Văn bản lịch sử — đã hết hiệu lực từ ngày 1 tháng 1 năm 2026. Nghị định đầu tiên của Việt Nam chuyên về bảo vệ dữ liệu cá nhân.
Giữ hồ sơ giai đoạn Nghị định 13 sẵn sàng cho kiểm tra, xác định thời hạn lưu phù hợp và nhận diện điểm khác với nghĩa vụ hiện hành. Không coi việc đã thực hiện Nghị định 13 là đã đáp ứng Luật Bảo vệ dữ liệu cá nhân (PDPL).
Phạm vi và trạng thái Nghị định 13
Liên kết đến phần này ↗Văn bản và thời kỳ áp dụng. Chính phủ ban hành Nghị định 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023; văn bản có hiệu lực ngày 1 tháng 7 năm 2023 theo khoản 1 Điều 43. Bộ Công an quản lý thực hiện. Nghĩa vụ dành bên kiểm soát, bên xử lý và bên thứ ba tại Việt Nam gồm hồ sơ đánh giá tác động xử lý tại Điều 24, sự đồng ý, đánh giá tác động chuyển dữ liệu ra nước ngoài và thông báo tại Điều 25, báo cáo vi phạm tại Điều 23.
Đây là nghị định của Chính phủ, không phải nghị định hướng dẫn một luật bảo vệ dữ liệu thời đó, vì Việt Nam chưa có luật này. Nghị định yêu cầu:
- Giữ hồ sơ đánh giá tác động xử lý từ khi bắt đầu và gửi Bộ Công an trong 60 ngày theo khoản 1, 4 Điều 24.
- Giữ hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, gửi trong 60 ngày từ khi bắt đầu xử lý và thông báo bằng văn bản sau khi chuyển theo khoản 3–4 Điều 25.
- Thông báo Bộ Công an chậm nhất 72 giờ sau khi xảy ra vi phạm theo khoản 1 Điều 23.
- Chỉ định bộ phận và nhân sự bảo vệ dữ liệu khi xử lý dữ liệu cá nhân nhạy cảm theo khoản 2 Điều 28.
Bộ Công an có thẩm quyền kiểm tra việc thực hiện trong phạm vi pháp luật quy định.
Hết hiệu lực. Khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP quy định Nghị định 13 hết hiệu lực từ ngày Nghị định 356 có hiệu lực; khoản 1 ấn định ngày 1 tháng 1 năm 2026. Luật 91/2025/QH15 cũng có hiệu lực ngày đó. Nghĩa vụ hiện nay theo luật và Nghị định 356; Điều 39 của luật quy định phần tiếp tục được sử dụng. Trang không suy diễn một chuỗi văn bản thay thế riêng cho Nghị định 13.
Khác biệt cần rà soát. Luật và Nghị định 356 tổ chức lại nghĩa vụ, đưa mẫu chính thức mới, đồng hồ báo vi phạm từ lúc phát hiện trong trường hợp luật nêu, chức năng bảo vệ dữ liệu cho phần lớn tổ chức và thủ tục chi tiết. Cần phân tích khoảng cách, không tự chuyển nhãn hồ sơ cũ thành phù hợp mới.
Quan hệ với luật hiện hành
Liên kết đến phần này ↗Luật Bảo vệ dữ liệu cá nhân và Nghị định 356 là nơi đọc nghĩa vụ hiện hành. Hồ sơ giai đoạn từ ngày 1 tháng 7 năm 2023 đến trước ngày 1 tháng 1 năm 2026 cần giữ căn cứ lúc tạo: đánh giá tác động xử lý, chuyển dữ liệu, thông báo chuyển, sự đồng ý, thông báo vi phạm. Việc đánh giá hồ sơ cho một cuộc kiểm tra thời kỳ đó cần xác định đúng luật áp dụng và thẩm quyền, thời hiệu liên quan.
Khoản 1 Điều 39 cho phép hoạt động xử lý đang diễn ra trước ngày 1 tháng 1 năm 2026, có sự đồng ý hoặc thỏa thuận theo Nghị định 13, tiếp tục mà không phải xin lại/thỏa thuận lại. Khoản 2 giữ sử dụng hồ sơ đánh giá tác động và hồ sơ chuyển đã được cơ quan tiếp nhận trước ngày đó; cập nhật sau đó theo luật mới. Bắt đầu phân tích từ yêu cầu cũ để xác định bổ sung, cập nhật hoặc lưu như bằng chứng lịch sử.
Nghĩa vụ lịch sử và thay đổi
Liên kết đến phần này ↗| Nội dung | Theo Nghị định 13 | Theo luật và Nghị định 356 |
|---|---|---|
| Đánh giá tác động xử lý | Giữ từ đầu xử lý, gửi Bộ Công an theo Mẫu số 04 trong 60 ngày, khoản 1/4 Điều 24 | Điều 21 luật; thông báo hồ sơ Mẫu số 02a/02b. Hồ sơ cơ quan tiếp nhận trước 1 tháng 1 năm 2026 tiếp tục dùng theo khoản 2 Điều 39 |
| Thông tin về sự đồng ý | Lấy sự đồng ý với thông tin được quy định cho chủ thể | Tiếp tục dưới luật; hoạt động đang diễn ra đủ điều kiện khoản 1 Điều 39 không phải xin lại |
| Chuyển dữ liệu ra nước ngoài | Giữ hồ sơ, gửi Mẫu số 06 trong 60 ngày từ đầu xử lý; thông báo văn bản sau chuyển, khoản 3–4 Điều 25 | Điều 20 luật và Nghị định 356: hồ sơ Mẫu số 01a/01b cùng Mẫu số 09 |
| Thông báo vi phạm | Mẫu số 03, chậm nhất 72 giờ từ lúc xảy ra, nêu lý do nếu muộn, khoản 1 Điều 23 | Khoản 1 Điều 23 luật: chậm nhất 72 giờ từ phát hiện vi phạm có thể gây tác hại điều này liệt kê; Điều 28 Nghị định 356 đặt nội dung Mẫu số 08 |
| Thỏa thuận xử lý dữ liệu | Thỏa thuận bên kiểm soát/bên xử lý | Rà soát theo luật; nền tảng có mẫu thỏa thuận bên kiểm soát–bên xử lý |
| Nhà cung cấp dịch vụ xử lý | Không có thủ tục đăng ký/giấy chứng nhận trong Nghị định 13 | Thủ tục giấy chứng nhận dịch vụ xử lý, Mẫu số 04–07 theo Nghị định 356 khi thuộc phạm vi |
| Rà soát định kỳ/hằng năm | Rà soát hoạt động xử lý theo chương trình tổ chức | Có thể dùng bản tổng hợp tuân thủ hằng năm trong nền tảng; không tự coi mọi hoạt động tổng hợp nội bộ là nghĩa vụ báo cáo luật định |
Khái niệm và tổ chức
| Khái niệm | Nghị định 13 | Luật hiện hành | Việc cần làm |
|---|---|---|---|
| Dữ liệu cá nhân nhạy cảm | Khoản 4 Điều 2 và danh mục trong nghị định | Khoản 3 Điều 2 luật và danh mục Chính phủ ban hành | Đối chiếu từng hoạt động với danh mục hiện hành |
| Quyền chủ thể | Điều 9 liệt kê 11 quyền, gồm biết, đồng ý, truy cập/xem/sửa, rút lại, xóa, hạn chế, cung cấp, phản đối | Khoản 1 Điều 4 tổ chức lại quyền biết; đồng ý/rút; xem/sửa; yêu cầu cung cấp/xóa/hạn chế; phản đối; khiếu nại, khởi kiện, bồi thường | Đối chiếu xử lý yêu cầu với luật và thủ tục 356 |
| Đánh giá tác động | Hồ sơ gửi Bộ Công an, Điều 24 | Gửi trong 60 ngày từ lần đầu xử lý theo khoản 1 Điều 21; cập nhật Điều 22 | Xác nhận cơ quan đã tiếp nhận hồ sơ cũ; cập nhật theo tuyến mới |
| Bộ phận/nhân sự bảo vệ dữ liệu | Khi xử lý dữ liệu nhạy cảm, khoản 2 Điều 28 | Chỉ định bộ phận/nhân sự đủ điều kiện hoặc thuê dịch vụ, khoản 2 Điều 33; lựa chọn có thời hạn/miễn trừ cho nhóm nhỏ, khởi nghiệp, hộ, siêu nhỏ theo khoản 2–3 Điều 38 | Ghi chỉ định hoặc căn cứ miễn trừ cụ thể |
Căn cứ lưu hồ sơ thời kỳ cũ
| Hồ sơ | Căn cứ cần đánh giá | Cách giữ |
|---|---|---|
| Đánh giá tác động xử lý | Thời kỳ tuân thủ, thời hiệu áp dụng và nghĩa vụ lưu liên quan | Cấu trúc gốc, bằng chứng cơ quan tiếp nhận |
| Sự đồng ý/thông báo | Thời gian sự đồng ý còn liên quan, thời hiệu và căn cứ xử lý/lưu | Liên kết hồ sơ hiện hành nếu xử lý tiếp tục theo khoản 1 Điều 39 |
| Đánh giá chuyển/thông báo chuyển | Thời kỳ, thời hiệu và nghĩa vụ liên quan | Bằng chứng lịch sử, đối chiếu hồ sơ chuyển 356 |
| Thông báo vi phạm | Hướng dẫn cơ quan và chính sách lưu sự cố có căn cứ của tổ chức | Đối chiếu Mẫu số 08 hiện nay để giữ lịch sử đầy đủ |
Không có một số năm lưu giữ chung được suy ra trên trang này. Người có thẩm quyền/cố vấn xác định kỳ theo loại hồ sơ, thời hiệu và yêu cầu bảo vệ dữ liệu; không mặc định lưu vô thời hạn.
Vì sao vẫn cần hiểu giai đoạn Nghị định 13
Liên kết đến phần này ↗Bằng chứng kiểm tra lịch sử. Tuân thủ hiện tại không tự xử lý thiếu sót thời kỳ trước. Giữ lịch lưu bao quát giai đoạn và hồ sơ thể hiện yêu cầu cụ thể, không chỉ chứng minh tài liệu tồn tại. Thẩm quyền kiểm tra, thời hiệu và hậu quả cần đánh giá theo vụ việc; không bảo đảm kết quả xử lý.
Khoảng cách chuyển tiếp. Hồ sơ cơ quan chưa tiếp nhận trước ngày 1 tháng 1 năm 2026 không được dựa khoản 2 Điều 39 như hồ sơ đã tiếp nhận. Cập nhật sau ngày đó theo luật, Mẫu số 03a/03b; chuyển dữ liệu dùng 01a/01b và 09. Quy trình báo vi phạm phải phân biệt 72 giờ từ xảy ra theo Nghị định 13 và từ phát hiện trong điều kiện khoản 1 Điều 23 luật.
Hợp đồng thời kỳ cũ. Kiểm kê thỏa thuận xử lý, hợp đồng bên xử lý và thỏa thuận dựa sự đồng ý có dẫn Nghị định 13. Đánh giá hiệu lực, điều khoản, nghĩa vụ và nhu cầu đàm phán dưới pháp luật áp dụng; không tự kết luận mọi hợp đồng cũ tiếp tục hiệu lực nguyên trạng đến hết hạn chỉ vì được ký thời Nghị định 13.
ComplianceOne hỗ trợ hồ sơ lịch sử
Liên kết đến phần này ↗Bằng chứng. Bộ hồ sơ kiểm toán giữ các bản ghi thuộc nguồn được hỗ trợ, giới hạn theo thời kỳ, khung pháp lý, loại bản ghi hoặc mô-đun. Mỗi phiên bản có danh mục thành phần và dấu kiểm tra SHA-256. Chỉ bao gồm hoạt động thực sự được ghi trong nền tảng, không tái tạo quá khứ chưa ghi. Tổ chức rà soát phạm vi thông tin và quyết định phần cung cấp cho nội bộ, kiểm toán viên hoặc cơ quan trước khi chia sẻ.
Phân tích khoảng cách. Tổ chức đối chiếu yêu cầu cũ và mới. Sổ khoảng cách bằng chứng trong Quản trị chương trình giữ mô tả, bằng chứng dự kiến, mức độ, người phụ trách, ngày mục tiêu và trạng thái xử lý; có thể dùng để ghi nhận kết quả đối chiếu do con người thực hiện. Đây không phải công cụ tự so sánh hai phiên bản luật hoặc kết luận tuân thủ, không bảo đảm giảm xử lý.
Sự đồng ý cũ. Quản trị sự đồng ý hỗ trợ nhập quy trình từ CSV theo các loại chấp thuận, từ chối, rút lại, hạn chế và phản đối. Phân tích khoảng cách đối chiếu mục đích đang hoạt động với nhóm khung đã cài, để người phụ trách rà soát; không tự gắn nhãn thiếu sót cho từng hồ sơ đồng ý cũ chỉ vì nguồn từ thời Nghị định 13. Xử lý đủ điều kiện khoản 1 Điều 39 tiếp tục không xin lại; hoạt động mới cần căn cứ/sự đồng ý đáp ứng luật. Tổ chức quyết định việc cần lấy lại, không mặc định mọi người phải đồng ý lại.
Giá trị hồ sơ có thể kiểm tra
Liên kết đến phần này ↗Tổ chức tự quyết phạm vi chia sẻ từng bộ hồ sơ. Khoảng cách do người rà soát xác định có người phụ trách và thời hạn nội bộ. Phân tích mục đích hỗ trợ rà soát sự đồng ý trong phạm vi dữ liệu, khung đã cài và quy tắc nền tảng hỗ trợ. Bản ghi giữ người thực hiện và thời gian; phiên bản bộ hồ sơ có danh mục thành phần để kiểm tra toàn vẹn.
| Mô-đun | Hỗ trợ |
|---|---|
| Nhật ký kiểm toán | Truy xuất bằng chứng lịch sử, kiểm tra tính toàn vẹn |
| Quản trị chương trình | Phân tích khoảng cách 13 với luật/356 |
| Quản trị sự đồng ý | Rà soát hồ sơ cũ, thực hiện lấy lại khi tổ chức lựa chọn/cần thiết |
| Đánh giá tác động | Hồ sơ tiếp tục được dùng và cập nhật |
| Biểu mẫu tuân thủ | Mẫu 356 cho cập nhật và hồ sơ mới |
Danh sách rà soát
Liên kết đến phần này ↗- Giữ bằng chứng thời kỳ 13 theo kỳ lưu có căn cứ.
- Truy cập hồ sơ đánh giá, sự đồng ý, chuyển, thông báo vi phạm ở dạng gốc.
- Có phân tích khoảng cách chính thức với luật mới.
- Mỗi hồ sơ tiếp tục dùng có bằng chứng cơ quan tiếp nhận trước ngày 1 tháng 1 năm 2026; cập nhật theo luật/356.
- Đối chiếu hồ sơ chuyển với 01a/01b và 09.
- Rà soát sự đồng ý, nhận diện xử lý tiếp tục theo khoản 1 Điều 39.
- Kiểm kê, đánh giá hợp đồng cũ.
- Có thể tạo bộ hồ sơ giai đoạn khi cần.
Nội dung liên quan
Liên kết đến phần này ↗Thí điểm truy xuất bằng chứng và phân tích chuyển tiếp theo giai đoạn, cùng kế hoạch lưu và khoảng cách PDPL của tổ chức.
Bước tiếp theo
Liên kết đến phần này ↗Đặt lịch demo để xem hồ sơ thực tế, hoặc liên hệ để trao đổi phạm vi và bằng chứng của tổ chức. Nội dung chỉ nhằm cung cấp thông tin, không phải tư vấn pháp lý.