Mẫu thông báo vi phạm dữ liệu 72 giờ: các trường bắt buộc

Mẫu thông báo vi phạm dữ liệu 72 giờ là gì?

Mẫu thông báo vi phạm dữ liệu 72 giờ là văn bản doanh nghiệp dùng để báo cáo sự cố dữ liệu cá nhân cho cơ quan có thẩm quyền khi phát hiện vi phạm. Với Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15, doanh nghiệp nên chuẩn bị sẵn biểu mẫu và quy trình nội bộ để phản ứng nhanh, tránh thiếu thông tin trong 72 giờ đầu.

Trong thực tế, mẫu này thường được dùng khi có các tình huống như: lộ file khách hàng trên S3/public bucket, email gửi nhầm danh sách, tài khoản admin bị chiếm quyền, log chứa số điện thoại/CCCD bị trích xuất trái phép, hoặc nhà cung cấp xử lý dữ liệu gặp sự cố.

Mẫu thông báo vi phạm dữ liệu 72 giờ cần những trường nào?

Mẫu nên có đủ thông tin để cơ quan chức năng hiểu sự cố, mức độ ảnh hưởng và cách khắc phục. Không nên viết chung chung kiểu “hệ thống bị lỗi”, vì như vậy khó đánh giá phạm vi vi phạm và trách nhiệm xử lý.

Mẫu thông báo vi phạm dữ liệu 72 giờ điền sẵn như thế nào?

Dưới đây là mẫu văn bản thực tế bạn có thể chỉnh sửa ngay cho doanh nghiệp SME hoặc đội kỹ thuật. Nên lưu sẵn ở Google Docs/Notion để khi sự cố xảy ra chỉ cần điền số liệu và gửi.

Mẫu văn bản tham khảo

THÔNG BÁO VI PHẠM DỮ LIỆU CÁ NHÂN

Kính gửi: [Cơ quan tiếp nhận theo quy định]

1. Thông tin tổ chức thông báo

• Tên doanh nghiệp: [Tên công ty]
• Mã số thuế: [MST]
• Địa chỉ: [Địa chỉ]
• Người đại diện/đầu mối liên hệ: [Họ tên, chức vụ, email, số điện thoại]

2. Thông tin về sự cố

• Thời điểm phát hiện: [hh:mm, dd/mm/yyyy]
• Thời điểm xảy ra ước tính: [nếu xác định được]
• Mô tả sự cố: [Mô tả ngắn, cụ thể]
• Cách phát hiện: [tự phát hiện / do bên thứ ba thông báo / cảnh báo hệ thống]

3. Dữ liệu cá nhân bị ảnh hưởng

• Loại dữ liệu: [họ tên, số điện thoại, email, CCCD, địa chỉ, dữ liệu khác]
• Số lượng chủ thể dữ liệu: [số lượng]
• Hệ thống/tài khoản liên quan: [website, CRM, cloud, email, endpoint...]

4. Tác động và rủi ro

• Ảnh hưởng hiện tại: [mô tả]
• Rủi ro có thể phát sinh: [lừa đảo, giả mạo, truy cập trái phép, mất kiểm soát dữ liệu]

5. Biện pháp đã thực hiện

• [Ví dụ: cô lập máy chủ]
• [Ví dụ: đổi mật khẩu và thu hồi token]
• [Ví dụ: vô hiệu hóa link chia sẻ công khai]
• [Ví dụ: bảo toàn log và sao lưu]

6. Kế hoạch tiếp theo

• [điều tra nguyên nhân]
• [khắc phục lỗ hổng]
• [đánh giá phạm vi ảnh hưởng]
• [thông báo bổ sung nếu cần]

Chúng tôi xin thông báo để cơ quan có thẩm quyền xem xét theo quy định.

Trân trọng, [Chữ ký/tên người đại diện]

Gửi thông báo vi phạm dữ liệu 72 giờ cho ai?

Theo quy định hiện hành và theo Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 (dự kiến hiệu lực 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP), cơ quan thực thi là Bộ Công an, cụ thể Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Mức phạt cụ thể sẽ do nghị định hướng dẫn của Chính phủ quy định; vi phạm nghiêm trọng có thể bị xử lý hình sự.

Vì kênh tiếp nhận và quy trình có thể thay đổi theo hướng dẫn chính thức, doanh nghiệp nên chuẩn bị sẵn đầu mối liên hệ, lưu vết gửi nhận và kiểm tra hướng dẫn cập nhật từ cơ quan có thẩm quyền trước khi gửi.

Doanh nghiệp nên làm gì trong 72 giờ đầu?

Việc quan trọng nhất là song song xử lý kỹ thuật và pháp lý. Đừng chờ điều tra xong mới báo cáo, vì mốc 72 giờ tính từ khi phát hiện. Một quy trình tối thiểu nên có: phát hiện, cô lập, đánh giá phạm vi, chốt người phụ trách, gửi thông báo, rồi cập nhật bổ sung nếu phát sinh thông tin mới.

Nếu bạn đang xây quy trình nội bộ cho SME, nên chuẩn bị sẵn: template thông báo, danh sách liên hệ khẩn cấp, mẫu biên bản sự cố, checklist đánh giá dữ liệu bị ảnh hưởng, và cơ chế lưu bằng chứng đồng ý/phản hồi của người dùng. consent.vn có thể giúp bạn chuẩn hóa banner cookie, lưu bằng chứng đồng ý và luồng DSAR để giảm rủi ro khi phát sinh sự cố.

Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn; A05 — bocongan.gov.vn