Nghị định 13/2023 về bảo vệ dữ liệu cá nhân: hết hiệu lực

Mục lục

1. Nghị định 13/2023 còn hiệu lực không?
2. Điều gì được giữ lại nhờ quy định chuyển tiếp?
3. Luật 91 và Nghị định 356 thay đổi gì so với Nghị định 13?
4. Quy trình chuyển từ Nghị định 13 sang khung mới
5. Bảng kiểm tra tuân thủ cho từng bộ phận
6. Biện pháp kỹ thuật tối thiểu nên có
7. Lỗi thường gặp khi còn bám Nghị định 13
8. Mức xử lý khi vi phạm
9. Câu hỏi thường gặp

Nghị định 13/2023 còn hiệu lực không?

Không còn. Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026 theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP. Chính phủ ban hành Nghị định 356/2025/NĐ-CP ngày 31/12/2025, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân. Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026.

Nhiều bài trên mạng vẫn mô tả Nghị định 13 như văn bản đang áp dụng. Có bài viết từ giai đoạn trước 2026 là đúng thời điểm đó. Ví dụ, đến 21/8/2025 Nghị định 13 vẫn còn hiệu lực cho tới khi có nghị định mới thay thế. Nếu bạn gặp bài, mẫu chính sách hay hợp đồng của nhà cung cấp còn ghi Nghị định 13 là căn cứ hiện hành, hãy coi đó là tài liệu cần cập nhật.

Điều gì được giữ lại nhờ quy định chuyển tiếp?

Đây là câu hỏi thực tế nhất với doanh nghiệp đã tuân thủ Nghị định 13 từ 2023. Theo Điều 39 Luật 91/2025:

• Hoạt động xử lý đã được đồng ý hoặc thỏa thuận theo Nghị định 13 trước 01/01/2026 được tiếp tục, không phải xin đồng ý lại.
• Hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu ra nước ngoài đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được dùng, không phải lập lại. Việc cập nhật sau đó theo Luật mới.

Điều này không có nghĩa là bạn được để nguyên mọi thứ. Sự đồng ý cũ vẫn có giá trị, nhưng nếu mục đích xử lý thay đổi hoặc bạn thu thập thêm dữ liệu mới thì phải theo quy định mới. Hồ sơ cũ còn đủ dùng, nhưng khi bạn thêm đối tác xử lý, thêm hệ thống hoặc thêm luồng chuyển dữ liệu thì hồ sơ phải được cập nhật.

Luật 91 và Nghị định 356 thay đổi gì so với Nghị định 13?

Tiêu chí	Nghị định 13/2023/NĐ-CP	Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP
Cấp văn bản	Nghị định của Chính phủ	Luật của Quốc hội, kèm nghị định hướng dẫn
Ngày ban hành	17/4/2023	Luật 26/6/2025; Nghị định 31/12/2025
Hiệu lực	01/07/2023, hết hiệu lực 01/01/2026	01/01/2026
Định nghĩa dữ liệu cá nhân	Thông tin trên môi trường điện tử	Dữ liệu số hoặc thông tin dạng khác xác định hoặc giúp xác định một người
Hạng mục hướng dẫn	Gộp trong một nghị định	Nghị định 356 hướng dẫn danh mục dữ liệu, đánh giá tác động, chuyển dữ liệu, nhân sự bảo vệ dữ liệu

Nguồn đối chiếu: ngày ban hành và hiệu lực của hai văn bản trong bảng so sánh của Manabox. Về định nghĩa, Điều 2 Luật đã đổi từ “thông tin … trên môi trường điện tử” sang “dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể”. Với doanh nghiệp, hệ quả là hồ sơ giấy như phiếu khám sức khỏe, đơn ứng tuyển hay bản photo căn cước nằm trong phạm vi bảo vệ giống dữ liệu trong phần mềm. Khái niệm nền tảng như chủ thể dữ liệu, bên kiểm soát, bên xử lý đã có ở bài bảo vệ dữ liệu cá nhân là gì, nên phần dưới tập trung vào việc phải làm.

Quy trình chuyển từ Nghị định 13 sang khung mới

Bạn có thể làm theo năm bước dưới đây. Mỗi bước có đầu ra cụ thể để lưu hồ sơ.

Bước 1: Gỡ trích dẫn Nghị định 13 khỏi tài liệu đang dùng

Tìm chuỗi “13/2023” trong các tài liệu sau và thay bằng căn cứ mới:

• Chính sách quyền riêng tư trên website và ứng dụng.
• Biểu mẫu đồng ý (checkbox khi đăng ký, đơn ứng tuyển, phiếu khảo sát).
• Phụ lục bảo vệ dữ liệu trong hợp đồng với nhà cung cấp, đối tác xử lý.
• Nội quy lao động và quy chế an toàn thông tin nội bộ.

Đầu ra là một bảng gồm tên tài liệu, vị trí trích dẫn và ngày sửa. Đừng sửa mỗi dòng trích dẫn. Hãy đọc lại nội dung xem quyền của chủ thể dữ liệu và thủ tục thực hiện quyền có còn khớp không. Nghị định 356 yêu cầu bên kiểm soát xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện quyền của chủ thể dữ liệu và để chủ thể biết cách thực hiện. Nếu chính sách của bạn chỉ có địa chỉ email chung mà không có quy trình xử lý yêu cầu rút lại sự đồng ý hay yêu cầu xóa dữ liệu thì còn thiếu.

Bước 2: Rà soát trường dữ liệu nhạy cảm theo danh mục mới

Nghị định 356 có danh mục dữ liệu cơ bản và danh mục dữ liệu nhạy cảm riêng. Một số mục hay bị bỏ sót khi doanh nghiệp tự phân loại:

• Vị trí của cá nhân xác định qua dịch vụ định vị. Ví dụ minh hoạ: ứng dụng giao hàng, chấm công GPS cho nhân viên kinh doanh.
• Hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân, và thông tin đăng nhập tài khoản định danh điện tử. Ví dụ minh hoạ: ảnh chụp căn cước lưu trong thư mục chung của phòng nhân sự hoặc kế toán.
• Tình trạng sức khỏe, dữ liệu sinh trắc học và đặc điểm di truyền. Ví dụ minh hoạ: máy chấm công vân tay, khuôn mặt, kết quả khám sức khỏe định kỳ.

Mỗi trường nhạy cảm cần có người được truy cập và có nơi lưu xác định. Nếu bạn đang thu ảnh căn cước qua quy trình xác thực khách hàng từ xa, hãy đối chiếu với bài quy trình eKYC để biết dữ liệu nào cần giữ và dữ liệu nào không cần lưu lại.

Bước 3: Cập nhật hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu

Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) là nơi bạn mô tả mục đích, loại dữ liệu, bên nhận và biện pháp bảo vệ. Theo bản tóm tắt Điều 21 Luật 91, bên kiểm soát lập, lưu hồ sơ và gửi một bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Với hoạt động mới sau 01/01/2026, hãy tính mốc 60 ngày từ lúc hệ thống bắt đầu nhận dữ liệu thật. Đừng tính từ lúc ký hợp đồng.

Trường hợp phải chuyển dữ liệu cho bên khác, Nghị định 356 yêu cầu thỏa thuận chuyển giao với bên nhận, nêu rõ mục đích chuyển giao và các nội dung liên quan. Phụ lục hợp đồng với nhà cung cấp cloud, phần mềm nhân sự hay dịch vụ gửi SMS là nơi cần rà soát đầu tiên.

Bước 4: Chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu

Nghị định 356 quy định rõ hình thức chỉ định. Việc chỉ định phải bằng văn bản chính thức của tổ chức, thể hiện phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu khác. Một email nội bộ nhắn “anh A phụ trách” không thay được văn bản này. Danh sách nhiệm vụ gồm tham gia thực hiện biện pháp kỹ thuật bảo mật dữ liệu, tiêu chuẩn, quy chuẩn và kế hoạch ứng cứu sự cố.

Nếu không có người đủ năng lực trong nhà, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân là người đáp ứng điều kiện năng lực theo nghị định và được tổ chức thuê làm nhân sự bảo vệ dữ liệu. Bạn có thể thuê ngoài, nhưng hợp đồng phải ghi rõ quyền truy cập hệ thống và nghĩa vụ giữ bí mật.

Bước 5: Dựng quy trình báo cáo vi phạm trong 72 giờ

Theo Điều 23 Luật 91, bên kiểm soát, bên xử lý hoặc bên thứ ba phát hiện vi phạm có thể gây tổn hại đến quyền lợi hay tài sản của chủ thể dữ liệu phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Điểm khó nằm ở chỗ “phát hiện”. Nếu nhân viên thấy email gửi nhầm danh sách khách hàng vào thứ Sáu và chỉ báo lên vào thứ Hai, đồng hồ đã chạy qua cuối tuần.

Để quy trình chạy được, bạn cần ba thứ: biểu mẫu ghi nhận sự cố có ô “thời điểm phát hiện”, đầu mối nhận báo cáo ngoài giờ hành chính, và bản mẫu thông báo soạn sẵn. Khi hệ thống có log tập trung, SIEM giúp xác định thời điểm và phạm vi truy cập bất thường nhanh hơn so với đọc log từng máy chủ.

Bảng kiểm tra tuân thủ cho từng bộ phận

Bộ phận	Dữ liệu thường gặp	Việc cần kiểm tra
Nhân sự	Căn cước, sức khỏe, sinh trắc học chấm công	Văn bản đồng ý, thời hạn lưu hồ sơ ứng viên không trúng tuyển, quyền truy cập thư mục
Bán hàng, CSKH	Số điện thoại, lịch sử mua, ghi âm cuộc gọi	Mục đích sử dụng khi gọi tiếp thị, cách khách rút lại đồng ý
Marketing	Email, cookie, dữ liệu vị trí	Nguồn mua danh sách, nội dung đồng ý, cơ chế hủy nhận tin
Kế toán	Tài khoản ngân hàng, mã số thuế cá nhân	Lưu chứng từ theo thời hạn luật kế toán và phạm vi người xem
CNTT	Toàn bộ hệ thống	Phân quyền, nhật ký truy cập, sao lưu, quy trình xóa dữ liệu

Với phòng nhân sự, nơi dữ liệu nhạy cảm dày đặc nhất, bạn nên xem cách phần mềm quản lý được cấu hình theo bài HRM là gì để quyết định ai được thấy trường lương, căn cước và hồ sơ sức khỏe.

Biện pháp kỹ thuật tối thiểu nên có

Luật không chỉ ra một sản phẩm cụ thể. Nghị định 356 có danh mục dịch vụ bảo vệ dữ liệu, trong đó có dịch vụ mã hóa dữ liệu cá nhân trong quá trình truyền tải và lưu trữ. Cách làm thực tế:

• Mã hóa cột chứa căn cước, sinh trắc học, số tài khoản trong cơ sở dữ liệu. Cơ chế và khóa nên đọc thêm ở bài mã hóa dữ liệu.
• Che một phần khi hiển thị (ví dụ minh hoạ: chỉ hiện bốn số cuối của số căn cước cho nhân viên chăm sóc khách hàng).
• Ghi nhật ký mọi lần xuất file danh sách khách hàng hoặc nhân viên.
• Nếu đang xây quy trình quản trị an toàn thông tin tổng thể, hãy xem tiêu chuẩn ISO 27001 như khung kiểm soát kỹ thuật. Chứng chỉ ISO không thay thế nghĩa vụ riêng về dữ liệu cá nhân theo luật.

Nếu dùng dữ liệu cá nhân để huấn luyện mô hình, Nghị định 356 cho phép sử dụng dữ liệu cá nhân nghiên cứu, phát triển thuật toán tự học và hệ thống AI nhưng phải tuân thủ quy định bảo vệ dữ liệu. Nghĩa là bộ dữ liệu huấn luyện cũng cần mục đích và căn cứ xử lý rõ ràng.

Lỗi thường gặp khi còn bám Nghị định 13

• Chép nguyên mẫu cũ: chính sách ghi “theo Nghị định 13/2023” nhưng không có thủ tục rút lại đồng ý. Cách xử lý: bổ sung biểu mẫu và đầu mối tiếp nhận yêu cầu.
• Coi hồ sơ cũ là vĩnh viễn: hồ sơ đã nộp vẫn dùng được, nhưng thay đổi hệ thống hay đối tác thì phải cập nhật. Cách xử lý: gắn việc cập nhật hồ sơ vào quy trình thay đổi hệ thống.
• Bỏ sót dữ liệu giấy: định nghĩa mới không còn giới hạn ở môi trường điện tử. Cách xử lý: đưa tủ hồ sơ, sổ đăng ký khách vào danh mục rà soát.
• Chỉ định người phụ trách bằng lời: thiếu văn bản. Cách xử lý: ban hành quyết định có nhiệm vụ và quyền hạn.
• Không biết ai phát hiện sự cố: nhân viên không báo vì sợ bị phạt. Cách xử lý: quy định kênh báo cáo ẩn danh và ghi nhận thời điểm phát hiện.

Khi sự cố liên quan đến lừa đảo hoặc chiếm quyền tài khoản, nhân viên cần nhận ra dấu hiệu sớm. Hai bài dấu hiệu phishing và bài về social engineering trong chuyên mục an toàn thông tin là tài liệu đào tạo nền để giảm số vụ lộ lọt do thao túng con người.

Mức xử lý khi vi phạm

Theo Điều 8 Luật 91, vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại. Với hành vi mua bán dữ liệu cá nhân, mức phạt tối đa với tổ chức là 10 lần khoản thu có được từ vi phạm. Một số bài tổng hợp còn nêu mức phạt tối đa 3 tỷ đồng cho một vi phạm khác, nhưng bạn nên đối chiếu văn bản gốc trước khi dùng con số này trong báo cáo nội bộ. Mức phạt cho từng hành vi cụ thể như không cập nhật hồ sơ đánh giá tác động nằm ở văn bản xử phạt riêng, nên cần tra cứu bản hiện hành tại thời điểm bạn xử lý.

Câu hỏi thường gặp

Nghị định 13/2023/NĐ-CP còn hiệu lực không?

Không. Văn bản này hết hiệu lực từ 01/01/2026 theo Nghị định 356/2025/NĐ-CP. Khung hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP.

Tôi đã xin đồng ý của khách hàng theo Nghị định 13, có phải xin lại không?

Theo quy định chuyển tiếp tại Điều 39 Luật 91, sự đồng ý hoặc thỏa thuận đã có trước 01/01/2026 vẫn được tiếp tục dùng. Tuy vậy, nếu bạn đổi mục đích xử lý hoặc thu thêm loại dữ liệu mới thì cần đồng ý mới theo quy định hiện hành.

Hồ sơ đánh giá tác động đã nộp cho Bộ Công an có phải làm lại không?

Hồ sơ đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được sử dụng. Khi hoạt động xử lý thay đổi, bạn cập nhật theo Luật mới thay vì lập lại từ đầu.

Doanh nghiệp nhỏ có được miễn các nghĩa vụ này không?

Luật cho doanh nghiệp nhỏ và khởi nghiệp quyền lựa chọn trong 5 năm với một số nghĩa vụ, nhưng không phải miễn tuyệt đối và có các nhóm ngoại lệ. Nếu bạn xử lý dữ liệu nhạy cảm như sinh trắc học hay vị trí, hãy kiểm tra kỹ điều kiện áp dụng trước khi bỏ qua.

Phải báo cáo vi phạm dữ liệu cá nhân trong bao lâu?

Khi phát hiện vi phạm có thể gây tổn hại đến quyền lợi của chủ thể dữ liệu hay an ninh, trật tự, bạn phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện, theo Điều 23 Luật 91/2025/QH15.

Làm sao biết một tài liệu của nhà cung cấp còn dựa vào Nghị định 13?

Tìm chuỗi “13/2023” trong chính sách quyền riêng tư và phụ lục xử lý dữ liệu. Nếu còn, hãy yêu cầu nhà cung cấp cập nhật căn cứ pháp lý và xác nhận trách nhiệm theo Luật 91 và Nghị định 356.