Nghị định 13 bảo vệ dữ liệu cá nhân

Trả lời nhanh: Nghị định 13/2023/NĐ-CP là văn bản đầu tiên quy định toàn diện về bảo vệ dữ liệu cá nhân tại Việt Nam, ban hành ngày 17/04/2023, hiệu lực 01/07/2023 và hết hiệu lực từ 01/01/2026. Hai trụ cột của nghị định là quyền của chủ thể dữ liệu và nghĩa vụ tuân thủ của bên xử lý dữ liệu.

Trong gần ba năm, Nghị định 13/2023/NĐ-CP là "luật chơi" chi phối mọi hoạt động thu thập số điện thoại, ghi âm cuộc gọi và lưu trữ thông tin khách hàng của doanh nghiệp Việt Nam.

Điểm cần nắm ngay: Nghị định 13 đã hết hiệu lực từ ngày 01/01/2026. Thay thế nó là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được Quốc hội khóa XV thông qua ngày 26/06/2025 và có hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều của luật này, cũng có hiệu lực từ 01/01/2026. Dù vậy, hiểu Nghị định 13 vẫn cần thiết: phần lớn quy trình tuân thủ doanh nghiệp đang vận hành được xây theo nghị định này, và khung tư duy của nó được kế thừa gần như nguyên vẹn. Để định vị nghị định trong toàn hệ thống văn bản, xem thêm bài phân tích khung pháp lý bảo vệ dữ liệu cá nhân hiện hành.

Tóm tắt nhanh

• Nghị định 13/2023/NĐ-CP ban hành 17/04/2023, hiệu lực từ 01/07/2023, hết hiệu lực từ 01/01/2026.
• Văn bản thay thế: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thông qua 26/06/2025, hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành.
• Nội dung cốt lõi: phân loại dữ liệu cơ bản và nhạy cảm (Điều 2), 11 quyền của chủ thể dữ liệu (Điều 9), điều kiện để sự đồng ý có hiệu lực, mốc 72 giờ thông báo vi phạm (Điều 23), hồ sơ đánh giá tác động và chuyển dữ liệu ra nước ngoài — đều gửi Bộ Công an trong 60 ngày (Điều 24, 25).

Nghị định 13/2023/NĐ-CP là gì?

Nghị định 13/2023/NĐ-CP được Chính phủ ban hành ngày 17/04/2023, hiệu lực từ 01/07/2023. Trước đó, quy định về dữ liệu cá nhân nằm rải rác trong Luật An toàn thông tin mạng, Luật An ninh mạng và Bộ luật Dân sự. Nghị định 13 lấp khoảng trống đó: đưa ra định nghĩa thống nhất và xác lập vai trò pháp lý của các bên xử lý dữ liệu.

Phân vai này quan trọng vì một chiến dịch gọi ra điển hình có ít nhất ba bên chạm vào dữ liệu khách — mỗi bên có nghĩa vụ riêng, không thể đẩy hết trách nhiệm cho nhau. Nghị định còn có hiệu lực ngoài lãnh thổ: một nền tảng đặt máy chủ ở Singapore nhưng phục vụ khách hàng Việt Nam vẫn phải tuân thủ.

Dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

Điều 2 chia dữ liệu cá nhân thành hai nhóm, bởi nhóm nhạy cảm kéo theo nghĩa vụ nặng hơn hẳn.

Dữ liệu cơ bản gồm thông tin định danh thông thường: họ tên, ngày sinh, giới tính, nơi thường trú, quốc tịch, số điện thoại, số căn cước công dân, mã số thuế, số tài khoản, tình trạng hôn nhân, dữ liệu phản ánh hoạt động trên không gian mạng.

Dữ liệu nhạy cảm là nhóm mà khi bị xâm phạm sẽ tác động trực tiếp đến quyền và lợi ích hợp pháp của cá nhân: quan điểm chính trị và tôn giáo, tình trạng sức khỏe, nguồn gốc chủng tộc, đặc điểm di truyền, thuộc tính sinh trắc học, đời sống tình dục, dữ liệu về tội phạm, thông tin khách hàng của tổ chức tín dụng và trung gian thanh toán, và dữ liệu về vị trí cá nhân xác định qua dịch vụ định vị.

Hai mục cuối khiến nhiều doanh nghiệp bất ngờ: một tổng đài của công ty tài chính tiêu dùng gọi nhắc lịch thanh toán đang xử lý dữ liệu nhạy cảm, vì nội dung cuộc gọi gắn với thông tin khoản vay. Khi đó doanh nghiệp phải thông báo rõ cho chủ thể và thường phải chỉ định nhân sự phụ trách bảo vệ dữ liệu.

11 quyền của chủ thể dữ liệu theo Điều 9

Quyền số 4 và số 8 khiến chiến dịch gọi ra dễ vi phạm nhất. Khi khách nói "đừng gọi cho tôi nữa" giữa cuộc gọi, đó là hành vi rút lại sự đồng ý và phản đối xử lý dữ liệu cho mục đích tiếp thị. Nếu danh sách từ chối không được đồng bộ về nguồn dữ liệu gốc trước chiến dịch kế tiếp, doanh nghiệp gần như chắc chắn gọi lại người đó ở đợt sau — vừa vi phạm quy định bảo vệ dữ liệu, vừa vi phạm quy định về cuộc gọi quảng cáo. Đây là lý do hệ thống gọi ra cần cơ chế danh sách chặn tự động, như trình bày trong hướng dẫn tuân thủ Nghị định 91 về cuộc gọi quảng cáo.

Luật 91/2025/QH15 rút gọn còn 6 nhóm quyền bằng cách gộp các quyền có nội hàm gần nhau, đồng thời bổ sung quyền yêu cầu bên khác bảo vệ dữ liệu cá nhân của mình — thay đổi về kỹ thuật lập pháp, không phải cắt giảm mức bảo vệ.

Yêu cầu về sự đồng ý

Sự đồng ý chỉ có hiệu lực khi được thể hiện rõ ràng, cụ thể — bằng văn bản, giọng nói, đánh dấu vào ô đồng ý hoặc hình thức khác thể hiện hành động khẳng định — nêu rõ loại dữ liệu, mục đích xử lý và các bên được xử lý. Ba nguyên tắc thường bị bỏ qua:

1. Im lặng không phải là đồng ý. Ô tích sẵn hay điều khoản chôn trong văn bản dài không tạo ra sự đồng ý hợp lệ.
2. Sự đồng ý phải ở định dạng in, sao chép được bằng văn bản, kể cả dạng điện tử — bản ghi âm, nhật ký hệ thống, biểu mẫu có dấu thời gian.
3. Mỗi mục đích cần một sự đồng ý riêng. Đồng ý nhận thông báo giao hàng không đồng nghĩa với đồng ý nhận cuộc gọi tiếp thị.

Điểm quan trọng nhất với tổng đài: nghĩa vụ chứng minh thuộc về doanh nghiệp. Khi có khiếu nại, doanh nghiệp phải trưng ra bằng chứng khách đã đồng ý, chứ không phải khách chứng minh mình chưa từng đồng ý.

Hồ sơ đánh giá tác động và chuyển dữ liệu ra nước ngoài (Điều 24, 25)

Điều 24 yêu cầu Bên Kiểm soát dữ liệu và Bên Kiểm soát và xử lý dữ liệu lập, lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (quốc tế gọi tắt là DPIA) ngay từ khi bắt đầu xử lý, luôn có sẵn phục vụ kiểm tra và gửi một bản chính tới Bộ Công an trong 60 ngày. Hồ sơ nêu các bên tham gia, nhân sự phụ trách bảo vệ dữ liệu, mục đích và loại dữ liệu, tổ chức nhận dữ liệu (kể cả ngoài lãnh thổ Việt Nam), biện pháp bảo vệ và đánh giá thiệt hại có khả năng xảy ra.

Điều 25 quy định thủ tục chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài: bên chuyển lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, gửi một bản chính tới Bộ Công an cũng trong 60 ngày, và sau khi chuyển thành công thì thông báo bằng văn bản cho Bộ Công an kèm đầu mối liên hệ.

Điều 25 gây bối rối nhất, vì "chuyển dữ liệu ra nước ngoài" không chỉ là xuất một tệp gửi cho đối tác ngoại quốc. Trong bối cảnh tổng đài, các tình huống sau đều có khả năng thuộc phạm vi điều chỉnh:

• Lưu bản ghi âm trên dịch vụ đám mây có trung tâm dữ liệu ngoài Việt Nam.
• Gửi đoạn âm thanh tới dịch vụ chuyển giọng nói thành văn bản của nhà cung cấp nước ngoài.
• Đồng bộ danh sách khách hàng lên nền tảng CRM quốc tế.
• Dùng mô hình ngôn ngữ đặt ở nước ngoài để tóm tắt hoặc chấm điểm hội thoại.

Về kỹ thuật, những việc trên chỉ là tích hợp thông thường qua API; về pháp lý, đó là chuyển dữ liệu cá nhân ra khỏi lãnh thổ, kèm nghĩa vụ hồ sơ tương ứng. Luật 91/2025/QH15 giữ tinh thần kiểm soát nhưng đổi thuật ngữ thành "chuyển dữ liệu xuyên biên giới" và gắn chế tài nặng hơn hẳn: theo Điều 8 Luật số 91/2025/QH15, mức phạt tối đa 5% doanh thu năm trước liền kề chỉ áp dụng riêng cho nhóm hành vi này, trong khi vi phạm khác chịu mức trần 3 tỷ đồng.

Nghĩa vụ thông báo vi phạm trong 72 giờ (Điều 23)

Điều 23 quy định: khi phát hiện vi phạm, Bên Kiểm soát dữ liệu và Bên Kiểm soát và xử lý dữ liệu phải thông báo cho Bộ Công an — cụ thể là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) — chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm, kèm lý do giải trình nếu trễ hạn. Nội dung cần nêu mô tả tính chất vi phạm, liên lạc của nhân sự phụ trách bảo vệ dữ liệu, hậu quả có thể xảy ra và biện pháp đã áp dụng.

Mốc 72 giờ chỉ khả thi khi doanh nghiệp có sẵn quy trình phát hiện và leo thang sự cố. Một tổng đài không có nhật ký truy cập, không giám sát hành vi tải hàng loạt dữ liệu thường phát hiện rò rỉ sau nhiều tuần — khi đó vi phạm cả nghĩa vụ bảo mật lẫn nghĩa vụ thông báo.

Áp dụng Nghị định 13 cho hoạt động tổng đài

Bốn tình huống dưới đây bao phủ gần như toàn bộ rủi ro dữ liệu của một trung tâm CSKH. Phần cấu hình kỹ thuật — phân quyền, mã hóa, chính sách lưu trữ bản ghi âm — được trình bày riêng trong hướng dẫn các biện pháp bảo vệ dữ liệu cá nhân cho hệ thống tổng đài.

Ghi âm cuộc gọi

Bản ghi âm chứa giọng nói và nội dung hội thoại gắn với một cá nhân xác định nên là dữ liệu cá nhân. Cách bền vững nhất là lồng câu thông báo ghi âm vào lời chào tự động thay vì để tổng đài viên tự nhớ đọc — khi đó mọi cuộc gọi đều có nó, và bản thân bản ghi âm chính là bằng chứng tuân thủ. Song song, cần đặt thời hạn lưu trữ rõ ràng: giữ ghi âm vô thời hạn là cách vi phạm nguyên tắc "không lưu lâu hơn mức cần thiết" dễ nhất.

Lưu số điện thoại và thông tin khách hàng trong CRM

Mỗi số điện thoại lưu trong phần mềm quản lý quan hệ khách hàng — thường gọi tắt là hệ thống CRM — là một dữ liệu cá nhân cơ bản, và mỗi trường đi kèm (lịch sử mua hàng, tình trạng công nợ) làm tăng mức nhạy cảm của hồ sơ. Ba yêu cầu cần cấu hình: truy vết nguồn gốc dữ liệu kèm bằng chứng đồng ý (danh sách mua lại từ bên thứ ba không rõ nguồn là rủi ro pháp lý trực tiếp); đáp ứng quyền của chủ thể bằng thao tác sẵn có để xem, sửa, xóa, hạn chế xử lý dữ liệu của một khách; và phân quyền theo vai trò kèm ghi nhật ký mọi lượt xem, xuất dữ liệu.

Callbot ghi nhận thông tin khách hàng

Khi tổng đài dùng robot gọi tự động — chẳng hạn giải pháp callbot AI của Tổng Đài AI — để hỏi và ghi nhận thông tin trong cuộc gọi, hệ thống đang thu thập dữ liệu cá nhân ở quy mô hàng nghìn cuộc gọi mỗi ngày. Nghị định 13 không cấm điều này nhưng đặt ra hai ràng buộc: kịch bản phải minh bạch về mục đích và chỉ thu thập dữ liệu tối thiểu cần thiết — nếu mục đích là xác nhận lịch hẹn, kịch bản không nên hỏi thêm thu nhập hay tình trạng hôn nhân. Ưu thế của callbot là tính nhất quán: kịch bản đã được pháp chế duyệt sẽ chạy đúng như vậy ở mọi cuộc gọi; ngược lại, một kịch bản sai sẽ nhân bản lỗi ở quy mô lớn.

Chuyển dữ liệu ra nước ngoài trong hạ tầng tổng đài

Doanh nghiệp cần vẽ được sơ đồ đường đi của dữ liệu: ghi âm lưu ở đâu, dịch vụ nào xử lý, máy chủ đặt tại quốc gia nào. Câu hỏi "dữ liệu khách hàng của tôi được lưu ở đâu" nên được đặt ra ngay khi đánh giá nhà cung cấp, cùng yêu cầu ký hợp đồng — hoặc phụ lục — xử lý dữ liệu nêu rõ trách nhiệm mỗi bên: phạm vi dữ liệu, vị trí trung tâm dữ liệu, nghĩa vụ thông báo khi có sự cố và cam kết xóa hoặc trả lại dữ liệu khi chấm dứt hợp đồng.

Từ Nghị định 13 sang Luật Bảo vệ dữ liệu cá nhân 2025

Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định mức trần với tổ chức: tối đa 3 tỷ đồng với vi phạm nói chung; 10 lần khoản thu có được với hành vi mua, bán dữ liệu cá nhân; và 5% doanh thu năm trước liền kề với vi phạm quy định chuyển dữ liệu xuyên biên giới. Cá nhân vi phạm cùng hành vi chịu mức tối đa bằng một nửa mức áp dụng cho tổ chức.

Cần lưu ý đây là mức trần do Luật 91/2025/QH15 quy định, còn khung xử phạt chi tiết cho từng hành vi nằm trong dự thảo nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — văn bản vẫn đang xây dựng, lấy ý kiến tính đến giữa năm 2026 và chưa có hiệu lực. Doanh nghiệp nên theo dõi thời điểm ban hành chính thức thay vì áp dụng con số trong dự thảo như quy định đã có hiệu lực.

Doanh nghiệp cần làm gì từ 01/01/2026

1. Cập nhật căn cứ pháp lý trong tài liệu đối ngoại — chính sách quyền riêng tư, hợp đồng xử lý dữ liệu và mẫu xin đồng ý đang dẫn chiếu "Nghị định 13/2023/NĐ-CP" cần chuyển sang Luật số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
2. Đánh giá lại toàn bộ luồng chuyển dữ liệu xuyên biên giới — nhóm nghĩa vụ có chế tài nặng nhất (tối đa 5% doanh thu năm trước liền kề).
3. Rà soát hồ sơ đánh giá tác động theo biểu mẫu của Nghị định 356/2025/NĐ-CP — cơ chế và mốc 60 ngày giữ nguyên, chỉ cần bổ sung phần còn thiếu.
4. Cập nhật nhãn phân loại yêu cầu từ 11 quyền sang 6 nhóm quyền trong CRM và tài liệu đào tạo, đồng thời diễn tập quy trình 72 giờ ít nhất một lần.

Câu hỏi thường gặp

Nghị định 13 bảo vệ dữ liệu cá nhân còn hiệu lực không? Không. Nghị định 13/2023/NĐ-CP có hiệu lực từ 01/07/2023 và hết hiệu lực từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/06/2025) cùng Nghị định 356/2025/NĐ-CP chính thức áp dụng. Phần lớn nguyên tắc của Nghị định 13 được kế thừa trong quy định mới, nên quy trình doanh nghiệp đã xây vẫn dùng được sau khi rà soát.

Nội dung Nghị định 13 bảo vệ dữ liệu gồm những gì? Nghị định quy định phân loại dữ liệu cá nhân thành nhóm cơ bản và nhạy cảm (Điều 2), 11 quyền của chủ thể dữ liệu (Điều 9), điều kiện để sự đồng ý có hiệu lực, nghĩa vụ thông báo vi phạm trong 72 giờ tới Bộ Công an (Điều 23), hồ sơ đánh giá tác động xử lý dữ liệu (Điều 24) và thủ tục chuyển dữ liệu ra nước ngoài (Điều 25).

Lưu ghi âm trên máy chủ đám mây nước ngoài có vi phạm không? Không đương nhiên vi phạm, nhưng đây là hoạt động chuyển dữ liệu cá nhân ra nước ngoài, kéo theo nghĩa vụ lập hồ sơ đánh giá tác động và gửi Bộ Công an. Từ 01/01/2026, đây là nhóm hành vi có mức trần chế tài cao nhất theo Điều 8 Luật số 91/2025/QH15 — tối đa 5% doanh thu năm trước liền kề.

Áp dụng Nghị định 13 cho tổng đài nên bắt đầu từ đâu? Bắt đầu bằng việc vẽ sơ đồ luồng dữ liệu: thu thập số điện thoại từ nguồn nào, lưu ở đâu, ai truy cập được, dữ liệu có rời khỏi Việt Nam không. Sau đó xử lý ba việc có tác động lớn nhất và chi phí thấp nhất: cấu hình câu thông báo ghi âm vào lời chào tự động, phân quyền truy cập theo vai trò trong CRM, và đồng bộ danh sách khách từ chối trước mỗi chiến dịch gọi ra.

Kết luận

Nghị định 13/2023/NĐ-CP đã hoàn thành vai trò lịch sử: đặt nền móng cho tư duy bảo vệ dữ liệu cá nhân tại Việt Nam. Dù đã hết hiệu lực từ 01/01/2026, những nguyên tắc cốt lõi — sự đồng ý rõ ràng, thu thập tối thiểu, minh bạch mục đích, đánh giá tác động và phản ứng nhanh khi có sự cố — vẫn là khung tham chiếu vững chắc để vận hành một tổng đài tuân thủ.

Cách giảm rủi ro hiệu quả nhất là đưa yêu cầu tuân thủ vào cấu hình hệ thống: thông báo ghi âm nằm trong lời chào tự động, danh sách từ chối đồng bộ tự động, phân quyền và nhật ký truy cập bật sẵn theo mặc định. Nền tảng tổng đài ảo của Tổng Đài AI được thiết kế theo hướng đó. Tham khảo bảng giá dịch vụ hoặc liên hệ đội ngũ để được tư vấn phương án phù hợp quy mô doanh nghiệp.

Nguồn tham khảo

• Nghị định 13/2023/NĐ-CP ngày 17/04/2023 của Chính phủ về bảo vệ dữ liệu cá nhân — vanban.chinhphu.vn.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua 26/06/2025, hiệu lực 01/01/2026 — chinhphu.vn, bocongan.gov.vn.
• Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, hiệu lực 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP — vanban.chinhphu.vn.
• Điều 8 Luật số 91/2025/QH15 về mức phạt tiền tối đa — bocongan.gov.vn, thuvienphapluat.vn.

Tác giả: Đội ngũ nội dung Tổng Đài AI. Rà soát pháp lý: bộ phận pháp chế Tổng Đài AI. Cập nhật lần cuối: 20/07/2026.

Miễn trừ trách nhiệm: Nội dung bài viết mang tính tham khảo và tổng hợp thông tin pháp lý, không phải tư vấn pháp lý. Quy định pháp luật có thể thay đổi; doanh nghiệp nên tham chiếu văn bản gốc và tham vấn bộ phận pháp chế hoặc luật sư trước khi áp dụng vào quy trình chính thức.