Hầu hết các thảo luận xoay quanh Luật Bảo vệ dữ liệu cá nhân của Việt Nam (Luật số 91/2025/QH15 cùng với Nghị định hướng dẫn số 356/2025/NĐ-CP, cả hai đều có hiệu lực từ ngày 01 tháng 01 năm 2026) (“Luật BVDLCN”) hiện vẫn tiếp cận việc tuân thủ như một dự án sẽ được triển khai cho các quý sắp tới – tức là một vấn đề cần xác định phạm vi, phân bổ ngân sách và từng bước xây dựng hệ thống tuân thủ. Cách tiếp cận này mang lại cảm giác an tâm, nhưng lại thường không chính xác. Một thực tế đáng lo ngại là nhiều doanh nghiệp hiện đang vô tình vi phạm Luật BVDLCN do sử dụng các hệ thống đã được thiết lập từ nhiều năm trước, trong khi thời hạn tuân thủ tương ứng đã hết. Chúng tôi sẽ phân tích ba cạm bẫy phổ biến nhất — không phải là các trường hợp hy hữu hay cá biệt, mà là những hoạt động diễn ra hàng ngày tại nhiều tổ chức hiện nay — và lý do vì sao mỗi cạm bẫy này giờ đây đều ẩn chứa rủi ro lớn về tài chính cũng như trách nhiệm cá nhân.
Cạm bẫy thứ nhất: Thiết bị ghi nhận tại cổng ra vào
Khi bước vào bất kỳ nhà máy, tòa nhà văn phòng hay khu căn hộ dịch vụ nào tại Việt Nam, bạn cũng sẽ thấy cùng một loại thiết bị tại khu vực lối vào: một thiết bị ghi nhận thời gian đến và đi của nhân viên cũng như khách ra vào. Đây là một trong những ứng dụng công nghệ phổ biến nhất tại nơi làm việc và thường yêu cầu xử lý dữ liệu sinh trắc học như dấu vân tay, nhận diện khuôn mặt hoặc hình ảnh giấy tờ tùy thân. Các dữ liệu này được Luật BVDLCN xác định là dữ liệu cá nhân nhạy cảm, do đó việc xử lý phải tuân thủ các nghĩa vụ nghiêm ngặt. Bất kỳ doanh nghiệp nào xử lý các dữ liệu trên đều phải có sự đồng ý trên cơ sở tự nguyện, cụ thể, rõ ràng và dựa trên đầy đủ thông tin của chủ thể dữ liệu. Ngoài ra, doanh nghiệp phải lập, lưu giữ và nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho cơ quan thẩm quyền để thẩm định.
Cả hai điều kiện này đều khó đáp ứng hơn trên thực tế. Đối với sự đồng ý được thu thập trong quan hệ lao động, tính hợp lệ về mặt pháp lý đặc biệt dễ bị đặt vấn đề do tính chất không bình đẳng của mối quan hệ giữa người sử dụng lao động và người lao động. Một người lao động phải quét dấu vân tay để được trả lương thì khó có thể được xem là đã đưa ra sự đồng ý một cách thực sự tự nguyện. Bên cạnh đó, một Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đạt yêu cầu đòi hỏi doanh nghiệp phải phân công nhân sự phụ trách bảo vệ dữ liệu, công khai các biện pháp và chính sách áp dụng để bảo vệ dữ liệu cá nhân và cung cấp sơ đồ tổng quan về các luồng dữ liệu của mình.
Hệ quả thực tế là rất đáng quan ngại: rất nhiều người sử dụng lao động tại Việt Nam hiện nay đang xử lý dữ liệu sinh trắc học nhạy cảm mà không có căn cứ pháp lý đủ cơ sở để bảo vệ việc xử lý đó, cũng như không có hồ sơ đánh giá tác động đạt chuẩn theo quy định của pháp luật và không có sự đồng ý cần thiết. Hầu hết mọi người đều không chú ý đến điều này, đơn giản vì thiết bị chấm công đó vẫn hoạt động bền bỉ, lặng lẽ từ rất lâu trước khi bất kỳ ai nghe nói đến Luật BVDLCN.
Cạm bẫy thứ hai: Hệ thống điện toán đám mây mà doanh nghiệp của bạn đang vận hành
Nếu hỏi một nhân viên phụ trách tuân thủ xem công ty có chuyển dữ liệu cá nhân ra ngoài Việt Nam hay không, câu trả lời theo phản xạ gần như luôn là “không”. Một câu hỏi có khả năng phản ánh chính xác hơn thực trạng xử lý dữ liệu là: hệ thống thư điện tử, cơ sở dữ liệu khách hàng, hệ thống quản lý nhân sự và hệ thống hỗ trợ khách hàng của công ty thực tế được lưu trữ ở đâu? Microsoft 365, Google Workspace, Salesforce, AWS và toàn bộ các bộ công cụ doanh nghiệp tiêu chuẩn khác đều vận hành trên các máy chủ đặt ngoài lãnh thổ Việt Nam. Mỗi khi dữ liệu cá nhân của nhân viên hoặc khách hàng được chuyển lên một trong những nền tảng đó, dữ liệu đó đã rời khỏi đất nước. Theo Luật BVDLCN, đó là hoạt động chuyển dữ liệu cá nhân ra nước ngoài, bất kể doanh nghiệp có định nghĩa nó theo cách đó hay không.
Hoạt động chuyển dữ liệu ra nước ngoài không bị cấm, nhưng (trong hầu hết các trường hợp) phải đi kèm điều kiện. Luật BVDLCN yêu cầu phải lập và lưu trữ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, đồng thời gửi một bản chính đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an (A05), kèm theo các tài liệu và biện pháp bảo đảm mà hồ sơ đánh giá này chứng minh. Hệ quả của việc không tuân thủ là vô cùng nghiêm trọng: các hoạt động chuyển dữ liệu ra nước ngoài không phép có thể khiến tổ chức bị phạt tiền lên tới 5% tổng doanh thu của năm tài chính liền trước.
Lỗ hổng ở đây nằm ở sự chênh lệch giữa những gì bộ phận pháp lý hiểu về hoạt động của công ty và những gì các phần mềm vận hành hàng ngày vẫn âm thầm thực hiện suốt thời gian qua. Đối với nhiều doanh nghiệp, kết quả khi bị thanh tra sẽ chỉ ra cùng một kịch bản: dữ liệu đã được chuyển ra nước ngoài từ nhiều năm nay, nhưng chưa từng có bản đánh giá tác động nào được nộp.
Cạm bẫy thứ ba: Thời hạn 60 ngày đã hết
Cả Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài đều phải nộp cho A05 trong vòng 60 ngày kể từ ngày bắt đầu xử lý, hoặc ngay khi hoạt động chuyển dữ liệu ra nước ngoài đầu tiên diễn ra. Đối với các hoạt động xử lý vốn đã và đang thực hiện khi Luật có hiệu lực vào ngày 01 tháng 01 năm 2026, cách hiểu thận trọng nhất theo quy định pháp luật là thời hạn 60 ngày cũng bắt đầu tính từ thời điểm đó. Nếu đúng như vậy, đồng nghĩa với việc đối với hầu hết các công ty, thời hạn 60 ngày này đã khép lại vào đầu tháng 03 năm 2026. Luật còn siết chặt hơn khi yêu cầu các hồ sơ này phải được rà soát, cập nhật định kỳ mỗi 06 tháng một lần bất kỳ khi nào có sự thay đổi về mục đích, bên kiểm soát, bên xử lý hay bên thứ ba.
Đó là lý do tại sao việc thích ứng với thể chế pháp lý mới không chỉ là câu chuyện lập kế hoạch đầy đủ, mà còn là công tác khắc phục hậu quả. Một doanh nghiệp chưa nộp Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài không phải là sắp đến hạn nộp, mà thực chất là đã trễ hạn. Tâm thế đúng đắn lúc này không phải là “khi nào chúng ta cần sẵn sàng”, mà là “chúng ta có thể lấp khoảng trống đã phát sinh nhanh đến mức nào”. Các ưu tiên sẽ đòi hỏi phải giải quyết những hoạt động xử lý có rủi ro cao nhất (dữ liệu sinh trắc học, dữ liệu tài chính, cơ sở dữ liệu khách hàng quy mô lớn, chuyển dữ liệu ra nước ngoài). Doanh nghiệp cần xây dựng một lộ trình khắc phục thiện chí, có hồ sơ lưu vết để đảm bảo tuân thủ và trình cho cơ quan chức năng khi được yêu cầu. Các mức xử phạt có thể rất nghiêm khắc: theo luật này, không chỉ tổ chức mà cả cá nhân cũng phải chịu trách nhiệm, với mức phạt tiền cá nhân lên tới một nửa mức phạt của doanh nghiệp và thậm chí có thể bị truy cứu trách nhiệm hình sự đối với những hành vi vi phạm dữ liệu nghiêm trọng nhất. Tên ghi trên hồ sơ nộp tuân thủ là tên của một cá nhân bằng xương bằng thịt, và người đó thường là Cố vấn pháp lý (hoặc Nhân sự phụ trách bảo vệ dữ liệu (DPO) được bổ nhiệm. Điều này không có nghĩa là những cá nhân này sẽ tự động chịu trách nhiệm cho các vi phạm của công ty; trách nhiệm cá nhân thường chỉ phát sinh khi cá nhân đó trực tiếp thực hiện, chỉ đạo hoặc dung túng cho vi phạm. Tuy nhiên, điều này cho thấy cơ chế quản lý không còn hoàn toàn dừng lại ở cấp độ tổ chức nữa. Những cá nhân có tên trên hồ sơ đăng ký sẽ có lợi ích trực tiếp trong việc đảm bảo các hồ sơ đó được hoàn tất và nộp đúng quy định.
Điều này có ý nghĩa gì đối với luật sư nội bộ
Một nhà sản xuất sử dụng máy chấm công bằng vân tay, một công ty dịch vụ vận hành trên Microsoft 365 hay một nhà bán lẻ lưu trữ danh sách khách hàng trên hệ thống CRM đám mây –tất cả đều đã thuộc phạm vi điều chỉnh của chế độ pháp lý mới về dữ liệu của Việt Nam, và tất cả đều có thể đang trong tình trạng chưa tuân thủ. Những việc cần thực hiện tuy không hào nhoáng nhưng hết sức cấp bách: lập danh mục toàn bộ dữ liệu cá nhân mà doanh nghiệp đang nắm giữ và xác định luồng dữ liệu đó được xử lý, nhận diện các hoạt động xử lý dữ liệu nhạy cảm và chuyển dữ liệu ra nước ngoài (là những hoạt động có nguy cơ bị xử phạt nghiêm khắc nhất), xác lập cơ sở pháp lý thay thế trong trường hợp các sự đồng ý đã thu thập trước đây không còn đáp ứng yêu cầu pháp luật, nộp các hồ sơ đánh giá còn tồn đọng, và thiết lập một bộ phận hoặc chức năng bảo vệ dữ liệu có khả năng duy trì việc cập nhật đầy đủ các hồ sơ, tài liệu tuân thủ. Thị trường Việt Nam vẫn hấp dẫn như trước. Tuy nhiên, cái giá của việc kinh doanh tại Việt Nam hiện nay bao gồm việc phải coi dữ liệu cá nhân là một loại trách nhiệm pháp lý cần được quản trị, chứ không còn là một nguồn lực có thể tự do khai thác. Những doanh nghiệp sớm nhận ra rằng khoảng thời gian để chuẩn bị thực sự còn rất ít sẽ là những doanh nghiệp tránh được việc trở thành các trường hợp đầu tiên bị cơ quan thực thi pháp luật lựa chọn để xử lý làm điển hình.
