Ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực. Quốc hội thông qua ngày 26/6/2025. Cùng ngày hiệu lực, Nghị định 356/2025/NĐ-CP hướng dẫn thi hành cũng bắt đầu áp dụng, thay Nghị định 13/2023/NĐ-CP.
Khác biệt đầu tiên nằm ở thứ bậc pháp lý. Trước đây Việt Nam quản dữ liệu cá nhân bằng một nghị định; giờ là một đạo luật do Quốc hội thông qua, có nghị định riêng hướng dẫn. Tầng pháp lý cao hơn kéo theo chế tài nặng hơn.
Mức phạt mới, và cách tính khác hẳn trước
Chỗ thay đổi rõ nhất so với Nghị định 13 nằm ở đây.
Vi phạm chung với tổ chức có thể lên tới 3 tỷ đồng. Vi phạm về chuyển dữ liệu ra nước ngoài tính theo doanh thu — tối đa 5% doanh thu năm liền trước. Riêng hành vi mua bán dữ liệu cá nhân, mức phạt lên tới mười lần khoản thu bất chính.
Cách tính theo tỷ lệ doanh thu là điểm mới đáng chú ý nhất. Một khoản phạt cố định thì doanh nghiệp lớn có thể coi là chi phí. Một khoản tính theo phần trăm doanh thu thì không.
Luật cũng cấm hẳn việc mua bán dữ liệu cá nhân, trừ vài ngoại lệ hẹp. Hành vi tiết lộ trái phép hoặc chiếm đoạt dữ liệu bị hình sự hoá.
Sự đồng ý phải là đồng ý thật
Luật siết định nghĩa thế nào là đồng ý. Sự đồng ý phải rõ ràng, chủ động, không kèm điều kiện, và gắn với một mục đích cụ thể.
Câu quan trọng nhất nằm ở vế phủ định: im lặng hoặc không phản hồi không được coi là đồng ý.
Một dòng đó đủ làm hỏng phần lớn cách thu thập dữ liệu đang phổ biến. Ô tích sẵn không còn giá trị. Câu "tiếp tục dùng trang tức là bạn đồng ý" cũng vậy. Gộp việc đồng ý nhận thư quảng cáo vào cùng nút gửi biểu mẫu liên hệ thì phạm cả hai vế. Vừa không chủ động, vừa gộp nhiều mục đích.
Những gì liên quan trực tiếp tới website
Luật xác lập một nhóm quyền cho chủ thể dữ liệu, tức cho từng người dùng. Quyền được biết về hoạt động xử lý dữ liệu của mình. Quyền đồng ý, từ chối, và rút lại sự đồng ý đã cho. Quyền xem và chỉnh sửa, yêu cầu xoá, yêu cầu chuyển dữ liệu sang nơi khác. Quyền phản đối việc xử lý, và quyền khiếu nại hoặc khởi kiện đòi bồi thường.
Cookie và các công cụ theo dõi hành vi được nêu đích danh. Quy định buộc nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến cho người dùng thêm lựa chọn. Từ chối thu thập và chia sẻ cookie, hoặc chỉ theo dõi khi có đồng ý.
Phạm vi áp dụng cũng mở ra ngoài biên giới. Luật áp cho cả tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan tới việc xử lý dữ liệu của công dân Việt Nam. Điểm này chạm tới doanh nghiệp dùng dịch vụ đặt máy hoặc công cụ tiếp thị của nước ngoài. Và chạm tới chính nhà cung cấp đó.
Với việc chuyển dữ liệu ra nước ngoài, hồ sơ đánh giá tác động phải nộp trong vòng 60 ngày, và cập nhật một lần trong quá trình hoạt động.
Thu thập dữ liệu theo thói quen
Phần lớn website doanh nghiệp trong nước hiện thu thập dữ liệu cá nhân theo thói quen chứ không theo quy trình. Biểu mẫu liên hệ hỏi luôn số điện thoại và địa chỉ dù chẳng cần tới. Mã theo dõi bên thứ ba gắn từ đời nào không ai còn nhớ. Danh sách thư điện tử tích lại từ nhiều nguồn, không rõ có được đồng ý hay không.
Ba việc thường phải sửa. Thứ nhất, biểu mẫu phải nói rõ thu thập để làm gì, và có ô đồng ý riêng chứ không gộp chung với nút gửi.
Thứ hai, phải có trang chính sách quyền riêng tư viết bằng tiếng Việt dễ hiểu. Trang đó nêu được doanh nghiệp thu gì, dùng vào việc gì, giữ bao lâu, chia sẻ cho ai.
Thứ ba, phải có đường để người dùng yêu cầu xem, sửa hoặc xoá dữ liệu của họ. Và phải có người thật xử lý các yêu cầu đó — một địa chỉ thư không ai đọc thì tệ hơn là không có.
Việc dễ bị bỏ qua nhất là kiểm kê mã bên thứ ba đang chạy trên site. Nhiều doanh nghiệp không biết trang mình đang gửi dữ liệu hành vi người dùng cho bao nhiêu bên. Mỗi đoạn mã gắn thêm qua các năm là một đường dữ liệu chảy ra ngoài. Giờ mỗi đường ấy đều cần một lý do pháp lý để tồn tại.
