Nghị định 356/2025/NĐ-CP được ban hành ngày 31 tháng 12 năm 2025, có hiệu lực từ ngày 01 tháng 01 năm 2026 và thay thế Nghị định 13/2023/NĐ-CP (Điều 42). Nghị định hướng dẫn chi tiết Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Các điểm mới Nghị định 356 mà doanh nghiệp cần nắm gồm: danh mục dữ liệu nhạy cảm mới, thời hạn cụ thể để thực hiện quyền của chủ thể dữ liệu, hồ sơ chuyển dữ liệu xuyên biên giới theo mẫu mới, quy định riêng cho công nghệ mới, và giấy chứng nhận cho dịch vụ xử lý dữ liệu cá nhân.
Hiệu lực và quy định chuyển tiếp#
Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 (khoản 2 Điều 42 Nghị định 356). Doanh nghiệp đã tuân thủ Nghị định 13/2023 không phải làm lại từ đầu. Theo Điều 39 Luật 91:
- Hoạt động xử lý dữ liệu đã được chủ thể dữ liệu đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 trước ngày 01/01/2026 được tiếp tục, không phải xin đồng ý lại.
- Hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ chuyển dữ liệu ra nước ngoài đã được cơ quan chuyên trách tiếp nhận trước ngày 01/01/2026 tiếp tục được sử dụng. Tuy nhiên, việc cập nhật các hồ sơ này từ ngày 01/01/2026 thực hiện theo quy định mới.
Các điểm mới Nghị định 356 doanh nghiệp cần nắm#
Danh mục dữ liệu cá nhân nhạy cảm#
Điều 4 Nghị định 356 liệt kê 12 nhóm dữ liệu cá nhân nhạy cảm. Thay đổi đáng chú ý nhất: Nghị định 13/2023 xếp dữ liệu phản ánh hoạt động trên môi trường số vào nhóm dữ liệu cơ bản. Nghị định 356 đưa "dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng" vào danh mục nhạy cảm (điểm l khoản 1 Điều 4). Danh mục cũng nêu rõ ảnh thẻ căn cước, thông tin đăng nhập tài khoản định danh điện tử và tài khoản ngân hàng (điểm i, điểm k). Hệ quả thực tế: website, ứng dụng có tracking cần báo cho người dùng rằng dữ liệu đó là nhạy cảm khi xin đồng ý (khoản 4 Điều 6).
Thời hạn thực hiện quyền của chủ thể dữ liệu#
Bên kiểm soát phải phản hồi yêu cầu trong 02 ngày làm việc (Điều 5). Thời hạn thực hiện:
- Xem, chỉnh sửa, cung cấp dữ liệu: 10 ngày; 15 ngày nếu cần bên xử lý, bên thứ ba thực hiện.
- Rút lại đồng ý, hạn chế, phản đối xử lý: 15 ngày; 20 ngày nếu cần bên xử lý, bên thứ ba thực hiện.
- Xóa dữ liệu: 20 ngày; 30 ngày nếu cần bên xử lý, bên thứ ba thực hiện.
Mỗi yêu cầu được gia hạn tối đa 01 lần, và doanh nghiệp phải chứng minh việc gia hạn là cần thiết.
Sự đồng ý và chuyển giao dữ liệu#
Điều 6 liệt kê các phương thức xin đồng ý kiểm chứng được và cấm thiết lập mặc định đồng ý (khoản 3). Điều 7 quy định 7 nội dung bắt buộc của thỏa thuận chuyển giao dữ liệu với bên nhận, gồm cả thời hạn xử lý và yêu cầu xóa, hủy sau khi hoàn thành mục đích.
Chuyển dữ liệu xuyên biên giới#
Nghị định xác định ba hoạt động được coi là chuyển dữ liệu xuyên biên giới: lưu trữ trên máy chủ hoặc dịch vụ điện toán đám mây ở nước ngoài, chuyển cho bên nhận ở nước ngoài và xử lý trên nền tảng ở nước ngoài (khoản 1 Điều 17). Báo cáo đánh giá tác động lập theo Mẫu số 09 (Điều 18), thay cho Mẫu số 06 của Nghị định 13/2023. Nghị định bổ sung năm nhóm trường hợp không phải đánh giá tác động, ví dụ hoạt động báo chí, quản lý nhân sự xuyên biên giới theo quy chế lao động, cung cấp dữ liệu để ký hợp đồng hoặc làm thủ tục vận chuyển, thanh toán, khách sạn, thị thực (khoản 3 Điều 17). Hồ sơ đã nộp phải cập nhật định kỳ 06 tháng khi có thay đổi, hoặc trong 10 ngày với một số thay đổi lớn (Điều 20). Cách áp dụng cho CRM và email marketing nước ngoài được phân tích trong bài riêng.
Công nghệ mới và dịch vụ xử lý dữ liệu#
Nghị định có quy định riêng cho dữ liệu lớn, trí tuệ nhân tạo và vũ trụ ảo, chuỗi khối, điện toán đám mây (Điều 9 đến Điều 12). Ví dụ, dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền (khoản 4 Điều 12). Điều 21 liệt kê 9 loại dịch vụ xử lý dữ liệu cá nhân. Tổ chức kinh doanh các dịch vụ này phải có Giấy chứng nhận đủ điều kiện (Điều 22 đến Điều 27).
Thông báo vi phạm với dữ liệu vị trí, sinh trắc học#
Khi sự cố liên quan dữ liệu vị trí hoặc sinh trắc học, bên kiểm soát phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ kể từ khi phát hiện (điểm a khoản 1 Điều 29). Nếu không thể thông báo cho tất cả chủ thể trong thời hạn này vì lý do kỹ thuật hoặc khẩn cấp, phải thông báo công khai qua website, ứng dụng của tổ chức và gửi thông báo ngay khi điều kiện kỹ thuật cho phép (khoản 3 Điều 29). Hồ sơ vi phạm phải được lưu tối thiểu 05 năm kể từ ngày khắc phục xong sự cố (điểm c khoản 1 Điều 29).
Điểm mới Nghị định 356 với doanh nghiệp nhỏ#
Theo Nghị định 13/2023, doanh nghiệp siêu nhỏ, nhỏ, vừa và khởi nghiệp được lựa chọn miễn chỉ định nhân sự bảo vệ dữ liệu và lập hồ sơ đánh giá tác động trong 02 năm, trừ doanh nghiệp xử lý dữ liệu nhạy cảm. Cơ chế mới khác ở ba điểm:
- Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện việc lập, cập nhật hồ sơ đánh giá tác động và chỉ định bộ phận, nhân sự bảo vệ dữ liệu (Điều 21, Điều 22 và khoản 2 Điều 33 Luật) trong 05 năm kể từ ngày 01/01/2026 (khoản 2 Điều 38 Luật; khoản 1 Điều 41 Nghị định 356). Doanh nghiệp vừa không còn thuộc diện ưu đãi.
- Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này, không giới hạn thời gian (khoản 3 Điều 38 Luật; khoản 2 Điều 41 Nghị định 356), nhưng vẫn chịu cùng ba ngoại lệ nêu dưới đây.
- Ngoại lệ rộng hơn. Ưu đãi không áp dụng cho cả hai nhóm khi doanh nghiệp, hộ kinh doanh kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu tích lũy từ 100.000 chủ thể dữ liệu cá nhân trở lên, tính từ thời điểm đạt quy mô này (Điều 41 Nghị định 356).
Ưu đãi không miễn hồ sơ chuyển dữ liệu xuyên biên giới theo Điều 20 Luật và các nghĩa vụ về sự đồng ý, quyền của chủ thể dữ liệu.
Khi tự đánh giá, cần lưu ý hai điểm. Thứ nhất, Luật và Nghị định không định nghĩa doanh nghiệp nhỏ, siêu nhỏ, nên áp dụng tiêu chí chung tại Điều 4 Luật Hỗ trợ doanh nghiệp nhỏ và vừa 04/2017/QH14 và Điều 5 Nghị định 80/2021/NĐ-CP, tính trên số liệu năm trước của chính doanh nghiệp, không cộng số liệu công ty mẹ hay công ty liên kết; dự thảo Luật Phát triển doanh nghiệp nhỏ và vừa có thể thay đổi các ngưỡng này. Thứ hai, theo cách hiểu của LexData, doanh nghiệp thu kết quả khám sức khỏe hoặc lưu bản chụp căn cước của nhân viên đã "trực tiếp xử lý dữ liệu nhạy cảm": Luật không định nghĩa "trực tiếp", xử lý bao gồm thu thập (khoản 6 Điều 2 Luật), và hai loại dữ liệu này đều nhạy cảm (điểm d, điểm i khoản 1 Điều 4 Nghị định 356). Chưa có hướng dẫn của Cục A05 theo hướng khác, nên không nên dựa vào ưu đãi nếu hồ sơ nhân sự có các loại dữ liệu này.
Tình huống minh họa: áp dụng điểm mới Nghị định 356#
Giả sử một công ty thương mại điện tử là doanh nghiệp nhỏ, lưu thông tin khách hàng trên dịch vụ đám mây đặt tại Singapore và dùng xác thực khuôn mặt khi khách hàng mở ví điện tử.
- Lưu trữ trên đám mây ở nước ngoài là chuyển dữ liệu xuyên biên giới (khoản 1 Điều 17). Công ty phải lập hồ sơ theo Mẫu số 09 gửi Cục A05 trong 60 ngày và mã hóa dữ liệu khi lưu, khi truyền (Điều 18, khoản 4 Điều 12). Ưu đãi cho doanh nghiệp nhỏ không miễn nghĩa vụ này.
- Xác thực khuôn mặt là trực tiếp xử lý dữ liệu sinh trắc học, một loại dữ liệu nhạy cảm. Vì vậy công ty không được lựa chọn bỏ qua hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu.
- Nếu sự cố xảy ra với dữ liệu khuôn mặt, công ty phải thông báo cho khách hàng trong 72 giờ (Điều 29). Nếu vi phạm có thể gây tổn hại theo khoản 1 Điều 23 Luật, công ty cũng phải báo cơ quan chuyên trách chậm nhất 72 giờ.
Checklist áp dụng các điểm mới Nghị định 356#
- Đối chiếu danh mục dữ liệu đang xử lý với Điều 4 Nghị định 356, đặc biệt dữ liệu tracking trên website, ứng dụng.
- Sửa nội dung xin đồng ý với dữ liệu nhạy cảm; bỏ mọi ô đồng ý tích sẵn.
- Cập nhật quy trình tiếp nhận yêu cầu của chủ thể dữ liệu theo thời hạn tại Điều 5.
- Rà soát thỏa thuận với từng bên nhận dữ liệu theo 7 nội dung tại khoản 1 Điều 7.
- Nếu có chuyển dữ liệu ra nước ngoài: dùng Mẫu số 09 cho hồ sơ mới; đặt lịch cập nhật 06 tháng cho hồ sơ đã nộp theo Nghị định 13/2023.
- Xác định lại doanh nghiệp có thuộc diện ưu đãi tại Điều 38 Luật không, theo quy mô và ba ngoại lệ.
- Xây dựng quy trình thông báo vi phạm 72 giờ cho cơ quan chuyên trách, và cho chủ thể dữ liệu nếu có dữ liệu vị trí, sinh trắc học.
Sai lầm thường gặp khi áp dụng điểm mới Nghị định 356#
- Xin đồng ý lại toàn bộ khách hàng cũ. Không bắt buộc với hoạt động xử lý đã có đồng ý hợp lệ theo Nghị định 13/2023 (khoản 1 Điều 39 Luật). Chỉ cần xin đồng ý mới khi phát sinh mục đích mới.
- Cho rằng hồ sơ đã nộp theo Nghị định 13/2023 không cần đụng tới. Hồ sơ vẫn dùng được, nhưng khi cập nhật phải theo quy định mới (khoản 2 Điều 39 Luật).
- Doanh nghiệp vừa tiếp tục dựa vào miễn trừ cũ. Miễn trừ 02 năm của Nghị định 13/2023 đã hết. Cơ chế mới chỉ dành cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ và hộ kinh doanh.
- Bỏ qua dữ liệu tracking. Dữ liệu này nay là dữ liệu nhạy cảm. Doanh nghiệp nhỏ có pixel quảng cáo trên website cần xem lại mình có còn thuộc diện ưu đãi hay không.
Nếu doanh nghiệp cần rà soát chương trình tuân thủ hiện tại theo các điểm mới Nghị định 356, LexData có dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
