Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 01/01/2026. Luật An ninh mạng, Luật Thương mại điện tử và Luật Chuyển đổi số cùng có hiệu lực từ 01/7/2026. Có khách hàng và có nhân sự là đã thuộc phạm vi điều chỉnh — nghĩa vụ đã phát sinh, không phải chuyện chờ đến khi có thanh tra hay tranh chấp.
TRẢ LỜI NHANH
Toàn bộ nền pháp lý về công nghệ và dữ liệu tại Việt Nam vừa được viết lại trong bảy tháng. Luật Bảo vệ dữ liệu cá nhân hiệu lực 01/01/2026 cùng Nghị định 356/2025 hướng dẫn. Luật An ninh mạng 116/2025 hiệu lực 01/7/2026, thay thế cả Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Luật Thương mại điện tử 122/2025 và Luật Chuyển đổi số 148/2025 cùng hiệu lực 01/7/2026 — Luật Chuyển đổi số thay Luật Công nghệ thông tin 2006. Mọi tổ chức có thu thập và xử lý dữ liệu cá nhân đều thuộc phạm vi điều chỉnh, tức gần như mọi doanh nghiệp có khách hàng và có nhân sự. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn không thực hiện một số nghĩa vụ trong 05 năm, nhưng ngoại lệ áp dụng với đơn vị kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm, hoặc đạt quy mô từ 100 nghìn chủ thể dữ liệu trở lên.
Cập nhật tháng 7/2026
Khác với phần lớn nghĩa vụ pháp lý khác, nghĩa vụ này không chờ đến khi có tranh chấp hay thanh tra mới phát sinh. Nó đã tồn tại từ ngày 01/01/2026 với mọi tổ chức có thu thập và xử lý dữ liệu cá nhân — tức gần như mọi doanh nghiệp có khách hàng và có nhân sự.
Doanh nghiệp nhỏ và khởi nghiệp được giãn 05 năm — nhưng có ba ngoại lệ
Nghị định 356/2025 quy định doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân trong thời gian 05 năm kể từ ngày Luật có hiệu lực. Nhưng miễn trừ này không áp dụng với: doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân; doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm; và doanh nghiệp xử lý dữ liệu cá nhân kể từ thời điểm đạt quy mô từ 100 nghìn chủ thể dữ liệu trở lên tính trên tổng lượng tích lũy đã xử lý. Xác định mình có thuộc diện miễn trừ hay không là việc đầu tiên cần làm.
Dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm
Nghị định 356/2025 có hai danh mục riêng tại Điều 3 và Điều 4. Phân biệt hai loại này quyết định mức độ nghĩa vụ: dữ liệu nhạy cảm có yêu cầu bảo vệ cao hơn, và như nêu trên, đơn vị trực tiếp xử lý dữ liệu nhạy cảm không được hưởng miễn trừ 05 năm dù là doanh nghiệp nhỏ. Đây là điểm nhiều doanh nghiệp bỏ qua vì tưởng mình chỉ xử lý dữ liệu thông thường.
Nhân sự bảo vệ dữ liệu cá nhân phải đáp ứng điều kiện năng lực
Căn cứ Điều 13 Nghị định 356/2025/NĐ-CP. Trường hợp thành lập bộ phận thì mọi nhân sự trong bộ phận đều phải đáp ứng đủ các điều kiện trên.
Chuyển dữ liệu xuyên biên giới rộng hơn nhiều người nghĩ
Không chỉ là việc chủ động gửi dữ liệu ra nước ngoài. Lưu trữ trên máy chủ đặt ở nước ngoài, sử dụng phần mềm và dịch vụ đám mây quốc tế, chia sẻ dữ liệu với công ty mẹ hoặc công ty liên kết ở nước ngoài — đều có thể thuộc diện điều chỉnh. Nghị định 356/2025 quy định điều kiện, trình tự, thủ tục và thành phần hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới tại Điều 17 và Điều 18, tách riêng khỏi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại Điều 19. Rất nhiều doanh nghiệp đang chuyển dữ liệu xuyên biên giới mà không nhận ra.
Bốn lĩnh vực có quy định riêng
Cập nhật tháng 7/2026 — theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP
Luật Thương mại điện tử 122/2025 là lần đầu Việt Nam có luật riêng ở tầm luật cho lĩnh vực này. Điểm quan trọng nhất về mặt tuân thủ: luật phân loại nền tảng thành nhiều nhóm, và mỗi nhóm có một bộ trách nhiệm khác nhau — xác định sai nhóm thì tuân thủ sai toàn bộ.
| Loại chủ thể | Điều quy định trách nhiệm |
|---|---|
| Chủ quản nền tảng thương mại điện tử — nghĩa vụ chung | Điều 15 |
| Chủ quản nền tảng kinh doanh trực tiếp | Điều 16 |
| Chủ quản nền tảng trung gian | Điều 17 |
| Chủ quản mạng xã hội có hoạt động thương mại điện tử | Điều 18 |
| Chủ quản nền tảng tích hợp và nền tảng được tích hợp | Điều 19 và Điều 20 |
| Người bán trên nền tảng trung gian, mạng xã hội | Điều 21 |
| Tổ chức, cá nhân cung cấp dịch vụ tiếp thị liên kết | Điều 25 |
Căn cứ Luật Thương mại điện tử số 122/2025/QH15, hiệu lực từ 01/7/2026. Website và ứng dụng thương mại điện tử đã được xác nhận thông báo, đăng ký trước ngày Luật có hiệu lực được tiếp tục hoạt động theo nội dung đã đăng ký đến hết ngày 30/6/2027 — tức có khoảng chuyển tiếp một năm để hoàn tất việc chuyển đổi.
Livestream bán hàng: ba điều riêng, nghĩa vụ đặt lên cả hai phía
Đây là mảng có số người tham gia rất lớn tại Việt Nam nhưng phần lớn chưa biết mình đang có nghĩa vụ pháp lý cụ thể. Luật đặt trách nhiệm riêng cho chủ quản nền tảng tại Điều 22, cho người bán tại Điều 23, và cho người livestream bán hàng tại Điều 24 — kể cả khi người livestream không phải là người bán.
Người bán phải cung cấp giấy tờ trước khi livestream
Theo khoản 1 và khoản 2 Điều 23, trước khi thực hiện livestream bán hàng, người bán phải cung cấp đầy đủ cho người livestream: giấy tờ chứng minh đáp ứng điều kiện đầu tư kinh doanh đối với ngành nghề kinh doanh có điều kiện, và giấy tờ chứng minh đáp ứng chất lượng sản phẩm, hàng hóa. Với hàng hóa, dịch vụ phải có văn bản xác nhận nội dung quảng cáo trước khi quảng cáo thì người bán phải cung cấp văn bản xác nhận cho chủ quản nền tảng và người livestream, và nội dung bán hàng livestream phải phù hợp với nội dung quảng cáo được xác nhận.
Người livestream có nghĩa vụ độc lập — kể cả khi chỉ nhận làm thuê
Theo Điều 24, người livestream bán hàng phải cung cấp thông tin cho chủ quản nền tảng để xác thực danh tính; thực hiện theo quy chế hoạt động livestream đã công khai; từ chối hợp tác khi người bán không cung cấp đầy đủ giấy tờ theo khoản 1 và khoản 2 Điều 23; và không cung cấp thông tin gian dối hoặc gây nhầm lẫn về công dụng, xuất xứ, chất lượng, giá cả, chính sách khuyến mại, bảo hành. Nghĩa là nghĩa vụ không chuyển hết sang người bán — người nhận livestream thuê vẫn chịu trách nhiệm về nội dung mình nói.
Cả ba chủ thể còn có trách nhiệm dừng hợp tác, dừng phát trực tuyến và gỡ bỏ thông tin ngay khi phát hiện hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền về hành vi vi phạm pháp luật.
Chưa rõ doanh nghiệp mình thuộc phạm vi điều chỉnh nào và đang thiếu gì? Gửi thông tin hoặc gọi trực tiếp để nhận rà soát bằng văn bản — nghĩa vụ đang có, hồ sơ còn thiếu, và thứ tự ưu tiên xử lý. Miễn phí, trước khi quyết định.
Luật An ninh mạng 2025 thay thế cả hai luật cũ
Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/7/2026. Kể từ ngày đó, Luật An toàn thông tin mạng số 86/2015 đã sửa đổi bổ sung và Luật An ninh mạng số 24/2018 đều hết hiệu lực. Đây là điểm rất nhiều tài liệu hướng dẫn và quy chế nội bộ doanh nghiệp chưa cập nhật — quy chế an toàn thông tin xây dựng theo hai luật cũ cần được rà soát lại toàn bộ về căn cứ pháp lý.
Luật Chuyển đổi số thay Luật Công nghệ thông tin 2006
Luật Chuyển đổi số số 148/2025/QH15 có hiệu lực từ ngày 01/7/2026, thay thế Luật Công nghệ thông tin số 67/2006 đã qua nhiều lần sửa đổi. Với doanh nghiệp, điều này có nghĩa là các hợp đồng, quy chế và tài liệu tuân thủ viện dẫn Luật Công nghệ thông tin 2006 nay viện dẫn một văn bản đã hết hiệu lực, cần cập nhật căn cứ.
Việc cần làm trên thực tế
Với phần lớn doanh nghiệp, ba luật mới cùng có hiệu lực trong một ngày tạo ra một khối lượng rà soát đáng kể nhưng không phức tạp về mặt kỹ thuật: xác định mình thuộc phạm vi điều chỉnh nào, rà soát các quy chế nội bộ và hợp đồng đang viện dẫn văn bản đã hết hiệu lực, và bổ sung những hồ sơ mà luật mới yêu cầu. Vấn đề chủ yếu là biết mình đang thiếu gì — và đó là nội dung của buổi rà soát đầu tiên.
Chúng tôi nói thẳng: đây là mảng mà khung pháp lý tại Việt Nam chưa hoàn chỉnh. Nội dung dưới đây trình bày tình trạng pháp lý và các rủi ro cần cân nhắc — không phải hướng dẫn cách thực hiện, và chúng tôi không đưa ra nhận định về tính hợp pháp của bất kỳ mô hình kinh doanh cụ thể nào khi chưa xem hồ sơ.
Ba nhóm rủi ro cần cân nhắc trước khi tham gia
Rủi ro về địa vị pháp lý — khi một loại tài sản hoặc một mô hình chưa được pháp luật xác định rõ địa vị, thì quyền của người tham gia cũng chưa có cơ chế bảo vệ tương ứng, và việc giải quyết tranh chấp gặp khó khăn về căn cứ áp dụng. Rủi ro về hoạt động kinh doanh có điều kiện — một số hoạt động liên quan có thể chạm vào các ngành nghề đầu tư kinh doanh có điều kiện hoặc bị cấm, mà ranh giới không phải lúc nào cũng rõ từ mô tả sản phẩm. Rủi ro hình sự — một số mô hình huy động vốn hoặc kinh doanh có thể chạm ngưỡng các tội danh về chiếm đoạt tài sản hoặc kinh doanh trái phép tùy cách thức tổ chức thực tế.
Về hợp đồng thông minh: đoạn mã tự động không tự nó là hợp đồng có hiệu lực
Một hợp đồng thông minh triển khai đúng kỹ thuật vẫn cần đáp ứng các điều kiện có hiệu lực của giao dịch dân sự theo pháp luật Việt Nam để phát sinh quyền và nghĩa vụ được pháp luật bảo vệ. Việc thực thi tự động của mã nguồn không thay thế được các yếu tố như năng lực chủ thể, sự tự nguyện, mục đích và nội dung không vi phạm điều cấm. Trong thực tế, phần lớn tranh chấp phát sinh không nằm ở đoạn mã mà ở phần thỏa thuận ngoài mã — và phần đó vẫn chịu sự điều chỉnh của pháp luật thông thường. Xem thêm về hợp đồng điện tử và chữ ký số tại trang luật sư hợp đồng.
Điều chúng tôi làm được ở mảng này: rà soát mô hình hoạt động để chỉ ra các điểm chạm với quy định hiện hành, đánh giá rủi ro pháp lý theo từng nhóm nêu trên, và tư vấn cấu trúc hợp đồng cho phần quan hệ nằm ngoài mã nguồn. Điều chúng tôi không làm: khẳng định một mô hình cụ thể là hợp pháp khi pháp luật chưa có quy định rõ, và tư vấn cách thức nhằm né tránh quy định hiện hành.
Hai chứng nhận này gắn với các ưu đãi đáng kể về thuế và đất đai, nên giá trị thực tế cao hơn nhiều so với chi phí thực hiện thủ tục. Điều kiện và trình tự được quy định trong pháp luật về khoa học, công nghệ và đổi mới sáng tạo và pháp luật về công nghệ cao.
Thủ tục cấp chứng nhận và các giấy phép con khác
Việc chuẩn bị hồ sơ và thực hiện thủ tục cấp chứng nhận, cùng các giấy phép con khác theo ngành nghề, được xử lý tại trang luật sư doanh nghiệp. Tại trang này chúng tôi tập trung vào phần rà soát điều kiện và đánh giá khả năng đáp ứng tiêu chí trước khi nộp hồ sơ.
Vụ việc của bạn thuộc mảng khác?
Hợp đồng công nghệ, hợp đồng điện tử và chữ ký số tại trang luật sư hợp đồng; thủ tục cấp chứng nhận và giấy phép con tại trang luật sư doanh nghiệp; vụ việc đã có dấu hiệu hình sự tại trang luật sư hình sự; nhu cầu rà soát tuân thủ định kỳ qua gói thuê bao tại trang luật sư riêng.
Khác với các mảng tranh chấp, phần lớn công việc ở đây là tuân thủ — phạm vi xác định được trước, nên phí báo trọn gói và không có án phí.
Rà soát tuân thủ
Xác định doanh nghiệp thuộc phạm vi điều chỉnh nào, nghĩa vụ đang có, hồ sơ còn thiếu, và thứ tự ưu tiên xử lý. Phí báo trọn gói căn cứ vào quy mô doanh nghiệp, số lượng hệ thống và loại dữ liệu đang xử lý. Kết quả bàn giao là một văn bản có thể dùng làm kế hoạch triển khai.
Xây dựng hồ sơ và văn bản
Hồ sơ đánh giá tác động xử lý dữ liệu, hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, chính sách quyền riêng tư, cơ chế lấy sự đồng ý, quy chế nội bộ, quy chế livestream. Báo phí theo từng loại hồ sơ, có bảng liệt kê rõ trước khi bắt đầu.
Xử lý sự cố và làm việc với cơ quan nhà nước
Tính theo phạm vi tham gia và mức độ khẩn cấp. Với sự cố lộ lọt dữ liệu, thời hạn thông báo là yếu tố quyết định nên chúng tôi ưu tiên tiếp nhận nhanh nhóm việc này. Nếu vụ việc phát triển thành tranh chấp hoặc có dấu hiệu hình sự thì phần đó tính riêng theo vụ việc.
Mọi con số được chốt bằng văn bản trong hợp đồng dịch vụ pháp lý trước khi bắt đầu. Không phát sinh ngoài thỏa thuận.
Cập nhật tháng 7/2026
Tiếp nhận
Mô tả vụ việc qua biểu mẫu hoặc hotline
Đánh giá sơ bộ
Nhận văn bản đánh giá sơ bộ vụ việc miễn phí
Đề xuất dịch vụ
Báo phương án và phí dịch vụ minh bạch
Triển khai
Ký hợp đồng, luật sư phụ trách theo suốt vụ việc
Áp dụng bốn luật mới, không phải văn bản đã hết hiệu lực
Luật Bảo vệ dữ liệu cá nhân hiệu lực 01/01/2026; Luật An ninh mạng, Luật Thương mại điện tử và Luật Chuyển đổi số cùng hiệu lực 01/7/2026. Hai luật cũ về an toàn thông tin và an ninh mạng đã hết hiệu lực, Luật Công nghệ thông tin 2006 cũng vậy. Phần lớn tài liệu hướng dẫn đang lưu hành vẫn theo văn bản cũ.
Nền tảng kết hợp hệ thống thông tin và pháp luật
Rà soát tuân thủ về dữ liệu đòi hỏi hiểu cả hai phía: dữ liệu chảy qua hệ thống nào, lưu ở đâu, ai truy cập được — và quy định pháp luật yêu cầu gì. Luật sư điều hành có nền tảng về hệ thống thông tin bên cạnh chuyên môn pháp lý, nên trao đổi được trực tiếp với bộ phận kỹ thuật thay vì qua trung gian.
Bắt đầu bằng việc xác định bạn đang thiếu gì
Với mảng tuân thủ, vấn đề lớn nhất của doanh nghiệp không phải là không muốn làm mà là không biết mình đang thiếu gì và phải làm theo thứ tự nào. Buổi rà soát đầu tiên trả lời đúng câu đó, và kết quả là một văn bản dùng được làm kế hoạch triển khai.
Nói rõ khi khung pháp lý chưa hoàn chỉnh
Với mảng tài sản mã hóa và một số công nghệ mới, khung pháp lý tại Việt Nam chưa hoàn chỉnh. Chúng tôi nói thẳng điều đó và trình bày ở tầng rủi ro, thay vì đưa ra kết luận chắc chắn về những vấn đề mà pháp luật chưa quy định rõ.
Ai phụ trách vụ việc của bạn
Vụ việc do luật sư điều hành trực tiếp phụ trách và theo suốt, với sự tham gia của luật sư cộng sự khi tính chất vụ việc cần. Người tư vấn cho bạn ở buổi đầu cũng là người ngồi cùng bạn tại phiên tòa.
Không khẳng định tính hợp pháp khi pháp luật chưa quy định rõ
Với các mô hình kinh doanh mà pháp luật chưa có quy định cụ thể, chúng tôi trình bày tình trạng pháp lý và các rủi ro thay vì đưa ra kết luận chắc chắn. Một ý kiến khẳng định trong vùng chưa rõ ràng không bảo vệ được ai.
Không tư vấn cách né tránh quy định
Chúng tôi không tư vấn cấu trúc nhằm né tránh nghĩa vụ về dữ liệu cá nhân, nghĩa vụ của nền tảng thương mại điện tử, hay các quy định về an ninh mạng. Với mảng đang được siết chặt như hiện nay, các cấu trúc như vậy thường có tuổi thọ ngắn và để lại hậu quả nặng hơn chi phí tuân thủ ban đầu.
Nói rõ ranh giới với công việc kỹ thuật
Chúng tôi rà soát ở tầng pháp lý — hệ thống và quy trình của bạn có đáp ứng yêu cầu pháp luật hay không, và thiếu gì. Việc triển khai kỹ thuật, kiểm thử an ninh, cấu hình hệ thống thuộc chuyên môn kỹ thuật, chúng tôi không nhận thay.
Bảo mật là nghĩa vụ, không phải lời hứa xã giao
Giữ bí mật thông tin thân chủ là nghĩa vụ đạo đức và pháp lý của luật sư. Với mảng này, thông tin về hệ thống và dữ liệu đặc biệt nhạy cảm — chúng tôi thỏa thuận trước về kênh trao đổi và cách xử lý tài liệu, và bảo mật ngay cả khi bạn chưa sử dụng dịch vụ.
Gửi thông tin doanh nghiệp để nhận rà soát bằng văn bản — thuộc phạm vi điều chỉnh nào, có được miễn trừ hay không, hồ sơ còn thiếu và thứ tự ưu tiên xử lý. Miễn phí, và bảo mật kể cả khi bạn không sử dụng dịch vụ.
Mô tả vụ việc - Luật Quốc Ấn phản hồi bằng văn bản đánh giá sơ bộ trong 24 giờ làm việc, trước khi bạn quyết định sử dụng dịch vụ.
