Tóm tắt
So sánh Nghị định 13/2023 với GDPR về phạm vi, dữ liệu nhạy cảm, hồ sơ đánh giá tác động và DPA, kèm khung hiện hành Luật 91/2025 và Nghị định 356/2025.
Nghị định 13 và GDPR có chung nguyên tắc (đồng ý, quyền của chủ thể, bảo mật) nhưng khác về phạm vi, dữ liệu nhạy cảm và nghĩa vụ nộp hồ sơ. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026; khung hiện hành là Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Bài giữ so sánh lịch sử và chỉ ra điều đang áp dụng.
Nghị định 13 và GDPR khác nhau ở đâu?
Nghị định 13/2023/NĐ-CP có hiệu lực từ 01/7/2023, là văn bản đầu tiên của Việt Nam quy định toàn diện về bảo vệ dữ liệu cá nhân. GDPR, Quy định (EU) 2016/679, áp dụng từ 25/5/2018 và là chuẩn tham chiếu cho nhiều luật bảo vệ dữ liệu sau đó. Bảng dưới đây so sánh Nghị định 13 tại thời điểm còn hiệu lực với GDPR, và ghi khung đang áp dụng tại Việt Nam.
| Tiêu chí | Nghị định 13/2023 (đến 31/12/2025) | GDPR | Việt Nam từ 01/01/2026 |
|---|---|---|---|
| Phạm vi | Tổ chức, cá nhân Việt Nam và nước ngoài tham gia xử lý dữ liệu cá nhân tại Việt Nam | Tổ chức có cơ sở tại EU (Điều 3(1)) hoặc nhắm tới người đang ở EU (Điều 3(2)) | Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP |
| Cơ quan quản lý | Bộ Công an (A05) | Cơ quan giám sát của từng nước thành viên | Bộ Công an |
| Dữ liệu nhạy cảm | Danh sách rộng hơn, gồm cả dữ liệu vị trí và thông tin khách hàng của tổ chức tín dụng | Điều 9 (dữ liệu đặc biệt) và Điều 10 (tiền án) | Theo Luật 91/2025; đối chiếu văn bản cho từng loại |
| Hồ sơ nộp cơ quan nhà nước | Hồ sơ đánh giá tác động xử lý và chuyển dữ liệu ra nước ngoài gửi Bộ Công an | Không có nghĩa vụ nộp tương đương; RoPA nội bộ (Điều 30) | Hồ sơ đánh giá tác động nộp trong 60 ngày (Nghị định 356, Điều 18–19), cập nhật 6 tháng (Điều 20) |
| Hợp đồng với bên xử lý | Không có yêu cầu tường minh như Điều 28 GDPR | DPA bắt buộc (Điều 28) | Đối chiếu Luật 91/2025 |
| Chuyển dữ liệu ra nước ngoài | Hồ sơ đánh giá tác động chuyển dữ liệu | Adequacy decision, safeguard theo Điều 46, ngoại lệ Điều 49 | Hồ sơ đánh giá tác động chuyển dữ liệu nộp trong 60 ngày (Nghị định 356, Điều 18) |
| Phạt tối đa | Chưa có khung phạt riêng trong nghị định | 20 triệu euro hoặc 4% doanh thu toàn cầu (Điều 83(5)) | Đến 10 lần khoản thu bất hợp pháp, 5% doanh thu năm trước hoặc 3 tỷ đồng tùy hành vi (Luật 91, Điều 8) |
Nguồn: Luật 91/2025/QH15 trên Cổng thông tin Chính phủ, GDPR trên EUR-Lex, Nghị định 13/2023 bản tham khảo trên thuvienphapluat.vn.
Phạm vi áp dụng khác nhau thế nào?
GDPR không dựa vào nơi cư trú của người dùng. Theo Điều 3, GDPR áp dụng cho mọi xử lý trong hoạt động của một cơ sở tại EU, bất kể người dùng ở đâu, và cho tổ chức ngoài EU khi cung cấp hàng hóa, dịch vụ cho người đang ở EU hoặc theo dõi hành vi của họ tại EU. Một công ty Việt Nam chỉ có website truy cập được từ EU chưa chắc thuộc phạm vi; cần dấu hiệu nhắm tới thị trường EU.
Nghị định 13 áp dụng cho tổ chức, cá nhân Việt Nam và nước ngoài tham gia xử lý dữ liệu cá nhân tại Việt Nam. Với người dùng Việt Nam hiện nay, khung áp dụng là Luật 91/2025 và Nghị định 356/2025. Một nền tảng phục vụ cả Việt Nam và EU có thể phải tuân thủ cả hai.
Dữ liệu nhạy cảm được định nghĩa khác ra sao?
GDPR Điều 9 liệt kê dữ liệu đặc biệt: nguồn gốc chủng tộc, dân tộc, quan điểm chính trị, tín ngưỡng, tư cách thành viên công đoàn, dữ liệu di truyền, sinh trắc học dùng để định danh, sức khỏe, đời sống và xu hướng tình dục. Dữ liệu về tiền án nằm riêng ở Điều 10.
Nghị định 13 có danh sách rộng hơn, gồm cả dữ liệu vị trí xác định qua dịch vụ định vị và thông tin khách hàng của tổ chức tín dụng, trung gian thanh toán. Hệ quả thực tế từng là: một ứng dụng theo dõi vị trí người dùng Việt Nam phải áp yêu cầu dành cho dữ liệu nhạy cảm, dù không xử lý loại dữ liệu nào thuộc Điều 9 GDPR. Với khung hiện hành, hãy đối chiếu định nghĩa trong Luật 91/2025 trước khi phân loại dữ liệu.
Nghĩa vụ nộp hồ sơ và DPA khác nhau thế nào?
GDPR bỏ chế độ đăng ký với cơ quan quản lý từ thời Chỉ thị 95/46/EC và thay bằng hồ sơ nội bộ: RoPA theo Điều 30, DPIA theo Điều 35. Không có hồ sơ nào phải nộp định kỳ.
Nghị định 13 yêu cầu lập hồ sơ đánh giá tác động xử lý và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, gửi Bộ Công an. Từ 01/01/2026, nghĩa vụ này theo Nghị định 356/2025: nộp trong 60 ngày (Điều 18–19) và cập nhật 6 tháng một lần (Điều 20).
Về hợp đồng với bên xử lý, GDPR Điều 28 bắt buộc DPA với nội dung tối thiểu cụ thể. Công ty Việt Nam làm processor cho khách hàng EU vẫn phải ký DPA theo GDPR; DPA đó không tự động đáp ứng luật Việt Nam. Xem DPA và SCCs.
Chuyển dữ liệu qua biên giới cần gì theo từng khung?
Theo GDPR, dữ liệu chỉ được chuyển sang nước thứ ba khi có adequacy decision, safeguard theo Điều 46 (SCCs, Binding Corporate Rules, bộ quy tắc ứng xử hoặc chứng nhận kèm cam kết ràng buộc), hoặc ngoại lệ hẹp theo Điều 49. Danh sách adequacy decision của Ủy ban châu Âu không có Việt Nam, nên luồng dữ liệu từ EU sang Việt Nam thường dựa vào SCCs.
Theo luật Việt Nam hiện hành, việc chuyển dữ liệu cá nhân ra nước ngoài cần hồ sơ đánh giá tác động nộp Bộ Công an trong 60 ngày kể từ khi bắt đầu chuyển (Nghị định 356, Điều 18). Với luồng hai chiều, như nhận dữ liệu từ khách hàng EU, xử lý tại Việt Nam rồi gửi kết quả về EU, hãy hỏi ý kiến pháp lý để xác định nghĩa vụ ở mỗi chiều.
Doanh nghiệp cần làm gì khi xử lý dữ liệu theo cả hai khung?
- Lập data inventory theo nguồn gốc chủ thể và nơi xử lý: người dùng Việt Nam, người dùng ở EU, dữ liệu khách hàng EU giao cho bạn xử lý.
- Với dữ liệu thuộc luật Việt Nam, xác định hoạt động cần hồ sơ đánh giá tác động theo Nghị định 356 và đánh dấu dữ liệu nhạy cảm; xem checklist Luật Bảo vệ dữ liệu cá nhân cho SaaS và ITO.
- Với dữ liệu thuộc GDPR, kiểm tra RoPA, DPA với khách hàng EU và SCCs cho luồng dữ liệu vào Việt Nam.
- Dùng chung phần giống nhau: quy trình xử lý quyền của chủ thể, biện pháp bảo mật, sổ sự cố.
- Đối chiếu thời hạn báo sự cố: GDPR yêu cầu báo cơ quan giám sát trong 72 giờ kể từ khi biết (Điều 33); với luật Việt Nam, đối chiếu Nghị định 356 cho loại dữ liệu bạn xử lý.
Những việc SaaS cần làm theo khung mới được tóm tắt ở bài Nghị định 13 hết hiệu lực: SaaS cần làm gì và trang Luật Bảo vệ dữ liệu cá nhân 2025.
pTrackly hỗ trợ phần nào?
pTrackly hỗ trợ GDPR như một framework: RoPA theo Điều 30, DPIA có bước phê duyệt, sổ sự cố với đồng hồ 72 giờ của Điều 33 và trạng thái DPA của từng vendor. pTrackly không hỗ trợ Luật 91/2025 hay Nghị định 356/2025 như một framework sản phẩm; hồ sơ nộp Bộ Công an và đánh giá theo luật Việt Nam do đội ngũ và tư vấn pháp lý của bạn thực hiện. Xem trang GDPR.
Câu hỏi thường gặp
Nghị định 13 còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực.
Tuân thủ GDPR có nghĩa là đã tuân thủ luật Việt Nam không?
Không. Hai khung có nhiều nguyên tắc chung, nhưng luật Việt Nam có nghĩa vụ riêng như nộp hồ sơ đánh giá tác động cho Bộ Công an trong 60 ngày và cập nhật 6 tháng một lần, điều GDPR không có.
Công ty Việt Nam có cần SCCs để nhận dữ liệu từ khách hàng EU không?
Thường là có. Việt Nam chưa có adequacy decision, nên khi khách hàng EU gửi dữ liệu hoặc cho kỹ sư Việt Nam truy cập, họ cần một safeguard theo Điều 46 GDPR, phổ biến nhất là SCCs.
Mức phạt tối đa theo luật Việt Nam hiện hành là bao nhiêu?
Luật 91/2025, Điều 8 quy định mức phạt tiền tối đa đến 10 lần khoản thu có được từ vi phạm, 5% doanh thu năm trước hoặc 3 tỷ đồng, tùy loại hành vi.
