Bảo vệ dữ liệu cá nhân khách hàng: nghĩa vụ doanh nghiệp theo Luật 91/2025/QH15

Luật sư Phạm Văn Duẩn biên soạn dựa trên Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua 26/6/2025, hiệu lực từ 01/01/2026) và Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP). Danh mục chi tiết dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm do Chính phủ ban hành riêng, nội dung đầy đủ chưa được trình bày trong phạm vi bài này; doanh nghiệp nên nhờ luật sư đối chiếu với danh mục cụ thể trước khi phân loại dữ liệu đang thu thập.

Từ 01/01/2026, mọi doanh nghiệp thu thập thông tin khách hàng tại Đồng Nai — kể cả qua website, mạng xã hội, hợp đồng hay chương trình khách hàng thân thiết — đều phải tuân thủ nghĩa vụ bảo vệ dữ liệu cá nhân khách hàng theo Luật 91/2025/QH15, bất kể quy mô doanh nghiệp.

Nếu doanh nghiệp của bạn chưa rà soát quy trình thu thập, lưu trữ dữ liệu khách hàng, luật sư doanh nghiệp tại Công ty Luật Chính Danh có thể hỗ trợ đánh giá và xây dựng chính sách bảo vệ dữ liệu cá nhân phù hợp. Điện thoại, Zalo: 0907 399 266.

Doanh nghiệp nào phải tuân thủ bảo vệ dữ liệu cá nhân khách hàng

Mọi tổ chức, doanh nghiệp thu thập, lưu trữ hoặc sử dụng thông tin khách hàng là cá nhân tại Việt Nam đều phải tuân thủ nghĩa vụ bảo vệ dữ liệu cá nhân khách hàng theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP từ 01/01/2026, không phân biệt quy mô hay lĩnh vực kinh doanh.

Luật 91/2025/QH15 gồm 5 chương, 39 điều, quy định về nguyên tắc, quyền và nghĩa vụ của các bên liên quan đến dữ liệu cá nhân. Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết thi hành, gồm các quy định về sự đồng ý, chuyển dữ liệu ra nước ngoài, đánh giá tác động xử lý dữ liệu cá nhân và thông báo vi phạm.

Theo cách phân loại của Luật 91/2025/QH15, doanh nghiệp thu thập dữ liệu khách hàng thường đóng vai trò bên kiểm soát dữ liệu cá nhân (Điều 37 khoản 1) — là bên quyết định mục đích và phương tiện xử lý dữ liệu.

Phân loại dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

Theo Điều 2 khoản 2 Luật 91/2025/QH15, dữ liệu cá nhân cơ bản là dữ liệu phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường được sử dụng trong giao dịch và quan hệ xã hội thông thường (ví dụ họ tên, số điện thoại, địa chỉ). Theo Điều 2 khoản 3, dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư cá nhân, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của chủ thể dữ liệu.

6 nguyên tắc xử lý dữ liệu cá nhân

Sáu nguyên tắc dưới đây là nền tảng của việc bảo vệ dữ liệu cá nhân khách hàng mà mọi doanh nghiệp cần nắm. Theo Điều 3 Luật 91/2025/QH15, việc xử lý dữ liệu cá nhân phải tuân thủ 6 nguyên tắc: tuân thủ quy định pháp luật; xử lý đúng mục đích và phạm vi đã thông báo; bảo đảm tính chính xác và chỉ lưu trữ trong thời hạn cần thiết.

Ba nguyên tắc còn lại gồm: áp dụng đồng bộ biện pháp bảo vệ về thể chế, kỹ thuật và con người; chủ động phòng ngừa, phát hiện và xử lý vi phạm; và bảo đảm hài hòa giữa lợi ích của chủ thể dữ liệu với lợi ích hợp pháp của các bên khác.

Điều kiện của sự đồng ý xử lý dữ liệu cá nhân hợp lệ

Theo Điều 11 khoản 1 Luật 91/2025/QH15, dữ liệu cá nhân chỉ được thu thập khi có sự đồng ý trước của chủ thể dữ liệu, trừ các trường hợp pháp luật có quy định khác. Nghị định 356/2025/NĐ-CP, Điều 6, hướng dẫn chi tiết: sự đồng ý có thể thể hiện bằng văn bản, ghi âm cuộc gọi, cú pháp tin nhắn, hoặc hình thức điện tử có thể xác minh được; doanh nghiệp phải lưu trữ bằng chứng về sự đồng ý và có nghĩa vụ chứng minh khi có tranh chấp.

Điều 6 khoản 3 Nghị định 356/2025/NĐ-CP cũng quy định rõ: doanh nghiệp không được thiết lập sẵn các lựa chọn đồng ý theo hướng mặc định, và không được sử dụng giao diện gây hiểu lầm để lấy sự đồng ý. Nếu dữ liệu thu thập thuộc loại nhạy cảm, doanh nghiệp phải thông báo rõ cho chủ thể dữ liệu biết trước khi lấy đồng ý (Điều 6 khoản 4).

Chủ thể dữ liệu có quyền rút lại sự đồng ý bất kỳ lúc nào theo Điều 10 Luật 91/2025/QH15; khi nhận được yêu cầu rút lại, doanh nghiệp phải dừng xử lý dữ liệu tương ứng trong thời hạn quy định (xem mục quyền của khách hàng bên dưới).

Trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý

Theo Điều 19 khoản 1 Luật 91/2025/QH15, dữ liệu cá nhân có thể được xử lý mà không cần sự đồng ý của chủ thể trong một số trường hợp, gồm: để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác trong tình huống khẩn cấp; để giải quyết tình trạng khẩn cấp, phòng chống dịch bệnh hoặc tội phạm theo quy định pháp luật.

Ngoài ra còn có trường hợp: khi cơ quan nhà nước có thẩm quyền thực hiện theo chức năng, nhiệm vụ; để thực hiện nghĩa vụ theo hợp đồng đã ký với chủ thể dữ liệu; và một số trường hợp khác do luật quy định.

Quyền của khách hàng và thời hạn phản hồi của doanh nghiệp

Theo Điều 4 khoản 1 Luật 91/2025/QH15, chủ thể dữ liệu (khách hàng) có các quyền: được biết về việc xử lý dữ liệu của mình; đồng ý hoặc không đồng ý; được xem, chỉnh sửa dữ liệu; yêu cầu cung cấp dữ liệu; yêu cầu xóa hoặc hạn chế xử lý dữ liệu; khiếu nại, khởi kiện; và yêu cầu cơ quan có thẩm quyền bảo vệ quyền lợi liên quan đến dữ liệu cá nhân của mình.

Nghị định 356/2025/NĐ-CP, Điều 5, quy định thời hạn doanh nghiệp phải phản hồi và xử lý các yêu cầu này:

Theo Điều 5 Nghị định 356/2025/NĐ-CP, các thời hạn trên có thể được gia hạn thêm một lần, với mức gia hạn tối đa tương ứng 15, 10 hoặc 20 ngày tùy loại yêu cầu.

Trách nhiệm của doanh nghiệp: đánh giá tác động và thông báo vi phạm

Trách nhiệm bảo vệ dữ liệu cá nhân khách hàng không dừng lại ở việc lấy đồng ý; doanh nghiệp còn phải chủ động đánh giá rủi ro và xử lý sự cố. Theo Điều 37 khoản 1 Luật 91/2025/QH15, bên kiểm soát dữ liệu cá nhân (thường là doanh nghiệp thu thập dữ liệu khách hàng) có trách nhiệm quyết định đúng mục đích và phương tiện xử lý, áp dụng biện pháp bảo vệ dữ liệu.

Doanh nghiệp còn phải bảo đảm quyền của chủ thể dữ liệu, thông báo khi có vi phạm, và chịu trách nhiệm bồi thường nếu gây thiệt hại.

Nghị định 356/2025/NĐ-CP, Điều 19, yêu cầu doanh nghiệp xử lý dữ liệu cá nhân ở quy mô nhất định phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân ngay từ khi bắt đầu xử lý, và nộp cho cơ quan có thẩm quyền trong vòng 60 ngày kể từ ngày bắt đầu xử lý.

Nếu doanh nghiệp chuyển dữ liệu cá nhân ra nước ngoài (ví dụ lưu trữ trên máy chủ nước ngoài, dùng dịch vụ điện toán đám mây ở nước ngoài), Điều 17 và 18 yêu cầu lập thêm hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, cũng nộp trong 60 ngày; cơ quan có thẩm quyền phản hồi trong 15 ngày.

Khi xảy ra sự cố lộ, mất dữ liệu cá nhân, Điều 23 Luật 91/2025/QH15 và Điều 28 Nghị định 356/2025/NĐ-CP yêu cầu doanh nghiệp thông báo cho cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện, nếu sự cố có thể gây tổn hại đến quyền và lợi ích của chủ thể dữ liệu.

Riêng với dữ liệu vị trí và dữ liệu sinh trắc học, Điều 29 yêu cầu thông báo trực tiếp cho chủ thể dữ liệu trong 72 giờ, và hồ sơ sự cố phải được lưu giữ tối thiểu 5 năm.

Mức xử phạt vi phạm quy định bảo vệ dữ liệu cá nhân

Theo Điều 8 Luật 91/2025/QH15, tùy tính chất, mức độ vi phạm, tổ chức hoặc cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định pháp luật.

• Hành vi mua, bán dữ liệu cá nhân: phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm (Điều 8 khoản 3);
• Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: phạt tiền tối đa bằng 5% doanh thu của năm trước liền kề; nếu không có doanh thu năm trước hoặc mức tính theo doanh thu thấp hơn 3 tỷ đồng thì áp dụng mức tối đa 3 tỷ đồng (Điều 8 khoản 4);
• Các hành vi vi phạm khác: phạt tiền tối đa 3.000.000.000 đồng (Điều 8 khoản 5);
• Đối với cá nhân vi phạm: mức phạt tối đa bằng một nửa mức phạt áp dụng cho tổ chức (Điều 8 khoản 6).

Doanh nghiệp nhỏ có được miễn trừ một phần không

Nhiều doanh nghiệp nhỏ tại Đồng Nai lầm tưởng quy mô nhỏ thì không cần lo nghĩa vụ bảo vệ dữ liệu cá nhân khách hàng; thực tế nghĩa vụ này vẫn áp dụng, chỉ một phần được miễn trừ có điều kiện. Theo Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp nhỏ có thể được áp dụng miễn trừ một số quy định của Luật trong thời hạn 5 năm kể từ khi bắt đầu hoạt động.

Việc miễn trừ không áp dụng nếu doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm, cung cấp dịch vụ liên quan trực tiếp đến xử lý dữ liệu cá nhân, hoặc đạt quy mô xử lý dữ liệu của 100.000 chủ thể dữ liệu trở lên.

Một tình huống giả định

Giả định Công ty M tại Đồng Nai thu thập số điện thoại, email và địa chỉ của khách hàng qua website bán hàng, đồng thời có mục “đăng ký nhận tin khuyến mãi” được tích sẵn mặc định. Theo Điều 6 khoản 3 Nghị định 356/2025/NĐ-CP, việc tích sẵn lựa chọn đồng ý theo hướng mặc định là không hợp lệ; Công ty M cần sửa lại giao diện để khách hàng chủ động tích chọn, đồng thời lưu lại bằng chứng về thời điểm và nội dung đồng ý của từng khách hàng.

Rủi ro thường gặp

Dưới đây là những sai sót phổ biến khiến doanh nghiệp chưa thực sự bảo vệ dữ liệu cá nhân khách hàng đúng quy định, dù đã có ý thức tuân thủ:

1. Thu thập dữ liệu khách hàng mà không có cơ chế lấy đồng ý hợp lệ. Vi phạm Điều 11 Luật 91/2025/QH15 và Điều 6 Nghị định 356/2025/NĐ-CP.
2. Sử dụng tùy chọn đồng ý mặc định hoặc giao diện gây hiểu lầm. Bị coi là sự đồng ý không hợp lệ.
3. Không có quy trình phản hồi yêu cầu của khách hàng đúng thời hạn. Có thể bị coi là vi phạm nghĩa vụ bảo đảm quyền của chủ thể dữ liệu.
4. Chuyển dữ liệu khách hàng cho bên thứ ba (ví dụ đơn vị giao hàng, nền tảng quảng cáo) mà không có thỏa thuận xử lý dữ liệu rõ ràng. Vi phạm nghĩa vụ của bên kiểm soát dữ liệu theo Điều 37.
5. Không thông báo kịp thời khi xảy ra sự cố lộ dữ liệu. Có thể bị xử lý theo quy định về vi phạm thời hạn thông báo tại Điều 29 Nghị định 356/2025/NĐ-CP.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có bắt buộc tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Về nguyên tắc có; Điều 41 Nghị định 356/2025/NĐ-CP chỉ cho phép miễn trừ một số quy định trong 5 năm đầu, với điều kiện không xử lý dữ liệu nhạy cảm và không đạt quy mô 100.000 chủ thể dữ liệu trở lên.

Khách hàng có thể yêu cầu xóa dữ liệu cá nhân của mình không?

Có. Theo Điều 4 Luật 91/2025/QH15, khách hàng có quyền yêu cầu xóa dữ liệu; doanh nghiệp phải thực hiện trong 20 ngày theo Điều 5 Nghị định 356/2025/NĐ-CP.

Website có mục đăng ký nhận tin được tích sẵn có vi phạm không?

Có thể vi phạm, vì Điều 6 khoản 3 Nghị định 356/2025/NĐ-CP cấm thiết lập sẵn lựa chọn đồng ý theo hướng mặc định.

Khi nào doanh nghiệp phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?

Theo Điều 19 Nghị định 356/2025/NĐ-CP, doanh nghiệp xử lý dữ liệu cá nhân ở quy mô thuộc diện bắt buộc phải lập hồ sơ ngay từ khi bắt đầu xử lý; quy mô cụ thể cần được luật sư xác định theo từng trường hợp.

Sự cố lộ dữ liệu khách hàng phải thông báo trong bao lâu?

Trong vòng 72 giờ kể từ khi phát hiện, theo Điều 23 Luật 91/2025/QH15 và Điều 28, 29 Nghị định 356/2025/NĐ-CP.

Khi nào nên nhờ luật sư

Nếu doanh nghiệp của bạn đang thu thập dữ liệu khách hàng nhưng chưa có chính sách bảo vệ dữ liệu cá nhân khách hàng, chưa rà soát cơ chế lấy đồng ý, hoặc chưa rõ có thuộc diện phải lập hồ sơ đánh giá tác động hay không, việc nhờ luật sư rà soát sớm giúp giảm rủi ro bị xử phạt theo Điều 8 Luật 91/2025/QH15.

Công ty Luật Chính Danh tại thành phố Đồng Nai, do Luật sư Giám đốc Phạm Văn Duẩn phụ trách, tư vấn xây dựng chính sách bảo vệ dữ liệu cá nhân khách hàng, rà soát quy trình thu thập dữ liệu và các thủ tục doanh nghiệp liên quan. Địa chỉ: 8/4 Nguyễn Du, Khu phố Bình Thành, phường Trấn Biên, thành phố Đồng Nai. Điện thoại, Zalo: 0907 399 266.

Xem thêm bài giấy chứng nhận đăng ký đầu tư, soạn điều lệ công ty hoặc trang tư vấn doanh nghiệp. Việc tư vấn không bảo đảm trước kết quả xử lý của cơ quan nhà nước có thẩm quyền.

Nguồn tham khảo: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Thư Viện Pháp Luật; Nghị định 356/2025/NĐ-CP, Thư Viện Pháp Luật. Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý trực tiếp cho từng doanh nghiệp; một số nội dung chưa xác minh đầy đủ từ văn bản gốc đã được ghi chú rõ trong bài.