“Báo cáo bảo vệ dữ liệu cá nhân” của doanh nghiệp FDI không phải một biểu mẫu năm nộp một lần: dưới Luật Bảo vệ dữ liệu cá nhân 91/2025 có hiệu lực từ ngày 01 tháng 01 năm 2026 và Nghị định 356/2025/ND-CP thay thế Nghị định 13/2023/ND-CP, nó là một chùm nghĩa vụ hồ sơ theo sự kiện — hồ sơ đánh giá tác động nộp khi bắt đầu xử lý, hồ sơ đánh giá chuyển dữ liệu xuyên biên giới, và thông báo vi phạm dữ liệu trong bảy mươi hai giờ — mà doanh nghiệp FDI với dòng dữ liệu chảy về công ty mẹ gần như luôn chạm cả ba.
Khi nào phải “báo cáo”: ba sự kiện sinh nghĩa vụ hồ sơ
Sự kiện thứ nhất là bắt đầu một hoạt động xử lý dữ liệu cá nhân: bên kiểm soát và bên kiểm soát — xử lý dữ liệu phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi một bản cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân của Bộ Công an trong vòng sáu mươi ngày kể từ khi bắt đầu xử lý. Sự kiện thứ hai là chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài — hoạt động thường nhật của mọi doanh nghiệp FDI báo cáo về công ty mẹ — với hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới cũng nộp trong vòng sáu mươi ngày từ khi chuyển.
Sự kiện thứ ba là vi phạm về bảo vệ dữ liệu cá nhân: khi phát hiện hành vi xâm phạm dữ liệu, doanh nghiệp phải thông báo cho cơ quan chuyên trách trong vòng bảy mươi hai giờ và thông báo cho chủ thể dữ liệu khi vi phạm có khả năng gây hại cho họ. Ba sự kiện này cộng với việc cập nhật hồ sơ khi nội dung thay đổi tạo thành toàn bộ “chế độ báo cáo” dữ liệu cá nhân hiện hành — doanh nghiệp đi tìm một hạn nộp năm cho nó sẽ không bao giờ tìm thấy, và trong lúc tìm đã trễ hai hạn sáu mươi ngày đầu tiên.
Bị rò rỉ dữ liệu khách hàng thì xử lý sao: đồng hồ bảy mươi hai giờ
Ngay khi phát hiện rò rỉ, hai dòng việc chạy song song: dòng kỹ thuật — chặn nguồn rò, xác định phạm vi dữ liệu và chủ thể bị chạm, bảo toàn log và chứng cứ; và dòng pháp lý — đánh giá mức độ vi phạm để thông báo cơ quan chuyên trách trong bảy mươi hai giờ theo mẫu quy định, chuẩn bị thông báo cho khách hàng bị ảnh hưởng và ghi lại toàn bộ quyết định trong hồ sơ sự cố. Thông báo trong hạn không yêu cầu đã biết mọi chi tiết: thông báo ban đầu nêu những gì đã biết và được bổ sung khi điều tra rõ thêm, còn im lặng chờ điều tra xong là cách biến một sự cố dữ liệu thành thêm một vi phạm về thông báo.
Với doanh nghiệp FDI, sự cố dữ liệu tại Việt Nam thường đồng thời kích hoạt nghĩa vụ tại nước của công ty mẹ — như thông báo bảy mươi hai giờ của GDPR nếu dữ liệu liên quan người tại EU — với đồng hồ và đầu mối khác nhau. Quy trình ứng phó của doanh nghiệp phải vẽ cả hai bản đồ nghĩa vụ này trên một trang để đội xử lý không tối ưu cho một chế độ mà vi phạm chế độ còn lại.
Bộ máy dữ liệu trong doanh nghiệp: người chịu trách nhiệm và hồ sơ sống
Luật Bảo vệ dữ liệu cá nhân 91/2025 yêu cầu bên kiểm soát, bên xử lý chỉ định bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân và thông tin về đầu mối này là một phần của hồ sơ đánh giá tác động. Với doanh nghiệp FDI, người phụ trách tại Việt Nam phải là đầu mối thật sự làm việc được với cơ quan chuyên trách và với bộ phận dữ liệu của tập đoàn; chỉ định hình thức một nhân sự không nắm hệ thống dữ liệu là điểm yếu bị lộ ngay ở lần làm việc đầu tiên với cơ quan quản lý.
Các hồ sơ dữ liệu là hồ sơ sống: mỗi khi doanh nghiệp thay đổi mục đích xử lý, thêm nhóm dữ liệu, đổi nhà thầu xử lý hoặc mở thêm một dòng chuyển dữ liệu ra nước ngoài, hồ sơ đánh giá tác động phải được cập nhật và gửi bổ sung. Lịch tuân thủ của doanh nghiệp vì vậy gắn nghĩa vụ dữ liệu vào quy trình thay đổi hệ thống và ký hợp đồng mới — nơi các sự kiện sinh nghĩa vụ thật sự phát sinh — thay vì một hạn nộp cố định trong năm.
Câu hỏi thường gặp
Doanh nghiệp FDI có phải báo cáo về bảo vệ dữ liệu cá nhân không?
Có, dưới dạng hồ sơ theo sự kiện theo Luật Bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356/2025/ND-CP: hồ sơ đánh giá tác động xử lý dữ liệu cá nhân nộp trong sáu mươi ngày từ khi bắt đầu xử lý; hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới khi chuyển dữ liệu công dân Việt Nam ra nước ngoài; và thông báo vi phạm dữ liệu trong bảy mươi hai giờ. Không tồn tại một báo cáo dữ liệu cá nhân định kỳ năm riêng biệt.
Khi nào phải báo cáo về dữ liệu cá nhân?
Ba thời điểm: trong vòng sáu mươi ngày kể từ khi bắt đầu một hoạt động xử lý thuộc diện lập hồ sơ đánh giá tác động; trong vòng sáu mươi ngày kể từ khi bắt đầu chuyển dữ liệu cá nhân ra nước ngoài thuộc diện đánh giá chuyển xuyên biên giới; và trong vòng bảy mươi hai giờ kể từ khi phát hiện vi phạm dữ liệu. Thay đổi nội dung xử lý sau đó phát sinh nghĩa vụ cập nhật hồ sơ tương ứng.
Bị rò rỉ dữ liệu khách hàng thì xử lý sao?
Chạy hai dòng song song: kỹ thuật — chặn nguồn rò, xác định phạm vi và bảo toàn chứng cứ; pháp lý — thông báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong bảy mươi hai giờ với những gì đã biết và bổ sung tiếp khi điều tra rõ, thông báo cho khách hàng khi vi phạm có khả năng gây hại cho họ, và ghi hồ sơ sự cố đầy đủ. Chờ điều tra xong mới thông báo là vi phạm thêm về chậm thông báo.
Doanh nghiệp FDI chuyển dữ liệu nhân sự về công ty mẹ có phải lập hồ sơ riêng không?
Có: chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài — gồm dữ liệu nhân viên, khách hàng chuyển về hệ thống của tập đoàn — thuộc diện lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cơ quan chuyên trách trong sáu mươi ngày kể từ khi chuyển theo Luật 91/2025 và Nghị định 356/2025/ND-CP. Đây là hồ sơ riêng, tách khỏi hồ sơ đánh giá tác động xử lý trong nước.
Không nộp các hồ sơ dữ liệu cá nhân bị xử lý thế nào?
Doanh nghiệp bị xử phạt hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân theo Nghị định 356/2025/ND-CP với mặt bằng chế tài cao hơn hẳn chế độ trước, kèm biện pháp buộc hoàn thiện hồ sơ và khắc phục vi phạm; các hành vi nghiêm trọng như mua bán dữ liệu trái phép bị xử lý ở khung nặng hơn, gồm cả khả năng truy cứu hình sự theo pháp luật tương ứng. Rủi ro thực tế lớn nhất với FDI là hồ sơ bị lộ thiếu khi cơ quan kiểm tra sau một sự cố dữ liệu.
Liên hệ FLAT Law Firm
FLAT Law Firm thiết lập bản đồ nghĩa vụ hồ sơ dữ liệu cá nhân cho doanh nghiệp FDI: lịch sáu mươi ngày cho đánh giá tác động và chuyển dữ liệu xuyên biên giới về công ty mẹ, quy trình thông báo vi phạm bảy mươi hai giờ và đầu mối phụ trách dữ liệu tại Việt Nam.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng
