Nghị định 356/2025 hướng dẫn Luật Bảo vệ dữ liệu cá nhân: những điểm doanh nghiệp dễ bỏ sót

Nhiều doanh nghiệp đọc Luật 91/2025/QH15 nhưng bỏ qua văn bản hướng dẫn chi tiết là Nghị định 356/2025/NĐ-CP — nơi chứa nhiều nghĩa vụ cụ thể áp dụng vào việc hằng ngày. Nghị định này có hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023.

Những nội dung chi tiết hay bị bỏ sót

• Dữ liệu cơ bản và dữ liệu nhạy cảm (Điều 3, Điều 4): danh mục dữ liệu nhạy cảm được mở rộng đáng kể — gồm thông tin tài khoản ngân hàng (tên đăng nhập, mật khẩu, thông tin thẻ, lịch sử giao dịch), dữ liệu giao dịch chứng khoán/bảo hiểm, dữ liệu của người vi phạm pháp luật.
• Đánh giá tác động (Điều 19): bên kiểm soát/xử lý phải lập hồ sơ DPIA (Mẫu số 10) ngay từ khi bắt đầu xử lý.
• Chuyển dữ liệu xuyên biên giới (Điều 18): phải lập hồ sơ đánh giá tác động riêng (Mẫu 09), cập nhật định kỳ.
• Nhân sự bảo vệ dữ liệu: Nghị định quy định điều kiện, tiêu chuẩn (kinh nghiệm, đào tạo) — nội dung Nghị định 13 chưa có.
• Thỏa thuận chuyển dữ liệu bằng văn bản: yêu cầu nội dung tối thiểu cụ thể.

So với Nghị định 13, Nghị định 356/2025 đặt ra yêu cầu tuân thủ nghiêm ngặt hơn, đặc biệt với hồ sơ DPIA và chuyển dữ liệu.

Tác động theo loại hình doanh nghiệp

Doanh nghiệp tài chính – ngân hàng, thương mại điện tử, công nghệ (xử lý nhiều dữ liệu khách hàng) chịu tác động rõ nhất do khối lượng và tính nhạy cảm của dữ liệu. Doanh nghiệp nhỏ/khởi nghiệp có một số ưu đãi (ví dụ chưa lập hồ sơ DPIA trong 5 năm đầu).

Câu hỏi thường gặp

Nghị định 356/2025 áp dụng từ khi nào?

Từ 01/01/2026, đồng thời thay thế Nghị định 13/2023.

Doanh nghiệp nhỏ có thuộc phạm vi điều chỉnh không?

Có, nhưng được hưởng một số ưu đãi như chưa bắt buộc lập hồ sơ DPIA trong 5 năm đầu (trừ trường hợp đặc thù).

Soft Space Việt Nam hỗ trợ rà soát tuân thủ chuyên sâu theo Nghị định 356/2025. Liên hệ tư vấn.

Đây là thông tin tham khảo. Nếu phát hiện sai sót, vui lòng liên hệ để chúng tôi cập nhật.

Nguồn: Luật 91/2025/QH15 · Nghị định 356/2025/NĐ-CP