Những quy định bắt buộc của Nghị định 356 doanh nghiệp phải thực hiện ngay năm 2026

Nghị định 356/2025/NĐ-CP đã chính thức có hiệu lực từ ngày 01/01/2026, trở thành khung pháp lý trọng tâm trong việc triển khai Luật Bảo vệ dữ liệu cá nhân tại Việt Nam. Thay vì dừng ở các định hướng chung như trước đây, nghị định này đặt ra những yêu cầu mang tính bắt buộc với quy định rõ ràng về quy trình xử lý dữ liệu, tiêu chuẩn bảo mật và thời hạn tuân thủ. Trong bối cảnh đó, doanh nghiệp không còn ở giai đoạn chuẩn bị mà đã bước sang giai đoạn phải tuân thủ thực tế. Việc nắm rõ và áp dụng đúng các quy định của Nghị định 356 không chỉ giúp giảm thiểu rủi ro pháp lý mà còn là nền tảng để xây dựng hệ thống quản trị dữ liệu an toàn, phù hợp với yêu cầu của nền kinh tế số.

1. Nghị định 356/2025/NĐ-CP là gì?

Nghị định 356/2025/NĐ-CP là văn bản pháp lý quy định chi tiết về bảo vệ dữ liệu cá nhân tại Việt Nam, Nghị định 356 là văn bản pháp lý quan trọng quy định chi tiết về bảo vệ dữ liệu cá nhân tại Việt Nam, đồng thời cụ thể hóa cách thức triển khai Luật Bảo vệ dữ liệu cá nhân trong thực tế.

Khác với các quy định mang tính định hướng trước đây, nghị định 356 đi sâu vào từng yêu cầu cụ thể mà doanh nghiệp phải tuân thủ, bao gồm quy trình xử lý dữ liệu, trách nhiệm pháp lý của tổ chức, các biện pháp bảo mật cần áp dụng và thời hạn thực hiện rõ ràng. Qua đó, nghị định này đánh dấu sự chuyển dịch rõ rệt từ khung pháp lý mang tính nguyên tắc sang giai đoạn thực thi bắt buộc, buộc doanh nghiệp phải nghiêm túc xây dựng và vận hành hệ thống quản trị dữ liệu một cách bài bản.

2. Nghị định 356/2025/NĐ-CP áp dụng cho những ai?

Phạm vi điều chỉnh của nghị định 356 trên thực tế rộng hơn đáng kể so với nhận định của nhiều doanh nghiệp. Quy định này không chỉ áp dụng cho các tổ chức trong nước mà còn mở rộng tới cả doanh nghiệp nước ngoài có hoạt động liên quan đến dữ liệu cá nhân tại Việt Nam. Theo Điều 2, ba nhóm đối tượng bị điều chỉnh gồm:

• Cơ quan, tổ chức, cá nhân Việt Nam trong mọi lĩnh vực có xử lý dữ liệu cá nhân.
• Cơ quan, tổ chức, cá nhân nước ngoài đang hoạt động trên lãnh thổ Việt Nam.
• Tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu của công dân Việt Nam và người gốc Việt chưa xác định quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước (Điều 2, khoản 3).

Điểm đáng chú ý: Nền tảng SaaS, ứng dụng di động hoặc website nước ngoài có người dùng tại Việt Nam đều thuộc diện bắt buộc tuân thủ Nghị định này, ngay cả khi toàn bộ hạ tầng đặt ở nước ngoài. Chính sự mở rộng phạm vi mang tính toàn cầu này đòi hỏi các doanh nghiệp xuyên quốc gia phải lập tức đánh giá lại toàn bộ quy trình thu thập thông tin khách hàng.

Trường hợp được miễn giảm: hộ kinh doanh và doanh nghiệp siêu nhỏ không kinh doanh dịch vụ xử lý dữ liệu, không xử lý dữ liệu nhạy cảm và quy mô xử lý dưới 100.000 chủ thể dữ liệu được miễn một số nghĩa vụ theo Điều 41, khoản 2.

3. Phân loại dữ liệu và thắt chặt quản lý theo Nghị định 356

Việc phân loại dữ liệu là nền tảng để xác định mức độ tuân thủ. Để áp dụng các biện pháp bảo vệ tương xứng, nghị định yêu cầu tổ chức phải tiến hành phân loại rạch ròi giữa dữ liệu cá nhân cơ bản và dữ liệu nhạy cảm.

3.1 Dữ liệu cá nhân cơ bản

Bao gồm các thông tin nhận diện thông thường như:

• Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có).
• Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích.
• Giới tính.
• Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ.
• Quốc tịch.
• Hình ảnh của cá nhân.
• Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe.
• Tình trạng hôn nhân.
• Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng).
• Thông tin về tài khoản số của cá nhân.
• Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc danh mục dữ liệu nhạy cảm (Điều 3, khoản 11).

3.2 Dữ liệu cá nhân nhạy cảm

Theo Điều 4, khoản 1, dữ liệu nhạy cảm gồm 13 nhóm, đòi hỏi mức bảo vệ cao hơn: dữ liệu tiết lộ nguồn gốc chủng tộc, dân tộc; quan điểm chính trị, tôn giáo; thông tin đời sống riêng tư, bí mật cá nhân, bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học và đặc điểm di truyền; dữ liệu về đời sống tình dục và xu hướng tình dục; dữ liệu về tội phạm và vi phạm pháp luật; vị trí định vị; thông tin đăng nhập và mật khẩu tài khoản định danh điện tử, hình ảnh CCCD, thẻ căn cước; thông tin tài khoản ngân hàng, lịch sử giao dịch tài chính, tín dụng, chứng khoán, bảo hiểm; dữ liệu hành vi sử dụng dịch vụ viễn thông và mạng xã hội. 

Cơ quan, tổ chức xử lý dữ liệu nhạy cảm phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật riêng (Điều 4, khoản 2).

Lưu ý: Dữ liệu hành vi người dùng trên mạng xã hội, dữ liệu vị trí GPS và thông tin tài khoản ngân hàng đều là dữ liệu nhạy cảm. Nhiều doanh nghiệp thương mại điện tử và fintech đang xử lý dữ liệu nhạy cảm nhưng chưa có cơ chế bảo vệ phù hợp.

4. Các nghĩa vụ bắt buộc doanh nghiệp phải thực hiện theo Nghị định 356

4.1 Xây dựng cơ chế đồng ý hợp lệ

Cơ chế đồng ý là nền tảng của toàn bộ hoạt động xử lý dữ liệu. Các phương thức xin sự đồng ý phải bảo đảm khả năng kiểm chứng về việc chủ thể dữ liệu đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý; cụ thể gồm 5 hình thức hợp lệ (Điều 6, khoản 1):

• Bằng văn bản.
• Bằng cuộc gọi ghi âm.
• Cú pháp đồng ý qua tin nhắn điện thoại.
• Qua thư điện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý.
• Bằng các phương thức khác phù hợp, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được (Điều 6, khoản 1, điểm đ).

Hai điểm doanh nghiệp cần lưu ý:

• Cấm “mặc định đồng ý”: Không được thiết lập sẵn trạng thái đồng ý hoặc sử dụng thiết kế gây nhầm lẫn giữa đồng ý và không đồng ý (Điều 6, khoản 3)
• Trách nhiệm chứng minh: Khi có tranh chấp, bên kiểm soát dữ liệu phải chứng minh được chủ thể đã đồng ý – bao gồm thời điểm và nội dung đồng ý (Điều 6, khoản 2)

4.2 Lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu (DPIA)

Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý, bên xử lý dữ liệu cá nhân lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân (Điều 19, khoản 1). Hồ sơ phải được nộp 01 bản chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, A05) trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân (Điều 19, khoản 4), sử dụng Mẫu số 02a (tổ chức) hoặc 02b (cá nhân) kèm theo Nghị định.

Nội dung hồ sơ DPIA theo Điều 19, khoản 3 bao gồm:

• Thông tin và chi tiết liên lạc của các bên tham gia xử lý dữ liệu.
• Mô tả và luận giải mục đích xử lý, loại dữ liệu, sơ đồ luồng dữ liệu.
• Cơ chế xin sự đồng ý và chính sách lưu trữ, xóa, hủy dữ liệu.
• Phương án bảo đảm an toàn dữ liệu, biện pháp bảo vệ, tiêu chuẩn áp dụng, sơ đồ thiết kế hệ thống.
• Kết quả đánh giá tuân thủ quy định bảo vệ dữ liệu cá nhân.
• Đánh giá mức độ ảnh hưởng, rủi ro và biện pháp giảm thiểu nguy cơ.

Hồ sơ phải cập nhật định kỳ 06 tháng kể từ lần đầu nộp hoặc ngay trong vòng 10 ngày khi phát sinh mục đích xử lý mới, thay đổi bên kiểm soát/xử lý, hoặc khi tổ chức bị tổ chức lại, chấm dấm hoạt động (Điều 20).

4.3 Bổ nhiệm nhân sự bảo vệ dữ liệu cá nhân (DPO)

Việc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó, thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác (Điều 13, khoản 1). Nhân sự DPO nội bộ phải đáp ứng đủ ba điều kiện theo Điều 13, khoản 2:

• Có trình độ cao đẳng trở lên.
• Có ít nhất 02 năm kinh nghiệm công tác liên quan đến pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự.
• Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

Trường hợp thuê cá nhân cung cấp dịch vụ DPO bên ngoài, yêu cầu kinh nghiệm tăng lên tối thiểu 03 năm và phải có chuyên môn sâu về pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ (Điều 15, khoản 2). Tổ chức cung cấp dịch vụ bảo vệ dữ liệu phải có tối thiểu 03 nhân sự đủ điều kiện nêu trên và có kinh nghiệm cung cấp sản phẩm, dịch vụ bảo mật, an ninh mạng hoặc tư vấn bảo vệ dữ liệu cá nhân (Điều 16, khoản 1, điểm b và c).

4.4 Xử lý yêu cầu từ chủ thể dữ liệu đúng hạn

Khi nhận yêu cầu từ chủ thể dữ liệu, bên kiểm soát phải phản hồi trong 02 ngày làm việc và thực hiện hoàn tất trong các thời hạn cụ thể theo Điều 5. Bảng dưới đây tóm tắt các mốc thời gian bắt buộc:

Loại yêu cầu	Phản hồi ban đầu	Thực hiện xong	Gia hạn tối đa
Rút lại sự đồng ý / hạn chế xử lý	02 ngày làm việc	15 ngày	Thêm 15 ngày (Điều 5, khoản 2)
Xem, chỉnh sửa dữ liệu	02 ngày làm việc	10 ngày	Thêm 10 ngày (Điều 5, khoản 3)
Xóa dữ liệu cá nhân	02 ngày làm việc	20 ngày	Thêm 20 ngày (Điều 5, khoản 4)
Yêu cầu bên thứ ba ngừng xử lý	02 ngày làm việc	20 ngày	Thêm 20 ngày (Điều 5, khoản 2)
Yêu cầu bên thứ ba chỉnh sửa	02 ngày làm việc	15 ngày	Thêm 10 ngày (Điều 5, khoản 3)
Yêu cầu bên thứ ba xóa	02 ngày làm việc	30 ngày	Thêm 20 ngày (Điều 5, khoản 4)

5. Doanh nghiệp nhỏ và startup được ưu đãi gì?

Điều 41 của Nghị định dành riêng cho doanh nghiệp nhỏ và startup một cơ chế chuyển tiếp linh hoạt. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21 (dịch vụ xử lý dữ liệu cá nhân), Điều 22 (điều kiện kinh doanh) và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân trong thời gian 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực thi hành (Điều 41, khoản 1).

Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân (Điều 41, khoản 2).

Lưu ý: Cả doanh nghiệp nhỏ/startup lẫn hộ kinh doanh/siêu nhỏ đều KHÔNG được hưởng ưu đãi này nếu: kinh doanh dịch vụ xử lý dữ liệu cá nhân có điều kiện, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100.000 chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý (Điều 41, khoản 1 và 2).

6. Thông báo vi phạm dữ liệu cá nhân: Quy trình 72 giờ

Khi xảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát dữ liệu cá nhân có trách nhiệm thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm; báo cáo cho cơ quan nhà nước có thẩm quyền theo quy định tại Điều 28 Nghị định này; ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý. Tổ chức phải lưu hồ sơ vi phạm trong thời gian tối thiểu 5 năm kể từ ngày khắc phục xong sự cố (Điều 29, khoản 1).

Nội dung thông báo vi phạm gửi cho chủ thể dữ liệu phải bao gồm (Điều 29, khoản 2):

• Thời điểm và hình thức phát hiện vi phạm.
• Loại dữ liệu bị ảnh hưởng (vị trí, sinh trắc học hoặc cả hai).
• Mức độ nghiêm trọng và các rủi ro có thể xảy ra đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu.
• Biện pháp đã, đang và sẽ được thực hiện để khắc phục sự cố và giảm thiểu thiệt hại.
• Hướng dẫn chủ thể dữ liệu thực hiện các biện pháp phòng ngừa, ngăn chặn tiếp theo.
• Thông tin liên hệ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận tiếp nhận, xử lý sự cố dữ liệu cá nhân tại tổ chức.

Giải pháp Masterkit Tuân thủ Pháp lý Dữ liệu Việt Nam

Việc thích ứng với hệ thống pháp lý mới chắc chắn sẽ khiến doanh nghiệp tiêu tốn đáng kể nguồn lực, từ thời gian đến chi phí cho đội ngũ pháp chế và vận hành. Thay vì tự xây dựng từ đầu, nhiều tổ chức đang lựa chọn các bộ giải pháp chuyên biệt để giảm tải áp lực triển khai. Bộ giải pháp Masterkit Tuân thủ Pháp lý Dữ liệu Việt Nam được cung cấp bởi 405CYSE bao gồm: hệ thống biểu mẫu đánh giá tác động và quy trình xử lý sự cố đã được các chuyên gia chuẩn hóa sẽ giúp tổ chức đáp ứng lập tức mọi yêu cầu khắt khe của Nghị định 356. Sự chuẩn bị kỹ lưỡng từ bộ công cụ chuyên nghiệp này chính là bảo chứng an toàn nhất để doanh nghiệp tự tin vượt qua mọi đợt thanh tra của cơ quan nhà nước.

Việc chuẩn bị bài bản với các công cụ phù hợp không chỉ giúp doanh nghiệp đáp ứng yêu cầu pháp luật mà còn tạo sự chủ động khi đối mặt với các hoạt động thanh tra, kiểm tra từ cơ quan quản lý. Đây cũng là cách để giảm thiểu rủi ro và tránh những sai sót phổ biến trong quá trình triển khai tuân thủ.

Nghị định 356/2025/NĐ-CP không đơn thuần là một văn bản hướng dẫn mà là dấu mốc quan trọng cho thấy Việt Nam đã bước sang giai đoạn thực thi cụ thể trong bảo vệ dữ liệu cá nhân. Với hệ thống biểu mẫu chuẩn hóa, quy định rõ ràng về thời hạn và cơ chế quản lý chặt chẽ đối với hoạt động xử lý dữ liệu, doanh nghiệp không còn nhiều thời gian để trì hoãn. Chủ động triển khai tuân thủ ngay từ bây giờ chính là cách nhanh nhất để vừa đảm bảo yêu cầu pháp lý, vừa xây dựng niềm tin với khách hàng trong bối cảnh dữ liệu ngày càng trở thành tài sản cốt lõi của doanh nghiệp.