Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: sàn tài sản mã hóa

Mở tài khoản sàn tài sản mã hóa, bạn giao cho sàn ảnh thẻ căn cước, ảnh khuôn mặt, số điện thoại, tài khoản ngân hàng, rồi mỗi lệnh mua bán lại sinh thêm dữ liệu. Luật Bảo vệ dữ liệu cá nhân là luật chung quy định ai được xử lý những dữ liệu đó, xin đồng ý ra sao, bạn đòi xem, sửa, xóa được tới đâu. Trang này tóm tắt các điều đó theo bản đăng Công báo, kèm nghị định hướng dẫn và nghị định xử phạt.

Sàn phải lưu gì, lưu bao lâu và gửi dữ liệu cho cơ quan nào theo luật chuyên ngành được giải thích ở trang sàn được cấp phép lưu và gửi dữ liệu gì của bạn.

Thông tin văn bản

Mục	Nội dung
Số hiệu	91/2025/QH15
Cơ quan ban hành	Quốc hội khóa XV, kỳ họp thứ 9, thông qua ngày 26/6/2025
Hiệu lực	01/01/2026 (Điều 38 khoản 1)
Bố cục	5 chương, 39 điều
Nghị định hướng dẫn	Nghị định 356/2025/NĐ-CP, hiệu lực 01/01/2026, thay Nghị định 13/2023/NĐ-CP
Nghị định xử phạt	Nghị định 330/2026/NĐ-CP, hiệu lực 19/8/2026
Bản đọc	Công báo số 971 + 972 ngày 24/7/2025

VietnamBit đối chiếu nguyên văn các điều của Luật 91, Nghị định 356 và Nghị định 330 được trích trên trang.

Tính đến 31/10/2026, chúng tôi chưa thấy luật sửa đổi hay văn bản hợp nhất nào của Luật 91/2025. Nơi đã dò: trang Công báo của luật (mục lược đồ ghi 0 văn bản sửa đổi, không có văn bản hợp nhất) và tìm kiếm trên web; chưa dò được vbpl.vn.

Luật 91 nói gì với người dùng sàn tài sản mã hóa

Luật không nhắc sàn tài sản mã hóa, mà áp cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam hoặc dữ liệu của công dân Việt Nam. Luật áp cho tổ chức Việt Nam, tổ chức nước ngoài tại Việt Nam và tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam.

“Xử lý” hiểu rất rộng: thu thập, phân tích, mã hóa, chỉnh sửa, xóa, cung cấp, chuyển giao và mọi hoạt động khác tác động đến dữ liệu. Người được dữ liệu phản ánh gọi là chủ thể dữ liệu, tức chính bạn.

Bên quyết định mục đích và cách xử lý gọi là bên kiểm soát dữ liệu; bên vừa quyết định vừa trực tiếp xử lý là bên kiểm soát và xử lý dữ liệu. Hầu hết nghĩa vụ trong luật đặt lên hai bên này.

Chủ đề	Điều	Ý chính
Dữ liệu nào được bảo vệ	Luật Điều 2; Nghị định 356 Điều 3, 4	Dữ liệu cơ bản và dữ liệu nhạy cảm theo danh mục
Sự đồng ý	Luật Điều 9, 10, 11; Nghị định 356 Điều 6	Đồng ý từng mục đích, im lặng không phải đồng ý
Không cần đồng ý	Luật Điều 19	5 nhóm, gồm trường hợp pháp luật quy định
Quyền của bạn, thời hạn trả lời	Luật Điều 4, 13, 14; Nghị định 356 Điều 5	Phản hồi 02 ngày làm việc, thực hiện 10–30 ngày tùy loại yêu cầu, gia hạn một lần
Cung cấp, chuyển giao, mua bán	Luật Điều 7, 15, 17	Bán dữ liệu bị cấm, trừ khi luật cho phép
Lộ dữ liệu	Luật Điều 23, 27; Nghị định 356 Điều 8, 29	Báo cơ quan chuyên trách trong 72 giờ khi có thể gây tổn hại; báo bạn trong một số trường hợp
Chuỗi khối	Luật Điều 30; Nghị định 356 Điều 11	Không ghi trực tiếp dữ liệu cá nhân lên chuỗi
Phạt	Luật Điều 8; Nghị định 330	Trần chung 03 tỷ đồng với tổ chức (mua bán dữ liệu, chuyển ra nước ngoài có trần riêng), cá nhân bằng một nửa

Các điều khoản chính

Điều 2: dữ liệu cơ bản và dữ liệu nhạy cảm

Ảnh thẻ căn cước bạn nộp khi mở tài khoản là dữ liệu nhạy cảm; họ tên, số điện thoại chỉ là dữ liệu cơ bản. Luật chỉ định nghĩa, danh mục do Chính phủ ban hành tại Nghị định 356 (Điều 2 khoản 2, 3).

KYC là bước sàn xác minh danh tính khách hàng trước khi cho giao dịch. Bảng dưới xếp các loại dữ liệu sàn thường thu vào hai nhóm theo câu chữ Nghị định 356.

Dữ liệu trên sàn	Nhóm	Căn cứ (Nghị định 356)
Họ tên, ngày sinh, quốc tịch, địa chỉ, số định danh cá nhân, số điện thoại	Cơ bản	Điều 3 khoản 1, 2, 4, 5, 7
Thông tin về tài khoản số của cá nhân	Cơ bản	Điều 3 khoản 10
Ảnh thẻ căn cước, căn cước công dân	Nhạy cảm	Điều 4 khoản 1 điểm i
Ảnh, video khuôn mặt dùng để đối chiếu sinh trắc	Nhạy cảm, theo cách đọc của VietnamBit	Điều 4 khoản 1 điểm đ (ảnh thường: Điều 3 khoản 6)
Lịch sử giao dịch, thông tin tài chính tại sàn	Nhạy cảm, theo cách đọc của VietnamBit	Điều 4 khoản 1 điểm k
Số tài khoản ngân hàng liên kết, lịch sử nạp rút VND	Chưa rõ	Điều 4 khoản 1 điểm k nêu tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ ngân hàng, lịch sử giao dịch của tài khoản ngân hàng; không nêu riêng số tài khoản

Hai dòng có nhãn cách đọc là suy luận. Điểm k kể thông tin tài chính, lịch sử giao dịch của khách hàng tại tổ chức tín dụng, trung gian thanh toán, chứng khoán, bảo hiểm và “các tổ chức được phép khác”. Nghị định không nêu tên tổ chức cung cấp dịch vụ tài sản mã hóa, nên việc sàn được cấp phép thuộc “tổ chức được phép khác” là cách đọc của chúng tôi.

Cách đọc này còn giả định giao dịch tài sản mã hóa là “giao dịch tài chính” theo điểm k; Nghị định không nói rõ. Với sàn chưa được cấp phép thì vế “tổ chức được phép” không áp.

Nghị định 356 xếp “hình ảnh của cá nhân” vào nhóm cơ bản (Điều 3 khoản 6) và dữ liệu sinh trắc học vào nhóm nhạy cảm (Điều 4 khoản 1 điểm đ), nhưng không vạch ranh giới giữa hai nhóm. Theo cách đọc của VietnamBit, ảnh khuôn mặt mà sàn dùng để đối chiếu danh tính là dữ liệu sinh trắc học (nhạy cảm); ảnh chỉ lưu như ảnh thường thuộc nhóm nào thì chưa rõ.

Luật định nghĩa dữ liệu sinh trắc học là dữ liệu về “thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó” (Điều 31 khoản 2).

Nghị định 356 buộc tổ chức xử lý dữ liệu nhạy cảm phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.

Dữ liệu đã khử nhận dạng (xóa hoặc đổi thông tin tới mức không còn xác định được người) thì không còn là dữ liệu cá nhân. Ngược lại, dữ liệu đã mã hóa vẫn là dữ liệu cá nhân.

Điều 9 đến 11: sự đồng ý

Đồng ý chỉ có hiệu lực khi bạn tự nguyện, biết rõ dữ liệu nào bị xử lý, để làm gì và ai xử lý. Ba điều này đặt các điều kiện đó.

• Từng mục đích một: đồng ý phải thể hiện cho từng mục đích, không được kèm điều kiện buộc đồng ý cả mục đích khác.
• Im lặng không phải đồng ý: “Sự im lặng hoặc không phản hồi không được coi là sự đồng ý” (Điều 9 khoản 4 điểm d).
• Không đặt sẵn ô đồng ý: bên xin không được thiết lập mặc định đồng ý hay chỉ dẫn gây hiểu lầm.
• Báo trước dữ liệu nhạy cảm: khi xin đồng ý xử lý dữ liệu nhạy cảm, bạn phải được thông báo đó là dữ liệu nhạy cảm.
• Bên xin phải chứng minh: khi có tranh chấp, bên kiểm soát dữ liệu phải chứng minh bạn đã đồng ý.

Ba ý cuối nằm ở Nghị định 356 Điều 6 khoản 2 đến 4.

Bạn được rút lại sự đồng ý bằng văn bản, kể cả dạng điện tử. Việc rút lại không có hiệu lực ngược với phần xử lý đã làm trước đó, và không áp cho các trường hợp không cần đồng ý nêu ở mục dưới (Điều 10).

Điều 19: khi nào không cần bạn đồng ý

Luật có 5 nhóm trường hợp được xử lý dữ liệu mà không cần đồng ý, nhóm cuối là “theo quy định của pháp luật”. Theo cách đọc của VietnamBit, nhóm cuối chạm nhiều nhất tới sàn.

Năm nhóm gồm: bảo vệ tính mạng, quyền lợi trong trường hợp cấp bách; tình trạng khẩn cấp, an ninh, phòng chống tội phạm; phục vụ hoạt động của cơ quan nhà nước; thực hiện thỏa thuận của bạn với tổ chức; và “Trường hợp khác theo quy định của pháp luật” (Điều 19 khoản 1 điểm a đến đ).

Tổ chức xử lý không cần đồng ý vẫn phải có quy trình, biện pháp bảo vệ, kiểm tra định kỳ và kênh nhận phản ánh. Việc sàn báo cáo thuế, báo cáo giao dịch đáng ngờ có thuộc nhóm này không được phân tích ở trang trụ về dữ liệu trên sàn.

Điều 4, 13, 14 và Nghị định 356 Điều 5: quyền của bạn, thời hạn trả lời

Bạn có 6 nhóm quyền, và Nghị định 356 cho bên giữ dữ liệu 02 ngày làm việc để phản hồi mỗi yêu cầu.

Sáu nhóm quyền gồm: được biết về việc xử lý; đồng ý, không đồng ý, rút lại đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối; khiếu nại, tố cáo, khởi kiện, đòi bồi thường; yêu cầu áp dụng biện pháp bảo vệ dữ liệu của mình.

Bên giữ dữ liệu phải phản hồi trong 02 ngày làm việc, cho bạn biết thủ tục, rồi thực hiện trong các thời hạn dưới đây (Nghị định 356 Điều 5 khoản 2 đến 5).

Yêu cầu	Thực hiện trong	Nếu phải nhờ bên xử lý, bên thứ ba	Gia hạn tối đa 01 lần
Xem, chỉnh sửa, cung cấp dữ liệu	10 ngày	15 ngày	10 ngày
Rút lại đồng ý, hạn chế, phản đối xử lý	15 ngày	20 ngày	15 ngày
Xóa dữ liệu	20 ngày	30 ngày	20 ngày
Áp dụng biện pháp bảo vệ dữ liệu	15 ngày	Không nêu	15 ngày

Quyền xóa có giới hạn. Bên giữ dữ liệu không xóa theo yêu cầu khi việc xử lý thuộc nhóm không cần đồng ý, và phải báo bạn biết khi không xóa được vì lý do chính đáng (Điều 14 khoản 2, 5).

Theo cách đọc của VietnamBit, hồ sơ mà luật chuyên ngành buộc sàn lưu thuộc nhóm “theo quy định của pháp luật”, nên chưa xóa được trong thời hạn lưu.

Quyền của bạn đi kèm nghĩa vụ: tự bảo vệ dữ liệu của mình, cung cấp dữ liệu đầy đủ, chính xác khi luật hoặc hợp đồng yêu cầu. Yêu cầu phải nhằm bảo vệ quyền lợi của chính bạn, không được cản trở nghĩa vụ pháp lý của bên giữ dữ liệu (Điều 4 khoản 2, 3).

Điều 7, 15, 17: cung cấp, chuyển giao và mua bán dữ liệu

Mua, bán dữ liệu cá nhân bị cấm, trừ trường hợp luật có quy định khác. Đây là một trong 7 hành vi bị nghiêm cấm ở Điều 7 (khoản 6).

Các hành vi cấm khác gồm: xử lý dữ liệu trái luật; dùng dữ liệu của người khác, hoặc cho người khác dùng dữ liệu của mình, để làm việc trái luật; chiếm đoạt, cố ý làm lộ, làm mất dữ liệu (Điều 7 khoản 4, 5, 7).

Bên giữ dữ liệu chỉ cung cấp dữ liệu của bạn cho tổ chức khác khi bạn đồng ý, trừ trường hợp pháp luật có quy định khác (Điều 15 khoản 2 điểm b).

Luật kể riêng trường hợp chuyển giao “theo yêu cầu của cơ quan nhà nước có thẩm quyền”, tách khỏi trường hợp có sự đồng ý của bạn (Điều 17 khoản 1 điểm đ). Theo cách đọc của VietnamBit, chuyển giao theo yêu cầu đó không cần bạn đồng ý.

Chuyển giao thuộc các trường hợp hợp lệ đó thì dù có thu phí cũng “không được xác định là mua, bán dữ liệu cá nhân” (Điều 17 khoản 2).

Nghị định 356 đặt thêm điều kiện cho chuyển giao có thu phí khi bạn đồng ý hoặc khi chuyển cho bên xử lý, bên thứ ba. Bên chuyển phải có thỏa thuận chuyển giao và cơ chế để bạn đồng ý theo từng lần (Nghị định 356 Điều 7 khoản 1, 3).

Cho người khác mượn căn cước để mở tài khoản sàn có thể chạm vào hành vi bị cấm “cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật”. Câu hỏi cụ thể về mua bán tài khoản đã định danh ở trang mua bán tài khoản sàn đã KYC có bị phạt không.

Điều 20: chuyển dữ liệu ra nước ngoài

Lưu dữ liệu thu ở Việt Nam trên máy chủ hoặc dịch vụ đám mây ở nước ngoài là chuyển dữ liệu xuyên biên giới. Nghị định 356 nêu rõ cả dịch vụ đám mây của nhà cung cấp nước ngoài (Điều 17 khoản 1 điểm a).

Bên chuyển phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân (đơn vị thuộc Bộ Công an) trong 60 ngày từ lần chuyển đầu tiên. Hồ sơ lập một lần, cập nhật định kỳ 06 tháng khi có thay đổi (Luật Điều 20, 22).

Bạn tự chuyển dữ liệu của mình ra nước ngoài thì không phải lập hồ sơ này (Luật Điều 20 khoản 6 điểm c).

Riêng với sàn tài sản mã hóa, Nghị quyết 05/2025/NQ-CP còn buộc lưu một số dữ liệu trên máy chủ tại Việt Nam. Hai quy định này đặt cạnh nhau ở trang trụ đã dẫn.

Điều 23, 27: khi dữ liệu bị lộ

Phát hiện vi phạm có thể gây hại cho tài sản, danh dự của bạn thì bên giữ dữ liệu phải báo cơ quan chuyên trách chậm nhất 72 giờ. Mốc tính là khi phát hiện vi phạm (Điều 23 khoản 1).

Thông báo phải mô tả thời gian, hành vi, loại và số lượng dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra và biện pháp khắc phục (Nghị định 356 Điều 28 khoản 1). Tổ chức còn phải lập biên bản xác nhận vụ việc.

Tổ chức trong lĩnh vực tài chính, ngân hàng phải báo cả chính bạn khi lộ thông tin tài khoản ngân hàng, tài chính (Điều 27 khoản 1 điểm d).

Nghị định 356 thêm thời hạn: lộ dữ liệu nhạy cảm trong lĩnh vực này thì báo cả cơ quan chuyên trách lẫn bạn trong 72 giờ (Điều 8 khoản 3).

Không báo hoặc báo chậm quá 72 giờ trong trường hợp này, tổ chức có thể bị phạt 50–70 triệu đồng (Nghị định 330 Điều 64 khoản 1 điểm a).

Luật và Nghị định 356 không nói sàn tài sản mã hóa có thuộc “lĩnh vực tài chính” ở hai điều này hay không. Nếu không thuộc, sàn vẫn phải báo cơ quan chuyên trách trong 72 giờ theo Điều 23 của luật khi vi phạm có thể gây tổn hại đến an ninh, trật tự hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của bạn.

Riêng sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm (Nghị định 356 Điều 29 khoản 1 điểm a).

Nghĩa vụ này không giới hạn ở lĩnh vực tài chính. Với sàn, nó áp cho ảnh khuôn mặt nếu ảnh đó được coi là dữ liệu sinh trắc học như cách đọc ở mục về dữ liệu nhạy cảm.

Điều 30 và Nghị định 356 Điều 11: dữ liệu trên chuỗi khối

Nghị định 356 cấm lưu trực tiếp dữ liệu cá nhân trên chuỗi khối, trừ khi đã khử nhận dạng hoặc chỉ lưu giá trị băm. Luật có điều riêng cho chuỗi khối, trí tuệ nhân tạo và điện toán đám mây.

Chuỗi khối (blockchain, sổ cái chung không sửa được) là nền của tài sản mã hóa. Luật buộc dữ liệu cá nhân trong môi trường này được xử lý đúng mục đích, trong phạm vi cần thiết.

Giá trị băm là chuỗi ký tự cố định sinh ra từ dữ liệu gốc, không suy ngược lại được. Tổ chức xử lý dữ liệu cá nhân trên chuỗi khối chỉ được dùng thuật toán mã hóa, băm, ký số an toàn và phải đánh giá tuân thủ định kỳ mỗi năm một lần (Nghị định 356 Điều 11 khoản 2 điểm a, c).

Luật không nói địa chỉ ví có phải dữ liệu cá nhân không. Theo cách đọc của VietnamBit, địa chỉ ví gắn với hồ sơ định danh trong hệ thống của sàn “giúp xác định một con người cụ thể”, nên trong hệ thống đó là dữ liệu cá nhân (Điều 2 khoản 1).

Mức phạt theo Nghị định 330/2026

Mức tiền trong Nghị định 330 phần bảo vệ dữ liệu là mức cho tổ chức; cá nhân cùng hành vi có thể bị phạt bằng một nửa, trừ chỗ điều khoản ghi rõ mức cho cá nhân. Câu gốc ở khối căn cứ pháp lý cuối trang.

Luật 91 đặt trần: mua, bán dữ liệu tới 10 lần khoản thu; vi phạm về chuyển dữ liệu ra nước ngoài của tổ chức tới 5% doanh thu năm trước; vi phạm khác tới 03 tỷ đồng (Điều 8 khoản 3, 4, 5). Đây là trần, không phải mức áp tự động. Mức cụ thể theo từng hành vi nằm ở Nghị định 330.

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật quy định khác)	30–50 triệu đồng	15–25 triệu đồng	Điều 43 khoản 1 điểm a
Coi im lặng là đồng ý để thu thập, xử lý	50–70 triệu đồng	25–35 triệu đồng	Điều 43 khoản 2 điểm b
Không phản hồi yêu cầu của bạn quá 02 ngày làm việc	10–20 triệu đồng	5–10 triệu đồng	Điều 44 khoản 1 điểm d
Không xóa dữ liệu trong thời hạn 20 ngày	30–40 triệu đồng	15–20 triệu đồng	Điều 44 khoản 3 điểm c
Báo cơ quan chuyên trách chậm hơn 72 giờ về vi phạm gây hoặc có thể gây tổn hại (an ninh, trật tự, tính mạng, tài sản của bạn)	40–60 triệu đồng	20–30 triệu đồng	Điều 54 khoản 3
Không lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài	30–50 triệu đồng	15–25 triệu đồng	Điều 56 khoản 1 điểm a
Cố ý cho người khác dùng dữ liệu của mình để làm việc trái luật; cố ý cung cấp dữ liệu giả mạo, sai sự thật nhằm lừa đảo	10–20 triệu đồng (mức in, khoản không ghi chủ thể)	5–10 triệu đồng	Điều 42 khoản 1 điểm b, c
Truy cập trái phép dữ liệu của người khác gây thiệt hại cho họ	Khoản chỉ ghi cá nhân	20–30 triệu đồng (mức in, không chia đôi)	Điều 42 khoản 2 điểm a

Cột cá nhân do VietnamBit tính bằng một nửa cột tổ chức theo Điều 7 khoản 1, ví dụ 30/2 = 15, 50/2 = 25, 70/2 = 35, 10/2 = 5. Riêng dòng truy cập trái phép là mức in sẵn cho cá nhân. Hai dòng về thời hạn trả lời yêu cầu chỉ áp cho bên kiểm soát dữ liệu và bên kiểm soát và xử lý dữ liệu, thường là doanh nghiệp như sàn.

Mua bán trái phép dữ liệu có thể bị phạt theo khoản thu. Khung là từ 02 đến 10 lần khoản thu (Nghị định 330 Điều 53 khoản 1). Không có khoản thu thì khung cho tổ chức tính theo số người bị mua bán dữ liệu (khoản 3):

• Dữ liệu cơ bản của dưới 1.000 người, hoặc dữ liệu nhạy cảm của dưới 200 người: 70–100 triệu đồng.
• Dữ liệu cơ bản của 1.000 đến dưới 2.000 người, hoặc nhạy cảm của 200 đến dưới 400 người: 100–300 triệu đồng.
• Dữ liệu cơ bản của 2.000 đến dưới 10.000 người, hoặc nhạy cảm của 400 đến 2.000 người: 300–500 triệu đồng.
• Dữ liệu cơ bản từ 10.000 người, hoặc nhạy cảm từ 2.000 người trở lên: 500 triệu đến 1 tỷ đồng.
• Mua bán trái phép xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, quyền và lợi ích hợp pháp của tổ chức, cá nhân: 1–3 tỷ đồng (điểm đ).

Với dữ liệu tài khoản tài sản mã hóa, Nghị định 284/2026/NĐ-CP có điều riêng: thu thập, tàng trữ, trao đổi, mua bán, tặng cho, công khai hóa trái phép “dữ liệu, thông tin tài khoản tài sản mã hóa” có thể bị phạt 150–200 triệu đồng với tổ chức (Điều 11 khoản 1).

Nghị định 330 Điều 1 khoản 3 đặt nguyên tắc: hành vi được quy định ở cả Nghị định 330 và nghị định xử phạt lĩnh vực khác thì áp Nghị định 330 nếu là vi phạm trên lĩnh vực bảo vệ dữ liệu cá nhân, áp nghị định của lĩnh vực kia nếu dấu hiệu cấu thành là vi phạm nghĩa vụ, điều cấm thuộc lĩnh vực đó.

Câu gốc: “trường hợp dấu hiệu cấu thành hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó”. Một hành vi cụ thể thuộc vế nào do cơ quan có thẩm quyền xác định.

Chính người có dữ liệu cũng có thể bị phạt. Nghị định 330 Điều 42 khoản 1 ghi khung 10–20 triệu đồng cho các hành vi như cố ý cho người khác dùng dữ liệu của mình để làm việc trái luật, cố ý cung cấp dữ liệu giả mạo, sai sự thật nhằm lừa đảo, gây nhầm lẫn.

Khoản 1 là mức cho tổ chức theo quy tắc chung của Mục 6 (Điều 7): cá nhân có thể bị phạt 5–10 triệu đồng. Khoản 2 ghi riêng mức 20–30 triệu ‘đối với cá nhân’, nên không chia đôi. Theo cách đọc của chúng tôi, hai khoản dùng hai cách ghi khác nhau trong cùng một điều; văn bản không giải thích vì sao.

Khoản 2 ghi nguyên văn “Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cá nhân”, ví dụ khi truy cập trái phép dữ liệu của người khác gây thiệt hại cho họ: cá nhân có thể bị phạt 20–30 triệu đồng.

Sàn được cấp phép nằm ở đâu trong luật này

Theo cách đọc của VietnamBit, sàn tài sản mã hóa được cấp phép là bên kiểm soát và xử lý dữ liệu cá nhân. Luật không nêu tên sàn, cách đọc dựa vào định nghĩa ở Điều 2 khoản 9.

Sàn tự quyết định thu dữ liệu nào để mở tài khoản và trực tiếp lưu, đối chiếu dữ liệu đó, nên khớp định nghĩa “quyết định mục đích, phương tiện và trực tiếp xử lý”. Tính đến 31/10/2026, chưa sàn nào được cấp phép.

Nếu cách đọc ở Điều 2 khoản 9 nêu trên đúng, sàn chịu các nghĩa vụ đã nêu, trong đó có:

1. Có quy trình, biểu mẫu để bạn thực hiện quyền và trả lời đúng thời hạn (Nghị định 356 Điều 5).
2. Lập hồ sơ đánh giá tác động xử lý dữ liệu, gửi cơ quan chuyên trách trong 60 ngày từ ngày đầu xử lý (Luật Điều 21 khoản 1).
3. Chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ (Luật Điều 33 khoản 2).
4. Chịu trách nhiệm trước bạn về thiệt hại do quá trình xử lý gây ra (Luật Điều 37 khoản 1 điểm g, khoản 3).

Luật 91 không nói gì

1. Thời hạn sàn phải lưu dữ liệu. Luật chỉ nói lưu “trong khoảng thời gian phù hợp với mục đích”, trừ khi pháp luật quy định khác. Thời hạn cụ thể nằm ở luật chuyên ngành, xem trang trụ.
2. Tài sản mã hóa, ví, khóa riêng. Dò toàn văn Công báo, chúng tôi không thấy các chữ “tài sản mã hóa”, “tiền ảo” hay “ví”. Chữ “mã hóa” trong luật chỉ việc mã hóa dữ liệu.
3. Sàn ở nước ngoài. Luật áp cho tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam, và Nghị định 330 Điều 2 khoản 2 điểm đ kể tổ chức này vào đối tượng bị xử phạt. Chúng tôi chưa thấy điều nào nói cách thi hành quyết định phạt với tổ chức không có hiện diện ở Việt Nam.
4. Bồi thường bao nhiêu. Luật cho bạn quyền đòi bồi thường nhưng không đặt mức, chỉ nói bồi thường “theo quy định của pháp luật” (Điều 8 khoản 1).

Áp dụng từ ngày nào

Văn bản	Nội dung	Hiệu lực
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15	Nguyên tắc, quyền, nghĩa vụ, trần phạt	01/01/2026
Nghị định 356/2025/NĐ-CP	Danh mục dữ liệu, thời hạn trả lời, chuyển dữ liệu ra nước ngoài	01/01/2026
Nghị định 13/2023/NĐ-CP	Bị thay bởi Nghị định 356	Hết hiệu lực từ 01/01/2026
Nghị định 330/2026/NĐ-CP	Mức phạt từng hành vi	19/8/2026

Hành vi xảy ra trước 19/8/2026 mà sau đó mới bị phát hiện thì áp nghị định xử phạt có hiệu lực lúc vi phạm; nếu Nghị định 330 nhẹ hơn hoặc không quy định trách nhiệm thì áp Nghị định 330 (Điều 81 khoản 1).