Hỏi – đáp theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: quyền của chủ thể dữ liệu, sự đồng ý, hồ sơ đánh giá tác động, chuyển dữ liệu xuyên biên giới, nhân sự bảo vệ dữ liệu và chế tài.
Phải cung cấp, nhưng Điều 15 nêu một ngoại lệ đáng chú ý — và Nghị định đặt mốc thực hiện trong 10 ngày.
Luật để doanh nghiệp tự quyết định cho phù hợp với hoạt động của mình, nhưng Nghị định lại đặt ra yêu cầu mã hóa bắt buộc trong một số môi trường cụ thể.
Hình ảnh của cá nhân là dữ liệu cá nhân. Với trẻ em, việc đăng tải còn phải qua Điều 24 — và với trẻ từ đủ 07 tuổi thì cần cả sự đồng ý của chính các em.
Người đại diện theo pháp luật thay mặt thực hiện quyền. Nhưng với việc công bố đời sống riêng tư của trẻ từ đủ 07 tuổi, cần cả sự đồng ý của chính trẻ em.
Phải xin trước khi thu thập, không phải sau. Điều 11 dùng chính xác cụm từ "trước khi thu thập" — một chi tiết có ý nghĩa lớn với thiết kế biểu mẫu.
Sáu trường hợp được chuyển giao, và bảy nội dung bắt buộc phải có trong thỏa thuận chuyển giao. Có một câu rất quan trọng về ranh giới với hành vi mua bán dữ liệu.
Bốn trường hợp được công khai, kèm ba điều kiện về mục đích, phạm vi và loại dữ liệu — và một nghĩa vụ giám sát sau khi đã công khai.
Một câu ngắn trong Điều 2 có giá trị thực tiễn rất lớn: dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.
Ba khoản ngắn của Điều 13, cộng với mốc thời gian 10 ngày trong Nghị định. Có một nghĩa vụ dễ quên: phải yêu cầu cả bên xử lý và bên thứ ba cùng chỉnh sửa.
Khoản 2 Điều 14 nêu hai nhóm trường hợp không thực hiện yêu cầu xóa. Nhưng từ chối không đồng nghĩa với im lặng — vẫn phải thông báo lại.
Sáu trường hợp phải xóa, hủy. Điểm đáng chú ý: khi chủ thể dữ liệu yêu cầu, họ phải chấp nhận các rủi ro, thiệt hại có thể xảy ra với mình.
Sửa khoản 2 Điều 16, làm rõ khi dữ liệu cốt lõi hoặc dữ liệu quan trọng là dữ liệu cá nhân thì áp dụng pháp luật nào — tránh phải làm hai bộ hồ sơ.
