Hướng dẫn thủ tục cấp giấy chứng nhận xử lý dữ liệu cá nhân

Tư vấn Long Phan hướng dẫn chi tiết thủ tục xin giấy chứng nhận xử lý dữ liệu cá nhân theo Nghị định 356/2025/NĐ-CP – văn bản đang về bảo vệ dữ liệu cá nhân, có hiệu lực từ 1/1/2026. Không phải mọi doanh nghiệp thu thập dữ liệu khách hàng đều phải xin loại giấy chứng nhận này – chỉ 09 nhóm dịch vụ tại Điều 21 mới thuộc diện bắt buộc. Bài viết phân tích điều kiện, hồ sơ, trình tự và các lỗi khiến hồ sơ bị trả lại trên thực tế.

Dịch vụ nào bắt buộc phải có giấy chứng nhận xử lý dữ liệu cá nhân

Điều 21 Nghị định 356/2025/NĐ-CP liệt kê đúng 09 nhóm dịch vụ phải xin giấy chứng nhận xử lý dữ liệu cá nhân trước khi kinh doanh; ngoài 09 nhóm này, tổ chức không bắt buộc xin loại giấy chứng nhận này dù có xử lý dữ liệu cá nhân trong hoạt động thường xuyên.

09 nhóm dịch vụ phải xin cấp giấy chứng nhận theo Điều 21

1. Cung cấp và vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát, bên kiểm soát và xử lý tiến hành xử lý dữ liệu cá nhân.
2. Chấm điểm, xếp hạng, đánh giá mức độ tín nhiệm của chủ thể dữ liệu cá nhân.
3. Thu thập, xử lý dữ liệu cá nhân trực tuyến từ website, ứng dụng, phần mềm và mạng xã hội.
4. Thu thập, xử lý dữ liệu cá nhân qua ứng dụng chăm sóc sức khỏe, theo dõi sức khỏe, dịch vụ y tế.
5. Thu thập, xử lý dữ liệu cá nhân qua ứng dụng giáo dục có yếu tố giám sát (điểm danh, ghi hình, chấm điểm hành vi, nhận diện cảm xúc).
6. Phân tích và khai thác dữ liệu cá nhân bằng công cụ phân tích, khai thác dữ liệu để dự đoán hành vi hoặc tối ưu hóa dịch vụ.
7. Mã hóa dữ liệu cá nhân trong quá trình truyền tải và lưu trữ.
8. Xử lý dữ liệu cá nhân tự động dựa trên dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo.
9. Cung cấp nền tảng ứng dụng dữ liệu vị trí cá nhân.

Doanh nghiệp cần đối chiếu chính xác mô hình kinh doanh của mình với 09 nhóm trên; một doanh nghiệp chỉ sử dụng CRM nội bộ để lưu thông tin khách hàng, không bán dịch vụ xử lý dữ liệu cho bên thứ ba, thường không thuộc diện phải xin giấy chứng nhận này.

Doanh nghiệp nhỏ, siêu nhỏ, khởi nghiệp không được miễn trừ

Khoản 1, khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP cho phép doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp lựa chọn thực hiện hoặc không thực hiện một số nghĩa vụ trong 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực, và miễn hoàn toàn cho hộ kinh doanh, doanh nghiệp siêu nhỏ. Tuy nhiên, cả hai khoản đều loại trừ rõ ràng trường hợp doanh nghiệp kinh doanh chính dịch vụ xử lý dữ liệu cá nhân, trực tiếp theo danh mục xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu từ 100.000 chủ thể trở lên tính theo dữ liệu tích lũy. Nói cách khác, một startup dù mới thành lập nhưng bán dịch vụ xử lý dữ liệu cá nhân vẫn phải xin giấy chứng nhận như doanh nghiệp lớn.

Điều kiện cấp giấy chứng nhận xử lý dữ liệu cá nhân

Điều 22 Nghị định 356/2025/NĐ-CP quy định 04 nhóm điều kiện bắt buộc: tư cách pháp nhân, nhân sự, hạ tầng công nghệ và hồ sơ đánh giá tác động. Tổ chức phải đáp ứng đồng thời cả 04 nhóm mới đủ điều kiện được cấp giấy chứng nhận.

Điều kiện về tư cách pháp nhân (khoản 1 Điều 22)

Tổ chức đề nghị cấp phép phải là tổ chức, doanh nghiệp được thành lập và hoạt động hợp pháp theo pháp luật Việt Nam. Cá nhân, hộ kinh doanh không đủ tư cách để trực tiếp đứng tên xin giấy chứng nhận này.

Điều kiện về nhân sự chuyên trách (khoản 2 Điều 22, khoản 2 Điều 13)

Người đứng đầu phụ trách chuyên môn xử lý dữ liệu cá nhân phải là công dân Việt Nam, thường trú tại Việt Nam. Tổ chức phải có đội ngũ quản lý, điều hành đáp ứng yêu cầu chuyên môn, và tối thiểu 03 nhân sự đạt điều kiện năng lực theo khoản 2 Điều 13: trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm trong lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ, và đã qua đào tạo về bảo vệ dữ liệu cá nhân. Đây là điều kiện nhiều doanh nghiệp vừa và nhỏ khó đáp ứng ngay khi mới triển khai dịch vụ.

Điều kiện về hạ tầng, hệ thống, công nghệ (khoản 3 Điều 22)

Tổ chức phải có hạ tầng, trang thiết bị, cơ sở vật chất và công nghệ phù hợp với dịch vụ xử lý dữ liệu cá nhân dự kiến cung cấp. Nghị định không ấn định thông số kỹ thuật cụ thể, nên mức độ đầu tư hạ tầng cần tương xứng với quy mô và loại dữ liệu xử lý.

Điều kiện về hồ sơ đánh giá tác động (khoản 4 Điều 22)

Tổ chức phải có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 19; nếu có hoạt động chuyển dữ liệu cá nhân ra nước ngoài, phải bổ sung hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 18. Đây là điều kiện tiên quyết – nếu hồ sơ đánh giá tác động chưa được cơ quan chuyên trách xác nhận đạt yêu cầu, hồ sơ xin giấy chứng nhận sẽ không đủ điều kiện xét duyệt.

>>>Xem thêm: Các trường hợp doanh nghiệp không phải đánh giá tác động xử lý dữ liệu cá nhân

Cơ quan có thẩm quyền cấp và phương thức nộp hồ sơ

Điều 24 Nghị định 356/2025/NĐ-CP xác định Bộ Công an là cơ quan có thẩm quyền cấp, cấp lại, cấp đổi và thu hồi giấy chứng nhận xử lý dữ liệu cá nhân; việc tiếp nhận, thẩm định hồ sơ trên thực tế do cơ quan chuyên trách bảo vệ dữ liệu cá nhân thực hiện theo phân công của Bộ trưởng Bộ Công an.

Thẩm quyền của Bộ Công an và cơ quan chuyên trách (Điều 24)

Khoản 1 Điều 24 quy định Bộ Công an cấp, cấp lại, cấp đổi, thu hồi giấy chứng nhận. Khoản 2 Điều 24 giao Bộ trưởng Bộ Công an phân công cơ quan chuyên trách bảo vệ dữ liệu cá nhân – đơn vị trực thuộc Bộ Công an theo Điều 39 – trực tiếp thực hiện các thủ tục này.

Ba phương thức nộp hồ sơ (khoản 3 Điều 25)

Tổ chức nộp 01 bộ hồ sơ theo một trong ba phương thức: trực tuyến, trực tiếp, hoặc qua dịch vụ bưu chính, gửi về cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Không có phương thức nào bị ưu tiên hơn về mặt pháp lý; lựa chọn phương thức phù hợp giúp doanh nghiệp chủ động hơn trong việc theo dõi tiến độ xử lý.

Hồ sơ đề nghị cấp giấy chứng nhận xử lý dữ liệu cá nhân

Khoản 1 Điều 25 Nghị định 356/2025/NĐ-CP quy định 05 loại tài liệu bắt buộc trong hồ sơ; thiếu bất kỳ tài liệu nào cũng khiến hồ sơ bị coi là chưa đầy đủ.

Thành phần hồ sơ theo khoản 1 Điều 25

Điểm e khoản 1 Điều 25 cho phép tổ chức không phải nộp bản sao Giấy chứng nhận đăng ký doanh nghiệp nếu cơ quan nhà nước khai thác được thông tin này trên cơ sở dữ liệu quốc gia.

Nội dung bắt buộc của đề án (khoản 2 Điều 25)

Đề án đề nghị cấp giấy chứng nhận phải nêu rõ: sự cần thiết và mục tiêu; nội dung, lĩnh vực đề nghị phê duyệt; ngành nghề, phương án kinh doanh; quy mô hoạt động xử lý dữ liệu dự kiến; khung quản trị rủi ro; kế hoạch đánh giá tuân thủ định kỳ; việc áp dụng tiêu chuẩn an ninh dữ liệu; phương án sử dụng dịch vụ định danh, xác thực điện tử; trách nhiệm, quyền hạn của tổ chức; và thông tin nhân sự đủ điều kiện. Đề án sơ sài, thiếu một trong các nội dung này là nguyên nhân phổ biến khiến hồ sơ bị yêu cầu bổ sung.

Trình tự, thủ tục và thời hạn cấp giấy chứng nhận

Khoản 3, khoản 4 Điều 25 Nghị định 356/2025/NĐ-CP quy định quy trình 03 bước với tổng thời hạn xử lý tối đa khoảng 40 ngày kể từ khi nộp hồ sơ lần đầu, nếu hồ sơ đạt yêu cầu ngay từ đầu.

Giấy chứng nhận được cấp dưới dạng bản giấy hoặc bản điện tử; bản giấy được cấp khi tổ chức nộp hồ sơ trực tiếp, qua bưu chính, hoặc theo yêu cầu khi nộp trực tuyến qua cổng dịch vụ công. Trường hợp không cấp, cơ quan chuyên trách phải thông báo bằng văn bản và nêu rõ lý do.

Cấp lại, cấp đổi giấy chứng nhận khi có thay đổi

Điều 26 Nghị định 356/2025/NĐ-CP phân biệt hai trường hợp: cấp lại khi giấy chứng nhận bị mất, hỏng, và cấp đổi khi thông tin trên giấy chứng nhận sai lệch hoặc có thay đổi nội dung.

Cấp lại khi mất, hỏng bản giấy (khoản 1 Điều 26)

Tổ chức gửi đơn đề nghị theo mẫu quy định tại Phụ lục Nghị định bằng một trong ba phương thức nộp hồ sơ nêu trên. Cơ quan chuyên trách xem xét, cấp lại trong thời hạn 05 ngày làm việc kể từ ngày nhận đơn; nếu không cấp, phải có văn bản nêu rõ lý do.

Cấp đổi khi sai thông tin hoặc thay đổi nội dung (khoản 2 Điều 26)

Hồ sơ cấp đổi gồm đơn đề nghị theo mẫu quy định và giấy tờ chứng minh nội dung sai lệch hoặc thay đổi. Thời hạn xử lý cũng là 05 ngày làm việc kể từ ngày nhận đủ hồ sơ.

Các trường hợp bị thu hồi giấy chứng nhận

Khoản 1 Điều 27 Nghị định 356/2025/NĐ-CP quy định 05 trường hợp bị thu hồi giấy chứng nhận; tổ chức cần chủ động rà soát để tránh vi phạm dẫn đến gián đoạn hoạt động kinh doanh.

05 trường hợp bị thu hồi (khoản 1 Điều 27)

1. Không còn bảo đảm một trong các điều kiện quy định tại khoản 1, khoản 2 Điều 26 (áp dụng đối với trường hợp liên quan đến nội dung đã cấp lại, cấp đổi).
2. Không kinh doanh dịch vụ từ 12 tháng trở lên.
3. Bị giải thể hoặc phá sản theo quy định pháp luật.
4. Không khắc phục vi phạm về bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng, an ninh dữ liệu theo yêu cầu của cơ quan nhà nước có thẩm quyền.
5. Chủ động đề nghị xin đình chỉ hoặc chấm dứt hoạt động.

Cơ quan chuyên trách ra quyết định thu hồi theo Mẫu số 07 và thông báo công khai trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Trách nhiệm nộp lại giấy chứng nhận trong 05 ngày làm việc (khoản 3 Điều 27)

Tổ chức bị thu hồi phải nộp lại giấy chứng nhận đã cấp cho cơ quan chuyên trách trong thời hạn 05 ngày làm việc kể từ khi nhận quyết định thu hồi. Chậm nộp lại không làm mất hiệu lực của quyết định thu hồi nhưng có thể bị xem xét xử lý theo quy định khác của pháp luật.

>>>Xem thêm: Thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

Trách nhiệm của tổ chức sau khi được cấp giấy chứng nhận

Được cấp giấy chứng nhận không phải là điểm kết thúc nghĩa vụ tuân thủ – Điều 23 Nghị định 356/2025/NĐ-CP đặt ra một loạt trách nhiệm duy trì trong suốt quá trình kinh doanh dịch vụ.

Nghĩa vụ tuân thủ và đánh giá định kỳ (khoản 1–4 Điều 23)

Tổ chức phải tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân với vai trò bên kiểm soát và xử lý hoặc bên xử lý dữ liệu cá nhân; xây dựng khung quản trị rủi ro phù hợp với dịch vụ cung cấp; thực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần; và áp dụng các tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, an ninh mạng.

Nghĩa vụ với chủ thể dữ liệu khi là bên xử lý (khoản 7 Điều 23)

Khi đóng vai trò bên xử lý dữ liệu cá nhân cho khách hàng, tổ chức phải yêu cầu bên kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu trước khi cung cấp dịch vụ, đồng thời bảo đảm chủ thể dữ liệu được biết loại dữ liệu cá nhân được xử lý, mục đích xử lý và danh tính tổ chức cung cấp dịch vụ.

Nguyên nhân khiến hồ sơ bị trả lại hoặc kéo dài thời gian cấp

Đối chiếu Điều 22 và Điều 25 Nghị định 356/2025/NĐ-CP với thực tiễn xử lý hồ sơ, ba nhóm nguyên nhân sau đây khiến hồ sơ xin giấy chứng nhận thường bị trả lại hoặc kéo dài thời gian.

Thiếu nhân sự đạt chuẩn năng lực theo khoản 2 Điều 13

Nhiều doanh nghiệp mới triển khai dịch vụ chưa có đủ 03 nhân sự đáp ứng đồng thời cả ba tiêu chí: trình độ cao đẳng trở lên, 02 năm kinh nghiệm liên quan, và đã qua đào tạo về bảo vệ dữ liệu cá nhân. Đây là điều kiện bắt buộc theo điểm c khoản 2 Điều 22, không thể thay thế bằng cam kết bổ sung sau khi được cấp phép.

Hồ sơ đánh giá tác động xử lý dữ liệu chưa đạt yêu cầu theo Điều 19

Khoản 4 Điều 22 yêu cầu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải có kết quả đạt yêu cầu trước khi nộp hồ sơ xin giấy chứng nhận. Nếu tổ chức chưa từng lập hồ sơ này theo đúng nội dung tại Điều 19, hoặc hồ sơ bị đánh giá không đạt, toàn bộ quá trình xin giấy chứng nhận sẽ bị đình lại cho đến khi hoàn thiện.

Đề án chưa đủ nội dung bắt buộc theo khoản 2 Điều 25

Đề án thiếu khung quản trị rủi ro, kế hoạch đánh giá tuân thủ định kỳ, hoặc không nêu rõ phương án sử dụng dịch vụ định danh, xác thực điện tử là lỗi soạn thảo phổ biến. Cơ quan chuyên trách có quyền yêu cầu bổ sung trong 15 ngày, làm kéo dài đáng kể thời gian xử lý so với thời hạn 30 ngày tiêu chuẩn.

Dịch vụ tư vấn, ủy quyền thực hiện thủ tục xin giấy chứng nhận

Tư vấn Long Phan hỗ trợ doanh nghiệp thực hiện trọn gói thủ tục xin giấy chứng nhận, gồm:

• Rà soát mô hình kinh doanh, đối chiếu với 09 nhóm dịch vụ tại Điều 21 để xác định có thuộc diện bắt buộc xin giấy chứng nhận hay không.
• Đánh giá thực trạng đáp ứng điều kiện về nhân sự, hạ tầng theo Điều 22, đề xuất phương án bổ sung nếu chưa đạt.
• Dựng đề án đề nghị cấp giấy chứng nhận theo đúng 09 nội dung bắt buộc tại khoản 2 Điều 25.
• Chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 19 và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Điều 18 (nếu có).
• Soạn thảo đơn đề nghị theo Mẫu số 04 và toàn bộ tài liệu kèm theo trong hồ sơ.
• Đại diện làm việc với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong quá trình thẩm định, xử lý yêu cầu bổ sung hồ sơ (nếu có).
• Tư vấn duy trì tuân thủ sau khi được cấp giấy chứng nhận, tránh rơi vào các trường hợp bị thu hồi tại Điều 27.
• Xây dựng, rà soát chính sách và quy trình bảo vệ dữ liệu cá nhân trong doanh nghiệp;
• Tư vấn cơ chế quản trị rủi ro, kiểm soát tuân thủ và đánh giá tuân thủ định kỳ;
• Tư vấn phân định quyền, trách nhiệm của bên kiểm soát, bên xử lý và các bên liên quan trong hoạt động xử lý dữ liệu;
• Rà soát hợp đồng, thỏa thuận và cơ chế cung cấp dịch vụ xử lý dữ liệu cá nhân cho khách hàng;
• Tư vấn nghĩa vụ đối với chủ thể dữ liệu, bao gồm việc cung cấp thông tin, xin sự đồng ý và bảo đảm quyền của chủ thể dữ liệu;
• Tư vấn các yêu cầu về an ninh dữ liệu, an ninh mạng và quản trị hệ thống phục vụ hoạt động xử lý dữ liệu;
• Đại diện hoặc nhận ủy quyền nộp hồ sơ, làm việc với cơ quan chuyên trách bảo vệ dữ liệu cá nhân và xử lý yêu cầu bổ sung;
• Tư vấn duy trì điều kiện và nghĩa vụ tuân thủ sau khi được cấp giấy chứng nhận;
• Rà soát rủi ro thu hồi giấy chứng nhận và tư vấn phương án khắc phục khi doanh nghiệp có vi phạm;
• Hỗ trợ doanh nghiệp xử lý các vướng mắc pháp lý phát sinh trong quá trình kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Quý khách có thể gửi hồ sơ vụ việc qua email info@longphanpmt.com hoặc Zalo 0906.735.386 để được đánh giá sơ bộ.

Câu hỏi thường gặp về giấy chứng nhận xử lý dữ liệu cá nhân

Trong quá trình xin và duy trì Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, doanh nghiệp thường quan tâm đến thời hạn hiệu lực, phạm vi áp dụng, thời gian giải quyết hồ sơ và các trường hợp được miễn. Dưới đây là một số vấn đề cần lưu ý theo Nghị định 356/2025/NĐ-CP.

Kết luận

Xin giấy chứng nhận xử lý dữ liệu cá nhân là điều kiện bắt buộc đối với 09 nhóm dịch vụ tại Điều 21 Nghị định 356/2025/NĐ-CP, không phải thủ tục tùy chọn. Doanh nghiệp cần chuẩn bị đồng thời điều kiện về nhân sự, hạ tầng và hồ sơ đánh giá tác động trước khi nộp hồ sơ, để tránh bị yêu cầu bổ sung làm kéo dài thời gian xử lý so với 30 ngày quy định. Tư vấn Long Phan sẵn sàng đồng hành cùng doanh nghiệp trong toàn bộ quá trình này – liên hệ hotline 1900636389 để được tư vấn cụ thể theo mô hình kinh doanh của quý khách.