Luật Bảo vệ dữ liệu cá nhân đã thay Nghị định 13 — doanh nghiệp cần làm gì trước hạn nào?

Đúng — nhưng đây không đơn thuần là một nghị định thay một nghị định khác. Từ 01/01/2026, khung pháp lý về bảo vệ dữ liệu cá nhân đã được nâng lên thành LUẬT, không còn dừng ở cấp nghị định như trước. Văn bản gốc hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026. Đi kèm là Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực cùng ngày 01/01/2026) — quy định chi tiết một số điều và biện pháp thi hành Luật này. Khoản 2 Điều 42 Nghị định 356 nêu rõ: "Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Nói cách khác: Nghị định 13/2023 đã hết hiệu lực từ đúng ngày 01/01/2026 — nếu doanh nghiệp vẫn đang tra cứu và áp dụng theo Nghị định 13, cần cập nhật ngay sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Một số thay đổi đáng chú ý so với khung Nghị định 13 cũ mà doanh nghiệp cần nắm: 1) Đánh giá tác động xử lý dữ liệu cá nhân (ĐTA — tương đương DPIA): Điều 21 khoản 1 Luật 91/2025/QH15 yêu cầu bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động và nộp bản gốc cho cơ quan chuyên trách trong thời hạn 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Đây là nghĩa vụ một lần cho suốt vòng đời hoạt động, cập nhật khi có thay đổi đáng kể (Điều 22). 2) Chuyển dữ liệu ra nước ngoài: khoản 2 Điều 20 áp dụng cùng thời hạn 60 ngày kể từ lần chuyển dữ liệu xuyên biên giới đầu tiên để nộp hồ sơ đánh giá tác động chuyển dữ liệu — có một số trường hợp được miễn tại khoản 6 (cơ quan nhà nước, chủ dữ liệu tự chuyển, người sử dụng lao động lưu trữ dữ liệu nhân viên trên nền tảng đám mây của chính họ...). 3) Nhân sự/bộ phận bảo vệ dữ liệu (tương đương DPO): Điều 33 khoản 1-2 yêu cầu chỉ định một bộ phận/nhân sự nội bộ hoặc thuê đơn vị có chức năng bảo vệ dữ liệu cá nhân. Nghị định 356 Điều 13 đặt tiêu chuẩn cụ thể: trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, công nghệ thông tin, an ninh mạng, an toàn dữ liệu, quản trị rủi ro, nhân sự), được đào tạo về pháp luật/kỹ năng bảo vệ dữ liệu cá nhân. 4) Thông báo vi phạm dữ liệu: Điều 23 khoản 1 quy định thời hạn thông báo cho cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện hành vi vi phạm có khả năng gây ảnh hưởng đến quốc phòng, an ninh, trật tự hoặc đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu. VỀ ƯU ĐÃI CHO DOANH NGHIỆP NHỎ VÀ STARTUP: Điều 38 khoản 2-3 Luật, được Nghị định 356 Điều 41 cụ thể hóa, cho phép doanh nghiệp nhỏ/khởi nghiệp được TẠM HOÃN thực hiện các nghĩa vụ tại Điều 21 (đánh giá tác động), Điều 22 (cập nhật), và khoản 2 Điều 33 (chỉ định bộ phận bảo vệ dữ liệu) trong 5 NĂM kể từ ngày Luật có hiệu lực (tức đến khoảng 01/01/2031); hộ kinh doanh/doanh nghiệp siêu nhỏ được miễn hoàn toàn các nghĩa vụ này. Tuy nhiên, ưu đãi này KHÔNG áp dụng nếu: hoạt động cốt lõi là cung cấp dịch vụ xử lý dữ liệu, doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, hoặc số lượng chủ thể dữ liệu đã xử lý lũy kế đạt từ 100.000 người trở lên (ngưỡng này chỉ nêu tại Nghị định, không có trong Luật). VỀ GIAI ĐOẠN CHUYỂN TIẾP: khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu đang thực hiện mà đã được sự đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 (cũ) trước ngày Luật có hiệu lực thì được tiếp tục thực hiện, KHÔNG phải xin lại đồng ý hay thỏa thuận lại. Khoản 2 cũng cho biết hồ sơ đánh giá tác động/chuyển dữ liệu đã nộp và được cơ quan tiếp nhận theo Nghị định 13 cũ vẫn có giá trị, không phải nộp lại — chỉ khi có cập nhật sau ngày Luật có hiệu lực mới áp dụng quy định mới. Doanh nghiệp nên làm ngay: (1) xác định mình có thuộc diện được tạm hoãn 5 năm hay không (dựa vào quy mô, có xử lý dữ liệu nhạy cảm hay không, số chủ thể dữ liệu đã xử lý); (2) nếu KHÔNG thuộc diện tạm hoãn và đã bắt đầu xử lý dữ liệu, tính ngược thời hạn 60 ngày để nộp hồ sơ đánh giá tác động nếu chưa nộp; (3) chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu đúng tiêu chuẩn tại Điều 13 Nghị định 356 nếu thuộc diện bắt buộc; (4) xây dựng quy trình nội bộ để đáp ứng thời hạn 72 giờ thông báo vi phạm nếu có sự cố xảy ra.Nguồn: Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 41, Điều 42 Nghị định 356/2025/NĐ-CP