CHÍNH PHỦ _______ Số: 356/2025/NĐ-CP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc
Hà Nội, ngày 31 tháng 12 năm 2025
NGHỊ ĐỊNH
QUY ĐỊNH CHI TIẾT MỘT SỐ ĐIỀU VÀ BIỆN PHÁP THI HÀNH LUẬT BẢO VỆ DỮ LIỆU CÁ NHÂN
- Cơ quan ban hành: Chính phủ
- Người ký: Phó Thủ tướng Nguyễn Hòa Bình (TM. CHÍNH PHỦ)
- Ngày ban hành: 31/12/2025 | Ngày có hiệu lực: 01/01/2026
- Nguồn chính thức Cổng TTĐT Chính phủ: vanban.chinhphu.vn (DocID: 216387)
- File văn bản ký số: Tải file PDF — Công báo Chính phủ
Lưu ý: Trang này là tóm tắt các quy định chính do LexData biên soạn nhằm phục vụ tra cứu nhanh — không phải toàn văn Nghị định. Văn bản gốc gồm 5 chương, 42 điều và 13 mẫu biểu ban hành kèm theo; vui lòng tải toàn văn từ nguồn chính thức ở liên kết trên.
Căn cứ ban hành
- Luật Tổ chức Chính phủ số 63/2025/QH15;
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025.
Phạm vi điều chỉnh
Nghị định quy định chi tiết một số điều của Luật Bảo vệ dữ liệu cá nhân (Điều 2, 4, 6, 9, 17, 20, 21, 22, 23, 27, 30, 31, 33, 35, 38) và các biện pháp thi hành, gồm: nghiên cứu, phát triển giải pháp bảo vệ dữ liệu cá nhân; cơ quan chuyên trách bảo vệ dữ liệu cá nhân; Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân; trách nhiệm của các bộ, ngành, địa phương; kinh phí bảo đảm hoạt động bảo vệ dữ liệu cá nhân.
Danh mục dữ liệu cá nhân cơ bản và nhạy cảm (Điều 3, Điều 4)
- Điều 3: danh mục dữ liệu cá nhân cơ bản, kèm yêu cầu phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo vệ tương ứng.
- Điều 4: danh mục dữ liệu cá nhân nhạy cảm (khoảng 12 nhóm: quan điểm chính trị, tôn giáo, sức khỏe, đời sống tình dục, tiền án tiền sự, sinh trắc học, dữ liệu vị trí cá nhân, dữ liệu tài chính – ngân hàng, dữ liệu của trẻ em và các nhóm khác theo quy định), kèm biện pháp bảo vệ bắt buộc riêng cho dữ liệu nhạy cảm.
Thực hiện quyền của chủ thể dữ liệu (Điều 5)
Bên kiểm soát, bên kiểm soát và xử lý dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để tiếp nhận và xử lý yêu cầu. Thời hạn phản hồi là 02 ngày làm việc; thời hạn thực hiện theo từng loại yêu cầu:
| Loại yêu cầu | Thời hạn thực hiện | Nếu liên quan bên xử lý / bên thứ ba |
|---|---|---|
| Rút lại đồng ý, hạn chế xử lý, phản đối xử lý | 15 ngày | 20 ngày |
| Xem, chỉnh sửa, cung cấp dữ liệu cá nhân | 10 ngày | 15 ngày |
| Xóa dữ liệu cá nhân | 20 ngày | 30 ngày |
| Yêu cầu thực hiện biện pháp bảo vệ dữ liệu | 15 ngày | — |
Trường hợp cần gia hạn: tối đa 01 lần, không quá 15 ngày, phải thông báo lý do cho chủ thể dữ liệu và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)
- Hồ sơ gồm Báo cáo đánh giá tác động theo Mẫu số 10 tại Phụ lục Nghị định, kèm bản sao hợp đồng/thỏa thuận xử lý dữ liệu cá nhân, chính sách – quy trình – quy định – biểu mẫu liên quan; nộp kèm Mẫu số 02a/02b.
- Nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân (khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân); cơ quan chuyên trách thông báo kết quả trong 15 ngày; hồ sơ chưa hợp lệ được hoàn thiện theo hướng dẫn.
- Hồ sơ được cập nhật định kỳ 06 tháng khi có sự thay đổi, hoặc cập nhật ngay khi cơ quan, tổ chức được tổ chức lại/chấm dứt hoạt động, thay đổi nhà cung cấp dịch vụ bảo vệ dữ liệu cá nhân, hoặc thay đổi ngành, nghề kinh doanh liên quan đến xử lý dữ liệu (Điều 22 Luật); việc cập nhật thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách (quy định chi tiết tại Điều 20 NĐ 356).
- Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn không thực hiện, trong 05 năm kể từ ngày Luật có hiệu lực (01/01/2026 – hết 31/12/2030), các nghĩa vụ tại Điều 21 (lập DPIA), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (bổ nhiệm bộ phận/nhân sự bảo vệ dữ liệu cá nhân) của Luật, theo Điều 38 Luật và Điều 41 Nghị định này — trừ doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn trừ hoàn toàn các nghĩa vụ nêu trên; doanh nghiệp vừa và lớn không thuộc diện ưu tiên.
Chuyển dữ liệu cá nhân ra nước ngoài
- Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 09 (thay Mẫu số 06 trước đây của Nghị định 13/2023/NĐ-CP) và gửi cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân).
Bộ phận / chuyên trách bảo vệ dữ liệu cá nhân
Theo Điều 13 Nghị định (thiết lập nghĩa vụ tại khoản 2 Điều 33 Luật): tổ chức phải bổ nhiệm bộ phận và/hoặc nhân sự chuyên trách bảo vệ dữ liệu cá nhân bằng quyết định nội bộ bằng văn bản; nghĩa vụ này hoàn thành khi có quyết định nội bộ — không có thủ tục gửi thông báo bổ nhiệm DPO riêng cho cơ quan quản lý.
Thông báo vi phạm xử lý dữ liệu cá nhân
- Thông báo vi phạm theo Mẫu số 08, chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm, đối với sự cố thuộc diện phải thông báo (Điều 23 Luật Bảo vệ dữ liệu cá nhân); nội dung thông báo quy định tại Điều 28 Nghị định này.
- Với sự cố liên quan dữ liệu vị trí cá nhân và dữ liệu sinh trắc học: Điều 29 Nghị định đặt thêm nghĩa vụ thông báo trực tiếp cho chủ thể dữ liệu bị ảnh hưởng.
Điều khoản thi hành (Điều 42)
- Hiệu lực từ 01/01/2026; Nghị định 13/2023/NĐ-CP ngày 17/4/2023 hết hiệu lực kể từ cùng thời điểm.
- Sửa đổi khoản 2 Điều 16 Nghị định 165/2025/NĐ-CP (quy định chi tiết Luật Dữ liệu).
- Bộ Công an chịu trách nhiệm hướng dẫn, kiểm tra, đôn đốc việc thực hiện Nghị định.