Sự ra đời của Nghị định 356 đánh dấu một cột mốc quan trọng trong việc thiết lập hành lang pháp lý vững chắc cho công tác bảo vệ quyền riêng tư tại Việt Nam. Theo quy định mới, mọi hoạt động tác động tới thông tin người dùng từ thu thập, phân tích cho đến chia sẻ hay tiêu hủy đều được định nghĩa rõ ràng là quá trình xử lý dữ liệu cá nhân. Các doanh nghiệp hiện nay dù lớn hay nhỏ đều phải đối mặt với một nhiệm vụ pháp lý vô cùng phức tạp là lập và duy trì các bộ hồ sơ đánh giá tác động chuyên sâu. Việc chậm trễ hoặc lơ là trong khâu chuẩn bị các thủ tục hành chính này sẽ trực tiếp đẩy tổ chức vào nguy cơ đối mặt với những án phạt hành chính vô cùng nghiêm khắc từ cơ quan quản lý nhà nước.
Theo đó, xử lý dữ liệu cá nhân được hiểu là một hoặc nhiều hoạt động tác động tới dữ liệu cá nhân, như: thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy dữ liệu cá nhân hoặc các hành động khác có liên quan.
Nội dung
Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân như thế nào?
(1) Đối với doanh nghiệp là Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thực hiện lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân đối với các nội dung sau:
– Thông tin và chi tiết liên lạc của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;
– Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân và nhân viên bảo vệ dữ liệu cá nhân của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;
– Mục đích xử lý dữ liệu cá nhân;
– Các loại dữ liệu cá nhân được xử lý;
– Tổ chức, cá nhân nhận dữ liệu cá nhân, bao gồm tổ chức, cá nhân ngoài lãnh thổ Việt Nam;
– Trường hợp chuyển dữ liệu cá nhân ra nước ngoài;
– Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xóa, hủy dữ liệu cá nhân (nếu có);
– Mô tả về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng;
– Đánh giá mức độ ảnh hưởng của việc xử lý dữ liệu cá nhân; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó.
(2) Đối với doanh nghiệp là Bên Xử lý dữ liệu cá nhân tiến hành lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân, hồ sơ bao gồm:
– Thông tin và chi tiết liên lạc của Bên Xử lý dữ liệu cá nhân;
– Họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện xử lý dữ liệu cá nhân và nhân viên thực hiện xử lý dữ liệu cá nhân của Bên Xử lý dữ liệu cá nhân;
– Mô tả các hoạt động xử lý và các loại dữ liệu cá nhân được xử lý theo hợp đồng với Bên Kiểm soát dữ liệu cá nhân;
– Thời gian xử lý dữ liệu cá nhân; thời gian dự kiến để xóa, hủy dữ liệu cá nhân (nếu có);
– Trường hợp chuyển dữ liệu cá nhân ra nước ngoài;
– Mô tả chung về các biện pháp bảo vệ dữ liệu cá nhân được áp dụng;
– Hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó.
Thành phần Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân:
| STT | THÀNH PHẦN HỒ SƠ | SỐ LƯỢNG |
| 1 | Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhânMẫu 02a đối với tổ chức.Mẫu 02b đối với cá nhân. | 01 bản chính |
| 2 | Hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân được lập dựa trên vai trò của Tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân đều sử dụng Mẫu số 10 ban hành kèm Nghị định Hướng dẫn Luật Bảo vệ dữ liệu cá nhân số 356/2025/NĐ-CP | 01 bản chính |
| 3 | Giấy chứng nhận đăng ký doanh nghiệp (đối với chủ hồ sơ tổ chức)Căn cước công dân, chứng minh nhân dân, hộ chiếu (đối với chủ hồ sơ là cá nhân hoặc người được ủy quyền đi nộp) | 01 bản sao |
| 4 | Quyết định hoặc giấy tờ liên quan đến phân công của bộ phận phụ trách bảo vệ dữ liệu cá nhân của chủ hồ sơ | 01 bản sao |
| 5 | Hợp đồng hoặc văn bản liên quan đến thỏa thuận liên quan xử lý dữ liệu cá nhân với các bên (nếu có) | 01 bản sao |
| 6 | Biểu mẫu hợp đồng thể hiện sự đồng ý của chủ thể dữ liệu | 01 bản sao |
| 7 | Giấy tờ khác (các tài liệu yêu cầu trong hồ sơ mục (2)Các phụ lục bảng biểu tính toán chi phí, lợi ích của các giải pháp | 01 bản sao |
Quy trình lập và gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
Quy trình lập và gửi Hồ sơ Đánh giá Tác động Xử lý Dữ liệu Cá nhân được thực hiện trong 04 bước đơn giản. Đây là yêu cầu bắt buộc đối với các tổ chức, cá nhân có hoạt động xử lý dữ liệu cá nhân theo quy định tại Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định Hướng dẫn Luật Bảo vệ dữ liệu cá nhân số 356/2025/NĐ-CP.
Bước 1: Tải Mẫu và Truy cập Cổng thông tin
Đầu tiên, tổ chức, cá nhân cần chuẩn bị biểu mẫu chính thức. Bạn có thể thực hiện theo một trong các cách sau:
- Truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
- Truy cập Cổng dịch vụ công quốc gia.
Tải trực tiếp Mẫu số 02a (Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân) ban hành kèm theo Nghị định Hướng dẫn Luật Bảo vệ dữ liệu cá nhân số 356/2025/NĐ-CP)
Bước 2: Kê khai thông tin vào Hồ sơ
Sau khi có biểu mẫu, bạn cần điền đầy đủ và chính xác các thông tin được yêu cầu. Nội dung kê khai phải tuân thủ quy định tại Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, cụ thể:
- Đối với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân: Kê khai theo khoản 1, Điều 21 Luật Bảo vệ dữ liệu cá nhân.
- Đối với Bên Xử lý dữ liệu cá nhân: Kê khai theo khoản 3, Điều 21 Luật Bảo vệ dữ liệu cá nhân.
Bước 3: Nộp Hồ sơ đến Bộ Công an
Khi đã hoàn tất việc kê khai, bạn tiến hành nộp hồ sơ. Có hai hình thức nộp:
- Nộp trực tuyến: Gửi hồ sơ trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
- Nộp trực tiếp/qua bưu điện: Gửi 01 bộ hồ sơ giấy (kèm các thông tin liên quan) đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.
Hồ sơ cần được gửi đến Cục A05 trong vòng 60 ngày kể từ ngày bắt đầu xử lý dữ liệu cá nhân.
Bước 4: Tiếp nhận phản hồi và Hoàn thiện Hồ sơ
Sau khi tiếp nhận, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao A05 sẽ:
- Phản hồi thông tin về kết quả: Thông báo kết quả lập hồ sơ của bạn.
- Yêu cầu bổ sung (nếu có): Trong trường hợp hồ sơ chưa đầy đủ hoặc chưa đúng quy định, Cục A05 – Bộ Công an phản hồi thông tin về đánh giá và gửi yêu cầu để bạn hoàn thiện lại hồ sơ. Tổ chức, cá nhân có trách nhiệm cập nhật, bổ sung và gửi lại hồ sơ đã hoàn chỉnh.
Lưu ý: Thời gian tiếp nhận thông báo: Giờ hành chính các ngày làm việc từ thứ 2 đến thứ 6 (trừ các ngày nghỉ lễ, tết theo quy định)
Bộ giải pháp Masterkit Tuân thủ Pháp lý Dữ liệu Việt Nam
Để tháo gỡ vướng mắc trong khâu chuẩn bị hồ sơ thủ tục hành chính, 405CYSE giới thiệu bộ giải pháp Masterkit Tuân thủ Pháp lý Dữ liệu Việt Nam. Sản phẩm này mang đến một hệ thống biểu mẫu đánh giá tác động được các chuyên gia pháp chế biên soạn sẵn nhằm giúp doanh nghiệp đáp ứng lập tức mọi yêu cầu khắt khe của Nghị định 356. Việc ứng dụng bộ Masterkit sẽ giúp ban quản trị tiết kiệm đến tám mươi phần trăm thời gian soạn thảo văn bản và luôn trong tâm thế sẵn sàng đón tiếp các đợt thanh tra đột xuất. Giải pháp chuyên nghiệp này chính là chiếc chìa khóa vàng giúp tổ chức hoàn thiện hệ thống quản trị nội bộ mà không cần phải tiêu tốn ngân sách thuê mướn nhân sự pháp chế đắt đỏ.
Việc nghiêm túc thực hiện các thủ tục đánh giá tác động xử lý dữ liệu giờ đây đã trở thành một nền tảng pháp lý sống còn để mọi tổ chức kinh doanh tự do hoạt động trên không gian số. Sự chủ quan hay chần chừ trong công tác chuẩn bị hồ sơ sẽ trực tiếp tước đi cơ hội phát triển của doanh nghiệp và đẩy họ vào những cuộc khủng hoảng truyền thông vô cùng tàn khốc. Ban lãnh đạo tuyệt đối không được phép xem nhẹ các quy định của pháp luật mà phải lập tức rà soát lại toàn bộ quy trình thu thập thông tin khách hàng đang được áp dụng. Quyết định đầu tư vào các bộ giải pháp chuẩn hóa thủ tục ngay từ hôm nay sẽ mang lại một lợi thế cạnh tranh vượt trội, giúp tổ chức vững bước vươn lên trong một môi trường kinh doanh an toàn.
Câu hỏi thường gặp về đánh giá tác động xử lý dữ liệu cá nhân (DPIA)
1. DPIA có bắt buộc không?
Có. Theo quy định tại Nghị định 356/2025/NĐ-CP, doanh nghiệp là Bên Kiểm soát dữ liệu cá nhân hoặc Bên Xử lý dữ liệu cá nhân bắt buộc phải lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân kể từ thời điểm bắt đầu xử lý dữ liệu.
Nói cách khác: chỉ cần doanh nghiệp có thu thập và xử lý dữ liệu cá nhân thì gần như không thể tránh DPIA.
2. Không làm DPIA có bị phạt không?
Có. Việc không lập hoặc không cung cấp hồ sơ DPIA khi được yêu cầu có thể dẫn đến:
- Xử phạt vi phạm hành chính
- Bị yêu cầu tạm dừng hoạt động xử lý dữ liệu
- Tăng rủi ro pháp lý nếu xảy ra sự cố rò rỉ dữ liệu
Quan trọng hơn: khi có sự cố, doanh nghiệp không có cơ sở chứng minh đã kiểm soát rủi ro.
3. Doanh nghiệp nhỏ có cần làm DPIA không?
Có. Pháp luật không phân biệt quy mô doanh nghiệp. Chỉ cần: có dữ liệu khách hàng, có dữ liệu nhân sự, có hoạt động marketing (thu thập email, số điện thoại…) → thì đều thuộc phạm vi phải thực hiện DPIA.
Thực tế, doanh nghiệp nhỏ lại dễ rò rỉ dữ liệu hơn do thiếu kiểm soát và quy trình.
