Personal data protection in online business: From privacy to accountability
Published: September 16, 2026
Abstract
Personal data protection in online business is evolving from a technical security issue into a legal governance obligation covering the entire data lifecycle. This study examines Vietnam’s legal framework under the 2025 Law on Personal Data Protection, Decree No. 356/2025/ND-CP, and the 2025 Law on E-Commerce, while comparing selected experience from Singapore, South Korea, and the European Union. Using doctrinal analysis, case studies, and comparative law, the study identifies four major risk areas: formalistic consent, control of employees and data processors, cookies and behavioral tracking, and cross-border data transfers. It argues that legal reform should not focus solely on stronger sanctions but should promote demonstrable accountability, risk-based governance, data protection by design, and clearer responsibility throughout the entire data-processing chain.
Keywords
personal dataonline businesse-commerceprivacyaccountability
References
1.
Chính phủ. (2025). Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
2.
Nghị viện châu Âu và Hội đồng Liên minh châu Âu (European Parliament and Council). (2016). Quy định (EU) 2016/679 - Quy định chung về bảo vệ dữ liệu (General Data Protection Regulation - GDPR). Công báo Liên minh châu Âu (Official Journal of the European Union), L 119, 1-88. https://eur-lex.europa.eu/eli/reg/2016/679/oj
3.
Quốc hội. (2023). Luật số 19/2023/QH15: Luật Bảo vệ quyền lợi người tiêu dùng, ban hành ngày 20/6/2023.
4.
Quốc hội. (2023). Luật số 20/2023/QH15: Luật Giao dịch điện tử, ban hành ngày 22/6/2023.
5.
Quốc hội. (2025). Luật số 91/2025/QH15: Luật Bảo vệ dữ liệu cá nhân, ban hành ngày 26/6/2025.
6.
Quốc hội. (2025). Luật số 116/2025/QH15: Luật An ninh mạng, ban hành ngày 10/12/2025.
7.
Quốc hội. (2025). Luật số 122/2025/QH15: Luật Thương mại điện tử, ban hành ngày 10/12/2025.
8.
Quốc hội. (2025). Luật số 143/2025/QH15: Luật Đầu tư, ban hành ngày 11/12/2025.
9.
Tòa án Nhân dân tỉnh Hải Dương. (2022). Bản án số 63/2022/HS-ST ngày 12/12/2022 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông. Cổng công bố bản án, quyết định của Tòa án nhân dân. https://congbobanan.toaan.gov.vn/3ta1107435t1cvn/
10.
Ủy ban Bảo vệ dữ liệu cá nhân Singapore (Personal Data Protection Commission - PDPC). (2025). Vi phạm nghĩa vụ bảo vệ của Marina Bay Sands Pte Ltd (Breach of the Protection Obligation by Marina Bay Sands Pte Ltd). https://www.pdpc.gov.sg/organisations/regulations-decisions/enforcement-decisions/breach-of-the-protection-obligation-by-marina-bay-sands-pte-ltd
11.
Ủy ban Bảo vệ thông tin cá nhân Hàn Quốc (Personal Information Protection Commission - PIPC). (2026). Thông cáo báo chí về quyết định xử lý Coupang và các công ty liên kết do làm lộ và vi phạm quy định về thông tin cá nhân, ngày 11/6/2026. https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12171
12.
Ủy ban Quốc gia về Tin học và Tự do của Pháp (Commission Nationale de l’Informatique et des Libertés - CNIL). (2025a). Quyết định xử phạt Shein về việc đặt tệp cookie khi chưa có sự đồng ý. https://www.cnil.fr/en/cookies-placed-without-consent-shein-fined-150-million-euros-cnil
13.
Ủy ban Quốc gia về Tin học và Tự do của Pháp (Commission Nationale de l’Informatique et des Libertés - CNIL). (2025b). Quyết định xử phạt Google về quảng cáo và tệp cookie trong Gmail. https://www.cnil.fr/en/cookies-and-advertisements-inserted-between-emails-google-fined-325-million-euros-cnil
