Luật có hiệu lực từ 01/01/2026, phần kỹ thuật phải sẵn sàng trước đó

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được ban hành ngày 26 tháng 6 năm 2025, có hiệu lực từ ngày 01 tháng 01 năm 2026; và Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều của Luật, cũng có hiệu lực từ ngày 01 tháng 01 năm 2026. Đây là hai văn bản mà doanh nghiệp cần đối chiếu khi rà soát hệ thống.

Điều 5 Nghị định 356/2025/NĐ-CP quy định thời hạn phản hồi là 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ. Thời hạn thực hiện thì khác nhau theo loại yêu cầu: 10 ngày với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu; 15 ngày với yêu cầu rút lại sự đồng ý, hạn chế xử lý, phản đối xử lý và yêu cầu áp dụng biện pháp bảo vệ; 20 ngày với yêu cầu xoá dữ liệu. Nếu phải yêu cầu Bên Xử lý dữ liệu hoặc bên thứ ba thực hiện, các mốc trên lần lượt thành 15 ngày, 20 ngày và 30 ngày. Mỗi yêu cầu chỉ được gia hạn tối đa một lần và phải thông báo lý do gia hạn.

Ba việc là tối thiểu. Thứ nhất, tìm được toàn bộ dữ liệu của một người trên mọi hệ thống, kể cả bản sao lưu và tệp xuất báo cáo. Thứ hai, xuất, sửa, hạn chế hoặc xoá dữ liệu đó mà không phải viết mã mới cho từng lần. Thứ ba, ghi lại chính thao tác vừa làm để chứng minh đã thực hiện. Nếu ba việc này còn phải làm thủ công qua nhiều bộ phận thì các mốc thời hạn rất khó giữ.

Điều 19 Luật 91/2025/QH15 liệt kê các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu. Cần lưu ý khoản 2 của điều này buộc thiết lập cơ chế giám sát đi kèm: quy trình và trách nhiệm rõ ràng, biện pháp bảo vệ kèm đánh giá rủi ro thường xuyên, kiểm tra đánh giá định kỳ và cơ chế tiếp nhận phản ánh. Việc doanh nghiệp có thuộc trường hợp nào hay không là câu hỏi pháp lý, cần được bộ phận pháp chế của chính doanh nghiệp xác định.

Điều 4 khoản 1 Nghị định 356/2025/NĐ-CP liệt kê các nhóm dữ liệu cá nhân nhạy cảm. Với doanh nghiệp vận hành website và ứng dụng, điểm đáng chú ý nhất là điểm l: dữ liệu theo dõi hành vi và hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng thuộc nhóm nhạy cảm. Các nhóm khác gồm dữ liệu vị trí xác định qua dịch vụ định vị, tên đăng nhập và mật khẩu tài khoản định danh điện tử cùng hình ảnh căn cước, và dữ liệu tài khoản ngân hàng cùng lịch sử giao dịch tài chính.

Theo Điều 9 và Điều 10 Luật 91/2025/QH15 cùng Điều 6 Nghị định 356/2025/NĐ-CP, sự đồng ý phải theo từng mục đích, không được gộp buộc chấp nhận cả những mục đích khác. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý. Không được thiết lập mặc định đồng ý bằng ô tích sẵn, cũng không được chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý. Khi xin đồng ý xử lý dữ liệu nhạy cảm phải nêu rõ đó là dữ liệu nhạy cảm. Bằng chứng đồng ý phải được lưu trữ, và khi có tranh chấp thì nghĩa vụ chứng minh thuộc về Bên Kiểm soát dữ liệu.

HiTechCloud được chứng nhận theo ba tiêu chuẩn: ISO/IEC 27001 cho hệ thống quản lý an toàn thông tin, PCI DSS cho việc xử lý dữ liệu thẻ thanh toán, và SOC 2 cho các nhóm kiểm soát của tổ chức cung cấp dịch vụ. Cần hiểu đúng phạm vi: các chứng nhận này nói về hệ thống quản lý và biện pháp kiểm soát của chính HiTechCloud, và là bằng chứng về năng lực của bên cung cấp hạ tầng. Chúng không tự động làm cho hệ thống của Quý khách tuân thủ Luật Bảo vệ dữ liệu cá nhân — phần đó vẫn phụ thuộc vào cách doanh nghiệp thu thập, xử lý và bảo vệ dữ liệu trên ứng dụng của mình.

Không. HiTechCloud cung cấp hạ tầng và công cụ kỹ thuật, cùng tài liệu mô tả cấu hình và biện pháp bảo vệ đã triển khai để doanh nghiệp đưa vào hồ sơ của mình. Việc xác định nghĩa vụ pháp lý, soạn và thẩm định văn bản, cũng như làm việc với cơ quan nhà nước thuộc về doanh nghiệp và đơn vị tư vấn pháp lý mà doanh nghiệp lựa chọn. Nội dung trên trang này là mô tả dịch vụ, không phải ý kiến pháp lý.

Tách làm hai phần: tài nguyên hạ tầng và các dịch vụ như IAM, vMonitor, Backup Center tính theo tháng theo mức sử dụng; công rà soát bản đồ dữ liệu và triển khai tính theo phạm vi hệ thống. Báo giá lập sau bước lập bản đồ dữ liệu. Giá chưa bao gồm VAT.