Checklist Bảo vệ Dữ liệu Cá nhân 2026.

Danh sách nghĩa vụ cốt lõi cho doanh nghiệp xử lý dữ liệu khách hàng (qua Zalo, CRM, web…) theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP — hiệu lực 01/01/2026, thay Nghị định 13/2023.

1. 01

   Xin sự đồng ý hợp lệ trước khi thu thập

   Đồng ý phải rõ ràng, cụ thể, tự nguyện và thể hiện ở định dạng in/sao được (văn bản hoặc điện tử xác minh được).

2. 02

   Nêu rõ và giới hạn mục đích xử lý

   Thông báo mục đích cụ thể; chỉ dùng dữ liệu đúng mục đích đã thông báo cho chủ thể.

3. 03

   Tối thiểu hoá dữ liệu thu thập

   Chỉ thu thập dữ liệu thực sự cần thiết cho mục đích, không thu thừa.

4. 04

   Bảo đảm 5 quyền của chủ thể dữ liệu

   Quyền: được biết, đồng ý, truy cập, chỉnh sửa, và yêu cầu xóa dữ liệu của mình.

5. 05

   Ký thỏa thuận khi chuyển dữ liệu cho bên thứ ba

   Trước khi chuyển, lập thỏa thuận nêu rõ mục đích, thời hạn xử lý và căn cứ pháp lý.

6. 06

   Tuyệt đối KHÔNG mua–bán dữ liệu cá nhân

   Luật cấm mua bán dữ liệu cá nhân, trừ trường hợp được pháp luật cho phép.

7. 07

   Áp dụng biện pháp bảo mật dữ liệu

   Biện pháp kỹ thuật + tổ chức: mã hoá, phân quyền truy cập, nhật ký, kiểm soát rủi ro.

8. 08

   Bố trí bộ phận/nhân sự BVDLCN (DPO)

   Bắt buộc trừ doanh nghiệp nhỏ & startup được miễn 5 năm (tới 01/01/2031).

9. 09

   Thông báo khi xảy ra vi phạm dữ liệu

   Có quy trình phát hiện và thông báo sự cố cho cơ quan có thẩm quyền theo quy định.

10. 10

    Lưu ý: áp dụng cả khi ở nước ngoài, không có ngưỡng

    Mọi tổ chức xử lý dữ liệu người Việt đều thuộc phạm vi — không giới hạn quy mô/doanh thu.

⚖️ Bản tóm tắt tham khảo, KHÔNG thay thế tư vấn pháp lý. Vui lòng đọc văn bản gốc (Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP) hoặc tham vấn luật sư trước khi áp dụng.