Bước tiến mới trong bảo vệ quyền riêng tư: chính thức luật hóa bảo vệ dữ liệu cá nhân tại Việt Nam

Khung pháp lý đầu tiên về dữ liệu cá nhân tại Việt Nam

Luật Bảo vệ dữ liệu cá nhân gồm 39 điều, chia thành 5 chương, sẽ chính thức có hiệu lực từ ngày 01/1/2026. Đây là đạo luật đầu tiên đặt nền móng pháp lý toàn diện cho việc bảo vệ dữ liệu cá nhân tại Việt Nam, tương thích với các chuẩn mực quốc tế như Quy định Bảo vệ Dữ liệu Chung (GDPR) của Liên minh châu Âu.

Luật quy định rõ các quyền của chủ thể dữ liệu cá nhân như: quyền biết, quyền đồng ý, quyền rút lại sự đồng ý, quyền truy cập, chỉnh sửa, xóa, phản đối xử lý và yêu cầu hạn chế xử lý dữ liệu cá nhân. Đồng thời, xác lập nghĩa vụ bảo mật, bảo vệ và báo cáo vi phạm dữ liệu đối với các tổ chức, doanh nghiệp và cá nhân có liên quan.

Đặc biệt, Luật trao quyền giám sát và xử phạt mạnh mẽ hơn cho cơ quan quản lý nhà nước, đồng thời yêu cầu các doanh nghiệp trong và ngoài nước khi xử lý dữ liệu cá nhân của công dân Việt Nam đều phải tuân thủ đầy đủ quy định pháp luật Việt Nam.

 Mức phạt cao chưa từng có

Điểm đáng chú ý nhất của Luật là chế tài xử phạt mang tính răn đe mạnh mẽ, đặc biệt đối với hành vi mua bán, chuyển nhượng hoặc xử lý dữ liệu cá nhân trái phép. Theo đó, hành vi mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần khoản thu bất hợp pháp. Nếu không xác định được doanh thu, mức phạt tối đa là 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân. 

Hành vi chuyển dữ liệu cá nhân ra nước ngoài trái phép có thể bị phạt tới 5% doanh thu năm trước hoặc tối đa 3 tỷ đồng nếu không xác định được doanh thu.

Ngoài ra, các vi phạm khác liên quan đến thu thập, sử dụng, lưu trữ và tiêu hủy dữ liệu không đúng quy định cũng có thể bị xử phạt hành chính tới 3 tỷ đồng. 

Đây là những mức xử phạt cao chưa từng có trong lĩnh vực bảo vệ quyền riêng tư tại Việt Nam, thể hiện rõ quyết tâm của Quốc hội và Chính phủ trong việc lập lại trật tự trong môi trường số.

Doanh nghiệp buộc phải tuân thủ

Luật yêu cầu các tổ chức, doanh nghiệp phải có bộ phận chuyên trách về bảo vệ dữ liệu cá nhân, thiết lập quy trình phản ứng sự cố và báo cáo vi phạm trong vòng 72 giờ. Ngoài ra, việc đánh giá tác động xử lý dữ liệu (DPIA) và quy trình chuyển dữ liệu ra nước ngoài cũng phải được tuân thủ nghiêm ngặt.

Tuy nhiên, để tạo điều kiện cho khu vực doanh nghiệp nhỏ và khởi nghiệp, Luật cho phép miễn một số nghĩa vụ như lập hồ sơ đánh giá tác động hoặc bổ nhiệm bộ phận bảo vệ dữ liệu đối với hộ kinh doanh và doanh nghiệp siêu nhỏ. Các doanh nghiệp nhỏ và khởi nghiệp khác được gia hạn thời gian đến 5 năm để tuân thủ đầy đủ các nghĩa vụ.

Nghị định 13/2023/NĐ-CP: hướng dẫn thi hành và chuẩn bị cho Luật 

Trước khi Luật có hiệu lực, Nghị định số 13/2023/NĐ-CP của Chính phủ (ban hành ngày 17/4/2023, hiệu lực từ 1/7/2023) vẫn là văn bản nền tảng hướng dẫn bảo vệ dữ liệu cá nhân, làm cơ sở để các tổ chức và cá nhân triển khai thực tiễn.

Nghị định quy định chi tiết 11 quyền của chủ thể dữ liệu cá nhân, các nguyên tắc xử lý dữ liệu, yêu cầu doanh nghiệp báo cáo chính sách nội bộ và xử lý vi phạm trong vòng 72 giờ. Ngoài ra, Nghị định cũng quy định rõ các hành vi bị cấm như: Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân; tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác; Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.

Việc ban hành và triển khai Nghị định 13 được xem là bước chuẩn bị quan trọng để đưa Luật Bảo vệ dữ liệu cá nhân vào thực tiễn một cách trơn tru và hiệu quả.

Trong bối cảnh bùng nổ công nghệ, mạng xã hội, thương mại điện tử và trí tuệ nhân tạo, dữ liệu cá nhân trở thành “tài sản số” vô cùng quý giá nhưng cũng dễ bị xâm phạm. Sự ra đời của Luật Bảo vệ dữ liệu cá nhân và Nghị định 13 không chỉ là nhu cầu cấp thiết mà còn là bước đi chiến lược để Việt Nam hội nhập, bảo vệ người dân và xây dựng một môi trường số an toàn, đáng tin cậy.

Việc luật hóa quyền bảo vệ dữ liệu cá nhân cũng thể hiện tư duy quản trị quốc gia hiện đại, đặt con người làm trung tâm, gắn quyền riêng tư cá nhân với phát triển kinh tế số.

Trong cuộc trao đổi riêng với phóng viên Báo Kinh tế & Đô thị, Tiến sĩ, luật sư Hồ Minh Khánh chia sẻ: "Ngay từ bây giờ, các tổ chức, doanh nghiệp - đặc biệt là những đơn vị hoạt động trong lĩnh vực tài chính, công nghệ, thương mại điện tử, bảo hiểm, y tế - cần chủ động rà soát toàn bộ quy trình quản lý và xử lý dữ liệu cá nhân để chuẩn bị cho giai đoạn thi hành luật.

“Các bước cần thực hiện bao gồm: rà soát lại chính sách bảo mật và quy trình nội bộ; chỉ định bộ phận chịu trách nhiệm bảo vệ dữ liệu (DPO); thực hiện đánh giá tác động xử lý dữ liệu (DPIA); xây dựng quy trình phản ứng sự cố và báo cáo vi phạm đúng thời hạn 72 giờ; tổ chức đào tạo nhân sự về quyền dữ liệu cá nhân và nghĩa vụ tuân thủ pháp luật.

 Nếu không chủ động thích ứng, doanh nghiệp không chỉ đối mặt với rủi ro pháp lý và tài chính rất lớn, mà còn có nguy cơ mất uy tín nghiêm trọng trong mắt người tiêu dùng và đối tác quốc tế”.