Nghị định 13/2023/NĐ-CP về dữ liệu cá nhân: website và CRM cần rà soát gì

vie.pdf”

• “Caselaw Việt Nam — Nghị định 13/2023/NĐ-CP ngày 17/4/2023 — https://caselaw.vn/van-ban-phap-luat/411604-nghi-dinh-so-13-2023-nd-cp-ngay-17-04-2023-cua-chinh-phu-ve-bao-ve-du-lieu-ca-nhan”

—

Từ ngày 1/7/2023, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bắt đầu có hiệu lực. Với doanh nghiệp nhỏ, điều này không chỉ là chuyện của công ty lớn: bất cứ website nào có form liên hệ, đăng ký nhận tin hay bảng khách hàng trong CRM đều đang xử lý dữ liệu cá nhân. Bài này nêu những điểm cần rà soát; để hiểu đúng nghĩa vụ pháp lý, hãy đối chiếu văn bản chính thức hoặc hỏi tư vấn pháp lý.

Dữ liệu cá nhân gồm những gì

Nghị định định nghĩa dữ liệu cá nhân là những thông tin gắn với một cá nhân cụ thể hoặc giúp nhận ra cá nhân đó, được thể hiện bằng chữ viết, ký hiệu, con số, hình ảnh hay âm thanh trong môi trường điện tử. Dữ liệu được chia thành hai nhóm:

• Dữ liệu cá nhân cơ bản: các thông tin định danh thông thường như họ tên, ngày sinh, số điện thoại, địa chỉ, email.
• Sensitive personal data: thông tin gắn chặt với quyền riêng tư, nếu lộ có thể ảnh hưởng trực tiếp đến quyền lợi của người đó, ví dụ quan điểm chính trị, tôn giáo, tình trạng sức khoẻ trong hồ sơ bệnh án.

Danh sách đầy đủ nằm trong điều khoản của nghị định; hãy xem bản gốc thay vì chỉ dựa vào ví dụ ở đây.

Sự đồng ý và thông báo khi xử lý

Theo nghị định, đồng ý nghĩa là chủ thể dữ liệu chủ động bày tỏ một cách rõ ràng và tự nguyện rằng mình cho phép việc xử lý. Theo các tài liệu phân tích, im lặng hoặc không phản hồi không được xem là đồng ý. Người dùng cũng có quyền rút lại sự đồng ý. Ngoài ra, người xử lý dữ liệu phải thông báo cho chủ thể về mục đích, loại dữ liệu được dùng và cách xử lý.

Với website, điều này có nghĩa là nên tránh ô đồng ý tích sẵn và nên có câu chữ đủ rõ để người dùng hiểu mình đồng ý điều gì.

Những chỗ trên website cần rà soát

1. Biểu mẫu: form liên hệ, đăng ký bản tin, đặt hàng. Mỗi form thu những trường nào, có thật sự cần không?
2. Chính sách quyền riêng tư: có trang riêng, ghi rõ mục đích, thời gian lưu, cách liên hệ để yêu cầu xem, sửa hoặc xoá dữ liệu.
3. Cookie và công cụ theo dõi: các công cụ thống kê, quảng cáo có thu dữ liệu người truy cập; cần thông báo phù hợp.
4. Plugin, dịch vụ bên thứ ba: dữ liệu form có đang chuyển sang dịch vụ khác (email marketing, CRM, chat) không?
5. Phân quyền và bảo mật: ai trong công ty được xem danh sách khách hàng; mật khẩu và máy chủ có an toàn.

Rà soát CRM và dữ liệu nội bộ

Danh bạ khách hàng trong bảng tính hay phần mềm CRM thường là nơi tập trung nhiều dữ liệu nhất. Nên lập một bảng ngắn: dữ liệu nào, thu từ đâu, dùng để làm gì, ai được truy cập, giữ bao lâu và xoá thế nào. Khi dùng công cụ AI để xử lý dữ liệu khách hàng, hãy tham khảo thêm quy tắc dùng AI trong công ty để tránh đưa dữ liệu nhạy cảm vào những nơi không được kiểm soát.

Các bước bảo mật cơ bản như bật xác thực hai lớp, sao lưu định kỳ và giới hạn quyền cũng nằm trong thói quen làm việc từ xa an toàn cho doanh nghiệp nhỏ. Nếu website có hoá đơn điện tử hay dữ liệu kế toán, hãy xem lại bài hoá đơn điện tử bắt buộc từ 1/7/2022. Nếu đang dùng nhiều phần mềm họp và chat, hãy xem lại cách chọn công cụ họp trực tuyến vì dữ liệu cuộc họp cũng có thể chứa thông tin cá nhân.

Việc nên làm trong 30 ngày đầu

• Liệt kê mọi nơi website và công ty thu dữ liệu cá nhân.
• Cập nhật chính sách quyền riêng tư và nội dung thông báo trên form.
• Bổ sung quy trình tiếp nhận yêu cầu của người dùng (xem, sửa, xoá dữ liệu).
• Đọc lại văn bản nghị định, nhất là các nội dung nói về việc đánh giá tác động của hoạt động xử lý dữ liệu, cùng việc đưa dữ liệu ra khỏi Việt Nam, hoặc tham khảo luật sư nếu công ty xử lý dữ liệu nhạy cảm.

Đây là gợi ý thực tế để bắt đầu, không phải tư vấn pháp lý. Với từng trường hợp cụ thể, nên đối chiếu nguồn chính thức.

2026 update: Khung pháp lý đã thay đổi so với năm 2023. Theo các hãng tư vấn đưa tin, Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026, kèm Nghị định 356/2025/NĐ-CP hướng dẫn thay thế Nghị định 13/2023. Xem thêm Luật Giao dịch điện tử 2023 và bài về cookie banner đúng chuẩn; nên kiểm tra văn bản hiện hành trên nguồn chính thức.

FAQ

Nghị định 13/2023/NĐ-CP có hiệu lực từ khi nào?

Từ ngày 1/7/2023.

Website nhỏ chỉ có form liên hệ có bị ảnh hưởng không?

Form liên hệ thu họ tên, email, số điện thoại, tức là xử lý dữ liệu cá nhân, nên nên rà soát thông báo, chính sách riêng tư và cách lưu trữ.

Có cần luật sư không?

Với website đơn giản, bạn có thể bắt đầu bằng rà soát nội bộ. Nếu xử lý nhiều dữ liệu hoặc dữ liệu nhạy cảm, nên tham khảo tư vấn pháp lý.

Nếu cần hỗ trợ về bảo mật website và máy chủ, có thể liên hệ đội Công nghệ của HVSC qua trang bảo mật server, website or designing the website.

Reference sources

• Grant Thornton Việt Nam: https://www.grantthornton.com.vn/contentassets/348c7c96a9464d0ba53867be48282dcf/tax-flashcard—vie.pdf
• Caselaw Việt Nam (văn bản nghị định): https://caselaw.vn/van-ban-phap-luat/411604-nghi-dinh-so-13-2023-nd-cp-ngay-17-04-2023-cua-chinh-phu-ve-bao-ve-du-lieu-ca-nhan