Dịch vụ xử lý dữ liệu cá nhân là gì? 9 loại dịch vụ và điều kiện kinh doanh theo Nghị định 356

Dịch vụ xử lý dữ liệu cá nhân là gì?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không định nghĩa dịch vụ xử lý dữ liệu cá nhân trong Điều 2. Khoản 3 Điều 33 của Luật giao Chính phủ quy định về loại dịch vụ này. Điều 21 Nghị định 356/2025/NĐ-CP sau đó liệt kê 9 nhóm dịch vụ xử lý dữ liệu cá nhân, và các Điều 22 đến 27 đặt ra điều kiện, thủ tục cấp, cấp lại, cấp đổi và thu hồi Giấy chứng nhận đủ điều kiện kinh doanh.

Cần phân biệt hai khái niệm. Bên xử lý dữ liệu cá nhân là một vai trò trong một hoạt động xử lý cụ thể: tổ chức xử lý dữ liệu theo yêu cầu của bên kiểm soát thông qua hợp đồng (khoản 8 Điều 2 Luật 91/2025). Dịch vụ xử lý dữ liệu cá nhân là một hoạt động kinh doanh thuộc danh mục tại Điều 21. Một doanh nghiệp có thể là bên xử lý mà dịch vụ của họ không thuộc 9 nhóm này. Ngược lại, tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân vẫn phải tuân thủ đầy đủ nghĩa vụ của bên xử lý hoặc bên kiểm soát và xử lý (khoản 1 Điều 23 Nghị định 356). Về vai trò các bên, xem phân biệt bên kiểm soát và bên xử lý dữ liệu.

9 loại dịch vụ xử lý dữ liệu cá nhân theo Điều 21 Nghị định 356

Cột ví dụ là nhận định của LexData để doanh nghiệp tự rà soát, không phải danh sách chính thức. Phạm vi của khoản 1 và khoản 6 khá rộng, nên nhiều nhà cung cấp phần mềm, dịch vụ dữ liệu cho doanh nghiệp có thể rơi vào diện phải xin Giấy chứng nhận. Nghị định chưa có hướng dẫn chi tiết về ranh giới giữa bán phần mềm và vận hành dịch vụ xử lý dữ liệu, nên mỗi mô hình kinh doanh cần được phân tích riêng.

Điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân

Điều 22 Nghị định 356/2025/NĐ-CP đặt ra 4 nhóm điều kiện:

1. Pháp lý: là tổ chức, doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam.
2. Nhân sự: người đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân là công dân Việt Nam, thường trú tại Việt Nam; có đội ngũ quản lý, điều hành đáp ứng yêu cầu chuyên môn; có tối thiểu 03 nhân sự đủ điều kiện năng lực theo khoản 2 Điều 13 Nghị định 356.
3. Hạ tầng: có hạ tầng, trang thiết bị, cơ sở vật chất và công nghệ phù hợp với dịch vụ.
4. Hồ sơ đánh giá tác động: có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới nếu có chuyển dữ liệu ra nước ngoài.

Nhân sự đủ năng lực theo khoản 2 Điều 13 Nghị định 356 phải có trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm trong lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ, và đã được đào tạo về bảo vệ dữ liệu cá nhân. Chi tiết về vai trò này xem tại cẩm nang DPO.

Lưu ý: hai văn bản dùng hai mốc kinh nghiệm khác nhau.

Điểm b khoản 3 Điều 59 Nghị định 330/2026/NĐ-CP xử phạt tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân bố trí nhân sự bảo vệ dữ liệu cá nhân "không có ít nhất 03 năm kinh nghiệm", trong khi khoản 2 Điều 13 Nghị định 356/2025/NĐ-CP yêu cầu 02 năm. LexData đã đối chiếu cả hai văn bản gốc. Trong khi chưa có hướng dẫn thống nhất, doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân nên bố trí nhân sự có từ 03 năm kinh nghiệm để tránh rủi ro khi bị kiểm tra.

Hồ sơ xin Giấy chứng nhận dịch vụ xử lý dữ liệu cá nhân

Bộ Công an cấp, cấp lại, cấp đổi và thu hồi Giấy chứng nhận, và giao việc này cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) (Điều 24 Nghị định 356). Theo khoản 1 Điều 25, hồ sơ gồm:

• Đơn đề nghị theo Mẫu số 04 tại Phụ lục Nghị định 356;
• Bản sao Giấy chứng nhận đăng ký doanh nghiệp (không phải nộp nếu cơ quan nhà nước khai thác được trên cơ sở dữ liệu);
• Văn bản chỉ định bộ phận bảo vệ dữ liệu cá nhân, hoặc hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhân;
• Đề án đề nghị cấp Giấy chứng nhận;
• Bằng cấp và giấy tờ chứng minh năng lực của nhân sự.

Đề án phải có 10 nội dung (khoản 2 Điều 25), trong đó quan trọng nhất là phương án kinh doanh, quy mô xử lý dữ liệu dự kiến, khung quản trị rủi ro, kế hoạch đánh giá tín nhiệm định kỳ, tiêu chuẩn an ninh dữ liệu áp dụng và phương án định danh, xác thực điện tử.

Hồ sơ nộp trực tuyến, trực tiếp hoặc qua bưu chính. Cơ quan chuyên trách đánh giá hồ sơ trong 10 ngày; nếu thiếu, tổ chức bổ sung trong 15 ngày. Trong 30 ngày kể từ ngày nhận đủ hồ sơ hợp lệ, cơ quan chuyên trách quyết định cấp Giấy chứng nhận hoặc từ chối cấp bằng văn bản nêu rõ lý do (khoản 3, khoản 4 Điều 25). Cấp lại khi mất, hỏng bản giấy hoặc cấp đổi khi thay đổi nội dung được giải quyết trong 05 ngày làm việc (Điều 26).

Lưu ý thực tiễn (cập nhật 25/09/2026): Bộ Công an chưa tiếp nhận hồ sơ.

Thủ tục cấp Giấy chứng nhận đã được quy định tại Điều 24–25 Nghị định 356/2025/NĐ-CP và được công bố là thủ tục hành chính tại Quyết định 778/QĐ-BCA-A05, nhưng theo ghi nhận của LexData, đến ngày 25/09/2026 Bộ Công an chưa tiếp nhận hồ sơ đề nghị cấp trên thực tế. Trong thời gian này, doanh nghiệp nên chuẩn bị sẵn nhân sự, hồ sơ đánh giá tác động và đề án, lưu bằng chứng về việc đã chuẩn bị, và theo dõi thông báo của cơ quan chuyên trách trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. Hiện chưa có hướng dẫn về cách áp dụng mức phạt kinh doanh khi chưa có Giấy chứng nhận trong giai đoạn thủ tục chưa được triển khai. LexData sẽ cập nhật bài viết khi Bộ Công an bắt đầu tiếp nhận hồ sơ.

Nghĩa vụ sau khi được cấp phép và các trường hợp bị thu hồi

Điều 23 Nghị định 356 yêu cầu tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân xây dựng khung quản trị rủi ro, đánh giá hiện trạng tuân thủ và mức độ tín nhiệm định kỳ 01 năm/lần, áp dụng tiêu chuẩn an ninh dữ liệu, xác thực danh tính tổ chức theo pháp luật về định danh điện tử và giới hạn việc thu thập, chuyển giao, lưu trữ đúng mục đích. Khi là bên xử lý, tổ chức phải yêu cầu bên kiểm soát xin sự đồng ý của chủ thể dữ liệu trước khi cung cấp dịch vụ, bảo đảm chủ thể dữ liệu biết loại dữ liệu, mục đích và tổ chức cung cấp dịch vụ (khoản 7 Điều 23). Hợp đồng giữa hai bên nên được soạn theo hợp đồng xử lý dữ liệu (DPA).

Giấy chứng nhận bị thu hồi khi tổ chức không còn bảo đảm điều kiện, không kinh doanh dịch vụ từ 12 tháng trở lên, bị giải thể hoặc phá sản, không khắc phục vi phạm theo yêu cầu của cơ quan có thẩm quyền, hoặc tự đề nghị chấm dứt hoạt động (khoản 1 Điều 27). Quyết định thu hồi được công bố trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, và tổ chức phải nộp lại Giấy chứng nhận trong 05 ngày làm việc.

Mức phạt vi phạm về kinh doanh dịch vụ xử lý dữ liệu cá nhân

Điều 59 Nghị định 330/2026/NĐ-CP quy định mức phạt với tổ chức như sau (cá nhân vi phạm chịu một nửa):

• 20–30 triệu đồng: không xây dựng khung quản trị rủi ro, không ban hành quy định trách nhiệm, không áp dụng tiêu chuẩn an ninh dữ liệu, không xác thực danh tính tổ chức (khoản 1).
• 30–50 triệu đồng: không yêu cầu bên kiểm soát xin sự đồng ý, xử lý sai mục đích, không đánh giá tín nhiệm định kỳ hằng năm (khoản 2).
• 50–80 triệu đồng: kinh doanh dịch vụ xử lý dữ liệu cá nhân khi chưa được cấp Giấy chứng nhận; nhân sự không đáp ứng điều kiện; không đủ 03 nhân sự đủ năng lực (khoản 3).
• 80–100 triệu đồng: tiếp tục kinh doanh sau khi Giấy chứng nhận đã bị thu hồi (khoản 4).

Biện pháp khắc phục gồm buộc xóa, hủy toàn bộ dữ liệu cá nhân thu thập, xử lý trái phép và buộc nộp lại khoản thu có được từ hành vi kinh doanh không có Giấy chứng nhận. Với doanh nghiệp dịch vụ, khoản nộp lại này thường lớn hơn nhiều so với tiền phạt. Tổng hợp các khung phạt khác xem tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Doanh nghiệp nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân có được miễn trừ không?

Không. Khoản 2, khoản 3 Điều 38 Luật 91/2025/QH15 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được chọn không thực hiện Điều 21 (lập DPIA), Điều 22 (cập nhật hồ sơ đánh giá tác động) và khoản 2 Điều 33 (chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân) trong 05 năm; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các quy định này. Tuy nhiên, cả hai khoản đều loại trừ các cơ sở kinh doanh dịch vụ xử lý dữ liệu cá nhân (Điều 41 Nghị định 356 nhắc lại). Một startup cung cấp dịch vụ phân tích dữ liệu, dù chỉ có vài nhân viên, vẫn phải lập DPIA và bố trí nhân sự bảo vệ dữ liệu cá nhân ngay từ đầu.

Checklist trước khi cung cấp dịch vụ xử lý dữ liệu cá nhân

1. Đối chiếu mô hình kinh doanh với 9 khoản của Điều 21 Nghị định 356 và lưu lại kết quả phân tích.
2. Xác định vai trò của doanh nghiệp với từng khách hàng: bên xử lý hay bên kiểm soát và xử lý.
3. Tuyển hoặc chỉ định tối thiểu 03 nhân sự đủ năng lực, trong đó người phụ trách chuyên môn là công dân Việt Nam thường trú tại Việt Nam.
4. Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, và hồ sơ chuyển dữ liệu xuyên biên giới nếu dùng hạ tầng ở nước ngoài.
5. Xây dựng khung quản trị rủi ro, quy định trách nhiệm nội bộ và kế hoạch đánh giá tín nhiệm hằng năm.
6. Soạn đề án đủ 10 nội dung và nộp hồ sơ xin Giấy chứng nhận ngay khi Bộ Công an bắt đầu tiếp nhận; trong thời gian chờ, lưu bằng chứng đã chuẩn bị đủ điều kiện.
7. Cập nhật mẫu hợp đồng DPA để yêu cầu khách hàng xin sự đồng ý của chủ thể dữ liệu theo khoản 7 Điều 23.