Trong bối cảnh Nghị định 356/2025/NĐ-CP chính thức có hiệu lực và thay thế các quy định cũ, việc tuân thủ quy định về bảo vệ dữ liệu không chỉ là vấn đề pháp lý mà còn là yếu tố sống còn đối với uy tín doanh nghiệp. Một trong những yêu cầu quan trọng và phức tạp nhất là việc lập Hồ sơ Đánh giá Tác động Dữ liệu cá nhân (DPIA).

Đối với các CEO và CISO, đây không đơn thuần là thủ tục hành chính mà là cơ hội để rà soát toàn diện kiến trúc dữ liệu và an ninh thông tin của tổ chức. Bài viết dưới đây sẽ cung cấp hướng dẫn làm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân qua 05 bước chuẩn hóa, tích hợp các yêu cầu kỹ thuật chuyên sâu.

Tại sao doanh nghiệp bắt buộc phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)?

Theo quy định pháp luật mới nhất, việc lập hồ sơ đánh giá tác động là bắt buộc để đảm bảo tính minh bạch và trách nhiệm giải trình. Hồ sơ này giúp doanh nghiệp nhận diện rủi ro, từ đó áp dụng các biện pháp kiểm soát phù hợp.

Đặc biệt, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an). Việc thiếu sót hồ sơ này có thể dẫn đến các chế tài xử phạt nghiêm khắc và gián đoạn hoạt động kinh doanh.

Quy trình 05 bước lập Hồ sơ Đánh giá Tác động Dữ liệu cá nhân

Bước 1: Xác định đối tượng và thời điểm lập hồ sơ

Bước đầu tiên trong hướng dẫn làm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là xác định rõ vai trò của doanh nghiệp trong chuỗi xử lý dữ liệu.

Đối tượng thực hiện

Căn cứ theo quy định, các chủ thể sau bắt buộc phải lập hồ sơ:

Bên Kiểm soát dữ liệu cá nhân.
Bên Kiểm soát và xử lý dữ liệu cá nhân.
Bên Xử lý dữ liệu cá nhân.

Thời điểm lập hồ sơ

Doanh nghiệp không được phép “làm bù” sau khi đã vận hành lâu dài mà không có đánh giá. Quy định nêu rõ: Bên kiểm soát và Bên xử lý phải lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân.

Bước 2: Chuẩn bị thành phần hồ sơ pháp lý và quản trị

Một bộ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hoàn chỉnh theo khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP bao gồm 03 thành phần tài liệu chính mà CEO cần chỉ đạo bộ phận Pháp chế và CISO phối hợp chuẩn bị:

Báo cáo đánh giá tác động xử lý dữ liệu cá nhân: Đây là tài liệu lõi, được lập theo Mẫu số 10 tại Phụ lục của Nghị định.
Hợp đồng hoặc thỏa thuận dữ liệu: Bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân. Tài liệu này phải thể hiện rõ sự ràng buộc và trách nhiệm pháp lý giữa các bên (Bên Kiểm soát, Bên Xử lý, Bên thứ ba…) trong hoạt động xử lý dữ liệu.
Tài liệu quản trị nội bộ: Bao gồm các chính sách, quy trình, quy định, biểu mẫu và các tài liệu liên quan khác về bảo vệ dữ liệu cá nhân của tổ chức.

Lưu ý cho CEO: Các tài liệu quản trị nội bộ không chỉ là văn bản giấy tờ mà phải phản ánh đúng quy trình vận hành thực tế (SOP) của doanh nghiệp.

Bước 3: Xây dựng Báo cáo đánh giá tác động (Mẫu số 10) – Trọng tâm kỹ thuật

Đây là bước quan trọng nhất trong hướng dẫn làm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đòi hỏi sự tham gia sâu của CISO để mô tả chính xác các biện pháp kỹ thuật. Nội dung báo cáo bao gồm:

1. Thông tin chung và Nhân sự

Thông tin liên lạc: Chi tiết về Bên Kiểm soát, Bên Xử lý, Bên thứ ba và các bên liên quan.
Thông tin nhân sự bảo vệ dữ liệu: Cung cấp chi tiết liên lạc của bộ phận hoặc nhân sự bảo vệ dữ liệu (DPO). Nếu thuê ngoài, cần cung cấp thông tin của tổ chức cung cấp dịch vụ bảo vệ dữ liệu.

2. Mô tả luồng dữ liệu và hoạt động xử lý

Doanh nghiệp cần mô tả và luận giải mục đích xử lý, loại dữ liệu cá nhân được xử lý, chi tiết các hoạt động xử lý và đặc biệt là sơ đồ luồng dữ liệu cá nhân.

Yêu cầu kỹ thuật: CISO cần xây dựng Data Flow Diagram (DFD) thể hiện rõ dữ liệu đi từ đâu (Input), qua các ứng dụng nào, lưu trữ tại đâu (Database/Cloud) và được chia sẻ ra sao.

3. Cơ chế tuân thủ

Mô tả và luận giải về việc thực hiện xin sự đồng ý của chủ thể dữ liệu, cùng với các chính sách lưu trữ, xóa, hủy dữ liệu cá nhân.

4. Biện pháp bảo vệ và Đánh giá rủi ro (Góc độ CISO)

Đây là phần CISO cần thể hiện năng lực bảo mật của hệ thống. Hồ sơ yêu cầu mô tả phương án bảo đảm an toàn, các biện pháp bảo vệ dữ liệu cá nhân, sơ đồ thiết kế hệ thống và tiêu chuẩn bảo vệ dữ liệu được áp dụng.

Các biện pháp kỹ thuật cần được tham chiếu theo các tiêu chuẩn an ninh mạng (như TCVN 14423:2025) bao gồm:

Mã hóa dữ liệu (Encryption): Mô tả việc mã hoá dữ liệu quan trọng được lưu trữ trong các tài sản phần cứng và phần mềm, cũng như quản lý vòng đời khóa mã hóa.
+1
Quản lý định danh và truy cập (IAM): Mô tả quy trình quản lý tài khoản, bao gồm tài khoản quản trị và tài khoản tác nghiệp. Áp dụng xác thực đa nhân tố (MFA) cho truy cập từ xa hoặc tài khoản quản trị.
Quản lý nhật ký (Logging): Hệ thống phải thu thập tối thiểu các loại nhật ký: truy cập hệ thống, tiến trình hoạt động, ứng dụng và cảnh báo bảo mật. Thời gian lưu trữ nhật ký tối thiểu là 12 tháng.
+1
Sao lưu và khôi phục (Backup & Recovery): Chi tiết hóa tần suất sao lưu và phương pháp sao lưu tương ứng với từng loại dữ liệu.
Phân vùng mạng: Mô tả sơ đồ kiến trúc mạng an toàn, đảm bảo nguyên tắc phân vùng mạng (DMZ, vùng máy chủ, vùng nội bộ…).
+1

Cuối cùng, báo cáo phải bao gồm kết quả đánh giá tuân thủ quy định, đánh giá mức độ ảnh hưởng, rủi ro, hậu quả thiệt hại không mong muốn và các biện pháp giảm thiểu.

Bước 4: Nộp hồ sơ và quy trình thẩm định

Sau khi hoàn thiện, doanh nghiệp cần thực hiện nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định nghiêm ngặt về thời gian và địa điểm.

Thời hạn nộp: Hồ sơ phải được gửi đi trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
Hình thức nộp: Doanh nghiệp có thể lựa chọn nộp 01 bản chính qua các hình thức: Trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính.
Nơi nhận: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an).

Quy trình xử lý của cơ quan chức năng:

Cơ quan chuyên trách sẽ đánh giá và trả kết quả (Đạt/Không đạt) trong thời hạn 15 ngày.
Nếu hồ sơ chưa đầy đủ và đúng quy định, doanh nghiệp sẽ được yêu cầu hoàn thiện trong thời hạn 30 ngày. Lưu ý quan trọng: Nếu không thực hiện hoàn thiện hồ sơ theo đúng quy định, doanh nghiệp sẽ bị xem xét áp dụng các quy định về xử phạt vi phạm hành chính.

Bước 5: Cập nhật và duy trì hồ sơ (Vòng đời hồ sơ)

Hồ sơ DPIA không phải là tài liệu “làm một lần rồi thôi”. Theo Điều 20 Nghị định 356, doanh nghiệp có trách nhiệm cập nhật hồ sơ trong suốt quá trình hoạt động.

Cập nhật định kỳ (06 tháng)

Doanh nghiệp phải cập nhật hồ sơ định kỳ 06 tháng kể từ lần đầu nộp hồ sơ nếu rơi vào các trường hợp sau:

Phát sinh mục đích xử lý dữ liệu cá nhân mới.
Phát sinh hoặc thay đổi Bên Kiểm soát, Bên Xử lý hoặc Bên thứ ba.

Cập nhật ngay lập tức (Trong 10 ngày)

Có những thay đổi trọng yếu yêu cầu doanh nghiệp phải cập nhật hồ sơ ngay trong thời hạn 10 ngày:

Khi tổ chức được tổ chức lại, giải thể, chấm dứt hoạt động.
Khi có sự thay đổi thông tin về đơn vị/nhân sự cung cấp dịch vụ bảo vệ dữ liệu.
Khi thay đổi ngành nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký.

Việc cập nhật được thực hiện theo Mẫu số 03a (dành cho tổ chức) hoặc Mẫu số 03b (dành cho cá nhân).

Các biểu mẫu áp dụng cần lưu ý

Để đảm bảo hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hợp lệ, doanh nghiệp cần sử dụng đúng các biểu mẫu ban hành kèm theo Nghị định:

Mẫu số 10: Báo cáo đánh giá tác động xử lý dữ liệu cá nhân.
Mẫu số 02a: Thông báo gửi hồ sơ (Dành cho Tổ chức).
Mẫu số 02b: Thông báo gửi hồ sơ (Dành cho Cá nhân).
Mẫu số 03a/03b: Thông báo cập nhật hồ sơ.

Kết luận

Việc chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Nghị định 356 là một quá trình phức tạp đòi hỏi sự phối hợp chặt chẽ giữa pháp lý và công nghệ. Đối với CEO và CISO, đây là cơ hội để kiện toàn hệ thống bảo mật, áp dụng các tiêu chuẩn kỹ thuật cao như mã hóa, quản lý nhật ký tập trung và phân vùng mạng để bảo vệ tài sản số của doanh nghiệp. Tuân thủ đúng quy trình 05 bước nêu trên sẽ giúp doanh nghiệp không chỉ tránh được rủi ro pháp lý mà còn nâng cao uy tín trong kỷ nguyên số.