Ví dụ thực tế về Dữ liệu cá nhân — Trang 5

Với đặc thù ngành tài chính tiêu dùng — xử lý khối lượng lớn dữ liệu nhạy cảm (CCCD, tài khoản ngân hàng, sinh trắc học, lịch sử tín dụng) và số lượng khách hàng thường vượt xa ngưỡng miễn trừ cho doanh nghiệp nhỏ — một công ty như vậy gần như chắc chắn thuộc diện phải tuân thủ đầy đủ, không được hưởng ưu đãi tạm hoãn 5 năm dành cho SME. Dưới đây là khung checklist dựa trên các nghĩa vụ cụ thể trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện hành — mang tính minh họa cho một công ty điển hình trong ngành, không phải đánh giá cho một doanh nghiệp cụ thể nào. ☐ 1) XÁC ĐỊNH DỮ LIỆU NHẠY CẢM ĐANG XỬ LÝ. Theo khoản 1 Điều 4 Nghị định 356, với một công ty cho vay tiêu dùng, gần như chắc chắn có: số CCCD/thông tin định danh, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, dữ liệu sinh trắc học (khuôn mặt qua eKYC). Vì có xử lý dữ liệu nhạy cảm, công ty KHÔNG thuộc diện miễn trừ SME dù quy mô nhỏ (điều kiện loại trừ ưu đãi tại Điều 41 Nghị định 356). ☐ 2) RÀ SOÁT CƠ CHẾ XIN ĐỒNG Ý. Theo khoản 4 Điều 6 Nghị định 356, với dữ liệu nhạy cảm phải thông báo rõ đây là dữ liệu nhạy cảm khi xin đồng ý — không gộp chung vào điều khoản dịch vụ dài dòng mà khách hàng không thực sự đọc. Giao diện đăng ký khoản vay/app cho vay cần: tách riêng mục xin đồng ý xử lý dữ liệu sinh trắc học/tài chính; không mặc định tick sẵn; lưu vết bằng chứng đồng ý (thời điểm, nội dung, hình thức) để chứng minh khi cần theo khoản 2 Điều 6. ☐ 3) LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU (ĐTA). Khoản 1 Điều 21 Luật yêu cầu nộp hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nếu công ty đã hoạt động trước 01/01/2026 và đã nộp hồ sơ theo Nghị định 13/2023 cũ, hồ sơ đó vẫn có giá trị theo điều khoản chuyển tiếp (khoản 2 Điều 39 Luật) — không cần nộp lại, chỉ cập nhật khi có thay đổi đáng kể về mục đích/phạm vi xử lý (Điều 22). ☐ 4) NẾU CÓ CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI (ví dụ dùng nền tảng eKYC/chấm điểm tín dụng đặt máy chủ ở nước ngoài, hoặc công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam): khoản 2 Điều 20 yêu cầu nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới trong 60 NGÀY kể từ lần chuyển đầu tiên — cần rà soát toàn bộ nhà cung cấp dịch vụ (core banking, chấm điểm tín dụng, lưu trữ đám mây) xem máy chủ đặt ở đâu. ☐ 5) CHỈ ĐỊNH BỘ PHẬN/NHÂN SỰ BẢO VỆ DỮ LIỆU. Điều 33 khoản 1-2 Luật yêu cầu có bộ phận/nhân sự phụ trách — Điều 13 Nghị định 356 đặt tiêu chuẩn: trình độ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, CNTT, an ninh mạng, quản trị rủi ro...), được đào tạo về bảo vệ dữ liệu cá nhân. Với công ty tài chính, nhân sự này thường nên phối hợp chặt với bộ phận tuân thủ/pháp chế và bộ phận an ninh thông tin sẵn có. ☐ 6) XÂY DỰNG QUY TRÌNH PHẢN HỒI YÊU CẦU CỦA KHÁCH HÀNG. Theo khoản 2 Điều 5 Nghị định 356: phản hồi yêu cầu rút lại đồng ý/hạn chế xử lý trong 2 NGÀY LÀM VIỆC, hoàn tất trong 15 NGÀY (hoặc 20 ngày nếu có bên thứ ba xử lý dữ liệu liên quan, ví dụ đơn vị chấm điểm tín dụng thuê ngoài). Với ngành cho vay, cần lưu ý ngoại lệ tại Điều 19 Luật — một số dữ liệu vẫn cần giữ lại để thực hiện nghĩa vụ hợp đồng vay đang có hiệu lực, cần nêu rõ căn cứ khi từ chối yêu cầu xóa toàn bộ dữ liệu của khách hàng đang có khoản vay chưa tất toán. ☐ 7) XÂY DỰNG QUY TRÌNH ỨNG PHÓ SỰ CỐ RÒ RỈ DỮ LIỆU. Khoản 1 Điều 23 Luật yêu cầu thông báo cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện vi phạm có khả năng ảnh hưởng đến tính mạng, sức khỏe, danh dự, tài sản của khách hàng. Với công ty tài chính nắm dữ liệu tài khoản ngân hàng của hàng chục nghìn khách hàng, đây là rủi ro cao nếu bị tấn công mạng — cần có quy trình phát hiện sớm, mẫu thông báo (Mẫu số 08 theo Điều 28 Nghị định 356) chuẩn bị sẵn, không phải soạn từ đầu khi sự cố xảy ra. ☐ 8) RÀ SOÁT HỢP ĐỒNG VỚI ĐỐI TÁC XỬ LÝ DỮ LIỆU BÊN NGOÀI. Các nhà cung cấp dịch vụ chấm điểm tín dụng, eKYC, thu hồi nợ thuê ngoài đều là "bên xử lý dữ liệu" hoặc "bên thứ ba" theo Luật — hợp đồng với các đối tác này cần có điều khoản ràng buộc về bảo vệ dữ liệu, phối hợp khi có yêu cầu rút lại đồng ý hoặc sự cố rò rỉ. Mức độ ưu tiên thực tế: với một công ty tài chính tiêu dùng đã hoạt động một thời gian, mục (2) sửa giao diện xin đồng ý và mục (7) quy trình ứng phó sự cố thường là hai điểm rủi ro cao nhất bị bỏ sót trong thực tế, vì đây là chỗ trực tiếp ảnh hưởng đến số đông khách hàng và dễ bị phát hiện vi phạm nhất khi có khiếu nại hoặc thanh tra.Nguồn: Điều 4, Điều 5, Điều 6, Điều 19, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 39, Điều 41 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Rất có thể là có — và nếu đúng, quy trình xin đồng ý phải chặt chẽ hơn dữ liệu cá nhân thông thường một bước quan trọng. Danh mục dữ liệu cá nhân nhạy cảm được quy định cụ thể tại khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, bao gồm (tóm lược): dữ liệu về chủng tộc/dân tộc; quan điểm chính trị/tôn giáo; đời sống riêng tư/bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học (vân tay, khuôn mặt, mống mắt...); dữ liệu di truyền; xu hướng tính dục; tiền án/tiền sự; dữ liệu vị trí; và đáng chú ý — thông tin xác thực định danh điện tử, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, cùng dữ liệu hành vi trên mạng viễn thông/mạng xã hội. Với tình huống bạn nêu: số CCCD (gắn với định danh), thông tin tài khoản ngân hàng, và dữ liệu sinh trắc học ĐỀU thuộc danh mục dữ liệu nhạy cảm theo quy định này. Về nguyên tắc chung, khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." Đây là nguyên tắc áp dụng cho MỌI loại dữ liệu cá nhân. Nhưng với dữ liệu NHẠY CẢM, có thêm một yêu cầu riêng tại khoản 4 Điều 6 Nghị định 356: "Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm." Nói ngắn gọn: không đủ nếu chỉ xin đồng ý chung chung "cho phép xử lý dữ liệu cá nhân của tôi" — với dữ liệu nhạy cảm, phải nói RÕ với khách hàng rằng loại dữ liệu sắp thu thập được xếp vào diện nhạy cảm, để họ hiểu đúng mức độ và quyết định có đồng ý hay không. Về hình thức thể hiện sự đồng ý (áp dụng chung cho cả dữ liệu thường và nhạy cảm), khoản 1-3 Điều 6 Nghị định 356 đặt ra các nguyên tắc: sự đồng ý phải được thể hiện rõ ràng, cụ thể, tự nguyện và có thể kiểm chứng được — có thể dưới dạng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn/email/trang thông tin điện tử/ứng dụng hoặc hình thức khác thể hiện được; bên kiểm soát dữ liệu có trách nhiệm CHỨNG MINH được sự đồng ý của chủ thể dữ liệu khi có tranh chấp, khiếu nại; và đặc biệt — không được thiết kế giao diện đồng ý/không đồng ý theo hướng mặc định đồng ý (default opt-in) hay gây hiểu lầm về việc chủ thể dữ liệu đã đồng ý. Một điểm quan trọng khác cần biết: dù đã có đồng ý, chủ thể dữ liệu vẫn giữ quyền rút lại sự đồng ý bất cứ lúc nào theo Điều 10 Luật (xem thêm bài viết riêng về quyền rút lại đồng ý) — việc thu thập dữ liệu nhạy cảm hợp lệ ban đầu không có nghĩa doanh nghiệp được xử lý dữ liệu đó vĩnh viễn không cần quan tâm ý chí sau này của khách hàng. Doanh nghiệp nên làm gì: 1) Rà soát lại toàn bộ các trường dữ liệu đang thu thập từ khách hàng, đối chiếu với danh mục tại khoản 1 Điều 4 Nghị định 356 để xác định chính xác đâu là dữ liệu nhạy cảm. 2) Sửa lại mẫu/giao diện xin đồng ý (form đăng ký, điều khoản sử dụng, checkbox...) để có thông báo rõ ràng, riêng biệt cho các trường dữ liệu nhạy cảm, thay vì gộp chung vào một dòng đồng ý tổng quát. 3) Đảm bảo hệ thống lưu vết được bằng chứng đồng ý (thời điểm, nội dung đã đồng ý, hình thức đồng ý) để có thể chứng minh khi cần, vì nghĩa vụ chứng minh thuộc về bên kiểm soát dữ liệu, không phải khách hàng. 4) Rà soát lại toàn bộ giao diện đồng ý hiện tại xem có đang mặc định tick sẵn ô đồng ý hay không — nếu có, đây là điểm cần sửa ngay vì trái với quy định cấm mặc định đồng ý.Nguồn: Điều 11, Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4, Điều 6 Nghị định 356/2025/NĐ-CP

Đúng — nhưng đây không đơn thuần là một nghị định thay một nghị định khác. Từ 01/01/2026, khung pháp lý về bảo vệ dữ liệu cá nhân đã được nâng lên thành LUẬT, không còn dừng ở cấp nghị định như trước. Văn bản gốc hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026. Đi kèm là Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực cùng ngày 01/01/2026) — quy định chi tiết một số điều và biện pháp thi hành Luật này. Khoản 2 Điều 42 Nghị định 356 nêu rõ: "Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Nói cách khác: Nghị định 13/2023 đã hết hiệu lực từ đúng ngày 01/01/2026 — nếu doanh nghiệp vẫn đang tra cứu và áp dụng theo Nghị định 13, cần cập nhật ngay sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Một số thay đổi đáng chú ý so với khung Nghị định 13 cũ mà doanh nghiệp cần nắm: 1) Đánh giá tác động xử lý dữ liệu cá nhân (ĐTA — tương đương DPIA): Điều 21 khoản 1 Luật 91/2025/QH15 yêu cầu bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động và nộp bản gốc cho cơ quan chuyên trách trong thời hạn 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Đây là nghĩa vụ một lần cho suốt vòng đời hoạt động, cập nhật khi có thay đổi đáng kể (Điều 22). 2) Chuyển dữ liệu ra nước ngoài: khoản 2 Điều 20 áp dụng cùng thời hạn 60 ngày kể từ lần chuyển dữ liệu xuyên biên giới đầu tiên để nộp hồ sơ đánh giá tác động chuyển dữ liệu — có một số trường hợp được miễn tại khoản 6 (cơ quan nhà nước, chủ dữ liệu tự chuyển, người sử dụng lao động lưu trữ dữ liệu nhân viên trên nền tảng đám mây của chính họ...). 3) Nhân sự/bộ phận bảo vệ dữ liệu (tương đương DPO): Điều 33 khoản 1-2 yêu cầu chỉ định một bộ phận/nhân sự nội bộ hoặc thuê đơn vị có chức năng bảo vệ dữ liệu cá nhân. Nghị định 356 Điều 13 đặt tiêu chuẩn cụ thể: trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, công nghệ thông tin, an ninh mạng, an toàn dữ liệu, quản trị rủi ro, nhân sự), được đào tạo về pháp luật/kỹ năng bảo vệ dữ liệu cá nhân. 4) Thông báo vi phạm dữ liệu: Điều 23 khoản 1 quy định thời hạn thông báo cho cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện hành vi vi phạm có khả năng gây ảnh hưởng đến quốc phòng, an ninh, trật tự hoặc đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu. VỀ ƯU ĐÃI CHO DOANH NGHIỆP NHỎ VÀ STARTUP: Điều 38 khoản 2-3 Luật, được Nghị định 356 Điều 41 cụ thể hóa, cho phép doanh nghiệp nhỏ/khởi nghiệp được TẠM HOÃN thực hiện các nghĩa vụ tại Điều 21 (đánh giá tác động), Điều 22 (cập nhật), và khoản 2 Điều 33 (chỉ định bộ phận bảo vệ dữ liệu) trong 5 NĂM kể từ ngày Luật có hiệu lực (tức đến khoảng 01/01/2031); hộ kinh doanh/doanh nghiệp siêu nhỏ được miễn hoàn toàn các nghĩa vụ này. Tuy nhiên, ưu đãi này KHÔNG áp dụng nếu: hoạt động cốt lõi là cung cấp dịch vụ xử lý dữ liệu, doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, hoặc số lượng chủ thể dữ liệu đã xử lý lũy kế đạt từ 100.000 người trở lên (ngưỡng này chỉ nêu tại Nghị định, không có trong Luật). VỀ GIAI ĐOẠN CHUYỂN TIẾP: khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu đang thực hiện mà đã được sự đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 (cũ) trước ngày Luật có hiệu lực thì được tiếp tục thực hiện, KHÔNG phải xin lại đồng ý hay thỏa thuận lại. Khoản 2 cũng cho biết hồ sơ đánh giá tác động/chuyển dữ liệu đã nộp và được cơ quan tiếp nhận theo Nghị định 13 cũ vẫn có giá trị, không phải nộp lại — chỉ khi có cập nhật sau ngày Luật có hiệu lực mới áp dụng quy định mới. Doanh nghiệp nên làm ngay: (1) xác định mình có thuộc diện được tạm hoãn 5 năm hay không (dựa vào quy mô, có xử lý dữ liệu nhạy cảm hay không, số chủ thể dữ liệu đã xử lý); (2) nếu KHÔNG thuộc diện tạm hoãn và đã bắt đầu xử lý dữ liệu, tính ngược thời hạn 60 ngày để nộp hồ sơ đánh giá tác động nếu chưa nộp; (3) chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu đúng tiêu chuẩn tại Điều 13 Nghị định 356 nếu thuộc diện bắt buộc; (4) xây dựng quy trình nội bộ để đáp ứng thời hạn 72 giờ thông báo vi phạm nếu có sự cố xảy ra.Nguồn: Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 41, Điều 42 Nghị định 356/2025/NĐ-CP

Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội thông qua ngày 10/12/2025, có hiệu lực thi hành từ ngày 01/03/2026 (Điều 34). Đây là đạo luật khung (principle-based), tiếp cận theo mức độ rủi ro (risk-based) — về hướng tiếp cận tổng thể có nét tương đồng với EU AI Act, nhưng có một điểm đi xa hơn: luật khẳng định rõ ràng AI không thay thế thẩm quyền của con người, người ra quyết định vẫn phải chịu trách nhiệm pháp lý khi sử dụng AI. BA ĐIỂM CỐT LÕI ĐÃ CÓ TRONG LUẬT: 1) Con người vẫn là người chịu trách nhiệm cuối cùng. Khoản 2 Điều 4 quy định: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người. Bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo." Với công ty tài chính, điều này có nghĩa: không thể để một hệ thống AI tự động ra quyết định cuối cùng (ví dụ duyệt/từ chối khoản vay) mà không có cơ chế con người kiểm soát, can thiệp được — kể cả khi hệ thống AI đó do bên thứ ba cung cấp. 2) Nguyên tắc không thiên lệch, không phân biệt đối xử — nhưng chi tiết chưa được luật hóa cụ thể. Khoản 3 Điều 4 nêu nguyên tắc chung: "Bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội... thực hiện trách nhiệm giải trình về các quyết định và hệ quả của hệ thống trí tuệ nhân tạo." Cần lưu ý: bản thân Luật KHÔNG liệt kê cụ thể các đặc điểm được bảo vệ (tuổi tác, giới tính, dân tộc...) hay quy định riêng cho lĩnh vực tuyển dụng — đây là nguyên tắc chung. Ví dụ một hệ thống AI tuyển dụng tự động loại ứng viên theo độ tuổi hoặc dân tộc mà không có căn cứ hợp pháp là minh họa cho tinh thần của nguyên tắc này, không phải trích dẫn nguyên văn luật. Chi tiết hóa nguyên tắc công bằng, không phân biệt đối xử được giao cho Khung đạo đức trí tuệ nhân tạo quốc gia (Điều 26) — văn bản này do Bộ trưởng Bộ Khoa học và Công nghệ ban hành, tại thời điểm luật có hiệu lực vẫn CHƯA được ban hành. 3) Phân loại theo mức độ rủi ro. Điều 9 chia hệ thống AI thành ba mức: rủi ro cao (có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền lợi hợp pháp, an ninh quốc gia), rủi ro trung bình (có khả năng gây nhầm lẫn/thao túng do người dùng không nhận biết đang tương tác với AI), và rủi ro thấp (còn lại). Hệ thống rủi ro cao phải qua đánh giá sự phù hợp trước khi đưa vào sử dụng (Điều 13) — nhưng DANH MỤC cụ thể hệ thống nào được coi là rủi ro cao lại do Thủ tướng Chính phủ ban hành riêng (khoản 4 Điều 13), chưa có trong luật. DEADLINE CỤ THỂ CẦN LƯU Ý NGAY: khoản 1 Điều 35 (điều khoản chuyển tiếp) quy định thời hạn tuân thủ cho các hệ thống AI đã đưa vào hoạt động TRƯỚC ngày luật có hiệu lực: 18 tháng kể từ 01/03/2026 đối với hệ thống AI trong lĩnh vực y tế, giáo dục và TÀI CHÍNH (tức đến khoảng tháng 9/2027); 12 tháng đối với các lĩnh vực còn lại. Trong thời hạn chuyển tiếp, hệ thống vẫn được tiếp tục hoạt động, trừ khi cơ quan quản lý nhà nước xác định hệ thống có nguy cơ gây thiệt hại nghiêm trọng thì có quyền yêu cầu tạm dừng (khoản 2 Điều 35). Với một tổ chức tín dụng/cho vay đang dùng AI (chấm điểm tín dụng, phát hiện gian lận, chatbot tư vấn...), đây là mốc thời gian thực tế đầu tiên cần đưa vào kế hoạch tuân thủ. VỀ TRÁCH NHIỆM BỒI THƯỜNG: đáng chú ý, khoản 2 Điều 29 quy định — ngay cả khi hệ thống AI rủi ro cao được quản lý, vận hành đúng quy định nhưng vẫn gây thiệt hại, bên triển khai (deployer, tức chính doanh nghiệp sử dụng hệ thống) vẫn phải bồi thường trước cho người bị thiệt hại, sau đó mới có thể yêu cầu nhà cung cấp/nhà phát triển hoàn trả nếu có thỏa thuận. Đây gần như trách nhiệm nghiêm ngặt (strict liability) đặt lên bên triển khai — lý do quan trọng để đánh giá kỹ hợp đồng với nhà cung cấp AI (điều khoản bồi hoàn, phân chia trách nhiệm) trước khi triển khai, không đợi đến khi có sự cố. NHỮNG GÌ LUẬT CHƯA QUY ĐỊNH CHI TIẾT — CẦN THEO DÕI: đây là luật khung, Quốc hội cố ý để chi tiết cho nghị định hướng dẫn và quy định chuyên ngành. Riêng trong văn bản này đã có tới 16 điều khoản giao Chính phủ/Thủ tướng/Bộ quy định chi tiết, trong đó quan trọng nhất với doanh nghiệp: (a) tiêu chí và danh mục cụ thể hệ thống rủi ro cao (Điều 9, Điều 13); (b) hình thức đánh giá sự phù hợp, tổ chức đánh giá được công nhận (Điều 13); (c) Khung đạo đức trí tuệ nhân tạo quốc gia — nơi các nguyên tắc công bằng, không phân biệt đối xử sẽ được cụ thể hóa (Điều 26); (d) mức xử phạt hành chính cụ thể cho vi phạm liên quan AI (khoản 5 Điều 29). Tất cả các văn bản này CHƯA được xác nhận ban hành tại thời điểm bài viết — bộ phận pháp chế nên đặt lịch theo dõi Cổng thông tin điện tử một cửa về trí tuệ nhân tạo (Điều 8 của Luật) thay vì giả định chi tiết trước khi có văn bản chính thức. VIỆC CẦN LÀM NGAY với đội pháp chế/tuân thủ: (1) kiểm kê toàn bộ hệ thống AI đang dùng trong nghiệp vụ (chấm điểm tín dụng, KYC/AML, chatbot, hệ thống định giá...), sơ bộ xếp loại theo ba mức rủi ro của Điều 9 để chuẩn bị trước khi có danh mục chính thức; (2) rà soát hợp đồng với nhà cung cấp AI hiện tại — đặc biệt điều khoản trách nhiệm, quyền can thiệp/dừng hệ thống của con người, và nghĩa vụ minh bạch của Điều 11; (3) với hệ thống tài chính đã vận hành trước 1/3/2026, đưa deadline 18 tháng (khoảng 9/2027) vào lịch tuân thủ; (4) chỉ định người/bộ phận chịu trách nhiệm theo dõi các nghị định hướng dẫn khi được ban hành, vì phần lớn nghĩa vụ cụ thể (mức phạt, danh mục rủi ro cao, tiêu chuẩn đánh giá) sẽ nằm ở đó chứ không phải trong luật gốc. — BÌNH LUẬN (không phải trích dẫn luật): với các công cụ AI dùng cho tra cứu, nghiên cứu pháp lý nội bộ, nguyên tắc minh bạch và trách nhiệm giải trình của Luật này cũng đáng để đội pháp chế cân nhắc khi lựa chọn công cụ — dù luật không quy định riêng cho nhóm công cụ tra cứu/legal-research. Hai câu hỏi thực tế nên đặt ra: (a) dữ liệu truy vấn có được lưu trữ/xử lý ở đâu (data residency) — có phù hợp với chính sách bảo mật nội bộ và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 hay không; (b) công cụ có trích dẫn rõ nguồn — đúng Điều, Khoản, đúng văn bản còn hiệu lực — để đội pháp chế tự đối chiếu, hay chỉ đưa ra câu trả lời không kiểm chứng được. Đây là góc nhìn thực tiễn khi đánh giá công cụ, không phải nghĩa vụ luật định. Nếu cần tra cứu nhanh một Điều, Khoản cụ thể của Luật Trí tuệ nhân tạo hay các văn bản liên quan trong lúc rà soát, Lawgical đưa kho 150.000+ văn bản pháp luật Việt Nam — cập nhật hàng ngày — vào thẳng Claude, ChatGPT hoặc Gemini bạn đang dùng, trả lời kèm trích dẫn Điều/Khoản để tự đối chiếu.Nguồn: Điều 4, Điều 7, Điều 9, Điều 11, Điều 13, Điều 26, Điều 29, Điều 34, Điều 35 Luật Trí tuệ nhân tạo 134/2025/QH15

Trước hết: việc từng tự nguyện gửi ảnh cho người yêu lúc đó không có nghĩa là bạn mất quyền kiểm soát những bức ảnh đó mãi mãi, và cũng không phải lý do để tự trách mình — pháp luật bảo vệ bạn ở đây, không phải trừng phạt bạn vì đã tin tưởng ai đó trong một mối quan hệ. Về mặt pháp lý, đây là quyền cá nhân đối với hình ảnh, không phụ thuộc vào việc ảnh có được cho xem tự nguyện trước đây hay không. Khoản 1 Điều 32 Bộ luật Dân sự 91/2015/QH13 quy định rõ: cá nhân có quyền đối với hình ảnh của mình, và việc SỬ DỤNG hình ảnh của người khác phải được người đó đồng ý. "Sử dụng" ở đây bao gồm cả việc phát tán, chia sẻ — không chỉ việc chụp hay lưu giữ ban đầu. Đồng ý cho một người xem ảnh 4-5 năm trước không đồng nghĩa với đồng ý cho người đó gửi ảnh cho người khác bây giờ. Nếu người này thực sự phát tán ảnh mà không có sự đồng ý của bạn, khoản 3 Điều 32 cho bạn quyền yêu cầu Tòa án buộc thu hồi, tiêu hủy, chấm dứt việc sử dụng và bồi thường thiệt hại. Về trách nhiệm hình sự của người đe dọa — có hai hướng, tùy vào việc anh ta thực sự đòi gì: 1) Nếu anh ta phát tán ảnh thật (gửi cho bạn/bè của người yêu bạn hoặc đăng công khai) nhằm bôi nhọ, hạ thấp bạn: đây có thể cấu thành tội làm nhục người khác theo Điều 155 Bộ luật Hình sự 100/2015/QH13 — xúc phạm nghiêm trọng nhân phẩm, danh dự người khác, có thể bị phạt tiền đến 30 triệu đồng hoặc phạt tù. Nếu thực hiện qua mạng xã hội, tin nhắn, điện thoại thì đây là tình tiết tăng nặng — điểm e khoản 2 Điều 155 quy định khung phạt tù từ 3 tháng đến 2 năm khi "sử dụng mạng máy tính hoặc mạng viễn thông, phương tiện điện tử để phạm tội". 2) Nếu việc đe dọa phát tán ảnh được dùng để ép bạn phải đưa tiền, tài sản, hoặc bất kỳ lợi ích vật chất nào: đây là dấu hiệu của tội cưỡng đoạt tài sản theo Điều 170 Bộ luật Hình sự — "đe dọa sẽ dùng vũ lực hoặc có thủ đoạn khác uy hiếp tinh thần người khác nhằm chiếm đoạt tài sản", phạt tù từ 1 đến 5 năm ở khung cơ bản. Điểm quan trọng: tội này đã hoàn thành ngay khi có hành vi đe dọa nhằm chiếm đoạt tài sản — không cần đợi anh ta thực sự phát tán ảnh hay bạn thực sự mất tiền thì mới được coi là phạm tội. Dù anh ta đòi gì (tiền, gặp lại, hay bất cứ điều gì khiến bạn phải làm trái ý muốn để đổi lấy việc không phát tán ảnh), việc dùng ảnh nhạy cảm để đe dọa, ép buộc người khác đều là hành vi vi phạm pháp luật. Bạn nên làm gì ngay: - Không làm theo yêu cầu của anh ta, kể cả khi anh ta hối thúc hay dọa dẫm thêm — làm theo không đảm bảo anh ta sẽ dừng lại, và có thể khiến bạn bị lợi dụng tiếp. - Lưu lại toàn bộ bằng chứng: chụp màn hình tin nhắn đe dọa, ghi rõ thời gian, số điện thoại/tài khoản mạng xã hội của anh ta — đây là bằng chứng quan trọng nhất khi trình báo. - Trình báo công an: theo Điều 144 Bộ luật Tố tụng hình sự 101/2015/QH13, bạn có quyền tố giác hành vi có dấu hiệu tội phạm với cơ quan có thẩm quyền — có thể đến công an phường/xã nơi bạn cư trú. Theo Điều 145, cơ quan tiếp nhận không được từ chối tiếp nhận tố giác. Bạn không cần phải đợi ảnh thực sự bị phát tán mới được trình báo — hành vi đe dọa đã đủ căn cứ để công an vào cuộc xác minh. - Nếu lo lắng về việc lộ danh tính khi trình báo, có thể trình bày rõ với công an và đề nghị được bảo mật thông tin trong quá trình xử lý.Nguồn: Điều 32 Bộ luật Dân sự 91/2015/QH13; Điều 155, Điều 170 Bộ luật Hình sự 100/2015/QH13; Điều 144, Điều 145 Bộ luật Tố tụng hình sự 101/2015/QH13

Có ba nghĩa vụ pháp lý tách biệt phát sinh ngay khi phát hiện sự cố, không phải chỉ là vấn đề kỹ thuật nội bộ. 1. Nghĩa vụ ứng cứu, khắc phục ngay: khoản 2 Điều 19 Luật An toàn thông tin mạng 86/2015/QH13 quy định tổ chức, cá nhân xử lý thông tin cá nhân — không phân biệt quy mô doanh nghiệp — khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng thì phải áp dụng biện pháp khắc phục, ngăn chặn trong thời gian sớm nhất (vá lỗ hổng, chặn truy cập trái phép, đánh giá phạm vi dữ liệu bị lộ). Điều 13 luật này cũng yêu cầu việc ứng cứu sự cố phải kịp thời, nhanh chóng, chính xác. 2. Nghĩa vụ thông báo cho cơ quan chuyên trách trong 72 giờ: đây là điểm nhiều doanh nghiệp bỏ sót. Khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể xâm phạm đến tài sản, danh dự, nhân phẩm của chủ thể dữ liệu thì PHẢI thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm — đây không phải lựa chọn, mà là nghĩa vụ bắt buộc, tính từ lúc công ty phát hiện ra (không phải từ lúc hacker xâm nhập). Tình huống của bạn — lộ họ tên, số điện thoại, email, mật khẩu của 8.000 người — rõ ràng có nguy cơ gây thiệt hại tài sản (lừa đảo, chiếm đoạt tài khoản) nên thuộc diện phải thông báo. Nội dung thông báo phải có (theo khoản 1 Điều 28 Nghị định 356/2025/NĐ-CP): mô tả tính chất vi phạm (thời gian, địa điểm, hành vi, loại dữ liệu và số lượng dữ liệu bị ảnh hưởng), thông tin liên lạc của bộ phận/nhân sự phụ trách bảo vệ dữ liệu, mô tả hậu quả có thể xảy ra, và biện pháp đã/đang thực hiện để khắc phục. Thông báo gửi qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 (khoản 2 Điều 28). 3. Về việc có phải báo trực tiếp cho 8.000 khách hàng không: luật quy định nghĩa vụ thông báo trực tiếp bắt buộc cho chính chủ thể dữ liệu (trong 72 giờ) chỉ áp dụng rõ ràng khi dữ liệu bị lộ là dữ liệu vị trí hoặc dữ liệu sinh trắc học (Điều 29 Nghị định 356/2025/NĐ-CP) — trường hợp của bạn (họ tên, SĐT, email, mật khẩu) không thuộc diện bắt buộc thông báo trực tiếp theo điều khoản này. Tuy nhiên đây là rủi ro thực tế cho khách hàng (đặc biệt nếu họ dùng lại mật khẩu ở nơi khác), nên dù không bị luật buộc, công ty vẫn nên chủ động thông báo và khuyến nghị đổi mật khẩu — vừa đúng tinh thần "biện pháp khắc phục, ngăn chặn" tại Điều 19 Luật An toàn thông tin mạng, vừa giảm rủi ro bị khách hàng khởi kiện đòi bồi thường sau này nếu họ bị thiệt hại và chứng minh được công ty biết mà không cảnh báo. Về chế tài nếu không thông báo: khoản 4 Điều 29 Nghị định 356/2025/NĐ-CP nói rõ tổ chức không thông báo đúng hạn hoặc cố tình trì hoãn, né tránh sẽ bị xem xét xử lý vi phạm. Theo khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa cho các hành vi vi phạm khác (bao gồm không thông báo) đối với tổ chức có thể lên đến 3 tỷ đồng, tùy tính chất và mức độ vi phạm; nếu để xảy ra thiệt hại thực tế cho khách hàng thì còn phải bồi thường theo quy định chung của pháp luật dân sự. Việc cần làm ngay: (1) khắc phục kỹ thuật, đánh giá chính xác phạm vi và loại dữ liệu bị lộ; (2) lập biên bản xác nhận sự việc (khoản 2 Điều 23 Luật BVDLCN); (3) gửi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện, dùng đúng Mẫu số 08; (4) cân nhắc chủ động thông báo khách hàng và khuyến nghị đổi mật khẩu dù không bắt buộc theo luật đối với loại dữ liệu này.Nguồn: Điều 8, Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 19 Luật An toàn thông tin mạng 86/2015/QH13; Điều 28, Điều 29 Nghị định 356/2025/NĐ-CP