Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực, doanh nghiệp có vốn đầu tư nước ngoài (FDI) tại Việt Nam cũng phải tuân thủ đầy đủ các quy định liên quan đến việc xử lý và bảo vệ dữ liệu cá nhân. Trách nhiệm của doanh nghiệp FDI sẽ phụ thuộc vào vai trò cụ thể khi tham gia xử lý dữ liệu. Cụ thể như: bên kiểm soát, bên xử lý hoặc đồng thời giữ cả hai vai trò.

Bài viết dưới đây của VDPC giúp doanh nghiệp FDI hiểu rõ trách nhiệm pháp lý. Các nghĩa vụ phải thực hiện, cũng như các rủi ro khi vi phạm quy định về dữ liệu cá nhân.

1. Dữ liệu cá nhân doanh nghiệp FDI xử lý

Căn cứ: Điều 2 Luật Bảo vệ Dữ liệu cá nhân 2025

Dữ liệu cá nhân là dữ liệu số hoặc thông tin xác định hoặc giúp xác định một con người cụ thể. Bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân mà doanh nghiệp FDI thu thập và xử lý bao gồm:

Dữ liệu cá nhân cơ bản: Họ tên, ngày sinh, số điện thoại, email, thông tin nhân viên, khách hàng,…
Dữ liệu nhạy cảm: Dữ liệu sinh trắc học (vân tay, khuôn mặt), hình ảnh từ camera,…

Chủ thể dữ liệu có thể là:

Nhân viên;
người lao động;
khách hàng cá nhân;
cổ đông;
đối tác;
hoặc nhân sự bên thứ ba liên quan.

2. Vai trò của doanh nghiệp FDI trong xử lý dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp FDI có thể giữ một trong ba vai trò sau:

Bên kiểm soát dữ liệu: Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
Bên xử lý dữ liệu: Chỉ xử lý dữ liệu theo hợp đồng, theo chỉ định của bên kiểm soát.
Bên kiểm soát và xử lý đồng thời: Vừa quyết định mục đích, vừa trực tiếp thực hiện xử lý dữ liệu cá nhân.

Vai trò này sẽ quyết định mức độ trách nhiệm pháp lý của doanh nghiệp trong từng tình huống cụ thể.

3. Trách nhiệm doanh nghiệp FDI khi là bên kiểm soát dữ liệu cá nhân

Căn cứ: Khoản 1 Điều 4 Luật Bảo vệ Dữ liệu cá nhân 2025

Đối với chủ thể dữ liệu cá nhân

Doanh nghiệp FDI bảo đảm các quyền của chủ thể dữ liệu cá nhân, gồm:

a. Được biết về hoạt động xử lý dữ liệu cá nhân của mình.

Trước khi xử lý dữ liệu, doanh nghiệp có trách nhiệm thông báo cho cá nhân đó về:

Mục đích, cách thức xử lý;
Hậu quả, thiệt hại không mong muốn có khả năng xảy ra;
Thời gian bắt đầu, kết thúc xử lý dữ liệu.

b. Đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình.

Doanh nghiệp có trách nhiệm lấy sự đồng ý của cá nhân bằng phương thức rõ ràng, cụ thể (in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử).

Tuy nhiên, việc xử lý dữ liệu cá nhân cũng có thể không cần sự đồng ý của chủ thể dữ liệu trong một số trường hợp theo quy định tại Điều 19 Luật bảo vệ dữ liệu cá nhân 2025.

c. Yêu cầu rút lại sự đồng ý, hạn chế xử lý: Khi cá nhân có nghi ngờ phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân.

Doanh nghiệp có trách nhiệm tiếp nhận, thực hiện và yêu cầu bên xử lý dữ liệu cá nhân thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

d. Quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa: Chủ thể dữ liệu cá nhân được quyền xem, tự mình chỉnh sửa đối với dữ liệu cá nhân của bản thân mình theo thỏa thuận với doanh nghiệp và yêu cầu chỉnh sửa.

Doanh nghiệp có trách nhiệm chỉnh sửa dữ liệu cá nhân sau khi chủ thể yêu cầu và đồng thời gửi yêu cầu chỉnh sửa này đến bên xử lý, bên thứ ba.

e. Quyền yêu cầu cung cấp dữ liệu

Khi có yêu cầu từ chủ thể dữ liệu cá nhân, doanh nghiệp có trách nhiệm cung cấp dữ liệu phù hợp quy định của pháp luật, thỏa thuận với chủ thể dữ liệu, trừ trường hợp việc cung cấp đó có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, tài sản của người khác.

f. Quyền yêu cầu xóa dữ liệu

Chủ thể có quyền yêu cầu xóa dữ liệu và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình, doanh nghiệp có trách nhiệm xóa dữ liệu cá nhân bằng các biện pháp an toàn; ngăn chặn hoạt động xâm nhập và khôi phục trái phép dữ liệu cá nhân đã bị xóa.

Trường hợp không thể xóa vì lý do chính đáng sau khi nhận được yêu cầu, doanh nghiệp phải thông báo để chủ thể dữ liệu cá nhân biết.

Đối với cơ quan chuyên trách bảo vệ dữ liệu cá nhân

Căn cứ: Điểm i Khoản 1 Điều 37 Luật Bảo vệ Dữ liệu cá nhân 2025

Doanh nghiệp có trách nhiệm:

Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân cho cơ quan chuyên trách để có thể kịp thời xử lý;
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân;
Cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

4. Trách nhiệm doanh nghiệp FDI khi là bên xử lý dữ liệu cá nhân

Căn cứ: Khoản 2 Điều 37 Luật Bảo vệ Dữ liệu cá nhân 2025

Doanh nghiệp có trách nhiệm:

Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu;
Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với Bên kiểm soát và phải chịu trách nhiệm về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định;
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

5. Lưu ý đối với doanh nghiệp FDI

Thực hiện đánh giá tác động xử lý dữ liệu cá nhân: Doanh nghiệp có trách nhiệm lập, lưu trữ, và gửi 01 bản chính hồ sơ đánh giá tác động cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày. Hồ sơ này cần được cập nhật định kỳ 06 tháng khi có sự thay đổi.
Chuyển dữ liệu cá nhân ra nước ngoài: Doanh nghiệp có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày sau khi chuyển dữ liệu.

6. Hậu quả pháp lý của hành vi vi phạm về bảo vệ dữ liệu cá nhân

Hành vi vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự tùy tính chất, mức độ… vi phạm. Nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Về dân sự, doanh nghiệp có thể bị khởi kiện đòi bồi thường thiệt hại. Nếu thiệt hại xảy ra là có thật và có đủ chứng cứ. Ngoài ra, danh dự và uy tín của doanh nghiệp cũng sẽ bị ảnh hưởng.

Để bảo vệ dữ liệu cá nhân, Doanh nghiệp cần thực hiện các công việc sau:

Xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân. Nêu rõ những việc cần thực hiện, phải thực hiện của bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên thứ ba và bao gồm các phòng, ban liên quan của họ.
Áp dụng các tiêu chuẩn bảo vệ dữ liệu cá nhân phù hợp.
Cử 1 cán bộ/phòng chuyên trách hoặc kiêm nhiệm (ví dụ như phòng nhân sự) chịu trách nhiệm:
– Theo dõi, tiếp nhận phản ánh, khiếu nại của công nhân, đối tác, khách hàng,…
– Phối hợp với Bộ Công an khi được yêu cầu.

Kết luận

Luật Bảo vệ dữ liệu cá nhân 2025 đặt ra yêu cầu nghiêm ngặt đối với doanh nghiệp FDI đang hoạt động tại Việt Nam. Dù là bên kiểm soát hay bên xử lý dữ liệu, doanh nghiệp đều phải chủ động thực hiện đầy đủ trách nhiệm. Từ xin ý kiến cá nhân đến đánh giá tác động và xử lý yêu cầu từ người dùng.

Để tránh rủi ro pháp lý, doanh nghiệp FDI cần sớm xây dựng chính sách, quy trình nội bộ. Đồng thời phân công người phụ trách dữ liệu rõ ràng.

Trên đây là nội dung tư vấn về Trách nhiệm bảo vệ dữ liệu cá nhân của doanh nghiệp FDI. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 090.225.5492

TIN PHÁP LUẬT

Trách nhiệm bảo vệ dữ liệu cá nhân của doanh nghiệp FDI