Nghị định 356/2025/NĐ-CP: dữ liệu cá nhân trên sàn

Luật Bảo vệ dữ liệu cá nhân chỉ nói dữ liệu nhạy cảm “thuộc danh mục do Chính phủ ban hành”. Danh mục đó, cùng thời hạn trả lời yêu cầu, cách báo sự cố và các bộ hồ sơ phải nộp Bộ Công an, nằm ở Nghị định 356. Trang này tóm tắt các điều chạm tới hồ sơ bạn nộp khi mở tài khoản sàn tài sản mã hóa, theo bản đăng Công báo.

Nguyên tắc chung và quyền của bạn ở trang Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Sàn phải lưu gì và gửi cho cơ quan nào theo luật chuyên ngành ở trang sàn được cấp phép lưu và gửi dữ liệu gì của bạn.

Thông tin văn bản

Mục	Nội dung
Số hiệu	356/2025/NĐ-CP
Cơ quan ban hành	Chính phủ, Phó Thủ tướng ký thay Thủ tướng, theo đề nghị của Bộ trưởng Bộ Công an
Ngày ký	31/12/2025
Hiệu lực	01/01/2026
Thay thế	Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân
Bố cục	5 chương, 42 điều, 1 phụ lục 13 mẫu
Bản đọc	Công báo số 18 ngày 18/01/2026

Tính đến 31/10/2026, mục lược đồ trên trang Công báo của nghị định ghi 0 văn bản sửa đổi, bổ sung hay đính chính. Mục này cũng ghi 0 văn bản căn cứ dù nghị định có nêu căn cứ, nên chúng tôi chỉ coi đây là kết quả dò, không phải xác nhận. Chúng tôi chưa thấy văn bản sửa đổi nghị định này trong phạm vi đã dò (vanban.chinhphu.vn và Công báo, đến 31/10/2026); lược đồ trên vbpl.vn chưa đọc được. Nghị định 356/2026/NĐ-CP là văn bản khác, không sửa nghị định này.

Bố cục và điều nào chạm tới sàn

Phần chạm tới người dùng sàn nhiều nhất là hai danh mục dữ liệu ở Chương I và thủ tục báo sự cố ở Chương III. Bảng dưới đi theo thứ tự của nghị định.

Chương	Điều	Nội dung	Chạm tới sàn và người dùng
I. Quy định chung	1 đến 4	Phạm vi, đối tượng, danh mục dữ liệu cơ bản và nhạy cảm	Ảnh thẻ căn cước, dữ liệu sinh trắc, lịch sử giao dịch
II. Yêu cầu, điều kiện bảo vệ	5 đến 16	Thời hạn trả lời yêu cầu, cách xin đồng ý, tài chính ngân hàng, dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, đám mây, nhân sự bảo vệ dữ liệu	Thời hạn sàn trả lời bạn, xác thực truy cập dữ liệu, mã hóa dữ liệu
III. Hồ sơ, thủ tục	17 đến 29	Chuyển dữ liệu ra nước ngoài, hồ sơ đánh giá tác động, dịch vụ xử lý dữ liệu, thông báo vi phạm	Sàn lập hồ sơ; bạn nhận thông báo khi lộ dữ liệu
IV. Trách nhiệm nhà nước	30 đến 40	Kiểm tra, trách nhiệm các bộ, cơ quan chuyên trách, Cổng thông tin quốc gia	Nơi bạn gửi phản ánh
V. Điều khoản thi hành	41, 42	Miễn trừ cho doanh nghiệp nhỏ, hiệu lực	Ngày áp dụng

Dò toàn văn bản Công báo ngày 31/10/2026, nghị định không nhắc “tài sản mã hóa”, “tiền ảo” hay “tài sản số”. Chữ “tiền điện tử” xuất hiện một lần, trong định nghĩa vũ trụ ảo (Điều 10 khoản 4).

Danh mục dữ liệu cá nhân cơ bản

Nghị định kể 11 nhóm dữ liệu cơ bản, phần lớn là thông tin bạn khai khi mở tài khoản sàn. Danh mục nằm ở Điều 3.

• Họ tên, tên gọi khác; ngày sinh; giới tính; quốc tịch; tình trạng hôn nhân; quan hệ gia đình.
• Nơi sinh, nơi thường trú, tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ.
• Hình ảnh của cá nhân.
• Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe.
• Thông tin về tài khoản số của cá nhân.
• Thông tin khác gắn với hoặc giúp xác định một người cụ thể mà không thuộc danh mục nhạy cảm.

Nhóm cuối là nhóm hứng mọi thứ còn lại: dữ liệu nào giúp xác định bạn mà không có tên trong danh mục nhạy cảm thì là dữ liệu cơ bản.

“Hình ảnh của cá nhân” nằm ở nhóm cơ bản (khoản 6). Nghị định không định nghĩa “tài khoản số”, nên tài khoản giao dịch trên sàn có thuộc khoản 10 hay không là chưa rõ.

Danh mục dữ liệu cá nhân nhạy cảm

Có 12 nhóm dữ liệu nhạy cảm; năm nhóm có thể gặp trên sàn. Danh mục nằm ở Điều 4 khoản 1, điểm a đến m.

Bảy nhóm ít liên quan tới sàn: nguồn gốc chủng tộc, dân tộc; quan điểm chính trị, tôn giáo; đời sống riêng tư, bí mật gia đình; sức khỏe; đời sống tình dục; dữ liệu tội phạm do cơ quan thực thi pháp luật lưu; và dữ liệu pháp luật khác buộc giữ bí mật (điểm m).

Năm nhóm còn lại đặt cạnh dữ liệu mà một sàn thường thu, kèm mức chắc chắn của cách xếp:

Điểm	Nghị định ghi	Dữ liệu trên sàn	Cách xếp
i	Hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân	Ảnh hai mặt thẻ khi KYC (bước sàn xác minh danh tính)	Đúng chữ
đ	Dữ liệu sinh trắc học	Ảnh, video khuôn mặt dùng để đối chiếu với ảnh trên thẻ	Theo cách đọc của VietnamBit
k	Thông tin tài chính, lịch sử giao dịch của khách hàng tại “các tổ chức được phép khác”	Lịch sử lệnh, số dư tại sàn được cấp phép	Theo cách đọc của VietnamBit
h	Vị trí xác định qua dịch vụ định vị	Vị trí app lấy từ định vị của điện thoại, nếu app có lấy	Theo cách đọc của VietnamBit
l	Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng	Nhật ký đăng nhập, thao tác trên app, nếu sàn ghi để theo dõi hành vi	Theo cách đọc của VietnamBit

Chỉ dòng ảnh thẻ căn cước khớp đúng chữ. Bốn dòng còn lại là suy luận của chúng tôi, lý do ngắn như sau.

• Điểm đ: nghị định không vạch ranh giới giữa “hình ảnh của cá nhân” (nhóm cơ bản) và dữ liệu sinh trắc học. Ảnh khuôn mặt chỉ lưu như ảnh thường thì thuộc nhóm nào là chưa rõ. Phân tích dài hơn ở trang Luật 91.
• Điểm k: nghị định không nêu tên tổ chức cung cấp dịch vụ tài sản mã hóa. Xếp sàn được cấp phép vào “các tổ chức được phép khác”, và coi lệnh mua bán tài sản mã hóa là “giao dịch tài chính”, đều là cách đọc; theo cách đọc đó, sàn chưa được cấp phép không thuộc vế này.
• Điểm h và l: nghị định không nói app tài chính lấy vị trí hay ghi nhật ký thao tác có thuộc hai điểm này không. Câu chữ điểm l đủ rộng (“các dịch vụ khác trên không gian mạng”) để bao cả app sàn.

Tổ chức xử lý dữ liệu nhạy cảm phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (Điều 4 khoản 2).

Xin đồng ý: năm cách hợp lệ

Sàn xin bạn đồng ý bằng cách nào cũng phải kiểm chứng được ai đồng ý, lúc nào, đồng ý điều gì. Điều 6 khoản 1 kể năm cách:

1. Bằng văn bản.
2. Bằng cuộc gọi ghi âm.
3. Bằng cú pháp tin nhắn điện thoại.
4. Qua thư điện tử, trang web, nền tảng, ứng dụng có thiết lập kỹ thuật xin đồng ý.
5. Cách khác in, sao chép được thành văn bản, kể cả dạng điện tử.

Với app sàn, cách thứ tư là cách thường gặp. Các quy tắc còn lại của điều này (không đặt sẵn ô đồng ý, báo trước dữ liệu nhạy cảm, bên xin phải chứng minh) đã tóm ở trang Luật 91.

Thời hạn trả lời yêu cầu xem, sửa, xóa

Sàn có 02 ngày làm việc để phản hồi yêu cầu của bạn, rồi 10 đến 30 ngày để làm, tùy loại yêu cầu. Mỗi loại được gia hạn tối đa một lần (Điều 5).

Xem, sửa: 10 ngày. Rút đồng ý, hạn chế, phản đối: 15 ngày. Xóa: 20 ngày. Phải nhờ bên xử lý hay bên thứ ba thì dài hơn. Bảng đủ các mốc và ví dụ tính ở trang Luật 91.

Chia sẻ trong nội bộ sàn và cung cấp theo yêu cầu của bạn

Sàn chuyển dữ liệu giữa các bộ phận cũng phải có quy trình kiểm soát, và phải có biện pháp phòng nhân viên chia sẻ trái phép ra ngoài. Đó là Điều 7 khoản 4.

Bạn tự yêu cầu sàn cung cấp dữ liệu của mình thì không tính là “chuyển giao dữ liệu”, nên sàn không phải làm thỏa thuận chuyển giao cho trường hợp đó (khoản 6 cùng điều). Dữ liệu đưa lên sàn giao dịch dữ liệu phải được khử nhận dạng trước, tức sửa hoặc xóa để không còn xác định được người (khoản 5); sàn giao dịch dữ liệu ở đây khác sàn tài sản mã hóa.

Lĩnh vực tài chính, ngân hàng: thêm nghĩa vụ

Tổ chức trong lĩnh vực tài chính, ngân hàng phải đánh giá tuân thủ mỗi năm một lần và ghi nhật ký toàn bộ hoạt động xử lý dữ liệu. Khi xin đồng ý, tổ chức trong lĩnh vực này phải nêu rõ bốn điều (Điều 8 khoản 2):

• Mục đích xử lý, kể cả chấm điểm, xếp hạng tín dụng nếu có.
• Nguồn thu thập dữ liệu và các bên thu thập, chia sẻ liên quan.
• Thời gian lưu trữ dữ liệu.
• Cách rút lại đồng ý và chính sách xóa, hủy dữ liệu.

Lộ, mất dữ liệu nhạy cảm trong lĩnh vực này thì tổ chức trực tiếp thu thập dữ liệu phải báo cả cơ quan chuyên trách bảo vệ dữ liệu cá nhân (đơn vị thuộc Bộ Công an) lẫn bạn trong 72 giờ sau khi phát hiện (khoản 3).

Nghị định không định nghĩa “lĩnh vực tài chính” và không nói sàn tài sản mã hóa có thuộc lĩnh vực này hay không. Nếu sàn được coi là thuộc, bản xin đồng ý của sàn phải ghi thời gian lưu dữ liệu; đây là cách đọc của VietnamBit. Tính đến 31/10/2026, chưa sàn nào được cấp phép.

Dữ liệu lớn: xác thực đa yếu tố và ngoại lệ dữ liệu bản rõ

Tổ chức xử lý dữ liệu lớn có dữ liệu cá nhân phải dùng tối thiểu xác thực đa yếu tố, ở mức phù hợp với độ nhạy cảm của dữ liệu. Nghị định định nghĩa dữ liệu lớn là xử lý quy mô lớn, liên tục, từ nhiều nguồn, có khả năng phân tích hành vi, dự đoán xu hướng hoặc phân loại người dùng (Điều 9 khoản 1).

Xác thực đa yếu tố (xác minh bằng từ hai yếu tố khác loại trở lên) được nghị định kể kèm các yếu tố: mật khẩu, mã PIN kết hợp với mật khẩu dùng một lần, thiết bị ký số hoặc yếu tố sinh trắc học. Yêu cầu này đi cùng yêu cầu phân quyền truy cập dữ liệu cá nhân; nghị định không nói rõ là đăng nhập của khách hàng hay của nhân sự. Tổ chức còn phải giám sát liên tục việc truy cập dữ liệu và kiểm tra bảo mật định kỳ (Điều 9 khoản 3 điểm b, d, đ).

Khi chuyển giao, cung cấp dữ liệu, tổ chức phải mã hóa, ẩn danh dữ liệu (tách phần xác định danh tính ra lưu riêng). Yêu cầu này không áp khi pháp luật chuyên ngành quy định khác, hoặc khi việc xử lý đòi hỏi dữ liệu “ở dạng bản rõ” để phục vụ phòng, chống tội phạm, phòng chống rửa tiền (che giấu nguồn gốc tiền phạm pháp), bảo đảm an ninh quốc gia, xử lý khiếu nại, tranh chấp của khách hàng. Khi đó tổ chức phải áp dụng thêm giải pháp bảo mật để dữ liệu không bị truy cập, sử dụng trái phép (điểm c).

Theo cách đọc của VietnamBit, theo dõi giao dịch để chống rửa tiền trên sàn có thể khớp định nghĩa dữ liệu lớn nếu đủ các yếu tố quy mô lớn, liên tục, tích hợp nhiều nguồn và phân tích hành vi. Nghị định không nêu tên sàn ở điều này.

Xử lý tự động và trí tuệ nhân tạo

Bên kiểm soát dữ liệu (bên quyết định mục đích, cách xử lý) phải báo bạn khi xử lý dữ liệu tự động, giải thích nguyên tắc thuật toán và cho bạn lựa chọn không tham gia. Đó là Điều 10 khoản 3.

Nghị định không nói đối chiếu khuôn mặt tự động khi KYC hay khóa tài khoản tự động có phải “xử lý dữ liệu cá nhân tự động” theo điều này không. Định danh khách hàng lại là nghĩa vụ chống rửa tiền của sàn.

Kết quả suy luận của trí tuệ nhân tạo mà giúp xác định một người cụ thể cũng được bảo vệ như dữ liệu cá nhân (khoản 2 cùng điều).

Chuỗi khối và điện toán đám mây

Dữ liệu cá nhân trên điện toán đám mây phải được mã hóa cả khi lưu lẫn khi truyền, kèm phân quyền truy cập nghiêm ngặt. Điện toán đám mây là thuê máy chủ, lưu trữ của nhà cung cấp qua mạng thay vì tự đặt máy. Tổ chức thuê dịch vụ đám mây phải ghi trong hợp đồng việc chấp hành pháp luật Việt Nam và các biện pháp bảo mật, đồng thời xác định rõ luồng xử lý, vai trò từng bên, tuân thủ thời hạn xóa dữ liệu và bảo đảm quyền của bạn (Điều 12 khoản 2).

Lưu dữ liệu trên đám mây của nhà cung cấp nước ngoài là chuyển dữ liệu xuyên biên giới, xem mục hồ sơ bên dưới. Quy tắc riêng cho chuỗi khối (sổ cái chung khó sửa, nền của tài sản mã hóa) ở Điều 11: không lưu trực tiếp dữ liệu cá nhân lên chuỗi, phân tích ở trang Luật 91.

Nhân sự bảo vệ dữ liệu của sàn

Nhân sự bảo vệ dữ liệu do tổ chức chỉ định phải có trình độ cao đẳng trở lên và ít nhất 02 năm kinh nghiệm. Kinh nghiệm tính từ khi tốt nghiệp, trong pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, tuân thủ hoặc nhân sự (Điều 13 khoản 2).

Tổ chức có thể thuê ngoài thay vì tự chỉ định, hoặc làm cả hai:

Hình thức	Điều kiện chính	Điều
Nhân sự tự chỉ định	Cao đẳng trở lên, 02 năm kinh nghiệm, đã được đào tạo	13
Cá nhân thuê ngoài	Cao đẳng trở lên, 03 năm kinh nghiệm, đào tạo chuyên sâu	15
Tổ chức thuê ngoài	Tối thiểu 03 nhân sự đủ điều kiện như cá nhân thuê ngoài	16

Khi thuê ngoài, tổ chức phải công khai thông tin về nhân sự hay tổ chức bảo vệ dữ liệu đó cho bạn biết (khoản 3 của hai điều thuê ngoài trong bảng). Doanh nghiệp nhỏ được miễn chỉ định có điều kiện, xem trang Luật 91.

Hồ sơ chuyển dữ liệu ra nước ngoài và hồ sơ đánh giá tác động

Sàn chuyển dữ liệu ra nước ngoài phải nộp hồ sơ đánh giá tác động trong 60 ngày từ lần chuyển; cơ quan chuyên trách trả kết quả trong 15 ngày. Ba hoạt động được tính là chuyển xuyên biên giới (Điều 17 khoản 1):

• Lưu dữ liệu thu ở Việt Nam trên máy chủ ở nước ngoài hoặc đám mây của nhà cung cấp nước ngoài.
• Gửi dữ liệu từ Việt Nam cho tổ chức, cá nhân ở nước ngoài.
• Chuyển dữ liệu thu ở Việt Nam sang nền tảng ở nước ngoài để xử lý tiếp.

Hồ sơ gồm báo cáo theo Mẫu số 09, bản sao hợp đồng với bên nhận và các chính sách bảo vệ dữ liệu. Báo cáo phải có sơ đồ luồng dữ liệu, đánh giá mức bảo vệ của bên nhận và cách bên nhận chuyển tiếp cho bên thứ ba (Điều 18 khoản 2, 3).

Hồ sơ chưa đầy đủ, chưa đúng quy định thì cơ quan chuyên trách yêu cầu hoàn thiện trong 30 ngày; không hoàn thiện thì có thể bị xem xét xử phạt hành chính (khoản 6 cùng điều).

Nghị định miễn hồ sơ này cho một số trường hợp, trong đó có cung cấp dữ liệu ra nước ngoài để ký hợp đồng hoặc làm thủ tục về “chuyển tiền, thanh toán” (Điều 17 khoản 3 điểm đ).

Hồ sơ đánh giá tác động xử lý dữ liệu (báo cáo Mẫu số 10) cũng nộp trong 60 ngày từ ngày bắt đầu xử lý, cùng thời hạn trả kết quả 15 ngày (Điều 19 khoản 4, 5).

Cả hai bộ hồ sơ cập nhật định kỳ 06 tháng kể từ lần đầu nộp khi phát sinh mục đích mới, hoặc phát sinh, thay đổi các bên tham gia xử lý (Điều 20 khoản 1).

Một số thay đổi phải cập nhật trong 10 ngày: tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thông tin về đơn vị cung cấp dịch vụ bảo vệ dữ liệu thay đổi; phát sinh hoặc đổi ngành nghề liên quan đến xử lý dữ liệu (Điều 20 khoản 2).

Riêng với sàn, Nghị quyết 05/2025/NQ-CP còn có yêu cầu về nơi đặt máy chủ. Hai quy định đặt cạnh nhau ở trang dữ liệu trên sàn.

Kinh doanh dịch vụ xử lý dữ liệu cần giấy chứng nhận

Kinh doanh dịch vụ xử lý dữ liệu cá nhân cần Giấy chứng nhận đủ điều kiện do Bộ Công an cấp. Điều 21 kể 9 loại dịch vụ, trong đó có:

• Vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát xử lý dữ liệu.
• Chấm điểm, xếp hạng, đánh giá mức tín nhiệm của cá nhân.
• Mã hóa dữ liệu cá nhân khi truyền và lưu.
• Xử lý tự động dựa trên dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối.

Tổ chức kinh doanh dịch vụ này phải thành lập theo pháp luật Việt Nam, có người phụ trách chuyên môn là công dân Việt Nam thường trú trong nước và tối thiểu 03 nhân sự đủ điều kiện (Điều 22 khoản 1, 2).

Theo cách đọc của VietnamBit, đơn vị bên ngoài mà sàn thuê để đối chiếu khuôn mặt, xác minh giấy tờ có thể thuộc loại dịch vụ đầu tiên, và khi đó cần Giấy chứng nhận nói trên. Đơn vị này cũng phải yêu cầu sàn xin đồng ý của bạn, và bạn được biết tên tổ chức cung cấp dịch vụ (Điều 23 khoản 7). Nghị định không nêu tên dịch vụ định danh khách hàng.

Sự cố với dữ liệu sinh trắc, vị trí: thông báo gửi bạn phải có gì

Khi có sự cố vi phạm liên quan đến dữ liệu sinh trắc học hoặc vị trí, bên kiểm soát dữ liệu, như sàn giữ hồ sơ KYC, phải báo bạn trong 72 giờ kể từ khi phát hiện. Với ảnh khuôn mặt, nghĩa vụ này chỉ áp nếu ảnh được coi là dữ liệu sinh trắc học như cách đọc ở mục dữ liệu nhạy cảm. Thời hạn ở Điều 29 khoản 1 điểm a; trường hợp lĩnh vực tài chính đã nêu ở mục trên.

Thông báo gửi bạn phải có tối thiểu sáu nội dung (Điều 29 khoản 2):

1. Thời điểm và cách phát hiện vi phạm.
2. Loại dữ liệu bị ảnh hưởng: vị trí, sinh trắc học hay cả hai.
3. Mức nghiêm trọng và rủi ro có thể xảy ra với bạn.
4. Biện pháp đã, đang và sẽ làm để khắc phục.
5. Hướng dẫn bạn phòng ngừa, ngăn chặn tiếp.
6. Liên hệ của nhân sự bảo vệ dữ liệu và bộ phận xử lý sự cố.

Không báo kịp cho từng người vì lý do kỹ thuật hoặc khẩn cấp thì tổ chức phải đăng thông báo công khai trên trang web, ứng dụng chính thức, rồi gửi riêng ngay khi được (khoản 3 cùng điều).

Tổ chức phải lưu hồ sơ vi phạm ít nhất 5 năm kể từ khi khắc phục xong (khoản 1 điểm c cùng điều).

Báo cáo lập theo Mẫu số 08, gửi cơ quan chuyên trách hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (Điều 28 khoản 2).

Nhận được thông báo như vậy, việc nên làm ngay là đổi mật khẩu, kiểm tra thiết bị đăng nhập và bật xác thực hai lớp nếu chưa bật. Các bước chi tiết ở trang bảo mật ví và tài khoản sàn.

Mức phạt

Nghị định 356 không đặt mức phạt. Mức phạt từng hành vi trong lĩnh vực bảo vệ dữ liệu cá nhân nằm ở Nghị định 330/2026/NĐ-CP; trần phạt nằm ở Luật 91.

Nghị định 356 không nói gì

1. Sàn tài sản mã hóa. Nghị định không nêu tên sàn. Sàn theo các nghĩa vụ chung như mọi tổ chức xử lý dữ liệu cá nhân (Điều 2); còn xếp dữ liệu trên sàn vào từng nhóm (trừ ảnh thẻ căn cước) và áp các điều riêng cho tài chính, dữ liệu lớn là cách đọc.
2. “Lĩnh vực tài chính” gồm những ai. Chưa rõ sàn có phải theo các nghĩa vụ thêm ở mục tài chính, ngân hàng không.
3. Ranh giới ảnh thường và sinh trắc. Nghị định không nói ảnh khuôn mặt khi KYC thuộc nhóm cơ bản hay nhạy cảm.
4. Quyền không tham gia xử lý tự động khi luật buộc định danh. Chưa rõ áp thế nào khi luật chuyên ngành buộc sàn xác minh khách hàng.

Áp dụng từ ngày nào

Nghị định 356 có hiệu lực từ 01/01/2026, cùng ngày với Luật 91. Nghị định 13/2023/NĐ-CP hết hiệu lực từ cùng ngày (Điều 42 khoản 1, 2).

Nghị định 356 còn sửa một khoản của Nghị định 165/2025/NĐ-CP hướng dẫn Luật Dữ liệu: dữ liệu cốt lõi, dữ liệu quan trọng mà là dữ liệu cá nhân thì theo pháp luật bảo vệ dữ liệu cá nhân (khoản 3 cùng điều).