MỘT SỐ VẤN ĐỀ PHÁP LÝ CẦN BIẾT

VỀ HỢP ĐỒNG ĐIỆN TỬ

A. TỔNG QUAN

• Ban hành và Hiệu lực: Luật Giao dịch điện tử số 20/2023/QH15 được Quốc hội thông qua vào ngày 22/06/2023 và chính thức có hiệu lực thi hành từ ngày 01/07/2024. Việc ban hành đạo luật này nhằm thay thế cho Luật Giao dịch điện tử năm 2005, qua đó tạo ra một hành lang pháp lý hoàn thiện, đồng bộ, phục vụ mạnh mẽ cho công cuộc chuyển đổi số quốc gia.
• Phạm vi điều chỉnh: Một bước tiến mang tính đột phá của Luật mới là sự mở rộng toàn diện về phạm vi áp dụng. Luật hiện điều chỉnh việc thực hiện giao dịch bằng phương tiện điện tử trong mọi hoạt động của cơ quan, tổ chức và cá nhân. Khác với trước đây, pháp luật không còn loại trừ các lĩnh vực quan trọng như đất đai, thừa kế, giấy tờ có giá, trừ trường hợp luật chuyên ngành có quy định cấm thực hiện bằng phương tiện điện tử.
• Điều khoản chuyển tiếp: Nhằm bảo đảm sự ổn định, các chứng thư số, giấy phép, giấy chứng nhận đã được cấp trước ngày 22/06/2023 vẫn tiếp tục có giá trị sử dụng cho đến hết thời hạn. Đặc biệt, xác nhận đăng ký hoạt động cung cấp dịch vụ chứng thực hợp đồng điện tử trong thương mại được tiếp tục sử dụng đến hết ngày

B. MỘT SỐ VẤN ĐỀ CẦN BIẾT

1. Khái niệm và Giá trị pháp lý của hợp đồng điện tử

• Nội dung chính: Hợp đồng điện tử được định nghĩa là hợp đồng được thiết lập dưới dạng thông điệp dữ liệu. Về nguyên tắc cốt lõi, hợp đồng điện tử có giá trị pháp lý hoàn toàn tương đương với hợp đồng giấy truyền thống; không thể bị phủ nhận giá trị pháp lý chỉ vì hợp đồng đó được thể hiện dưới dạng điện tử hay được khởi tạo, giao kết thông qua các hệ thống thông tin tự động.
• Căn cứ pháp lý: Điều 34 Luật Giao dịch điện tử 2023; Điều 401 Bộ luật Dân sự 2015.
• Điều kiện, thủ tục, nghĩa vụ: Tương tự hợp đồng truyền thống, hợp đồng điện tử phải thỏa mãn các điều kiện có hiệu lực chung của giao dịch dân sự như: năng lực hành vi của chủ thể, sự tự nguyện, và mục đích không vi phạm điều cấm của luật. Về mặt kỹ thuật, thông tin trong hợp đồng phải bảo đảm tính toàn vẹn (chưa bị thay đổi, trừ các thay đổi về hình thức trong quá trình lưu trữ, hiển thị) và có thể truy cập, sử dụng được dưới dạng hoàn chỉnh để tham chiếu khi cần thiết.
  

2. Nguyên tắc giao kết và thực hiện hợp đồng

• Nội dung chính: Giao kết hợp đồng điện tử là việc sử dụng thông điệp dữ liệu để tiến hành một phần hoặc toàn bộ giao dịch. Các bên tham gia được trao quyền tự do thỏa thuận về việc sử dụng phương tiện điện tử, tự do đàm phán các yêu cầu kỹ thuật, cũng như các điều kiện bảo đảm tính toàn vẹn và bảo mật của hợp đồng.
• Căn cứ pháp lý: Điều 35, Điều 36 Luật Giao dịch điện tử 2023.
• Điều kiện, thủ tục, nghĩa vụ: Quá trình giao kết phải tuân thủ nghiêm ngặt Luật Giao dịch điện tử, pháp luật về hợp đồng và các pháp luật chuyên ngành liên quan. Đặc biệt, trong quá trình giao kết và thực hiện, các thông báo dưới dạng thông điệp dữ liệu hoàn toàn có giá trị pháp lý như thông báo bằng văn bản giấy.

3. Vai trò và phân loại Chữ ký điện tử

• Nội dung chính: Chữ ký điện tử là công cụ pháp lý cốt lõi để xác nhận danh tính của chủ thể ký và khẳng định sự chấp thuận của họ đối với nội dung hợp đồng. Luật GDĐT 2023 phân loại chữ ký điện tử thành 3 nhóm rõ ràng: Chữ ký điện tử chuyên dùng, Chữ ký số công cộng và Chữ ký số chuyên dùng công vụ.
• Căn cứ pháp lý: Điều 22, Điều 23, Điều 25 Luật Giao dịch điện tử 2023.
• Điều kiện, thủ tục, nghĩa vụ: Một chữ ký số được công nhận là chữ ký điện tử hợp pháp khi dữ liệu tạo chữ ký chỉ gắn duy nhất với nội dung thông điệp dữ liệu được chấp thuận, nằm dưới sự kiểm soát độc quyền của người ký tại thời điểm ký, và bất kỳ sự thay đổi nào đối với thông điệp dữ liệu sau khi ký đều có thể bị phát hiện. Chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số sẽ có giá trị pháp lý tương đương với chữ ký tay.

4. Dịch vụ tin cậy và Chứng thực hợp đồng điện tử (CeCA)

• Nội dung chính: Để tăng cường độ an toàn và phòng ngừa tranh chấp, Luật bổ sung chế định về “Dịch vụ tin cậy”, bao gồm: cấp dấu thời gian, chứng thực thông điệp dữ liệu và chứng thực chữ ký số công cộng. Khi sử dụng dịch vụ chứng thực hợp đồng điện tử từ các tổ chức CeCA (Certified e-Contract Authority), hợp đồng sẽ mang “tích xanh”, bảo đảm tính toàn vẹn và chống chối bỏ ở mức độ cao nhất.
• Căn cứ pháp lý: Điều 28, Điều 29 Luật Giao dịch điện tử 2023.
• Điều kiện, thủ tục, nghĩa vụ: Cung cấp dịch vụ tin cậy là ngành nghề kinh doanh có điều kiện. Tổ chức cung cấp phải được Bộ Thông tin và Truyền thông cấp phép, đáp ứng nghiêm ngặt các tiêu chuẩn về tài chính, nhân lực và hệ thống kỹ thuật bảo đảm an toàn thông tin. Đối với tổ chức chứng thực hợp đồng điện tử trong thương mại, ngoài các điều kiện trên, còn phải đáp ứng các quy định của pháp luật về thương mại điện tử.

TÓM LẠI: Với sự ra đời của Luật Giao dịch điện tử 2023, hợp đồng điện tử đã có một hành lang pháp lý vững chắc, thừa nhận giá trị tương đương với hợp đồng truyền thống. Để giao dịch được diễn ra nhanh chóng, an toàn và có giá trị chứng minh cao, các chủ thể cần chú trọng đáp ứng các điều kiện về hình thức của thông điệp dữ liệu, sử dụng chữ ký số hợp chuẩn và cân nhắc tận dụng các dịch vụ chứng thực tin cậy nhằm tối ưu hóa việc bảo vệ quyền lợi hợp pháp của mình.

MỘT SỐ VẤN ĐỀ PHÁP LÝ CẦN BIẾT
VỀ DỮ LIỆU CÁ NHÂN

1. TỔNG QUAN

• Thời điểm ban hành và hiệu lực: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội ban hành ngày 26/06/2025, Nghị định 356/2025/NĐ-CP được Chính phủ ban hành ngày 31/12/2025 quy định chi tiết Luật này. Cả hai văn bản chính thức có hiệu lực thi hành kể từ ngày 01/01/2026. Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày này.
• Phạm vi điều chỉnh: Áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam; và tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến xử lý DLCN của công dân Việt Nam, người gốc Việt Nam chưa xác định quốc tịch đang sinh sống tại Việt Nam đã có giấy chứng nhận căn cước.
• Điều khoản chuyển tiếp: Các hoạt động xử lý DLCN đã được chủ thể đồng ý theo Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026 thì được tiếp tục thực hiện mà không phải xin đồng ý lại. Các hồ sơ đánh giá tác động đã nộp trước đây tiếp tục được sử dụng và việc cập nhật sẽ thực hiện theo Luật mới. Đặc biệt, doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được miễn thực hiện quy định lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ DLCN trong 5 năm (trừ khi kinh doanh dịch vụ xử lý DLCN, xử lý DLCN nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể dữ liệu); hộ kinh doanh, doanh nghiệp siêu nhỏ cũng được áp dụng ngoại lệ này.

2. MỘT SỐ VẤN ĐỀ CẦN BIẾT

Một là, Phân loại và nguyên tắc xử lý dữ liệu cá nhân:

• Nội dung chính: DLCN được chia thành hai nhóm là DLCN cơ bản (họ tên, ngày sinh, nơi ở, SĐT, hình ảnh…) và DLCN nhạy cảm (quan điểm tôn giáo, tình trạng sức khỏe, dữ liệu sinh trắc học, thông tin tài chính/ngân hàng, vị trí định vị…). Việc thu thập, xử lý DLCN bắt buộc phải có sự đồng ý của chủ thể dữ liệu, trừ các trường hợp ngoại lệ để bảo vệ tính mạng, sức khỏe hoặc giải quyết tình trạng khẩn cấp.
• Căn cứ pháp lý: Điều 2, Điều 9, Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025; Điều 3, Điều 4, Điều 5 Nghị định 356/2025/NĐ-CP.
• Điều kiện, thủ tục, nghĩa vụ: Trong quá trình xử lý DLCN nhạy cảm, cơ quan/tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật. Doanh nghiệp phải xây dựng quy trình, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu (như quyền rút lại sự đồng ý, quyền xóa dữ liệu), với thời hạn phản hồi quy định nghiêm ngặt từ 02 ngày làm việc và thực hiện từ 10 – 30 ngày tùy yêu cầu.
• Đối tượng liên quan: Tất cả các cá nhân, doanh nghiệp, tổ chức có hoạt động thu thập, lưu trữ thông tin khách hàng, người lao động.

Hai là, Lập hồ sơ đánh giá tác động xử lý và chuyển dữ liệu cá nhân xuyên biên giới:

• • Nội dung chính: Bên kiểm soát, bên xử lý DLCN bắt buộc phải lập hồ sơ đánh giá tác động khi xử lý DLCN hoặc chuyển DLCN ra nước ngoài (chẳng hạn như lưu trữ trên máy chủ hoặc dịch vụ điện toán đám mây đặt ngoài lãnh thổ Việt Nam).
  • Căn cứ pháp lý: Điều 20, Điều 21, Điều 22 Luật Bảo vệ DLCN 2025; Điều 17 đến Điều 20 Nghị định 356/2025/NĐ-CP.
  • Điều kiện, thủ tục, nghĩa vụ: Doanh nghiệp phải lập và gửi 01 bản chính hồ sơ cho cơ quan chuyên trách (Bộ Công an) trong thời gian 60 ngày kể từ ngày đầu tiên xử lý hoặc chuyển DLCN. Hồ sơ phải được cập nhật định kỳ 06 tháng/lần, hoặc cập nhật ngay trong vòng 10 ngày nếu có thay đổi về tổ chức, dịch vụ kinh doanh.
  • Đối tượng liên quan: Các bên kiểm soát và xử lý DLCN, đặc biệt là các doanh nghiệp có yếu tố nước ngoài, các tổ chức sử dụng giải pháp phần mềm/đám mây quốc tế.

Ba là, Bố trí Lực lượng, bộ phận, nhân sự bảo vệ dữ liệu cá nhân:

• Nội dung chính: Các cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự chuyên trách đủ điều kiện năng lực, hoặc tiến hành thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN độc lập.
• Căn cứ pháp lý: Điều 33 Luật Bảo vệ DLCN 2025; Điều 13 đến Điều 16 Nghị định 356/2025/NĐ-CP.
• Điều kiện, thủ tục, nghĩa vụ: Nhân sự được chỉ định phải có trình độ từ cao đẳng trở lên, có ít nhất 02 năm kinh nghiệm (hoặc 03 năm đối với dịch vụ thuê ngoài) liên quan đến pháp chế, CNTT, quản trị rủi ro hoặc kiểm soát tuân thủ, và đã được đào tạo kiến thức pháp luật chuyên môn. Việc phân công, chỉ định nhân sự/bộ phận này phải được thực hiện bằng văn bản chính thức.
• Đối tượng liên quan: Mọi cơ quan, tổ chức, doanh nghiệp (trừ một số doanh nghiệp nhỏ/khởi nghiệp, hộ kinh doanh được miễn trừ trong 5 năm đầu theo quy định tại Điều 41 Nghị định 356/2025/NĐ-CP).

Bốn là, Thông báo sự cố và vi phạm bảo vệ dữ liệu cá nhân:

• Nội dung chính: Bất cứ khi nào phát hiện vi phạm quy định về bảo vệ DLCN có nguy cơ gây tổn hại đến an ninh, trật tự xã hội hoặc quyền, lợi ích, tài sản của cá nhân, doanh nghiệp phải lập tức báo cáo cơ quan chuyên trách.
• Căn cứ pháp lý: Điều 23 Luật Bảo vệ DLCN 2025; Điều 8, Điều 28, Điều 29 Nghị định 356/2025/NĐ-CP.
• Điều kiện, thủ tục, nghĩa vụ: Việc thông báo cho Bộ Công an phải thực hiện chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm, đồng thời phải lập biên bản xác nhận vi phạm và khắc phục hậu quả. Đặc biệt lưu ý, đối với lĩnh vực tài chính, ngân hàng, hoặc khi xảy ra sự cố liên quan đến dữ liệu vị trí, sinh trắc học, tổ chức bắt buộc phải thông báo cho cả chủ thể dữ liệu bị ảnh hưởng trong thời hạn tối đa 72 giờ.
• Đối tượng liên quan: Các công ty thu thập DLCN lớn, ứng dụng định vị, các ngân hàng, tổ chức tín dụng, công ty chứng khoán, bảo hiểm.

Năm là, Kinh doanh dịch vụ xử lý dữ liệu cá nhân:

• Nội dung chính: Các hoạt động như phân tích, khai thác dữ liệu; chấm điểm, xếp hạng tín nhiệm; cung cấp hệ thống lưu trữ/xử lý tự động thay mặt bên kiểm soát (SaaS, cloud) chính thức trở thành ngành, nghề kinh doanh dịch vụ xử lý DLCN.
• Căn cứ pháp lý: Điều 21 đến Điều 27 Nghị định 356/2025/NĐ-CP.
• Điều kiện, thủ tục, nghĩa vụ: Tổ chức muốn kinh doanh mảng này bắt buộc phải xin “Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý DLCN” do Bộ Công an cấp. Điều kiện kinh doanh bao gồm: Người đứng đầu phụ trách chuyên môn phải là công dân Việt Nam, thường trú tại Việt Nam; có tối thiểu 03 nhân sự chuyên trách về DLCN; đáp ứng tiêu chuẩn hạ tầng, cơ sở vật chất,. Hồ sơ đề nghị cấp phép bao gồm Đơn đề nghị, Đề án kinh doanh và hồ sơ nhân sự liên quan.
• Đối tượng liên quan: Doanh nghiệp IT, công ty công nghệ (AI, Big Data, Blockchain, Cloud), các trung tâm phân tích dữ liệu và các tổ chức cung cấp dịch vụ phần mềm doanh nghiệp, marketing hành vi.

Tóm lại, để đảm bảo tuân thủ, các cá nhân tổ chức liên quan có thể cần thực hiện:

• Rà soát, phân loại DLCN: Phân tách rõ DLCN cơ bản và nhạy cảm trong hệ thống lưu trữ hiện tại.
• Chuẩn hóa quy trình, biểu mẫu: Cập nhật quy chế nội bộ, hợp đồng, thiết lập phương thức hợp pháp để xin ý kiến “đồng ý” từ chủ thể và xây dựng cơ chế đáp ứng các quyền của họ.
• Ra quyết định bổ nhiệm nhân sự chuyên trách/bộ phận bảo vệ DLCN đủ tiêu chuẩn theo luật định, hoặc tiến hành ký hợp đồng thuê dịch vụ ngoài.
• Hoàn thiện Hồ sơ Đánh giá tác động (DPIA/TIA): Lập và gửi các hồ sơ đánh giá tác động xử lý/chuyển dữ liệu xuyên biên giới lên cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 60 ngày kể từ ngày bắt đầu xử lý.
• Thiết lập quy trình phản ứng sự cố, đảm bảo khả năng báo cáo cơ quan chức năng trong vòng 72 giờ khi xảy ra lộ lọt dữ liệu.
• Xin cấp Giấy chứng nhận đủ điều kiện: Nếu hoạt động trong lĩnh vực kinh doanh dịch vụ xử lý DLCN, cần chuẩn bị nhân lực, hạ tầng và xây dựng Đề án để xin cấp Giấy chứng nhận tại Bộ Công an.

MỘT SỐ VẤN ĐỀ PHÁP LÝ CẦN BIẾT 
VỀ TRÍ TUỆ NHÂN TẠO

1. TỔNG QUAN

• Thời điểm ban hành và hiệu lực: Luật Trí tuệ nhân tạo (Luật số: 134/2025/QH15) được Quốc hội thông qua ngày 10/12/2025 và chính thức có hiệu lực thi hành từ ngày 01/3/2026.
• Phạm vi điều chỉnh: Luật quy định về nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống trí tuệ nhân tạo (TTNT); quyền, nghĩa vụ của các tổ chức, cá nhân có liên quan và công tác quản lý nhà nước đối với hoạt động TTNT tại Việt Nam. Luật áp dụng cho các cơ quan, tổ chức, cá nhân Việt Nam và nước ngoài tham gia hoạt động TTNT tại Việt Nam, không áp dụng cho hoạt động TTNT phục vụ mục đích quốc phòng, an ninh, cơ yếu.
• Điều khoản chuyển tiếp: Đối với các hệ thống TTNT đã được đưa vào hoạt động trước ngày 01/3/2026, nhà cung cấp và bên triển khai có trách nhiệm thực hiện nghĩa vụ tuân thủ trong thời hạn 18 tháng (đối với lĩnh vực y tế, giáo dục, tài chính) hoặc 12 tháng (đối với các hệ thống khác) kể từ ngày Luật có hiệu lực. Trong thời hạn này, hệ thống tiếp tục được hoạt động trừ khi cơ quan quản lý xác định có nguy cơ gây thiệt hại nghiêm trọng và yêu cầu tạm dừng hoặc chấm dứt hoạt động.

 2. MỘT SỐ VẤN ĐỀ CẦN BIẾT

Một là, Phân loại và quản lý rủi ro:

• Nội dung chính và căn cứ pháp lý: Theo Điều 9, hệ thống TTNT được phân loại thành 3 mức độ rủi ro: cao, trung bình và thấp,. Hệ thống rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp, an ninh quốc gia.
• Điều kiện, thủ tục, nghĩa vụ: Căn cứ Điều 10 và Điều 14, nhà cung cấp phải tự phân loại hệ thống trước khi đưa vào sử dụng. Đối với hệ thống rủi ro trung bình và cao, nhà cung cấp phải có hồ sơ phân loại và thông báo kết quả cho Bộ Khoa học và Công nghệ qua Cổng thông tin điện tử một cửa trước khi sử dụng. Riêng hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi sử dụng; thiết lập biện pháp quản lý rủi ro; lưu giữ hồ sơ kỹ thuật, nhật ký hoạt động; bảo đảm khả năng can thiệp của con người. Đối với nhà cung cấp nước ngoài có hệ thống rủi ro cao bắt buộc phải có đầu mối liên hệ hợp pháp, hiện diện thương mại hoặc đại diện được ủy quyền tại Việt Nam.
• Đối tượng liên quan: Doanh nghiệp, tổ chức là nhà cung cấp (đưa hệ thống ra thị trường) và bên triển khai (sử dụng hệ thống để cung cấp dịch vụ) cần lưu tâm để thực hiện phân loại và duy trì sự phù hợp hệ thống.

Hai là, Nghĩa vụ minh bạch và hành vi bị cấm:

• Nội dung chính và căn cứ pháp lý: Quy định chi tiết tại Điều 11 về trách nhiệm minh bạch và Điều 7 về các hành vi bị nghiêm cấm trong hoạt động TTNT.
• Điều kiện, thủ tục, nghĩa vụ: Nhà cung cấp phải bảo đảm hệ thống được thiết kế để người sử dụng nhận biết họ đang tương tác với TTNT. Các nội dung âm thanh, hình ảnh, video do TTNT tạo ra hoặc chỉnh sửa nhằm mô phỏng, giả lập người thật hoặc sự kiện thật (như deepfake) phải được đánh dấu ở định dạng máy đọc và gắn nhãn dễ nhận biết để tránh gây nhầm lẫn,. Đồng thời, pháp luật nghiêm cấm việc lợi dụng TTNT để lừa dối, thao túng hành vi; lợi dụng nhóm người dễ bị tổn thương (trẻ em, người cao tuổi, người khuyết tật,…); thu thập dữ liệu huấn luyện trái phép; hoặc che giấu thông tin bắt buộc phải minh bạch.
• Đối tượng liên quan: Các nhà phát triển, nhà cung cấp giải pháp nội dung số và các nền tảng ứng dụng trực tiếp tương tác với người dùng cần thiết lập tính năng dán nhãn thông báo và kiểm duyệt nội dung tự động.

Ba là, Cơ chế thử nghiệm (sandbox):

• Nội dung chính và căn cứ pháp lý: Điều 21 quy định về cơ chế thử nghiệm có kiểm soát (sandbox) đối với TTNT để khuyến khích đổi mới sáng tạo.
• Điều kiện, thủ tục, nghĩa vụ: Việc thử nghiệm được đặt dưới sự giám sát của cơ quan nhà nước có thẩm quyền; cơ quan này có quyền thẩm định hồ sơ, quy trình phản hồi nhanh và quyết định tạm dừng nếu có rủi ro. Kết quả thử nghiệm là căn cứ quan trọng để nhà nước xem xét công nhận kết quả đánh giá sự phù hợp, hoặc miễn, giảm, điều chỉnh các nghĩa vụ tuân thủ tương ứng của Luật này.
• Đối tượng liên quan: Các doanh nghiệp công nghệ, doanh nghiệp khởi nghiệp đổi mới sáng tạo đang phát triển các sản phẩm TTNT mới, cần môi trường thực tế để đánh giá rủi ro trước khi thương mại hóa.

Bốn là, Quản lý sự cố:

• Nội dung chính và căn cứ pháp lý: Điều 12 quy định trách nhiệm báo cáo và xử lý khi có sự cố nghiêm trọng, là các sự kiện gây ra hoặc có nguy cơ gây thiệt hại đáng kể đến sức khỏe, quyền con người, an ninh mạng, tài sản,… do hoạt động của TTNT.
• Điều kiện, thủ tục, nghĩa vụ: Khi xảy ra sự cố nghiêm trọng, nhà phát triển và nhà cung cấp phải khẩn trương áp dụng biện pháp kỹ thuật để khắc phục, tạm dừng hoặc thu hồi hệ thống, và thông báo cho cơ quan có thẩm quyền. Bên triển khai và người sử dụng có nghĩa vụ ghi nhận, báo cáo sự cố và phối hợp khắc phục. Toàn bộ quá trình báo cáo và xử lý sự cố phải thực hiện qua Cổng thông tin điện tử một cửa về TTNT.
• Đối tượng liên quan: Nhà phát triển, nhà cung cấp, bên triển khai và người sử dụng đều có trách nhiệm liên đới theo từng cấp độ ứng phó sự cố.

Tóm lại, Để đảm bảo tuân thủ, các cá nhân tổ chức liên quan có thể cần thực hiện:

• Rà soát, đánh giá và tự phân loại mức độ rủi ro (cao, trung bình, thấp) đối với các hệ thống TTNT đang phát triển hoặc kinh doanh.
• Chuẩn bị thủ tục thông báo đối với hệ thống rủi ro trung bình và cao; tiến hành kiểm định/đánh giá sự phù hợp cho hệ thống rủi ro cao.
• Bổ sung cơ chế gắn nhãn, đánh dấu định dạng máy đọc trên các nội dung do TTNT tạo ra để tuân thủ nghĩa vụ minh bạch.
• Lập kế hoạch điều chỉnh hệ thống hiện hữu trong thời hạn chuyển tiếp (12 – 18 tháng kể từ 01/3/2026).
• Xây dựng quy trình nội bộ về lưu trữ hồ sơ, quản lý dữ liệu và kịch bản ứng phó, báo cáo trực tuyến khi có sự cố nghiêm trọng xảy ra.