Luật Dữ liệu số 60/2024/QH15 và Nghị định 165/2025/NĐ-CP có hiệu lực từ 01/07/2025. Hai việc áp cho mọi hệ thống của doanh nghiệp tư nhân từ ngày đó, cùng các việc khác trong bảng đối chiếu cuối bài: phân loại dữ liệu thành cốt lõi, quan trọng hoặc khác (Điều 13 khoản 2 Luật), và xóa hoặc hủy dữ liệu trong 72 giờ sau yêu cầu của chủ thể dữ liệu (Điều 13 khoản 1 Nghị định 165). Các việc nặng hơn, gồm nhật ký xử lý giữ ít nhất sáu tháng, diễn tập sự cố mỗi 06 tháng và hồ sơ đánh giá tác động khi dữ liệu ra nước ngoài, chỉ gắn với dữ liệu quan trọng và dữ liệu cốt lõi. Quyết định 20/2025/QĐ-TTg xác định hai nhóm này bằng số lượng, ví dụ dữ liệu công dân cơ bản của từ 100.000 người trở lên là dữ liệu quan trọng.
Ba văn bản cùng có hiệu lực từ 01/07/2025
Ba văn bản dưới đây đã đọc toàn văn trong ngày 02/11/2026, Luật từ bản PDF trong Công báo số 1523 + 1524, Nghị định và Quyết định từ bản PDF đăng trên vanban.chinhphu.vn:
| Văn bản | Ngày ban hành | Hiệu lực | Điều khoản ghi hiệu lực |
|---|---|---|---|
| Luật Dữ liệu 60/2024/QH15, 46 điều | 30/11/2024 | 01/07/2025 | Điều 45 |
| Nghị định 165/2025/NĐ-CP, 34 điều | 30/06/2025 | 01/07/2025 | Điều 33 |
| Quyết định 20/2025/QĐ-TTg (danh mục dữ liệu quan trọng, cốt lõi) | 01/07/2025 | 01/07/2025 | Điều 3 |
Điều 2 Luật áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam, cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và bên nước ngoài có liên quan đến hoạt động dữ liệu số tại Việt Nam. Doanh nghiệp tư nhân nằm trong phạm vi đó, nhưng nhiều nghĩa vụ chia riêng cho cơ quan nhà nước (Điều 13 khoản 1) và cho chủ sở hữu, chủ quản dữ liệu còn lại (Điều 13 khoản 2), nhóm của doanh nghiệp tư nhân. Ba vai trò trong Điều 3 quyết định ai chịu nghĩa vụ nào, nên hợp đồng phần mềm cần ghi rõ từng vai trò thuộc bên nào:
| Vai trò | Nghĩa trong Điều 3 Luật | Cách đọc với một hệ thống phần mềm (cách đọc của MONA) |
|---|---|---|
| Chủ thể dữ liệu (khoản 12) | Cơ quan, tổ chức, cá nhân được dữ liệu phản ánh | Khách hàng, học viên, nhân viên có hồ sơ trong hệ thống |
| Chủ sở hữu dữ liệu (khoản 14) | Bên có quyền quyết định việc xây dựng, bảo vệ, xử lý, sử dụng dữ liệu | Doanh nghiệp dùng phần mềm |
| Chủ quản dữ liệu (khoản 13) | Bên xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của chủ sở hữu | Bên vận hành hệ thống thay cho chủ sở hữu, có thể là phòng IT hoặc nhà cung cấp phần mềm |
Danh mục dữ liệu quan trọng và cốt lõi đang được sửa. Quyết định 1308/QĐ-TTg ngày 18/07/2026 (Chiến lược dữ liệu quốc gia 2026 đến 2030, đăng Công báo số 451) đặt nhiệm vụ sửa đổi Quyết định 20/2025, do Bộ Công an chủ trì, thời hạn 2026. Một lần tìm ngày 02/11/2026 chưa thấy quyết định sửa đổi nào đã ký, nên các con số dưới đây là con số của Quyết định 20 ở thời điểm đọc. Điều 2 Quyết định 20 giao Bộ Công an chủ trì rà soát và đề xuất sửa đổi, bổ sung danh mục.
Phân loại dữ liệu theo ngưỡng số lượng trong Quyết định 20
Điều 13 khoản 2 Luật buộc chủ sở hữu và chủ quản dữ liệu không phải cơ quan nhà nước phân loại dữ liệu thành cốt lõi, quan trọng và khác, đồng thời cho phép thêm tiêu chí riêng. Nghị định 165 Điều 3 và Điều 4 đặt tiêu chí theo mức tác động khi dữ liệu bị thu thập hoặc sử dụng trái phép, còn Quyết định 20 đổi tiêu chí đó thành danh sách cụ thể. Với dữ liệu về tổ chức và công dân, danh sách ghi bằng số lượng:
| Loại dữ liệu (đều ghi "chưa công khai") | Dữ liệu quan trọng (mục II.18) | Dữ liệu cốt lõi (mục I.26) |
|---|---|---|
| Dữ liệu công dân cơ bản | từ 100.000 công dân Việt Nam | từ 1.000.000 công dân Việt Nam |
| Dữ liệu công dân nhạy cảm | từ 10.000 công dân Việt Nam | từ 100.000 công dân Việt Nam |
| Tài khoản ngân hàng, lịch sử thanh toán, nghĩa vụ nợ | của từ 10.000 doanh nghiệp, tổ chức Việt Nam | của từ 100.000 doanh nghiệp, tổ chức Việt Nam |
Hai điểm trong văn bản làm kết luận cho từng doanh nghiệp chưa chắc chắn. Quyết định không định nghĩa "dữ liệu công dân cơ bản" và "nhạy cảm" trong phần đã đọc. Mục I.26 và II.18 cũng không có cụm "do cơ quan nhà nước thu thập, quản lý" như mục I.25 về y tế hay mục II.5 về giao thông vận tải, nên văn bản không tự giới hạn hai mục này cho cơ quan nhà nước. Đây là cách đọc văn bản, không phải ý kiến pháp lý: doanh nghiệp giữ hồ sơ của hàng trăm nghìn người cần hỏi luật sư hoặc Bộ Công an trước khi kết luận.
Phần mềm làm được phần đếm. Mẫu dưới là một dòng trong danh mục dữ liệu, do MONA thiết kế làm ví dụ, các số liệu và giá trị là giả định:
- dataset: customers_personal
records: 120000 # job đếm chạy hằng tuần
class_by_count: quan_trong # chỉ khi hồ sơ thuộc nhóm "cơ bản" của Quyết định 20 (cần xác nhận)
confirmed_by: <người chịu trách nhiệm>
retention: <thời hạn do chủ sở hữu quyết định> # Nghị định 165 Điều 5 khoản 1
last_reviewed: 2026-11-02Lỗi hay gặp là phân loại một lần lúc triển khai rồi để nguyên. Bộ dữ liệu nằm dưới ngưỡng 100.000 bản ghi lúc đó, tám tháng sau vượt ngưỡng, cột phân loại vẫn ghi "khác" và mọi nghĩa vụ phía sau không được bật. Cách kiểm là so cột records với ngưỡng mỗi lần job đếm chạy, rồi báo cho người chịu trách nhiệm khi bộ dữ liệu đến 90% ngưỡng.
Yêu cầu xóa của chủ thể dữ liệu có đồng hồ 72 giờ
Điều 26 khoản 1 Luật cho chủ thể dữ liệu quyền yêu cầu thu hồi, xóa hoặc hủy dữ liệu của mình, trừ khi pháp luật có quy định khác, và buộc chủ quản dữ liệu thiết lập quy trình thực hiện. Nghị định 165 Điều 13 khoản 1 đặt hạn: xóa hoặc hủy trong 72 giờ sau khi có yêu cầu, báo kết quả cho chủ sở hữu dữ liệu, và nếu không xóa hoặc hủy được thì chủ sở hữu, chủ quản phải ngừng xử lý, sử dụng dữ liệu đó.
Cùng điều đó định nghĩa ba thao tác khác nhau, và phần mềm cần có ba đường xử lý riêng:
| Thao tác | Nghĩa trong Điều 13 khoản 1a | Chỗ trong phần mềm (cách đọc của MONA) |
|---|---|---|
| Thu hồi | Yêu cầu chuyển giao lại dữ liệu và xóa, hủy dữ liệu đã cung cấp, hoặc yêu cầu ngừng xử lý nếu không xóa, hủy được | Gửi yêu cầu cho bên đã nhận dữ liệu qua API (giao diện lập trình ứng dụng) hoặc email, theo dõi trả lời |
| Xóa | Loại dữ liệu khỏi cấu trúc, môi trường đang lưu trữ | Xóa ở cơ sở dữ liệu chính, chỉ mục tìm kiếm, bộ nhớ đệm, tệp xuất |
| Hủy | Như xóa, cộng với việc loại khả năng phục hồi bằng ghi đè hoặc phá hủy vật lý | Ghi đè vùng lưu trữ hoặc phá hủy thiết bị; văn bản chỉ nêu hai cách này |
Hạn tính bằng giờ, văn bản không loại trừ cuối tuần. Đoạn mã dưới tính hạn cho hai yêu cầu giả định và chạy ngày 02/11/2026 bằng sqlite3 trong bộ nhớ:
subject_ref requested_at due_at weekday_of_due
KH-0412 2026-11-06 17:30:00 2026-11-09 17:30:00 Thứ hai
KH-0977 2026-11-02 09:00:00 2026-11-05 09:00:00 Thứ nămYêu cầu nhận chiều thứ Sáu 17:30 đến hạn lúc 17:30 thứ Hai, vậy hệ thống cần cảnh báo trước hạn theo giờ chứ không theo ngày làm việc. Cột hạn được tính bằng due_at = datetime(requested_at, '+72 hours').
Lỗi đáng kiểm nhất là xóa ở cơ sở dữ liệu chính nhưng bản ghi vẫn nằm trong chỉ mục tìm kiếm và bản sao lưu 30 ngày. Văn bản không nhắc bản sao lưu, nên cách xử lý là quyết định thiết kế: gắn cờ "ngừng xử lý" cho bản ghi trong bản sao lưu và xóa lại ngay khi khôi phục. Phần ngoại lệ "pháp luật có quy định khác" nằm ở các luật khác, văn bản đang đọc không liệt kê. Cách sao lưu và khôi phục được viết riêng ở bài sao lưu và khôi phục dữ liệu phần mềm doanh nghiệp.
Dữ liệu ra nước ngoài, kể cả khi chỉ gọi API đặt ngoài Việt Nam
Điều 23 khoản 1 Luật cho tự do chuyển dữ liệu từ nước ngoài về Việt Nam và xử lý dữ liệu nước ngoài tại Việt Nam. Khoản 2 nêu ba tình huống tính là chuyển, xử lý dữ liệu cốt lõi và dữ liệu quan trọng xuyên biên giới: chuyển dữ liệu đang lưu tại Việt Nam tới hệ thống lưu trữ ngoài lãnh thổ, chuyển dữ liệu cho tổ chức, cá nhân nước ngoài, và dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu. Tình huống thứ ba gồm cả việc gửi dữ liệu đến một API của dịch vụ AI (trí tuệ nhân tạo) đặt ở nước ngoài. Điều 7 khoản 3 thêm một điểm: yêu cầu của cơ quan thực thi pháp luật hoặc tư pháp nước ngoài đòi dữ liệu của tổ chức, cá nhân Việt Nam do cơ quan có thẩm quyền của Việt Nam xem xét, quyết định.
Điều 12 Nghị định 165 chia thủ tục theo loại dữ liệu:
- Dữ liệu cốt lõi (khoản 5): gửi hồ sơ đánh giá tác động cho Bộ Công an, đơn vị tiếp nhận trả kết quả trong 10 ngày kể từ ngày nhận hồ sơ đầy đủ và không quá 15 ngày nếu hồ sơ phức tạp, chủ quản chỉ quyết định chuyển sau khi có kết quả đạt.
- Dữ liệu quan trọng (khoản 6): lập hồ sơ đánh giá tác động trước khi chuyển, không cần cơ quan chấp thuận, và gửi 01 bản chính cho Bộ Công an hoặc Bộ Quốc phòng trước 15 ngày khi tiến hành xử lý.
- Cả hai loại (khoản 1 và khoản 8): đánh giá làm 01 lần cho suốt thời gian hoạt động của tổ chức, cập nhật khi đổi mục đích, phạm vi, loại dữ liệu hoặc chính sách của nước bên nhận.
- Ngoại lệ (khoản 11 và khoản 12): hợp đồng liên quan đến vận chuyển, chuyển tiền, thanh toán hoặc mở tài khoản ngân hàng, quản lý nhân sự xuyên biên giới, và trường hợp khẩn cấp bảo vệ tính mạng, sức khỏe, tài sản của cá nhân. Các trường hợp này không cần chấp thuận hoặc thông báo trước, nhưng vẫn gửi đánh giá sau 15 ngày kể từ ngày tiến hành.
- Cách đếm (khoản 10): lượng dữ liệu cốt lõi, quan trọng được xác định theo kết quả cộng dồn từ ngày 01/07/2025 đến thời điểm chuyển.
Khoản 10 buộc hệ thống phải đếm lượng dữ liệu gửi ra ngoài theo từng đích và theo từng loại. Đoạn dưới chạy ngày 02/11/2026 trên dữ liệu bịa để minh họa cách đếm, không phải số liệu của khách hàng nào:
destination country records_since_2025-07-01
api.llm-provider.example US 74200
mail.provider.example IE 30000
crm-sync.example SG 5000
total_all_destinations: 109200Văn bản chỉ nói lượng được tính cộng dồn, không nói bao nhiêu bản ghi thì thành dữ liệu quan trọng, nên con số tổng chỉ là sổ ghi. Ngưỡng áp dụng vẫn là ngưỡng của Quyết định 20, chẳng hạn 100.000 công dân cơ bản cho dữ liệu quan trọng. Dữ liệu cá nhân gửi ra nước ngoài còn chịu quy định riêng, đã viết ở bài Nghị định 356/2025 về dữ liệu cá nhân, và ví dụ về một nền tảng AI lưu dữ liệu tại Mỹ nằm ở bài OpenAI Agents API.
Nhật ký xử lý và các việc chỉ áp cho dữ liệu quan trọng, cốt lõi
Điều 17 Nghị định 165 liệt kê việc chủ quản dữ liệu quan trọng, cốt lõi phải làm trong suốt vòng đời dữ liệu. Việc có hạn cụ thể nhất là khoản 10: ghi nhật ký xử lý dữ liệu trong toàn bộ quá trình xử lý và giữ ít nhất sáu tháng.
Nghị định không quy định nhật ký gồm trường nào. Một dòng nhật ký đủ để tra ai đã làm gì với bộ dữ liệu nào, do MONA thiết kế làm ví dụ:
{
"ts": "2026-11-02T09:14:07+07:00",
"actor": "user:ketoan_03",
"action": "export",
"dataset": "customers_personal",
"record_count": 1850,
"purpose": "doi_soat_thang_10",
"source_ip": "203.0.113.25",
"result": "ok"
}Lỗi thường gặp là nhật ký nằm trong cùng cơ sở dữ liệu nghiệp vụ và bị job dọn dẹp xóa sau 30 ngày. Cách kiểm là chạy một truy vấn tìm dòng nhật ký cũ nhất (SELECT min(ts) FROM audit_log) và so với ngày hiện tại trừ sáu tháng. Nếu dòng cũ nhất mới hơn mốc đó, hệ thống đang giữ ít hơn mức Điều 17 khoản 10 yêu cầu.
Các việc còn lại của nhóm này có số điều riêng trong bảng đối chiếu. Báo cáo đánh giá rủi ro làm hằng năm theo mẫu (Điều 17 khoản 11) và diễn tập sự cố 06 tháng một lần (Điều 19 khoản 8). Hồ sơ xử lý dữ liệu quan trọng đã giao hoặc ủy thác lưu ít nhất 3 năm (Điều 16 khoản 3 điểm a), và Điều 18 khoản 1 đòi xác định người chịu trách nhiệm bảo vệ dữ liệu cùng bộ phận bảo vệ an toàn dữ liệu. Phân quyền theo nguyên tắc đặc quyền tối thiểu (Điều 17 khoản 4) đã có bài riêng về phân quyền người dùng trong phần mềm quản lý, còn cách ghi dấu vết sửa số liệu nằm ở bài về sổ kế toán chạy song song và nhật ký lưu vết.
Bảng đối chiếu: điều, việc hệ thống phải làm, chỗ trong phần mềm
Mỗi hàng của bảng chỉ ghi điều đã đọc trong văn bản gốc ngày 02/11/2026. Cột "Áp cho" ghi "mọi hệ thống" khi điều khoản không giới hạn theo loại dữ liệu, và "quan trọng, cốt lõi" khi điều khoản chỉ nói về hai nhóm đó. Cột "Chỗ trong phần mềm" là cách đọc của MONA, không phải nội dung văn bản. Các hàng của bảng:
| Điều | Áp cho | Việc hệ thống phải làm | Chỗ trong phần mềm | Đọc ngày |
|---|---|---|---|---|
| Luật Điều 13 khoản 2 | mọi hệ thống | Phân loại dữ liệu thành cốt lõi, quan trọng, khác; được thêm tiêu chí riêng | Danh mục dữ liệu, cột phân loại, job đếm bản ghi | 02/11/2026 |
| Nghị định 165 Điều 5 khoản 1 | mọi hệ thống | Chủ sở hữu quy định thời hạn lưu trữ cụ thể cho dữ liệu mình thu thập | Cấu hình thời hạn lưu theo loại dữ liệu, job xóa khi hết hạn | 02/11/2026 |
| Luật Điều 26 khoản 1 | mọi hệ thống | Chủ quản lập quy trình thu hồi, xóa, hủy theo yêu cầu của chủ thể dữ liệu | Hàng đợi yêu cầu xóa có người duyệt, trạng thái, lý do từ chối | 02/11/2026 |
| Nghị định 165 Điều 13 khoản 1 | mọi hệ thống | Xóa hoặc hủy trong 72 giờ, báo kết quả cho chủ sở hữu, không xóa được thì ngừng xử lý | Cột hạn xử lý theo giờ, cảnh báo trước hạn, cờ ngừng xử lý | 02/11/2026 |
| Nghị định 165 Điều 6 khoản 1 và 3 | mọi hệ thống | Truy cập (đọc, ghi, sửa, xóa, thực thi) trong phạm vi quyền được giao và cần thiết cho mục đích xác định | Phân quyền theo hành động, trường mục đích khi xuất dữ liệu | 02/11/2026 |
| Luật Điều 25 khoản 3 | chủ quản không phải cơ quan nhà nước | Tự đánh giá rủi ro, áp biện pháp bảo vệ, khắc phục kịp thời và thông báo cho chủ thể dữ liệu và bên liên quan | Quy trình sự cố có danh sách người nhận thông báo | 02/11/2026 |
| Nghị định 165 Điều 15 khoản 2 | mọi hệ thống | Danh sách biện pháp phòng ngừa nêu làm mẫu: sao lưu thường xuyên, phân quyền chặt theo loại dữ liệu, giám sát xâm nhập, kế hoạch xử lý sự cố. Đánh giá rủi ro hằng năm và diễn tập cũng nằm trong danh sách, còn nghĩa vụ cụ thể của hai việc ấy chỉ thấy ở các hàng quan trọng, cốt lõi | Job sao lưu, giám sát truy cập, lịch diễn tập | 02/11/2026 |
| Luật Điều 18 khoản 2; Nghị định 165 Điều 8 khoản 2 và 3 | mọi hệ thống | Cung cấp dữ liệu khi cơ quan có thẩm quyền yêu cầu trong bốn tình huống: khẩn cấp, đe dọa an ninh quốc gia, thảm họa, bạo loạn hoặc khủng bố; yêu cầu bằng văn bản hoặc hình thức khác có xác nhận, nêu loại dữ liệu, mức chi tiết, khối lượng; bàn giao lập biên bản | Chức năng xuất theo đúng phạm vi yêu cầu, hồ sơ yêu cầu và biên bản bàn giao | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 6 | chủ sở hữu dữ liệu | Phân tích, đánh giá tác động trước khi công khai dữ liệu | Bước duyệt trước khi bật API công khai hoặc xuất dữ liệu mở | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 8 | chủ quản dữ liệu | Khi tổ chức lại, giải thể, phá sản: làm rõ kế hoạch chuyển dữ liệu và thông báo bên bị ảnh hưởng | Xuất trọn bộ dữ liệu của một khách hàng, mẫu thông báo | 02/11/2026 |
| Luật Điều 40 khoản 2; Điều 42 khoản 2 và 3 | sản phẩm trung gian hoặc giao dịch dữ liệu | Dịch vụ trung gian dữ liệu phải đăng ký hoạt động theo pháp luật về đầu tư (trừ nội bộ tổ chức); sàn dữ liệu do đơn vị sự nghiệp công lập hoặc doanh nghiệp nhà nước được cấp phép làm; dữ liệu chưa được chủ thể đồng ý không được giao dịch trên sàn | Cờ đồng ý trên từng bản ghi nếu sản phẩm chia sẻ dữ liệu cho bên thứ ba | 02/11/2026 |
| Luật Điều 23 khoản 2; Nghị định 165 Điều 12 | quan trọng, cốt lõi | Đánh giá tác động theo mẫu khi chuyển dữ liệu ra nước ngoài, cho bên nước ngoài hoặc dùng nền tảng ngoài lãnh thổ; hạn 10 đến 15 ngày (cốt lõi) hoặc gửi trước 15 ngày (quan trọng) | Nhật ký dữ liệu gửi ra ngoài, bộ đếm cộng dồn từ 01/07/2025 | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 2 và 3 | quan trọng, cốt lõi | Quy trình thu thập có kiểm tra xác thực và truy xuất nguồn gốc; quy trình lưu trữ gồm sao lưu, phục hồi, nhật ký; sao lưu tự động; xóa, hủy khi hết hạn lưu | Trường nguồn bản ghi, job sao lưu tự động, bài kiểm phục hồi | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 4 | quan trọng, cốt lõi | Quy chế truy cập theo nguyên tắc đặc quyền tối thiểu, hệ thống kiểm soát truy cập với quản lý nhận dạng thống nhất | Đăng nhập một lần, vai trò tối thiểu, rà soát quyền định kỳ | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 7 | quan trọng, cốt lõi | Phương án xóa, hủy, ghi nhận và lưu giữ hoạt động xóa, hủy; có tài liệu chứng minh không thể khôi phục | Chứng từ xóa, kết quả ghi đè | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 10 | quan trọng, cốt lõi | Ghi nhật ký xử lý trong toàn bộ quá trình, giữ ít nhất sáu tháng | Kho nhật ký tách khỏi cơ sở dữ liệu nghiệp vụ, thời hạn lưu từ sáu tháng | 02/11/2026 |
| Nghị định 165 Điều 17 khoản 11; Luật Điều 25 khoản 4 | quan trọng, cốt lõi | Đánh giá rủi ro hằng năm, lập và lưu báo cáo theo mẫu, luôn sẵn sàng cho kiểm tra; Luật thêm việc thông báo định kỳ cho đơn vị chuyên trách của Bộ Công an, Bộ Quốc phòng | Nơi lưu báo cáo, nhắc lịch hằng năm | 02/11/2026 |
| Nghị định 165 Điều 16 khoản 3; Điều 17 khoản 9 | quan trọng, cốt lõi | Giao hoặc ủy thác xử lý cho bên nhận không thuộc Điều 12: ký hợp đồng, giám sát, lưu hồ sơ xử lý dữ liệu quan trọng ít nhất 3 năm, mã hóa và ký số khi cung cấp, xác minh năng lực bảo vệ dữ liệu của bên nhận | Sổ bên xử lý dữ liệu, kênh truyền mã hóa và ký số | 02/11/2026 |
| Nghị định 165 Điều 18 khoản 1 và 5 | quan trọng, cốt lõi | Xác định người chịu trách nhiệm bảo vệ dữ liệu và bộ phận bảo vệ an toàn dữ liệu; kế hoạch đào tạo hằng năm | Trường người chịu trách nhiệm trong cấu hình, sổ đào tạo | 02/11/2026 |
| Nghị định 165 Điều 19 khoản 4 điểm a | mọi chủ quản | Thông báo kịp thời cho chủ sở hữu về sự cố có thể gây tổn hại đến quyền và lợi ích hợp pháp của cá nhân, tổ chức, và đưa ra biện pháp giảm thiểu thiệt hại | Quy trình sự cố có mẫu thông báo cho chủ sở hữu | 02/11/2026 |
| Nghị định 165 Điều 19 khoản 4 điểm b và khoản 8 | quan trọng, cốt lõi | Báo cáo sự cố liên quan đến dữ liệu quan trọng, cốt lõi cho Bộ Công an hoặc Bộ Quốc phòng trong thời gian sớm nhất có thể; diễn tập khẩn cấp 06 tháng một lần, lưu hồ sơ | Quy trình báo cáo sự cố, lịch diễn tập, hồ sơ diễn tập | 02/11/2026 |
Điều chưa kiểm được và ranh giới của cách đọc này
Đây là bản đọc văn bản gốc, không phải ý kiến pháp lý. Các điểm sau chưa kết luận được từ văn bản đã đọc:
- Mức phạt và chế tài: chưa đọc văn bản xử phạt nào, nên bài không nêu mức phạt.
- Nghĩa của "dữ liệu công dân cơ bản" và "nhạy cảm" trong Quyết định 20: không có định nghĩa trong phần đã đọc.
- Quyết định sửa đổi Quyết định 20/2025: tìm ngày 02/11/2026 chưa thấy bản đã ký, chiến lược 1308/QĐ-TTg chỉ ghi nhiệm vụ.
- Bản sao lưu có thuộc phạm vi xóa 72 giờ không: văn bản im lặng.
- Mẫu số 02 (báo cáo đánh giá tác động chuyển dữ liệu) và các điều 20 đến 32 của Nghị định 165 về cơ quan nhà nước: chưa đọc kỹ cho bài này.
- Quan hệ điều khoản với Luật Bảo vệ dữ liệu cá nhân 91/2025: chưa đối chiếu từng điều.
- Nghị định 165 và Quyết định 20 là bản quét ảnh trên vanban.chinhphu.vn, đọc bằng nhận dạng ký tự; mọi con số trong bài đã đối chiếu lại với ảnh trang.
Hỏi đáp
Luật Dữ liệu có áp cho doanh nghiệp tư nhân không?
Có, theo Điều 2: luật áp dụng cho mọi cơ quan, tổ chức, cá nhân Việt Nam và bên nước ngoài có hoạt động dữ liệu số tại Việt Nam. Phần dành riêng cho cơ quan nhà nước nằm ở Điều 13 khoản 1, còn doanh nghiệp tư nhân thuộc khoản 2.
Công ty có 120.000 khách cá nhân có giữ dữ liệu quan trọng không?
Chưa kết luận được. Mục II.18 điểm a của Quyết định 20 ghi ngưỡng 100.000 công dân cho dữ liệu công dân cơ bản chưa công khai, nhưng quyết định không định nghĩa "cơ bản". Công ty nên xin ý kiến luật sư hoặc Bộ Công an về loại trường dữ liệu đang giữ. Mục II.18 điểm b ghi ngưỡng 10.000 công dân cho dữ liệu nhạy cảm, thấp hơn ngưỡng của dữ liệu cơ bản mười lần, nên trường nhạy cảm cần được tách riêng khỏi trường thường để đếm.
Đồng hồ 72 giờ bắt đầu từ lúc nào?
Từ lúc có yêu cầu của chủ thể dữ liệu (Điều 13 khoản 1 điểm b Nghị định 165). Hệ thống nên ghi thời điểm nhận yêu cầu vào bản ghi ngay khi nhận và tính hạn từ giá trị đó. Yêu cầu nhận 09:00 thứ Hai thì hạn là 09:00 thứ Năm. Khi không xóa được, hạn đó cũng là lúc phải ngừng xử lý dữ liệu.
Gọi API AI đặt ở nước ngoài có phải làm hồ sơ đánh giá tác động không?
Chỉ khi dữ liệu gửi đi là dữ liệu quan trọng hoặc cốt lõi. Điều 23 khoản 2 điểm c xếp việc dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu vào chuyển dữ liệu xuyên biên giới. Với dữ liệu khác, Điều 23 khoản 1 và 2 không đặt thủ tục tương tự, còn dữ liệu cá nhân có quy định riêng. Bộ đếm ở phần trên cho biết đã gửi bao nhiêu bản ghi tới từng đích kể từ 01/07/2025.
Luật Dữ liệu có thay Nghị định 356/2025 về dữ liệu cá nhân không?
Văn bản đã đọc không nói vậy. Điều 4 Luật Dữ liệu chỉ nêu cách áp dụng khi luật khác quy định về cùng nội dung, và bài chưa đối chiếu Luật Bảo vệ dữ liệu cá nhân 91/2025 từng điều. Hai văn bản có căn cứ pháp lý riêng, nên hệ thống xử lý dữ liệu cá nhân cần đọc cả hai. Điều 44 Luật Dữ liệu chỉ sửa đổi hai luật là Luật Phí và lệ phí và Luật Giao dịch điện tử. Luật An ninh mạng 2025 là văn bản thứ ba cùng chạm vào hệ thống, và có bài riêng cho doanh nghiệp làm website và phần mềm.
Doanh nghiệp đang rà soát hệ thống có thể mang bảng đối chiếu ở trên đến đội viết phần mềm theo yêu cầu của MONA và gọi hotline 1900 636 648 để cùng đối chiếu từng hàng với hệ thống đang chạy, bắt đầu từ bộ dữ liệu lớn nhất.
