Thời hạn thực hiện quyền dữ liệu cá nhân: cách tính và trường hợp kéo dài

Thời hạn thực hiện quyền dữ liệu cá nhân: cách tính và trường hợp kéo dài

Thời hạn phản hồi và thời hạn thực hiện quyền là hai mốc khác nhau. Bài viết có bảng tra từng nhóm yêu cầu, cách tính ngày và hồ sơ cần có khi doanh nghiệp phải gia hạn.

Thời hạn thực hiện quyền dữ liệu cá nhân phải được xác định theo nội dung yêu cầu và điều khoản tương ứng, không dùng một mốc chung cho mọi trường hợp. Các khoản 2 đến 5 Điều 5 Nghị định 356/2025/NĐ-CP quy định phản hồi trong 2 ngày làm việc khi nhận yêu cầu theo đúng thủ tục; thời hạn thực hiện là 10, 15 hoặc 20 ngày tùy nhóm, cùng những trường hợp phối hợp riêng. Gia hạn có giới hạn về số lần, số ngày, nghĩa vụ thông báo và trách nhiệm chứng minh. Doanh nghiệp phải theo dõi các mốc từ sự kiện tiếp nhận phù hợp, không cộng thời gian phản hồi vào cuối thời gian thực hiện. Căn cứ trực tiếp là Điều 5 Nghị định 356 và khoản 5 Điều 4 Luật Bảo vệ dữ liệu cá nhân.

Trước khi tính ngày, cần phân loại đúng việc khách yêu cầu

Một email có thể đồng thời yêu cầu gửi bản sao dữ liệu, sửa thông tin và xóa một phần hồ sơ. Các việc đó có thể thuộc những khoản khác nhau của Điều 5. Nếu chỉ ghi một trạng thái “yêu cầu về dữ liệu” rồi chọn thời hạn dài nhất, doanh nghiệp có thể làm chậm phần việc có thời hạn ngắn hơn.

Người tiếp nhận nên ghi nguyên văn nội dung, chia thành các công việc cụ thể và xác định bên chịu trách nhiệm. Đối với rút đồng ý, hạn chế, phản đối, xem, chỉnh sửa, cung cấp và xóa, quy định nêu trách nhiệm của bên kiểm soát hoặc bên kiểm soát và xử lý. Riêng khoản 5 còn nêu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý khi nhận yêu cầu biện pháp, giải pháp bảo vệ.

Thời hạn giải quyết không tự quyết định việc yêu cầu phải được chấp nhận toàn bộ. Điều kiện về rút đồng ý, hạn chế, chỉnh sửa, xóa và cung cấp phải được rà theo Điều 10, Điều 13, Điều 14, Điều 15 và Điều 19 Luật. Việc cần kiểm tra ngoại lệ không làm mất nghĩa vụ phản hồi và tổ chức giải quyết đúng căn cứ.

Bảng thời hạn theo Điều 5 Nghị định 356

Đối với các nhóm dưới đây, mốc phản hồi là 2 ngày làm việc, kèm cung cấp thông tin về thủ tục, khi nhận được yêu cầu theo đúng thủ tục của chủ thể. Các mốc thực hiện và gia hạn trong bảng được văn bản ghi bằng ngày, không phải ngày làm việc.

Nguồn của cả bảng: các khoản 2, 3, 4, 5 Điều 5 Nghị định 356/2025/NĐ-CP. Gia hạn phải dựa vào tính chất, mức độ phức tạp; phải thông báo lý do cho chủ thể và chứng minh sự cần thiết, hợp lý. Bảng không thay điều kiện, ngoại lệ của từng quyền.

Mốc phối hợp không phải thời gian được cộng thêm

Với nhóm khoản 2, mốc 20 ngày là thời hạn cho trường hợp cần yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý, không phải 15 ngày của doanh nghiệp cộng thêm 20 ngày của nhà cung cấp. Tương tự, trường hợp khoản 4 không được tính thành 20 ngày rồi thêm 30 ngày trước khi xem xét gia hạn.

Phải đọc đúng công việc mà điều khoản nhắc đến. Câu về 15 ngày tại khoản 3 chỉ nêu trường hợp cần yêu cầu bên xử lý, bên thứ ba chỉnh sửa dữ liệu. Không thể rút gọn thành “cứ có bên thứ ba thì được 15 ngày” cho cả yêu cầu xem hoặc cung cấp.

Câu về 30 ngày tại khoản 4 có nhắc việc yêu cầu bên xử lý, bên thứ ba cung cấp, xóa, hạn chế xử lý, nhưng nằm trong khoản điều chỉnh yêu cầu xóa. Không nên tách riêng các từ đó để mặc định kéo dài yêu cầu cung cấp độc lập từ 10 lên 30 ngày. Nếu một hồ sơ có nhiều quyền hoặc phạm vi chưa rõ, phải phân loại và kết luận căn cứ áp dụng cho từng phần; không chọn mốc dài nhất chỉ vì thuận tiện.

Không áp bảng này cho mọi thủ tục liên quan dữ liệu

Quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường tại điểm đ khoản 1 Điều 4 Luật được thực hiện theo pháp luật tương ứng. Điều 5 Nghị định 356 không biến các thủ tục đó thành yêu cầu phải hoàn thành trong 10 hoặc 20 ngày. Thời hạn thông báo vi phạm theo Điều 23 Luật cũng là một nghĩa vụ khác, không phải thời hạn chung để trả lời khách hàng.

Riêng yêu cầu từ chối tin nhắn, thư điện tử hoặc cuộc gọi quảng cáo phải rà quy định chuyên biệt. Khoản 4 Điều 13 Nghị định 91/2020/NĐ-CP yêu cầu chấm dứt ngay việc gửi hoặc gọi quảng cáo sau khi nhận yêu cầu từ chối. Không dùng mốc 15 ngày của nhóm rút đồng ý để tiếp tục gửi quảng cáo trong thời gian chờ giải quyết hồ sơ.

Mốc bắt đầu được ghi nhận thế nào?

Điều 5 sử dụng sự kiện nhận yêu cầu theo đúng thủ tục của chủ thể dữ liệu. Vì vậy, hồ sơ nên có thời điểm thực nhận, nội dung đã nhận, cách xác minh phù hợp và thời điểm đủ căn cứ xác định yêu cầu đúng thủ tục. Nếu cần bổ sung, lưu rõ thông tin còn thiếu, hướng dẫn và thời điểm bổ sung; không chỉ ghi ngày nhân viên bắt đầu mở phiếu nội bộ.

Trường hợp yêu cầu đã đúng thủ tục và được nhận vào ngày thứ nhất, việc phòng pháp chế nhận chuyển tiếp vào ngày thứ ba không tự tạo mốc tính mới. Kỳ họp duyệt nội bộ, ngày giám đốc ký hoặc ngày nhà cung cấp bắt đầu thao tác cũng không thay sự kiện tiếp nhận ban đầu của bên có nghĩa vụ.

Không nên mặc định rằng cứ yêu cầu xác minh thêm thì mọi thời hạn dừng lại. Điều 5 không đặt một cơ chế tạm dừng chung như vậy. Doanh nghiệp phải giải thích phần cần làm rõ, tổ chức xác minh kịp thời và tránh dùng thủ tục do mình thiết kế để kéo dài thời gian. Khoản 4 Điều 4 Luật yêu cầu tạo thuận lợi, không gây khó khăn, cản trở việc thực hiện quyền.

Phản hồi trong 2 ngày làm việc cần có thông tin thủ tục phù hợp, không chỉ là tin tự động “chúng tôi đã nhận thư”. Thời hạn thực hiện không được đợi đến sau khi đã sử dụng hết 2 ngày này mới bắt đầu tính. Hai việc phải được theo dõi song song từ căn cứ tiếp nhận tương ứng.

Phân biệt ngày, ngày làm việc và ngày cuối cùng

Trước hết phải giữ đúng đơn vị của từng điều khoản. Mốc 10 ngày có thể bao gồm ngày nghỉ nằm giữa khoảng thời gian, trong khi 2 ngày làm việc phải đối chiếu lịch làm việc và ngày nghỉ áp dụng. Việc phần mềm theo dõi công việc mặc định bỏ thứ Bảy, Chủ nhật không phải căn cứ biến mọi thời hạn thành ngày làm việc.

Đối với cách tính thời hạn theo Bộ luật Dân sự, Điều 145, Điều 147 và Điều 148 Bộ luật Dân sự số 91/2015/QH13 cần được đối chiếu cùng quy định chuyên biệt. Điều 145 đặt quy tắc áp dụng, trừ trường hợp có thỏa thuận khác hoặc pháp luật quy định khác. Khoản 2, khoản 3 Điều 147 quy định thời hạn tính bằng ngày hoặc bắt đầu bằng một sự kiện không tính ngày đầu hoặc ngày xảy ra sự kiện, mà tính từ ngày tiếp theo.

Khoản 1, khoản 5 và khoản 6 Điều 148 quy định việc kết thúc thời hạn tính bằng ngày; nếu ngày cuối là ngày nghỉ cuối tuần hoặc ngày nghỉ lễ thì kết thúc vào cuối ngày làm việc tiếp theo. Đây là quy tắc về ngày cuối, không phải bỏ toàn bộ ngày nghỉ trong khoảng tính. Khi áp dụng cần xác định đúng lịch nghỉ và quy định liên quan; không lấy thỏa thuận nội bộ để vô hiệu hóa thời hạn bắt buộc về thực hiện quyền.

Ví dụ tính hai mốc từ cùng một yêu cầu

Ví dụ minh họa: A nhận yêu cầu cung cấp dữ liệu đúng thủ tục vào thứ Hai, ngày 02/11/2026. Giả định quan hệ và cách tính áp dụng theo quy tắc nêu trên, lịch làm việc từ thứ Hai đến thứ Sáu, không có ngày nghỉ lễ khác trong khoảng xét và không phát sinh căn cứ gia hạn.

Mốc phản hồi 2 ngày làm việc được theo dõi vào thứ Ba 03/11 và thứ Tư 04/11; A cần phản hồi, cung cấp thông tin thủ tục trong hạn tương ứng. Mốc thực hiện 10 ngày tính từ 03/11, gồm cả ngày nghỉ ở giữa, kết thúc vào thứ Năm 12/11. Không tính 10 ngày kể từ 04/11, cũng không kéo thành 10 ngày làm việc.

Nếu nhận một yêu cầu tương tự ngày 28/10/2026, ngày thứ mười theo cách tính bằng ngày rơi vào 07/11, là thứ Bảy. Với giả định thứ Bảy và Chủ nhật là ngày nghỉ áp dụng, quy tắc khoản 5 Điều 148 đưa điểm kết thúc sang cuối thứ Hai 09/11. Doanh nghiệp nên bố trí hoàn thành sớm hơn để kiểm tra giao nhận, thay vì chờ sát cuối ngày cuối cùng.

Các ngày trong ví dụ chỉ minh họa cách tính với giả định đã nêu. Khi ghi hạn cho một hồ sơ thật, cần lưu ngày nhận, loại quyền, điều khoản, lịch áp dụng và phép tính, nhất là khi có ngày nghỉ hoặc quy định riêng của hoạt động.

Khi cần gia hạn, phải chuẩn bị gì?

Các khoản 2 đến 5 Điều 5 cho phép tối đa một lần gia hạn theo giới hạn riêng. Đây không phải phần thời gian tự động có sẵn cho mọi yêu cầu. Doanh nghiệp phải chỉ ra vì sao tính chất hoặc mức độ phức tạp của yêu cầu khiến việc kéo dài là cần thiết và hợp lý.

Chẳng hạn, hồ sơ nằm trên nhiều hệ thống có định dạng khác nhau và cần đối chiếu để không giao dữ liệu của người khác có thể đặt ra công việc cần đánh giá. Tuy nhiên, chỉ viết “hệ thống phức tạp” chưa đủ. Cần ghi nơi đã tìm, phần đã hoàn thành, vấn đề cụ thể còn lại, người xử lý và thời gian thực sự cần thêm. Việc thiếu người theo dõi hoặc quên chuyển yêu cầu không tự trở thành lý do hợp lệ.

Thông báo gia hạn nên nêu mã yêu cầu, phần công việc bị ảnh hưởng, lý do cụ thể, thời gian cần thêm, hạn dự kiến và đầu mối liên hệ. Nội dung lý do phải đủ để giải thích nhưng không tiết lộ dữ liệu của người khác hoặc thông tin bảo mật không cần thiết. Nên gửi trước khi hết hạn đang áp dụng và giữ bằng chứng gửi, tiếp nhận; không chờ quá hạn mới chuẩn bị văn bản giải trình.

Điều 5 yêu cầu thông báo lý do và chứng minh gia hạn cần thiết, hợp lý; điều khoản không ấn định một số ngày báo trước chung. Doanh nghiệp không nên tự ghi “pháp luật cho phép báo trước ba ngày” nếu không có nguồn khác áp dụng. Cũng không được gia hạn lần hai chỉ vì lần đầu chưa dùng hết số ngày tối đa.

Khi chỉ một phần yêu cầu phức tạp, cần xem phần nào có thể hoàn thành trong hạn ban đầu và phản hồi theo từng nội dung. Một văn bản gia hạn chung cho cả hồ sơ có thể che khuất việc các quyền khác nhau đang có mốc hoặc điều kiện khác nhau.

Lập sổ theo dõi để kiểm soát thời hạn

Một dòng theo dõi nên tương ứng với một công việc cần thực hiện, có liên kết về yêu cầu gốc. Với yêu cầu vừa sửa vừa cung cấp, có thể tạo hai dòng để ghi căn cứ, nơi xử lý và kết quả riêng. Đây là khuyến nghị quản trị để thực hiện khoản 1 Điều 5, không phải biểu mẫu nhà nước bắt buộc.

Thông tin tối thiểu nên gồm mã yêu cầu, thời điểm nhận, loại quyền, điều khoản áp dụng, hạn phản hồi, hạn thực hiện, đầu mối và tình trạng. Khi có bên ngoài, ghi rõ cần họ làm gì, ngày giao việc, hạn nội bộ và bằng chứng hoàn tất. Nếu gia hạn, bổ sung lần gia hạn, lý do, căn cứ đánh giá, thông báo và hạn mới.

Ví dụ, phiếu cung cấp độc lập không nên tự chuyển sang cột “30 ngày” chỉ vì dữ liệu nằm trên nền tảng thuê ngoài. Người theo dõi phải kiểm tra khoản 3 và khả năng phối hợp thực tế. Hạn hỗ trợ do nhà cung cấp tự công bố không tự sửa thời hạn pháp luật của doanh nghiệp; cần xử lý khoảng chênh qua hợp đồng và tổ chức công việc.

Tài liệu theo dõi cần được nối với quy chế bảo vệ dữ liệu cá nhân và bộ tài liệu tuân thủ của doanh nghiệp. Khi phát hiện nguy cơ trễ hạn, báo ngay người có thẩm quyền để xử lý phần còn lại và nghĩa vụ phản hồi. Không sửa ngày nhận hoặc ghi kết quả chưa xảy ra để làm hồ sơ trông đúng hạn.

Câu hỏi thường gặp

Có thể ghi trong chính sách rằng mọi yêu cầu được giải quyết trong 30 ngày không?

Không thể dùng mốc chung đó thay các thời hạn tại Điều 5. Doanh nghiệp cần mô tả đúng từng nhóm và điều kiện áp dụng. Với yêu cầu xóa, có thể xem thêm quy trình xử lý khi khách hàng yêu cầu xóa dữ liệu; mốc của việc xóa không tự áp cho cung cấp hoặc chỉnh sửa.

Thuê phần mềm nước ngoài có tự được thêm thời gian không?

Không. Phải xác định đúng công việc và trường hợp phối hợp được điều khoản cho phép. Chênh lệch múi giờ hoặc quy trình hỗ trợ của nhà cung cấp là vấn đề cần tổ chức giải quyết, không tự sinh một lần gia hạn hợp lệ.

Đã phản hồi trong 2 ngày làm việc có được đóng yêu cầu không?

Chỉ phản hồi thủ tục chưa hoàn thành nghĩa vụ thực hiện. Cần có kết quả tương ứng, hoặc xử lý đúng căn cứ đối với phần chưa thể thực hiện. Trạng thái hoàn tất phải dựa trên công việc thực tế và bằng chứng.

Nghị định 392/2026/NĐ-CP có thay bảng thời hạn này không?

Chương VII Nghị định 392/2026/NĐ-CP sửa một số nội dung về hồ sơ và dịch vụ bảo vệ dữ liệu, không sửa Điều 5 Nghị định 356. Văn bản có hiệu lực từ 15/11/2026, chưa áp dụng tại ngày kiểm tra bài. Không lấy thời hạn đánh giá hồ sơ hành chính trong văn bản này thay cho thời hạn thực hiện quyền của cá nhân.

Justix hỗ trợ rà soát bảng thời hạn và mẫu phản hồi

Doanh nghiệp có thể chuẩn bị quy trình đang dùng, vài yêu cầu đã che thông tin cá nhân, bảng theo dõi và điều khoản phối hợp với nhà cung cấp. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ đối chiếu thời hạn, phân công và xây dựng biểu mẫu theo hạng mục thống nhất. Có thể gửi mô tả vướng mắc qua trang liên hệ Justix để xác định phạm vi cần rà soát.