Luật Dữ liệu số 60/2024/QH15 đã có hiệu lực từ ngày 01/7/2025. Theo Điều 2, luật điều chỉnh trực tiếp tổ chức, cá nhân nước ngoài tại Việt Nam, và mở rộng tới tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu số tại Việt Nam. Mọi doanh nghiệp FDI cần rà soát việc thu thập, lưu trữ, chia sẻ và chuyển dữ liệu xuyên biên giới.
Phạm vi điều chỉnh và đối tượng áp dụng
Điều 1 xác định luật điều chỉnh: dữ liệu số; hoạt động xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng dữ liệu số; Trung tâm dữ liệu quốc gia; Cơ sở dữ liệu tổng hợp quốc gia; sản phẩm, dịch vụ về dữ liệu số; quản lý nhà nước về dữ liệu số; cùng quyền, nghĩa vụ, trách nhiệm của các bên liên quan. Trọng tâm là khung quản trị dữ liệu quốc gia và thị trường dữ liệu.
Điều 2 liệt kê ba nhóm đối tượng: (1) cơ quan, tổ chức, cá nhân Việt Nam; (2) cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam — doanh nghiệp FDI chịu điều chỉnh trực tiếp; (3) cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu số tại Việt Nam — phạm vi ngoài lãnh thổ. Luật chưa định nghĩa thêm cụm từ tại khoản 3, nên doanh nghiệp cần thận trọng với luồng dữ liệu liên quan đến lãnh thổ Việt Nam.
Một số khái niệm tại Điều 3: dữ liệu quan trọng (khoản 6) là dữ liệu có thể tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe, an toàn cộng đồng, thuộc danh mục do Thủ tướng ban hành; dữ liệu cốt lõi (khoản 7) là dữ liệu quan trọng trực tiếp tác động đến các lĩnh vực trên; quyền của chủ sở hữu dữ liệu là quyền tài sản theo pháp luật dân sự (khoản 15).
Khung pháp luật và các mốc hiệu lực
Luật được Quốc hội khóa XV (kỳ họp thứ 8) thông qua ngày 30/11/2024, gồm 5 chương, 46 điều, có hiệu lực từ 01/7/2025 (Điều 45). Văn bản hướng dẫn và liên quan:
- Nghị định 165/2025/NĐ-CP (30/6/2025): quy định chi tiết thi hành (Điều 12: chuyển, xử lý dữ liệu xuyên biên giới); đã được Nghị định 356/2025/NĐ-CP (31/12/2025) sửa đổi về hồ sơ đánh giá tác động khi dữ liệu là dữ liệu cá nhân;
- Nghị định 169/2025/NĐ-CP (30/6/2025): về sản phẩm, dịch vụ về dữ liệu; đã bị Nghị định 347/2026/NĐ-CP sửa đổi — bãi bỏ yêu cầu cấp Giấy chứng nhận đủ điều kiện kinh doanh và các điều kiện kinh doanh đối với dịch vụ phân tích, tổng hợp dữ liệu;
- Quyết định 20/2025/QĐ-TTg (01/7/2025): danh mục 26 nhóm dữ liệu cốt lõi và 43 nhóm dữ liệu quan trọng;
- Luật An ninh mạng 116/2025/QH15 (thông qua 10/12/2025, hiệu lực 01/7/2026): sửa đổi một số cụm từ mang tính thuật ngữ trong Luật Dữ liệu, không thay đổi thực chất nghĩa vụ;
- Nghị định 363/2026/NĐ-CP (hiệu lực từ 11/11/2026): xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.
Phân loại dữ liệu: doanh nghiệp tự phân loại
Điều 13 phân loại dữ liệu theo tính chất chia sẻ (dùng chung, dùng riêng, dữ liệu mở) và theo tính chất quan trọng (dữ liệu cốt lõi, dữ liệu quan trọng, dữ liệu khác). Khoản 2 và điểm b khoản 1 Điều 13 yêu cầu tổ chức, cá nhân tự phân loại dữ liệu của mình dựa trên danh mục tại Quyết định 20/2025/QĐ-TTg.
Sáu nhóm nghĩa vụ của doanh nghiệp FDI
1. Quản trị và chất lượng dữ liệu
Khoản 4 Điều 15: tổ chức không phải cơ quan nhà nước thực hiện quản trị dữ liệu “căn cứ vào điều kiện thực tế”. Khoản 2 Điều 14 cho phép chủ sở hữu dữ liệu quyết định việc lưu trữ dữ liệu của mình (trừ dữ liệu cốt lõi, quan trọng tuân thủ khoản 3 Điều 27) — không có nghĩa vụ lưu trữ dữ liệu tại Việt Nam tuyệt đối đối với dữ liệu thông thường.
2. Đăng ký và cung cấp dịch vụ dữ liệu
Khoản 2 Điều 40: cung cấp dịch vụ trung gian dữ liệu phải đăng ký hoạt động theo pháp luật về đầu tư (trừ nội bộ tổ chức). Khoản 2 Điều 41: kinh doanh dịch vụ phân tích, tổng hợp dữ liệu phải đăng ký theo pháp luật về đầu tư — các điều kiện kinh doanh kèm theo đã được Nghị định 347/2026 (hiệu lực 15/9/2026) bãi bỏ. Dịch vụ sàn dữ liệu (khoản 2 Điều 42) chỉ đơn vị sự nghiệp công lập, doanh nghiệp nhà nước được cấp phép mới được cung cấp — doanh nghiệp FDI không được cung cấp dịch vụ sàn dữ liệu; khoản 3 cấm giao dịch dữ liệu gây nguy hại quốc phòng, an ninh, đối ngoại, cơ yếu, dữ liệu không được chủ thể đồng ý và dữ liệu bị pháp luật cấm.
3. Cung cấp dữ liệu cho cơ quan nhà nước (Điều 18)
Khoản 1 khuyến khích cung cấp tự nguyện; khoản 2 đặt nghĩa vụ bắt buộc khi có yêu cầu của cơ quan có thẩm quyền: cung cấp dữ liệu mà không cần chủ thể dữ liệu đồng ý trong bốn trường hợp — tình trạng khẩn cấp, nguy cơ đe dọa an ninh quốc gia, thảm họa, phòng chống bạo loạn/khủng bố. Khoản 3 ràng buộc cơ quan nhà nước dùng đúng mục đích, hủy dữ liệu ngay khi không còn cần thiết và thông báo cho bên đã cung cấp.
4. Chia sẻ và kết nối dữ liệu
Điều 17: kết nối, chia sẻ dữ liệu thực hiện theo pháp luật hoặc thỏa thuận giữa các bên, trực tiếp hoặc qua tổ chức trung gian; dữ liệu vào Cơ sở dữ liệu tổng hợp quốc gia gồm cả dữ liệu do tổ chức, cá nhân tự nguyện cung cấp.
5. Chuyển, xử lý dữ liệu xuyên biên giới — điểm nóng nhất
Điều 23: khoản 1 khẳng định tự do chuyển dữ liệu từ nước ngoài về Việt Nam và xử lý dữ liệu của nước ngoài tại Việt Nam; khoản 2 liệt kê các hình thức chuyển, xử lý dữ liệu cốt lõi, quan trọng xuyên biên giới gồm chuyển dữ liệu đang lưu trữ tại Việt Nam ra hệ thống lưu trữ ngoài lãnh thổ, chuyển dữ liệu cho tổ chức, cá nhân nước ngoài, và dùng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu. Nghị định 165/2025 (Điều 12): dữ liệu cốt lõi phải được chấp thuận trước của Bộ Công an (hoặc Bộ Quốc phòng với dữ liệu quốc phòng, cơ yếu); hồ sơ đánh giá tác động theo Mẫu số 02 được đánh giá trong 10 ngày (phức tạp không quá 15 ngày); chỉ khi có kết quả đạt mới được chuyển dữ liệu. Dữ liệu quan trọng không cần chấp thuận trước, nhưng phải lập hồ sơ đánh giá tác động trước khi chuyển, xử lý và gửi 01 bản chính tới Bộ Công an hoặc Bộ Quốc phòng trước 15 ngày khi tiến hành xử lý dữ liệu.
Ngoại lệ không cần chấp thuận/thông báo trước: tình huống khẩn cấp; quản lý nhân sự xuyên biên giới; ký kết hoặc thực hiện hợp đồng thực sự cần thiết (vận chuyển, hậu cần, thanh toán, khách sạn, thị thực…) — nhưng vẫn phải gửi đánh giá tác động sau 15 ngày kể từ ngày tiến hành thực hiện. Định lượng dữ liệu tính tích lũy từ ngày 01/7/2025; Bộ Công an, Bộ Quốc phòng có quyền yêu cầu ngừng chuyển, xử lý khi vi phạm.
Theo Nghị định 356/2025 sửa Nghị định 165, dữ liệu cốt lõi, quan trọng là dữ liệu cá nhân thì chỉ làm hồ sơ đánh giá tác động theo pháp luật về bảo vệ dữ liệu cá nhân — doanh nghiệp FDI tuân thủ đồng thời cả hai luật.
6. An toàn dữ liệu, quản lý rủi ro và giải mã
Điều 25 liệt kê bốn nhóm rủi ro: quyền riêng tư; an ninh mạng; nhận dạng và quản lý truy cập; rủi ro khác (chia sẻ, quản lý dữ liệu). Khoản 3 yêu cầu chủ quản dữ liệu ngoài cơ quan nhà nước tự đánh giá, xác định rủi ro, khắc phục kịp thời và thông báo cho các bên liên quan. Khoản 4 áp chuẩn cao hơn cho chủ quản dữ liệu cốt lõi, dữ liệu quan trọng: định kỳ đánh giá rủi ro và thông báo đơn vị chuyên trách thuộc Bộ Công an, Bộ Quốc phòng. Điều 26 ghi nhận quyền của chủ thể dữ liệu được yêu cầu thu hồi, xóa, hủy dữ liệu — theo Điều 13 khoản 1(b) Nghị định 165/2025/NĐ-CP, việc xóa, hủy được thực hiện trong 72 giờ sau khi có yêu cầu. Khoản 4 Điều 22 cho phép cơ quan nhà nước có thẩm quyền giải mã dữ liệu mà không cần chủ sở hữu, chủ quản dữ liệu đồng ý trong bốn trường hợp: tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia; thảm họa; phòng, chống bạo loạn, khủng bố.
Cơ quan quản lý: Bộ Công an là đầu mối
Điều 8: Bộ Công an là cơ quan đầu mối quản lý nhà nước về dữ liệu (trừ dữ liệu quốc phòng, cơ yếu thuộc Bộ Quốc phòng), tập trung hầu hết thủ tục: chấp thuận chuyển dữ liệu cốt lõi xuyên biên giới, tiếp nhận hồ sơ đánh giá tác động, cấp Giấy chứng nhận kinh doanh dịch vụ sàn dữ liệu.
Chế tài: Nghị định 363/2026 có hiệu lực từ 11/11/2026
Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, có hiệu lực từ 11/11/2026 — tại tháng 10/2026 nghị định chưa có hiệu lực. Các điểm đã xác minh: Điều 6 — phạt tiền tối đa 100 triệu đồng đối với cá nhân, tổ chức vi phạm bị phạt gấp 2 lần (tối đa 200 triệu đồng); khoản 2 Điều 1 — loại trừ các hành vi thuộc phạm vi nghị định xử phạt lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; và quy định chuyển tiếp tại 11/11/2026.
Phân biệt với Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Luật Dữ liệu không phải là “luật bảo vệ dữ liệu cá nhân” của Việt Nam. Luật Dữ liệu điều chỉnh dữ liệu số nói chung (cá nhân và phi cá nhân), trọng tâm là quản trị dữ liệu quốc gia và thị trường dữ liệu; Luật 91/2025/QH15 (hiệu lực 01/01/2026) chỉ điều chỉnh dữ liệu cá nhân, trọng tâm là quyền của chủ thể dữ liệu và nghĩa vụ của bên kiểm soát, bên xử lý. Doanh nghiệp FDI tuân thủ đồng thời cả hai luật.
Khuyến nghị thực hành
- Kiểm kê và phân loại dữ liệu theo danh mục 26 nhóm cốt lõi, 43 nhóm quan trọng tại Quyết định 20/2025/QĐ-TTg;
- Lập bản đồ dòng chảy dữ liệu xuyên biên giới theo khoản 2 Điều 23;
- Chuẩn bị hồ sơ đánh giá tác động: dữ liệu quan trọng — gửi 01 bản chính tới Bộ Công an/Bộ Quốc phòng trước 15 ngày; dữ liệu cốt lõi — xin chấp thuận trước (10 ngày, phức tạp 15 ngày);
- Xây dựng chính sách quản trị dữ liệu nội bộ (khoản 4 Điều 15): cơ chế tự đánh giá rủi ro, quy trình xóa/hủy dữ liệu trong 72 giờ (theo Điều 13 khoản 1(b) Nghị định 165/2025/NĐ-CP), quy trình tiếp nhận yêu cầu cung cấp dữ liệu của cơ quan nhà nước;
- Hoàn tất tuân thủ trước 11/11/2026 — thời điểm Nghị định 363/2026 về xử phạt có hiệu lực.
Câu hỏi thường gặp
Luật Dữ liệu có áp dụng cho công ty 100% vốn nước ngoài tại Việt Nam không?
Có. Khoản 2 Điều 2 điều chỉnh trực tiếp “cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam”, không phân biệt tỷ lệ sở hữu.
Doanh nghiệp FDI có bắt buộc lưu trữ dữ liệu tại Việt Nam không?
Không, đối với dữ liệu thông thường (khoản 2 Điều 14); chỉ dữ liệu cốt lõi, quan trọng phải tuân thủ khoản 3 Điều 27 và thủ tục tại Điều 12 Nghị định 165/2025.
Chuyển dữ liệu quan trọng ra nước ngoài cần thủ tục gì?
Lập hồ sơ đánh giá tác động (Mẫu số 02) và gửi 01 bản chính tới Bộ Công an (hoặc Bộ Quốc phòng) trước 15 ngày khi tiến hành xử lý dữ liệu — không cần chấp thuận trước. Dữ liệu cốt lõi phải được chấp thuận trước mới được chuyển.
Doanh nghiệp có phải “đăng ký dữ liệu” với Bộ Công an không?
Không. “Đăng ký” chỉ ở khoản 2 Điều 40, khoản 2 Điều 41 và thủ tục cấp Giấy chứng nhận kinh doanh dịch vụ sàn dữ liệu theo Nghị định 169/2025 (đã sửa bởi Nghị định 347/2026).
Nguồn trích dẫn
- Luật Dữ liệu số 60/2024/QH15 (Quốc hội khóa XV thông qua 30/11/2024, hiệu lực 01/7/2025);
- Luật An ninh mạng số 116/2025/QH15 (hiệu lực 01/7/2026) — sửa đổi thuật ngữ một số điều Luật Dữ liệu;
- Nghị định số 165/2025/NĐ-CP ngày 30/6/2025 của Chính phủ quy định chi tiết thi hành Luật Dữ liệu (đã sửa bởi Nghị định 356/2025/NĐ-CP);
- Nghị định số 169/2025/NĐ-CP ngày 30/6/2025 của Chính phủ về sản phẩm, dịch vụ về dữ liệu (đã sửa bởi Nghị định 347/2026/NĐ-CP);
- Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ hướng dẫn Luật Bảo vệ dữ liệu cá nhân;
- Nghị định số 363/2026/NĐ-CP ngày 19/9/2026 của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu (hiệu lực 11/11/2026);
- Quyết định số 20/2025/QĐ-TTg ngày 01/7/2025 của Thủ tướng Chính phủ về danh mục dữ liệu cốt lõi, dữ liệu quan trọng;
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026).
Liên hệ tư vấn
FLAT Law Firm hỗ trợ doanh nghiệp FDI rà soát tuân thủ Luật Dữ liệu 60/2024/QH15: phân loại dữ liệu, lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, xây dựng chính sách quản trị dữ liệu nội bộ. Liên hệ với chúng tôi qua flaw.vn.
Bài viết do AI Legal Council soạn thảo, đã được Hội đồng QA rà soát; không phải do luật sư người thật duyệt và không thay thế tư vấn pháp lý cho trường hợp cụ thể.
