Thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

Thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân giữ vai trò then chốt trong cơ chế bảo đảm an toàn thông tin và quyền riêng tư của chủ thể dữ liệu. Trong bối cảnh các sự cố an ninh mạng diễn biến phức tạp, việc tuân thủ quy trình này không chỉ giúp tổ chức tránh các chế tài xử phạt hành chính mà còn thể hiện trách nhiệm cao nhất đối với quyền riêng tư của khách hàng. Trong bài viết dưới đây, Tư vấn Long Phan sẽ phân tích chi tiết thủ tục này theo quy định pháp luật.

Khi nào một sự cố được xem là vi phạm và cần phải thông báo?

Không phải mọi sự cố an ninh mạng đều cần phải báo cáo. Việc xác định đúng ngưỡng vi phạm là bước đầu tiên và quan trọng nhất để tuân thủ pháp luật hiệu quả. Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025, nghĩa vụ thông báo chỉ phát sinh khi doanh nghiệp phát hiện vi phạm có nguy cơ gây ra hậu quả nghiêm trọng. 

Cụ thể, doanh nghiệp phải đánh dựa trên các yếu tố sau:

• Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân;
• Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
• Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận giữa chủ thể dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân;
• Trường hợp khác theo quy định của pháp luật.

>>>Xem thêm: Danh mục dữ liệu cá nhân nhạy cảm từ 01/01/2026

Nội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

Theo Điều 28 Nghị định 356/2025/NĐ-CP, nội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân gồm:

• Mô tả tính chất của việc vi phạm quy định bảo vệ dữ liệu cá nhân, bao gồm: thời gian, địa điểm, hành vi, tổ chức, cá nhân, các loại dữ liệu cá nhân và số lượng dữ liệu liên quan;
• Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
• Mô tả các hậu quả, thiệt hại có thể xảy ra của việc vi phạm quy định bảo vệ dữ liệu cá nhân;
• Mô tả biện pháp được đưa ra để giải quyết, giảm thiểu tác hại của hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.

>>> Xem thêm: Quy định về trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức trong tuyển dụng lao động

Trình tự thực hiện thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

Ngay khi phát hiện ra vi phạm, doanh nghiệp cần có sự ứng phó sự cố, tiến hành các biện pháp ngăn chặn tức thời, theo quy định tại Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 28 Nghị định 356/2025/NĐ-CP, dưới đây là quy trình chi tiết và cách thức thực hiện khi phát hiện vi phạm bảo vệ dữ liệu cá nhân:

Bước 1: Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân:

• Vi phạm gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội 
• Xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân 

Trường hợp bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Bước 2: Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân xử lý hành vi vi phạm.

Bước 3: Cơ quan, tổ chức, cá nhân thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp sau:

• Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
• Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận giữa chủ thể dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân;
• Trường hợp khác theo quy định của pháp luật.

Bước 4: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân có trách nhiệm tiếp nhận thông báo, xử lý hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba và cơ quan, tổ chức, cá nhân có liên quan có trách nhiệm ngăn chặn hành vi vi phạm, khắc phục hậu quả xảy ra và phối hợp cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong xử lý hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

Bước 5: Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý bên thứ ba gửi thông báo vi phạm quy định về dữ liệu cá nhân đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 tại Phụ lục của Nghị định 356/2025/NĐ-CP.

Cách thức thực hiện thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025, Điều 28 Nghị định 356/2025/NĐ-CP, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm

Các phương thức gửi bao gồm:

Cách 1: Nộp trực tuyến:

Truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Thao tác: Đăng nhập tài khoản tổ chức/cá nhân -> Chọn mục “Thông báo vi phạm dữ liệu” -> Điền thông tin theo mẫu điện tử tương ứng với Mẫu số 08 -> Ký số và gửi.

Cách 2: Nộp trực tiếp

Nộp trực tiếp tại Trụ sở Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).

Hồ sơ bao gồm: văn bản thông báo theo Mẫu số 08 (bản cứng, có dấu và chữ ký của người đại diện theo pháp luật).

Cách 3: Gửi qua dịch vụ bưu chính

Gửi hồ sơ về địa chỉ của Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Thời gian nộp được tính theo dấu bưu điện.

Trường hợp không thể thông báo đầy đủ các nội dung trong vòng 72 giờ, doanh nghiệp có thể thực hiện thông báo theo từng đợt, nhưng phải đảm bảo thông báo ban đầu được gửi đúng hạn và nêu rõ lý do chưa thể cung cấp thông tin đầy đủ.

Cơ quan có thẩm quyền tiếp nhận

Trong trường hợp thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân được thực hiện bởi Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, thông báo phải được gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trực thuộc Bộ Công An chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 08 ban hành kèm theo Nghị định 356/2025/NĐ-CP. Trường hợp thông báo sau 72 giờ thì phải kèm theo lý do thông báo chậm, muộn.

>>>Xem thêm: Thỏa thuận bảo mật thông tin giữa công ty và người lao động

Dịch vụ tư vấn về thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân tại Tư vấn Long Phan

Thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân tại Tư vấn Long Phan được thiết kế nhằm hỗ trợ doanh nghiệp phản ứng nhanh chóng và chính xác trước các sự cố rò rỉ dữ liệu. Với đội ngũ chuyên gia giàu kinh nghiệm chúng tôi cam kết đồng hành cùng quý khách hàng giúp quý khách tối ưu hóa quy trình và giảm thiểu tối đa các rủi ro phát sinh. 

Dịch vụ của chúng tôi bao gồm:

• Hỗ trợ soạn thảo và hoàn thiện hồ sơ thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân;
• Hỗ trợ xây dựng báo cáo đánh giá tác động; 
• Đại diện thực hiện thủ tục với 
• Dịch vụ Tư vấn Quản trị Rủi ro và Phòng ngừa

Tư Vấn Long Phan tự hào là đơn vị tiên phong cung cấp dịch vụ hỗ trợ toàn diện. Hãy để chúng tôi bảo vệ doanh nghiệp của bạn trước những rủi ro pháp trị nghiêm ngặt.

Các câu hỏi thường gặp về thủ tục thông báo vi phạm dữ liệu cá nhân

Sau đây, Tư vấn Long Phan xin cung cấp một số câu hỏi phổ biến liên quan đến thủ tục thông Báo Vi Phạm Dữ Liệu Cá Nhân. Xin mời Quý Khách hàng có nhu cầu tham khảo:

Doanh nghiệp nước ngoài không có chi nhánh tại Việt Nam có phải tuân thủ quy định thông báo này không?

Có. Theo điểm c khoản 2 điều 1 Luật Bảo vệ dữ liệu cá nhân năm 2025, quy định này áp dụng cho cả cơ quan, tổ chức, cá nhân nước ngoài tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân công dân Việt Nam và người gốc Việt Nam. Nếu doanh nghiệp nước ngoài xử lý dữ liệu của công dân Việt Nam và xảy ra vi phạm, họ vẫn phải tuân thủ quy trình thông báo.

Ngoài việc thông báo cho Bộ Công an, có cần thông báo cho cơ quan nào khác không?

Trả lời: Hiện tại, Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) là cơ quan đầu mối tiếp nhận thông báo vi phạm. Tuy nhiên, tùy thuộc vào lĩnh vực hoạt động, doanh nghiệp có thể có nghĩa vụ thông báo cho các cơ quan quản lý chuyên ngành khác (ví dụ: Ngân hàng Nhà nước đối với lĩnh vực tài chính, ngân hàng).

Doanh nghiệp có bắt buộc phải thông báo cho khách hàng (chủ thể dữ liệu) khi xảy ra vi phạm không?

Có. Theo điều 23 Luật bảo vệ dữ liệu cá nhân 2025, Ngoài việc thông báo cho Bộ Công an, doanh nghiệp có trách nhiệm thông báo cho chủ thể dữ liệu về việc dữ liệu của họ bị xâm phạm, trừ trường hợp hành động này gây nguy hại đến an ninh quốc gia. Việc thông báo cho khách hàng giúp họ chủ động thực hiện các biện pháp bảo vệ tài sản và thông tin cá nhân

Những sự cố nhỏ như gửi nhầm email chứa thông tin cá nhân cho một người khác có cần phải báo cáo không?

Cần đánh giá dựa trên nguy cơ. Nếu việc gửi nhầm email đó có khả năng gây tổn hại đến uy tín, tài sản hoặc xâm phạm quyền lợi của chủ thể dữ liệu theo điều 23 Luật bảo vệ dữ liệu cá nhân 2025(ví dụ: chứa thông tin tài chính, mật khẩu…), thì doanh nghiệp vẫn phải thực hiện thủ tục thông báo theo quy định để tránh rủi ro pháp lý sau này.

Nguyên tắc bảo vệ dữ liệu cá nhân từ ngày 1/1/2026 thế nào?

Căn cứ Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025 quy định nguyên tắc bảo vệ dữ liệu cá nhân từ ngày 1/1/2026 như sau:

• Tuân thủ quy định của Hiến pháp 2013, quy định của Luật Bảo vệ dữ liệu cá nhân 2025 và quy định khác của pháp luật có liên quan.
• Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
• Bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
• Thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.
• Chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh, xử lý kịp thời, nghiêm minh mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.
• Bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế – xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Kết luận

Quy trình thông báo vi phạm dữ liệu cá nhân đòi hỏi sự chính xác, kịp thời và am hiểu sâu sắc về pháp luật. Để đảm bảo doanh nghiệp của bạn ứng phó hiệu quả với các sự cố và giảm thiểu rủi ro pháp lý, hãy liên hệ với các chuyên gia của Tư vấn Long Phan qua Hotline: 1900636389 giúp bạn hoàn thành các thủ tục phức tạp một cách chuyên nghiệp.