Toàn bộ checklist

Luật mới có hiệu lực đầu năm 2026, thay nghị định cũ, kèm nghị định hướng dẫn mới. Bất kỳ công ty nào lưu tên, số điện thoại, email khách hàng đều thuộc phạm vi. Mức phạt cao hơn nhiều so với trước.

Khung phạt cao nhất trong checklist: một số hành vi phạt tới 5% doanh thu năm trước, các vi phạm khác tới khoảng 3 tỷ với tổ chức; có thể bị đình chỉ xử lý dữ liệu, tức dừng dịch vụ.

Công ty đang thu và lưu những dữ liệu cá nhân gì, của ai, để làm gì? Đã có ai đọc luật mới chưa?

Phải công khai mục đích, loại dữ liệu, thời gian lưu, bên thứ ba nhận dữ liệu. Sự đồng ý phải tách bạch và chứng minh được, không gộp vào điều khoản chung.

Xử lý dữ liệu không có đồng ý hợp lệ là vi phạm cốt lõi, phạt theo khung của luật; mọi hoạt động tiếp thị dựa trên dữ liệu đó có thể bị buộc dừng.

Website, ứng dụng có chính sách quyền riêng tư không? Người dùng đồng ý bằng cách nào, có lưu lại bằng chứng không?

Hồ sơ phải lập và gửi cơ quan chuyên trách trong thời hạn kể từ khi bắt đầu xử lý. Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa làm trong một số năm đầu, hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn. Tuy nhiên miễn trừ không áp dụng nếu xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu, hoặc xử lý dữ liệu của số lượng lớn người.

Nếu thuộc diện bắt buộc mà không có hồ sơ, phạt theo khung của luật và bị yêu cầu dừng xử lý đến khi hoàn thành. Với công ty xử lý dữ liệu tài chính, sức khoẻ, đây là mục đầu tiên bị hỏi.

Công ty thuộc diện được miễn trừ hay không? Có xử lý dữ liệu tài chính, sức khoẻ, vị trí không? Số người dùng có dữ liệu là bao nhiêu?

Ba tình huống đều tính là chuyển ra nước ngoài: đưa dữ liệu đang lưu tại Việt Nam lên máy chủ ngoài Việt Nam kể cả cloud; chuyển cho tổ chức, cá nhân ở nước ngoài; dùng nền tảng đặt ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Nghĩa là dùng cloud vùng nước ngoài, bộ công cụ văn phòng, công cụ trí tuệ nhân tạo, email marketing, phân tích, họp trực tuyến có dữ liệu khách hàng hoặc nhân viên đi qua đều thuộc diện. Phải lập hồ sơ riêng và gửi cơ quan chuyên trách, không nằm trong hồ sơ đánh giá tác động thông thường. Hồ sơ gồm báo cáo đánh giá tác động chuyển dữ liệu xuyên biên giới theo mẫu quy định, hợp đồng hoặc thoả thuận chuyển giao dữ liệu với bên nhận, tài liệu chứng minh chính sách và quy trình bảo vệ dữ liệu, kèm thông báo gửi hồ sơ. Nộp trong 60 ngày kể từ lần chuyển đầu tiên, làm một lần nhưng phải làm thủ tục thay đổi khi đổi bên nhận hoặc đổi loại dữ liệu. Cơ quan chuyên trách phản hồi trong 15 ngày và có quyền yêu cầu dừng chuyển.

Chuyển dữ liệu ra nước ngoài không có hồ sơ là hành vi có khung phạt tới 5% doanh thu năm trước; có thể bị buộc dừng chuyển, tức dừng dùng dịch vụ đám mây nước ngoài.

Đã liệt kê mọi nhà cung cấp nước ngoài đang nhận dữ liệu cá nhân của khách hàng, nhân viên chưa? Hồ sơ đã nộp có khớp danh sách thực tế không, đặc biệt các công cụ trí tuệ nhân tạo và dịch vụ thêm vào sau khi nộp? Có hợp đồng hoặc thoả thuận xử lý dữ liệu với từng bên nhận không? Công ty có thuộc diện miễn trừ không (siêu nhỏ, hộ kinh doanh, trừ khi kinh doanh chính là xử lý dữ liệu, dữ liệu nhạy cảm, số lượng lớn)?

Khi xảy ra sự cố, công ty phải thông báo cơ quan chuyên trách trong thời hạn quy định. Không có quy trình sẵn thì không kịp.

Không thông báo trong thời hạn khi có sự cố là vi phạm riêng, cộng thêm vi phạm gốc; thiệt hại uy tín và bồi thường dân sự cho khách hàng.

Nếu lộ dữ liệu tối nay, ai làm gì, báo ai, trong bao lâu?