Tóm tắt
Checklist Luật 91/2025 và Nghị định 356/2025 cho SaaS, ITO: data inventory, vai trò, nộp đánh giá tác động trong 60 ngày, nhà cung cấp và sự cố.
Checklist Luật Bảo vệ dữ liệu cá nhân này giúp công ty SaaS và ITO rà soát nghĩa vụ theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, có hiệu lực từ 01/01/2026: data inventory, vai trò, hồ sơ đánh giá tác động nộp trong 60 ngày, nhà cung cấp, sự cố và evidence vận hành.
Văn bản nào đang điều chỉnh dữ liệu cá nhân tại Việt Nam?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/06/2025 và có hiệu lực từ 01/01/2026, theo Cổng Thông tin điện tử Chính phủ. Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025, quy định chi tiết biểu mẫu, thủ tục và thời hạn. Hai văn bản này thay thế Nghị định 13/2023/NĐ-CP, văn bản hết hiệu lực cùng ngày. Tóm tắt nghĩa vụ chính có ở trang Luật Bảo vệ dữ liệu cá nhân. Checklist hỗ trợ rà soát vận hành, không thay thế ý kiến pháp lý cho một hoạt động xử lý cụ thể.
Checklist gồm những hạng mục nào?
| Hạng mục | Câu hỏi cần trả lời | Evidence nên giữ |
|---|---|---|
| Data inventory | Dữ liệu cá nhân nào được thu thập, tạo ra, nhận hoặc chia sẻ, nằm ở hệ thống nào? | Data inventory, sơ đồ luồng dữ liệu, system owner |
| Mục đích | Mỗi hoạt động xử lý phục vụ mục đích gì? | Hồ sơ hoạt động xử lý, thông báo cho chủ thể, phê duyệt |
| Vai trò | Công ty tự quyết định mục đích hay xử lý theo chỉ dẫn của khách hàng? | Hợp đồng, thỏa thuận xử lý dữ liệu, bảng phân công trách nhiệm |
| Đánh giá tác động | Hoạt động nào cần hồ sơ đánh giá tác động xử lý hoặc chuyển dữ liệu ra nước ngoài, đã nộp ngày nào? | Hồ sơ đã nộp, ngày nộp, lịch cập nhật 6 tháng |
| Nhân sự bảo vệ dữ liệu | Ai được chỉ định, có đáp ứng Điều 13 Nghị định 356 không, hay thuê đơn vị cung cấp dịch vụ đủ điều kiện? | Quyết định chỉ định, hồ sơ năng lực hoặc hợp đồng dịch vụ |
| Quyền của chủ thể | Yêu cầu được tiếp nhận, xác minh và trả lời ra sao? | Quy trình, sổ theo dõi yêu cầu, phản hồi |
| Nhà cung cấp và chuyển dữ liệu | Bên nào nhận dữ liệu, dữ liệu lưu ở đâu? | Danh sách vendor, hợp đồng, hồ sơ đánh giá chuyển dữ liệu |
| Sự cố | Ai phát hiện, đánh giá, thông báo, và có áp dụng thời hạn 72 giờ không? | Kế hoạch ứng phó, nhật ký sự cố, biên bản diễn tập |
Lập data inventory theo hệ thống và mục đích như thế nào?
Ghi loại dữ liệu, chủ thể dữ liệu, nguồn, hệ thống lưu trữ, người truy cập, nơi nhận, thời gian lưu và cách xóa, rồi gắn mỗi nhóm dữ liệu với một mục đích cụ thể thay vì một mục đích chung cho cả sản phẩm. Công ty SaaS nên tách dữ liệu tài khoản, telemetry, nội dung người dùng, dữ liệu support và marketing. Công ty ITO nên tách dữ liệu của chính mình (nhân viên, ứng viên, liên hệ bán hàng) khỏi dữ liệu xử lý theo chỉ dẫn của khách hàng, vì nghĩa vụ của hai nhóm này khác nhau.
Xác định vai trò và trách nhiệm trong hợp đồng ra sao?
Đối chiếu quy trình thực tế với hợp đồng, thỏa thuận xử lý dữ liệu và danh sách nhà cung cấp. Ghi rõ ai quyết định mục đích, phương tiện xử lý, thời gian lưu, việc xóa và phản ứng sự cố. Nếu một team ITO bắt đầu dùng dữ liệu khách hàng cho mục đích riêng, ví dụ huấn luyện model nội bộ, vai trò và nghĩa vụ có thể thay đổi; hãy đưa thay đổi đó qua bộ phận pháp lý trước khi triển khai.
Hồ sơ nào phải nộp và trong bao lâu theo Nghị định 356?
Nghị định 356 yêu cầu hai hồ sơ đánh giá tác động, nộp cho cơ quan chuyên trách thuộc Bộ Công an trong vòng 60 ngày: một hồ sơ khi bắt đầu xử lý dữ liệu (Điều 19) và một hồ sơ khi bắt đầu chuyển dữ liệu ra nước ngoài (Điều 18). Hồ sơ chuyển dữ liệu áp dụng khi công ty dùng cloud hoặc SaaS có máy chủ ngoài Việt Nam. Cả hai được cập nhật 6 tháng một lần kể từ lần nộp đầu và trong 10 ngày khi có thay đổi phải báo cáo (Điều 20).
Nhân sự bảo vệ dữ liệu phải có tối thiểu trình độ cao đẳng, 2 năm kinh nghiệm liên quan, đã qua đào tạo và được chỉ định bằng văn bản (Điều 13); doanh nghiệp cũng có thể thuê đơn vị cung cấp dịch vụ đủ điều kiện (Điều 15–16).
Vận hành yêu cầu của chủ thể dữ liệu thế nào?
Xác định kênh tiếp nhận, bước xác minh danh tính, người phụ trách, thời hạn nội bộ, nơi cần tra cứu và cách ghi lại quyết định. Tra cứu cả backup, log và dữ liệu ở nhà cung cấp, không chỉ database chính, và ghi lại ngoại lệ hợp pháp nếu áp dụng. Sổ theo dõi yêu cầu có ngày tháng và kết quả là evidence mà cơ quan quản lý hoặc khách hàng sẽ hỏi.
Quản lý nhà cung cấp và chuyển dữ liệu ra sao?
Danh sách vendor cần thể hiện dịch vụ, loại dữ liệu nhận, mục đích, nơi xử lý, điều khoản bảo vệ, subprocessor và người phụ trách review. Đổi nhà cung cấp hoặc đổi region lưu trữ có thể làm phát sinh hồ sơ chuyển dữ liệu mới hoặc phải cập nhật hồ sơ cũ, nên đưa các thay đổi này qua một bước review trước khi chuyển.
Sự cố dữ liệu cá nhân cần xử lý thế nào?
Kết nối quy trình ứng phó sự cố kỹ thuật với bước đánh giá privacy và pháp lý, ghi lại thời điểm phát hiện, phạm vi, loại dữ liệu, người bị ảnh hưởng, biện pháp ngăn chặn, quyết định thông báo và hành động khắc phục. Nghị định 356 đặt thời hạn thông báo 72 giờ với sự cố dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (Điều 8) và với dữ liệu vị trí, sinh trắc học (Điều 29). Nên diễn tập để team biết ai quyết định khi thông tin còn chưa đầy đủ.
Làm sao chứng minh biện pháp đang vận hành?
Policy chỉ là điểm bắt đầu. Evidence vận hành gồm access review, ticket xóa dữ liệu, vendor review, hồ sơ đào tạo, biên bản diễn tập sự cố, job xóa dữ liệu theo thời hạn lưu và phê duyệt thay đổi. Giao mỗi loại evidence cho một người phụ trách và đặt ngày review, để lần cập nhật hồ sơ 6 tháng chỉ là làm mới, không phải làm lại từ đầu.
pTrackly hỗ trợ được phần nào?
pTrackly không hỗ trợ Luật 91/2025 hay Nghị định 356 như một framework trong sản phẩm; checklist này mang tính tham khảo. Các team chạy GDPR hoặc ISO 27001 trên pTrackly đã có hồ sơ hoạt động xử lý (RoPA), DPIA có bước phê duyệt, nhật ký sự cố với đồng hồ thông báo cho GDPR và HIPAA, và danh sách vendor có trạng thái DPA, nên phần lớn việc inventory và quản lý nhà cung cấp ở trên đã có chỗ ghi. Việc lập biểu mẫu theo Nghị định 356, nộp hồ sơ và quyết định pháp lý vẫn thuộc về doanh nghiệp và luật sư. Xem thêm so sánh ISO 27001 và Luật Bảo vệ dữ liệu cá nhân, giải pháp cho SaaS và bài Nghị định 13 hết hiệu lực: SaaS cần làm gì.
Câu hỏi thường gặp
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Luật số 91/2025/QH15 được thông qua ngày 26/06/2025 và có hiệu lực từ 01/01/2026, cùng ngày với Nghị định 356/2025/NĐ-CP. Nghị định 13/2023/NĐ-CP hết hiệu lực cùng ngày đó.
Doanh nghiệp có bao lâu để nộp hồ sơ đánh giá tác động?
Theo Nghị định 356, hồ sơ đánh giá tác động xử lý (Điều 19) và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (Điều 18) phải nộp cho cơ quan chuyên trách thuộc Bộ Công an trong vòng 60 ngày kể từ khi bắt đầu xử lý hoặc chuyển dữ liệu, sau đó cập nhật 6 tháng một lần.
Dùng AWS hoặc Google Cloud có tính là chuyển dữ liệu ra nước ngoài không?
Nếu dữ liệu cá nhân được lưu hoặc xử lý trên máy chủ ngoài Việt Nam thì quy định về chuyển dữ liệu ra nước ngoài áp dụng, kể cả với nhà cung cấp cloud và SaaS. Hãy xác định region lưu trữ của từng nhà cung cấp trước khi kết luận.
Mức phạt tối đa theo Luật 91/2025 là bao nhiêu?
Điều 8 quy định mức phạt tối đa 10 lần khoản thu từ hành vi mua bán dữ liệu cá nhân trái phép, 5% doanh thu năm trước với vi phạm về chuyển dữ liệu ra nước ngoài, và 3 tỷ đồng với các vi phạm khác của tổ chức.
Đã tuân thủ GDPR thì có đủ cho Việt Nam không?
Không. Inventory, mục đích, quy trình xử lý yêu cầu và hợp đồng nhà cung cấp dùng lại được, nhưng Việt Nam có thêm thủ tục nộp hồ sơ cho Bộ Công an với biểu mẫu và thời hạn riêng mà GDPR không có. Xem GDPR cho doanh nghiệp Việt Nam xuất khẩu phần mềm và so sánh lịch sử Nghị định 13 và GDPR.
Nguồn tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Cổng Thông tin điện tử Chính phủ)
- Nghị định 356/2025/NĐ-CP (Cơ sở dữ liệu quốc gia về văn bản pháp luật, Bộ Tư pháp)
Doanh nghiệp nên đối chiếu văn bản đầy đủ và hướng dẫn có hiệu lực tại thời điểm triển khai.
