Luật bảo vệ dữ liệu cá nhân 2025

(Có hiệu lực từ 01/01/2026)

Vào ngày 26/6/2025, Quốc hội đã ban hành Luật Bảo vệ Dữ liệu Cá nhân (“Luật BVDLCN”) số 91/2025/QH15, luật này sẽ có hiệu lực từ ngày 01/01/2026. Theo đó, Luật BVDLCN 2025 quy định về bảo vệ dữ liệu cá nhân sau khoảng thời gian gần 03 năm áp dụng Nghị định 13/2013/NĐ-CP (“Nghị định 13”) về bảo vệ dữ liệu cá nhân. Luật BVDLCN 2025 có các điểm đáng lưu ý, bao gồm:

1. Luật BVDLCN 2025 mở rộng phạm vi áp dụng so với Nghị định 13

Theo quy định tại Điều 1 của Luật BVDLCN 2025 về phạm vi điều chỉnh và đối tượng áp dụng, Luật đã mở rộng phạm vi áp dụng so với Nghị định 13. Theo đó, người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam nhưng đã được cấp giấy chứng nhận căn cước công dân sẽ được áp dụng Luật BVDLCN 2025.

Điểm mới này giúp đảm bảo nhóm đối tượng trên có đầy đủ quyền và nghĩa vụ theo Điều 4 của Luật BVDLCN 2025.

2. Các hoạt động được quy định trong Luật BVDLCN 2025 và các điểm nổi bật cần lưu ý

Luật BVDLCN 2025 quy định việc bảo vệ dữ liệu cá nhân trong một số hoạt động quan trọng, gồm:

1. Tuyển dụng, quản lý, sử dụng người lao động

• Cơ quan, tổ chức, cá nhân trong công tác tuyển dụng và quản lý lao động phải tuân thủ quy định bảo vệ dữ liệu cá nhân.
• Người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của ứng viên nếu không tuyển dụng; hoặc của người lao động khi chấm dứt hợp đồng, trừ trường hợp có thỏa thuận khác.

1. Thông tin sức khỏe và kinh doanh bảo hiểm

• Tổ chức, cá nhân trong lĩnh vực sức khỏe không được cung cấp dữ liệu cá nhân cho bên thứ ba (như tổ chức bảo hiểm) nếu không có văn bản đồng ý hoặc căn cứ pháp lý cho phép.
• Doanh nghiệp bảo hiểm, tái bảo hiểm chỉ được chuyển dữ liệu cho đối tác khi điều này được ghi rõ trong hợp đồng với khách hàng.

iii. Hoạt động tài chính – ngân hàng – thông tin tín dụng

• Các bên phải tuân thủ nghiêm ngặt quy định về quyền riêng tư dữ liệu.
• Không được sử dụng dữ liệu tín dụng của cá nhân để chấm điểm, xếp hạng tín dụng nếu không có sự đồng ý của chủ thể dữ liệu.

1. Kinh doanh dịch vụ quảng cáo

• Việc xử lý dữ liệu cá nhân để quảng cáo phải có sự đồng ý rõ ràng của khách hàng.
• Phải cung cấp phương thức cho khách hàng từ chối quảng cáo.
• Việc quảng cáo phải tuân thủ quy định về chống tin nhắn rác, thư rác, cuộc gọi rác.

1. Hoạt động nền tảng mạng xã hội và dịch vụ trực tuyến

• Không được yêu cầu người dùng cung cấp hình ảnh/ video chứa giấy tờ tùy thân để xác thực tài khoản, trừ khi pháp luật có quy định.
• Không được nghe lén, ghi âm hoặc thu thập dữ liệu tin nhắn/ cuộc gọi khi không có sự đồng ý của chủ thể dữ liệu.

3. Lưu ý đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp

Luật Bảo vệ Dữ liệu Cá nhân 2025 (Luật BVDLCN) đặt ra một số trách nhiệm tuân thủ pháp lý quan trọng, bao gồm:

• Đánh giá tác động xử lý dữ liệu cá nhân.
• Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
• Trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Tuy nhiên, Luật này cung cấp các ngoại lệ và quyền lựa chọn thực hiện đối với các doanh nghiệp có quy mô nhỏ, nhằm giảm bớt gánh nặng tuân thủ.

Ngoại lệ: Các bên kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân thì buộc phải tuân thủ, bất kể quy mô là hộ kinh doanh hay doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp