Theo Luật Bảo vệ dữ liệu cá nhân 2025, phải lưu hồ sơ vi phạm dữ liệu trong bao lâu?

Tối thiểu 5 năm kể từ ngày khắc phục xong sự cố, với dữ liệu vị trí và sinh trắc học. Mốc tính không phải từ ngày xảy ra sự cố.

Sau khi xử lý xong một sự cố, câu hỏi tiếp theo là giữ hồ sơ trong bao lâu. Nghị định có quy định cụ thể cho một nhóm dữ liệu.

Quy định về thời hạn

Điều 29 Nghị định 356/2025/NĐ-CP quy định khi xảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý. Tổ chức phải lưu hồ sơ vi phạm trong thời gian tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.

Mốc tính là ngày khắc phục xong

Đây là chi tiết cần chú ý. Thời hạn không tính từ ngày phát hiện hay ngày xảy ra sự cố, mà từ ngày khắc phục xong. Với sự cố kéo dài, tổng thời gian lưu giữ có thể dài hơn 5 năm đáng kể.

Hệ quả thực tế: cần ghi nhận rõ ngày khắc phục xong trong hồ sơ, vì đây là mốc pháp lý.

Hồ sơ vi phạm gồm những gì

Quy định dùng từ "ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm". Kết hợp với các nghĩa vụ khác, bộ hồ sơ hợp lý nên gồm:

• Biên bản xác nhận về việc xảy ra hành vi vi phạm — khoản 2 Điều 23 Luật 91/2025/QH15 yêu cầu bên kiểm soát và bên kiểm soát và xử lý phải lập biên bản này;
• Bản thông báo đã gửi cơ quan chuyên trách theo Mẫu số 08 tại Phụ lục Nghị định, cùng chứng từ gửi;
• Bản thông báo đã gửi chủ thể dữ liệu với sáu nội dung tối thiểu theo Điều 29 Nghị định 356/2025/NĐ-CP, kèm danh sách người đã nhận;
• Nhật ký xử lý sự cố: phát hiện lúc nào, làm gì, ai quyết định, khi nào khắc phục xong;
• Kết quả đánh giá phạm vi ảnh hưởng: loại dữ liệu, số lượng bản ghi, số người bị ảnh hưởng;
• Biện pháp phòng ngừa tái diễn đã triển khai sau sự cố.

Vì sao nên lưu cả với các loại dữ liệu khác

Thời hạn 5 năm được quy định riêng cho dữ liệu vị trí và sinh trắc học. Với các loại dữ liệu khác, Nghị định không nêu con số cụ thể.

Tuy nhiên, việc lưu hồ sơ cho mọi sự cố vẫn có giá trị thực tiễn:

• Điều 31 Nghị định 356/2025/NĐ-CP xác định hiện trạng tuân thủ là một nội dung kiểm tra, và hồ sơ xử lý sự cố là bằng chứng trực tiếp;
• Điểm c khoản 1 Điều 37 Luật 91/2025/QH15 yêu cầu rà soát và cập nhật biện pháp bảo vệ khi cần thiết — hồ sơ sự cố chính là căn cứ cho việc rà soát đó;
• Khi có khiếu nại hoặc yêu cầu bồi thường theo điểm đ khoản 1 Điều 4, hồ sơ là tài liệu chứng minh doanh nghiệp đã ứng phó kịp thời.

Lưu hồ sơ nhưng không lưu dữ liệu đã lộ

Đây là điểm cần phân biệt. Hồ sơ vi phạm ghi nhận diễn biến và cách xử lý, không đồng nghĩa với việc giữ lại bản sao chính dữ liệu cá nhân đã bị ảnh hưởng.

Nếu dữ liệu đó đã hết mục đích xử lý, điểm b khoản 1 Điều 14 Luật 91/2025/QH15 vẫn áp dụng — việc xóa, hủy được thực hiện khi đã hoàn thành mục đích. Trong hồ sơ chỉ cần mô tả loại dữ liệu và khối lượng, không cần giữ nguyên nội dung.

Cách tổ chức cho gọn

Mỗi sự cố lập một hồ sơ riêng có mã số, ghi rõ ngày phát hiện và ngày khắc phục xong ngay ở trang đầu, kèm ngày hết hạn lưu trữ tính theo mốc 5 năm. Cách này giúp việc rà soát định kỳ trở nên đơn giản và tránh giữ hồ sơ vô thời hạn.

Đọc thêm cùng chủ đề

• Nội dung thông báo vi phạm dữ liệu gồm những gì?
• Lộ dữ liệu sinh trắc học phải báo trong bao lâu?
• Khi nào phải cập nhật hồ sơ đánh giá tác động?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 29
• Luật 91/2025/QH15 Điều 23
• Nghị định 356/2025/NĐ-CP Điều 28

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.