Nghị định 13 về bảo vệ dữ liệu cá nhân: checklist tuân thủ cho website

Website của bạn có form "để lại email nhận ưu đãi", form đăng ký tài khoản, lưu lịch sử mua hàng của khách? Nếu có, bạn đang xử lý dữ liệu cá nhân — và nghị định 13 bảo vệ dữ liệu cá nhân chính là văn bản đặt nền móng cho hoạt động này tại Việt Nam. Bài viết tóm tắt những điểm website cần biết và đưa ra checklist tuân thủ thực tế. Lưu ý: từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đã có hiệu lực cùng Nghị định 356/2025/NĐ-CP, thay thế Nghị định 13 — các nguyên tắc cốt lõi dưới đây vẫn giữ nguyên giá trị tham khảo.

Bảo vệ dữ liệu cá nhân: nghị định 13 là gì? Phạm vi áp dụng

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân được Chính phủ ban hành ngày 17/4/2023 và có hiệu lực từ ngày 01/7/2023. Đây là văn bản pháp lý quan trọng đầu tiên quy định chi tiết về bảo vệ dữ liệu cá nhân tại Việt Nam: nguyên tắc xử lý, quyền và nghĩa vụ của chủ thể dữ liệu, biện pháp bảo vệ, điều kiện xử lý dữ liệu nhạy cảm và chuyển dữ liệu ra nước ngoài.

Phạm vi áp dụng rất rộng: mọi cơ quan, tổ chức, cá nhân Việt Nam, cũng như tổ chức, cá nhân nước ngoài có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam. Bất kỳ website nào thu thập thông tin khách hàng — từ form liên hệ đơn giản đến hệ thống thương mại điện tử — đều thuộc phạm vi điều chỉnh.

Bảo vệ dữ liệu cá nhân: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

Bước đầu tiên để tuân thủ là biết mình đang xử lý loại dữ liệu nào:

Dữ liệu cá nhân cơ bản gồm: họ tên, ngày sinh, giới tính, quốc tịch, số điện thoại, số CMND/CCCD, địa chỉ, email, tài khoản mạng xã hội, thông tin tài khoản ngân hàng, tình trạng hôn nhân.

Dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư mà khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân, gồm: quan điểm chính trị, tôn giáo; tình trạng sức khỏe trong hồ sơ bệnh án (không bao gồm nhóm máu); nguồn gốc chủng tộc, dân tộc; đặc điểm di truyền; thuộc tính vật lý, đặc điểm sinh học riêng; đời sống tình dục, xu hướng tình dục; dữ liệu về tội phạm do cơ quan thực thi pháp luật thu thập; thông tin khách hàng của tổ chức tín dụng; dữ liệu vị trí qua dịch vụ định vị.

Bảo vệ dữ liệu cá nhân: 8 nguyên tắc xử lý dữ liệu cá nhân theo Nghị định 13

Điều 3 Nghị định 13 quy định 8 nguyên tắc — "kim chỉ nam" cho mọi hoạt động xử lý dữ liệu:

1. Hợp pháp: xử lý theo quy định của pháp luật.
2. Minh bạch: chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu của mình.
3. Đúng mục đích: chỉ xử lý đúng mục đích đã đăng ký, tuyên bố.
4. Hạn chế: thu thập phù hợp và giới hạn trong phạm vi cần thiết; không mua bán dữ liệu cá nhân dưới mọi hình thức.
5. Chính xác: dữ liệu được cập nhật, bổ sung phù hợp mục đích xử lý.
6. Bảo mật: áp dụng biện pháp bảo vệ trong quá trình xử lý, phòng chống mất mát, phá hủy do sự cố.
7. Lưu trữ giới hạn: chỉ lưu trong thời gian phù hợp với mục đích xử lý.
8. Trách nhiệm giải trình: bên kiểm soát phải tuân thủ và chứng minh được sự tuân thủ.

Với website, ba nguyên tắc hay bị vi phạm nhất là: thu thập quá nhiều trường không cần thiết, dùng dữ liệu sai mục đích đã thông báo, và lưu trữ vô thời hạn dữ liệu của khách đã ngừng giao dịch từ lâu.

Sự đồng ý hợp lệ: điều kiện website hay làm sai

Sự đồng ý là căn cứ pháp lý phổ biến nhất để website xử lý dữ liệu, nhưng cũng là điểm hay sai nhất. Theo Nghị định 13, sự đồng ý hợp lệ phải: được thể hiện rõ ràng, cụ thể; chủ thể dữ liệu được biết trước về loại dữ liệu, mục đích, bên xử lý và quyền của mình; và hoàn toàn tự nguyện.

Website thường mắc ba lỗi: checkbox tick sẵn; gộp chung nhiều mục đích vào một checkbox duy nhất; không lưu bằng chứng đồng ý. Khi có tranh chấp, bên kiểm soát phải chứng minh được sự đồng ý — không có log, coi như không có đồng ý.

Quyền của chủ thể dữ liệu

Điều 9 Nghị định 13 trao cho cá nhân 11 quyền đối với dữ liệu của mình. Website phải có cơ chế để người dùng thực hiện các quyền này:

1. Được biết về hoạt động xử lý dữ liệu cá nhân của mình.
2. Đồng ý hoặc không đồng ý cho phép xử lý dữ liệu.
3. Truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu.
4. Rút lại sự đồng ý đã đưa ra trước đó.
5. Xóa dữ liệu hoặc yêu cầu xóa dữ liệu cá nhân của mình.
6. Hạn chế xử lý — thực hiện trong 72 giờ sau yêu cầu.
7. Được cung cấp dữ liệu — yêu cầu bên kiểm soát cung cấp lại dữ liệu của mình.
8. Phản đối xử lý nhằm ngăn tiết lộ hoặc dùng cho quảng cáo — thực hiện trong 72 giờ.
9. Khiếu nại, tố cáo, khởi kiện theo quy định pháp luật.
10. Yêu cầu bồi thường thiệt hại khi bị vi phạm.
11. Tự bảo vệ theo Bộ luật Dân sự và luật khác.

Trong thực tế, hai quyền được dùng nhiều nhất là rút lại sự đồng ý (hủy đăng ký email marketing) và xóa dữ liệu (yêu cầu xóa tài khoản). Website cần kênh tiếp nhận rõ ràng và quy trình xử lý đáp ứng mốc 72 giờ.

Nghĩa vụ của bên xử lý dữ liệu: bảng checklist

Checklist tuân thủ cho website: 10 việc cần làm ngay

Dưới đây là checklist thực tế, sắp xếp theo thứ tự ưu tiên cho chủ website:

1. Rà soát dữ liệu đang thu thập. Liệt kê mọi điểm thu thập: form, chatbot, popup, cookie, công cụ phân tích. Ghi rõ: thu trường gì, để làm gì, lưu ở đâu, ai truy cập được.

2. Cắt bỏ trường không cần thiết. Chỉ cần email và mật khẩu thì đừng hỏi thêm số điện thoại, địa chỉ "cho có". Mỗi trường thừa là một rủi ro thừa.

3. Soạn và đăng chính sách bảo mật. Nêu rõ: loại dữ liệu, mục đích, thời gian lưu trữ, bên thứ ba được chia sẻ, quyền của người dùng và cách liên hệ. Đặt link ở footer mọi trang.

4. Thiết kế lại cơ chế đồng ý. Checkbox để trống mặc định, tách riêng đồng ý marketing khỏi đồng ý điều khoản. Lưu log thời điểm và nội dung đã đồng ý.

5. Tạo kênh thực hiện quyền. Ít nhất một email/form để người dùng yêu cầu xem, sửa, xóa dữ liệu, rút lại sự đồng ý. Đảm bảo đáp ứng mốc 72 giờ.

6. Rà soát bên thứ ba. Liệt kê dịch vụ ngoài đang chạm vào dữ liệu: quảng cáo, email marketing, CRM, IT outsource. Bổ sung điều khoản bảo vệ dữ liệu vào hợp đồng.

7. Tăng cường bảo mật kỹ thuật. HTTPS toàn trang, mã hóa mật khẩu và dữ liệu nhạy cảm, phân quyền tối thiểu, cập nhật phần mềm định kỳ, backup thường xuyên.

8. Xây dựng kịch bản ứng phó sự cố. Khi rò rỉ: ai quyết định, thông báo cho người dùng và cơ quan chức năng ra sao, khắc phục kỹ thuật thế nào.

9. Đào tạo nhân sự. Nhân viên tiếp xúc dữ liệu khách hàng cần hiểu: không chia sẻ ra ngoài, không dùng sai mục đích, báo ngay khi nghi ngờ rò rỉ.

10. Lưu trữ hồ sơ tuân thủ. Giữ log đồng ý, các phiên bản chính sách, biên bản đánh giá, hợp đồng với bên thứ ba — bằng chứng khi có thanh tra.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Một nghĩa vụ nhiều website bỏ qua là lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trước khi bắt đầu xử lý trong các trường hợp luật định.

Hồ sơ bao gồm: thông tin bên kiểm soát và bên xử lý; mục đích xử lý; loại dữ liệu; đánh giá mức độ ảnh hưởng đến quyền của chủ thể dữ liệu; biện pháp giảm thiểu rủi ro; và kết luận.

Đối với hoạt động chuyển dữ liệu cá nhân ra nước ngoài (lưu trên máy chủ ngoài Việt Nam, dùng SaaS nước ngoài), Nghị định 13 yêu cầu lập hồ sơ đánh giá riêng.

Chế tài xử phạt vi phạm

Vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử lý ở nhiều mức độ. Tham khảo một số chế tài theo Nghị định 15/2020/NĐ-CP (mức phạt với tổ chức; cá nhân bằng một nửa):

Lưu ý: từ 01/01/2026, Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP là khung pháp lý hiện hành — doanh nghiệp nên cập nhật tuân thủ theo văn bản mới nhất.

Kết luận

Nghị định 13 bảo vệ dữ liệu cá nhân đã đặt ra những nguyên tắc rõ ràng cho mọi website thu thập thông tin khách hàng: minh bạch, đúng mục đích, hạn chế thu thập, bảo mật và trách nhiệm giải trình. Checklist 10 việc trong bài là điểm khởi đầu thực tế cho bất kỳ chủ website nào.

Tuân thủ không chỉ để tránh bị phạt. Website có chính sách bảo mật rõ ràng, tôn trọng quyền người dùng sẽ tạo được niềm tin — và niềm tin khiến khách hàng sẵn sàng để lại thông tin, mua hàng và quay lại. Nếu hạ tầng website cần nâng cấp về bảo mật, hãy liên hệ SunCloud qua hotline 083 979 3434 hoặc truy cập suncloud.vn để được tư vấn.

Câu hỏi thường gặp

Website chỉ có form liên hệ đơn giản có phải tuân thủ không?

Có. Chỉ cần thu thập họ tên, email, số điện thoại qua form là đã xử lý dữ liệu cá nhân.

Checkbox đồng ý tick sẵn có hợp lệ không?

Không nên. Sự đồng ý phải rõ ràng, cụ thể và tự nguyện. Checkbox tick sẵn hoặc gộp chung nhiều mục đích vào một lựa chọn khó được coi là hợp lệ khi có tranh chấp.

Khách hàng yêu cầu xóa tài khoản, bao lâu phải xử lý?

Yêu cầu hạn chế xử lý và phản đối xử lý phải được thực hiện trong 72 giờ. Tốt nhất là xử lý mọi yêu cầu về dữ liệu trong vòng 72 giờ.

Lưu dữ liệu khách hàng trên máy chủ nước ngoài có được không?

Được, nhưng phát sinh thêm nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài. Nhiều doanh nghiệp chọn hạ tầng trong nước để giảm thủ tục và rủi ro.

Nghị định 13 còn hiệu lực không khi đã có Luật 91/2025?

Từ 01/01/2026, Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP là khung pháp lý hiện hành, thay thế Nghị định 13. Doanh nghiệp nên cập nhật tuân thủ theo văn bản mới nhất.

Thuê đơn vị ngoài chạy quảng cáo có cần hợp đồng bảo vệ dữ liệu không?

Có. Khi chia sẻ dữ liệu khách hàng cho bên thứ ba, cần hợp đồng quy định rõ phạm vi sử dụng, biện pháp bảo mật và trách nhiệm khi vi phạm.