Quy định mới về quản lý, sử dụng và bảo vệ dữ liệu cá nhân
Ngay khi Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực, Chính phủ đã ban hành Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành luật, nhằm kịp thời cụ thể hóa các quy định trong thực tiễn, với hiệu lực áp dụng từ ngày 01/01/2026.
Nghị định số 356/2025/NĐ-CP đã bổ sung nhiều quy định mới về quản lý, sử dụng và bảo vệ dữ liệu cá nhân, đặc biệt trong các lĩnh vực công nghệ hiện đại, nhằm kịp thời điều chỉnh trước sự phát triển mạnh mẽ của trí tuệ nhân tạo và chuyển đổi số. Cụ thể:
Về bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn (Big Data) phải tuân thủ các quy định về bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu ngay từ thời điểm bắt đầu xử lý; Chỉ thu thập, xử lý và lưu trữ dữ liệu cá nhân đúng phạm vi, phù hợp với mục đích cụ thể, rõ ràng; Xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định pháp luật; Tổ chức đào tạo, phổ biến và nâng cao nhận thức về bảo mật dữ liệu cá nhân và các biện pháp bảo vệ dữ liệu cá nhân cho nhân viên định kỳ, đặc biệt là nhân sự trực tiếp xử lý dữ liệu cá nhân. Tăng cường nhận thức về tầm quan trọng của bảo vệ dữ liệu cá nhân trong tổ chức; có thỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ đảm bảo tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân; Có cơ chế thông báo và giải thích phù hợp cho chủ thể dữ liệu về việc dữ liệu cá nhân của họ được sử dụng trong hệ thống phân tích dữ liệu lớn.
Đối với bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo (AI), vũ trụ ảo (Metaverse): Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân tự động, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu; đưa ra các lựa chọn để chủ thể dữ liệu có quyền không tham gia.
Về bảo vệ dữ liệu cá nhân trong công nghệ chuỗi khối (Blockchain): quy định không lưu trữ trực tiếp dữ liệu cá nhân trên chuỗi khối; chỉ lưu trữ khi dữ liệu cá nhân đã được khử nhận dạng hoặc lưu trữ giá trị băm (hash) của dữ liệu cá nhân.
Về bảo vệ dữ liệu cá nhân trong điện toán đám mây: Nghị định quy định rõ trách nhiệm giữa bên thuê và bên cung cấp dịch vụ trong việc bảo mật. Đối với dữ liệu lớn (Big Data), chỉ thu thập, xử lý và lưu trữ dữ liệu cá nhân đúng phạm vi, phù hợp với mục đích cụ thể, rõ ràng. Đồng thời đưa ra các biện pháp xác thực mạnh, mã hóa và giám sát liên tục. Dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và truyền, kèm theo phân quyền truy cập nghiêm ngặt.
Trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng, bảo vệ dữ liệu cá nhân phải được bảo vệ nghiêm ngặt. Tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng có trách nhiệm áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân được ban hành và áp dụng tại Việt Nam; thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần; ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân. Khi xin sự đồng ý của chủ thể dữ liệu, bên kiểm soát và xử lý dữ liệu cá nhân phải nêu rõ: Mục đích xử lý dữ liệu cá nhân; Nguồn thu thập dữ liệu cá nhân và các bên liên quan đến việc thu thập, chia sẻ dữ liệu; Thời gian lưu trữ dữ liệu cá nhân... Trong thời hạn không quá 72 giờ sau khi phát hiện lộ, mất dữ liệu nhạy cảm của chủ thể dữ liệu cá nhân thì tổ chức, cá nhân trực tiếp thu thập dữ liệu cá nhân có trách nhiệm thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân.
Trong phạm vi quản lý, Bộ Tài chính có trách nhiệm thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân theo quy định của pháp luật; Xây dựng và triển khai các nội dung, nhiệm vụ bảo vệ dữ liệu cá nhân tại Nghị định số 356/2025/NĐ-CP; Bổ sung các quy định bảo vệ dữ liệu cá nhân trong xây dựng, triển khai các nhiệm vụ của Bộ; Bố trí nhân sự và bộ phận bảo vệ dữ liệu cá nhân tại các đơn vị thuộc phạm vi quản lý; bảo đảm đáp ứng năng lực, phù hợp với vị trí việc làm và yêu cầu chuyên môn về bảo vệ dữ liệu cá nhân theo quy định của pháp luật; Bố trí kinh phí phục vụ hoạt động bảo vệ dữ liệu cá nhân theo phân cấp quản lý ngân sách hiện hành; Tổ chức tuyên truyền, phổ biến pháp luật, bồi dưỡng chuyên môn, kỹ năng cho cán bộ, công chức, viên chức và các đơn vị thuộc phạm vi quản lý về bảo vệ dữ liệu cá nhân; Phối hợp với Bộ Công an trong công tác thanh tra, kiểm tra, giám sát, xử lý vi phạm quy định về bảo vệ dữ liệu cá nhân thuộc phạm vi quản lý; Phối hợp với Bộ Công an, Bộ Khoa học và Công nghệ trong việc xây dựng hướng dẫn và triển khai áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân cho các đơn vị, tổ chức, cá nhân thuộc phạm vi quản lý.
Tô Thị Huệ
