Thời điểm thực hiện nghĩa vụ thông báo khi xử lý dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 hiện hành, chủ thể dữ liệu có quyền được biết về hoạt động xử lý dữ liệu cá nhân. Khi hoạt động xử lý dựa trên sự đồng ý, sự đồng ý chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và đã biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu và các quyền, nghĩa vụ của mình. Vì vậy, đối với trường hợp cần sự đồng ý, những thông tin làm cơ sở cho sự đồng ý phải được cung cấp trước khi việc thu thập, xử lý dựa trên sự đồng ý đó diễn ra.

Quy tắc thông báo trước khi xử lý theo Nghị định 13/2023/NĐ-CP

Khoản 1 Điều 13 Nghị định 13/2023/NĐ-CP từng quy định rất cụ thể: việc thông báo được thực hiện một lần trước khi tiến hành hoạt động xử lý dữ liệu cá nhân. Thông báo phải cho chủ thể dữ liệu biết các nội dung như mục đích xử lý, loại dữ liệu được sử dụng, cách thức xử lý, các bên liên quan, hậu quả hoặc thiệt hại có khả năng xảy ra và thời gian bắt đầu, kết thúc xử lý.

Theo cơ chế này, thời điểm hoàn thành nghĩa vụ khá rõ: thông báo phải hoàn tất trước thời điểm bắt đầu xử lý. Không phải xử lý dữ liệu trước rồi mới gửi thông báo để hợp thức hóa sau.

Nghị định cũ cũng cho phép không phải thực hiện lại nghĩa vụ này trong một số trường hợp, chẳng hạn chủ thể dữ liệu đã biết rõ và đồng ý toàn bộ những nội dung cần thiết trước khi việc thu thập được tiến hành.

Từ ngày 01/01/2026 có còn bắt buộc thông báo một lần trước khi xử lý?

Không nên tiếp tục áp dụng Điều 13 Nghị định 13/2023/NĐ-CP như một quy tắc pháp lý hiện hành. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026; cùng ngày, Nghị định 356/2025/NĐ-CP có hiệu lực và quy định rõ Nghị định 13/2023/NĐ-CP hết hiệu lực.

Khung pháp luật mới vẫn duy trì nguyên tắc minh bạch nhưng tổ chức nghĩa vụ theo cách khác. Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 xác lập quyền của cá nhân được biết về hoạt động xử lý dữ liệu. Điều 9 yêu cầu sự đồng ý chỉ có giá trị khi cá nhân biết rõ loại dữ liệu, mục đích xử lý, chủ thể kiểm soát và các quyền, nghĩa vụ của mình. Đồng thời, Điều 11 yêu cầu dữ liệu cá nhân phải được sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

Do đó, trong hoạt động dựa trên sự đồng ý, trình tự tuân thủ về bản chất phải bảo đảm:

Cung cấp thông tin cần thiết → chủ thể dữ liệu đưa ra sự đồng ý hợp lệ → tiến hành thu thập, xử lý.

Nếu doanh nghiệp chỉ giải thích mục đích, loại dữ liệu hoặc chủ thể kiểm soát sau khi đã thu thập thì sự đồng ý trước đó có nguy cơ không đáp ứng điều kiện “biết rõ” mà Điều 9 đặt ra.

Thời điểm thông báo phụ thuộc vào loại hoạt động xử lý

Pháp luật hiện hành còn quy định nghĩa vụ thông báo cụ thể cho từng trường hợp thay vì sử dụng duy nhất một thời điểm chung.

Đối với dữ liệu cá nhân nhạy cảm, khi xin sự đồng ý xử lý, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải thông báo cho chủ thể dữ liệu biết rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. Quy định này gắn thông báo trực tiếp với giai đoạn xin sự đồng ý.

Đối với xử lý dữ liệu cá nhân tự động, bên kiểm soát hoặc bên kiểm soát và xử lý phải thông báo về việc xử lý tự động, giải thích nguyên tắc hoạt động của thuật toán, ảnh hưởng đối với quyền và lợi ích hợp pháp của cá nhân, đồng thời cung cấp lựa chọn để chủ thể dữ liệu không tham gia.

Với hệ thống xử lý dữ liệu lớn, Nghị định 356/2025/NĐ-CP yêu cầu có cơ chế thông báo và giải thích phù hợp để chủ thể dữ liệu biết dữ liệu cá nhân của họ được sử dụng trong hệ thống phân tích dữ liệu lớn.

Như vậy, khi xác định thời hạn thực hiện nghĩa vụ thông báo khi xử lý dữ liệu, trước hết phải xác định hoạt động xử lý thuộc trường hợp nào và căn cứ pháp lý nào đang được áp dụng. Không thể lấy mốc “một lần trước khi xử lý” của Nghị định 13/2023/NĐ-CP để áp dụng máy móc cho mọi trường hợp sau ngày 01/01/2026.

Không nên nhầm thông báo xử lý với thông báo khi xảy ra vi phạm dữ liệu

Thông báo về hoạt động xử lý và thông báo khi xảy ra sự cố dữ liệu là hai nghĩa vụ khác nhau.

Theo Luật Bảo vệ dữ liệu cá nhân 2025, trong những trường hợp vi phạm có khả năng gây các loại tổn hại được luật xác định, bên kiểm soát, bên kiểm soát và xử lý hoặc bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm.

Nghị định 356/2025/NĐ-CP còn quy định cụ thể thời hạn không quá 72 giờ đối với một số trường hợp như lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng hoặc vi phạm liên quan đến dữ liệu vị trí, dữ liệu sinh trắc học.

Mốc 72 giờ này vì vậy không phải thời hạn chung để thông báo trước khi xử lý dữ liệu. Nó phát sinh sau khi một sự kiện vi phạm nhất định đã được phát hiện.

Nếu câu hỏi được đặt theo Điều 13 Nghị định 13/2023/NĐ-CP, câu trả lời là: thông báo phải được thực hiện một lần trước khi tiến hành hoạt động xử lý dữ liệu cá nhân. Tuy nhiên, kể từ ngày 01/01/2026, Nghị định 13/2023/NĐ-CP đã hết hiệu lực. Theo pháp luật hiện hành, không còn mốc “một lần trước khi xử lý” như một quy tắc chung cho mọi trường hợp; thời điểm thông báo phải được xác định theo loại hoạt động xử lý và căn cứ pháp lý cụ thể. Với việc xử lý dựa trên sự đồng ý, chủ thể dữ liệu phải được cung cấp đủ thông tin cần thiết để có thể đưa ra sự đồng ý hợp lệ trước khi việc thu thập, xử lý dựa trên sự đồng ý được tiến hành.