Dữ liệu và Quyền riêng tư: Việt Nam (2026)

Khung cơ bản

Luật số 91/2025/QH15 về Bảo vệ Dữ liệu Cá nhân (có hiệu lực từ ngày 1 tháng 1 năm 2026), được triển khai theo Nghị định số 356/2025/ND-CP; do Bộ Công an (Cục An ninh Mạng và Phòng chống Tội phạm Mạng) chịu trách nhiệm giám sát

Điểm chính

1. 01Luật cơ bản

   Luật số 91/2025/QH15 về Bảo vệ Dữ liệu Cá nhân đã được Quốc hội thông qua ngày 26 tháng 6 năm 2025 và có hiệu lực từ ngày 1 tháng 1 năm 2026, thay thế Nghị định số 13/2023/ND-CP làm khung pháp lý chính. Nghị định số 356/2025/ND-CP (ban hành ngày 31 tháng 12 năm 2025) quy định chi tiết việc thi hành Luật này.

2. 02Cơ quan giám sát

   Bộ Công an (MPS), cụ thể là Cục An ninh mạng và Phòng chống tội phạm mạng thuộc Bộ này, là cơ quan thực thi pháp luật chính. Bộ Thông tin và Truyền thông giữ thẩm quyền bổ sung đối với các vấn đề liên quan đến dữ liệu số và viễn thông.

3. 03Sự đồng ý và các quyền của chủ thể dữ liệu

   Cần phải có sự đồng ý rõ ràng và được ghi chép lại trước khi xử lý dữ liệu cá nhân (trừ các trường hợp ngoại lệ được liệt kê cụ thể). Chủ thể dữ liệu có 11 quyền theo quy định của pháp luật, bao gồm quyền truy cập, quyền chỉnh sửa, quyền xóa, quyền hạn chế xử lý, quyền di chuyển dữ liệu và quyền phản đối; các yêu cầu hạn chế hoặc phản đối phải được giải quyết trong vòng 72 giờ.

4. 04Đánh giá tác động và thông báo vi phạm

   Việc đánh giá tác động đối với bảo vệ dữ liệu (DPIA) phải được hoàn tất trong vòng 60 ngày kể từ khi bắt đầu các hoạt động xử lý dữ liệu. Việc chuyển dữ liệu xuyên biên giới phải có một bản Đánh giá tác động đối với việc chuyển dữ liệu xuyên biên giới (CTIA) riêng biệt, được nộp cho MPS trong vòng 60 ngày kể từ lần chuyển dữ liệu đầu tiên. Các vụ vi phạm dữ liệu phải được thông báo cho cơ quan chức năng trong vòng 72 giờ kể từ khi phát hiện.

5. 05Dữ liệu nhạy cảm và việc lưu trữ dữ liệu tại địa phương

   Nghị định số 356 mở rộng danh mục dữ liệu nhạy cảm để bao gồm dữ liệu vị trí, thông tin đăng nhập tài khoản trực tuyến và dữ liệu theo dõi hành vi, thông tin chi tiết về tài khoản ngân hàng và giao dịch, cũng như hình ảnh các giấy tờ tùy thân. Các trang web và mạng xã hội trong nước phải lưu trữ dữ liệu của người dùng Việt Nam trên các máy chủ có địa chỉ IP đặt tại Việt Nam.

6. 06Các hình phạt

   Các biện pháp xử phạt bao gồm phạt tiền lên đến 5% doanh thu hàng năm của năm trước của doanh nghiệp vi phạm đối với hành vi chuyển dữ liệu xuyên biên giới trái phép; phạt tiền lên đến 10 lần số tiền thu được bất hợp pháp từ việc mua bán trái phép dữ liệu cá nhân; và phạt tiền lên đến 3 tỷ đồng. Một nghị định về các biện pháp xử phạt hành chính với các chi tiết thực thi đầy đủ hơn đang trong giai đoạn soạn thảo cuối cùng vào đầu năm 2026.