Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực từ ngày 01/01/2026, bổ sung hàng loạt quy định mới bảo vệ dữ liệu 2025 quan trọng đối với doanh nghiệp và tổ chức. Bài viết này tổng hợp 10 điểm mới đáng chú ý nhất – từ quyền của chủ thể dữ liệu, đến các hành vi bị cấm và mức xử phạt – nhằm giúp các CIO/CISO hiểu rõ thay đổi và chuẩn bị chiến lược tuân thủ. 689Cloud với chuyên môn về hạ tầng đám mây và bảo mật sẽ gợi ý giải pháp thực tiễn để doanh nghiệp của bạn duy trì an toàn dữ liệu và luôn phù hợp với luật mới.

Quy định mới về luật bảo vệ dữ liệu 2025: 10 điểm chính

• Quyền của chủ thể dữ liệu được mở rộng: Cá nhân có quyền biết, đồng ý hay rút lại đồng ý xử lý dữ liệu; xem, chỉnh sửa, xóa dữ liệu cá nhân; được thông báo khi có vi phạm thông tin. Đặc biệt, luật khẳng định “việc im lặng không được coi là đồng ý” và chủ thể có quyền đề nghị xóa hay khử nhận dạng dữ liệu khi không còn phù hợp.
• Chủ thể được khiếu nại và khởi kiện: Công dân có quyền tố cáo, khởi kiện khi quyền riêng tư bị xâm phạm. Nếu xảy ra rò rỉ dữ liệu, tổ chức phải thông báo kịp thời cho đối tượng bị ảnh hưởng và cơ quan quản lý theo quy định.
• Trách nhiệm đặc biệt với dữ liệu trẻ em: Quy định mới yêu cầu phải có sự đồng ý của người đại diện hợp pháp khi xử lý dữ liệu cá nhân của trẻ em, tương tự các tiêu chuẩn quốc tế. Doanh nghiệp nên rà soát quy trình thu thập thông tin để đảm bảo tuân thủ yêu cầu này.
• Xác thực đa yếu tố với dữ liệu lớn: Khi xử lý “big data” cá nhân, tổ chức phải áp dụng xác thực đa yếu tố (MFA) để tăng cường bảo mật thông tin nhạy cảm. Điều này kịp thời nâng cao an toàn hệ thống, tránh mất mát do đánh cắp tài khoản.
• Quy định riêng cho tuyển dụng: Tổ chức tuyển dụng phải xóa hoàn toàn dữ liệu của ứng viên nếu không tuyển dụng. Tương tự, doanh nghiệp bắt buộc xóa dữ liệu nhân viên khi chấm dứt hợp đồng làm việc (trừ trường hợp pháp luật khác quy định). Điều này đảm bảo dữ liệu cá nhân không bị lưu trữ quá thời hạn cần thiết.
• Các hành vi bị cấm nghiêm ngặt: Luật liệt kê 07 hành vi bị cấm liên quan đến dữ liệu cá nhân, trong đó cấm tuyệt đối mua bán, chiếm đoạt, làm lộ hay cố ý gây mất mát dữ liệu cá nhân. Tổ chức và cá nhân cũng không được xử lý dữ liệu cá nhân trái pháp luật hoặc với mục đích xâm hại an ninh quốc gia, trật tự xã hội.
• Hình phạt kinh tế mạnh tay: Các vi phạm bảo vệ dữ liệu có thể bị phạt rất nặng. Ví dụ, việc chuyển dữ liệu cá nhân ra nước ngoài trái phép có thể bị xử phạt lên đến 5% doanh thu năm liền kề. Đối với hành vi mua bán dữ liệu cá nhân, mức phạt tối đa là gấp 10 lần khoản thu bất hợp pháp từ hành vi vi phạm. Lãnh đạo CNTT cần lưu ý tính toán chi phí tuân thủ để tránh rủi ro này.
• Quy định với mạng xã hội và dịch vụ trực tuyến: Dịch vụ mạng xã hội không được yêu cầu người dùng cung cấp hình ảnh, video chứa thông tin giấy tờ tùy thân để xác thực tài khoản. Họ cũng phải minh bạch cách thu thập dữ liệu cá nhân (cookies), cung cấp cơ chế từ chối theo dõi, và cho phép người dùng chỉnh sửa hoặc xóa dữ liệu của mình. Việc này bảo vệ người dùng tránh bị lạm dụng thông tin nhạy cảm.
• Yêu cầu chặt chẽ với dữ liệu y tế và an ninh: Dữ liệu sức khỏe, tiền án hoặc tài khoản ngân hàng phải được xử lý đặc biệt nghiêm ngặt. Doanh nghiệp cung cấp dịch vụ liên quan cần đánh giá rủi ro và bảo vệ dữ liệu này bằng biện pháp công nghệ phù hợp. Ví dụ: phải mã hóa, kiểm soát truy cập chặt chẽ, và tuân thủ quy trình báo cáo ngay khi có dấu hiệu vi phạm. (Nguồn tham khảo: các quy định chi tiết của luật và nghị định hướng dẫn.)
• Trách nhiệm và đánh giá của doanh nghiệp: Luật khuyến khích doanh nghiệp thực hiện Đánh giá tác động bảo mật dữ liệu (DPIA) trước khi khởi động dự án xử lý dữ liệu lớn. Bên kiểm soát và xử lý dữ liệu phải xây dựng quy trình nội bộ rõ ràng về thu thập, lưu trữ và hủy dữ liệu. Các tổ chức phải chuẩn bị sẵn sàng phản ứng nhanh khi có yêu cầu của chủ thể dữ liệu hoặc cơ quan chức năng, đồng thời tuân thủ chính sách quản lý dữ liệu xuyên biên giới trong Nghị định 356/2025/NĐ-CP.

Những điểm mới này cho thấy Luật dữ liệu 2025 đang định hướng tăng quyền cho cá nhân và siết chặt trách nhiệm của tổ chức. Để tuân thủ, doanh nghiệp cần rà soát chính sách bảo mật và triển khai giải pháp công nghệ phù hợp.

 Ví dụ, 689Cloud cung cấp các giải pháp SecureDrive (chia sẻ tệp an toàn) và SecureMail (bảo mật tệp đính kèm email) giúp kiểm soát việc truy cập, mã hóa dữ liệu và theo dõi toàn diện ngay cả sau khi chia sẻ.

Hành động tiếp theo:

Đội ngũ chuyên gia 689Cloud khuyến nghị doanh nghiệp nên đánh giá tác động của Luật dữ liệu 2025 trong ngắn hạn và dài hạn. Hãy liên hệ 689Cloud để được tư vấn chi tiết về giải pháp hạ tầng đám mây bảo mật, giúp bạn hiện đại hóa IT, tối ưu chi phí và đảm bảo tuân thủ quy định mới. Với 689Cloud, doanh nghiệp có một đối tác tin cậy để triển khai hệ thống công nghệ và bảo mật dữ liệu tương lai.