Hướng dẫn · 17 tháng 6, 2026
Thông báo vi phạm dữ liệu trong 72 giờ: Quy trình bắt buộc theo PDPL
Hướng dẫn quy trình thông báo vi phạm dữ liệu cá nhân trong 72 giờ theo PDPL: khi nào phải báo, báo cho ai, nội dung hồ sơ.
Trả lời nhanh
Khi nào phải thông báo vi phạm dữ liệu?
Nghĩa vụ thông báo phát sinh khi có sự cố làm lộ, mất, thay đổi hoặc truy cập trái phép dữ liệu cá nhân. Doanh nghiệp bắt đầu tính thời hạn 72 giờ kể từ thời điểm phát hiện sự cố, không phải từ thời điểm sự cố xảy ra.
Quy trình thông báo vi phạm trong 72 giờ
Phát hiện & ghi nhận:
Xác định sự cố, thời điểm phát hiện và phạm vi dữ liệu bị ảnh hưởng.
Đánh giá tác động:
Xác định loại dữ liệu, số lượng chủ thể bị ảnh hưởng và mức độ rủi ro.
Khắc phục khẩn cấp:
Cô lập hệ thống, ngăn rò rỉ tiếp diễn, thu thập nhật ký.
Lập hồ sơ thông báo:
Mô tả vi phạm, hậu quả, biện pháp khắc phục và thông tin liên hệ đầu mối.
Gửi cơ quan có thẩm quyền:
Thông báo Bộ Công an trong vòng 72 giờ kể từ khi phát hiện.
Thông báo chủ thể dữ liệu:
Khi vi phạm có khả năng gây rủi ro cao, thông báo cho người bị ảnh hưởng.
Nội dung hồ sơ thông báo gồm những gì?
Hồ sơ cần nêu: tính chất vi phạm, loại và khối lượng dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra, biện pháp đã và sẽ thực hiện, thông tin đầu mối liên hệ. Nếu chưa đủ thông tin trong 72 giờ, doanh nghiệp có thể bổ sung sau nhưng phải giải thích lý do chậm trễ.
- Tính từ thời điểm doanh nghiệp phát hiện sự cố vi phạm dữ liệu, không phải từ khi sự cố bắt đầu.
- Khi vi phạm có khả năng gây rủi ro cao cho chủ thể dữ liệu, doanh nghiệp phải thông báo cho họ.
- Chậm trễ không có lý do chính đáng là hành vi vi phạm và có thể bị xử phạt theo nghị định hướng dẫn.
Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn | A05 — bocongan.gov.vn
Bắt đầu ngay — cài đặt trong 5 phút.
Cần hỗ trợ tuân thủ PDPL?