Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, tiêu chuẩn kỹ thuật bảo vệ dữ liệu cá nhân là gì?

20/07/2026
4 lượt xem
0 bình luận

Điều 34 phân biệt tiêu chuẩn và quy chuẩn kỹ thuật. Sự khác biệt này quyết định cái nào là tự nguyện áp dụng và cái nào là bắt buộc.

Nhiều điều trong Nghị định 356/2025/NĐ-CP nhắc tới việc áp dụng tiêu chuẩn, quy chuẩn. Điều 34 Luật 91/2025/QH15 là nơi định nghĩa hai khái niệm này.

Tiêu chuẩn về bảo vệ dữ liệu cá nhân

Khoản 1 Điều 34 quy định tiêu chuẩn về bảo vệ dữ liệu cá nhân gồm tiêu chuẩn đối với hệ thống thông tin, phần cứng, phần mềm, quản lý, vận hành, xử lý, bảo vệ dữ liệu cá nhân được công bố, thừa nhận áp dụng tại Việt Nam.

Quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân

Khoản 2 Điều 34 quy định quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân gồm quy chuẩn kỹ thuật đối với hệ thống thông tin, phần cứng, phần mềm, quản lý, vận hành, xử lý, bảo vệ dữ liệu cá nhân được xây dựng, ban hành và áp dụng tại Việt Nam.

Khác biệt giữa hai khái niệm

Điểm khác nằm ở cách hình thành: tiêu chuẩn là thứ được công bố, thừa nhận; quy chuẩn kỹ thuật là thứ được xây dựng, ban hành. Trong hệ thống pháp luật Việt Nam, đây là sự phân biệt quen thuộc giữa văn bản mang tính khuyến nghị áp dụng và văn bản mang tính bắt buộc.

Khoản 3 Điều 34 quy định việc ban hành tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân thực hiện theo quy định của pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật.

Nghĩa vụ áp dụng xuất hiện ở đâu

Nghị định 356/2025/NĐ-CP đặt nghĩa vụ áp dụng tiêu chuẩn, quy chuẩn ở nhiều nơi:

Điều 8 — tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng có trách nhiệm áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng, ẩn danh dữ liệu cá nhân được ban hành và áp dụng tại Việt Nam;
Điều 23 — tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân phải áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng;
Điều 25 — Đề án đề nghị cấp Giấy chứng nhận phải nêu việc áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân;
Điều 10 — hệ thống trí tuệ nhân tạo, vũ trụ ảo phải đáp ứng các tiêu chuẩn an ninh mạng, tiêu chuẩn bảo vệ dữ liệu toàn diện;
Điều 31 Luật — với dữ liệu sinh trắc học, điểm a khoản 4 yêu cầu tuân thủ quy định của pháp luật và tiêu chuẩn quốc tế có liên quan.

Trong báo cáo đánh giá tác động

Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu báo cáo đánh giá tác động nêu phương án bảo đảm an toàn dữ liệu cá nhân, các biện pháp bảo vệ, sơ đồ thiết kế hệ thống và tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng.

Nghĩa là doanh nghiệp cần trả lời được câu hỏi đang áp dụng tiêu chuẩn nào — và câu trả lời cần cụ thể hơn là "áp dụng các biện pháp phù hợp".

Nghiên cứu, phát triển giải pháp

Điều 32 Nghị định 356/2025/NĐ-CP quy định cơ quan, tổ chức, doanh nghiệp và cá nhân tham gia nghiên cứu, phát triển, ứng dụng các giải pháp bảo vệ dữ liệu cá nhân, trong đó có: xây dựng hệ thống phần mềm, trang thiết bị bảo vệ dữ liệu cá nhân; phương pháp thẩm định phần mềm, trang thiết bị đạt chuẩn; ghi nhận và quản lý sự tuân thủ; giải quyết nguy cơ lộ, mất dữ liệu; giải pháp cho chủ thể dữ liệu kiểm soát dữ liệu của mình theo cơ chế tiết lộ có chọn lọc; và tiêu chuẩn bảo vệ dữ liệu cá nhân.

Doanh nghiệp nên làm gì trong lúc chờ

Cách tiếp cận thực tế là lập một danh mục ngắn ghi rõ các biện pháp và chuẩn mực đang áp dụng cho từng nhóm dữ liệu, kèm ngày rà soát gần nhất. Danh mục này vừa phục vụ báo cáo đánh giá tác động, vừa là cơ sở để cập nhật khi có quy chuẩn kỹ thuật được ban hành.

Điểm c khoản 1 Điều 37 Luật 91/2025/QH15 cũng yêu cầu thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân và rà soát, cập nhật các biện pháp này khi cần thiết — nên việc duy trì danh mục có ngày rà soát chính là bằng chứng cho nghĩa vụ đó.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 34
Nghị định 356/2025/NĐ-CP Điều 8
Nghị định 356/2025/NĐ-CP Điều 32

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.