Hệ thống CRM bị xâm nhập, file Excel chứa thông tin 50.000 khách hàng bị phát tán, nhân viên vô tình gửi nhầm email chứa dữ liệu nhạy cảm — khi sự cố xảy ra, câu hỏi đầu tiên của ban lãnh đạo thường là: phải báo cho ai, trong bao lâu? Theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, khi sự cố có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, câu trả lời rất rõ ràng: Cục An ninh mạng (A05) — chậm nhất 72 giờ kể từ khi phát hiện.
1. Thông báo cho ai? — Cục A05, Bộ Công an
Khi phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải gửi thông báo đến Cơ quan chuyên trách bảo vệ dữ liệu cá nhân — Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an — chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm (khoản 1 Điều 23 Luật 91/2025/QH15).
Các vi phạm khác không thuộc diện 72 giờ trên vẫn thuộc nghĩa vụ thông báo chung: phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận; không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu — đều phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (khoản 3 Điều 23).
Lưu ý phân vai: bên xử lý dữ liệu (đơn vị được thuê xử lý, ví dụ công ty outsourcing, nhà cung cấp cloud) khi phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát dữ liệu — không báo có thể bị phạt 10–20 triệu đồng.
2. Thông báo bằng cách nào, nội dung gì?
Cách thức: trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (khi đi vào vận hành), nộp trực tiếp tại trụ sở A05, hoặc gửi bưu chính đến bộ phận tiếp nhận và trả kết quả của Cục.
Biểu mẫu: Mẫu số 08 ban hành kèm Nghị định 356/2025/NĐ-CP, với các nội dung: mô tả tính chất vi phạm (thời gian, địa điểm, hành vi); loại và số lượng dữ liệu cá nhân bị ảnh hưởng; thông tin liên lạc của nhân sự/bộ phận bảo vệ dữ liệu; mô tả hậu quả, thiệt hại có thể xảy ra; các biện pháp đã và sẽ áp dụng để khắc phục.
Chưa đủ thông tin trong 72 giờ? Pháp luật cho phép thông báo theo từng đợt — nhưng thông báo ban đầu (đối với vi phạm thuộc diện khoản 1 Điều 23) phải đúng hạn 72 giờ và nêu rõ lý do chưa thể cung cấp đầy đủ. Trường hợp thông báo sau 72 giờ, doanh nghiệp phải giải trình lý do chậm trễ một cách hợp lý.
3. Đừng quên hai việc song song
- Lập biên bản xác nhận về việc xảy ra hành vi vi phạm — tài liệu bắt buộc để phục vụ điều tra, xử lý;
- Thông báo cho chủ thể dữ liệu bị ảnh hưởng: khi dữ liệu cá nhân bị lộ, chủ thể dữ liệu phải được thông báo để kịp thời tự bảo vệ (đổi mật khẩu, khóa thẻ…).
4. Chế tài nếu chậm hoặc không thông báo
Theo Điều 54 Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên thứ ba thông báo chậm hơn 72 giờ — khi vi phạm gây hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu — bị phạt 40–60 triệu đồng. Ngoài phạt tiền, doanh nghiệp còn có thể bị buộc xóa dữ liệu, đình chỉ hoặc hạn chế hoạt động xử lý dữ liệu.
5. Checklist ứng phó 72 giờ cho doanh nghiệp
- Phát hiện & khoanh vùng: xác định phạm vi, loại dữ liệu bị ảnh hưởng; cô lập hệ thống bị xâm nhập;
- Kích hoạt đội ứng phó: pháp chế, IT/an ninh mạng, truyền thông, ban lãnh đạo;
- Đánh giá & lập biên bản: ghi nhận thời gian, hành vi, số lượng dữ liệu ảnh hưởng;
- Thông báo A05 (Mẫu số 08) trong 72 giờ kể từ khi phát hiện (đối với vi phạm thuộc diện khoản 1 Điều 23) — kể cả khi thông tin chưa đầy đủ;
- Thông báo chủ thể dữ liệu bị ảnh hưởng và hướng dẫn biện pháp tự bảo vệ;
- Khắc phục, lưu hồ sơ và phối hợp điều tra với A05.
6. Câu hỏi thường gặp
Hỏi: Sự cố nhỏ, chỉ lộ vài email nhân viên nội bộ, có phải báo A05 trong 72 giờ không?
Đáp: Chưa hẳn. Khung 72 giờ (khoản 1 Điều 23) chỉ áp dụng cho vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Các trường hợp khác thuộc nghĩa vụ thông báo chung (khoản 3 Điều 23) — vẫn phải thông báo cho cơ quan chuyên trách, nhưng không bị đóng khung cứng 72 giờ. Dù thuộc diện nào, doanh nghiệp cũng nên đánh giá và báo cáo đầy đủ, vì che giấu bị phát hiện sẽ nặng hơn.
Hỏi: Báo cho công an phường nơi công ty đặt trụ sở được không?
Đáp: Không. Đầu mối tiếp nhận duy nhất theo luật là Cục A05 (Bộ Công an) — cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Hỏi: 72 giờ tính từ khi nào?
Đáp: Từ khi phát hiện hành vi vi phạm — luật ghi rõ “chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm” (khoản 1 Điều 23), không phải từ khi vi phạm xảy ra. Vì vậy doanh nghiệp cần quy trình giám sát, phát hiện sớm để mốc 72 giờ không bị tính muộn.
Doanh nghiệp cần xây dựng quy trình ứng phó sự cố dữ liệu 72 giờ? Liên hệ với chúng tôi để được tư vấn.
Bài viết do FLAW AI Legal Council biên soạn. Nội dung đang chờ Hội đồng QA rà soát trước khi trình phê duyệt; thông tin chỉ mang tính tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể của quý vị.
