Khi chủ thể dữ liệu gửi yêu cầu xóa dữ liệu cá nhân, bên kiểm soát/xử lý dữ liệu không được “ngâm” vô thời hạn. Nghị định 356/2025/NĐ-CP quy định một timeline xử lý cụ thể: phản hồi trong 02 ngày làm việc, thực hiện xóa trong 20 ngày (30 ngày nếu liên quan bên thứ ba), và chỉ được gia hạn 01 lần.
Trả lời ngắn
- Phản hồi yêu cầu: trong 02 ngày làm việc kể từ khi nhận yêu cầu (khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP).
- Thực hiện xóa: trong 20 ngày; trường hợp liên quan đến bên xử lý dữ liệu hoặc bên thứ ba: 30 ngày.
- Gia hạn: được gia hạn 01 lần, tối đa không quá 20 ngày.
- Lưu ý: mốc “72 giờ” của Nghị định 13/2023/NĐ-CP chỉ còn giá trị lịch sử — không còn là căn cứ hiện hành.
Timeline xử lý yêu cầu xóa theo Nghị định 356/2025/NĐ-CP
Bước 1 — Tiếp nhận và phản hồi (02 ngày làm việc)
Khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát dữ liệu phản hồi yêu cầu trong 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ của chủ thể dữ liệu. Phản hồi này xác nhận đã tiếp nhận yêu cầu và thông báo hướng xử lý, thời gian dự kiến hoàn thành.
Doanh nghiệp cần có đầu mối tiếp nhận yêu cầu rõ ràng (email, form, hotline) và quy trình ghi nhận thời điểm nhận — vì mốc 02 ngày làm việc được tính từ thời điểm này.
Bước 2 — Thực hiện yêu cầu xóa (20 ngày / 30 ngày)
Sau khi phản hồi, bên kiểm soát/xử lý dữ liệu phải thực hiện yêu cầu xóa:
- 20 ngày — trường hợp thông thường, dữ liệu do chính bên kiểm soát quản lý.
- 30 ngày — trường hợp việc xóa liên quan đến bên xử lý dữ liệu (đơn vị được thuê xử lý) hoặc bên thứ ba (đối tác nhận chuyển giao dữ liệu), vì cần phối hợp nhiều bên.
“Thực hiện” ở đây nghĩa là dữ liệu phải được xóa khỏi hệ thống của mình và yêu cầu các bên liên quan xóa dữ liệu đã nhận — không thể viện lý do “bên thứ ba chưa xóa” để kéo dài quá mốc 30 ngày.
Bước 3 — Gia hạn (nếu cần): 01 lần, tối đa 20 ngày
Trường hợp có lý do chính đáng (khối lượng dữ liệu lớn, hệ thống kỹ thuật phức tạp, cần phối hợp nhiều bên thứ ba), bên kiểm soát dữ liệu được gia hạn 01 lần, thời gian gia hạn tối đa không quá 20 ngày. Việc gia hạn cần được thông báo cho chủ thể dữ liệu kèm lý do.
Quyền của chủ thể dữ liệu khi yêu cầu bị bỏ ngỏ
Nếu hết các mốc trên mà yêu cầu xóa không được thực hiện, chủ thể dữ liệu có quyền:
- Khiếu nại đến bên kiểm soát dữ liệu và yêu cầu giải trình bằng văn bản.
- Tố cáo / phản ánh đến cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân.
- Khởi kiện yêu cầu bồi thường nếu việc chậm xóa gây thiệt hại (ví dụ: dữ liệu bị lộ, bị sử dụng trái phép trong thời gian chậm trễ).
Về phía doanh nghiệp, không thực hiện yêu cầu xóa đúng hạn là căn cứ để bị xử phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP.
Phân biệt với mốc “72 giờ” cũ của Nghị định 13/2023/NĐ-CP
Nhiều tài liệu cũ còn trích mốc 72 giờ xử lý yêu cầu của chủ thể dữ liệu theo Nghị định 13/2023/NĐ-CP. Nghị định này đã hết hiệu lực từ 01/01/2026; khung hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Mọi quy trình nội bộ, chính sách quyền riêng tư còn ghi “72 giờ” theo NĐ 13/2023/NĐ-CP cần được cập nhật theo timeline 02 ngày làm việc / 20 ngày / 30 ngày nêu trên.
Doanh nghiệp cần chuẩn bị gì?
- Quy trình nội bộ: ban hành SOP xử lý yêu cầu của chủ thể dữ liệu với các mốc 02 ngày làm việc – 20/30 ngày – gia hạn 01 lần.
- Sổ theo dõi yêu cầu: ghi nhận thời điểm nhận, người xử lý, tiến độ từng bước để chứng minh tuân thủ khi bị kiểm tra.
- Hợp đồng với bên xử lý/bên thứ ba: điều khoản bắt buộc họ phối hợp xóa dữ liệu trong thời hạn, tránh “kẹt” ở mốc 30 ngày.
- Cập nhật chính sách quyền riêng tư: sửa các mốc thời gian cũ (72 giờ theo NĐ 13/2023/NĐ-CP) thành timeline hiện hành.
Câu hỏi thường gặp
02 ngày làm việc có tính thứ Bảy, Chủ nhật không? Không. “Ngày làm việc” không bao gồm ngày nghỉ hằng tuần và ngày lễ theo quy định — doanh nghiệp cần lưu ý khi tính mốc phản hồi.
Chủ thể dữ liệu gửi yêu cầu qua email cá nhân, có tính là “nhận yêu cầu” không? Có, nếu đó là kênh liên hệ doanh nghiệp đã công bố để tiếp nhận yêu cầu về dữ liệu cá nhân. Vì vậy doanh nghiệp nên công bố rõ kênh tiếp nhận chính thức và kiểm tra thường xuyên.
Xóa dữ liệu rồi nhưng bản sao lưu (backup) còn thì có vi phạm không? Việc xóa phải bảo đảm dữ liệu không còn được sử dụng cho mục đích xử lý; với bản sao lưu, doanh nghiệp cần có cơ chế loại trừ dữ liệu đã xóa khỏi các lần khôi phục (ví dụ: danh sách đen khi restore) và ghi nhận trong quy trình.
Nguồn trích dẫn
- Nghị định 356/2025/NĐ-CP: khoản 4 Điều 5 (phản hồi 02 ngày làm việc), quy định thực hiện xóa trong 20 ngày / 30 ngày, gia hạn 01 lần tối đa 20 ngày; còn hiệu lực.
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — khung hiện hành từ 01/01/2026.
- Nghị định 13/2023/NĐ-CP — đã hết hiệu lực từ 01/01/2026, mốc “72 giờ” chỉ còn giá trị lịch sử.
Doanh nghiệp cần xây dựng quy trình xử lý yêu cầu dữ liệu? Đội ngũ FLAT Law Firm tư vấn SOP tiếp nhận – phản hồi – thực hiện yêu cầu của chủ thể dữ liệu, cập nhật chính sách quyền riêng tư theo Nghị định 356/2025/NĐ-CP. Liên hệ với chúng tôi tại https://flaw.vn/lien-he/.
Thông tin trong bài chỉ mang tính tham khảo chung theo pháp luật hiện hành tại thời điểm viết (14/10/2026), không phải tư vấn pháp lý cho vụ việc cụ thể. Doanh nghiệp nên tham vấn luật sư trước khi áp dụng.
Ghi chú minh bạch: Bài viết do hệ thống sản xuất nội dung AI của FLAT Law Firm soạn thảo, đang trong quy trình kiểm duyệt nội bộ trước khi xuất bản. Bài viết chưa được luật sư người thật rà soát.