Bảo vệ dữ liệu cá nhân trong thời đại số
26/01/2026 15:16

Ngày 31 tháng 12 năm 2025, Chính phủ ban hành Nghị định số 356/2025/NĐ-CP, có hiệu lực từ 01/01/2026, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Đây là văn bản hướng dẫn quan trọng nhằm cụ thể hóa các quy định pháp lý về xử lý, bảo vệ dữ liệu cá nhân tại Việt Nam sau khi Luật có hiệu lực. 

Nghị định quy định chi tiết nhiều nội dung quan trọng của Luật Bảo vệ dữ liệu cá nhân như: danh mục dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; nghĩa vụ của bên kiểm soát và bên xử lý dữ liệu khi tiếp nhận yêu cầu từ chủ thể dữ liệu; quy trình đánh giá tác động khi xử lý dữ liệu cá nhân; điều kiện xử lý dữ liệu cá nhân xuyên biên giới; dịch vụ bảo vệ dữ liệu cá nhân, xử lý dữ liệu cá nhân; trách nhiệm của các cơ quan trong thực thi công tác bảo vệ dữ liệu cá nhân.
Nghị định này áp dụng cho các cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tham gia hoặc liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam.
Dữ liệu cá nhân cơ bản bao gồm:
1. Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
2. Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
3. Giới tính;
4. Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
5. Quốc tịch;
6. Hình ảnh của cá nhân;
7. Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
8. Tình trạng hôn nhân;
9. Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng);
10. Thông tin về tài khoản số của cá nhân;
11. Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc danh mục dữ liệu cá nhân nhạy cảm.
Dữ liệu cá nhân nhạy cảm bao gồm:
1. Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
2. Quan điểm về chính trị, tôn giáo, tín ngưỡng;
3. Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
4. Tình trạng sức khỏe;
5. Dữ liệu sinh trắc học, đặc điểm di truyền;
6. Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
7. Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
8. Vị trí của cá nhân được xác định qua dịch vụ định vị;
9. Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
10. Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
11. Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
12. Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.
Theo đó, trong quá trình xử lý dữ liệu cá nhân nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.
Trong đó, cần lưu ý các phương thức thể hiện sự đồng ý của chủ thể dữ liệu cá nhân khi thực hiện các giao dịch dân sự bao gồm: bằng văn bản; bằng cuộc gọi ghi âm; cú pháp đồng ý qua tin nhắn điện thoại; qua thư điện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý; bằng các phương thức khác phù hợp có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.
Ngoài ra, Nghị định quy định rõ yêu cầu, điều kiện khi tổ chức, cá nhân thực hiện chuyển giao dữ liệu cá nhân; bảo vệ dữ liệu cá nhân trong các lĩnh vực quan trọng như tài chính, ngân hàng, hoạt động thông tin tín dụng, xử lý dữ liệu lớn, hệ thống trí tuệ nhân tạo, vũ trụ ảo, công nghệ chuỗi khối, điện toán đám mây.
Nhìn chung, Nghị định số 356/2025/NĐ-CP là văn bản pháp lý mang tính bước ngoặt trong quản lý, bảo vệ dữ liệu cá nhân tại Việt Nam. So với các quy định trước đây, Nghị định đã cụ thể hóa nhiều quy trình, thủ tục quan trọng; làm rõ trách nhiệm của tổ chức, cá nhân trong xử lý dữ liệu; xây dựng bộ máy chuyên trách, dịch vụ bảo vệ dữ liệu cá nhân; tạo khung pháp lý chặt chẽ cho các hoạt động chuyển và xử lý dữ liệu tại thời đại số.
Việc thực hiện nghiêm túc các nội dung này giúp nâng cao hiệu quả bảo vệ quyền riêng tư của chủ thể dữ liệu, giảm rủi ro pháp lý và tăng cường niềm tin của công dân, tổ chức trong môi trường số, bước đi mạnh mẽ trong thời kỳ chuyển đổi số./.