Nghị định 13 còn hiệu lực không? Không. Nghị định 13/2023 hết hiệu lực từ ngày 01/01/2026: khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP quy định Nghị định 13 hết hiệu lực kể từ ngày Nghị định 356 có hiệu lực, tức là cùng ngày Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực. Tuy vậy, những gì doanh nghiệp đã làm theo Nghị định 13 không mất giá trị hết: quy định chuyển tiếp Luật bảo vệ dữ liệu cá nhân tại Điều 39 giữ lại hai nhóm việc quan trọng, và phần còn lại cần rà soát theo quy định mới.
Nghị định 13 còn hiệu lực không, và văn bản nào thay thế?#
Không. Nghị định 13/2023 hết hiệu lực, và từ 01/01/2026 việc bảo vệ dữ liệu cá nhân được điều chỉnh bởi ba tầng văn bản:
- Luật 91/2025/QH15, có hiệu lực từ 01/01/2026 (khoản 1 Điều 38).
- Nghị định 356/2025/NĐ-CP, hướng dẫn chi tiết Luật, có hiệu lực từ 01/01/2026 và thay thế Nghị định 13 (khoản 1, khoản 2 Điều 42).
- Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; xem mức phạt vi phạm dữ liệu cá nhân.
Bản lưu trữ Nghị định 13/2023/NĐ-CP vẫn có trên LexData để đối chiếu, với trạng thái "hết hiệu lực". Nhiều bài viết cũ vẫn trích Nghị định 13 như nghĩa vụ hiện hành; khi dẫn chiếu trong chính sách hay hợp đồng, doanh nghiệp nên dùng căn cứ mới.
Nghị định 13 còn hiệu lực không với các hồ sơ đã làm trước 2026?#
Về mặt văn bản, Nghị định 13 và Luật 91/2025 không cùng tồn tại: Luật mới thay thế cả khung pháp lý cũ. Nhưng quy định chuyển tiếp Luật bảo vệ dữ liệu cá nhân tại Điều 39 chỉ có hai khoản, nên câu trả lời khác nhau theo từng loại việc:
| Việc đã làm theo Nghị định 13 | Còn giá trị? | Căn cứ | Doanh nghiệp cần làm |
|---|---|---|---|
| Sự đồng ý hoặc thỏa thuận với chủ thể dữ liệu, cho hoạt động xử lý đang thực hiện trước 01/01/2026 | Còn. Tiếp tục xử lý, không phải xin đồng ý lại hoặc thỏa thuận lại | Khoản 1 Điều 39 Luật 91/2025 | Giữ bằng chứng đồng ý. Hoạt động hoặc mục đích mới sau 01/01/2026 phải theo quy định mới |
| Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 | Còn. Tiếp tục dùng, không phải lập lại | Khoản 2 Điều 39 Luật 91/2025 | Cập nhật theo Luật mới khi phát sinh thay đổi (xem bên dưới) |
| Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài đã được tiếp nhận trước 01/01/2026 | Còn, như hồ sơ DPIA | Khoản 2 Điều 39 Luật 91/2025 | Cập nhật theo Luật mới, xem chuyển dữ liệu ra nước ngoài |
| Nhân sự hoặc bộ phận bảo vệ dữ liệu đã chỉ định | Luật không có quy định chuyển tiếp riêng | Khoản 2 Điều 33 Luật 91/2025; Điều 13 Nghị định 356 | Đối chiếu văn bản chỉ định và điều kiện năng lực với Điều 13 Nghị định 356 |
| Chính sách quyền riêng tư, quy chế nội bộ, hợp đồng dẫn chiếu Nghị định 13 | Luật không có quy định chuyển tiếp riêng | Khoản 2 Điều 42 Nghị định 356 | Thay căn cứ dẫn chiếu; rà soát nội dung theo Luật 91/2025 và Nghị định 356 |
Luật chỉ nói đến hồ sơ đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026. Với hồ sơ đã nộp nhưng chưa được tiếp nhận vào thời điểm đó, Điều 39 không nêu rõ cách xử lý. Theo cách hiểu của LexData, doanh nghiệp nên đối chiếu tình trạng hồ sơ với Cục A05 thay vì tự suy đoán.
Nghị định 13 còn hiệu lực không với sự đồng ý đã thu thập?#
Không, với hoạt động đang thực hiện. Khoản 1 Điều 39 Luật 91/2025 quy định hoạt động xử lý đang thực hiện mà đã có sự đồng ý hoặc thỏa thuận theo Nghị định 13 trước ngày Luật có hiệu lực thì tiếp tục, không phải xin đồng ý lại. Xin đồng ý hàng loạt lần nữa thường không cần thiết và có thể làm mất một phần danh sách khách hàng.
Điều cần lưu ý là các lần xin đồng ý mới từ 01/01/2026. Điều 6 Nghị định 356 yêu cầu phương thức xin đồng ý phải kiểm chứng được người đồng ý, thời điểm và nội dung; bên kiểm soát phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp; không được thiết lập mặc định đồng ý; và phải báo rõ khi xin đồng ý xử lý dữ liệu nhạy cảm. Chi tiết xem cẩm nang consent.
Hồ sơ DPIA theo Nghị định 13 và hồ sơ chuyển dữ liệu ra nước ngoài: cập nhật thế nào?#
Hồ sơ DPIA theo Nghị định 13 đã được tiếp nhận vẫn dùng được, nhưng khoản 2 Điều 39 quy định việc cập nhật sau 01/01/2026 thực hiện theo Luật 91/2025. Điều 20 Nghị định 356 nêu các mốc cập nhật:
- Định kỳ 06 tháng kể từ lần đầu nộp, khi phát sinh mục đích chuyển dữ liệu hoặc mục đích xử lý mới, hoặc khi phát sinh hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba.
- Trong 10 ngày khi tổ chức bị tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; khi thay đổi thông tin tổ chức cung cấp dịch vụ bảo vệ dữ liệu; hoặc khi phát sinh, thay đổi ngành nghề, dịch vụ liên quan đến xử lý dữ liệu đã đăng ký trong hồ sơ.
- Hồ sơ cập nhật lập theo Mẫu số 03a/03b tại Phụ lục Nghị định 356 và nộp trực tuyến, trực tiếp hoặc qua bưu chính về cơ quan chuyên trách.
Cách lập hồ sơ mới và điều kiện phải lập xem DPIA là gì. Hộ kinh doanh và doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và khởi nghiệp có các quy định miễn hoặc cho lựa chọn tại khoản 2, khoản 3 Điều 38 Luật 91/2025, trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Luật không nêu con số; ngưỡng "từ 100 nghìn chủ thể dữ liệu trở lên", tính lũy kế, do Điều 41 Nghị định 356 quy định.
Nghị định 13 và Luật 91/2025 khác nhau ở đâu với hồ sơ cũ?#
Khi so sánh Nghị định 13 và Luật 91/2025, bài này chỉ nêu các điểm ảnh hưởng trực tiếp đến hồ sơ đã làm; danh sách đầy đủ xem những điểm mới Nghị định 356/2025.
- Thời hạn phản hồi yêu cầu của chủ thể dữ liệu. Điều 5 Nghị định 356 đặt thời hạn phản hồi 02 ngày làm việc và thực hiện trong 10, 15 hoặc 20 ngày tùy loại yêu cầu. Quy trình nội bộ soạn theo Nghị định 13 cần được đối chiếu.
- Điều kiện nhân sự bảo vệ dữ liệu. Điều 13 Nghị định 356 yêu cầu trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm ở lĩnh vực liên quan và đã được đào tạo về bảo vệ dữ liệu cá nhân; việc chỉ định phải bằng văn bản chính thức. Xem DPO là gì.
- Chu kỳ cập nhật hồ sơ 06 tháng và 10 ngày như trên.
- Xử phạt. Mức phạt nay nằm ở Nghị định 330/2026/NĐ-CP, theo từng hành vi. Nghị định này có hiệu lực từ 19/08/2026 (Điều 80). Với hành vi xảy ra trước ngày đó mà sau mới bị phát hiện hoặc đang được xem xét, khoản 1 Điều 81 áp dụng nghị định xử phạt có hiệu lực tại thời điểm vi phạm, trừ khi Nghị định 330 không quy định trách nhiệm pháp lý hoặc quy định nhẹ hơn thì áp dụng Nghị định 330.
Sai lầm thường gặp khi vẫn dùng căn cứ Nghị định 13#
Câu hỏi "Nghị định 13 còn hiệu lực không" thường dẫn đến hai hiểu lầm trái ngược: coi văn bản cũ vẫn là căn cứ hiện hành, hoặc coi mọi việc đã làm là vô hiệu. Cả hai đều sai. Các lỗi cụ thể LexData hay gặp:
- Trích Nghị định 13 trong chính sách quyền riêng tư hoặc hợp đồng như căn cứ hiện hành. Văn bản đã hết hiệu lực, và chính sách nên dẫn Luật 91/2025 và Nghị định 356.
- Nghĩ rằng đã nộp hồ sơ DPIA hoặc chuyển dữ liệu thì xong. Hồ sơ vẫn phải cập nhật khi phát sinh mục đích, đối tác hoặc thay đổi thông tin theo Điều 20 Nghị định 356.
- Xin lại toàn bộ sự đồng ý dù hoạt động đang thực hiện đã được bảo vệ bởi khoản 1 Điều 39.
- Không đánh giá lại hoạt động mới. Mục đích, đối tác hoặc hệ thống thêm sau 01/01/2026 không được hưởng quy định chuyển tiếp.
Checklist rà soát hồ sơ cũ theo Nghị định 13#
Sau khi biết Nghị định 13 còn hiệu lực không, bước tiếp theo là rà soát hồ sơ cũ theo sáu việc sau:
- Lập danh sách mọi hoạt động xử lý bắt đầu trước 01/01/2026 và bằng chứng đồng ý hoặc thỏa thuận tương ứng.
- Xác định hoạt động, mục đích, hệ thống hoặc đối tác nào phát sinh sau 01/01/2026.
- Kiểm tra hồ sơ DPIA theo Nghị định 13 và hồ sơ chuyển dữ liệu ra nước ngoài: đã được tiếp nhận chưa, lần cập nhật gần nhất là khi nào. Nghị định 13/2023 hết hiệu lực không làm mất giá trị hồ sơ đã được tiếp nhận, nhưng hồ sơ phải được cập nhật đúng chu kỳ.
- Đối chiếu văn bản chỉ định nhân sự, bộ phận bảo vệ dữ liệu với Điều 13 Nghị định 356.
- Thay căn cứ dẫn chiếu Nghị định 13 trong chính sách, quy chế, mẫu đồng ý và hợp đồng; xem quy chế bảo vệ dữ liệu cá nhân nội bộ.
- Rà soát quy trình xử lý yêu cầu của chủ thể dữ liệu theo thời hạn tại Điều 5 Nghị định 356.
Nếu doanh nghiệp chưa chắc Nghị định 13 còn hiệu lực không đối với một hồ sơ cụ thể, hoặc cần rà soát trọn bộ hồ sơ, LexData cung cấp dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân, gồm đối chiếu hồ sơ cũ với quy định mới và lập kế hoạch cập nhật.
