Luật Bảo vệ dữ liệu cá nhân thiết lập khuôn khổ pháp lý chuyên biệt, góp phần kiến tạo văn hóa bảo vệ dữ liệu cá nhân tại Việt Nam

Trong kỷ nguyên số, dữ liệu cá nhân không còn đơn thuần là những thông tin dưới dạng con số hay ký tự. Đằng sau mỗi số điện thoại, tài khoản ngân hàng, địa chỉ, thông tin sức khỏe, lịch sử giao dịch hay hành vi trên môi trường mạng là danh tính, đời sống và quyền riêng tư của một con người. Dữ liệu cá nhân vì thế đã trở thành nguồn tài nguyên quan trọng, gắn liền với hoạt động quản trị, kinh doanh và cung cấp dịch vụ, đồng thời có khả năng tác động trực tiếp đến quyền và lợi ích hợp pháp của mỗi cá nhân.

Một khi dữ liệu cá nhân bị thu thập, khai thác hoặc sử dụng trái pháp luật, hậu quả không chỉ dừng lại ở việc một cá nhân bị làm phiền bởi các cuộc gọi quảng cáo hay tin nhắn không mong muốn. Những thông tin tưởng như rời rạc khi được tập hợp, phân tích và kết nối có thể trở thành công cụ để các đối tượng thực hiện hành vi lừa đảo, chiếm đoạt tài sản, tổ chức đánh bạc, cho vay qua ứng dụng hoặc che giấu dòng tiền phạm tội.

Đối với Nhà nước, việc lộ lọt dữ liệu trên quy mô lớn có thể tác động đến an ninh quốc gia, an toàn các hệ thống thông tin quan trọng và hiệu quả quản lý nhà nước. Đối với doanh nghiệp, một sự cố rò rỉ dữ liệu có thể kéo theo tổn thất về tài chính, uy tín, niềm tin của khách hàng, chi phí khắc phục và trách nhiệm pháp lý. Còn đối với mỗi người dân, dữ liệu bị lộ lọt có thể biến họ trở thành mục tiêu của những kịch bản lừa đảo ngày càng tinh vi.

Thực tiễn đấu tranh phòng, chống tội phạm thời gian qua cho thấy nguy cơ này không còn xa. Ngày 14/7/2026, Công an tỉnh Đắk Lắk đã khởi tố vụ án về tội “Rửa tiền”, trong đó các đối tượng điều hành người Trung Quốc đã thuê người Việt Nam mở và quản lý nhiều tài khoản ngân hàng để luân chuyển tiền qua nhiều lớp tài khoản nhằm che giấu nguồn gốc dòng tiền phạm tội.

Trước đó, vào tháng 9/2025, Công an tỉnh Đắk Lắk phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an triệt phá đường dây dụ dỗ người dân mở thẻ tín dụng. Từ năm 2022 đến thời điểm bị triệt phá, các đối tượng đã tư vấn mở hơn 200.000 thẻ tín dụng, hướng dẫn người dân rút hơn 800 tỷ đồng và chiếm đoạt hơn 80 tỷ đồng của hàng nghìn người trên cả nước.

Cơ quan điều tra lấy lời khai 5 đối tượng tham gia đường dây rửa tiền cho tổ chức lừa đảo xuyên quốc gia hoạt động tại Campuchia tại Trại tạm giam Công an tỉnh Đắk Lắk

Những vụ án này là lời cảnh báo rõ ràng về giá trị và mức độ nguy hiểm khi dữ liệu cá nhân bị các đối tượng xấu khai thác, kết hợp với các phương thức, thủ đoạn phạm tội trên không gian mạng.

Trong bối cảnh đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, gồm 5 chương và 39 điều, ra đời đã tạo lập một hành lang pháp lý chuyên biệt, đặt nền móng quan trọng cho việc bảo vệ dữ liệu cá nhân tại Việt Nam.

Điểm cốt lõi của Luật là xác lập và bảo đảm quyền của chủ thể dữ liệu. Mỗi cá nhân có quyền được biết dữ liệu của mình đang được xử lý như thế nào; có quyền đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý đối với việc xử lý dữ liệu; được xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu của mình. Trong những trường hợp theo quy định, cá nhân còn có quyền yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu, phản đối việc xử lý dữ liệu, khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại và yêu cầu các chủ thể có liên quan thực hiện biện pháp bảo vệ dữ liệu cá nhân.

Đây không chỉ là những quy định về mặt thủ tục. Đằng sau mỗi quyền được pháp luật ghi nhận là thông điệp rằng dữ liệu cá nhân trước hết gắn với chính con người – với danh tính, quyền riêng tư và các quyền, lợi ích hợp pháp của mỗi cá nhân.

Cùng với việc trao quyền cho chủ thể dữ liệu, Luật cũng xác lập những “lằn ranh đỏ” trong hoạt động xử lý dữ liệu cá nhân. Xử lý dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; sử dụng dữ liệu của người khác để thực hiện hành vi trái pháp luật; lợi dụng hoạt động bảo vệ dữ liệu để vi phạm pháp luật; mua, bán dữ liệu cá nhân trái quy định; cản trở hoạt động xử lý dữ liệu; xử lý dữ liệu trái pháp luật; chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân đều là những hành vi bị nghiêm cấm.

Việc xác định rõ những hành vi bị nghiêm cấm giúp tạo ra giới hạn pháp lý cần thiết đối với quá trình thu thập, khai thác và sử dụng dữ liệu. Dữ liệu có thể là nguồn lực quan trọng cho phát triển kinh tế - xã hội, nhưng việc khai thác nguồn lực đó phải đặt trong khuôn khổ pháp luật và tôn trọng quyền, lợi ích hợp pháp của con người.

Đi cùng với các quy định về quyền và hành vi bị nghiêm cấm là hệ thống trách nhiệm, chế tài đối với các hành vi vi phạm. Tùy theo tính chất, mức độ và hậu quả, tổ chức, cá nhân vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật. Đáng chú ý, đối với hành vi mua, bán dữ liệu cá nhân, mức phạt có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm hoặc tối đa 3 tỷ đồng; hành vi chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt 5% doanh thu hoặc tối đa 3 tỷ đồng; các hành vi vi phạm khác có thể bị phạt tối đa 3 tỷ đồng. Tổ chức vi phạm còn có thể bị đình chỉ một số hoạt động liên quan theo quy định.

Những chế tài này cho thấy bảo vệ dữ liệu cá nhân không còn được nhìn nhận như một yêu cầu mang tính khuyến nghị, mà đã trở thành một trách nhiệm pháp lý cụ thể. Mỗi cơ quan, tổ chức, doanh nghiệp khi thu thập và xử lý dữ liệu cá nhân phải ý thức đầy đủ hơn về trách nhiệm của mình đối với những thông tin mà người dân, khách hàng và người lao động giao phó.

Tuy nhiên, pháp luật chỉ thực sự phát huy hiệu quả khi đi cùng với ý thức của mỗi người. Bảo vệ dữ liệu cá nhân không phải là câu chuyện chỉ dành cho các cơ quan quản lý hay những doanh nghiệp cung cấp nền tảng số. Mỗi cá nhân cũng cần chủ động bảo vệ dữ liệu của chính mình, tôn trọng và bảo vệ dữ liệu của người khác, cung cấp thông tin đầy đủ, chính xác theo quy định của pháp luật hoặc theo thỏa thuận hợp pháp, đồng thời chấp hành và tham gia phòng, chống các hành vi xâm phạm dữ liệu cá nhân.

Từ đó, bảo vệ dữ liệu cá nhân cần được nhìn nhận không chỉ là một yêu cầu pháp lý, mà còn là một nét văn hóa cần được hình thành trong xã hội số.

Khi mỗi cơ quan coi bảo vệ dữ liệu là một phần của trách nhiệm quản lý; mỗi doanh nghiệp coi an toàn dữ liệu là một yếu tố tạo dựng niềm tin; mỗi người dân hiểu rằng một cú nhấp chuột, một lần cung cấp thông tin hay một thao tác chia sẻ dữ liệu đều có thể tạo ra những hệ quả nhất định, thì văn hóa bảo vệ dữ liệu cá nhân mới thực sự được hình thành.

Sự ra đời và ngày càng hoàn thiện của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 vì vậy không chỉ tạo dựng một hành lang pháp lý cho hoạt động bảo vệ dữ liệu, mà còn mở ra định hướng xây dựng một hệ sinh thái số an toàn, lành mạnh và bền vững. Trong hệ sinh thái đó, công nghệ được phát triển trên nền tảng lấy con người làm trung tâm; dữ liệu được khai thác để phục vụ phát triển nhưng không đánh đổi bằng quyền và lợi ích hợp pháp của con người.

Bảo vệ dữ liệu cá nhân là bảo vệ quyền con người, quyền công dân; là bảo vệ niềm tin trong môi trường số và cũng là bảo vệ nền tảng cho sự phát triển bền vững của Chính phủ số, kinh tế số và xã hội số tại Việt Nam.

Chuyển đổi số đang làm thay đổi sâu sắc phương thức vận hành của Nhà nước, doanh nghiệp và đời sống xã hội. Hàng trăm triệu tài khoản số được tạo lập trong các lĩnh vực ngân hàng, viễn thông, thương mại điện tử, y tế, giáo dục, bảo hiểm xã hội, dịch vụ công trực tuyến... Cùng với đó là một lượng dữ liệu cá nhân khổng lồ được thu thập, lưu trữ và xử lý mỗi ngày bởi các cơ quan nhà nước, doanh nghiệp và tổ chức.

Trong kỷ nguyên số, dữ liệu cá nhân không còn đơn thuần là những thông tin dưới dạng con số hay ký tự. Đằng sau mỗi số điện thoại, tài khoản ngân hàng, địa chỉ, thông tin sức khỏe, lịch sử giao dịch hay hành vi trên môi trường mạng là danh tính, đời sống và quyền riêng tư của một con người. Dữ liệu cá nhân vì thế đã trở thành nguồn tài nguyên quan trọng, gắn liền với hoạt động quản trị, kinh doanh và cung cấp dịch vụ, đồng thời có khả năng tác động trực tiếp đến quyền và lợi ích hợp pháp của mỗi cá nhân.

Chuyển đổi số càng phát triển, yêu cầu bảo vệ dữ liệu cá nhân càng trở nên cấp thiết.

Một khi dữ liệu cá nhân bị thu thập, khai thác hoặc sử dụng trái pháp luật, hậu quả không chỉ dừng lại ở việc một cá nhân bị làm phiền bởi các cuộc gọi quảng cáo hay tin nhắn không mong muốn. Những thông tin tưởng như rời rạc khi được tập hợp, phân tích và kết nối có thể trở thành công cụ để các đối tượng thực hiện hành vi lừa đảo, chiếm đoạt tài sản, tổ chức đánh bạc, cho vay qua ứng dụng hoặc che giấu dòng tiền phạm tội.

Đối với Nhà nước, việc lộ lọt dữ liệu trên quy mô lớn có thể tác động đến an ninh quốc gia, an toàn các hệ thống thông tin quan trọng và hiệu quả quản lý nhà nước. Đối với doanh nghiệp, một sự cố rò rỉ dữ liệu có thể kéo theo tổn thất về tài chính, uy tín, niềm tin của khách hàng, chi phí khắc phục và trách nhiệm pháp lý. Còn đối với mỗi người dân, dữ liệu bị lộ lọt có thể biến họ trở thành mục tiêu của những kịch bản lừa đảo ngày càng tinh vi.

Thực tiễn đấu tranh phòng, chống tội phạm thời gian qua cho thấy nguy cơ này không còn xa. Ngày 14/7/2026, Công an tỉnh Đắk Lắk đã khởi tố vụ án về tội “Rửa tiền”, trong đó các đối tượng điều hành người Trung Quốc đã thuê người Việt Nam mở và quản lý nhiều tài khoản ngân hàng để luân chuyển tiền qua nhiều lớp tài khoản nhằm che giấu nguồn gốc dòng tiền phạm tội.

Trước đó, vào tháng 9/2025, Công an tỉnh Đắk Lắk phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an triệt phá đường dây dụ dỗ người dân mở thẻ tín dụng. Từ năm 2022 đến thời điểm bị triệt phá, các đối tượng đã tư vấn mở hơn 200.000 thẻ tín dụng, hướng dẫn người dân rút hơn 800 tỷ đồng và chiếm đoạt hơn 80 tỷ đồng của hàng nghìn người trên cả nước.

Những vụ án này là lời cảnh báo rõ ràng về giá trị và mức độ nguy hiểm khi dữ liệu cá nhân bị các đối tượng xấu khai thác, kết hợp với các phương thức, thủ đoạn phạm tội trên không gian mạng.

Trong bối cảnh đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, gồm 5 chương và 39 điều, ra đời đã tạo lập một hành lang pháp lý chuyên biệt, đặt nền móng quan trọng cho việc bảo vệ dữ liệu cá nhân tại Việt Nam.

Điểm cốt lõi của Luật là xác lập và bảo đảm quyền của chủ thể dữ liệu. Mỗi cá nhân có quyền được biết dữ liệu của mình đang được xử lý như thế nào; có quyền đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý đối với việc xử lý dữ liệu; được xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu của mình. Trong những trường hợp theo quy định, cá nhân còn có quyền yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu, phản đối việc xử lý dữ liệu, khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại và yêu cầu các chủ thể có liên quan thực hiện biện pháp bảo vệ dữ liệu cá nhân.

Đây không chỉ là những quy định về mặt thủ tục. Đằng sau mỗi quyền được pháp luật ghi nhận là thông điệp rằng dữ liệu cá nhân trước hết gắn với chính con người – với danh tính, quyền riêng tư và các quyền, lợi ích hợp pháp của mỗi cá nhân.

Cùng với việc trao quyền cho chủ thể dữ liệu, Luật cũng xác lập những “lằn ranh đỏ” trong hoạt động xử lý dữ liệu cá nhân. Xử lý dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; sử dụng dữ liệu của người khác để thực hiện hành vi trái pháp luật; lợi dụng hoạt động bảo vệ dữ liệu để vi phạm pháp luật; mua, bán dữ liệu cá nhân trái quy định; cản trở hoạt động xử lý dữ liệu; xử lý dữ liệu trái pháp luật; chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân đều là những hành vi bị nghiêm cấm.

Việc xác định rõ những hành vi bị nghiêm cấm giúp tạo ra giới hạn pháp lý cần thiết đối với quá trình thu thập, khai thác và sử dụng dữ liệu. Dữ liệu có thể là nguồn lực quan trọng cho phát triển kinh tế - xã hội, nhưng việc khai thác nguồn lực đó phải đặt trong khuôn khổ pháp luật và tôn trọng quyền, lợi ích hợp pháp của con người.

Đi cùng với các quy định về quyền và hành vi bị nghiêm cấm là hệ thống trách nhiệm, chế tài đối với các hành vi vi phạm. Tùy theo tính chất, mức độ và hậu quả, tổ chức, cá nhân vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật. Đáng chú ý, đối với hành vi mua, bán dữ liệu cá nhân, mức phạt có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm hoặc tối đa 3 tỷ đồng; hành vi chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt 5% doanh thu hoặc tối đa 3 tỷ đồng; các hành vi vi phạm khác có thể bị phạt tối đa 3 tỷ đồng. Tổ chức vi phạm còn có thể bị đình chỉ một số hoạt động liên quan theo quy định.

Những chế tài này cho thấy bảo vệ dữ liệu cá nhân không còn được nhìn nhận như một yêu cầu mang tính khuyến nghị, mà đã trở thành một trách nhiệm pháp lý cụ thể. Mỗi cơ quan, tổ chức, doanh nghiệp khi thu thập và xử lý dữ liệu cá nhân phải ý thức đầy đủ hơn về trách nhiệm của mình đối với những thông tin mà người dân, khách hàng và người lao động giao phó.

Tuy nhiên, pháp luật chỉ thực sự phát huy hiệu quả khi đi cùng với ý thức của mỗi người. Bảo vệ dữ liệu cá nhân không phải là câu chuyện chỉ dành cho các cơ quan quản lý hay những doanh nghiệp cung cấp nền tảng số. Mỗi cá nhân cũng cần chủ động bảo vệ dữ liệu của chính mình, tôn trọng và bảo vệ dữ liệu của người khác, cung cấp thông tin đầy đủ, chính xác theo quy định của pháp luật hoặc theo thỏa thuận hợp pháp, đồng thời chấp hành và tham gia phòng, chống các hành vi xâm phạm dữ liệu cá nhân.

Từ đó, bảo vệ dữ liệu cá nhân cần được nhìn nhận không chỉ là một yêu cầu pháp lý, mà còn là một nét văn hóa cần được hình thành trong xã hội số.

Khi mỗi cơ quan coi bảo vệ dữ liệu là một phần của trách nhiệm quản lý; mỗi doanh nghiệp coi an toàn dữ liệu là một yếu tố tạo dựng niềm tin; mỗi người dân hiểu rằng một cú nhấp chuột, một lần cung cấp thông tin hay một thao tác chia sẻ dữ liệu đều có thể tạo ra những hệ quả nhất định, thì văn hóa bảo vệ dữ liệu cá nhân mới thực sự được hình thành.

Sự ra đời và ngày càng hoàn thiện của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 vì vậy không chỉ tạo dựng một hành lang pháp lý cho hoạt động bảo vệ dữ liệu, mà còn mở ra định hướng xây dựng một hệ sinh thái số an toàn, lành mạnh và bền vững. Trong hệ sinh thái đó, công nghệ được phát triển trên nền tảng lấy con người làm trung tâm; dữ liệu được khai thác để phục vụ phát triển nhưng không đánh đổi bằng quyền và lợi ích hợp pháp của con người.

Bảo vệ dữ liệu cá nhân là bảo vệ quyền con người, quyền công dân; là bảo vệ niềm tin trong môi trường số và cũng là bảo vệ nền tảng cho sự phát triển bền vững của Chính phủ số, kinh tế số và xã hội số tại Việt Nam.