Tóm tắt nhanh
- Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026.
- Khung pháp lý hiện hành: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
- Hồ sơ đánh giá tác động xử lý dữ liệu và chuyển dữ liệu xuyên biên giới phải gửi Bộ Công an trong 60 ngày, cập nhật mỗi 6 tháng.
- Phạt tối đa 5% doanh thu năm trước cho vi phạm chuyển dữ liệu xuyên biên giới, 10 lần khoản thu cho mua bán dữ liệu, 3 tỷ đồng cho các vi phạm khác.
Dòng thời gian pháp lý
| Ngày | Sự kiện |
|---|---|
| 17/04/2023 | Ban hành Nghị định 13/2023/NĐ-CP |
| 01/07/2023 | Nghị định 13/2023 có hiệu lực |
| 26/06/2025 | Quốc hội thông qua Luật 91/2025/QH15 |
| 31/12/2025 | Chính phủ ban hành Nghị định 356/2025/NĐ-CP |
| 01/01/2026 | Luật 91 và Nghị định 356 có hiệu lực; Nghị định 13 hết hiệu lực |
Ai phải tuân thủ Luật Bảo vệ dữ liệu cá nhân?
- Cơ quan, tổ chức, cá nhân Việt Nam xử lý dữ liệu cá nhân
- Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam
- Tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam, kể cả SaaS và ứng dụng phục vụ người dùng Việt Nam
Với công ty ITO, dữ liệu do khách hàng nước ngoài giao xử lý vẫn cần được kiểm kê, vì nhân viên, đối tác và người dùng cuối người Việt đều có thể nằm trong tập dữ liệu.
Dữ liệu cá nhân cơ bản và nhạy cảm
| Loại | Ví dụ | Lưu ý |
|---|---|---|
| Dữ liệu cá nhân cơ bản | Họ tên, ngày sinh, số điện thoại, địa chỉ, email | Cần căn cứ xử lý hợp pháp, thông báo mục đích và quản lý sự đồng ý |
| Dữ liệu cá nhân nhạy cảm | Sức khỏe, sinh trắc học, vị trí, tài chính, tín dụng, dữ liệu trẻ em | Biện pháp bảo vệ chặt hơn; một số lĩnh vực phải thông báo sự cố trong 72 giờ theo Nghị định 356 |
Danh mục chi tiết dữ liệu cơ bản và nhạy cảm được quy định trong Nghị định 356/2025/NĐ-CP. Hãy đối chiếu với văn bản gốc khi phân loại.
Các nghĩa vụ chính của doanh nghiệp
Sự đồng ý và thông báo
Sự đồng ý phải rõ ràng, tự nguyện, có thể rút lại, và gắn với mục đích cụ thể. Thông báo loại dữ liệu, mục đích, thời gian lưu trữ và bên nhận.
Quyền của chủ thể dữ liệu
Có quy trình tiếp nhận và xử lý yêu cầu truy cập, chỉnh sửa, xóa, rút lại sự đồng ý và phản đối xử lý.
Hồ sơ đánh giá tác động xử lý
Lập theo Mẫu 02a/02b, gửi cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ khi bắt đầu xử lý (Điều 19 Nghị định 356).
Chuyển dữ liệu xuyên biên giới
Lập hồ sơ đánh giá tác động chuyển dữ liệu theo Mẫu 01a/01b, gửi trong 60 ngày kể từ khi bắt đầu chuyển (Điều 18). Áp dụng cho cả việc dùng cloud và SaaS đặt máy chủ ở nước ngoài.
Cập nhật hồ sơ định kỳ
Cập nhật mỗi 6 tháng kể từ lần nộp đầu, và trong 10 ngày khi có thay đổi thuộc diện phải cập nhật (Điều 20).
Nhân sự bảo vệ dữ liệu
Chỉ định bằng văn bản người có tối thiểu trình độ cao đẳng, 2 năm kinh nghiệm và đã được đào tạo, hoặc thuê đơn vị dịch vụ đủ điều kiện (Điều 13, 15, 16).
Thông báo sự cố
Xây quy trình phát hiện và thông báo sự cố. Nghị định 356 đặt mốc 72 giờ cho dữ liệu nhạy cảm trong tài chính, ngân hàng, thông tin tín dụng (Điều 8) và cho dữ liệu vị trí, sinh trắc học (Điều 29).
Hợp đồng với bên xử lý
Rà soát hợp đồng với nhà cung cấp cloud, SaaS và đối tác xử lý dữ liệu để phân định trách nhiệm và biện pháp bảo vệ.
Mức phạt theo Luật 91/2025/QH15
| Hành vi | Mức phạt tối đa với tổ chức |
|---|---|
| Mua bán dữ liệu cá nhân | 10 lần khoản thu từ vi phạm, hoặc 3 tỷ đồng nếu không có khoản thu hay mức tính theo khoản thu thấp hơn 3 tỷ đồng |
| Vi phạm chuyển dữ liệu xuyên biên giới | 5% doanh thu năm trước liền kề |
| Vi phạm khác | 3 tỷ đồng |
Trường hợp nghiêm trọng có thể bị truy cứu trách nhiệm hình sự.
So sánh nhanh với GDPR
| Điểm | Luật 91/2025 (Việt Nam) | GDPR (EU) |
|---|---|---|
| Đánh giá tác động | Bắt buộc lập và gửi Bộ Công an trong 60 ngày | DPIA lưu nội bộ khi rủi ro cao |
| Chuyển dữ liệu ra nước ngoài | Hồ sơ đánh giá tác động chuyển dữ liệu | Adequacy, SCCs, BCRs |
| Nhân sự bảo vệ dữ liệu | Điều kiện cụ thể về trình độ, kinh nghiệm, đào tạo | DPO bắt buộc trong một số trường hợp |
| Phạt tối đa | 5% doanh thu năm trước (xuyên biên giới) | 4% doanh thu toàn cầu hoặc 20 triệu EUR |
| Cơ quan giám sát | Cơ quan chuyên trách thuộc Bộ Công an | DPA của từng quốc gia EU |
Luật Bảo vệ dữ liệu cá nhân và các framework quốc tế
Nếu doanh nghiệp đang triển khai một trong các framework dưới đây, phần lớn control kỹ thuật và tổ chức có thể tái sử dụng làm bằng chứng cho nghĩa vụ theo Luật 91/2025.
Annex A về access control, incident management, mã hóa, quản lý nhà cung cấp → ánh xạ trực tiếp vào biện pháp bảo vệ dữ liệu cá nhân.
Privacy Trust Service Criteria bao gồm consent, quyền chủ thể dữ liệu, thông báo sự cố và lưu trữ.
Technical Safeguards (access control, audit log, mã hóa) hỗ trợ bảo vệ dữ liệu sức khỏe, một loại dữ liệu nhạy cảm.
Consent, DPIA, quyền chủ thể dữ liệu và hợp đồng xử lý dữ liệu có thể tái sử dụng, nhưng vẫn phải lập và nộp hồ sơ theo mẫu của Việt Nam.
Control về mã hóa, phân quyền và audit log cho dữ liệu thẻ hỗ trợ nghĩa vụ với dữ liệu tài chính nhạy cảm.
Yêu cầu minh bạch và công bằng trong AI hỗ trợ quản lý xử lý dữ liệu cá nhân bằng hệ thống AI.
Checklist tuân thủ cho SaaS, ITO, FinTech và HealthTech
Câu hỏi thường gặp
Nghị định 13/2023 còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026. Thay thế là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/06/2025) và Nghị định 356/2025/NĐ-CP (ban hành ngày 31/12/2025) quy định chi tiết Luật, cùng có hiệu lực từ 01/01/2026.
Luật Bảo vệ dữ liệu cá nhân 2025 áp dụng cho ai?
Cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; và tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam. Doanh nghiệp SaaS, ITO, FinTech và HealthTech có dữ liệu khách hàng hoặc nhân viên người Việt đều thuộc phạm vi.
Mức phạt vi phạm Luật Bảo vệ dữ liệu cá nhân là bao nhiêu?
Theo Điều 8 Luật 91/2025/QH15: mua bán dữ liệu cá nhân trái phép bị phạt tối đa 10 lần khoản thu có được từ vi phạm; vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới bị phạt tối đa 5% doanh thu năm trước liền kề; các vi phạm khác bị phạt tối đa 3 tỷ đồng đối với tổ chức. Trường hợp nghiêm trọng có thể bị truy cứu trách nhiệm hình sự.
Hồ sơ đánh giá tác động phải nộp trong bao lâu?
Theo Nghị định 356/2025/NĐ-CP, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 19) và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 18) phải gửi cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ ngày bắt đầu xử lý hoặc chuyển dữ liệu. Hồ sơ được cập nhật định kỳ 6 tháng, và trong 10 ngày khi có thay đổi thuộc diện phải cập nhật (Điều 20).
Doanh nghiệp có cần nhân sự bảo vệ dữ liệu cá nhân không?
Nghị định 356 quy định nhân sự bảo vệ dữ liệu cá nhân phải có tối thiểu trình độ cao đẳng, ít nhất 2 năm kinh nghiệm liên quan, đã được đào tạo về bảo vệ dữ liệu cá nhân và được chỉ định bằng văn bản (Điều 13). Doanh nghiệp cũng có thể thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân đáp ứng điều kiện tại Điều 15 và 16.
Luật Bảo vệ dữ liệu cá nhân Việt Nam khác GDPR thế nào?
Cả hai đều dựa trên sự đồng ý, quyền của chủ thể dữ liệu và đánh giá tác động. Khác biệt chính: Việt Nam yêu cầu gửi hồ sơ đánh giá tác động cho cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày (GDPR chỉ yêu cầu lưu DPIA nội bộ), có cơ chế riêng cho chuyển dữ liệu xuyên biên giới, và trần phạt tính theo doanh thu tại Việt Nam thay vì doanh thu toàn cầu.
