1. Doanh nghiệp SME nào thuộc phạm vi điều chỉnh của Luật 91/2025/QH15?
Một sai lầm rất phổ biến là nhiều chủ doanh nghiệp cho rằng chỉ có các công ty công nghệ, ngân hàng, thương mại điện tử lớn mới cần tuân thủ.
Thực tế, 100% doanh nghiệp đang hoạt động tại Việt Nam đều là Bên Kiểm soát hoặc Bên Xử lý dữ liệu cá nhân vì:
- Dữ liệu nhân sự: Thu thập CCCD, số tài khoản ngân hàng, mã số thuế, sơ yếu lý lịch, hình ảnh khuôn mặt, dữ liệu chấm công vân tay của người lao động.
- Dữ liệu khách hàng B2B / B2C: Họ tên người liên hệ, số điện thoại, email, địa chỉ giao hàng, lịch sử giao dịch thanh toán.
- Dữ liệu website / ứng dụng: Thu thập cookie, địa chỉ IP, vị trí địa lý của khách hàng truy cập website quảng cáo.
2. Nghĩa vụ Lập Hồ Sơ Đánh Giá Tác Động Xử Lý Dữ Liệu (DPIA)
Theo quy định tại Luật 91/2025/QH15, Bên Kiểm soát dữ liệu cá nhân phải lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) kể từ thời điểm bắt đầu xử lý dữ liệu.
THỜI HẠN GỬI HỒ SƠ VỀ CỤC AN NINH MẠNG (BỘ CÔNG AN):
Hồ sơ DPIA phải được gửi bản chính về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - Bộ Công an) trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
3. Bộ 6 Biểu Mẫu Bắt Buộc Doanh Nghiệp Phải Có Sẵn
Để sẵn sàng trước các đợt kiểm tra liên ngành của cơ quan công an, doanh nghiệp cần ban hành nội bộ 6 văn bản:
- Chính sách bảo vệ dữ liệu cá nhân nội bộ (Privacy Policy): Công bố minh bạch trên website và sổ tay nhân viên.
- Phiếu đồng ý xử lý dữ liệu (Consent Form): Đính kèm hợp đồng lao động và biểu mẫu đăng ký dịch vụ của khách hàng (Lưu ý: Không được tích sẵn ô đồng ý).
- Quy chế vận hành & phân quyền truy cập dữ liệu máy chủ: Giới hạn quyền xem số CCCD, lương và thông tin cá nhân của nhân sự.
- Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân (DPIA): Theo mẫu luật định gửi Cục A05.
- Hồ sơ Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Nếu doanh nghiệp sử dụng máy chủ đám mây AWS, Google Cloud, Microsoft Azure đặt tại Singapore, Mỹ.
- Quy trình phản ứng sự cố lộ lọt dữ liệu (Data Breach Procedure): Cam kết thông báo cho Bộ Công an trong vòng 72 giờ khi phát hiện lộ lọt.
4. Rủi Ro Xử Phạt Nếu Không Tuân Thủ
PHẠT TIỀN HÀNH CHÍNH
Phạt từ 40 triệu đến 100 triệu đồng đối với hành vi không lập hồ sơ DPIA; phạt đến hàng trăm triệu đồng đối với hành vi để lộ dữ liệu nhân sự, khách hàng hoặc chuyển dữ liệu ra nước ngoài trái phép.
ĐÌNH CHỈ HOẠT ĐỘNG XỬ LÝ DỮ LIỆU
Cơ quan chức năng có quyền đình chỉ hoạt động xử lý dữ liệu từ 1 đến 3 tháng; buộc xóa toàn bộ cơ sở dữ liệu khách hàng thu thập trái luật, gây tê liệt hoạt động kinh doanh.