Những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP

Việt Nam đang bước vào giai đoạn mới trong việc bảo vệ dữ liệu cá nhân với sự ra đời của Luật Bảo vệ dữ liệu cá nhân dự kiến có hiệu lực từ ngày 01/01/2026. Đây là bước tiến quan trọng trong việc hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân, thay thế cho Nghị định 13/2023/NĐ-CP hiện hành. Tại Luật Việt An, chúng tôi nhận thấy rằng những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP sẽ tạo ra những thay đổi căn bản trong cách thức các doanh nghiệp và tổ chức xử lý dữ liệu cá nhân.

Mở rộng đối tượng điều chỉnh và phạm vi áp dụng bảo vệ dữ liệu cá nhân

Một trong những thay đổi quan trọng nhất của Luật là việc mở rộng đáng kể đối tượng điều chỉnh theo Điều 1. Trong khi Nghị định 13/2023/NĐ-CP chỉ áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam hoạt động tại nước ngoài, thì Luật mới đã loại bỏ quy định này và thay thế bằng cách tiếp cận toàn diện hơn.

Theo quy định mới, Luật áp dụng đối với:

• Cơ quan, tổ chức, cá nhân Việt Nam;
• Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam;
• Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.

Sự thay đổi này cho thấy những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP hướng tới việc bảo vệ toàn diện hơn quyền lợi của công dân Việt Nam, đồng thời mở rộng trách nhiệm tuân thủ đối với các tổ chức nước ngoài.

Hoàn thiện định nghĩa về dữ liệu cá nhân

Điều 2 của Luật đã cải tiến định nghĩa về dữ liệu cá nhân, từ khái niệm “thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử” trong Nghị định 13 sang “dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể“.

Định nghĩa mới này đã:

• Mở rộng phạm vi từ chỉ môi trường điện tử sang tất cả các dạng thông tin;
• Tập trung vào khả năng xác định danh tính rather than hình thức lưu trữ;
• Phù hợp hơn với xu hướng quốc tế và thực tiễn xử lý dữ liệu hiện đại.

Đồng thời, Luật cũng phân loại rõ ràng dữ liệu cá nhân thành hai nhóm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, với danh mục cụ thể do Chính phủ ban hành.

Tăng cường quyền và nghĩa vụ của chủ thể dữ liệu cá nhân

Theo Điều 4 của Luật, những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP thể hiện rõ trong việc điều chỉnh quyền và nghĩa vụ của chủ thể dữ liệu. Trong khi Nghị định 13 quy định 11 quyền và 5 nghĩa vụ, Luật mới tinh gọn thành 6 quyền và 4 nghĩa vụ cơ bản.

Điểm nổi bật là việc bổ sung quyền yêu cầu các bên khác thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình. Luật cũng thiết lập ba nguyên tắc cơ bản:

• Tuân thủ quy định của pháp luật và hợp đồng;
• Không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ;
• Không được xâm phạm đến quyền, lợi ích hợp pháp.

Cụ thể hóa các hành vi bị nghiêm cấm

Điều 7 của Luật đã cụ thể hóa và bổ sung các hành vi bị nghiêm cấm. Bên cạnh việc duy trì các quy định hiện có, Luật bổ sung nghiêm cấm:

• Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật;
• Mua, bán dữ liệu cá nhân (trừ trường hợp luật có quy định khác);
• Hành vi chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Thiết lập khung xử lý vi phạm nghiêm khắc

Điều 8 bổ sung một điều khoản riêng về xử lý vi phạm pháp luật với mức phạt được thiết kế theo tính chất nghiêm trọng của vi phạm:

• Đối với tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: phạt tối đa 5% doanh thu của năm trước liền kề;
• Đối với hành vi mua, bán dữ liệu cá nhân: phạt tối đa 10 lần khoản thu có được từ hành vi vi phạm;
• Đối với các hành vi vi phạm khác: phạt tối đa 03 tỷ đồng cho tổ chức, đối với cá nhân mức phạt tối đa này bằng một phần hai.

Hoàn thiện quy định về sự đồng ý của chủ thể dữ liệu cá nhân

Theo Điều 9, những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP thể hiện trong việc làm rõ các tiêu chí của sự đồng ý hợp lệ:

• Rõ ràng: có thể in, sao chép bằng văn bản, bao gồm dưới dạng điện tử hoặc định dạng kiểm chứng được;
• Chủ động: sự im lặng hoặc không phản hồi không được coi là sự đồng ý;
• Không kèm theo điều kiện: không bắt buộc phải đồng ý với các mục đích khác;
• Từng mục đích: thể hiện sự đồng ý đối với từng mục đích cụ thể.
• Hiệu lực: khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây:

• Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân;
• Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân;
• Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân

Theo đó, khi không đáp ứng đủ các tiêu chí cấu thành một sự đồng ý hợp lệ, chủ thể xử lý dữ liệu cá nhân có thể cấu thành hành vi vi phạm quyền đối với dữ liệu cá nhân của chủ thể quyền.

Bổ sung quy định về khử nhận dạng và công khai dữ liệu cá nhân

Điều 14 của Luật Bảo vệ dữ liệu cá nhân 2025 giới thiệu khái niệm “khử nhận dạng” (anonymization) với các phương pháp cụ thể như xóa bỏ, che dấu, tổng quát hóa, xáo trộn và thêm nhiễu. Đây là công cụ quan trọng cho phép tổ chức sử dụng dữ liệu trong nghiên cứu và phân tích mà không vi phạm quyền riêng tư.

Điều 16 của Luật Bảo vệ dữ liệu cá nhân 2025 lần đầu tiên quy định riêng về công khai dữ liệu cá nhân, yêu cầu:

• Chỉ được công khai khi có sự đồng ý của chủ thể dữ liệu cá nhân hoặc thực hiện nghĩa vụ pháp luật hoặc theo hợp đồng;
• Có mục đích cụ thể, phạm vi công khai phù hợp;
• Loại dữ liệu công khai phải phù hợp với mục đích;
• Không được xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu.
• Hình thức công khai dữ liệu cá nhân, bao gồm: đăng tải dữ liệu trên trang thông tin điện tử, cổng thông tin điện tử, phương tiện thông tin đại chúng và các hình thức khác theo quy định của pháp luật.

Cải tiến quy định về chuyển giao và chuyển dữ liệu xuyên biên giới

Điều 17 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ các trường hợp chuyển giao dữ liệu cá nhân, bao gồm chia sẻ giữa các bộ phận trong cùng tổ chức, tổ chức lại doanh nghiệp, và chuyển giao cho bên xử lý.

Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 thay đổi từ “ra nước ngoài” thành “xuyên biên giới” và mở rộng khái niệm bao gồm chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống lưu trữ ngoài lãnh thổ. Những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP trong lĩnh vực này bao gồm:

• Hồ sơ đánh giá tác động phải được gửi cho cơ quan chuyên trách trong 60 ngày;
• Đánh giá tác động chỉ thực hiện một lần cho suốt thời gian hoạt động và được cập nhật theo quy định.

Thiết lập lực lượng bảo vệ dữ liệu cá nhân

Điều 33 Luật Bảo vệ dữ liệu cá nhân 2025 thiết lập hệ thống lực lượng bảo vệ dữ liệu cá nhân bao gồm:

• Cơ quan chuyên trách thuộc Bộ Công an;
• Bộ phận, nhân sự bảo vệ dữ liệu trong cơ quan tổ chức;
• Tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
• Lực lượng được huy động tham gia bảo vệ dữ liệu cá nhân.

Điều khoản thi hành và chuyển tiếp linh hoạt

Điều 38 và 39 Luật Bảo vệ dữ liệu cá nhân 2025 thể hiện sự linh hoạt trong việc triển khai Luật:

• Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn trong 5 năm đối với đánh giá tác động, bộ phận bảo vệ dữ liệu và cập nhật hồ sơ;
• Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này;
• Hồ sơ đánh giá tác động đã được tiếp nhận theo Nghị định 13 tiếp tục có hiệu lực.

Những điểm mới của Luật Bảo vệ dữ liệu cá nhân 2025 so với Nghị định 13/2023/NĐ-CP cho thấy Việt Nam đang xây dựng một khung pháp lý toàn diện, hiện đại và phù hợp với xu hướng quốc tế. Việc nâng cấp từ Nghị định lên Luật không chỉ thể hiện tầm quan trọng của vấn đề mà còn tạo cơ sở pháp lý vững chắc cho việc bảo vệ quyền riêng tư và thúc đẩy phát triển kinh tế số.

Tại Luật Việt An, chúng tôi cam kết đồng hành cùng doanh nghiệp trong việc hiểu rõ và tuân thủ các quy định mới, đảm bảo hoạt động kinh doanh diễn ra thuận lợi trong khuôn khổ pháp luật. Với đội ngũ chuyên gia giàu kinh nghiệm, chúng tôi sẵn sàng cung cấp dịch vụ tư vấn pháp lý chuyên sâu về bảo vệ dữ liệu cá nhân, giúp doanh nghiệp chuẩn bị tốt nhất cho sự thay đổi quan trọng này.