Các bước lập hồ sơ TIA theo Luật Bảo vệ dữ liệu cá nhân 2025

Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP có hiệu lực chính thức vào 1/1/2026, hoạt động chuyển dữ liệu cá nhân ra nước ngoài không chỉ đòi hỏi doanh nghiệp áp dụng các biện pháp bảo mật phù hợp mà còn phải đáp ứng các nghĩa vụ về hồ sơ và đánh giá rủi ro theo quy định. Trong đó, TIA (Data Transfer Impact Assessment), Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài là một trong những tài liệu quan trọng mà nhiều doanh nghiệp phải thực hiện trước hoặc trong quá trình chuyển dữ liệu.

Thực tế cho thấy, không ít doanh nghiệp đang sử dụng dịch vụ điện toán đám mây, phần mềm SaaS, nền tảng quản lý khách hàng (CRM), hệ thống email hay các công cụ AI có máy chủ đặt tại nước ngoài mà chưa xác định liệu mình có thuộc trường hợp phải lập hồ sơ TIA hay không. Việc thiếu hồ sơ hoặc lập hồ sơ không đầy đủ có thể khiến doanh nghiệp gặp rủi ro khi cơ quan quản lý tiến hành thanh tra, kiểm tra hoặc yêu cầu giải trình.

Vậy các bước lập hồ sơ TIA gồm những gì? Doanh nghiệp cần chuẩn bị những thông tin nào và triển khai theo trình tự ra sao để vừa đáp ứng yêu cầu pháp lý, vừa hạn chế rủi ro trong hoạt động chuyển dữ liệu? Bài viết dưới đây sẽ hướng dẫn chi tiết quy trình 7 bước theo hướng thực tiễn, giúp doanh nghiệp dễ dàng áp dụng.

Hồ sơ TIA là gì?

Hồ sơ Đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (TIA) là tài liệu phân tích và đánh giá các rủi ro tiềm ẩn trong quá trình chuyển dữ liệu cá nhân (DLCN) ra khỏi lãnh thổ Việt Nam, nhằm áp dụng các biện pháp giảm thiểu rủi ro và bảo vệ dữ liệu phù hợp.

Theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật BVDLCN 2025), chuyển DLCN xuyên biên giới bao gồm ba nhóm trường hợp: chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống ngoài lãnh thổ; cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức hoặc cá nhân nước ngoài; và sử dụng nền tảng ngoài lãnh thổ để xử lý DLCN thu thập tại Việt Nam.

Điều quan trọng cần hiểu là hồ sơ TIA không đơn thuần là thủ tục hành chính. Đây còn là công cụ để doanh nghiệp tự đánh giá và chứng minh rằng hoạt động chuyển dữ liệu của mình tuân thủ pháp luật, không lạm dụng hoặc gây tổn hại đến an ninh quốc gia và quyền lợi của chủ thể dữ liệu.

Khi nào doanh nghiệp phải lập hồ sơ TIA?

Không phải mọi doanh nghiệp đều phải lập hồ sơ TIA. Tuy nhiên, nếu trong hoạt động kinh doanh có phát sinh việc chuyển dữ liệu cá nhân ra nước ngoài dưới bất kỳ hình thức nào, doanh nghiệp cần xem xét nghĩa vụ này.

Một số trường hợp phổ biến gồm:

• Hoạt động chuyển dữ liệu của các cơ quan nhà nước có thẩm quyền.
• Tổ chức lưu trữ dữ liệu cá nhân của người lao động trên dịch vụ điện toán đám mây (như các hệ thống lưu trữ đám mây dùng chung trong nội bộ).
• Chủ thể dữ liệu cá nhân tự chuyển dữ liệu của chính mình ra nước ngoài.
• Chuyển dữ liệu phục vụ hoạt động báo chí, truyền thông theo quy định pháp luật.
• Chuyển dữ liệu trong tình huống khẩn cấp nhằm bảo vệ tính mạng, sức khỏe của cá nhân.
• Chuyển dữ liệu để ký kết hợp đồng hoặc thực hiện các dịch vụ như vận chuyển xuyên biên giới, trung gian thanh toán, đặt phòng khách sạn, làm thủ tục thị thực hoặc học bổng.
• Hoạt động quản lý nhân sự xuyên biên giới được quy định trong thỏa ước lao động tập thể hoặc nội quy lao động của doanh nghiệp.

Điểm cần lưu ý là “chuyển dữ liệu ra nước ngoài” không chỉ là hành vi gửi một tập tin dữ liệu từ Việt Nam sang quốc gia khác. Trong nhiều trường hợp, việc dữ liệu được lưu trữ hoặc xử lý trên máy chủ đặt ở nước ngoài cũng có thể được xem là hoạt động chuyển dữ liệu và cần được đánh giá theo quy định.

Quy trình lập hồ sơ TIA gồm 7 bước

Để bảo đảm việc chuyển dữ liệu cá nhân ra nước ngoài đáp ứng yêu cầu pháp luật, doanh nghiệp nên thực hiện lập hồ sơ TIA theo trình tự sau:

Xác định luồng dữ liệu → Phân loại dữ liệu → Xác định cơ chế chuyển hợp pháp → Đánh giá mức độ bảo vệ của nước nhận → Xác định biện pháp bổ sung → Lập hồ sơ TIA → Nộp cơ quan nhà nước (nếu thuộc trường hợp phải thực hiện).

Việc thực hiện đầy đủ từng bước sẽ giúp doanh nghiệp xây dựng hồ sơ có tính logic, hạn chế phải sửa đổi hoặc bổ sung trong quá trình kiểm tra, thanh tra.

Bước 1: Xác định luồng dữ liệu chuyển ra nước ngoài

Đây là nền tảng của toàn bộ quá trình lập hồ sơ TIA.

Doanh nghiệp cần xác định rõ dữ liệu cá nhân đang được chuyển đi đâu, bằng hình thức nào và phục vụ mục đích gì. Nhiều doanh nghiệp chỉ tập trung vào các hoạt động chuyển dữ liệu trực tiếp mà bỏ sót các luồng dữ liệu phát sinh thông qua phần mềm hoặc dịch vụ của bên thứ ba.

Ở bước này, doanh nghiệp nên lập bản đồ luồng dữ liệu (Data Flow Mapping), thể hiện đầy đủ:

• Nguồn phát sinh dữ liệu.
• Loại dữ liệu được chuyển.
• Đơn vị tiếp nhận dữ liệu.
• Quốc gia tiếp nhận.
• Phương thức truyền dữ liệu.
• Mục đích chuyển dữ liệu.
• Thời gian lưu trữ và xử lý.

Ví dụ, một doanh nghiệp tại Việt Nam sử dụng hệ thống CRM có máy chủ tại Singapore để lưu trữ thông tin khách hàng. Trong trường hợp này, dữ liệu cá nhân của khách hàng được chuyển từ Việt Nam sang Singapore thông qua nền tảng CRM. Đây chính là luồng dữ liệu cần được đưa vào hồ sơ TIA.

Việc xác định đầy đủ các luồng dữ liệu giúp doanh nghiệp không bỏ sót những hoạt động chuyển dữ liệu đang diễn ra trong thực tế, đặc biệt khi sử dụng nhiều dịch vụ công nghệ khác nhau.

Bước 2: Phân loại dữ liệu được chuyển

Sau khi xác định được luồng dữ liệu, doanh nghiệp cần phân loại dữ liệu theo mức độ nhạy cảm.

Thông thường, dữ liệu sẽ được chia thành hai nhóm chính:

Dữ liệu cá nhân thông thường là các thông tin định danh hoặc thông tin phục vụ giao dịch như họ tên, số điện thoại, địa chỉ email, địa chỉ liên hệ hoặc thông tin tài khoản khách hàng.

Trong khi đó, dữ liệu cá nhân nhạy cảm bao gồm những thông tin có mức độ riêng tư cao hơn, nếu bị lộ hoặc sử dụng sai mục đích có thể ảnh hưởng nghiêm trọng đến quyền và lợi ích của chủ thể dữ liệu. Việc xử lý hoặc chuyển loại dữ liệu này thường đòi hỏi các biện pháp bảo vệ chặt chẽ hơn.

Việc phân loại dữ liệu không chỉ phục vụ mục đích lập hồ sơ TIA mà còn là căn cứ để doanh nghiệp xác định mức độ rủi ro cũng như các biện pháp bảo mật cần áp dụng ở các bước tiếp theo.

Ngoài ra, doanh nghiệp cũng nên thống kê số lượng bản ghi dữ liệu, nhóm đối tượng bị ảnh hưởng và tần suất chuyển dữ liệu. Những thông tin này sẽ giúp việc đánh giá tác động trở nên chính xác và toàn diện hơn.

Bước 3: Xác định cơ chế chuyển dữ liệu hợp pháp

Không phải mọi hoạt động chuyển dữ liệu ra nước ngoài đều được thực hiện theo cùng một cơ chế. Vì vậy, doanh nghiệp cần xác định rõ căn cứ pháp lý và cơ chế chuyển dữ liệu đang áp dụng.

Ở bước này, doanh nghiệp cần trả lời các câu hỏi như:

• Việc chuyển dữ liệu được thực hiện giữa các công ty trong cùng tập đoàn hay với bên thứ ba?
• Đơn vị tiếp nhận dữ liệu có vai trò gì trong hoạt động xử lý dữ liệu?
• Các bên đã có thỏa thuận hoặc hợp đồng quy định trách nhiệm bảo vệ dữ liệu hay chưa?
• Hoạt động chuyển dữ liệu có phù hợp với mục đích thu thập dữ liệu ban đầu không?

Việc xác định đúng cơ chế chuyển dữ liệu sẽ giúp doanh nghiệp xây dựng hồ sơ TIA thống nhất với thực tế vận hành và hạn chế rủi ro pháp lý trong quá trình thực hiện.

Bước 4: Đánh giá mức độ bảo vệ dữ liệu của quốc gia tiếp nhận

Đây là bước mà nhiều doanh nghiệp thường bỏ qua nhưng lại có ý nghĩa quan trọng trong hồ sơ TIA.

Không phải quốc gia nào cũng có cùng mức độ bảo vệ dữ liệu cá nhân. Do đó, doanh nghiệp cần đánh giá môi trường pháp lý tại nơi dữ liệu sẽ được chuyển đến, bao gồm:

• Hệ thống pháp luật về bảo vệ dữ liệu cá nhân.
• Khả năng thực thi của cơ quan quản lý.
• Quyền của chủ thể dữ liệu tại quốc gia tiếp nhận.
• Nghĩa vụ của đơn vị xử lý dữ liệu.
• Nguy cơ dữ liệu bị truy cập trái phép hoặc bị yêu cầu cung cấp bởi cơ quan có thẩm quyền.

Kết quả đánh giá sẽ là cơ sở để doanh nghiệp xác định liệu có cần áp dụng thêm các biện pháp bảo vệ bổ sung hay không.

Ví dụ, nếu dữ liệu được chuyển đến quốc gia có quy định bảo vệ dữ liệu tương đương hoặc cao hơn Việt Nam, mức độ rủi ro có thể thấp hơn so với trường hợp dữ liệu được chuyển đến nơi chưa có khung pháp lý rõ ràng về bảo vệ dữ liệu cá nhân.

Bước 5: Xác định các biện pháp bảo vệ bổ sung

Sau khi đánh giá mức độ bảo vệ dữ liệu tại quốc gia tiếp nhận, doanh nghiệp cần xác định liệu các biện pháp bảo mật hiện có đã đủ để giảm thiểu rủi ro hay chưa. Nếu kết quả đánh giá cho thấy vẫn còn những khoảng trống về pháp lý hoặc kỹ thuật, doanh nghiệp cần bổ sung các biện pháp bảo vệ phù hợp trước khi thực hiện việc chuyển dữ liệu.

Các biện pháp bổ sung có thể được triển khai trên nhiều phương diện, bao gồm kỹ thuật, quản trị và pháp lý. Chẳng hạn, doanh nghiệp có thể áp dụng mã hóa dữ liệu trong quá trình truyền và lưu trữ, kiểm soát quyền truy cập theo nguyên tắc phân quyền tối thiểu, xác thực đa yếu tố (MFA), ghi nhật ký truy cập (log), hoặc thiết lập cơ chế giám sát nhằm phát hiện kịp thời các hành vi truy cập bất thường.

Bên cạnh các giải pháp kỹ thuật, doanh nghiệp cũng cần rà soát các thỏa thuận với đối tác tiếp nhận dữ liệu. Hợp đồng nên quy định rõ phạm vi xử lý dữ liệu, trách nhiệm của các bên, biện pháp bảo vệ dữ liệu, quy trình xử lý sự cố và cơ chế phối hợp khi phát sinh yêu cầu từ cơ quan quản lý hoặc chủ thể dữ liệu.

Trong nhiều trường hợp, việc bổ sung các chính sách nội bộ, đào tạo nhân sự và thiết lập quy trình quản lý dữ liệu cũng là yếu tố quan trọng giúp giảm thiểu rủi ro khi chuyển dữ liệu cá nhân ra nước ngoài.

Điểm mấu chốt của bước này là doanh nghiệp cần chứng minh rằng các rủi ro đã được nhận diện và có biện pháp kiểm soát tương ứng, thay vì chỉ liệt kê các giải pháp bảo mật đang sử dụng.

Bước 6: Lập hồ sơ TIA

Sau khi hoàn thành việc đánh giá, doanh nghiệp sẽ tổng hợp toàn bộ kết quả để xây dựng hồ sơ TIA.

Đây là bước chuyển từ quá trình đánh giá sang việc lập tài liệu chính thức nhằm chứng minh hoạt động chuyển dữ liệu đã được xem xét đầy đủ về mặt pháp lý, kỹ thuật và quản trị. Một hồ sơ TIA được xây dựng bài bản cũng giúp doanh nghiệp dễ dàng giải trình khi cơ quan có thẩm quyền yêu cầu.

Thông thường, hồ sơ TIA nên phản ánh đầy đủ các nội dung sau:

• Thông tin về doanh nghiệp và đơn vị tiếp nhận dữ liệu.
• Mô tả hoạt động chuyển dữ liệu cá nhân ra nước ngoài.
• Mục đích và phạm vi chuyển dữ liệu.
• Loại dữ liệu được chuyển và đối tượng dữ liệu bị ảnh hưởng.
• Quốc gia hoặc vùng lãnh thổ tiếp nhận dữ liệu.
• Kết quả đánh giá mức độ bảo vệ dữ liệu tại quốc gia tiếp nhận.
• Phân tích các rủi ro có thể phát sinh.
• Các biện pháp bảo vệ đã và sẽ được áp dụng.
• Kết luận về mức độ an toàn của hoạt động chuyển dữ liệu.

Khi xây dựng hồ sơ, doanh nghiệp cần bảo đảm tính thống nhất giữa các thông tin mô tả hệ thống, quy trình xử lý dữ liệu và thực tế vận hành. Việc sử dụng các biểu mẫu cũ, mô tả chung chung hoặc sao chép hồ sơ của đơn vị khác là một trong những nguyên nhân phổ biến khiến hồ sơ không đáp ứng yêu cầu khi được kiểm tra.

Ngoài ra, hồ sơ TIA không phải là tài liệu được lập một lần rồi sử dụng vĩnh viễn. Khi có sự thay đổi về mục đích xử lý, loại dữ liệu, đối tác tiếp nhận, quốc gia tiếp nhận hoặc hạ tầng công nghệ, doanh nghiệp cần rà soát và cập nhật lại hồ sơ để phản ánh đúng thực tế.

Bước 7: Nộp hồ sơ cho cơ quan nhà nước (nếu thuộc trường hợp phải thực hiện)

Sau khi hoàn thiện hồ sơ, doanh nghiệp cần xác định nghĩa vụ nộp hồ sơ TIA theo quy định của pháp luật.

Không phải mọi trường hợp chuyển dữ liệu cá nhân ra nước ngoài đều có quy trình xử lý giống nhau. Tùy thuộc vào tính chất hoạt động, loại dữ liệu được chuyển và các yêu cầu pháp lý hiện hành, doanh nghiệp có thể phải thực hiện nghĩa vụ gửi hoặc cung cấp hồ sơ cho cơ quan nhà nước có thẩm quyền theo quy định.

Trước khi nộp hồ sơ, doanh nghiệp nên kiểm tra kỹ các nội dung sau:

• Hồ sơ đã được ký, đóng dấu (nếu có) và đầy đủ thành phần theo quy định.
• Thông tin trong hồ sơ thống nhất với thực tế hoạt động.
• Các tài liệu chứng minh và phụ lục đã được đính kèm đầy đủ.
• Các biện pháp bảo vệ dữ liệu được mô tả rõ ràng và có căn cứ.

Việc chuẩn bị hồ sơ TIA cẩn thận ngay từ đầu sẽ giúp doanh nghiệp hạn chế nguy cơ phải sửa đổi, bổ sung hoặc giải trình nhiều lần.

Một số lưu ý khi xây dựng hồ sơ TIA

Để việc lập hồ sơ TIA đạt hiệu quả và phù hợp với yêu cầu tuân thủ, doanh nghiệp nên triển khai theo hướng quản trị rủi ro thay vì chỉ hoàn thành một thủ tục hành chính.

Trước hết, doanh nghiệp cần phối hợp giữa nhiều bộ phận như pháp chế, công nghệ thông tin, an toàn thông tin, quản trị dữ liệu và các đơn vị nghiệp vụ. Mỗi bộ phận đều nắm giữ những thông tin quan trọng giúp việc đánh giá trở nên đầy đủ và chính xác hơn.

Bên cạnh đó, hồ sơ TIA nên được thực hiện song song với quá trình rà soát hoạt động xử lý dữ liệu cá nhân và xây dựng hồ sơ DPIA. Việc kết hợp hai loại hồ sơ giúp doanh nghiệp tránh trùng lặp thông tin, tiết kiệm thời gian triển khai và xây dựng được một hệ thống tài liệu tuân thủ thống nhất.

Doanh nghiệp cũng cần định kỳ rà soát hồ sơ TIA khi có sự thay đổi về đối tác cung cấp dịch vụ, hạ tầng công nghệ, quy trình xử lý dữ liệu hoặc phạm vi chuyển dữ liệu. Việc cập nhật thường xuyên sẽ giúp hồ sơ TIA luôn phản ánh đúng thực trạng và sẵn sàng phục vụ công tác thanh tra, kiểm tra khi cần thiết.

Xem thêm: Hồ sơ TIA và những lưu ý khi chuyển dữ liệu cá nhân xuyên biên giới

Dịch vụ Hỗ trợ triển khai Bảo vệ dữ liệu cá nhân 

Để giải quyết triệt để các rủi ro pháp lý và tối ưu hóa quy trình luân chuyển thông tin quốc tế, dịch vụ của 405CYSE mang đến một lộ trình chuẩn hóa chuyên sâu, tập trung hoàn toàn vào việc xây dựng hồ sơ chuyển dữ liệu cá nhân xuyên biên giới (hồ sơ TIA).

Lộ trình được bắt đầu bằng việc rà soát và đánh giá toàn diện toàn bộ luồng dữ liệu, cách thức lưu trữ và quy trình chuyển giao thông tin ra nước ngoài hiện tại của doanh nghiệp, từ đó chỉ ra các khoảng trống pháp lý so với các quy định hiện hành. Song song đó, chúng tôi sẽ tư vấn xây dựng hệ thống tài liệu, quy trình nội bộ và các chính sách bảo mật nghiêm ngặt nhằm kiểm soát chặt chẽ hoạt động chuyển dữ liệu quốc tế này.

Đặc biệt, nhằm giúp doanh nghiệp hoàn thiện các thủ tục hành chính bắt buộc với cơ quan chức năng, đội ngũ chuyên gia sẽ trực tiếp tư vấn, góp ý và xây dựng bộ hồ sơ then chốt là Báo cáo đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 09.

Không dừng lại ở góc độ giấy tờ pháp lý, dịch vụ còn đi sâu vào việc nghiên cứu, đề xuất và lựa chọn các phương án kỹ thuật cùng giải pháp công nghệ mã hóa, bảo mật đường truyền phù hợp với nguồn lực và năng lực vận hành thực tế, đảm bảo tính khả thi cao nhất cho tổ chức khi dữ liệu ra khỏi biên giới Việt Nam.

Cuối cùng, để hệ thống quản lý luồng dữ liệu xuyên biên giới được vận hành một cách thực chất và bền vững, chúng tôi triển khai hoạt động đào tạo chuyên sâu với thời lượng 8 giờ, giúp nâng cao nhận thức, năng lực giám sát và phòng ngừa rủi ro quốc tế cho bộ phận DPO (Nhân sự bảo vệ dữ liệu) của doanh nghiệp.

Việc lập hồ sơ TIA không chỉ nhằm đáp ứng yêu cầu của Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, mà còn là cơ sở để doanh nghiệp quản trị rủi ro trong hoạt động chuyển dữ liệu cá nhân ra nước ngoài.

Một quy trình bài bản cần bắt đầu từ việc xác định chính xác luồng dữ liệu, phân loại dữ liệu, lựa chọn cơ chế chuyển phù hợp, đánh giá mức độ bảo vệ của quốc gia tiếp nhận, triển khai các biện pháp bảo vệ bổ sung và xây dựng hồ sơ đầy đủ trước khi thực hiện các nghĩa vụ với cơ quan nhà nước theo quy định.

Trong bối cảnh doanh nghiệp ngày càng sử dụng nhiều dịch vụ công nghệ xuyên biên giới, hồ sơ TIA không nên được xem là một thủ tục mang tính hình thức. Ngược lại, đây là công cụ giúp doanh nghiệp nhận diện sớm rủi ro, nâng cao năng lực quản trị dữ liệu và chứng minh việc tuân thủ pháp luật khi hoạt động xử lý dữ liệu cá nhân ngày càng được quản lý chặt chẽ.