Trong bối cảnh dữ liệu cá nhân trở thành một trong những tài sản quan trọng của doanh nghiệp, nhu cầu thuê đơn vị chuyên nghiệp thực hiện các hoạt động thu thập, lưu trữ, phân tích, quản lý và xử lý dữ liệu ngày càng gia tăng. Tuy nhiên, không phải tổ chức nào cũng được phép cung cấp dịch vụ xử lý dữ liệu cá nhân. Trong bài viết này, Công ty Luật Siglaw sẽ giúp doanh nghiệp hiểu rõ các quy định mới nhất về điều kiện, hồ sơ và thủ tục để được cấp phép cung cấp dịch vụ xử lý dữ liệu cá nhân.
Cơ sở pháp lý để xin Giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân
- Luật bảo vệ dữ liệu cá nhân 2025
- Nghị định số 365/2025/NĐ-CP
Giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân là gì?
Giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân hay giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân là giấy phép được Bộ Công An cấp cho tổ chức, doanh nghiệp kinh doanh một hoặc nhiều công đoạn xử lý dữ liệu cá nhân cho khách hàng theo thỏa thuận, hợp đồng dịch vụ.
Theo Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP, kinh doanh dịch vụ xử lý dữ liệu cá nhân là ngành, nghề đầu tư kinh doanh có điều kiện. Do đó, trước khi cung cấp dịch vụ, doanh nghiệp phải được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo quy định.
Theo Điều 21 Nghị định 356/2025/NĐ-CP, dịch vụ xử lý dữ liệu cá nhân bao gồm các hoạt động như:
- Cung cấp và vận hành hệ thống, phần mềm xử lý dữ liệu cá nhân thay mặt bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu;
- Chấm điểm, xếp hạng, đánh giá mức độ tín nhiệm của chủ thể dữ liệu;
- Thu thập, xử lý dữ liệu cá nhân từ website, ứng dụng, phần mềm và mạng xã hội;
- Thu thập xử lý dữ liệu cá nhân trên các ứng dụng, phần mềm giáo dục có chức năng giám sát như điểm danh, ghi hình, đánh giá hành vi hoặc nhận diện cảm xúc;
- Phân tích và khai thác dữ liệu cá nhân nhằm tìm kiếm thông tin, dự đoán xu hướng, hành vi hoặc tối ưu hóa dịch vụ;
- Mã hóa dữ liệu cá nhân trong quá trình truyền và lưu trữ;
- Xử lý dữ liệu cá nhân bằng các công nghệ như dữ liệu lớn (Big Data), trí tuệ nhân tạo (AI), chuỗi khối (Blockchain) và vũ trụ ảo (Metaverse);
- Cung cấp nền tảng ứng dụng có chức năng xử lý dữ liệu về vị trí cá nhân.
Điều kiện xin giấy phép kinh doanh dịch vụ xử lý dữ liệu cá nhân
Căn cứ Điều 22 Nghị định số 356/2025/NĐ-CP, doanh nghiệp muốn xin giấy phép kinh doanh dịch vụ xử lý dữ liệu cá nhân phải đáp ứng đồng thời các điều kiện sau:
Được thành lập hợp pháp tại Việt Nam
Điều 22(1) Nghị định số 356/2025/NĐ-CP yêu cầu tổ chức cung cấp dịch vụ là doanh nghiệp hoặc tổ chức được thành lập và hoạt động theo pháp luật Việt Nam. Đây là điều kiện tiên quyết để được xem xét cấp giấy chứng nhận đủ điều kiện kinh doanh.
Đáp ứng điều kiện về nhân sự
Điều 22(2) Nghị định 356/2025/NĐ-CP quy định doanh nghiệp phải có đội ngũ nhân sự đáp ứng yêu cầu chuyên môn về bảo vệ dữ liệu cá nhân, trong đó:
- Người đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân phải là công dân Việt Nam và thường trú tại Việt Nam;
- Có đội ngũ quản lý, điều hành đáp ứng yêu cầu chuyên môn;
- Có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực theo quy định pháp luật.
Các nhân sự này phải đáp ứng các tiêu chuẩn của Điều 13(2) Nghị định này như:
- Có trình độ từ cao đẳng trở lên;
- Có kinh nghiệm làm việc trong các lĩnh vực như pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ;
- Được đào tạo, bồi dưỡng về pháp luật và kỹ năng chuyên môn liên quan đến bảo vệ dữ liệu cá nhân.
Cơ sở hạ tầng kỹ thuật phù hợp
Ngoài điều kiện nhân sự, Điều 22(3) Nghị định số 356/2025/NĐ-CP đặt ra yêu cầu xây dựng hệ thống hạ tầng kỹ thuật bảo đảm việc xử lý dữ liệu cá nhân an toàn, bao gồm:
- Hệ thống máy chủ;
- Phần mềm quản lý;
- Thiết bị lưu trữ;
- Hệ thống bảo mật;
- Giải pháp bảo đảm an toàn thông tin.
Đáp ứng yêu cầu đánh giá tác động
Trong trường hợp có xử lý dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân ra nước ngoài, doanh nghiệp phải hoàn thành hồ sơ đánh giá tác động theo quy định. Nếu hoạt động có liên quan đến chuyển dữ liệu xuyên biên giới thì phải đáp ứng thêm các yêu cầu về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới Điều 22(4) Nghị định số 356/2025/NĐ-CP.
Hồ sơ xin cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân
Điều 25 Nghị định 356/2025/NĐ-CP quy định doanh nghiệp chuẩn bị bộ hồ sơ đề nghị cấp giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân bao gồm các tài liệu chứng minh doanh nghiệp đáp ứng đầy đủ các điều kiện kinh doanh, như:
- Đơn đề nghị cấp Giấy chứng nhận;
- Bản sao Giấy chứng nhận đăng ký doanh nghiệp hoặc tài liệu khác có giá trị pháp lý tương đương;
- Văn bản chỉ định bộ phận bảo vệ dữ liệu cá nhân (hoặc hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhân theo quy định của pháp luật);
- Bản sao bằng cấp và các tài liệu chứng minh năng lực của đội ngũ nhân sự (đáp ứng điều kiện quy định tại khoản 2 Điều 22 Nghị định 356/2025/NĐ-CP).
- Đề án đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, bao gồm:
- Sự cần thiết và mục tiêu của việc cung cấp dịch vụ xử lý dữ liệu cá nhân;
- Nội dung và lĩnh vực hoạt động đề nghị được cấp phép;
- Ngành nghề, lĩnh vực kinh doanh và phương án kinh doanh;
- Quy mô hoạt động xử lý dữ liệu cá nhân dự kiến;
- Khung quản trị rủi ro về bảo vệ dữ liệu cá nhân;
- Kế hoạch đánh giá định kỳ hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân;
- Việc áp dụng các tiêu chuẩn, quy chuẩn về an ninh dữ liệu và bảo vệ dữ liệu cá nhân;
- Phương án sử dụng dịch vụ định danh và xác thực điện tử;
- Trách nhiệm, quyền hạn của tổ chức trong quá trình xử lý dữ liệu cá nhân;
- Danh sách và thông tin về đội ngũ nhân sự đáp ứng điều kiện theo quy định.
Thủ tục xin Giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân
Bước 1: Chuẩn bị và nộp hồ sơ
Sau khi chuẩn bị đầy đủ hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, tổ chức nộp 01 bộ hồ sơ bằng hình thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Cơ quan có thẩm quyền cấp giấy chứng nhận
Điều 24 Nghị định này quy định Bộ Công an là cơ quan có thẩm quyền thực hiện việc cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân. Đồng thời, Bộ trưởng Bộ Công an giao cơ quan chuyên trách bảo vệ dữ liệu cá nhân trực tiếp tiếp nhận hồ sơ, thẩm định và thực hiện các thủ tục cấp, cấp lại, cấp đổi hoặc thu hồi Giấy chứng nhận.
Bước 2: Kiểm tra tính hợp lệ của hồ sơ
Trong thời hạn 10 ngày kể từ ngày nhận hồ sơ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiến hành kiểm tra tính đầy đủ và hợp lệ của hồ sơ.
Trong trường hợp hồ sơ chưa đầy đủ hoặc chưa đáp ứng quy định, cơ quan có thẩm quyền sẽ thông báo bằng văn bản cho tổ chức để sửa đổi, bổ sung. Văn bản thông báo sẽ nêu rõ những nội dung cần bổ sung để doanh nghiệp hoàn thiện hồ sơ trong thời hạn 15 ngày kể từ ngày nhận được thông báo.
Bước 3: Thẩm định hồ sơ
Sau khi nhận đủ hồ sơ hợp lệ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiến hành thẩm định các điều kiện về nhân sự, cơ sở vật chất, hạ tầng kỹ thuật, phương án kinh doanh và các nội dung khác theo quy định của pháp luật.
Bước 4: Cấp Giấy chứng nhận
Trong thời hạn 30 ngày kể từ ngày nhận đủ hồ sơ hợp lệ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét và quyết định cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Kinh doanh dịch vụ xử lý dữ liệu cá nhân là ngành, nghề đầu tư kinh doanh có điều kiện và chịu sự quản lý chặt chẽ theo Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP. Doanh nghiệp chỉ được phép cung cấp dịch vụ sau khi đáp ứng đầy đủ điều kiện về tư cách pháp lý, nhân sự, hạ tầng kỹ thuật, quản trị rủi ro và được cấp Giấy chứng nhận điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo quy định.
Việc chuẩn bị đầy đủ hồ sơ, xây dựng đề án đáp ứng yêu cầu và thực hiện đúng trình tự, thủ tục sẽ giúp doanh nghiệp rút ngắn thời gian thẩm định, đồng thời hạn chế nguy cơ hồ sơ bị yêu cầu sửa đổi, bổ sung hoặc bị từ chối cấp giấy chứng nhận.
Nếu Quý khách có nhu cầu tư vấn về điều kiện kinh doanh, chuẩn bị hồ sơ hoặc thực hiện thủ tục xin Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân, Công ty Luật Siglaw sẵn sàng hỗ trợ, đồng hành và cung cấp giải pháp pháp lý phù hợp, giúp doanh nghiệp nhanh chóng đáp ứng các yêu cầu của pháp luật và triển khai hoạt động kinh doanh đúng quy định.
Trụ sở chính tại Tp. Hà Nội: Số 44/A32 – NV13, Khu A Geleximco, Đường Lê Trọng Tấn, Phường Tây Mỗ, Tp.Hà Nội.
Chi nhánh tại miền Nam: Số 103 – 105, Đường Nguyễn Đình Chiểu, Phường Xuân Hòa, Hồ Chí Minh.
Chi nhánh miền Trung: Khu công viên phần mềm ICT Building số 2, đường Như Nguyệt, phường Hải Châu, TP Đà Nẵng
Email: vp@siglaw.com.vn
Hotline: 0961 366 238
Facebook: https://www.facebook.com/hangluatSiglaw
![Dịch vụ thành lập công ty 100% vốn nước ngoài [2026]](https://siglaw.com.vn/wp-content/uploads/2023/11/dich-vu-thanh-lap-cong-ty-100-von-nuoc-ngoai-2026-350x239.jpg)
