Ví dụ thực tế về Dữ liệu cá nhân — Trang 3

Thường là không đúng. Mua hàng bình thường không cần số căn cước của bạn, nên cửa hàng không được bắt chụp căn cước làm điều kiện để bán, trừ khi có luật cụ thể buộc họ xác minh danh tính cho loại giao dịch đó. Ảnh căn cước có họ tên, ngày sinh, số định danh, ảnh chân dung, đều là dữ liệu cá nhân (Điều 2 khoản 1 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực từ 01/01/2026). Theo luật này: 1) Chỉ được thu thập dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng (Điều 3 khoản 2). 2) Bạn có quyền không đồng ý (Điều 4 khoản 1 điểm b). Sự đồng ý phải tự nguyện, biết rõ dữ liệu dùng vào việc gì, và không được kèm điều kiện bắt buộc đồng ý cho mục đích khác ngoài nội dung thỏa thuận (Điều 9 khoản 2, 4). Mức phạt theo Nghị định 330/2026/NĐ-CP (áp dụng từ 19/08/2026), tính cho tổ chức: • Thu thập dữ liệu cá nhân không đúng phạm vi, mục đích hoặc không có sự đồng ý: 30 đến 50 triệu đồng (Điều 48 khoản 1). • Ép khách đồng ý cho xử lý dữ liệu vào mục đích không liên quan, không đồng ý thì từ chối phục vụ: 30 đến 50 triệu đồng (Điều 43 khoản 1 điểm b). Cửa hàng là cá nhân, hộ kinh doanh bị phạt một nửa (Điều 7 khoản 1). Khi bị yêu cầu, bạn cứ hỏi chụp để làm gì, lưu bao lâu, theo quy định nào. Cửa hàng không trả lời được thì bạn có quyền từ chối.Nguồn: Điều 2 khoản 1, Điều 3 khoản 2, Điều 4 khoản 1 điểm b, Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 43 khoản 1 điểm b, Điều 48 khoản 1, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP

Được, nhưng phải cho nhân viên biết rõ. Lắp camera mà không thông báo cho người lao động thì công ty bị phạt. Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định riêng (Điều 25 khoản 3): công ty chỉ được dùng biện pháp công nghệ, kỹ thuật phù hợp với pháp luật, bảo đảm quyền, lợi ích của người lao động, và người lao động phải biết rõ biện pháp đó. Dữ liệu thu được không được xử lý, sử dụng trái pháp luật. Công ty nên làm: 1) Thông báo bằng văn bản hoặc ghi vào nội quy: camera đặt ở đâu, ghi hình để làm gì, lưu bao lâu. 2) Chỉ dùng hình ảnh đúng mục đích đã nêu (Điều 3 khoản 2). 3) Xóa dữ liệu của nhân viên khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật quy định khác (Điều 25 khoản 2 điểm c). 4) Không đặt camera ở chỗ riêng tư như nhà vệ sinh, phòng thay đồ, vì khó coi là bảo đảm quyền, lợi ích của người lao động. Mức phạt theo Điều 61 Nghị định 330/2026/NĐ-CP (áp dụng từ 19/08/2026), tính cho tổ chức: • Lắp camera giám sát, phần mềm theo dõi tại nơi làm việc mà không thông báo cho người lao động: 50 đến 70 triệu đồng (khoản 2 điểm c). • Xử lý, sử dụng dữ liệu thu từ camera trái pháp luật: 70 đến 100 triệu đồng (khoản 3), kèm buộc xóa dữ liệu. Chủ là cá nhân, hộ kinh doanh bị phạt một nửa (Điều 7 khoản 1).Nguồn: Điều 25 khoản 2, 3, Điều 3 khoản 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 61 khoản 2 điểm c, khoản 3, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP

Bạn báo qua đầu số 5656, hệ thống tiếp nhận phản ánh tin nhắn rác, cuộc gọi rác của Nhà nước, hoặc qua công cụ phản ánh của nhà mạng bạn đang dùng. 1) Gửi phản ánh kèm bằng chứng (ảnh chụp tin nhắn, số gọi đến, thời gian) tới hệ thống 5656 (Điều 5 khoản 1, 3 và Điều 12 khoản 1 Nghị định 91/2020/NĐ-CP). 2) Nhà mạng phải hướng dẫn và cung cấp công cụ để bạn phản ánh, tự chặn tin nhắn rác, cuộc gọi rác (Điều 9 khoản 1, 2). 3) Đăng ký số của bạn vào Danh sách không quảng cáo (DoNotCall). Sau đó không ai được gọi hay nhắn quảng cáo đến số này (Điều 7 khoản 2, 3). Bên quảng cáo chỉ được gọi, nhắn khi bạn đã đồng ý trước. Mỗi bên tối đa 1 cuộc gọi và 3 tin nhắn quảng cáo trong 24 giờ, tin nhắn từ 7h đến 22h, cuộc gọi từ 8h đến 17h, phải dùng tên định danh chứ không dùng số điện thoại thường (Điều 13). Mức phạt theo Điều 37 Nghị định 330/2026/NĐ-CP (áp dụng từ 19/08/2026), tính cho cá nhân; tổ chức bị phạt gấp đôi (Điều 7 khoản 1): • Nhắn tin, gọi quảng cáo khi bạn chưa đồng ý: 10 đến 20 triệu đồng. • Dùng số điện thoại thường để quảng cáo: 20 đến 30 triệu đồng. • Quá số lần hoặc ngoài khung giờ: 30 đến 50 triệu đồng. • Thực hiện cuộc gọi rác: 70 đến 80 triệu đồng. • Gọi, nhắn quảng cáo đến số trong Danh sách không quảng cáo: 80 đến 90 triệu đồng.Nguồn: Điều 5, 7, 9, 12, 13 Nghị định 91/2020/NĐ-CP; Điều 37, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP

Mua bán dữ liệu cá nhân bị cấm, trừ khi luật có quy định khác (Điều 7 khoản 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực từ 01/01/2026). Vi phạm có thể bị phạt hành chính rất nặng hoặc đi tù. Phạt hành chính theo Điều 53 Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/08/2026). Các mức dưới đây áp dụng cho tổ chức; cá nhân bị phạt bằng một nửa (Điều 7 khoản 4): 1) Có khoản thu từ việc mua bán: phạt từ 2 đến 10 lần khoản thu. Nếu không có khoản thu, hoặc 10 lần khoản thu vẫn thấp hơn 3 tỷ đồng, thì mức tối đa là 3 tỷ đồng. 2) Không có khoản thu thì tính theo số người bị mua bán dữ liệu: • Dữ liệu cơ bản của dưới 1.000 người (nhạy cảm dưới 200 người): 70 đến 100 triệu đồng; • 1.000 đến dưới 2.000 người (nhạy cảm 200 đến dưới 400): 100 đến 300 triệu; • 2.000 đến dưới 10.000 người (nhạy cảm 400 đến 2.000): 300 đến 500 triệu; • Từ 10.000 người trở lên (nhạy cảm từ 2.000): 500 triệu đến 1 tỷ; • Xâm phạm an ninh trật tự, tính mạng, sức khỏe, danh dự, tài sản của người có dữ liệu: 1 đến 3 tỷ đồng. Kèm theo: tịch thu phương tiện vi phạm, buộc xóa toàn bộ dữ liệu, nộp lại khoản thu và thông báo cho tất cả người bị ảnh hưởng. Hình sự: mua bán thông tin riêng của người khác trên mạng máy tính, mạng viễn thông mà thu lợi bất chính từ 50 triệu đồng hoặc gây thiệt hại từ 100 triệu đồng thì bị phạt tiền 30 đến 200 triệu đồng, cải tạo không giam giữ hoặc tù 6 tháng đến 3 năm; thu lợi từ 200 triệu, gây thiệt hại từ 500 triệu hoặc có tổ chức thì tù 2 đến 7 năm (Điều 288 Bộ luật Hình sự).Nguồn: Điều 7 khoản 6, Điều 8 khoản 3, 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 53 và Điều 7 khoản 4 Nghị định 330/2026/NĐ-CP; Điều 288 Bộ luật Hình sự 100/2015/QH13

Có thể bị phạt. Bộ luật Dân sự yêu cầu dùng hình ảnh của ai phải được người đó đồng ý (Điều 32 khoản 1), và hình ảnh của cá nhân là dữ liệu cá nhân cơ bản (Điều 3 khoản 6 Nghị định 356/2025/NĐ-CP). Không cần xin phép khi (Điều 32 khoản 2): ảnh dùng vì lợi ích quốc gia, lợi ích công cộng; hoặc ảnh từ hoạt động công cộng như hội nghị, thi đấu thể thao, biểu diễn nghệ thuật mà không làm tổn hại danh dự, nhân phẩm, uy tín người trong ảnh. Hậu quả nếu đăng không xin phép: 1) Phạt hành chính: công khai dữ liệu cá nhân khi chưa có sự đồng ý bị phạt 30 đến 50 triệu đồng với tổ chức; cá nhân bị phạt một nửa, tức 15 đến 25 triệu đồng, và buộc gỡ ảnh (Điều 50 khoản 2 điểm b, khoản 3 và Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP, hiệu lực từ 19/08/2026). 2) Nếu ảnh thuộc đời sống riêng tư, bí mật cá nhân và làm ảnh hưởng danh dự, uy tín người khác: cá nhân bị phạt 10 đến 20 triệu đồng (Điều 13 khoản 1 điểm a cùng Nghị định). 3) Dân sự: người trong ảnh có quyền yêu cầu Tòa án buộc gỡ, tiêu hủy ảnh và bồi thường thiệt hại (Điều 32 khoản 3 Bộ luật Dân sự). 4) Hình sự: công khai hóa thông tin riêng của người khác trên mạng mà không được phép, nếu thu lợi bất chính từ 50 triệu đồng, gây thiệt hại từ 100 triệu đồng hoặc gây dư luận xấu làm giảm uy tín của họ, có thể bị phạt tiền 30 đến 200 triệu đồng hoặc tù đến 3 năm (Điều 288 Bộ luật Hình sự).Nguồn: Điều 50 khoản 2 điểm b, Điều 13 khoản 1 điểm a, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP; Điều 32 Bộ luật Dân sự 91/2015/QH13; Điều 3 khoản 6 Nghị định 356/2025/NĐ-CP; Điều 288 Bộ luật Hình sự

Pháp luật Việt Nam không dùng thuật ngữ "DPO" hay "chuyên gia bảo vệ dữ liệu". Vai trò này được quy định là BỘ PHẬN, NHÂN SỰ BẢO VỆ DỮ LIỆU CÁ NHÂN trong nội bộ tổ chức, hoặc TỔ CHỨC, CÁ NHÂN CUNG CẤP DỊCH VỤ BẢO VỆ DỮ LIỆU CÁ NHÂN thuê ngoài. Từ 01/01/2026, MỌI cơ quan, tổ chức đều phải chỉ định hoặc thuê vai trò này. Khung pháp lý là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP). 1) AI PHẢI CHỈ ĐỊNH DPO Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: "Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân." Nghĩa vụ này áp dụng cho MỌI cơ quan, tổ chức - không giới hạn ở nơi xử lý dữ liệu nhạy cảm hay quy mô lớn. Đây là thay đổi lớn so với quy định cũ (Nghị định 13/2023 chỉ đặt nghĩa vụ này ở điều về dữ liệu nhạy cảm). Tổ chức có hai phương án: (A) chỉ định bộ phận/nhân sự nội bộ bằng văn bản; hoặc (B) ký hợp đồng thuê tổ chức/cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (có thể kết hợp cả hai). Về vị trí: khoản 1 Điều 33 xác định "lực lượng bảo vệ dữ liệu cá nhân" gồm cơ quan chuyên trách thuộc Bộ Công an; bộ phận, nhân sự trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ; và lực lượng được huy động. DPO là cầu nối giữa tổ chức và cơ quan chuyên trách. 2) BẢY NHÓM NHIỆM VỤ CỐT LÕI (Điều 14 Nghị định 356/2025/NĐ-CP) Bộ phận bảo vệ dữ liệu cá nhân có các nhiệm vụ sau (nhân sự bảo vệ DLCN thực hiện với vai trò tham mưu, tham gia): (1) Xây dựng chính sách, quy trình, biểu mẫu để tổ chức tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. (2) Tổ chức thực hiện các quyền của chủ thể dữ liệu cá nhân (tiếp nhận, xử lý yêu cầu đúng thời hạn - xem mục 4). (3) Đánh giá tuân thủ định kỳ: rà soát mức độ tuân thủ, lập báo cáo và đề xuất biện pháp kiểm soát rủi ro. (4) Lập hồ sơ và làm việc với cơ quan chuyên trách: chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài; tiếp nhận và báo cáo vi phạm; đáp ứng yêu cầu của cơ quan chức năng. (5) Lập kế hoạch và tổ chức đào tạo, tập huấn định kỳ về bảo vệ dữ liệu cá nhân. (6) Triển khai biện pháp bảo mật kỹ thuật, tiêu chuẩn kỹ thuật và phương án ứng phó khẩn cấp với sự cố dữ liệu cá nhân. (7) Nghiên cứu, đề xuất các quyết định về bảo vệ dữ liệu cá nhân của tổ chức. 3) BA NGHĨA VỤ CÓ THỜI HẠN BẮT BUỘC (phần dễ bị xử phạt nhất) a) THÔNG BÁO VI PHẠM - CHẬM NHẤT 72 GIỜ. Khoản 1 Điều 23 Luật 91/2025/QH15: khi phát hiện vi phạm về bảo vệ dữ liệu cá nhân "có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm." Phải lập biên bản xác nhận vi phạm (khoản 2). Nội dung thông báo (Điều 28 Nghị định 356/2025): tính chất vi phạm (thời gian, địa điểm, hành vi, loại và số lượng dữ liệu); chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN; hậu quả có thể xảy ra; biện pháp khắc phục - theo Mẫu số 08. Bên xử lý phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát. b) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN - GỬI TRONG 60 NGÀY. Khoản 1 Điều 21 Luật 91/2025/QH15: bên kiểm soát, bên kiểm soát và xử lý "lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân". Hồ sơ (Điều 19 Nghị định 356/2025) gồm báo cáo theo Mẫu số 10, bản sao hợp đồng/thỏa thuận xử lý, chính sách - quy trình - biểu mẫu; báo cáo phải ghi chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN, mục đích, loại dữ liệu, luồng dữ liệu, chính sách đồng ý và lưu trữ, biện pháp bảo mật, tự đánh giá tuân thủ và rủi ro. Cơ quan chức năng trả kết quả trong 15 ngày; nếu thiếu thì cho 30 ngày để hoàn thiện. Hồ sơ phải "luôn có sẵn" để phục vụ kiểm tra. Cơ quan nhà nước được miễn. c) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI - GỬI TRONG 60 NGÀY. Khoản 2 Điều 20 Luật 91/2025/QH15: cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới "phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển". Hồ sơ theo Điều 18 Nghị định 356/2025 (Mẫu số 09), cũng ghi chi tiết liên lạc của DPO và đánh giá mức độ bảo vệ của bên nhận. Một số trường hợp được miễn (cơ quan nhà nước; tổ chức lưu dữ liệu nhân sự của mình trên đám mây; cá nhân tự chuyển dữ liệu của mình). 4) THỜI HẠN XỬ LÝ YÊU CẦU CỦA CHỦ THỂ DỮ LIỆU (Điều 5 Nghị định 356/2025/NĐ-CP) DPO phải xây dựng quy trình để chủ thể dữ liệu thực hiện các quyền tại Điều 4 Luật 91/2025 (được biết, đồng ý/rút đồng ý, xem/chỉnh sửa, yêu cầu cung cấp/xóa/hạn chế/phản đối, khiếu nại - khởi kiện - bồi thường, yêu cầu biện pháp bảo vệ). Mọi yêu cầu phải được PHẢN HỒI TRONG 02 NGÀY LÀM VIỆC; thời hạn thực hiện: - Rút đồng ý, hạn chế, phản đối xử lý: thực hiện trong 15 ngày (20 ngày nếu qua bên xử lý/bên thứ ba); gia hạn một lần tối đa 15 ngày. - Xem, chỉnh sửa, cung cấp dữ liệu: 10 ngày (15 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 10 ngày. - Xóa dữ liệu: 20 ngày (30 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 20 ngày. - Yêu cầu áp dụng biện pháp bảo vệ: 15 ngày; gia hạn tối đa 15 ngày. Mỗi lần gia hạn phải thông báo cho chủ thể dữ liệu kèm lý do. 5) HỒ SƠ PHẢI LƯU TRỮ VÀ CẬP NHẬT - Hồ sơ đánh giá tác động xử lý DLCN và hồ sơ chuyển dữ liệu xuyên biên giới: lưu từ thời điểm bắt đầu, luôn có sẵn để kiểm tra (Điều 21 Luật; Điều 18-19 Nghị định). - Cập nhật hồ sơ ĐỊNH KỲ 6 THÁNG khi có thay đổi; cập nhật ngay khi tổ chức lại/giải thể, đổi bên cung cấp dịch vụ, hoặc thay đổi ngành nghề liên quan xử lý dữ liệu (Điều 22 Luật 91/2025). - Biên bản xác nhận vi phạm mỗi khi xảy ra vi phạm (khoản 2 Điều 23 Luật). - Văn bản chỉ định nhân sự/bộ phận (nêu chức năng, quyền hạn) và thỏa thuận bảo mật với nhân sự (Điều 13 Nghị định); hồ sơ năng lực nếu thuê tổ chức dịch vụ (Điều 16). 6) ĐIỀU KIỆN NĂNG LỰC CỦA DPO VÀ NGHĨA VỤ CÔNG KHAI - Nhân sự nội bộ (khoản 2 Điều 13 Nghị định 356/2025): "a) Có trình độ cao đẳng trở lên; b) Có ít nhất 02 năm kinh nghiệm công tác… liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ; c) Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân." Việc chỉ định phải bằng văn bản nêu rõ chức năng, quyền hạn; tổ chức ký thỏa thuận bảo mật và phải đào tạo nhân sự này. - Cá nhân cung cấp dịch vụ (khoản 2 Điều 15): cao đẳng trở lên, ít nhất 03 năm kinh nghiệm, được đào tạo chuyên sâu. Tổ chức cung cấp dịch vụ (khoản 1 Điều 16): có ít nhất 03 nhân sự đủ điều kiện nêu trên. - CÔNG KHAI, KHÔNG ĐĂNG KÝ: thông tin về nhân sự/tổ chức bảo vệ DLCN phải được công khai cho chủ thể dữ liệu và các bên liên quan (khoản 3 Điều 15, khoản 3 Điều 16). Danh tính DPO đến cơ quan chức năng gián tiếp qua các hồ sơ DPIA, hồ sơ chuyển dữ liệu và thông báo vi phạm. 7) ĐIỂM MỚI SO VỚI NGHỊ ĐỊNH 13/2023 - Mở rộng phạm vi: trước đây nghĩa vụ chỉ định bộ phận/nhân sự bảo vệ DLCN nằm trong điều về dữ liệu nhạy cảm (Điều 28 Nghị định 13/2023); nay áp dụng cho mọi cơ quan, tổ chức. - Bỏ nghĩa vụ "thông báo danh tính DPO" cho cơ quan chức năng: Nghị định 13/2023 buộc "trao đổi thông tin về bộ phận và cá nhân phụ trách… với Cơ quan chuyên trách"; khung 2026 không còn nghĩa vụ đăng ký riêng này. 8) NHỮNG GÌ LUẬT VIỆT NAM KHÔNG QUY ĐỊNH (đừng nhầm với GDPR) - Không có chức danh luật định "chuyên gia bảo vệ dữ liệu cá nhân"; luật chỉ dùng "nhân sự/bộ phận" và "tổ chức/cá nhân cung cấp dịch vụ". - Không quy định về tính độc lập, xung đột lợi ích, "không nhận chỉ đạo" hay bảo vệ DPO khỏi bị sa thải (khác GDPR Điều 38); chỉ có văn bản chỉ định và thỏa thuận bảo mật. - Không có nghĩa vụ đăng ký danh tính DPO với cơ quan chức năng (khác GDPR Điều 37.7). - Không có ngưỡng số nhân sự/hồ sơ để xác định khi nào bắt buộc có DPO - nghĩa vụ áp dụng cho mọi tổ chức. - Mốc 72 giờ chỉ áp dụng khi thông báo cho cơ quan chức năng; luật không đặt mốc riêng buộc thông báo trực tiếp cho từng chủ thể dữ liệu bị ảnh hưởng. CƠ QUAN CHUYÊN TRÁCH Bộ Công an là cơ quan đầu mối quản lý nhà nước về bảo vệ dữ liệu cá nhân (Điều 36 Luật 91/2025). Cơ quan chuyên trách là đơn vị trực thuộc Bộ Công an (Điều 39 Nghị định 356/2025) - theo biểu mẫu kèm Nghị định là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Hồ sơ nộp qua đơn vị này hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. DOANH NGHIỆP NÊN LÀM GÌ 1) Ra văn bản chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân đủ điều kiện (hoặc ký hợp đồng thuê dịch vụ); ký thỏa thuận bảo mật; công khai thông tin DPO cho chủ thể dữ liệu. 2) Ban hành chính sách, quy trình, biểu mẫu bảo vệ dữ liệu cá nhân; xây quy trình tiếp nhận yêu cầu của chủ thể dữ liệu với các mốc 02 ngày làm việc/10-20 ngày. 3) Lập và nộp hồ sơ đánh giá tác động xử lý DLCN (và hồ sơ chuyển dữ liệu xuyên biên giới nếu có) trong 60 ngày; cập nhật định kỳ 6 tháng. 4) Thiết lập quy trình phát hiện - lập biên bản - thông báo vi phạm trong 72 giờ; chuẩn bị phương án ứng phó sự cố. 5) Tổ chức đào tạo định kỳ; đánh giá tuân thủ và báo cáo rủi ro theo định kỳ. Mức xử phạt cụ thể nằm ở văn bản xử phạt vi phạm hành chính riêng; hãy đối chiếu bản hợp nhất mới nhất và tham vấn chuyên môn trước khi áp dụng.Nguồn: Điều 4, 20, 21, 22, 23, 33, 36 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5, 13, 14, 15, 16, 18, 19, 28, 39 Nghị định 356/2025/NĐ-CP; đối chiếu Điều 28 Nghị định 13/2023/NĐ-CP (hết hiệu lực 01/01/2026)

Từ 01/01/2026, bảo vệ dữ liệu cá nhân được nâng cấp lên cấp LUẬT: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, kèm Nghị định 356/2025/NĐ-CP hướng dẫn, THAY THẾ Nghị định 13/2023/NĐ-CP trước đây. Doanh nghiệp xử lý dữ liệu khách hàng phải: có sự đồng ý hợp lệ trước khi thu thập, minh bạch mục đích xử lý, bảo đảm quyền của chủ thể dữ liệu, và đánh giá tác động xử lý dữ liệu. 1) VĂN BẢN ĐANG ÁP DỤNG VÀ THAY ĐỔI Trước đây, bảo vệ dữ liệu cá nhân điều chỉnh bởi Nghị định 13/2023/NĐ-CP (hiệu lực 01/07/2023). Nay được nâng lên thành Luật: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (ban hành 26/06/2025, hiệu lực 01/01/2026). Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành; Điều 42 Nghị định này nêu: "1. Nghị định này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026. 2. Nghị định số 13/2023/NĐ-CP… về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Vậy khung pháp lý hiện hành (từ 01/01/2026) là Luật 91/2025/QH15 + Nghị định 356/2025/NĐ-CP. 2) DỮ LIỆU CÁ NHÂN LÀ GÌ Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: "Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân." Tên, số điện thoại, email, thông tin thanh toán... của khách hàng đều là dữ liệu cá nhân thuộc phạm vi bảo vệ. 3) NGHĨA VỤ CỐT LÕI CỦA DOANH NGHIỆP a) THU THẬP PHẢI CÓ SỰ ĐỒNG Ý TRƯỚC. Khoản 1 Điều 11 Luật 91/2025/QH15: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." b) SỰ ĐỒNG Ý PHẢI HỢP LỆ (tự nguyện, biết rõ thông tin). Điều 9 Luật 91/2025/QH15: "1. Sự đồng ý của chủ thể dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình… 2. Sự đồng ý… chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây: a) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân; b) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý…" Do đó việc "mặc định đồng ý", ép buộc, hoặc xin đồng ý mập mờ là không hợp lệ. c) BẢO ĐẢM QUYỀN CỦA CHỦ THỂ DỮ LIỆU. Luật quy định chủ thể dữ liệu có các quyền như: được biết về hoạt động xử lý; đồng ý/không đồng ý và rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại. Doanh nghiệp phải có cơ chế để khách hàng thực hiện các quyền này. d) ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN. Điều 2 Luật 91/2025/QH15 định nghĩa: "Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân." Doanh nghiệp (bên kiểm soát/xử lý dữ liệu) phải lập và lưu hồ sơ đánh giá tác động theo quy định; hồ sơ, thủ tục chi tiết (kể cả chuyển dữ liệu ra nước ngoài) theo Nghị định 356/2025/NĐ-CP. 4) NHỮNG VIỆC DOANH NGHIỆP NÊN CHUẨN BỊ - Rà soát toàn bộ dữ liệu cá nhân đang thu thập, lưu trữ, sử dụng; xác định vai trò (bên kiểm soát, bên xử lý). - Thiết kế cơ chế xin sự đồng ý rõ ràng, đúng luật (nêu rõ loại dữ liệu, mục đích, bên xử lý); lưu bằng chứng đồng ý. - Ban hành chính sách bảo vệ dữ liệu cá nhân, quy trình tiếp nhận và xử lý yêu cầu của khách hàng (xem/sửa/xóa/rút đồng ý). - Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; áp dụng biện pháp bảo mật kỹ thuật và tổ chức. - Kiểm soát việc chuyển dữ liệu cho bên thứ ba và ra nước ngoài theo quy định. - Với dữ liệu nhạy cảm (sức khỏe, tài chính, sinh trắc học...), áp dụng mức bảo vệ cao hơn theo quy định. RỦI RO NẾU KHÔNG TUÂN THỦ Vi phạm quy định bảo vệ dữ liệu cá nhân (thu thập/sử dụng không có sự đồng ý hợp lệ, làm lộ, mua bán dữ liệu...) bị xử lý theo pháp luật - có thể bị xử phạt vi phạm hành chính, bồi thường thiệt hại cho chủ thể dữ liệu, và trong trường hợp nghiêm trọng có thể bị xử lý hình sự. Mức chế tài cụ thể theo văn bản xử phạt hiện hành. BẠN NÊN LÀM GÌ 1) Xác định doanh nghiệp thuộc diện phải tuân thủ (hầu như mọi doanh nghiệp có xử lý dữ liệu khách hàng/nhân sự đều thuộc phạm vi). 2) Chuẩn bị tuân thủ theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP trước/kể từ mốc 01/01/2026: cơ chế đồng ý, chính sách bảo vệ dữ liệu, hồ sơ đánh giá tác động. 3) Đào tạo nhân sự về bảo vệ dữ liệu; rà soát hợp đồng với đối tác xử lý dữ liệu. 4) Với doanh nghiệp xử lý dữ liệu lớn hoặc dữ liệu nhạy cảm, nên tham vấn luật sư/chuyên gia tuân thủ để xây dựng hồ sơ và quy trình đúng quy định.Nguồn: Điều 2, 9, 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026); Điều 42 Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP)

Lừa đảo chiếm đoạt tiền qua chuyển khoản là hành vi phạm tội hình sự. Việc cần làm NGAY là báo ngân hàng để khóa/tra soát dòng tiền và trình báo công an càng sớm càng tốt - thời gian là yếu tố quyết định khả năng thu hồi. Căn cứ pháp lý là Bộ luật Hình sự 100/2015/QH13 (đã được sửa đổi, bổ sung). 1) KẺ LỪA ĐẢO PHẠM TỘI GÌ Tùy cách thức, hành vi có thể cấu thành một trong hai tội: TỘI LỪA ĐẢO CHIẾM ĐOẠT TÀI SẢN (Điều 174 Bộ luật Hình sự 100/2015/QH13): cấu thành khi "bằng thủ đoạn gian dối chiếm đoạt tài sản của người khác". Đây là trường hợp điển hình khi bạn bị ĐÁNH LỪA để tự nguyện chuyển tiền (mua hàng không có thật, giả danh người quen/cơ quan, dụ đầu tư sinh lời ảo...). Yếu tố cốt lõi là "thủ đoạn gian dối". TỘI SỬ DỤNG MẠNG MÁY TÍNH, MẠNG VIỄN THÔNG, PHƯƠNG TIỆN ĐIỆN TỬ THỰC HIỆN HÀNH VI CHIẾM ĐOẠT TÀI SẢN (Điều 290 Bộ luật Hình sự): khoản 1 quy định người "sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử thực hiện một trong những hành vi sau đây, nếu không thuộc một trong các trường hợp quy định tại Điều 173 và Điều 174 của Bộ luật này", trong đó có: "a) Sử dụng thông tin về tài khoản, thẻ ngân hàng của cơ quan, tổ chức, cá nhân để chiếm đoạt tài sản của chủ tài khoản, chủ thẻ hoặc thanh toán hàng hóa, dịch vụ;…". Điều 290 là tội mang tính "dự phòng": áp dụng khi việc chiếm đoạt qua mạng KHÔNG thuộc tội trộm cắp hay lừa đảo - ví dụ chiếm quyền tài khoản, dùng trái phép thông tin thẻ để rút tiền (nạn nhân không hề bị lừa để tự chuyển). Phân biệt ngắn gọn: nếu bạn bị GIAN DỐI để tự nguyện chuyển tiền → thường là tội lừa đảo (Điều 174); nếu kẻ gian dùng thông tin tài khoản/thẻ để tự lấy tiền mà bạn không hề đồng ý → thường là Điều 290. (Lưu ý: mức định lượng giá trị chiếm đoạt và mức hình phạt của Bộ luật Hình sự đã được điều chỉnh bởi luật sửa đổi năm 2025, nên bài viết không nêu con số cụ thể; việc định tội, định khung do cơ quan tố tụng xác định.) 2) VIỆC CẦN LÀM NGAY (thời gian rất quan trọng) Đây là hướng dẫn thực tiễn để tăng khả năng thu hồi và phục vụ điều tra: 1) BÁO NGÂN HÀNG NGAY: gọi tổng đài ngân hàng của bạn (và nếu biết, ngân hàng nhận tiền) để báo giao dịch bị lừa đảo, yêu cầu tra soát, phong tỏa/khoanh giữ số tiền nếu còn trong tài khoản người nhận. Chuyển tiền vừa xong mà báo sớm thì cơ hội giữ được tiền cao hơn. 2) LƯU TOÀN BỘ CHỨNG CỨ: sao kê/biên lai chuyển khoản, số tài khoản và tên người nhận, tin nhắn/cuộc gọi/trang web/nội dung trao đổi với kẻ lừa đảo, số điện thoại, đường link. Chụp màn hình đầy đủ trước khi bị xóa. 3) TRÌNH BÁO CÔNG AN: làm đơn tố giác tội phạm gửi cơ quan công an nơi bạn cư trú (công an cấp xã/Cơ quan Cảnh sát điều tra) kèm toàn bộ chứng cứ; có thể phản ánh tới đường dây nóng/kênh tiếp nhận tin báo về tội phạm sử dụng công nghệ cao. Việc trình báo sớm giúp công an phối hợp ngân hàng truy vết dòng tiền. 4) CẢNH GIÁC LỪA ĐẢO LẦN HAI: sau khi bị lừa, có thể xuất hiện đối tượng mạo danh "hỗ trợ lấy lại tiền", "luật sư thu hồi" yêu cầu nộp phí - đây thường là bẫy lừa tiếp. Không chuyển thêm bất kỳ khoản nào cho các dịch vụ hứa "lấy lại tiền". 3) KHẢ NĂNG THU HỒI VÀ QUYỀN DÂN SỰ Nếu bắt được đối tượng và xử lý hình sự, bạn là bị hại có quyền yêu cầu bồi thường, hoàn trả số tiền bị chiếm đoạt trong vụ án. Nếu chỉ xác định được người nhận tiền mà chưa đủ yếu tố hình sự, bạn vẫn có thể khởi kiện dân sự đòi lại khoản tiền đã chuyển nhầm/bị chiếm giữ không có căn cứ. BẠN NÊN LÀM GÌ 1) Hành động trong "giờ vàng": báo ngân hàng và trình báo công an ngay khi phát hiện bị lừa. 2) Thu thập, sao lưu đầy đủ chứng cứ trước khi bị xóa. 3) Không nghe theo dịch vụ "lấy lại tiền" đòi phí - tránh bị lừa lần hai. 4) Theo dõi, phối hợp cung cấp thông tin cho cơ quan điều tra; giữ biên nhận đơn tố giác. 5) Nếu cần, tham vấn luật sư để làm đơn tố giác và yêu cầu bồi thường đúng thủ tục.Nguồn: Điều 174, Điều 290 Bộ luật Hình sự 100/2015/QH13 (sửa đổi, bổ sung bởi Luật 12/2017/QH14 và Luật 86/2025/QH15)