Bốn nhóm điều kiện, trong đó có yêu cầu tối thiểu 03 nhân sự đủ điều kiện năng lực và người đứng đầu chuyên môn phải là công dân Việt Nam thường trú tại Việt Nam.
Dịch vụ xử lý dữ liệu cá nhân là ngành nghề kinh doanh có điều kiện. Điều 22 Nghị định 356/2025/NĐ-CP nêu các điều kiện cụ thể.
Điều kiện về tư cách pháp lý
Điều 22 Nghị định 356/2025/NĐ-CP yêu cầu là tổ chức, doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam, đáp ứng các điều kiện quy định tại Điều này.
Điều kiện về nhân sự
- Người đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân của tổ chức là công dân Việt Nam, thường trú tại Việt Nam;
- Có đội ngũ quản lý, điều hành đáp ứng được yêu cầu chuyên môn xử lý dữ liệu cá nhân;
- Có tối thiểu 03 nhân sự đủ điều kiện năng lực theo quy định tại khoản 2 Điều 13 Nghị định này.
Ba nhân sự đó phải đạt tiêu chuẩn nào
Khoản 2 Điều 13 Nghị định 356/2025/NĐ-CP quy định điều kiện năng lực gồm: có trình độ cao đẳng trở lên; có ít nhất 02 năm kinh nghiệm công tác kể từ thời điểm tốt nghiệp, liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ; và đã được đào tạo, bồi dưỡng kiến thức pháp luật, kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Với doanh nghiệp muốn tham gia lĩnh vực này, đây thường là rào cản đầu tiên cần giải quyết, vì cả ba người đều phải đáp ứng đủ ba tiêu chí.
Điều kiện về hạ tầng
Điều 22 Nghị định 356/2025/NĐ-CP yêu cầu có hạ tầng, hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với dịch vụ xử lý dữ liệu cá nhân.
Điều kiện này được diễn đạt theo hướng tương xứng với dịch vụ cung cấp, chứ không ấn định cấu hình cụ thể. Trong thực tế, phần chứng minh nằm ở Đề án nộp kèm hồ sơ xin cấp giấy chứng nhận.
Điều kiện về hồ sơ đánh giá tác động
Điều 22 Nghị định 356/2025/NĐ-CP yêu cầu có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong trường hợp có chuyển dữ liệu xuyên biên giới.
Đây là điều kiện có trình tự: phải hoàn tất hồ sơ đánh giá tác động và có kết quả đạt yêu cầu trước, rồi mới đủ điều kiện xin giấy chứng nhận kinh doanh dịch vụ. Doanh nghiệp lập kế hoạch nên tính thời gian cho cả hai bước.
Dịch vụ xử lý dữ liệu cá nhân là gì
Điều 21 Nghị định 356/2025/NĐ-CP quy định về dịch vụ xử lý dữ liệu cá nhân. Việc xác định đúng hoạt động của mình có thuộc phạm vi này hay không rất quan trọng, vì nó quyết định doanh nghiệp có phải xin giấy chứng nhận hay không.
Cần phân biệt với trường hợp doanh nghiệp chỉ xử lý dữ liệu cá nhân phục vụ hoạt động của chính mình — đó không phải kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Liên hệ với quy định miễn trừ
Khoản 2 và khoản 3 Điều 38 Luật 91/2025/QH15 loại trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân khỏi diện được miễn trừ.
Nghĩa là một công ty khởi nghiệp làm dịch vụ xử lý dữ liệu cho khách hàng khác không được hưởng miễn trừ nào về quy mô, dù mới thành lập và còn ít người.
Trình tự thực tế
Chuỗi công việc thường là: bảo đảm ba nhân sự đạt điều kiện năng lực và có chứng nhận đào tạo, chỉ định bộ phận bảo vệ dữ liệu cá nhân bằng văn bản, lập hồ sơ đánh giá tác động và nộp, chuẩn bị hạ tầng cùng Đề án, sau đó nộp hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện theo Điều 25 Nghị định 356/2025/NĐ-CP.
Đọc thêm cùng chủ đề
- Dịch vụ xử lý dữ liệu cá nhân gồm những loại nào?
- Hồ sơ xin giấy chứng nhận đủ điều kiện gồm những gì?
- Tổ chức xử lý dữ liệu thuê ngoài có trách nhiệm gì?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 22
- Nghị định 356/2025/NĐ-CP Điều 21
- Nghị định 356/2025/NĐ-CP Điều 13
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.