Khi nào phải thực hiện thông báo sự cố dữ liệu?

Trường hợp nào sự cố dữ liệu phải thông báo trong 72 giờ?

Điểm cần phân biệt trước tiên là sự cố kỹ thuật và vi phạm quy định về bảo vệ dữ liệu cá nhân không hoàn toàn đồng nhất. Điều 23 Luật Bảo vệ dữ liệu cá nhân đặt nghĩa vụ thông báo 72 giờ trên cơ sở phát hiện hành vi vi phạm đáp ứng điều kiện về khả năng gây tổn hại hoặc xâm phạm các lợi ích được luật liệt kê.

Vì vậy, khi đánh giá một sự cố, cần xem xét tối thiểu các yếu tố sau:

·         Có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân hay không

·         Vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự hoặc an toàn xã hội hay không

·         Vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của chủ thể dữ liệu cá nhân hay không

Nếu thuộc trường hợp này, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân hoặc bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm.

Điều này có nghĩa là không nên chờ đến khi xác định toàn bộ hậu quả thực tế mới xem xét nghĩa vụ thông báo. Ngay khi phát hiện vi phạm và có căn cứ cho thấy vi phạm có thể dẫn đến các loại tổn hại mà Điều 23 quy định, nghĩa vụ thông báo 72 giờ đã được đặt ra.

Những trường hợp nào cũng phải thông báo cho cơ quan chuyên trách?

Ngoài trường hợp vi phạm có khả năng gây tổn hại thuộc khoản 1 Điều 23, Luật còn quy định cơ quan, tổ chức, cá nhân thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân khi:

·         Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân

·         Dữ liệu cá nhân bị xử lý sai mục đích hoặc không đúng thỏa thuận với chủ thể dữ liệu

·         Không bảo đảm hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân

·         Thuộc trường hợp khác theo quy định của pháp luật

Do đó, khi doanh nghiệp phát hiện dữ liệu bị sử dụng sai mục đích, quyền của chủ thể dữ liệu không được bảo đảm hoặc phát hiện một hành vi vi phạm khác, không nên chỉ đánh giá sự cố dưới góc độ kỹ thuật như “đã khắc phục xong hay chưa”. Cần đồng thời kiểm tra nghĩa vụ thông báo theo pháp luật bảo vệ dữ liệu cá nhân.

Riêng bên xử lý dữ liệu cá nhân, khi phát hiện hành vi vi phạm, phải thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Ai phải thông báo và thời hạn được tính từ thời điểm nào?

Đối với trường hợp thuộc khoản 1 Điều 23, các chủ thể có trách nhiệm chính gồm:

·         Bên kiểm soát dữ liệu cá nhân

·         Bên kiểm soát và xử lý dữ liệu cá nhân

·         Bên thứ ba khi phát hiện vi phạm thuộc trường hợp luật quy định

Thời hạn là không quá 72 giờ kể từ khi phát hiện hành vi vi phạm, chứ không phải 72 giờ kể từ khi hoàn tất điều tra nội bộ hoặc khắc phục xong sự cố.

Trong khi đó, bên xử lý dữ liệu cá nhân có nghĩa vụ thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân khi phát hiện vi phạm. Bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân còn phải lập biên bản xác nhận việc xảy ra vi phạm và phối hợp với cơ quan chuyên trách để xử lý.

Vì vậy, quy trình ứng phó không nên được thiết kế theo hướng “điều tra xong mới báo cáo”. Mốc phát hiện vi phạm cần được ghi nhận ngay để kiểm soát thời hạn 72 giờ.

Khi nào phải thông báo trực tiếp cho chủ thể dữ liệu?

Một trường hợp đặc biệt được quy định tại Điều 29 Nghị định 356/2025/NĐ-CP là sự cố vi phạm liên quan đến dữ liệu vị trí cá nhân hoặc dữ liệu sinh trắc học.

Khi xảy ra sự cố thuộc nhóm này, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải:

·         Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ khi phát hiện vi phạm

·         Báo cáo cho cơ quan nhà nước có thẩm quyền

·         Ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm; hồ sơ phải được lưu tối thiểu 5 năm kể từ ngày khắc phục xong sự cố

Nội dung thông báo cho chủ thể dữ liệu phải cho biết loại dữ liệu bị ảnh hưởng, mức độ nghiêm trọng và rủi ro có thể xảy ra, biện pháp khắc phục và giảm thiểu thiệt hại, hướng dẫn phòng ngừa tiếp theo cùng thông tin liên hệ xử lý sự cố.

Ngoài ra, Nghị định 356/2025/NĐ-CP còn có quy định riêng đối với lĩnh vực tài chính, ngân hàng và hoạt động thông tin tín dụng: trong thời hạn không quá 72 giờ sau khi phát hiện lộ, mất dữ liệu nhạy cảm, tổ chức, cá nhân trực tiếp thu thập dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân.

Thông báo sự cố dữ liệu phải có những nội dung gì?

Điều 28 Nghị định 356/2025/NĐ-CP quy định nội dung thông báo vi phạm gồm bốn nhóm thông tin chính:

1.    Mô tả tính chất vi phạm: thời gian, địa điểm, hành vi, tổ chức hoặc cá nhân liên quan, loại dữ liệu và số lượng dữ liệu

2.    Thông tin liên hệ: bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu

3.    Hậu quả và thiệt hại có thể xảy ra

4.    Biện pháp xử lý: các biện pháp đã hoặc đang được thực hiện để giải quyết và giảm thiểu tác hại

Thông báo được gửi đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 của Nghị định 356/2025/NĐ-CP.

Nếu tại thời điểm thông báo chưa thể xác định đầy đủ mọi thông tin về sự cố, doanh nghiệp cần tiếp tục cập nhật và phối hợp xử lý thay vì coi việc gửi thông báo ban đầu là đã kết thúc toàn bộ nghĩa vụ ứng phó.

Có thể xác định nghĩa vụ thông báo sự cố dữ liệu như thế nào?

Khi phát hiện sự cố, có thể kiểm tra theo trình tự:

1.    Xác định có dữ liệu cá nhân và có hành vi vi phạm hay không

2.    Xác định loại dữ liệu bị ảnh hưởng và chủ thể liên quan

3.    Đánh giá khả năng gây tổn hại đến quốc phòng, an ninh, trật tự, an toàn xã hội hoặc quyền, lợi ích về tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản

4.    Kiểm tra các trường hợp thông báo riêng, đặc biệt đối với dữ liệu vị trí, dữ liệu sinh trắc học và dữ liệu nhạy cảm trong một số lĩnh vực

5.    Ghi nhận chính xác thời điểm phát hiện vi phạm để tính thời hạn

6.    Thực hiện thông báo và đồng thời khắc phục, giảm thiểu thiệt hại

Cách tiếp cận này giúp tránh hai sai sót ngược nhau: coi mọi lỗi kỹ thuật là một trường hợp phải thông báo theo cùng một cơ chế, hoặc ngược lại chờ xác định đầy đủ hậu quả rồi mới bắt đầu xem xét nghĩa vụ pháp lý.

Tóm lại, theo pháp luật Việt Nam hiện hành, mốc 72 giờ đặc biệt quan trọng đối với vi phạm dữ liệu cá nhân thuộc trường hợp có thể gây tổn hại đến các lợi ích được Điều 23 Luật Bảo vệ dữ liệu cá nhân bảo vệ. Một số loại dữ liệu và lĩnh vực còn có nghĩa vụ thông báo riêng cho chủ thể dữ liệu. Vì vậy, doanh nghiệp cần đánh giá đồng thời bản chất vi phạm, mức độ rủi ro, loại dữ liệu và chủ thể phải nhận thông báo thay vì chỉ dựa vào việc sự cố đã được khắc phục hay chưa.