Nghị định 356/2025/NĐ-CP đưa ra mốc rất cụ thể: phản hồi trong 02 ngày làm việc, thực hiện trong 10 hoặc 15 ngày tùy loại yêu cầu, và chỉ được gia hạn một lần.
Khoản 5 Điều 4 Luật 91/2025/QH15 chỉ nói phải "kịp thời thực hiện trong thời hạn theo quy định của pháp luật" và giao Chính phủ quy định chi tiết. Con số cụ thể nằm ở Điều 5 Nghị định 356/2025/NĐ-CP.
Nhóm yêu cầu ngừng xử lý
Với yêu cầu rút lại sự đồng ý, hạn chế xử lý dữ liệu cá nhân hoặc phản đối xử lý dữ liệu cá nhân, gửi đúng thủ tục, Điều 5 Nghị định 356/2025/NĐ-CP quy định bên kiểm soát và bên kiểm soát và xử lý phải:
- Phản hồi trong 02 ngày làm việc, cung cấp đầy đủ thông tin về thủ tục ngừng xử lý dữ liệu cá nhân;
- Thực hiện trong thời hạn 15 ngày;
- Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân hoặc bên thứ ba ngừng xử lý thì thực hiện trong thời hạn 20 ngày.
Ngoại lệ được nêu ngay trong điều: không áp dụng với trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân.
Nhóm yêu cầu xem, chỉnh sửa, cung cấp
Với yêu cầu xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân, cung cấp dữ liệu cá nhân, Điều 5 Nghị định 356/2025/NĐ-CP quy định phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn 10 ngày.
Phân biệt "phản hồi" và "thực hiện"
Đây là hai mốc khác nhau và cả hai đều bắt buộc. Trong 02 ngày làm việc, doanh nghiệp phải trả lời và hướng dẫn thủ tục — chưa cần xong việc. Việc xử lý xong nằm ở mốc 10, 15 hoặc 20 ngày tùy loại.
Mốc 02 ngày làm việc là mốc dễ vi phạm nhất trong thực tế, đơn giản vì yêu cầu gửi vào hộp thư chung mà không ai trực. Đây là lý do nên có một địa chỉ tiếp nhận rõ ràng và người được phân công theo dõi.
Gia hạn được không
Điều 5 Nghị định 356/2025/NĐ-CP cho phép tùy theo tính chất, mức độ phức tạp của yêu cầu, trường hợp cần gia hạn thì kéo dài thêm tối đa 01 lần trong thời hạn không quá 15 ngày.
Kèm theo là hai nghĩa vụ: thông báo cho chủ thể dữ liệu lý do cần gia hạn, và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý. Gia hạn không phải quyền mặc định — nếu không giải thích được, việc kéo dài thời hạn là vi phạm.
Nền tảng cho toàn bộ quy trình
Điều 5 Nghị định 356/2025/NĐ-CP mở đầu bằng một yêu cầu bao trùm: bên kiểm soát và bên kiểm soát và xử lý phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu, phù hợp với hoạt động xử lý dữ liệu và trách nhiệm của các bộ phận liên quan; đồng thời bảo đảm chủ thể dữ liệu được biết về thủ tục thực hiện các quyền quy định tại khoản 1 Điều 4 của Luật.
Vế cuối có nghĩa: không đủ nếu doanh nghiệp có quy trình nội bộ mà khách hàng không biết cách gửi yêu cầu. Thủ tục phải được công bố ở nơi người dùng tìm thấy được.
Bộ khung tối thiểu
- Một trang công khai mô tả các quyền và cách gửi yêu cầu, kèm biểu mẫu;
- Một địa chỉ tiếp nhận có người trực, kiểm tra hằng ngày;
- Sổ theo dõi ghi ngày nhận, ngày phản hồi, ngày hoàn thành cho từng yêu cầu;
- Bước xác minh danh tính người gửi trước khi cung cấp dữ liệu;
- Danh sách bên xử lý và bên thứ ba cần chuyển yêu cầu tới, để kịp mốc 20 ngày.
Riêng sổ theo dõi nên coi là bắt buộc: khi có tranh chấp, đây là thứ duy nhất chứng minh được doanh nghiệp đã đáp ứng đúng thời hạn.
Đọc thêm cùng chủ đề
- Chủ thể dữ liệu cá nhân có những quyền gì?
- Khách yêu cầu cung cấp dữ liệu thì làm thế nào?
- Khách hàng được yêu cầu xóa dữ liệu khi nào?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 5
- Luật 91/2025/QH15 Điều 4
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.