Quy trình thông báo vi phạm dữ liệu
PHẦN I – MỤC ĐÍCH, CĂN CỨ VÀ ĐỊNH NGHĨA
Điều 1. Mục đích
1.1. Quy trình này quy định trình tự, thời hạn, nội dung và trách nhiệm thông báo khi xảy ra vi phạm dữ liệu cá nhân, nhằm bảo đảm HiTechCloud tuân thủ nghĩa vụ thông báo theo pháp luật Việt Nam và pháp luật quốc tế áp dụng, đồng thời bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu.
1.2. Quy trình này là văn bản chuyên biệt hóa Điều 14 của Chính sách Bảo vệ Dữ liệu Cá nhân (PDPD) và phối hợp chặt chẽ với Quy trình Ứng phó Sự cố An toàn Thông tin (IR); áp dụng cho mọi trường hợp HiTechCloud là Bên Kiểm soát dữ liệu, Bên Kiểm soát và Xử lý dữ liệu, hoặc Bên Xử lý dữ liệu.
Điều 2. Căn cứ pháp lý
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15), đặc biệt Điều 23 về thông báo vi phạm quy định bảo vệ dữ liệu cá nhân;
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, đặc biệt Điều 28 về thông báo vi phạm (Mẫu số 08) — thay thế Nghị định 13/2023/NĐ-CP kể từ 01/01/2026;
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15); Luật Dữ liệu 2024;
- Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017); Bộ luật Dân sự 2015 về bồi thường thiệt hại;
- GDPR (Điều 33, 34) — áp dụng đối với dữ liệu của chủ thể thuộc phạm vi điều chỉnh.
Điều 3. Định nghĩa “vi phạm dữ liệu cá nhân”
3.1. “Vi phạm dữ liệu cá nhân” là sự cố vi phạm quy định về bảo vệ dữ liệu cá nhân, bao gồm nhưng không giới hạn ở việc dữ liệu cá nhân bị mất; bị truy cập, thu thập, tiết lộ, sửa đổi, sao chép, sử dụng trái phép; hoặc bị phá hủy, gây hoặc có khả năng gây ảnh hưởng đến quyền, lợi ích hợp pháp của chủ thể dữ liệu, an ninh quốc gia, trật tự, an toàn xã hội.
PHẦN II – PHÁT HIỆN, ĐÁNH GIÁ VÀ PHÂN LOẠI
Điều 4. Phát hiện và tiếp nhận
4.1. Vi phạm dữ liệu có thể được phát hiện qua: hệ thống giám sát (SIEM, DLP, IDS/IPS, EDR); báo cáo nội bộ của nhân viên; báo cáo của Khách hàng/chủ thể dữ liệu; thông báo từ Bên Xử lý/đối tác; thông báo từ cơ quan chức năng hoặc bên thứ ba.
4.2. Mọi nghi ngờ vi phạm dữ liệu phải được báo ngay cho DPO và Đội Ứng phó Sự cố (CSIRT) qua dpo@photuesoftware.com / report@photuesoftware.com. Đồng hồ 72 giờ bắt đầu tính từ thời điểm phát hiện vi phạm.
Điều 5. Đánh giá và phân loại mức độ
5.1. DPO phối hợp CSIRT đánh giá trong thời gian sớm nhất: (a) loại dữ liệu bị ảnh hưởng (cơ bản/nhạy cảm); (b) số lượng chủ thể bị ảnh hưởng; (c) nguyên nhân và phạm vi; (d) khả năng gây thiệt hại cho chủ thể; (e) biện pháp giảm thiểu đã áp dụng.
5.2. Phân loại mức độ nghiêm trọng:
| Mức | Đặc điểm | Nghĩa vụ thông báo |
|---|---|---|
| Nghiêm trọng | Dữ liệu nhạy cảm (vị trí, sinh trắc học, tài chính, hành vi vi phạm pháp luật); số lượng lớn chủ thể; rủi ro cao | Thông báo A05 và chủ thể dữ liệu trong 72 giờ |
| Trung bình | Dữ liệu cơ bản; rủi ro trung bình | Thông báo A05 trong 72 giờ; thông báo chủ thể khi có rủi ro |
| Thấp | Đã kiểm soát, không có khả năng gây thiệt hại thực tế | Ghi nhận hồ sơ nội bộ; thông báo theo quy định luật định |
PHẦN III – NGHĨA VỤ THÔNG BÁO
Điều 6. Thông báo cho cơ quan chuyên trách (A05)
6.1. Khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân, Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và Xử lý dữ liệu thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05) chậm nhất là 72 giờ kể từ thời điểm phát hiện vi phạm, theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 28 Nghị định 356/2025/NĐ-CP, sử dụng Mẫu số 08 ban hành kèm Nghị định.
6.2. Trường hợp thông báo sau thời hạn 72 giờ, phải nêu rõ lý do của việc thông báo chậm/không đầy đủ.
Điều 7. Nội dung thông báo
7.1. Thông báo vi phạm gồm tối thiểu: (a) mô tả tính chất vụ việc vi phạm, thời điểm và địa điểm xảy ra; (b) loại và khối lượng dữ liệu cá nhân bị ảnh hưởng; (c) số lượng chủ thể dữ liệu bị ảnh hưởng (ước tính); (d) thông tin liên hệ của DPO/đầu mối; (e) hậu quả, thiệt hại có thể xảy ra và biện pháp giảm thiểu; (f) biện pháp khắc phục đã và sẽ triển khai.
7.2. Nếu chưa thể cung cấp đầy đủ thông tin trong 72 giờ, HiTechCloud thông báo thông tin theo từng giai đoạn (thông báo bổ sung) và nêu rõ tiến độ.
Điều 8. Thông báo cho chủ thể dữ liệu
8.1. Đối với vi phạm liên quan đến dữ liệu nhạy cảm (đặc biệt dữ liệu vị trí, sinh trắc học, tài chính) hoặc vi phạm có khả năng gây rủi ro cao đến quyền, lợi ích của chủ thể, HiTechCloud thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện, hoặc thông báo công khai và gửi cho chủ thể ngay khi có thể.
8.2. Thông báo cho chủ thể được viết bằng ngôn ngữ rõ ràng, dễ hiểu, gồm: mô tả vi phạm, loại dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra, biện pháp HiTechCloud đã thực hiện và khuyến nghị chủ thể tự bảo vệ (đổi mật khẩu, theo dõi tài khoản, cảnh giác lừa đảo).
Điều 9. Phối hợp giữa Bên Kiểm soát và Bên Xử lý
9.1. Khi HiTechCloud là Bên Xử lý dữ liệu (ví dụ lưu trữ cơ sở dữ liệu của Khách hàng), HiTechCloud thông báo cho Khách hàng (Bên Kiểm soát) không chậm trễ sau khi phát hiện vi phạm, để Bên Kiểm soát thực hiện nghĩa vụ thông báo theo luật; đồng thời phối hợp cung cấp thông tin, bằng chứng cần thiết.
9.2. Khi HiTechCloud là Bên Kiểm soát, HiTechCloud chịu trách nhiệm chính thực hiện thông báo cho A05 và chủ thể dữ liệu.
PHẦN IV – HỒ SƠ, KHẮC PHỤC VÀ TRÁCH NHIỆM
Điều 10. Lập và lưu trữ hồ sơ vi phạm
10.1. Mọi vi phạm dữ liệu (kể cả mức thấp không phải thông báo rộng) phải được lập biên bản và lưu hồ sơ, gồm: diễn biến sự việc, đánh giá, quyết định thông báo (hoặc lý do không thông báo), nội dung đã thông báo và biện pháp khắc phục.
10.2. Hồ sơ vi phạm được lưu trữ tối thiểu 05 năm kể từ khi khắc phục xong, phục vụ trách nhiệm giải trình và kiểm tra của cơ quan có thẩm quyền (Điều 31 Nghị định 356/2025/NĐ-CP).
Điều 11. Khắc phục và phòng ngừa tái diễn
11.1. Song song với thông báo, HiTechCloud triển khai biện pháp ngăn chặn, khắc phục theo Quy trình Ứng phó Sự cố (IR) và cập nhật biện pháp phòng ngừa theo Chính sách Bảo mật Hệ thống An toàn Thông tin.
Điều 12. Trách nhiệm và chế tài
12.1. Việc không thông báo, thông báo chậm hoặc cố tình trì hoãn thông báo có thể bị xem là hành vi vi phạm hành chính và bị xử lý theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 (mức phạt đối với tổ chức tới 3 tỷ đồng đối với các hành vi vi phạm khác về bảo vệ dữ liệu cá nhân; tới 5% doanh thu năm liền trước đối với vi phạm chuyển dữ liệu xuyên biên giới; tới 10 lần khoản thu đối với mua bán dữ liệu), ngoài trách nhiệm bồi thường và trách nhiệm hình sự theo quy định.
12.2. Trách nhiệm thực hiện Quy trình này thuộc về DPO (chủ trì), CSIRT (kỹ thuật), Bộ phận Pháp chế (rà soát pháp lý) và được giám sát bởi Ban Giám đốc.
PHẦN V – VÙNG TÀI PHÁN QUỐC TẾ VÀ HIỆU LỰC
Điều 13. Thông báo theo GDPR và các vùng tài phán khác
13.1. Đối với dữ liệu của chủ thể tại EU/EEA: thông báo cơ quan giám sát trong 72 giờ theo Điều 33 GDPR; thông báo chủ thể dữ liệu khi có rủi ro cao theo Điều 34 GDPR.
13.2. Đối với chủ thể thuộc các vùng tài phán khác có yêu cầu thông báo riêng: tuân thủ theo quy định của vùng tài phán tương ứng.
Điều 14. Hiệu lực
14.1. Quy trình có hiệu lực từ ngày 01/07/2026, được rà soát tối thiểu 12 tháng/lần hoặc khi có thay đổi pháp luật. Bản tiếng Việt có giá trị pháp lý cao nhất.
