Checklist tuân thủ Luật Bảo vệ dữ liệu cá nhân cho doanh nghiệp FDI

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội khóa XV thông qua ngày 26/6/2025, hiệu lực từ 01/01/2026) đặt ra khung nghĩa vụ hoàn toàn mới cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam — và doanh nghiệp FDI là nhóm chịu tác động nặng nhất: vừa lưu dữ liệu nhân sự, khách hàng trong nước, vừa kết nối hệ thống với công ty mẹ ở nước ngoài. Checklist tuân thủ Luật bảo vệ dữ liệu cá nhân dưới đây liệt kê 14 mục hành động cụ thể để công ty kiểm tra và hoàn thiện trạng thái tuân thủ, từ kiểm kê dữ liệu, chuẩn hóa đồng ý, lập hồ sơ đánh giá tác động, đến ứng phó sự cố trong 72 giờ. Bài viết này là bản kiểm tra hành động thực tế; nếu cần phân tích chi tiết nghĩa vụ pháp lý của từng quy định, xem hướng dẫn chuyên sâu về nghĩa vụ của doanh nghiệp FDI theo Luật Bảo vệ dữ liệu cá nhân 91/2025.

Mục lục

• 1. Đối tượng và cách dùng checklist này
• 2. Checklist chi tiết
• A. Xác định phạm vi và phân loại dữ liệu
• B. Sự đồng ý và quyền của chủ thể dữ liệu
• C. Hồ sơ tuân thủ bắt buộc
• D. Con người, kỹ thuật và lưu trữ
• E. Giám sát và ứng phó sự cố
• 3. Các lỗi phổ biến khi tự làm checklist này
• 4. Sau khi hoàn thành checklist
• 5. Câu hỏi thường gặp
• 6. Phiên bản ngôn ngữ
• 7. Tài liệu tham khảo

1. Đối tượng và cách dùng checklist này

Checklist này dành cho ban lãnh đạo, bộ phận pháp chế, nhân sự, IT và compliance của doanh nghiệp có vốn đầu tư nước ngoài đang hoạt động tại Việt Nam — bao gồm công ty con của tập đoàn đa quốc gia, doanh nghiệp liên doanh, chi nhánh và văn phòng đại diện có xử lý dữ liệu cá nhân của người Việt Nam. Dùng checklist khi: (i) rà soát tuân thủ lần đầu sau khi Luật có hiệu lực từ 01/01/2026; (ii) trước mỗi đợt kiểm tra của cơ quan chức năng; (iii) khi có thay đổi thuộc một trong 3 trường hợp phải cập nhật hồ sơ đánh giá tác động ngay theo Điều 22 khoản 2 (tổ chức lại/chấm dứt/giải thể/phá sản; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu; phát sinh hoặc thay đổi ngành nghề liên quan đến xử lý dữ liệu đã đăng ký) — đổi ERP hay đổi vendor thông thường chỉ phát sinh nghĩa vụ cập nhật định kỳ 06 tháng khi nội dung hồ sơ có thay đổi.

Cách đánh dấu: ☐ chưa làm · ☑ đã xong và có bằng chứng · ⚠ đã làm nhưng cần luật sư rà soát. Nguyên tắc: mục nào cũng cần bằng chứng (văn bản, hồ sơ, log hệ thống) — khi bị kiểm tra, doanh nghiệp phải chứng minh được mình đã tuân thủ, không phải cơ quan chức năng chứng minh doanh nghiệp vi phạm.

2. Checklist chi tiết

A. Xác định phạm vi và phân loại dữ liệu

Mục 1: Kiểm kê toàn bộ dữ liệu cá nhân đang thu thập, xử lý, lưu trữ ☐

• Làm gì: Lập bảng kiểm kê (data inventory) liệt kê mọi loại dữ liệu cá nhân công ty đang có: dữ liệu nhân sự (hồ sơ tuyển dụng, hợp đồng, lương, BHXH, chấm công), dữ liệu khách hàng (CRM, đơn hàng, hợp đồng), dữ liệu nhà cung cấp, dữ liệu thu từ website/app (cookie, log), dữ liệu camera giám sát. Với mỗi loại, ghi rõ: nguồn thu thập, mục đích xử lý, nơi lưu trữ (server nào, quốc gia nào), ai có quyền truy cập, thời hạn lưu trữ.
• Tại sao: Không thể tuân thủ cái mình không biết. Mọi nghĩa vụ của Luật — từ xin đồng ý (Điều 9), lập hồ sơ đánh giá tác động (Điều 21), đến phân quyền truy cập — đều xuất phát từ việc biết mình đang xử lý dữ liệu gì. Kiểm kê thiếu là nguyên nhân gốc của hầu hết các vi phạm về sau, và đây cũng là tài liệu đầu tiên cơ quan kiểm tra yêu cầu.
• Làm thế nào: Phỏng vấn từng bộ phận (HR, Sales, Marketing, IT, Admin), đối chiếu với hệ thống (ERP, HRM, CRM, email, file server). Với tập đoàn đa quốc gia, kiểm kê cả dữ liệu mà công ty mẹ/trụ sở khu vực truy cập từ xa qua hệ thống tập đoàn.
• Lưu ý: Đừng quên dữ liệu "vô hình": log truy cập website, dữ liệu camera, file Excel cá nhân của nhân viên, email chứa thông tin khách hàng. Đây là những điểm mù phổ biến nhất.

Mục 2: Phân loại dữ liệu cơ bản và dữ liệu nhạy cảm theo Điều 3, Điều 4 Nghị định 356/2025/NĐ-CP ☐

• Làm gì: Đối chiếu từng loại dữ liệu trong bảng kiểm kê với hai danh mục do Chính phủ ban hành: dữ liệu cá nhân cơ bản (Điều 3 Nghị định 356/2025/NĐ-CP: họ tên, ngày sinh, giới tính, địa chỉ, quốc tịch, hình ảnh, số điện thoại, số định danh cá nhân, số hộ chiếu, tình trạng hôn nhân, thông tin gia đình, tài khoản số…) và dữ liệu cá nhân nhạy cảm (Điều 4: nguồn gốc chủng tộc/dân tộc, quan điểm chính trị/tôn giáo, đời sống riêng tư, tình trạng sức khỏe, dữ liệu sinh trắc học, đời sống tình dục, dữ liệu tội phạm, vị trí định vị, thông tin đăng nhập/mật khẩu, hình ảnh thẻ căn cước, thông tin tài khoản ngân hàng và lịch sử giao dịch, dữ liệu theo dõi hành vi trên không gian mạng…).
• Tại sao: Phân loại sai = áp sai mức bảo vệ = vi phạm. Dữ liệu nhạy cảm bị kiểm soát chặt hơn đáng kể: phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật riêng (Điều 4 khoản 2 Nghị định 356/2025/NĐ-CP). Nhiều doanh nghiệp FDI không ngờ rằng dữ liệu vị trí GPS của nhân viên giao hàng, vân tay chấm công, hay lịch sử giao dịch của khách hàng đều thuộc nhóm nhạy cảm.
• Làm thế nào: Đánh dấu "nhạy cảm" trên bảng kiểm kê cho từng trường dữ liệu thuộc 13 nhóm tại Điều 4 Nghị định 356/2025/NĐ-CP; khi nghi ngờ, mặc định xếp vào nhóm bảo vệ cao hơn và ghi chú lý do để luật sư rà soát.
• Lưu ý: Hình ảnh thẻ căn cước/CCCD và dữ liệu sinh trắc học (vân tay, khuôn mặt) là hai loại nhạy cảm mà doanh nghiệp FDI thu thập nhiều nhất nhưng bảo vệ lỏng lẻo nhất — đặc biệt là ảnh chụp CCCD lưu trong email/Zalo của phòng nhân sự.

Mục 3: Xác định vai trò pháp lý trong từng quy trình: bên kiểm soát, bên xử lý, hay bên kiểm soát và xử lý ☐

• Làm gì: Với từng luồng xử lý dữ liệu, xác định công ty đang ở vai trò nào theo Điều 2 Luật 91/2025/QH15: bên kiểm soát dữ liệu cá nhân (quyết định mục đích và phương tiện xử lý — khoản 7), bên xử lý dữ liệu cá nhân (xử lý theo yêu cầu của bên kiểm soát thông qua hợp đồng — khoản 8), hay bên kiểm soát và xử lý (vừa quyết định vừa trực tiếp xử lý — khoản 9). Ghi rõ vai trò vào bảng kiểm kê và vào từng hợp đồng với vendor.
• Tại sao: Trách nhiệm pháp lý của các vai trò khác nhau hoàn toàn theo Điều 37: bên kiểm soát phải nêu rõ trách nhiệm các bên trong hợp đồng, quyết định mục đích xử lý tại văn bản/thỏa thuận với chủ thể dữ liệu, chịu trách nhiệm trước chủ thể về thiệt hại do quá trình xử lý gây ra; bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận/hợp đồng, phải xử lý đúng hợp đồng và chịu trách nhiệm trước bên kiểm soát. Xác định sai vai trò dẫn đến ký sai loại hợp đồng và gánh sai trách nhiệm khi có sự cố.
• Làm thế nào: Vẽ sơ đồ luồng dữ liệu cho 3-5 quy trình chính (tuyển dụng, quản lý nhân sự, bán hàng/CRM, marketing, IT outsource). Với mỗi mũi tên chuyển dữ liệu cho bên ngoài (vendor IT, đơn vị payroll, công ty mẹ), ghi vai trò của mỗi bên và đối chiếu điều khoản hợp đồng tương ứng.
• Lưu ý: Công ty mẹ ở nước ngoài truy cập dữ liệu của công ty con tại Việt Nam thường bị nhầm là "nội bộ tập đoàn nên không cần hợp đồng" — sai. Về mặt pháp lý, đó vẫn là quan hệ giữa các pháp nhân độc lập và phải được điều chỉnh bằng văn bản.

Mục 4: Rà soát mọi luồng chuyển dữ liệu cá nhân xuyên biên giới ☐

• Làm gì: Liệt kê mọi trường hợp dữ liệu cá nhân được đưa ra ngoài lãnh thổ Việt Nam, đối chiếu với 3 trường hợp tại Điều 20 khoản 1 Luật 91/2025/QH15: (a) chuyển dữ liệu đang lưu tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam; (b) chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài; (c) dùng nền tảng đặt ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam. Các tình huống điển hình của FDI: ERP/HRM/CRM của tập đoàn đặt server ở Singapore, Mỹ, EU; dùng cloud nước ngoài (AWS, Azure, Google Cloud region ngoài VN); công ty mẹ truy cập báo cáo nhân sự từ xa; outsource IT cho vendor nước ngoài.
• Tại sao: Chuyển dữ liệu xuyên biên giới mà không lập hồ sơ đánh giá tác động là hành vi vi phạm có khung phạt nặng nhất trong Luật: tối đa 5% doanh thu năm trước liền kề đối với tổ chức (Điều 8 khoản 4). Đây cũng là điểm kiểm tra mà cơ quan chức năng có thể xác minh kỹ thuật rất nhanh (địa chỉ IP, hợp đồng cloud, log truy cập).
• Làm thế nào: Kiểm tra hợp đồng cloud/ERP/SaaS (xem data region), hỏi IT về vị trí server và quyền truy cập từ xa của công ty mẹ, rà soát các tài khoản admin nước ngoài trên hệ thống. Mỗi luồng chuyển được xác định sẽ dẫn tới Mục 9.
• Lưu ý: Có một ngoại lệ quan trọng: lưu trữ dữ liệu của người lao động thuộc chính cơ quan, tổ chức mình trên dịch vụ điện toán đám mây được miễn thủ tục đánh giá tác động (Điều 20 khoản 6 điểm b). Nhưng miễn thủ tục không có nghĩa miễn bảo vệ — dữ liệu vẫn phải được bảo mật và nhà cung cấp cloud phải đáp ứng tiêu chuẩn tương đương.

B. Sự đồng ý và quyền của chủ thể dữ liệu

Mục 5: Chuẩn hóa cơ chế lấy sự đồng ý theo Điều 9 ☐

• Làm gì: Rà soát toàn bộ form thu thập dữ liệu (hợp đồng lao động, form ứng tuyển, form đăng ký khách hàng, điều khoản website/app) và đảm bảo sự đồng ý đáp ứng đủ điều kiện tại Điều 9 Luật 91/2025/QH15: (i) dựa trên sự tự nguyện và chủ thể biết rõ 3 thông tin — loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát/bên kiểm soát và xử lý, cùng quyền và nghĩa vụ của mình (khoản 2); (ii) thể hiện bằng phương thức rõ ràng, cụ thể, có thể in/sao chép bằng văn bản kể cả dạng điện tử hoặc định dạng kiểm chứng được (khoản 3); (iii) tuân thủ 4 nguyên tắc — đồng ý riêng cho từng mục đích, không kèm điều kiện bắt buộc đồng ý các mục đích khác, có hiệu lực đến khi chủ thể thay đổi, và đặc biệt: sự im lặng hoặc không phản hồi không được coi là đồng ý (khoản 4).
• Tại sao: Đây là nghĩa vụ nền tảng và cũng là lỗi vi phạm phổ biến nhất. Checkbox "tôi đồng ý với mọi điều khoản" tích sẵn, form gộp chung đồng ý nhận quảng cáo vào hợp đồng chính, hay suy đoán "khách không phản đối tức là đồng ý" — tất cả đều vô hiệu theo Điều 9 khoản 4. Khi bị kiểm tra, doanh nghiệp phải chứng minh được chủ thể đã đồng ý, không phải ngược lại.
• Làm thế nào: Tách riêng từng mục đích thành từng checkbox độc lập (ví dụ: xử lý đơn hàng / nhận tin khuyến mãi / chia sẻ cho đối tác — ba ô riêng, mặc định để trống). Lưu trữ bằng chứng đồng ý (bản scan, log hệ thống có timestamp, email xác nhận) theo cách có thể truy xuất khi cần.
• Lưu ý: Với dữ liệu đã được đồng ý theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực, Điều 39 khoản 1 cho phép tiếp tục mà không phải xin lại — nhưng chỉ trong phạm vi mục đích đã được đồng ý. Mở rộng mục đích mới thì phải xin đồng ý mới. Bên cạnh đó, Luật liệt kê các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu (Điều 19 Luật 91/2025/QH15) — công ty nên đối chiếu để không xin đồng ý thừa trong trường hợp được miễn, cũng không bỏ sót khi không thuộc trường hợp miễn.

Mục 6: Xây dựng quy trình tiếp nhận và đáp ứng yêu cầu của chủ thể dữ liệu ☐

• Làm gì: Thiết lập kênh tiếp nhận (email chuyên trách, form trên website) và quy trình nội bộ xử lý 6 nhóm quyền của chủ thể dữ liệu tại Điều 4 khoản 1: được biết về hoạt động xử lý; đồng ý/không đồng ý và rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; yêu cầu áp dụng biện pháp bảo vệ. Quy trình phải quy định rõ người tiếp nhận, thời hạn xử lý nội bộ, và cơ chế chuyển yêu cầu cho bên xử lý/vendor liên quan.
• Tại sao: Điều 4 khoản 5 buộc bên kiểm soát phải "kịp thời thực hiện" yêu cầu của chủ thể "trong thời hạn theo quy định của pháp luật" — và Chính phủ được giao quy định chi tiết. Không có quy trình nghĩa là khi nhận yêu cầu xóa dữ liệu hay rút đồng ý, công ty sẽ lúng túng, quá hạn, và vi phạm. Yêu cầu rút đồng ý/hạn chế xử lý phải được thể hiện bằng văn bản (kể cả điện tử) và gửi cho bên kiểm soát (Điều 10 khoản 2).
• Làm thế nào: Ban hành SOP 1-2 trang: ai nhận yêu cầu → xác thực danh tính người yêu cầu (tránh xóa nhầm dữ liệu người khác) → phân loại (xem/sửa/xóa/rút đồng ý/phản đối) → thực hiện trên từng hệ thống → thông báo kết quả cho chủ thể. Tập huấn cho lễ tân, CSKH và HR — vì đây là những đầu mối nhận yêu cầu đầu tiên.
• Lưu ý: Rút đồng ý không có hiệu lực hồi tố với hoạt động xử lý trước thời điểm rút (Điều 10 khoản 4). Và khi không thể xóa vì lý do chính đáng, công ty phải thông báo cho chủ thể biết (Điều 14 khoản 5) — không được im lặng.

Mục 7: Ban hành và công khai chính sách bảo vệ dữ liệu cá nhân ☐

• Làm gì: Soạn và công bố chính sách bảo vệ dữ liệu cá nhân (privacy policy) trên website, tại văn phòng và trong nội quy lao động: nêu rõ loại dữ liệu thu thập, mục đích từng loại, thời hạn lưu trữ, quyền của chủ thể và cách thực hiện, thông tin liên hệ của bộ phận phụ trách, cơ chế khiếu nại. Với hoạt động marketing, bổ sung cơ chế từ chối nhận quảng cáo rõ ràng: xử lý dữ liệu để quảng cáo phải được sự đồng ý của khách hàng trên cơ sở khách hàng biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm, và phải cung cấp phương thức để khách hàng từ chối nhận quảng cáo (Điều 28 khoản 3); khi khách hàng yêu cầu ngừng, phải cung cấp cơ chế và ngừng ngay (Điều 28 khoản 5).
• Tại sao: Chính sách công khai là bằng chứng đầu tiên chứng minh công ty đã thực hiện nghĩa vụ minh bạch — cơ quan kiểm tra luôn đọc nó trước. Thiếu chính sách hoặc chính sách copy mẫu chung chung không phản ánh đúng thực tế xử lý là điểm trừ nặng trong mọi đợt kiểm tra.
• Làm thế nào: Soạn chính sách dựa trên bảng kiểm kê thực tế (Mục 1), không dùng mẫu generic. Dịch sang tiếng Anh (và tiếng Trung nếu có khách hàng/đối tác Trung Quốc) với nội dung tương đương. Đặt link chính sách ở footer website và trong mọi form thu thập dữ liệu.
• Lưu ý: Chính sách phải khớp với thực tế — cam kết "không chia sẻ dữ liệu cho bên thứ ba" trong khi vẫn gửi dữ liệu cho vendor marketing là tự tạo bằng chứng vi phạm.

C. Hồ sơ tuân thủ bắt buộc

Mục 8: Lập, lưu trữ và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong 60 ngày ☐

• Làm gì: Bên kiểm soát dữ liệu cá nhân (hoặc bên kiểm soát và xử lý) lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA — phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý để áp dụng biện pháp giảm thiểu, theo định nghĩa tại Điều 2 khoản 12), lưu trữ tại công ty và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân (Điều 21 khoản 1). Bên xử lý dữ liệu lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát (Điều 21 khoản 3).
• Tại sao: Đây là nghĩa vụ hồ sơ trung tâm của Luật — tương đương "giấy phép hoạt động" về dữ liệu. Không lập hoặc không gửi đúng hạn là vi phạm hành chính độc lập, chưa kể khi có sự cố, việc thiếu DPIA khiến công ty không chứng minh được mình đã đánh giá rủi ro từ trước. Lưu ý: doanh nghiệp đang xử lý dữ liệu từ trước 01/01/2026 thì mốc 60 ngày tính từ ngày Luật có hiệu lực — nghĩa là đã phải hoàn thành từ lâu.
• Làm thế nào: Hồ sơ gồm: mô tả hoạt động xử lý, loại dữ liệu, đánh giá rủi ro, biện pháp giảm thiểu đã và sẽ áp dụng. Thành phần hồ sơ, điều kiện, trình tự, thủ tục và mẫu biểu được quy định chi tiết tại Điều 19 Nghị định 356/2025/NĐ-CP (có hiệu lực từ 01/01/2026) — đối chiếu mẫu biểu tương ứng tại phụ lục Nghị định trước khi lập hồ sơ. Gửi bản chính cho cơ quan chuyên trách (thuộc Bộ Công an — Điều 33 khoản 1 điểm a) và lưu biên nhận.
• Lưu ý: Đánh giá tác động chỉ thực hiện 01 lần cho suốt thời gian hoạt động, nhưng phải cập nhật khi có thay đổi (Điều 21 khoản 2, xem Mục 14). Hồ sơ DPIA đã được cơ quan chuyên trách tiếp nhận trước ngày Luật có hiệu lực thì tiếp tục được sử dụng, không phải lập lại (Điều 39 khoản 2).

Mục 9: Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ☐

• Làm gì: Với mỗi luồng chuyển dữ liệu xuyên biên giới đã xác định tại Mục 4 (trừ các trường hợp miễn tại Điều 20 khoản 6), lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên chuyển (Điều 20 khoản 2). Hồ sơ này thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22.
• Tại sao: Như đã nêu tại Mục 4, vi phạm quy định chuyển dữ liệu xuyên biên giới có trần phạt tới 5% doanh thu năm trước liền kề (Điều 8 khoản 4) — mức cao nhất trong hệ thống chế tài của Luật. Ngoài ra, cơ quan chuyên trách có quyền kiểm tra định kỳ (không quá 01 lần/năm) hoặc đột xuất khi phát hiện vi phạm hoặc xảy ra sự cố lộ, mất dữ liệu (Điều 20 khoản 4), và có quyền yêu cầu ngừng chuyển dữ liệu khi phát hiện dữ liệu được chuyển để sử dụng vào hoạt động có thể gây tổn hại đến quốc phòng, an ninh quốc gia (Điều 20 khoản 5).
• Làm thế nào: Hồ sơ cần phân tích: dữ liệu gì được chuyển, chuyển cho ai, nước nhận có mức bảo vệ tương đương không, biện pháp bảo vệ (mã hóa, hợp đồng, phân quyền). Thành phần hồ sơ, điều kiện, trình tự, thủ tục và mẫu biểu do Chính phủ quy định chi tiết tại Điều 20 Nghị định 356/2025/NĐ-CP (có hiệu lực từ 01/01/2026) — đối chiếu mẫu biểu tương ứng tại phụ lục Nghị định trước khi lập hồ sơ. Với tập đoàn đa quốc gia, nên lập một hồ sơ khung cho toàn bộ luồng chuyển về công ty mẹ thay vì làm rời rạc từng hệ thống.
• Lưu ý: Phân biệt rõ miễn trừ tại Điều 20 khoản 6: (a) cơ quan nhà nước có thẩm quyền chuyển; (b) lưu trữ dữ liệu người lao động của chính mình trên cloud; (c) chủ thể tự chuyển dữ liệu của mình; (d) trường hợp khác do Chính phủ quy định. Nhân viên tự gửi email công việc ra nước ngoài không thuộc (c) nếu đó là hoạt động của công ty — đừng nhầm lẫn.

Mục 10: Rà soát và chuẩn hóa hợp đồng với bên xử lý, nhà cung cấp dịch vụ ☐

• Làm gì: Rà soát toàn bộ hợp đồng với các bên xử lý dữ liệu thay công ty (vendor IT, đơn vị payroll/HR outsource, công ty marketing, đơn vị lưu trữ cloud, công ty mẹ cung cấp dịch vụ dùng chung) và bổ sung điều khoản xử lý dữ liệu cá nhân đáp ứng Điều 37: bên kiểm soát phải nêu rõ trách nhiệm, quyền và nghĩa vụ các bên trong thỏa thuận/hợp đồng (khoản 1 điểm a) và lựa chọn bên xử lý phù hợp (điểm đ); bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận/hợp đồng, phải xử lý đúng hợp đồng và chịu trách nhiệm trước bên kiểm soát về thiệt hại (khoản 2).
• Tại sao: Khi vendor làm rò rỉ dữ liệu, bên kiểm soát vẫn chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại (Điều 37 khoản 1 điểm g) — không thể đổ lỗi "do vendor". Hợp đồng chặt chẽ là công cụ duy nhất để phân bổ rủi ro, buộc vendor áp dụng biện pháp bảo vệ, thông báo sự cố kịp thời, và bồi hoàn khi vi phạm.
• Làm thế nào: Bổ sung phụ lục xử lý dữ liệu (DPA) vào hợp đồng hiện hữu: phạm vi dữ liệu được xử lý, mục đích, biện pháp bảo mật tối thiểu, nghĩa vụ thông báo sự cố trong vòng 24 giờ, nghĩa vụ xóa/trả dữ liệu khi chấm dứt hợp đồng, quyền kiểm tra của bên kiểm soát, điều khoản bồi thường.
• Lưu ý: Đặc biệt chú ý hợp đồng với công ty mẹ/tập đoàn về dịch vụ dùng chung (shared services) — thường là hợp đồng khung chung chung, thiếu hoàn toàn điều khoản dữ liệu. Đây là lỗ hổng phổ biến nhất ở doanh nghiệp FDI.

D. Con người, kỹ thuật và lưu trữ

Mục 11: Chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ chuyên nghiệp ☐

• Làm gì: Thực hiện Điều 33 khoản 2: chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân trong nội bộ (DPO), hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Nên công khai tên, chức danh, thông tin liên hệ của người được chỉ định trong chính sách bảo mật (đây là thực tiễn tốt, không phải nghĩa vụ bắt buộc theo luật) để làm đầu mối tiếp nhận yêu cầu của chủ thể dữ liệu cũng như làm việc với cơ quan chức năng.
• Tại sao: Luật không cho phép tình trạng "ai cũng phụ trách tức là không ai phụ trách". Khi xảy ra sự cố hoặc khi cơ quan chức năng yêu cầu làm việc, công ty phải có đầu mối chịu trách nhiệm cụ thể. Với dữ liệu nhạy cảm, Nghị định 356/2025/NĐ-CP còn yêu cầu thiết lập quy định phân quyền giới hạn truy cập (Điều 4 khoản 2) — việc này không thể thực hiện nếu không có người phụ trách.
• Làm thế nào: Doanh nghiệp vừa và lớn: bổ nhiệm DPO (có thể kiêm nhiệm từ pháp chế/IT nhưng phải được đào tạo và có quyết định bổ nhiệm bằng văn bản). Doanh nghiệp nhỏ: thuê đơn vị tư vấn ngoài theo Điều 33 khoản 2 — cần hợp đồng dịch vụ rõ phạm vi. Công bố thông tin liên hệ DPO trên website và trong chính sách.
• Lưu ý: Xem thêm phân tích về bộ phận và nhân sự bảo vệ dữ liệu cá nhân để xác định mô hình phù hợp với quy mô công ty. Doanh nghiệp nhỏ/startup có thể được lựa chọn không thực hiện nghĩa vụ này trong 05 năm (Điều 38 khoản 2), trừ các trường hợp ngoại lệ — nhưng FDI thường vượt ngưỡng ngoại lệ do xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể dữ liệu cá nhân trở lên (Điều 41 Nghị định 356/2025/NĐ-CP).

Mục 12: Triển khai biện pháp kỹ thuật bảo vệ và quy định thời hạn lưu trữ, xóa hủy an toàn ☐

• Làm gì: Triển khai đồng bộ các biện pháp về thể chế, kỹ thuật, con người để bảo vệ dữ liệu cá nhân (Điều 3 khoản 4): mã hóa dữ liệu nhạy cảm, phân quyền truy cập theo nguyên tắc tối thiểu cần biết, xác thực đa yếu tố cho hệ thống chứa dữ liệu cá nhân, log truy cập, sao lưu và kế hoạch khôi phục. Song song, ban hành quy định thời hạn lưu trữ cho từng loại dữ liệu theo nguyên tắc "lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý" (Điều 3 khoản 3), và quy trình xóa, hủy an toàn khi hết mục đích, hết thời hạn lưu trữ, hoặc khi chủ thể yêu cầu (Điều 14).
• Tại sao: Vi phạm nguyên tắc bảo vệ (xử lý vượt mục đích, không đảm bảo tính chính xác, lưu trữ quá thời gian cần thiết, không chủ động phòng ngừa) bị phạt 20-40 triệu đồng đối với tổ chức theo Điều 39 Nghị định 330/2026/NĐ-CP. Việc xóa, hủy phải thực hiện bằng biện pháp an toàn, ngăn chặn khôi phục trái phép (Điều 14 khoản 3) — xóa kiểu "bấm delete" trên Excel không đáp ứng.
• Làm thế nào: IT phối hợp pháp chế lập ma trận lưu trữ: loại dữ liệu — thời hạn — căn cứ (ví dụ: hồ sơ nhân sự theo pháp luật lao động/thuế; dữ liệu khách hàng theo thời hiệu hợp đồng). Cài đặt tự động cảnh báo khi dữ liệu quá hạn. Với dữ liệu nhạy cảm, áp dụng tiêu chuẩn kỹ thuật cao hơn theo Điều 34 và phân quyền giới hạn truy cập theo Nghị định 356/2025/NĐ-CP.
• Lưu ý: Hai mốc xóa bắt buộc hay bị quên: (i) hồ sơ ứng viên không trúng tuyển phải xóa, hủy trừ khi có thỏa thuận khác (Điều 25 khoản 1 điểm c); (ii) dữ liệu người lao động phải xóa, hủy khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác (Điều 25 khoản 2 điểm c). "Giữ lại cho tiện" là vi phạm.

E. Giám sát và ứng phó sự cố

Mục 13: Xây dựng kế hoạch ứng phó sự cố vi phạm dữ liệu với mốc 72 giờ ☐

• Làm gì: Ban hành kế hoạch ứng phó sự cố (incident response plan) bằng văn bản: quy trình phát hiện → đánh giá mức độ → khoanh vùng, khắc phục → thông báo → lập biên bản → rút kinh nghiệm. Trọng tâm là nghĩa vụ tại Điều 23: khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh, trật tự an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát/bên kiểm soát và xử lý/bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện; trường hợp bên xử lý phát hiện thì phải thông báo kịp thời cho bên kiểm soát. Đồng thời phải lập biên bản xác nhận việc xảy ra vi phạm và phối hợp với cơ quan chuyên trách xử lý (Điều 23 khoản 2).
• Tại sao: 72 giờ tính từ khi phát hiện, không phải từ khi sự cố xảy ra — nhưng nếu không có quy trình, công ty sẽ mất hàng tuần mới xác định được "đã phát hiện" khi nào, và mọi giải trình sau đó đều yếu. Kế hoạch còn phải tính đến việc thông báo cho chủ thể dữ liệu bị ảnh hưởng trong các trường hợp luật chuyên ngành yêu cầu (ví dụ: lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng phải thông báo cho chủ thể — Điều 27 khoản 1 điểm d).
• Làm thế nào: Thành lập đội ứng phó (pháp chế, IT, truyền thông, lãnh đạo), diễn tập tabletop ít nhất 01 lần/năm với kịch bản ransomware/lộ database khách hàng. Chuẩn bị sẵn mẫu thông báo cho cơ quan chuyên trách (nội dung thông báo do Chính phủ quy định chi tiết — Điều 23 khoản 5) và mẫu thông báo cho chủ thể dữ liệu. Quy định rõ trong hợp đồng vendor: phát hiện sự cố phải báo cho công ty trong vòng 24 giờ.
• Lưu ý: Xem hướng dẫn chi tiết về ứng phó sự cố vi phạm dữ liệu cá nhân để chuẩn bị kịch bản cho từng loại sự cố. Đừng đợi sự cố thật mới viết kế hoạch — đó là sai lầm đắt giá nhất.

Mục 14: Thiết lập lịch kiểm tra định kỳ, cập nhật hồ sơ và theo dõi chế tài ☐

• Làm gì: Đưa tuân thủ dữ liệu cá nhân vào lịch quản trị định kỳ của công ty: (i) cập nhật hồ sơ đánh giá tác động (cả xử lý trong nước và chuyển xuyên biên giới) định kỳ 06 tháng khi có sự thay đổi, và cập nhật ngay khi thuộc 3 trường hợp tại Điều 22 khoản 2 — tổ chức lại/chấm dứt/giải thể/phá sản; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu; phát sinh hoặc thay đổi ngành nghề kinh doanh liên quan đến xử lý dữ liệu đã đăng ký; (ii) rà soát lại toàn bộ checklist này ít nhất 01 lần/năm hoặc khi có thay đổi lớn; (iii) theo dõi văn bản hướng dẫn mới của Chính phủ/Bộ Công an.
• Tại sao: Tuân thủ dữ liệu cá nhân không phải dự án một lần. Hồ sơ DPIA lỗi thời (ví dụ: đã đổi vendor cloud nhưng hồ sơ vẫn ghi vendor cũ) vừa vi phạm nghĩa vụ cập nhật, vừa vô giá trị khi cần chứng minh. Về chế tài, Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/8/2026) đã cụ thể hóa mức phạt: trần 03 tỷ đồng cho các vi phạm khác, 05% doanh thu năm trước liền kề với vi phạm chuyển dữ liệu xuyên biên giới, 10 lần khoản thu bất hợp pháp với hành vi mua, bán dữ liệu cá nhân (Điều 8 Luật 91/2025/QH15; Điều 7 Nghị định 330/2026/NĐ-CP quy định mức phạt tại Mục 6 Chương II là mức áp dụng với tổ chức, cá nhân vi phạm bằng một nửa).
• Làm thế nào: Giao DPO (Mục 11) lập lịch nhắc: cập nhật hồ sơ, đánh giá lại rủi ro, kiểm tra phân quyền, diễn tập sự cố. Mỗi lần cập nhật hồ sơ thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách (Điều 22 khoản 3) và lưu biên nhận.
• Lưu ý: Khi công ty tổ chức lại/sáp nhập/chấm dứt/giải thể, thay đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân, hoặc phát sinh/thay đổi ngành nghề liên quan đến xử lý dữ liệu đã đăng ký — đó chính là 3 trường hợp phải cập nhật hồ sơ ngay theo Điều 22 khoản 2. Còn đổi ERP hay đổi vendor thông thường thì cập nhật trong kỳ rà soát định kỳ 06 tháng. Gắn checklist này vào quy trình phê duyệt thay đổi (change management) của công ty để không bỏ sót.

3. Các lỗi phổ biến khi tự làm checklist này

1. Checkbox đồng ý mặc định đã tích sẵn, gộp nhiều mục đích vào một ô. Vi phạm trực tiếp Điều 9 khoản 4 (sự im lặng/không phản hồi không được coi là đồng ý; đồng ý phải riêng cho từng mục đích). Cách sửa: tách từng mục đích thành ô riêng, mặc định để trống, lưu log đồng ý có timestamp.

2. Lập hồ sơ đánh giá tác động một lần rồi "đóng tủ". Đổi ERP, đổi vendor cloud mà không cập nhật trong kỳ rà soát 06 tháng, hoặc mở thêm ngành nghề liên quan đến dữ liệu mà không cập nhật ngay, là vi phạm Điều 22. Cách sửa: gắn nghĩa vụ cập nhật hồ sơ vào quy trình phê duyệt thay đổi của công ty; DPO rà soát định kỳ 06 tháng.

3. Dùng cloud/ERP nước ngoài cho dữ liệu khách hàng mà không làm hồ sơ chuyển xuyên biên giới. Nhiều FDI mặc định "hệ thống tập đoàn là nội bộ" — nhưng Điều 20 khoản 1 điểm c xác định dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam là chuyển xuyên biên giới, với trần phạt tới 5% doanh thu. Cách sửa: kiểm kê luồng chuyển (Mục 4) và lập hồ sơ theo Mục 9; chỉ dữ liệu người lao động lưu trên cloud mới được miễn thủ tục (Điều 20 khoản 6 điểm b).

4. Giữ hồ sơ ứng viên và dữ liệu nhân viên nghỉ việc vô thời hạn. Vi phạm Điều 25 (xóa hồ sơ ứng viên không trúng tuyển; xóa dữ liệu người lao động khi chấm dứt hợp đồng, trừ thỏa thuận/pháp luật khác). Cách sửa: quy định thời hạn lưu trữ cụ thể và quy trình xóa định kỳ; mọi ngoại lệ phải có thỏa thuận bằng văn bản với người lao động.

5. Không có kế hoạch ứng phó sự cố và đầu mối chịu trách nhiệm. Khi rò rỉ xảy ra, công ty mất nhiều ngày mới xác định ai báo cáo ai, bỏ lỡ mốc 72 giờ tại Điều 23. Cách sửa: ban hành kế hoạch ứng phó, chỉ định DPO/đầu mối (Điều 33 khoản 2), diễn tập ít nhất hàng năm.

4. Sau khi hoàn thành checklist

Khi cả 14 mục đều đạt ☑ (có bằng chứng đầy đủ), công ty đã ở trạng thái tuân thủ cơ bản theo Luật 91/2025/QH15. Bước tiếp theo: (i) duy trì lịch kiểm tra định kỳ tại Mục 14; (ii) đào tạo nhận thức bảo vệ dữ liệu cho toàn bộ nhân viên ít nhất hàng năm — vì lỗi con người là nguyên nhân của đa số sự cố; (iii) đánh giá lại toàn diện khi có thay đổi lớn về hệ thống, nhân sự chủ chốt, hoặc khi Chính phủ ban hành văn bản hướng dẫn mới.

Bắt buộc cần luật sư rà soát khi: phát hiện luồng chuyển dữ liệu xuyên biên giới phức tạp (nhiều quốc gia, dữ liệu nhạy cảm); xảy ra sự cố rò rỉ dữ liệu thực tế; nhận được yêu cầu làm việc/thanh tra từ cơ quan chức năng; hoặc khi công ty hoạt động trong lĩnh vực đặc thù (tài chính-ngân hàng, y tế, bảo hiểm, viễn thông) với nghĩa vụ bổ sung tại Điều 26, 27 Luật 91/2025/QH15.

FLAT LAW FIRM hỗ trợ doanh nghiệp FDI rà soát tuân thủ Luật Bảo vệ dữ liệu cá nhân trọn gói: kiểm kê và phân loại dữ liệu, soạn hồ sơ đánh giá tác động, chuẩn hóa đồng ý và chính sách, xây dựng kế hoạch ứng phó sự cố 72 giờ. Liên hệ hotline 0988424851 để được tư vấn.

5. Câu hỏi thường gặp

Luật Bảo vệ dữ liệu cá nhân có áp dụng với công ty mẹ/tập đoàn nước ngoài không có pháp nhân tại Việt Nam không? Có. Theo Điều 1 khoản 2 điểm c Luật 91/2025/QH15, Luật áp dụng cả với cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam, kể cả khi không có trụ sở tại Việt Nam. Công ty mẹ truy cập dữ liệu nhân sự, khách hàng tại Việt Nam qua ERP tập đoàn cũng nằm trong phạm vi điều chỉnh.

Công ty đã lấy đồng ý theo Nghị định 13/2023/NĐ-CP có phải xin lại đồng ý theo Luật mới không? Không. Điều 39 khoản 1 quy định hoạt động xử lý đang thực hiện mà đã được chủ thể đồng ý (hoặc theo thỏa thuận) theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực thì tiếp tục thực hiện, không phải xin đồng ý lại. Tuy nhiên, phạm vi chỉ giới hạn trong mục đích đã được đồng ý — mở rộng mục đích mới thì phải xin đồng ý mới.

Doanh nghiệp FDI nhỏ hoặc startup có được miễn lập hồ sơ đánh giá tác động không? Có giới hạn. Điều 38 khoản 2 cho phép doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp lựa chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm kể từ ngày Luật có hiệu lực. Nhưng ưu đãi này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu cá nhân đạt quy mô từ 100.000 chủ thể dữ liệu cá nhân trở lên theo kết quả tích lũy (Điều 41 Nghị định 356/2025/NĐ-CP) — các trường hợp mà phần lớn doanh nghiệp FDI đều rơi vào.

Dùng cloud/ERP của tập đoàn đặt ngoài Việt Nam để lưu dữ liệu nhân viên có phải làm hồ sơ chuyển dữ liệu xuyên biên giới không? Không — với điều kiện đúng trường hợp miễn tại Điều 20 khoản 6 điểm b (lưu trữ dữ liệu của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây). Nhưng nếu dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu khách hàng thu thập tại Việt Nam, công ty phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày (Điều 20 khoản 2).

Mức phạt cao nhất khi vi phạm Luật Bảo vệ dữ liệu cá nhân là bao nhiêu? Theo Điều 8 Luật 91/2025/QH15: tối đa 03 tỷ đồng đối với các vi phạm khác; 05% doanh thu năm trước liền kề đối với vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới; 10 lần khoản thu bất hợp pháp đối với hành vi mua, bán dữ liệu cá nhân. Các mức này áp dụng với tổ chức; cá nhân vi phạm bằng một nửa (Điều 8 khoản 6; Điều 7 Nghị định 330/2026/NĐ-CP).

6. Phiên bản ngôn ngữ

7. Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Quốc hội khóa XV, kỳ họp thứ 9 thông qua ngày 26/6/2025; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (thay thế Nghị định 13/2023/NĐ-CP), có hiệu lực từ 01/01/2026 — Điều 3 (danh mục dữ liệu cơ bản), Điều 4 (danh mục dữ liệu nhạy cảm).
• Nghị định 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — hiệu lực từ 19/8/2026.
• Nghị định 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân — hết hiệu lực khi Nghị định 356/2025/NĐ-CP có hiệu lực; các nội dung chuyển tiếp áp dụng theo Điều 39 Luật 91/2025/QH15.