Tóm tắt
Nghị định 13 hết hiệu lực từ 01/01/2026, thay bằng Luật 91/2025/QH15 và Nghị định 356/2025. Điều gì thay đổi với SaaS Việt Nam và cần làm gì trước.
Nghị định 13 hết hiệu lực từ ngày 01/01/2026. Từ ngày đó, doanh nghiệp SaaS xử lý dữ liệu cá nhân tại Việt Nam tuân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Hồ sơ lập theo Nghị định 13 không tự động hợp lệ: cần rà lại theo khung mới.
Nghị định 13 hết hiệu lực từ khi nào và văn bản nào thay thế?
Nghị định 13/2023/NĐ-CP có hiệu lực từ 01/07/2023 và là văn bản toàn diện đầu tiên của Việt Nam về bảo vệ dữ liệu cá nhân. Quốc hội thông qua Luật 91/2025/QH15 ngày 26/06/2025; Chính phủ ban hành Nghị định 356/2025/NĐ-CP ngày 31/12/2025 để hướng dẫn chi tiết. Cả hai có hiệu lực từ 01/01/2026, và Nghị định 13 hết hiệu lực cùng ngày. Bài viết này giữ Nghị định 13 như bối cảnh lịch sử; mọi nghĩa vụ dưới đây là theo khung hiện hành. Tóm tắt đầy đủ ở trang Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356.
Điều gì thay đổi với doanh nghiệp SaaS?
Thay đổi lớn nhất là cấp độ văn bản: bảo vệ dữ liệu cá nhân giờ là một đạo luật, có điều khoản xử phạt riêng, và Nghị định 356 quy định thời hạn nộp hồ sơ cụ thể. Bảng dưới chỉ liệt kê các điểm đã được đối chiếu với văn bản; các chi tiết khác cần đọc toàn văn hoặc hỏi luật sư.
| Nội dung | Khung hiện hành (từ 01/01/2026) | Việc SaaS cần làm |
|---|---|---|
| Văn bản áp dụng | Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP | Cập nhật privacy notice, hợp đồng và chính sách nội bộ đang dẫn chiếu Nghị định 13 |
| Đánh giá tác động xử lý dữ liệu | Gửi cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ khi bắt đầu xử lý (Nghị định 356, Điều 19) | Lập hồ sơ cho từng hoạt động xử lý, gắn với danh mục dữ liệu |
| Đánh giá tác động chuyển dữ liệu xuyên biên giới | Gửi trong 60 ngày kể từ khi bắt đầu chuyển (Điều 18); áp dụng cả khi dùng cloud hoặc SaaS đặt máy chủ ở nước ngoài | Liệt kê nhà cung cấp và vùng lưu trữ ngoài Việt Nam |
| Cập nhật hồ sơ | Mỗi 6 tháng, và trong 10 ngày khi có thay đổi thuộc diện phải cập nhật (Điều 20) | Đặt lịch rà soát định kỳ và quy trình báo thay đổi |
| Nhân sự bảo vệ dữ liệu | Tối thiểu trình độ cao đẳng, 2 năm kinh nghiệm, đã được đào tạo, chỉ định bằng văn bản; hoặc thuê đơn vị dịch vụ đủ điều kiện (Điều 13, 15, 16) | Chỉ định người phụ trách hoặc chọn đơn vị dịch vụ |
| Thông báo sự cố 72 giờ | Áp dụng cho dữ liệu nhạy cảm trong tài chính, ngân hàng, thông tin tín dụng (Điều 8) và dữ liệu vị trí, sinh trắc học (Điều 29) | Xác định sản phẩm có thuộc các nhóm này không và chuẩn bị quy trình thông báo |
| Mức phạt tối đa | 10 lần khoản thu từ mua bán dữ liệu trái phép; 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới; 3 tỷ đồng với vi phạm khác của tổ chức (Luật 91, Điều 8) | Ưu tiên rà soát luồng chuyển dữ liệu ra nước ngoài |
Luật An ninh mạng 2025 (số 116/2025/QH15) cũng có hiệu lực từ 01/07/2026; SaaS có hệ thống thông tin tại Việt Nam nên rà soát song song.
Hồ sơ lập theo Nghị định 13 còn dùng được không?
Phần lớn công việc nền vẫn dùng được: danh mục dữ liệu, sơ đồ luồng dữ liệu, privacy notice, quy trình xử lý yêu cầu của chủ thể dữ liệu và hợp đồng với nhà cung cấp. Thứ cần làm lại là phần hình thức và thời hạn: hồ sơ đánh giá tác động phải lập và nộp theo mẫu của Nghị định 356, và mọi văn bản đang ghi "theo Nghị định 13/2023/NĐ-CP" nên sửa căn cứ pháp lý. Đừng xem hồ sơ cũ là đã đủ chỉ vì nó từng được nộp.
SaaS nên làm gì trước?
Thứ tự hợp lý cho một công ty SaaS đang có khách hàng hoặc người dùng tại Việt Nam:
- Kiểm kê dữ liệu cá nhân theo hệ thống và mục đích, đánh dấu dữ liệu nhạy cảm.
- Liệt kê mọi nhà cung cấp và vùng lưu trữ ngoài Việt Nam (cloud, email, analytics, CRM, hỗ trợ khách hàng).
- Xác định hoạt động nào cần hồ sơ đánh giá tác động xử lý (Điều 19) và chuyển dữ liệu xuyên biên giới (Điều 18), rồi đặt mốc 60 ngày.
- Chỉ định nhân sự bảo vệ dữ liệu đáp ứng Điều 13, hoặc chọn đơn vị dịch vụ.
- Cập nhật privacy notice, điều khoản sử dụng và hợp đồng đang dẫn chiếu Nghị định 13.
- Kiểm tra sản phẩm có xử lý dữ liệu tài chính, tín dụng, vị trí hoặc sinh trắc học không; nếu có, chuẩn bị quy trình thông báo sự cố 72 giờ.
- Đặt lịch cập nhật hồ sơ mỗi 6 tháng.
Checklist chi tiết theo từng nhóm việc nằm ở bài Luật Bảo vệ dữ liệu cá nhân: checklist cho SaaS và ITO và bộ checklist PDPD.
Đã tuân thủ GDPR thì có đủ cho luật Việt Nam không?
Không đủ, dù có nhiều phần dùng lại được. GDPR (Regulation (EU) 2016/679) và luật Việt Nam cùng yêu cầu biết mình xử lý dữ liệu gì, vì sao, chia sẻ với ai, và có quy trình cho quyền của chủ thể dữ liệu. Khác biệt nằm ở nghĩa vụ nộp hồ sơ cho cơ quan nhà nước theo mẫu và thời hạn của Nghị định 356, điều mà GDPR không có. So sánh chi tiết ở bài Nghị định 13 và GDPR và trang ISO 27001 và PDPD.
pTrackly giúp được gì và không giúp được gì?
pTrackly không hỗ trợ Luật 91/2025 hay Nghị định 356 như một framework trong sản phẩm; bài này là nội dung tham khảo. Nếu công ty đang triển khai GDPR hoặc ISO 27001 trên pTrackly, danh mục hoạt động xử lý (RoPA), DPIA, nhật ký sự cố và danh sách nhà cung cấp kèm trạng thái DPA đã nằm trong một workspace, nên phần kiểm kê dữ liệu và nhà cung cấp có sẵn để luật sư hoặc người phụ trách bảo vệ dữ liệu dùng. Việc lập hồ sơ theo mẫu của Nghị định 356, nộp cho Bộ Công an và quyết định pháp lý vẫn thuộc về doanh nghiệp và tư vấn pháp lý.
Câu hỏi thường gặp
Nghị định 13 hết hiệu lực khi nào?
Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026, cùng ngày Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực.
Văn bản nào thay thế Nghị định 13?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thông qua ngày 26/06/2025) và Nghị định 356/2025/NĐ-CP (ban hành ngày 31/12/2025) quy định chi tiết luật này.
Hồ sơ đánh giá tác động phải nộp trong bao lâu?
Theo Nghị định 356, hồ sơ đánh giá tác động xử lý dữ liệu (Điều 19) và chuyển dữ liệu xuyên biên giới (Điều 18) gửi cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ khi bắt đầu xử lý hoặc chuyển, và cập nhật mỗi 6 tháng (Điều 20).
Mức phạt tối đa theo Luật 91/2025 là bao nhiêu?
Điều 8 Luật 91/2025 quy định tối đa 10 lần khoản thu từ mua bán dữ liệu cá nhân trái phép, 5% doanh thu năm trước liền kề với vi phạm chuyển dữ liệu xuyên biên giới, và 3 tỷ đồng với các vi phạm khác của tổ chức.
Nếu công ty bạn đang triển khai ISO 27001 hoặc GDPR song song với việc rà soát luật Việt Nam, đặt lịch demo pTrackly để xem cách quản lý danh mục dữ liệu, nhà cung cấp và evidence trong một nơi.
