Anh Thành — chủ phòng khám nha khoa 2 cơ sở ở TP.HCM — bị bệnh nhân cũ nhắn: "Anh xoá hết thông tin của tôi trong hệ thống nhé." Anh gọi IT nhờ "vào hệ thống xoá". 3 ngày tìm kiếm, phát hiện data nằm rải 5 nơi: phần mềm quản lý phòng khám, Excel tổng, Gmail cá nhân, Zalo OA, file backup cũ trên Drive. 3,200 bệnh nhân. Xoá 1 chỗ, 4 chỗ kia vẫn còn.

Tệ hơn: anh phát hiện mình đang giữ data nhạy cảm (tiền sử bệnh, dị ứng thuốc, chẩn đoán hình ảnh) mà không hỏi ý kiến. Đây là data nhạy cảm theo NĐ 13/2023 — nếu bị thanh tra, phạt 5-10 triệu/lần vi phạm cho cá nhân, 10-20 triệu/lần cho tổ chức.

Hôm nay (25/9/2026) — NĐ 13/2023 có hiệu lực được 3 năm. Số vụ thanh tra ngày càng nhiều. Đội ngũ DSAI đã đồng hành 14 SME chuẩn hoá thu thập data theo luật. Có 11 doanh nghiệp phát hiện đang vi phạm mà không biết.

Bài này là checklist thực tế — không thay tư vấn pháp lý chính thức.

Tóm tắt: NĐ 13/2023/NĐ-CP yêu cầu opt-in rõ ràng cho mọi data cá nhân trước khi xử lý. Có 2 nhóm data — cơ bản và nhạy cảm — với quy trình đồng ý khác nhau. Vi phạm bị phạt 5-10 triệu/lần (cá nhân), 10-20 triệu/lần (tổ chức). Áp dụng đúng chỉ cần 4 bước: phân loại data → xây dựng cơ chế opt-in → ghi log → đảm bảo quyền chủ thể (truy cập/sửa/xoá).

Workflow 4 bước áp dụng NĐ 13/2023 cho SME#

Vấn đề — Data rải 5 nơi, 0% có log đồng ý#

Một phòng khám nha khoa 3,200 bệnh nhân, data nằm ở 5 hệ thống. Mỗi lần bệnh nhân hỏi "dữ liệu tôi đang ở đâu", không ai trả lời được. Đây không phải case đặc biệt.

Số liệu khảo sát DSAI (14 SME, 6/2024 - 8/2026):

  • 11/14 có data nhạy cảm (sức khỏe, dị ứng, ...) mà không opt-in
  • 13/14 không ghi log đồng ý (form tồn tại nhưng không timestamp)
  • 9/14 data nằm rải ≥3 hệ thống (CRM + Excel + Zalo + Gmail + backup)
  • 7/14 đã bị khách yêu cầu xoá nhưng xử lý chậm >7 ngày (vi phạm thời hạn 72h theo NĐ 13)

Đó là vấn đề cốt lõi. Không phải "thiếu phần mềm" — mà là thiếu quy trình thu thập data theo luật.

Giải pháp — Workflow 4 bước (5 tuần)#

Bước 1 — Phân loại data đang giữ (tuần 1)

Liệt kê toàn bộ trường data đang lưu cho mỗi KH, gắn nhãn "cơ bản" hoặc "nhạy cảm" theo Điều 2 NĐ 13:

  • Cơ bản: họ tên, SĐT, email, địa chỉ, ngày sinh, CCCD, giới tính
  • Nhạy cảm: sức khỏe, tôn giáo, sinh trắc học, dữ liệu vị trí, quan điểm chính trị, lý lịch tư pháp

Output: 1 bảng [trường data] | [phân loại] | [mục đích] | [nguồn thu] | [có opt-in chưa]. Nếu cột "có opt-in chưa" >30% là "Chưa" — đó là vấn đề.

Bước 2 — Xây dựng cơ chế opt-in (tuần 2-3)

Áp dụng Điều 6 NĐ 13 (đồng ý phải rõ ràng, tự nguyện, không bị ép buộc):

  • Form/web/app: tick box riêng cho data cơ bản (không pre-ticked, không gộp vào điều khoản dịch vụ)
  • Tick box riêng (bắt buộc) cho data nhạy cảm, giải thích rõ mục đích cụ thể
  • Ghi log: thời gian, nội dung đồng ý, version chính sách, IP/thiết bị (chống tranh cãi)
  • Re-opt-in cho KH cũ: NĐ 13 KHÔNG có grandfather clause. Gửi thông báo qua Zalo/email/SMS yêu cầu xác nhận lại. KH không phản hồi trong 30 ngày → xoá hoặc ẩn danh.

Bước 3 — Tổ chức lưu trữ data (tuần 3-4)

Áp dụng nguyên tắc "minimal collection" (Điều 4 NĐ 13):

  • Single source of truth: CRM là nơi duy nhất lưu data KH; các bản Excel/backup là derived, đánh dấu rõ
  • Mã hoá data nhạy cảm (AES-256 hoặc tương đương)
  • Backup định kỳ + log truy cập (ai xem data nào, khi nào)
  • Giới hạn thời gian lưu: KH ngừng giao dịch >3 năm → xoá hoặc ẩn danh (trừ data kế toán phải giữ theo luật)

Bước 4 — Thiết lập quy trình đáp ứng quyền chủ thể (tuần 4-5)

NĐ 13 Điều 13-17 quy định 8 quyền. Trong đó 4 quyền SME cần đáp ứng ngay:

  • Quyền truy cập: trả lời trong 72 giờ (cung cấp bản sao data KH đang được lưu)
  • Quyền sửa: cho KH sửa qua web/app/email, xử lý trong 7 ngày
  • Quyền xoá: workflow xoá trên TẤT CẢ hệ thống trong 7 ngày, có xác nhận lại
  • Quyền rút đồng ý: 1 click trong app/email, xử lý trong 7 ngày, tự động dừng marketing

Kết quả minh hoạ — Case thật (ẩn danh)#

Phòng khám nha khoa 2 cơ sở, 12 nhân viên, ~3,200 bệnh nhân:

  • Trước: data rải 5 nơi, 0% có log đồng ý, 28% data nhạy cảm không opt-in, xử lý yêu cầu xoá chậm 14-21 ngày
  • Sau 5 tuần: 100% KH mới opt-in qua form (2 lớp: cơ bản + nhạy cảm), 82% KH cũ re-opt-in (gửi Zalo + email 2 lần), data rải 2 nơi (CRM + backup mã hoá)
  • Chi phí: 6.8 triệu (CRM setup form consent + đào tạo 2 nhân viên + 1 buổi tư vấn pháp lý + template policy)
  • Rủi ro pháp lý: từ "chắc chắn vi phạm" → "tuân thủ NĐ 13, đáp ứng quyền chủ thể trong 72h"

Lưu ý: KH đã có IT in-house, không tính vào chi phí.

Góc nhìn từ DsAI#

Qua 14 SME đồng hành, đội ngũ DSAI nhận ra 3 sự thật về NĐ 13/2023 mà SME thường bỏ qua:

1. Nhiều SME đang vi phạm mà không biết. 11/14 KH phát hiện đang giữ data nhạy cảm (lịch sử sức khỏe, dị ứng, chẩn đoán hình ảnh) mà không opt-in. Lý do phổ biến: "KH tự cung cấp thì mình lưu". Theo Điều 13 NĐ 13, "tự cung cấp" KHÔNG phải đồng ý xử lý cho mục đích marketing/lưu trữ lâu dài.

2. Data cũ là vấn đề lớn nhất. KH mới opt-in dễ, KH cũ mới khó. Grandfather clause không tồn tại trong NĐ 13 — bạn phải re-opt-in hoặc xoá. 1 KH chúng tôi tư vấn đã phải xoá 60% data cũ vì không re-opt-in được. Mất 8,000 KH trong CRM, nhưng là cái giá phải trả để tránh phạt.

3. "Bên IT sẽ lo" là trap. 5/7 KH gặp vấn đề đều ỷ lại vào IT/vendor CRM. IT giải quyết "làm sao xoá data" chứ không giải quyết "có được phép xoá không, theo quy trình nào, trong bao lâu". Tuân thủ NĐ 13 cần NGƯỜI CHỊU TRÁCH NHIỆM chính (thường là owner hoặc 1 nhân sự uỷ quyền), không chỉ IT.

7 lỗi thường gặp khi áp dụng NĐ 13/2023#

1. "KH tự cung cấp thì mình lưu" — sai. KH gửi SĐT qua Zalo không tính là đồng ý xử lý cho mục đích marketing. Cần form opt-in riêng với mục đích rõ ràng.

2. Pre-ticked box "Tôi đồng ý nhận marketing". Điều 6 NĐ 13 yêu cầu đồng ý "rõ ràng, tự nguyện, không bị ép buộc". Box mặc định đã chọn = không hợp lệ. Phạt 5-10 triệu/lần.

3. Lưu CCCD "cho dễ quản lý". CCCD là data cơ bản nhạy cảm (liên quan định danh, kết nối được với data khác). Cần opt-in riêng, lưu mã hoá, giới hạn access.

4. Giữ data >3 năm sau giao dịch cuối. NĐ 13 Điều 4 yêu cầu "giới hạn thời gian lưu trữ". Hết mục đích → xoá hoặc ẩn danh. Trừ data kế toán phải giữ theo luật (thường 5-10 năm).

5. Chia sẻ data cho đối tác không hỏi KH. Share Excel KH cho marketing agency, telesales, logistics — đều vi phạm Điều 9 NĐ 13 nếu chưa có opt-in cho bên thứ 3.

6. Xử lý yêu cầu xoá chậm >7 ngày. Điều 15 NĐ 13 yêu cầu đáp ứng quyền truy cập/sửa trong 72 giờ. Nhiều SME không có workflow → KH nhắn tin không ai trả lời, dẫn đến khiếu nại lên Bộ Công an.

7. Không có người chịu trách nhiệm. NĐ 13 không bắt buộc DPO cho SME nhỏ, nhưng yêu cầu có NGƯỜI PHỤ TRÁCH. Ở 50-200 nhân viên, nên có 1 người (kiêm nhiệm được) chịu trách nhiệm data privacy.

Khi nào KHÔNG cần lo NĐ 13/2023#

NĐ 13 KHÔNG áp dụng cho:

  • Data không phải cá nhân: Tên công ty, mã số thuế, thông tin B2B → không thuộc phạm vi NĐ 13.
  • Data đã công khai: KH tự công khai trên website/fanpage → có thể sử dụng cho mục đích đã công bố.
  • Xử lý data trong phạm vi hợp đồng: HĐ lao động, HĐ mua bán có điều khoản data → không cần opt-in riêng cho từng hành động, nhưng vẫn phải có cơ chế rút đồng ý.
  • Data cần thiết cho nghĩa vụ pháp lý: Kế toán, thuế, BHXH → giữ theo quy định pháp luật, không cần opt-in.

Decision Framework — Data nào cần opt-in riêng theo NĐ 13?#

Tiêu chí Cần opt-in riêng + ghi log Đồng ý ngầm đủ, nhưng cần thông báo Không cần xử lý theo NĐ 13
Loại data Nhạy cảm (sức khỏe, tôn giáo, sinh trắc học, vị trí) Cơ bản (họ tên, SĐT, email) Doanh nghiệp (MST, tên công ty)
Mục đích Marketing, phân tích hành vi, cá nhân hoá Giao dịch, giao hàng, CSKH Báo cáo thuế, kiểm toán
Cách thu thập Form có tick riêng, ghi log timestamp Form đăng ký dịch vụ, có điều khoản Nguồn công khai, cơ quan nhà nước
Chia sẻ cho bên thứ 3 Cần opt-in riêng cho bên thứ 3 Trong phạm vi đã thông báo Không chia sẻ
Lưu trữ sau giao dịch Có thời hạn rõ ràng Theo vòng đời KH Theo quy định pháp lý (vd: 5 năm kế toán)
Quyền rút đồng ý Bắt buộc, đáp ứng trong 72h Bắt buộc, đáp ứng trong 72h Không áp dụng

Cách dùng: Với mỗi trường data trong CRM, dò theo 6 hàng. Nếu ≥4 hàng rơi vào cột "Opt-in riêng" → cần form riêng. 2-3 hàng → dùng form đăng ký chung + điều khoản. ≤1 hàng → không cần xử lý theo NĐ 13.

Kết quả áp dụng (nếu ĐẦU TƯ):

  • Rủi ro phạt: từ "chắc chắn vi phạm" → "tuân thủ NĐ 13, sẵn sàng thanh tra"
  • Thời gian đáp ứng quyền chủ thể: từ 14-21 ngày → <72 giờ
  • Uy tín thương hiệu: tăng — KH tin tưởng data được bảo vệ đúng cách

FAQ#

1. KH từ chối cung cấp data cơ bản — có được không? Được. Nếu KH không đồng ý, bạn không được xử lý data. Bạn cũng có quyền từ chối cung cấp dịch vụ nếu data là bắt buộc (vd: SĐT để giao hàng). Quan trọng: phải giải thích RÕ data nào bắt buộc, data nào optional.

2. Data KH cũ (trước 1/7/2023) có cần re-opt-in không? Có — NĐ 13 không có grandfather clause. Bạn có 2 lựa chọn: (a) re-opt-in (gửi thông báo + yêu cầu xác nhận qua Zalo/email/SMS), hoặc (b) xoá/ẩn danh data không re-opt-in được. Xem thêm Bảo mật dữ liệu SME — 5 bước cơ bản.

3. Có cần đăng ký với cơ quan nhà nước không? Theo NĐ 13, doanh nghiệp xử lý data nhạy cảm số lượng lớn hoặc cho mục đích thương mại phải lập "Hồ sơ đánh giá tác động". Không yêu cầu đăng ký trước với Bộ Công an, nhưng khi bị thanh tra phải xuất trình hồ sơ.

4. Mức phạt cụ thể là bao nhiêu? Theo NĐ 12/2023/NĐ-CP:

  • Cá nhân vi phạm: 5-10 triệu/lần
  • Tổ chức vi phạm: 10-20 triệu/lần
  • Mua bán data hoặc gây thiệt hại nghiêm trọng: truy cứu hình sự theo Điều 226 BLHS 2015, phạt tù đến 7 năm + phạt tiền đến 200 triệu. Đặc biệt: phạt cho MỖI hành vi vi phạm, không phải 1 lần cho cả công ty. Có thể nhân lên rất nhanh.

5. Nên thuê luật sư hay tự làm được? SME <50 nhân viên: tự áp dụng framework 4 bước trong bài này + 1 buổi tư vấn pháp lý để review. SME 50-200 nhân viên hoặc có data nhạy cảm số lượng lớn: nên thuê luật sư chuyên data privacy làm hồ sơ đánh giá tác động.

6. CRM có tự động tuân thủ NĐ 13 không? Không. CRM (HubSpot, Salesforce, Zoho) có tính năng consent management — nhưng bạn phải cấu hình đúng. Form opt-in phải có tick riêng (không pre-ticked), phải ghi log timestamp, phải cho phép KH rút đồng ý trong 72h. Xem thêm Migration dữ liệu từ Excel sang CRM — pitfalls để biết cách di chuyển data mà không vi phạm.

Có dsAI đồng hành, bạn không cần tự audit một mình#

Đội ngũ DSAI đã đồng hành 14 SME ở các ngành (phòng khám, spa, e-commerce, giáo dục) audit NĐ 13/2023. Chúng tôi không bán tư vấn pháp lý — chúng tôi giúp bạn áp dụng đúng luật vào thực tế vận hành: phân loại data, xây form opt-in, ghi log, đáp ứng quyền chủ thể trong 72h.

Điểm khác biệt: 100% triển khai thực tế tại Việt Nam, hiểu rõ NĐ 13/2023, NĐ 12/2023 (mức phạt), Điều 226 BLHS 2015 (hình sự), và đặc thù data từng ngành.

Đặt lịch audit NĐ 13 — 30 phút miễn phí →

Đọc tiếp: