Nghị định 356/2025/NĐ-CP: Điểm mới về bảo vệ dữ liệu cá nhân

Ngày 01/01/2026, Nghị định số 356/2025/NĐ-CP quy định chi tiết và hướng dẫn thi hành Luật Bảo vệ Dữ liệu Cá nhân ("Nghị định 356") chính thức có hiệu lực, thay thế Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân ("Nghị định 13"), góp phần bảo đảm việc thực thi hiệu quả Luật Bảo vệ Dữ liệu Cá nhân ("Luật BVDLCN").

Qua bản tin này, chúng tôi đề cập các yêu cầu tuân thủ cốt lõi theo Nghị định 356 trên cơ sở so sánh, đối chiếu với Nghị định 13 và phân tích các quy định hướng dẫn thi hành Luật BVDLCN.

1. Danh mục dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

Nghị định 356 thu hẹp nhóm dữ liệu cá nhân cơ bản (loại bỏ dữ liệu về hoạt động trên không gian mạng, mã số thuế, thông tin bảo hiểm xã hội, bảo hiểm y tế), đồng thời mở rộng và tăng mức độ của nhóm dữ liệu cá nhân nhạy cảm:

• Bổ sung dữ liệu theo dõi hành vi và vị trí thông qua trực tuyến trên các dịch vụ mạng, viễn thông và truyền thông;
• Mở rộng nội hàm của dữ liệu sức khỏe bằng cách quy định chung là "tình trạng sức khỏe", thay vì giới hạn trong hồ sơ bệnh án như Nghị định 13;
• Bổ sung chi tiết dữ liệu về hành vi, hoạt động tài chính cá nhân (tài khoản định danh, CCCD/CMND, tài khoản và thẻ ngân hàng, lịch sử giao dịch, v.v.).

2. Quy định bảo vệ dữ liệu cá nhân trong các hệ thống công nghệ đặc thù

Nghị định 356 bổ sung các quy định riêng đối với việc bảo vệ dữ liệu cá nhân trong các hệ thống công nghệ mới và môi trường xử lý dữ liệu có tính phức tạp cao, vốn chưa được quy định cụ thể tại Nghị định 13. Theo đó, các tổ chức, doanh nghiệp có hoạt động xử lý dữ liệu trong các nền tảng hoặc mô hình công nghệ sau cần áp dụng biện pháp bảo vệ dữ liệu cá nhân tương ứng:

• Hệ thống dữ liệu lớn (Big Data): Bao gồm các hệ thống có khả năng thu thập, phân tích dữ liệu quy mô lớn nhằm nhận diện hành vi, dự đoán xu hướng hoặc xây dựng hồ sơ người dùng;
• Hệ thống Trí tuệ nhân tạo (AI) và môi trường thực tế ảo (Metaverse, VR/AR): Bao gồm các hoạt động xử lý dữ liệu phục vụ học máy, tự động hóa quyết định hoặc tương tác số;
• Công nghệ chuỗi khối (Blockchain): Bao gồm việc lưu trữ, xác thực hoặc chia sẻ dữ liệu trên nền tảng phi tập trung;
• Điện toán đám mây (Cloud Computing): Bao gồm việc lưu trữ, xử lý và truyền tải dữ liệu thông qua hạ tầng điện toán từ xa.

Việc bổ sung các quy định này cho thấy phạm vi điều chỉnh của Nghị định 356 đã mở rộng đáng kể, bao phủ các mô hình công nghệ hiện đại và yêu cầu việc bảo vệ dữ liệu cá nhân phải được tích hợp ngay trong quá trình thiết kế, vận hành hệ thống.

3. Sự đồng ý của chủ thể dữ liệu

Bên cạnh hình thức thể hiện sự đồng ý của chủ thể dữ liệu tại Nghị định 13, Nghị định 356 bổ sung các hình thức phù hợp với thực tiễn, gồm: sự đồng ý qua cuộc gọi ghi âm, thư điện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý.

Sự đồng ý của chủ thể dữ liệu phải rõ ràng, được lưu trữ và đảm bảo khả năng được kiểm chứng, nghiêm cấm thiết lập mặc định đồng ý hoặc tạo chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu.

4. Thực hiện quyền của chủ thể dữ liệu

So với Nghị định 13, Nghị định 356 quy định cụ thể hơn về cơ chế, thời hạn thực thi của bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu đối với từng nhóm yêu cầu của chủ thể dữ liệu.

5. Chuyển giao dữ liệu cá nhân

Khác với Nghị định 13, khi việc chuyển giao dữ liệu chỉ được quy định chung tại các điều khoản rời rạc, Nghị định 356 cụ thể hóa điều kiện thực hiện tùy từng mục đích. Cụ thể như sau:

• Hoạt động chuyển giao dữ liệu có sự đồng ý, hoặc trong trường hợp tái cơ cấu, tổ chức lại, hoặc từ bên kiểm soát dữ liệu sang bên xử lý/bên thứ ba: Có thỏa thuận với bên nhận, nêu rõ mục đích, chủ thể dữ liệu, loại dữ liệu, thời hạn xử lý, việc xóa dữ liệu, cơ sở pháp lý, trách nhiệm của các bên;
• Chuyển giao dữ liệu cá nhân nhạy cảm: Có biện pháp bảo mật vật lý, mã hóa, ẩn danh hoặc biện pháp bảo mật khác;
• Chuyển giao dữ liệu cá nhân có thu phí: Có sự đồng ý chính xác, rõ ràng theo từng lần chuyển giao, thỏa thuận trước khi chuyển dữ liệu;
• Chuyển dữ liệu nội bộ trong cùng tổ chức: Có quy trình kiểm soát việc chia sẻ, sử dụng và phòng chống việc chia sẻ trái phép;
• Giao dịch trên sàn dữ liệu: Dữ liệu cá nhân phải được khử nhận dạng.

6. Bộ phận bảo vệ dữ liệu (DPD) và nhân sự bảo vệ dữ liệu (DPO)

Mở rộng hơn Nghị định 13, Nghị định 356 cho phép doanh nghiệp kết hợp cả hai hình thức, vừa bổ nhiệm DPO/thành lập bộ phận DPD vừa thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Đồng thời quy định rõ tiêu chuẩn năng lực, trách nhiệm của các chủ thể liên quan.

• Về điều kiện năng lực: Đối với DPO, bộ phận DPD, cá nhân cung cấp dịch vụ cần có (i) trình độ cao đẳng; (ii) Có ít nhất 2–3 năm kinh nghiệm trong một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng/dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ; (iii) được đào tạo bồi dưỡng bảo vệ dữ liệu. Đối với tổ chức cung cấp dịch vụ, phải có ít nhất 3 nhân sự đáp ứng điều kiện như ba đối tượng trên, đồng thời chứng minh năng lực cung cấp sản phẩm, dịch vụ về bảo mật, an ninh mạng, công nghệ thông tin, đạt tiêu chuẩn hoặc tư vấn bảo vệ dữ liệu cá nhân; và (ii) xây dựng hồ sơ năng lực chứng minh khả năng bảo vệ dữ liệu cá nhân.
• Về trách nhiệm: DPO và DPD chịu trách nhiệm như ban pháp chế nội bộ trong việc đánh giá tuân thủ định kỳ, xây dựng và triển khai chính sách, quy trình, biện pháp bảo vệ dữ liệu; xử lý vi phạm, lập hồ sơ đánh giá tác động, và tham gia đào tạo. Cá nhân và tổ chức cung cấp dịch vụ phải tuân thủ cam kết, không trục lợi, không hủy tài liệu cá nhân sau khi hoàn thành công việc.

7. Kinh doanh dịch vụ xử lý dữ liệu cá nhân là ngành nghề kinh doanh có điều kiện

Nghị định 356 lần đầu tiên quy định "Kinh doanh dịch vụ xử lý dữ liệu cá nhân" là một ngành nghề kinh doanh có điều kiện tại Việt Nam. Theo đó, tổ chức cung cấp dịch vụ xử lý dữ liệu cá nhân (bao gồm nhưng không giới hạn ở dịch vụ phân tích dữ liệu, lưu trữ dữ liệu, xử lý dữ liệu thuê ngoài, hoặc các dịch vụ liên quan) phải đáp ứng điều kiện và được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân do Bộ Công an cấp.

Nghị định 356 quy định chi tiết về:

• Điều kiện cấp phép: bao gồm yêu cầu về nhân sự, năng lực chuyên môn, hệ thống kỹ thuật và biện pháp bảo vệ dữ liệu;
• Hồ sơ, trình tự, thủ tục cấp, cấp lại và thu hồi giấy chứng nhận;
• Trách nhiệm tuân thủ trong quá trình cung cấp dịch vụ, bao gồm nghĩa vụ bảo mật, quản lý và xử lý dữ liệu theo đúng phạm vi được cấp phép.

Quy định này đánh dấu sự thay đổi trong cách tiếp cận quản lý, chuyển từ cơ chế kiểm soát tuân thủ sang cơ chế cấp phép đối với các hoạt động cung cấp dịch vụ xử lý dữ liệu cá nhân trên thị trường.

8. Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và đánh giá tác động chuyển dữ liệu xuyên biên giới (CTIA)

Nghị định 356 bổ sung các trường hợp miễn lập hồ sơ CTIA, nới lỏng trường hợp chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự theo quy định pháp luật lao động, giúp giảm gánh nặng tuân thủ và thủ tục hành chính cho doanh nghiệp, đặc biệt là tập đoàn đa quốc gia.

Nghị định 356 yêu cầu tuân thủ nghiêm ngặt hơn đối với hồ sơ CTIA và DPIA, cụ thể:

• Thời gian xử lý hồ sơ: Nghị định 356 quy định Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) có 15 ngày để phản hồi hồ sơ CTIA và chủ thể chuyển dữ liệu có 30 ngày bổ sung, hoàn thiện hồ sơ.
• Nghĩa vụ cập nhật hồ sơ đánh giá tác động dữ liệu cá nhân: Cập nhật hồ sơ định kỳ 6 tháng một lần khi phát sinh mục đích chuyển/xử lý dữ liệu mới hoặc thay đổi về bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu, bên xử lý dữ liệu, bên thứ ba. Cập nhật trong 10 ngày khi tổ chức thay đổi cơ cấu, chấm dứt hoạt động, thay đổi nhà cung cấp dịch vụ bảo vệ dữ liệu, hoặc phát sinh/thay đổi ngành nghề, dịch vụ liên quan đến dữ liệu cá nhân đã đăng ký trong hồ sơ DPIA, CTIA.

Nghị định 356 sửa đổi Nghị định số 165/2025/NĐ-CP ngày 30 tháng 6 năm 2025 hướng dẫn Luật Dữ liệu 2025 ("Nghị định 165") về nghĩa vụ thực hiện đánh giá tác động. Theo đó, khi chuyển hoặc xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới là dữ liệu cá nhân, chủ quản dữ liệu phải lập hồ sơ DPIA và CTIA theo Luật BVDLCN và Nghị định 356, thay vì theo quy định trước đây của Luật Dữ liệu 2025 và Nghị định 165.

9. Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

So với Nghị định 13, Nghị định 356 bổ sung nghĩa vụ thông báo vi phạm đối với dữ liệu vị trí và dữ liệu sinh trắc học. Theo đó, Bên kiểm soát dữ liệu cá nhân thông báo vi phạm cho A05, đồng thời (i) thông báo cho chủ thể dữ liệu trong 72 giờ kể từ khi phát hiện vi phạm, (ii) thông báo công khai và gửi cho chủ thể ngay khi có thể, và lưu hồ sơ vi phạm tối thiểu 5 năm sau khi khắc phục.

10. Kiểm tra hoạt động bảo vệ dữ liệu cá nhân

Nghị định 356 quy định nhiệm vụ kiểm tra hoạt động bảo vệ dữ liệu cá nhân của các bên liên quan, được tiến hành thường xuyên hoặc đột xuất khi nghi ngờ vi phạm pháp luật hoặc theo chỉ đạo của cơ quan nhà nước chuyên ngành. Nội dung kiểm tra bao gồm (i) hiện trạng tuân thủ công tác bảo vệ dữ liệu, (ii) hoạt động DPIA, CTIA và (iii) hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân. A05 có quyền kiểm tra các bên liên quan, thông báo trước 15 ngày về thời gian và nội dung kiểm tra, hoặc tiến hành kiểm tra đột xuất mà không thông báo trong các trường hợp cần thiết.

Bên cạnh đó, Nghị định 356 quy định dữ liệu cá nhân trước khi đưa lên sàn dữ liệu phải được khử nhận dạng, và sau khi khử nhận dạng, dữ liệu không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật BVDLCN). Theo đó, A05 có thẩm quyền kiểm tra các bên liên quan về quá trình khử nhận dạng và thông tin đưa lên sàn để đảm bảo tuân thủ pháp luật.

11. Các trường hợp miễn trừ trong thực hiện DPIA và CTIA

Nghị định 356 mở rộng phạm vi, đối tượng và thời hạn miễn trừ, với điều kiện không xử lý dữ liệu nhạy cảm hoặc xử lý dưới 100.000 chủ thể dữ liệu có thể thu hẹp số lượng đối tượng được miễn trừ trên thực tế.

Nghị định 356 bổ sung hộ kinh doanh vào nhóm đối tượng được miễn trừ, gồm doanh nghiệp siêu nhỏ, nhỏ, và khởi nghiệp. Theo đó, (i) hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn trừ hoàn toàn; (ii) doanh nghiệp nhỏ và khởi nghiệp được gia hạn miễn trừ từ 2 năm lên 5 năm từ 01/01/2026, sau đó phải thực hiện nghĩa vụ theo pháp luật.

Hộ kinh doanh và doanh nghiệp siêu nhỏ không được miễn trừ nếu (i) kinh doanh dịch vụ xử lý dữ liệu cá nhân; (ii) trực tiếp xử lý dữ liệu cá nhân nhạy cảm; hoặc (iii) xử lý dữ liệu cá nhân tích lũy từ 100.000 chủ thể trở lên.

Bài viết này chỉ mang tính tóm tắt, vui lòng đối chiếu văn bản pháp luật gốc trước khi áp dụng trong thực tế.