Luật Bảo vệ dữ liệu cá nhân 2025 đối với doanh nghiệp FDI: Trách nhiệm và yêu cầu tuân thủ

6/7/2026 | Tin tức an toàn thông tin

Khi Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực, nhiều doanh nghiệp có vốn đầu tư nước ngoài (FDI) tại Việt Nam phải trả lời một câu hỏi: Họ đang giữ vai trò gì trong chuỗi xử lý dữ liệu, và điều đó kéo theo trách nhiệm cụ thể ra sao? Câu trả lời quyết định trực tiếp doanh nghiệp phải làm gì, chuẩn bị hồ sơ nào, và chịu trách nhiệm đến đâu nếu xảy ra sự cố dù đó là một nhà máy quản lý dữ liệu hàng nghìn công nhân, hay một trung tâm dịch vụ xử lý dữ liệu khách hàng thay công ty mẹ ở nước ngoài.

Bài viết này được THD xây dựng để giúp lãnh đạo doanh nghiệp FDI: từ CIO, CISO đến bộ phận pháp chế và nhân sự có một bức tranh rõ ràng, dễ hành động, thay vì chỉ dừng lại ở việc trích dẫn điều luật.

1. Vì sao doanh nghiệp FDI là nhóm chịu tác động trực tiếp

Không phải ngẫu nhiên mà doanh nghiệp FDI thường là nhóm được các cơ quan quản lý và các đơn vị tư vấn pháp lý đặc biệt lưu tâm khi luật mới có hiệu lực. Có ba lý do khiến nhóm doanh nghiệp này chịu tác động sâu hơn mặt bằng chung:

• Quy mô dữ liệu lớn hơn đáng kể: So với doanh nghiệp trong nước cùng ngành. Một nhà máy FDI trong lĩnh vực sản xuất, gia công có thể quản lý dữ liệu của hàng nghìn đến hàng chục nghìn lao động, chưa kể dữ liệu đối tác, nhà cung cấp và khách hàng.
• Dữ liệu thường không dừng lại ở biên giới Việt Nam: Rất nhiều tập đoàn đa quốc gia vận hành mô hình quản trị tập trung, trong đó dữ liệu nhân sự, dữ liệu vận hành, thậm chí dữ liệu khách hàng được đồng bộ về hệ thống của công ty mẹ hoặc trung tâm dữ liệu khu vực khiến chuyển dữ liệu xuyên biên giới trở thành hoạt động tất yếu và cũng là nội dung được luật mới giám sát chặt chẽ nhất.
• Doanh nghiệp FDI thường phải tuân thủ đồng thời hai bộ quy định: Pháp luật về bảo vệ dữ liệu cá nhân của Việt Nam và các chính sách bảo vệ dữ liệu của tập đoàn mẹ, vốn thường được xây dựng theo các tiêu chuẩn quốc tế như GDPR. Doanh nghiệp cần đáp ứng đầy đủ cả hai để tránh những khoảng trống trong tuân thủ.

 2. Xác định đúng vai trò pháp lý – bước đầu tiên và quan trọng nhất

Theo Luật Bảo vệ dữ liệu cá nhân 2025 (Khoản 1 Điều 4), một tổ chức xử lý dữ liệu cá nhân có thể giữ một trong ba vai trò sau, mỗi vai trò gắn với một tập hợp nghĩa vụ khác nhau:

• Bên kiểm soát dữ liệu – tự quyết định mục đích và phương thức xử lý dữ liệu. Thường gặp ở doanh nghiệp FDI trong lĩnh vực bán lẻ, tài chính tiêu dùng, hoặc bất kỳ ngành nào trực tiếp thu thập dữ liệu khách hàng cho mục đích kinh doanh của mình. Đây là vai trò chịu trách nhiệm nặng nề nhất trước chủ thể dữ liệu.
• Bên xử lý dữ liệu – chỉ xử lý dữ liệu theo hợp đồng và chỉ định của bên kiểm soát, không tự quyết định mục đích. Phổ biến ở các trung tâm dịch vụ dùng chung, đơn vị gia công quy trình nghiệp vụ (BPO), hoặc nhà máy chỉ xử lý dữ liệu đơn hàng theo yêu cầu của công ty mẹ.
• Vừa kiểm soát, vừa xử lý – trường hợp phổ biến nhất với doanh nghiệp FDI có bộ phận nhân sự và hệ thống khách hàng riêng. Ví dụ: một nhà máy là bên kiểm soát với dữ liệu người lao động của chính mình, nhưng là bên xử lý với dữ liệu khách hàng do công ty mẹ giao xử lý theo hợp đồng gia công.

Sai lầm phổ biến nhất mà THD ghi nhận là doanh nghiệp không tách bạch vai trò theo từng luồng dữ liệu, dẫn đến áp dụng một quy trình tuân thủ chung cho tất cả, trong khi mỗi luồng dữ liệu lẽ ra cần một cách tiếp cận nghĩa vụ riêng.

3. Những nghĩa vụ pháp lý cốt lõi doanh nghiệp FDI phải thực hiện

Dù giữ vai trò nào trong quá trình xử lý dữ liệu, doanh nghiệp FDI vẫn phải thực hiện các nghĩa vụ cơ bản theo Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn liên quan, bao gồm:

• Thông báo và xin sự đồng ý trước khi xử lý dữ liệu: Doanh nghiệp phải thông báo rõ loại dữ liệu thu thập, mục đích xử lý và phạm vi chia sẻ dữ liệu. Lưu ý, sự im lặng của chủ thể dữ liệu không được xem là sự đồng ý.
• Bảo đảm quyền của chủ thể dữ liệu: Người lao động, khách hàng và đối tác có quyền được biết, chỉnh sửa, yêu cầu xóa dữ liệu và khiếu nại khi dữ liệu bị sử dụng sai mục đích. Doanh nghiệp cần xây dựng quy trình tiếp nhận và xử lý các yêu cầu này.
• Chỉ định bộ phận hoặc nhân sự phụ trách: Doanh nghiệp cần phân công đầu mối chịu trách nhiệm về bảo vệ dữ liệu cá nhân, tiếp nhận phản ánh và phối hợp với cơ quan chức năng khi cần thiết.
• Đánh giá tác động xử lý dữ liệu và chuyển dữ liệu xuyên biên giới: Với các hoạt động chuyển dữ liệu ra nước ngoài, doanh nghiệp phải lập hồ sơ đánh giá tác động theo quy định, bên cạnh hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Hợp tác với cơ quan chức năng: Doanh nghiệp có trách nhiệm cung cấp thông tin và phối hợp với cơ quan có thẩm quyền khi có yêu cầu kiểm tra hoặc xử lý vi phạm.

Bài toán bảo vệ dữ liệu cá nhân với các doanh nghiệp FDI

4. Rủi ro thực sự nếu doanh nghiệp không tuân thủ

Nhiều doanh nghiệp FDI có xu hướng nhìn nhận việc tuân thủ bảo vệ dữ liệu cá nhân như một nghĩa vụ hành chính đơn thuần, trong khi rủi ro thực tế có tính hệ thống hơn nhiều:

• Rủi ro pháp lý: Vi phạm quy định về xử lý dữ liệu cá nhân có thể dẫn đến xử phạt hành chính, thậm chí trách nhiệm bồi thường thiệt hại nếu hành vi vi phạm gây ảnh hưởng trực tiếp đến danh dự, sức khỏe hoặc tài chính của chủ thể dữ liệu. Chủ thể dữ liệu hoàn toàn có quyền khởi kiện ra tòa để yêu cầu bồi thường.
• Rủi ro vận hành thường bị đánh giá thấp hơn nhưng lại có tác động dài hạn hơn. Với các doanh nghiệp FDI nằm trong chuỗi cung ứng toàn cầu, việc không đáp ứng yêu cầu tuân thủ có thể là điểm nghẽn trong các đợt kiểm toán tuân thủ từ công ty mẹ hoặc đối tác quốc tế, vốn ngày càng được thực hiện định kỳ và nghiêm ngặt hơn.
• Rủi ro uy tín: một sự cố rò rỉ dữ liệu hoặc một khiếu nại từ người lao động bị xử lý chậm trễ có thể ảnh hưởng trực tiếp đến hình ảnh doanh nghiệp trong mắt người lao động, khách hàng và cơ quan quản lý địa phương – điều đặc biệt nhạy cảm với các doanh nghiệp FDI đang xây dựng quan hệ dài hạn tại thị trường Việt Nam.

5. Lưu ý đối với doanh nghiệp FDI

• Thực hiện đánh giá tác động xử lý dữ liệu cá nhân: Doanh nghiệp có trách nhiệm lập, lưu trữ, và gửi 01 bản chính hồ sơ đánh giá tác động cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày. Hồ sơ này cần được cập nhật định kỳ 06 tháng khi có sự thay đổi.
• Chuyển dữ liệu cá nhân ra nước ngoài: Doanh nghiệp có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày sau khi chuyển dữ liệu.

6. Lộ trình hành động thực tế cho doanh nghiệp FDI

Thay vì chờ đến khi có sự cố hoặc đợt thanh tra mới bắt đầu rà soát, doanh nghiệp FDI nên chủ động triển khai theo một lộ trình rõ ràng:

• Rà soát và phân loại dữ liệu đang xử lý: Xác định doanh nghiệp đang thu thập, lưu trữ những loại dữ liệu cá nhân nào, của những nhóm chủ thể nào: người lao động, khách hàng, đối tác, ứng viên.
• Xác định chính xác vai trò pháp lý theo từng luồng dữ liệu: Tránh áp dụng một vai trò duy nhất cho toàn bộ hoạt động xử lý dữ liệu, mà cần phân tách theo từng luồng cụ thể.
• Xây dựng chính sách, quy trình nội bộ và chỉ định người phụ trách: Chính sách cần cụ thể hóa các doanh nghiệp thu thập, lưu trữ, chia sẻ và xóa dữ liệu, đi kèm với việc chỉ định rõ cá nhân hoặc bộ phận chịu trách nhiệm.
• Thực hiện đánh giá tác động xử lý dữ liệu và rà soát các hoạt động chuyển dữ liệu ra nước ngoài: Đây là bước nhiều doanh nghiệp FDI dễ bỏ sót nhất do đánh giá thấp mức độ ràng buộc của hoạt động đồng bộ dữ liệu nội bộ tập đoàn.
• Đào tạo nhận thức và diễn tập ứng phó sự cố: Một chính sách tốt sẽ không có nhiều ý nghĩa nếu đội ngũ vận hành không hiểu và không biết cách phản ứng khi có sự cố xảy ra. Doanh nghiệp nên coi đây là hoạt động định kỳ, không phải một lần rồi thôi.

7. Kết luận

Luật Bảo vệ dữ liệu cá nhân 2025 đặt ra những yêu cầu mới đối với doanh nghiệp FDI trong việc quản lý và bảo vệ dữ liệu cá nhân. Chủ động rà soát, xác định đúng vai trò pháp lý và xây dựng lộ trình tuân thủ ngay từ sớm sẽ giúp doanh nghiệp giảm thiểu rủi ro, đảm bảo hoạt động ổn định và đáp ứng các yêu cầu của pháp luật.

THD sẵn sàng đồng hành cùng doanh nghiệp FDI trong việc đánh giá hiện trạng, xây dựng lộ trình tuân thủ và triển khai các giải pháp bảo vệ dữ liệu, giúp đáp ứng yêu cầu pháp lý và nâng cao năng lực quản trị rủi ro.