Khi Cục A05 thanh tra đột xuất về bảo vệ dữ liệu cá nhân, doanh nghiệp cần xuất trình ngay được sáu nhóm hồ sơ: hồ sơ DPIA, hồ sơ chuyển dữ liệu ra nước ngoài (nếu có), văn bản chỉ định nhân sự bảo vệ dữ liệu, bản ghi sự đồng ý, hợp đồng với bên xử lý và quy trình xử lý sự cố. Đoàn kiểm tra thuộc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) có thể đến mà không báo trước. Bài viết liệt kê từng nhóm hồ sơ kèm căn cứ, cách làm việc với đoàn và bốn lỗi hay bị xử phạt.
1. Thẩm quyền thanh tra đột xuất của Cục A05 theo Luật PDPD#
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) có thẩm quyền kiểm tra hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động xử lý dữ liệu cá nhân (Điều 35 Luật 91/2025/QH15; khoản 2 Điều 31 Nghị định 356/2025/NĐ-CP). Văn bản pháp luật dùng thuật ngữ "kiểm tra"; bài viết dùng "thanh tra" theo cách gọi phổ biến.
Theo khoản 1 và khoản 4 Điều 31 Nghị định 356, việc kiểm tra được tiến hành thường xuyên hoặc đột xuất. Thông thường cơ quan chuyên trách thông báo trước 15 ngày về thời gian, nội dung và thành phần đoàn. Với kiểm tra đột xuất để kịp thời xác minh, ngăn chặn vi phạm, cơ quan này có quyền tiến hành ngay mà không cần thông báo trước. Riêng hoạt động chuyển dữ liệu cá nhân xuyên biên giới được kiểm tra định kỳ không quá 01 lần trong năm hoặc đột xuất khi phát hiện vi phạm, sự cố lộ, mất dữ liệu (khoản 4 Điều 20 Luật).
Đối tượng kiểm tra phải chuẩn bị đầy đủ nội dung theo quyết định kiểm tra (khoản 5 Điều 31 Nghị định 356). Vì Cục A05 thanh tra đột xuất không cho thời gian chuẩn bị, hồ sơ cần được sắp xếp sẵn từ trước.
2. Danh mục 6 bộ hồ sơ pháp lý cần xuất trình khi Cục A05 thanh tra đột xuất#
Danh mục dưới đây tùy theo hoạt động xử lý dữ liệu thực tế và việc doanh nghiệp có thuộc diện ưu đãi tại Điều 38 Luật hay không:
- Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) lưu tại doanh nghiệp (báo cáo theo Mẫu số 10 và tài liệu kèm theo), cùng bằng chứng đã gửi 01 bản chính cho Cục A05 kèm Mẫu số 02a/02b (Điều 21 Luật; Điều 19 Nghị định 356).
- Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09, nếu có chuyển dữ liệu ra nước ngoài, ví dụ dùng cloud hoặc SaaS đặt máy chủ ở nước ngoài (Điều 20 Luật; Điều 18 Nghị định 356).
- Văn bản chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc hợp đồng thuê dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật; Điều 13, Điều 15, Điều 16 Nghị định 356).
- Bản ghi sự đồng ý (consent log) của khách hàng và nhân viên (khoản 2 Điều 6 Nghị định 356). Không chứng minh được đã có sự đồng ý khi cơ quan có thẩm quyền kiểm tra có thể bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm g khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
- Danh sách hợp đồng xử lý dữ liệu (DPA) đã ký với các bên xử lý, nhà cung cấp (điểm a khoản 1, điểm a khoản 2 Điều 37 Luật).
- Quy trình thông báo vi phạm trong 72 giờ và biên bản xác nhận vi phạm nếu đã xảy ra sự cố (khoản 1, khoản 2 Điều 23 Luật), kèm nhật ký hệ thống liên quan.
3. Kịch bản 3 bước tiếp đón và phối hợp làm việc với Đoàn thanh tra Cục A05#
Bước 1: Tiếp nhận và xác minh quyết định kiểm tra. Lễ tân báo ngay cho người phụ trách bảo vệ dữ liệu (DPO) và trưởng phòng pháp chế. Kiểm tra giấy giới thiệu, giấy tờ của thành viên đoàn thanh tra và quyết định kiểm tra.
Bước 2: Làm việc và trình bày hồ sơ. DPO và trưởng phòng IT chủ trì, trình bày sơ đồ luồng dữ liệu (data mapping) và các biện pháp bảo mật đang áp dụng.
Bước 3: Rà soát biên bản kiểm tra trước khi ký. Đọc kỹ các nhận định trong biên bản trước khi người đại diện theo pháp luật ký. Ghi lại các yêu cầu khắc phục và thời hạn.
Ý kiến tư vấn của luật sư không được miễn xuất trình. Pháp luật Việt Nam không có cơ chế đặc quyền bảo mật luật sư - khách hàng đối với tài liệu do doanh nghiệp lưu giữ. Đối tượng kiểm tra phải chuẩn bị đầy đủ nội dung theo quyết định kiểm tra (khoản 5 Điều 31 Nghị định 356) mà không có ngoại lệ cho tài liệu tư vấn pháp lý; hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân bị phạt từ 40 đến 60 triệu đồng (điểm a khoản 2 Điều 39 Nghị định 330). Nghĩa vụ giữ bí mật thông tin khách hàng tại Điều 25 Luật Luật sư ràng buộc luật sư và tổ chức hành nghề luật sư, không bảo vệ văn bản tư vấn nằm trong tay doanh nghiệp; trao đổi với bộ phận pháp chế nội bộ cũng không được bảo vệ. Doanh nghiệp có thể làm những việc sau:
- Chỉ cung cấp tài liệu trong phạm vi quyết định kiểm tra, không giao cả hồ sơ pháp lý, và ghi từng tài liệu đã giao vào sổ theo dõi và biên bản.
- Lưu ý kiến tư vấn pháp lý tách riêng khỏi hồ sơ vận hành và bộ hồ sơ tuân thủ.
- Đánh dấu tài liệu chứa bí mật kinh doanh và đề nghị bằng văn bản đoàn kiểm tra giữ bí mật.
- Cử luật sư làm người đại diện theo ủy quyền của doanh nghiệp tham gia buổi làm việc và rà soát biên bản trước khi ký.
Không nên từ chối cung cấp tài liệu, vì khi đó một thiếu sót tuân thủ có thể trở thành hành vi cản trở.
4. 4 lỗi thường gặp bị xử phạt khi Cục A05 thanh tra đột xuất#
Các mức phạt dưới đây áp dụng đối với tổ chức; cá nhân có cùng hành vi bị phạt bằng một phần hai (khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP).
- Lỗi 1: Đã xử lý dữ liệu nhạy cảm nhưng chưa nộp hồ sơ DPIA cho Cục A05 hoặc nộp quá hạn 60 ngày (khoản 1 Điều 21 Luật; doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm không được hưởng ưu đãi tại Điều 38 Luật). Mức phạt từ 20 đến 30 triệu đồng, kèm biện pháp buộc lập, hoàn thiện và nộp hồ sơ (khoản 1, điểm a khoản 3 Điều 55 Nghị định 330). Riêng trường hợp không lập, không duy trì hồ sơ tại trụ sở còn có thể bị buộc dừng xử lý đến khi nộp đủ hồ sơ và được Cục A05 xác nhận (điểm b khoản 3 Điều 55); nộp trễ hạn 60 ngày không thuộc trường hợp này. Xem cách lập và nộp mẫu báo cáo DPIA để tránh bị trả hồ sơ.
- Lỗi 2: Thiết lập mặc định đồng ý (ô tích sẵn) thay vì để khách hàng tự chọn (điểm d khoản 4 Điều 9 Luật; khoản 3 Điều 6 Nghị định 356). Mức phạt từ 30 đến 50 triệu đồng (điểm c khoản 1 Điều 43 Nghị định 330).
- Lỗi 3: Không chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc không thuê dịch vụ bảo vệ dữ liệu (khoản 2 Điều 33 Luật), hoặc hồ sơ DPIA không kê khai thông tin liên hệ của bộ phận, nhân sự này (điểm b khoản 3 Điều 19 Nghị định 356). Không ban hành văn bản chỉ định bị phạt từ 20 đến 30 triệu đồng (điểm c khoản 2 Điều 57 Nghị định 330).
- Lỗi 4: Xử lý dữ liệu của trẻ em dưới 07 tuổi mà không có sự đồng ý của người đại diện theo pháp luật, hoặc xử lý dữ liệu của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện; mức phạt từ 30 đến 50 triệu đồng (điểm b, điểm c khoản 1 Điều 60 Nghị định 330). Nếu việc xử lý nhằm công bố, tiết lộ đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên mà thiếu sự đồng ý kép này, mức phạt là 50 đến 100 triệu đồng (điểm a khoản 2 Điều 60).
5. Duy trì trạng thái sẵn sàng khi Cục A05 thanh tra đột xuất#
Cách kiểm tra đơn giản nhất là tự đặt câu hỏi: nếu đoàn đến sáng mai, ai mở được từng bộ hồ sơ ở mục 2 trong vòng một giờ? Nên chạy thử một buổi kiểm tra giả lập mỗi 6 tháng, trùng với chu kỳ cập nhật hồ sơ DPIA khi có thay đổi (khoản 1 Điều 22 Luật). Mỗi lần chạy thử, ghi lại hồ sơ nào thiếu, ai phụ trách và hạn bổ sung. Nếu cần một bên độc lập đóng vai đoàn kiểm tra, có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
