Ví dụ thực tế — Trang 9

Chỉ được ghi "Made in Vietnam" khi hàng thật sự có xuất xứ Việt Nam theo quy tắc xuất xứ. Đóng gói hay dán nhãn ở Việt Nam thì chưa đủ. 1) Doanh nghiệp tự xác định và tự chịu trách nhiệm. Điều 47 khoản 1, 2 Nghị định 37/2026/NĐ-CP (thay Nghị định 43/2017/NĐ-CP về nhãn hàng hóa) yêu cầu tự xác định xuất xứ trung thực, chính xác; được dùng cụm "sản xuất tại", "xuất xứ", "Made in", "Product of"... kèm tên nước. 2) Hàng được coi là của Việt Nam khi được sản xuất toàn bộ tại Việt Nam (Điều 7 Nghị định 31/2018/NĐ-CP), hoặc có dùng nguyên liệu nhập khẩu nhưng đáp ứng tiêu chí xuất xứ trong Danh mục Quy tắc cụ thể mặt hàng do Bộ Công Thương ban hành (Điều 8). 3) Các công đoạn sau không tạo ra xuất xứ (làm riêng hay kết hợp): bảo quản, phân loại, lau chùi, sơn, chia cắt; thay bao bì, đóng chai, đóng gói; dán nhãn, mác; trộn đơn giản; lắp ráp đơn giản (Điều 9 Nghị định 31/2018/NĐ-CP). Không xác định được xuất xứ thì ghi nơi làm công đoạn cuối: "lắp ráp tại Việt Nam", "đóng gói tại Việt Nam", "Assembled in Vietnam" (Điều 47 khoản 3 Nghị định 37/2026/NĐ-CP). Rủi ro: xuất khẩu hàng giả mạo xuất xứ Việt Nam bị phạt 10 đến 100 triệu đồng tùy trị giá lô hàng (mức cho tổ chức) và bị tịch thu hàng (Điều 18 Nghị định 169/2026/NĐ-CP).Nguồn: Điều 47 Nghị định 37/2026/NĐ-CP; Điều 7, 8, 9 Nghị định 31/2018/NĐ-CP; Điều 18 Nghị định 169/2026/NĐ-CP

App thu thập vị trí phải làm 3 việc (Điều 31 khoản 3 điểm b Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15): 1) Thông báo cho người dùng về việc sử dụng dữ liệu vị trí. 2) Ngăn bên không liên quan thu thập dữ liệu vị trí, ví dụ SDK quảng cáo của bên thứ ba. 3) Cho người dùng tùy chọn theo dõi vị trí (bật, tắt). Vị trí xác định qua dịch vụ định vị là dữ liệu cá nhân nhạy cảm (Điều 4 khoản 1 điểm h Nghị định 356/2025/NĐ-CP). Khi xin đồng ý, app phải nói rõ loại dữ liệu, mục đích, ai là bên kiểm soát dữ liệu, quyền của người dùng (Điều 9 khoản 2 Luật 91/2025/QH15) và báo đây là dữ liệu nhạy cảm (Điều 6 khoản 4 Nghị định 356/2025/NĐ-CP). Không được đặt sẵn mặc định là đồng ý (Điều 6 khoản 3 Nghị định 356/2025/NĐ-CP). Nếu dữ liệu vị trí bị lộ, phải báo người dùng bị ảnh hưởng trong 72 giờ kể từ khi phát hiện và báo cơ quan chức năng (Điều 29 khoản 1 Nghị định 356/2025/NĐ-CP). Mức phạt tổ chức theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Không thông báo việc dùng dữ liệu vị trí, không chặn bên thứ ba hoặc không có tùy chọn theo dõi: 50–70 triệu đồng (Điều 70 khoản 1 điểm a, b). • Theo dõi định vị khi chưa được đồng ý: 70–150 triệu đồng, có thể bị đình chỉ nền tảng 3–6 tháng (Điều 70 khoản 2 điểm a, khoản 3). • Không báo người dùng rằng dữ liệu nhạy cảm của họ đang được xử lý: 30–50 triệu đồng (Điều 43 khoản 1 điểm h).Nguồn: Điều 9 khoản 2, Điều 31 khoản 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4 khoản 1, Điều 6 khoản 3, 4, Điều 29 khoản 1 Nghị định 356/2025/NĐ-CP; Điều 43 khoản 1, Điều 70 Nghị định 330/2026/NĐ-CP

AI rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích quốc gia, an ninh quốc gia (Điều 9 khoản 1 Luật Trí tuệ nhân tạo 134/2025/QH15). Nhưng chỉ hệ thống nằm trong Danh mục do Thủ tướng ban hành mới là rủi ro cao (Điều 6 khoản 3 điểm a Nghị định 142/2026/NĐ-CP). Danh mục đó đã có: Quyết định 33/2026/QĐ-TTg, hiệu lực 15/08/2026. Một số nhóm tiêu biểu: • Giáo dục: AI tự chấm điểm, xếp hạng người học làm kết quả chính thức; AI giám sát người học bằng nhận diện khuôn mặt. • Y tế: rô-bốt phẫu thuật dùng AI. • Ngân hàng: AI tự quyết định cấp tín dụng hoặc tự duyệt giao dịch giá trị cao. • Giao thông, hàng không: xe tự hành cấp độ cao, AI điều khiển tín hiệu giao thông, điều hành bay. • Ngoài ra còn lĩnh vực dân tộc, tôn giáo và tố tụng. Điểm chung: AI tự ra quyết định cuối cùng, không qua người xem xét. AI chỉ gợi ý tham khảo, chỉ xử lý dữ liệu hoặc chỉ dùng nội bộ thì không được đề xuất vào Danh mục (Điều 8 khoản 2 Nghị định 142/2026/NĐ-CP). Nếu thuộc Danh mục: phải đánh giá sự phù hợp trước khi đưa vào sử dụng (Điều 13 Luật), thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ (Điều 10 khoản 3), bảo đảm con người giám sát, can thiệp được (Điều 14). Hệ thống chạy trước 15/08/2026 phải tuân thủ trước 01/09/2027 (y tế, giáo dục, tài chính) hoặc 01/03/2027 (lĩnh vực khác) (Điều 4 Quyết định 33/2026/QĐ-TTg).Nguồn: Điều 9 khoản 1, Điều 10 khoản 3, Điều 13, Điều 14 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 6 khoản 3, Điều 8 khoản 2 Nghị định 142/2026/NĐ-CP; Quyết định 33/2026/QĐ-TTg

Đây là vi phạm pháp luật về dữ liệu cá nhân, không chỉ là chuyện kỷ luật nội bộ. Luật cấm chiếm đoạt, cố ý làm lộ và mua bán dữ liệu cá nhân (Điều 7 khoản 6, 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Người vi phạm có thể bị phạt hành chính hoặc truy cứu hình sự, gây thiệt hại thì phải bồi thường (Điều 8 khoản 1). Công ty cũ nên làm ngay: 1) Lập biên bản xác nhận vi phạm, giữ chứng cứ như nhật ký truy cập, email gửi file (Điều 23 khoản 2). 2) Nếu việc lộ dữ liệu có thể gây hại cho tài sản, danh dự của khách, báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện (Điều 23 khoản 1; nội dung theo Điều 28 Nghị định 356/2025/NĐ-CP). 3) Yêu cầu bằng văn bản người cũ và công ty mới ngừng sử dụng, xóa dữ liệu; khởi kiện đòi bồi thường nếu có thiệt hại. Mức phạt theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Nhân viên thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân của người khác gây thiệt hại: 20–30 triệu đồng, buộc xóa dữ liệu (Điều 42 khoản 2 điểm a). • Công ty mới dùng danh sách liên hệ khách khi khách chưa đồng ý: 30–50 triệu đồng (Điều 48 khoản 1). • Nếu danh sách được mua bán: phạt 2 đến 10 lần khoản thu; không có khoản thu thì 70 triệu đến 1 tỷ đồng tùy số người, tối đa 3 tỷ đồng (Điều 53).Nguồn: Điều 7 khoản 6, 7, Điều 8 khoản 1, Điều 23 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 28 Nghị định 356/2025/NĐ-CP; Điều 42 khoản 2, Điều 48 khoản 1, Điều 53 Nghị định 330/2026/NĐ-CP

Có, nếu doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet hoặc dịch vụ gia tăng trên không gian mạng tại Việt Nam (app, nền tảng, SaaS) và có thu thập, phân tích, xử lý dữ liệu thông tin cá nhân, dữ liệu về mối quan hệ của người dùng hoặc dữ liệu do người dùng tại Việt Nam tạo ra. Những dữ liệu này phải lưu tại Việt Nam trong thời gian do Chính phủ quy định. Doanh nghiệp nước ngoài còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam (Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15, hiệu lực 01/07/2026, thay luật năm 2018). Lưu tại Việt Nam không cấm đưa dữ liệu ra nước ngoài. Vẫn được chuyển dữ liệu cá nhân xuyên biên giới, kể cả dùng cloud ở nước ngoài, nhưng phải lập hồ sơ đánh giá tác động và gửi bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ lần chuyển đầu tiên (Điều 20 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Lưu dữ liệu nhân viên của chính công ty trên cloud thì không phải lập hồ sơ này (Điều 20 khoản 6 điểm b). Mức phạt theo Nghị định 330/2026/NĐ-CP: • Không lưu dữ liệu tại Việt Nam, hoặc doanh nghiệp nước ngoài không đặt chi nhánh, văn phòng đại diện: 50–70 triệu đồng với cá nhân, tổ chức gấp đôi là 100–140 triệu đồng (Điều 29 khoản 2 điểm c, d; Điều 7 khoản 1). • Không lập hoặc không nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới: 30–50 triệu đồng (Điều 56 khoản 1).Nguồn: Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15; Điều 20 khoản 1, 2, 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 7 khoản 1, Điều 29 khoản 2, Điều 56 khoản 1 Nghị định 330/2026/NĐ-CP

Có, trong đa số trường hợp, vì huấn luyện AI là một mục đích xử lý riêng. Nếu lúc thu thập bạn chỉ xin đồng ý cho bán hàng, chăm sóc khách thì chưa đủ. • Sự đồng ý phải cho từng mục đích, khách phải biết rõ loại dữ liệu và mục đích xử lý; im lặng không phải là đồng ý (Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Chỉ được xử lý đúng mục đích đã xác định (Điều 3 khoản 2). • Nghị định 356/2025/NĐ-CP cho phép dùng dữ liệu cá nhân để phát triển AI nhưng phải tuân thủ quy định bảo vệ dữ liệu (Điều 10 khoản 1). AI xử lý tự động thì phải báo cho khách, giải thích nguyên tắc thuật toán và cho họ quyền không tham gia (Điều 10 khoản 3). • Vị trí, giao dịch ngân hàng, dữ liệu theo dõi hành vi trên mạng là dữ liệu nhạy cảm (Điều 4 khoản 1 Nghị định 356/2025/NĐ-CP), phải báo rõ khi xin đồng ý. Cách không cần xin lại đồng ý: khử nhận dạng trước khi huấn luyện. Dữ liệu đã khử nhận dạng không còn là dữ liệu cá nhân (Điều 2 khoản 1 Luật 91/2025/QH15), miễn là không thể lần ra người cụ thể. Mức phạt doanh nghiệp theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Xử lý vượt mục đích đã xin đồng ý: 20–40 triệu đồng (Điều 39 khoản 1 điểm a). • Xử lý khi chưa có đồng ý: 30–50 triệu đồng (Điều 43 khoản 1 điểm a). • Không thông báo, giải thích thuật toán xử lý tự động: 50–70 triệu đồng (Điều 67 khoản 2 điểm a).Nguồn: Điều 2 khoản 1, Điều 3 khoản 2, Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4 khoản 1, Điều 10 khoản 1, 3 Nghị định 356/2025/NĐ-CP; Điều 39 khoản 1, Điều 43 khoản 1, Điều 67 khoản 2 Nghị định 330/2026/NĐ-CP

Theo nguyên tắc chung thì không. Hóa đơn phải lập khi giao hàng (chuyển quyền sở hữu, quyền sử dụng) hoặc khi hoàn thành dịch vụ, dù đã thu tiền hay chưa; giao hàng nhiều lần thì mỗi lần giao lập một hóa đơn (Điều 9 khoản 1, 2, 3 Nghị định 254/2026/NĐ-CP, áp dụng từ 01/07/2026). Một số trường hợp được lập gộp: 1) Một số dịch vụ bán số lượng lớn, phát sinh thường xuyên, cần đối soát số liệu với khách, như logistics, viễn thông, bưu chính chuyển phát, dịch vụ thương mại điện tử, công nghệ thông tin, bảo vệ, suất ăn công nghiệp: lập khi đối soát xong, chậm nhất ngày 07 tháng sau hoặc 7 ngày sau khi hết kỳ quy ước (Điều 9 khoản 4 điểm a). 2) Hàng khuyến mại, cho, biếu, tặng: được lập hóa đơn tổng hợp theo tháng hoặc quý, theo kỳ khai thuế GTGT, nhưng phải giữ danh sách chi tiết; khách yêu cầu thì lập riêng từng giao dịch (khoản 5 Phụ lục Nghị định 254). 3) Vài ngành có quy định riêng, như cơ sở khám chữa bệnh lập gộp cuối ngày cho khách không lấy hóa đơn, thu phí đường bộ không dừng lập theo tháng. Ngoài các trường hợp trên, gom hàng giao nhiều ngày rồi xuất một hóa đơn cuối tuần, cuối tháng là lập hóa đơn không đúng thời điểm. Theo Điều 24 khoản 2 Nghị định 125/2020/NĐ-CP (sửa bởi Nghị định 310/2025/NĐ-CP), 1 hóa đơn phạt 500.000 đến 1.500.000 đồng; từ 2 đến dưới 10 hóa đơn phạt 2 đến 5 triệu; từ 100 hóa đơn trở lên phạt 50 đến 70 triệu đồng.Nguồn: Điều 9 khoản 1, 2, 3, 4 và khoản 5 Phụ lục Nghị định 254/2026/NĐ-CP; Điều 24 khoản 2 Nghị định 125/2020/NĐ-CP (sửa đổi bởi Nghị định 310/2025/NĐ-CP)

Tùy sai chỗ nào (Điều 10 khoản 1 Thông tư 91/2026/TT-BTC, áp dụng từ 01/07/2026, thay Thông tư 32/2025/TT-BTC): 1) Chỉ sai tên, địa chỉ người mua, mã số thuế vẫn đúng: không phải lập lại hóa đơn. Người bán báo cho người mua và gửi thông báo hóa đơn điện tử đã lập sai đến cơ quan thuế theo Mẫu 04/SS-HĐĐT. 2) Sai mã số thuế người mua (hoặc sai số tiền, thuế suất, tiền thuế, hàng hóa): người bán chọn một trong hai cách: • lập hóa đơn điều chỉnh, ghi dòng "Điều chỉnh cho hóa đơn Mẫu số... ký hiệu... số... ngày..."; • lập hóa đơn mới thay thế, ghi "Thay thế cho hóa đơn Mẫu số... ký hiệu... số... ngày...". Ký số rồi gửi người mua (hóa đơn không mã) hoặc gửi cơ quan thuế cấp mã (hóa đơn có mã). Trước khi điều chỉnh hay thay thế, nếu người mua là doanh nghiệp, tổ chức, hộ kinh doanh thì hai bên lập văn bản thỏa thuận ghi rõ nội dung sai; người bán lưu lại để xuất trình khi cơ quan thuế yêu cầu. Cùng một người mua bị sai giống nhau trên nhiều hóa đơn trong tháng thì được lập một hóa đơn điều chỉnh hoặc thay thế, kèm bảng kê Mẫu 01/BK-ĐCTT. Hóa đơn từ máy tính tiền thì phải thay thế. Lần đầu chọn cách nào thì các lần sửa sau theo cách đó (khoản 6). Người mua khai thuế theo thời điểm nhận được hóa đơn đúng, đủ nội dung (khoản 7 Phụ lục Nghị định 254/2026/NĐ-CP), nên hóa đơn sai mã số thuế cần được sửa xong trước khi bên mua kê khai.Nguồn: Điều 10 khoản 1, 6 Thông tư 91/2026/TT-BTC; khoản 7 Phụ lục Nghị định 254/2026/NĐ-CP