Tuân thủ PDPL từ 2026: vì sao kiến trúc on-premise là lựa chọn an toàn hơn

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng có hiệu lực, thay thế Nghị định 13/2023. Câu hỏi mà hầu hết tổ chức đang hỏi rất cụ thể: tuân thủ PDPL thực chất phải làm gì, và chọn hạ tầng nào thì đỡ rủi ro hơn. Câu trả lời ngắn: nghĩa vụ nặng nhất là chứng minh được bạn kiểm soát dữ liệu — hồ sơ đánh giá tác động, nhân sự phụ trách, quy trình đáp ứng quyền của chủ thể dữ liệu, quy trình báo vi phạm. Kiến trúc on-premise không làm thay bất kỳ nghĩa vụ nào trong số đó, nhưng nó thu hẹp phạm vi phải chứng minh và loại bỏ nhóm nghĩa vụ khó nhất là chuyển dữ liệu xuyên biên giới.

Bài này tách bạch ba lớp: luật quy định gì, nghị định biến thành nghĩa vụ vận hành ra sao, và kiến trúc hạ tầng đóng góp được đến đâu trong việc bảo vệ dữ liệu cá nhân. Phần cuối là checklist và những hiểu lầm đang lan nhanh nhất.

Luật Bảo vệ dữ liệu cá nhân 91/2025 quy định gì

Đây là đạo luật riêng đầu tiên của Việt Nam về dữ liệu cá nhân, được Quốc hội thông qua ngày 26/06/2025. Bốn nhóm nội dung đáng chú ý nhất với người làm hệ thống.

• Phạm vi. Điều 1 áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam; tổ chức nước ngoài tại Việt Nam; và cả tổ chức nước ngoài tham gia hoặc liên quan đến việc xử lý dữ liệu cá nhân của công dân Việt Nam. Đặt máy chủ ở đâu không làm bạn nằm ngoài phạm vi.
• Phân loại dữ liệu. Điều 2 chia dữ liệu cá nhân thành cơ bản và nhạy cảm, danh mục cụ thể do Chính phủ ban hành. Danh mục dữ liệu cá nhân nhạy cảm nằm ở Điều 4 Nghị định 356 và rộng hơn nhiều người nghĩ: tình trạng sức khỏe, dữ liệu sinh trắc học, vị trí xác định qua dịch vụ định vị, hình ảnh thẻ căn cước, thông tin và lịch sử giao dịch tài khoản ngân hàng, dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng. Hồ sơ nhân sự, chấm công có định vị hay kho ảnh giấy tờ scan đều rơi vào nhóm này.
• Căn cứ xử lý. Nguyên tắc là phải có sự đồng ý của chủ thể. Điều 19 liệt kê các trường hợp không cần đồng ý: cấp bách bảo vệ tính mạng sức khỏe, tình trạng khẩn cấp và an ninh quốc gia, hoạt động của cơ quan nhà nước, thực hiện thỏa thuận của chính chủ thể. Điểm nhiều nơi bỏ qua: khoản 2 Điều 19 buộc phải thiết lập cơ chế giám sát ngay cả khi được miễn xin đồng ý.
• Quyền của chủ thể dữ liệu. Điều 4 liệt kê quyền được biết, đồng ý hoặc rút lại đồng ý, xem và chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối xử lý, khiếu nại và yêu cầu bồi thường. Mỗi quyền tương ứng với một thao tác hệ thống phải làm được trong thời hạn xác định.

Về chế tài, Điều 8 ấn định các mức phạt tiền tối đa: 10 lần khoản thu bất chính đối với hành vi mua bán dữ liệu cá nhân, 5% doanh thu năm liền kề đối với tổ chức vi phạm quy định chuyển dữ liệu xuyên biên giới, và 3 tỷ đồng cho các vi phạm khác; cá nhân chịu một phần hai mức của tổ chức. Ba con số này hay bị gộp làm một, phần cuối bài nói rõ vì sao không nên gộp.

Nghị định 356/2025 biến luật thành nghĩa vụ vận hành

Nếu luật đặt nguyên tắc thì Nghị định 356/2025 hướng dẫn PDPL mới là văn bản mà bộ phận pháp chế và IT phải in ra đọc. Ba nhóm nghĩa vụ có deadline cụ thể.

• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Theo Điều 21 của Luật, bên kiểm soát và bên kiểm soát đồng thời xử lý phải lập, lưu trữ hồ sơ và gửi một bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. Điều 19 Nghị định 356 quy định thành phần hồ sơ, trong đó có sơ đồ luồng dữ liệu, chính sách lưu trữ và xóa hủy, phương án bảo đảm an toàn kèm sơ đồ thiết kế hệ thống. Điều 20 buộc cập nhật định kỳ 6 tháng kể từ lần nộp đầu, và cập nhật trong 10 ngày khi tổ chức được tổ chức lại, giải thể, hoặc thay đổi ngành nghề liên quan đến xử lý dữ liệu.
• Nhân sự bảo vệ dữ liệu cá nhân. Khoản 2 Điều 33 của Luật buộc cơ quan, tổ chức chỉ định bộ phận hoặc nhân sự đủ điều kiện, hoặc thuê dịch vụ bên ngoài. Điều 13 Nghị định 356 đặt điều kiện thật: chỉ định bằng văn bản chính thức, người được chỉ định phải có trình độ cao đẳng trở lên và ít nhất 2 năm kinh nghiệm ở một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự. Điều 14 mô tả nhiệm vụ, trong đó có việc định kỳ đánh giá thực trạng tuân thủ bằng báo cáo.
• Thông báo vi phạm dữ liệu cá nhân. Điều 23 của Luật yêu cầu thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại đến an ninh quốc gia hoặc xâm phạm tính mạng, sức khỏe, danh dự, tài sản của chủ thể. Điều 28 Nghị định 356 quy định nội dung thông báo và mẫu biểu. Riêng dữ liệu vị trí cá nhân và dữ liệu sinh trắc học, Điều 29 còn buộc thông báo cho chính chủ thể bị ảnh hưởng trong 72 giờ và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong.

Thời hạn đáp ứng yêu cầu của chủ thể dữ liệu nằm ở Điều 5 Nghị định 356 và khác hẳn Nghị định 13 cũ. Với yêu cầu rút lại đồng ý, hạn chế hoặc phản đối xử lý: phản hồi trong 2 ngày làm việc, thực hiện trong 15 ngày, hoặc 20 ngày nếu phải yêu cầu bên xử lý và bên thứ ba dừng theo. Với yêu cầu xem, chỉnh sửa, cung cấp dữ liệu: phản hồi trong 2 ngày làm việc, thực hiện trong 10 ngày, hoặc 15 ngày nếu liên quan bên thứ ba. Có thể gia hạn tối đa một lần không quá 15 ngày và phải chứng minh việc gia hạn là cần thiết.

Vì sao kiến trúc on-premise giúp tuân thủ PDPL dễ hơn

Điểm chung của mọi nghĩa vụ trên là bạn phải chứng minh được điều mình nói về dữ liệu. Chứng minh là bài toán về bằng chứng, và bằng chứng chỉ có được ở nơi bạn kiểm soát.

• Không phát sinh nghĩa vụ chuyển dữ liệu xuyên biên giới. Điều 20 của Luật định nghĩa chuyển xuyên biên giới rất rộng, bao gồm cả việc dùng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Một SaaS nước ngoài, một API AI đặt ở nước ngoài hay một dịch vụ sao lưu đa vùng đều kích hoạt nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu và nộp trong 60 ngày kể từ ngày chuyển đầu tiên. Hệ thống chạy trong hạ tầng của tổ chức không sinh ra nhóm nghĩa vụ này, và cũng nằm ngoài khung phạt 5% doanh thu.
• Luồng dữ liệu vẽ được. Hồ sơ đánh giá tác động đòi sơ đồ luồng dữ liệu và sơ đồ thiết kế hệ thống. Với hệ thống tự vận hành, đây là tài liệu bạn đã có. Với dịch vụ đám mây, bạn phải đi hỏi nhà cung cấp và chấp nhận mô tả ở mức họ công bố.
• Nhật ký và phân quyền là của bạn. Khoản 2 Điều 4 Nghị định 356 buộc thiết lập phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật khi xử lý dữ liệu cá nhân nhạy cảm. Nhật ký truy cập đầy đủ, giữ theo thời hạn bạn chọn, là thứ hiếm khi có sẵn ở gói dịch vụ tiêu chuẩn.
• Xóa là xóa thật. Quyền yêu cầu xóa chỉ có ý nghĩa nếu bạn xóa được cả bản sao lưu và bản nhân bản. Trên hạ tầng của mình, bạn biết có bao nhiêu bản.
• Không phụ thuộc điều khoản bên thứ ba. Điều 12 Nghị định 356 buộc hợp đồng với nhà cung cấp điện toán đám mây phải nêu rõ việc chấp hành pháp luật Việt Nam, xác định vai trò các bên, yêu cầu bảo mật, thời hạn xóa hủy và cơ chế bảo đảm quyền của chủ thể. Với nhà cung cấp lớn ở nước ngoài, đây thường là hợp đồng mẫu không đàm phán được. Chủ đề này chúng tôi đã bàn ở bài on-premise hay cloud khi tuân thủ dữ liệu và lưu trữ dữ liệu trong nước.

On-premise không tự động bằng tuân thủ

Phải nói thẳng điều này, vì đang có xu hướng bán hạ tầng như bán giấy chứng nhận.

Không điều nào của Luật 91/2025 hay Nghị định 356/2025 quy định dữ liệu cá nhân bắt buộc phải nằm on-premise. Đám mây là hợp pháp, có một điều riêng hướng dẫn cách dùng cho đúng. Ngược lại, một máy chủ đặt trong phòng máy của tổ chức mà không có hồ sơ đánh giá tác động, không có người được chỉ định bằng văn bản, không có quy trình tiếp nhận yêu cầu của chủ thể dữ liệu thì vẫn vi phạm đủ các điều như một hệ thống đám mây cẩu thả. Rủi ro kỹ thuật thậm chí cao hơn, vì vá lỗi, sao lưu và giám sát rơi hết về đội nội bộ.

Cần phân định thêm vai trò. Luật tách bên kiểm soát dữ liệu, bên xử lý dữ liệu và bên kiểm soát đồng thời xử lý. Trách nhiệm bên kiểm soát và bên xử lý dữ liệu không giống nhau: bên kiểm soát quyết định mục đích và phương tiện, gánh nghĩa vụ nộp hồ sơ và đáp ứng quyền chủ thể; bên xử lý làm theo yêu cầu và lập hồ sơ theo thỏa thuận với bên kiểm soát. Khi bạn thuê một đơn vị vận hành hệ thống on-premise của mình, vai trò đó phải được viết vào hợp đồng, không suy đoán.

Checklist việc cần làm

• Bản đồ dữ liệu. Liệt kê từng hệ thống: thu thập dữ liệu gì, thuộc nhóm cơ bản hay nhạy cảm theo Điều 4 Nghị định 356, lưu ở đâu, ai truy cập, giữ bao lâu, xóa bằng cách nào.
• Xác định vai trò. Với mỗi luồng dữ liệu, ghi rõ tổ chức là bên kiểm soát, bên xử lý hay cả hai, và bên thứ ba nào tham gia.
• Rà soát căn cứ xử lý. Mỗi mục đích xử lý phải gắn với sự đồng ý hợp lệ hoặc một trường hợp cụ thể tại Điều 19; nếu miễn xin đồng ý thì lập cơ chế giám sát theo khoản 2 Điều 19.
• Lập hồ sơ đánh giá tác động. Theo Mẫu số 10 của Nghị định 356, kèm sơ đồ luồng dữ liệu và sơ đồ thiết kế hệ thống; nộp trong 60 ngày kể từ ngày đầu tiên xử lý; đặt lịch cập nhật 6 tháng.
• Chỉ định nhân sự. Ra quyết định bằng văn bản, kiểm tra người được chỉ định có đủ điều kiện tại Điều 13, ký thỏa thuận bảo mật, lên kế hoạch đào tạo.
• Quy trình đáp ứng quyền chủ thể. Có biểu mẫu, có đầu mối tiếp nhận, có SLA nội bộ ngắn hơn mốc luật định, có cách xác minh danh tính người yêu cầu.
• Quy trình sự cố. Ai phát hiện báo cho ai, ai ra quyết định thông báo, mẫu thông báo theo Điều 28, và nhánh riêng cho dữ liệu vị trí và sinh trắc học theo Điều 29.
• Rà soát nhà cung cấp. Với mỗi dịch vụ bên ngoài, kiểm tra dữ liệu có ra khỏi Việt Nam không và hợp đồng có đủ nội dung tại Điều 12 không. Bài quản trị rủi ro bên thứ ba với SaaS có bộ câu hỏi chi tiết hơn.
• Đưa hệ thống nhạy cảm về nơi kiểm soát được. Ưu tiên các hệ thống chứa hồ sơ nhân sự, hồ sơ sức khỏe, ảnh giấy tờ tùy thân và dữ liệu tài chính khách hàng.

Với nhóm cuối, Tetra eOffice chạy trên hạ tầng của tổ chức, giữ văn bản và dữ liệu nhân sự trong hệ thống nội bộ, kèm phân quyền và nhật ký truy cập đủ để đưa vào hồ sơ đánh giá tác động.

Những hiểu lầm phổ biến

• Vi phạm nào cũng bị phạt 5% doanh thu. Không đúng. Mức 5% doanh thu năm liền kề tại khoản 4 Điều 8 chỉ áp cho tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới. Vi phạm khác có trần 3 tỷ đồng theo khoản 5.
• Mọi yêu cầu của chủ thể dữ liệu phải xử lý trong 72 giờ. Không đúng. Mốc 72 giờ là cho thông báo vi phạm theo Điều 23 của Luật. Yêu cầu của chủ thể dữ liệu theo Điều 5 Nghị định 356 là phản hồi 2 ngày làm việc và thực hiện trong 10, 15 hoặc 20 ngày tùy loại yêu cầu.
• Doanh nghiệp nhỏ và startup được miễn. Chỉ miễn một phần và có thời hạn. Khoản 2 Điều 38 của Luật cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp quyền chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 5 năm kể từ ngày luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn không kèm thời hạn. Cả hai nhóm mất ưu đãi nếu kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc đạt quy mô từ 100 nghìn chủ thể dữ liệu trở lên theo Điều 41 Nghị định 356. Các nghĩa vụ còn lại vẫn áp dụng đầy đủ.
• Đã xin đồng ý theo Nghị định 13 thì phải xin lại. Không cần. Điều 39 của Luật cho phép tiếp tục hoạt động xử lý đã được đồng ý hợp lệ trước ngày luật có hiệu lực. Hồ sơ đánh giá tác động đã được tiếp nhận trước đó cũng tiếp tục được sử dụng, chỉ khi cập nhật mới phải theo quy định mới.

Kết

Tuân thủ PDPL là công việc quản trị, không phải một hạng mục mua sắm. Thứ tự đúng là hiểu dữ liệu mình đang giữ, xác định vai trò pháp lý, dựng quy trình và hồ sơ, rồi mới chọn nơi đặt hệ thống. Kiến trúc on-premise không cấp cho ai tấm vé miễn trách nhiệm, nhưng nó rút ngắn khoảng cách giữa những gì bạn khai trong hồ sơ và những gì thực sự xảy ra trong hệ thống — và với cơ quan kiểm tra, khoảng cách đó chính là thứ được xem xét.

Nếu tổ chức của bạn đang rà soát hiện trạng dữ liệu và cân nhắc đưa các hệ thống nhạy cảm về hạ tầng nội bộ, hãy đặt lịch tư vấn với Tetra để cùng dựng lộ trình.

Toàn văn có thể tra tại Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Cổng thông tin văn bản pháp luật.

Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý. Tổ chức nên đối chiếu với văn bản hiện hành và ý kiến chuyên gia pháp chế trước khi ra quyết định.