Nghị định 13 dữ liệu cá nhân đã được thay thế: gửi file thế nào cho đúng luật mới?

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã hết hiệu lực từ ngày 01/01/2026. Thay thế nó là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn luật, cùng có hiệu lực từ ngày đó. Với việc gửi file, tinh thần vẫn như cũ: chỉ gửi dữ liệu cá nhân khi cần, bảo vệ bằng biện pháp phù hợp như mã hóa, không lưu lâu hơn mục đích, có thỏa thuận với bên xử lý, và lập hồ sơ khi dữ liệu ra khỏi Việt Nam.

Bài viết này tóm tắt các điều khoản áp dụng khi bạn gửi file chứa dữ liệu cá nhân như CV, bảng lương, kết quả khám bệnh, ảnh căn cước, ảnh chân dung hay danh sách khách hàng, đối chiếu với GDPR, quy định tương đương của châu Âu, rồi chuyển thành checklist dễ làm. Đây là thông tin chung tính đến tháng 10/2026, trích từ văn bản gốc trên Cổng Công báo Chính phủ, không phải tư vấn pháp lý: bộ phận pháp chế hoặc luật sư của bạn mới là người kết luận cho trường hợp cụ thể.

Nghị định 13/2023/NĐ-CP còn hiệu lực không?

Không. Điều 42 Nghị định 356/2025/NĐ-CP ghi rõ Nghị định 13/2023/NĐ-CP “hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành”, tức ngày 01/01/2026. Nhiều bài viết và hợp đồng vẫn nhắc đến Nghị định 13 vì đó là văn bản đầu tiên quy định đầy đủ về dữ liệu cá nhân, nhưng căn cứ hiện hành là luật mới.

Luật có quy định chuyển tiếp (Điều 39): hoạt động xử lý dữ liệu đã được chủ thể đồng ý theo Nghị định 13 thì tiếp tục, không phải xin đồng ý lại; hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước ngày 01/01/2026 vẫn được dùng tiếp, nhưng việc cập nhật về sau theo luật mới.

Khi nào gửi file là xử lý dữ liệu cá nhân?

Theo Điều 2 Luật, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác “xác định hoặc giúp xác định một con người cụ thể”, gồm dữ liệu cơ bản và dữ liệu nhạy cảm. Xử lý dữ liệu cá nhân bao gồm thu thập, mã hóa, cung cấp, chuyển giao và mọi hoạt động khác tác động đến dữ liệu. Gửi một hợp đồng có họ tên và địa chỉ, một bảng Excel khách hàng hay một bộ ảnh có người nhận ra được đều là xử lý dữ liệu cá nhân, và việc dịch vụ chuyển file lưu tạm các file đó cũng vậy.

Các điều khoản quan trọng khi gửi file có dữ liệu cá nhân

Dịch vụ gửi file là “bên xử lý”: cần thỏa thuận gì?

Luật phân biệt bên kiểm soát dữ liệu cá nhân, người quyết định mục đích và phương tiện xử lý (thường là doanh nghiệp của bạn), và bên xử lý dữ liệu cá nhân, người xử lý theo yêu cầu của bên kiểm soát “thông qua hợp đồng” (Điều 2). Khi một dịch vụ chuyển file lưu file thay cho bạn, nó đóng vai trò bên xử lý. Điều 37 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng, và bên kiểm soát phải lựa chọn bên xử lý phù hợp.

Điều 7 Nghị định 356 liệt kê nội dung của thỏa thuận chuyển giao: mục đích, loại dữ liệu và đối tượng chủ thể, thời hạn xử lý và yêu cầu xóa, hủy sau khi hoàn thành, cơ sở pháp lý, trách nhiệm bảo vệ dữ liệu, trách nhiệm thực hiện quyền của chủ thể và phối hợp khi có vi phạm. Khi dùng dịch vụ cho công việc, hãy kiểm tra nhà cung cấp có công bố chính sách quyền riêng tư, điều khoản xử lý dữ liệu và nơi lưu trữ hay không.

Luật có bắt buộc mã hóa file không?

Không phải với mọi dữ liệu. Điều 12 Luật để cơ quan, tổ chức tự “quyết định việc mã hóa, giải mã dữ liệu cá nhân phù hợp với hoạt động xử lý”. Nhưng với dữ liệu nhạy cảm, Điều 7 Nghị định 356 yêu cầu việc chuyển giao phải có “biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác”. Gửi ảnh căn cước, hồ sơ sức khỏe hay sao kê ngân hàng qua một file đính kèm không mã hóa vì thế là lựa chọn khó bảo vệ.

Một điểm khác với châu Âu: luật Việt Nam nói rõ dữ liệu sau khi mã hóa vẫn là dữ liệu cá nhân. Mã hóa giảm hậu quả nếu file lọt ra ngoài, nhưng không làm biến mất các nghĩa vụ khác. Mã hóa đầu cuối, trong đó cả nhà cung cấp cũng không đọc được file, là hình thức mạnh nhất; xem mã hóa đầu cuối là gì.

Lưu file bao lâu thì hợp lý?

Một thư mục chia sẻ mở suốt nhiều năm khó khớp với nguyên tắc lưu trữ “trong khoảng thời gian phù hợp với mục đích xử lý” (Điều 3) và nghĩa vụ xóa, hủy khi đã hoàn thành mục đích (Điều 14). Link chuyển file tự hết hạn sau vài ngày, file bị xóa khi hết hạn, áp dụng các nguyên tắc này một cách mặc định, không ai phải nhớ đi dọn. Bài tạo link có mật khẩu và hạn dùng gợi ý thời hạn theo từng tình huống.

Lưu file trên máy chủ ở nước ngoài có phải là chuyển dữ liệu xuyên biên giới?

Thường là có. Điều 20 Luật coi là chuyển dữ liệu cá nhân xuyên biên giới khi dữ liệu đang lưu tại Việt Nam được chuyển đến hệ thống lưu trữ đặt ngoài lãnh thổ, khi tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho bên ở nước ngoài, hoặc khi dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Điều 17 Nghị định 356 nêu cụ thể cả việc lưu trên “dịch vụ điện toán đám mây của nhà cung cấp dịch vụ ở nước ngoài”.

• Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: lập và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (thuộc Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu. Hồ sơ lập một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22.
• Thành phần hồ sơ (Điều 18 Nghị định 356): báo cáo đánh giá tác động theo Mẫu số 09, bản sao hợp đồng hoặc văn bản chuyển giao giữa bên chuyển và bên nhận, cùng chính sách, quy trình bảo vệ dữ liệu. Cơ quan chuyên trách trả kết quả trong 15 ngày.
• Không phải lập hồ sơ (Điều 20 khoản 6 Luật): chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; tổ chức lưu dữ liệu của chính người lao động trên điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu của mình. Nghị định 356 bổ sung vài trường hợp như quản lý nhân sự xuyên biên giới hay cung cấp dữ liệu để đặt khách sạn, xin thị thực, xin học bổng.
• Doanh nghiệp nhỏ (Điều 38 Luật): doanh nghiệp nhỏ, khởi nghiệp được chọn không thực hiện Điều 21 (hồ sơ đánh giá tác động xử lý), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (chỉ định nhân sự bảo vệ dữ liệu) trong 05 năm; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các quy định này, trừ khi kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn người. Điều khoản này không nhắc đến Điều 20, nên hãy hỏi luật sư nếu bạn ở diện này và có chuyển dữ liệu ra nước ngoài.

GDPR là gì? Quy định tương đương ở châu Âu

GDPR (Quy định chung về bảo vệ dữ liệu, Quy định (EU) 2016/679) là luật bảo vệ dữ liệu của Liên minh châu Âu. Nó áp dụng khi bạn làm việc với khách hàng, đối tác hay nhân sự ở châu Âu, hoặc cung cấp dịch vụ cho người ở đó. Hai hệ thống nói cùng một ngôn ngữ (giới hạn mục đích, bảo mật, thời hạn lưu trữ, chuyển dữ liệu ra nước ngoài), nhưng khác nhau ở vài điểm quan trọng khi gửi file:

Checklist chọn dịch vụ gửi file phù hợp luật dữ liệu cá nhân

• Chính sách quyền riêng tư rõ ràng và điều khoản xử lý dữ liệu cho khách hàng doanh nghiệp, kèm danh sách bên xử lý phụ.
• Nơi lưu trữ được công bố, để bạn biết mình có cần hồ sơ chuyển dữ liệu xuyên biên giới hay không.
• Mã hóa khi truyền và khi lưu trữ, và mã hóa đầu cuối cho file nhạy cảm.
• Ngày hết hạn và tự động xóa, mật khẩu và giới hạn lượt tải.
• Kiểm soát truy cập phía người gửi: xác thực hai lớp, phân quyền trong nhóm.
• Có thể xóa lượt gửi ngay lập tức nếu gửi nhầm người.

Checklist khi gửi file có dữ liệu cá nhân

1. 1

   Bước 1

   Gửi tối thiểu

   Chỉ gửi tài liệu và dữ liệu người nhận cần; che phần còn lại, ví dụ số định danh không cần thiết.

2. 2

   Bước 2

   Bảo vệ

   Dùng mật khẩu gửi qua kênh khác, và mã hóa đầu cuối cho dữ liệu nhạy cảm như sức khỏe, ảnh căn cước, thông tin ngân hàng.

3. 3

   Bước 3

   Giới hạn thời gian

   Chọn hạn dùng ngắn và giới hạn lượt tải bằng số người nhận.

4. 4

   Bước 4

   Kiểm tra người nhận

   Đọc lại địa chỉ email hoặc cuộc trò chuyện trước khi gửi; gửi nhầm là nguồn sự cố kinh điển.

5. 5

   Bước 5

   Dọn dẹp

   Xóa bản sao trên máy và tệp đính kèm đã gửi khi không còn cần.

6. 6

   Bước 6

   Ghi nhận

   Đưa công cụ vào quy trình xử lý dữ liệu nội bộ, cập nhật hồ sơ đánh giá tác động nếu bạn thuộc diện phải lập, và giữ quy tắc nội bộ ngắn gọn, ai cũng biết.

Gửi nhầm file cho người khác: làm gì trong 72 giờ?

Thu hồi link ngay, kiểm tra file đã bị tải về chưa, và đánh giá rủi ro cho người có dữ liệu. Theo Điều 23 Luật, nếu vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện, lập biên bản xác nhận vụ việc và phối hợp xử lý. Nếu bên xử lý (ví dụ nhà cung cấp dịch vụ) phát hiện vi phạm, họ phải báo kịp thời cho bên kiểm soát.

• Nội dung thông báo (Điều 28 Nghị định 356): mô tả vi phạm (thời gian, địa điểm, loại và số lượng dữ liệu), thông tin liên hệ của bộ phận bảo vệ dữ liệu, hậu quả có thể xảy ra, biện pháp khắc phục. Gửi đến cơ quan chuyên trách hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08.
• Trường hợp đặc biệt: lộ dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng, hoặc sự cố với dữ liệu vị trí, sinh trắc học, phải báo cả cho người bị ảnh hưởng trong 72 giờ (Điều 8 và Điều 29 Nghị định 356).
• So với Nghị định 13 cũ: trước đây là 72 giờ “sau khi xảy ra hành vi vi phạm”, gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao); luật mới tính từ lúc phát hiện.

Checklist gửi file an toàn giúp bạn phòng tránh tình huống này ngay từ đầu.

Tình huống thường gặp và thiết lập nên dùng

Để xem các tính năng này kết hợp với nhau trên Transfr như thế nào, xem trang chuyển file bảo mật.