Theo Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 13/2023 còn hiệu lực không?

Hết hiệu lực từ ngày 01/01/2026. Nhưng những gì đã làm theo Nghị định 13 không mất giá trị — Điều 39 của Luật có quy định chuyển tiếp riêng.

Đây là câu hỏi được đặt ra nhiều nhất ở các doanh nghiệp đã bỏ công tuân thủ Nghị định 13/2023/NĐ-CP trong hai năm qua.

Câu trả lời

Điều 42 Nghị định 356/2025/NĐ-CP quy định rõ: Nghị định này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026, và Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành.

Khoản 1 Điều 38 Luật 91/2025/QH15 cũng xác định Luật có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026. Hai văn bản có hiệu lực cùng ngày.

Nghị định 13 được thay bằng gì

Cấu trúc pháp lý đã thay đổi về chất. Trước đây chỉ có một nghị định; nay là một đạo luật do Quốc hội thông qua, kèm nghị định quy định chi tiết. Vị trí của quy định về bảo vệ dữ liệu cá nhân trong hệ thống pháp luật vì thế cao hơn hẳn.

Nội dung cũng mở rộng đáng kể. Luật 91/2025/QH15 có 39 điều, Nghị định 356/2025/NĐ-CP có 42 điều — bao quát nhiều lĩnh vực mà Nghị định 13 chưa đề cập, như trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây, dữ liệu lớn, cùng chế độ cấp giấy chứng nhận cho dịch vụ xử lý dữ liệu cá nhân.

Công sức tuân thủ theo Nghị định 13 có mất không

Không. Điều 39 Luật 91/2025/QH15 có quy định chuyển tiếp bảo vệ hai thứ:

Khoản 1 Điều 39 quy định hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể dữ liệu đồng ý hoặc theo thỏa thuận theo quy định của Nghị định số 13/2023/NĐ-CP trước ngày Luật có hiệu lực thì tiếp tục thực hiện, không phải xin đồng ý lại hoặc thỏa thuận lại.

Khoản 2 Điều 39 quy định hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Nghị định 13/2023/NĐ-CP đã được cơ quan chuyên trách tiếp nhận trước ngày Luật có hiệu lực thì tiếp tục được sử dụng, và không phải lập lại hồ sơ theo quy định của Luật; việc cập nhật các hồ sơ đó sau ngày Luật có hiệu lực thì thực hiện theo quy định của Luật.

Một thay đổi kèm theo trong Nghị định 356

Điều 42 Nghị định 356/2025/NĐ-CP còn sửa đổi khoản 2 Điều 16 của Nghị định số 165/2025/NĐ-CP ngày 30 tháng 6 năm 2025 quy định chi tiết một số điều và biện pháp thi hành Luật Dữ liệu.

Theo nội dung sửa đổi, việc bảo vệ dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân thực hiện theo quy định của Luật Bảo vệ dữ liệu cá nhân và văn bản quy định chi tiết thi hành.

Vậy doanh nghiệp cần rà lại những gì

Không phải làm lại từ đầu, nhưng có những phần cần bổ sung vì Luật và Nghị định mới đặt ra yêu cầu chưa từng có:

• Thời hạn trả lời yêu cầu của chủ thể dữ liệu theo Điều 5 Nghị định 356/2025/NĐ-CP;
• Nghĩa vụ chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân theo khoản 2 Điều 33 Luật, với điều kiện năng lực tại Điều 13 Nghị định;
• Các quy định theo lĩnh vực công nghệ mới tại Điều 30 Luật và các Điều 9 đến 12 Nghị định;
• Chế độ cập nhật hồ sơ theo Điều 20 Nghị định 356/2025/NĐ-CP.

Lưu ý về tài liệu nội bộ

Nhiều bộ chính sách, biểu mẫu đang lưu hành có dẫn chiếu tới Nghị định 13/2023/NĐ-CP. Những dẫn chiếu này cần được cập nhật, vì viện dẫn một văn bản đã hết hiệu lực làm giảm giá trị của cả bộ tài liệu khi bị kiểm tra.

Đọc thêm cùng chủ đề

• Quy định mới áp dụng từ ngày nào?
• Nghị định 165/2025 bị sửa những gì?
• Áp dụng quy định nào khi nhiều luật cùng điều chỉnh?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 42
• Luật 91/2025/QH15 Điều 38

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.