Ví dụ thực tế — Trang 66

Câu trả lời ngắn: theo danh mục đã công bố, một công cụ AI tra cứu pháp luật không nằm trong diện rủi ro cao. Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao đã được Thủ tướng Chính phủ ban hành kèm theo Quyết định 33/2026/QĐ-TTg ngày 30/6/2026, có hiệu lực từ ngày 15/8/2026. Trong phần danh mục đọc được, không có mục nào nói về tra cứu thông tin pháp luật hay dịch vụ pháp lý. Một lưu ý: phần phụ lục của văn bản mà bài này đối chiếu được dừng ở mục 31 của lĩnh vực giao thông vận tải, nên kết luận trên dựa vào phần danh mục đã đọc được, chưa kiểm tra được phần nào nằm sau mục đó. VỀ KHUNG PHÂN LOẠI ĐÃ CÓ: Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 chia hệ thống AI thành ba mức rủi ro (cao, trung bình, thấp) dựa trên các tiêu chí định tính: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô ảnh hưởng. Khoản 3 Điều 9 giao Chính phủ quy định chi tiết điều này. VỀ VIỆC AI TRA CỨU PHÁP LUẬT CÓ THUỘC DIỆN RỦI RO CAO HAY KHÔNG: xét theo tinh thần các tiêu chí định tính tại Điều 9 (mức độ tác động đến quyền con người, phạm vi người dùng), có thể lập luận theo cả hai hướng. Một mặt, công cụ tra cứu pháp luật không TRỰC TIẾP ra quyết định thay con người (không tự động phê duyệt khoản vay, không tự động ra phán quyết) mà chỉ hỗ trợ tra cứu, cung cấp thông tin để người dùng (luật sư, doanh nghiệp, cá nhân) tự đưa ra quyết định, phù hợp với nguyên tắc tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người." Mặt khác, nếu công cụ được dùng rộng rãi để tư vấn pháp lý, và người dùng tin tưởng tuyệt đối vào kết quả tra cứu mà không kiểm chứng, một câu trả lời sai (trích dẫn nhầm điều luật, dùng văn bản đã hết hiệu lực) có thể dẫn đến hậu quả pháp lý thực sự cho người dùng. Đây chính là loại rủi ro mà khung phân loại của Luật hướng tới xử lý. Khoản 4 Điều 13 Luật quy định rõ: "Thủ tướng Chính phủ quy định Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, bao gồm danh mục hệ thống trí tuệ nhân tạo phải chứng nhận sự phù hợp trước khi đưa vào sử dụng." Danh mục đó nay là Phụ lục kèm Quyết định 33/2026/QĐ-TTg. Phần đọc được gồm sáu lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải. Lĩnh vực gần với pháp luật nhất là tố tụng, nhưng chỉ có một mục: "Hệ thống trí tuệ nhân tạo nhận dạng sinh trắc học diện rộng phục vụ giải quyết vụ án dân sự công ích". Công cụ tìm và trích dẫn văn bản luật không làm việc này. Phần lớn các mục còn lại chỉ áp dụng khi hệ thống tự ra quyết định hoặc tự thực thi mà không có con người xem xét, phê duyệt lại, trong khi công cụ tra cứu pháp luật chỉ đưa thông tin để người dùng tự quyết. Điều 2 Quyết định 33/2026/QĐ-TTg cũng chỉ xếp vào rủi ro cao những hệ thống không thuộc trường hợp loại trừ tại khoản 2 Điều 8 Nghị định 142/2026/NĐ-CP. Điểm d khoản này loại trừ hệ thống "Chỉ thực hiện chức năng phân tích, dự báo, đánh giá, khuyến nghị mang tính tham khảo; nhà cung cấp và bên triển khai không được sử dụng kết quả đầu ra làm căn cứ duy nhất để ra quyết định cuối cùng." Một công cụ tra cứu pháp luật dùng đúng vai trò tham khảo khớp với trường hợp này. Danh mục có thể được sửa đổi, bổ sung theo Điều 7 Nghị định 142/2026/NĐ-CP, nên cần xem lại khi có quyết định mới. ĐIỀU VẪN PHẢI LÀM DÙ KHÔNG THUỘC DIỆN RỦI RO CAO: theo khoản 1 Điều 11 Luật về minh bạch, hệ thống AI tương tác trực tiếp với con người phải được thiết kế để người dùng biết mình đang tương tác với AI. Điều 15 Luật còn buộc nhà cung cấp và bên triển khai hệ thống rủi ro trung bình, thấp giải trình khi cơ quan nhà nước có thẩm quyền yêu cầu. Với một công cụ tra cứu pháp luật, điều này có nghĩa: (a) phải trích dẫn rõ nguồn, đúng Điều, Khoản, đúng văn bản, để người dùng có thể tự đối chiếu, không chỉ đưa câu trả lời không kiểm chứng được; (b) phải phân biệt rõ giữa luật đã ban hành, đã có hiệu lực và những gì còn đang chờ văn bản hướng dẫn; (c) không được để người dùng lầm tưởng AI đang "ra phán quyết" thay vì hỗ trợ tra cứu, đúng tinh thần khoản 2 Điều 4 nêu trên. Điểm (c) nay còn quan trọng hơn: chính việc chỉ đưa kết quả tham khảo, để con người ra quyết định cuối cùng, là lý do công cụ này nằm ngoài danh mục rủi ro cao. Về trách nhiệm nếu công cụ tra cứu gây thiệt hại: khoản 2 Điều 29 Luật quy định riêng cho hệ thống AI rủi ro cao. Dù được vận hành đúng quy định mà vẫn gây thiệt hại, bên triển khai (đơn vị cung cấp dịch vụ AI cho người dùng cuối) phải bồi thường trước, sau đó mới yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận. Vì công cụ tra cứu pháp luật không có trong danh mục, quy định này không áp dụng trực tiếp. Nhưng khoản 1 Điều 29 vẫn áp dụng: gây thiệt hại thì phải bồi thường theo pháp luật dân sự. Vì vậy, trích dẫn chính xác và không suy diễn quá những gì luật quy định vẫn nên là cách vận hành mặc định. KẾT LUẬN THỰC TẾ: bất kỳ ai đang đánh giá một công cụ AI tra cứu pháp luật, kể cả tự đánh giá sản phẩm của chính mình, nên đặt ra hai câu hỏi trước khi tin tưởng kết quả: (1) công cụ có trích dẫn được đúng Điều/Khoản, đúng văn bản còn hiệu lực, để tự đối chiếu hay không; (2) công cụ có phân biệt rõ ràng giữa "luật đã quy định" và "đang chờ văn bản hướng dẫn" hay đưa ra câu trả lời khẳng định chắc nịch mà không dẫn được nguồn. Danh mục hệ thống rủi ro cao là ví dụ trực tiếp: câu trả lời đúng phải dẫn được số hiệu văn bản (Quyết định 33/2026/QĐ-TTg), ngày có hiệu lực (15/8/2026), và nói rõ phần nào của danh mục đã đối chiếu được.Nguồn: Điều 4, Điều 9, Điều 11, Điều 13, Điều 15, Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 2, Điều 3 và Phụ lục Quyết định 33/2026/QĐ-TTg; Điều 7, Điều 8 Nghị định 142/2026/NĐ-CP

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP

Với đặc thù ngành tài chính tiêu dùng — xử lý khối lượng lớn dữ liệu nhạy cảm (CCCD, tài khoản ngân hàng, sinh trắc học, lịch sử tín dụng) và số lượng khách hàng thường vượt xa ngưỡng miễn trừ cho doanh nghiệp nhỏ — một công ty như vậy gần như chắc chắn thuộc diện phải tuân thủ đầy đủ, không được hưởng ưu đãi tạm hoãn 5 năm dành cho SME. Dưới đây là khung checklist dựa trên các nghĩa vụ cụ thể trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện hành — mang tính minh họa cho một công ty điển hình trong ngành, không phải đánh giá cho một doanh nghiệp cụ thể nào. ☐ 1) XÁC ĐỊNH DỮ LIỆU NHẠY CẢM ĐANG XỬ LÝ. Theo khoản 1 Điều 4 Nghị định 356, với một công ty cho vay tiêu dùng, gần như chắc chắn có: số CCCD/thông tin định danh, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, dữ liệu sinh trắc học (khuôn mặt qua eKYC). Vì có xử lý dữ liệu nhạy cảm, công ty KHÔNG thuộc diện miễn trừ SME dù quy mô nhỏ (điều kiện loại trừ ưu đãi tại Điều 41 Nghị định 356). ☐ 2) RÀ SOÁT CƠ CHẾ XIN ĐỒNG Ý. Theo khoản 4 Điều 6 Nghị định 356, với dữ liệu nhạy cảm phải thông báo rõ đây là dữ liệu nhạy cảm khi xin đồng ý — không gộp chung vào điều khoản dịch vụ dài dòng mà khách hàng không thực sự đọc. Giao diện đăng ký khoản vay/app cho vay cần: tách riêng mục xin đồng ý xử lý dữ liệu sinh trắc học/tài chính; không mặc định tick sẵn; lưu vết bằng chứng đồng ý (thời điểm, nội dung, hình thức) để chứng minh khi cần theo khoản 2 Điều 6. ☐ 3) LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU (ĐTA). Khoản 1 Điều 21 Luật yêu cầu nộp hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nếu công ty đã hoạt động trước 01/01/2026 và đã nộp hồ sơ theo Nghị định 13/2023 cũ, hồ sơ đó vẫn có giá trị theo điều khoản chuyển tiếp (khoản 2 Điều 39 Luật) — không cần nộp lại, chỉ cập nhật khi có thay đổi đáng kể về mục đích/phạm vi xử lý (Điều 22). ☐ 4) NẾU CÓ CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI (ví dụ dùng nền tảng eKYC/chấm điểm tín dụng đặt máy chủ ở nước ngoài, hoặc công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam): khoản 2 Điều 20 yêu cầu nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới trong 60 NGÀY kể từ lần chuyển đầu tiên — cần rà soát toàn bộ nhà cung cấp dịch vụ (core banking, chấm điểm tín dụng, lưu trữ đám mây) xem máy chủ đặt ở đâu. ☐ 5) CHỈ ĐỊNH BỘ PHẬN/NHÂN SỰ BẢO VỆ DỮ LIỆU. Điều 33 khoản 1-2 Luật yêu cầu có bộ phận/nhân sự phụ trách — Điều 13 Nghị định 356 đặt tiêu chuẩn: trình độ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, CNTT, an ninh mạng, quản trị rủi ro...), được đào tạo về bảo vệ dữ liệu cá nhân. Với công ty tài chính, nhân sự này thường nên phối hợp chặt với bộ phận tuân thủ/pháp chế và bộ phận an ninh thông tin sẵn có. ☐ 6) XÂY DỰNG QUY TRÌNH PHẢN HỒI YÊU CẦU CỦA KHÁCH HÀNG. Theo khoản 2 Điều 5 Nghị định 356: phản hồi yêu cầu rút lại đồng ý/hạn chế xử lý trong 2 NGÀY LÀM VIỆC, hoàn tất trong 15 NGÀY (hoặc 20 ngày nếu có bên thứ ba xử lý dữ liệu liên quan, ví dụ đơn vị chấm điểm tín dụng thuê ngoài). Với ngành cho vay, cần lưu ý ngoại lệ tại Điều 19 Luật — một số dữ liệu vẫn cần giữ lại để thực hiện nghĩa vụ hợp đồng vay đang có hiệu lực, cần nêu rõ căn cứ khi từ chối yêu cầu xóa toàn bộ dữ liệu của khách hàng đang có khoản vay chưa tất toán. ☐ 7) XÂY DỰNG QUY TRÌNH ỨNG PHÓ SỰ CỐ RÒ RỈ DỮ LIỆU. Khoản 1 Điều 23 Luật yêu cầu thông báo cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện vi phạm có khả năng ảnh hưởng đến tính mạng, sức khỏe, danh dự, tài sản của khách hàng. Với công ty tài chính nắm dữ liệu tài khoản ngân hàng của hàng chục nghìn khách hàng, đây là rủi ro cao nếu bị tấn công mạng — cần có quy trình phát hiện sớm, mẫu thông báo (Mẫu số 08 theo Điều 28 Nghị định 356) chuẩn bị sẵn, không phải soạn từ đầu khi sự cố xảy ra. ☐ 8) RÀ SOÁT HỢP ĐỒNG VỚI ĐỐI TÁC XỬ LÝ DỮ LIỆU BÊN NGOÀI. Các nhà cung cấp dịch vụ chấm điểm tín dụng, eKYC, thu hồi nợ thuê ngoài đều là "bên xử lý dữ liệu" hoặc "bên thứ ba" theo Luật — hợp đồng với các đối tác này cần có điều khoản ràng buộc về bảo vệ dữ liệu, phối hợp khi có yêu cầu rút lại đồng ý hoặc sự cố rò rỉ. Mức độ ưu tiên thực tế: với một công ty tài chính tiêu dùng đã hoạt động một thời gian, mục (2) sửa giao diện xin đồng ý và mục (7) quy trình ứng phó sự cố thường là hai điểm rủi ro cao nhất bị bỏ sót trong thực tế, vì đây là chỗ trực tiếp ảnh hưởng đến số đông khách hàng và dễ bị phát hiện vi phạm nhất khi có khiếu nại hoặc thanh tra.Nguồn: Điều 4, Điều 5, Điều 6, Điều 19, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 39, Điều 41 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Rất có thể là có — và nếu đúng, quy trình xin đồng ý phải chặt chẽ hơn dữ liệu cá nhân thông thường một bước quan trọng. Danh mục dữ liệu cá nhân nhạy cảm được quy định cụ thể tại khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, bao gồm (tóm lược): dữ liệu về chủng tộc/dân tộc; quan điểm chính trị/tôn giáo; đời sống riêng tư/bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học (vân tay, khuôn mặt, mống mắt...); dữ liệu di truyền; xu hướng tính dục; tiền án/tiền sự; dữ liệu vị trí; và đáng chú ý — thông tin xác thực định danh điện tử, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, cùng dữ liệu hành vi trên mạng viễn thông/mạng xã hội. Với tình huống bạn nêu: số CCCD (gắn với định danh), thông tin tài khoản ngân hàng, và dữ liệu sinh trắc học ĐỀU thuộc danh mục dữ liệu nhạy cảm theo quy định này. Về nguyên tắc chung, khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." Đây là nguyên tắc áp dụng cho MỌI loại dữ liệu cá nhân. Nhưng với dữ liệu NHẠY CẢM, có thêm một yêu cầu riêng tại khoản 4 Điều 6 Nghị định 356: "Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm." Nói ngắn gọn: không đủ nếu chỉ xin đồng ý chung chung "cho phép xử lý dữ liệu cá nhân của tôi" — với dữ liệu nhạy cảm, phải nói RÕ với khách hàng rằng loại dữ liệu sắp thu thập được xếp vào diện nhạy cảm, để họ hiểu đúng mức độ và quyết định có đồng ý hay không. Về hình thức thể hiện sự đồng ý (áp dụng chung cho cả dữ liệu thường và nhạy cảm), khoản 1-3 Điều 6 Nghị định 356 đặt ra các nguyên tắc: sự đồng ý phải được thể hiện rõ ràng, cụ thể, tự nguyện và có thể kiểm chứng được — có thể dưới dạng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn/email/trang thông tin điện tử/ứng dụng hoặc hình thức khác thể hiện được; bên kiểm soát dữ liệu có trách nhiệm CHỨNG MINH được sự đồng ý của chủ thể dữ liệu khi có tranh chấp, khiếu nại; và đặc biệt — không được thiết kế giao diện đồng ý/không đồng ý theo hướng mặc định đồng ý (default opt-in) hay gây hiểu lầm về việc chủ thể dữ liệu đã đồng ý. Một điểm quan trọng khác cần biết: dù đã có đồng ý, chủ thể dữ liệu vẫn giữ quyền rút lại sự đồng ý bất cứ lúc nào theo Điều 10 Luật (xem thêm bài viết riêng về quyền rút lại đồng ý) — việc thu thập dữ liệu nhạy cảm hợp lệ ban đầu không có nghĩa doanh nghiệp được xử lý dữ liệu đó vĩnh viễn không cần quan tâm ý chí sau này của khách hàng. Doanh nghiệp nên làm gì: 1) Rà soát lại toàn bộ các trường dữ liệu đang thu thập từ khách hàng, đối chiếu với danh mục tại khoản 1 Điều 4 Nghị định 356 để xác định chính xác đâu là dữ liệu nhạy cảm. 2) Sửa lại mẫu/giao diện xin đồng ý (form đăng ký, điều khoản sử dụng, checkbox...) để có thông báo rõ ràng, riêng biệt cho các trường dữ liệu nhạy cảm, thay vì gộp chung vào một dòng đồng ý tổng quát. 3) Đảm bảo hệ thống lưu vết được bằng chứng đồng ý (thời điểm, nội dung đã đồng ý, hình thức đồng ý) để có thể chứng minh khi cần, vì nghĩa vụ chứng minh thuộc về bên kiểm soát dữ liệu, không phải khách hàng. 4) Rà soát lại toàn bộ giao diện đồng ý hiện tại xem có đang mặc định tick sẵn ô đồng ý hay không — nếu có, đây là điểm cần sửa ngay vì trái với quy định cấm mặc định đồng ý.Nguồn: Điều 11, Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4, Điều 6 Nghị định 356/2025/NĐ-CP

Đúng — nhưng đây không đơn thuần là một nghị định thay một nghị định khác. Từ 01/01/2026, khung pháp lý về bảo vệ dữ liệu cá nhân đã được nâng lên thành LUẬT, không còn dừng ở cấp nghị định như trước. Văn bản gốc hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026. Đi kèm là Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực cùng ngày 01/01/2026) — quy định chi tiết một số điều và biện pháp thi hành Luật này. Khoản 2 Điều 42 Nghị định 356 nêu rõ: "Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Nói cách khác: Nghị định 13/2023 đã hết hiệu lực từ đúng ngày 01/01/2026 — nếu doanh nghiệp vẫn đang tra cứu và áp dụng theo Nghị định 13, cần cập nhật ngay sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Một số thay đổi đáng chú ý so với khung Nghị định 13 cũ mà doanh nghiệp cần nắm: 1) Đánh giá tác động xử lý dữ liệu cá nhân (ĐTA — tương đương DPIA): Điều 21 khoản 1 Luật 91/2025/QH15 yêu cầu bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động và nộp bản gốc cho cơ quan chuyên trách trong thời hạn 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Đây là nghĩa vụ một lần cho suốt vòng đời hoạt động, cập nhật khi có thay đổi đáng kể (Điều 22). 2) Chuyển dữ liệu ra nước ngoài: khoản 2 Điều 20 áp dụng cùng thời hạn 60 ngày kể từ lần chuyển dữ liệu xuyên biên giới đầu tiên để nộp hồ sơ đánh giá tác động chuyển dữ liệu — có một số trường hợp được miễn tại khoản 6 (cơ quan nhà nước, chủ dữ liệu tự chuyển, người sử dụng lao động lưu trữ dữ liệu nhân viên trên nền tảng đám mây của chính họ...). 3) Nhân sự/bộ phận bảo vệ dữ liệu (tương đương DPO): Điều 33 khoản 1-2 yêu cầu chỉ định một bộ phận/nhân sự nội bộ hoặc thuê đơn vị có chức năng bảo vệ dữ liệu cá nhân. Nghị định 356 Điều 13 đặt tiêu chuẩn cụ thể: trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, công nghệ thông tin, an ninh mạng, an toàn dữ liệu, quản trị rủi ro, nhân sự), được đào tạo về pháp luật/kỹ năng bảo vệ dữ liệu cá nhân. 4) Thông báo vi phạm dữ liệu: Điều 23 khoản 1 quy định thời hạn thông báo cho cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện hành vi vi phạm có khả năng gây ảnh hưởng đến quốc phòng, an ninh, trật tự hoặc đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu. VỀ ƯU ĐÃI CHO DOANH NGHIỆP NHỎ VÀ STARTUP: Điều 38 khoản 2-3 Luật, được Nghị định 356 Điều 41 cụ thể hóa, cho phép doanh nghiệp nhỏ/khởi nghiệp được TẠM HOÃN thực hiện các nghĩa vụ tại Điều 21 (đánh giá tác động), Điều 22 (cập nhật), và khoản 2 Điều 33 (chỉ định bộ phận bảo vệ dữ liệu) trong 5 NĂM kể từ ngày Luật có hiệu lực (tức đến khoảng 01/01/2031); hộ kinh doanh/doanh nghiệp siêu nhỏ được miễn hoàn toàn các nghĩa vụ này. Tuy nhiên, ưu đãi này KHÔNG áp dụng nếu: hoạt động cốt lõi là cung cấp dịch vụ xử lý dữ liệu, doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, hoặc số lượng chủ thể dữ liệu đã xử lý lũy kế đạt từ 100.000 người trở lên (ngưỡng này chỉ nêu tại Nghị định, không có trong Luật). VỀ GIAI ĐOẠN CHUYỂN TIẾP: khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu đang thực hiện mà đã được sự đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 (cũ) trước ngày Luật có hiệu lực thì được tiếp tục thực hiện, KHÔNG phải xin lại đồng ý hay thỏa thuận lại. Khoản 2 cũng cho biết hồ sơ đánh giá tác động/chuyển dữ liệu đã nộp và được cơ quan tiếp nhận theo Nghị định 13 cũ vẫn có giá trị, không phải nộp lại — chỉ khi có cập nhật sau ngày Luật có hiệu lực mới áp dụng quy định mới. Doanh nghiệp nên làm ngay: (1) xác định mình có thuộc diện được tạm hoãn 5 năm hay không (dựa vào quy mô, có xử lý dữ liệu nhạy cảm hay không, số chủ thể dữ liệu đã xử lý); (2) nếu KHÔNG thuộc diện tạm hoãn và đã bắt đầu xử lý dữ liệu, tính ngược thời hạn 60 ngày để nộp hồ sơ đánh giá tác động nếu chưa nộp; (3) chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu đúng tiêu chuẩn tại Điều 13 Nghị định 356 nếu thuộc diện bắt buộc; (4) xây dựng quy trình nội bộ để đáp ứng thời hạn 72 giờ thông báo vi phạm nếu có sự cố xảy ra.Nguồn: Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 41, Điều 42 Nghị định 356/2025/NĐ-CP

Xin trả lời theo từng câu hỏi, vì mỗi câu có mức độ chắc chắn khác nhau. 1) VỀ HÀNH VI ĐẬP PHÁ — nếu họ thực sự ra tay: có căn cứ hình sự rõ ràng, nhưng lưu ý điều kiện tiên quyết là hành vi phải THỰC SỰ XẢY RA. Điều 178 Bộ luật Hình sự 100/2015/QH13 (được sửa đổi bởi Luật số 12/2017/QH14) quy định tội hủy hoại hoặc cố ý làm hư hỏng tài sản: nếu giá trị thiệt hại từ 2 triệu đến dưới 50 triệu đồng (hoặc dưới 2 triệu nhưng có tình tiết như dùng thủ đoạn nguy hiểm, gây ảnh hưởng xấu đến an ninh trật tự...), khung hình phạt cơ bản là phạt tiền 10–50 triệu đồng, cải tạo không giam giữ đến 3 năm hoặc phạt tù từ 6 tháng đến 3 năm; nếu thiệt hại từ 50 triệu đến dưới 200 triệu, khung tăng lên 2–7 năm tù; từ 200 đến dưới 500 triệu là 5–10 năm; từ 500 triệu trở lên là 10–20 năm tù. Với hàng rào và móng nhà đã xây, nếu bị đập phá, gia đình hoàn toàn có thể trình báo công an và đề nghị khởi tố về tội này, kèm theo yêu cầu giám định thiệt hại để xác định khung xử lý. Tuy nhiên cần nói rõ: LỜI ĐE DỌA đơn thuần (chưa hành động) chưa cấu thành tội hủy hoại tài sản theo Điều 178 — điều luật này đòi hỏi hành vi đã hoàn thành, không xử lý cho giai đoạn chuẩn bị hay đe dọa bằng lời nói suông. Vì vậy, ở thời điểm hiện tại (mới chỉ có lời đe dọa), gia đình không có căn cứ để yêu cầu khởi tố ngay tội hủy hoại tài sản — điều nên làm là ghi âm/ghi hình lại lời đe dọa (nếu có thể, an toàn) và trình báo UBND xã/công an khu vực để được can thiệp phòng ngừa, giữ gìn an ninh trật tự, đồng thời đây cũng là bằng chứng quan trọng nếu sau này họ thực sự ra tay — cho thấy hành vi có chủ đích, không phải bộc phát. 2) VỀ GIÁ TRỊ PHÁP LÝ CỦA GIẤY THỎA THUẬN: có giá trị làm bằng chứng, nhưng CHƯA đủ để hoàn tất việc sang tên — cần thêm một bước công chứng. Khoản 2 Điều 656 Bộ luật Dân sự 91/2015/QH13 quy định: "Mọi thoả thuận của những người thừa kế phải được lập thành văn bản" — giấy thỏa thuận ngày 21/02/2024 của gia đình, có chữ ký và điểm chỉ đầy đủ của những người có mặt, ĐÃ ĐÁP ỨNG yêu cầu về hình thức văn bản theo điều này, nên có giá trị pháp lý làm bằng chứng thể hiện sự đồng thuận phân chia di sản của các đồng thừa kế đã ký. Tuy nhiên, theo khoản 6 Điều 59 Luật Công chứng 46/2024/QH15, văn bản thỏa thuận phân chia di sản CẦN ĐƯỢC CÔNG CHỨNG thì mới đủ điều kiện để cơ quan đăng ký đất đai làm thủ tục sang tên, cấp sổ đỏ riêng cho mẹ bạn và bạn. Nói cách khác: giấy thỏa thuận viết tay hiện tại là bằng chứng rất tốt về mặt pháp lý (đặc biệt khi có xác nhận qua điện thoại của cậu Hùng sau này, dù ghi âm chỉ nên coi là chứng cứ hỗ trợ, không thay thế được văn bản), nhưng CHƯA THỂ dùng để hoàn tất sang tên đất — gia đình cần chủ động đưa văn bản này đi công chứng càng sớm càng tốt. Lưu ý: thủ tục công chứng văn bản thỏa thuận phân chia di sản thường yêu cầu niêm yết công khai tại UBND xã trong một khoảng thời gian nhất định để xác minh không có tranh chấp/khiếu nại — đây chính là bước mà cậu Hùng, dì Nga có thể lợi dụng để phản đối nếu công chứng viên tiến hành niêm yết đúng lúc mâu thuẫn đang căng thẳng. Vì vậy, càng để chậm, rủi ro càng cao. 3) VỀ RỦI RO CHIA LẠI TOÀN BỘ CHO 11 NGƯỜI CON: đây là câu hỏi khó trả lời chắc chắn vì phụ thuộc vào việc tòa án đánh giá giấy thỏa thuận 21/02/2024 có hợp lệ, có ràng buộc được TẤT CẢ đồng thừa kế hay không — đặc biệt là với cậu Hùng, người vắng mặt lúc ký. Điều 651 Bộ luật Dân sự xác định hàng thừa kế thứ nhất của bà ngoại gồm tất cả các con đẻ (nếu bà không có di chúc) — với người con nào đã mất, Điều 652 (thừa kế thế vị) quy định con/cháu của người đó thế chỗ để hưởng phần thừa kế lẽ ra người đó được hưởng. Nếu bà ngoại có tổng cộng những người con như mô tả (11 người, có người đã mất để lại con cháu), thì về nguyên tắc TOÀN BỘ những người này (hoặc người thế vị của họ) đều là đồng thừa kế hợp pháp, có quyền và nghĩa vụ liên quan đến việc phân chia di sản. Điểm mấu chốt quyết định rủi ro: cậu Hùng KHÔNG có mặt và KHÔNG trực tiếp ký vào giấy thỏa thuận ngày 21/02/2024. Việc dì Nga tự ý thay mặt nói "cậu Hùng nhường đất" mà không có chữ ký hay văn bản ủy quyền hợp lệ của cậu Hùng là RẤT RỦI RO về mặt pháp lý — một người không thể bị ràng buộc bởi một thỏa thuận mà mình không trực tiếp ký hay ủy quyền hợp lệ cho ai ký thay. File ghi âm cậu Hùng xác nhận qua điện thoại sau này là một tình tiết có lợi, có thể dùng làm chứng cứ bổ sung thể hiện ý chí của cậu Hùng tại thời điểm đó, nhưng về giá trị pháp lý một bản ghi âm thường yếu hơn nhiều so với chữ ký trực tiếp trên văn bản, và phía cậu Hùng hoàn toàn có thể phản bác tính xác thực hoặc bối cảnh của đoạn ghi âm khi ra tòa. Nếu vụ việc phải đưa ra tòa, khả năng cao là: (a) phần thỏa thuận giữa những người đã trực tiếp ký (không bao gồm cậu Hùng) có cơ sở được tòa xem xét công nhận, vì đáp ứng yêu cầu văn bản tại Điều 656; nhưng (b) phần liên quan đến quyền lợi của cậu Hùng có nguy cơ bị tòa yêu cầu xử lý riêng — có thể là buộc phải chia lại phần tương ứng cho cậu Hùng từ diện tích chung, hoặc yêu cầu các bên đã ký thỏa thuận bồi hoàn giá trị tương đương cho cậu Hùng, tùy vào cách tòa đánh giá chứng cứ (đặc biệt là bản ghi âm) và diễn biến tại phiên xử. Việc chia lại cho TOÀN BỘ 11 người từ đầu (bỏ qua thỏa thuận 2024) chỉ xảy ra nếu tòa xác định thỏa thuận đó có sai sót nghiêm trọng về thủ tục hoặc bị vô hiệu vì lý do khác (ví dụ bị ép buộc, lừa dối) — với việc đã có chữ ký, điểm chỉ rõ ràng của những người có mặt, khả năng này thấp hơn nhưng không thể loại trừ hoàn toàn nếu một trong các bên khởi kiện với lý do khác ngoài việc cậu Hùng vắng mặt. Hướng đi nên làm ngay: 1) Mang giấy thỏa thuận 21/02/2024 đi công chứng càng sớm càng tốt tại tổ chức hành nghề công chứng nơi có đất, chấp nhận qua bước niêm yết công khai theo quy định — nếu có người phản đối trong thời gian niêm yết, ít nhất gia đình đã chủ động, có hồ sơ rõ ràng để tiếp tục xử lý qua tòa nếu cần, thay vì để tình trạng lấp lửng kéo dài. 2) Chủ động liên hệ cậu Hùng, đề nghị cậu xác nhận lại bằng văn bản (có chữ ký) về việc đồng ý với thỏa thuận, thay vì chỉ có bản ghi âm — nếu cậu thực sự không có tranh chấp như đã nói qua điện thoại, một văn bản xác nhận chính thức sẽ củng cố rất nhiều cho vị thế pháp lý của gia đình. 3) Nếu đàm phán không thành và nguy cơ tranh chấp tiếp tục leo thang, nên chủ động khởi kiện yêu cầu tòa án công nhận thỏa thuận phân chia di sản và xác nhận quyền sử dụng đất của mẹ bạn/bạn đối với phần 351,75m² — chủ động khởi kiện thường tốt hơn là chờ bị kiện, vì gia đình đang nắm giữ chứng cứ chính (văn bản gốc, chữ ký, điểm chỉ). 4) Trình báo UBND xã/công an khu vực về lời đe dọa đập phá tài sản để được ghi nhận, phòng ngừa — dù chưa đủ căn cứ khởi tố hình sự ở giai đoạn này, việc trình báo sớm tạo hồ sơ chính thức, hữu ích nếu sự việc diễn biến xấu hơn.Nguồn: Điều 178 Bộ luật Hình sự 100/2015/QH13 (sửa đổi bởi Luật 12/2017/QH14); Điều 651, Điều 652, Điều 656 Bộ luật Dân sự 91/2015/QH13; Điều 59 Luật Công chứng 46/2024/QH15