Hỏi – đáp theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: quyền của chủ thể dữ liệu, sự đồng ý, hồ sơ đánh giá tác động, chuyển dữ liệu xuyên biên giới, nhân sự bảo vệ dữ liệu và chế tài.
Khoản 2 Điều 29 cấm thẳng việc yêu cầu hình ảnh, video chứa giấy tờ tùy thân làm yếu tố xác thực tài khoản — với dịch vụ mạng xã hội và truyền thông trực tuyến.
Đây là một trong ít nghĩa vụ kỹ thuật được quy định bằng câu khẳng định dứt khoát, nên cũng là chỗ dễ bị kết luận vi phạm nhất khi kiểm tra.
Điều 5 đặt ra ba nguyên tắc xử lý xung đột, cộng một quy định miễn trùng lặp rất có giá trị với doanh nghiệp thuộc phạm vi Luật Dữ liệu.
Ba nghĩa vụ quay lại cùng lúc. Với doanh nghiệp đã phát triển sau 5 năm, khối lượng công việc lớn hơn nhiều so với thời điểm mới thành lập.
Khác nhau ở hai chữ: "được quyền lựa chọn trong 05 năm" so với "không phải thực hiện". Một bên có thời hạn, một bên thì không.
Năm nguồn được liệt kê. Với doanh nghiệp, câu trả lời rất thẳng: tự bố trí — không có cơ chế hỗ trợ ngân sách cho khu vực tư.
Bảy nhóm trách nhiệm, trong đó có nghĩa vụ bố trí nhân sự bảo vệ dữ liệu cá nhân tại các đơn vị thuộc phạm vi quản lý và tuyên truyền cho doanh nghiệp trên địa bàn.
Chín nhóm trách nhiệm. Với doanh nghiệp, hai nhóm đáng theo dõi nhất là việc xây dựng quy chuẩn kỹ thuật và vận hành Cổng thông tin quốc gia.
Tối thiểu 5 năm kể từ ngày khắc phục xong sự cố, với dữ liệu vị trí và sinh trắc học. Mốc tính không phải từ ngày xảy ra sự cố.
Ba thành phần hồ sơ và báo cáo theo Mẫu số 09. Điểm khác biệt so với hồ sơ xử lý dữ liệu là yêu cầu về phương án bảo đảm an toàn sau khi dữ liệu đã ra nước ngoài.
Mọi cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu xuyên biên giới theo khoản 1 Điều 20 — phạm vi rộng hơn nhiều so với cách hiểu thông thường.
Ba hoạt động dễ nhầm — cung cấp, công khai, chuyển giao — được quy định ở ba điều liền nhau với điều kiện khác nhau.
