56 vụ mua bán dữ liệu, 110 triệu hồ sơ bị lộ – Doanh nghiệp Việt đang ở đâu trong cuộc đua tuân thủ PDPL?

PDPL 91/2025/QH15 (Luật Bảo vệ dữ liệu cá nhân) đã chính thức có hiệu lực từ 01/01/2026. Đây là lần đầu tiên Việt Nam có một khung pháp lý toàn diện về bảo vệ dữ liệu cá nhân với nghĩa vụ rõ ràng, cơ quan thực thi cụ thể và mức phạt đủ nặng để buộc doanh nghiệp phải nghiêm túc.

Nhưng nhìn vào thực trạng hiện tại, khoảng cách giữa quy định và thực tế vận hành của doanh nghiệp vẫn còn rất lớn.

Nội dung chính

1 Những con số không thể bỏ qua
2 Hiện trạng tuân thủ: Vẫn còn nhiều khoảng trống nghiêm trọng
3 Vì sao nhiều doanh nghiệp chưa nhận ra mình đang vi phạm?
4 Doanh nghiệp của bạn đang ở đâu trong bức tranh này?

Những con số không thể bỏ qua

Trong nửa đầu năm 2025- trước khi PDPL chính thức có hiệu lực, cơ quan chức năng đã phát hiện 56 vụ mua bán dữ liệu bất hợp pháp, liên quan đến hơn 110 triệu hồ sơ cá nhân.

Đây không phải con số của một vài cá nhân xấu hay những vụ tấn công mạng tinh vi. Phần lớn vi phạm xuất phát từ những lỗ hổng rất cơ bản trong cách doanh nghiệp thu thập, lưu trữ và quản lý dữ liệu người dùng hàng ngày- những thứ tưởng như vô hại nhưng lại là điểm yếu chết người khi bị kiểm tra.

Hiện trạng tuân thủ: Vẫn còn nhiều khoảng trống nghiêm trọng

Phân tích hàng nghìn tên miền .vn cho thấy bức tranh đáng lo ngại về mức độ tuân thủ thực tế của doanh nghiệp Việt Nam.

Thu thập dữ liệu trước khi có consent. Phần lớn website doanh nghiệp Việt Nam vẫn đang kích hoạt GA4, Meta Pixel, TikTok Pixel và các công cụ theo dõi khác ngay khi người dùng truy cập trước khi thu thập bất kỳ sự đồng ý nào. Đây là vi phạm trực tiếp PDPL, dù doanh nghiệp có thể hoàn toàn không nhận ra điều đó.
Banner đồng ý triển khai sai cách. Nhiều doanh nghiệp đã có banner cookie trên website nhưng cách triển khai lại không đúng chuẩn: ô đã được tích sẵn, không thực sự chặn các công cụ theo dõi khi người dùng từ chối, và không có audit log ghi nhận sự đồng ý. Có banner nhưng không đúng cách vẫn là vi phạm.
Consent nằm rải rác, không có hệ thống tập trung. Dữ liệu đồng ý của người dùng đang tồn tại ở nhiều nơi – website, app, form giấy tại quầy, CRM nội bộ mà không được kết nối hay quản lý tập trung. Khi cần chứng minh tuân thủ, doanh nghiệp không thể tổng hợp được một bức tranh đầy đủ và nhất quán.
Chưa có CMP cấp doanh nghiệp. Cho đến nay, chưa có doanh nghiệp lớn nào tại Việt Nam xác nhận đã triển khai CMP tập trung đáp ứng đầy đủ yêu cầu của PDPL. Đây là khoảng trống lớn nhất và cũng là rủi ro cao nhất khi cơ quan quản lý bắt đầu thực thi nghiêm túc.

Vì sao nhiều doanh nghiệp chưa nhận ra mình đang vi phạm?

Bởi vì bề ngoài, mọi thứ trông có vẻ ổn. Một banner cookie trên website trông có vẻ đủ. Một ô tick “Tôi đồng ý với điều khoản” trong form đăng ký trông có vẻ hợp lệ. Người dùng không phản hồi hay không phàn nàn nên doanh nghiệp nghĩ mọi thứ đang vận hành đúng.

Nhưng theo PDPL, consent hợp lệ phải đáp ứng đồng thời tất cả các tiêu chí sau:

Tự nguyện: không bị ép buộc, không gộp chung với điều khoản sử dụng
Cụ thể theo từng mục đích: marketing, phân tích, chia sẻ bên thứ ba phải được xin riêng
Có thể rút lại bất kỳ lúc nào và doanh nghiệp phải xử lý được yêu cầu đó
Có thể chứng minh phải có bằng chứng rõ ràng khi cơ quan quản lý yêu cầu

Phần lớn những gì doanh nghiệp đang làm hiện nay chưa đáp ứng được toàn bộ các tiêu chí trên.

Doanh nghiệp của bạn đang ở đâu trong bức tranh này?

Nhìn lại thực trạng này, câu hỏi không còn là “doanh nghiệp có làm hay không”, mà là đang làm đúng đến đâu.

Bạn đang quản lý dữ liệu một cách có hệ thống hay vẫn phụ thuộc vào những cách làm rời rạc, khó kiểm chứng?

Giải pháp CMP (nền tảng quản lý sự đồng ý của người dùng) của FPT giúp doanh nghiệp quản lý toàn bộ quá trình xin phép và sử dụng dữ liệu khách hàng một cách minh bạch, có hệ thống. Mọi sự đồng ý đều được ghi nhận và lưu trữ đầy đủ, giúp doanh nghiệp tuân thủ quy định, giảm rủi ro pháp lý và vận hành hiệu quả hơn.