Luật Bảo vệ Dữ liệu Cá nhân 2026: 5 điều khoản hợp đồng bắt buộc phải có

Hợp đồng của bạn có thể đang vi phạm luật mà không biết

Kể từ ngày 1/1/2026, Luật Bảo vệ Dữ liệu Cá nhân 2025 (BVDLCN) chính thức có hiệu lực, thay thế hoàn toàn Nghị định 13/2023/NĐ-CP. Đây là bước ngoặt lớn trong cách doanh nghiệp và cá nhân xử lý thông tin cá nhân tại Việt Nam.

Vấn đề là: Theo khảo sát của Cục An toàn thông tin (tháng 6/2026), 67% doanh nghiệp vừa và nhỏ chưa cập nhật hợp đồng theo quy định mới. Điều này có nghĩa hàng triệu hợp đồng lao động, hợp đồng dịch vụ, và hợp đồng với khách hàng đang tiềm ẩn rủi ro pháp lý nghiêm trọng.

Mức phạt? Lên đến 100 triệu đồng cho mỗi vi phạm, cộng thêm nghĩa vụ bồi thường thiệt hại cho người bị ảnh hưởng.

Bài viết này sẽ giúp bạn hiểu rõ Luật BVDLCN 2025 ảnh hưởng thế nào đến hợp đồng, 5 điều khoản bắt buộc phải có, và cung cấp mẫu điều khoản chuẩn để bạn áp dụng ngay.

Luật BVDLCN 2025: Những thay đổi quan trọng nhất

Phạm vi áp dụng mở rộng

Khác với Nghị định 13 chỉ tập trung vào dữ liệu điện tử, Luật mới áp dụng cho mọi hình thức xử lý dữ liệu cá nhân, bao gồm:

• Dữ liệu điện tử (database, cloud, email)
• Dữ liệu giấy (hồ sơ nhân sự, hợp đồng bản cứng)
• Dữ liệu thu thập trực tiếp hoặc gián tiếp (qua bên thứ ba)

Điều này có nghĩa: Ngay cả một hợp đồng lao động in giấy chứa thông tin CCCD, số tài khoản ngân hàng của nhân viên cũng phải tuân thủ Luật BVDLCN.

Định nghĩa rõ ràng hơn về "dữ liệu cá nhân"

Luật phân loại dữ liệu cá nhân thành hai nhóm:

Dữ liệu cá nhân cơ bản:

• Họ tên, ngày sinh, giới tính
• Địa chỉ, số điện thoại, email
• Số CCCD/CMND, hộ chiếu
• Hình ảnh, giọng nói

Dữ liệu cá nhân nhạy cảm (yêu cầu bảo vệ cao hơn):

• Quan điểm chính trị, tôn giáo
• Tình trạng sức khỏe, bệnh án
• Thông tin về đời sống tình dục
• Dữ liệu sinh trắc học (vân tay, khuôn mặt)
• Thông tin về tội phạm, vi phạm pháp luật
• Dữ liệu vị trí (GPS tracking)
• Thông tin tài chính chi tiết (lịch sử giao dịch, nợ xấu)

Quyền mới của chủ thể dữ liệu

Người có dữ liệu được thu thập có các quyền sau (và bạn phải đảm bảo hợp đồng không vi phạm):

Mức phạt tăng mạnh

Lưu ý quan trọng: Mức phạt được áp dụng cho mỗi vi phạm riêng lẻ. Nếu bạn có 100 hợp đồng lao động không tuân thủ, lý thuyết có thể bị phạt 100 x 50 triệu = 5 tỷ đồng.

5 loại hợp đồng cần cập nhật ngay

1. Hợp đồng lao động (HĐLĐ)

Dữ liệu thu thập: Họ tên, CCCD, địa chỉ, số tài khoản ngân hàng, người thân liên hệ khẩn cấp, bằng cấp, tiền sử công tác, ảnh chân dung.

Vấn đề thường gặp:

• Không nêu rõ mục đích thu thập từng loại dữ liệu
• Thu thập thông tin người thân mà không có căn cứ pháp lý
• Lưu trữ vô thời hạn sau khi nghỉ việc

Cần bổ sung: Điều khoản về mục đích, thời gian lưu trữ, quyền của người lao động.

2. Hợp đồng dịch vụ với khách hàng

Dữ liệu thu thập: Thông tin liên hệ, địa chỉ giao hàng, lịch sử mua hàng, thông tin thanh toán.

Vấn đề thường gặp:

• Chia sẻ dữ liệu cho bên thứ ba (đối tác marketing) mà không thông báo
• Sử dụng dữ liệu cho mục đích quảng cáo mà không có đồng ý riêng
• Không có quy trình xử lý khi khách hàng yêu cầu xóa tài khoản

3. Hợp đồng với nhà cung cấp/đối tác (B2B)

Dữ liệu liên quan: Thông tin liên hệ của nhân viên hai bên, dữ liệu khách hàng được chia sẻ để thực hiện dịch vụ.

Vấn đề thường gặp:

• Không quy định trách nhiệm khi đối tác làm lộ dữ liệu
• Không có điều khoản về xóa dữ liệu khi kết thúc hợp tác
• Thiếu cam kết tuân thủ Luật BVDLCN

4. Hợp đồng thuê nhà/mặt bằng

Dữ liệu thu thập: CCCD bên thuê, địa chỉ thường trú, thông tin tài chính (để chứng minh khả năng thanh toán), lịch sử thuê nhà.

Vấn đề thường gặp:

• Chủ nhà photo CCCD mà không nêu mục đích
• Yêu cầu thông tin tài chính chi tiết (sao kê ngân hàng) vượt quá mức cần thiết
• Không có cam kết xóa dữ liệu sau khi kết thúc hợp đồng

5. Hợp đồng vay/tín dụng

Dữ liệu thu thập: Thông tin tài chính chi tiết, lịch sử tín dụng (CIC), thông tin người bảo lãnh, tài sản thế chấp.

Vấn đề thường gặp:

• Thu thập dữ liệu vượt quá mức cần thiết
• Chia sẻ thông tin cho công ty thu hồi nợ mà không thông báo trước
• Lưu trữ thông tin tín dụng quá thời hạn quy định

5 điều khoản bắt buộc phải có trong hợp đồng

Điều khoản 1: Mục đích và phạm vi thu thập dữ liệu

Yêu cầu pháp lý: Điều 11 Luật BVDLCN 2025 — Phải thông báo rõ ràng, cụ thể mục đích thu thập trước khi tiến hành.

Mẫu điều khoản:

Điều X: Thu thập và xử lý dữ liệu cá nhân

X.1. Các bên đồng ý rằng trong quá trình thực hiện Hợp đồng này, Bên A sẽ thu thập các dữ liệu cá nhân sau của Bên B:

- Họ tên, ngày sinh, giới tính

- Số CCCD/Hộ chiếu

- Địa chỉ thường trú và địa chỉ liên hệ

- Số điện thoại, địa chỉ email

- Số tài khoản ngân hàng (để thực hiện thanh toán)

X.2. Mục đích thu thập:

- Xác định danh tính Bên B để thực hiện Hợp đồng

- Liên hệ khi cần thiết liên quan đến việc thực hiện Hợp đồng

- Thực hiện các nghĩa vụ thanh toán theo Hợp đồng

- Tuân thủ các yêu cầu pháp lý (báo cáo thuế, kiểm toán)

X.3. Bên A cam kết không sử dụng dữ liệu cá nhân của Bên B cho bất kỳ mục đích nào khác ngoài các mục đích nêu trên mà không có sự đồng ý bằng văn bản của Bên B.

Điều khoản 2: Thời gian lưu trữ và xóa dữ liệu

Yêu cầu pháp lý: Điều 17 Luật BVDLCN 2025 — Dữ liệu chỉ được lưu trữ trong thời gian cần thiết cho mục đích đã nêu.

Mẫu điều khoản:

Điều Y: Thời gian lưu trữ dữ liệu

Y.1. Dữ liệu cá nhân của Bên B sẽ được lưu trữ trong các thời hạn sau:

- Dữ liệu liên quan đến thực hiện Hợp đồng: Trong suốt thời hạn Hợp đồng và thêm 05 (năm) năm sau khi Hợp đồng kết thúc (để phục vụ kiểm toán, tranh chấp nếu có)

- Dữ liệu liên quan đến thuế, kế toán: 10 (mười) năm theo quy định của Luật Kế toán

- Các dữ liệu khác: Sẽ được xóa trong vòng 30 (ba mươi) ngày sau khi Hợp đồng kết thúc

Y.2. Khi hết thời hạn lưu trữ, Bên A sẽ:

- Xóa vĩnh viễn dữ liệu điện tử khỏi tất cả hệ thống

- Tiêu hủy tài liệu giấy chứa dữ liệu cá nhân

- Thông báo bằng văn bản cho Bên B về việc hoàn tất xóa/tiêu hủy trong vòng 07 (bảy) ngày

Điều khoản 3: Quyền của chủ thể dữ liệu

Yêu cầu pháp lý: Điều 9 Luật BVDLCN 2025 — Phải đảm bảo chủ thể dữ liệu có thể thực hiện các quyền của mình.

Mẫu điều khoản:

Điều Z: Quyền của Bên B đối với dữ liệu cá nhân

Z.1. Bên B có các quyền sau đây đối với dữ liệu cá nhân của mình:

a) Quyền truy cập: Yêu cầu Bên A cung cấp bản sao toàn bộ dữ liệu cá nhân đang được lưu trữ. Bên A sẽ phản hồi trong vòng 72 giờ làm việc.

b) Quyền chỉnh sửa: Yêu cầu Bên A cập nhật, chỉnh sửa các thông tin không chính xác hoặc không đầy đủ. Bên A sẽ thực hiện trong vòng 72 giờ làm việc.

c) Quyền xóa: Yêu cầu Bên A xóa dữ liệu cá nhân khi:

- Dữ liệu không còn cần thiết cho mục đích đã thu thập

- Bên B rút lại sự đồng ý (trừ trường hợp có căn cứ pháp lý khác để tiếp tục xử lý)

- Dữ liệu được xử lý trái pháp luật

d) Quyền rút đồng ý: Bên B có thể rút lại sự đồng ý xử lý dữ liệu bất kỳ lúc nào bằng thông báo văn bản, email đến địa chỉ: [email bảo vệ dữ liệu của công ty].

Z.2. Để thực hiện các quyền trên, Bên B liên hệ:

- Email: privacy@[tencongty].com.vn

- Điện thoại: [số hotline]

- Địa chỉ: [địa chỉ văn phòng]

Điều khoản 4: Chia sẻ dữ liệu cho bên thứ ba

Yêu cầu pháp lý: Điều 15 Luật BVDLCN 2025 — Phải có đồng ý hoặc căn cứ pháp lý khi chuyển dữ liệu cho bên thứ ba.

Mẫu điều khoản:

Điều W: Chia sẻ dữ liệu với bên thứ ba

W.1. Bên A có thể chia sẻ dữ liệu cá nhân của Bên B cho các bên thứ ba sau đây để thực hiện Hợp đồng:

- Ngân hàng/tổ chức thanh toán: để xử lý giao dịch

- Đơn vị vận chuyển: để giao hàng (chỉ gồm tên, địa chỉ, số điện thoại)

- Cơ quan nhà nước có thẩm quyền: khi có yêu cầu theo quy định pháp luật

W.2. Ngoài các trường hợp nêu tại khoản W.1, Bên A sẽ không chia sẻ dữ liệu cá nhân của Bên B cho bất kỳ bên thứ ba nào mà không có sự đồng ý bằng văn bản của Bên B.

W.3. Khi chia sẻ dữ liệu cho bên thứ ba, Bên A cam kết:

- Chỉ chia sẻ dữ liệu tối thiểu cần thiết cho mục đích cụ thể

- Yêu cầu bên thứ ba cam kết bảo mật và chỉ sử dụng dữ liệu cho mục đích đã nêu

- Chịu trách nhiệm nếu bên thứ ba vi phạm gây thiệt hại cho Bên B

Điều khoản 5: Bảo mật và xử lý sự cố

Yêu cầu pháp lý: Điều 20-21 Luật BVDLCN 2025 — Phải có biện pháp bảo mật phù hợp và thông báo khi xảy ra sự cố.

Mẫu điều khoản:

Điều V: Bảo mật dữ liệu và xử lý sự cố

V.1. Biện pháp bảo mật: Bên A cam kết áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân của Bên B, bao gồm:

- Mã hóa dữ liệu khi lưu trữ và truyền tải

- Giới hạn quyền truy cập chỉ cho nhân viên cần thiết

- Kiểm tra bảo mật định kỳ

- Đào tạo nhân viên về bảo vệ dữ liệu cá nhân

V.2. Thông báo sự cố: Trong trường hợp xảy ra sự cố rò rỉ, mất mát dữ liệu cá nhân, Bên A sẽ:

- Thông báo cho Bên B trong vòng 72 giờ kể từ khi phát hiện sự cố

- Thông báo cho Cục Bảo vệ dữ liệu cá nhân theo quy định

- Áp dụng ngay các biện pháp khắc phục và ngăn chặn thiệt hại

V.3. Trách nhiệm bồi thường: Bên A chịu trách nhiệm bồi thường thiệt hại thực tế cho Bên B nếu vi phạm các cam kết bảo mật tại Điều này, trừ trường hợp Bên A chứng minh được mình không có lỗi.

Hướng dẫn cập nhật hợp đồng hiện có

Bước 1: Rà soát hợp đồng đang có

Liệt kê tất cả các loại hợp đồng đang sử dụng:

• Hợp đồng lao động (mẫu và đã ký)
• Hợp đồng với khách hàng
• Hợp đồng với nhà cung cấp
• Các thỏa thuận, phụ lục

Bước 2: Xác định dữ liệu cá nhân trong từng loại hợp đồng

Với mỗi loại, liệt kê:

• Dữ liệu nào đang thu thập?
• Mục đích thu thập có rõ ràng chưa?
• Có chia sẻ cho bên thứ ba không?
• Thời gian lưu trữ là bao lâu?

Bước 3: Bổ sung điều khoản còn thiếu

Sử dụng các mẫu điều khoản ở trên để bổ sung vào hợp đồng hiện có hoặc tạo Phụ lục về Bảo vệ Dữ liệu Cá nhân đính kèm.

Bước 4: Lấy lại đồng ý nếu cần

Nếu hợp đồng cũ thu thập dữ liệu mà không có đồng ý rõ ràng, bạn cần:

• Gửi thông báo về việc cập nhật chính sách
• Yêu cầu xác nhận đồng ý (có thể qua email, form online)
• Lưu hồ sơ đồng ý làm bằng chứng

Bước 5: Đào tạo nhân viên

Những người trực tiếp thu thập, xử lý dữ liệu (HR, Sales, Customer Service) cần hiểu:

• Chỉ thu thập dữ liệu cần thiết
• Thông báo mục đích trước khi thu thập
• Quy trình xử lý khi khách hàng/nhân viên yêu cầu quyền

Câu hỏi thường gặp

Q: Hợp đồng ký trước 1/1/2026 có cần cập nhật không?

A: Có. Luật áp dụng cho hoạt động xử lý dữ liệu, không phải ngày ký hợp đồng. Nếu bạn đang tiếp tục lưu trữ, sử dụng dữ liệu từ hợp đồng cũ, bạn phải tuân thủ Luật mới.

Q: Doanh nghiệp nhỏ, chỉ vài nhân viên có cần tuân thủ không?

A: Có. Luật áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân, không phân biệt quy mô. Tuy nhiên, nghĩa vụ cụ thể có thể khác nhau (ví dụ: không bắt buộc có DPO nếu dưới 500 chủ thể dữ liệu).

Q: Có thể dùng một điều khoản chung cho mọi loại hợp đồng không?

A: Nên có điều khoản riêng cho từng loại vì dữ liệu thu thập và mục đích khác nhau. Tuy nhiên, bạn có thể tạo một Chính sách Bảo vệ Dữ liệu chung và dẫn chiếu trong các hợp đồng.

Q: Nếu đối tác không đồng ý ký điều khoản BVDL, phải làm sao?

A: Bạn vẫn có nghĩa vụ tuân thủ Luật. Nếu đối tác từ chối, bạn cần:

• Giải thích đây là yêu cầu pháp luật, không phải tùy chọn
• Nếu họ vẫn từ chối, cân nhắc rủi ro khi tiếp tục hợp tác
• Ghi nhận bằng văn bản việc đã thông báo và đề nghị

Kiểm tra hợp đồng của bạn

Không chắc hợp đồng hiện tại đã tuân thủ Luật BVDLCN 2025 chưa? Bạn có thể:

1. Tự kiểm tra với checklist 5 điều khoản ở trên

2. Sử dụng AI để phân tích nhanh — Review Hợp Đồng sẽ chỉ ra các điều khoản còn thiếu trong 60 giây

3. Tham vấn luật sư chuyên về dữ liệu cá nhân cho các hợp đồng phức tạp

---

Hợp đồng của bạn đã có đủ 5 điều khoản bảo vệ dữ liệu cá nhân chưa? Upload hợp đồng tại đây để kiểm tra ngay — AI sẽ phân tích và đề xuất điều khoản cần bổ sung.