Nghị định 13 còn áp dụng thế nào sau khi có Luật Bảo vệ dữ liệu cá nhân?

Nghị định 13 còn áp dụng thế nào sau khi có Luật Bảo vệ dữ liệu cá nhân?

Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP. Doanh nghiệp hiện áp dụng Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và văn bản hướng dẫn hiện hành. Sự đồng ý, thỏa thuận và hồ sơ đã có trước 01/01/2026 cần được xem xét theo Điều 39 Luật; việc được tiếp tục sử dụng những tài liệu này không có nghĩa Nghị định 13 vẫn còn hiệu lực chung.

Những mốc thời gian cần phân biệt

Nguồn: Điều 43 Nghị định 13, Điều 38–39 Luật 91/2025/QH15 và Điều 42 Nghị định 356.

Khi rà soát một hồ sơ, cần ghi riêng ngày bắt đầu xử lý, ngày lấy sự đồng ý, ngày gửi và ngày cơ quan tiếp nhận. Các mốc này phục vụ những điều kiện khác nhau. Ngày ký hợp đồng tư vấn hoặc ngày doanh nghiệp bắt đầu sửa tài liệu không thay thế ngày hoạt động thực tế đã bắt đầu.

Sự đồng ý cũ được tiếp tục sử dụng trong trường hợp nào

Khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu cá nhân đang thực hiện, đã được chủ thể đồng ý hoặc theo thỏa thuận đúng quy định của Nghị định 13 trước ngày Luật có hiệu lực, được tiếp tục thực hiện mà không phải xin đồng ý hoặc thỏa thuận lại.

Để áp dụng, doanh nghiệp cần kiểm tra hoạt động đã được thực hiện, căn cứ đồng ý hoặc thỏa thuận trước thời điểm chuyển đổi và sự phù hợp với quy định cũ. Sau đó đối chiếu việc đang tiếp tục với mục đích, phạm vi và những nội dung đã cung cấp cho chủ thể. Một văn bản mang ngày năm 2025 không tự chứng minh toàn bộ điều kiện này.

Ví dụ minh họa: khách đã đăng ký nhận bản tin và doanh nghiệp thực hiện gửi đúng nội dung đăng ký từ năm 2025, có bằng chứng hợp lệ theo Nghị định 13. Khi tiếp tục hoạt động đó sau 01/01/2026, không phải lấy lại sự đồng ý chỉ vì Luật có hiệu lực. Doanh nghiệp vẫn phải bảo đảm các nghĩa vụ hiện hành, gồm khả năng xử lý yêu cầu rút đồng ý và bảo vệ dữ liệu.

Ngược lại, nếu dữ liệu từng được thu để giao hàng nhưng năm 2026 được dùng thêm cho một chương trình tiếp thị chưa thuộc phạm vi ban đầu, phải xác định căn cứ cho mục đích mới. Khi dựa vào sự đồng ý, áp dụng Điều 9 Luật và Điều 6 Nghị định 356; nếu viện dẫn trường hợp không cần đồng ý, phải đáp ứng Điều 19 Luật. Điều 39 không cho phép mở rộng mọi mục đích sử dụng từ một sự đồng ý cũ. Nguồn: Điều 9, 19, 39 Luật.

Hồ sơ đánh giá tác động cũ có phải lập lại từ đầu

Khoản 2 Điều 39 Luật áp dụng cho cả hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Nghị định 13. Điều kiện được nêu là hồ sơ đã được cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiếp nhận trước ngày Luật có hiệu lực. Những hồ sơ này tiếp tục được sử dụng và không phải lập lại theo Luật chỉ vì thay đổi cơ chế pháp luật.

Cần phân biệt “đã lập”, “đã gửi” và “đã được tiếp nhận”. Bản báo cáo đã ký hoặc hóa đơn của đơn vị tư vấn chưa chứng minh hồ sơ đã được cơ quan tiếp nhận trước 01/01/2026. Doanh nghiệp nên giữ bản hồ sơ gửi đi, chứng từ gửi, thông tin tiếp nhận và các yêu cầu hoàn thiện hoặc trao đổi liên quan.

Điều khoản chuyển tiếp sử dụng tiêu chí tiếp nhận, không dùng tiêu chí “đã được phê duyệt” để thay thế. Tuy nhiên, việc được tiếp tục sử dụng không tự chứng minh hồ sơ đã phản ánh đầy đủ hoạt động hiện tại hoặc đã hoàn tất mọi yêu cầu bổ sung. Doanh nghiệp cần kiểm tra hồ sơ cùng thông tin tiếp nhận, nội dung cần hoàn thiện và những thay đổi sau đó. Nguồn: khoản 2 Điều 39 Luật.

Ví dụ, hồ sơ được tiếp nhận tháng 11/2025 mô tả phần mềm bán hàng và nhà cung cấp A. Đến tháng 03/2026, doanh nghiệp đổi nhà cung cấp, bổ sung luồng nhận dữ liệu hoặc mục đích xử lý. Hồ sơ gốc có thể được tiếp tục sử dụng theo chuyển tiếp, nhưng thay đổi phát sinh phải được kiểm tra để cập nhật theo cơ chế hiện hành.

Bảng xử lý theo trạng thái hoạt động và hồ sơ

Nếu chưa tìm thấy bằng chứng, kết quả rà soát nên ghi rõ phần chưa xác minh và công việc cần làm để xác định. Không nên đánh dấu “đã hoàn thành” chỉ vì trong thư mục có một báo cáo hoặc một bộ mẫu của Nghị định 13.

Cập nhật hồ sơ cũ theo quy định nào

Khoản 2 Điều 39 Luật quy định việc cập nhật hồ sơ cũ sau ngày Luật có hiệu lực thực hiện theo Luật. Điều 22 Luật và Điều 20 Nghị định 356 là những căn cứ cần đối chiếu.

Theo khoản 1 Điều 20 Nghị định 356, hồ sơ được cập nhật theo kỳ 06 tháng kể từ lần đầu nộp trong các trường hợp phát sinh mục đích chuyển hoặc xử lý mới, phát sinh hoặc thay đổi các bên được điều khoản liệt kê. Khoản 2 quy định các thay đổi cần cập nhật ngay trong 10 ngày, như tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu; phát sinh hoặc thay đổi ngành, nghề, dịch vụ liên quan đã đăng ký trong hồ sơ.

Doanh nghiệp cần phân loại thay đổi trước khi đưa vào lịch cập nhật. Không mặc định mọi thay đổi được chờ hết 06 tháng; cũng không hiểu cứ mỗi 06 tháng phải lập lại toàn bộ hồ sơ dù không thuộc trường hợp cần cập nhật. Khoản 3 Điều 20 Nghị định sử dụng Mẫu số 03a/03b cho việc cập nhật, theo loại chủ thể và thủ tục được quy định. Nguồn: Điều 20 Nghị định 356.

Bảng theo dõi thay đổi nên ghi ngày phát sinh, nội dung, hoạt động và hồ sơ bị ảnh hưởng, căn cứ xác định mốc cập nhật, người phụ trách và chứng từ hoàn tất. Đây là cách tổ chức được khuyến nghị để hỗ trợ thực hiện đúng nghĩa vụ, không phải một biểu mẫu pháp luật được ban hành riêng.

Doanh nghiệp chưa lập hoặc chưa nộp hồ sơ cần làm gì

Trước tiên, xác định hiện tại có thuộc diện lập hồ sơ hay không. Hồ sơ xử lý phải đối chiếu vai trò tại Điều 21 Luật và cơ chế tại Điều 38 Luật, Điều 41 Nghị định 356. Hồ sơ chuyển xuyên biên giới phải kiểm tra Điều 20 Luật và Điều 17 Nghị định. Không nên mua một bộ hồ sơ rồi mới tìm điều kiện áp dụng.

Nếu thuộc diện thực hiện, dùng thành phần và biểu mẫu hiện hành tại Điều 18–19 Nghị định 356. Mẫu số 09 là báo cáo chuyển xuyên biên giới; Mẫu số 10 là báo cáo xử lý dữ liệu. Thông báo gửi hồ sơ và tài liệu kèm theo phải được lựa chọn đúng công việc. Một bản đã soạn theo mẫu cũ có thể cung cấp thông tin đầu vào, nhưng cần đối chiếu lại trước khi sử dụng để nộp mới.

Việc Nghị định 13 hết hiệu lực không tạo một khoảng thời gian 60 ngày mới cho mọi doanh nghiệp để bắt đầu tính lại nghĩa vụ. Điều 20–21 Luật gắn mốc gửi hồ sơ với ngày đầu tiên chuyển xuyên biên giới hoặc xử lý theo trường hợp áp dụng. Khi hoạt động đã diễn ra từ trước và hồ sơ chưa được thực hiện, cần xác định đầy đủ thời điểm, nghĩa vụ và phương án khắc phục theo hiện trạng.

Doanh nghiệp có thể xem thêm bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì để chuẩn bị thông tin. Việc tái sử dụng tài liệu cũ cần gắn với hoạt động thực tế và quy định hiện hành, không chỉ đổi tên văn bản ở phần căn cứ.

Quy chế và hợp đồng đang dẫn Nghị định 13 cần sửa thế nào

Doanh nghiệp nên kiểm tra ba phần: căn cứ pháp luật, nội dung nghĩa vụ và cách thực hiện. Đổi số hiệu ở phần đầu chưa sửa được một bảng thời hạn không phù hợp, danh mục dữ liệu nhạy cảm chưa cập nhật hoặc cơ chế phân quyền không phản ánh hệ thống.

Với sự đồng ý và thỏa thuận được tiếp tục sử dụng theo Điều 39, cần lưu phiên bản cũ để chứng minh nội dung đã áp dụng. Phần cập nhật nên ghi ngày hiệu lực và phạm vi thay đổi, tránh làm mất bằng chứng về hoạt động trước đó. Khi thêm mục đích, đổi bên nhận hoặc thay mô hình xử lý, rà lại căn cứ và các nghĩa vụ tương ứng.

Cơ chế miễn chỉ định tại Điều 43 Nghị định 13 cũng không được giữ làm căn cứ chung cho năm 2026. Hiện phải đối chiếu Điều 38 Luật và Điều 41 Nghị định 356 theo đúng nhóm doanh nghiệp, loại dữ liệu, hoạt động và quy mô tích lũy. Doanh nghiệp có thể dùng lộ trình tuân thủ Luật Bảo vệ dữ liệu cá nhân để phân công việc sửa tài liệu và kiểm tra vận hành.

Câu hỏi thường gặp

Nghị định 13 còn là căn cứ chung để nộp hồ sơ mới năm 2026 không

Không. Nghị định đã hết hiệu lực từ 01/01/2026. Hồ sơ nộp mới cần xác định nghĩa vụ theo Luật và quy định hướng dẫn hiện hành; tài liệu cũ chỉ được tận dụng sau khi đối chiếu nội dung còn phù hợp.

Đã ký văn bản đồng ý năm 2025 có chắc chắn không phải xin lại không

Chưa thể kết luận chỉ dựa vào ngày ký. Khoản 1 Điều 39 gắn với hoạt động đang thực hiện và sự đồng ý hoặc thỏa thuận theo Nghị định 13 trước thời điểm Luật có hiệu lực. Cần kiểm tra tính hợp lệ và phạm vi hoạt động tiếp tục.

Chỉ có chứng từ gửi bưu điện có đủ xác định hồ sơ được chuyển tiếp không

Chứng từ gửi giúp xác minh việc gửi, nhưng cần làm rõ hồ sơ đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 hay chưa. Nên đối chiếu thông tin giao nhận và xác nhận từ kênh tiếp nhận để áp dụng đúng khoản 2 Điều 39.

Đã được tiếp nhận hồ sơ cũ thì có thể bỏ qua thay đổi nhà cung cấp không

Không. Khoản 2 Điều 39 cho phép tiếp tục sử dụng hồ sơ, đồng thời yêu cầu cập nhật sau thời điểm Luật có hiệu lực theo quy định mới. Thay đổi phải được phân loại theo Điều 22 Luật và Điều 20 Nghị định 356 để xác định việc cần làm.

Justix hỗ trợ rà soát tài liệu và hồ sơ chuyển tiếp

Doanh nghiệp có thể chuẩn bị bản hồ sơ đã lập, bằng chứng đồng ý, thỏa thuận, chứng từ gửi và tiếp nhận, cùng danh sách thay đổi từ năm 2026 để Justix đề xuất phạm vi kiểm tra. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân hỗ trợ xác định tài liệu được tiếp tục sử dụng, phần cần cập nhật và nghĩa vụ còn phải thực hiện theo từng hoạt động.

Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.