Doanh nghiệp phải làm gì khi rò rỉ dữ liệu cá nhân? Phải ngăn chặn ngay, đánh giá mức độ, lập biên bản và thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện, nếu vi phạm có thể gây tổn hại theo luật. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 01/01/2026 đặt nghĩa vụ này cho bên kiểm soát dữ liệu. Với dữ liệu vị trí và dữ liệu sinh trắc học, doanh nghiệp còn phải thông báo cho người bị ảnh hưởng trong thời hạn 72 giờ.
Bài viết của Global Vietnam Lawyers (GV Lawyers) trình bày quy trình ứng phó theo từng bước, nghĩa vụ thông báo, hồ sơ cần lưu và phân công trách nhiệm.
Doanh Nghiệp Phải Làm Gì Khi Rò Rỉ Dữ Liệu Cá Nhân?
Rò rỉ dữ liệu là tình huống dữ liệu cá nhân bị lộ, mất hoặc bị truy cập, sử dụng trái phép. Thời điểm phát hiện là mốc để tính thời hạn, nên mọi bước cần bắt đầu từ việc ghi lại thời điểm đó. Quy trình dưới đây là khuyến nghị thực hành, xây dựng trên các nghĩa vụ của luật:
| Nhóm công việc | Thời điểm | Nội dung chính |
|---|---|---|
| Ghi nhận và kích hoạt ứng phó | Ngay khi phát hiện | Ghi lại thời điểm phát hiện, triệu tập đầu mối pháp lý, công nghệ thông tin và nhân sự bảo vệ dữ liệu |
| Ngăn chặn và bảo toàn chứng cứ | Những giờ đầu | Cô lập hệ thống, thu hồi quyền truy cập, đổi mật khẩu, sao lưu nhật ký trước khi chỉnh sửa |
| Đánh giá sự cố | Song song với ngăn chặn | Xác định loại và số lượng dữ liệu, số chủ thể, mức nhạy cảm, nguyên nhân và khả năng gây tổn hại |
| Lập biên bản | Sau đánh giá ban đầu | Biên bản xác nhận vi phạm đã xảy ra |
| Thông báo cơ quan chuyên trách | Chậm nhất 72 giờ kể từ khi phát hiện | Gửi theo Mẫu số 08 kèm tài liệu liên quan |
| Thông báo chủ thể dữ liệu | Không quá 72 giờ với dữ liệu vị trí, sinh trắc học | Các trường hợp khác nên thông báo khi có nguy cơ gây hại |
| Khắc phục và phối hợp | Sau khi kiểm soát sự cố | Khắc phục hậu quả, phối hợp với cơ quan chuyên trách, ngăn tái diễn |
| Lưu hồ sơ và rút kinh nghiệm | Sau khi khắc phục xong | Hoàn thiện hồ sơ, cập nhật quy trình và biện pháp bảo vệ |
Luật yêu cầu các bên liên quan phải ngăn chặn vi phạm, khắc phục hậu quả và phối hợp với cơ quan chuyên trách. Ưu tiên đầu tiên là chặn sự cố lan rộng, chưa phải là tìm người chịu trách nhiệm.
Ai Phải Thông Báo, Thông Báo Cho Ai Và Khi Nào?
Nghĩa vụ thông báo gồm các nội dung sau:
- Người phải thông báo: bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu, hoặc bên thứ ba phát hiện vi phạm. Bên xử lý dữ liệu phải báo kịp thời cho bên kiểm soát khi phát hiện;
- Điều kiện phải thông báo: vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu;
- Thời hạn: chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm;
- Nơi nhận: cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, gửi trực tiếp hoặc qua cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
Nghị định 356/2025/NĐ-CP quy định nội dung thông báo. Nội dung gồm tính chất vi phạm (thời gian, địa điểm, hành vi, bên liên quan, loại và số lượng dữ liệu), đầu mối liên hệ, hậu quả có thể xảy ra và biện pháp xử lý. Mẫu số 08 trong phụ lục là biểu mẫu để gửi thông báo.
Với dữ liệu vị trí cá nhân và dữ liệu sinh trắc học, Nghị định yêu cầu thêm hai việc. Doanh nghiệp phải thông báo cho chủ thể bị ảnh hưởng không quá 72 giờ kể từ khi phát hiện. Nội dung gồm thời điểm và cách phát hiện, loại dữ liệu, mức độ rủi ro, biện pháp đã thực hiện và hướng dẫn phòng ngừa. Nếu không thể thông báo từng người, doanh nghiệp thông báo công khai qua kênh điện tử chính thức và gửi riêng khi điều kiện cho phép.
Hai lưu ý quan trọng khác:
- Lĩnh vực tài chính, ngân hàng, tín dụng có quy định riêng về thông báo trong 72 giờ khi lộ, mất dữ liệu nhạy cảm, và pháp luật chuyên ngành có thể đặt thêm nghĩa vụ báo cáo;
- Khi khó loại trừ khả năng gây tổn hại, cách thận trọng là thông báo và ghi lại căn cứ đánh giá, thay vì tự kết luận không cần báo.
Hồ Sơ Cần Lưu Sau Sự Cố
Hồ sơ sự cố là bằng chứng doanh nghiệp đã hành động đúng hạn và đúng quy trình. Nghị định 356/2025/NĐ-CP yêu cầu lưu hồ sơ vi phạm dữ liệu vị trí và sinh trắc học tối thiểu 05 năm kể từ khi khắc phục xong. Doanh nghiệp nên áp dụng mốc này cho mọi sự cố để thống nhất. Bộ hồ sơ nên gồm:
- Nhật ký diễn biến sự cố theo mốc thời gian, bắt đầu từ thời điểm phát hiện;
- Biên bản xác nhận vi phạm;
- Thông báo đã gửi cơ quan chuyên trách cùng bằng chứng gửi;
- Thông báo gửi chủ thể dữ liệu và danh sách người nhận;
- Nhật ký hệ thống, kết quả điều tra kỹ thuật và biện pháp khắc phục;
- Báo cáo nguyên nhân gốc.
Sau sự cố, doanh nghiệp nên rà soát lại hồ sơ đánh giá tác động, xem bài lập hồ sơ đánh giá tác động DPIA. Nếu nguyên nhân nằm ở nhà cung cấp, cần kiểm tra điều khoản báo sự cố trong hợp đồng xử lý dữ liệu cá nhân DPA.
Phân Công Trách Nhiệm Trong Doanh Nghiệp
Trong những giờ đầu của sự cố, không có thời gian bàn ai làm gì. Doanh nghiệp nên phân vai từ trước:
| Nhóm vai trò | Trách nhiệm chính |
|---|---|
| Ban lãnh đạo | Phê duyệt nội dung thông báo, bảo đảm nguồn lực ứng phó |
| Công nghệ thông tin và an ninh thông tin | Ngăn chặn, bảo toàn chứng cứ, xác định phạm vi ảnh hưởng |
| Pháp chế hoặc luật sư | Đánh giá nghĩa vụ thông báo, soạn Mẫu số 08, rà soát hợp đồng |
| Nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân | Làm đầu mối với cơ quan chuyên trách, lập biên bản, lưu hồ sơ |
| Truyền thông và chăm sóc khách hàng | Thông báo cho chủ thể dữ liệu, giải đáp thắc mắc, thống nhất phát ngôn |
| Bên xử lý và nhà cung cấp | Báo sự cố kịp thời, hỗ trợ điều tra theo hợp đồng |
Bên kiểm soát dữ liệu chịu trách nhiệm chính trước pháp luật, kể cả khi sự cố xảy ra ở bên xử lý. Doanh nghiệp nên chuẩn bị sẵn danh bạ đầu mối, mẫu biên bản, mẫu thông báo và diễn tập định kỳ.
Sai Lầm Thường Gặp Khi Ứng Phó Sự Cố
Câu hỏi doanh nghiệp phải làm gì khi rò rỉ dữ liệu cá nhân thường được trả lời quá muộn vì các sai lầm sau:
- Chờ điều tra xong mới báo: thời hạn 72 giờ tính từ khi phát hiện, không phải từ khi có kết luận;
- Không ghi lại thời điểm phát hiện: doanh nghiệp không chứng minh được đã báo đúng hạn;
- Xóa nhật ký hoặc cài lại máy chủ ngay: mất chứng cứ để xác định phạm vi và nguyên nhân;
- Phát ngôn công khai khi chưa có số liệu chính xác: thông tin sai làm tăng rủi ro pháp lý;
- Không có điều khoản báo sự cố với nhà cung cấp: doanh nghiệp biết tin chậm nên không kịp thời hạn;
- Đóng hồ sơ sau khi khắc phục: không phân tích nguyên nhân gốc nên sự cố lặp lại.
Nghị định 330/2026/NĐ-CP, có hiệu lực từ ngày 19/08/2026, có nhóm hành vi riêng về thông báo vi phạm quy định bảo vệ dữ liệu cá nhân, trong đó có việc chậm thông báo hoặc báo cáo không chính xác. Mức phạt cụ thể xem tại bài xử phạt vi phạm dữ liệu cá nhân 2026. Các nghĩa vụ chung nằm trong bài luật bảo vệ dữ liệu cá nhân 2026.
Cơ Sở Pháp Lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026;
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP;
- Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày ký.
Câu Hỏi Thường Gặp
Doanh nghiệp phải làm gì khi rò rỉ dữ liệu cá nhân trong 72 giờ đầu?
Ghi lại thời điểm phát hiện, ngăn chặn và bảo toàn chứng cứ, đánh giá phạm vi, lập biên bản và thông báo cho cơ quan chuyên trách nếu vi phạm có thể gây tổn hại theo luật. Hạn chót là 72 giờ kể từ khi phát hiện.
Thông báo sự cố gửi cho cơ quan nào?
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an. Doanh nghiệp gửi trực tiếp hoặc qua cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, theo Mẫu số 08 trong phụ lục Nghị định 356/2025/NĐ-CP.
Có phải thông báo cho khách hàng bị ảnh hưởng không?
Bắt buộc rõ ràng với dữ liệu vị trí và dữ liệu sinh trắc học, trong thời hạn không quá 72 giờ. Các trường hợp khác nên thông báo khi có nguy cơ gây hại để người bị ảnh hưởng tự bảo vệ, và cần đối chiếu hợp đồng hoặc quy định chuyên ngành.
Sự cố xảy ra ở nhà cung cấp thì ai chịu trách nhiệm thông báo?
Bên xử lý phải báo kịp thời cho bên kiểm soát. Bên kiểm soát vẫn chịu trách nhiệm thông báo cho cơ quan chuyên trách đúng hạn, nên hợp đồng cần quy định thời hạn báo sự cố của nhà cung cấp.
Dịch Vụ Tư Vấn Ứng Phó Sự Cố Dữ Liệu Tại GV Lawyers
GV Lawyers hỗ trợ doanh nghiệp xây dựng quy trình ứng phó, soạn Mẫu số 08 và thông báo cho chủ thể dữ liệu. Dịch vụ nằm trong nhóm tư vấn tuân thủ luật bảo vệ dữ liệu cá nhân và tư vấn pháp lý thường xuyên.
Nếu bạn cần xác định doanh nghiệp phải làm gì khi rò rỉ dữ liệu cá nhân hoặc muốn chuẩn bị trước, hãy liên hệ với GV Lawyers. Chúng tôi sẽ đánh giá hiện trạng và đề xuất phương án phù hợp.
Bài viết mang tính chất tham khảo pháp lý chung, không thay thế cho ý kiến tư vấn cụ thể của luật sư đối với từng trường hợp. Liên hệ GV Lawyers để được tư vấn chi tiết.
