Ngày 31/12/2025, Chính phủ ban hành Nghị định 356/2025/NĐ-CP quy định chi tiết và hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15). Nghị định có hiệu lực từ 1/1/2026 và thay thế Nghị định 13/2023/NĐ-CP — văn bản mà nhiều doanh nghiệp đã quen thuộc trong vài năm qua. Bài viết này tóm tắt những điểm doanh nghiệp cần cập nhật ngay.
Điểm đáng chú ý nhất: thời hạn thông báo sự cố 72 giờ
Khi phát hiện hành vi vi phạm quy định bảo vệ dữ liệu cá nhân (ví dụ rò rỉ, mất dữ liệu), bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu phải:
- Thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm, theo mẫu quy định (Mẫu số 08 ban hành kèm Nghị định).
- Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong vòng 72 giờ kể từ thời điểm phát hiện vi phạm, hoặc thông báo công khai trong một số trường hợp.
- Lập và lưu giữ hồ sơ vi phạm tối thiểu 5 năm kể từ ngày sự cố được khắc phục xong, phục vụ thanh tra, kiểm tra.
Khung thời gian 72 giờ vốn đã xuất hiện trong Nghị định 13/2023, nhưng Nghị định 356/2025 quy định rõ và chi tiết hơn về quy trình, biểu mẫu và nội dung bắt buộc trong thông báo.
Mốc thời gian phản hồi yêu cầu của chủ thể dữ liệu
Khác với Nghị định 13/2023 chỉ quy định chung chung, Điều 5 của Nghị định 356/2025 ấn định thời hạn cụ thể cho từng loại yêu cầu — ví dụ bên kiểm soát dữ liệu phải phản hồi trong vòng 2 ngày làm việc đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối việc xử lý dữ liệu của chủ thể dữ liệu.
Quy định riêng theo từng lĩnh vực
Nghị định bổ sung các yêu cầu chuyên biệt mà Nghị định 13/2023 chưa có:
- Tài chính — ngân hàng (Điều 8): khi phát hiện lộ hoặc mất dữ liệu nhạy cảm, tổ chức tín dụng phải thông báo cho cơ quan chuyên trách và chủ thể dữ liệu trong không quá 72 giờ; khi xin sự đồng ý phải nêu rõ mục đích (bao gồm chấm điểm, xếp hạng tín dụng), thời gian lưu trữ và nguồn thu thập dữ liệu.
- Xử lý dữ liệu lớn (Điều 9): bắt buộc xác thực đa yếu tố (mật khẩu kết hợp OTP, chữ ký số hoặc sinh trắc học) và phân quyền truy cập chặt chẽ.
- Hệ thống AI, vũ trụ ảo (Điều 10): chủ thể dữ liệu có quyền yêu cầu chỉnh sửa dữ liệu cá nhân được các hệ thống này xử lý.
- Chia sẻ, giao dịch dữ liệu: chuyển từ tư duy "ngăn cấm" sang quản lý có điều kiện — cho phép chuyển giao dữ liệu có thu phí nhưng đòi hỏi hệ thống kỹ thuật đảm bảo sự đồng ý rõ ràng cho từng lần chuyển giao, và dữ liệu phải được khử nhận dạng trước khi giao dịch trên sàn dữ liệu.
Nhân sự bảo vệ dữ liệu cá nhân
Nghị định quy định rõ điều kiện năng lực với nhân sự được tổ chức chỉ định phụ trách bảo vệ dữ liệu cá nhân: tối thiểu 2 năm kinh nghiệm trong các lĩnh vực liên quan (pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ...) và đã qua đào tạo kiến thức pháp luật, kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Doanh nghiệp cần làm gì trước 1/1/2026 (hoặc ngay bây giờ, khi chưa kịp chuẩn bị)?
- Rà soát lại hồ sơ, chính sách đã xây dựng theo Nghị định 13/2023 cũ, đối chiếu với các điểm mới ở trên.
- Xây dựng hoặc cập nhật quy trình phản ứng sự cố (Incident Response Plan) — 72 giờ là khoảng thời gian ngắn, cần được chuẩn bị trước chứ không thể xử lý kịp khi chờ đến lúc sự cố xảy ra.
- Với doanh nghiệp hoạt động trong lĩnh vực tài chính — ngân hàng hoặc xử lý dữ liệu lớn, rà soát riêng các yêu cầu bổ sung ở Điều 8 và Điều 9.
Đây cũng là những nội dung nằm trong bài đánh giá tuân thủ miễn phí của AISA, giúp doanh nghiệp tự rà soát nhanh trước khi đi sâu vào tư vấn pháp lý chi tiết.
Công nghệ hỗ trợ phần nào?
Yêu cầu thông báo sự cố trong 72 giờ chỉ khả thi khi doanh nghiệp biết chính xác tài liệu/dữ liệu nào bị ảnh hưởng, ai đã truy cập, vào lúc nào. Đây chính là dữ liệu mà nền tảng bảo mật lấy tài liệu làm trung tâm như Sản phẩm ghi nhận sẵn qua nhật ký truy cập — giúp rút ngắn đáng kể thời gian xác minh phạm vi sự cố so với việc tra cứu thủ công.
