Nghị định 356/2025/NĐ-CP: những điểm doanh nghiệp cần biết

Trả lời nhanh: Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ 1/1/2026 và thay Nghị định 13/2023/NĐ-CP. Với doanh nghiệp, năm điều đáng nhớ nhất là: đồng ý phải lưu được bằng chứng, cấm mặc định là đồng ý, dữ liệu theo dõi hành vi trên mạng là dữ liệu nhạy cảm, thời hạn xử lý yêu cầu của khách được ghi rõ, và hồ sơ đánh giá tác động có mẫu, cách nộp riêng.

Nghị định này là gì

Luật 91/2025/QH15 chỉ nêu nguyên tắc. Nghị định 356/2025/NĐ-CP cho biết làm cụ thể ra sao: đồng ý thế nào mới hợp lệ, trả lời khách trong bao lâu, hồ sơ dùng mẫu nào. Nghị định này thay Nghị định 13/2023/NĐ-CP, vốn có hiệu lực từ 1/7/2023 và hết hiệu lực khi Nghị định 356 có hiệu lực. Hồ sơ đánh giá tác động đã nộp trước 1/1/2026 tiếp tục được sử dụng, nên bạn không phải nộp lại chỉ vì đổi văn bản.

Các điểm dưới đây theo bản tin EY tháng 3/2026, báo chí và luatvietnam.vn. Bạn nên đối chiếu toàn văn khi cần dùng trong hồ sơ chính thức.

Năm điểm doanh nghiệp cần biết

1. Đồng ý phải lưu được và kiểm chứng được

Đồng ý phải rõ ràng. Bạn phải lưu được thời điểm và nội dung của lần đồng ý, để khi có tranh chấp hay bị kiểm tra, bạn chứng minh được khách đã đồng ý với điều gì, lúc nào. Nói cách khác, một cái banner hiện lên mà không ghi lại gì thì chưa đủ. Cần có nhật ký đồng ý. Xin đồng ý bằng giấy hoặc tệp thì xem mẫu văn bản đồng ý xử lý dữ liệu cá nhân.

Ví dụ: shop gốm Hà Linh (tưởng tượng) bật banner hỏi khách có cho dùng cookie quảng cáo không. Khi khách bấm Đồng ý, hệ thống ghi lại mã lần đồng ý, lựa chọn từng loại, trang, phiên bản banner. Hai tháng sau khách khiếu nại, shop có bản ghi để trả lời.

2. Cấm mặc định là đồng ý

Cấm tích sẵn ô đồng ý, cấm coi im lặng là đồng ý. Cũng cấm chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý, như nút Từ chối nhỏ xíu, chữ mờ, hay câu hỏi viết vòng vo. Theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 43, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không ghi nhận và lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1). Ngoài tiền phạt, doanh nghiệp có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ, mặc định đồng ý hoặc coi im lặng là đồng ý (khoản 4 điểm a). Các mức nặng hơn nằm ở hai nhóm khác. Mua bán trái phép dữ liệu cá nhân bị phạt từ 02 đến 10 lần khoản thu, hoặc từ 70 triệu đến 3 tỷ đồng nếu không có khoản thu (Điều 53). Chuyển dữ liệu ra nước ngoài có thể bị phạt 1–5% doanh thu năm trước tại Việt Nam, nhưng chỉ khi không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc (mức 3–5%) khi tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia (Điều 56 khoản 3). Bảng các mức phạt chính: mức phạt vi phạm dữ liệu cá nhân.

Xem thêm: “Tiếp tục sử dụng là đồng ý” có hợp lệ không?

3. Theo dõi hành vi trên mạng là dữ liệu nhạy cảm

Nghị định xếp dữ liệu theo dõi hành vi trên không gian mạng vào nhóm dữ liệu nhạy cảm. Pixel quảng cáo và cookie theo dõi nằm ở đây. Xem Theo dõi hành vi trên mạng là dữ liệu nhạy cảm và các mục khác của danh mục nhạy cảm.

Nghị định cũng đặt ngưỡng "số lượng lớn" là từ 100.000 chủ thể dữ liệu trở lên (theo bản tin EY). Ngưỡng này quan trọng vì Điều 38 Luật 91/2025/QH15 không miễn cho doanh nghiệp xử lý dữ liệu số lượng lớn. Xem Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không?

4. Thời hạn trả lời yêu cầu của khách

Cần cách đếm ngày và ví dụ? Xem Khách đòi xoá dữ liệu: doanh nghiệp có bao nhiêu ngày để làm?

5. Mẫu hồ sơ và cách nộp

Phụ lục Nghị định có mẫu riêng (theo luatvietnam.vn):

• Hồ sơ đánh giá tác động: Mẫu 01a (tổ chức), Mẫu 01b (cá nhân).
• Thông báo gửi hồ sơ: Mẫu 02a, Mẫu 02b.
• Cập nhật hồ sơ: Mẫu 03a, Mẫu 03b.

Hồ sơ nộp về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc qua bưu chính. Cập nhật định kỳ 6 tháng kể từ lần nộp đầu khi có thay đổi, như mục đích mới, đổi bên kiểm soát, bên xử lý hay bên thứ ba. Một số thay đổi phải cập nhật trong 10 ngày. Hồ sơ thiếu thì hoàn thiện trong 30 ngày. Cơ quan xử lý trả kết quả trong 15 ngày. Từ 29/4/2026 đến hết 1/3/2027, theo Nghị quyết 22/2026/NQ-CP, thủ tục được rút gọn và công an tỉnh xử lý theo địa bàn.

Chi tiết: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Điều chưa rõ

Một số nội dung nghị định có thể còn hướng dẫn thêm, hoặc chúng tôi chưa đối chiếu hết. Ví dụ: cách cơ quan có thẩm quyền áp dụng các mức phạt của Nghị định 330/2026/NĐ-CP vào từng trường hợp cụ thể. Nếu bạn cần chắc chắn cho trường hợp của mình, hãy hỏi luật sư.

Bạn cần làm gì

• Kiểm tra banner và form của bạn có lưu được thời điểm và nội dung đồng ý chưa.
• Bỏ mọi ô tích sẵn và mọi cách coi im lặng là đồng ý.
• Rà website xem có Pixel, cookie theo dõi nào đang chạy trước khi khách đồng ý không.
• Đặt người và quy trình nhận yêu cầu của khách, kèm lịch đếm ngày theo bảng trên.
• Nếu từng nộp hồ sơ theo Nghị định 13/2023, giữ lại và kiểm tra xem có thay đổi cần cập nhật không.

Muốn biết website mình đang gửi dữ liệu cho ai, nhập địa chỉ vào máy quét miễn phí ở trang chủ. Muốn biết doanh nghiệp mình phải làm những việc nào, dùng kiểm tra nghĩa vụ. Tổng quan xem bài tóm tắt luật.

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP quy định chi tiết Luật 91/2025/QH15 (theo bản tin EY tháng 3/2026 và luatvietnam.vn).
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 38.
• Nghị định 13/2023/NĐ-CP (hết hiệu lực khi Nghị định 356/2025/NĐ-CP có hiệu lực).
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 43, 53, 56: toàn văn trên Công báo.
• Nghị quyết 22/2026/NQ-CP (29/4/2026 đến hết 1/3/2027).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.