数据主体提交删除个人数据请求后，数据控制者/处理者不得无限期拖延。第356/2025号法令规定了明确的处理时间表：2个工作日内答复，20日内执行删除（涉及第三方则30日），仅可延期一次。
简要回答
- 答复请求： 自收到请求之日起2个工作日内（第356/2025号法令第5条第4款）。
- 执行删除： 20日内；涉及数据处理方或第三方的：30日内。
- 延期： 可延期1次，最长不超过20日。
- 注意： 第13/2023号法令的”72小时”规定仅具历史价值，不再是现行依据。
第356/2025号法令规定的删除请求处理流程
第一步——接收与答复（2个工作日）
第356/2025号法令第5条第4款要求，数据控制者在收到数据主体有效请求后2个工作日内予以答复。答复应确认已收到请求，并说明处理方式与预计完成时间。
企业应设立明确的请求接收渠道（邮箱、表单、热线），并建立接收时间记录流程——2个工作日的时限自该时点起算。
第二步——执行删除（20日/30日）
答复之后，控制者/处理者必须执行删除：
- 20日——通常情形，数据由控制者自行管理。
- 30日——删除涉及数据处理方（受托处理数据的单位）或第三方（接收数据传输的合作方）的情形，因需多方协调。
“执行”意味着数据必须从自身系统中删除，并且要求相关方删除其已接收的数据——不得以”第三方尚未删除”为由超过30日期限。
第三步——延期（如需）：1次，最长20日
有正当理由时（数据量大、技术系统复杂、需协调多家第三方），数据控制者可延期1次，延期时间最长不超过20日，并须将延期及理由通知数据主体。
请求被搁置时数据主体的权利
若上述期限届满仍未执行删除，数据主体有权：
- 向数据控制者投诉，要求书面说明。
- 向个人数据保护主管国家机关举报/反映。
- 若迟延删除造成损害（如数据在此期间被泄露或滥用），可起诉要求赔偿。
对企业而言，未按时执行删除请求是依据第330/2026号法令受到行政处罚的依据。
与第13/2023号法令旧”72小时”规定的区别
许多旧文件仍引用第13/2023号法令下数据主体请求72小时处理时限。该法令已于2026年1月1日失效；现行框架为《个人数据保护法》91/2025/QH15和第356/2025号法令。内部流程和隐私政策中仍写”72小时（依据第13/2023号法令）”的，应更新为上述2个工作日/20日/30日的时间表。
企业应做好哪些准备
- 内部流程： 围绕2个工作日–20/30日–延期1次的节点，制定数据主体请求处理标准作业程序（SOP）。
- 请求台账： 记录接收时间、经办人、各环节进度，以备检查时证明合规。
- 与处理方/第三方合同： 约定其配合在期限内删除数据的义务，避免卡在30日节点。
- 更新隐私政策： 将旧时限（第13/2023号法令下的72小时）替换为现行时限。
常见问题
2个工作日包括周六、周日吗？ 不包括。”工作日”不含每周休息日和法定节假日——计算答复期限时须注意。
数据主体发到个人邮箱的请求算”收到”吗？ 算，如果该渠道是企业已公布的接收数据相关请求的联系方式。因此企业应公布明确的官方接收渠道并定期查看。
删除后备份中还有数据，算违规吗？ 删除须确保数据不再被用于处理；对备份而言，企业需建立机制，在恢复时排除已删除数据（例如恢复时适用黑名单），并在流程中记录。
法律依据
- 第356/2025号法令：第5条第4款（2个工作日答复）、20日/30日执行规则、延期1次最长20日；现行有效。
- 《个人数据保护法》91/2025/QH15——自2026年1月1日起为现行框架。
- 第13/2023号法令——已于2026年1月1日失效，”72小时”规定仅具历史价值。
企业需要建立数据请求处理流程？ FLAT 律师事务所就数据主体请求的接收–答复–执行标准作业程序，以及依据第356/2025号法令更新隐私政策提供咨询。请通过 https://flaw.vn/zh/lian-xi/ 联系我们。
本文仅供一般参考，依据撰写时（2026年10月14日）现行法律，不构成针对具体事项的法律建议。如需适用，请咨询律师。
透明度说明： 本文由 FLAT 律师事务所 AI 内容生产系统撰写，正在内部审核流程中，尚未经真人律师审阅。