Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP chính thức có hiệu lực, thiết lập khuôn khổ pháp lý mới đối với hoạt động bảo vệ và xử lý dữ liệu cá nhân tại Việt Nam.
Một trong những nội dung đáng chú ý là việc quy định kinh doanh dịch vụ xử lý dữ liệu cá nhân là hoạt động phải đáp ứng các điều kiện chuyên ngành. Tổ chức muốn cung cấp các dịch vụ thuộc phạm vi này phải đáp ứng điều kiện và được Bộ Công an cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Đặc biệt, từ ngày 29/4/2026, Nghị quyết số 22/2026/NQ-CP tiếp tục cắt giảm, đơn giản hóa thành phần hồ sơ của thủ tục này. Vì vậy, doanh nghiệp cần áp dụng quy định năm 2026 thay vì sử dụng các hướng dẫn về bảo vệ dữ liệu cá nhân trước đây.
1. Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân là gì?
Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân là văn bản do cơ quan có thẩm quyền cấp cho tổ chức đáp ứng các điều kiện về pháp lý, nhân sự, hạ tầng, công nghệ và tuân thủ quy định về bảo vệ dữ liệu cá nhân để cung cấp dịch vụ xử lý dữ liệu cá nhân.
Đây là một thủ tục hành chính mới được triển khai từ năm 2026. Bộ Công an đã công bố thủ tục này tại Quyết định số 778/QĐ-BCA-A05 ngày 09/02/2026, với mã thủ tục hành chính 1.014910. Cơ quan trực tiếp thực hiện hiện nay là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao.
Cần đặc biệt phân biệt: không phải mọi doanh nghiệp có hoạt động thu thập hoặc xử lý dữ liệu cá nhân đều phải xin Giấy chứng nhận này.
Một doanh nghiệp xử lý dữ liệu của khách hàng, người lao động hoặc đối tác để phục vụ chính hoạt động kinh doanh của mình sẽ phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, nhưng không vì thế mà mặc nhiên trở thành doanh nghiệp “kinh doanh dịch vụ xử lý dữ liệu cá nhân”.
Giấy chứng nhận được đặt ra đối với tổ chức cung cấp hoạt động xử lý dữ liệu cá nhân như một dịch vụ cho tổ chức, cá nhân khác thuộc các loại hình pháp luật quy định.
2. Những dịch vụ nào thuộc phạm vi kinh doanh dịch vụ xử lý dữ liệu cá nhân?
Điều 21 Nghị định số 356/2025/NĐ-CP xác định 09 nhóm dịch vụ xử lý dữ liệu cá nhân, gồm:
- Dịch vụ cung cấp và vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu thực hiện việc xử lý dữ liệu cá nhân;
- Dịch vụ chấm điểm, xếp hạng, đánh giá mức độ tín nhiệm của chủ thể dữ liệu cá nhân;
- Dịch vụ thu thập, xử lý dữ liệu cá nhân trực tuyến từ trang thông tin điện tử, ứng dụng, phần mềm và mạng xã hội;
- Dịch vụ thu thập, xử lý dữ liệu cá nhân qua trang thông tin điện tử, ứng dụng, phần mềm chăm sóc sức khỏe, theo dõi sức khỏe hoặc dịch vụ y tế;
- Dịch vụ thu thập, xử lý dữ liệu cá nhân thông qua ứng dụng, phần mềm giáo dục có yếu tố giám sát như điểm danh, ghi hình, chấm điểm hành vi hoặc nhận diện cảm xúc;
- Dịch vụ phân tích và khai thác dữ liệu cá nhân, bao gồm sử dụng công cụ phân tích để tìm kiếm thông tin, xu hướng, mẫu dữ liệu; khai thác dữ liệu nhằm dự đoán hành vi người dùng hoặc tối ưu hóa dịch vụ;
- Dịch vụ mã hóa dữ liệu cá nhân trong quá trình truyền tải và lưu trữ;
- Dịch vụ xử lý dữ liệu cá nhân tự động dựa trên công nghệ dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo;
- Dịch vụ nền tảng ứng dụng cung cấp dữ liệu vị trí cá nhân.
Do đó, các doanh nghiệp hoạt động trong lĩnh vực công nghệ, phân tích dữ liệu, nền tảng trực tuyến, công nghệ giáo dục, công nghệ y tế, định vị, chấm điểm người dùng hoặc cung cấp hệ thống xử lý dữ liệu thuê ngoài cần đặc biệt rà soát xem dịch vụ của mình có thuộc một trong các nhóm nêu trên hay không.
3. Điều kiện để được cấp Giấy chứng nhận
Theo Điều 22 Nghị định số 356/2025/NĐ-CP, tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân phải đáp ứng đồng thời các nhóm điều kiện sau:
3.1. Điều kiện về tư cách pháp lý
Tổ chức, doanh nghiệp phải:
- được thành lập và hoạt động theo pháp luật Việt Nam; và
- đáp ứng các điều kiện chuyên ngành về kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Quy định này đồng nghĩa với việc chủ thể xin Giấy chứng nhận phải có tư cách pháp lý tại Việt Nam.
3.2. Điều kiện đối với người đứng đầu phụ trách chuyên môn
Người đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân của tổ chức phải:
- là công dân Việt Nam; và
- thường trú tại Việt Nam.
Đây là điều kiện riêng biệt với chức danh người đại diện theo pháp luật. Tùy cơ cấu của doanh nghiệp, người đứng đầu phụ trách chuyên môn có thể là người đại diện theo pháp luật hoặc một nhân sự khác được doanh nghiệp phân công, miễn đáp ứng đầy đủ điều kiện luật định.
3.3. Điều kiện về đội ngũ quản lý, điều hành
Doanh nghiệp phải có đội ngũ quản lý, điều hành đáp ứng yêu cầu chuyên môn về xử lý dữ liệu cá nhân.
Ngoài ra, doanh nghiệp phải có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực về bảo vệ dữ liệu cá nhân.
Theo khoản 2 Điều 13 Nghị định số 356/2025/NĐ-CP, các nhân sự này phải đáp ứng đồng thời:
- có trình độ từ cao đẳng trở lên;
- có ít nhất 02 năm kinh nghiệm công tác kể từ thời điểm tốt nghiệp liên quan đến một trong các lĩnh vực: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ;
- đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Như vậy, doanh nghiệp không chỉ cần có nhân sự công nghệ thông tin mà có thể sử dụng nhân sự thuộc nhiều chuyên ngành khác nhau, miễn bảo đảm yêu cầu về trình độ, kinh nghiệm và đào tạo chuyên môn theo quy định.
4. Điều kiện về cơ sở vật chất và công nghệ
Doanh nghiệp phải có:
- hạ tầng;
- hệ thống trang thiết bị;
- cơ sở vật chất; và
- công nghệ
phù hợp với loại dịch vụ xử lý dữ liệu cá nhân dự kiến cung cấp.
Pháp luật không đưa ra một danh mục máy móc cố định áp dụng chung cho mọi doanh nghiệp. Việc đánh giá tính phù hợp phụ thuộc vào loại dịch vụ, quy mô xử lý, loại dữ liệu, mức độ nhạy cảm và rủi ro của hoạt động xử lý.
Trên thực tế, doanh nghiệp nên có khả năng chứng minh các biện pháp như:
- kiểm soát quyền truy cập;
- xác thực người dùng;
- phân quyền tài khoản;
- ghi nhật ký truy cập;
- mã hóa dữ liệu;
- sao lưu và phục hồi dữ liệu;
- phát hiện, xử lý sự cố;
- quản lý thiết bị và hệ thống;
- bảo đảm tính toàn vẹn, tính bí mật và tính sẵn sàng của dữ liệu;
- cơ chế xóa hoặc hủy dữ liệu theo yêu cầu;
- kiểm soát nhà thầu và bên thứ ba có quyền truy cập dữ liệu.
Những nội dung này đặc biệt quan trọng khi xây dựng Đề án xin cấp Giấy chứng nhận.
5. Điều kiện về đánh giá tác động xử lý dữ liệu cá nhân
Tổ chức phải có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Trường hợp hoạt động kinh doanh có chuyển dữ liệu cá nhân xuyên biên giới, tổ chức còn phải đáp ứng yêu cầu đối với hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Đây là điểm doanh nghiệp cần xử lý trước hoặc đồng thời trong quá trình chuẩn bị hồ sơ xin Giấy chứng nhận.
Việc có đầy đủ nhân sự và hệ thống công nghệ nhưng chưa hoàn thiện nghĩa vụ đánh giá tác động có thể khiến doanh nghiệp chưa đáp ứng đầy đủ điều kiện kinh doanh.
6. Hồ sơ xin cấp Giấy chứng nhận mới nhất năm 2026
Điều 25 Nghị định số 356/2025/NĐ-CP ban đầu quy định hồ sơ tương đối chi tiết, gồm đơn đề nghị, Giấy chứng nhận đăng ký doanh nghiệp, văn bản về bộ phận bảo vệ dữ liệu cá nhân, Đề án và tài liệu chứng minh điều kiện nhân sự.
Tuy nhiên, từ ngày 29/4/2026, Nghị quyết số 22/2026/NQ-CP đã đơn giản hóa thành phần hồ sơ.
Theo quy định mới, hồ sơ gồm các nhóm tài liệu chính sau:
- Đơn đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;
- Văn bản chỉ định bộ phận bảo vệ dữ liệu cá nhân hoặc hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhântheo quy định;
- Đề án đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;
- Các văn bản, giấy tờ chứng minh khác theo yêu cầu của thủ tục.
Đây là điểm mới quan trọng so với thành phần hồ sơ ban đầu theo Nghị định số 356/2025/NĐ-CP.
Mặc dù thủ tục đã được đơn giản hóa, doanh nghiệp vẫn phải thực tế đáp ứng đầy đủ các điều kiện về nhân sự, hạ tầng, công nghệ và đánh giá tác động. Việc một tài liệu không còn được liệt kê thành một thành phần hồ sơ độc lập không đồng nghĩa với việc điều kiện tương ứng đã bị bãi bỏ.
7. Đề án xin cấp Giấy chứng nhận phải có những nội dung gì?
Đề án là một trong những tài liệu quan trọng nhất của hồ sơ.
Theo Điều 25 Nghị định số 356/2025/NĐ-CP, Đề án cần thể hiện các nội dung cơ bản sau:
- sự cần thiết và mục tiêu;
- nội dung, lĩnh vực đề nghị phê duyệt;
- ngành nghề, lĩnh vực kinh doanh và phương án kinh doanh;
- quy mô hoạt động xử lý dữ liệu cá nhân dự kiến;
- khung quản trị rủi ro về bảo vệ dữ liệu cá nhân;
- kế hoạch đánh giá định kỳ về hiện trạng tuân thủ và mức độ tín nhiệm trong bảo vệ dữ liệu cá nhân;
- việc áp dụng các tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu và bảo vệ dữ liệu cá nhân;
- phương án sử dụng dịch vụ định danh và xác thực điện tử;
- trách nhiệm và quyền hạn của tổ chức trong hoạt động xử lý dữ liệu cá nhân;
- nhân sự đáp ứng điều kiện theo quy định.
Do đó, Đề án không nên chỉ được xây dựng như một bản mô tả hoạt động kinh doanh. Nội dung cần chứng minh được mô hình xử lý dữ liệu, hệ thống quản trị, cơ chế kiểm soát rủi ro và năng lực tuân thủ của doanh nghiệp.
8. Cơ quan có thẩm quyền cấp Giấy chứng nhận
Theo Điều 24 Nghị định số 356/2025/NĐ-CP:
Bộ Công an có thẩm quyền cấp, cấp lại, cấp đổi và thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Bộ trưởng Bộ Công an giao cơ quan chuyên trách bảo vệ dữ liệu cá nhân thực hiện việc tiếp nhận, thẩm định và giải quyết thủ tục.
Theo thủ tục hành chính được Bộ Công an công bố, cơ quan trực tiếp thực hiện là:
Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an.
9. Cách thức nộp hồ sơ
Tổ chức nộp 01 bộ hồ sơ theo một trong ba phương thức:
- trực tuyến;
- trực tiếp;
- qua dịch vụ bưu chính.
Đối với hình thức trực tuyến, hồ sơ được thực hiện thông qua hệ thống dịch vụ công của Bộ Công an theo thủ tục được công bố.
Doanh nghiệp nên kiểm tra biểu mẫu và thành phần hồ sơ đang hiển thị trên hệ thống tại thời điểm nộp, đặc biệt do thủ tục đã được đơn giản hóa bởi Nghị quyết số 22/2026/NQ-CP kể từ ngày 29/4/2026.
10. Trình tự thực hiện
Bước 1: Chuẩn bị hồ sơ
Tổ chức xác định chính xác:
- dịch vụ xử lý dữ liệu cá nhân dự kiến kinh doanh;
- phạm vi cung cấp;
- mô hình xử lý dữ liệu;
- nhân sự;
- hệ thống công nghệ;
- cơ chế quản trị rủi ro;
- nghĩa vụ đánh giá tác động.
Trên cơ sở đó, doanh nghiệp lập Đơn, Đề án và các tài liệu có liên quan.
Bước 2: Nộp hồ sơ
Tổ chức nộp 01 bộ hồ sơ đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính.
Bước 3: Đánh giá tính đầy đủ của hồ sơ
Theo Điều 25 Nghị định số 356/2025/NĐ-CP, cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiến hành đánh giá hồ sơ trong thời hạn 10 ngày.
Trường hợp hồ sơ chưa đầy đủ hoặc chưa đúng quy định, cơ quan có thẩm quyền thông báo bằng văn bản và yêu cầu tổ chức bổ sung, hoàn thiện hồ sơ trong thời hạn 15 ngày, đồng thời nêu rõ lý do.
Bước 4: Thẩm định và quyết định cấp Giấy chứng nhận
Sau khi nhận đủ hồ sơ hợp lệ, cơ quan chuyên trách tiến hành thẩm định, xem xét và quyết định việc cấp Giấy chứng nhận.
Trường hợp đáp ứng đầy đủ điều kiện, doanh nghiệp được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Trường hợp không cấp, cơ quan có thẩm quyền phải thông báo bằng văn bản và nêu rõ lý do.
11. Thời hạn giải quyết
Điều 25 Nghị định số 356/2025/NĐ-CP quy định cơ quan chuyên trách xem xét, quyết định cấp Giấy chứng nhận trong thời hạn 30 ngày kể từ ngày nhận đầy đủ hồ sơ hợp lệ.
Trên Cổng Dịch vụ công Quốc gia, thủ tục hành chính mã số 1.014910 hiện được công bố với thời hạn giải quyết 30 ngày làm việc.
Doanh nghiệp cần lưu ý thời hạn giải quyết chỉ được tính khi hồ sơ đã đầy đủ, hợp lệ; thời gian bổ sung, hoàn thiện hồ sơ có thể làm kéo dài thời gian thực tế để nhận kết quả.
12. Phí, lệ phí
Theo thủ tục hành chính hiện được công bố, việc cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân:
Không thu phí, lệ phí.
Tuy nhiên, doanh nghiệp có thể phát sinh các chi phí nội bộ để đáp ứng điều kiện, như:
- xây dựng hệ thống công nghệ;
- đánh giá an ninh;
- đào tạo nhân sự;
- xây dựng hồ sơ đánh giá tác động;
- xây dựng quy trình nội bộ;
- kiểm tra, đánh giá mức độ tuân thủ.
13. Giấy chứng nhận có thời hạn bao lâu?
Mẫu Giấy chứng nhận ban hành kèm theo Nghị định số 356/2025/NĐ-CP quy định:
Giấy chứng nhận có hiệu lực kể từ ngày ký.
Nghị định không quy định một thời hạn cố định như 03 năm hoặc 05 năm đối với Giấy chứng nhận này.
Tuy nhiên, doanh nghiệp phải liên tục duy trì điều kiện hoạt động và Giấy chứng nhận có thể bị thu hồi trong các trường hợp pháp luật quy định.
14. Khi nào Giấy chứng nhận có thể bị thu hồi?
Theo Điều 27 Nghị định số 356/2025/NĐ-CP, Giấy chứng nhận có thể bị thu hồi trong một số trường hợp, đáng chú ý như:
- không kinh doanh dịch vụ từ 12 tháng trở lên;
- tổ chức bị giải thể hoặc phá sản;
- không khắc phục vi phạm về bảo vệ dữ liệu cá nhân, an toàn thông tin, an ninh mạng hoặc an ninh dữ liệu theo yêu cầu của cơ quan nhà nước có thẩm quyền;
- tổ chức chủ động đề nghị đình chỉ hoặc chấm dứt hoạt động;
- các trường hợp khác thuộc diện thu hồi theo quy định.
Khi bị thu hồi, tổ chức phải nộp lại Giấy chứng nhận đã được cấp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 05 ngày làm việc kể từ ngày nhận quyết định thu hồi.
15. Cấp lại, cấp đổi Giấy chứng nhận
Trong năm 2026, thủ tục cấp lại và cấp đổi cũng đã được đơn giản hóa.
Nghị quyết số 22/2026/NQ-CP gộp hai thủ tục cấp lại và cấp đổi thành một thủ tục, với thành phần hồ sơ chủ yếu là:
Đơn đề nghị cấp lại, cấp đổi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Thời hạn xem xét giải quyết là 05 ngày làm việc kể từ ngày nhận được đơn đề nghị theo quy định.
Đây là một trong những nội dung cải cách đáng chú ý so với thủ tục ban đầu tại Nghị định số 356/2025/NĐ-CP.
16. Một số lưu ý quan trọng đối với doanh nghiệp
Để xác định đúng nghĩa vụ và hạn chế rủi ro khi triển khai hoạt động, doanh nghiệp cần lưu ý:
Thứ nhất, cần phân biệt giữa doanh nghiệp tự xử lý dữ liệu phục vụ hoạt động của mình với doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cho khách hàng. Không phải tất cả doanh nghiệp có dữ liệu cá nhân đều phải xin Giấy chứng nhận.
Thứ hai, cần xác định dịch vụ thực tế có thuộc một trong 09 nhóm dịch vụ tại Điều 21 Nghị định số 356/2025/NĐ-CP hay không.
Thứ ba, điều kiện tối thiểu 03 nhân sự không chỉ là yêu cầu về số lượng; từng nhân sự phải đáp ứng đầy đủ yêu cầu về trình độ, kinh nghiệm và đào tạo chuyên môn.
Thứ tư, doanh nghiệp nên hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, nếu có, trước khi nộp hồ sơ xin Giấy chứng nhận.
Thứ năm, Đề án xin cấp Giấy chứng nhận cần phản ánh đúng hệ thống và mô hình kinh doanh thực tế. Việc xây dựng hồ sơ theo mẫu chung nhưng không tương ứng với hạ tầng công nghệ và hoạt động thực tế có thể làm phát sinh yêu cầu giải trình, bổ sung.
Thứ sáu, cần rà soát hợp đồng với khách hàng để xác định rõ vai trò của các bên trong quá trình xử lý dữ liệu, quyền truy cập, phạm vi xử lý, thời hạn lưu trữ, trách nhiệm xử lý sự cố và nghĩa vụ xóa hoặc hoàn trả dữ liệu.
Thứ bảy, doanh nghiệp phải tiếp tục duy trì các điều kiện sau khi được cấp Giấy chứng nhận; việc được cấp giấy không loại trừ nghĩa vụ tuân thủ thường xuyên về bảo vệ dữ liệu cá nhân, an ninh mạng, an toàn thông tin và an ninh dữ liệu.
17. Kết luận
Từ năm 2026, tổ chức kinh doanh các dịch vụ xử lý dữ liệu cá nhân thuộc phạm vi quy định tại Nghị định số 356/2025/NĐ-CP phải đáp ứng các điều kiện chuyên ngành và thực hiện thủ tục cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Trong bối cảnh hoạt động kinh doanh dựa trên dữ liệu, nền tảng số, trí tuệ nhân tạo và phân tích người dùng ngày càng phổ biến, doanh nghiệp nên rà soát mô hình hoạt động ngay từ đầu để xác định chính xác mình chỉ là chủ thể xử lý dữ liệu phục vụ hoạt động nội bộ hay đang thực hiện kinh doanh dịch vụ xử lý dữ liệu cá nhân thuộc diện phải được cấp Giấy chứng nhận. Việc xác định đúng phạm vi áp dụng là bước quan trọng để hạn chế rủi ro pháp lý và bảo đảm khả năng cung cấp dịch vụ hợp pháp tại Việt Nam.