Trong bối cảnh chuyển đổi số quốc gia đang diễn ra mạnh mẽ, vấn đề an toàn thông tin và quyền riêng tư của công dân ngày càng được đặt lên hàng đầu. Sự ra đời của Luật Bảo vệ dữ liệu cá nhân 2025 cùng văn bản hướng dẫn chi tiết là Nghị định 356/2025/NĐ-CP đã đánh dấu một bước ngoặt pháp lý quan trọng, thay thế hoàn toàn cho quy định cũ tại Nghị định 13/2023/NĐ-CP.

Đối với cộng đồng doanh nghiệp tại Việt Nam, việc nắm vững và tuân thủ nghiêm ngặt các quy định mới này không chỉ là nghĩa vụ pháp lý bắt buộc mà còn là yếu tố sống còn để bảo vệ uy tín thương hiệu và tránh những khoản phạt tài chính khổng lồ. Bài viết dưới đây sẽ phân tích chuyên sâu 6 thay đổi cốt lõi tại Nghị định 356/2025/NĐ-CP mà mọi doanh nghiệp cần phải biết.

1. Điều chỉnh Danh mục dữ liệu cá nhân cơ bản: Tinh gọn và thực tế hơn

Danh mục dữ liệu cá nhân cơ bản là nền tảng để doanh nghiệp phân loại, định danh và áp dụng các biện pháp bảo mật phù hợp. Tại Điều 3 Nghị định 356/2025/NĐ-CP, Chính phủ đã thực hiện những điều chỉnh quan trọng so với quy định cũ tại Nghị định 13/2023/NĐ-CP nhằm đảm bảo tính đồng bộ với hệ thống cơ sở dữ liệu quốc gia:

• Khai tử "số CMND": Do lộ trình chuyển đổi sang thẻ Căn cước đã hoàn tất, cụm từ "số CMND" chính thức bị loại bỏ khỏi danh mục dữ liệu cá nhân cơ bản.
• Tích hợp vào số định danh cá nhân: Các thông tin như mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế không còn đứng độc lập mà được thay thế, tích hợp toàn diện bằng số định danh cá nhân. Điều này giúp doanh nghiệp giảm bớt gánh nặng lưu trữ nhiều trường thông tin trùng lặp.
• Nâng cấp dữ liệu hành vi trên mạng: Dữ liệu phản ánh hoạt động, lịch sử hoạt động trên không gian mạng (như lịch sử duyệt web, hành vi tương tác) trước đây là dữ liệu cơ bản thì nay đã được nâng cấp thành dữ liệu cá nhân nhạy cảm. Doanh nghiệp công nghệ, thương mại điện tử cần đặc biệt lưu ý vì việc xử lý dữ liệu nhạy cảm đòi hỏi các biện pháp bảo mật nghiêm ngặt hơn rất nhiều.
• Bổ sung mối quan hệ hôn nhân: Bên cạnh mối quan hệ "cha mẹ", "con cái" như trước đây, quy định mới đã bổ sung thêm thông tin về "vợ" và "chồng" vào nhóm thông tin về mối quan hệ gia đình tại khoản 9 Điều 3 Nghị định 356/2025/NĐ-CP.

2. Siết chặt quy trình chia sẻ dữ liệu cá nhân nội bộ doanh nghiệp

Một trong những lỗ hổng lớn nhất dẫn đến rò rỉ dữ liệu trong doanh nghiệp chính là việc chia sẻ thông tin tự do giữa các phòng ban (ví dụ: phòng Nhân sự chuyển thông tin ứng viên cho phòng Kinh doanh mà không có sự kiểm soát). Giải quyết triệt để vấn đề này, khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP đã bổ sung hướng dẫn cụ thể về việc chia sẻ dữ liệu nội bộ:

"Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức phải xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba."

Như vậy, doanh nghiệp bắt buộc phải thiết lập một cơ chế phân quyền truy cập (Decentralized Access Control), ghi nhận nhật ký hệ thống (Log) mỗi khi có hoạt động chuyển giao dữ liệu nội bộ, đồng thời ban hành quy chế xử lý kỷ luật nghiêm khắc đối với nhân sự tự ý chia sẻ dữ liệu ra bên ngoài.

3. Tiêu chuẩn hóa điều kiện của nhân sự và bộ phận bảo vệ dữ liệu cá nhân

Không còn dừng lại ở việc chỉ định mang tính hình thức, Điều 13 Nghị định 356/2025/NĐ-CP đặt ra các tiêu chuẩn năng lực rất cụ thể đối với nhân sự chuyên trách bảo vệ dữ liệu cá nhân (DPO - Data Protection Officer) hoặc thành viên thuộc bộ phận bảo vệ dữ liệu cá nhân:

• Trình độ học vấn: Phải tốt nghiệp từ trình độ cao đẳng trở lên.
• Kinh nghiệm thực tế: Có ít nhất 02 năm kinh nghiệm công tác (tính từ thời điểm tốt nghiệp) trong các lĩnh vực liên quan trực tiếp như: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ.
• Đào tạo chuyên môn: Đã được tham gia các khóa đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

Đặc biệt, doanh nghiệp có nghĩa vụ phải ký kết thỏa thuận trách nhiệm bảo mật riêng biệt với nhân sự này, trong đó có thể thỏa thuận rõ ràng về các trường hợp miễn trừ trách nhiệm khi xảy ra sự cố bất khả kháng nhằm bảo vệ quyền lợi cho cả hai bên.

4. Cơ chế kiểm tra hoạt động bảo vệ dữ liệu cá nhân: Thường xuyên và đột xuất

Công tác thanh tra, kiểm tra của cơ quan quản lý nhà nước (Bộ Công an) sẽ được thực hiện một cách bài bản và quyết liệt hơn theo quy định tại Điều 31 Nghị định 356/2025/NĐ-CP. Hoạt động kiểm tra được tiến hành trong các trường hợp:

1. Khi có căn cứ nghi vấn về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân (ví dụ: có đơn thư tố cáo, tin báo rò rỉ dữ liệu trên mạng).
2. Khi có chỉ đạo trực tiếp từ cơ quan, người có thẩm quyền quản lý nhà nước.
3. Thực hiện theo kế hoạch quản lý nhà nước định kỳ hàng năm.

Thông thường, cơ quan chuyên trách sẽ thông báo trước 15 ngày về nội dung và kế hoạch kiểm tra. Tuy nhiên, đối với các trường hợp khẩn cấp hoặc có dấu hiệu vi phạm rõ ràng, cơ quan chức năng có quyền kiểm tra đột xuất ngay lập tức mà không cần thông báo trước. Do đó, việc duy trì trạng thái tuân thủ liên tục là yêu cầu bắt buộc đối với mọi doanh nghiệp.

5. Chính sách "khoan hồng" và lộ trình áp dụng cho doanh nghiệp nhỏ, siêu nhỏ

Nhận thức được rào cản về chi phí và nguồn lực của các doanh nghiệp có quy mô vừa và nhỏ, Chính phủ đã đưa ra một chính sách cực kỳ nhân văn tại Điều 41 Nghị định 356/2025/NĐ-CP. Cụ thể:

• Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp (Startup): Được quyền lựa chọn thực hiện hoặc không thực hiện việc đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ đánh giá tác động, và chỉ định nhân sự bảo vệ dữ liệu trong thời gian 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực thi hành.
• Hộ kinh doanh và doanh nghiệp siêu nhỏ: Được miễn trừ hoàn toàn các nghĩa vụ nêu trên.

*Lưu ý ngoại lệ quan trọng:* Sự miễn trừ này sẽ không được áp dụng nếu doanh nghiệp nhỏ, siêu nhỏ, startup hoạt động trong lĩnh vực kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc quy mô xử lý đạt từ 100.000 chủ thể dữ liệu trở lên (tính lũy kế).

6. Quy định nghiêm ngặt về cập nhật hồ sơ đánh giá tác động xử lý dữ liệu

Theo quy định tại Điều 20 Nghị định 356/2025/NĐ-CP, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển dữ liệu xuyên biên giới không phải là văn bản nộp một lần rồi thôi. Doanh nghiệp phải thực hiện cập nhật định kỳ và đột xuất:

• Cập nhật định kỳ: Mỗi 06 tháng một lần kể từ thời điểm nộp hồ sơ lần đầu nếu phát sinh mục đích xử lý mới hoặc thay đổi các bên liên quan (bên kiểm soát, bên xử lý, bên thứ ba).
• Cập nhật khẩn cấp trong vòng 10 ngày: Khi doanh nghiệp tiến hành tổ chức lại, giải thể, phá sản; thay đổi thông tin đơn vị cung cấp dịch vụ bảo vệ dữ liệu; hoặc thay đổi ngành nghề, dịch vụ kinh doanh có liên quan đến hoạt động xử lý dữ liệu cá nhân.

7. Khuyến nghị thực tiễn cho doanh nghiệp trong bối cảnh mới

Để chủ động thích ứng với hành lang pháp lý mới của Nghị định 356/2025/NĐ-CP, các doanh nghiệp cần nhanh chóng triển khai các bước sau:

1. Rà soát toàn bộ dòng chảy dữ liệu (Data Mapping): Xác định rõ doanh nghiệp đang thu thập những loại dữ liệu nào, đâu là dữ liệu cơ bản, đâu là dữ liệu nhạy cảm để có phương án bảo mật tương ứng.
2. Chuẩn hóa nhân sự chuyên trách: Tuyển dụng hoặc đào tạo nhân sự đáp ứng đầy đủ các tiêu chuẩn tại Điều 13 Nghị định 356/2025/NĐ-CP, ban hành quyết định chỉ định bằng văn bản chính thức.
3. Xây dựng quy chế nội bộ: Ban hành quy trình kiểm soát chia sẻ dữ liệu giữa các phòng ban và ký cam kết bảo mật thông tin với toàn bộ người lao động.
4. Hoàn thiện hồ sơ pháp lý: Nghiêm túc thực hiện việc lập và cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để sẵn sàng xuất trình khi có yêu cầu thanh tra từ cơ quan chức năng.

Việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không chỉ giúp doanh nghiệp tránh được các rủi ro pháp lý và án phạt hành chính, mà còn là tấm thẻ thông hành giúp doanh nghiệp xây dựng niềm tin vững chắc với khách hàng, đối tác, tạo lợi thế cạnh tranh vượt trội trong kỷ nguyên số.