Luật Dữ liệu 60/2024/QH15: tóm tắt

QUỐC HỘI _______ Luật số: 60/2024/QH15

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc

LUẬT

DỮ LIỆU

Cơ quan ban hành: Quốc hội khóa XV, Kỳ họp thứ 8
Người ký: Chủ tịch Quốc hội Trần Thanh Mẫn
Ngày thông qua: 30/11/2024 | Ngày có hiệu lực: 01/07/2025 (Điều 45)
Cấu trúc: 5 chương, 46 điều
Sửa đổi luật khác (Điều 44): bổ sung hai khoản phí khai thác cơ sở dữ liệu vào Danh mục phí, lệ phí kèm Luật Phí và lệ phí; sửa điểm a khoản 4 Điều 42, bãi bỏ khoản 8 Điều 3 và Điều 41 Luật Giao dịch điện tử số 20/2023/QH15
Văn bản hướng dẫn: Nghị định 160/2025/NĐ-CP (Quỹ Phát triển dữ liệu quốc gia); Nghị định 165/2025/NĐ-CP (quy định chi tiết, khoản 2 Điều 16 đã được sửa bởi khoản 3 Điều 42 Nghị định 356/2025/NĐ-CP); Nghị định 169/2025/NĐ-CP (khoa học, công nghệ, đổi mới sáng tạo và sản phẩm, dịch vụ về dữ liệu); Quyết định 20/2025/QĐ-TTg (danh mục dữ liệu quan trọng, dữ liệu cốt lõi); Nghị định 314/2026/NĐ-CP (hoạt động của sàn dữ liệu)
Xử phạt vi phạm hành chính: Nghị định 363/2026/NĐ-CP, hiệu lực từ 11/11/2026
Đăng Công báo: số 1523 + 1524 ngày 29/12/2024
Nguồn chính thức: Bản Công báo trên Cổng TTĐT Chính phủ (PDF)

Lưu ý: Trang này là tóm tắt do LexData biên soạn nhằm phục vụ tra cứu nhanh, không phải toàn văn và không thay thế văn bản chính thức. Phần chi tiết tập trung vào các quy định áp dụng cho doanh nghiệp (Điều 3, 4, 10, 13, 14, 17, 18, 22, 23, 25, 26, 27, 39–43). Các điều về Trung tâm dữ liệu quốc gia và Cơ sở dữ liệu tổng hợp quốc gia (Chương III) chỉ được tóm lược. Nội dung được đối chiếu với bản đăng Công báo đến ngày 17/10/2026.

Phạm vi và cấu trúc

Luật quy định về dữ liệu số; xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng dữ liệu số; Trung tâm dữ liệu quốc gia; Cơ sở dữ liệu tổng hợp quốc gia; sản phẩm, dịch vụ về dữ liệu số; quản lý nhà nước về dữ liệu số và quyền, nghĩa vụ của cơ quan, tổ chức, cá nhân liên quan (Điều 1). Luật áp dụng với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; và cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu số tại Việt Nam (Điều 2).

Khác với Luật Bảo vệ dữ liệu cá nhân 2025, Luật Dữ liệu điều chỉnh mọi dữ liệu số, gồm cả dữ liệu không phải dữ liệu cá nhân như dữ liệu giao dịch, dữ liệu vận hành, dữ liệu về tổ chức.

Chương	Nội dung	Điều
I	Quy định chung (khái niệm, áp dụng luật, nguyên tắc, chính sách, quản lý nhà nước, hành vi bị cấm)	1–10
II	Xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng dữ liệu; Quỹ phát triển dữ liệu quốc gia	11–29
III	Trung tâm dữ liệu quốc gia; Cơ sở dữ liệu tổng hợp quốc gia	30–38
IV	Sản phẩm, dịch vụ về dữ liệu	39–43
V	Điều khoản thi hành	44–46

Khái niệm chính (Điều 3)

Khái niệm	Định nghĩa tóm lược	Khoản
Dữ liệu số (dữ liệu)	Dữ liệu về sự vật, hiện tượng, sự kiện dưới dạng âm thanh, hình ảnh, chữ số, chữ viết, ký hiệu thể hiện dưới dạng kỹ thuật số	1
Dữ liệu dùng chung, dùng riêng, dữ liệu mở	Ba loại theo tính chất chia sẻ; dùng chung và dùng riêng gắn với cơ quan Đảng, Nhà nước, Mặt trận và tổ chức chính trị - xã hội; dữ liệu mở là dữ liệu mọi người đều được tiếp cận, khai thác	2–4
Dữ liệu gốc	Dữ liệu tạo lập trong quá trình hoạt động hoặc từ số hóa bản chính giấy tờ, tài liệu	5
Dữ liệu quan trọng	Dữ liệu có thể tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng, thuộc danh mục do Thủ tướng ban hành	6
Dữ liệu cốt lõi	Dữ liệu quan trọng trực tiếp tác động đến các lĩnh vực trên, thuộc danh mục do Thủ tướng ban hành	7
Xử lý dữ liệu	Quá trình tiếp nhận, chuyển đổi, tổ chức dữ liệu và các hoạt động khác về dữ liệu	8
Chủ thể dữ liệu	Cơ quan, tổ chức, cá nhân được dữ liệu phản ánh (rộng hơn chủ thể dữ liệu cá nhân của Luật 91/2025)	12
Chủ quản dữ liệu	Cơ quan, tổ chức, cá nhân xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của chủ sở hữu dữ liệu	13
Chủ sở hữu dữ liệu	Cơ quan, tổ chức, cá nhân có quyền quyết định việc xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng và trao đổi giá trị của dữ liệu do mình sở hữu	14
Quyền của chủ sở hữu dữ liệu	Là quyền tài sản theo pháp luật dân sự	15

Áp dụng Luật Dữ liệu và luật khác (Điều 4)

Luật khác ban hành trước ngày Luật Dữ liệu có hiệu lực mà có quy định về hoạt động dữ liệu không trái nguyên tắc của Luật Dữ liệu thì thực hiện theo luật đó (khoản 1).
Luật khác ban hành sau ngày đó mà có quy định khác thì phải nêu rõ nội dung nào thực hiện hoặc không thực hiện theo Luật Dữ liệu (khoản 2).
Với dữ liệu cá nhân, khoản 4 Điều 5 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: đã đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật 91 thì không phải đánh giá rủi ro, đánh giá tác động chuyển dữ liệu xuyên biên giới theo pháp luật về dữ liệu.

Nguyên tắc, chính sách và quản lý nhà nước (Điều 5–9)

Điều 5 đặt các nguyên tắc: tuân thủ Hiến pháp và pháp luật, bảo đảm quyền con người; công khai, minh bạch, bình đẳng trong tiếp cận dữ liệu; dữ liệu chính xác, toàn vẹn, an toàn; bảo vệ dữ liệu đồng bộ với phát triển dữ liệu. Nhà nước khuyến khích tổ chức, cá nhân trong và ngoài nước đầu tư, xây dựng trung tâm lưu trữ, xử lý dữ liệu tại Việt Nam và phát triển thị trường dữ liệu (khoản 5 Điều 6). Yêu cầu cung cấp dữ liệu của cơ quan thực thi pháp luật hoặc tư pháp nước ngoài đối với dữ liệu của tổ chức, cá nhân Việt Nam do cơ quan có thẩm quyền của Việt Nam xem xét, quyết định (khoản 3 Điều 7).

Bộ Công an là cơ quan đầu mối quản lý nhà nước về dữ liệu, trừ dữ liệu thuộc phạm vi Bộ Quốc phòng (điểm b, c khoản 2 Điều 8).

Hành vi bị nghiêm cấm (Điều 10)

Lợi dụng xử lý, quản trị dữ liệu, kinh doanh sản phẩm, dịch vụ về dữ liệu để xâm phạm lợi ích quốc gia, quốc phòng, an ninh, trật tự, an toàn xã hội, lợi ích công cộng, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
Cản trở, ngăn chặn trái pháp luật quá trình xử lý, quản trị dữ liệu; tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin.
Giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Mặt trận và các tổ chức chính trị - xã hội.
Cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo quy định của pháp luật.

Thu thập, phân loại và lưu trữ dữ liệu (Điều 11–14)

Thu thập, tạo lập (khoản 3 Điều 11): tổ chức, cá nhân được thu thập, tạo lập dữ liệu phục vụ hoạt động của mình phù hợp pháp luật, được bảo vệ quyền của chủ sở hữu dữ liệu và chịu trách nhiệm về dữ liệu do mình thu thập.
Phân loại (Điều 13): cơ quan nhà nước phân loại theo tính chất chia sẻ, theo tính chất quan trọng và theo tiêu chí khác (khoản 1). Chủ sở hữu dữ liệu, chủ quản dữ liệu không phải cơ quan nhà nước phải phân loại dữ liệu theo tính chất quan trọng thành dữ liệu cốt lõi, dữ liệu quan trọng, dữ liệu khác và được phân loại thêm theo tiêu chí khác (khoản 2). Chính phủ quy định tiêu chí xác định (khoản 3), hiện ở Điều 3, Điều 4 Nghị định 165/2025/NĐ-CP.
Lưu trữ (Điều 14): tổ chức, cá nhân là chủ sở hữu dữ liệu tự quyết định việc lưu trữ dữ liệu của mình; lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng phải tuân thủ khoản 3 Điều 27 (khoản 2). Chủ sở hữu dữ liệu được thỏa thuận lưu trữ trên hạ tầng Trung tâm dữ liệu quốc gia bằng hợp đồng dịch vụ (khoản 4). Theo khoản 1 Điều 5 Nghị định 165/2025/NĐ-CP, chủ sở hữu dữ liệu quy định thời hạn lưu trữ cụ thể với dữ liệu do mình thu thập, tạo lập.

Tiêu chí của Nghị định 165/2025/NĐ-CP. Dữ liệu quan trọng được xác định theo mức độ có thể gây tác động nguy hiểm khi bị thu thập, sử dụng trái phép; dữ liệu cốt lõi theo mức trực tiếp gây tác động nguy hiểm; cả hai không bao gồm bí mật nhà nước. Bốn nhóm tác động: an ninh quốc gia, chủ quyền; đối ngoại, an ninh năng lượng, hàng hải; kinh tế vĩ mô, ngành kinh tế quan trọng, tiền tệ, thương mại, cung ứng hàng hóa thiết yếu; tính mạng, sức khỏe, tài sản, quyền và lợi ích của cơ quan, tổ chức, cá nhân, phòng chống dịch bệnh, cung ứng lao động, dịch vụ công (Điều 3, Điều 4).

Danh mục theo Quyết định 20/2025/QĐ-TTg (hiệu lực 01/07/2025): 26 mục dữ liệu cốt lõi và 18 mục dữ liệu quan trọng; danh mục dữ liệu quan trọng bao gồm toàn bộ dữ liệu cốt lõi (mục II.1 Phụ lục). Phần lớn các mục là dữ liệu chưa công khai do cơ quan nhà nước thu thập, quản lý. Hai mục “dữ liệu về tổ chức, công dân chưa công khai” tính theo quy mô, không gắn với cơ quan nhà nước và không nêu chủ thể nắm giữ:

Loại dữ liệu chưa công khai	Dữ liệu cốt lõi (mục I.26)	Dữ liệu quan trọng (mục II.18)
Dữ liệu công dân cơ bản	từ 1.000.000 công dân Việt Nam	từ 100.000 công dân Việt Nam
Dữ liệu công dân nhạy cảm	từ 100.000 công dân Việt Nam	từ 10.000 công dân Việt Nam
Dữ liệu về tài khoản ngân hàng, lịch sử thanh toán, nghĩa vụ nợ của doanh nghiệp, tổ chức Việt Nam	từ 100.000 doanh nghiệp, tổ chức	từ 10.000 doanh nghiệp, tổ chức

Quyết định 20/2025/QĐ-TTg không định nghĩa “dữ liệu công dân cơ bản”, “dữ liệu công dân nhạy cảm”. Bộ, cơ quan ngang bộ, Ủy ban nhân dân cấp tỉnh hướng dẫn việc phân loại trong lĩnh vực, địa bàn quản lý (điểm a khoản 3 Điều 2 Quyết định 20/2025/QĐ-TTg).

Quản trị, truy cập, kết nối và chia sẻ dữ liệu (Điều 15–17)

Chủ sở hữu, chủ quản dữ liệu không phải cơ quan nhà nước tự quản trị, quản lý dữ liệu theo điều kiện thực tế (khoản 4 Điều 15).
Truy cập, truy xuất phải đúng quy trình kỹ thuật, an ninh, an toàn và đúng mục đích (khoản 1 Điều 16). Nghị định 165/2025/NĐ-CP định nghĩa truy cập, truy xuất và đặt nguyên tắc chỉ truy cập trong phạm vi quyền được giao, cần thiết cho mục đích xác định (Điều 6).
Chủ sở hữu, chủ quản dữ liệu kết nối, chia sẻ dữ liệu cho người dùng theo pháp luật hoặc theo thỏa thuận, trực tiếp hoặc qua bên trung gian (khoản 1 Điều 17). Cơ quan nhà nước hỗ trợ chủ sở hữu dữ liệu khi chia sẻ dữ liệu cho cơ quan nhà nước (khoản 4 Điều 17; Điều 7 Nghị định 165).

Cung cấp dữ liệu cho cơ quan nhà nước (Điều 18)

Tổ chức, cá nhân được khuyến khích cung cấp dữ liệu cho cơ quan nhà nước (khoản 1). Tổ chức, cá nhân phải cung cấp dữ liệu khi cơ quan có thẩm quyền yêu cầu, không cần chủ thể dữ liệu đồng ý, trong bốn trường hợp (khoản 2):

ứng phó với tình trạng khẩn cấp;
có nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp;
thảm họa;
phòng, chống bạo loạn, khủng bố.

Cơ quan nhận dữ liệu phải sử dụng đúng mục đích, bảo đảm an ninh, an toàn, hủy dữ liệu khi không còn cần và thông báo cho chủ thể dữ liệu, bên đã cung cấp (khoản 3).

Thủ tục theo Điều 8 Nghị định 165/2025/NĐ-CP: yêu cầu phải bằng văn bản hoặc hình thức có xác nhận, nêu loại dữ liệu, mức độ chi tiết, khối lượng, tần suất, phương thức, căn cứ pháp lý, mục đích, thời hạn sử dụng và thời hạn cung cấp, đồng thời thông báo chế tài nếu không thực hiện (khoản 2). Việc bàn giao lập thành biên bản (điểm c khoản 3). Bên cung cấp được đề nghị sửa đổi, rút lại yêu cầu trái luật hoặc ngoài phạm vi dữ liệu mình quản lý (khoản 5). Người có thẩm quyền yêu cầu: Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân cấp tỉnh, Giám đốc Trung tâm dữ liệu quốc gia, Giám đốc Công an cấp tỉnh (khoản 6).

Phân tích, xác nhận, công khai, mã hóa dữ liệu (Điều 19–22)

Tổ chức, cá nhân được phân tích, tổng hợp dữ liệu từ nguồn được phép truy cập, sử dụng (khoản 2 Điều 19).
Xác nhận, xác thực dữ liệu do chủ sở hữu, chủ quản dữ liệu hoặc tổ chức cung cấp dịch vụ xác thực điện tử thực hiện (Điều 20; Điều 9 Nghị định 165).
Chủ sở hữu, chủ quản dữ liệu tự quyết định việc mã hóa, giải mã (khoản 3 Điều 22). Cơ quan có thẩm quyền được giải mã không cần chủ sở hữu, chủ quản dữ liệu đồng ý trong bốn trường hợp tương tự Điều 18 (khoản 4 Điều 22); Bộ trưởng Bộ Công an quyết định hoặc phân cấp, trừ lĩnh vực quân sự, quốc phòng (khoản 2 Điều 11 Nghị định 165).

Chuyển, xử lý dữ liệu xuyên biên giới (Điều 23)

Tổ chức, cá nhân được tự do chuyển dữ liệu từ nước ngoài về Việt Nam và xử lý dữ liệu của nước ngoài tại Việt Nam (khoản 1). Chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới gồm (khoản 2):

chuyển dữ liệu đang lưu trữ tại Việt Nam tới hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam;
cơ quan, tổ chức, cá nhân Việt Nam chuyển dữ liệu cho tổ chức, cá nhân nước ngoài;
cơ quan, tổ chức, cá nhân Việt Nam sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu.

Quy trình theo Điều 12 Nghị định 165/2025/NĐ-CP:

Nội dung	Dữ liệu cốt lõi	Dữ liệu quan trọng	Căn cứ
Đánh giá tác động	Bắt buộc, 01 lần cho suốt thời gian hoạt động, cập nhật khi có thay đổi	Như cột bên	khoản 1, 8
Hồ sơ	Báo cáo theo Mẫu số 02 và văn bản liên quan; hợp đồng với bên nhận có các nội dung bắt buộc	Như cột bên	khoản 3, 4
Gửi Bộ Công an (hoặc Bộ Quốc phòng)	Gửi hồ sơ để đánh giá; kết quả trong 10 ngày kể từ khi đủ hồ sơ hợp lệ, phức tạp không quá 15 ngày; chỉ chuyển sau khi có kết quả đạt	Gửi 01 bản chính trước 15 ngày khi xử lý; không cần chấp thuận trước	khoản 5, 6
Ngoại lệ (khẩn cấp; quản lý nhân sự xuyên biên giới; thực sự cần để ký, thực hiện hợp đồng)	Không cần chấp thuận; gửi đánh giá tác động sau khi thực hiện	Không phải thông báo trước; gửi đánh giá tác động sau khi thực hiện	khoản 11, 12

Khối lượng dữ liệu chuyển ra nước ngoài được tính cộng dồn từ ngày 01/07/2025 (khoản 10 Điều 12). Bộ Công an, Bộ Quốc phòng có quyền yêu cầu ngừng chuyển khi dữ liệu bị dùng xâm phạm an ninh, lợi ích quốc gia hoặc bên chuyển vi phạm (khoản 9). Thông báo gửi hồ sơ theo Mẫu 01a (cá nhân) và 01b (tổ chức) gửi Trung tâm Dữ liệu quốc gia, Bộ Công an.

Dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân. Khoản 2 Điều 16 Nghị định 165/2025/NĐ-CP, đã được sửa bởi khoản 3 Điều 42 Nghị định 356/2025/NĐ-CP: việc bảo vệ các dữ liệu này thực hiện theo Luật Bảo vệ dữ liệu cá nhân; khi chuyển, xử lý xuyên biên giới, chủ quản dữ liệu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo pháp luật về bảo vệ dữ liệu cá nhân, không phải đánh giá rủi ro, đánh giá tác động theo Nghị định 165.

Rủi ro, bảo vệ dữ liệu và xóa dữ liệu (Điều 25–27)

Rủi ro (Điều 25): gồm rủi ro quyền riêng tư, an ninh mạng, nhận dạng và quản lý truy cập, rủi ro khác (khoản 1). Chủ quản dữ liệu không phải cơ quan nhà nước tự đánh giá rủi ro, áp dụng biện pháp bảo vệ, khắc phục và thông báo cho chủ thể dữ liệu, bên liên quan (khoản 3). Chủ quản dữ liệu cốt lõi, dữ liệu quan trọng phải định kỳ đánh giá rủi ro và thông báo tới đơn vị chuyên trách an ninh mạng, an toàn thông tin thuộc Bộ Công an, Bộ Quốc phòng (khoản 4).
Xóa, hủy (Điều 26): chủ thể dữ liệu có quyền yêu cầu thu hồi, xóa, hủy dữ liệu của mình đã cung cấp, trừ khi luật có quy định khác (khoản 1). Theo điểm b khoản 1 Điều 13 Nghị định 165, việc xóa, hủy thực hiện trong 72 giờ sau khi có yêu cầu, trừ trường hợp pháp luật có quy định khác.
Bảo vệ (Điều 27): biện pháp áp dụng trong toàn bộ quá trình xử lý: chính sách, quản lý hoạt động xử lý, giải pháp kỹ thuật, nhân lực (khoản 1). Chủ sở hữu, chủ quản dữ liệu cốt lõi, dữ liệu quan trọng phải tuân thủ quy định về bảo vệ dữ liệu (khoản 3).

Nghĩa vụ chi tiết với dữ liệu cốt lõi, dữ liệu quan trọng (Nghị định 165/2025/NĐ-CP):

Nghĩa vụ	Căn cứ
Thiết lập hệ thống quản lý bảo vệ dữ liệu trong toàn bộ quá trình xử lý	khoản 1 Điều 17
Quy trình thu thập; quy trình lưu trữ có sao lưu, phục hồi, ghi nhật ký; kiểm soát truy cập theo đặc quyền tối thiểu	khoản 2, 3, 4 Điều 17
Ghi nhật ký xử lý dữ liệu, lưu ít nhất 06 tháng	khoản 10 Điều 17
Đánh giá rủi ro hằng năm, lập và lưu Báo cáo theo Mẫu số 06, sẵn sàng cho kiểm tra (trừ khi đã lập hồ sơ chuyển dữ liệu xuyên biên giới)	khoản 11 Điều 17
Xóa, hủy có tài liệu chứng minh không thể khôi phục	khoản 7 Điều 17
Khi tổ chức lại, giải thể: báo cáo phương án xử lý dữ liệu và bên tiếp nhận cho cơ quan có thẩm quyền	khoản 8 Điều 17
Ủy thác xử lý: hợp đồng, xác minh năng lực bên nhận, mã hóa, ký số; lưu hồ sơ ủy thác dữ liệu quan trọng ít nhất 3 năm	khoản 3 Điều 16; khoản 9 Điều 17
Người chịu trách nhiệm bảo vệ dữ liệu và bộ phận bảo vệ an toàn dữ liệu; không bố trí người có tiền án trong lĩnh vực công nghệ thông tin, mạng viễn thông; thỏa thuận bảo mật với nhân viên; đào tạo hằng năm	Điều 18
Báo cáo sự cố liên quan đến dữ liệu cốt lõi, quan trọng cho Bộ Công an, Bộ Quốc phòng sớm nhất có thể; diễn tập khẩn cấp 06 tháng/lần	khoản 4, 8 Điều 19

Sản phẩm, dịch vụ về dữ liệu và sàn dữ liệu (Điều 39–43)

Trung gian dữ liệu (Điều 40): sản phẩm, dịch vụ thiết lập quan hệ thương mại giữa chủ thể, chủ sở hữu dữ liệu và bên sử dụng để trao đổi, chia sẻ, truy cập dữ liệu; tổ chức cung cấp phải đăng ký hoạt động theo pháp luật về đầu tư, trừ dịch vụ trong nội bộ tổ chức. Theo Nghị định 169/2025/NĐ-CP, tổ chức cung cấp dịch vụ trung gian dữ liệu giữa bên sử dụng với cơ quan nhà nước phải có Giấy chứng nhận đủ điều kiện (khoản 3 Điều 23), với điều kiện người đại diện là công dân Việt Nam thường trú tại Việt Nam, ít nhất 05 nhân sự có trình độ đại học và chứng chỉ phù hợp, hạ tầng đặt tại Việt Nam và ký quỹ không dưới 05 tỷ đồng (Điều 25). Dịch vụ điện toán đám mây, trung tâm dữ liệu không thuộc phạm vi này (khoản 4 Điều 23).
Phân tích, tổng hợp dữ liệu (Điều 41): tổ chức kinh doanh sản phẩm, dịch vụ có thể gây nguy hại đến quốc phòng, an ninh, trật tự, đạo đức xã hội, sức khỏe cộng đồng phải đăng ký hoạt động theo pháp luật về đầu tư. Nghị định 169/2025/NĐ-CP chia bốn cấp độ theo mức độ dùng trí tuệ nhân tạo (Điều 27) và yêu cầu Giấy chứng nhận đủ điều kiện kinh doanh khi sản phẩm cấp độ 3, 4 dùng trong hệ thống thông tin của cơ quan nhà nước, có kết nối với cơ sở dữ liệu quốc gia, chuyên ngành, hoặc sử dụng dữ liệu cốt lõi, dữ liệu quan trọng (khoản 1 Điều 28).
Sàn dữ liệu (Điều 42): tổ chức cung cấp dịch vụ sàn dữ liệu là đơn vị sự nghiệp công lập, doanh nghiệp nhà nước đáp ứng điều kiện và được cấp phép (khoản 2). Dữ liệu không được giao dịch: dữ liệu gây nguy hại đến quốc phòng, an ninh, đối ngoại, cơ yếu; dữ liệu chưa được chủ thể dữ liệu đồng ý, trừ khi luật có quy định khác; dữ liệu khác bị cấm (khoản 3). Nghị định 169/2025/NĐ-CP liệt kê thêm dữ liệu thuộc danh mục cốt lõi, quan trọng là dữ liệu không được giao dịch (điểm a khoản 6 Điều 33). Nghị định 314/2026/NĐ-CP (hiệu lực 25/09/2026) quy định Sàn dữ liệu quốc gia do Trung tâm dữ liệu quốc gia vận hành, cấm lợi dụng sàn để mua bán dữ liệu cá nhân và chỉ cho giao dịch dữ liệu có nguồn gốc từ dữ liệu cá nhân khi đã khử nhận dạng (khoản 6 Điều 4); pháp nhân nước ngoài muốn giao dịch trên sàn phải có hiện diện thương mại, chi nhánh hoặc văn phòng đại diện tại Việt Nam (khoản 2 Điều 16).
Trách nhiệm chung (Điều 43): cung cấp dịch vụ bằng hợp đồng; bảo đảm kênh tiếp nhận thông tin thông suốt; quản lý, giám sát an toàn, bảo mật dữ liệu; tuân thủ pháp luật về an toàn thông tin mạng, an ninh mạng, giao dịch điện tử.
Tổ chức cung cấp sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu được hưởng ưu đãi như doanh nghiệp công nghệ cao, đổi mới sáng tạo, khởi nghiệp sáng tạo, công nghiệp công nghệ số (khoản 3 Điều 39).

Quỹ phát triển dữ liệu quốc gia và Trung tâm dữ liệu quốc gia (Điều 29–38)

Quỹ phát triển dữ liệu quốc gia là quỹ tài chính nhà nước ngoài ngân sách, không vì lợi nhuận (Điều 29). Nghị định 160/2025/NĐ-CP (hiệu lực 01/07/2025) giao Bộ Công an quản lý Quỹ và quy định hoạt động ủy thác cho vay, hỗ trợ chi phí và đầu tư của Quỹ (Chương IV).
Cơ sở dữ liệu tổng hợp quốc gia do Chính phủ xây dựng, quản lý tập trung tại Trung tâm dữ liệu quốc gia (Điều 33). Tổ chức, cá nhân được tự do khai thác dữ liệu mở; khai thác dữ liệu cá nhân khi có sự đồng ý của Trung tâm dữ liệu quốc gia và của cá nhân là chủ thể dữ liệu; khai thác dữ liệu khác khi Trung tâm đồng ý (điểm c khoản 3 Điều 35). Tổ chức, cá nhân khai thác dữ liệu không phải của mình phải nộp phí theo pháp luật về phí, lệ phí (khoản 3 Điều 38).

Xử phạt vi phạm hành chính

Luật không quy định mức phạt. Nghị định 363/2026/NĐ-CP ngày 19/09/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, có hiệu lực từ 11/11/2026 (Điều 34); tại ngày 17/10/2026 Nghị định này chưa có hiệu lực. Một số điểm chính:

Mức phạt tiền tối đa với cá nhân là 100 triệu đồng; mức trong Chương II là mức cho cá nhân (trừ điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13, khoản 4 Điều 16 là mức cho tổ chức); tổ chức bị phạt gấp đôi (Điều 6). Thời hiệu xử phạt 01 năm (khoản 1 Điều 3).
Không phân loại dữ liệu, hoặc không cập nhật, rà soát kết quả phân loại: 30–50 triệu đồng với tổ chức (điểm a, b khoản 1 Điều 9).
Lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng tại hệ thống, nền tảng đặt ngoài lãnh thổ hoặc do tổ chức nước ngoài quản lý trái quy định: 30–70 triệu đồng với tổ chức (điểm c khoản 2 Điều 10).
Chuyển, xử lý dữ liệu cốt lõi xuyên biên giới khi chưa đánh giá tác động hoặc chưa có văn bản chấp thuận: 60–80 triệu đồng (mức cá nhân) (khoản 3 Điều 19).
Không đánh giá rủi ro định kỳ với dữ liệu cốt lõi, dữ liệu quan trọng: 20–40 triệu đồng (mức cá nhân) (điểm a khoản 2 Điều 22); không thông báo sự cố dữ liệu cốt lõi, quan trọng cho Bộ Công an, Bộ Quốc phòng: 60–100 triệu đồng (mức cá nhân) (điểm a khoản 4 Điều 22).
Hình thức bổ sung gồm đình chỉ hoạt động chuyển, xử lý, kết nối dữ liệu có thời hạn, tước giấy chứng nhận, trục xuất người nước ngoài (khoản 2 Điều 4).
Nghị định 363 không áp dụng cho hành vi thuộc phạm vi xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân (khoản 2 Điều 1); các hành vi đó xử phạt theo Nghị định 330/2026/NĐ-CP.

Văn bản hướng dẫn

Văn bản	Nội dung	Hiệu lực
Nghị định 160/2025/NĐ-CP ngày 29/06/2025	Quỹ Phát triển dữ liệu quốc gia (chi tiết khoản 4 Điều 29)	01/07/2025
Nghị định 165/2025/NĐ-CP ngày 30/06/2025	Quy định chi tiết và biện pháp thi hành Luật: tiêu chí dữ liệu cốt lõi, quan trọng; cung cấp dữ liệu cho cơ quan nhà nước; chuyển, xử lý dữ liệu xuyên biên giới; bảo vệ dữ liệu; Cơ sở dữ liệu tổng hợp quốc gia; Mẫu số 01a đến 07b	01/07/2025; khoản 2 Điều 16 sửa bởi Nghị định 356/2025/NĐ-CP từ 01/01/2026
Nghị định 169/2025/NĐ-CP ngày 30/06/2025	Khoa học, công nghệ, đổi mới sáng tạo, thử nghiệm có kiểm soát; sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu; sàn dữ liệu; giấy chứng nhận đủ điều kiện	01/07/2025
Quyết định 20/2025/QĐ-TTg ngày 01/07/2025	Danh mục dữ liệu quan trọng, dữ liệu cốt lõi	01/07/2025
Nghị định 314/2026/NĐ-CP ngày 08/08/2026	Hoạt động của sàn dữ liệu, Sàn dữ liệu quốc gia, quy trình giao dịch	25/09/2026
Nghị định 363/2026/NĐ-CP ngày 19/09/2026	Xử phạt vi phạm hành chính trong lĩnh vực dữ liệu	11/11/2026

Nghị định 165, 169 và Quyết định 20 do Phó Thủ tướng Nguyễn Chí Dũng ký; Nghị định 160 do Phó Thủ tướng Hồ Đức Phớc ký; Nghị định 314 và 363 do Phó Thủ tướng Hồ Quốc Dũng ký.

Hiệu lực và chuyển tiếp (Điều 45, 46)

Luật có hiệu lực từ 01/07/2025 (Điều 45). Quy định chuyển tiếp chỉ liên quan đến cơ quan quản lý cơ sở dữ liệu quốc gia đã đầu tư hoặc thuê hạ tầng trước ngày Luật có hiệu lực (Điều 46); Luật không có thời hạn chuyển tiếp riêng cho doanh nghiệp.

Nguồn đối chiếu

LexData đối chiếu nội dung trang này với bản Luật 60/2024/QH15 đăng Công báo số 1523 + 1524 ngày 29/12/2024; Nghị định 165/2025/NĐ-CP và Quyết định 20/2025/QĐ-TTg đăng Công báo số 909 + 910 ngày 17/07/2025; Nghị định 169/2025/NĐ-CP đăng Công báo số 889 + 890 ngày 15/07/2025; Nghị định 160/2025/NĐ-CP đăng Công báo số 863 + 864 ngày 10/07/2025; Nghị định 314/2026/NĐ-CP đăng Công báo số 479 ngày 25/08/2026 và Nghị định 363/2026/NĐ-CP đăng Công báo số 530 ngày 02/10/2026.

Xem bài phân tích Luật Dữ liệu: doanh nghiệp tư nhân và FDI phải làm gì và tóm tắt Luật Bảo vệ dữ liệu cá nhân 2025 cho phần dữ liệu cá nhân.

Luật Dữ liệu 2024 (Luật số 60/2024/QH15)