Nghị định 13/2023/NĐ-CP quy định gì về dữ liệu cá nhân?

Nghị định 13 quy định gì về dữ liệu cá nhân?

Nói ngắn gọn, Nghị định 13/2023/NĐ-CP quy định cách doanh nghiệp và tổ chức được phép xử lý dữ liệu cá nhân, từ khâu thông báo, xin đồng ý, quản lý nội bộ đến chuyển dữ liệu ra nước ngoài và xử lý sự cố vi phạm dữ liệu.

Điểm quan trọng là Nghị định 13 không chỉ nói về “bảo mật” theo nghĩa kỹ thuật, mà còn đặt ra nghĩa vụ pháp lý xuyên suốt vòng đời dữ liệu: lấy dữ liệu đúng mục đích, đúng phạm vi, chỉ xử lý khi có căn cứ phù hợp, và có cơ chế bảo vệ quyền của chủ thể dữ liệu.

Một số nội dung chính doanh nghiệp thường phải quan tâm:

• Phân loại dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
• Nguyên tắc xử lý dữ liệu: hợp pháp, minh bạch, đúng mục đích, giới hạn phạm vi.
• Điều kiện đối với sự đồng ý của chủ thể dữ liệu.
• Nghĩa vụ thông báo cho người dùng về mục đích xử lý.
• Nghĩa vụ xây dựng quy trình nội bộ, phân công đầu mối, và ghi nhận hoạt động xử lý.
• Quy định về chuyển dữ liệu cá nhân ra nước ngoài theo hồ sơ, đánh giá tác động và yêu cầu tuân thủ.
• Nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ kể từ khi phát hiện.

Ví dụ thực tế: nếu một sàn thương mại điện tử thu thập số điện thoại, địa chỉ giao hàng, lịch sử mua hàng và chia sẻ cho đơn vị vận chuyển hoặc CRM, thì doanh nghiệp không chỉ cần bảo mật hệ thống mà còn phải xác định rõ mục đích, thông báo cho khách hàng, quản lý bên xử lý dữ liệu và lưu bằng chứng tuân thủ.

Ai phải áp dụng Nghị định 13/2023/NĐ-CP?

Nghị định 13 áp dụng rất rộng: cơ quan nhà nước, doanh nghiệp, tổ chức xã hội, hộ kinh doanh và cá nhân có hoạt động xử lý dữ liệu cá nhân tại Việt Nam hoặc liên quan đến người dân Việt Nam theo quy định.

Điều này có nghĩa là không chỉ ngân hàng, bệnh viện hay nền tảng công nghệ lớn mới phải quan tâm. SME cũng có thể thuộc phạm vi áp dụng nếu có một trong các hoạt động sau:

• Thu thập form đăng ký khách hàng trên website/app.
• Lưu thông tin nhân viên, lương, hồ sơ sức khỏe.
• Sử dụng CRM, email marketing, chatbot, call center.
• Thuê nhà cung cấp lưu trữ đám mây, dịch vụ phân tích, quảng cáo.
• Chia sẻ dữ liệu với đối tác giao hàng, thanh toán, tuyển dụng.

Với developer, cần hiểu rằng các hệ thống như tracker, analytics, form, pixel, CDP, cookie banner hay API tích hợp bên thứ ba có thể làm phát sinh nghĩa vụ pháp lý về thông báo, đồng ý, quản lý chia sẻ và lưu vết. Theo quy định, bạn nên rà soát từng luồng dữ liệu thay vì chỉ nhìn vào “tool” đang dùng.

Nghị định 13 liên quan gì với Luật 91/2025/QH15?

Nghị định 13 hiện là khung quy định trực tiếp đang được doanh nghiệp dùng để đối chiếu tuân thủ. Tuy nhiên, Luật Bảo vệ Dữ liệu Cá nhân = Luật 91/2025/QH15 đã được ban hành, dự kiến có hiệu lực từ 01/01/2026 và sẽ thay thế Nghị định 13/2023/NĐ-CP.

Hiểu đúng quan hệ này rất quan trọng:

• Nghị định 13 là văn bản đang vận hành thực tế hiện nay.
• Luật 91/2025/QH15 là nền tảng pháp lý cấp luật cho giai đoạn tiếp theo.
• Các chi tiết xử phạt sẽ do nghị định hướng dẫn của Chính phủ ban hành, chưa cố định con số ở thời điểm này.
• Vi phạm nghiêm trọng có thể bị xử lý hình sự theo quy định.

Với doanh nghiệp, cách làm an toàn là không chờ đến 2026 mới chuẩn bị. Nếu hệ thống của bạn đã có cookie, marketing automation, HRIS, CRM hoặc tích hợp nhà cung cấp nước ngoài, hãy rà soát sớm để chuyển từ “thu thập đại” sang “xử lý có kiểm soát”.

Doanh nghiệp cần làm gì ngay bây giờ?

Câu trả lời thực tế là: đừng chỉ đọc luật, hãy kiểm kê dữ liệu và sửa luồng xử lý. Với SME, 3 việc có tác động nhanh nhất là:

• Rà cookie banner và form để biết người dùng đã được thông báo đúng chưa.
• Lưu bằng chứng đồng ý: thời gian, nội dung hiển thị, phiên bản chính sách, nguồn truy cập.
• Lập danh sách nhà cung cấp đang chạm vào dữ liệu khách hàng hoặc nhân sự.

Nếu bạn đang xây sản phẩm số, hãy phối hợp pháp lý và kỹ thuật ngay từ đầu: logging, quyền truy cập, retention, xóa dữ liệu, export dữ liệu, và quy trình xử lý DSAR nên được thiết kế cùng lúc với feature.

CTA nhẹ: Nếu cần mẫu cookie banner, lưu bằng chứng đồng ý hoặc quy trình DSAR, consent.vn có thể giúp bạn chuẩn hóa nhanh để đội product và legal dùng chung.

Nguồn: Luật 91/2025/QH15 và Nghị định 13/2023/NĐ-CP: thuvienphapluat.vn; cơ quan thực thi A05: bocongan.gov.vn