Bảo vệ dữ liệu cá nhân

Bảo vệ dữ liệu cá nhân là toàn bộ hệ thống biện pháp — pháp lý, kỹ thuật, con người — nhằm ngăn và xử lý việc xâm phạm thông tin của từng người. Từ 01/01/2026, đây không còn là quy định cấp nghị định mà là một đạo luật riêng, với cơ quan chuyên trách thuộc Bộ Công an, mức phạt hành chính tối đa 03 tỷ đồng hoặc 5% doanh thu, và nghĩa vụ đặt lên cả người dân lẫn doanh nghiệp.

Định nghĩa theo văn bản pháp luật

Bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Khoản 4 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/6/2025 (hiệu lực từ 01/01/2026).

Giải nghĩa dễ hiểu

Bốn mốc pháp lý cần nhớ

• 01/7/2023: Nghị định 13/2023/NĐ-CP — văn bản chuyên đề đầu tiên, nay đã hết hiệu lực.
• 01/01/2026: Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn cùng có hiệu lực, thay Nghị định 13/2023.
• 01/7/2026: Luật An ninh mạng số 116/2025/QH15 có hiệu lực (khoản 4 Điều 41 buộc doanh nghiệp bảo đảm an ninh mạng cho xử lý dữ liệu cá nhân).
• 19/8/2026: Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực.

Bảy hành vi bị nghiêm cấm (Điều 7 Luật 91)

1. Xử lý dữ liệu nhằm chống Nhà nước, xâm hại an ninh, trật tự, quyền lợi người khác.
2. Cản trở hoạt động bảo vệ dữ liệu.
3. Lợi dụng hoạt động bảo vệ dữ liệu để vi phạm pháp luật.
4. Xử lý dữ liệu trái quy định.
5. Dùng dữ liệu của người khác, hoặc cho người khác dùng dữ liệu của mình, để làm việc trái pháp luật.
6. Mua, bán dữ liệu cá nhân, trừ khi luật quy định khác.
7. Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Ai bảo vệ

Lực lượng gồm cơ quan chuyên trách thuộc Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao), nhân sự bảo vệ dữ liệu trong từng tổ chức, đơn vị cung cấp dịch vụ bảo vệ dữ liệu và người được huy động (Điều 33). Bộ Công an là đầu mối quản lý nhà nước (Điều 36).

Ba tầng chế tài

• Hành chính: mức tối đa 03 tỷ đồng; riêng mua bán dữ liệu tối đa 10 lần khoản thu; chuyển dữ liệu xuyên biên giới sai quy định tối đa 5% doanh thu năm trước (Điều 8 Luật 91). Cá nhân chịu một nửa mức của tổ chức; thời hiệu 01 năm.
• Hình sự: Bộ luật Hình sự chưa có tội danh riêng về xâm phạm dữ liệu cá nhân; các hành vi nặng bị xử theo Điều 288 (mua bán, công khai trái phép thông tin riêng trên mạng), Điều 289 (xâm nhập trái phép), Điều 291 (thông tin tài khoản ngân hàng từ 20 tài khoản), Điều 159 (xâm phạm bí mật thư tín, điện thoại).
• Dân sự: bồi thường thiệt hại vật chất và tinh thần; bên kiểm soát chịu trách nhiệm trước chủ thể (điểm g khoản 1 Điều 37).

Phân biệt bảo vệ dữ liệu cá nhân với an ninh mạng

Ví dụ tình huống

Tháng 8/2026, anh Đặng Minh Khoa ở phường Vinh Phú, tỉnh Nghệ An nhận tin nhắn đòi nợ một khoản vay 8 triệu đồng qua ứng dụng mà anh chưa từng đăng ký. Ảnh căn cước anh từng gửi một cửa hàng điện thoại khi mua trả góp năm 2025 đã bị dùng để mở khoản vay.

Ba hướng xử lý song song: (1) Hình sự — trình báo Công an cấp xã kèm tin nhắn đòi nợ; người dùng giấy tờ của anh để vay có dấu hiệu lừa đảo chiếm đoạt tài sản; cơ quan điều tra có 20 ngày, kéo dài tối đa 02 tháng, để giải quyết tố giác (Điều 147 Bộ luật Tố tụng hình sự). (2) Hành chính — phản ánh tới cơ quan chuyên trách về việc ứng dụng cho vay xác thực bằng giấy tờ của người khác (điểm đ khoản 1 Điều 34 NĐ 330 ghi khung 20–30 triệu đồng cho định danh sai chủ tài khoản; tổ chức chịu gấp đôi) và việc cửa hàng để lộ ảnh căn cước — dữ liệu nhạy cảm. (3) Dân sự — gửi văn bản yêu cầu ứng dụng xác nhận anh không phải người vay, xóa dữ liệu, chấm dứt đòi nợ; nếu bị bêu riếu gây tổn thất danh dự, khởi kiện đòi bồi thường, gồm bù đắp tinh thần tối đa 10 lần lương cơ sở, tức 25,3 triệu đồng (Điều 592 Bộ luật Dân sự, lương cơ sở 2.530.000 đồng).

Áp dụng trong thực tế và ngoại lệ

• Doanh nghiệp tối thiểu phải có: cơ chế xin và lưu đồng ý; quy trình đáp ứng yêu cầu của chủ thể (phản hồi 02 ngày làm việc); hợp đồng xử lý dữ liệu với nhà cung cấp; quy trình báo vi phạm trong 72 giờ; hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu nếu không thuộc diện miễn.
• Luật chuyên ngành ưu tiên khi ban hành trước 01/01/2026 và không trái nguyên tắc của Luật 91 (khoản 2 Điều 5) — ví dụ quy định riêng về bí mật thông tin tín dụng, hồ sơ bệnh án.
• Hoạt động báo chí chuyển dữ liệu ra nước ngoài được miễn hồ sơ đánh giá tác động chuyển xuyên biên giới (khoản 3 Điều 17 NĐ 356), nhưng vẫn phải tôn trọng quyền riêng tư.

Những chỗ hay hiểu sai

• Sai: "Bảo vệ dữ liệu cá nhân chỉ là chuyện của công ty công nghệ." — Đúng: áp dụng cho mọi tổ chức, cá nhân có xử lý dữ liệu, kể cả sổ ghi chép giấy của tiệm cầm đồ.
• Sai: "Mức phạt 3 tỷ đồng áp cho mọi vi phạm." — Đúng: đó là mức tối đa; từng hành vi có khung riêng trong Nghị định 330, phần lớn từ 10 đến 100 triệu đồng.
• Sai: "Người dân chỉ có quyền." — Đúng: chủ thể có nghĩa vụ tự bảo vệ dữ liệu của mình và có thể bị phạt khi cho người khác dùng giấy tờ, tài khoản của mình làm việc trái pháp luật.

Thuật ngữ tiếng Anh tương đương

Personal data protection là cách dịch thông dụng, và tên luật có thể dịch Law on Personal Data Protection. Châu Âu dùng data protection, Mỹ thiên về privacy hoặc information privacy. Không dùng data security thay cho "bảo vệ dữ liệu cá nhân" — data security chỉ khía cạnh kỹ thuật, tương ứng "an ninh dữ liệu".

Thuật ngữ liên quan

• Dữ liệu cá nhân — đối tượng được bảo vệ
• Bên kiểm soát dữ liệu cá nhân — chủ thể gánh nghĩa vụ chính
• Quyền của chủ thể dữ liệu — công cụ người dân tự bảo vệ
• An ninh mạng — lĩnh vực song hành, xử phạt chung một nghị định
• Tội phạm mạng — trách nhiệm hình sự khi xâm phạm dữ liệu trên mạng
• Chuyển dữ liệu cá nhân ra nước ngoài — vi phạm có mức phạt theo doanh thu
• Quyền riêng tư — nền tảng dân sự của việc bảo vệ dữ liệu

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân — hiệu lực từ 01/01/2026; Nghị định 13/2023/NĐ-CP hết hiệu lực cùng ngày.
• Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — hiệu lực từ 19/8/2026.
• Luật An ninh mạng số 116/2025/QH15 — Điều 41; hiệu lực từ 01/7/2026.
• Bộ luật Hình sự 2015 (sửa đổi 2017, 2025) — Điều 159, 288, 289, 291; Bộ luật Dân sự 2015 — Điều 38, 592.

Hỏi đáp nhanh

Cơ quan nào xử phạt vi phạm về dữ liệu cá nhân?

Chủ yếu là lực lượng Công an nhân dân (Điều 72 Nghị định 330/2026), ngoài ra Chủ tịch Ủy ban nhân dân các cấp, thanh tra chuyên ngành, Bộ đội Biên phòng, Cảnh sát biển theo thẩm quyền ở Chương III Nghị định này. Đầu mối tiếp nhận phản ánh là cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.

Bị lộ dữ liệu do lỗi của công ty thì được bồi thường bao nhiêu?

Không có mức cố định. Người bị hại chứng minh thiệt hại thực tế (tiền bị chiếm đoạt, chi phí khắc phục, thu nhập bị mất) và có thể đòi bù đắp tổn thất tinh thần — tối đa 10 lần lương cơ sở nếu không thỏa thuận được. Bên kiểm soát dữ liệu chịu trách nhiệm trước người bị hại về bồi thường thiệt hại.

Doanh nghiệp đã tuân thủ Nghị định 13/2023 có phải làm lại từ đầu không?

Không phải xin lại sự đồng ý đã có và không phải lập lại hồ sơ đánh giá tác động đã được tiếp nhận (Điều 39 Luật 91). Nhưng phải bổ sung những gì luật mới đòi hỏi: thời hạn đáp ứng yêu cầu của chủ thể theo Nghị định 356, điều kiện nhân sự bảo vệ dữ liệu, cập nhật hồ sơ 06 tháng một lần khi có thay đổi.