Từ Nghị định 13/2023 đến Luật Bảo vệ dữ liệu cá nhân 2025: doanh nghiệp cần làm gì

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã hết hiệu lực từ ngày 01/01/2026. Thay thế nó là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/6/2025) và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành, cùng có hiệu lực từ 01/01/2026. Bài viết này đối chiếu những gì doanh nghiệp đã làm theo Nghị định 13 với yêu cầu mới, và nêu những việc cần làm ngay.

Vì sao phải đổi từ nghị định sang luật

Nghị định 13/2023 (hiệu lực 01/7/2023) là văn bản đầu tiên quy định khá đầy đủ về dữ liệu cá nhân, nhưng ở cấp nghị định nên không đặt được mức phạt cao và nhiều chế tài phải chờ văn bản khác. Luật 91/2025 (05 chương, 39 điều) nâng khung pháp lý lên cấp luật: giữ phần lớn khái niệm của Nghị định 13, nhưng bổ sung chế tài theo doanh thu, cấm hẳn việc mua bán dữ liệu cá nhân, quy định riêng cho nhiều lĩnh vực và có cơ chế miễn, giảm cho doanh nghiệp nhỏ. Hồ sơ, chính sách lập theo Nghị định 13 không tự động "hết giá trị", nhưng phải soát lại theo luật mới.

Những điểm giữ nguyên

• Hai nhóm dữ liệu: dữ liệu cá nhân cơ bản (họ tên, ngày sinh, số điện thoại, số định danh…) và dữ liệu cá nhân nhạy cảm (sức khỏe, sinh trắc học, thông tin tài chính, vị trí, đời sống tình dục, quan điểm chính trị, tôn giáo…), với yêu cầu bảo vệ cao hơn cho nhóm sau.
• Sự đồng ý là căn cứ chính để xử lý dữ liệu, bên cạnh các trường hợp luật cho phép xử lý không cần đồng ý (thực hiện hợp đồng với chủ thể, nghĩa vụ theo luật, tình huống khẩn cấp đe dọa tính mạng, sức khỏe…).
• Quyền của chủ thể dữ liệu: được biết, đồng ý hoặc rút lại sự đồng ý, xem, chỉnh sửa, yêu cầu xóa, hạn chế xử lý, phản đối, khiếu nại, yêu cầu bồi thường.
• Hai loại hồ sơ đánh giá tác động: đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
• Thông báo vi phạm: khi phát hiện dữ liệu cá nhân bị xâm phạm, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách trong thời hạn 72 giờ.

Những điểm mới doanh nghiệp phải chú ý

• Sự đồng ý chặt hơn. Sự đồng ý phải tự nguyện, rõ ràng, có thể kiểm chứng và gắn với mục đích cụ thể. Im lặng hoặc không phản hồi không được coi là đồng ý; ô đánh dấu sẵn trên biểu mẫu đăng ký, điều khoản "đồng ý tất cả" gộp nhiều mục đích là cách làm cần bỏ.
• Cấm mua bán dữ liệu cá nhân. Luật liệt kê việc mua, bán dữ liệu cá nhân là hành vi bị cấm. Các mô hình "mua danh sách khách hàng tiềm năng", chia sẻ dữ liệu với đối tác để lấy phí phải được rà lại.
• Phạt theo doanh thu. Mức phạt hành chính tối đa với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu có được từ vi phạm; với vi phạm quy định chuyển dữ liệu xuyên biên giới là 5% doanh thu năm liền trước; trường hợp không có khoản thu hoặc mức tính theo tỷ lệ thấp hơn, áp mức tối đa 03 tỷ đồng. Các vi phạm khác phạt tối đa 03 tỷ đồng với tổ chức; mức phạt với cá nhân bằng một nửa tổ chức. Hành vi nghiêm trọng có thể bị truy cứu trách nhiệm hình sự.
• Quy định riêng theo lĩnh vực: dữ liệu trẻ em và người mất năng lực hành vi, tuyển dụng và quản lý lao động, sức khỏe, bảo hiểm, tài chính – ngân hàng, quảng cáo, mạng xã hội, dữ liệu lớn và trí tuệ nhân tạo, sinh trắc học, ghi âm ghi hình nơi công cộng.
• Thời hạn trả lời chủ thể dữ liệu được Nghị định 356/2025 quy định cụ thể: phải xác nhận đã nhận yêu cầu trong thời hạn ngắn và giải quyết trong khung thời gian theo từng loại yêu cầu. Doanh nghiệp cần có quy trình nội bộ thay vì xử lý tùy hứng qua email.
• Nhân sự, bộ phận bảo vệ dữ liệu cá nhân phải được chỉ định, đáp ứng tiêu chuẩn về trình độ và kinh nghiệm do Nghị định 356/2025 đặt ra; doanh nghiệp có thể thuê tổ chức dịch vụ bảo vệ dữ liệu.
• Dịch vụ xử lý dữ liệu (ví dụ dịch vụ phân tích dữ liệu, lưu trữ, xử lý thuê) trở thành hoạt động phải đáp ứng điều kiện theo quy định mới.

Miễn, giảm cho doanh nghiệp nhỏ

Đây là điểm Nghị định 13 không có. Theo Luật 91/2025, hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn nghĩa vụ lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu; doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc chưa thực hiện các nghĩa vụ này trong 05 năm kể từ ngày 01/01/2026. Miễn trừ không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Miễn hồ sơ không có nghĩa là miễn trách nhiệm: nguyên tắc xử lý, sự đồng ý, quyền chủ thể và lệnh cấm mua bán dữ liệu vẫn áp dụng cho mọi doanh nghiệp.

Doanh nghiệp cần làm gì bây giờ

1. Lập bản đồ dữ liệu: dữ liệu nào đang thu thập, từ kênh nào (website, ứng dụng, tổng đài, tuyển dụng, camera), lưu ở đâu, ai được truy cập, có chuyển ra nước ngoài không (máy chủ đám mây, hệ thống của công ty mẹ, nhà cung cấp phần mềm nước ngoài).
2. Sửa cơ chế lấy sự đồng ý: tách từng mục đích (cung cấp dịch vụ, tiếp thị, chia sẻ với đối tác), bỏ ô đánh dấu sẵn, lưu được bằng chứng đồng ý và cho phép rút lại dễ dàng.
3. Cập nhật hồ sơ đánh giá tác động đã lập theo Nghị định 13 cho đúng mẫu và căn cứ của Luật 91/2025, Nghị định 356/2025; cập nhật khi có thay đổi về mục đích, loại dữ liệu hoặc bên nhận.
4. Rà hợp đồng với bên xử lý dữ liệu và bên nhận ở nước ngoài: phạm vi xử lý, biện pháp bảo mật, nghĩa vụ thông báo sự cố, xóa dữ liệu khi chấm dứt.
5. Chỉ định người, bộ phận phụ trách và xây quy trình xử lý yêu cầu của chủ thể dữ liệu, quy trình xử lý sự cố trong 72 giờ.
6. Đào tạo nhân viên bán hàng, chăm sóc khách hàng, nhân sự — những người tiếp xúc dữ liệu hằng ngày và hay vi phạm vô ý nhất.

Kinh nghiệm thực tế: phần tốn công nhất không phải viết chính sách bảo mật mà là biết chính xác dữ liệu đang chảy đi đâu. Doanh nghiệp dùng nhiều phần mềm SaaS nước ngoài (CRM, email marketing, chấm công) thường đang chuyển dữ liệu ra nước ngoài mà không biết, nên chưa có hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.

Hỏi đáp nhanh

Nghị định 13/2023 còn hiệu lực không?

Không. Từ ngày 01/01/2026, Nghị định 13/2023/NĐ-CP hết hiệu lực; bảo vệ dữ liệu cá nhân nay theo Luật số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Hồ sơ đánh giá tác động đã lập theo Nghị định 13 có phải làm lại không?

Không phải làm lại từ đầu, nhưng cần rà soát, cập nhật theo mẫu và căn cứ của Luật 91/2025 và Nghị định 356/2025, nhất là khi có thay đổi về mục đích, loại dữ liệu hoặc bên nhận.

Mức phạt cao nhất là bao nhiêu?

Mua bán dữ liệu cá nhân bị phạt tối đa 10 lần khoản thu có được; vi phạm về chuyển dữ liệu xuyên biên giới tối đa 5% doanh thu năm liền trước; trường hợp khác tối đa 03 tỷ đồng với tổ chức.

Doanh nghiệp nhỏ có được miễn không?

Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu; doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa thực hiện trong 05 năm từ 01/01/2026, trừ khi kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể.