Hỏi – đáp theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: quyền của chủ thể dữ liệu, sự đồng ý, hồ sơ đánh giá tác động, chuyển dữ liệu xuyên biên giới, nhân sự bảo vệ dữ liệu và chế tài.
Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân là hành vi bị nghiêm cấm. Ba lớp trách nhiệm có thể áp dụng cùng lúc: hành chính, hình sự và bồi thường.
Gây khó khăn cho việc thực hiện quyền là vi phạm riêng theo khoản 4 Điều 4, ngoài việc không thực hiện yêu cầu theo Điều 10.
Ba lớp rủi ro chồng lên nhau: nghĩa vụ tại Điều 28, khả năng nguồn dữ liệu vi phạm điều cấm tại Điều 7, và chế tài tại Điều 8.
Nghĩa vụ có mốc rõ ràng: 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. Quá hạn là vi phạm, và chế tài theo Điều 8 với mức tối đa 03 tỷ đồng.
Nghĩa vụ nằm ở Điều 23 với mốc chậm nhất 72 giờ. Chế tài nằm ở Điều 8, với mức phạt tiền tối đa 03 tỷ đồng cho nhóm vi phạm này.
Ba điều kiện, cộng nghĩa vụ xây dựng hồ sơ năng lực để cung cấp cho khách hàng. Đây cũng là bộ tiêu chí doanh nghiệp nên dùng khi chọn đơn vị tư vấn.
Yêu cầu cao hơn nhân sự nội bộ: 03 năm kinh nghiệm thay vì 02, và phải được đào tạo chuyên sâu chứ không chỉ là đã được đào tạo.
Hai trường hợp, cả hai đều gắn với quốc phòng, an ninh quốc gia. Kèm theo là cơ chế kiểm tra định kỳ không quá 01 lần mỗi năm và kiểm tra đột xuất.
Nghị định liệt kê thêm năm nhóm hoạt động không phải thực hiện đánh giá tác động — trong đó có quản lý nhân sự xuyên biên giới và các thủ tục vận chuyển, thanh toán, thị thực.
Mười nhóm trách nhiệm cho bên kiểm soát, trong đó có một điểm nặng: chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý gây ra.
Thông báo trước 15 ngày với kiểm tra thường xuyên, nhưng kiểm tra đột xuất thì tiến hành ngay không cần báo trước. Ba nhóm nội dung kiểm tra được nêu rõ.
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân là đơn vị trực thuộc Bộ Công an — đây là đầu mối cho gần như mọi thủ tục trong lĩnh vực này.
