Ví dụ thực tế — Trang 26

Cần làm rõ trước: một số thông tin lan truyền về "Nghị quyết 21-NQ/TW định hướng sửa đổi Luật Đất đai" không khớp với thực tế khi tra cứu trực tiếp — văn bản mang số hiệu 21-NQ/TW thực chất là một nghị quyết năm 2012 của Bộ Chính trị về bảo hiểm xã hội/bảo hiểm y tế, hoàn toàn không liên quan đến đất đai. Nếu bạn đang tìm một nghị quyết định hướng của Đảng về chính sách đất đai, có thể bạn đang nhớ nhầm số hiệu — nhưng dù đúng số hiệu nào, văn kiện của Đảng (khác với luật do Quốc hội ban hành) không phải là văn bản pháp luật có hiệu lực thi hành trực tiếp, mà chỉ là định hướng chính trị để Quốc hội/Chính phủ thể chế hóa thành luật, nghị định sau đó — nên không thể viện dẫn trực tiếp một nghị quyết của Đảng để áp dụng vào một vụ việc tranh chấp đất đai cụ thể. VỀ VĂN BẢN SỬA ĐỔI CHÍNH THỨC ĐÃ CÓ HIỆU LỰC: Luật Đất đai 31/2024/QH15 (luật gốc, ban hành 18/01/2024) trên thực tế ĐÃ được sửa đổi một lần, bằng Luật 43/2024/QH15 — "Sửa đổi, bổ sung một số điều của Luật Đất đai, Luật Nhà ở, Luật Kinh doanh bất động sản, Luật Các tổ chức tín dụng", ban hành 29/06/2024, có hiệu lực từ 01/08/2024 (sớm hơn hiệu lực dự kiến ban đầu của Luật Đất đai 2024, vốn được đẩy sớm lên từ 01/01/2025). Đây là luật sửa đổi CHÍNH THỨC, đã được Quốc hội thông qua và đang có hiệu lực (một phần) — khác hẳn với một văn kiện định hướng chưa được luật hóa. Về nội dung: Luật 43/2024/QH15 chủ yếu đẩy sớm hiệu lực thi hành của bốn luật liên quan (Luật Đất đai 2024, Luật Nhà ở 2023, Luật Kinh doanh bất động sản 2023, và một số điều khoản chuyển tiếp của Luật Các tổ chức tín dụng 2024) từ mốc dự kiến 01/01/2025 lên 01/08/2024, đồng thời điều chỉnh một số điều khoản chuyển tiếp để đảm bảo tính đồng bộ khi các luật này có hiệu lực sớm hơn dự kiến. Đây là sửa đổi mang tính kỹ thuật về THỜI ĐIỂM ÁP DỤNG và điều khoản chuyển tiếp là chủ yếu, không phải một cuộc cải cách nội dung lớn về quyền sử dụng đất, bồi thường hay tranh chấp đất đai. TẠI SAO ĐIỀU NÀY QUAN TRỌNG với một vụ tranh chấp đất cụ thể: nếu vụ việc của bạn phát sinh hoặc đang được giải quyết trong khoảng thời gian giao thời (trước 01/08/2024, hoặc giữa 01/08/2024 và mốc 01/01/2025 dự kiến ban đầu), việc xác định CHÍNH XÁC luật nào có hiệu lực tại từng thời điểm — Luật Đất đai 2013 cũ, hay Luật Đất đai 2024 đã có hiệu lực sớm theo Luật 43/2024/QH15 — có thể ảnh hưởng trực tiếp đến căn cứ pháp lý áp dụng cho vụ việc. Đây là điểm nên kiểm tra kỹ với luật sư/người có chuyên môn khi rà soát hồ sơ, thay vì chỉ dựa vào ngày tháng chung chung. Cần lưu ý thêm: tình trạng hiệu lực hiện tại của Luật 43/2024/QH15 được ghi nhận là "hết hiệu lực một phần" — nghĩa là một số điều khoản của chính luật sửa đổi này cũng đã được thay thế/điều chỉnh tiếp bởi các văn bản sau đó. Với một vụ việc cụ thể, cách an toàn nhất là không tự suy luận từ tên gọi hay ngày ban hành của luật, mà nên tra cứu trực tiếp nội dung điều khoản đang áp dụng và kiểm tra tình trạng hiệu lực tại thời điểm hiện tại, tốt nhất thông qua luật sư hoặc công cụ tra cứu có trích dẫn được đúng Điều/Khoản còn hiệu lực. Khuyến nghị: nếu vụ tranh chấp đất của bạn cần viện dẫn quy định pháp luật cụ thể, nên xác định rõ (a) loại tranh chấp là gì (thừa kế, ranh giới, hợp đồng chuyển nhượng, thu hồi/bồi thường...), (b) thời điểm phát sinh sự việc, để từ đó tra cứu đúng văn bản và điều khoản đang có hiệu lực áp dụng cho loại tranh chấp và thời điểm đó — thay vì dựa vào một văn kiện định hướng chưa được luật hóa hoặc chưa xác minh được số hiệu chính xác.Nguồn: Luật 43/2024/QH15; Luật Đất đai 31/2024/QH15

Cần tách bạch rõ: những con số về một khoản "giảm 30%" đang lan truyền hiện chưa xác minh được là văn bản pháp luật chính thức nào — có thể là một đề xuất/dự thảo đang trong quá trình thảo luận, chưa được Quốc hội thông qua. Dưới đây là mức thuế THỰC SỰ đang áp dụng theo luật hiện hành, để doanh nghiệp có căn cứ chắc chắn thay vì dựa vào tin đồn về một chính sách chưa chính thức. Căn cứ Điều 10 Luật Thuế thu nhập doanh nghiệp 67/2025/QH15 (hiệu lực từ 01/10/2025, còn hiệu lực), mức thuế suất áp dụng theo doanh thu năm của kỳ tính thuế liền kề trước đó: - Thuế suất phổ thông: 20%. - 15% — áp dụng cho doanh nghiệp có tổng doanh thu năm TỪ 3 TỶ ĐỒNG TRỞ XUỐNG. - 17% — áp dụng cho doanh nghiệp có tổng doanh thu năm TRÊN 3 TỶ ĐẾN 50 TỶ ĐỒNG. Như vậy, ngưỡng phân loại chính xác theo luật hiện hành là 3 tỷ và 50 tỷ đồng — không phải 10 tỷ như một số thông tin lan truyền đề cập, và cũng không phải một mức giảm 30% đồng loạt mà là hai mức thuế suất ưu đãi cụ thể (15%/17%) thấp hơn mức phổ thông 20%. NGOÀI RA, còn hai chính sách ưu đãi khác đáng chú ý, độc lập với cơ chế thuế suất theo doanh thu ở trên: 1) Miễn thuế 3 năm cho doanh nghiệp mới thành lập: khoản 4 Điều 10 Nghị quyết 198/2025/QH15 (về cơ chế, chính sách đặc biệt phát triển kinh tế tư nhân) quy định doanh nghiệp nhỏ và vừa MỚI ĐĂNG KÝ được miễn HOÀN TOÀN thuế thu nhập doanh nghiệp trong 3 năm kể từ ngày được cấp Giấy chứng nhận đăng ký doanh nghiệp lần đầu — đây là ưu đãi đáng kể hơn nhiều so với mức giảm thuế suất thông thường, nhưng chỉ áp dụng cho doanh nghiệp MỚI, không áp dụng cho doanh nghiệp đã hoạt động lâu năm. 2) Một ưu đãi bổ sung sắp/đang triển khai: Luật 09/2026/QH16 (hiệu lực 24/04/2026, còn hiệu lực) đã bổ sung khoản 14a Điều 4 Luật Thuế thu nhập doanh nghiệp 67/2025/QH15, quy định thêm một trường hợp MIỄN THUẾ HOÀN TOÀN cho doanh nghiệp có doanh thu năm dưới một ngưỡng cụ thể — tuy nhiên, mức ngưỡng cụ thể này được giao cho Chính phủ quy định chi tiết bằng nghị định riêng, và tại thời điểm bài viết, nghị định hướng dẫn xác định ngưỡng chính xác chưa được xác nhận ban hành trong kho dữ liệu tra cứu. Doanh nghiệp nên theo dõi văn bản hướng dẫn này khi được ban hành chính thức, thay vì áp dụng theo các con số chưa xác thực đang lan truyền. Tóm lại, ba lớp chính sách đang cùng tồn tại, không nên nhầm lẫn với nhau: - Thuế suất ưu đãi theo doanh thu (15%/17% tại ngưỡng 3 tỷ/50 tỷ) — áp dụng ngay, đã có hiệu lực, cho MỌI doanh nghiệp đủ điều kiện doanh thu, không phân biệt mới hay cũ. - Miễn thuế 3 năm cho doanh nghiệp mới thành lập theo Nghị quyết 198/2025/QH15 — đã có hiệu lực, nhưng chỉ cho doanh nghiệp MỚI đăng ký. - Miễn thuế bổ sung theo ngưỡng doanh thu do Luật 09/2026/QH16 mở đường — đã được luật hóa về nguyên tắc, nhưng NGƯỠNG CỤ THỂ còn chờ nghị định hướng dẫn, chưa áp dụng được trên thực tế. Doanh nghiệp nên làm gì: xác định doanh thu năm liền kề trước đó của mình để biết đang thuộc mức thuế suất 15%, 17% hay 20%; nếu là doanh nghiệp mới thành lập, kiểm tra điều kiện để hưởng miễn thuế 3 năm theo Nghị quyết 198/2025/QH15; và theo dõi việc ban hành nghị định hướng dẫn khoản 14a Điều 4 (theo Luật 09/2026/QH16) để nắm bắt kịp thời nếu có thêm ưu đãi mới — không nên lập kế hoạch tài chính dựa trên các con số về một chính sách "giảm 30%" chưa xác minh được nguồn chính thức.Nguồn: Điều 4, Điều 10 Luật Thuế thu nhập doanh nghiệp 67/2025/QH15 (được bổ sung bởi Luật 09/2026/QH16); Điều 10 Nghị quyết 198/2025/QH15

Câu trả lời trung thực là: khung tiêu chí phân loại đã có trong Luật, nhưng DANH MỤC CỤ THỂ liệt kê từng loại hệ thống rủi ro cao thì CHƯA được tìm thấy ở đâu tại thời điểm bài viết này — nên không thể khẳng định chắc chắn một sản phẩm cụ thể có thuộc diện rủi ro cao hay không, chỉ có thể phân tích theo tinh thần của các tiêu chí đã ban hành. Đây cũng là một minh họa thực tế cho vấn đề mà chính các công cụ AI tra cứu pháp luật cần giải quyết: phân biệt giữa "luật đã quy định" và "văn bản hướng dẫn chưa ban hành" — không thể gộp hai thứ làm một khi tư vấn. VỀ KHUNG PHÂN LOẠI ĐÃ CÓ: Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 chia hệ thống AI thành ba mức rủi ro — cao, trung bình, thấp — dựa trên các tiêu chí định tính: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô ảnh hưởng. Khoản 3 Điều 9 giao Chính phủ quy định chi tiết điều này. VỀ VIỆC AI TRA CỨU PHÁP LUẬT CÓ THUỘC DIỆN RỦI RO CAO HAY KHÔNG: xét theo tinh thần các tiêu chí định tính tại Điều 9 — mức độ tác động đến quyền con người, phạm vi người dùng — có thể lập luận theo cả hai hướng. Một mặt, công cụ tra cứu pháp luật không TRỰC TIẾP ra quyết định thay con người (không tự động phê duyệt khoản vay, không tự động ra phán quyết) — nó chỉ hỗ trợ tra cứu, cung cấp thông tin để người dùng (luật sư, doanh nghiệp, cá nhân) tự đưa ra quyết định, phù hợp với nguyên tắc tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người." Mặt khác, nếu công cụ được dùng rộng rãi để tư vấn pháp lý, và người dùng tin tưởng tuyệt đối vào kết quả tra cứu mà không kiểm chứng, một câu trả lời sai (trích dẫn nhầm điều luật, dùng văn bản đã hết hiệu lực) có thể dẫn đến hậu quả pháp lý thực sự cho người dùng — đây chính là loại rủi ro mà khung phân loại của Luật hướng tới xử lý. Khoản 4 Điều 13 Luật quy định rõ: "Thủ tướng Chính phủ quy định Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, bao gồm danh mục hệ thống trí tuệ nhân tạo phải chứng nhận sự phù hợp trước khi đưa vào sử dụng." Đây là văn bản QUYẾT ĐỊNH sẽ trả lời chính xác câu hỏi này — nhưng tại thời điểm bài viết, sau khi tra cứu trực tiếp qua kho dữ liệu văn bản pháp luật, danh mục này CHƯA xuất hiện. Bất kỳ thông tin nào khẳng định đã có một danh mục cụ thể (ví dụ với một con số hệ thống cụ thể nào đó) mà không dẫn được đúng số hiệu văn bản chính thức, người đọc nên yêu cầu nguồn xác thực trước khi tin — đây chính xác là loại tuyên bố dễ bị lan truyền sai lệch trên mạng xã hội/báo chí trước khi văn bản gốc thực sự được ban hành. ĐIỀU CÓ THỂ NÓI CHẮC CHẮN NGAY BÂY GIỜ, không cần chờ danh mục: Điều 11 Luật quy định về minh bạch — hệ thống AI phải bảo đảm người dùng biết mình đang tương tác với AI, và với các ứng dụng có khả năng ảnh hưởng đến quyền lợi, cần có cơ chế giải trình về quyết định/kết quả đưa ra. Với một công cụ tra cứu pháp luật, điều này có nghĩa: (a) phải trích dẫn rõ nguồn — đúng Điều, Khoản, đúng văn bản, để người dùng có thể tự đối chiếu, không chỉ đưa câu trả lời không kiểm chứng được; (b) phải phân biệt rõ giữa luật đã ban hành/có hiệu lực và những gì còn đang chờ văn bản hướng dẫn — như chính bài viết này đang làm; (c) không được để người dùng lầm tưởng AI đang "ra phán quyết" thay vì hỗ trợ tra cứu, đúng tinh thần khoản 2 Điều 4 nêu trên. Về trách nhiệm nếu công cụ tra cứu gây thiệt hại: khoản 2 Điều 29 Luật quy định — dù hệ thống AI rủi ro cao được vận hành đúng quy định nhưng vẫn gây thiệt hại, bên triển khai (deployer, tức đơn vị cung cấp dịch vụ AI cho người dùng cuối) phải bồi thường trước, sau đó mới yêu cầu nhà phát triển hoàn trả nếu có thỏa thuận. Đây gần như trách nhiệm nghiêm ngặt đặt lên bên triển khai — dù chưa rõ công cụ tra cứu pháp luật có chính thức bị xếp vào "rủi ro cao" hay không, nguyên tắc thận trọng (trích dẫn chính xác, không suy diễn quá mức những gì luật chưa quy định) vẫn nên là tiêu chuẩn vận hành mặc định, không đợi đến khi có danh mục chính thức mới áp dụng. KẾT LUẬN THỰC TẾ: bất kỳ ai đang đánh giá một công cụ AI tra cứu pháp luật — bao gồm cả việc tự đánh giá sản phẩm của chính mình — nên đặt ra hai câu hỏi trước khi tin tưởng kết quả: (1) công cụ có trích dẫn được đúng Điều/Khoản, đúng văn bản còn hiệu lực, để tự đối chiếu hay không; (2) công cụ có phân biệt rõ ràng giữa "luật đã quy định" và "đang chờ văn bản hướng dẫn/danh mục cụ thể" hay đưa ra câu trả lời khẳng định chắc nịch về những thứ chưa tồn tại. Danh mục hệ thống rủi ro cao theo Điều 13 khoản 4 là ví dụ trực tiếp cho vế thứ hai — ngay lúc này, câu trả lời trung thực nhất là "chưa có," không phải một con số cụ thể nào đó.Nguồn: Điều 4, Điều 9, Điều 11, Điều 13, Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP

Với đặc thù ngành tài chính tiêu dùng — xử lý khối lượng lớn dữ liệu nhạy cảm (CCCD, tài khoản ngân hàng, sinh trắc học, lịch sử tín dụng) và số lượng khách hàng thường vượt xa ngưỡng miễn trừ cho doanh nghiệp nhỏ — một công ty như vậy gần như chắc chắn thuộc diện phải tuân thủ đầy đủ, không được hưởng ưu đãi tạm hoãn 5 năm dành cho SME. Dưới đây là khung checklist dựa trên các nghĩa vụ cụ thể trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện hành — mang tính minh họa cho một công ty điển hình trong ngành, không phải đánh giá cho một doanh nghiệp cụ thể nào. ☐ 1) XÁC ĐỊNH DỮ LIỆU NHẠY CẢM ĐANG XỬ LÝ. Theo khoản 1 Điều 4 Nghị định 356, với một công ty cho vay tiêu dùng, gần như chắc chắn có: số CCCD/thông tin định danh, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, dữ liệu sinh trắc học (khuôn mặt qua eKYC). Vì có xử lý dữ liệu nhạy cảm, công ty KHÔNG thuộc diện miễn trừ SME dù quy mô nhỏ (điều kiện loại trừ ưu đãi tại Điều 41 Nghị định 356). ☐ 2) RÀ SOÁT CƠ CHẾ XIN ĐỒNG Ý. Theo khoản 4 Điều 6 Nghị định 356, với dữ liệu nhạy cảm phải thông báo rõ đây là dữ liệu nhạy cảm khi xin đồng ý — không gộp chung vào điều khoản dịch vụ dài dòng mà khách hàng không thực sự đọc. Giao diện đăng ký khoản vay/app cho vay cần: tách riêng mục xin đồng ý xử lý dữ liệu sinh trắc học/tài chính; không mặc định tick sẵn; lưu vết bằng chứng đồng ý (thời điểm, nội dung, hình thức) để chứng minh khi cần theo khoản 2 Điều 6. ☐ 3) LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU (ĐTA). Khoản 1 Điều 21 Luật yêu cầu nộp hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nếu công ty đã hoạt động trước 01/01/2026 và đã nộp hồ sơ theo Nghị định 13/2023 cũ, hồ sơ đó vẫn có giá trị theo điều khoản chuyển tiếp (khoản 2 Điều 39 Luật) — không cần nộp lại, chỉ cập nhật khi có thay đổi đáng kể về mục đích/phạm vi xử lý (Điều 22). ☐ 4) NẾU CÓ CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI (ví dụ dùng nền tảng eKYC/chấm điểm tín dụng đặt máy chủ ở nước ngoài, hoặc công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam): khoản 2 Điều 20 yêu cầu nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới trong 60 NGÀY kể từ lần chuyển đầu tiên — cần rà soát toàn bộ nhà cung cấp dịch vụ (core banking, chấm điểm tín dụng, lưu trữ đám mây) xem máy chủ đặt ở đâu. ☐ 5) CHỈ ĐỊNH BỘ PHẬN/NHÂN SỰ BẢO VỆ DỮ LIỆU. Điều 33 khoản 1-2 Luật yêu cầu có bộ phận/nhân sự phụ trách — Điều 13 Nghị định 356 đặt tiêu chuẩn: trình độ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, CNTT, an ninh mạng, quản trị rủi ro...), được đào tạo về bảo vệ dữ liệu cá nhân. Với công ty tài chính, nhân sự này thường nên phối hợp chặt với bộ phận tuân thủ/pháp chế và bộ phận an ninh thông tin sẵn có. ☐ 6) XÂY DỰNG QUY TRÌNH PHẢN HỒI YÊU CẦU CỦA KHÁCH HÀNG. Theo khoản 2 Điều 5 Nghị định 356: phản hồi yêu cầu rút lại đồng ý/hạn chế xử lý trong 2 NGÀY LÀM VIỆC, hoàn tất trong 15 NGÀY (hoặc 20 ngày nếu có bên thứ ba xử lý dữ liệu liên quan, ví dụ đơn vị chấm điểm tín dụng thuê ngoài). Với ngành cho vay, cần lưu ý ngoại lệ tại Điều 19 Luật — một số dữ liệu vẫn cần giữ lại để thực hiện nghĩa vụ hợp đồng vay đang có hiệu lực, cần nêu rõ căn cứ khi từ chối yêu cầu xóa toàn bộ dữ liệu của khách hàng đang có khoản vay chưa tất toán. ☐ 7) XÂY DỰNG QUY TRÌNH ỨNG PHÓ SỰ CỐ RÒ RỈ DỮ LIỆU. Khoản 1 Điều 23 Luật yêu cầu thông báo cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện vi phạm có khả năng ảnh hưởng đến tính mạng, sức khỏe, danh dự, tài sản của khách hàng. Với công ty tài chính nắm dữ liệu tài khoản ngân hàng của hàng chục nghìn khách hàng, đây là rủi ro cao nếu bị tấn công mạng — cần có quy trình phát hiện sớm, mẫu thông báo (Mẫu số 08 theo Điều 28 Nghị định 356) chuẩn bị sẵn, không phải soạn từ đầu khi sự cố xảy ra. ☐ 8) RÀ SOÁT HỢP ĐỒNG VỚI ĐỐI TÁC XỬ LÝ DỮ LIỆU BÊN NGOÀI. Các nhà cung cấp dịch vụ chấm điểm tín dụng, eKYC, thu hồi nợ thuê ngoài đều là "bên xử lý dữ liệu" hoặc "bên thứ ba" theo Luật — hợp đồng với các đối tác này cần có điều khoản ràng buộc về bảo vệ dữ liệu, phối hợp khi có yêu cầu rút lại đồng ý hoặc sự cố rò rỉ. Mức độ ưu tiên thực tế: với một công ty tài chính tiêu dùng đã hoạt động một thời gian, mục (2) sửa giao diện xin đồng ý và mục (7) quy trình ứng phó sự cố thường là hai điểm rủi ro cao nhất bị bỏ sót trong thực tế, vì đây là chỗ trực tiếp ảnh hưởng đến số đông khách hàng và dễ bị phát hiện vi phạm nhất khi có khiếu nại hoặc thanh tra.Nguồn: Điều 4, Điều 5, Điều 6, Điều 19, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 39, Điều 41 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Rất có thể là có — và nếu đúng, quy trình xin đồng ý phải chặt chẽ hơn dữ liệu cá nhân thông thường một bước quan trọng. Danh mục dữ liệu cá nhân nhạy cảm được quy định cụ thể tại khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, bao gồm (tóm lược): dữ liệu về chủng tộc/dân tộc; quan điểm chính trị/tôn giáo; đời sống riêng tư/bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học (vân tay, khuôn mặt, mống mắt...); dữ liệu di truyền; xu hướng tính dục; tiền án/tiền sự; dữ liệu vị trí; và đáng chú ý — thông tin xác thực định danh điện tử, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, cùng dữ liệu hành vi trên mạng viễn thông/mạng xã hội. Với tình huống bạn nêu: số CCCD (gắn với định danh), thông tin tài khoản ngân hàng, và dữ liệu sinh trắc học ĐỀU thuộc danh mục dữ liệu nhạy cảm theo quy định này. Về nguyên tắc chung, khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." Đây là nguyên tắc áp dụng cho MỌI loại dữ liệu cá nhân. Nhưng với dữ liệu NHẠY CẢM, có thêm một yêu cầu riêng tại khoản 4 Điều 6 Nghị định 356: "Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm." Nói ngắn gọn: không đủ nếu chỉ xin đồng ý chung chung "cho phép xử lý dữ liệu cá nhân của tôi" — với dữ liệu nhạy cảm, phải nói RÕ với khách hàng rằng loại dữ liệu sắp thu thập được xếp vào diện nhạy cảm, để họ hiểu đúng mức độ và quyết định có đồng ý hay không. Về hình thức thể hiện sự đồng ý (áp dụng chung cho cả dữ liệu thường và nhạy cảm), khoản 1-3 Điều 6 Nghị định 356 đặt ra các nguyên tắc: sự đồng ý phải được thể hiện rõ ràng, cụ thể, tự nguyện và có thể kiểm chứng được — có thể dưới dạng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn/email/trang thông tin điện tử/ứng dụng hoặc hình thức khác thể hiện được; bên kiểm soát dữ liệu có trách nhiệm CHỨNG MINH được sự đồng ý của chủ thể dữ liệu khi có tranh chấp, khiếu nại; và đặc biệt — không được thiết kế giao diện đồng ý/không đồng ý theo hướng mặc định đồng ý (default opt-in) hay gây hiểu lầm về việc chủ thể dữ liệu đã đồng ý. Một điểm quan trọng khác cần biết: dù đã có đồng ý, chủ thể dữ liệu vẫn giữ quyền rút lại sự đồng ý bất cứ lúc nào theo Điều 10 Luật (xem thêm bài viết riêng về quyền rút lại đồng ý) — việc thu thập dữ liệu nhạy cảm hợp lệ ban đầu không có nghĩa doanh nghiệp được xử lý dữ liệu đó vĩnh viễn không cần quan tâm ý chí sau này của khách hàng. Doanh nghiệp nên làm gì: 1) Rà soát lại toàn bộ các trường dữ liệu đang thu thập từ khách hàng, đối chiếu với danh mục tại khoản 1 Điều 4 Nghị định 356 để xác định chính xác đâu là dữ liệu nhạy cảm. 2) Sửa lại mẫu/giao diện xin đồng ý (form đăng ký, điều khoản sử dụng, checkbox...) để có thông báo rõ ràng, riêng biệt cho các trường dữ liệu nhạy cảm, thay vì gộp chung vào một dòng đồng ý tổng quát. 3) Đảm bảo hệ thống lưu vết được bằng chứng đồng ý (thời điểm, nội dung đã đồng ý, hình thức đồng ý) để có thể chứng minh khi cần, vì nghĩa vụ chứng minh thuộc về bên kiểm soát dữ liệu, không phải khách hàng. 4) Rà soát lại toàn bộ giao diện đồng ý hiện tại xem có đang mặc định tick sẵn ô đồng ý hay không — nếu có, đây là điểm cần sửa ngay vì trái với quy định cấm mặc định đồng ý.Nguồn: Điều 11, Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4, Điều 6 Nghị định 356/2025/NĐ-CP