Chính phủ quy định.

Cập nhật hồ sơ (Điều 22)

Cả hai loại hồ sơ được cập nhật định kỳ 06 tháng khi có thay đổi, hoặc cập nhật ngay khi: tổ chức được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu đã đăng ký trong hồ sơ (khoản 1, khoản 2). Việc cập nhật thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách (khoản 3). Thời hạn cập nhật ngay và mẫu biểu do Nghị định 356/2025/NĐ-CP quy định.

Thông báo vi phạm (Điều 23)

Bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Bên xử lý phát hiện vi phạm phải báo kịp thời cho bên kiểm soát (khoản 1).
Bên kiểm soát phải lập biên bản xác nhận vi phạm và phối hợp với cơ quan chuyên trách xử lý (khoản 2).
Cơ quan, tổ chức, cá nhân thông báo cho cơ quan chuyên trách khi phát hiện vi phạm, khi dữ liệu bị xử lý sai mục đích hoặc sai thỏa thuận với chủ thể, khi quyền của chủ thể không được bảo đảm, hoặc trường hợp khác luật định (khoản 3).
Nội dung thông báo do Chính phủ quy định (khoản 5).

Trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng, tổ chức còn phải thông báo cho chủ thể dữ liệu khi lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng (điểm d khoản 1 Điều 27).

Bộ phận, nhân sự bảo vệ dữ liệu cá nhân (Điều 33)

Lực lượng bảo vệ dữ liệu cá nhân gồm cơ quan chuyên trách thuộc Bộ Công an; bộ phận, nhân sự bảo vệ dữ liệu trong từng cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu; và lực lượng được huy động (khoản 1). Cơ quan, tổ chức phải chỉ định bộ phận, nhân sự đủ điều kiện năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2). Điều kiện, nhiệm vụ của nhân sự và dịch vụ này do Chính phủ quy định (khoản 3), hiện tại tại Nghị định 356/2025/NĐ-CP.

Quy định theo từng hoạt động, lĩnh vực (Điều 25–32)

Điều	Hoạt động	Quy định chính
25	Tuyển dụng, quản lý người lao động	Chỉ yêu cầu thông tin phục vụ tuyển dụng; phải có đồng ý của ứng viên; xóa, hủy hồ sơ ứng viên không trúng tuyển, trừ khi có thỏa thuận khác. Xóa, hủy dữ liệu người lao động khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật quy định khác. Biện pháp giám sát bằng công nghệ chỉ được áp dụng khi người lao động biết rõ.
26	Thông tin sức khỏe, kinh doanh bảo hiểm	Phải có đồng ý, trừ khoản 1 Điều 19. Tổ chức trong lĩnh vực sức khỏe không cung cấp dữ liệu cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe, bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ khi chủ thể yêu cầu bằng văn bản hoặc thuộc khoản 1 Điều 19. Việc chuyển dữ liệu cho đối tác tái bảo hiểm phải nêu trong hợp đồng với khách hàng.
27	Tài chính, ngân hàng, thông tin tín dụng	Không dùng thông tin tín dụng để chấm điểm, xếp hạng tín dụng khi chưa có đồng ý; chỉ thu thập dữ liệu cần thiết; thông báo cho chủ thể khi lộ, mất thông tin tài khoản.
28	Kinh doanh dịch vụ quảng cáo	Phải có đồng ý của khách hàng, trên cơ sở biết rõ nội dung, phương thức, hình thức, tần suất; có cách từ chối và ngừng quảng cáo theo yêu cầu. Không được thuê lại toàn bộ dịch vụ quảng cáo có dùng dữ liệu cá nhân. Quảng cáo theo hành vi, cá nhân hóa: chỉ theo dõi website, ứng dụng khi được đồng ý; xác định thời gian lưu trữ và xóa khi không còn cần.
29	Mạng xã hội, truyền thông trực tuyến	Không yêu cầu ảnh, video giấy tờ tùy thân (toàn bộ hoặc một phần) để xác thực tài khoản; cho phép từ chối cookies và chọn “không theo dõi”; không nghe lén, ghi âm cuộc gọi, đọc tin nhắn khi không có đồng ý, trừ khi luật quy định khác; công khai chính sách bảo mật.
30	Dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây	Xử lý đúng mục đích, trong phạm vi cần thiết; tích hợp biện pháp bảo mật, xác thực và phân quyền truy cập; xử lý bằng AI phải phân loại theo mức độ rủi ro. Chính phủ quy định chi tiết.
31	Dữ liệu vị trí, dữ liệu sinh trắc học	Không theo dõi định vị qua thẻ RFID và công nghệ khác, trừ khi có đồng ý, có yêu cầu của cơ quan có thẩm quyền hoặc luật quy định khác; ứng dụng di động phải thông báo và cho người dùng tùy chọn. Dữ liệu sinh trắc học cần bảo mật vật lý, hạn chế truy cập, hệ thống giám sát; thông báo cho chủ thể nếu việc xử lý gây thiệt hại.
32	Ghi âm, ghi hình nơi công cộng, hoạt động công cộng	Không cần đồng ý khi phục vụ quốc phòng, an ninh, trật tự, bảo vệ quyền lợi hợp pháp, hoặc ghi tại hội nghị, hội thảo, thi đấu thể thao, biểu diễn nghệ thuật và hoạt động công cộng khác mà không làm tổn hại danh dự, nhân phẩm, uy tín của người bị ghi, hoặc trường hợp khác luật định. Phải thông báo để người bị ghi biết (trừ khi luật quy định khác), chỉ dùng đúng mục đích và lưu trong thời gian cần thiết.

Hành vi bị nghiêm cấm (Điều 7)

Bảy nhóm hành vi: xử lý dữ liệu nhằm chống Nhà nước hoặc gây ảnh hưởng quốc phòng, an ninh, trật tự xã hội, quyền lợi của người khác; cản trở hoạt động bảo vệ dữ liệu; lợi dụng hoạt động bảo vệ dữ liệu để vi phạm pháp luật; xử lý dữ liệu trái pháp luật; dùng dữ liệu của người khác hoặc cho người khác dùng dữ liệu của mình để làm việc trái pháp luật; mua, bán dữ liệu cá nhân, trừ khi luật quy định khác; chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Xử lý vi phạm và mức phạt tối đa (Điều 8)

Vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại (khoản 1). Luật tự đặt trần phạt tiền hành chính:

Hành vi	Mức phạt tiền tối đa với tổ chức
Mua, bán dữ liệu cá nhân	10 lần khoản thu có được từ vi phạm (khoản 3)
Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới	5% doanh thu năm trước liền kề của tổ chức (khoản 4)
Các vi phạm khác	03 tỷ đồng (khoản 5)

Nếu không có khoản thu, không có doanh thu năm trước, hoặc mức tính theo khoản thu, doanh thu thấp hơn 03 tỷ đồng thì áp dụng trần 03 tỷ đồng. Cá nhân vi phạm cùng hành vi chịu mức tối đa bằng một phần hai mức của tổ chức (khoản 6). Chính phủ quy định cách tính khoản thu từ vi phạm (khoản 7). Mức phạt cụ thể cho từng hành vi tại Nghị định 330/2026/NĐ-CP.

Quản lý nhà nước, tiêu chuẩn và kiểm tra (Điều 34–36)

Bộ Công an là cơ quan đầu mối quản lý nhà nước về bảo vệ dữ liệu cá nhân, trừ nội dung thuộc Bộ Quốc phòng; các bộ, ngành và Ủy ban nhân dân cấp tỉnh quản lý trong phạm vi được giao (Điều 36).
Tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân được xây dựng theo pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật (Điều 34); việc kiểm tra thực hiện theo Luật và quy định của Chính phủ (Điều 35).

Hiệu lực, ưu đãi cho doanh nghiệp nhỏ và chuyển tiếp (Điều 38, Điều 39)

Hiệu lực từ 01/01/2026 (khoản 1 Điều 38).
Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện Điều 21 (DPIA), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (chỉ định nhân sự bảo vệ dữ liệu) trong 05 năm kể từ ngày Luật có hiệu lực (khoản 2 Điều 38).
Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các quy định này (khoản 3 Điều 38).
Cả hai ưu đãi không áp dụng với doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Điều 41 Nghị định 356/2025/NĐ-CP xác định ngưỡng này là từ 100 nghìn chủ thể dữ liệu trở lên, tính cộng dồn. Ưu đãi không bao gồm hồ sơ chuyển dữ liệu xuyên biên giới (Điều 20) hay các nghĩa vụ khác.
Chuyển tiếp (Điều 39): hoạt động xử lý đã được đồng ý hoặc thỏa thuận theo Nghị định 13/2023/NĐ-CP trước 01/01/2026 được tiếp tục, không phải xin đồng ý lại (khoản 1). Hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu ra nước ngoài theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được sử dụng, không phải lập lại; việc cập nhật sau đó theo Luật mới (khoản 2).

Cần rà soát mức độ tuân thủ của doanh nghiệp theo Luật mới? Xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.

Tra cứu nhanh theo Điều

Nội dung chính của từng điều do LexData tóm lược; cột cuối dẫn tới bài cẩm nang giải thích chi tiết (nếu có).

Điều	Nội dung chính	Tìm hiểu thêm
1	Phạm vi điều chỉnh; áp dụng cả với tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam	—
2	Giải thích 12 khái niệm: dữ liệu cá nhân cơ bản, nhạy cảm, chủ thể dữ liệu, xử lý, bên kiểm soát, bên xử lý, khử nhận dạng…	Dữ liệu cá nhân, dữ liệu cơ bản, dữ liệu nhạy cảm, chủ thể dữ liệu, xử lý dữ liệu, bên kiểm soát và bên xử lý
3	Sáu nguyên tắc bảo vệ dữ liệu cá nhân	Nguyên tắc bảo vệ dữ liệu
4	Quyền, nghĩa vụ của chủ thể dữ liệu và nguyên tắc khi thực hiện quyền	Quyền của chủ thể dữ liệu
5	Quan hệ với luật khác; DPIA theo Luật thay cho đánh giá theo pháp luật về dữ liệu	—
6	Hợp tác quốc tế về bảo vệ dữ liệu cá nhân	—
7	Bảy nhóm hành vi bị nghiêm cấm, gồm mua, bán dữ liệu cá nhân	Mua bán dữ liệu cá nhân
8	Xử phạt, truy cứu hình sự; trần phạt 10 lần khoản thu, 5% doanh thu, 03 tỷ đồng	Mức phạt vi phạm
9	Điều kiện có hiệu lực và hình thức của sự đồng ý; im lặng không phải là đồng ý	Sự đồng ý (consent)
10	Rút lại sự đồng ý, yêu cầu hạn chế xử lý; không có hiệu lực hồi tố	Rút lại đồng ý, hạn chế xử lý
11	Phải có đồng ý trước khi thu thập; phân tích, tổng hợp dữ liệu từ nguồn hợp pháp	Thông báo xử lý dữ liệu
12	Mã hóa, giải mã; dữ liệu đã mã hóa vẫn là dữ liệu cá nhân	Khử nhận dạng dữ liệu
13	Chỉnh sửa dữ liệu theo yêu cầu của chủ thể; thông báo nếu không chỉnh sửa được	Quyền của chủ thể dữ liệu
14	Các trường hợp xóa, hủy dữ liệu; yêu cầu khi khử nhận dạng, cấm tái nhận dạng	Quyền xóa dữ liệu, khử nhận dạng
15	Cung cấp dữ liệu cho chủ thể và cho bên khác	Chuyển giao dữ liệu
16	Các trường hợp và hình thức công khai dữ liệu cá nhân	—
17	Sáu trường hợp chuyển giao hợp pháp; chuyển giao có thu phí không phải mua bán	Chuyển giao dữ liệu, mua bán dữ liệu
18	Lưu trữ, truy cập, kết nối dữ liệu và các hoạt động xử lý khác	Xử lý dữ liệu cá nhân
19	Năm trường hợp xử lý không cần đồng ý và cơ chế giám sát bắt buộc	Xử lý không cần đồng ý
20	Chuyển dữ liệu xuyên biên giới: hồ sơ trong 60 ngày, kiểm tra, trường hợp miễn	Chuyển dữ liệu ra nước ngoài
21	Hồ sơ DPIA gửi trong 60 ngày kể từ ngày đầu tiên xử lý	DPIA, sổ ghi hoạt động xử lý (RoPA)
22	Cập nhật hai loại hồ sơ: định kỳ 06 tháng hoặc ngay khi có thay đổi lớn	DPIA
23	Thông báo vi phạm cho cơ quan chuyên trách chậm nhất 72 giờ	Data breach và quy tắc 72 giờ
24	Dữ liệu của trẻ em và người bị hạn chế năng lực; trẻ từ đủ 07 tuổi cùng đồng ý	Dữ liệu cá nhân trẻ em
25	Dữ liệu trong tuyển dụng, quản lý người lao động	Dữ liệu nhân sự
26	Thông tin sức khỏe và kinh doanh bảo hiểm	—
27	Tài chính, ngân hàng, thông tin tín dụng; không chấm điểm tín dụng khi chưa đồng ý	—
28	Kinh doanh dịch vụ quảng cáo, quảng cáo theo hành vi	—
29	Mạng xã hội, dịch vụ truyền thông trực tuyến; cookies, “không theo dõi”	—
30	Dữ liệu lớn, AI, chuỗi khối, vũ trụ ảo, điện toán đám mây; phân loại rủi ro AI	Khử nhận dạng dữ liệu
31	Dữ liệu vị trí và dữ liệu sinh trắc học	Dữ liệu sinh trắc học
32	Ghi âm, ghi hình tại nơi công cộng, hoạt động công cộng	Camera giám sát
33	Lực lượng bảo vệ dữ liệu; nghĩa vụ chỉ định nhân sự hoặc thuê dịch vụ	DPO, dịch vụ xử lý dữ liệu
34	Tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân	—
35	Kiểm tra hoạt động bảo vệ dữ liệu cá nhân	—
36	Trách nhiệm quản lý nhà nước; Bộ Công an là cơ quan đầu mối	—
37	Trách nhiệm của bên kiểm soát, bên xử lý, bên kiểm soát và xử lý	Bên kiểm soát và bên xử lý, hợp đồng xử lý dữ liệu (DPA)
38	Hiệu lực từ 01/01/2026; doanh nghiệp nhỏ, khởi nghiệp được lựa chọn trong 05 năm; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập DPIA, chỉ định nhân sự	DPIA, DPO
39	Chuyển tiếp từ Nghị định 13/2023: không phải xin đồng ý lại, hồ sơ đã tiếp nhận vẫn dùng được	Sự đồng ý (consent)

Luật Bảo vệ dữ liệu cá nhân 2025