Nghị định 356/2025/NĐ-CP: hướng dẫn áp dụng cho doanh nghiệp

Nghị định 356/2025/NĐ-CP: hướng dẫn áp dụng cho doanh nghiệp

Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ 01/01/2026. Để áp dụng, doanh nghiệp cần xác định hoạt động, vai trò và điều kiện ngoại lệ theo Luật, sau đó tra điều khoản và biểu mẫu tương ứng trong Nghị định. Các nhóm cần ưu tiên gồm phân loại dữ liệu, thực hiện quyền, sự đồng ý, nhà cung cấp, nhân sự và hồ sơ đánh giá tác động.

Nghị định 356 được sử dụng cùng những văn bản nào

Luật 91/2025/QH15 quy định phạm vi, nguyên tắc, quyền, trách nhiệm và các nghĩa vụ chính. Nghị định 356 cụ thể hóa nhiều điều kiện, thủ tục và biểu mẫu. Ví dụ, khi xác định hồ sơ đánh giá tác động xử lý, phải đọc Điều 21 và Điều 38 Luật cùng Điều 19, Điều 41 Nghị định; không chỉ tải Mẫu số 10 rồi điền. Xem Luật 91/2025/QH15 và Nghị định 356.

Khoản 2 Điều 42 Nghị định 356 quy định Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026. Tuy nhiên, sự đồng ý, thỏa thuận và hồ sơ cũ cần được xem xét theo Điều 39 Luật về chuyển tiếp. Doanh nghiệp có tài liệu trước thời điểm này nên kiểm tra điều kiện sử dụng tiếp trước khi quyết định phần phải lập mới.

Nghị định 356 hướng dẫn nghĩa vụ và thủ tục, còn chế tài cụ thể cần đối chiếu văn bản xử phạt. Tại thời điểm cập nhật bài, Nghị định 330/2026/NĐ-CP đã có hiệu lực từ 19/08/2026. Không nên dùng một văn bản hướng dẫn thủ tục để kết luận mức phạt cho mọi hành vi.

Bảng tra điều khoản theo công việc cần thực hiện

Bảng này dùng để chọn điều khoản theo vấn đề của doanh nghiệp. Cột đầu ra là gợi ý tổ chức rà soát; tài liệu bắt buộc cụ thể phải được xác định theo điều kiện áp dụng.

Đọc bảng theo hoạt động, không chỉ theo tên phòng ban. Phòng nhân sự có thể liên quan Điều 3–6, 12–20 và 41 nếu đang sử dụng chấm công sinh trắc học hoặc phần mềm có hạ tầng nước ngoài. Bộ phận marketing cần kiểm tra thêm dữ liệu theo dõi hành vi trên mạng và nhà cung cấp được giao xử lý.

Xác định nghĩa vụ trước khi chọn biểu mẫu

Trước hết, ghi rõ doanh nghiệp đang quyết định mục đích, trực tiếp xử lý hay xử lý theo yêu cầu của bên khác thông qua hợp đồng. Vai trò được xác định theo Điều 2 Luật. Sau đó đối chiếu loại dữ liệu và nhóm chủ thể, gồm dữ liệu nhạy cảm và những hoạt động có quy định bảo vệ riêng.

Tiếp theo, kiểm tra ngoại lệ của chính nghĩa vụ đang xem xét. Điều 38 Luật và Điều 41 Nghị định 356 liên quan Điều 21, Điều 22 và khoản 2 Điều 33 Luật. Ngoại lệ về hồ sơ chuyển xuyên biên giới lại nằm tại khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định. Việc được áp dụng cơ chế cho một nghĩa vụ không tự giải quyết nghĩa vụ còn lại.

Ví dụ, doanh nghiệp nhỏ đủ điều kiện lựa chọn không thực hiện Điều 21 Luật vẫn phải kiểm tra Điều 20 nếu chuyển dữ liệu khách hàng đến nền tảng ở nước ngoài. Ngược lại, một luồng thuộc ngoại lệ đánh giá tác động chuyển xuyên biên giới vẫn cần có căn cứ xử lý và biện pháp bảo vệ. Kết quả kiểm tra nên ghi rõ điều khoản, thông tin chứng minh và nghĩa vụ còn phải thực hiện.

Chọn đúng biểu mẫu và phân biệt báo cáo với thông báo gửi

Các biểu mẫu nằm trong Phụ lục của Nghị định 356. Mẫu số 09 và 10 là báo cáo đánh giá tác động, còn Mẫu số 01a/01b và 02a/02b là thông báo gửi hồ sơ tương ứng. Doanh nghiệp cần phân biệt hai chức năng này khi chuẩn bị bộ hồ sơ.

Một báo cáo đánh giá tác động cần phản ánh hoạt động, luồng dữ liệu, các bên tham gia, biện pháp bảo vệ và đánh giá rủi ro thực tế. Điều 18–19 còn yêu cầu các tài liệu liên quan như hợp đồng hoặc văn bản ràng buộc trách nhiệm, chính sách, quy trình và biểu mẫu. Không nên coi việc hoàn thành một mẫu báo cáo là đã hoàn tất toàn bộ thành phần hồ sơ.

Với doanh nghiệp là bên kiểm soát hoặc bên kiểm soát và xử lý thuộc diện áp dụng, khoản 1 Điều 21 Luật có mốc gửi hồ sơ xử lý trong 60 ngày từ ngày đầu tiên xử lý dữ liệu. Hồ sơ chuyển xuyên biên giới có mốc riêng tại khoản 2 Điều 20. Vai trò bên xử lý cần đối chiếu khoản 3 Điều 21, thỏa thuận và Điều 19 Nghị định. Sau khi gửi, giữ bản hồ sơ, chứng từ và kết quả để theo dõi yêu cầu hoàn thiện hoặc cập nhật. Nguồn: Điều 18–20 Nghị định 356.

Sửa bảng thời hạn thực hiện quyền của chủ thể dữ liệu

Điều 5 Nghị định 356 phân biệt phản hồi yêu cầu và thực hiện yêu cầu. Bảng dưới đây tóm tắt mốc thông thường; khi xây dựng quy trình phải đọc đủ điều kiện, trường hợp phối hợp, gia hạn và ngoại lệ tại điều khoản tương ứng.

Các mốc “ngày” trong bảng không được tự đổi thành “ngày làm việc”; chỉ mốc phản hồi được quy định là 02 ngày làm việc. Cũng không được hiểu gia hạn là quyền tự động. Doanh nghiệp phải đáp ứng điều kiện, thông báo lý do và chứng minh việc gia hạn cần thiết, hợp lý theo điều khoản.

Ví dụ, khách yêu cầu xóa dữ liệu tại hệ thống bán hàng và dữ liệu còn được nhà cung cấp lưu trữ. Đầu mối cần xác minh yêu cầu, kiểm tra nghĩa vụ lưu theo pháp luật, thông báo thủ tục và phối hợp thực hiện trên các hệ thống liên quan. Một email trả lời “đã nhận” không đồng nghĩa yêu cầu đã được xử lý xong.

Kiểm tra nghĩa vụ riêng khi dùng nền tảng hoặc thuê nhà cung cấp

Với dịch vụ điện toán đám mây, Điều 12 Nghị định 356 yêu cầu làm rõ luồng xử lý, vai trò, biện pháp bảo vệ và trách nhiệm trong hợp đồng. Khoản 4 còn quy định dữ liệu trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và truyền, kèm phân quyền nghiêm ngặt. Doanh nghiệp cần làm việc với kỹ thuật và nhà cung cấp để xác nhận việc thực hiện, thay vì chỉ ghi “đã bảo mật” trong quy chế.

Đối với các công nghệ khác, đọc đúng nhóm tại Điều 9–11. Chẳng hạn, Điều 10 đề cập cả dữ liệu từ kết quả suy luận của AI nếu có thể xác định hoặc giúp xác định người cụ thể. Việc đưa dữ liệu vào công cụ phân tích hoặc tạo kết quả mới chưa đủ để coi dữ liệu đã mất tính chất cá nhân.

Cần phân biệt tổ chức cung cấp dịch vụ bảo vệ dữ liệu tại Điều 16 với tổ chức kinh doanh dịch vụ xử lý dữ liệu tại Điều 21–27. Nếu hoạt động cung cấp thuộc một dịch vụ được Điều 21 liệt kê, phải kiểm tra đầy đủ điều kiện và thủ tục liên quan. Việc một doanh nghiệp tự xử lý dữ liệu nhân viên hoặc khách hàng cho hoạt động của mình không tự đồng nghĩa doanh nghiệp đó đang kinh doanh dịch vụ xử lý dữ liệu cho bên khác.

Ví dụ áp dụng cho doanh nghiệp lữ hành

Một doanh nghiệp lữ hành có thể đồng thời giữ hồ sơ nhân viên, nhận thông tin hộ chiếu khách và dùng phần mềm quản lý khách hàng. Nên chia đợt rà soát thành từng hoạt động và luồng, vì mỗi luồng có mục đích và bên nhận khác nhau.

Luồng cung cấp dữ liệu xuyên biên giới để thực hiện thủ tục khách sạn hoặc xin thị thực cần đối chiếu điểm đ khoản 3 Điều 17 về trường hợp không phải đánh giá tác động chuyển xuyên biên giới. Việc áp dụng phải đúng mục đích và hoạt động được điều khoản liệt kê. Kết luận này không tự mở rộng sang việc đưa toàn bộ kho khách hàng lên nền tảng marketing ở nước ngoài.

Với hồ sơ nhân viên, cần kiểm tra loại dữ liệu, phần mềm, việc lưu trên đám mây và điều kiện áp dụng ngoại lệ tại khoản 6 Điều 20 Luật. Nếu có chấm công sinh trắc học, phải đối chiếu thêm danh mục nhạy cảm, biện pháp bảo vệ và điều kiện loại trừ tại Điều 41 Nghị định. Kết quả nên là bảng nghĩa vụ theo từng luồng, có hợp đồng, căn cứ và người phụ trách tương ứng.

Câu hỏi thường gặp

Có thể tải biểu mẫu Nghị định 356 ở đâu

Có thể mở trang văn bản trên Cổng thông tin điện tử Chính phủ và tải tài liệu đính kèm. Các mẫu nằm trong Phụ lục của bản Nghị định. Cần kiểm tra số hiệu, phiên bản và chức năng mẫu trước khi sử dụng.

Chỉ điền Mẫu số 10 đã đủ hồ sơ đánh giá tác động xử lý chưa

Chưa thể kết luận. Điều 19 quy định thành phần hồ sơ gồm báo cáo và các tài liệu liên quan. Phải đối chiếu đủ thành phần, vai trò, hoạt động thực tế và thông báo gửi hồ sơ tương ứng.

Doanh nghiệp nào cũng phải xin chứng nhận kinh doanh dịch vụ xử lý dữ liệu phải không

Không đồng nhất việc xử lý dữ liệu trong hoạt động của mình với kinh doanh dịch vụ xử lý dữ liệu cho bên khác. Cần xác định hoạt động cung cấp có thuộc Điều 21 rồi đối chiếu Điều 22–27 về điều kiện, trách nhiệm và thủ tục.

Nộp hồ sơ xong có phải theo dõi thay đổi nữa không

Có, nếu thuộc diện thực hiện nghĩa vụ cập nhật. Điều 20 phân biệt các thay đổi cập nhật theo kỳ 06 tháng và các thay đổi phải cập nhật ngay trong 10 ngày. Cần giữ danh mục thay đổi và chứng từ cập nhật, không mặc định việc nộp lần đầu đã hoàn tất mọi nghĩa vụ về hồ sơ.

Justix hỗ trợ xác định điều khoản và công việc phải thực hiện

Doanh nghiệp có thể chuẩn bị mô tả hệ thống, loại dữ liệu, các bên tiếp cận, tài liệu đã có và câu hỏi đang vướng để trao đổi với Justix. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân hỗ trợ xác định nghĩa vụ và hạng mục triển khai theo hoạt động thực tế.

Nếu đang chuẩn bị hồ sơ, doanh nghiệp có thể tham khảo thêm bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì. Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.