Luật 91/2025/QH15: 4 Lỗ hổng quản trị dữ liệu khiến doanh nghiệp dễ 'dính' vi phạm nhất

Kể từ ngày 01/01/2026, Luật Bảo vệ Dữ liệu cá nhân (PDPL) Số 91/2025/QH15 và Nghị định Số 356/2025/NĐ-CP chính thức có hiệu lực. Đây là một bước ngoặt lớn, chấm dứt kỷ nguyên doanh nghiệp có thể tự do thu thập và sử dụng dữ liệu khách hàng mà thiếu sự kiểm soát chặt chẽ.

Nội dung chính

1 Doanh nghiệp không còn được tự do thu thập dữ liệu khách hàng
2 4 lỗ hổng khiến doanh nghiệp dễ dàng vi phạm
3 Checklist nghĩa vụ bắt buộc đối với doanh nghiệp

Doanh nghiệp không còn được tự do thu thập dữ liệu khách hàng

Luật mới quy định rõ: Doanh nghiệp không được tự do thu thập dữ liệu khách hàng một cách mặc định như trước. Mọi hoạt động xử lý dữ liệu hiện nay phải xoay quanh việc quản lý Consent (Sự đồng ý). Doanh nghiệp bắt buộc phải có quy trình xin phép rõ ràng, minh bạch, có khả năng lưu trữ, cung cấp bằng chứng xác thực khi cơ quan quản lý yêu cầu kiểm tra.

4 lỗ hổng khiến doanh nghiệp dễ dàng vi phạm

Dù luật đã được ban hành từ ngày 01/01/2026, nhưng vẫn có rất nhiều doanh nghiệp vẫn đang vận hành với những “tử huyệt” về dữ liệu mà không hề hay biết:

Consent nằm rải rác: Sự đồng ý của khách hàng bị phân tán ở nhiều kênh (Website, Mobile App, Form đăng ký online & offline), dẫn đến việc không thể quản lý dữ liệu tập trung về một hệ thống.
Khó đáp ứng quyền của khách hàng: Do hệ thống rời rạc, doanh nghiệp thường lúng túng hoặc xử lý chậm trễ khi khách hàng yêu cầu điều chỉnh/rút lại sự đồng ý hoặc phản đối xử lý dữ liệu.
Thiếu hệ thống Audit Log: Không có nhật ký lưu vết thời điểm, mục đích và bằng chứng thu thập/xử lý Consent. Đây là tài liệu sống còn khi có thanh tra kiểm tra.
Rủi ro với dữ liệu nhạy cảm: Các dữ liệu về sức khỏe,vị trí, tài chính, sinh trắc học… chưa có cơ chế kiểm soát chặt chẽ và xin Consent riêng biệt theo đúng quy định.

Checklist nghĩa vụ bắt buộc đối với doanh nghiệp

Để đảm bảo tuân thủ và vận hành ổn định sau mốc 01/01/2026, doanh nghiệp bắt buộc phải thực thi 5 yêu cầu cốt lõi:

Xin và chứng minh Consent rõ ràng: Phải có bằng chứng xác thực sự tự nguyện của người dùng.
Cung cấp quyền rút lại Consent: Khách hàng phải có khả năng rút lại sự đồng ý bất kỳ lúc nào một cách dễ dàng.
Tuyệt đối không mặc định đồng ý: Các ô lựa chọn (checkbox) không được tích sẵn; người dùng phải là người chủ động thực hiện hành vi đồng ý.
Phân loại Consent theo mục đích: Phân tách rõ ràng sự đồng ý cho từng mục đích sử dụng cụ thể như: phân tích dữ liệu, quảng cáo, hay chia sẻ cho bên thứ ba.
Cơ chế riêng cho dữ liệu nhạy cảm: Thiết lập quy trình xin Consent riêng biệt và minh bạch cho các loại dữ liệu đặc thù (Vị trí, sức khỏe, sinh trắc học, tài chính…).

Doanh nghiệp bạn đã sẵn sàng cho kỳ kiểm tra tuân thủ?

Việc tuân thủ PDPL không chỉ là nghĩa vụ pháp lý mà còn là nền tảng để xây dựng niềm tin với khách hàng đồng thời giúp doanh nghiệp chuẩn hoá và làm sạch dữ liệu đầu vào. Đừng để những sai sót trong quản trị Consent trở thành điểm nghẽn cho sự phát triển của doanh nghiệp.

BizNext Trust cung cấp giải pháp quản trị sự đồng ý tập trung (CMP), giúp doanh nghiệp tự động hóa lộ trình tuân thủ, tối ưu quy trình và bảo vệ uy tín thương hiệu trên không gian số.

Liên hệ ngay với chúng tôi để nhận tư vấn lộ trình tuân thủ PDPL 2026!