Ví dụ thực tế về Dữ liệu cá nhân

Nhà cung cấp cloud chịu ba nhóm nghĩa vụ cùng lúc. 1) Luật Viễn thông 24/2023/QH15 (Điều 29 khoản 2, 3): đăng ký hoặc thông báo cung cấp dịch vụ; không truy cập, khai thác dữ liệu của khách khi chưa được khách đồng ý; không theo dõi thông tin của khách trừ khi cơ quan có thẩm quyền yêu cầu; công bố trung tâm dữ liệu phù hợp quy chuẩn kỹ thuật trước khi kinh doanh. 2) Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/07/2026): có phương án ứng cứu khẩn cấp; khi có sự cố phải triển khai ngay và báo cáo ngay lực lượng chuyên trách bảo vệ an ninh mạng (Điều 41 khoản 2, 3). Xác thực, bảo mật tài khoản người dùng; cung cấp thông tin người dùng cho Bộ Công an trong 24 giờ khi có yêu cầu (Điều 25 khoản 2). Thu thập, phân tích dữ liệu người dùng Việt Nam thì phải lưu tại Việt Nam (Điều 25 khoản 3). 3) Nghị định 356/2025/NĐ-CP (Điều 12 khoản 3, 4): mã hóa dữ liệu cá nhân khi lưu và khi truyền, phân quyền truy cập nghiêm ngặt; yêu cầu nhà thầu phụ tuân thủ; tự đánh giá tuân thủ mỗi năm một lần. Mức phạt tổ chức theo Nghị định 330/2026/NĐ-CP: • Không mã hóa dữ liệu cá nhân khi lưu và truyền: 50–70 triệu đồng (Điều 69 khoản 2 điểm b). • Không đánh giá tuân thủ hằng năm, không ràng buộc nhà thầu phụ: 20–50 triệu đồng (Điều 69 khoản 1). • Không xác thực, không bảo mật tài khoản người dùng: 60–100 triệu đồng (Điều 29 khoản 1, mức cá nhân 30–50 triệu nhân đôi theo Điều 7 khoản 1).Nguồn: Điều 25 khoản 2, 3, Điều 41 khoản 2, 3 Luật An ninh mạng 116/2025/QH15; Điều 29 khoản 2, 3 Luật Viễn thông 24/2023/QH15 (văn bản hợp nhất 135/2026/VBHN-LQ-VPQH); Điều 12 khoản 3, 4 Nghị định 356/2025/NĐ-CP; Điều 7 khoản 1, Điều 29 khoản 1, Điều 69 Nghị định 330/2026/NĐ-CP

App thu thập vị trí phải làm 3 việc (Điều 31 khoản 3 điểm b Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15): 1) Thông báo cho người dùng về việc sử dụng dữ liệu vị trí. 2) Ngăn bên không liên quan thu thập dữ liệu vị trí, ví dụ SDK quảng cáo của bên thứ ba. 3) Cho người dùng tùy chọn theo dõi vị trí (bật, tắt). Vị trí xác định qua dịch vụ định vị là dữ liệu cá nhân nhạy cảm (Điều 4 khoản 1 điểm h Nghị định 356/2025/NĐ-CP). Khi xin đồng ý, app phải nói rõ loại dữ liệu, mục đích, ai là bên kiểm soát dữ liệu, quyền của người dùng (Điều 9 khoản 2 Luật 91/2025/QH15) và báo đây là dữ liệu nhạy cảm (Điều 6 khoản 4 Nghị định 356/2025/NĐ-CP). Không được đặt sẵn mặc định là đồng ý (Điều 6 khoản 3 Nghị định 356/2025/NĐ-CP). Nếu dữ liệu vị trí bị lộ, phải báo người dùng bị ảnh hưởng trong 72 giờ kể từ khi phát hiện và báo cơ quan chức năng (Điều 29 khoản 1 Nghị định 356/2025/NĐ-CP). Mức phạt tổ chức theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Không thông báo việc dùng dữ liệu vị trí, không chặn bên thứ ba hoặc không có tùy chọn theo dõi: 50–70 triệu đồng (Điều 70 khoản 1 điểm a, b). • Theo dõi định vị khi chưa được đồng ý: 70–150 triệu đồng, có thể bị đình chỉ nền tảng 3–6 tháng (Điều 70 khoản 2 điểm a, khoản 3). • Không báo người dùng rằng dữ liệu nhạy cảm của họ đang được xử lý: 30–50 triệu đồng (Điều 43 khoản 1 điểm h).Nguồn: Điều 9 khoản 2, Điều 31 khoản 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4 khoản 1, Điều 6 khoản 3, 4, Điều 29 khoản 1 Nghị định 356/2025/NĐ-CP; Điều 43 khoản 1, Điều 70 Nghị định 330/2026/NĐ-CP

AI rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích quốc gia, an ninh quốc gia (Điều 9 khoản 1 Luật Trí tuệ nhân tạo 134/2025/QH15). Nhưng chỉ hệ thống nằm trong Danh mục do Thủ tướng ban hành mới là rủi ro cao (Điều 6 khoản 3 điểm a Nghị định 142/2026/NĐ-CP). Danh mục đó đã có: Quyết định 33/2026/QĐ-TTg, hiệu lực 15/08/2026. Một số nhóm tiêu biểu: • Giáo dục: AI tự chấm điểm, xếp hạng người học làm kết quả chính thức; AI giám sát người học bằng nhận diện khuôn mặt. • Y tế: rô-bốt phẫu thuật dùng AI. • Ngân hàng: AI tự quyết định cấp tín dụng hoặc tự duyệt giao dịch giá trị cao. • Giao thông, hàng không: xe tự hành cấp độ cao, AI điều khiển tín hiệu giao thông, điều hành bay. • Ngoài ra còn lĩnh vực dân tộc, tôn giáo và tố tụng. Điểm chung: AI tự ra quyết định cuối cùng, không qua người xem xét. AI chỉ gợi ý tham khảo, chỉ xử lý dữ liệu hoặc chỉ dùng nội bộ thì không được đề xuất vào Danh mục (Điều 8 khoản 2 Nghị định 142/2026/NĐ-CP). Nếu thuộc Danh mục: phải đánh giá sự phù hợp trước khi đưa vào sử dụng (Điều 13 Luật), thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ (Điều 10 khoản 3), bảo đảm con người giám sát, can thiệp được (Điều 14). Hệ thống chạy trước 15/08/2026 phải tuân thủ trước 01/09/2027 (y tế, giáo dục, tài chính) hoặc 01/03/2027 (lĩnh vực khác) (Điều 4 Quyết định 33/2026/QĐ-TTg).Nguồn: Điều 9 khoản 1, Điều 10 khoản 3, Điều 13, Điều 14 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 6 khoản 3, Điều 8 khoản 2 Nghị định 142/2026/NĐ-CP; Quyết định 33/2026/QĐ-TTg

Đây là vi phạm pháp luật về dữ liệu cá nhân, không chỉ là chuyện kỷ luật nội bộ. Luật cấm chiếm đoạt, cố ý làm lộ và mua bán dữ liệu cá nhân (Điều 7 khoản 6, 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Người vi phạm có thể bị phạt hành chính hoặc truy cứu hình sự, gây thiệt hại thì phải bồi thường (Điều 8 khoản 1). Công ty cũ nên làm ngay: 1) Lập biên bản xác nhận vi phạm, giữ chứng cứ như nhật ký truy cập, email gửi file (Điều 23 khoản 2). 2) Nếu việc lộ dữ liệu có thể gây hại cho tài sản, danh dự của khách, báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện (Điều 23 khoản 1; nội dung theo Điều 28 Nghị định 356/2025/NĐ-CP). 3) Yêu cầu bằng văn bản người cũ và công ty mới ngừng sử dụng, xóa dữ liệu; khởi kiện đòi bồi thường nếu có thiệt hại. Mức phạt theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Nhân viên thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân của người khác gây thiệt hại: 20–30 triệu đồng, buộc xóa dữ liệu (Điều 42 khoản 2 điểm a). • Công ty mới dùng danh sách liên hệ khách khi khách chưa đồng ý: 30–50 triệu đồng (Điều 48 khoản 1). • Nếu danh sách được mua bán: phạt 2 đến 10 lần khoản thu; không có khoản thu thì 70 triệu đến 1 tỷ đồng tùy số người, tối đa 3 tỷ đồng (Điều 53).Nguồn: Điều 7 khoản 6, 7, Điều 8 khoản 1, Điều 23 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 28 Nghị định 356/2025/NĐ-CP; Điều 42 khoản 2, Điều 48 khoản 1, Điều 53 Nghị định 330/2026/NĐ-CP

Có, nếu doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet hoặc dịch vụ gia tăng trên không gian mạng tại Việt Nam (app, nền tảng, SaaS) và có thu thập, phân tích, xử lý dữ liệu thông tin cá nhân, dữ liệu về mối quan hệ của người dùng hoặc dữ liệu do người dùng tại Việt Nam tạo ra. Những dữ liệu này phải lưu tại Việt Nam trong thời gian do Chính phủ quy định. Doanh nghiệp nước ngoài còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam (Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15, hiệu lực 01/07/2026, thay luật năm 2018). Lưu tại Việt Nam không cấm đưa dữ liệu ra nước ngoài. Vẫn được chuyển dữ liệu cá nhân xuyên biên giới, kể cả dùng cloud ở nước ngoài, nhưng phải lập hồ sơ đánh giá tác động và gửi bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ lần chuyển đầu tiên (Điều 20 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Lưu dữ liệu nhân viên của chính công ty trên cloud thì không phải lập hồ sơ này (Điều 20 khoản 6 điểm b). Mức phạt theo Nghị định 330/2026/NĐ-CP: • Không lưu dữ liệu tại Việt Nam, hoặc doanh nghiệp nước ngoài không đặt chi nhánh, văn phòng đại diện: 50–70 triệu đồng với cá nhân, tổ chức gấp đôi là 100–140 triệu đồng (Điều 29 khoản 2 điểm c, d; Điều 7 khoản 1). • Không lập hoặc không nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới: 30–50 triệu đồng (Điều 56 khoản 1).Nguồn: Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15; Điều 20 khoản 1, 2, 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 7 khoản 1, Điều 29 khoản 2, Điều 56 khoản 1 Nghị định 330/2026/NĐ-CP

Có, trong đa số trường hợp, vì huấn luyện AI là một mục đích xử lý riêng. Nếu lúc thu thập bạn chỉ xin đồng ý cho bán hàng, chăm sóc khách thì chưa đủ. • Sự đồng ý phải cho từng mục đích, khách phải biết rõ loại dữ liệu và mục đích xử lý; im lặng không phải là đồng ý (Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Chỉ được xử lý đúng mục đích đã xác định (Điều 3 khoản 2). • Nghị định 356/2025/NĐ-CP cho phép dùng dữ liệu cá nhân để phát triển AI nhưng phải tuân thủ quy định bảo vệ dữ liệu (Điều 10 khoản 1). AI xử lý tự động thì phải báo cho khách, giải thích nguyên tắc thuật toán và cho họ quyền không tham gia (Điều 10 khoản 3). • Vị trí, giao dịch ngân hàng, dữ liệu theo dõi hành vi trên mạng là dữ liệu nhạy cảm (Điều 4 khoản 1 Nghị định 356/2025/NĐ-CP), phải báo rõ khi xin đồng ý. Cách không cần xin lại đồng ý: khử nhận dạng trước khi huấn luyện. Dữ liệu đã khử nhận dạng không còn là dữ liệu cá nhân (Điều 2 khoản 1 Luật 91/2025/QH15), miễn là không thể lần ra người cụ thể. Mức phạt doanh nghiệp theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Xử lý vượt mục đích đã xin đồng ý: 20–40 triệu đồng (Điều 39 khoản 1 điểm a). • Xử lý khi chưa có đồng ý: 30–50 triệu đồng (Điều 43 khoản 1 điểm a). • Không thông báo, giải thích thuật toán xử lý tự động: 50–70 triệu đồng (Điều 67 khoản 2 điểm a).Nguồn: Điều 2 khoản 1, Điều 3 khoản 2, Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4 khoản 1, Điều 10 khoản 1, 3 Nghị định 356/2025/NĐ-CP; Điều 39 khoản 1, Điều 43 khoản 1, Điều 67 khoản 2 Nghị định 330/2026/NĐ-CP

Tùy mục đích. Số điện thoại là dữ liệu cá nhân; theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, xử lý dữ liệu phải có sự đồng ý của khách, trừ trường hợp luật cho phép. Không cần đồng ý khi dùng số để thực hiện chính thỏa thuận với khách (điểm d khoản 1 Điều 19), như báo giao hàng, bảo hành, xử lý khiếu nại cho đơn đã mua. Doanh nghiệp vẫn phải có quy trình, biện pháp bảo vệ và kênh tiếp nhận phản ánh (khoản 2 Điều 19). Phải xin đồng ý riêng khi "chăm sóc" theo kiểu giới thiệu sản phẩm mới, khuyến mãi, mời mua thêm. Đó là quảng cáo: khách phải biết rõ nội dung, hình thức, tần suất liên lạc và có cách từ chối (khoản 3 Điều 28). Sự đồng ý hợp lệ (Điều 9): 1) Khách biết rõ loại dữ liệu, mục đích, ai giữ dữ liệu, quyền của mình. 2) Đồng ý theo từng mục đích, tách ô "nhận khuyến mãi" riêng. 3) Rõ ràng, lưu lại được. Im lặng không phải là đồng ý. Mức phạt (Nghị định 330/2026/NĐ-CP): xử lý dữ liệu khi chưa có đồng ý hoặc không chứng minh được đã có đồng ý, doanh nghiệp bị phạt 30–50 triệu đồng; coi im lặng là đồng ý 50–70 triệu đồng, kèm buộc xóa dữ liệu (Điều 43). Gọi quảng cáo khi khách chưa đồng ý rõ ràng: 10–20 triệu đồng với cá nhân, doanh nghiệp gấp đôi (điểm c khoản 1 Điều 37, khoản 1 Điều 7).Nguồn: Điều 9, Điều 19 khoản 1 điểm d và khoản 2, Điều 28 khoản 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 43 khoản 1, 2, Điều 37 khoản 1 điểm c, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP

Từ 01/07/2026, Luật An ninh mạng 116/2025/QH15 thay cả luật an ninh mạng và luật an toàn thông tin mạng cũ (khoản 2 Điều 44). Nghĩa vụ tùy vai trò của doanh nghiệp: 1) Vận hành hệ thống thông tin (máy chủ, nền tảng SaaS): xác định cấp độ hệ thống (5 cấp, Điều 8), đánh giá rủi ro, triển khai biện pháp bảo vệ, báo cáo (khoản 1 Điều 10). Cấp độ 3, 4 còn bắt buộc có quy chế an ninh mạng, sao lưu, giám sát, ứng cứu sự cố (khoản 4 Điều 10). 2) Cung cấp app, dịch vụ trên Internet tại Việt Nam: xác thực thông tin khi người dùng đăng ký tài khoản; cung cấp thông tin người dùng cho Bộ Công an trong 24 giờ khi được yêu cầu (3 giờ nếu khẩn cấp); gỡ nội dung vi phạm trong 24 giờ (6 giờ nếu khẩn cấp); lưu nhật ký hệ thống (khoản 2 Điều 25). Thu thập, phân tích dữ liệu người dùng Việt Nam thì phải lưu tại Việt Nam (khoản 3 Điều 25). Phải có phương án ứng cứu khẩn cấp, báo cáo ngay khi có sự cố (Điều 41). 3) Bán sản phẩm, dịch vụ an ninh mạng: phải có giấy phép riêng (khoản 1 Điều 29). Mức phạt (Điều 29 Nghị định 330/2026/NĐ-CP): không xác thực, không bảo mật tài khoản người dùng 30–50 triệu đồng; không lưu dữ liệu tại Việt Nam hoặc không gỡ nội dung đúng hạn 50–70 triệu đồng. Đây là mức cho cá nhân, doanh nghiệp gấp đôi (khoản 1 Điều 7).Nguồn: Điều 8, Điều 10 khoản 1 và 4, Điều 25 khoản 2 và 3, Điều 29 khoản 1, Điều 41, Điều 44 khoản 2 Luật An ninh mạng 116/2025/QH15; Điều 29, Điều 7 khoản 1 Nghị định 330/2026/NĐ-CP