Bảo vệ dữ liệu cá nhân

Theo Nghị định 356/2025/NĐ-CP, Giấy chứng nhận bị thu hồi trong trường hợp nào?

25/06/2026
3 lượt xem
0 bình luận

Năm trường hợp, trong đó có một trường hợp doanh nghiệp dễ vướng mà không nhận ra: không kinh doanh dịch vụ từ 12 tháng trở lên.

Được cấp giấy chứng nhận rồi vẫn có thể bị thu hồi. Điều 27 Nghị định 356/2025/NĐ-CP liệt kê các trường hợp.

Năm trường hợp thu hồi

Theo Điều 27 Nghị định 356/2025/NĐ-CP, Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân bị thu hồi trong các trường hợp:

Khi không bảo đảm một trong các điều kiện tại khoản 1, khoản 2 Điều 26 Nghị định này;
Không kinh doanh dịch vụ từ 12 tháng trở lên;
Bị giải thể hoặc phá sản theo quy định của pháp luật;
Không khắc phục vi phạm về bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng, an ninh dữ liệu theo yêu cầu của cơ quan nhà nước có thẩm quyền;
Chủ động đề nghị xin đình chỉ hoặc chấm dứt hoạt động.

Trường hợp không hoạt động 12 tháng

Đây là trường hợp đáng lưu ý với doanh nghiệp xin giấy chứng nhận theo hướng chuẩn bị sẵn cho kế hoạch tương lai. Nếu xin được giấy nhưng chưa triển khai dịch vụ, sau 12 tháng giấy chứng nhận có thể bị thu hồi và doanh nghiệp phải làm lại từ đầu.

Với đơn vị có kế hoạch triển khai chậm, cân nhắc thời điểm nộp hồ sơ cho phù hợp là điều nên tính.

Trường hợp không khắc phục vi phạm

Phạm vi ở đây rộng: không chỉ vi phạm về bảo vệ dữ liệu cá nhân mà còn cả an toàn thông tin, an ninh mạng, an ninh dữ liệu. Nghĩa là một yêu cầu khắc phục từ cơ quan có thẩm quyền trong lĩnh vực an ninh mạng, nếu bị bỏ qua, cũng có thể dẫn tới việc thu hồi giấy chứng nhận trong lĩnh vực dữ liệu cá nhân.

Điểm rút ra cho doanh nghiệp: mọi văn bản yêu cầu khắc phục từ cơ quan nhà nước đều cần được theo dõi tới khi hoàn tất, kèm hồ sơ chứng minh đã khắc phục.

Thủ tục thu hồi

Điều 27 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định việc thu hồi Giấy chứng nhận theo Mẫu số 07 tại Phụ lục của Nghị định. Thẩm quyền này được xác định tại Điều 24 Nghị định 356/2025/NĐ-CP, theo đó Bộ Công an cấp, cấp lại, cấp đổi, thu hồi và giao cơ quan chuyên trách thực hiện.

Nghĩa vụ của doanh nghiệp sau khi bị thu hồi

Điều 27 Nghị định 356/2025/NĐ-CP quy định tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân có trách nhiệm nộp lại Giấy chứng nhận đã được cấp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 05 ngày làm việc kể từ khi nhận được quyết định thu hồi.

Việc thu hồi được công bố công khai

Điều 27 Nghị định 356/2025/NĐ-CP nêu cơ quan chuyên trách khi ban hành Quyết định thu hồi thì thông báo trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Yếu tố công khai này có ý nghĩa hai chiều. Với doanh nghiệp bị thu hồi, đây là rủi ro về uy tín ngoài rủi ro pháp lý. Với doanh nghiệp đang tìm nhà cung cấp dịch vụ xử lý dữ liệu, đây là kênh tra cứu nên dùng trong quá trình thẩm định đối tác.

Cách duy trì giấy chứng nhận

Điều 23 Nghị định 356/2025/NĐ-CP quy định một loạt trách nhiệm thường xuyên của tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân, gồm xây dựng khung quản trị rủi ro, đánh giá hiện trạng tuân thủ và mức độ tín nhiệm định kỳ 01 năm một lần, áp dụng tiêu chuẩn và quy chuẩn liên quan.

Thực hiện đầy đủ những việc này và lưu lại bằng chứng là cách trực tiếp nhất để bảo đảm luôn đáp ứng điều kiện, đồng thời có sẵn hồ sơ khi được kiểm tra.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 27
Nghị định 356/2025/NĐ-CP Điều 24

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.