Bảo vệ dữ liệu cá nhân

Theo Nghị định 356/2025/NĐ-CP, kinh phí bảo vệ dữ liệu cá nhân lấy từ đâu?

26/07/2026
4 lượt xem
0 bình luận

Năm nguồn được liệt kê. Với doanh nghiệp, câu trả lời rất thẳng: tự bố trí — không có cơ chế hỗ trợ ngân sách cho khu vực tư.

Câu hỏi về chi phí luôn được đặt ra khi doanh nghiệp bắt đầu triển khai tuân thủ. Điều 40 Nghị định 356/2025/NĐ-CP trả lời khá gọn.

Năm nguồn kinh phí

Điều 40 Nghị định 356/2025/NĐ-CP quy định kinh phí thực hiện bảo vệ dữ liệu cá nhân bao gồm:

Ngân sách nhà nước;
Ủng hộ của cơ quan, tổ chức, cá nhân trong và ngoài nước;
Nguồn thu từ hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
Viện trợ quốc tế;
Các nguồn thu hợp pháp khác.

Phân định rõ giữa khu vực công và tư

Điều 40 nêu tiếp hai nguyên tắc:

Kinh phí bảo vệ dữ liệu cá nhân của cơ quan nhà nước do ngân sách nhà nước bảo đảm, được bố trí trong dự toán ngân sách nhà nước hằng năm. Việc quản lý, sử dụng thực hiện theo quy định của pháp luật về ngân sách nhà nước;
Kinh phí bảo vệ dữ liệu cá nhân của tổ chức, doanh nghiệp do các tổ chức, doanh nghiệp tự bố trí và thực hiện theo quy định.

Với doanh nghiệp, đây là chi phí tuân thủ

Không có cơ chế hỗ trợ hay bù đắp từ ngân sách. Điều này có nghĩa việc lập ngân sách cho công tác bảo vệ dữ liệu cá nhân cần được đưa vào kế hoạch tài chính hằng năm như một khoản chi thường xuyên.

Các khoản chi thường phát sinh

Rà theo các nghĩa vụ trong Luật và Nghị định, những khoản chi doanh nghiệp cần tính tới gồm:

Đào tạo nhân sự. Điều 13 Nghị định 356/2025/NĐ-CP đặt nghĩa vụ đào tạo, bồi dưỡng lên cơ quan, tổ chức chỉ định nhân sự bảo vệ dữ liệu cá nhân; Điều 9 yêu cầu đào tạo định kỳ cho nhân viên khi xử lý dữ liệu lớn;
Thuê dịch vụ bên ngoài nếu chọn phương án theo Điều 15 hoặc Điều 16 Nghị định 356/2025/NĐ-CP;
Lập hồ sơ đánh giá tác động theo Điều 19 và Điều 18 Nghị định;
Biện pháp kỹ thuật: mã hóa ở trạng thái nghỉ và khi truyền theo Điều 12 Nghị định, xác thực đa yếu tố theo Điều 9 Nghị định, hệ thống ghi nhật ký theo Điều 8 Nghị định với lĩnh vực tài chính ngân hàng;
Đánh giá tuân thủ định kỳ — Điều 23 Nghị định yêu cầu 01 năm một lần với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân, Điều 8 với lĩnh vực tài chính ngân hàng, Điều 11 với công nghệ chuỗi khối, Điều 12 với nhà cung cấp dịch vụ điện toán đám mây;
Vận hành thường xuyên: thời gian xử lý yêu cầu của chủ thể dữ liệu theo các mốc tại Điều 5 Nghị định.

Với cơ quan nhà nước và đơn vị công lập

Điều 38 Nghị định 356/2025/NĐ-CP giao Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương bố trí kinh phí phục vụ hoạt động bảo vệ dữ liệu cá nhân theo phân cấp quản lý ngân sách hiện hành, đồng thời bố trí nhân sự và bộ phận bảo vệ dữ liệu cá nhân tại các đơn vị thuộc phạm vi quản lý.

Cách kiểm soát chi phí

Kinh nghiệm chung là phần lớn chi phí đến từ việc quản lý khối lượng dữ liệu lớn hơn mức cần thiết. Ba biện pháp giảm chi phí có hiệu quả rõ:

Giảm phạm vi thu thập. Khoản 2 Điều 3 Luật 91/2025/QH15 nêu nguyên tắc chỉ thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng;
Xóa dữ liệu hết mục đích theo điểm b khoản 1 Điều 14 — dữ liệu không giữ thì không phải bảo vệ;
Khử nhận dạng dữ liệu chỉ dùng cho thống kê. Khoản 1 Điều 2 nêu dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân, nên ra khỏi phạm vi phải tuân thủ.

Ba việc này vừa giảm chi phí tuân thủ vừa giảm rủi ro — khác với các khoản đầu tư kỹ thuật vốn chỉ giảm rủi ro mà làm tăng chi phí.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 40
Nghị định 356/2025/NĐ-CP Điều 38

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.