Mẫu thông báo sự cố rò rỉ dữ liệu cá nhân gồm hai văn bản khác nhau: thông báo gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) theo Mẫu số 08 của Nghị định 356/2025/NĐ-CP, và thông báo gửi chủ thể dữ liệu bị ảnh hưởng. Văn bản thứ nhất có thời hạn 72 giờ và nội dung do nghị định quy định. Văn bản thứ hai chỉ bắt buộc trong một số trường hợp, nhưng thường cần để người dùng kịp tự bảo vệ. Soạn sẵn cả hai trước giúp doanh nghiệp không phải viết từ đầu khi đang xử lý một sự cố rò rỉ dữ liệu cá nhân.
1. Thời hạn 72 giờ và các trường hợp phải thông báo sự cố#
- Thông báo cho Cục A05. Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu (hoặc bên kiểm soát và xử lý, bên thứ ba) phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật 91/2025/QH15). Thông báo lập theo Mẫu số 08, nội dung theo Điều 28 Nghị định 356. Cơ chế hiện hành chỉ có một thông báo, không chia thành báo cáo sơ bộ và báo cáo chính thức.
- Bên xử lý dữ liệu (ví dụ nhà cung cấp cloud, phần mềm) phát hiện vi phạm thì phải thông báo kịp thời cho bên kiểm soát (khoản 1 Điều 23 Luật).
- Thông báo cho chủ thể dữ liệu. Bắt buộc trong hai trường hợp, cùng thời hạn không quá 72 giờ: sự cố liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học (điểm a khoản 1 Điều 29 Nghị định 356); lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (khoản 3 Điều 8 Nghị định 356; điểm d khoản 1 Điều 27 Luật). Ngoài hai trường hợp này, doanh nghiệp nên chủ động thông báo khi người dùng cần hành động để tự bảo vệ, ví dụ khi lộ mật khẩu được băm yếu hoặc thông tin tài khoản ngân hàng.
Chậm hoặc không thông báo bị xử phạt theo Điều 54 Nghị định 330/2026/NĐ-CP. Với tổ chức: thông báo chậm hơn 72 giờ bị phạt từ 40 đến 60 triệu đồng (khoản 3); không ngăn chặn, không khắc phục hậu quả hoặc không phối hợp với cơ quan chuyên trách bị phạt từ 60 đến 80 triệu đồng (khoản 4); bên xử lý không thông báo kịp thời cho bên kiểm soát bị phạt từ 10 đến 20 triệu đồng (điểm a khoản 1). Với sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học, không thông báo cho cơ quan chuyên trách và chủ thể dữ liệu trong 72 giờ, hoặc thông báo cho chủ thể thiếu nội dung tối thiểu, bị phạt từ 50 đến 70 triệu đồng (điểm đ, điểm e khoản 1 Điều 70 Nghị định 330). Tùy tính chất, mức độ, vi phạm còn có thể bị truy cứu trách nhiệm hình sự (khoản 1 Điều 8 Luật). Trách nhiệm bồi thường và phần trách nhiệm của nhân viên, nhà cung cấp xem bài làm lộ thông tin khách hàng thì ai chịu trách nhiệm.
2. Cấu trúc mẫu thông báo sự cố rò rỉ dữ liệu gửi Cục A05#
Mẫu số 08 gồm bốn phần: thông tin tổ chức, mô tả hành vi vi phạm, tài liệu kèm theo và cam kết về tính chính xác của thông báo. Mục 1–4 dưới đây là nội dung bắt buộc theo khoản 1 Điều 28 Nghị định 356. Mục 5–6 là nội dung nên bổ sung.
- Thông tin tổ chức: tên doanh nghiệp, mã số thuế, địa chỉ trụ sở và chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
- Mô tả sự cố: thời gian, địa điểm, hành vi vi phạm, tổ chức, cá nhân liên quan, nguyên nhân sơ bộ (tấn công ransomware, lỗi cấu hình cloud, rò rỉ từ vendor), loại dữ liệu bị ảnh hưởng và số lượng dữ liệu liên quan.
- Hậu quả có thể xảy ra: rủi ro đối với cá nhân như lừa đảo mạo danh, mất tài sản, lộ đời tư.
- Biện pháp đã áp dụng: khoanh vùng hệ thống, cô lập máy chủ bị nhiễm, thu hồi quyền truy cập, đổi mật khẩu.
- Kế hoạch tiếp theo: lộ trình vá lỗ hổng, tiến độ điều tra sự cố rò rỉ dữ liệu và kế hoạch thông báo cho người dùng.
- Đề nghị phối hợp: ví dụ đề nghị cơ quan chuyên trách hỗ trợ ngăn chặn việc phát tán dữ liệu trên không gian mạng.
Viết ngắn, đúng sự thật. Phần nào chưa xác minh được thì ghi rõ là đang xác minh.
3. Mẫu thông báo sự cố rò rỉ dữ liệu gửi khách hàng và người dùng#
Mẫu thông báo sự cố rò rỉ dữ liệu gửi người dùng (qua email hoặc thông báo trong ứng dụng) cần viết bằng ngôn ngữ dễ hiểu, không dùng thuật ngữ kỹ thuật. Khi sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học, thông báo phải có tối thiểu các nội dung tại khoản 2 Điều 29 Nghị định 356. Với các trường hợp khác, dùng cùng cấu trúc này là hợp lý:
- Thời điểm và cách thức phát hiện sự cố.
- Loại dữ liệu của người dùng bị ảnh hưởng. Nói rõ các thông tin quan trọng như mật khẩu, số thẻ, mã CVV có bị ảnh hưởng hay không.
- Mức độ nghiêm trọng và rủi ro có thể xảy ra với người dùng, ví dụ lừa đảo mạo danh, chiếm đoạt tài khoản.
- Biện pháp doanh nghiệp đã, đang và sẽ thực hiện.
- Việc người dùng nên làm ngay: đổi mật khẩu, bật xác thực hai bước, cảnh giác với cuộc gọi hoặc email giả danh doanh nghiệp.
- Đầu mối liên hệ: bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân, hotline hoặc email tiếp nhận thắc mắc.
Nếu không thể gửi cho tất cả người bị ảnh hưởng trong 72 giờ vì lý do kỹ thuật hoặc khẩn cấp, doanh nghiệp phải thông báo công khai trên trang thông tin điện tử hoặc ứng dụng chính thức, rồi gửi cho từng người ngay khi điều kiện kỹ thuật cho phép (khoản 3 Điều 29 Nghị định 356).
4. Ba lỗi thường gặp khi thông báo sự cố#
- Khẳng định khi chưa xác minh. Thông báo "không có dữ liệu bị rò rỉ" rồi sau đó phải đính chính sẽ làm mất lòng tin của người dùng. Nếu thông báo gửi cơ quan chuyên trách cố ý che giấu hoặc cung cấp thông tin sai lệch về tính chất, quy mô sự cố, loại dữ liệu hay số chủ thể bị ảnh hưởng, tổ chức bị phạt từ 10 đến 20 triệu đồng (điểm c khoản 1 Điều 54 Nghị định 330).
- Đổ lỗi cho nhà cung cấp. Bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra (điểm g khoản 1 Điều 37 Luật), kể cả khi sự cố xảy ra ở vendor. Trách nhiệm của vendor với doanh nghiệp được giải quyết theo hợp đồng giữa hai bên (điểm d khoản 2 Điều 37 Luật).
- Không báo cáo Cục A05 để giữ hình ảnh. Không thông báo cho cơ quan chuyên trách khi phát hiện vi phạm bị phạt từ 20 đến 40 triệu đồng đối với tổ chức (khoản 2 Điều 54 Nghị định 330). Doanh nghiệp vẫn bị buộc thực hiện đầy đủ nghĩa vụ thông báo (điểm a khoản 5 Điều 54).
5. Lưu hồ sơ mẫu thông báo sự cố rò rỉ dữ liệu đã gửi#
Lưu bản thông báo đã gửi Cục A05 kèm bằng chứng thời điểm gửi (biên nhận, mã vận đơn hoặc xác nhận điện tử), danh sách người dùng đã nhận thông báo và nhật ký phản hồi. Với sự cố liên quan đến dữ liệu vị trí, sinh trắc học, hồ sơ vi phạm phải lưu tối thiểu 5 năm kể từ ngày khắc phục xong (điểm c khoản 1 Điều 29 Nghị định 356). Áp dụng cùng thời hạn cho mọi sự cố giúp doanh nghiệp không phải phân loại lại hồ sơ khi bị kiểm tra.
Nếu doanh nghiệp chưa có quy trình ứng phó sự cố bằng văn bản, việc cần làm tiếp theo là soạn sẵn mẫu thông báo sự cố rò rỉ dữ liệu cho cả hai đối tượng theo cấu trúc trên, chỉ định người ký và người gửi, rồi diễn tập một lần với kịch bản 72 giờ. Việc điều phối này có thể giao cho nhân sự bảo vệ dữ liệu nội bộ hoặc DPO thuê ngoài.
