Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356: checklist cho hệ thống AI, SaaS

Luật Bảo vệ dữ liệu cá nhân 2025 là gì và áp dụng từ khi nào?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026 (Điều 38). Đây là văn bản cấp luật đầu tiên chuyên về dữ liệu cá nhân ở Việt Nam; trước đó, nghĩa vụ chủ yếu nằm trong Nghị định 13/2023/NĐ-CP.

Ngày 31/12/2025, Chính phủ ban hành Nghị định 356/2025/NĐ-CP quy định chi tiết Luật, cùng hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023. Nghị định gồm 5 chương, 42 điều và phụ lục mẫu hồ sơ (trong đó có Mẫu số 08, 09, 10 nhắc tới dưới đây).

Luật áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam, tổ chức nước ngoài tại Việt Nam và cả tổ chức nước ngoài trực tiếp tham gia hoặc liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam (Điều 1 Luật, Điều 2 Nghị định 356). Một nền tảng SaaS đặt máy chủ ở nước ngoài nhưng phục vụ người dùng Việt Nam vẫn nằm trong phạm vi.

Với đội ngũ kỹ thuật, đáng chú ý là Luật có riêng một điều về dữ liệu lớn, AI và điện toán đám mây (Điều 30), còn Nghị định 356 có các điều riêng cho dữ liệu lớn (Điều 9), AI (Điều 10) và đám mây (Điều 12). Yêu cầu vì thế đi thẳng vào kiến trúc hệ thống, không chỉ nằm ở chính sách quyền riêng tư.

Nghị định 13/2023 còn hiệu lực không? Quy định chuyển tiếp

Không. Theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP, Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026. Tuy vậy, Điều 39 Luật 91/2025/QH15 có hai quy định chuyển tiếp giúp doanh nghiệp không phải làm lại từ đầu.

• Sự đồng ý đã có: hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể đồng ý hoặc theo thỏa thuận theo Nghị định 13 trước ngày Luật có hiệu lực thì tiếp tục thực hiện, không phải xin đồng ý lại hoặc thỏa thuận lại (khoản 1 Điều 39).
• Hồ sơ đánh giá tác động đã nộp: hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ chuyển dữ liệu ra nước ngoài theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được sử dụng, không phải lập lại; nhưng mọi lần cập nhật sau đó phải theo Luật mới (khoản 2 Điều 39).
• Hồ sơ chưa nộp hoặc chưa được tiếp nhận trước 01/01/2026 thì lập theo Luật và Nghị định 356, dùng Mẫu số 09 (chuyển xuyên biên giới) và Mẫu số 10 (xử lý dữ liệu).

Sự đồng ý hợp lệ: thiết kế màn hình và lưu bằng chứng

Theo Điều 9 Luật, sự đồng ý chỉ có hiệu lực khi tự nguyện và chủ thể biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu và quyền, nghĩa vụ của mình. Đồng ý phải thể hiện cho từng mục đích, không được gắn điều kiện bắt buộc đồng ý với mục đích khác, và sự im lặng hoặc không phản hồi không được coi là đồng ý.

Điều 6 Nghị định 356 liệt kê phương thức hợp lệ: văn bản, cuộc gọi ghi âm, cú pháp tin nhắn, thư điện tử, trang web, nền tảng hoặc ứng dụng có thiết lập kỹ thuật xin đồng ý, và phương thức khác kiểm chứng được. Phương thức phải chứng minh được ai đồng ý, lúc nào và đồng ý nội dung gì. Bên kiểm soát phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp; không được đặt mặc định là đồng ý hoặc dùng chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý.

• Mỗi mục đích (vận hành dịch vụ, marketing, phân tích, huấn luyện mô hình AI) là một lựa chọn riêng, không gộp chung một ô tích.
• Ô tích không được chọn sẵn; nút "Đồng ý" và "Không đồng ý" có trọng số trình bày tương đương.
• Lưu bản ghi đồng ý gồm: định danh người dùng, thời điểm, phiên bản văn bản thông báo, các mục đích đã chọn, kênh thu thập.
• Với dữ liệu nhạy cảm, màn hình phải nói rõ dữ liệu cần xử lý là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356).
• Có luồng rút lại đồng ý: theo khoản 2 Điều 5 Nghị định 356, phản hồi trong 02 ngày làm việc và thực hiện trong 15 ngày (20 ngày nếu phải yêu cầu bên xử lý, bên thứ ba ngừng xử lý).

Dữ liệu cá nhân nhạy cảm và dữ liệu trẻ em

Khoản 1 Điều 4 Nghị định 356 liệt kê dữ liệu cá nhân nhạy cảm, trong đó có nhiều loại mà hệ thống SaaS và AI hay chạm tới: tình trạng sức khỏe; dữ liệu sinh trắc học; vị trí xác định qua dịch vụ định vị; tên đăng nhập và mật khẩu tài khoản định danh điện tử, ảnh thẻ căn cước; thông tin tài khoản và lịch sử giao dịch ngân hàng; và đáng chú ý là dữ liệu theo dõi hành vi, hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng. Khi xử lý dữ liệu nhạy cảm, tổ chức phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4).

Hệ quả cho sản phẩm: log hành vi người dùng (clickstream, lịch sử sử dụng) có thể thuộc nhóm nhạy cảm. Khi chuyển giao dữ liệu nhạy cảm, Điều 7 Nghị định 356 yêu cầu bảo mật vật lý, mã hóa, ẩn danh và các biện pháp khác.

Về trẻ em, Điều 24 Luật quy định người đại diện theo pháp luật thay mặt trẻ thực hiện quyền của chủ thể dữ liệu; việc xử lý dữ liệu của trẻ từ đủ 07 tuổi trở lên nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân phải có sự đồng ý của cả trẻ và người đại diện. Việc xử lý phải dừng khi người đã đồng ý rút lại sự đồng ý, trừ trường hợp pháp luật có quy định khác.

Thêm một điểm cho phần mềm giáo dục: khoản 5 Điều 21 Nghị định 356 xếp "dịch vụ thu thập, xử lý dữ liệu cá nhân qua ứng dụng, phần mềm giáo dục có yếu tố giám sát như điểm danh, ghi hình, chấm điểm hành vi, nhận diện cảm xúc" vào danh mục dịch vụ xử lý dữ liệu cá nhân; tổ chức kinh doanh dịch vụ này phải đáp ứng điều kiện tại Điều 22 và có Giấy chứng nhận do Bộ Công an cấp (Điều 24–25). Công bố: EYC phát triển Early Years Circle, nền tảng cho trường mầm non, nên chúng tôi theo dõi sát quy định này; doanh nghiệp trong lĩnh vực tương tự nên hỏi ý kiến luật sư về việc sản phẩm của mình có thuộc diện này hay không.

Hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu xuyên biên giới

Bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (thuộc Bộ Công an) trong 60 ngày kể từ ngày đầu tiên xử lý (khoản 1 Điều 21 Luật). Bên xử lý dữ liệu lập hồ sơ theo thỏa thuận với bên kiểm soát.

Chuyển dữ liệu xuyên biên giới gồm ba trường hợp (khoản 1 Điều 20 Luật, Điều 17 Nghị định 356), trong đó có lưu trữ trên máy chủ hoặc đám mây của nhà cung cấp ở nước ngoài và dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Gọi API của nhà cung cấp mô hình AI đặt ở nước ngoài để xử lý dữ liệu người dùng Việt Nam là ví dụ điển hình cần đánh giá theo điều này. Hồ sơ cũng nộp trong 60 ngày kể từ lần chuyển đầu tiên.

Hai loại hồ sơ có thành phần tương tự (Điều 18, 19 Nghị định 356): báo cáo theo Mẫu số 09 hoặc Mẫu số 10, bản sao hợp đồng xử lý hoặc chuyển giao dữ liệu, và chính sách, quy trình nội bộ. Báo cáo phải có sơ đồ luồng dữ liệu, mô tả cách xin đồng ý, chính sách lưu trữ và xóa, sơ đồ hệ thống và đánh giá rủi ro.

Thông báo vi phạm dữ liệu cá nhân: mốc 72 giờ

Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện; bên xử lý phải báo kịp thời cho bên kiểm soát (khoản 1 Điều 23 Luật). Thông báo dùng Mẫu số 08, nêu thời gian, hành vi, loại và số lượng dữ liệu, hậu quả có thể xảy ra và biện pháp khắc phục (Điều 28 Nghị định 356).

Có hai trường hợp đặc thù. Với dữ liệu vị trí hoặc sinh trắc học, phải thông báo cả cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ khi khắc phục xong (Điều 29 Nghị định 356). Với dữ liệu nhạy cảm trong tài chính, ngân hàng, thông tin tín dụng, phải báo cơ quan chuyên trách và chủ thể dữ liệu trong 72 giờ (khoản 3 Điều 8 Nghị định 356).

Về kỹ thuật, 72 giờ chỉ khả thi khi đã có giám sát truy cập, nhật ký đủ chi tiết để biết dữ liệu nào bị ảnh hưởng và một quy trình ứng phó đã diễn tập. Xem cách thiết kế phân quyền và nhật ký kiểm toán cho AI Agent.

Dữ liệu cá nhân trong AI: dữ liệu huấn luyện, prompt và log

Điều 30 Luật yêu cầu dữ liệu cá nhân trong môi trường AI, dữ liệu lớn và điện toán đám mây được xử lý đúng mục đích, giới hạn trong phạm vi cần thiết; hệ thống phải có biện pháp bảo mật, xác thực, định danh và phân quyền truy cập phù hợp; và xử lý dữ liệu cá nhân bằng AI phải được phân loại theo mức độ rủi ro.

Điều 10 Nghị định 356 cụ thể hơn: tổ chức được dùng dữ liệu cá nhân để nghiên cứu, phát triển hệ thống AI nhưng phải tuân thủ quy định bảo vệ dữ liệu; kết quả suy luận của AI nếu giúp xác định một người cụ thể cũng phải được bảo vệ như dữ liệu cá nhân; bên kiểm soát phải thông báo về xử lý tự động, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng tới quyền lợi, đồng thời đưa ra lựa chọn để chủ thể không tham gia; và phải đánh giá tuân thủ định kỳ 01 năm/lần.

Checklist kỹ thuật cho hệ thống AI và SaaS

Bảng dưới ánh xạ yêu cầu của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP sang việc cụ thể của đội kỹ thuật. Đây là điểm khởi đầu để rà soát, không thay thế đánh giá pháp lý cho từng hệ thống; xem thêm quản trị dữ liệu cơ bản.

Mức phạt theo Luật Bảo vệ dữ liệu cá nhân 2025

Điều 8 Luật quy định mức phạt tiền tối đa trong xử phạt hành chính đối với tổ chức: hành vi mua bán dữ liệu cá nhân tối đa 10 lần khoản thu có được từ vi phạm; vi phạm quy định chuyển dữ liệu xuyên biên giới tối đa 5% doanh thu năm trước liền kề; các vi phạm khác tối đa 03 tỷ đồng. Cá nhân vi phạm cùng hành vi chịu mức tối đa bằng một nửa của tổ chức. Tùy tính chất, vi phạm còn có thể bị truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Đây là mức trần trong Luật. Hành vi và mức phạt cụ thể nằm ở Nghị định 330/2026/NĐ-CP ngày 19/8/2026 về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (hiệu lực từ ngày ký); hãy tra cứu trực tiếp nghị định này cho từng trường hợp.