Kiểm tra, thanh tra chuyên ngành bảo vệ dữ liệu cá nhân: cơ quan nào kiểm tra và doanh nghiệp chuẩn bị hồ sơ gì?

Khác với thời kỳ Nghị định 13/2023 khi thanh tra dữ liệu mang tính rời rạc, Luật BVDLCN 91/2025 thiết lập cơ quan chuyên trách và chế độ kiểm tra, thanh tra chuyên ngành riêng cho lĩnh vực bảo vệ dữ liệu cá nhân. Với doanh nghiệp FDI — đặc biệt các doanh nghiệp chuyển dữ liệu về công ty mẹ — câu hỏi thực tế là: cơ quan nào sẽ vào kiểm tra, hồ sơ gì phải sẵn sàng trên bàn, và mức phạt theo khung mới ra sao. Bài này trả lời theo cấu trúc chuẩn bị hồ sơ có thể áp dụng ngay.

Căn cứ pháp lý

Cơ quan kiểm tra: cơ quan chuyên trách thuộc Bộ Công an

Theo khung Luật 91/2025, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an — đây là đầu mối quốc gia về bảo vệ dữ liệu cá nhân: tiếp nhận hồ sơ đánh giá tác động, hồ sơ chuyển dữ liệu ra nước ngoài, thông báo vi phạm, và chủ trì/phối hợp kiểm tra, thanh tra chuyên ngành về bảo vệ dữ liệu. Bên cạnh đó, cơ quan quản lý chuyên ngành (ngân hàng, y tế, giáo dục, viễn thông) và thanh tra các bộ vẫn có thẩm quyền trong phạm vi ngành mình. Với doanh nghiệp, hệ quả thực tế là đầu mối tiếp đoàn kiểm tra dữ liệu là cơ quan công an chuyên trách — không phải đơn vị quản lý thị trường thông thường — và nội dung kiểm tra đi sâu vào hồ sơ tuân thủ kỹ thuật – pháp lý thay vì chỉ giấy phép.

Khung xử phạt: Luật đặt trần theo doanh thu, nghị định sẽ chi tiết hóa

Điều 8 Luật 91/2025 đặt khung trách nhiệm cho vi phạm bảo vệ dữ liệu cá nhân theo từng nhóm hành vi: mua bán dữ liệu cá nhân trái phép bị phạt tối đa 10 lần khoản thu (khoản 3); vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới bị phạt tối đa 5% doanh thu của năm tài chính liền trước đối với tổ chức (khoản 4); các vi phạm khác bị phạt tối đa 3 tỷ đồng (khoản 5); cá nhân bằng một nửa mức của tổ chức (khoản 6) — một bước nhảy so với mức phạt tiền cố định của thời Nghị định 13/2023 và nghị định xử phạt cũ. Mức phạt cụ thể cho từng hành vi (thu thập không có cơ sở, không lập hồ sơ đánh giá tác động, chuyển dữ liệu trái phép, không thông báo vi phạm) được chi tiết hóa tại nghị định xử phạt của Chính phủ trong lĩnh vực này; doanh nghiệp cần đối chiếu văn bản xử phạt đang có hiệu lực tại thời điểm bị kiểm tra. Ngoài phạt tiền, khung còn gồm biện pháp khắc phục (buộc xóa dữ liệu, đình chỉ xử lý, công khai vi phạm) và trách nhiệm bồi thường dân sự với chủ thể dữ liệu bị thiệt hại.

Phân tích áp dụng

Hồ sơ doanh nghiệp cần sẵn sàng khi bị kiểm tra

Đoàn kiểm tra chuyên ngành thường yêu cầu 5 nhóm hồ sơ: (1) hồ sơ pháp lý xử lý — chính sách bảo vệ dữ liệu, thông báo xử lý cho chủ thể dữ liệu, bằng chứng đồng ý, căn cứ pháp lý cho từng mục đích; (2) hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài đã gửi cơ quan chuyên trách (kèm xác nhận tiếp nhận); (3) hồ sơ tổ chức — quyết định chỉ định bộ phận/người phụ trách bảo vệ dữ liệu, quy trình nội bộ đáp ứng quyền chủ thể dữ liệu và xử lý sự cố; (4) hồ sơ kỹ thuật — nhật ký truy cập, biện pháp bảo mật, hợp đồng với bên xử lý dữ liệu và nhà cung cấp đám mây; (5) hồ sơ sự cố — thông báo vi phạm đã gửi, biên bản xử lý. Thiếu hồ sơ đánh giá tác động hoặc hồ sơ chuyển dữ liệu là hai lỗi phổ biến nhất ở doanh nghiệp FDI vì dòng dữ liệu về công ty mẹ thường được thiết lập trước khi Luật 91/2025 có hiệu lực và chưa được hợp thức hóa.

Quyền giải trình và khiếu nại của doanh nghiệp

Trong và sau kiểm tra, doanh nghiệp có quyền: giải trình bằng văn bản và cung cấp tài liệu bổ sung về các nội dung đoàn kiểm tra nêu; tham gia ý kiến vào biên bản/dự thảo kết luận kiểm tra; khiếu nại kết luận thanh tra, quyết định xử phạt theo pháp luật khiếu nại và tố tụng hành chính nếu cho rằng kết luận không đúng căn cứ. Thực hành hiệu quả là xử lý theo hai lớp: lớp kỹ thuật — khắc phục ngay các thiếu sót hồ sơ có thể bổ sung hợp lệ (không được “bổ sung ngược thời gian” bằng tài liệu tạo sau, điều này tự nó là rủi ro); và lớp pháp lý — văn bản giải trình đối chiếu từng nhận định của đoàn với điều khoản luật và chứng cứ tuân thủ của doanh nghiệp, có luật sư tham gia từ đầu thay vì chỉ khi quyết định xử phạt đã ban hành.

Khuyến nghị hành động

Rà soát 5 nhóm hồ sơ kiểm tra theo danh mục trong bài; lập thư mục hồ sơ tuân thủ sẵn sàng xuất trình.
Ưu tiên hợp thức hóa hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu ra nước ngoài cho dòng dữ liệu về công ty mẹ.
Phân công đầu mối tiếp đoàn kiểm tra + quy trình phê duyệt cung cấp tài liệu (đúng phạm vi yêu cầu).
Xây dựng mẫu và quy trình giải trình bằng văn bản kèm đối chiếu điều khoản cho từng loại nhận định.
Diễn tập kiểm tra giả định (mock inspection) 1 lần/năm cho các bộ phận pháp chế, CNTT và nhân sự.

Câu hỏi thường gặp

Cơ quan nào kiểm tra, thanh tra chuyên ngành bảo vệ dữ liệu cá nhân?

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo Luật 91/2025 là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an — đầu mối tiếp nhận hồ sơ đánh giá tác động, hồ sơ chuyển dữ liệu ra nước ngoài, thông báo vi phạm và chủ trì/phối hợp kiểm tra, thanh tra chuyên ngành. Các cơ quan quản lý ngành (ngân hàng, y tế, giáo dục, viễn thông) vẫn kiểm tra trong phạm vi ngành của mình.

Doanh nghiệp chuẩn bị hồ sơ gì khi bị thanh tra bảo vệ dữ liệu cá nhân?

Năm nhóm hồ sơ: chính sách và bằng chứng cơ sở pháp lý xử lý (đồng ý, thông báo cho chủ thể dữ liệu); hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ chuyển dữ liệu ra nước ngoài đã nộp cơ quan chuyên trách; quyết định chỉ định người/bộ phận phụ trách bảo vệ dữ liệu và quy trình nội bộ; hồ sơ kỹ thuật (nhật ký truy cập, bảo mật, hợp đồng với bên xử lý); và hồ sơ sự cố, thông báo vi phạm. Hai lỗi phổ biến nhất ở doanh nghiệp FDI là thiếu hồ sơ đánh giá tác động và thiếu hồ sơ chuyển dữ liệu.

Mức xử phạt vi phạm dữ liệu cá nhân theo khung mới là bao nhiêu?

Theo Điều 8 Luật 91/2025, mức phạt tùy nhóm hành vi: mua bán dữ liệu cá nhân trái phép tối đa 10 lần khoản thu (khoản 3); vi phạm chuyển dữ liệu cá nhân xuyên biên giới tối đa 5% doanh thu của năm tài chính liền trước đối với tổ chức (khoản 4); các vi phạm khác tối đa 3 tỷ đồng (khoản 5) — kèm biện pháp khắc phục như buộc xóa dữ liệu, đình chỉ xử lý và công khai vi phạm. Mức phạt cụ thể cho từng hành vi được quy định tại nghị định xử phạt của Chính phủ trong lĩnh vực này — doanh nghiệp cần đối chiếu văn bản đang có hiệu lực tại thời điểm kiểm tra thay vì suy từ mức phạt cũ thời Nghị định 13/2023.

Doanh nghiệp có quyền giải trình, khiếu nại kết quả thanh tra dữ liệu thế nào?

Doanh nghiệp có quyền giải trình bằng văn bản và bổ sung tài liệu trong quá trình kiểm tra, tham gia ý kiến vào biên bản và dự thảo kết luận, và khiếu nại kết luận thanh tra hoặc quyết định xử phạt theo pháp luật khiếu nại, tố tụng hành chính. Thực hành đúng: khắc phục ngay thiếu sót hồ sơ có thể bổ sung hợp lệ (tuyệt đối không tạo tài liệu ngược thời gian), đồng thời lập văn bản giải trình đối chiếu từng nhận định với điều khoản luật và chứng cứ tuân thủ.