Vấn đề: khung pháp lý Việt Nam bạn học năm 2023 đã hết hiệu lực từ 01/01/2026
Doanh nghiệp đa quốc gia tại Việt Nam nhiều nơi vẫn vận hành theo cẩm nang Nghị định 13/2023 về căn cứ xử lý dữ liệu. Nghị định đó đã hết hiệu lực — được thay thế từ 01/01/2026 bởi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. So sánh GDPR với khung pháp lý Việt Nam hiện hành, không phải khung đã hết hiệu lực, mới là điểm xuất phát cho mọi thiết kế tuân thủ kép.
Hai khung pháp lý đặt cạnh nhau
- EU — GDPR, Điều 6 khoản 1: sáu căn cứ hợp pháp — đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ công/quyền hạn chính thức, và lợi ích hợp pháp. Đã được kiện tụng nhiều, có hướng dẫn chi tiết về bài kiểm tra cân bằng cho lợi ích hợp pháp.
- Việt Nam — Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (thông qua 26/6/2025, hiệu lực 01/01/2026; 5 chương, 39 điều) và Nghị định 356/2025/NĐ-CP (31/12/2025, quy định chi tiết; thay thế hoàn toàn Nghị định 13/2023). Logic lõi: xử lý dữ liệu cần căn cứ hợp pháp với trụ cột là sự đồng ý của chủ thể dữ liệu (điều kiện hiệu lực siết chặt), thực hiện hợp đồng, nghĩa vụ pháp lý và các căn cứ luật định khác; giới hạn mục đích và tối thiểu hóa dữ liệu là nguyên tắc được quy định rõ; quyền của chủ thể dữ liệu kèm thời hạn xử lý xác định; chuyển dữ liệu ra nước ngoài phải đánh giá tác động và đáp ứng điều kiện luật định, cơ quan chức năng có thể yêu cầu ngừng chuyển khi đe dọa quốc phòng, an ninh (Luật, Điều 20). Phạt hành chính đến 5% doanh thu năm trước liền kề với vi phạm chuyển dữ liệu ra nước ngoài; Nghị định 330/2026/NĐ-CP quy định khung xử phạt.
Hai cơ chế lệch nhau ở đâu trên thực tế
Đồng ý nặng hơn ở Việt Nam. Theo GDPR, lợi ích hợp pháp gánh rất nặng trong bối cảnh B2B và lao động; theo khung Việt Nam, đồng ý là trụ cột mặc định và ngưỡng hiệu lực (được thông báo, cụ thể, tự nguyện, chứng minh được) được thực thi nghiêm — thiết kế luồng đồng ý trước, phương án dự phòng sau. Chuyển dữ liệu ra nước ngoài là điểm lệch sắc nhất. GDPR có công cụ mở rộng tốt (đánh giá tương đương, điều khoản hợp đồng chuẩn, quy tắc ràng buộc doanh nghiệp); Việt Nam yêu cầu đánh giá tác động chuyển dữ liệu theo thủ tục Nghị định 356, với rủi ro nền là lệnh đình chỉ chuyển. Văn hóa hồ sơ khác nhau: Nghị định 356 chuẩn hóa biểu mẫu, hồ sơ (10 mẫu chính thức) — tuân thủ Việt Nam nặng về biểu mẫu theo cách thực hành GDPR (với nguyên tắc trách nhiệm giải trình) không có. Xây hồ sơ Việt Nam theo đúng biểu mẫu quy định; đừng mặc định hồ sơ xử lý của GDPR làm hài lòng thanh tra Việt Nam.
Kiến trúc tuân thủ kép
(1) Lập bản đồ mọi hoạt động xử lý hai lần — một lần theo Điều 6 GDPR, một lần theo các căn cứ của Luật BVDLCN — và đánh dấu nơi căn cứ lệch nhau (marketing và phân tích nhân sự lệch nhiều nhất). (2) Một nền tảng quản lý đồng ý nhưng văn bản đồng ý và cơ chế rút đồng ý riêng cho Việt Nam. (3) Coi chuyển dữ liệu từ Việt Nam ra nước ngoài là luồng việc riêng với đánh giá tác động và lịch nộp hồ sơ riêng. (4) Giữ hai bộ tài liệu: hồ sơ trách nhiệm giải trình GDPR và hồ sơ luật định theo Nghị định 356. Phần giao nhau có thật nhưng chỉ một phần — thiết kế chỉ cho GDPR sẽ để hở yêu cầu đồng ý và chuyển dữ liệu của Việt Nam.
Câu hỏi thường gặp
Có thể dựa vào lợi ích hợp pháp ở Việt Nam như theo GDPR không?
Không thể dùng như vật thay thế chung cho đồng ý. Khung Việt Nam lấy đồng ý làm trung tâm; các căn cứ khác tồn tại nhưng hẹp hơn và ít được kiểm nghiệm thực tế. Cấu trúc xử lý tại Việt Nam quanh đồng ý hợp lệ trước.
Có phải xin lại đồng ý đã lấy theo Nghị định 13/2023 không?
Không — đồng ý đã lấy hợp lệ theo Nghị định 13/2023 vẫn còn hiệu lực, không phải xin lại. Nhưng xử lý mới và mục đích mới phải đáp ứng chuẩn Luật 91/2025 và Nghị định 356.
Rủi ro phạt lớn nhất nằm ở đâu?
Chuyển dữ liệu ra nước ngoài: đến 5% doanh thu năm trước với tổ chức vi phạm quy định chuyển dữ liệu, cộng với cơn ác mộng vận hành của lệnh đình chỉ chuyển. Làm đúng đánh giá tác động chuyển dữ liệu trước khi chuyển.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng