Quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân như thế nào?

Quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) là một chuỗi các bước pháp lý và kỹ thuật bắt buộc nhằm nhận diện, kiểm soát rủi ro trước khi doanh nghiệp tiến hành thu thập thông tin người dùng theo Luật Bảo vệ dữ liệu cá nhân 2025. Hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là yêu cầu pháp lý quan trọng đối với doanh nghiệp và các tổ chức có hoạt động xử lý dữ liệu cá nhân. Việc sử dụng dịch vụ của Luật DPO có thể giúp doanh nghiệp rà soát quy trình, nhận diện rủi ro và hoàn thiện hồ sơ phù hợp với yêu cầu pháp luật, tránh các chế tài xử phạt nghiêm khắc.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là gì theo quy định?

Tóm tắt chuyên môn: Theo khoản 12 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân. Hồ sơ này là minh chứng pháp lý bắt buộc thể hiện năng lực tuân thủ của doanh nghiệp trước cơ quan quản lý nhà nước.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Data Protection Impact Assessment – DPIA) là tài liệu cốt lõi giúp doanh nghiệp nhìn lại toàn bộ quá trình thu thập, sử dụng, lưu trữ, chia sẻ và xóa dữ liệu cá nhân. Thông qua hồ sơ này, doanh nghiệp có thể xác định những rủi ro có thể phát sinh đối với quyền riêng tư của công dân và xây dựng biện pháp kiểm soát kỹ thuật, quản lý phù hợp.

Ban lãnh đạo doanh nghiệp cần nắm rõ khái niệm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là gì để xác định đúng phạm vi công việc, phân công trách nhiệm cho bộ phận pháp chế hoặc nhân sự DPO (Data Protection Officer) và chuẩn bị tài liệu cần thiết.

Đây không chỉ là việc điền thông tin vào một biểu mẫu hành chính có sẵn. Nội dung hồ sơ cần phản ánh đúng cách doanh nghiệp đang xử lý dữ liệu trên thực tế. Vì vậy, bộ phận pháp chế cần phối hợp chặt chẽ với bộ phận công nghệ thông tin (IT), an toàn thông tin và các đơn vị kinh doanh có liên quan để kiểm tra quy trình vận hành trước khi hoàn thiện hồ sơ trình Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

Những đối tượng nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?

Tóm tắt chuyên môn: Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025, mọi tổ chức đóng vai trò là Bên kiểm soát, Bên xử lý, hoặc Bên kiểm soát và xử lý dữ liệu đều bắt buộc phải lập báo cáo đánh giá tác động. Tuy nhiên, pháp luật có cơ chế miễn trừ có điều kiện đối với doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp.

Việc xác định đúng đối tượng có nghĩa vụ lập hồ sơ là bước đầu tiên doanh nghiệp cần thực hiện trong chiến lược tuân thủ. Không phải mọi tổ chức đều có cùng nghĩa vụ, do đó cần căn cứ vào vai trò, quy mô và hoạt động xử lý dữ liệu thực tế để xác định trách nhiệm tương ứng. Nhiều doanh nghiệp vẫn còn băn khoăn về khi nào cần lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đối với từng mô hình kinh doanh.

Bên cạnh các trường hợp bắt buộc phải lập hồ sơ ngay từ ngày đầu tiên xử lý dữ liệu, pháp luật (cụ thể tại Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 43 Nghị định 356/2025/NĐ-CP) cũng quy định một số cơ chế miễn hoặc giảm nghĩa vụ đối với một số nhóm chủ thể. Các trường hợp đáng lưu ý gồm:

• Miễn trừ thực hiện 05 năm: Áp dụng đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp kể từ ngày Luật có hiệu lực (01/01/2026) hoặc từ khi thành lập.
• Miễn trừ vô thời hạn: Áp dụng đối với hộ kinh doanh và doanh nghiệp siêu nhỏ.
• Hủy bỏ quyền miễn trừ (Bắt buộc lập hồ sơ ngay lập tức): Không áp dụng miễn trừ nếu tổ chức trực tiếp kinh doanh dịch vụ xử lý dữ liệu cá nhân (như dịch vụ phân tích thông tin, chấm điểm tín dụng).
• Bắt buộc khai báo do quy mô/tính chất: Bắt buộc lập hồ sơ nếu doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể (từ 100.000 chủ thể dữ liệu trở lên).

Do đó, trước khi xác định doanh nghiệp có thuộc diện miễn trừ hay không, cần đối chiếu cả quy mô doanh nghiệp và tính chất hoạt động xử lý dữ liệu. Việc chủ quan áp dụng quyền miễn trừ sai quy định sẽ dẫn đến hậu quả pháp lý khôn lường.

Quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những bước nào?

Theo Điều 19 Nghị định 356/2025/NĐ-CP, quá trình xây dựng báo cáo đòi hỏi việc phân tích luồng thông tin (Data Mapping), đánh giá rủi ro, thiết lập biện pháp bảo vệ, lập tài liệu theo Mẫu số 10 và gửi Thông báo Mẫu số 02a hoặc 02b về cơ quan chuyên trách. Đây là một quy trình khép kín đòi hỏi sự chính xác tuyệt đối về mặt kỹ thuật và pháp lý.

Để hồ sơ phản ánh đúng hoạt động xử lý dữ liệu của doanh nghiệp, quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cần được thực hiện theo một trình tự thống nhất và khoa học. Trước hết, doanh nghiệp cần xác định mình đang xử lý những loại dữ liệu nào (cơ bản hay nhạy cảm), dữ liệu được thu thập từ đâu (website, app, camera, hợp đồng giấy), được sử dụng vào mục đích gì và được chia sẻ với những bên thứ ba nào.

Sau đó, các thông tin này được đối chiếu với hệ thống kỹ thuật và các quy trình nội bộ để nhận diện những điểm có thể phát sinh rủi ro (ví dụ: rủi ro hacker tấn công, rủi ro nhân viên nội bộ làm lộ dữ liệu). Dựa trên kinh nghiệm thực tiễn, Luật DPO khuyến nghị doanh nghiệp triển khai theo 5 bước chuẩn mực sau:

1. Bước 1: Xác định vai trò pháp lý. Phân định rõ tổ chức là Bên kiểm soát, Bên xử lý hay Bên kiểm soát và xử lý dữ liệu để xác định nghĩa vụ pháp lý tương ứng. Điều này quyết định việc bạn phải tự lập hồ sơ hay chỉ cần cung cấp thông tin cho đối tác.
2. Bước 2: Lập bản đồ dữ liệu (Data Mapping). Rà soát toàn bộ hệ thống máy chủ, nền tảng đám mây (Cloud), phần mềm CRM/ERP và ứng dụng đang sử dụng để xác định luồng dữ liệu từ đầu vào đến đầu ra.
3. Bước 3: Đánh giá rủi ro và thiết lập biện pháp bảo vệ. Phân tích các nguy cơ tiềm ẩn đối với quyền riêng tư của khách hàng. Từ đó, áp dụng các biện pháp kỹ thuật (mã hóa, tường lửa, xác thực đa yếu tố) và biện pháp quản lý (ban hành quy chế nội bộ, ký cam kết bảo mật NDA).
4. Bước 4: Soạn thảo văn bản theo biểu mẫu. Điền các thông tin cần thiết và nội dung đánh giá rủi ro vào Mẫu số 10 (Báo cáo đánh giá tác động xử lý dữ liệu cá nhân) ban hành kèm theo Phụ lục Nghị định 356/2025/NĐ-CP. Đồng thời chuẩn bị Mẫu số 02a (dành cho tổ chức) để thông báo nộp hồ sơ.
5. Bước 5: Rà soát trước khi nộp. Bộ phận pháp chế phối hợp với bộ phận công nghệ thông tin kiểm tra lại tính thống nhất giữa hồ sơ và hoạt động thực tế của doanh nghiệp. Tập hợp hợp đồng, thỏa thuận bảo mật, chính sách bảo vệ dữ liệu đính kèm.

💡 Luật DPO chia sẻ: Một trong những sai sót doanh nghiệp thường gặp là “sao chép” hồ sơ của một đơn vị khác rồi chỉnh sửa thông tin cơ bản mà không rà soát lại hệ thống thực tế. Trong khi đó, mỗi doanh nghiệp có cách thu thập, lưu trữ và chia sẻ dữ liệu khác nhau. Hồ sơ không phản ánh đúng thực tế (khai báo sai luồng dữ liệu) có thể bị coi là hành vi cung cấp thông tin sai lệch, gây khó khăn lớn và dẫn đến các án phạt nặng khi doanh nghiệp bị thanh tra, kiểm tra bởi Cục A05.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những tài liệu nào?

Theo khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP quy định, bộ tài liệu hoàn chỉnh bắt buộc phải bao gồm Báo cáo đánh giá Mẫu số 10, bản sao hợp đồng xử lý thông tin và các chính sách bảo mật liên quan. Việc rà soát thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì giúp doanh nghiệp hạn chế tình trạng bị trả lại hồ sơ do thiếu sót tài liệu.

Doanh nghiệp nên rà soát các tài liệu này cùng với hợp đồng và thỏa thuận ký với đối tác có tham gia xử lý dữ liệu. Đặc biệt, nếu sử dụng nền tảng hoặc dịch vụ điện toán đám mây (Cloud Computing), cần xác định rõ vai trò và phạm vi xử lý dữ liệu của nhà cung cấp dịch vụ đám mây theo quy định tại Điều 12 Nghị định 356/2025/NĐ-CP.

Thủ tục lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân thực hiện thế nào?

Tóm tắt chuyên môn: Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể có nghĩa vụ phải nộp 01 bản chính tài liệu về cơ quan chuyên trách (Cục A05) trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu. Cơ quan chức năng sẽ đánh giá và trả kết quả trong 15 ngày.

Sau khi hoàn thiện hồ sơ, doanh nghiệp cần thực hiện thủ tục nộp theo phương thức và thời hạn pháp luật quy định. Người đại diện theo pháp luật hoặc người được ủy quyền thực hiện thủ tục cũng cần kiểm tra kỹ thông tin pháp lý của doanh nghiệp trước khi nộp.

Cơ quan chức năng (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an) sẽ tiếp nhận tài liệu qua Cổng dịch vụ công quốc gia (trực tuyến), qua đường bưu chính hoặc nộp trực tiếp. Thời hạn thẩm định kết quả đạt hoặc không đạt được quy định chặt chẽ trong vòng 15 ngày. Nếu hệ thống văn bản thiếu sót hoặc đánh giá rủi ro chưa đạt yêu cầu, doanh nghiệp sẽ nhận được thông báo và có 30 ngày để bổ sung, khắc phục.

Các mốc thời gian cập nhật định kỳ hồ sơ đánh giá tác động cũng cần được doanh nghiệp theo dõi sát sao trong quá trình hoạt động. Theo Điều 20 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải cập nhật định kỳ 06 tháng một lần. Đặc biệt, phải cập nhật ngay trong vòng 10 ngày nếu có thay đổi trọng yếu như: tổ chức lại, giải thể, phá sản; thay đổi thông tin tổ chức cung cấp dịch vụ bảo vệ dữ liệu; hoặc phát sinh/thay đổi mục đích kinh doanh cốt lõi liên quan đến xử lý dữ liệu.

Do đó, việc lập hồ sơ không nên được xem là công việc chỉ thực hiện một lần để đối phó. Khi hoạt động kinh doanh, hệ thống công nghệ hoặc phương thức xử lý dữ liệu thay đổi, doanh nghiệp cần rà soát lại hồ sơ để bảo đảm thông tin trong tài liệu luôn khớp với thực tế vận hành.

Chậm nộp hoặc khai báo sai hồ sơ đánh giá tác động có rủi ro gì?

Tóm tắt chuyên môn: Theo Điều 55 Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hành vi không lập, không duy trì hồ sơ sẽ bị phạt từ 20 – 30 triệu đồng. Hành vi làm giả số liệu, cung cấp sai lệch thông tin bị phạt từ 50 – 100 triệu đồng, kèm theo biện pháp buộc dừng hoạt động xử lý dữ liệu.

Việc không lập hồ sơ hoặc lập hồ sơ mang tính chất đối phó, không đúng thực tế có thể khiến doanh nghiệp phát sinh rủi ro pháp lý khổng lồ trong quá trình kiểm tra, thanh tra của Bộ Công an. Ban giám đốc cần đặc biệt lưu ý các yêu cầu liên quan đến việc Không lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bị xử phạt như thế nào để chủ động phân bổ ngân sách tuân thủ.

Cụ thể, theo Nghị định 330/2026/NĐ-CP:

• Phạt tiền từ 20.000.000 VNĐ đến 30.000.000 VNĐ đối với hành vi: Bắt đầu xử lý dữ liệu nhưng không lập hồ sơ; Không gửi bản chính cho Cục A05 trong 60 ngày; Cố ý không hoàn thiện hồ sơ khi bị yêu cầu; Không cập nhật định kỳ 06 tháng hoặc không cập nhật trong 10 ngày khi có thay đổi trọng yếu.
• Phạt tiền từ 50.000.000 VNĐ đến 100.000.000 VNĐ đối với hành vi: Cố tình làm giả số liệu, cung cấp sai lệch thông tin trong Hồ sơ DPIA, hoặc từ chối chỉnh sửa khi có văn bản yêu cầu khắc phục.
• Biện pháp khắc phục hậu quả cực kỳ nghiêm khắc: Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ. Đối với một doanh nghiệp số, việc bị buộc dừng xử lý dữ liệu đồng nghĩa với việc hệ thống kinh doanh bị tê liệt hoàn toàn.

Ngoài nguy cơ bị xử phạt tài chính, việc hồ sơ không thống nhất với hoạt động thực tế còn có thể khiến doanh nghiệp mất uy tín nghiêm trọng với đối tác và khách hàng. Để hạn chế triệt để những vấn đề này, doanh nghiệp nên lựa chọn dịch vụ tư vấn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Luật DPO để được các chuyên gia pháp lý và an ninh mạng hỗ trợ rà soát toàn diện, đánh giá rủi ro chuẩn xác và hoàn thiện hồ sơ theo đúng quy định khắt khe của pháp luật.

Giải đáp các câu hỏi thường gặp về hồ sơ đánh giá tác động (FAQs)

Mẫu 02a và Mẫu 02b theo Nghị định 356/2025/NĐ-CP khác nhau ở điểm nào?

Mẫu số 02a là “Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân” dành riêng cho tổ chức, doanh nghiệp. Trong khi đó, Mẫu số 02b được thiết kế dành cho cá nhân (người nộp hồ sơ với tư cách cá nhân độc lập) gửi thông báo nộp báo cáo cho cơ quan chức năng.

Cơ quan nào có thẩm quyền tiếp nhận và đánh giá tài liệu này?

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trực thuộc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Cục A05) thuộc Bộ Công an là đơn vị duy nhất trên toàn quốc có thẩm quyền tiếp nhận, phân loại và tiến hành thẩm định tính hợp lệ của các bộ hồ sơ DPIA này.

Có thể thuê đơn vị bên ngoài thực hiện đánh giá rủi ro hệ thống không?

Hoàn toàn hợp pháp và được khuyến khích. Theo Điều 16 Nghị định 356/2025/NĐ-CP, doanh nghiệp được phép ký hợp đồng với “Tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân” chuyên nghiệp (như Luật DPO) để rà soát kiến trúc hệ thống, tư vấn tuân thủ và soạn thảo văn bản giải trình kỹ thuật Mẫu số 10.

Nếu báo cáo bị từ chối tiếp nhận thì doanh nghiệp cần làm gì?

Khi tài liệu chưa đầy đủ hoặc sai quy định, cơ quan chuyên trách sẽ có văn bản yêu cầu hoàn thiện. Doanh nghiệp có thời hạn tối đa 30 ngày để điều chỉnh sơ đồ luồng thông tin, bổ sung các biện pháp bảo vệ và nộp lại bản cập nhật chuẩn xác. Nếu cố tình không hoàn thiện sẽ bị phạt từ 20 – 30 triệu đồng.

Doanh nghiệp nước ngoài cung cấp nền tảng tại Việt Nam có phải làm thủ tục này không?

Bắt buộc. Theo Điều 2 Nghị định 356/2025/NĐ-CP, bất kỳ cơ quan, tổ chức, cá nhân nước ngoài nào trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam đều phải tuân thủ nghiêm ngặt thủ tục khai báo và lập báo cáo rủi ro Mẫu số 10, đồng thời phải đặt chi nhánh/văn phòng đại diện tại Việt Nam.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc xây dựng quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không chỉ là nghĩa vụ tuân thủ pháp luật khắt khe mà còn là minh chứng cho năng lực quản trị rủi ro và uy tín thương hiệu của doanh nghiệp trong kỷ nguyên số. Với phương châm “Đam mê và Danh dự”, kết hợp cùng chuyên môn sâu sắc về Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân, Công ty Luật TNHH DPO tự hào là đối tác chiến lược giúp doanh nghiệp tháo gỡ mọi vướng mắc pháp lý. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để nhận được giải pháp cá nhân hóa tối đa, bảo vệ an toàn tuyệt đối cho hệ thống dữ liệu của bạn.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các quy định pháp luật mới nhất (Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP). Để nhận được giải pháp pháp lý chính xác nhất cho từng mô hình hệ thống cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.