Ví dụ thực tế về Dữ liệu cá nhân — Trang 4

Có — hành vi bịa đặt, chửi bới, bôi nhọ danh dự người khác trên mạng xã hội là VI PHẠM PHÁP LUẬT, và tùy tính chất, mức độ có thể bị xử phạt hành chính hoặc TRUY CỨU TRÁCH NHIỆM HÌNH SỰ. Đặc biệt, việc thực hiện hành vi này QUA MẠNG (Facebook, TikTok...) còn là TÌNH TIẾT TĂNG NẶNG. Bạn hoàn toàn có quyền yêu cầu pháp luật bảo vệ danh dự, nhân phẩm của mình. Cần phân biệt hai hành vi (có thể là hai tội danh khác nhau tùy nội dung): (1) Nếu người đó BỊA ĐẶT những điều KHÔNG CÓ THẬT (loan truyền chuyện sai sự thật, vu cho bạn làm điều xấu/phạm tội) — đây có dấu hiệu của TỘI VU KHỐNG. Điều 156 Bộ luật Hình sự 100/2015/QH13 quy định phạt tiền từ 10.000.000 đến 50.000.000 đồng, cải tạo không giam giữ đến 02 năm hoặc phạt tù từ 03 tháng đến 01 năm đối với hành vi "Bịa đặt hoặc loan truyền những điều BIẾT RÕ LÀ SAI SỰ THẬT nhằm xúc phạm nghiêm trọng nhân phẩm, danh dự hoặc gây thiệt hại đến quyền, lợi ích hợp pháp của người khác" hoặc "Bịa đặt người khác phạm tội và tố cáo họ trước cơ quan có thẩm quyền." (2) Nếu người đó CHỬI BỚI, XÚC PHẠM nghiêm trọng danh dự, nhân phẩm của bạn (không nhất thiết là bịa chuyện, mà là lăng mạ, sỉ nhục) — đây có dấu hiệu của TỘI LÀM NHỤC NGƯỜI KHÁC. Điều 155 Bộ luật Hình sự quy định phạt cảnh cáo, phạt tiền từ 10.000.000 đến 30.000.000 đồng hoặc cải tạo không giam giữ đến 03 năm đối với hành vi "xúc phạm nghiêm trọng nhân phẩm, danh dự của người khác." Điểm QUAN TRỌNG — thực hiện qua mạng là TÌNH TIẾT TĂNG NẶNG: cả hai điều luật đều quy định việc "SỬ DỤNG MẠNG MÁY TÍNH HOẶC MẠNG VIỄN THÔNG, PHƯƠNG TIỆN ĐIỆN TỬ để phạm tội" là tình tiết định khung TĂNG NẶNG — chuyển sang khung hình phạt cao hơn (với tội vu khống, khoản 2 Điều 156 phạt tù từ 01 năm đến 03 năm; với tội làm nhục, khoản 2 Điều 155 phạt tù từ 03 tháng đến 02 năm). Nghĩa là việc người đó đăng bài, livestream bôi nhọ bạn trên Facebook, TikTok — có sức lan tỏa rộng — khiến hành vi bị coi là NGHIÊM TRỌNG HƠN so với xúc phạm thông thường, mức xử lý nặng hơn. Về xử lý hành chính (với hành vi chưa đến mức truy cứu hình sự): nếu mức độ chưa nghiêm trọng đến mức xử lý hình sự, người vi phạm vẫn có thể bị XỬ PHẠT VI PHẠM HÀNH CHÍNH về hành vi cung cấp, chia sẻ thông tin sai sự thật, xúc phạm danh dự, nhân phẩm người khác trên mạng (theo các nghị định về xử phạt trong lĩnh vực an ninh mạng/thông tin và truyền thông), với mức phạt tiền đáng kể. Về quyền dân sự — yêu cầu BỒI THƯỜNG và cải chính: ngoài việc bị xử lý hành chính/hình sự, người vi phạm còn phải chịu trách nhiệm DÂN SỰ. Bạn có quyền yêu cầu người đó CHẤM DỨT hành vi, XIN LỖI, CẢI CHÍNH công khai, và BỒI THƯỜNG THIỆT HẠI (bao gồm thiệt hại về danh dự, uy tín, và thiệt hại vật chất nếu chứng minh được, như mất thu nhập, mất khách hàng...) theo quy định về bảo vệ quyền nhân thân và bồi thường thiệt hại ngoài hợp đồng của Bộ luật Dân sự. Bạn nên làm gì: 1) THU THẬP, LƯU GIỮ BẰNG CHỨNG ngay: chụp màn hình, quay video các bài đăng, livestream, bình luận bịa đặt/chửi bới (ghi rõ thời gian, link, tài khoản người đăng); tốt nhất nên lập VI BẰNG (do Thừa phát lại lập) để có giá trị chứng cứ cao — vì nội dung trên mạng có thể bị xóa. 2) Có thể gửi yêu cầu người đó GỠ BỎ nội dung, xin lỗi, cải chính; đồng thời báo cáo (report) nội dung vi phạm với nền tảng (Facebook, TikTok) để được gỡ. 3) TỐ GIÁC/TỐ CÁO đến cơ quan công an (hoặc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) về hành vi vu khống/làm nhục qua mạng — kèm bằng chứng đã thu thập, yêu cầu xử lý theo Điều 155/156 Bộ luật Hình sự. 4) Song song, có thể KHỞI KIỆN DÂN SỰ yêu cầu chấm dứt hành vi, xin lỗi cải chính công khai và bồi thường thiệt hại về danh dự, uy tín và vật chất. 5) Nên tham vấn luật sư để được hỗ trợ đánh giá hành vi thuộc tội danh nào, thu thập chứng cứ đúng cách (lập vi bằng), và lựa chọn hướng xử lý (hình sự, hành chính, dân sự — có thể kết hợp) phù hợp, hiệu quả nhất để bảo vệ danh dự và quyền lợi của bạn.Nguồn: Điều 155, Điều 156 Bộ luật Hình sự 100/2015/QH13

Bạn đã bị LỪA ĐẢO — đây là một thủ đoạn tinh vi đang phổ biến: kẻ gian dụ nạn nhân tự tay bấm VAY TIỀN trên các ứng dụng tài chính/ví điện tử (MoMo, Viettel Money, Cake...), rồi lừa nạn nhân chuyển/quét QR số tiền vừa vay đó cho chúng, để lại KHOẢN NỢ treo trên tài khoản nạn nhân. Điều quan trọng nhất bây giờ là hành động NHANH: báo công an, liên hệ ví/tổ chức cho vay để phong tỏa và ngăn phát sinh lãi, đồng thời tuyệt đối không cung cấp thêm OTP/mật khẩu cho bất kỳ ai. Về bản chất pháp lý — đây là tội LỪA ĐẢO CHIẾM ĐOẠT TÀI SẢN: hành vi của đối tượng (mạo danh người quen, dùng thủ đoạn gian dối "tặng tiền/tăng điểm tín dụng" để khiến bạn tin và tự thực hiện các thao tác vay tiền rồi chuyển cho chúng) có dấu hiệu của Điều 174 Bộ luật Hình sự 100/2015/QH13 — "bằng thủ đoạn gian dối chiếm đoạt tài sản của người khác." Vì thủ đoạn được thực hiện qua mạng viễn thông, tài khoản mạng xã hội bị chiếm dụng và ứng dụng ví điện tử, hành vi này ĐỒNG THỜI có thể liên quan đến Điều 290 Bộ luật Hình sự — "Tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản" (bao gồm hành vi lừa đảo trong thanh toán điện tử, sử dụng thông tin tài khoản để chiếm đoạt). Việc xác định chính xác tội danh do cơ quan điều tra quyết định, nhưng dù theo điều nào, đây đều là hành vi phạm tội cần được trình báo. Về khoản nợ treo trên tài khoản của bạn — điểm bạn lo lắng nhất: về nguyên tắc, hợp đồng vay mà bạn xác lập DO BỊ LỪA DỐI có thể bị tuyên VÔ HIỆU. Điều 127 Bộ luật Dân sự 91/2015/QH13 quy định: "Khi một bên tham gia giao dịch dân sự do bị LỪA DỐI... thì có quyền yêu cầu Tòa án tuyên bố giao dịch dân sự đó là vô hiệu." Nghĩa là bạn có căn cứ để yêu cầu xử lý khoản nợ này theo hướng bạn là NẠN NHÂN bị lừa, không phải người tự nguyện vay để sử dụng. Tuy nhiên, thực tế cần chứng minh được yếu tố bị lừa dối (bằng chứng tin nhắn, lịch sử giao dịch...), và cần phối hợp với tổ chức cho vay + cơ quan điều tra để giải quyết — đây là lý do phải trình báo và lưu giữ bằng chứng ngay. Bạn nên làm gì NGAY LẬP TỨC: 1) TRÌNH BÁO CÔNG AN ngay: đến cơ quan công an nơi cư trú, hoặc gọi đường dây nóng tiếp nhận tin báo lừa đảo (tổng đài 156 về tin nhắn/cuộc gọi rác, lừa đảo; hoặc 113) — cung cấp đầy đủ thông tin về vụ việc. 2) LIÊN HỆ NGAY tổng đài/bộ phận chăm sóc khách hàng của các ví điện tử, tổ chức cho vay (MoMo, Viettel Money, Cake...): thông báo mình bị lừa, YÊU CẦU PHONG TỎA/TẠM KHÓA tài khoản, ngăn phát sinh thêm lãi/nợ, và đề nghị tạm dừng thu hồi khoản vay trong khi chờ xác minh, điều tra. 3) GỬI VĂN BẢN chính thức đến tổ chức cho vay trình bày rõ mình bị lừa dối khi xác lập khoản vay, đề nghị xem xét hủy/vô hiệu hợp đồng vay theo Điều 127 Bộ luật Dân sự và tạm dừng nghĩa vụ trả nợ chờ kết quả điều tra. 4) LƯU GIỮ TOÀN BỘ bằng chứng: tin nhắn/cuộc trò chuyện với đối tượng (kể cả tài khoản mạo danh người quen), lịch sử giao dịch trên ví, mã QR/mã giao dịch, thông tin tài khoản nhận tiền — đây là chứng cứ then chốt để điều tra và để chứng minh bạn bị lừa dối. 5) TUYỆT ĐỐI KHÔNG cung cấp mã OTP, mật khẩu, thông tin tài khoản cho bất kỳ ai — kể cả người tự xưng là nhân viên ngân hàng/ví điện tử/công an gọi đến "hỗ trợ xử lý"; đây thường là chiêu lừa tiếp theo. 6) Nên tham vấn luật sư để được hỗ trợ về thủ tục yêu cầu vô hiệu hợp đồng vay, đòi bồi thường thiệt hại (khi cơ quan điều tra xác định được đối tượng), và bảo vệ quyền lợi trong quá trình làm việc với tổ chức cho vay.Nguồn: Điều 174, Điều 290 Bộ luật Hình sự 100/2015/QH13; Điều 127 Bộ luật Dân sự 91/2015/QH13

Yêu cầu "phải đi cùng người vay lên công ty mới gỡ được" là một đòi hỏi VÔ LÝ và không có căn cứ pháp luật — bạn không có nghĩa vụ gì với khoản vay đó, và công ty tài chính không có quyền tiếp tục sử dụng số điện thoại của bạn (dữ liệu cá nhân) khi đã biết rõ bạn không liên quan, không đồng ý. Về bản chất pháp lý: việc người vay khai số điện thoại của bạn làm "số tham chiếu" (thường là để công ty tài chính liên hệ khi không gọi được người vay) mà KHÔNG có sự đồng ý của bạn là hành vi SỬ DỤNG DỮ LIỆU CÁ NHÂN CỦA NGƯỜI KHÁC không đúng quy định. Khoản 5 Điều 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định rõ đây là một trong các HÀNH VI BỊ NGHIÊM CẤM: "Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật." Việc người vay cung cấp số điện thoại của bạn cho công ty tài chính mà không hỏi ý kiến bạn, và công ty tài chính tiếp tục xử lý (gọi điện, nhắn tin) số điện thoại đó sau khi đã biết bạn không liên quan, đều có dấu hiệu vi phạm nguyên tắc xử lý dữ liệu cá nhân phải có sự đồng ý của chủ thể dữ liệu. Về quyền của bạn với tư cách chủ thể dữ liệu: điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân quy định bạn có quyền "Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; GỬI YÊU CẦU PHẢN ĐỐI XỬ LÝ DỮ LIỆU CÁ NHÂN" — đây chính xác là quyền bạn cần sử dụng ở đây: yêu cầu công ty tài chính NGỪNG xử lý (gọi điện, nhắn tin, lưu trữ) số điện thoại của bạn liên quan đến khoản vay đó. Điều 5 Nghị định 356/2025/NĐ-CP (quy định chi tiết thi hành luật) buộc bên kiểm soát dữ liệu (ở đây là công ty tài chính) phải xây dựng quy trình rõ ràng để tiếp nhận, xử lý các yêu cầu này của chủ thể dữ liệu — công ty KHÔNG được đặt điều kiện tùy tiện (như "phải đi cùng người vay lên công ty") để né tránh nghĩa vụ này. Về chế tài nếu công ty tài chính tiếp tục vi phạm: khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm (ngoài các trường hợp đặc thù về mua bán dữ liệu hay chuyển dữ liệu xuyên biên giới) là 03 TỶ ĐỒNG — áp dụng cho tổ chức; đây là mức răn đe đáng kể, và bạn hoàn toàn có căn cứ để khiếu nại/tố cáo hành vi này đến cơ quan chức năng nếu công ty tiếp tục phớt lờ yêu cầu chấm dứt. Bạn nên làm gì: 1) Gửi YÊU CẦU BẰNG VĂN BẢN (không chỉ gọi điện) đến công ty tài chính — có thể qua email, đơn khiếu nại gửi trực tiếp hoặc qua đường bưu điện có xác nhận — nêu rõ: bạn không phải là người vay, không có bất kỳ quan hệ nghĩa vụ nào với khoản vay, và YÊU CẦU CHẤM DỨT NGAY việc sử dụng số điện thoại của bạn để liên hệ đòi nợ, đồng thời xóa thông tin số điện thoại của bạn khỏi hồ sơ khoản vay đó — trích dẫn quyền phản đối xử lý dữ liệu cá nhân theo Điều 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. 2) Lưu giữ đầy đủ bằng chứng: ghi âm các cuộc gọi (nếu có thể), chụp màn hình tin nhắn, ghi lại số điện thoại/tên công ty đã gọi, thời gian, tần suất — đây là bằng chứng quan trọng nếu cần khiếu nại chính thức. 3) Nếu công ty tài chính không phản hồi hoặc tiếp tục gọi điện, nhắn tin sau khi đã nhận được yêu cầu bằng văn bản, bạn có quyền khiếu nại đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) hoặc cơ quan quản lý nhà nước về bảo vệ dữ liệu cá nhân, đồng thời có thể khiếu nại lên Ngân hàng Nhà nước (nếu công ty tài chính là tổ chức được NHNN cấp phép) về hành vi thu hồi nợ không đúng quy định. 4) Nếu tình trạng quấy rối nghiêm trọng, ảnh hưởng đến công việc/danh dự, có thể tham vấn luật sư để đánh giá khả năng yêu cầu bồi thường thiệt hại theo quy định của pháp luật, vì Điều 4 Luật Bảo vệ dữ liệu cá nhân cũng trao quyền "khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại" cho chủ thể dữ liệu bị xâm phạm.Nguồn: Khoản 5 Điều 7, Điều 4, Khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Có hai vấn đề pháp lý tách biệt trong câu hỏi của bạn, và cả hai đều đáng lo ngại hơn bạn nghĩ — không chỉ dừng ở việc "có phải đền khách hàng không" mà còn ở chỗ chính mô hình kinh doanh mua-bán dữ liệu trung gian này có thể đã vi phạm quy định cấm của Luật Bảo vệ dữ liệu cá nhân ngay từ đầu. 1) VỀ TRÁCH NHIỆM VỚI KHÁCH HÀNG NẾU DỮ LIỆU ĐẦU VÀO CÓ VẤN ĐỀ: căn cứ Điều 444 Bộ luật Dân sự 91/2015/QH13 về bảo đảm quyền sở hữu của bên bán đối với tài sản mua bán: nếu tài sản (ở đây là dữ liệu/report) bị người thứ ba tranh chấp về quyền sở hữu/quyền sử dụng hợp pháp, bên mua (khách hàng doanh nghiệp của bạn) có quyền hủy hợp đồng và YÊU CẦU BÊN BÁN (tức công ty bạn) BỒI THƯỜNG THIỆT HẠI — trừ trường hợp bên mua đã biết hoặc phải biết về tranh chấp này khi giao kết hợp đồng. Nói cách khác: nếu khách hàng của bạn không biết dữ liệu gốc có vấn đề về quyền sở hữu/cấp phép, CÔNG TY BẠN CÓ THỂ PHẢI CHỊU TRÁCH NHIỆM BỒI THƯỜNG cho khách hàng — dù chính công ty bạn cũng là "nạn nhân" của việc đối tác cung cấp dữ liệu không có quyền bán. Đây là nguyên tắc "bảo đảm chuỗi cung ứng hợp pháp" — công ty bán sản phẩm cuối cùng (report) vẫn phải chịu trách nhiệm với khách hàng của mình, dù lỗi gốc nằm ở đối tác cung cấp dữ liệu. 2) VỀ VIỆC BẢN THÂN MÔ HÌNH KINH DOANH CÓ HỢP PHÁP HAY KHÔNG — ĐÂY LÀ ĐIỂM QUAN TRỌNG HƠN CẦN LƯU Ý NGAY: khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định về các hành vi bị nghiêm cấm: "Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác." Đây là ĐIỀU CẤM CHUNG, áp dụng cho bất kỳ hoạt động mua bán dữ liệu cá nhân nào, trừ khi có luật khác cho phép cụ thể. Với mô hình công ty bạn mô tả — lấy dữ liệu từ trung tâm xét nghiệm (dữ liệu SỨC KHỎE, thuộc nhóm dữ liệu NHẠY CẢM theo quy định), tổng hợp thành report, rồi BÁN cho khách hàng doanh nghiệp — đây có dấu hiệu RẤT GẦN với hành vi "mua, bán dữ liệu cá nhân" bị cấm, bất kể có thông qua trung gian hay không. Đây là rủi ro pháp lý cần được đánh giá nghiêm túc, không chỉ là vấn đề "đối tác có quyền bán hay không." Một quy định liên quan khác, khoản 2 Điều 26 Luật này (dù không hoàn toàn khớp 100% với tình huống của bạn) quy định các đơn vị trong lĩnh vực y tế không được cung cấp dữ liệu cá nhân về sức khỏe cho bên thứ ba (dịch vụ y tế, bảo hiểm...) khi chưa có sự đồng ý BẰNG VĂN BẢN của chủ thể dữ liệu — cho thấy tinh thần chung của luật là bảo vệ đặc biệt nghiêm ngặt với dữ liệu sức khỏe, đúng loại dữ liệu công ty bạn đang xử lý. 3) VỀ MỐI QUAN HỆ GIỮA TRÁCH NHIỆM HÌNH SỰ/HÀNH CHÍNH VÀ TRÁCH NHIỆM DÂN SỰ VỚI KHÁCH HÀNG: khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định: người vi phạm "tùy theo tính chất, mức độ, hậu quả... có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật." Đây xác nhận rõ: xử lý hình sự/hành chính (nếu công ty bị truy tố vì sử dụng dữ liệu trái phép) và trách nhiệm bồi thường dân sự với khách hàng là HAI HƯỚNG XỬ LÝ ĐỘC LẬP, KHÔNG TỰ ĐỘNG KÉO THEO NHAU — công ty có thể bị xử lý hình sự về hành vi mua bán dữ liệu trái phép (với Nhà nước), ĐỒNG THỜI vẫn có thể (hoặc không) phải bồi thường hợp đồng cho khách hàng tùy vào việc khách hàng có bị thiệt hại thực tế và có căn cứ hợp đồng để đòi bồi thường hay không — đây là hai quan hệ pháp lý tách biệt (một là Nhà nước xử lý vi phạm, một là quan hệ hợp đồng dân sự giữa công ty và khách hàng). Đáng chú ý: khoản 3 Điều 8 quy định mức phạt hành chính cho hành vi mua bán dữ liệu cá nhân có thể lên tới 10 LẦN khoản thu lợi bất chính có được từ vi phạm — đây là mức phạt rất nặng, cho thấy mức độ nghiêm trọng mà pháp luật đặt ra cho loại hành vi này. Công ty bạn nên làm gì NGAY: 1) Rà soát lại toàn bộ mô hình kinh doanh hiện tại: việc "tổng hợp dữ liệu từ đối tác thành report rồi bán" có đang thực chất là mua bán dữ liệu cá nhân trá hình dưới danh nghĩa "report" hay không — đây là câu hỏi cần luật sư chuyên về bảo vệ dữ liệu cá nhân đánh giá kỹ, vì ranh giới giữa "cung cấp dịch vụ phân tích dữ liệu" hợp pháp và "mua bán dữ liệu cá nhân" bị cấm có thể khá mong manh tùy cách thiết kế hợp đồng và bản chất dữ liệu trong report. 2) Yêu cầu đối tác cung cấp dữ liệu (trung tâm xét nghiệm/bên trung gian) xuất trình đầy đủ căn cứ pháp lý về quyền thu thập, xử lý, và đặc biệt là quyền CHIA SẺ/BÁN dữ liệu này cho bên thứ ba — bao gồm bằng chứng đã có sự đồng ý của chủ thể dữ liệu (bệnh nhân) cho việc chia sẻ này, trước khi tiếp tục hợp tác. 3) Rà soát hợp đồng với khách hàng doanh nghiệp hiện tại — xem có điều khoản giới hạn trách nhiệm, cam kết về nguồn gốc hợp pháp của dữ liệu hay không, để đánh giá mức độ rủi ro bồi thường nếu phát sinh tranh chấp. 4) Nên tham vấn luật sư chuyên sâu về bảo vệ dữ liệu cá nhân càng sớm càng tốt để đánh giá toàn diện rủi ro của mô hình kinh doanh, trước khi vấn đề phát sinh trên thực tế — đây không chỉ là câu hỏi "nếu xảy ra thì sao" mà là vấn đề cần rà soát ngay cả khi chưa có sự cố.Nguồn: Điều 444 Bộ luật Dân sự 91/2015/QH13; Điều 7, Điều 8, Điều 26 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Ngày 09/07/2026, Trường Luật Đại học Chicago (University of Chicago Law School) công bố một bản "AI Strategy Statement" (Tuyên bố chiến lược về AI) — một trong những văn bản chính sách công khai, chi tiết nhất từ một trường luật hàng đầu của Mỹ về cách tổ chức đào tạo luật sư trong thời đại AI tạo sinh. Đây là nguồn nước ngoài, không phải văn bản pháp luật Việt Nam, nên phần dưới đây trình bày dưới dạng tóm lược thông tin công khai và góc nhìn liên hệ, không phải trích dẫn luật. Tuyên bố của UChicago xoay quanh ba trụ cột chiến lược: (1) phương pháp giảng dạy và đánh giá "có sức đề kháng với AI" (AI-resilient pedagogy) — thiết kế bài giảng, bài kiểm tra sao cho sinh viên không thể chỉ dựa vào AI để hoàn thành mà không thực sự tư duy; (2) đề cao các kỹ năng con người thiết yếu — tranh luận miệng (oral advocacy), khả năng phán đoán chiến lược, xây dựng quan hệ với khách hàng — những thứ AI khó thay thế; (3) dạy cách dùng AI có trách nhiệm — sử dụng AI một cách đạo đức, hiệu quả, và có phân tích phản biện, không phải cấm hoàn toàn. Chính sách cụ thể đáng chú ý theo từng cấp học: - Lớp năm nhất (1L) — các môn học bắt buộc: cấm thiết bị điện tử trong lớp (trừ trường hợp cần thiết bị hỗ trợ người khuyết tật hoặc người ghi chép), thi không được truy cập internet/ứng dụng, tiếp tục duy trì phương pháp Socratic (thầy cô liên tục đặt câu hỏi vấn đáp trực tiếp) — áp dụng thí điểm trong năm học 2026-2027. - Môn Nghiên cứu và Viết luận pháp lý năm nhất: cách tiếp cận theo lớp — trước tiên sinh viên phải viết KHÔNG dùng AI để xây nền tảng tư duy và kỹ năng viết, sau đó mới được hướng dẫn dùng AI hỗ trợ cho việc nghiên cứu, chỉnh sửa, chuẩn bị tranh luận miệng — có sự rà soát chung giữa bài viết của sinh viên và cách sinh viên đã dùng AI. - Các môn tự chọn: chính sách về thiết bị điện tử và phương pháp Socratic chỉ là MẶC ĐỊNH, không bắt buộc — giảng viên được khuyến khích tự thử nghiệm với đánh giá theo tiến trình (formative assessment) kết hợp công cụ AI; mở rộng thêm các môn tự chọn chuyên sâu về AI. - Yêu cầu viết luận văn bậc cao (Substantial Research Papers): bổ sung yêu cầu BẢO VỆ MIỆNG bắt buộc — sinh viên phải trình bày, bảo vệ luận văn trực tiếp (một-một hoặc theo nhóm workshop) với giáo viên hướng dẫn — đây là cách kiểm tra thực chất tư duy của sinh viên đứng sau bài viết, khó gian lận bằng AI. - Đào tạo thực hành tại các phòng thực hành pháp lý (clinics): sinh viên được tiếp cận công cụ AI cho các mảng thực hành khác nhau (giao dịch, di trú, tố tụng), mỗi phòng thực hành tự xây dựng chính sách AI riêng phù hợp đặc thù, tập trung vào kỹ năng hành nghề lấy con người làm trung tâm, có AI hỗ trợ dưới sự giám sát. Ba nguyên tắc xuyên suốt: MINH BẠCH (mọi chính sách AI phải được ghi rõ trong đề cương môn học và thảo luận công khai trên lớp, không để ngầm hiểu); CẬP NHẬT (liên tục theo sát xu hướng hành nghề thực tế và hợp tác với các đối tác công nghệ); LINH HOẠT (rà soát, điều chỉnh chính sách định kỳ khi công nghệ và thực tiễn hành nghề thay đổi). Trường tóm gọn triết lý đào tạo bằng một câu: dạy sinh viên biết tư duy "cùng với AI, không có AI, và VỀ AI" (with, without, and about AI). GÓC NHÌN LIÊN HỆ VỚI VIỆT NAM (phần bình luận, không phải quy định pháp luật): Việt Nam hiện chưa có một văn bản tương tự dành riêng cho đào tạo luật — nhưng đã có khung pháp lý nền tảng để các trường luật, đoàn luật sư, và văn phòng luật tham chiếu khi tự xây dựng chính sách AI của mình. Luật Trí tuệ nhân tạo 134/2025/QH15 (hiệu lực từ 01/03/2026) đặt ra nguyên tắc cốt lõi tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người. Bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo." Đây chính là tinh thần rất gần với cách UChicago đặt vấn đề: AI là công cụ hỗ trợ, không phải thứ thay thế năng lực phán đoán, trách nhiệm nghề nghiệp của luật sư — một sinh viên/luật sư dùng AI để tra cứu, soạn thảo vẫn phải là người chịu trách nhiệm cuối cùng về nội dung, không thể đổ lỗi cho AI khi có sai sót. Một điểm khác biệt đáng lưu ý: khung pháp lý Việt Nam (Luật Trí tuệ nhân tạo) tập trung vào quản lý RỦI RO của hệ thống AI khi được TRIỂN KHAI SỬ DỤNG trong thực tế xã hội, kinh doanh — không trực tiếp điều chỉnh vấn đề giáo dục, đào tạo (cách một trường luật tổ chức lớp học, ra đề thi). Nghĩa là quyết định có nên cấm thiết bị điện tử trong lớp, có yêu cầu sinh viên viết luận không dùng AI trước, hay không — vẫn hoàn toàn thuộc thẩm quyền tự chủ của từng cơ sở đào tạo tại Việt Nam, chưa có hướng dẫn thống nhất từ Bộ Giáo dục và Đào tạo dành riêng cho ngành luật. Điều các cơ sở đào tạo luật và văn phòng luật tại Việt Nam có thể cân nhắc học hỏi từ UChicago, dù không có ràng buộc pháp lý: 1) Nguyên tắc minh bạch — nếu một môn học/một văn phòng luật cho phép dùng AI, nên ghi rõ ràng, công khai phạm vi được phép, không để mỗi người tự hiểu theo cách khác nhau. 2) Phân tầng kỹ năng — kỹ năng nền tảng (viết, lập luận, tranh biện miệng) nên được rèn không có AI trước, để đảm bảo người học thực sự nắm được tư duy pháp lý, trước khi được hướng dẫn dùng AI như công cụ tăng tốc. 3) Không cấm tuyệt đối, không thả nổi tuyệt đối — cách tiếp cận "mặc định nhưng linh hoạt theo môn/theo nhóm thực hành" của UChicago có thể phù hợp hơn cách cấm cứng hoặc cho phép tự do hoàn toàn, vì nhu cầu sử dụng AI khác nhau rất nhiều giữa các mảng hành nghề (tố tụng cần tranh biện miệng nhiều hơn, giao dịch/soạn thảo hợp đồng có thể tận dụng AI nhiều hơn). 4) Với các công cụ AI tra cứu pháp luật cụ thể (như Lawgical), nguyên tắc minh bạch và trách nhiệm giải trình theo Luật Trí tuệ nhân tạo cũng là tiêu chí đáng để người dùng — dù là sinh viên luật, luật sư, hay doanh nghiệp — cân nhắc: công cụ có trích dẫn rõ nguồn, đúng Điều/Khoản, để người dùng tự đối chiếu và chịu trách nhiệm về quyết định cuối cùng, hay chỉ đưa ra câu trả lời không kiểm chứng được.Nguồn: Điều 4 Luật Trí tuệ nhân tạo 134/2025/QH15

Câu trả lời ngắn: theo danh mục đã công bố, một công cụ AI tra cứu pháp luật không nằm trong diện rủi ro cao. Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao đã được Thủ tướng Chính phủ ban hành kèm theo Quyết định 33/2026/QĐ-TTg ngày 30/6/2026, có hiệu lực từ ngày 15/8/2026. Trong phần danh mục đọc được, không có mục nào nói về tra cứu thông tin pháp luật hay dịch vụ pháp lý. Một lưu ý: phần phụ lục của văn bản mà bài này đối chiếu được dừng ở mục 31 của lĩnh vực giao thông vận tải, nên kết luận trên dựa vào phần danh mục đã đọc được, chưa kiểm tra được phần nào nằm sau mục đó. VỀ KHUNG PHÂN LOẠI ĐÃ CÓ: Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 chia hệ thống AI thành ba mức rủi ro (cao, trung bình, thấp) dựa trên các tiêu chí định tính: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô ảnh hưởng. Khoản 3 Điều 9 giao Chính phủ quy định chi tiết điều này. VỀ VIỆC AI TRA CỨU PHÁP LUẬT CÓ THUỘC DIỆN RỦI RO CAO HAY KHÔNG: xét theo tinh thần các tiêu chí định tính tại Điều 9 (mức độ tác động đến quyền con người, phạm vi người dùng), có thể lập luận theo cả hai hướng. Một mặt, công cụ tra cứu pháp luật không TRỰC TIẾP ra quyết định thay con người (không tự động phê duyệt khoản vay, không tự động ra phán quyết) mà chỉ hỗ trợ tra cứu, cung cấp thông tin để người dùng (luật sư, doanh nghiệp, cá nhân) tự đưa ra quyết định, phù hợp với nguyên tắc tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người." Mặt khác, nếu công cụ được dùng rộng rãi để tư vấn pháp lý, và người dùng tin tưởng tuyệt đối vào kết quả tra cứu mà không kiểm chứng, một câu trả lời sai (trích dẫn nhầm điều luật, dùng văn bản đã hết hiệu lực) có thể dẫn đến hậu quả pháp lý thực sự cho người dùng. Đây chính là loại rủi ro mà khung phân loại của Luật hướng tới xử lý. Khoản 4 Điều 13 Luật quy định rõ: "Thủ tướng Chính phủ quy định Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, bao gồm danh mục hệ thống trí tuệ nhân tạo phải chứng nhận sự phù hợp trước khi đưa vào sử dụng." Danh mục đó nay là Phụ lục kèm Quyết định 33/2026/QĐ-TTg. Phần đọc được gồm sáu lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải. Lĩnh vực gần với pháp luật nhất là tố tụng, nhưng chỉ có một mục: "Hệ thống trí tuệ nhân tạo nhận dạng sinh trắc học diện rộng phục vụ giải quyết vụ án dân sự công ích". Công cụ tìm và trích dẫn văn bản luật không làm việc này. Phần lớn các mục còn lại chỉ áp dụng khi hệ thống tự ra quyết định hoặc tự thực thi mà không có con người xem xét, phê duyệt lại, trong khi công cụ tra cứu pháp luật chỉ đưa thông tin để người dùng tự quyết. Điều 2 Quyết định 33/2026/QĐ-TTg cũng chỉ xếp vào rủi ro cao những hệ thống không thuộc trường hợp loại trừ tại khoản 2 Điều 8 Nghị định 142/2026/NĐ-CP. Điểm d khoản này loại trừ hệ thống "Chỉ thực hiện chức năng phân tích, dự báo, đánh giá, khuyến nghị mang tính tham khảo; nhà cung cấp và bên triển khai không được sử dụng kết quả đầu ra làm căn cứ duy nhất để ra quyết định cuối cùng." Một công cụ tra cứu pháp luật dùng đúng vai trò tham khảo khớp với trường hợp này. Danh mục có thể được sửa đổi, bổ sung theo Điều 7 Nghị định 142/2026/NĐ-CP, nên cần xem lại khi có quyết định mới. ĐIỀU VẪN PHẢI LÀM DÙ KHÔNG THUỘC DIỆN RỦI RO CAO: theo khoản 1 Điều 11 Luật về minh bạch, hệ thống AI tương tác trực tiếp với con người phải được thiết kế để người dùng biết mình đang tương tác với AI. Điều 15 Luật còn buộc nhà cung cấp và bên triển khai hệ thống rủi ro trung bình, thấp giải trình khi cơ quan nhà nước có thẩm quyền yêu cầu. Với một công cụ tra cứu pháp luật, điều này có nghĩa: (a) phải trích dẫn rõ nguồn, đúng Điều, Khoản, đúng văn bản, để người dùng có thể tự đối chiếu, không chỉ đưa câu trả lời không kiểm chứng được; (b) phải phân biệt rõ giữa luật đã ban hành, đã có hiệu lực và những gì còn đang chờ văn bản hướng dẫn; (c) không được để người dùng lầm tưởng AI đang "ra phán quyết" thay vì hỗ trợ tra cứu, đúng tinh thần khoản 2 Điều 4 nêu trên. Điểm (c) nay còn quan trọng hơn: chính việc chỉ đưa kết quả tham khảo, để con người ra quyết định cuối cùng, là lý do công cụ này nằm ngoài danh mục rủi ro cao. Về trách nhiệm nếu công cụ tra cứu gây thiệt hại: khoản 2 Điều 29 Luật quy định riêng cho hệ thống AI rủi ro cao. Dù được vận hành đúng quy định mà vẫn gây thiệt hại, bên triển khai (đơn vị cung cấp dịch vụ AI cho người dùng cuối) phải bồi thường trước, sau đó mới yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận. Vì công cụ tra cứu pháp luật không có trong danh mục, quy định này không áp dụng trực tiếp. Nhưng khoản 1 Điều 29 vẫn áp dụng: gây thiệt hại thì phải bồi thường theo pháp luật dân sự. Vì vậy, trích dẫn chính xác và không suy diễn quá những gì luật quy định vẫn nên là cách vận hành mặc định. KẾT LUẬN THỰC TẾ: bất kỳ ai đang đánh giá một công cụ AI tra cứu pháp luật, kể cả tự đánh giá sản phẩm của chính mình, nên đặt ra hai câu hỏi trước khi tin tưởng kết quả: (1) công cụ có trích dẫn được đúng Điều/Khoản, đúng văn bản còn hiệu lực, để tự đối chiếu hay không; (2) công cụ có phân biệt rõ ràng giữa "luật đã quy định" và "đang chờ văn bản hướng dẫn" hay đưa ra câu trả lời khẳng định chắc nịch mà không dẫn được nguồn. Danh mục hệ thống rủi ro cao là ví dụ trực tiếp: câu trả lời đúng phải dẫn được số hiệu văn bản (Quyết định 33/2026/QĐ-TTg), ngày có hiệu lực (15/8/2026), và nói rõ phần nào của danh mục đã đối chiếu được.Nguồn: Điều 4, Điều 9, Điều 11, Điều 13, Điều 15, Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 2, Điều 3 và Phụ lục Quyết định 33/2026/QĐ-TTg; Điều 7, Điều 8 Nghị định 142/2026/NĐ-CP

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP