Xử lý dữ liệu cá nhân

Xử lý dữ liệu cá nhân là bất kỳ thao tác nào chạm vào dữ liệu cá nhân — từ lúc thu thập, lưu, phân tích, chia sẻ cho đến lúc xóa bỏ. Luật không cần thao tác đó phức tạp: chỉ việc mở bảng tính danh sách khách hàng, chụp lại căn cước, hay chuyển tệp cho đối tác cũng đã là xử lý, và phải có căn cứ hợp pháp.

Định nghĩa theo văn bản pháp luật

Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.

Khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026).

Giải nghĩa dễ hiểu

Mỗi thao tác có một điều luật riêng

Hai căn cứ hợp pháp

Mọi thao tác phải dựa trên một trong hai: sự đồng ý của chủ thể (Điều 9), hoặc một trường hợp không cần đồng ý ở Điều 19 — bảo vệ tính mạng, quyền lợi chính đáng trong tình huống cấp bách; tình trạng khẩn cấp, phòng chống tội phạm; hoạt động của cơ quan nhà nước; thực hiện thỏa thuận của chủ thể theo luật; trường hợp luật khác quy định. Dùng căn cứ thứ hai thì phải lập quy trình, đánh giá rủi ro, kiểm tra định kỳ và có kênh tiếp nhận phản ánh (khoản 2 Điều 19).

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

• Bên kiểm soát phải lập và gửi 01 bản chính cho cơ quan chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an) trong 60 ngày kể từ ngày đầu tiên xử lý (khoản 1 Điều 21 Luật 91).
• Lập 01 lần cho suốt thời gian hoạt động; cập nhật định kỳ 06 tháng khi có thay đổi, cập nhật ngay khi tổ chức lại, giải thể, đổi nhà cung cấp dịch vụ bảo vệ dữ liệu, phát sinh ngành nghề xử lý dữ liệu mới (Điều 22).
• Miễn: cơ quan nhà nước; hộ kinh doanh, doanh nghiệp siêu nhỏ; doanh nghiệp nhỏ, khởi nghiệp được chọn miễn 05 năm — trừ khi kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc đã xử lý từ 100.000 chủ thể trở lên (Điều 41 NĐ 356/2025).
• Không lập, không nộp đúng hạn: phạt 20–30 triệu đồng và có thể bị buộc dừng xử lý tới khi nộp xong (Điều 55 NĐ 330/2026).

Phân biệt xử lý dữ liệu cá nhân với xử lý dữ liệu theo Luật Dữ liệu

Ví dụ tình huống

Một chuỗi phòng tập thể hình có 3 cơ sở tại phường Thủ Dầu Một, TP. Hồ Chí Minh, đăng ký là doanh nghiệp nhỏ. Ngày 05/01/2026, chuỗi chuyển sang check-in bằng nhận diện khuôn mặt cho 3.200 hội viên, lưu ảnh khuôn mặt trên máy chủ thuê của một công ty phần mềm.

Phân tích: dữ liệu khuôn mặt dùng để nhận diện là dữ liệu sinh trắc học — nhóm nhạy cảm. Vì trực tiếp xử lý dữ liệu nhạy cảm, chuỗi không được hưởng quyền chọn miễn 05 năm của doanh nghiệp nhỏ. Việc phải làm: xin đồng ý từng hội viên, báo rõ đây là dữ liệu nhạy cảm, cho phép ai không đồng ý dùng thẻ từ thay thế (không được ép); ký hợp đồng xử lý dữ liệu với công ty phần mềm (bên xử lý); lập hồ sơ đánh giá tác động và gửi Bộ Công an chậm nhất ngày 06/3/2026 (60 ngày tính từ 05/01/2026); chỉ định nhân sự bảo vệ dữ liệu có trình độ từ cao đẳng, 02 năm kinh nghiệm phù hợp (Điều 13 NĐ 356). Thiết bị lưu dữ liệu sinh trắc học phải được bảo mật vật lý, hạn chế người truy cập (khoản 4 Điều 31 Luật 91).

Áp dụng trong thực tế và ngoại lệ

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân — 9 loại ở Điều 21 NĐ 356, như vận hành phần mềm xử lý thay bên kiểm soát, chấm điểm tín nhiệm, phân tích dữ liệu, ứng dụng định vị — cần Giấy chứng nhận đủ điều kiện do Bộ Công an cấp (Điều 22–25).
• Xử lý trong dữ liệu lớn, trí tuệ nhân tạo: phải giới hạn trong phạm vi cần thiết; trí tuệ nhân tạo phải phân loại theo mức độ rủi ro (Điều 30 Luật 91).
• Ghi hình nơi công cộng: được làm không cần đồng ý vì an ninh, trật tự, nhưng phải có biển báo cho người dân biết (Điều 32); thiếu biển báo phạt 10–20 triệu đồng (Điều 71 NĐ 330).
• Dữ liệu người lao động thu bằng công nghệ (camera, phần mềm giám sát máy tính) chỉ hợp pháp khi người lao động biết rõ; không thông báo phạt 50–70 triệu đồng (Điều 61 NĐ 330).

Những chỗ hay hiểu sai

• Sai: "Chỉ lưu trữ thôi, không dùng gì thì không phải xử lý." — Đúng: lưu trữ là hoạt động tác động đến dữ liệu; lưu quá thời gian cần thiết bị phạt 20–40 triệu đồng (điểm c khoản 1 Điều 39 NĐ 330).
• Sai: "Doanh nghiệp nhỏ được miễn hết." — Đúng: chỉ được chọn miễn hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu, và mất quyền này nếu xử lý dữ liệu nhạy cảm hoặc từ 100.000 người.
• Sai: "Thuê công ty khác xử lý thì trách nhiệm thuộc công ty đó." — Đúng: bên kiểm soát vẫn chịu trách nhiệm trước chủ thể về thiệt hại (điểm g khoản 1 Điều 37 Luật 91).

Thuật ngữ tiếng Anh tương đương

Processing of personal data là cách dịch chuẩn, cùng nghĩa rộng như GDPR. Hồ sơ đánh giá tác động tương ứng data protection impact assessment (DPIA), nhưng cần lưu ý: ở Việt Nam hồ sơ phải nộp cho cơ quan nhà nước trong 60 ngày, còn GDPR chủ yếu yêu cầu lưu nội bộ. Khử nhận dạng là de-identification; không đồng nhất với anonymisation hay pseudonymisation khi chưa xác định mức độ không thể đảo ngược.

Thuật ngữ liên quan

• Bên kiểm soát dữ liệu cá nhân — bên quyết định mục đích xử lý
• Bên xử lý dữ liệu cá nhân — bên làm theo hợp đồng
• Sự đồng ý của chủ thể dữ liệu — căn cứ hợp pháp thứ nhất
• Chuyển dữ liệu cá nhân ra nước ngoài — dạng xử lý có hồ sơ riêng
• Dữ liệu cá nhân nhạy cảm — làm mất quyền miễn của doanh nghiệp nhỏ
• Dữ liệu mở — dữ liệu đã khử nhận dạng mới đưa ra công khai được

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 2, 5, 9, 11–22, 30, 31, 32, 37, 38; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP — Điều 13, 18, 20, 21–25, 41; hiệu lực từ 01/01/2026.
• Nghị định 330/2026/NĐ-CP — Điều 39, 55, 61, 71; hiệu lực từ 19/8/2026.
• Luật Dữ liệu số 60/2024/QH15 — Điều 3; hiệu lực từ 01/7/2025.

Hỏi đáp nhanh

Hồ sơ đánh giá tác động nộp ở đâu?

Gửi 01 bản chính tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, theo mẫu tại Phụ lục Nghị định 356/2025. Hồ sơ cũng phải được lưu tại trụ sở doanh nghiệp để sẵn sàng khi kiểm tra.

Cửa hàng nhỏ lưu số điện thoại khách để gửi tin khuyến mãi có phải làm hồ sơ đánh giá tác động không?

Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải làm, trừ khi xử lý dữ liệu nhạy cảm hoặc tích lũy từ 100.000 khách trở lên. Nhưng vẫn phải xin đồng ý nhận khuyến mãi và cho khách cách từ chối theo Điều 28 Luật 91 về bảo vệ dữ liệu cá nhân trong quảng cáo.

Hồ sơ đã nộp theo Nghị định 13/2023 có phải làm lại không?

Không. Hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được dùng; chỉ việc cập nhật sau ngày này thực hiện theo Luật 91 (khoản 2 Điều 39).