Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, đánh dấu bước tiến quan trọng trong việc bảo vệ quyền riêng tư của người dân tại Việt Nam. Luật đặt ra các chuẩn mực mới đối với việc thu thập, xử lý và sử dụng dữ liệu cá nhân, đồng thời yêu cầu các cơ quan, tổ chức, doanh nghiệp nâng cao năng lực quản trị và bảo mật thông tin trong bối cảnh kinh tế số phát triển mạnh mẽ.

Nghiêm cấm hành vi mua bán dữ liệu cá nhân

Theo Điều 7 của Luật, có 07 hành vi bị nghiêm cấm liên quan đến dữ liệu cá nhân, bao gồm:

Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Cản trở hoạt động bảo vệ dữ liệu cá nhân.

Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.

Xử lý dữ liệu cá nhân trái quy định của pháp luật.

Sử dụng dữ liệu cá nhân của người khác hoặc cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật.

Mua, bán dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

Chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân.

Mức phạt tối đa đến 5% doanh thu đối với hành vi vi phạm

Theo khoản 4 Điều 8 của Luật, mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể lên tới 5% doanh thu của năm trước liền kề của tổ chức đó.

Trường hợp tổ chức không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tối đa theo quy định của pháp luật, thì áp dụng mức phạt tiền tối đa theo quy định chung của Luật.

Doanh nghiệp phải xóa dữ liệu cá nhân người lao động sau khi chấm dứt hợp đồng

Theo khoản 2 Điều 25, cơ quan, tổ chức, doanh nghiệp khi quản lý và sử dụng người lao động phải bảo đảm trách nhiệm bảo vệ dữ liệu cá nhân. Cụ thể:

Tuân thủ quy định của Luật Bảo vệ dữ liệu cá nhân, pháp luật về lao động và các quy định pháp luật liên quan;

Dữ liệu cá nhân của người lao động chỉ được lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;

Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp pháp luật có quy định khác hoặc có thỏa thuận giữa các bên.

Mạng xã hội không được yêu cầu cung cấp hình ảnh giấy tờ tùy thân để xác thực

Theo Điều 29 của Luật, tổ chức, cá nhân cung cấp dịch vụ mạng xã hội và dịch vụ truyền thông trực tuyến phải thực hiện nhiều nghĩa vụ nhằm bảo vệ dữ liệu cá nhân của người dùng.

Đáng chú ý, các nền tảng này không được yêu cầu người dùng cung cấp hình ảnh hoặc video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân để làm yếu tố xác thực tài khoản.

Bên cạnh đó, các đơn vị cung cấp dịch vụ phải:

Thông báo rõ nội dung dữ liệu cá nhân được thu thập khi người dùng cài đặt và sử dụng dịch vụ;

Không thu thập dữ liệu cá nhân trái phép hoặc ngoài phạm vi đã thỏa thuận;

Cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (cookies);

Cho phép người dùng lựa chọn “không theo dõi” hoạt động sử dụng dịch vụ;

Không nghe lén, ghi âm cuộc gọi hoặc đọc tin nhắn khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật quy định khác;

Công khai chính sách bảo mật, cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu và thiết lập quyền riêng tư.

Việc ban hành Luật Bảo vệ dữ liệu cá nhân được kỳ vọng sẽ góp phần tăng cường bảo vệ quyền riêng tư của người dân, nâng cao trách nhiệm của các tổ chức, doanh nghiệp trong quản lý dữ liệu, đồng thời tạo nền tảng pháp lý quan trọng cho sự phát triển an toàn, bền vững của môi trường số tại Việt Nam.