Luật Bảo vệ dữ liệu cá nhân 91/2025: doanh nghiệp nhỏ phải làm gì với dữ liệu khách hàng, nhân viên và camera

Cửa hàng nội thất của anh Toàn ở Đà Nẵng có 22 nhân viên, bán qua cửa hàng và trang bán hàng trên mạng xã hội. Sau ba năm, máy tính bán hàng chứa khoảng 18.000 dòng khách: tên, số điện thoại, địa chỉ giao hàng, có người kèm cả ảnh căn cước gửi để làm hợp đồng trả góp. Tháng 5/2026, một nhân viên nghỉ việc chép danh sách sang đối thủ; vài tuần sau khách gọi đến phàn nàn bị một cửa hàng khác gọi chào mời "biết rõ nhà anh vừa mua sofa".

Trước năm 2026, chuyện như vậy thường chỉ dừng ở tranh chấp với nhân viên cũ. Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực, và câu hỏi đầu tiên cơ quan chức năng đặt ra sẽ là: cửa hàng đã xin khách đồng ý cho lưu dữ liệu chưa, lưu để làm gì, ai được truy cập, và khi phát hiện bị lộ thì đã thông báo trong 72 giờ chưa.

Luật 91/2025 thay gì và áp cho ai

Luật 91/2025 thay chỗ của Nghị định 13/2023/NĐ-CP — văn bản trước đây là khung pháp lý chính về dữ liệu cá nhân. Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025 hướng dẫn luật, có hiệu lực cùng ngày 01/01/2026. Khác biệt lớn nhất: bảo vệ dữ liệu cá nhân đã lên tầm luật, có mức phạt tiền cụ thể ngay trong luật, và áp cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân tại Việt Nam — không phân biệt lớn nhỏ.

Những gì đã làm theo Nghị định 13 không bị bỏ đi. Hoạt động xử lý đã được người dùng đồng ý theo Nghị định 13 thì tiếp tục, không phải xin đồng ý lại (Điều 39 khoản 1). Hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 thì tiếp tục dùng, chỉ cập nhật theo luật mới.

Doanh nghiệp nhỏ được miễn gì — và không được miễn gì

Đây là chỗ nhiều người đọc nhầm thành "doanh nghiệp nhỏ được miễn Luật dữ liệu". Điều 38 chỉ miễn hoặc cho hoãn ba nghĩa vụ hành chính:

• lập và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 21);
• cập nhật hồ sơ đánh giá tác động định kỳ (Điều 22);
• chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ (Điều 33 khoản 2).

Phần còn lại của luật — xin đồng ý đúng cách, chỉ dùng đúng mục đích, xoá khi hết mục đích, bảo đảm an toàn, thông báo khi có sự cố — áp cho tất cả, kể cả hộ kinh doanh.

Sự đồng ý phải trông như thế nào

Điều 9 đặt ra các điều kiện để sự đồng ý của khách có hiệu lực. Diễn giải sang việc thực tế:

1. Khách phải biết rõ loại dữ liệu bị thu, mục đích, ai là bên kiểm soát dữ liệu, và quyền của họ.
2. Đồng ý theo từng mục đích. "Lưu số điện thoại để giao hàng" và "gửi tin khuyến mãi" là hai mục đích, phải tách hai ô.
3. Không được kèm điều kiện ép buộc — không thể ghi "muốn mua hàng phải đồng ý nhận quảng cáo".
4. Im lặng không phải đồng ý. Ô đánh dấu sẵn, câu "nếu không phản hồi trong 7 ngày coi như đồng ý" đều không có giá trị.
5. Phải lưu lại được — in ra, sao chép được, kể cả dạng điện tử kiểm chứng được.

Nhưng không phải mọi việc đều cần xin đồng ý. Điều 19 cho phép xử lý không cần đồng ý trong một số trường hợp, đáng chú ý với doanh nghiệp là thực hiện thỏa thuận giữa người đó với doanh nghiệp theo quy định của pháp luật. Lưu địa chỉ để giao đúng chiếc sofa khách đã mua là thực hiện hợp đồng; dùng chính địa chỉ đó để hai năm sau gửi tờ rơi là mục đích khác, cần đồng ý riêng. Khi dựa vào Điều 19, doanh nghiệp vẫn phải có quy trình, có biện pháp bảo vệ và cơ chế tiếp nhận phản ánh.

Dữ liệu nhân viên: từ hồ sơ ứng tuyển tới ngày nghỉ việc

Điều 25 viết riêng cho tuyển dụng và quản lý lao động. Ba điểm doanh nghiệp nhỏ hay vướng:

Hồ sơ ứng viên không trúng tuyển

Chỉ được yêu cầu thông tin phục vụ tuyển dụng, phải có đồng ý của người dự tuyển, và phải xoá, huỷ hồ sơ của người không được tuyển, trừ khi đã thỏa thuận khác. Thói quen giữ "kho hồ sơ dự phòng" vài trăm bộ trong hộp thư nhân sự cần một dòng đồng ý riêng của ứng viên, nếu không thì phải xoá.

Dữ liệu sau khi nghỉ việc

Dữ liệu người lao động phải lưu đúng thời hạn luật định hoặc thỏa thuận, và phải xoá, huỷ khi chấm dứt hợp đồng, trừ trường hợp thỏa thuận hoặc luật khác yêu cầu giữ. Thực tế nhiều loại giấy tờ phải giữ theo luật kế toán, thuế, BHXH (bảng lương, chứng từ chi lương, hồ sơ đóng BHXH). Cách đúng là phân loại: giữ những gì luật bắt giữ, xoá những gì không còn mục đích (ảnh gia đình trong hồ sơ, số tài khoản cá nhân phụ, tin nhắn riêng).

Chấm công khuôn mặt, định vị, phần mềm theo dõi

Biện pháp công nghệ quản lý người lao động chỉ được dùng khi phù hợp pháp luật và người lao động biết rõ biện pháp đó. Máy chấm công nhận diện khuôn mặt, ứng dụng định vị nhân viên giao hàng, phần mềm ghi màn hình máy tính — cần ghi vào nội quy hoặc hợp đồng, thông báo bằng văn bản. Dữ liệu thu trái quy định thì không được dùng, kể cả để làm bằng chứng kỷ luật.

Camera ở cửa hàng, văn phòng

Điều 32 cho phép ghi hình nơi công cộng không cần đồng ý khi nhằm bảo đảm trật tự, an toàn, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân — tức camera an ninh ở cửa hàng là hợp pháp. Kèm theo ba nghĩa vụ:

• thông báo để người bị ghi hình biết (biển "Khu vực có camera" ở cửa ra vào là cách tối thiểu);
• chỉ dùng đúng mục đích — đăng đoạn camera một khách bị nghi lấy hàng lên mạng xã hội để "bêu" là sai mục đích, có thể vi phạm cả luật này lẫn quyền về hình ảnh;
• chỉ lưu trong thời gian cần thiết, hết thời hạn phải xoá.

Camera trong khu làm việc nội bộ (không phải nơi công cộng) thì thuộc phần quản lý người lao động ở trên: phải thông báo, ghi vào nội quy. Camera ở phòng thay đồ, nhà vệ sinh thì không có căn cứ nào bảo vệ được.

Khi bị lộ dữ liệu: 72 giờ

Điều 23: bên kiểm soát dữ liệu phát hiện vi phạm có thể xâm phạm tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của người có dữ liệu thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (thuộc Bộ Công an) chậm nhất 72 giờ kể từ khi phát hiện, đồng thời lập biên bản xác nhận sự việc.

Với cửa hàng của anh Toàn, danh sách 18.000 khách kèm ảnh căn cước bị chép ra ngoài là tình huống điển hình phải thông báo. Danh sách việc ngay trong 72 giờ:

1. Khoá tài khoản, thu hồi quyền truy cập của người liên quan; giữ nguyên dấu vết (nhật ký đăng nhập, lịch sử tải tệp).
2. Lập biên bản: phát hiện lúc nào, dữ liệu gì, bao nhiêu người, ai liên quan.
3. Thông báo cơ quan chuyên trách theo nội dung Nghị định 356/2025 hướng dẫn.
4. Đánh giá có cần báo cho khách hàng bị ảnh hưởng để họ cảnh giác lừa đảo.
5. Xem xét khởi kiện, tố giác người làm lộ — dữ liệu khách là tài sản của doanh nghiệp, và hành vi mua bán dữ liệu cá nhân còn bị phạt rất nặng.

Mức phạt

Điều 8 đặt mức phạt tiền tối đa với tổ chức:

Cá nhân vi phạm cùng hành vi thì mức tối đa bằng một nửa. Ngoài phạt hành chính còn có trách nhiệm hình sự và bồi thường thiệt hại cho người bị ảnh hưởng.

Chú ý chữ "xuyên biên giới": lưu danh sách khách trên dịch vụ lưu trữ đám mây đặt máy chủ ở nước ngoài, gửi dữ liệu cho công ty mẹ ở nước ngoài, dùng phần mềm chăm sóc khách hàng của nhà cung cấp nước ngoài — đều có thể là chuyển dữ liệu ra nước ngoài, có thủ tục riêng (Điều 20) và có trần phạt theo doanh thu.

Sai lầm hay gặp

• Chép mẫu chính sách quyền riêng tư của công ty lớn. Văn bản đẹp nhưng mô tả những việc doanh nghiệp không làm, và bỏ sót việc doanh nghiệp đang làm. Khi kiểm tra, chính văn bản đó thành bằng chứng bất lợi.
• Dùng nhóm chat cá nhân để gửi ảnh căn cước, hợp đồng của khách. Không kiểm soát được ai lưu, ai chuyển tiếp, nhân viên nghỉ vẫn giữ nguyên.
• Mua danh sách khách "theo ngành" để gọi chào hàng. Bên mua cũng là một bên trong giao dịch mua bán dữ liệu cá nhân.
• Không có điều khoản bảo mật dữ liệu trong hợp đồng với đơn vị giao hàng, đơn vị làm phần mềm. Họ xử lý dữ liệu thay bạn; sự cố ở phía họ, bạn vẫn là bên kiểm soát dữ liệu phải trả lời.

Bộ hồ sơ tối thiểu nên có

Dù được hoãn đánh giá tác động, doanh nghiệp nhỏ nên có sẵn:

1. Bảng kê dữ liệu đang giữ: loại dữ liệu, mục đích, nơi lưu, ai truy cập, lưu bao lâu.
2. Mẫu đồng ý tách theo mục đích cho khách và cho ứng viên.
3. Điều khoản dữ liệu trong hợp đồng lao động hoặc nội quy (chấm công, camera, phần mềm).
4. Quy trình xử lý sự cố 72 giờ: ai phát hiện báo ai, ai ký thông báo.
5. Phụ lục bảo mật dữ liệu trong hợp đồng với bên cung cấp dịch vụ.

Lưu các văn bản này cùng bản đánh giá nội bộ vào một hồ sơ riêng trên AI Cố Vấn và đặt mốc rà soát 6 tháng một lần — luật vẫn đang được hướng dẫn thêm, nên rà định kỳ là cách giữ bộ hồ sơ còn đúng.

Khi nào nên hỏi luật sư

• Dữ liệu đã bị lộ hoặc bị nhân viên mang đi — cần quyết định nhanh về thông báo, biên bản và hướng xử lý người vi phạm trong 72 giờ.
• Doanh nghiệp xử lý dữ liệu sức khoẻ, tài chính, trẻ em, hoặc có lượng khách lớn — cần xác định có thuộc diện không được hoãn hay không.
• Dữ liệu đang lưu ở nước ngoài hoặc gửi cho đối tác nước ngoài.
• Nhận được yêu cầu xoá dữ liệu, yêu cầu cung cấp dữ liệu từ khách, hoặc thư làm việc của cơ quan chức năng.