Khi dữ liệu bị rò rỉ, đồng hồ bắt đầu đếm ngược: 72 giờ theo GDPR, và nghĩa vụ thông báo không chậm trễ theo Luật 91/2025. Người phụ trách bảo vệ dữ liệu (DPO) là người cầm đồng hồ đó — bài viết này là playbook của họ.
DPO là ai và làm gì
DPO (Data Protection Officer) theo GDPR là người độc lập giám sát tuân thủ: tư vấn nghĩa vụ, giám sát đánh giá tác động (DPIA), làm đầu mối với cơ quan giám sát và chủ thể dữ liệu. Luật bảo vệ DPO không bị sa thải/kỷ luật vì thực hiện nhiệm vụ.
Theo Luật 91/2025, tổ chức phải chỉ định bộ phận hoặc cá nhân phụ trách bảo vệ dữ liệu cá nhân — vai trò tương tự: đầu mối tiếp nhận yêu cầu của chủ thể dữ liệu, phối hợp với cơ quan chức năng, giám sát tuân thủ nội bộ. Dù tên gọi khác, chức năng là một: người chịu trách nhiệm về dữ liệu trong tổ chức.
Khi nào phải có DPO/người phụ trách
- GDPR: bắt buộc trong 3 trường hợp — cơ quan công quyền; hoạt động cốt lõi là theo dõi quy mô lớn; xử lý quy mô lớn dữ liệu đặc biệt (sức khỏe, sinh trắc học…) hoặc dữ liệu tội phạm.
- Luật 91/2025: yêu cầu chỉ định rộng hơn — tổ chức xử lý dữ liệu cá nhân phải có bộ phận/cá nhân phụ trách; chi tiết về ngưỡng và tiêu chuẩn tại NĐ 356/2025.
- Khuyến nghị thực tế: dù chưa chắc thuộc diện bắt buộc, doanh nghiệp xử lý dữ liệu khách hàng/nhân sự quy mô lớn nên chỉ định từ sớm — vì khi sự cố xảy ra, “không có DPO” không phải lý do bào chữa mà là tình tiết bất lợi.
Playbook ứng phó sự cố: 6 bước
Bước 1 — Phát hiện (giờ 0): hệ thống giám sát + kênh báo cáo nội bộ (nhân viên phát hiện rò rỉ báo cho ai?). DPO được thông báo ngay lập tức.
Bước 2 — Ngăn chặn (giờ 0–4): cô lập hệ thống bị xâm nhập, thu hồi quyền truy cập, giữ nguyên hiện trường số (log) để điều tra — đừng vội “xóa dấu vết” rồi mới báo cáo.
Bước 3 — Đánh giá (giờ 4–24): dữ liệu gì bị lộ, bao nhiêu chủ thể, mức độ nhạy cảm, nguy cơ (lừa đảo, tống tiền…). DPO quyết định có phải thông báo không.
Bước 4 — Thông báo (trong 72h): báo cơ quan chức năng theo Luật 91/2025 và (nếu có dữ liệu người ở EU) báo cơ quan giám sát EU trong 72 giờ theo GDPR; thông báo chủ thể dữ liệu khi rủi ro cao — nội dung rõ ràng, không giấu diếm.
Bước 5 — Khắc phục: vá lỗ hổng, đặt lại thông tin đăng nhập, hỗ trợ chủ thể bị ảnh hưởng (theo dõi tín dụng, cảnh báo lừa đảo).
Bước 6 — Rút kinh nghiệm: báo cáo sau sự cố, cập nhật đánh giá tác động và quy trình — lưu hồ sơ đầy đủ vì cơ quan chức năng sẽ hỏi.
Nội dung thông báo vi phạm
Thông báo cho cơ quan chức năng và chủ thể dữ liệu phải bao gồm:
- Bản chất vi phạm: chuyện gì xảy ra, khi nào phát hiện.
- Loại và quy mô dữ liệu bị ảnh hưởng (số chủ thể ước tính).
- Hậu quả có thể xảy ra với chủ thể dữ liệu.
- Biện pháp đã và sẽ thực hiện để ngăn chặn, khắc phục.
- Đầu mối liên hệ: DPO/người phụ trách — tên, email, điện thoại.
Nguyên tắc: trung thực, đầy đủ, kịp thời — giấu diếm hoặc báo cáo sai sự thật bị xử phạt nặng hơn và mất niềm tin không thể khôi phục.
Sai lầm kinh điển khi xử lý sự cố
- Giấu sự cố: “không ai biết thì không sao” — khi bị phát hiện (và sẽ bị phát hiện), phạt nặng + khủng hoảng danh tiếng gấp bội.
- Báo cáo quá muộn: quá 72h (GDPR) hoặc chậm trễ (Luật 91/2025) mà không có lý do chính đáng = vi phạm thêm một nghĩa vụ.
- Không có DPO: sự cố xảy ra mới đi tìm “ai chịu trách nhiệm” — hỗn loạn, chậm trễ, mất bằng chứng.
- Xóa log: vội khôi phục hệ thống mà xóa nhật ký — mất bằng chứng điều tra, bị nghi ngờ che giấu.
- Thông báo chung chung: “chúng tôi rất tiếc về sự cố” mà không nói dữ liệu gì bị lộ — chủ thể dữ liệu không thể tự bảo vệ, cơ quan chức năng đánh giá không hợp tác.
Xây dựng năng lực trước khi sự cố xảy ra
- Chỉ định DPO/người phụ trách ngay hôm nay — có tên, có thẩm quyền, có ngân sách.
- Ban hành quy trình ứng phó sự cố bằng văn bản, phổ biến đến toàn bộ nhân sự liên quan.
- Diễn tập (tabletop exercise) ít nhất hàng năm — giả định một kịch bản rò rỉ và chạy đủ 6 bước.
- Hợp đồng với đối tác xử lý dữ liệu: điều khoản thông báo sự cố — processor phải báo cho controller ngay khi phát hiện, không được giấu.
- Bảo hiểm: cân nhắc bảo hiểm rủi ro mạng (cyber insurance) — chi phí ứng phó sự cố (điều tra, luật sư, thông báo, bồi thường) rất lớn.
Câu hỏi thường gặp
DPO là gì?
Là người phụ trách bảo vệ dữ liệu: theo GDPR là chức danh độc lập giám sát tuân thủ (bắt buộc trong 3 trường hợp); theo Luật 91/2025, tổ chức phải chỉ định bộ phận/cá nhân phụ trách bảo vệ dữ liệu cá nhân với vai trò tương tự.
Khi rò rỉ dữ liệu phải thông báo trong bao lâu?
GDPR: báo cơ quan giám sát trong 72 giờ; Luật 91/2025: nghĩa vụ thông báo cho cơ quan chức năng và chủ thể dữ liệu (thời hạn chi tiết theo NĐ 356/2025) — nên xây quy trình theo chuẩn 72h để đáp ứng cả hai.
Thông báo vi phạm phải có nội dung gì?
Bản chất và thời điểm vi phạm, loại/quy mô dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra, biện pháp đã và sẽ thực hiện, và đầu mối liên hệ (DPO).
Không có DPO khi xảy ra sự cố thì sao?
‘Không có DPO’ không phải lý do bào chữa mà là tình tiết bất lợi — hỗn loạn, chậm trễ, mất bằng chứng; nên chỉ định từ sớm dù chưa chắc thuộc diện bắt buộc.
Liên hệ FLAT Law Firm
FLAT Law Firm tư vấn xây dựng vai trò DPO và playbook ứng phó sự cố dữ liệu theo Luật 91/2025 và GDPR: chỉ định, quy trình 6 bước, diễn tập. Liên hệ trước khi sự cố xảy ra.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng