Luật sư Nguyễn Thanh Hà: Doanh nghiệp không thể coi dữ liệu khách hàng là nguồn tài nguyên muốn sử dụng thế nào cũng được

Xung quanh những tác động của quy định mới đối với cộng đồng doanh nghiệp và quyền riêng tư của người dân, phóng viên Tạp chí Doanh nghiệp và Thương hiệu Nông thôn đã có cuộc trao đổi với Luật sư Nguyễn Thanh Hà, Chủ tịch SBLAW.

“Im lặng” không có nghĩa là đồng ý

PV: Thưa luật sư, vì sao Nghị định 330/2026/NĐ-CP được cộng đồng doanh nghiệp đặc biệt quan tâm?

Luật sư Nguyễn Thanh Hà: Điều đáng chú ý trước hết là chúng ta đã có một khung chế tài khá rõ đối với những hành vi vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân.

Trước đây, các quy định về bảo vệ dữ liệu cá nhân từng bước được hình thành, nhưng việc thiếu một cơ chế xử phạt hành chính đồng bộ, đặc thù phần nào gây khó khăn cho quá trình xử lý những hành vi vi phạm ngày càng tinh vi.

Nghị định 330/2026/NĐ-CP không chỉ quy định mức phạt tiền mà còn có các hình thức xử phạt bổ sung, biện pháp khắc phục hậu quả, nguyên tắc xác định mức phạt, thẩm quyền xử phạt và cách thức xử lý vi phạm trên môi trường điện tử.

Đối với doanh nghiệp, điều này có nghĩa bảo vệ dữ liệu cá nhân không còn là câu chuyện nên làm hay một yêu cầu mang tính khuyến nghị. Đây là vấn đề tuân thủ pháp luật gắn trực tiếp với hoạt động quản trị và rủi ro của doanh nghiệp.

PV: Một tình trạng khá phổ biến hiện nay là khi đăng ký ứng dụng hoặc dịch vụ, khách hàng được mặc định tích sẵn ô “đồng ý”. Có nơi còn yêu cầu phải đồng ý sử dụng thông tin vào nhiều mục đích khác nhau mới được tiếp tục sử dụng dịch vụ. Những cách làm này có còn được chấp nhận không, thưa luật sư?

Luật sư Nguyễn Thanh Hà: Đây chính là một trong những điểm doanh nghiệp cần đặc biệt lưu ý.

Theo quy định mới, việc xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý hợp lệ; bắt buộc khách hàng phải đồng ý cho xử lý dữ liệu vào những mục đích không liên quan; thiết lập giao diện mặc định đồng ý hoặc sử dụng cách diễn đạt lập lờ, dễ gây hiểu nhầm có thể bị phạt từ 30 đến 50 triệu đồng.

Đáng chú ý, nếu chủ thể dữ liệu đã yêu cầu ngừng mà tổ chức, cá nhân vẫn tiếp tục xử lý, hoặc tự suy diễn rằng người dùng im lặng, không phản hồi có nghĩa là đồng ý thì mức phạt có thể từ 50 đến 70 triệu đồng.

Ở đây cần hiểu một nguyên tắc rất rõ: sự im lặng không đồng nghĩa với sự đồng ý.

Doanh nghiệp cần minh bạch ngay từ đầu: thu thập thông tin gì, dùng cho mục đích nào và chủ thể dữ liệu có thực sự đồng ý hay không.

Mức phạt có thể không dừng ở vài chục triệu đồng

PV: Nhìn vào một số mức phạt vài chục triệu đồng, có doanh nghiệp có thể cho rằng rủi ro tài chính chưa quá lớn. Cách nhìn này có chính xác không?

Luật sư Nguyễn Thanh Hà: Nếu chỉ nhìn vào một vài mức phạt cố định thì sẽ chưa thấy hết rủi ro.

Đối với hành vi mua, bán dữ liệu cá nhân, mức phạt tối đa có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm.

Đối với hành vi chuyển dữ liệu cá nhân xuyên biên giới của tổ chức, mức phạt tối đa có thể lên tới 5% doanh thu của năm tài chính liền trước tại thị trường Việt Nam.

Còn đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tối đa đối với tổ chức có thể lên tới 3 tỷ đồng. Cá nhân thực hiện cùng hành vi thì mức phạt tối đa bằng một nửa mức áp dụng đối với tổ chức.

Điểm doanh nghiệp phải lưu tâm là khoản thu bất hợp pháp không nhất thiết chỉ là số tiền trực tiếp nhận được từ việc mua bán một tập dữ liệu. Tùy hành vi, khoản thu có thể được xác định trên cơ sở doanh thu thực tế từ hoạt động kinh doanh có sử dụng dữ liệu được thu thập, xử lý, sử dụng hoặc chuyển giao trái phép.

Vì thế, thiệt hại thực tế có thể lớn hơn rất nhiều so với một con số tiền phạt cố định.

Chưa xảy ra rò rỉ dữ liệu, doanh nghiệp vẫn có thể bị xử phạt

PV: Như vậy có phải chỉ khi để lộ, mua bán hoặc sử dụng trái phép dữ liệu khách hàng thì doanh nghiệp mới có nguy cơ bị xử phạt?

Luật sư Nguyễn Thanh Hà: Không. Đây là điểm mà doanh nghiệp rất dễ chủ quan.

Chế tài mới không chỉ hướng tới những vụ việc nghiêm trọng như mua bán hay làm lộ dữ liệu, mà còn bao phủ các nghĩa vụ về quản trị, hồ sơ và tổ chức bộ máy bảo vệ dữ liệu cá nhân.

Ví dụ, với Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, doanh nghiệp bắt đầu xử lý dữ liệu nhưng không lập hoặc không duy trì hồ sơ; không nộp đúng thời hạn; không hoàn thiện hoặc cập nhật khi có thay đổi có thể bị phạt từ 20 đến 30 triệu đồng.

Nếu cố tình làm giả số liệu, cung cấp thông tin sai lệch hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ theo yêu cầu của cơ quan có thẩm quyền, mức phạt có thể lên tới 50 đến 100 triệu đồng.

Trong một số trường hợp, doanh nghiệp còn có thể bị yêu cầu dừng hoạt động xử lý dữ liệu cho đến khi hoàn thành nghĩa vụ.

Điều đó cho thấy doanh nghiệp không nên đợi đến khi xảy ra sự cố mới nghĩ đến bảo vệ dữ liệu. Việc tuân thủ phải được chuẩn bị ngay trong quy trình vận hành.

PV: Vậy bộ phận bảo vệ dữ liệu trong doanh nghiệp có phải chỉ cần chỉ định một người phụ trách là đủ?

Luật sư Nguyễn Thanh Hà: Với những doanh nghiệp thuộc trường hợp pháp luật yêu cầu bố trí nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân thì không thể làm theo kiểu “có tên là được”.

Doanh nghiệp phải quan tâm đến thỏa thuận bảo mật, hoạt động đào tạo, năng lực và kinh nghiệm của nhân sự, cũng như văn bản chính thức quy định chức năng, nhiệm vụ của bộ phận bảo vệ dữ liệu.

Đối với doanh nghiệp đang sở hữu lượng dữ liệu lớn, bảo vệ dữ liệu cần được nhìn nhận như một chức năng tuân thủ thực chất, có quy trình và hồ sơ chứng minh rõ ràng.

Dùng dịch vụ đám mây nước ngoài cũng cần rà soát

PV: Hiện rất nhiều doanh nghiệp Việt Nam sử dụng email, phần mềm quản trị khách hàng, máy chủ hoặc dịch vụ điện toán đám mây của các nhà cung cấp nước ngoài. Đây có phải nhóm doanh nghiệp cần đặc biệt chú ý đến việc chuyển dữ liệu xuyên biên giới?

Luật sư Nguyễn Thanh Hà: Đúng vậy. Đây là vấn đề rất thực tế.

Nghị định đặt ra hệ thống nghĩa vụ liên quan đến hồ sơ đánh giá tác động, hợp đồng hoặc văn bản ràng buộc trách nhiệm giữa bên chuyển và bên nhận, sự đồng ý của chủ thể dữ liệu, biện pháp bảo mật, kiểm soát bên nhận cũng như nghĩa vụ phối hợp với cơ quan chuyên trách.

Vi phạm có thể bị phạt từ 30 đến 50 triệu đồng hoặc 50 đến 100 triệu đồng, tùy hành vi.

Đối với những trường hợp nghiêm trọng, mức phạt có thể tính theo tỷ lệ 1–5% doanh thu, tùy quy mô dữ liệu bị ảnh hưởng hoặc trường hợp vẫn tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng.

Do đó, doanh nghiệp sử dụng điện toán đám mây, hệ thống quản trị xuyên quốc gia hoặc nhà cung cấp dịch vụ nước ngoài cần rà soát rất kỹ đường đi của dữ liệu, chứ không nên mặc nhiên cho rằng thuê một nền tảng công nghệ thì toàn bộ trách nhiệm bảo vệ dữ liệu thuộc về nhà cung cấp.

Tuyển dụng, quảng cáo và AI cũng nằm trong “vùng” dữ liệu cá nhân

PV: Ngoài doanh nghiệp công nghệ, những doanh nghiệp hoạt động trong lĩnh vực truyền thống có cần quan tâm nhiều đến Nghị định này không?

Luật sư Nguyễn Thanh Hà: Chắc chắn là có, bởi dữ liệu cá nhân xuất hiện trong gần như mọi hoạt động doanh nghiệp.

Ngay trong tuyển dụng, doanh nghiệp đã thu thập họ tên, số điện thoại, địa chỉ, trình độ, kinh nghiệm và nhiều thông tin khác của ứng viên. Nếu yêu cầu những dữ liệu không phục vụ mục đích tuyển dụng, sử dụng dữ liệu ứng viên cho mục đích khác mà không có thỏa thuận hoặc tiếp tục lưu trữ khi không còn căn cứ phù hợp thì đều có thể phát sinh rủi ro.

Trong quản lý lao động cũng vậy. Việc sử dụng camera, phần mềm trên thiết bị của người lao động hay các công cụ theo dõi phải bảo đảm yêu cầu thông báo và quyền, lợi ích hợp pháp của người lao động.

Trong quảng cáo, doanh nghiệp cũng phải đặc biệt thận trọng với việc thu thập dữ liệu để phân phối quảng cáo, chia sẻ hồ sơ người dùng cho bên thứ ba hoặc sử dụng dữ liệu nhạy cảm và dữ liệu của trẻ em.

Ngay cả hoạt động xử lý dữ liệu bằng trí tuệ nhân tạo (AI) và các hệ thống ra quyết định tự động cũng đặt ra yêu cầu về minh bạch, quyền từ chối của chủ thể dữ liệu, phân loại rủi ro, xác thực định danh và phân quyền truy cập. 

Dữ liệu của trẻ em không thể được xử lý như dữ liệu thông thường

PV: Với dữ liệu cá nhân của trẻ em, doanh nghiệp cần lưu ý điều gì?

Luật sư Nguyễn Thanh Hà: Đây là nhóm dữ liệu được bảo vệ chặt chẽ.

Một số hành vi như không xác minh độ tuổi, xử lý dữ liệu của trẻ em khi chưa đáp ứng yêu cầu về sự đồng ý, không dừng xử lý khi người đại diện hợp pháp rút lại sự đồng ý hoặc không xóa, hủy dữ liệu trong trường hợp pháp luật yêu cầu đều có thể bị xử phạt.

Riêng hành vi không xóa, hủy dữ liệu cá nhân của trẻ em trong các trường hợp luật định có thể bị phạt từ 100 đến 200 triệu đồng và có thể kèm theo đình chỉ hoạt động xử lý dữ liệu trong một thời hạn nhất định.

Với những dữ liệu có mức độ rủi ro cao như sức khỏe, sinh trắc học hay vị trí, doanh nghiệp cũng phải chú trọng hơn đến kiểm soát truy cập, bảo mật và thông báo sự cố.

Trong một số trường hợp liên quan đến dữ liệu vị trí hoặc sinh trắc học, tổ chức có thể phải thông báo cho cơ quan chuyên trách và chủ thể dữ liệu bị ảnh hưởng trong vòng 72 giờ kể từ khi phát hiện sự cố.

Tiền phạt đôi khi chưa phải hậu quả lớn nhất

PV: Theo luật sư, điều gì trong Nghị định 330 mà doanh nghiệp cần đặc biệt lưu tâm ngoài các mức phạt?

Luật sư Nguyễn Thanh Hà: Tôi cho rằng doanh nghiệp không nên chỉ nhìn vào tiền phạt.

Trong nhiều trường hợp, cơ quan có thẩm quyền có thể áp dụng biện pháp khắc phục hậu quả như buộc hủy, xóa dữ liệu đến mức không thể khôi phục; buộc dừng hoạt động xử lý; yêu cầu bên thứ ba hủy dữ liệu đã tiếp nhận trái phép; buộc nộp lại khoản thu bất hợp pháp; cải chính hoặc xin lỗi công khai trong trường hợp luật định.

Với doanh nghiệp, hậu quả này đôi khi còn lớn hơn tiền phạt.

Hãy hình dung một doanh nghiệp đã xây dựng hoạt động kinh doanh dựa trên một lượng dữ liệu rất lớn nhưng sau đó phải xóa dữ liệu, thiết kế lại quy trình, sửa hợp đồng với đối tác hoặc tạm dừng một hoạt động xử lý. Chi phí phát sinh và ảnh hưởng đến uy tín có thể rất đáng kể.

Có thể nói cách tiếp cận hiện nay không đơn thuần là “phạt để răn đe” mà còn buộc chủ thể vi phạm phải trở lại trạng thái tuân thủ.

“Hãy rà soát dữ liệu trước khi cơ quan chức năng phải rà soát thay mình”

PV: Nếu phải đưa ra một khuyến nghị ngắn gọn cho doanh nghiệp ngay lúc này, luật sư sẽ nói gì?

Luật sư Nguyễn Thanh Hà: Việc đầu tiên là doanh nghiệp nên rà soát toàn bộ vòng đời của dữ liệu cá nhân mà mình đang nắm giữ.

Hãy trả lời một cách rõ ràng những câu hỏi: Dữ liệu lấy từ đâu? Thu thập dựa trên căn cứ nào? Dùng vào mục đích gì? Ai được truy cập? Có chia sẻ cho bên thứ ba không? Có chuyển ra nước ngoài không? Lưu bao lâu? Khi nào phải xóa?

Nếu doanh nghiệp không tự trả lời được những câu hỏi cơ bản đó thì hệ thống quản trị dữ liệu đang có khoảng trống.

Với những đơn vị nắm giữ lượng dữ liệu lớn, tôi cho rằng cần chuyển từ tâm lý “có vấn đề rồi mới xử lý” sang chủ động tuân thủ. Bởi dữ liệu khách hàng có thể là một tài sản rất có giá trị đối với doanh nghiệp, nhưng doanh nghiệp không thể coi đó là nguồn tài nguyên muốn khai thác thế nào cũng được.

PV: Còn đối với người dân, Nghị định mới mang lại thay đổi gì đáng chú ý?

Luật sư Nguyễn Thanh Hà: Điều quan trọng là mỗi người có cơ sở rõ ràng hơn để chủ động bảo vệ thông tin riêng tư của mình.

Người dân có quyền yêu cầu xem, chỉnh sửa dữ liệu; yêu cầu ngừng xử lý hoặc rút lại sự đồng ý. Khi những quyền này đi kèm một cơ chế xử lý vi phạm cụ thể, trách nhiệm của tổ chức thu thập và sử dụng dữ liệu cũng trở nên rõ ràng hơn.

Trong kỷ nguyên số, bảo vệ dữ liệu cá nhân không phải câu chuyện của riêng cơ quan quản lý hay doanh nghiệp công nghệ. Đó là trách nhiệm của mọi tổ chức có thu thập và xử lý thông tin của con người.

Và về lâu dài, doanh nghiệp làm tốt việc này không chỉ để tránh bị xử phạt. Quan trọng hơn, họ đang bảo vệ niềm tin của khách hàng – một tài sản rất khó xây dựng nhưng lại có thể mất đi chỉ sau một sự cố dữ liệu.

PV: Xin cảm ơn luật sư về cuộc trao đổi!