Nghị định 330: bảo vệ dữ liệu cá nhân và AI tại Việt Nam nghĩa là gì?

Từ 19/8/2026, Việt Nam không chỉ có luật bảo vệ dữ liệu cá nhân trên giấy. Nghị định 330/2026/NĐ-CP đã gắn mức phạt, lệnh xóa dữ liệu, và quyền dừng chuyển dữ liệu ra nước ngoài. Với tiệm vàng, sàn giao dịch, website theo dõi giá, hay bất kỳ công ty nào đang dán thông tin khách vào ChatGPT, Gemini, Zalo OA hay CRM có AI — đây không còn là chuyện của riêng ngân hàng.

Bài này tóm tắt luật nào đang có hiệu lực, AI dính vào chỗ nào, và khi nào nên gọi người đọc hệ thống thay vì chỉ in thêm một bản chính sách bảo mật. Đây không phải ý kiến pháp lý.

1. Luật nào đang có hiệu lực?

Ba lớp đang chạy song song. Dễ nhầm nếu chỉ đọc tin cũ từ năm 2025.

• Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) và nghị định hướng dẫn (Nghị định 356/2025/NĐ-CP): có hiệu lực từ 1/1/2026. Đây là phần nghĩa vụ — đồng ý, quyền của chủ thể, chuyển dữ liệu ra nước ngoài, trách nhiệm giải trình.
• Luật An ninh mạng (Luật 116/2025/QH15): nghĩa vụ với hệ thống và hoạt động trên mạng.
• Nghị định 330/2026/NĐ-CP: ban hành và có hiệu lực cùng ngày 19/8/2026. Đây là lớp chế tài — phạt tiền, lệnh khắc phục, có thể dừng xử lý hoặc dừng chuyển ra nước ngoài.

Nói ngắn: trước tháng 8, nhiều công ty mô tả được nghĩa vụ nhưng không trả lời được câu của hội đồng quản trị: nếu trượt thì mất gì? Nghị định 330 trả lời câu đó.

2. AI dính vào luật này thế nào?

Luật không cấm dùng AI. Luật phạt việc xử lý dữ liệu cá nhân sai — và AI là một đường xử lý rất dễ sai vì nhân viên thấy nó tiện.

Những việc đang xảy ra hàng ngày ở công ty Việt Nam:

• Nhân viên dán danh sách khách, CCCD, số Zalo, lịch sử mua vàng hoặc lệnh Bitcoin vào chatbot công cộng để “nhờ viết email”.
• Chatbot tư vấn trên website hoặc Zalo OA giữ nội dung hội thoại có tên, số điện thoại, địa chỉ giao hàng.
• CRM, Google Ads, phần mềm kế toán hoặc tool chấm công đặt máy chủ ở Singapore, Mỹ, hoặc để nhân viên nước ngoài đăng nhập.
• Camera cửa hàng, form mở tài khoản, ảnh xác minh KYC được đưa vào tool nhận dạng hoặc chấm điểm rủi ro.

Mỗi dòng trên là dữ liệu cá nhân đang được xử lý. Nếu tool nằm ngoài Việt Nam, đó thường còn là chuyển dữ liệu xuyên biên giới. Im lặng của khách không được tính là đồng ý. Không có nhật ký đồng ý, không chỉ được người trả lời yêu cầu xóa, không có kịch bản báo sự cố trong 72 giờ — đó là lỗ hổng vận hành, không phải lỗ hổng “chưa có trang chính sách”.

3. Ai nằm trong phạm vi?

Không chỉ tập đoàn. Hầu hết đơn vị có nhân viên, khách, camera, hộp thư cloud, hoặc form online đều chạm luật. Công ty vốn nước ngoài tại Việt Nam cũng vậy. Địa chỉ đăng ký không phải bài kiểm tra; luồng dữ liệu mới là bài kiểm tra.

Với độc giả của Giá Vàng 24/7, vài ví dụ gần:

• Tiệm vàng giữ tên, CCCD, số điện thoại khách đặt hàng hoặc cầm đồ trên Zalo và Excel.
• Sàn hoặc ví số thu thập giấy tờ tùy thân khi mở tài khoản — đúng bề mặt chúng tôi đã nhắc trong bài so sánh Bitcoin và vàng.
• Website và app theo dõi giá nếu có tài khoản, bản tin, hoặc pixel quảng cáo gắn với người dùng Việt Nam.

4. Mức phạt cần nhớ, không cần thuộc lòng

Con số dưới đây là mức tổ chức, lấy từ nghị định và các bản tóm tắt luật sư công bố sau 19/8/2026. Xác nhận điều khoản với luật sư có giấy phép tại Việt Nam trước khi hành động.

• Chuyển dữ liệu ra nước ngoài sai, gây lộ, hoặc tiếp tục chuyển sau khi bị yêu cầu dừng: có thể lên tới 5% doanh thu thị trường Việt Nam năm trước.
• Mua bán trái phép dữ liệu cá nhân: 2 đến 10 lần số lợi bất chính.
• Các vi phạm dữ liệu cá nhân khác: trần khoảng 3 tỷ đồng.
• Lỗi đồng ý, thiếu hồ sơ đánh giá tác động, trễ thông báo sự cố: thường nằm ở dải vài chục triệu — nhỏ hơn, nhưng kèm lệnh dừng xử lý hoặc xóa dữ liệu.

Tiền phạt không phải thứ hay dừng việc kinh doanh. Lệnh xóa file khách không khôi phục được, hoặc lệnh dừng đẩy dữ liệu sang ERP khu vực, mới làm đứt lương, hóa đơn, hoặc hỗ trợ. Đó là sự cố liên tục hoạt động, không phải memo tuân thủ.

5. Việc nên làm trong 30 ngày

Đừng bắt đầu bằng việc viết lại 40 trang chính sách. Bắt đầu bằng luồng có thể đóng cửa hàng.

• Liệt kê mọi hệ thống giữ tên, điện thoại, ảnh giấy tờ, hoặc hồ sơ nhân sự — kể cả Zalo, WhatsApp, camera, và laptop của chủ.
• Đánh dấu hệ thống nào nằm ngoài Việt Nam hoặc người ở ngoài Việt Nam đăng nhập được.
• Kiểm tra đồng ý có cụ thể, có ghi lại, và rút được không.
• Chỉ định một người trả lời yêu cầu xem / xóa trong thời hạn luật định.
• Viết một bài tập thông báo sự cố 72 giờ, tính từ lúc phát hiện chứ không phải lúc “chắc chắn”.
• Ghi lại nhân viên đang dán gì vào công cụ AI công cộng. Đó thường là lỗ lớn nhất và rẻ nhất để chặn trong tuần đầu.

6. Luật sư hay người đọc hệ thống AI?

Hai việc khác nhau. Trộn chúng sẽ mất một quý.

Luật sư có giấy phép tại Việt Nam làm ý kiến pháp lý, hồ sơ đánh giá tác động, hồ sơ chuyển dữ liệu, và ngôn ngữ gửi cơ quan. Họ không ngồi trong Google Workspace, Zalo OA, hay tài khoản AWS của bạn để biến chính sách thành nhật ký.

Người đọc hệ thống làm việc kia: bản đồ dữ liệu thật, công cụ AI nhân viên đang dùng, nhà cung cấp và cloud, đường trả lời yêu cầu của khách, và bài tập sự cố. Họ không nộp hồ sơ thay luật sư và không chứng nhận bạn “đã tuân thủ”.

Tech Ops Asia (Công Ty Tech Ops Asia TNHH, Đà Nẵng) làm đúng lớp thứ hai: rà soát ứng dụng AI và luồng dữ liệu cá nhân đang chạy trong công ty, rồi đưa hàng việc sửa. Họ nói thẳng là không phải công ty luật, không nộp hồ sơ A05, không cấp chứng chỉ PDPL. Nếu bạn cần ai đó mở từng tool — chatbot, CRM, ads, cloud — và chỉ ra chỗ Nghị định 330 có thể đóng hệ thống, đó là việc họ nhận. Bài chi tiết hơn về mức phạt nằm trên blog của họ: Nghị định 330: mức phạt dữ liệu cá nhân.

Kết luận

Nghị định 330 không đổi nghĩa vụ bảo vệ dữ liệu cá nhân. Nó đổi hậu quả. Với công ty đang dùng AI trên dữ liệu khách hoặc nhân viên, rủi ro thường nằm ở chỗ nhân viên dán, vendor đặt máy chủ, và không ai giữ nhật ký — không phải ở chỗ chưa có banner cookie.

Giá Vàng 24/7 theo dõi giá và tin thị trường. Chúng tôi không tư vấn luật. Nếu bạn cần đọc hệ thống AI cho mục tuân thủ, bắt đầu từ techopsasia.com. Nếu bạn cần nộp hồ sơ, hãy thuê luật sư Việt Nam.