CHÍNH PHỦ _______ Số: 13/2023/NĐ-CP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc
Hà Nội, ngày 17 tháng 4 năm 2023
NGHỊ ĐỊNH
VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN
- Cơ quan ban hành: Chính phủ
- Ngày ban hành: 17/04/2023 | Ngày có hiệu lực: 01/07/2023
- Trạng thái: Đã hết hiệu lực từ 01/01/2026 — được thay thế bởi Nghị định 356/2025/NĐ-CP
Lưu ý: Trang này là bản lưu trữ tóm tắt các quy định tiêu biểu của Nghị định 13/2023/NĐ-CP do LexData biên soạn — không phải toàn văn Nghị định (văn bản gốc gồm 4 chương, 44 điều và 4 phụ lục). Trang giữ lại để phục vụ tra cứu lịch sử; để áp dụng nghĩa vụ hiện hành, hãy tra cứu Nghị định 356/2025/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
Căn cứ ban hành
- Bộ luật Dân sự ngày 24 tháng 11 năm 2015;
- Luật An ninh quốc gia ngày 03 tháng 12 năm 2004;
- Luật An ninh mạng ngày 12 tháng 6 năm 2018;
- Luật Tổ chức Chính phủ ngày 19 tháng 6 năm 2015; Luật sửa đổi, bổ sung một số điều của Luật Tổ chức Chính phủ và Luật Tổ chức chính quyền địa phương ngày 22 tháng 11 năm 2019.
Chương I — Những quy định chung
Điều 1. Phạm vi điều chỉnh
-
Nghị định này quy định về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.
-
Áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; cơ quan, tổ chức, cá nhân Việt Nam hoạt động ở nước ngoài; cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
Điều 2. Giải thích từ ngữ
Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể; bao gồm dữ liệu cá nhân cơ bản (họ tên, ngày sinh, giới tính, nơi cư trú, quốc tịch, hình ảnh, số định danh, số điện thoại, tài khoản và dữ liệu phản ánh hoạt động trên môi trường số, …) và dữ liệu cá nhân nhạy cảm (quan điểm chính trị, tôn giáo, sức khỏe, nguồn gốc chủng tộc – dân tộc, đặc điểm sinh học riêng có, đời sống tình dục, dữ liệu tội phạm, thông tin khách hàng tổ chức tín dụng, dữ liệu vị trí cá nhân, …).
Nghị định cũng định nghĩa: Chủ thể dữ liệu; Xử lý dữ liệu cá nhân; Bên Kiểm soát dữ liệu cá nhân; Bên Xử lý dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân; Bên thứ ba.
Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân
Xử lý đúng quy định pháp luật; chủ thể dữ liệu được biết; xử lý đúng mục đích đã đăng ký, tuyên bố; thu thập phù hợp, giới hạn trong phạm vi – mục đích cần xử lý; dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp pháp luật có quy định khác; cập nhật phù hợp mục đích; áp dụng biện pháp bảo mật trong quá trình xử lý; chỉ lưu trữ trong thời gian phù hợp với mục đích; các bên phải tuân thủ nguyên tắc và chứng minh sự tuân thủ của mình.
Điều 4. Giải trình
Các bên liên quan (Bên Kiểm soát, Bên Kiểm soát và xử lý, Bên Xử lý dữ liệu cá nhân) phải giải trình, chứng minh sự tuân thủ của mình đối với chủ thể dữ liệu và cơ quan quản lý nhà nước.
Điều 5. Xử lý vi phạm quy định bảo vệ dữ liệu cá nhân
Cơ quan, tổ chức, cá nhân vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự theo quy định của pháp luật.
Chương II — Bảo vệ dữ liệu cá nhân trong quá trình xử lý
Điều 8. Hành vi bị nghiêm cấm
Xử lý dữ liệu cá nhân trái quy định pháp luật; xử lý dữ liệu cá nhân để tạo ra thông tin chống lại Nhà nước hoặc gây ảnh hưởng an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác; cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền; lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.
Điều 9. Quyền của chủ thể dữ liệu
11 quyền, gồm: được biết; đồng ý; truy cập (xem, chỉnh sửa); rút lại sự đồng ý; xóa dữ liệu; hạn chế xử lý; cung cấp dữ liệu; phản đối xử lý (ngăn chặn, hạn chế tiết lộ hoặc sử dụng cho quảng cáo, marketing); khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường thiệt hại; tự bảo vệ.
Điều 10. Nghĩa vụ của chủ thể dữ liệu
Tự bảo vệ dữ liệu cá nhân của mình; tôn trọng, bảo vệ dữ liệu cá nhân của người khác; cung cấp đầy đủ, chính xác dữ liệu cá nhân khi đồng ý cho phép xử lý; tham gia tuyên truyền, phổ biến kỹ năng bảo vệ dữ liệu cá nhân; thực hiện quy định pháp luật và tham gia phòng, chống hành vi vi phạm.
Điều 11. Sự đồng ý của chủ thể dữ liệu
Sự đồng ý chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ loại dữ liệu được xử lý, mục đích, tổ chức/cá nhân được xử lý, các quyền – nghĩa vụ của mình. Sự đồng ý phải được thể hiện rõ ràng, tự nguyện, khẳng định thông qua hành động chủ động (Opt-in), bằng định dạng có thể in, sao chép bằng văn bản, gồm cả dạng điện tử hoặc định dạng kiểm chứng được. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý; chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo.
Điều 13. Thông báo xử lý dữ liệu cá nhân
Thông báo xử lý được thực hiện một lần trước khi tiến hành hoạt động xử lý, gồm: mục đích xử lý; loại dữ liệu được sử dụng; cách thức xử lý; tổ chức, cá nhân liên quan đến mục đích xử lý; rủi ro có khả năng xảy ra; thời gian bắt đầu, kết thúc xử lý.
Điều 20. Xử lý dữ liệu cá nhân của trẻ em
Xử lý dữ liệu trẻ em luôn theo nguyên tắc bảo vệ các quyền và vì lợi ích tốt nhất của trẻ em; phải có sự đồng ý của trẻ em từ đủ 7 tuổi trở lên và sự đồng ý của cha, mẹ hoặc người giám hộ.
Chương III — Hợp đồng và xử lý dữ liệu cá nhân ra nước ngoài
Điều 23. Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân
Khi phát hiện xảy ra vi phạm (rò rỉ, mất mát dữ liệu), Bên Kiểm soát, Bên Kiểm soát và xử lý, Bên Xử lý dữ liệu cá nhân và Bên thứ ba phải thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm, theo Mẫu số 03 tại Phụ lục — trừ trường hợp vi phạm đã được xử lý dứt điểm trước khi hết thời hạn thông báo và không gây nguy hại cho chủ thể dữ liệu. Bên Xử lý dữ liệu cá nhân phải thông báo cho Bên Kiểm soát dữ liệu cá nhân sớm nhất có thể.
Điều 24. Đánh giá tác động xử lý dữ liệu cá nhân
Bên Kiểm soát, Bên Kiểm soát và xử lý dữ liệu cá nhân lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân kể từ thời điểm bắt đầu xử lý, gửi về Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
Điều 25. Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài
Dữ liệu cá nhân của công dân Việt Nam được chuyển ra nước ngoài khi Bên chuyển dữ liệu lập Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và thực hiện các thủ tục theo quy định. Hồ sơ luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an.
Bộ phận, nhân sự bảo vệ dữ liệu cá nhân
Nghị định 13/2023 không có điều riêng về việc bổ nhiệm DPO: nghĩa vụ chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân và nhân sự phụ trách (kèm trao đổi thông tin với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân) nằm trong nhóm biện pháp bảo vệ dữ liệu cá nhân nhạy cảm (khoản 2 Điều 28), và lực lượng bảo vệ dữ liệu cá nhân được quy định tại Điều 30. Doanh nghiệp siêu nhỏ, nhỏ, vừa và doanh nghiệp khởi nghiệp được miễn trừ trong 02 năm đầu theo Điều 43 (trừ doanh nghiệp xử lý dữ liệu nhạy cảm).
Chương IV — Điều khoản thi hành
Điều 43. Hiệu lực thi hành
-
Nghị định có hiệu lực thi hành từ ngày 01 tháng 7 năm 2023.
-
Doanh nghiệp siêu nhỏ, nhỏ, vừa, khởi nghiệp được lựa chọn miễn trừ việc chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân và lập hồ sơ đánh giá tác động trong 02 năm kể từ ngày Nghị định có hiệu lực (trừ doanh nghiệp xử lý dữ liệu nhạy cảm).
Ghi chú của LexData (không thuộc văn bản gốc): Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026 theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP thi hành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Nghĩa vụ hiện hành áp dụng theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Điều 44. Trách nhiệm thi hành
Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Thủ trưởng cơ quan thuộc Chính phủ, Chủ tịch Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương và các cơ quan, tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Nghị định này.