Luật Bảo vệ dữ liệu cá nhân 2025 là đạo luật đầu tiên của Việt Nam dành riêng cho dữ liệu cá nhân. Nó nâng những nguyên tắc vốn nằm trong Nghị định 13/2023/NĐ-CP lên tầm luật: dữ liệu về một người là của người đó, ai thu thập thì phải nói rõ để làm gì, phải có căn cứ hợp pháp (thường là sự đồng ý), phải giữ an toàn và phải chịu trách nhiệm khi để lộ.
Với người dùng bình thường, luật cho bạn quyền biết ai đang giữ dữ liệu của mình, yêu cầu xem, sửa, xoá và rút lại sự đồng ý. Với cửa hàng, quán ăn, phòng khám, trung tâm dạy thêm — bất cứ nơi nào có sổ khách, danh sách Zalo hay tệp Excel số điện thoại — luật biến những việc trước đây làm theo thói quen thành nghĩa vụ có thể bị kiểm tra.
Bài này đi qua các khái niệm và nguyên tắc chính theo cách dễ áp dụng, kèm phần riêng về AI vì đó là chỗ nhiều người vô tình vi phạm nhất. Chi tiết như số điều, mức xử phạt hay thời hạn cụ thể thay đổi theo văn bản hướng dẫn, nên bạn cần đối chiếu văn bản theo quy định hiện hành trước khi làm thủ tục.
Từ Nghị định 13/2023 đến Luật 2025: vì sao có thêm một đạo luật
Trước Nghị định 13/2023, quy định về thông tin cá nhân nằm rải rác: Bộ luật Dân sự nói về bí mật đời tư, luật an toàn thông tin mạng nói về trách nhiệm của doanh nghiệp viễn thông và dịch vụ trực tuyến, luật bảo vệ người tiêu dùng nói về thông tin của khách. Mỗi văn bản một góc, không có định nghĩa chung, không có cơ chế thống nhất cho người dân đòi quyền.
Nghị định 13/2023 là bước gom lại đầu tiên. Nó định nghĩa dữ liệu cá nhân, chia thành dữ liệu cơ bản và dữ liệu nhạy cảm, đặt ra các vai trò như bên kiểm soát và bên xử lý dữ liệu, liệt kê quyền của người có dữ liệu, và yêu cầu lập hồ sơ đánh giá tác động trong một số trường hợp. Hạn chế của nó là cấp văn bản: một nghị định khó đặt ra chế tài mạnh và khó điều chỉnh những vấn đề chồng lấn với nhiều luật khác.
Luật Bảo vệ dữ liệu cá nhân 2025 giữ khung tư duy của nghị định nhưng đặt nó ở tầm luật, làm rõ hơn trách nhiệm, bổ sung các tình huống mới như dữ liệu trong môi trường số, dữ liệu dùng cho trí tuệ nhân tạo, và có cơ chế phân biệt doanh nghiệp lớn với doanh nghiệp nhỏ ở một số nghĩa vụ. Vì luật cần văn bản hướng dẫn đi kèm, bạn nên coi bài này là bản đồ nguyên lý, còn thủ tục cụ thể thì tra theo văn bản hiện hành.
Các khái niệm cần nắm trước khi đọc bất kỳ quy định nào
Hầu hết hiểu lầm về luật dữ liệu đến từ việc không phân biệt được ai đóng vai gì. Bảng dưới dùng một cửa hàng mỹ phẩm nhỏ có bán hàng qua fanpage làm ví dụ giả định.
| Khái niệm | Nghĩa theo nguyên lý | Trong ví dụ cửa hàng mỹ phẩm |
|---|---|---|
| Dữ liệu cá nhân | Thông tin gắn với một người cụ thể hoặc giúp xác định được người đó | Tên, số điện thoại, địa chỉ giao hàng, lịch sử mua, ảnh khách gửi để tư vấn da |
| Chủ thể dữ liệu | Người mà dữ liệu nói về | Khách hàng mua son, khách nhắn tin hỏi giá |
| Bên kiểm soát dữ liệu | Bên quyết định thu gì, để làm gì, giữ bao lâu | Chủ cửa hàng |
| Bên xử lý dữ liệu | Bên làm việc với dữ liệu theo yêu cầu của bên kiểm soát | Đơn vị giao hàng, phần mềm quản lý bán hàng, dịch vụ chatbot trả lời tin nhắn |
| Xử lý dữ liệu | Gần như mọi thao tác: thu, ghi, lưu, sửa, phân tích, chia sẻ, xoá | Chép số khách vào Excel, dán đoạn chat vào công cụ AI để tóm tắt |
| Bên thứ ba | Bên được nhận dữ liệu nhưng không thuộc hai vai trên | Đối tác quảng cáo nhận danh sách khách để chạy chiến dịch |
Điểm cần nhớ: chủ cửa hàng không thoát trách nhiệm chỉ vì đã giao dữ liệu cho phần mềm hay dịch vụ bên ngoài. Bên kiểm soát phải chọn bên xử lý đáng tin, ràng buộc bằng hợp đồng hoặc điều khoản rõ ràng, và vẫn chịu trách nhiệm chính trước khách hàng.
Những nguyên tắc xuyên suốt khi xử lý dữ liệu cá nhân
Hợp pháp và minh bạch. Phải có căn cứ để xử lý, phổ biến nhất là sự đồng ý của người có dữ liệu, và phải cho họ biết rõ dữ liệu được dùng vào việc gì. Ghi “để phục vụ khách hàng tốt hơn” là quá mơ hồ.
Đúng mục đích. Thu số điện thoại để giao hàng thì không tự động được dùng để gọi mời sản phẩm khác, càng không được bán cho bên khác. Muốn dùng vào mục đích mới thì phải xin lại.
Tối thiểu. Chỉ thu những gì cần. Phiếu đăng ký thẻ thành viên hỏi cả số căn cước, nghề nghiệp, thu nhập trong khi chỉ cần tên và số điện thoại là thu thừa, và mỗi trường thừa là thêm một rủi ro khi bị lộ.
Chính xác và được cập nhật. Người có dữ liệu được yêu cầu sửa; doanh nghiệp phải có cách tiếp nhận và sửa trong thời gian hợp lý.
Giới hạn thời gian lưu. Hết mục đích thì xoá hoặc ẩn danh. Danh sách khách của chương trình khuyến mãi năm trước không có lý do để nằm mãi trong máy tính của nhân viên.
An toàn. Có biện pháp kỹ thuật và quản lý phù hợp: mật khẩu, phân quyền, sao lưu, quy định nội bộ, đào tạo người dùng dữ liệu.
Trách nhiệm giải trình. Bên kiểm soát phải chứng minh được mình đã làm đúng — tức là phải có giấy tờ, nhật ký, bằng chứng đồng ý, không chỉ “làm đúng trong đầu”.
Người dùng bình thường được gì từ luật này
Điều thay đổi lớn nhất với người dùng là cách nhìn: dữ liệu của bạn không còn là thứ doanh nghiệp “được tặng” khi bạn điền form. Bạn có quyền được biết dữ liệu nào đang bị thu, để làm gì, chia cho ai; có quyền đồng ý hoặc không đồng ý; có quyền rút lại sự đồng ý; có quyền yêu cầu xem, sửa, xoá, hạn chế xử lý; có quyền phản đối việc dùng dữ liệu cho quảng cáo; có quyền khiếu nại và yêu cầu bồi thường khi bị thiệt hại.
Trên thực tế, quyền chỉ có giá trị khi bạn dùng nó. Khi một ứng dụng đòi quyền truy cập danh bạ để “tìm bạn bè”, bạn có thể từ chối mà vẫn dùng được phần lớn tính năng. Khi nhận cuộc gọi chào mời từ một nơi bạn chưa từng giao dịch, bạn có thể hỏi họ lấy số của bạn từ đâu. Khi rời một dịch vụ, bạn có thể yêu cầu xoá tài khoản kèm dữ liệu chứ không chỉ gỡ ứng dụng.
Luật cũng đặt ra giới hạn cho chính người dùng: bạn có trách nhiệm cung cấp dữ liệu chính xác khi đã đồng ý, tôn trọng dữ liệu của người khác và tự bảo vệ dữ liệu của mình. Chụp ảnh căn cước của người khác rồi đăng lên nhóm để “bóc phốt” cũng là xử lý dữ liệu cá nhân trái phép, dù bạn không phải doanh nghiệp.
Cửa hàng, doanh nghiệp nhỏ cần làm gì trước tiên
Không cần một bộ phận pháp chế để bắt đầu. Với cơ sở dưới năm mươi người, thứ tự hợp lý như sau:
- Kiểm kê dữ liệu đang giữ. Liệt kê mọi nơi có thông tin khách và nhân viên: sổ tay, Excel, phần mềm bán hàng, Zalo, fanpage, email, ổ đĩa chung, điện thoại cá nhân của nhân viên.
- Ghi mục đích của từng loại. Số điện thoại để giao hàng, ngày sinh để tặng quà, ảnh khách để tư vấn. Loại nào không gắn được mục đích thì cân nhắc ngừng thu.
- Rà lại cách xin đồng ý. Phiếu giấy, form trên web, tin nhắn chào mừng của tài khoản bán hàng đều cần câu chữ rõ ràng và cách lưu lại bằng chứng.
- Viết chính sách bảo vệ dữ liệu ngắn gọn và đặt ở nơi khách thấy được.
- Phân quyền và dọn dẹp. Ai được xem danh sách khách, ai được xuất tệp, ai được dán dữ liệu vào công cụ AI. Xoá những bản sao không còn cần.
- Chuẩn bị kịch bản khi lộ dữ liệu. Ai báo cho ai, giữ bằng chứng thế nào, thông báo cho khách bằng lời lẽ ra sao.
- Kiểm xem mình có thuộc diện phải lập hồ sơ đánh giá tác động hoặc được miễn, giảm nghĩa vụ theo quy mô — phần này tra theo quy định hiện hành vì luật có cơ chế riêng cho doanh nghiệp nhỏ và khởi nghiệp.
Làm xong bảy bước này, phần lớn cửa hàng đã ở vị trí tốt hơn nhiều so với lúc chưa có gì, và có sẵn hồ sơ để trả lời khi khách hoặc cơ quan chức năng hỏi.
Luật nhìn việc dùng AI thế nào
Luật không cấm dùng AI với dữ liệu cá nhân, nhưng mọi thao tác đưa dữ liệu vào AI đều là xử lý dữ liệu và phải tuân thủ các nguyên tắc ở trên. Khi nhân viên dán đoạn chat có tên, số điện thoại và địa chỉ của khách vào một chatbot để nhờ viết câu trả lời, cửa hàng đang chia dữ liệu khách cho một nhà cung cấp dịch vụ — thường đặt máy chủ ở nước ngoài. Câu hỏi pháp lý lúc đó là: khách đã được báo về việc này chưa, nhà cung cấp có dùng dữ liệu để huấn luyện mô hình không, và có cần thủ tục về chuyển dữ liệu ra nước ngoài không.
Luật 2025 cũng chú ý đến những hệ thống AI tự động ra quyết định có ảnh hưởng tới con người, ví dụ chấm điểm khách vay, lọc hồ sơ xin việc, nhận diện khuôn mặt. Nguyên lý chung là người bị ảnh hưởng phải được biết có AI tham gia, và với dữ liệu sinh trắc học như khuôn mặt, giọng nói, vân tay thì yêu cầu bảo vệ cao hơn.
Cách làm an toàn cho cửa hàng nhỏ là che hoặc thay thế thông tin định danh trước khi dán vào bất kỳ công cụ AI nào, dùng tài khoản doanh nghiệp có điều khoản không dùng dữ liệu để huấn luyện khi có thể, và ghi việc dùng AI vào chính sách bảo vệ dữ liệu. Danh mục “Dữ liệu khi dùng chatbot AI” của trang có hướng dẫn thao tác chi tiết hơn cho từng loại công cụ.
Hiểu lầm phổ biến về luật dữ liệu cá nhân
“Cửa hàng nhỏ thì luật không áp dụng.” Sai. Quy mô có thể ảnh hưởng tới một số thủ tục, nhưng nguyên tắc đồng ý, đúng mục đích, an toàn và không mua bán dữ liệu áp dụng cho mọi bên thu thập dữ liệu.
“Khách tự nhắn tin cho mình thì mình muốn dùng sao cũng được.” Khách nhắn để hỏi giá thì dữ liệu chỉ nên dùng để trả lời và bán đơn đó. Thêm họ vào danh sách gửi khuyến mãi định kỳ cần sự đồng ý riêng.
“Thông tin công khai trên mạng thì lấy thoải mái.” Thông tin một người tự đăng công khai không biến thành tài sản chung. Gom số điện thoại từ các nhóm mạng xã hội rồi lập danh sách gọi chào hàng vẫn là thu thập trái phép.
“Đã có ô đánh dấu đồng ý là xong.” Ô đánh dấu sẵn, gộp chung với điều khoản dịch vụ, hoặc câu chữ mơ hồ đều có thể không được coi là đồng ý hợp lệ. Im lặng không phải đồng ý.
“Xoá trên máy là xoá hẳn.” Dữ liệu còn trong bản sao lưu, trong điện thoại nhân viên, trong lịch sử chat với công cụ AI. Xoá đúng nghĩa là xoá ở mọi nơi bạn kiểm soát được.
Câu hỏi thường gặp
Luật Bảo vệ dữ liệu cá nhân 2025 có thay thế hoàn toàn Nghị định 13/2023 không?
Luật là văn bản cao hơn và kế thừa phần lớn nguyên tắc của nghị định. Phần nào của nghị định còn áp dụng, phần nào được thay bằng văn bản hướng dẫn mới phụ thuộc vào quy định chuyển tiếp, nên bạn cần tra cứu văn bản hiện hành trước khi làm thủ tục cụ thể.
Hộ kinh doanh cá thể có phải tuân thủ luật này không?
Có, theo nguyên lý luật áp dụng cho mọi cơ quan, tổ chức, cá nhân xử lý dữ liệu cá nhân, không chỉ công ty. Một số thủ tục hành chính có thể được đơn giản hoá hoặc miễn cho cơ sở nhỏ, nhưng nghĩa vụ xin đồng ý, dùng đúng mục đích và giữ an toàn vẫn còn.
Số điện thoại có phải là dữ liệu cá nhân không?
Có. Số điện thoại gắn với một người cụ thể nên là dữ liệu cá nhân cơ bản. Một số điện thoại đứng riêng có thể chưa cho biết tên, nhưng kết hợp với lịch sử mua hàng, tài khoản mạng xã hội hay địa chỉ giao hàng thì xác định được ngay người đó.
Dùng AI để phân tích dữ liệu khách hàng đã ẩn danh có bị luật điều chỉnh không?
Dữ liệu ẩn danh thật sự, không thể lần ngược về một người, thường không còn là dữ liệu cá nhân. Vấn đề là nhiều cách gọi là ẩn danh thực ra chỉ đổi tên, vẫn ghép lại được. Bạn nên coi dữ liệu là cá nhân cho tới khi chắc chắn không thể nhận diện lại.
Ai giám sát việc thực thi luật dữ liệu cá nhân?
Theo cơ chế hiện nay, cơ quan chuyên trách về bảo vệ dữ liệu cá nhân thuộc Bộ Công an là đầu mối tiếp nhận hồ sơ, thông báo vi phạm và kiểm tra. Tên đơn vị và kênh tiếp nhận cụ thể nên kiểm theo thông tin chính thức hiện hành.
Người dùng có thể làm gì nếu bị gọi chào hàng liên tục?
Hỏi bên gọi lấy số của bạn từ đâu, yêu cầu ngừng liên hệ và xoá dữ liệu, ghi lại thời gian, số gọi và nội dung. Nếu tiếp diễn, bạn có thể phản ánh với nhà mạng và cơ quan chức năng kèm bằng chứng đã ghi.