CRM系统被入侵、载有5万名客户信息的表格外泄、员工误将敏感数据发错邮箱——事故发生时，管理层的第一个问题往往是：须向谁报告、多长时间内？根据越南《个人信息保护法》（第91/2025/QH15号）第23条第1款，当事故可能危害国防、国家安全、公共秩序，或侵害数据主体的生命、健康、名誉、人格、财产时，答案非常明确：网络安全局（A05）——自发现起72小时内。
1. 向谁通报？——公安部A05局
当发现违反个人信息保护规定的行为，可能危害国防、国家安全、公共秩序，或侵害数据主体生命、健康、名誉、人格、财产时，个人信息控制者或控制兼处理者，须自发现违规行为起72小时内向个人信息保护专责机关——公安部网络安全与高科技犯罪防范局（A05）通报（第91/2025/QH15号法律第23条第1款）。
不属于上述72小时范围的其他违规行为，仍适用一般通报义务：发现违规行为、数据被超范围或不符约定处理、未保障数据主体权利等情形，均须向个人信息保护专责机关通报（第23条第3款）。
注意角色区分：发现违规的数据处理者（如外包公司、云服务商）须及时通知数据控制者——未通知可处1000万至2000万越盾罚款。
2. 通报方式与内容
方式：通过国家个人信息保护门户网站在线申报（上线后）、亲赴A05总部递交，或邮寄至该局受理部门。
表格：第356/2025/ND-CP号议定附08号表格，内容包括：违规性质（时间、地点、行为）；受影响个人信息的种类与数量；数据保护人员/部门的联系方式；可能造成的后果与损害；已采取及拟采取的补救措施。
72小时内信息不全怎么办？法律允许分阶段通报——但首次通报（第23条第1款适用情形）必须在72小时内发出，并说明无法提供完整信息的原因。逾期通报须对延迟作出合理解释。
3. 不可遗漏的两项并行义务
- 制作书面记录确认违规发生——调查处理的必备文件；
- 通知受影响的数据主体：个人信息泄露时，须通知主体以便其及时自保（修改密码、冻结银行卡等）。
4. 迟报或瞒报的处罚
根据第330/2026/ND-CP号议定第54条（2026年8月19日生效）：数据控制者、控制兼处理者或第三方逾期72小时通报——且违规造成或可能危害国防、国家安全、公共秩序，或侵害数据主体生命、健康、名誉、人格、财产的，处4000万至6000万越盾罚款。除罚款外，企业还可能被责令删除数据、暂停或限制数据处理活动。
5. 企业72小时应急清单
- 发现与隔离：确定范围与受影响数据类型；隔离被入侵系统；
- 启动应急小组：法务、IT/网络安全、公关、管理层；
- 评估与记录：记录时间、行为、受影响数据量；
- 自发现起72小时内通报A05（08号表格）（第23条第1款适用情形）——即使信息尚不完整；
- 通知受影响的数据主体并提供自保指引；
- 补救、存档并配合A05调查。
6. 常见问题
问：小事故、仅泄露几封内部员工邮件，也要在72小时内报A05吗？
答：不一定。72小时时限（第23条第1款）仅适用于可能危害国防、国家安全、公共秩序，或侵害数据主体生命、健康、名誉、人格、财产的违规行为。其他情形适用一般通报义务（第23条第3款）——仍须向专责机关通报，但不受72小时硬性时限约束。无论属于哪种情形，企业都应如实评估并通报，隐瞒一旦被发现，后果更严重。
问：可以报公司所在地的派出所吗？
答：不可以。法定唯一受理机关是A05局（公安部）——个人信息保护专责机关。
问：72小时从何时起算？
答：自发现违规行为之时起算——法律表述为”自发现违规行为起72小时内”（第23条第1款），而非自违规发生之时。因此企业需要建立监测与早期发现机制，避免72小时时限对自己不利。
企业需要建立72小时数据事故应急流程？联系我们获取咨询。
本文由FLAW AI Legal Council编写。内容正待QA委员会审查后呈批；信息仅供参考，不能替代针对您具体情况的法律咨询。