Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực khi nào?

1. Luật bảo vệ dữ liệu cá nhân có hiệu lực khi nào?

Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực từ ngày 01/01/2026. Đây là nội dung được quy định theo Điều 5, Luật Bảo vệ dữ liệu cá nhân. 

Điều này có nghĩa là các quy định trong luật sẽ được áp dụng và có tính ràng buộc đối với các cá nhân, tổ chức và doanh nghiệp khi xử lý dữ liệu cá nhân sau thời điểm này, trừ một số trường hợp ngoại lệ nêu ở mục 2. dưới đây.

2. Các quy định không có hiệu lực lập tức từ 01/01/2026

Mặc dù Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ ngày 01/01/2026, không phải tất cả các quy định trong luật đều được áp dụng ngay lập tức.

Cụ thể, khoản 2, khoản 3 Điều 38 của Luật quy định:

2. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này trong thời gian 05 năm kể từ ngày Luật này có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

3. Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Như vậy, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có thể lựa chọn thực hiện hoặc không thực hiện các quy định tại Điều 21, Điều 22, và Khoản 2 Điều 33 trong 5 năm kể từ ngày luật có hiệu lực. Tuy nhiên, quy định này không áp dụng đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể dữ liệu cá nhân.

Bên cạnh đó, hộ kinh doanh và doanh nghiệp siêu nhỏ cũng không phải thực hiện các quy định tại Điều 21, Điều 22 và Khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân, trừ khi các đối tượng này cung cấp dịch vụ xử lý dữ liệu cá nhân hoặc dữ liệu nhạy cảm.

Các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật bao gồm:

• Quy định về đánh giá tác động xử lý dữ liệu cá nhân (Điều 21)
• ​Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 22)
• Quy định về  chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33.

3. Áp dụng pháp luật Luật bảo vệ dữ liệu cá nhân

Theo Điều 5 của Luật Bảo vệ dữ liệu cá nhân, các hoạt động bảo vệ dữ liệu cá nhân trên lãnh thổ Việt Nam sẽ được thực hiện theo quy định của Luật này cùng các văn bản pháp luật liên quan. Tuy nhiên, có một số trường hợp đặc biệt như sau:

- Nếu có các quy định về bảo vệ dữ liệu cá nhân trong các luật hoặc nghị quyết trước ngày 01/01/2026 mà không trái với nguyên tắc bảo vệ dữ liệu cá nhân của Luật này, thì các quy định đó vẫn sẽ tiếp tục được áp dụng.

- Nếu sau ngày 01/01/2026, các văn bản quy phạm pháp luật mới ban hành có những quy định khác về bảo vệ dữ liệu cá nhân, thì các quy định này sẽ phải chỉ rõ nội dung thực hiện hoặc không thực hiện theo Luật Bảo vệ dữ liệu cá nhân.

- Nếu có sự thay đổi trong các cơ quan, tổ chức hoặc cá nhân thực hiện việc đánh giá tác động khi xử lý dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân xuyên biên giới, thì theo Điều 5 của luật, các đối tượng này sẽ không cần phải thực hiện đánh giá rủi ro theo các quy định trước đây của pháp luật về dữ liệu, mà thay vào đó sẽ tuân thủ các quy định về đánh giá tác động dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2025.

4. Kết luận

Bài viết trên đã giải đáp thông tin về Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực khi nào?  Mặc dù có những quy định không áp dụng ngay lập tức từ 01/01/2026, các doanh nghiệp và tổ chức cần chuẩn bị để tuân thủ luật này trong tương lai.