KHI NÀO PHẢI BÁO CÁO XỬ LÝ DỮ LIỆU THEO NGHỊ ĐỊNH MỚI?

Kể từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP chính thức có hiệu lực, đặt ra nhiều nghĩa vụ tuân thủ bắt buộc đối với các tổ chức, doanh nghiệp có hoạt động xử lý dữ liệu cá nhân tại Việt Nam. Một trong những câu hỏi được nhiều doanh nghiệp quan tâm nhất hiện nay là: khi nào phải báo cáo xử lý dữ liệu cá nhân theo quy định mới? Phải báo cáo với cơ quan nào, trong thời hạn bao lâu và hồ sơ gồm những gì?

Bài viết dưới đây sẽ phân tích chi tiết các quy định về nghĩa vụ báo cáo xử lý dữ liệu cá nhân theo Nghị định 356/2025/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025, giúp doanh nghiệp nắm rõ để chủ động tuân thủ và tránh rủi ro pháp lý.

CƠ SỞ PHÁP LÝ

– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025;

– Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

I. ĐỐI TƯỢNG PHẢI BÁO CÁO XỬ LÝ DỮ LIỆU CÁ NHÂN

Theo quy định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 được hướng dẫn cụ thể tại khoản 1 Điều 19 Nghị định 356/2025/NĐ-CP, các đối tượng có nghĩa vụ lập, lưu giữ và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm ba nhóm chủ thể chính.

1.1. Bên kiểm soát dữ liệu cá nhân

Là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Đây thường là các doanh nghiệp thu thập và sử dụng thông tin khách hàng, người dùng phục vụ các mục đích kinh doanh, quản lý, tiếp thị, và tương tự.

1.2. Bên kiểm soát và xử lý dữ liệu cá nhân

Là cơ quan, tổ chức, cá nhân vừa quyết định mục đích, phương tiện vừa trực tiếp thực hiện hoạt động xử lý dữ liệu cá nhân. Chủ thể này đồng thời đóng vai trò quyết định lẫn thực thi, chịu trách nhiệm toàn diện về hoạt động báo cáo xử lý dữ liệu cá nhân.

1.3. Bên xử lý dữ liệu cá nhân

Là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu thông qua hợp đồng. Trong trường hợp này, bên xử lý cũng có nghĩa vụ lập và nộp hồ sơ phù hợp với phạm vi hợp đồng đã ký kết.

Theo khoản 1 Điều 19 Nghị định 356/2025/NĐ-CP, các chủ thể nêu trên phải lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân. Đây là nghĩa vụ phát sinh ngay từ khi bắt đầu hoạt động, không phải chỉ khi có yêu cầu từ cơ quan nhà nước.

II. KHI NÀO PHẢI BÁO CÁO XỬ LÝ DỮ LIỆU CÁ NHÂN?

Nghị định 356/2025/NĐ-CP quy định hai thời điểm chính phát sinh nghĩa vụ báo cáo xử lý dữ liệu cá nhân gửi đến cơ quan nhà nước có thẩm quyền.

2.1. Báo cáo lần đầu khi bắt đầu xử lý dữ liệu

Đây là thời điểm quan trọng nhất phát sinh nghĩa vụ báo cáo xử lý dữ liệu cá nhân. Theo khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải được nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.

Thời điểm bắt đầu xử lý dữ liệu được tính từ khi doanh nghiệp thu thập dữ liệu cá nhân đầu tiên. Hồ sơ phải được nộp kèm theo Mẫu số 02a (đối với tổ chức) hoặc Mẫu số 02b (đối với cá nhân) ban hành kèm theo Nghị định 356/2025/NĐ-CP.

Tương tự, đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới, khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải được nộp trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu lần đầu tiên, kèm theo Mẫu số 01a/01b tương ứng.

2.2. Báo cáo cập nhật khi có thay đổi

Ngoài lần báo cáo ban đầu, pháp luật cũng quy định các trường hợp phải thực hiện cập nhật hồ sơ và tiến hành báo cáo xử lý dữ liệu cá nhân bổ sung. Điều 20 Nghị định 356/2025/NĐ-CP phân biệt hai nhóm trường hợp cập nhật:

Thứ nhất, cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ, khi xảy ra một trong các trường hợp: 

1. Phát sinh mục đích xử lý dữ liệu cá nhân mới hoặc mục đích chuyển dữ liệu xuyên biên giới mới; 
2. Phát sinh hoặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý, bên xử lý, hoặc bên thứ ba.

Thứ hai, cập nhật ngay trong thời hạn 10 ngày khi xảy ra các thay đổi đột xuất, bao gồm: 

1. Cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;
2. Có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
3. Phát sinh, thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ.

2.3. Báo cáo vi phạm trong vòng 72 giờ

Một trường hợp đặc biệt phát sinh nghĩa vụ báo cáo xử lý dữ liệu cá nhân là khi xảy ra sự cố vi phạm. Theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025 và được hướng dẫn tại Nghị định 356/2025/NĐ-CP, khi dữ liệu cá nhân bị mất, bị truy cập, thu thập, sử dụng, tiết lộ trái phép hoặc bị phá hủy, bên kiểm soát, bên xử lý hoặc bên kiểm soát và xử lý dữ liệu có trách nhiệm thông báo vi phạm đến cơ quan chuyên trách trong thời hạn 72 giờ kể từ thời điểm phát hiện vi phạm.

Riêng đối với dữ liệu vị trí và dữ liệu sinh trắc học, Nghị định 356/2025/NĐ-CP còn đặt ra yêu cầu bổ sung về việc thông báo trực tiếp đến chủ thể dữ liệu trong thời hạn 72 giờ, hoặc thông báo công khai và gửi đến chủ thể ngay khi có thể. Hồ sơ vi phạm phải được lưu trữ tối thiểu năm năm sau khi khắc phục.

III. HỒ SƠ BÁO CÁO XỬ LÝ DỮ LIỆU CÁ NHÂN GỒM NHỮNG GÌ?

3.1. Thành phần hồ sơ

Thành phần hồ sơ báo cáo xử lý dữ liệu cá nhân được quy định cụ thể tại khoản 2 và khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao gồm các tài liệu sau:

3.2. Nơi nộp hồ sơ và hình thức nộp

Hồ sơ báo cáo xử lý dữ liệu cá nhân được nộp đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Cục A05), Bộ Công an. 

Khi đã chuẩn bị đầy đủ hồ sơ, doanh nghiệp có thể lựa chọn một trong các hình thức sau để nộp hồ sơ: 

• Nộp trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân;
• Nộp trực tiếp tại Cục A05; 
• Gửi qua dịch vụ bưu chính.

IV. QUY TRÌNH XỬ LÝ CỦA CƠ QUAN CHUYÊN TRÁCH SAU KHI NHẬN HỒ SƠ

Sau khi nhận hồ sơ báo cáo xử lý dữ liệu cá nhân, cơ quan chuyên trách bảo vệ dữ liệu cá nhân có trách nhiệm xem xét và phản hồi theo các mốc thời gian quy định tại các khoản 5 và 6 Điều 19 Nghị định 356/2025/NĐ-CP:

– Trong thời hạn 15 ngày: cơ quan chuyên trách đánh giá và trả kết quả xác nhận hồ sơ đạt yêu cầu hoặc không đạt yêu cầu.

– Trong trường hợp hồ sơ chưa đầy đủ hoặc không đúng quy định: cơ quan chuyên trách yêu cầu các bên hoàn thiện hồ sơ trong thời hạn 30 ngày. Nếu không thực hiện đúng hạn, cơ quan chuyên trách sẽ xem xét áp dụng các quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

Theo khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách. Điều này có nghĩa là doanh nghiệp không chỉ có nghĩa vụ nộp hồ sơ một lần mà còn phải duy trì và cập nhật hồ sơ liên tục trong suốt quá trình xử lý dữ liệu.

V. MỘT SỐ LƯU Ý QUAN TRỌNG KHI THỰC HIỆN BÁO CÁO XỬ LÝ DỮ LIỆU

Doanh nghiệp cần lưu ý một số vấn đề thực tiễn trong quá trình thực hiện nghĩa vụ báo cáo xử lý dữ liệu cá nhân theo quy định mới.

• Về biểu mẫu: Từ ngày 01/01/2026, doanh nghiệp bắt buộc sử dụng các mẫu biểu ban hành kèm theo Nghị định 356/2025/NĐ-CP. Biểu mẫu theo Nghị định 13/2023/NĐ-CP đã hết hiệu lực, không còn giá trị pháp lý. Việc sử dụng biểu mẫu cũ là một trong những lỗi thường gặp khiến hồ sơ bị trả về.
• Về nhân sự bảo vệ dữ liệu cá nhân (DPO): Nghị định 356/2025/NĐ-CP quy định cụ thể các điều kiện, tiêu chuẩn đối với nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức. Việc không chỉ định hoặc chỉ định nhân sự DPO không đủ điều kiện theo Điều 13 Nghị định 356/2025/NĐ-CP có thể dẫn đến hồ sơ bị đánh giá không đạt yêu cầu.
• Về hồ sơ đã nộp trước ngày 01/01/2026: Các doanh nghiệp đã từng nộp hồ sơ đánh giá tác động theo Nghị định 13/2023/NĐ-CP cần rà soát lại để cập nhật theo biểu mẫu và quy trình mới của Nghị định 356/2025/NĐ-CP.
• Về xử phạt vi phạm: Doanh nghiệp không thực hiện hoặc thực hiện không đúng quy định về báo cáo xử lý dữ liệu cá nhân sẽ đối mặt với chế tài xử phạt vi phạm hành chính. Đặc biệt, đối với các vi phạm nghiêm trọng liên quan đến chuyển dữ liệu xuyên biên giới hoặc lộ dữ liệu quy mô lớn, mức phạt có thể lên tới 3 tỷ đồng hoặc 5% tổng doanh thu của năm tài chính liền kề trước đó.

MỘT SỐ CÂU HỎI THƯỜNG GẶP

Doanh nghiệp nhỏ có phải thực hiện báo cáo xử lý dữ liệu cá nhân không?

• Có. Nghĩa vụ báo cáo xử lý dữ liệu cá nhân áp dụng cho tất cả các bên kiểm soát, bên kiểm soát và xử lý, bên xử lý dữ liệu cá nhân không phân biệt quy mô. Tuy nhiên, Nghị định 356/2025/NĐ-CP có quy định miễn trừ với điều kiện không xử lý dữ liệu nhạy cảm và số lượng xử lý tích lũy dưới 100.000 chủ thể dữ liệu.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải lập mấy lần?

• Theo Nghị định 356/2025/NĐ-CP, hồ sơ được lập một lần và duy trì liên tục trong suốt thời gian hoạt động. Tuy nhiên, hồ sơ phải được cập nhật định kỳ 06 tháng hoặc trong vòng 10 ngày khi có thay đổi về ngành nghề, đối tác xử lý dữ liệu hoặc thông tin tổ chức.

KẾT LUẬN

Việc thực hiện đúng và đầy đủ nghĩa vụ báo cáo xử lý dữ liệu cá nhân theo Nghị định 356/2025/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025 là yêu cầu bắt buộc đối với mọi doanh nghiệp có hoạt động xử lý dữ liệu cá nhân tại Việt Nam. Để tuân thủ, doanh nghiệp cần xác định đúng thời điểm phát sinh nghĩa vụ báo cáo — đó là trong vòng 60 ngày kể từ ngày bắt đầu xử lý hoặc chuyển dữ liệu xuyên biên giới — lựa chọn đúng biểu mẫu, đảm bảo đầy đủ hồ sơ và duy trì cập nhật liên tục trong suốt quá trình hoạt động. Ngoài ra, khi xảy ra sự cố vi phạm, doanh nghiệp phải khẩn trương thực hiện thông báo vi phạm đến cơ quan chuyên trách trong thời hạn 72 giờ. Chủ động tuân thủ không chỉ giúp doanh nghiệp tránh các rủi ro xử phạt mà còn thể hiện cam kết bảo vệ quyền riêng tư của khách hàng và người dùng.