QUY ĐỊNH VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Ngày 26 tháng 6 năm 2025, Quốc hội đã thông qua Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ ngày 01 tháng 01 năm 2026, có một số nội dung chính như sau:

1. Cấm hành vi mua bán dữ liệu cá nhân

Theo Điều 7 Luật bảo vệ dữ liệu cá nhân 2025 quy định thì có 07 hành vi bị nghiêm cấm liên quan đến dữ liệu cá nhân, cụ thể gồm:

1. Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Cản trở hoạt động bảo vệ dữ liệu cá nhân.

(2)    Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.

3. Xử lý dữ liệu cá nhân trái quy định của pháp luật.
4. Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật.
5. Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
6. Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

2. Cá nhân được quyền yêu cầu xóa, chỉnh sửa dữ liệu cá nhân

Theo khoản 1 Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân sẽ được xóa, hủy trong các trường hợp sau:

1. Cá nhân yêu cầu và chấp nhận các rủi ro có thể xảy ra;
2. Mục đích xử lý dữ liệu đã hoàn thành;
3. Hết thời hạn lưu trữ theo quy định của pháp luật;
4. Có quyết định từ cơ quan nhà nước có thẩm quyền;
5. Theo thỏa thuận giữa các bên;
6. Trường hợp khác theo quy định pháp luật.

Việc xóa dữ liệu phải bảo đảm an toàn và ngăn chặn việc khôi phục trái phép. Nếu không thể xóa vì lý do chính đáng, bên kiểm soát dữ liệu phải thông báo lại cho người yêu cầu.

Điều 13 Luật Bảo vệ dữ liệu cá nhân quy định cá nhân có thể tự chỉnh sửa một số loại dữ liệu cá nhân hoặc yêu cầu bên kiểm soát dữ liệu thực hiện chỉnh sửa;

Bên kiểm soát dữ liệu có trách nhiệm xử lý yêu cầu trong thời hạn luật định. Việc chỉnh sửa phải đảm bảo tính chính xác và nếu không thể thực hiện vì lý do hợp lý thì phải có thông báo chính thức.

3. Mức phạt lên tới 5% doanh thu với hành vi vi phạm bảo vệ dữ liệu cá nhân

Theo khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức vi phạm các quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị xử phạt vi phạm hành chính với mức phạt tối đa là 5% doanh thu của năm trước liền kề của tổ chức đó.

Nếu không có doanh thu năm trước hoặc mức phạt tính theo doanh thu thấp hơn mức cố định, thì áp dụng mức phạt tối đa khác được quy định tại khoản 5 Điều 8.

Ngoài vi phạm liên quan đến chuyển dữ liệu xuyên biên giới, Luật cũng quy định:

• Mua, bán dữ liệu cá nhân: Mức phạt tối đa là 10 lần khoản thu từ hành vi vi phạm (khoản 3 Điều 8);
• Các vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân: Có thể bị phạt tới 3 tỷ đồng (khoản 5 Điều 8);
• Cá nhân vi phạm: Mức phạt tối đa bằng một nửa mức áp dụng với tổ chức (khoản 6 Điều 8).

4. Nhà tuyển dụng chỉ thu thập dữ liệu ứng viên phục vụ mục đích tuyển dụng

Theo khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân, tổ chức, cá nhân tuyển dụng:

1. Chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật;
2. Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;
3. Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển;

5. Doanh nghiệp phải xóa dữ liệu cá nhân người lao động sau khi chấm dứt hợp đồng

Căn cứ khoản 2 Điều 25 Luật bảo vệ dữ liệu cá nhân 2025 quy định về trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân trong quản lý, sử dụng người lao động. Theo đó, doanh nghiệp sau khi chấm dứt hợp đồng phải có trách nhiệm:

1. Tuân thủ quy định của Luật này, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
2. Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
3. Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

Trên đây là nội dung cập nhật của chúng tôi có thể tham khảo.