Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP có hiệu lực từ ngày 01/01/2026. Từ đó đến nay, doanh nghiệp xử lý dữ liệu cá nhân nộp hồ sơ đánh giá tác động về một đầu mối duy nhất là cơ quan chuyên trách của Bộ Công an. Một nghị định mới của Chính phủ thay đổi cả ba điểm: ai xử lý hồ sơ, xử lý trong bao lâu và doanh nghiệp có thể nhận về kết quả nào.
Những thay đổi này không nằm trong một văn bản riêng về dữ liệu. Chúng thuộc một chương của nghị định “gộp” mà tên gọi chủ yếu nói về điều kiện kinh doanh an ninh, trật tự, nên rất dễ bị bỏ sót. Bài viết này điểm phần dữ liệu cá nhân trước, sau đó đến các thay đổi về định danh điện tử (VNeID) trong cùng nghị định.
Thông tin văn bản
- Số hiệu: Nghị định 392/2026/NĐ-CP sửa đổi, bổ sung các Nghị định có liên quan đến thủ tục hành chính, điều kiện đầu tư kinh doanh trong lĩnh vực an ninh, trật tự.
- Cơ quan ban hành: Chính phủ, theo đề nghị của Bộ trưởng Bộ Công an; Phó Thủ tướng Phạm Gia Túc ký.
- Ngày ký: 20/10/2026. Bản ký số được đăng trên Hệ thống văn bản của Chính phủ ngày 21/10.
- Hiệu lực: 15/11/2026 (Điều 48).
- Quy mô: 8 chương, 51 điều, sửa đổi bảy nghị định: 96/2016 (điều kiện về an ninh, trật tự với ngành, nghề kinh doanh có điều kiện), 99/2016 (con dấu), 137/2020 (pháo), 69/2024 (định danh và xác thực điện tử), 70/2024 (hướng dẫn Luật Căn cước), 149/2024 (vũ khí, vật liệu nổ, công cụ hỗ trợ) và 356/2025 (bảo vệ dữ liệu cá nhân). Điều 50 còn bãi bỏ, điều chỉnh một số dẫn chiếu ở các nghị định khác, trong đó có Nghị định 347/2026 về sản phẩm, dịch vụ dữ liệu.
Phần căn cứ ban hành có Luật Bảo vệ dữ liệu cá nhân số 97/2025/QH15 và Luật Căn cước số 26/2023/QH15.
Chương VII: sửa Nghị định 356/2025 về bảo vệ dữ liệu cá nhân
Hồ sơ được chuyển về Công an cấp tỉnh xử lý
Theo bản gốc Nghị định 356/2025, hồ sơ đánh giá tác động do cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an tiếp nhận và tự đánh giá.
Từ 15/11/2026, cơ quan chuyên trách của Bộ vẫn tiếp nhận và phân loại toàn bộ hồ sơ. Sau đó, cơ quan này thông báo chuyển Công an cấp tỉnh xử lý theo các tiêu chí địa bàn, quy mô, lĩnh vực do Bộ trưởng Bộ Công an quy định (khoản 5 Điều 18 và Điều 19 mới). Hồ sơ phải luôn sẵn sàng để cả cơ quan chuyên trách của Bộ lẫn Công an cấp tỉnh kiểm tra, đánh giá. Nếu doanh nghiệp không hoàn thiện hồ sơ, Công an cấp tỉnh cũng được xử phạt vi phạm hành chính theo thẩm quyền.
Quy định này áp dụng cho cả hai loại hồ sơ:
- hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 19);
- hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 18).
Trên LuatVietnam, bản Nghị định 356 có chú thích hiệu lực gắn các sửa đổi này với Nghị quyết 22/2026/NQ-CP. Nghị quyết này đã đưa các thủ tục trên vào diện đơn giản hóa: Bộ Công an tiếp nhận, phân loại rồi chuyển Công an tỉnh, thành phố. Nghị định 392 biến phương án đó thành quy định có hiệu lực.
Thời hạn tính bằng ngày làm việc, kết quả có ba mức
| Nghị định 356/2025 (trước) | Sau Nghị định 392/2026 | |
|---|---|---|
| Thời hạn nộp hồ sơ kể từ khi bắt đầu xử lý/chuyển dữ liệu | 60 ngày | 60 ngày (giữ nguyên) |
| Thời hạn đánh giá, trả kết quả hồ sơ đánh giá tác động | 15 ngày | 11 ngày làm việc |
| Kết quả | đạt yêu cầu / không đạt yêu cầu | đạt / đạt cần bổ sung / không đạt |
| Thời hạn hoàn thiện hồ sơ chưa đạt | 30 ngày | 30 ngày (giữ nguyên) |
| Kênh nộp (hồ sơ xử lý dữ liệu, hồ sơ cập nhật) | “trực tuyến”, trực tiếp, bưu chính | Cổng dịch vụ công quốc gia, trực tiếp, bưu chính |
15 ngày lịch và 11 ngày làm việc dài xấp xỉ nhau, nên thay đổi ở đây chủ yếu là cách tính thời hạn chứ chưa hẳn là rút ngắn. Điểm có ý nghĩa thực tế hơn là mức kết quả ở giữa, “đạt cần bổ sung”. Trước đây hồ sơ chỉ có đạt hoặc không đạt. Nay hồ sơ về cơ bản ổn nhưng còn thiếu sót được tách riêng khỏi hồ sơ không đạt.
Với hồ sơ chuyển dữ liệu xuyên biên giới, văn bản vẫn ghi “trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính”. Riêng hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ cập nhật (Điều 20) nay ghi rõ kênh trực tuyến là Cổng dịch vụ công quốc gia.
Phối hợp với Bộ Quốc phòng
Khoản 2a mới tại Điều 17 quy định: khi phát hiện rủi ro, nguy cơ xâm phạm quốc phòng từ việc chuyển dữ liệu cá nhân xuyên biên giới của sĩ quan, quân nhân chuyên nghiệp, công nhân và viên chức quốc phòng, hạ sĩ quan, binh sĩ tại ngũ, Bộ Công an trao đổi bằng văn bản với Bộ Quốc phòng để bộ này quản lý theo thẩm quyền. Đây là quy định phân công giữa các bộ, không đặt thêm thủ tục cho doanh nghiệp.
Giấy chứng nhận kinh doanh dịch vụ xử lý dữ liệu cá nhân: hồ sơ gọn hơn, thời hạn ngắn hơn
Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân phải có Giấy chứng nhận đủ điều kiện. Điều 46 và Điều 47 sửa thủ tục này như sau:
- Bỏ bản sao Giấy chứng nhận đăng ký doanh nghiệp khỏi thành phần hồ sơ. Hồ sơ mới gồm bốn thứ: đơn đề nghị (Mẫu số 04), văn bản chỉ định bộ phận bảo vệ dữ liệu cá nhân hoặc hợp đồng dịch vụ, đề án và giấy tờ chứng minh trình độ của nhân sự.
- Thời hạn đánh giá hồ sơ đạt hay không đạt còn 08 ngày làm việc (trước là 10 ngày). Nếu hồ sơ thiếu, cơ quan chuyên trách phải thông báo bằng văn bản, nêu rõ lý do, trong 11 ngày làm việc (trước là 15 ngày).
- Gộp thủ tục cấp lại và cấp đổi. Trước đây, mất hoặc hỏng bản giấy là thủ tục cấp lại (Mẫu số 05), còn sai hoặc thay đổi thông tin là thủ tục cấp đổi (Mẫu số 06). Nay tất cả các trường hợp dùng chung một đơn theo Mẫu số 06. Đơn nộp qua Cổng dịch vụ công quốc gia, trực tiếp hoặc qua bưu chính và được giải quyết trong 05 ngày làm việc.
Chuyển tiếp
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và hồ sơ cấp, cấp đổi, cấp lại Giấy chứng nhận đã được tiếp nhận trước ngày 15/11/2026 tiếp tục được xử lý theo Nghị định 356/2025 (khoản 3 Điều 49).
Định danh điện tử: VNeID thành kênh mặc định
Chương IV và Chương V sửa Nghị định 69/2024 và Nghị định 70/2024:
- Tài khoản định danh điện tử mức độ 02 được làm tại Công an cấp xã bất kỳ, không phụ thuộc nơi cư trú. Công dân xuất trình thẻ căn cước hoặc căn cước công dân còn hiệu lực và kê khai số thuê bao di động chính chủ. Kết quả được thông báo qua VNeID, tin nhắn hoặc thư điện tử.
- Người dưới 14 tuổi, người được giám hộ cùng người đại diện đến làm thủ tục. Người đại diện dùng số thuê bao chính chủ của mình để đăng ký.
- Tài khoản của cơ quan, tổ chức: người đại diện theo pháp luật hoặc người đứng đầu đăng nhập VNeID bằng tài khoản mức độ 02 của mình để đề nghị cấp. Nếu tổ chức có nhiều người đại diện theo pháp luật thì phải được tất cả những người còn lại đồng ý. Vẫn có thể nộp Phiếu TK02 trực tiếp tại Công an cấp xã nơi thuận tiện.
- Công dân có thể đề nghị thu thập, cập nhật thông tin sinh trắc học ADN, giọng nói tại Công an cấp xã hoặc qua VNeID. Nếu dữ liệu đã có tại tổ chức xét nghiệm, Công an cấp xã đối sánh, xác thực trong 07 ngày làm việc.
- Đề nghị tích hợp, cập nhật, điều chỉnh thông tin trên thẻ căn cước có thể gửi qua Cổng dịch vụ công quốc gia, VNeID hoặc trực tiếp tại Công an cấp xã.
Ở các chương về an ninh, trật tự, nhiều thủ tục như đăng ký mẫu con dấu hay giấy phép liên quan đến pháo được nộp qua Cổng dịch vụ công quốc gia hoặc VNeID. Khi nộp trực tiếp, người nộp ghi số định danh cá nhân. Cơ sở kinh doanh casino, trò chơi điện tử có thưởng, đặt cược phải kiểm tra thông tin cá nhân của khách trên VNeID hoặc giấy tờ tùy thân (Điều 33 mới của Nghị định 96/2016).
Ai chịu tác động
- Mọi tổ chức nộp hồ sơ đánh giá tác động dữ liệu cá nhân, kể cả doanh nghiệp nước ngoài chuyển dữ liệu người dùng Việt Nam ra nước ngoài. Hồ sơ có thể do Công an tỉnh nơi doanh nghiệp hoạt động xem xét. Cơ quan này cũng có quyền kiểm tra và xử phạt.
- Doanh nghiệp đang hoặc sắp kinh doanh dịch vụ xử lý dữ liệu cá nhân. Hồ sơ nhẹ hơn, thời hạn ngắn hơn.
- Bộ phận pháp chế, tuân thủ phụ trách định danh khách hàng. Thủ tục tài khoản định danh cho tổ chức và cho trẻ em được quy định rõ hơn.
Những điểm còn bỏ ngỏ
- Tiêu chí phân loại (địa bàn, quy mô, lĩnh vực) do Bộ trưởng Bộ Công an quy định. Chừng nào văn bản đó chưa ban hành, chưa rõ hồ sơ nào ở lại Bộ và hồ sơ nào xuống tỉnh.
- Kết quả “đạt cần bổ sung”: nghị định chưa nói rõ việc bổ sung có làm tính lại thời hạn 11 ngày làm việc hay không, và thời hạn 30 ngày hoàn thiện áp dụng thế nào với mức kết quả này.
- Sự thống nhất giữa 34 Công an tỉnh, thành phố. Phân cấp giúp giảm tải cho cấp Bộ nhưng cũng dễ dẫn tới mỗi nơi hiểu và áp dụng một kiểu.
Nguồn
- Nghị định 392/2026/NĐ-CP — bản ký số (VPCP, PDF)
- Hệ thống văn bản Chính phủ — danh sách văn bản mới
- LuatVietnam — Nghị định 392/2026/NĐ-CP
- LuatVietnam — Nghị định 356/2025/NĐ-CP, có chú thích sửa đổi theo Nghị định 392/2026
Bài viết mang tính thông tin, không phải tư vấn pháp lý.