Tìm hiểu một số nội dung cơ bản của Luật Bảo vệ dữ liệu cá nhân năm 2025 Luật Bảo vệ dữ liệu cá nhân năm 2025 ........

Ảnh minh hoạ (Nguồn: Internet)

 

Trong bối cảnh cuộc Cách mạng công nghiệp lần thứ tư và quá trình chuyển đổi số quốc gia diễn ra mạnh mẽ, dữ liệu cá nhân ngày càng trở thành nguồn tài nguyên quan trọng, gắn liền với mọi hoạt động kinh tế - xã hội, quản lý nhà nước và đời sống của mỗi cá nhân. Tuy nhiên, thực tiễn những năm gần đây cho thấy tình trạng thu thập, khai thác, sử dụng, thậm chí mua bán dữ liệu cá nhân trái phép diễn ra ngày càng phổ biến, gây ảnh hưởng nghiêm trọng đến quyền, lợi ích hợp pháp của cá nhân, tổ chức và tiềm ẩn nguy cơ mất an ninh, an toàn xã hội.

Trước thực tiễn đó, ngày 26/6/2025, tại Kỳ họp thứ 9, Quốc hội khóa XV đã thông qua Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15, có hiệu lực thi hành từ ngày 01/01/2026). Đây là đạo luật đầu tiên ở Việt Nam quy định một cách toàn diện, thống nhất và chuyên biệt về dữ liệu cá nhân và bảo vệ dữ liệu cá nhân, tạo cơ sở pháp lý quan trọng nhằm bảo vệ quyền riêng tư của công dân, đồng thời nâng cao hiệu lực, hiệu quả quản lý nhà nước trong lĩnh vực này.

Bài viết tập trung trao đổi, phân tích một số nội dung cơ bản của Luật Bảo vệ dữ liệu cá nhân năm 2025, qua đó góp phần làm rõ ý nghĩa và những yêu cầu đặt ra trong quá trình tổ chức thi hành Luật này.

1. Ý nghĩa của Luật Bảo vệ dữ liệu cá nhân năm 2025

Một là, Luật Bảo vệ dữ liệu cá nhân năm 2025 có ý nghĩa quan trọng trong việc thể chế hóa quyền con người, quyền công dân về đời sống riêng tư, bí mật cá nhân, bí mật gia đình theo Hiến pháp năm 2013 (sửa đổi, bổ sung năm 2025). Việc xác lập dữ liệu cá nhân là đối tượng điều chỉnh độc lập của pháp luật đã khẳng định rõ quan điểm nhất quán của Đảng và Nhà nước về bảo đảm quyền kiểm soát dữ liệu của chủ thể dữ liệu trong môi trường số.

Hai là, Luật Bảo vệ dữ liệu cá nhân năm 2025 tạo hành lang pháp lý đầy đủ, rõ ràng nhằm nâng cao trách nhiệm của cơ quan nhà nước, tổ chức, doanh nghiệp và cá nhân trong việc thu thập, xử lý, lưu trữ và chuyển giao dữ liệu cá nhân. Thông qua các quy định cụ thể về nguyên tắc xử lý dữ liệu, nghĩa vụ bảo vệ dữ liệu, đánh giá tác động, báo cáo vi phạm và chế tài xử lý, góp phần khắc phục những hạn chế, bất cập trước đây khi việc bảo vệ dữ liệu cá nhân chủ yếu được điều chỉnh bằng các văn bản dưới luật.

Ba là, với nhiều quy định tiệm cận thông lệ quốc tế, đặc biệt là việc mở rộng phạm vi áp dụng ngoài lãnh thổ, Luật Bảo vệ dữ liệu cá nhân năm 2025 góp phần tăng cường niềm tin số, tạo môi trường pháp lý minh bạch, an toàn cho hoạt động đầu tư, kinh doanh, hợp tác quốc tế, nhất là trong bối cảnh kinh tế số, xã hội số và chính phủ số đang được đẩy mạnh.

2. Một số nội dung cơ bản của Luật Bảo vệ dữ liệu cá nhân năm 2025

Thứ nhất, mở rộng phạm vi điều chỉnh và phạm vi áp dụng ngoài lãnh thổ.Luật Bảo vệ dữ liệu cá nhân năm 2025 không chỉ áp dụng với tổ chức, cá nhân trong nước, mà còn mở rộng phạm vi điều chỉnh tới các tổ chức, cá nhân nước ngoài có hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam hoặc người gốc Việt chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước (Điều 1). Quy định này thể hiện cách tiếp cận tiến bộ, phù hợp với xu hướng bảo vệ dữ liệu cá nhân xuyên biên giới, điểm tiệm cận với các tiêu chuẩn bảo vệ dữ liệu quốc tế như GDPR của châu Âu, khẳng định vai trò chủ động của Việt Nam trong bảo vệ quyền riêng tư của công dân trong không gian số.

Thứ hai, phân loại dữ liệu cá nhân theo tính chất và mức độ bảo vệ. Luật Bảo vệ dữ liệu cá nhân năm 2025 phân chia dữ liệu cá nhân thành hai nhóm cơ bản là dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Theo đó,dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành. Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích (Điều 2). Trên cơ sở đó, tương ứng với mỗi loại dữ liệu, cho phép Chính phủ quy định chi tiết nhằm linh hoạt điều chỉnh theo từng giai đoạn và bối cảnh. Đặc biệt Luật Bảo vệ dữ liệu cá nhân năm 2025 đưa ra quy định riêng cho từng ngành nghề như: tuyển dụng, quản lý, sử dụng người lao động, tài chính – ngân hàng, y tế, quảng cáo, trong xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây. Cách tiếp cận này vừa bảo đảm tính linh hoạt trong quản lý, vừa đáp ứng yêu cầu bảo vệ nghiêm ngặt đối với các loại dữ liệu có mức độ rủi ro cao.

Thứ ba, cấm mua bán dữ liệu cá nhân.Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định rõ các hành vi bị nghiêm cấm liên quan đến dữ liệu cá nhân, trong đó có hành vi mua bán dữ liệu cá nhân, chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân (Điều 7). Quy định cấm mua bán dữ liệu cá nhân nhằm ngăn chặn các hành vi trục lợi từ thông tin cá nhân, bảo vệ quyền riêng tư và lợi ích hợp pháp của cá nhân trong môi trường số. Quy định này góp phần bảo đảm an toàn thông tin, hạn chế nguy cơ lộ lọt dữ liệu, lừa đảo và xâm phạm tài sản, danh dự của cá nhân. Đồng thời, việc nghiêm cấm mua bán dữ liệu cá nhân còn tăng cường kỷ cương, kỷ luật pháp luật, nâng cao trách nhiệm của cơ quan, tổ chức, doanh nghiệp trong thu thập, quản lý và sử dụng dữ liệu, qua đó xây dựng môi trường số minh bạch, lành mạnh và bền vững.

Thứ tư, chế tài mạnh mẽ, xử lý nghiêm hành vi vi phạm.Điều 8, Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định: Mức phạt tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm hoặc lên tới 3 tỷ đồng. Phạt tối đa 5% doanh thu năm trước liền kề trong trường hợp tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới. Trường hợp nghiêm trọng, tổ chức, cá nhân có thể bị xử lý hình sự và yêu cầu bồi thường thiệt hại dân sự. Quy định chế tài mạnh mẽ nhằm tăng tính răn đe, buộc tổ chức, cá nhân tuân thủ nghiêm pháp luật về bảo vệ dữ liệu cá nhân, phòng ngừa vi phạm, bảo vệ quyền lợi của cá nhân và góp phần xây dựng môi trường số an toàn, minh bạch.

Thứ năm, bổ sung các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu.Điều 19, Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định cụ thể các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu vì lý do chính đáng, bao gồm: (1) để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên; (2) để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật; (3) phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật; (4) thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật. Quy định này góp phần hài hòa giữa yêu cầu bảo vệ quyền riêng tư của cá nhân với nhu cầu thực tiễn trong quản trị, khai thác và sử dụng dữ liệu, bảo đảm vừa tuân thủ pháp luật vừa đáp ứng hiệu quả hoạt động của cơ quan, tổ chức, doanh nghiệp.

Thứ sáu, bắt buộc đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định tổ chức, cá nhân phải thực hiện đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài trong thời hạn 60 ngày kể từ khi bắt đầu xử lý hoặc chuyển giao dữ liệu (Điều 21). Việc đánh giá phải được cập nhật định kỳ khi có thay đổi về mục đích, phương thức hoặc công nghệ xử lý dữ liệu (Điều 22). Đây là cơ chế quan trọng nhằm kiểm soát rủi ro, tăng cường giám sát và bảo vệ dữ liệu cá nhân, bảo đảm an toàn thông tin trong bối cảnh hoạt động chuyển dữ liệu xuyên biên giới ngày càng phổ biến và phức tạp.

Thứ bảy, cơ quan, tổ chức, cá nhân trong quản lý, sử dụng người lao động phải xóa dữ liệu cá nhân người lao động sau khi chấm dứt hợp đồng. Căn cứ khoản 2, Điều 25, Luật Bảo vệ dữ liệu cá nhân 2025 quy định cơ quan, tổ chức, cá nhân trong quản lý, sử dụng người lao động có trách nhiệmphải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.Quy định này nhằm bảo vệ quyền riêng tư, nâng cao trách nhiệm quản lý dữ liệu, phòng ngừa rủi ro pháp lý, bảo đảm sử dụng dữ liệu đúng mục đích, minh bạch và tuân thủ pháp luật.

Thứ tám, tổ chức, cá nhân cung cấp dịch vụ mạng xã hội không được yêu cầu cung cấp hình ảnh, video chứa nội dung về giấy tờ tùy thân làm yếu tố xác thực tài khoản. Điều 29 Luật Bảo vệ dữ liệu cá nhân 2025 quy định, các nền tảng mạng xã hội không được yêu cầu cung cấp hình ảnh, video chứa giấy tờ tùy thân làm hình thức xác thực tài khoản, trừ khi pháp luật có quy định khác. Qua đó góp phần hạn chế nguy cơ lộ lọt, bị lợi dụng dữ liệu cá nhân trên không gian mạng.

Ngoài ra, nền tảng mạng xã hội cũng không được nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác. Đồng thời, nền tảng còn có trách nhiệm bảo vệ quyền riêng tư người dùng, phải cung cấp lựa chọn "không theo dõi" và cho phép người dùng từ chối các hoạt động thu thập dữ liệu tương tự. Quy định này nhằm hạn chế việc thu thập dữ liệu cá nhân quá mức cần thiết, tăng cường bảo vệ an toàn thông tin và khẳng định quyền tự quyết của người dùng đối với dữ liệu cá nhân trong môi trường số hiện nay.

Luật Bảo vệ dữ liệu cá nhân năm 2025 là bước tiến quan trọng trong quá trình hoàn thiện thể chế pháp luật về bảo vệ quyền riêng tư ở Việt Nam, đáp ứng yêu cầu phát triển của xã hội số và hội nhập quốc tế. Những điểm mới của Luật Bảo vệ dữ liệu cá nhân năm 2025 không chỉ góp phần bảo vệ hiệu quả quyền, lợi ích hợp pháp của cá nhân mà còn nâng cao trách nhiệm pháp lý của cơ quan, tổ chức, doanh nghiệp trong quản trị và sử dụng dữ liệu cá nhân. Vì vậy, việc tổ chức triển khai thi hành Luật Bảo vệ dữ liệu cá nhân năm 2025 một cách đồng bộ, nghiêm túc và hiệu quả sẽ có ý nghĩa quyết định, góp phần xây dựng môi trường số an toàn, minh bạch, bền vững, phục vụ sự nghiệp phát triển đất nước.

 

ThS. Lê Thị Hương

Phó Trưởng khoa Nhà nước và Pháp luật

------------------

Tài liệu tham khảo

1. Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam năm 2013 (sủa đổi, bổ sung năm 2025).

2. Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (2025), Luật Bảo vệ dữ liệu cá nhân, Luật số 91/2025/QH15.

3. Nghị định 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủquy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân năm 2025.