Tên, số điện thoại, địa chỉ giao hàng và lịch sử mua sắm có thể là dữ liệu cá nhân khi gắn với một người cụ thể. Người bán cần quản lý các thông tin này xuyên suốt quá trình nhận đơn, giao hàng, chăm sóc sau bán và tiếp thị. Một trang chính sách bảo mật sẽ khó có ý nghĩa nếu nhân viên vẫn chia sẻ tệp khách hàng qua tài khoản không được kiểm soát.

Khung pháp lý cần đối chiếu

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/06/2025 và Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 cùng có hiệu lực từ 01/01/2026. Đây là những căn cứ cần rà soát khi thu thập và xử lý thông tin khách hàng. [1][2]

Việc đánh giá phải dựa trên dữ liệu được thu thập, mục đích, vai trò của các bên và căn cứ xử lý. Không nên cho rằng mọi thao tác đều chỉ cần một ô “tôi đồng ý”, hoặc ngược lại rằng có đơn hàng thì được dùng thông tin cho mọi mục đích.

Chỉ nên thu thập những thông tin cần thiết

Trước khi thêm một trường vào biểu mẫu, nên trả lời trường đó phục vụ việc gì, ai sử dụng và giữ trong bao lâu. Nếu chỉ giao một sản phẩm thông thường, yêu cầu khách cung cấp thêm giấy tờ định danh cần có lý do và căn cứ phù hợp; không thu thập chỉ vì biểu mẫu mẫu có sẵn.

Doanh nghiệp nên tách dữ liệu phục vụ giao dịch khỏi dữ liệu dùng để phân tích hoặc tiếp thị. Ví dụ, số điện thoại cần để liên hệ giao hàng không mặc nhiên thể hiện khách muốn nhận cuộc gọi quảng cáo định kỳ.

Dùng danh sách khách cũ để quảng cáo có được không

Điều 28 Luật Bảo vệ dữ liệu cá nhân quy định yêu cầu về sự đồng ý trong xử lý dữ liệu khách hàng để kinh doanh dịch vụ quảng cáo, đồng thời yêu cầu có phương thức từ chối nhận thông tin. Các trường hợp quảng cáo theo hành vi hoặc cá nhân hóa cũng cần rà soát quy định hướng dẫn liên quan. [1][2]

Về vận hành, nên ghi nhận nguồn dữ liệu, thời điểm khách lựa chọn, nội dung thông báo họ đã thấy và cách rút lựa chọn. Không nên mua danh sách số điện thoại rồi coi cam kết miệng của bên bán là đủ căn cứ sử dụng.

Nếu chuyển danh sách cho đơn vị quảng cáo, cần làm rõ mục đích, giới hạn sử dụng, quyền truy cập và cách xử lý khi chấm dứt hợp đồng. Khả năng tải tệp lên một công cụ không đồng nghĩa được phép thực hiện việc đó.

Chia sẻ thông tin với đơn vị giao hàng cần kiểm soát gì

Shop nên xác định dữ liệu cần thiết cho giao nhận, người được truy cập và cách trao đổi an toàn. Thỏa thuận với nhà cung cấp nên nêu mục đích xử lý, biện pháp bảo vệ, trách nhiệm thông báo sự cố và việc giữ hoặc xóa dữ liệu khi kết thúc dịch vụ.

Một danh sách đơn hàng gửi vào nhóm trò chuyện đông người có thể bị tải về ngoài phạm vi công việc. Cách quản lý tốt hơn là dùng tài khoản cá nhân được phân quyền, giới hạn xuất dữ liệu và thu hồi quyền ngay khi nhân sự nghỉ việc.

Khách yêu cầu xóa dữ liệu thì xử lý thế nào

Luật ghi nhận quyền của chủ thể dữ liệu, trong đó có quyền yêu cầu xóa, hạn chế xử lý hoặc rút lại sự đồng ý trong phạm vi luật định. Việc thực hiện cần đối chiếu các ngoại lệ và nghĩa vụ lưu trữ khác, không tự động xóa toàn bộ chứng từ giao dịch khi vẫn phải lưu theo pháp luật. [1][2]

Quy trình nên gồm xác minh người yêu cầu, xác định dữ liệu liên quan, kiểm tra căn cứ giữ lại và phản hồi kết quả. Nếu vẫn phải lưu một phần hồ sơ, cần giải thích phần nào được giữ và hạn chế sử dụng đúng mục đích.

Chính sách bảo mật nên phản ánh đúng cách làm thực tế

Loại thông tin được thu thập và mục đích sử dụng.

Bên có thể tiếp nhận thông tin và phạm vi chia sẻ.

Thời gian lưu trữ hoặc tiêu chí xác định thời gian.

Cách khách gửi yêu cầu liên quan đến dữ liệu.

Đầu mối liên hệ và phương thức xử lý phản ánh.

Biện pháp quản lý truy cập phù hợp hoạt động của đơn vị.

Đây cũng là những nhóm nội dung cần đối chiếu với Điều 5 Nghị định số 248/2026/NĐ-CP ngày 30/06/2026 về chính sách bảo mật trên nền tảng thương mại điện tử. [3]

Câu hỏi thường gặp

Thuê bên ngoài xử lý dữ liệu thì shop hết trách nhiệm chưa

Chưa thể kết luận như vậy. Cần xác định vai trò của từng bên, nghĩa vụ pháp luật và thỏa thuận xử lý. Shop vẫn nên theo dõi nhà cung cấp đang dùng dữ liệu cho mục đích nào.

Có được đăng thông tin người mua để cảnh báo bom hàng không

Không nên công khai số điện thoại, địa chỉ hoặc giấy tờ của khách như biện pháp gây áp lực. Hãy bảo toàn chứng cứ và sử dụng kênh giải quyết phù hợp, đồng thời xem xét căn cứ pháp lý trước mọi việc công bố dữ liệu cá nhân.

Phát hiện lộ dữ liệu nên bắt đầu từ đâu

Nên hạn chế truy cập trái phép, giữ nhật ký, xác định phạm vi ảnh hưởng và kích hoạt quy trình ứng phó. Nghĩa vụ thông báo cần được đánh giá theo trường hợp cụ thể; không chỉ đổi mật khẩu rồi bỏ qua việc kiểm tra hậu quả.

Nguồn pháp lý

[1] Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/06/2025, đặc biệt Điều 4, Điều 9, Điều 19 và Điều 28.

[2] Nghị định số 356/2025/NĐ-CP ngày 31/12/2025.

[3] Nghị định số 248/2026/NĐ-CP ngày 30/06/2026, Điều 5.

Một bộ mẫu biểu có thể giúp doanh nghiệp hình dung thông tin cần thu thập và cách tổ chức tài liệu bảo vệ dữ liệu cá nhân. Tuy nhiên, tên công ty, sơ đồ hệ thống, nhà cung cấp và căn cứ xử lý của mỗi doanh nghiệp khác nhau. Chúng tôi cung cấp bộ mẫu biểu tham khảo để doanh nghiệp tìm hiểu và có thêm cơ sở chuẩn bị; bộ mẫu không được cá nhân hóa cho từng đơn vị và không phải hồ sơ đã được thẩm định cho một trường hợp cụ thể.

Bộ mẫu tham khảo giúp ích ở bước nào

Mẫu hữu ích khi doanh nghiệp cần biết một tài liệu thường đặt ra những câu hỏi gì, bộ phận nào có thông tin đầu vào và những nội dung nào cần thống nhất. Chẳng hạn, một biểu mẫu kiểm kê giúp ghi nhận dữ liệu đến từ đâu, dùng cho mục đích nào, ai tiếp cận và được lưu ở đâu. Giá trị của mẫu nằm ở việc hỗ trợ tổ chức công việc; nội dung cuối cùng vẫn phải xuất phát từ hoạt động thực tế.

Khi liên hệ, doanh nghiệp có thể nêu nhóm tài liệu muốn tìm hiểu: chính sách, thông báo, ghi nhận sự đồng ý, thực hiện quyền của cá nhân, thỏa thuận xử lý hoặc tài liệu phục vụ đánh giá tác động. Danh mục và phiên bản tài liệu được cung cấp sẽ được xác định tại thời điểm trao đổi. Không nên hiểu mọi nhóm tài liệu đều là hồ sơ bắt buộc hoặc đều có trong mọi phiên bản bộ mẫu.

Phân biệt mẫu tham khảo với biểu mẫu do cơ quan nhà nước ban hành

Biểu mẫu ban hành kèm văn bản pháp luật cần được sử dụng theo đúng thủ tục, đối tượng và phiên bản đang áp dụng. Ví dụ, Nghị định 356/2025/NĐ-CP có các mẫu phục vụ đánh giá tác động xử lý và chuyển dữ liệu xuyên biên giới. Mẫu chính sách nội bộ hoặc bảng kiểm tham khảo của doanh nghiệp có mục đích khác, không thay được thành phần hồ sơ mà pháp luật yêu cầu.

Ngay cả khi tài liệu tham khảo có dẫn một biểu mẫu pháp lý, doanh nghiệp vẫn cần kiểm tra nguồn chính thức trước khi sử dụng. Một mẫu từng phù hợp có thể cần sửa khi thay đổi văn bản, hoạt động kinh doanh hoặc cơ quan tiếp nhận. Bộ mẫu do chúng tôi cung cấp không phải chứng nhận hay xác nhận của cơ quan nhà nước.

Vì sao không thể chỉ thay tên doanh nghiệp rồi ban hành

Theo Điều 2 và Điều 37 Luật Bảo vệ dữ liệu cá nhân, trách nhiệm phụ thuộc vai trò trong hoạt động xử lý. Một doanh nghiệp bán lẻ, đơn vị cung cấp phần mềm và tổ chức vận hành nền tảng phân tích có thể cần những cách phân công khác nhau. Điều 19, Điều 20 và Điều 21 còn đặt các câu hỏi riêng về căn cứ xử lý, chuyển dữ liệu và đánh giá tác động.

Mẫu cũng cần được đọc cùng Luật Dữ liệu, Luật An ninh mạng, pháp luật AI, quy định chuyên ngành và hợp đồng liên quan khi các hoạt động đó phát sinh. Chẳng hạn, chính sách dữ liệu của một website không tự trả lời được yêu cầu bảo mật bệnh án hoặc quyền sử dụng tài liệu của đối tác để đưa vào AI.

Doanh nghiệp cần tự rà soát, sửa đổi và hoàn thiện mẫu trước khi ký, ban hành, công bố, nộp hồ sơ hoặc áp dụng. Việc điền đủ các ô trong mẫu chưa chứng minh nội dung phản ánh đúng hệ thống đang vận hành.

Những việc doanh nghiệp nên kiểm tra trước khi dùng

Trước hết, xác định tài liệu phục vụ công việc gì và có thuộc nghĩa vụ áp dụng cho mình không. Tiếp theo, kiểm kê dữ liệu, vai trò, mục đích, nhà cung cấp, nơi xử lý, thời hạn lưu và các luồng chia sẻ. Các thông tin này cần được kiểm tra với bộ phận trực tiếp vận hành, không chỉ lấy từ mô tả dự kiến.

Sau đó, đối chiếu từng nội dung của mẫu với quy định hiện hành và thực tế doanh nghiệp; bổ sung phần còn thiếu, bỏ phần không phù hợp và xác định đúng người có thẩm quyền ký hoặc phê duyệt. Cuối cùng, kiểm tra khả năng thực hiện: nếu tài liệu ghi có cơ chế rút đồng ý, xóa dữ liệu hoặc thông báo sự cố, doanh nghiệp phải biết ai thực hiện và hệ thống có hỗ trợ hay không. Đây là gợi ý rà soát, không phải một thủ tục chứng nhận do công ty đặt ra.

Phạm vi cung cấp và giới hạn trách nhiệm của công ty

Bộ mẫu được cung cấp dưới dạng tài liệu tham khảo chung, không phải ý kiến pháp lý hoặc giải pháp tuân thủ được thiết kế riêng cho doanh nghiệp nhận mẫu. Việc cung cấp không bao gồm khảo sát hoạt động, xác nhận tính phù hợp, phê duyệt nội dung đã điền hay đại diện nộp hồ sơ, trừ khi có thỏa thuận riêng về một phạm vi công việc khác.

Trong phạm vi pháp luật cho phép, công ty không chịu trách nhiệm pháp lý đối với việc doanh nghiệp tự lựa chọn, sửa đổi, ban hành, nộp hoặc áp dụng mẫu vào trường hợp cụ thể. Doanh nghiệp tự quyết định việc sử dụng và chịu trách nhiệm về tính chính xác, đầy đủ, phù hợp của nội dung, cũng như việc thực hiện các nghĩa vụ của mình. Việc nhận mẫu không chuyển trách nhiệm đó sang công ty.

Giới hạn này không loại trừ trách nhiệm mà pháp luật không cho phép miễn trừ và không làm giảm quyền của chủ thể dữ liệu. Điều 405–406 Bộ luật Dân sự đặt giới hạn đối với điều khoản miễn trách nhiệm trong hợp đồng theo mẫu, điều kiện giao dịch chung; vì vậy, không nên hiểu thông báo trên là miễn trách nhiệm tuyệt đối trong mọi tình huống.

Liên hệ để được cung cấp bộ mẫu tham khảo

Doanh nghiệp có nhu cầu có thể liên hệ với chúng tôi qua kênh liên hệ được công bố trên website, nêu lĩnh vực hoạt động và nhóm tài liệu muốn tìm hiểu để được cung cấp bộ mẫu tham khảo hiện có. Ở bước đề nghị tài liệu, doanh nghiệp không cần gửi danh sách khách hàng, hồ sơ nhân sự hoặc dữ liệu cá nhân thực tế.

Trước khi sử dụng, nên đọc thêm bài về trách nhiệm doanh nghiệp, hồ sơ đánh giá tác động và chuyển dữ liệu xuyên biên giới. Hiểu đúng công việc cần làm sẽ giúp doanh nghiệp biết mẫu nào cần điều chỉnh và khi nào cần đánh giá chuyên môn cho trường hợp riêng của mình.

Câu hỏi thường gặp

Nhận bộ mẫu có đồng nghĩa doanh nghiệp đã tuân thủ pháp luật không? Không. Mẫu hỗ trợ chuẩn bị tài liệu; doanh nghiệp vẫn phải xác định nghĩa vụ, hoàn thiện nội dung và thực hiện trong vận hành.

Công ty có kiểm tra hồ sơ sau khi doanh nghiệp điền không? Việc cung cấp bộ mẫu tham khảo không bao gồm rà soát hoặc xác nhận hồ sơ đã điền. Nếu có nhu cầu công việc khác, phạm vi đó cần được trao đổi và thỏa thuận riêng.

Có thể dùng nguyên mẫu để nộp cơ quan nhà nước không? Không nên nộp khi chưa rà soát. Phải kiểm tra thành phần, biểu mẫu hiện hành, thẩm quyền ký, thông tin thực tế và yêu cầu của thủ tục tương ứng.

Mẫu có được tự động cập nhật mỗi khi pháp luật thay đổi không? Việc nhận một phiên bản không đồng nghĩa có cam kết cập nhật tự động. Doanh nghiệp cần kiểm tra thời điểm, phiên bản và căn cứ pháp lý trước mỗi lần sử dụng.

Nguồn đối chiếu

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Bộ luật Dân sự 91/2015/QH13 – quyền riêng tư, hợp đồng theo mẫu và điều kiện giao dịch chung

Nguồn được kiểm tra đến ngày 23/09/2026.

Doanh nghiệp hoạt động ở nhiều thị trường có thể phải đáp ứng đồng thời pháp luật Việt Nam và EU. Những thuật ngữ giống nhau như đánh giá tác động, thông báo sự cố hay AI rủi ro cao không bảo đảm nghĩa vụ giống nhau. So sánh có ích nhất là theo chủ thể, tình huống và hành động phải thực hiện, thay vì xếp hạng hệ thống nào “chặt hơn”.

Trước hết phải xác định phạm vi áp dụng

Tại Việt Nam, cần đối chiếu phạm vi của Luật Bảo vệ dữ liệu cá nhân và vai trò trong hoạt động xử lý. Đối với GDPR, Điều 3 quy định phạm vi lãnh thổ, bao gồm trường hợp tổ chức ngoài EU chào bán hàng hóa, dịch vụ cho người trong EU hoặc theo dõi hành vi trong phạm vi được quy định. Việc một website có người truy cập từ EU không tự đủ để kết luận toàn bộ GDPR áp dụng.

Khi cùng chịu hai hệ thống, doanh nghiệp nên lập bảng nghĩa vụ theo từng hoạt động, không chỉ chọn chính sách có vẻ nghiêm hơn. Một hành động có thể đủ cho một yêu cầu nhưng chưa đủ cho yêu cầu khác, đặc biệt về hồ sơ gửi cơ quan quản lý và cơ chế chuyển dữ liệu quốc tế.

Căn cứ xử lý dữ liệu không nên sao chép nguyên mẫu

Điều 9 và Điều 19 Luật Bảo vệ dữ liệu cá nhân Việt Nam điều chỉnh sự đồng ý và trường hợp không cần sự đồng ý. GDPR quy định các căn cứ xử lý tại Điều 6. Doanh nghiệp cần xác định căn cứ theo từng pháp luật áp dụng; không nên lấy một thuật ngữ của GDPR đưa vào chính sách tiếng Việt rồi coi đó là quyền sử dụng dữ liệu phổ quát.

Một bản dịch chính sách của công ty mẹ cần được đối chiếu lại với mục đích, vai trò và căn cứ xử lý áp dụng tại Việt Nam.

Đánh giá tác động có cùng cơ chế nộp không

Tại Việt Nam, Điều 21–22 Luật và Điều 19–20 Nghị định 356 quy định hồ sơ, thời điểm gửi và cập nhật theo vai trò, trường hợp áp dụng. GDPR Điều 35 yêu cầu đánh giá tác động đối với xử lý có khả năng gây rủi ro cao; Điều 36 quy định tham vấn trước trong trường hợp còn rủi ro cao theo điều kiện của điều này. Vì vậy, không nên coi cơ chế GDPR là nộp mọi DPIA cho cơ quan quản lý giống một thủ tục chung.

Tập đoàn có thể dùng chung thông tin khảo sát, nhưng phải điều chỉnh biểu mẫu, người chịu trách nhiệm, nơi nộp và thời hạn theo từng thị trường.

Thời hạn 72 giờ giống nhau ở điểm nào

Điều 23 Luật Việt Nam quy định thông báo trong 72 giờ từ khi phát hiện vi phạm thuộc trường hợp có thể gây tổn hại được luật nêu. GDPR Điều 33 quy định thông báo cho cơ quan giám sát trong 72 giờ từ khi biết vi phạm, trừ trường hợp ít khả năng gây rủi ro theo điều kiện áp dụng. Sự giống nhau về con số không làm ngưỡng thông báo, chủ thể và nội dung trở thành đồng nhất.

Quy trình ứng cứu cần có nhánh đánh giá riêng theo từng thị trường và cơ quan nhận; việc xác định nghĩa vụ thông báo phải diễn ra song song với xử lý kỹ thuật.

Luật AI cần so sánh cả lộ trình

Việt Nam áp dụng Luật Trí tuệ nhân tạo từ ngày 1/3/2026, với ba mức rủi ro tại Điều 9 và lộ trình theo Quyết định 33/2026/QĐ-TTg. Theo trang lộ trình chính thức của Ủy ban châu Âu được kiểm tra ngày 23/9/2026, EU AI Act có mốc áp dụng chung ngày 2/8/2026; các quy định về hệ thống rủi ro cao tại Phụ lục III chuyển sang ngày 2/12/2027 và nhóm gắn với sản phẩm tại Phụ lục I sang ngày 2/8/2028 theo thay đổi năm 2026.

Không nên dùng bài hướng dẫn EU xuất bản trước thay đổi này để xác định thời hạn hiện tại. Đồng thời, mức rủi ro và vai trò phải được đánh giá theo từng luật; một kết luận phân loại ở EU không tự là kết luận pháp lý tại Việt Nam.

Thuật ngữ giống nhau có thể dẫn đến cách hiểu khác nhau

Trong Nghị định 356, “ẩn danh” được mô tả tại điểm c khoản 3 Điều 9 theo cách tách thông tin định danh và lưu riêng. Cẩm nang giải thích khái niệm này tương ứng với pseudonymization, vẫn thuộc phạm vi bảo vệ dữ liệu cá nhân. “Khử nhận dạng” theo Điều 2 Luật Việt Nam mới là khái niệm cần kiểm tra khi đánh giá dữ liệu không còn là dữ liệu cá nhân. Không nên dịch từ anonymous trong tài liệu nhà cung cấp thành kết luận pháp lý mà bỏ qua khả năng nhận diện thực tế.

“Bên kiểm soát và xử lý dữ liệu cá nhân” của Việt Nam cũng không đồng nghĩa với joint controllers của GDPR: một bên quyết định và trực tiếp xử lý khác với nhiều bên cùng quyết định mục đích, phương tiện.

Doanh nghiệp đa thị trường có thể dùng chung những gì

Bản kiểm kê, sơ đồ luồng dữ liệu và thông tin biện pháp kỹ thuật có thể dùng chung. Phần căn cứ, hồ sơ, thời hạn và đầu mối cần bổ sung theo từng pháp luật, kể cả quy định chuyên ngành.

Nếu doanh nghiệp đang dùng một bộ mẫu quốc tế, câu hỏi đầu tiên nên là mỗi điều khoản đang giải quyết nghĩa vụ nào tại Việt Nam. Bài về bản đồ pháp luật và bài giới thiệu mẫu tham khảo giúp bắt đầu việc rà soát đó.

Câu hỏi thường gặp

Đáp ứng GDPR có nghĩa là đáp ứng luật Việt Nam không? Không. Có thể có phần công việc dùng chung, nhưng căn cứ, thủ tục và trách nhiệm cần kiểm tra riêng.

So sánh này có cho biết quốc gia nào bảo vệ tốt hơn không? Không. Bài viết đối chiếu nghĩa vụ và mốc áp dụng; không đánh giá hiệu quả thực thi hay xếp hạng quốc gia, doanh nghiệp.

Nguồn đối chiếu

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Quy định chung về bảo vệ dữ liệu của EU trên EUR Lex

Luật Trí tuệ nhân tạo 134/2025/QH15

Nghị định 142/2026/NĐ-CP hướng dẫn Luật Trí tuệ nhân tạo

Quyết định 33/2026/QĐ-TTg về danh mục hệ thống AI có rủi ro cao

Ủy ban châu Âu công bố lộ trình thực hiện EU AI Act

Nguồn được kiểm tra đến ngày 23/09/2026.

Dịch vụ điện toán đám mây không chỉ đặt ra câu hỏi máy chủ ở đâu. Nhà cung cấp cần xác định cơ chế thông báo dịch vụ; khách hàng và nhà cung cấp cần xác định riêng trách nhiệm với dữ liệu, cấu hình và quyền truy cập. Cơ chế viễn thông và nghĩa vụ bảo vệ dữ liệu có thể cùng áp dụng.

Nhà cung cấp trong nước thông báo cho ai

Điều 29 Luật Viễn thông và Điều 45 Nghị định 163/2024/NĐ-CP quy định cơ chế thông báo đối với dịch vụ thuộc phạm vi. Điều 21 Nghị định 133/2025/NĐ-CP phân quyền tiếp nhận một số thông báo cho Ủy ban nhân dân cấp tỉnh nơi doanh nghiệp đặt trụ sở chính.

Mục IV Phụ lục I Nghị định 133 quy định thủ tục, trong đó sử dụng Mẫu số 05. Mục B.II Phụ lục II Nghị quyết 20/2026/NQ-CP rút thời hạn thông báo lại đối với hồ sơ không hợp lệ còn 2 ngày làm việc. Đây là thời hạn của công đoạn phản hồi hồ sơ, không phải một giấy phép bảo đảm mọi hoạt động cloud đều đã đáp ứng pháp luật.

Nếu đồng thời đăng ký dịch vụ trung tâm dữ liệu, doanh nghiệp cần xem cơ chế kết hợp nội dung thông báo trong bản đăng ký theo quy định. Việc thay đổi thông tin hoặc chấm dứt cung cấp cũng cần theo dõi theo điều khoản áp dụng, thay vì chỉ lưu bản thông báo lần đầu.

Nhà cung cấp xuyên biên giới có còn nghĩa vụ thông tin

Mục B.XXXIV Phụ lục II Nghị quyết 20/2026 quy định tổ chức thuộc điểm b khoản 1 Điều 45 Nghị định 163 không thực hiện thủ tục hành chính thông báo theo khoản 3–4 điều này. Tuy nhiên, trước khi cung cấp dịch vụ, tổ chức vẫn phải thông báo thông tin cho Bộ Khoa học và Công nghệ, thông qua Cục Viễn thông.

Thông tin gồm tên, địa chỉ trụ sở, đầu mối liên hệ, loại dịch vụ và cam kết chất lượng dịch vụ đối với cloud, trung tâm dữ liệu. Vì vậy, câu “bỏ thủ tục thông báo nên nhà cung cấp nước ngoài không cần gửi gì” không phản ánh đầy đủ quy định mới.

Dữ liệu cá nhân trên cloud thuộc trách nhiệm của ai

Điều 12 Nghị định 356/2025/NĐ-CP yêu cầu các bên xác định luồng xử lý, vai trò, trách nhiệm và biện pháp bảo vệ trong hợp đồng. Dữ liệu cá nhân trên cloud phải được mã hóa khi lưu trữ và truyền, kèm phân quyền nghiêm ngặt. Nhà cung cấp phải yêu cầu nhà thầu phụ thực hiện nghĩa vụ liên quan và đánh giá tuân thủ bảo vệ dữ liệu cá nhân định kỳ một năm một lần.

Khách hàng cần bảo đảm căn cứ xử lý, mục đích, thời hạn lưu và quyền của cá nhân trong phạm vi trách nhiệm của mình. Nhà cung cấp chịu trách nhiệm theo vai trò và dịch vụ. Nếu dữ liệu được xử lý ngoài Việt Nam, phải kiểm tra thêm Điều 20 Luật Bảo vệ dữ liệu cá nhân và hồ sơ chuyển xuyên biên giới theo Nghị định 356.

Mô hình trách nhiệm chung quốc tế có thể tham khảo gì

AWS mô tả mô hình trách nhiệm chung: nhà cung cấp chịu trách nhiệm đối với hạ tầng cloud thuộc phạm vi của mình; khách hàng chịu trách nhiệm tương ứng với dữ liệu, cấu hình và cách sử dụng dịch vụ. Phạm vi cụ thể thay đổi theo loại dịch vụ. Đây là mô tả kỹ thuật và hợp đồng của một nhà cung cấp, không phải kết luận nhà cung cấp đó đáp ứng toàn bộ pháp luật Việt Nam.

Giá trị tham khảo là buộc các bên chỉ rõ ai làm gì. Chẳng hạn, nhà cung cấp vận hành máy chủ nhưng khách hàng tự cấu hình quyền đọc kho dữ liệu. Nếu quyền được mở quá rộng, cần xác định trách nhiệm theo cả cấu hình thực tế, hợp đồng và luật áp dụng. Không nên dùng một nhãn “an toàn” để thay toàn bộ việc phân công này.

Những nội dung nên kiểm tra trong hợp đồng

Các bên nên làm rõ vị trí dữ liệu, hỗ trợ từ xa, nhà thầu phụ, quản lý khóa, sao lưu, khôi phục, thời gian thông báo sự cố, quyền kiểm tra và xử lý dữ liệu khi chấm dứt. SLA về khả năng sẵn sàng cần đọc riêng với cam kết về quyền riêng tư và bảo mật; đạt một chỉ tiêu không tự chứng minh đáp ứng chỉ tiêu khác.

Hợp đồng cloud phải tính cả lúc thay nhà cung cấp

Khả năng chuyển dữ liệu sang hệ thống mới, hoàn trả, xóa và xử lý các bản sao cần được làm rõ ngay từ hợp đồng. Thời hạn lưu còn phải phù hợp mục đích và nghĩa vụ chuyên ngành áp dụng cho khách hàng. Không nên cam kết xóa mọi bản sao ngay lập tức rồi mới phát hiện thiết kế sao lưu không thực hiện được.

Một nhà cung cấp có thể lưu trữ theo chỉ dẫn ở hoạt động này nhưng tự quyết định sử dụng một phần nhật ký cho hoạt động khác. Vai trò cần được xác định theo từng mục đích; mô hình trách nhiệm chung về hạ tầng không thay việc phân loại vai trò dữ liệu theo Điều 2 và Điều 37 Luật Bảo vệ dữ liệu cá nhân.

Khi dùng thêm AI trên cùng nền tảng, cần kiểm tra luồng mới, việc sử dụng dữ liệu để huấn luyện và quyền truy cập của các bên. Bài về AI và dữ liệu cá nhân giúp xem tiếp phần thay đổi mà một hợp đồng cloud ban đầu có thể chưa bao quát.

Câu hỏi thường gặp

Có thông báo cloud là được quyền khai thác mọi dữ liệu khách hàng không? Không. Mục đích và quyền xử lý dữ liệu phải có căn cứ riêng.

Cloud đặt tại Việt Nam có chắc không chuyển dữ liệu xuyên biên giới không? Chưa chắc. Cần kiểm tra sao lưu, hỗ trợ, nhà thầu phụ và các luồng xử lý ngoài nơi đặt máy chủ chính.

Nguồn đối chiếu

Luật Viễn thông 24/2023/QH15

Văn bản hợp nhất 19/2026/VBHN-NĐ-BKHCN về thi hành Luật Viễn thông

Nghị định 133/2025/NĐ-CP về phân quyền trong lĩnh vực khoa học và công nghệ

Nghị quyết 20/2026/NQ-CP về cắt giảm và đơn giản hóa thủ tục

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

AWS giải thích mô hình trách nhiệm chung

Nguồn được kiểm tra đến ngày 23/09/2026.

Đối với dịch vụ trung tâm dữ liệu, thường gọi là TTDL hoặc data center, cần phân biệt việc đầu tư xây dựng công trình với đăng ký cung cấp dịch vụ. Điều 29 Luật Viễn thông 24/2023/QH15 đặt cơ chế quản lý riêng; không nên gọi mọi thủ tục liên quan là “giấy phép trung tâm dữ liệu”.

Đăng ký dịch vụ khác giấy phép viễn thông thế nào

Điều 29 Luật Viễn thông và Điều 44 Nghị định 163/2024/NĐ-CP quy định cơ chế đăng ký cung cấp dịch vụ trung tâm dữ liệu. Đây là cơ chế khác với giấy phép kinh doanh dịch vụ viễn thông áp dụng cho những hoạt động thuộc diện cấp phép. Phải xem doanh nghiệp thực sự cung cấp loại dịch vụ nào, có đồng thời kinh doanh dịch vụ viễn thông khác hay không.

Một trung tâm dữ liệu chỉ phục vụ nội bộ cần được xem xét theo phạm vi hoạt động và quy định liên quan; không nên mặc nhiên coi mọi phòng máy của tổ chức đều là đơn vị kinh doanh dịch vụ trung tâm dữ liệu. Ngược lại, tên gọi “cho thuê chỗ đặt máy” không tự loại trừ nghĩa vụ nếu hoạt động thực tế thuộc dịch vụ được luật điều chỉnh.

Cơ quan nào cấp giấy chứng nhận đăng ký

Điều 20 Nghị định 133/2025/NĐ-CP phân quyền việc cấp giấy chứng nhận đăng ký cung cấp dịch vụ viễn thông theo khoản 4 Điều 44 Nghị định 163 cho Ủy ban nhân dân cấp tỉnh nơi doanh nghiệp đặt trụ sở chính. Khi nộp, cần chọn thủ tục và đầu mối tiếp nhận được công bố tại địa phương, có thể là cơ quan chuyên môn hoặc trung tâm phục vụ hành chính công theo tổ chức thực hiện.

Không nên sao chép hướng dẫn cũ ghi cơ quan trung ương cho mọi trường hợp. Cũng cần phân biệt nơi đặt trụ sở doanh nghiệp với nơi xây dựng từng công trình; căn cứ phân quyền nêu trên gắn với nơi đặt trụ sở chính.

Hồ sơ và thời gian giải quyết hiện hành

Mục III Phụ lục I Nghị định 133 quy định hồ sơ và trình tự, trong đó có bản đăng ký theo Mẫu số 03. Doanh nghiệp nộp một bộ theo phương thức được quy định. Thông tin cần phản ánh đúng pháp nhân, loại dịch vụ và phạm vi cung cấp theo mẫu, đồng thời đối chiếu yêu cầu về hồ sơ kèm theo.

Mục B.I Phụ lục II Nghị quyết 20/2026/NQ-CP đã rút thời gian xét cấp còn 3 ngày làm việc kể từ ngày kết thúc thời hạn xét tính hợp lệ của hồ sơ. Phải phân biệt công đoạn này với bước kiểm tra tính hợp lệ; không nên giới thiệu đây là toàn bộ thời gian từ lúc gửi hồ sơ lần đầu. Hướng dẫn vẫn ghi 5 ngày cho công đoạn xét cấp theo bản cũ cần được cập nhật.

Nếu doanh nghiệp đồng thời cung cấp điện toán đám mây, quy định cho phép thực hiện nội dung thông báo tương ứng trong bản đăng ký theo trường hợp được nêu tại Mục III. Cần kiểm tra đúng thông tin, không tự cho rằng đăng ký một dịch vụ luôn bao phủ mọi hoạt động đi kèm.

Đăng ký dịch vụ không thay nghĩa vụ về công trình và dữ liệu

Dự án xây dựng trung tâm dữ liệu còn có thể phát sinh nghĩa vụ về đầu tư, đất đai, xây dựng, môi trường, phòng cháy chữa cháy và chất lượng công trình tùy quy mô, địa điểm, thiết kế. Không có một danh sách giấy phép giống nhau cho mọi dự án chỉ dựa vào tên “data center”.

Khi xử lý dữ liệu cho khách hàng, nhà cung cấp phải xác định vai trò và trách nhiệm theo pháp luật dữ liệu, bảo vệ dữ liệu cá nhân và an ninh mạng. Việc xác định cấp độ hệ thống cần đối chiếu Nghị định 331/2026/NĐ-CP. Chứng nhận tiêu chuẩn hoặc đánh giá hạ tầng của bên thứ ba có phạm vi riêng, không thay thế thủ tục pháp lý.

Phân định trách nhiệm theo từng phần của dịch vụ

Trong dịch vụ cho thuê chỗ đặt máy, phạm vi công việc có thể khác với dịch vụ quản trị hệ điều hành, sao lưu hoặc phân tích dữ liệu. Cần xác định nhà cung cấp thực sự tiếp cận thông tin gì và có quyền quyết định mục đích nào. Với dữ liệu liên hệ, thanh toán hoặc nhật ký do chính nhà cung cấp thu thập để vận hành dịch vụ, vai trò có thể khác với phần lưu trữ theo chỉ dẫn khách hàng.

Phân định này cần nối vào hợp đồng, phương án bảo vệ hệ thống và việc thực hiện quyền của cá nhân. Khi một khách hàng chấm dứt hợp đồng, các bên phải biết ai hoàn trả dữ liệu, ai xử lý bản sao và ai xác nhận công việc đã hoàn tất trong phạm vi trách nhiệm của mình.

Như vậy, đăng ký dịch vụ là một đầu việc trong toàn bộ quá trình vận hành trung tâm dữ liệu. Bài về cloud, hồ sơ cấp độ và chuyển dữ liệu sẽ giúp xem tiếp các nghĩa vụ phát sinh từ dịch vụ cụ thể được cung cấp tại trung tâm đó.

Câu hỏi thường gặp

Thuê chỗ đặt máy có chuyển hết trách nhiệm dữ liệu cho trung tâm dữ liệu không? Không. Cần phân định theo quyền quyết định, phạm vi xử lý và hợp đồng; khách hàng vẫn có thể là bên kiểm soát dữ liệu.

Nhà cung cấp nước ngoài áp dụng cùng thủ tục cấp tỉnh không? Không mặc nhiên. Dịch vụ xuyên biên giới cần đối chiếu cơ chế riêng, trong đó có Mục B.XXXIV Phụ lục II Nghị quyết 20/2026.

Luật sửa đổi ban hành tháng 8/2026 đã áp dụng ngay chưa? Luật 20/2026/QH16 có hiệu lực từ ngày 1/3/2027. Bài viết này xác định nghĩa vụ tại ngày 23/9/2026.

Nguồn đối chiếu

Luật Viễn thông 24/2023/QH15

Văn bản hợp nhất 19/2026/VBHN-NĐ-BKHCN về thi hành Luật Viễn thông

Nghị định 133/2025/NĐ-CP về phân quyền trong lĩnh vực khoa học và công nghệ

Nghị quyết 20/2026/NQ-CP về cắt giảm và đơn giản hóa thủ tục

Nghị định 331/2026/NĐ-CP về bảo đảm an ninh mạng theo cấp độ

Luật 20/2026/QH16 có hiệu lực từ ngày 1 tháng 3 năm 2027

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Nguồn được kiểm tra đến ngày 23/09/2026.

Một công cụ AI có thể giúp tóm tắt hồ sơ, tìm kiếm thông tin hoặc hỗ trợ phân tích. Khi đầu vào chứa dữ liệu cá nhân, doanh nghiệp cần đánh giá cả pháp luật về AI lẫn bảo vệ dữ liệu cá nhân. Việc mua tài khoản trả phí hoặc dùng phiên bản dành cho doanh nghiệp không tự thay thế những nghĩa vụ này.

Bắt đầu từ dữ liệu và mục đích sử dụng

Điều 30 Luật Bảo vệ dữ liệu cá nhân và Điều 10 Nghị định 356/2025/NĐ-CP đặt yêu cầu bảo vệ dữ liệu trong hoạt động liên quan đến AI. Điều 3, Điều 9 và Điều 19 của Luật vẫn cần được áp dụng để xác định nguyên tắc, sự đồng ý hoặc căn cứ xử lý không cần sự đồng ý khi đáp ứng điều kiện.

Ví dụ, dữ liệu thu để giải quyết khiếu nại không nên tự động được đưa vào mục đích huấn luyện một hệ thống dùng cho khách hàng khác. Cần xem phạm vi thông báo, căn cứ xử lý, vai trò của nhà cung cấp và mục đích mới. Nếu chỉ cần thống kê, có thể cân nhắc giảm dữ liệu hoặc sử dụng dữ liệu đã được xử lý phù hợp; việc thay tên bằng mã chưa tự bảo đảm dữ liệu đã được khử nhận dạng theo Điều 2 Luật Bảo vệ dữ liệu cá nhân.

Hợp đồng và cấu hình cần được kiểm tra cùng nhau

Doanh nghiệp nên làm rõ nhà cung cấp có dùng đầu vào, đầu ra hoặc phản hồi để huấn luyện hay không; thời gian lưu; quyền truy cập hỗ trợ; nhà thầu phụ; vùng xử lý; cơ chế xóa và xuất dữ liệu. Các thông tin này cần có căn cứ trong tài liệu dịch vụ, hợp đồng và cấu hình thực tế.

Không nên suy ra toàn bộ hoạt động xử lý từ tên một tùy chọn như “tắt lịch sử”. Nếu dùng cloud, cần kiểm tra cả Điều 12 Nghị định 356 về hợp đồng, phân quyền và mã hóa khi lưu trữ, truyền dữ liệu.

Có phải lập hồ sơ chuyển dữ liệu ra nước ngoài

Điều 20 Luật Bảo vệ dữ liệu cá nhân bao gồm sử dụng nền tảng ngoài lãnh thổ để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Doanh nghiệp cần xác định luồng dữ liệu trước khi kết luận. Hồ sơ và ngoại lệ được điều chỉnh tại Điều 17–18 Nghị định 356; không phải mọi dữ liệu trong một công cụ nhân sự đều được hưởng cùng ngoại lệ.

Hoạt động AI mới cũng có thể làm thay đổi hồ sơ đánh giá tác động xử lý dữ liệu theo Điều 21–22 Luật. Việc cập nhật phải gắn với thay đổi thực tế và quy định về thời điểm, không chỉ sửa tên phần mềm trong danh sách nhà cung cấp.

AI hỗ trợ tuyển dụng cần chú ý thêm điều gì

Điều 25 Luật Bảo vệ dữ liệu cá nhân quy định việc xử lý dữ liệu trong tuyển dụng, quản lý người lao động. Đồng thời, hệ thống AI cần được đối chiếu danh mục rủi ro cao tại Quyết định 33/2026/QĐ-TTg theo chức năng và tác động cụ thể. Công cụ soạn mô tả công việc và hệ thống tác động đến quyết định tuyển chọn có thể dẫn đến phân loại khác nhau.

Doanh nghiệp cần xác định ai kiểm tra đầu ra, ai có quyền sửa hoặc không sử dụng kết quả và cách người bị ảnh hưởng phản ánh sai sót. Đây là cách tổ chức trách nhiệm của con người; không nên coi AI là chủ thể tự chịu trách nhiệm cho quyết định của doanh nghiệp.

Cách triển khai một quy trình kiểm soát

Doanh nghiệp có thể xác định loại dữ liệu được phép nhập, mục đích, công cụ và trường hợp cần đánh giá thêm; đồng thời phân công kiểm tra quyền truy cập, nhật ký và ứng phó sự cố. Đây là gợi ý quản trị, không phải danh sách điều kiện bắt buộc chung.

Khi thay mô hình, bổ sung chức năng hoặc đổi nhà cung cấp, cần rà soát lại cả dữ liệu và phân loại AI. Điều 10–14 Luật Trí tuệ nhân tạo cùng Nghị định 142/2026/NĐ-CP là căn cứ để xác định nghĩa vụ về phân loại, thông báo, minh bạch và quản lý rủi ro.

Hồ sơ nhân sự, bệnh án và tài liệu nội bộ cần được đọc thêm dưới góc nào

Với hồ sơ nhân sự, cần kiểm tra mục đích tuyển dụng, quản lý lao động và giới hạn lưu trữ theo Điều 25 Luật Bảo vệ dữ liệu cá nhân. Với bệnh án, Điều 10 và Điều 69 Luật Khám bệnh, chữa bệnh đặt yêu cầu riêng về bí mật và sử dụng thông tin. Nếu dữ liệu đầu vào là tài liệu nội bộ của đối tác, còn cần xem quyền khai thác và cam kết bảo mật. Một chức năng AI giống nhau có thể dẫn đến yêu cầu khác nhau vì nguồn dữ liệu khác nhau.

Ẩn danh, mã hóa và khử nhận dạng cũng không đồng nghĩa. Nếu vẫn có thể xác định hoặc giúp xác định một người, việc bảo vệ dữ liệu cá nhân tiếp tục cần được xem xét. Đồng thời, loại bỏ thông tin về cá nhân chưa tự loại bỏ quyền sở hữu trí tuệ hoặc bí mật kinh doanh trong phần tài liệu còn lại.

Khi người dùng yêu cầu xóa, dữ liệu trong AI đi đâu

Doanh nghiệp cần xác định dữ liệu nằm ở đầu vào, lịch sử hội thoại, kho tài liệu, nhật ký hay tập dữ liệu huấn luyện. Không nên hứa xóa hoàn toàn ngay lập tức nếu chưa biết cơ chế kỹ thuật và nghĩa vụ lưu giữ áp dụng. Quy trình phải xử lý đúng yêu cầu tại Điều 14 Luật và Điều 5 Nghị định 356, phối hợp với các bên đang xử lý dữ liệu.

Một bước chuẩn bị hữu ích là thử quy trình yêu cầu truy xuất hoặc xóa với dữ liệu kiểm thử trước khi mở rộng sử dụng. Kết quả giúp kiểm tra sự nhất quán giữa điều khoản hợp đồng, thông báo cho cá nhân và khả năng thực hiện. Bài về trách nhiệm doanh nghiệp và bộ mẫu tham khảo giúp tiếp tục xây dựng quy trình này.

Câu hỏi thường gặp

Xóa tên khách hàng là có thể gửi hồ sơ vào AI không? Chưa đủ. Nội dung khác vẫn có thể giúp nhận diện; cần đánh giá khả năng nhận diện lại và toàn bộ căn cứ xử lý.

Nhà cung cấp cam kết không huấn luyện thì đã đáp ứng luật chưa? Cam kết này giải quyết một vấn đề. Các nghĩa vụ về mục đích, quyền của cá nhân, bảo mật, lưu trữ, hợp đồng và chuyển dữ liệu vẫn phải xem xét.

Nguồn đối chiếu

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Luật Trí tuệ nhân tạo 134/2025/QH15

Nghị định 142/2026/NĐ-CP hướng dẫn Luật Trí tuệ nhân tạo

Quyết định 33/2026/QĐ-TTg về danh mục hệ thống AI có rủi ro cao

Luật Khám bệnh, chữa bệnh 15/2023/QH15 – Điều 10 và Điều 69

Luật 131/2025/QH15 sửa đổi, bổ sung Luật Sở hữu trí tuệ, hiệu lực 01/04/2026

Nguồn được kiểm tra đến ngày 23/09/2026.

Việt Nam đã có Luật Trí tuệ nhân tạo 134/2025/QH15, có hiệu lực từ ngày 1/3/2026. Khi đưa AI vào sản phẩm hoặc quy trình, doanh nghiệp cần xác định vai trò, mục đích sử dụng và mức rủi ro của hệ thống. Không thể dùng một kết luận chung cho mọi công cụ mang tên AI.

Những văn bản cần đọc cùng nhau

Ngoài Luật, Nghị định 142/2026/NĐ-CP có hiệu lực ngày 1/5/2026 hướng dẫn phân loại, hồ sơ, minh bạch và các nghĩa vụ liên quan. Quyết định 33/2026/QĐ-TTg ban hành danh mục hệ thống AI có rủi ro cao, có hiệu lực ngày 15/8/2026. Cần đối chiếu cả danh mục, điều kiện loại trừ và cơ chế chuyển tiếp.

Điều 9 Luật phân thành ba mức rủi ro: cao, trung bình và thấp. Hành vi bị nghiêm cấm tại Điều 7 là một vấn đề riêng, không nên mô tả thành “mức rủi ro thứ tư” của luật Việt Nam chỉ vì cách trình bày phổ biến của một hệ thống pháp luật khác.

Phân loại hệ thống thay vì chỉ nhìn mô hình

Điều 6 Nghị định 142 đặt việc phân loại trong bối cảnh hệ thống và mục đích sử dụng. Cùng một mô hình có thể được dùng để gợi ý câu chữ hoặc hỗ trợ quyết định ảnh hưởng đáng kể đến một người. Mức rủi ro cần đánh giá theo cách triển khai, chức năng và tác động, không chỉ theo tên nhà cung cấp mô hình.

Điều 10 Luật quy định trách nhiệm phân loại của nhà cung cấp. Hệ thống rủi ro trung bình và cao phải được lập hồ sơ, thông báo theo quy định trước khi đưa vào sử dụng, đồng thời phải đọc cùng cơ chế chuyển tiếp. Khi bên triển khai thay đổi mục đích hoặc cách vận hành đến mức làm thay đổi rủi ro, cần xem lại phân loại và trách nhiệm tương ứng.

Thông báo và đánh giá sự phù hợp nộp cho ai

Bộ Khoa học và Công nghệ là cơ quan tiếp nhận theo cơ chế Cổng thông tin điện tử một cửa về AI. Điều 12–14 Nghị định 142 quy định hồ sơ, đánh giá sự phù hợp và thông báo. Nếu cổng chưa được công bố vận hành chính thức, Điều 46 cho phép thực hiện theo hệ thống điện tử, dịch vụ công hoặc phương thức tiếp nhận do Bộ công bố; không nên tự coi nghĩa vụ bị đình chỉ vì chưa thấy một giao diện cụ thể.

Điều 13 Luật quy định đánh giá sự phù hợp đối với hệ thống rủi ro cao. Hình thức thực hiện phụ thuộc nhóm hệ thống và danh mục; không phải mọi hệ thống đều cùng một quy trình chứng nhận độc lập. Cần đối chiếu cột đánh giá sự phù hợp trong phụ lục Quyết định 33 với trường hợp cụ thể.

Minh bạch và giám sát con người gồm những việc gì

Điều 11 Luật và Điều 16–18 Nghị định 142 quy định nghĩa vụ minh bạch, nhận biết nội dung do AI tạo ra hoặc chỉnh sửa. Trách nhiệm khác nhau giữa nhà cung cấp, bên triển khai và người công bố nội dung. Cần phân biệt thông báo người dùng đang tương tác với AI, dấu hiệu máy đọc được và nhãn nhận biết trong những tình huống luật yêu cầu.

Điều 12, Điều 14 Luật cùng quy định chi tiết đặt trách nhiệm quản lý sự cố, giám sát và kiểm soát đối với các trường hợp liên quan. Việc sử dụng AI không tự chuyển thẩm quyền hoặc trách nhiệm quyết định của cơ quan, tổ chức sang hệ thống.

Mốc chuyển tiếp nào cần theo dõi

Điều 4 Quyết định 33 quy định đối với hệ thống thuộc danh mục đã hoạt động trước ngày 15/8/2026: hoàn thành nghĩa vụ trước ngày 1/9/2027 trong y tế, giáo dục, tài chính; trước ngày 1/3/2027 với lĩnh vực còn lại. Hệ thống được đưa vào hoạt động trong 6 tháng kể từ ngày quyết định có hiệu lực phải hoàn thành nghĩa vụ trước ngày 1/3/2027 theo khoản 3.

Trong thời gian chuyển tiếp, hệ thống có nguy cơ gây thiệt hại nghiêm trọng vẫn có thể bị yêu cầu tạm dừng hoặc chấm dứt theo quy định. Doanh nghiệp cần lập hồ sơ xác định ngày bắt đầu hoạt động, lĩnh vực và phạm vi hệ thống để áp dụng đúng lộ trình.

Phân loại AI không thay đánh giá dữ liệu đầu vào

Một hệ thống AI được xác định mức rủi ro thấp vẫn có thể xử lý dữ liệu cá nhân nhạy cảm hoặc tài liệu bị giới hạn sử dụng. Luật Bảo vệ dữ liệu cá nhân, đặc biệt Điều 30, cùng Nghị định 356 tiếp tục phải được xem xét. Ngược lại, hệ thống không xử lý dữ liệu cá nhân vẫn có thể phát sinh nghĩa vụ theo Luật Trí tuệ nhân tạo tùy chức năng và tác động.

Nguồn dữ liệu huấn luyện, tài liệu đưa vào công cụ tìm kiếm và nội dung đầu ra còn cần rà soát quyền sử dụng, bí mật kinh doanh và hợp đồng. Luật Sở hữu trí tuệ đã được sửa đổi bởi Luật 131/2025/QH15, có hiệu lực từ 1/4/2026. Việc truy cập được một tài liệu không tự là kết luận đã có đủ quyền khai thác cho mọi mục đích.

Vì vậy, khi triển khai AI, nên đặt hồ sơ phân loại cạnh sơ đồ dữ liệu và điều khoản dịch vụ. Bài về đưa dữ liệu khách hàng, nhân viên vào AI sẽ tiếp tục từ câu hỏi rất cụ thể: thông tin nào thực sự cần gửi cho công cụ?

Câu hỏi thường gặp

Mọi công cụ AI đều cần giấy phép riêng không? Không thể kết luận như vậy. Phải phân biệt phân loại, thông báo, đánh giá sự phù hợp và những thủ tục chuyên ngành có thể phát sinh.

Thuê AI của nhà cung cấp nước ngoài có hết trách nhiệm không? Không. Bên triển khai vẫn phải thực hiện trách nhiệm gắn với cách sử dụng hệ thống của mình.

Nguồn đối chiếu

Luật Trí tuệ nhân tạo 134/2025/QH15

Nghị định 142/2026/NĐ-CP hướng dẫn Luật Trí tuệ nhân tạo

Quyết định 33/2026/QĐ-TTg về danh mục hệ thống AI có rủi ro cao

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Luật 131/2025/QH15 sửa đổi, bổ sung Luật Sở hữu trí tuệ, hiệu lực 01/04/2026

Nguồn được kiểm tra đến ngày 23/09/2026.

Mã HS là một thành phần quan trọng nhưng chưa đủ để kết luận sản phẩm thuộc diện xin giấy phép xuất khẩu, nhập khẩu mật mã dân sự. Điều 9 Nghị định 341/2026/NĐ-CP yêu cầu đối chiếu đồng thời mã số HS, mô tả hàng hóa và đặc tính mật mã theo danh mục. Cách làm chỉ tra mã rồi kết luận có thể bỏ sót đặc điểm quyết định của sản phẩm.

Ba tiêu chí cần khớp với danh mục

Phụ lục II ban hành kèm Nghị định 341 là danh mục để xác định sản phẩm mật mã dân sự xuất khẩu, nhập khẩu theo giấy phép. Theo Điều 9, việc xác định phải đáp ứng đồng thời ba tiêu chí: mã HS, mô tả sản phẩm và đặc tính mật mã. Tài liệu kỹ thuật cần thể hiện đúng phiên bản, chức năng và cấu hình sản phẩm dự kiến nhập.

Ví dụ, hai thiết bị có cùng nhóm tên thương mại có thể khác tính năng mật mã hoặc phạm vi sử dụng. Một bản mô tả chung cho toàn bộ dòng sản phẩm chưa chắc đủ để đối chiếu. Doanh nghiệp nên lấy tài liệu của đúng mã hàng, đồng thời kiểm tra tính nhất quán giữa hợp đồng, hóa đơn, tài liệu kỹ thuật và hồ sơ đề nghị.

Phân biệt giấy phép kinh doanh và giấy phép nhập khẩu

Giấy phép kinh doanh xác định điều kiện và phạm vi doanh nghiệp được kinh doanh. Giấy phép xuất khẩu, nhập khẩu điều chỉnh hoạt động đối với sản phẩm thuộc danh mục. Điều 10 yêu cầu kiểm tra điều kiện về giấy phép kinh doanh, chất lượng hoặc hợp quy đối với trường hợp áp dụng và mục đích sử dụng hợp pháp.

Do đó, giấy phép kinh doanh MMDS không tự thay giấy phép nhập khẩu. Ngược lại, giấy phép nhập khẩu không cho phép doanh nghiệp bỏ qua điều kiện kinh doanh hoặc trách nhiệm đưa sản phẩm ra thị trường. Các thủ tục hải quan và chất lượng cần được xem xét theo pháp luật tương ứng.

Hồ sơ nộp ở đâu

Điều 10 quy định hồ sơ theo Mẫu số 05 Phụ lục III cùng tài liệu liên quan. Cơ quan giải quyết trong phạm vi mật mã dân sự là Ban Cơ yếu Chính phủ. Doanh nghiệp cần sử dụng phương thức tiếp nhận và hồ sơ điện tử theo quy định đang công bố, bảo đảm tài liệu thể hiện đúng sản phẩm, số lượng hoặc phạm vi đề nghị theo biểu mẫu.

Quy trình có thời gian kiểm tra tính hợp lệ 1 ngày làm việc và thời hạn bổ sung 1 ngày làm việc theo quy định. Thời gian giải quyết là 6 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ. Theo Điều 9, giấy phép xuất khẩu, nhập khẩu có thời hạn 3 năm. Những mốc này không thay cho việc theo dõi nội dung và điều kiện ghi trên giấy được cấp.

Sản phẩm đồng thời thuộc an ninh mạng xử lý thế nào

Điều 9 có cơ chế đối với sản phẩm đồng thời thuộc mật mã dân sự và an ninh mạng: Bộ Công an thực hiện theo thẩm quyền sau khi có ý kiến Ban Cơ yếu Chính phủ. Doanh nghiệp cần đối chiếu đồng thời Nghị định 332 và Nghị định 341 để tránh chọn sai tuyến thủ tục.

Một bảng phân loại nên ghi nguồn tài liệu kỹ thuật, tính năng an ninh mạng, tính năng mật mã và kết luận đối chiếu từng danh mục. Đây là công cụ chuẩn bị và giải trình; kết quả xử lý hồ sơ vẫn thuộc cơ quan có thẩm quyền.

Sau nhập khẩu cần theo dõi gì

Điều 12 Nghị định 341 quy định trách nhiệm trong kinh doanh, trong đó có quản lý thông tin và chế độ báo cáo. Doanh nghiệp cần giữ được liên hệ giữa sản phẩm, hồ sơ nhập khẩu, khách hàng và phạm vi giấy phép. Nếu thay đổi chức năng, cấu hình hoặc đưa ra sản phẩm mới, phải xem lại kết quả phân loại thay vì tự áp dụng giấy tờ của mã hàng cũ.

Sau nhập khẩu, sử dụng sản phẩm có cần rà soát tiếp không

Giấy phép nhập khẩu giải quyết một bước đưa sản phẩm qua biên giới. Khi triển khai trong hệ thống, doanh nghiệp còn cần đối chiếu phương án an ninh mạng, quyền truy cập và trách nhiệm bảo vệ dữ liệu. Một thiết bị có chức năng gửi nhật ký chẩn đoán hoặc cho phép hỗ trợ từ xa cần được khảo sát về dữ liệu, bên nhận và nơi xử lý; không nên suy đoán chỉ từ nhãn hàng hóa.

Nếu thông tin gửi đi là dữ liệu cá nhân và thuộc hoạt động chuyển xuyên biên giới, Điều 20 Luật Bảo vệ dữ liệu cá nhân cần được kiểm tra. Nếu thiết bị nằm trong phương án bảo vệ hệ thống theo cấp độ, cấu hình thực tế cần nhất quán với phương án. Bài về hồ sơ cấp độ và bài về cloud giúp nối phần nhập khẩu với trách nhiệm khi đưa sản phẩm vào vận hành.

Câu hỏi thường gặp

Cùng mã HS với lô trước có dùng lại kết luận cũ được không? Cần kiểm tra thêm mô tả và đặc tính mật mã; mã HS giống nhau không đủ để khẳng định kết quả giống nhau.

Tài liệu của hãng nói không cần giấy phép thì có đủ không? Tài liệu hãng là nguồn thông tin kỹ thuật. Nghĩa vụ pháp lý tại Việt Nam phải đối chiếu quy định và danh mục hiện hành.

Có giấy phép là chắc chắn thông quan không? Không. Việc thông quan còn phụ thuộc hồ sơ, phân loại và các yêu cầu pháp luật áp dụng cho lô hàng.

Nguồn đối chiếu

Nghị định 341/2026/NĐ-CP về mật mã dân sự

Nghị định 332/2026/NĐ-CP về kinh doanh sản phẩm và dịch vụ an ninh mạng

Luật An ninh mạng 116/2025/QH15

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 331/2026/NĐ-CP về bảo đảm an ninh mạng theo cấp độ

Nguồn được kiểm tra đến ngày 23/09/2026.

Mật mã dân sự thường được viết tắt là MMDS trong hồ sơ thương mại và nhập khẩu. Không phải cứ có chức năng mã hóa là có thể kết luận ngay về giấy phép. Từ ngày 1/9/2026, cần đối chiếu Nghị định 341/2026/NĐ-CP, danh mục kèm theo và chức năng thực tế của sản phẩm, dịch vụ.

Giấy phép kinh doanh áp dụng cho phạm vi nào

Điều 3 quy định phạm vi sản phẩm, dịch vụ mật mã dân sự; Điều 4 yêu cầu giấy phép đối với hoạt động kinh doanh thuộc Danh mục tại Phụ lục I. Doanh nghiệp cần đọc cả mô tả và phạm vi sử dụng. Quy định về mật mã bảo vệ thông tin thuộc bí mật nhà nước không được đánh đồng với nhóm mật mã dân sự.

Một cách chuẩn bị là lập bảng mô tả chức năng mật mã, mục đích sử dụng, khách hàng, hình thức cung cấp và tài liệu kỹ thuật. Bảng này giúp đối chiếu danh mục, nhưng không thay thế hồ sơ pháp lý. Việc nhà sản xuất gọi sản phẩm là thiết bị mạng, phần mềm bảo mật hoặc dịch vụ điện toán đám mây không tự quyết định kết quả phân loại.

Doanh nghiệp cần đáp ứng điều kiện gì

Điều 5 quy định nhân sự quản lý, kỹ thuật và cơ sở vật chất, phương án kỹ thuật. Trong đó có tối thiểu 2 cán bộ kỹ thuật có bằng đại học trở lên thuộc ngành điện tử viễn thông, công nghệ thông tin, toán học hoặc an toàn thông tin; 1 cán bộ quản lý, điều hành có bằng đại học thuộc các ngành này, hoặc bằng đại học ngành khác kèm chứng chỉ đào tạo về bảo mật, an toàn thông tin.

Phương án kỹ thuật phải phù hợp sản phẩm, dịch vụ đề nghị. Nếu doanh nghiệp chỉ chuẩn bị văn bằng nhưng chưa mô tả quy trình kiểm soát, cung cấp và bảo vệ liên quan, hồ sơ chưa phản ánh đầy đủ khả năng tổ chức hoạt động.

Nộp hồ sơ ở đâu và dùng mẫu nào

Hồ sơ cấp giấy phép kinh doanh nộp đến Ban Cơ yếu Chính phủ theo Điều 5. Thành phần gồm đơn theo Mẫu số 01 Phụ lục III, tài liệu chứng minh nhân sự và phương án kỹ thuật theo Mẫu số 03 cùng các giấy tờ theo quy định. Có thể nộp trực tiếp, qua bưu chính hoặc qua Cổng Dịch vụ công quốc gia với yêu cầu về chữ ký số đối với hồ sơ điện tử.

Quy trình có 1 ngày làm việc kiểm tra tính hợp lệ và 3 ngày làm việc để bổ sung theo yêu cầu. Thời hạn giải quyết cấp giấy phép là 12 ngày kể từ khi nhận đủ hồ sơ hợp lệ theo quy định. Cần giữ đúng đơn vị thời gian: mốc 12 ngày không được tự đổi thành 12 ngày làm việc.

Trường hợp đồng thời có tính năng an ninh mạng

Khoản 5 Điều 4 quy định Bộ Công an cấp giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng đối với sản phẩm lưỡng dụng có tính năng mật mã dân sự và an ninh mạng. Trước khi cấp, Bộ Công an lấy ý kiến Ban Cơ yếu Chính phủ bằng văn bản về tính năng mật mã dân sự. Đây là lý do cần phân loại trước khi quyết định đầu mối nộp.

Doanh nghiệp không nên mặc định phải xin hai giấy độc lập cho mọi sản phẩm có cả hai tính năng. Cũng không nên tự kết luận một giấy hiện có đã bao phủ toàn bộ sản phẩm mới. Phạm vi và cơ chế phối hợp phải được đối chiếu đúng trường hợp.

Giấy phép có thay chứng nhận hợp quy không

Điều 4 quy định thời hạn giấy phép 10 năm và yêu cầu liên quan đến chứng nhận hợp quy trước khi đưa sản phẩm ra thị trường theo phạm vi áp dụng. Giấy phép kinh doanh, giấy phép xuất nhập khẩu và chứng nhận hợp quy có mục đích khác nhau. Điều 6–8 điều chỉnh các tình huống thay đổi, bổ sung và xử lý giấy phép; Điều 12 quy định trách nhiệm trong quá trình kinh doanh.

Giấy phép đã cấp trước ngày 1/7/2026 được xem xét theo quy định chuyển tiếp tại Điều 18 Nghị định 341 và Điều 45 Luật An ninh mạng. Cần giữ hồ sơ theo dõi ngày hết hạn và phạm vi, không kết luận giấy cũ mất hiệu lực chỉ vì đã có nghị định mới.

Mã hóa dữ liệu và giấy phép MMDS trả lời hai câu hỏi khác nhau

Điều 12 Nghị định 356 đặt yêu cầu bảo vệ dữ liệu cá nhân trên cloud, trong đó có mã hóa khi lưu trữ và truyền. Nghị định 341 lại điều chỉnh hoạt động sản phẩm, dịch vụ mật mã dân sự thuộc phạm vi của mình. Yêu cầu dùng biện pháp bảo vệ không tự biến mọi người sử dụng thành doanh nghiệp kinh doanh MMDS; ngược lại, có giấy phép kinh doanh chưa chứng minh cấu hình bảo vệ dữ liệu của từng khách hàng phù hợp.

Trong một dự án cloud, nên làm rõ bên nào cung cấp tính năng mã hóa, ai quản lý khóa và ai được giải mã dữ liệu. Đây là thông tin cần cho hợp đồng và đánh giá rủi ro. Nếu sản phẩm được nhập khẩu, cần chuyển sang bước đối chiếu Phụ lục II và hồ sơ nhập khẩu, thay vì dừng ở giấy phép kinh doanh.

Câu hỏi thường gặp

Chỉ dùng phần mềm mã hóa nội bộ có cần giấy phép kinh doanh không? Phải phân biệt sử dụng với kinh doanh sản phẩm, dịch vụ. Không nên áp dụng nghĩa vụ kinh doanh chỉ vì doanh nghiệp là người sử dụng.

Có giấy phép kinh doanh MMDS là nhập được mọi thiết bị mã hóa không? Không. Nhập khẩu phải kiểm tra thêm danh mục và thủ tục tại Điều 9–10, cùng nghĩa vụ chất lượng áp dụng.

Nguồn đối chiếu

Nghị định 341/2026/NĐ-CP về mật mã dân sự

Luật An ninh mạng 116/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Nguồn được kiểm tra đến ngày 23/09/2026.

Người tìm “giấy phép ATTTM” trong năm 2026 cần chú ý mốc chuyển đổi pháp luật. Giấy phép cũ được xem xét theo quy định chuyển tiếp, còn hoạt động xin cấp mới phải đối chiếu Luật An ninh mạng 116/2025/QH15 và Nghị định 332/2026/NĐ-CP có hiệu lực ngày 19/8/2026.

Hoạt động nào cần kiểm tra giấy phép

Điều 3–5 Nghị định 332 quy định nhóm sản phẩm, dịch vụ và hoạt động kinh doanh cần giấy phép. Việc xác định phải dựa trên tính năng và nội dung cung cấp. Mua phần mềm để tự sử dụng khác với kinh doanh sản phẩm; tư vấn công nghệ nói chung cũng không tự đồng nhất với dịch vụ an ninh mạng thuộc danh mục quản lý.

Một doanh nghiệp cung cấp kiểm tra, tư vấn an ninh mạng hoặc dịch vụ giám sát cần đối chiếu đúng mô tả và điều kiện tương ứng. Hồ sơ nên thể hiện rõ khách hàng nhận sản phẩm gì, phạm vi kỹ thuật, dữ liệu được tiếp cận và cách vận hành, thay vì chỉ dùng tên gói dịch vụ thương mại.

Điều kiện về doanh nghiệp và nhân sự

Điều 6 quy định điều kiện chung, trong đó có tư cách doanh nghiệp thành lập theo pháp luật Việt Nam, nhân sự kỹ thuật có trình độ hoặc chứng nhận phù hợp và cơ sở vật chất. Trường hợp có vốn đầu tư nước ngoài còn phải kiểm tra điều kiện liên quan được quy định tại điều này.

Điều 7 quy định điều kiện theo hoạt động sản xuất, kinh doanh sản phẩm; Điều 8 quy định điều kiện dịch vụ. Đối với dịch vụ kiểm tra, tư vấn có yêu cầu tối thiểu 5 nhân sự kỹ thuật; nhóm giám sát có yêu cầu tối thiểu 12 nhân sự theo phạm vi tương ứng. Cần đọc cùng tiêu chuẩn chuyên môn, yêu cầu về người đại diện, phương án và các điều kiện khác, không chỉ tuyển đủ số người.

Hồ sơ xin cấp giấy phép gồm những gì

Điều 9 quy định đơn theo Mẫu số 03, tài liệu về nhân sự và trình độ, cơ sở vật chất, phương án kỹ thuật theo Mẫu số 07, phương án kinh doanh theo Mẫu số 08 và tài liệu khác tương ứng với phạm vi đề nghị. Các biểu mẫu về lý lịch, nhân sự sử dụng Mẫu số 05 và 06 theo trường hợp.

Doanh nghiệp nộp một bộ hồ sơ bằng tiếng Việt đến Bộ Công an theo hình thức trực tuyến có ký số, trực tiếp hoặc qua bưu chính. Đối với tài liệu cần chứng minh điều kiện, nội dung nên nhất quán giữa hợp đồng lao động, văn bằng, phân công công việc, hạ tầng và phương án triển khai.

Thời gian giải quyết được tính thế nào

Điều 9 quy định 3 ngày làm việc kiểm tra tính hợp lệ; doanh nghiệp có 10 ngày làm việc để bổ sung theo yêu cầu. Mốc thẩm định, quyết định là 28 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ theo quy định. Không nên quảng bá “28 ngày có giấy” mà bỏ qua điều kiện hồ sơ hợp lệ và các công đoạn liên quan.

Theo Điều 5, giấy phép có thời hạn 10 năm. Việc cấp đổi, cấp lại, gia hạn được điều chỉnh tại Điều 10–12; hồ sơ gia hạn cần chú ý mốc nộp trước khi hết hạn theo Điều 12, trong đó có yêu cầu trước 60 ngày. Giấy phép kinh doanh và thủ tục nhập khẩu sản phẩm là các việc khác nhau, cần kiểm tra riêng nếu doanh nghiệp có nhập khẩu.

Giấy phép ATTTM đã cấp còn hiệu lực ra sao

Điều 45 Luật An ninh mạng quy định giấy phép đã cấp trước ngày 1/7/2026 tiếp tục sử dụng đến hết thời hạn ghi trên giấy theo điều kiện chuyển tiếp. Điều 21 Nghị định 332 cũng quy định chuyển tiếp liên quan đến hợp đồng và hồ sơ. Doanh nghiệp cần xem ngày cấp, ngày hết hạn, phạm vi đã cấp và hoạt động mới dự kiến.

Dịch vụ bảo mật có thể đồng thời xử lý dữ liệu cá nhân

Nhật ký truy cập, tài khoản và dữ liệu phục vụ điều tra sự cố có thể gắn với cá nhân. Vì vậy, nhà cung cấp giám sát an ninh mạng cần kiểm tra vai trò xử lý, giới hạn truy cập, thời hạn lưu và việc sử dụng dữ liệu cho mục đích riêng. Giấy phép kinh doanh an ninh mạng không thay những nghĩa vụ này.

Nếu nhật ký được chuyển sang nền tảng phân tích ở nước ngoài, cần kiểm tra thêm Điều 20 Luật Bảo vệ dữ liệu cá nhân. Nếu dịch vụ có sản phẩm mật mã dân sự, phải phân loại đúng tính năng và cơ chế phối hợp tại Nghị định 341. Đây là lý do phạm vi kỹ thuật, phương án kinh doanh và hợp đồng dữ liệu nên được rà soát cùng nhau.

Khi lựa chọn nhà cung cấp, khách hàng có thể đối chiếu phạm vi giấy phép với dịch vụ thực sự đặt mua, rồi làm rõ dữ liệu nào được tiếp cận và ai xử lý khi xảy ra sự cố. Bài về MMDS và bài về chuyển dữ liệu giải thích hai phần thường phát sinh trong hợp đồng dịch vụ bảo mật.

Câu hỏi thường gặp

Có chứng chỉ của hãng thì có thay giấy phép được không? Không. Chứng chỉ có thể chứng minh một phần năng lực nhưng không thay quyết định cấp phép của cơ quan có thẩm quyền.

Sản phẩm vừa có mật mã dân sự vừa có an ninh mạng xử lý thế nào? Khoản 5 Điều 4 Nghị định 341 quy định Bộ Công an cấp giấy phép đối với sản phẩm lưỡng dụng có tính năng mật mã dân sự và an ninh mạng, sau khi lấy ý kiến Ban Cơ yếu Chính phủ. Cần phân loại đúng sản phẩm trước khi lập hồ sơ.

Nguồn đối chiếu

Luật An ninh mạng 116/2025/QH15

Nghị định 332/2026/NĐ-CP về kinh doanh sản phẩm và dịch vụ an ninh mạng

Nghị định 341/2026/NĐ-CP về mật mã dân sự

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân

Nguồn được kiểm tra đến ngày 23/09/2026.