Khó khăn của doanh nghiệp trong việc tuân thủ Nghị định 356 về bảo vệ dữ liệu cá nhân

Khó khăn của doanh nghiệp trong việc tuân thủ nghị định 356 về bảo vệ dữ liệu cá nhân là một thách thức pháp lý lớn trong bối cảnh thắt chặt quản lý an ninh mạng hiện nay. Việc rà soát và đáp ứng các yêu cầu pháp lý mới đòi hỏi giải pháp chuyên sâu nhằm ngăn ngừa thiệt hại tài chính lên tới hàng tỷ đồng. Ứng dụng dịch vụ trọn gói từ Luật DPO là phương án an toàn nhất giúp hệ thống vượt qua mọi quy trình thanh tra khắt khe của cơ quan nhà nước.

Dữ liệu cá nhân theo định nghĩa của pháp luật hiện hành là gì?

Tóm tắt nhanh: Theo Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, được phân loại thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Quy định mới về bảo vệ dữ liệu cá nhân tác động trực tiếp đến nhiều hoạt động của doanh nghiệp. Từ khâu thu thập thông tin khách hàng, người lao động đến việc lưu trữ, sử dụng và chia sẻ dữ liệu, doanh nghiệp đều cần xác định rõ mục đích và căn cứ xử lý hợp pháp.

Một trong những vấn đề thường gặp là doanh nghiệp chưa phân biệt rõ dữ liệu cá nhân cơ bản (họ tên, số điện thoại, email) và dữ liệu cá nhân nhạy cảm (thông tin tài chính, sức khỏe, sinh trắc học, vị trí). Bên cạnh đó, việc xác định dữ liệu đang được lưu trữ ở đâu, bộ phận nào được quyền truy cập và dữ liệu được chuyển cho những bên nào cũng có thể gặp khó khăn.

Đây là một trong những nguyên nhân dẫn đến khó khăn của doanh nghiệp về tuân thủ Nghị định 356 về bảo vệ dữ liệu cá nhân trên thực tế. Doanh nghiệp cần rà soát lại quy trình xử lý dữ liệu để xác định những nội dung đã phù hợp và những vấn đề cần điều chỉnh ngay lập tức.

Những khó khăn doanh nghiệp thường gặp khi áp dụng quy định mới

Tóm tắt nhanh: Hạn chế về nhân sự chuyên môn (DPO), sự lạc hậu của hệ thống công nghệ và nguồn lực tài chính eo hẹp là ba rào cản lớn nhất khiến doanh nghiệp lúng túng khi triển khai các yêu cầu khắt khe về bảo vệ dữ liệu cá nhân theo khung pháp lý 2025-2026.

Hạn chế về nhân sự chuyên môn (DPO)

Không phải doanh nghiệp nào cũng có sẵn đội ngũ nhân sự am hiểu đồng thời về pháp luật và công nghệ thông tin. Trong khi đó, hoạt động bảo vệ dữ liệu cá nhân lại liên quan đến sự phối hợp chéo của nhiều bộ phận như pháp chế, công nghệ thông tin (IT), nhân sự, kinh doanh và ban quản trị. Việc thiếu vắng một Nhân sự bảo vệ dữ liệu cá nhân (DPO) đủ tiêu chuẩn theo Điều 13 Nghị định 356/2025/NĐ-CP là một rủi ro hiện hữu.

Rào cản về nâng cấp hệ thống công nghệ

Với những doanh nghiệp đang sử dụng hệ thống công nghệ cũ, việc bổ sung chức năng phân quyền, kiểm soát truy cập, mã hóa dữ liệu ở trạng thái nghỉ hoặc ghi nhận nhật ký xử lý dữ liệu (log file) đòi hỏi thời gian và chi phí khổng lồ. Doanh nghiệp cần cân nhắc khả năng tương thích giữa hệ thống hiện tại với các yêu cầu mới thay vì chỉ thay đổi chính sách trên giấy tờ.

Sai lầm trong việc xây dựng chính sách bảo mật

Một cách hiểu chưa chính xác thường gặp là chỉ cần xây dựng và công khai chính sách bảo mật trên website là có thể đáp ứng yêu cầu pháp luật. Trên thực tế, doanh nghiệp cần bảo đảm nội dung chính sách phản ánh đúng luồng dữ liệu (Data Mapping) đang được thu thập và xử lý.

💡 Luật DPO chia sẻ: Hiểu lầm thường gặp là việc chỉ cần soạn thảo một bản chính sách bảo mật đăng lên trang web là đủ. Doanh nghiệp nên kiểm tra cả các công cụ, phần mềm và dịch vụ bên thứ ba (Third-party) đang được sử dụng để xác định dữ liệu có được truyền cho bên khác hoặc chuyển ra nước ngoài hay không. Đây là nội dung dễ bị bỏ sót nếu doanh nghiệp chỉ rà soát hồ sơ, văn bản mà không kiểm tra quy trình vận hành thực tế.

Doanh nghiệp cần lưu ý gì khi chuyển từ Nghị định 13 sang quy định mới?

Tóm tắt nhanh: Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu sự đồng ý của chủ thể dữ liệu phải có khả năng kiểm chứng được và bãi bỏ hoàn toàn các phương thức thiết lập mặc định đồng ý sẵn (opt-out mặc định).

Các hệ thống được xây dựng theo Nghị định 13/2023/NĐ-CP cũ nay cần được điều chỉnh toàn diện để phù hợp với quy định mới của Luật Bảo vệ dữ liệu cá nhân 2025. Những thay đổi này không chỉ liên quan đến tài liệu pháp lý mà còn tác động trực tiếp đến giao diện website (UI/UX), ứng dụng, biểu mẫu thu thập thông tin và quy trình nội bộ.

Một số nội dung doanh nghiệp cần rà soát khẩn cấp gồm:

Doanh nghiệp không nên chỉ thay đổi biểu mẫu mà cần kiểm tra cả quy trình thực tế phía sau. Chẳng hạn, nếu website vẫn sử dụng cơ chế đồng ý được thiết lập sẵn hoặc hệ thống không ghi nhận được thời điểm và nội dung đồng ý, việc sửa lại chính sách nhưng giữ nguyên cách vận hành có thể khiến doanh nghiệp đối mặt với án phạt nặng.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

TƯ VẤN DOANH NGHIỆP & QUẢN TRỊ RỦI RO

Đồng hành cùng doanh nghiệp trong việc thiết lập quy trình nội bộ, rà soát hợp đồng thương mại, hợp đồng xử lý dữ liệu với bên thứ ba và đảm bảo tuân thủ pháp luật toàn diện.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

Không thực hiện đúng nghĩa vụ bảo vệ dữ liệu cá nhân có thể dẫn đến hậu quả gì?

Tóm tắt nhanh: Tùy vào hành vi và mức độ vi phạm, doanh nghiệp có thể phải chịu các hình thức xử lý nghiêm khắc theo Nghị định 330/2026/NĐ-CP, với mức phạt tiền lên tới 5% tổng doanh thu hoặc 3 tỷ VNĐ, kèm theo các hình phạt bổ sung mang tính triệt tiêu hoạt động kinh doanh.

Chế tài xử phạt hiện nay được thiết kế để mang tính răn đe mạnh mẽ nhằm thanh lọc môi trường số. Cảnh báo rủi ro thực tế cho thấy nhiều đơn vị đã bị đình chỉ hoạt động kinh doanh do cố tình phớt lờ yêu cầu từ Cục An ninh mạng (A05). Chi phí tuân thủ ban đầu luôn thấp hơn rất nhiều so với mức phạt hàng tỷ đồng.

Các hình thức xử lý vi phạm mà cơ quan chức năng có thể áp dụng bao gồm:

• Phạt tiền từ 20.000.000 VNĐ đến 100.000.000 VNĐ đối với các lỗi hành chính về hồ sơ DPIA.
• Tịch thu toàn bộ hệ thống máy chủ, tang vật và thiết bị vi phạm.
• Tước quyền sử dụng giấy phép kinh doanh, đình chỉ hoạt động xử lý dữ liệu từ 01 tháng đến 24 tháng.
• Buộc nộp lại toàn bộ số lợi bất hợp pháp có được từ hành vi vi phạm.
• Bắt buộc tiêu hủy vĩnh viễn kho thông tin khách hàng đã thu thập trái phép tới mức không thể khôi phục.

Doanh nghiệp phải thông báo sự cố rò rỉ dữ liệu trong thời hạn bao lâu?

Tóm tắt nhanh: Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Điều 54 Nghị định 330/2026/NĐ-CP, Bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách (Cục A05) chậm nhất là 72 giờ kể từ khi phát hiện sự cố rò rỉ dữ liệu.

Khi phát hiện sự cố, doanh nghiệp cần nhanh chóng xác định phạm vi dữ liệu bị ảnh hưởng, nguyên nhân, mức độ rủi ro và các biện pháp xử lý đã thực hiện. Việc xây dựng trước quy trình ứng phó sự cố (Incident Response Plan) sẽ giúp doanh nghiệp chủ động hơn khi phát sinh vấn đề.

Hồ sơ, biểu mẫu (Mẫu số 03) và phương thức thông báo cần được thực hiện theo quy định pháp luật áp dụng tại thời điểm xảy ra sự cố. Doanh nghiệp cũng nên lưu lại tài liệu liên quan đến quá trình xử lý để phục vụ việc giải trình khi cần thiết. Việc chậm trễ thông báo quá 72 giờ có thể dẫn đến mức phạt từ 40.000.000 VNĐ đến 60.000.000 VNĐ.

Các bước lập báo cáo đánh giá rủi ro hệ thống gồm những giai đoạn nào?

Tóm tắt nhanh: Căn cứ Điều 19 Nghị định 356/2025/NĐ-CP, quy trình lập báo cáo bao gồm việc rà soát luồng thông tin, đánh giá mức độ rủi ro, đề xuất biện pháp bảo mật và hoàn thiện Mẫu số 10 để nộp cho cơ quan chức năng trong vòng 60 ngày.

Hồ sơ đánh giá tác động là một trong những nội dung doanh nghiệp cần xem xét đầu tiên khi tổ chức hoạt động xử lý dữ liệu cá nhân. Doanh nghiệp trước hết cần xác định mình đang thực hiện vai trò nào (Bên kiểm soát, Bên xử lý, hay cả hai) và loại dữ liệu nào đang được xử lý.

Doanh nghiệp có thể tìm hiểu thêm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là gì để xác định các nội dung cần chuẩn bị. Để xây dựng hồ sơ phù hợp, doanh nghiệp có thể thực hiện theo các bước cơ bản sau:

1. Khảo sát hiện trạng: Xác định rõ vai trò của tổ chức là bên kiểm soát hay bên xử lý thông tin.
2. Phân loại thông tin: Lập danh mục chi tiết các loại thông tin cơ bản và nhạy cảm đang lưu trữ.
3. Mô hình hóa dữ liệu (Data Mapping): Vẽ sơ đồ luồng di chuyển thông tin từ điểm thu thập đến điểm tiêu hủy.
4. Đánh giá tác động: Phân tích các nguy cơ tấn công mạng, rủi ro rò rỉ thông tin nội bộ và đề xuất biện pháp giảm thiểu.
5. Hoàn thiện và nộp hồ sơ: Điền đầy đủ thông tin vào Mẫu số 10 và gửi về Cục An ninh mạng (A05) trong 60 ngày kể từ ngày bắt đầu xử lý.

Doanh nghiệp có thể tham khảo thêm quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân như thế nào để rà soát từng bước trong quá trình thực hiện.

Doanh nghiệp cũng cần lưu ý thời hạn và thủ tục nộp hồ sơ theo quy định áp dụng đối với từng trường hợp. Nếu không lập hoặc nộp hồ sơ đúng quy định, doanh nghiệp có thể phát sinh trách nhiệm pháp lý nặng nề. Có thể tham khảo thêm không lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bị xử phạt như thế nào để hiểu rõ hơn về rủi ro này.

Khi chuyển dữ liệu cá nhân ra nước ngoài, doanh nghiệp cần làm gì?

Tóm tắt nhanh: Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Điều 18 Nghị định 356/2025/NĐ-CP, tổ chức phải lập báo cáo theo Mẫu số 09 và gửi 01 bản chính cho cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên chuyển thông tin ra nước ngoài.

Việc sử dụng các nền tảng điện toán đám mây quốc tế (AWS, Google Cloud, Microsoft Azure…) hoặc chuyển dữ liệu cho công ty mẹ ở nước ngoài đều được coi là hành vi chuyển thông tin xuyên biên giới. Chuyên viên pháp lý cần nắm vững Thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới để bảo vệ tổ chức. Cơ quan chức năng có quyền đình chỉ ngay lập tức các luồng truyền tải mờ ám không được khai báo, đồng thời phạt tiền lên tới 5% doanh thu theo Điều 56 Nghị định 330/2026/NĐ-CP.

Doanh nghiệp nên làm gì để đáp ứng các yêu cầu về bảo vệ dữ liệu cá nhân?

Tóm tắt nhanh: Doanh nghiệp nên kết hợp rà soát pháp lý, điều chỉnh quy trình nội bộ và nâng cấp các biện pháp kỹ thuật để bảo đảm việc xử lý dữ liệu phù hợp với hoạt động thực tế và tuân thủ Luật 2025.

Không phải doanh nghiệp nào cũng cần triển khai cùng một mô hình tuân thủ. Phương án phù hợp phụ thuộc vào quy mô doanh nghiệp, loại dữ liệu được xử lý, số lượng chủ thể dữ liệu, hệ thống công nghệ và việc có sử dụng nhà cung cấp dịch vụ bên ngoài hay không.

Một số công việc doanh nghiệp cần ưu tiên thực hiện ngay lập tức gồm:

• Rà soát danh mục dữ liệu cá nhân đang thu thập và xử lý.
• Xác định căn cứ và mục đích xử lý đối với từng nhóm dữ liệu.
• Kiểm tra quy trình thu thập và ghi nhận sự đồng ý (loại bỏ các tick-box mặc định).
• Rà soát quyền truy cập và các biện pháp bảo mật trên hệ thống (mã hóa, tường lửa).
• Kiểm tra hợp đồng với các bên thứ ba có tham gia xử lý dữ liệu.
• Xác định nghĩa vụ lập hồ sơ đánh giá tác động (Mẫu 10) và chuyển dữ liệu xuyên biên giới (Mẫu 09).
• Chỉ định và đào tạo nhân sự DPO về quy trình bảo vệ dữ liệu và xử lý sự cố.

Đối với doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, cần xem xét thêm các điều kiện và thủ tục pháp lý áp dụng. Có thể tham khảo kinh doanh dịch vụ xử lý dữ liệu cá nhân cần có giấy chứng nhận không để xác định yêu cầu cụ thể (Mẫu 04).

💡 Luật DPO chia sẻ: Doanh nghiệp nên bắt đầu từ việc rà soát hoạt động xử lý dữ liệu đang diễn ra trên thực tế, thay vì chỉ tập trung xây dựng thêm văn bản. Khi xác định được dữ liệu nào đang được thu thập, ai có quyền truy cập và dữ liệu được chia sẻ với những bên nào, doanh nghiệp sẽ dễ dàng xác định những nội dung cần điều chỉnh và ưu tiên nguồn lực phù hợp.

Câu hỏi thường gặp về tuân thủ quy định về bảo vệ dữ liệu cá nhân (FAQs)

Tổ chức siêu nhỏ có được miễn trừ làm báo cáo đánh giá rủi ro không?

Có. Theo khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp siêu nhỏ được miễn trừ thực hiện báo cáo đánh giá tác động trong 05 năm đầu. Ngoại trừ trường hợp trực tiếp kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100 nghìn khách hàng trở lên.

Báo cáo rủi ro hệ thống phải được cập nhật với tần suất như thế nào?

Hồ sơ phải được cập nhật định kỳ 06 tháng một lần. Trong trường hợp có sự thay đổi lớn về mục đích thu thập, cơ cấu tổ chức, hoặc thay đổi bên thứ ba xử lý dữ liệu, đơn vị phải tiến hành cập nhật ngay trong vòng 10 ngày làm việc.

Bao lâu thì cơ quan an ninh mạng sẽ trả kết quả thẩm định hồ sơ?

Cơ quan chuyên trách (Cục A05) sẽ đánh giá và trả kết quả đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 15 ngày kể từ khi nhận đủ bộ tài liệu hợp lệ từ phía doanh nghiệp. Nếu thiếu sót, sẽ có 30 ngày để hoàn thiện.

Bộ phận pháp chế nội bộ có thể tự thiết kế biểu mẫu báo cáo được không?

Không được phép. Tổ chức bắt buộc phải sử dụng đúng Mẫu số 10 đối với hệ thống trong nước và Mẫu số 09 đối với luồng truyền tải quốc tế được ban hành kèm theo Phụ lục của Nghị định 356/2025/NĐ-CP.

Sử dụng dịch vụ máy chủ ảo ở nước ngoài có phải báo cáo không?

Có. Hoạt động lưu trữ trên dịch vụ điện toán đám mây (Cloud) của nhà cung cấp nước ngoài được xem là hành vi truyền tải thông tin xuyên biên giới và bắt buộc phải nộp tài liệu đánh giá rủi ro (Mẫu số 09).

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc giải quyết các khó khăn của doanh nghiệp về tuân thủ nghị định 356 về bảo vệ dữ liệu cá nhân không chỉ là nghĩa vụ pháp lý mà còn là chiến lược bảo vệ tài sản số cốt lõi. Với phương châm “Đam mê và Danh dự”, cùng bề dày kinh nghiệm xử lý hàng loạt hồ sơ DPIA phức tạp, Luật DPO cam kết mang đến dịch vụ cá nhân hóa tối đa, giúp doanh nghiệp thiết lập hệ thống tuân thủ tinh gọn, an toàn và tiết kiệm nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để được đội ngũ Luật sư chuyên trách hỗ trợ kịp thời.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các văn bản pháp luật mới nhất (Luật 91/2025/QH15, NĐ 356/2025/NĐ-CP, NĐ 330/2026/NĐ-CP). Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.