Nghị định 13/2023 về bảo vệ dữ liệu cá nhân (PDPL) có hiệu lực từ ngày 01/7/2023 và đang được triển khai mạnh mẽ trong giai đoạn 2025-2026. Đây là bước tiến quan trọng đưa Việt Nam tiệm cận các chuẩn mực quốc tế về bảo vệ quyền riêng tư. Các cơ quan chức năng đang tăng cường giám sát và xử lý các vi phạm.
Đối tượng và phạm vi áp dụng
PDPL áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân tại Việt Nam và xử lý dữ liệu của công dân Việt Nam tại nước ngoài. Đối tượng phải tuân thủ rất rộng: doanh nghiệp mọi quy mô từ tập đoàn lớn đến hộ kinh doanh có thu thập thông tin khách hàng; cơ quan nhà nước; tổ chức phi lợi nhuận; cá nhân hoạt động kinh doanh online. Phạm vi dữ liệu được bảo vệ: dữ liệu cá nhân thông thường (họ tên, ngày sinh, địa chỉ, số điện thoại, email) và dữ liệu cá nhân nhạy cảm (quan điểm chính trị, tôn giáo, sức khoẻ, gen, dấu vân tay, dữ liệu trẻ em).
Các nghĩa vụ chính của tổ chức xử lý dữ liệu
PDPL quy định nhiều nghĩa vụ quan trọng. Có sự đồng ý của chủ thể dữ liệu trước khi thu thập, xử lý - sự đồng ý phải rõ ràng, cụ thể, có thể thu hồi. Thông báo rõ ràng về mục đích, phạm vi, thời gian xử lý dữ liệu. Bảo mật dữ liệu bằng các biện pháp kỹ thuật và quản trị phù hợp. Thông báo cho chủ thể dữ liệu và cơ quan chức năng trong 72 giờ khi có vi phạm bảo mật. Bổ nhiệm Cán bộ Bảo vệ Dữ liệu (DPO) trong một số trường hợp. Lưu trữ dữ liệu trong nước với một số loại dữ liệu nhạy cảm. Thực hiện đánh giá tác động bảo vệ dữ liệu cho các hoạt động có rủi ro cao.
Quyền của chủ thể dữ liệu
PDPL trao nhiều quyền quan trọng cho cá nhân. Quyền được biết: được thông báo về việc dữ liệu của mình đang được thu thập, xử lý. Quyền truy cập: được xem dữ liệu của mình mà tổ chức đang lưu trữ. Quyền chỉnh sửa: yêu cầu sửa các thông tin sai. Quyền xoá: yêu cầu xoá dữ liệu trong các trường hợp luật định. Quyền hạn chế xử lý: yêu cầu ngừng xử lý dữ liệu trong khi đang giải quyết tranh chấp. Quyền chuyển giao: yêu cầu cung cấp bản sao dữ liệu để chuyển sang tổ chức khác. Quyền phản đối: phản đối việc xử lý dữ liệu trong các trường hợp luật định. Quyền khiếu nại: với cơ quan có thẩm quyền khi quyền bị vi phạm.
Chế tài và mức phạt
PDPL quy định chế tài rất nặng. Mức phạt hành chính tối đa lên tới 5% doanh thu hàng năm tại Việt Nam - mức rất nghiêm khắc, có thể lên tới nhiều tỷ đồng với doanh nghiệp lớn. Các biện pháp khắc phục: yêu cầu chấm dứt xử lý dữ liệu trái phép; tiêu huỷ dữ liệu thu thập trái phép; công khai vi phạm trên các phương tiện thông tin đại chúng. Trường hợp nghiêm trọng (làm lộ dữ liệu hàng triệu người, sử dụng dữ liệu cho mục đích phạm tội): có thể truy cứu trách nhiệm hình sự theo các điều khoản liên quan của Bộ luật Hình sự. Năm 2025-2026 đã có một số vụ việc bị xử phạt nghiêm khắc, là tín hiệu cảnh báo cho các doanh nghiệp khác.
Đề xuất hành động cho doanh nghiệp
Để tuân thủ PDPL, doanh nghiệp cần thực hiện đồng bộ nhiều biện pháp. Cập nhật chính sách: sửa đổi Điều khoản dịch vụ và Chính sách bảo mật trên website/ứng dụng theo chuẩn PDPL. Hệ thống thu thập sự đồng ý: triển khai cookie banner phù hợp, form đồng ý rõ ràng cho mọi việc thu thập dữ liệu. Phân loại dữ liệu: xác định các loại dữ liệu đang lưu trữ, phân biệt dữ liệu thường và dữ liệu nhạy cảm. Bảo mật kỹ thuật: mã hoá dữ liệu, kiểm soát truy cập, sao lưu an toàn, giám sát hệ thống. Quy trình ứng phó sự cố: chuẩn bị quy trình thông báo trong 72 giờ khi có vi phạm. Đào tạo nhân viên: định kỳ về quy định và biện pháp bảo vệ. Hợp đồng với bên thứ ba: cập nhật hợp đồng với các nhà cung cấp dịch vụ có xử lý dữ liệu (cloud, marketing, IT) theo yêu cầu PDPL.
Bài viết mang tính tham khảo, vui lòng liên hệ luật sư để được tư vấn chính xác theo trường hợp cụ thể.
Thông tin liên quan
Doanh nghiệp nhỏ có cần tuân thủ PDPL không?
Có. PDPL áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân, không phân biệt quy mô. Tuy nhiên mức độ tuân thủ phù hợp với quy mô và loại hình hoạt động. Doanh nghiệp nhỏ tối thiểu cần: có Chính sách bảo mật trên website/ứng dụng nêu rõ việc thu thập, sử dụng dữ liệu; có hệ thống thu thập sự đồng ý của khách hàng; bảo mật cơ bản (mật khẩu mạnh, không chia sẻ dữ liệu khách hàng); xoá dữ liệu khi không cần thiết. Không nhất thiết phải có DPO chuyên trách, có thể giao cho 1 nhân viên kiêm nhiệm có kiến thức về bảo vệ dữ liệu. Đầu tư khoảng 10-30 triệu đồng để có hệ thống tuân thủ cơ bản là hợp lý cho doanh nghiệp nhỏ.
Khách hàng yêu cầu xoá dữ liệu, có bắt buộc phải làm không?
Có nghĩa vụ nhưng có ngoại lệ. Theo PDPL, chủ thể dữ liệu có quyền yêu cầu xoá trong các trường hợp: dữ liệu không còn cần thiết cho mục đích đã thu thập; chủ thể rút lại sự đồng ý; xử lý vi phạm pháp luật; pháp luật yêu cầu xoá. Tuy nhiên có các trường hợp được giữ lại dữ liệu: thực hiện nghĩa vụ pháp lý (hồ sơ thuế, kế toán phải lưu 10 năm); thực hiện hợp đồng đang còn hiệu lực; bảo vệ quyền lợi hợp pháp của tổ chức (lưu hồ sơ tranh chấp); phục vụ lợi ích công cộng. Doanh nghiệp cần phản hồi yêu cầu trong 30 ngày, nêu rõ có chấp nhận xoá hay không, lý do nếu không xoá. Có thể xoá một phần hoặc ẩn danh hoá thay vì xoá hoàn toàn.
Có thể lưu trữ dữ liệu khách hàng trên cloud của nước ngoài không?
Có giới hạn. PDPL không cấm hoàn toàn việc lưu trữ dữ liệu ở nước ngoài, nhưng có các yêu cầu. Bắt buộc lưu trong nước: dữ liệu thuộc bí mật nhà nước; dữ liệu phục vụ quản lý nhà nước; dữ liệu cá nhân nhạy cảm của công dân Việt Nam trong một số lĩnh vực. Có thể lưu ở nước ngoài (với điều kiện): thực hiện đánh giá tác động bảo vệ dữ liệu; thông báo Bộ Công an; có cơ chế bảo vệ tương đương; có hợp đồng với bên cung cấp dịch vụ cloud về tuân thủ PDPL. AWS, Google Cloud, Microsoft Azure đều đã có khu vực Việt Nam (Vietnam Region) để hỗ trợ doanh nghiệp tuân thủ. Đối với doanh nghiệp xử lý dữ liệu quy mô lớn, nên ưu tiên các giải pháp lưu trữ trong nước.
Cá nhân bị xâm phạm quyền riêng tư có thể đòi bồi thường không?
Có nhiều phương án. Khiếu nại đến cơ quan có thẩm quyền: theo PDPL, có thể khiếu nại đến Bộ Công an hoặc cơ quan có thẩm quyền địa phương; cơ quan này có thể xử phạt tổ chức vi phạm. Khởi kiện đòi bồi thường: theo Bộ luật Dân sự 2015, cá nhân bị xâm phạm danh dự, nhân phẩm, đời tư có quyền khởi kiện đòi bồi thường thiệt hại; bao gồm cả thiệt hại vật chất (chi phí khắc phục, mất thu nhập) và tổn thất tinh thần. Tố cáo hình sự: trong trường hợp nghiêm trọng (cố ý làm lộ dữ liệu để vu khống, bán dữ liệu trái phép), có thể truy cứu hình sự về tội "Đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông" hoặc "Tội làm nhục người khác". Lưu ý: chứng minh thiệt hại cụ thể từ việc lộ dữ liệu cá nhân có thể khó khăn - tham vấn luật sư để có chiến lược pháp lý phù hợp.