CHÍNH PHỦ _______ Số: 356/2025/NĐ-CP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc
Hà Nội, ngày 31 tháng 12 năm 2025
NGHỊ ĐỊNH
QUY ĐỊNH CHI TIẾT MỘT SỐ ĐIỀU VÀ BIỆN PHÁP THI HÀNH LUẬT BẢO VỆ DỮ LIỆU CÁ NHÂN
- Cơ quan ban hành: Chính phủ
- Người ký: Phó Thủ tướng Nguyễn Hòa Bình (TM. CHÍNH PHỦ)
- Ngày ban hành: 31/12/2025 | Ngày có hiệu lực: 01/01/2026
- Nguồn chính thức Cổng TTĐT Chính phủ: vanban.chinhphu.vn (DocID: 216387)
- File văn bản ký số: Tải file PDF — Công báo Chính phủ
Lưu ý: Trang này là tóm tắt các quy định chính do LexData biên soạn nhằm phục vụ tra cứu nhanh — không phải toàn văn Nghị định. Văn bản gốc gồm 5 chương, 42 điều và 13 mẫu biểu ban hành kèm theo; vui lòng tải toàn văn từ nguồn chính thức ở liên kết trên.
Căn cứ ban hành
- Luật Tổ chức Chính phủ số 63/2025/QH15;
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025;
- Luật Dữ liệu số 60/2024/QH15;
- Luật sửa đổi, bổ sung một số điều của Luật Đấu thầu, Luật Đầu tư theo phương thức đối tác công tư, Luật Hải quan, Luật Thuế giá trị gia tăng, Luật Thuế xuất khẩu, thuế nhập khẩu, Luật Đầu tư, Luật Đầu tư công, Luật quản lý sử dụng tài sản công số 90/2025/QH15.
Phạm vi điều chỉnh
Nghị định quy định chi tiết một số điều của Luật Bảo vệ dữ liệu cá nhân (Điều 2, 4, 6, 9, 17, 20, 21, 22, 23, 27, 30, 31, 33, 35, 38) và các biện pháp thi hành, gồm: nghiên cứu, phát triển giải pháp bảo vệ dữ liệu cá nhân; cơ quan chuyên trách bảo vệ dữ liệu cá nhân; Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân; trách nhiệm của các bộ, ngành, địa phương; kinh phí bảo đảm hoạt động bảo vệ dữ liệu cá nhân.
Danh mục dữ liệu cá nhân cơ bản và nhạy cảm (Điều 3, Điều 4)
- Điều 3: danh mục dữ liệu cá nhân cơ bản (11 nhóm, khoản 1 đến khoản 11 Điều 3).
- Điều 4: danh mục dữ liệu cá nhân nhạy cảm (12 nhóm: nguồn gốc chủng tộc, dân tộc; quan điểm chính trị, tôn giáo, tín ngưỡng; đời sống riêng tư, bí mật cá nhân, gia đình; sức khỏe; sinh trắc học, di truyền; đời sống tình dục, xu hướng tình dục; dữ liệu về tội phạm, vi phạm pháp luật do cơ quan thực thi pháp luật thu thập, lưu trữ; vị trí qua dịch vụ định vị; tên đăng nhập, mật khẩu tài khoản định danh điện tử, ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân; tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch và thông tin tài chính, tín dụng, chứng khoán, bảo hiểm của khách hàng tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức trung gian thanh toán, chứng khoán, bảo hiểm và tổ chức được phép khác; dữ liệu theo dõi hành vi sử dụng dịch vụ viễn thông, mạng xã hội, truyền thông trực tuyến và dịch vụ khác trên không gian mạng; dữ liệu khác pháp luật yêu cầu giữ bí mật hoặc bảo mật chặt chẽ), kèm yêu cầu giới hạn truy cập (khoản 2 Điều 4) và biện pháp bảo vệ riêng cho dữ liệu nhạy cảm.
Thực hiện quyền của chủ thể dữ liệu (Điều 5)
Bên kiểm soát, bên kiểm soát và xử lý dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để tiếp nhận và xử lý yêu cầu. Thời hạn phản hồi là 02 ngày làm việc; thời hạn thực hiện theo từng loại yêu cầu:
| Loại yêu cầu | Thời hạn thực hiện | Nếu liên quan bên xử lý / bên thứ ba |
|---|---|---|
| Rút lại đồng ý, hạn chế xử lý, phản đối xử lý | 15 ngày | 20 ngày |
| Xem, chỉnh sửa, cung cấp dữ liệu cá nhân | 10 ngày | 15 ngày |
| Xóa dữ liệu cá nhân | 20 ngày | 30 ngày |
| Yêu cầu thực hiện biện pháp bảo vệ dữ liệu | 15 ngày | — |
Trường hợp cần gia hạn: tối đa 01 lần, với thời hạn gia hạn tùy loại yêu cầu — không quá 15 ngày (rút lại đồng ý, hạn chế, phản đối xử lý; yêu cầu biện pháp bảo vệ), không quá 10 ngày (xem, chỉnh sửa, cung cấp dữ liệu), không quá 20 ngày (xóa dữ liệu). Bên kiểm soát phải thông báo lý do cho chủ thể dữ liệu và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý (khoản 2–5 Điều 5).
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)
- Hồ sơ gồm Báo cáo đánh giá tác động theo Mẫu số 10 tại Phụ lục Nghị định, kèm bản sao hợp đồng/thỏa thuận xử lý dữ liệu cá nhân, chính sách – quy trình – quy định – biểu mẫu liên quan; nộp kèm Mẫu số 02a/02b.
- Nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân (khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân; khoản 4 Điều 19 Nghị định này); cơ quan chuyên trách trả kết quả đạt hoặc không đạt yêu cầu trong 15 ngày; hồ sơ chưa đầy đủ, đúng quy định thì cơ quan chuyên trách yêu cầu hoàn thiện trong thời hạn 30 ngày (khoản 5, khoản 6 Điều 19).
- Hồ sơ được cập nhật định kỳ 06 tháng kể từ lần đầu nộp khi phát sinh mục đích xử lý mới hoặc thay đổi các bên liên quan (khoản 1 Điều 20), hoặc cập nhật ngay trong thời hạn 10 ngày khi cơ quan, tổ chức được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc thay đổi ngành, nghề kinh doanh liên quan đến xử lý dữ liệu (khoản 2 Điều 20; Điều 22 Luật). Việc cập nhật theo Mẫu số 03a/03b, nộp trực tuyến, trực tiếp hoặc qua bưu chính về cơ quan chuyên trách (khoản 3 Điều 20).
- Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn không thực hiện, trong 05 năm kể từ ngày Luật có hiệu lực (01/01/2026 – hết 31/12/2030), các nghĩa vụ tại Điều 21 (lập DPIA), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (bổ nhiệm bộ phận/nhân sự bảo vệ dữ liệu cá nhân) của Luật, theo Điều 38 Luật và Điều 41 Nghị định này — trừ doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên (tính theo tổng lượng dữ liệu cá nhân đã xử lý cộng dồn, kể từ thời điểm đạt quy mô này). Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ nêu trên (khoản 2 Điều 41), với cùng các ngoại lệ: không áp dụng khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên. Ưu đãi không miễn hồ sơ chuyển dữ liệu cá nhân xuyên biên giới (Điều 20 Luật) và các nghĩa vụ bảo vệ dữ liệu khác; doanh nghiệp vừa và lớn không thuộc diện ưu tiên.
Chuyển dữ liệu cá nhân ra nước ngoài
- Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 09 (thay Mẫu số 06 trước đây của Nghị định 13/2023/NĐ-CP) và gửi 01 bản chính kèm Mẫu số 01a/01b cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân; khoản 4 Điều 18 Nghị định này). Cơ quan chuyên trách trả kết quả trong 15 ngày; hồ sơ chưa đầy đủ, đúng quy định thì được yêu cầu hoàn thiện trong thời hạn 30 ngày (khoản 5, khoản 6 Điều 18). Hồ sơ được cập nhật theo Điều 20 Nghị định này như hồ sơ DPIA.
Bộ phận / chuyên trách bảo vệ dữ liệu cá nhân
Khoản 2 Điều 33 Luật cho phép tổ chức chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân:
- Chỉ định nội bộ (Điều 13): bằng quyết định nội bộ bằng văn bản; nhân sự cần đáp ứng điều kiện năng lực (trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm liên quan kể từ khi tốt nghiệp, đã được đào tạo, bồi dưỡng về bảo vệ dữ liệu cá nhân — khoản 2 Điều 13). Không có thủ tục gửi thông báo bổ nhiệm DPO riêng cho cơ quan quản lý.
- Thuê cá nhân (Điều 15): cá nhân cung cấp dịch vụ cần trình độ cao đẳng trở lên, ít nhất 03 năm kinh nghiệm liên quan và đã được đào tạo chuyên sâu; bên thuê xem xét điều kiện năng lực, giao kết hợp đồng và công khai thông tin nhân sự cho chủ thể dữ liệu.
- Thuê tổ chức (Điều 16): tổ chức cung cấp dịch vụ cần tối thiểu 03 nhân sự đủ điều kiện theo khoản 2 Điều 15 và có hồ sơ năng lực; bên thuê xem xét hồ sơ năng lực, giao kết hợp đồng sử dụng dịch vụ kèm thỏa thuận xử lý dữ liệu và công khai thông tin tổ chức cung cấp cho chủ thể dữ liệu. Tổ chức có thể đồng thời chỉ định nhân sự nội bộ và thuê dịch vụ (khoản 4 Điều 16).
Thông báo vi phạm xử lý dữ liệu cá nhân
- Thông báo vi phạm theo Mẫu số 08, chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm, đối với sự cố thuộc diện phải thông báo (Điều 23 Luật Bảo vệ dữ liệu cá nhân); nội dung thông báo quy định tại Điều 28 Nghị định này.
- Với sự cố liên quan dữ liệu vị trí cá nhân và dữ liệu sinh trắc học: Điều 29 Nghị định buộc thông báo cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ kể từ khi phát hiện; nếu không thể kịp vì lý do kỹ thuật hoặc khẩn cấp thì thông báo công khai trên website, ứng dụng của tổ chức và gửi thông báo ngay khi điều kiện cho phép; hồ sơ vi phạm lưu tối thiểu 5 năm kể từ khi khắc phục xong.
- Trong tài chính, ngân hàng, thông tin tín dụng: lộ, mất dữ liệu nhạy cảm phải thông báo cho cơ quan chuyên trách và chủ thể dữ liệu trong 72 giờ (khoản 3 Điều 8).
Điều khoản thi hành (Điều 42)
- Hiệu lực từ 01/01/2026; Nghị định 13/2023/NĐ-CP ngày 17/4/2023 hết hiệu lực kể từ cùng thời điểm.
- Sửa đổi khoản 2 Điều 16 Nghị định 165/2025/NĐ-CP (quy định chi tiết Luật Dữ liệu): khi chuyển, xử lý xuyên biên giới dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân, chủ quản dữ liệu lập hồ sơ theo pháp luật bảo vệ dữ liệu cá nhân, không phải thực hiện thêm đánh giá rủi ro, đánh giá tác động theo Nghị định 165/2025/NĐ-CP.
- Bộ Công an chịu trách nhiệm hướng dẫn, kiểm tra, đôn đốc việc thực hiện Nghị định.
