Cập nhật ngày 23/09/2026
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là tài liệu mô tả hoạt động xử lý, đánh giá ảnh hưởng và biện pháp bảo vệ. Đây không phải một giấy chứng nhận rằng doanh nghiệp đã hoàn thành mọi nghĩa vụ về dữ liệu. Căn cứ chính là Điều 21–22 Luật Bảo vệ dữ liệu cá nhân và Điều 19–20 Nghị định 356/2025/NĐ-CP.
Ai lập và ai nộp hồ sơ
Theo Điều 21, bên kiểm soát và bên kiểm soát và xử lý dữ liệu phải lập, lưu giữ và gửi hồ sơ theo quy định; bên xử lý lập, lưu giữ theo thỏa thuận với bên kiểm soát. Đồng thời, khoản 1, 2 và 4 Điều 19 Nghị định 356 quy định việc lập, thành phần và nộp hồ sơ của cả ba nhóm này. Bên xử lý cần thực hiện theo quy định chi tiết, không mặc định được miễn nộp chỉ vì làm theo hợp đồng. Các cơ chế riêng cần đối chiếu Điều 38 Luật và Điều 41 Nghị định.
Ví dụ, công ty bán lẻ vận hành chương trình khách hàng thân thiết cần mô tả việc mình quyết định thu thập và khai thác dữ liệu. Nhà cung cấp nền tảng cung cấp thông tin về hạ tầng, luồng xử lý, nhà thầu phụ và biện pháp bảo vệ thuộc phạm vi của mình. Hai bên không nên dùng cùng một bản mô tả chung nếu vai trò và hoạt động khác nhau.
Hồ sơ cần phản ánh hoạt động thực tế
Điều 19 Nghị định 356 quy định báo cáo đánh giá theo Mẫu số 10. Nội dung bao gồm thông tin các bên, đầu mối bảo vệ dữ liệu, mục đích, loại dữ liệu, quy trình và luồng xử lý, việc thông báo và lấy sự đồng ý, thời hạn lưu trữ, biện pháp bảo vệ, đánh giá tác động và phương án giảm thiểu.
Hợp đồng hoặc thỏa thuận xử lý, quy định nội bộ và tài liệu liên quan là thành phần cần đối chiếu theo điều này. Văn bản đề nghị sử dụng Mẫu số 02a hoặc 02b theo trường hợp. Danh mục chính xác phải lấy từ phụ lục hiện hành, không nên tái sử dụng nguyên biểu mẫu của Nghị định 13/2023/NĐ-CP.
Một đánh giá có ích cần chỉ ra rủi ro cụ thể. Chẳng hạn, dữ liệu khách hàng có thể bị nhân viên tải hàng loạt, nhà thầu phụ tiếp cận vượt phạm vi hoặc bản sao lưu lưu lâu hơn mục đích. Biện pháp tương ứng có thể là giới hạn quyền, nhật ký truy cập, phê duyệt xuất dữ liệu và quy trình xóa. Đây là ví dụ tổ chức kiểm soát, không phải danh sách biện pháp duy nhất mà pháp luật chấp nhận.
Nộp ở đâu và trong thời hạn nào
Một bản chính hồ sơ được gửi đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân theo quy định. Điều 19 cho phép hình thức trực tuyến, trực tiếp hoặc qua bưu chính. Khi nộp cần kiểm tra thủ tục đang công bố trên cổng dịch vụ công và đúng đầu mối tiếp nhận của Bộ Công an.
Nghị định quy định thời gian đánh giá hồ sơ là 15 ngày; trường hợp được yêu cầu hoàn thiện thì thời hạn hoàn thiện là 30 ngày. Các mốc này không nên được diễn đạt thành cam kết chắc chắn được chấp thuận, bởi chất lượng, tính đầy đủ và yêu cầu bổ sung của hồ sơ có thể ảnh hưởng quá trình xử lý.
Khi nào phải cập nhật
Điều 22 Luật quy định cập nhật định kỳ 6 tháng khi có thay đổi nội dung và cập nhật ngay trong những trường hợp cụ thể như tổ chức lại, chấm dứt hoạt động hoặc thay đổi thuộc nhóm luật liệt kê. Không nên diễn đạt thành nghĩa vụ nộp lại toàn bộ hồ sơ mỗi 6 tháng dù không có thay đổi.
Trong quản trị nội bộ, nên có bước đánh giá lại khi mở mục đích xử lý, thay nhà cung cấp, bổ sung dữ liệu nhạy cảm hoặc đổi mô hình lưu trữ. Sau đó đối chiếu Điều 22 và Điều 20 Nghị định 356 để xác định loại cập nhật, thành phần và thời điểm thực hiện.
Lập hồ sơ theo tổ chức hay theo từng phần mềm
Cẩm nang Luật Bảo vệ dữ liệu cá nhân trình bày hai nhóm hồ sơ ở cấp tổ chức: hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao quát hoạt động xử lý, và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới bao quát các hoạt động chuyển. Không nên hiểu mỗi CRM, website hoặc nhà cung cấp đều cần một bộ hồ sơ tách rời. Điều cần bảo đảm là hồ sơ mô tả đầy đủ các hoạt động, bên tham gia và luồng liên quan theo Điều 18–19 Nghị định 356.
Cách tổng hợp này cũng không có nghĩa cả tập đoàn chỉ dùng một tên pháp nhân để thay nghĩa vụ của mọi công ty thành viên. Cần xác định tổ chức chịu nghĩa vụ, vai trò và phạm vi từng hoạt động trước khi tổng hợp tài liệu.
Hồ sơ dữ liệu liên hệ gì với hồ sơ cấp độ và hợp đồng
Sơ đồ hệ thống, danh mục dữ liệu và phân quyền có thể được dùng làm đầu vào cho cả đánh giá tác động và phương án bảo đảm an ninh mạng. Tuy nhiên, mục tiêu và thẩm quyền của hai loại hồ sơ khác nhau: đánh giá tác động xem xét việc xử lý dữ liệu và ảnh hưởng đến cá nhân; hồ sơ cấp độ xác định yêu cầu bảo vệ hệ thống theo Luật An ninh mạng và Nghị định 331.
Nếu hợp đồng nói nhà cung cấp không lưu bản sao nhưng thiết kế lại có sao lưu ở nước ngoài, cần giải quyết sự khác biệt trước khi hoàn thiện hồ sơ. Đây là lý do nên đọc tiếp bài về chuyển dữ liệu và hồ sơ cấp độ, thay vì chỉ tìm một mẫu báo cáo để điền.
Câu hỏi thường gặp
Đã có hồ sơ trước ngày 1/1/2026 có phải làm mới hoàn toàn không? Điều 39 Luật có quy định chuyển tiếp đối với hồ sơ đã được tiếp nhận. Cần kiểm tra hồ sơ cũ và thực hiện cập nhật theo quy định hiện hành khi phát sinh.
DPIA có thay hồ sơ chuyển dữ liệu ra nước ngoài không? Không mặc nhiên. Hoạt động chuyển dữ liệu có cơ chế tại Điều 20 Luật và Điều 18 Nghị định 356; cần xác định riêng nghĩa vụ và trường hợp miễn.
Nguồn đối chiếu
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân
Luật An ninh mạng 116/2025/QH15
Nghị định 331/2026/NĐ-CP về bảo đảm an ninh mạng theo cấp độ
Nguồn được kiểm tra đến ngày 23/09/2026.
