Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, quy định mới áp dụng từ ngày nào?

04/07/2026
6 lượt xem
0 bình luận

Ngày 01/01/2026 cho cả Luật lẫn Nghị định hướng dẫn. Nhưng bên trong Điều 38 còn có một mốc khác kéo dài tới 05 năm.

Câu hỏi tưởng đơn giản nhưng thực ra có ba mốc thời gian cần phân biệt.

Mốc thứ nhất: ngày có hiệu lực

Khoản 1 Điều 38 Luật 91/2025/QH15 quy định Luật này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026.

Điều 42 Nghị định 356/2025/NĐ-CP quy định Nghị định này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026, và Nghị định số 13/2023/NĐ-CP hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành.

Việc Luật và Nghị định hướng dẫn cùng có hiệu lực một ngày là điểm thuận lợi cho doanh nghiệp — không có khoảng trống chờ văn bản hướng dẫn.

Mốc thứ hai: 05 năm miễn trừ cho một số nhóm

Khoản 2 Điều 38 quy định doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật trong thời gian 05 năm kể từ ngày Luật có hiệu lực thi hành.

Ngoại lệ: không áp dụng với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các quy định đó, với cùng ba ngoại lệ. Khác biệt là khoản 3 không kèm giới hạn thời gian.

Khoản 4 Điều 38 giao Chính phủ quy định chi tiết khoản 2 và khoản 3, và Điều 41 Nghị định 356/2025/NĐ-CP là điều tương ứng, trong đó xác định ngưỡng số lượng lớn là từ 100 nghìn chủ thể dữ liệu cá nhân trở lên tính theo tích lũy.

Mốc thứ ba: 60 ngày kể từ ngày bắt đầu xử lý

Khoản 1 Điều 21 Luật 91/2025/QH15 quy định thời hạn gửi hồ sơ đánh giá tác động là 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Khoản 2 Điều 20 quy định thời hạn tương tự với hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, tính từ ngày đầu tiên chuyển dữ liệu.

Đây là mốc gắn với hoạt động của từng doanh nghiệp, không phải mốc chung. Với đơn vị bắt đầu một hoạt động xử lý mới sau ngày Luật có hiệu lực, đồng hồ đếm từ ngày đó.

Quy định chuyển tiếp cho hoạt động đang chạy

Điều 39 Luật 91/2025/QH15 giải quyết trường hợp doanh nghiệp đã hoạt động từ trước. Khoản 1 cho phép tiếp tục hoạt động xử lý đã có sự đồng ý hoặc thỏa thuận theo Nghị định 13/2023/NĐ-CP mà không phải xin lại. Khoản 2 cho phép tiếp tục sử dụng hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước ngày Luật có hiệu lực.

Tóm lại nên hiểu thế nào

Từ 01/01/2026, mọi nghĩa vụ trong Luật và Nghị định đều áp dụng;
Doanh nghiệp nhỏ và khởi nghiệp có tới hết năm 2030 để cân nhắc với ba nội dung được miễn, trừ khi rơi vào ngoại lệ;
Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn ba nội dung đó không kèm giới hạn thời gian, cũng trừ khi rơi vào ngoại lệ;
Các nghĩa vụ còn lại — sự đồng ý, quyền của chủ thể dữ liệu, thông báo vi phạm, bảo vệ dữ liệu nhạy cảm — không có giai đoạn chuyển tiếp nào.

Điểm cuối cùng là điều quan trọng nhất: việc được miễn ba nội dung không đồng nghĩa với việc được lùi thời điểm áp dụng toàn bộ đạo luật.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 38
Nghị định 356/2025/NĐ-CP Điều 42

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.