Luật Bảo vệ dữ liệu cá nhân có hiệu lực: mức phạt và nghĩa vụ mới của doanh nghiệp

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua tháng 6/2025 và có hiệu lực từ ngày 1/1/2026. Luật gồm 5 chương, 39 điều. Cùng ngày, Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025) có hiệu lực, hướng dẫn chi tiết và thay thế Nghị định 13/2023/NĐ-CP. Đây là lần đầu bảo vệ dữ liệu cá nhân được nâng lên thành luật, với khung xử phạt nặng hơn nhiều so với trước.

Mức phạt đáng chú ý

Theo nội dung luật được giới thiệu trên Cổng Pháp luật quốc gia:

• Mua bán dữ liệu cá nhân trái phép: phạt tối đa gấp 10 lần khoản thu có được từ hành vi vi phạm.
• Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: phạt tối đa 5% doanh thu năm liền trước.
• Các vi phạm khác: phạt tối đa 3 tỷ đồng với tổ chức.

Mức phạt theo doanh thu khiến bài toán tuân thủ trở thành chuyện của ban lãnh đạo, không chỉ của bộ phận công nghệ.

Doanh nghiệp nhỏ được miễn một số nghĩa vụ

Luật có điều khoản miễn trừ một số nghĩa vụ cho doanh nghiệp nhỏ, siêu nhỏ và doanh nghiệp khởi nghiệp trong thời gian nhất định. Tuy vậy, miễn trừ không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Doanh nghiệp nhỏ vẫn phải tuân thủ các nguyên tắc chung như có sự đồng ý hợp lệ và bảo đảm an toàn dữ liệu.

Việc gì ảnh hưởng trực tiếp đến marketing

Nhiều hoạt động marketing quen thuộc dựa trên dữ liệu cá nhân: thu thập số điện thoại qua form, gửi email, chạy quảng cáo nhắm lại, mua danh sách khách hàng. Với luật mới:

• Sự đồng ý của khách phải rõ ràng, gắn với mục đích cụ thể. Ô đánh dấu được chọn sẵn không còn là cách làm an toàn.
• Mua bán danh sách khách hàng là vùng rủi ro cao nhất, vì gắn với mức phạt gấp 10 lần khoản thu.
• Dữ liệu chuyển ra nước ngoài, chẳng hạn lưu trên dịch vụ đám mây đặt máy chủ ở nước ngoài, cần được rà soát theo quy định chuyển dữ liệu xuyên biên giới.

Các bước chuẩn bị được hướng dẫn chi tiết trong bài tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp. Người làm email marketing có thể đọc thêm email marketing không thành thư rác.

Bối cảnh

Luật ra đời cùng giai đoạn với Luật Chuyển đổi số và Luật Thương mại điện tử. Ba luật này cùng tạo khung pháp lý cho hoạt động kinh doanh trên môi trường số. Doanh nghiệp bán hàng online cần đọc chúng như một bộ, vì nghĩa vụ lưu dữ liệu giao dịch theo luật thương mại điện tử phải đi kèm nghĩa vụ bảo vệ dữ liệu cá nhân trong chính kho dữ liệu đó.

ThuongHieu.vn cũng tự áp dụng các nguyên tắc này với dữ liệu người đọc; xem chính sách dữ liệu của chúng tôi.

Nguồn

• Cổng Pháp luật quốc gia: Luật Bảo vệ dữ liệu cá nhân 2025: khi quyền riêng tư trở thành quyền năng số
• LuatVietnam: Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân
• EY Việt Nam: Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân