Theo Luật Bảo vệ dữ liệu cá nhân 2025, lộ dữ liệu sinh trắc học phải báo trong bao lâu?

Không quá 72 giờ kể từ thời điểm phát hiện, thông báo trực tiếp cho chủ thể dữ liệu bị ảnh hưởng — với sáu nội dung tối thiểu và nghĩa vụ lưu hồ sơ 5 năm.

Dữ liệu vị trí và dữ liệu sinh trắc học được đối xử riêng, chặt hơn các loại dữ liệu khác. Điều 29 Nghị định 356/2025/NĐ-CP đặt ra một quy trình thông báo có mốc thời gian cụ thể.

Ba nghĩa vụ khi xảy ra sự cố

Theo Điều 29 Nghị định 356/2025/NĐ-CP, khi xảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm:

• Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm;
• Báo cáo cho cơ quan nhà nước có thẩm quyền theo quy định tại Điều 28 Nghị định này;
• Ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý; lưu hồ sơ tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.

Điểm khác biệt quan trọng

Ở đây thông báo đi thẳng tới từng người bị ảnh hưởng, không chỉ tới cơ quan quản lý. Mốc 72 giờ tính từ thời điểm phát hiện, không phải từ thời điểm xác định xong nguyên nhân hay khắc phục xong.

Sáu nội dung tối thiểu của thông báo gửi cá nhân

Điều 29 Nghị định 356/2025/NĐ-CP yêu cầu thông báo cho chủ thể dữ liệu phải bao gồm tối thiểu:

• Thời điểm và hình thức phát hiện vi phạm;
• Loại dữ liệu bị ảnh hưởng — vị trí, sinh trắc học hoặc cả hai;
• Mức độ nghiêm trọng và các rủi ro có thể xảy ra đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu;
• Biện pháp đã, đang và sẽ được thực hiện để khắc phục sự cố và giảm thiểu thiệt hại;
• Hướng dẫn chủ thể dữ liệu thực hiện các biện pháp phòng ngừa, ngăn chặn tiếp theo;
• Thông tin liên hệ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; bộ phận tiếp nhận, xử lý sự cố dữ liệu cá nhân tại tổ chức.

Nội dung thứ năm — hướng dẫn người dùng tự phòng ngừa — là phần thường bị bỏ qua nhưng lại có giá trị thực tế nhất với người nhận thông báo.

Khi không kịp thông báo cho tất cả

Điều 29 Nghị định 356/2025/NĐ-CP dự liệu trường hợp không thể thông báo cho tất cả chủ thể dữ liệu bị ảnh hưởng trong thời hạn nêu trên vì lý do kỹ thuật hoặc khẩn cấp. Khi đó phải thông báo công khai bằng phương tiện điện tử chính thức của tổ chức qua trang thông tin điện tử, ứng dụng; và gửi thông báo cho chủ thể dữ liệu liên quan ngay khi điều kiện kỹ thuật cho phép.

Đây là phương án dự phòng có điều kiện, không phải lựa chọn thay thế tùy ý. Chỉ áp dụng khi thực sự không thể liên hệ trực tiếp.

Chậm trễ hoặc né tránh bị xử lý riêng

Điều 29 Nghị định 356/2025/NĐ-CP nêu rõ trường hợp tổ chức, cá nhân không thực hiện thông báo đúng hạn hoặc cố tình trì hoãn, né tránh nghĩa vụ thông báo sẽ bị xem xét xử lý vi phạm theo quy định của pháp luật.

Nói cách khác, việc chậm thông báo là một vi phạm độc lập, tách khỏi sự cố ban đầu. Doanh nghiệp có thể không có lỗi trong việc bị tấn công nhưng vẫn có lỗi trong việc không thông báo kịp.

Ai đang giữ hai loại dữ liệu này

Điều 31 Luật 91/2025/QH15 có quy định riêng về bảo vệ dữ liệu vị trí cá nhân và dữ liệu sinh trắc học, và Điều 4 Nghị định 356/2025/NĐ-CP xếp cả hai vào danh mục dữ liệu nhạy cảm.

Trong thực tế, nhóm doanh nghiệp liên quan rộng hơn nhiều so với tưởng tượng: bất kỳ đơn vị nào dùng máy chấm công vân tay hoặc nhận diện khuôn mặt, ứng dụng có tính năng định vị, hệ thống kiểm soát ra vào bằng sinh trắc học, dịch vụ giao vận theo dõi vị trí.

Chuẩn bị để kịp 72 giờ

72 giờ là ngắn nếu bắt đầu từ con số không. Nên có sẵn: danh sách hệ thống chứa dữ liệu vị trí và sinh trắc học; cách trích xuất danh sách người bị ảnh hưởng; mẫu thông báo đủ sáu nội dung; kênh gửi thông báo hàng loạt đã kiểm thử; và một người có thẩm quyền quyết định gửi mà không cần chờ họp.

Đọc thêm cùng chủ đề

• Phải lưu hồ sơ vi phạm dữ liệu trong bao lâu?
• Ứng dụng thu thập vị trí người dùng cần điều kiện gì?
• Dữ liệu sinh trắc học là những gì?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 29
• Nghị định 356/2025/NĐ-CP Điều 28
• Luật 91/2025/QH15 Điều 31

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.