Cập nhật ngày 23/09/2026
Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân là một cơ chế riêng trong Nghị định 356/2025/NĐ-CP. Không nên đồng nhất giấy này với hồ sơ đánh giá tác động hoặc với thủ tục dịch vụ phân tích, tổng hợp dữ liệu của Nghị định 169 đã được sửa đổi. Một mô hình kinh doanh cần được xem xét theo từng lớp hoạt động.
Dịch vụ nào thuộc phạm vi cần đối chiếu
Điều 21 Nghị định 356 liệt kê các loại dịch vụ xử lý dữ liệu cá nhân. Các nhóm bao gồm hệ thống xử lý tự động cho bên kiểm soát, chấm điểm tín dụng, thu thập dữ liệu trực tuyến, một số dịch vụ trong y tế và giáo dục, phân tích hoặc khai thác dữ liệu cá nhân, mã hóa, xử lý tự động bằng công nghệ tiên tiến và nền tảng liên quan đến vị trí.
Tên phần mềm không quyết định toàn bộ phạm vi. Một sản phẩm được giới thiệu là công cụ phân tích có thể thực sự tiếp nhận, tổ chức và khai thác dữ liệu cá nhân cho khách hàng. Ngược lại, việc một doanh nghiệp xử lý dữ liệu nhân viên phục vụ quản trị của chính mình không tự đồng nghĩa doanh nghiệp đang kinh doanh dịch vụ xử lý dữ liệu cho thị trường. Cần đối chiếu mô tả tại Điều 21 với dịch vụ thực tế và hợp đồng.
Những điều kiện chính về tổ chức và nhân sự
Điều 22 quy định điều kiện đối với tổ chức được thành lập theo pháp luật Việt Nam, người phụ trách chuyên môn, tổ chức quản lý và nhân sự. Trong đó có yêu cầu tối thiểu 3 nhân sự đáp ứng điều kiện năng lực được dẫn chiếu tại khoản 2 Điều 13. Người phụ trách chuyên môn phải đáp ứng yêu cầu về quốc tịch, cư trú và các điều kiện liên quan tại điều này.
Tổ chức còn phải có hạ tầng, trang thiết bị, cơ sở vật chất và công nghệ phù hợp; có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ chuyển xuyên biên giới nếu có hoạt động chuyển. Vì vậy, việc chuẩn bị giấy chứng nhận gắn với thiết kế vận hành, không chỉ là thu thập bản sao văn bằng.
Hồ sơ gồm những thành phần nào
Điều 25 quy định đơn đề nghị theo Mẫu số 04, giấy chứng nhận đăng ký doanh nghiệp, văn bản chỉ định bộ phận bảo vệ dữ liệu hoặc hợp đồng sử dụng dịch vụ, đề án và giấy tờ chứng minh năng lực nhân sự. Trường hợp cơ quan nhà nước khai thác được thông tin đăng ký doanh nghiệp trên cơ sở dữ liệu thì không phải nộp giấy tờ đó theo điều kiện quy định.
Đề án cần mô tả mục tiêu, lĩnh vực đề nghị, phương án kinh doanh, quy mô xử lý, khung quản trị rủi ro, kế hoạch đánh giá tuân thủ, tiêu chuẩn và quy chuẩn liên quan, định danh xác thực, trách nhiệm và nhân sự. Nội dung nên phản ánh đúng luồng dữ liệu, khách hàng và công nghệ dự kiến sử dụng.
Nộp ở đâu và thời gian giải quyết ra sao
Theo Điều 24, Bộ Công an có thẩm quyền; Bộ trưởng giao cơ quan chuyên trách bảo vệ dữ liệu cá nhân thực hiện. Một bộ hồ sơ được nộp trực tuyến, trực tiếp hoặc qua bưu chính về cơ quan chuyên trách theo Điều 25.
Quy trình có mốc 10 ngày đánh giá hồ sơ, 15 ngày để tổ chức hoàn thiện khi được yêu cầu và 30 ngày kể từ khi nhận đủ hồ sơ hợp lệ để quyết định theo quy định. Không nên cộng hoặc rút gọn các mốc này thành một lời hứa về ngày nhận kết quả cho mọi trường hợp. Khi nộp, cần kiểm tra biểu mẫu và thủ tục hiện hành do cơ quan có thẩm quyền công bố.
Được cấp giấy rồi còn trách nhiệm gì
Điều 23 yêu cầu tuân thủ pháp luật bảo vệ dữ liệu, tổ chức quản trị rủi ro và thực hiện các nghĩa vụ của dịch vụ. Nếu thay đổi mô hình, phạm vi hoặc nội dung trên giấy chứng nhận, cần đối chiếu quy định cấp đổi, cấp lại và nghĩa vụ liên quan. Giấy chứng nhận không phải sự cho phép dùng dữ liệu của khách hàng cho bất kỳ mục đích nào.
Khi một nhà cung cấp đồng thời làm nhiều dịch vụ
Một công ty có thể vừa cung cấp nền tảng cloud, vừa phân tích dữ liệu cá nhân và bổ sung dịch vụ giám sát an ninh mạng. Ba tên gọi này dẫn đến ba câu hỏi khác nhau: thông báo dịch vụ theo pháp luật viễn thông, điều kiện xử lý dữ liệu cá nhân theo Nghị định 356 và phạm vi kinh doanh an ninh mạng theo Nghị định 332. Chỉ hoạt động thực tế thuộc phạm vi điều chỉnh mới làm phát sinh nghĩa vụ tương ứng.
Ngay trong cùng hợp đồng, vai trò dữ liệu cũng có thể thay đổi theo công việc. Lưu trữ theo chỉ dẫn của khách hàng khác với tự dùng dữ liệu để cải thiện sản phẩm. Cần xác định lại mục đích, vai trò và căn cứ cho phần sử dụng riêng; một điều khoản gọi nhà cung cấp là “bên xử lý” không quyết định thay thực tế.
Trước khi hỏi cần bao nhiêu giấy phép, nên lập danh mục dịch vụ, đầu vào, đầu ra và quyền quyết định của từng bên. Bài về dịch vụ dữ liệu, cloud và giấy phép an ninh mạng giúp đối chiếu từng phần của danh mục này.
Câu hỏi thường gặp
Nghị định 347 bãi bỏ thủ tục phân tích dữ liệu thì giấy này cũng bị bãi bỏ không? Không thể suy ra như vậy. Đây là cơ chế theo Nghị định 356; phải kiểm tra độc lập với sửa đổi của Nghị định 169.
Có đủ nhân sự là chắc chắn được cấp không? Không. Nhân sự chỉ là một nhóm điều kiện; cơ quan có thẩm quyền xem xét toàn bộ điều kiện và hồ sơ.
Nguồn đối chiếu
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân
Nghị định 347/2026/NĐ-CP sửa đổi Nghị định 169
Nghị định 332/2026/NĐ-CP về kinh doanh sản phẩm và dịch vụ an ninh mạng
Nguồn được kiểm tra đến ngày 23/09/2026.
