Theo Luật Bảo vệ dữ liệu cá nhân 2025, kiểm tra bảo vệ dữ liệu cá nhân diễn ra thế nào?

Thông báo trước 15 ngày với kiểm tra thường xuyên, nhưng kiểm tra đột xuất thì tiến hành ngay không cần báo trước. Ba nhóm nội dung kiểm tra được nêu rõ.

Biết trước phạm vi kiểm tra giúp doanh nghiệp chuẩn bị đúng thứ cần thiết thay vì chuẩn bị dàn trải. Điều 31 Nghị định 356/2025/NĐ-CP nêu khá đầy đủ.

Ba căn cứ tiến hành kiểm tra

Điều 31 Nghị định 356/2025/NĐ-CP quy định kiểm tra hoạt động bảo vệ dữ liệu cá nhân được tiến hành thường xuyên, đột xuất, trong các trường hợp:

• Khi có căn cứ nghi vấn về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
• Khi có chỉ đạo của cơ quan, người có thẩm quyền quản lý nhà nước về bảo vệ dữ liệu cá nhân;
• Thực hiện công tác quản lý nhà nước theo quy định của pháp luật.

Bốn nhóm đối tượng kiểm tra

• Cơ quan, tổ chức, cá nhân có hoạt động xử lý dữ liệu cá nhân;
• Tổ chức, cá nhân kinh doanh dịch vụ xử lý dữ liệu cá nhân;
• Cơ quan, tổ chức, cá nhân phải thực hiện hoạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;
• Cơ quan, tổ chức, cá nhân có liên quan đến các vụ, việc vi phạm quy định về bảo vệ dữ liệu cá nhân.

Nhóm đầu tiên có phạm vi rất rộng — trên thực tế bao gồm gần như mọi tổ chức đang hoạt động.

Ba nhóm nội dung kiểm tra

Điều 31 Nghị định 356/2025/NĐ-CP nêu nội dung kiểm tra công tác bảo vệ dữ liệu cá nhân gồm:

• Hiện trạng tuân thủ công tác bảo vệ dữ liệu cá nhân;
• Hoạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;
• Hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Với doanh nghiệp thông thường không kinh doanh dịch vụ xử lý dữ liệu, hai nhóm đầu là phần cần chuẩn bị.

Thông báo trước 15 ngày

Điều 31 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân ban hành quyết định kiểm tra và thông báo cho đối tượng kiểm tra trước 15 ngày về thời gian, nội dung và thành phần đoàn kiểm tra.

Trừ kiểm tra đột xuất

Cùng điều này nêu: trường hợp kiểm tra đột xuất để kịp thời xác minh, phát hiện, ngăn chặn hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền tiến hành kiểm tra ngay mà không cần thông báo trước.

Nghĩa là 15 ngày chuẩn bị không phải điều luôn có. Hồ sơ nên ở trạng thái sẵn sàng, đúng như yêu cầu tại Điều 19 Nghị định 356/2025/NĐ-CP rằng hồ sơ đánh giá tác động phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá.

Nghĩa vụ của đối tượng kiểm tra

Điều 31 Nghị định 356/2025/NĐ-CP quy định đối tượng kiểm tra phải chuẩn bị đầy đủ các nội dung kiểm tra phù hợp theo quy định về nội dung kiểm tra và theo yêu cầu cụ thể tại quyết định kiểm tra do cơ quan chuyên trách ban hành.

Lưu ý thêm: khoản 2 Điều 7 Luật 91/2025/QH15 xếp hành vi cản trở hoạt động bảo vệ dữ liệu cá nhân vào nhóm hành vi bị nghiêm cấm.

Bộ hồ sơ nên luôn sẵn sàng

• Hồ sơ đánh giá tác động đầy đủ ba thành phần theo Điều 19 Nghị định, kèm chứng từ đã nộp;
• Văn bản chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân, hoặc hợp đồng thuê dịch vụ;
• Bộ chính sách, quy trình, biểu mẫu về bảo vệ dữ liệu cá nhân;
• Nhật ký đồng ý và sổ theo dõi các yêu cầu của chủ thể dữ liệu, kèm thời gian xử lý;
• Danh sách bên xử lý, bên thứ ba và các thỏa thuận chuyển giao tương ứng;
• Báo cáo đánh giá tuân thủ định kỳ gần nhất.

Điểm chung của sáu tài liệu này là chúng đều được tạo ra trong quá trình vận hành bình thường nếu doanh nghiệp làm đúng. Nếu phải dựng gấp trong 15 ngày, đó là dấu hiệu công tác tuân thủ mới chỉ tồn tại trên giấy.

Đọc thêm cùng chủ đề

• Cơ quan nào kiểm tra việc bảo vệ dữ liệu cá nhân?
• Hợp tác quốc tế về bảo vệ dữ liệu gồm những gì?
• Quản lý nhà nước về dữ liệu cá nhân gồm những gì?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 31
• Luật 91/2025/QH15 Điều 35

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.