Doanh nghiệp cần xác lập những gì trước khi nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới cho Bộ Công an.
Bài viết dành cho ai?
Liên kết đến phần này ↗Bài viết dành cho doanh nghiệp Việt Nam, tổ chức đa quốc gia hoạt động tại Việt Nam và người phụ trách bảo vệ dữ liệu cá nhân, tuân thủ pháp luật; đặc biệt là:
- Tổng giám đốc, giám đốc tài chính và ban điều hành chịu trách nhiệm về rủi ro pháp lý, quản trị và trách nhiệm giải trình của tổ chức.
- DPO, nhân sự bảo vệ dữ liệu cá nhân và nhóm tuân thủ lập hồ sơ DPIA, CbTIA, duy trì tài liệu chứng minh.
- Cố vấn pháp lý và công ty luật tư vấn về PDPL, chuyển dữ liệu cá nhân xuyên biên giới, nộp hồ sơ và khắc phục thiếu sót tuân thủ.
- CIO, CTO, CISO và nhóm CNTT phụ trách lập bản đồ dữ liệu, nhà cung cấp công nghệ, kiểm soát an ninh và bằng chứng kỹ thuật.
- Nhóm rủi ro, kiểm toán và mua sắm quản lý thẩm định nhà cung cấp, rủi ro bên thứ ba và giám sát tuân thủ liên tục.
Nội dung đặc biệt phù hợp với bán lẻ và thương mại điện tử, sản xuất, ngân hàng và fintech, y tế, viễn thông, logistics, công nghệ và dịch vụ chuyên môn; nhất là tổ chức xử lý lượng lớn dữ liệu cá nhân, sử dụng hạ tầng ở nước ngoài hoặc làm việc với bên xử lý quốc tế.
Dù chuẩn bị nộp lần đầu, xử lý đánh giá quá hạn hay duy trì hồ sơ hiện có, mục tiêu vẫn là xác lập bằng chứng tuân thủ có thể kiểm chứng trước khi dựa vào tài liệu nộp cơ quan quản lý.
Hai báo cáo. Một thách thức tuân thủ lớn hơn nhiều.
Liên kết đến phần này ↗Gần đây, chúng tôi gặp một tình huống minh họa thách thức ngày càng rõ đối với doanh nghiệp hoạt động tại Việt Nam. Một doanh nghiệp lớn của Việt Nam, được nhóm công nghệ ở nước ngoài hỗ trợ, cần trợ giúp chuẩn bị hồ sơ DPIA và CbTIA để nộp Bộ Công an (MPS).
Yêu cầu ban đầu có vẻ đơn giản: lập báo cáo và nộp tài liệu theo yêu cầu. Nhưng một câu hỏi quan trọng xuất hiện: doanh nghiệp có thể đánh giá chính xác tác động xử lý dữ liệu cá nhân bằng cách nào khi chưa hoàn tất lập bản đồ dữ liệu, xác định toàn bộ bên xử lý và bên nhận ở nước ngoài, kiểm chứng thực tiễn thu thập sự đồng ý hay lập hồ sơ quản trị hỗ trợ?
Đây là vấn đề về mức độ sẵn sàng tuân thủ, vượt ra ngoài việc chuẩn bị tài liệu.
“Nộp DPIA không đồng nghĩa với thực hiện DPIA. Một bộ hồ sơ được trình bày hoàn hảo nhưng chứa kết luận không có căn cứ vẫn là một đánh giá yếu.”
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực ngày 1 tháng 1 năm 2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Luật đặt ra nghĩa vụ cụ thể về tài liệu, đánh giá và nộp hồ sơ cho cơ quan quản lý. Tuy nhiên, công việc quan trọng nhất diễn ra trước khi hoàn thiện bộ hồ sơ cuối cùng.
Pháp luật Việt Nam thực sự yêu cầu gì?
Liên kết đến phần này ↗PDPL quy định hai nghĩa vụ đánh giá riêng biệt nhưng liên quan chặt chẽ.
DPIA: Đánh giá tác động xử lý dữ liệu cá nhân
Điều 21 PDPL điều chỉnh việc đánh giá tác động xử lý dữ liệu cá nhân. Bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân nhìn chung phải lập, lưu giữ và nộp hồ sơ đánh giá trong thời hạn quy định.
Bên xử lý dữ liệu cá nhân có nghĩa vụ riêng về lập và lưu giữ tài liệu đánh giá theo thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Không nên tự động coi nghĩa vụ của họ giống hệt nghĩa vụ của bên kiểm soát.
Điều 19 Nghị định 356 quy định ba thành phần chính của hồ sơ:
- Báo cáo DPIA, Mẫu số 10: Nội dung phải bao quát hoạt động, mục đích xử lý dữ liệu cá nhân, loại dữ liệu cá nhân, các bên liên quan, sơ đồ luồng dữ liệu, cơ chế về sự đồng ý, lưu giữ và xóa dữ liệu, kiến trúc hệ thống, biện pháp bảo vệ dữ liệu cá nhân, kết quả đánh giá tuân thủ, rủi ro xử lý và biện pháp giảm thiểu rủi ro.
- Hợp đồng, thỏa thuận xử lý: Bản sao thỏa thuận liên quan ghi nhận trách nhiệm và nghĩa vụ của các bên tham gia xử lý dữ liệu cá nhân.
- Tài liệu quản trị hỗ trợ: Chính sách, quy trình, quy định, biểu mẫu và tài liệu bảo vệ dữ liệu cá nhân liên quan được áp dụng.
CbTIA: Đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới
Điều 20 PDPL điều chỉnh các hoạt động chuyển dữ liệu cá nhân xuyên biên giới thuộc phạm vi áp dụng, bao gồm:
- Chuyển dữ liệu cá nhân được lưu trữ tại Việt Nam đến hệ thống lưu trữ ở nước ngoài.
- Chuyển dữ liệu cá nhân từ Việt Nam cho tổ chức, cá nhân ở nước ngoài.
- Sử dụng nền tảng bên ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam.
Trường hợp cuối đặc biệt quan trọng. Doanh nghiệp không nhất thiết phải chủ động xuất cơ sở dữ liệu khách hàng mới phát sinh nghĩa vụ đánh giá chuyển dữ liệu cá nhân xuyên biên giới. Hạ tầng thương mại điện tử, hệ thống quản lý khách hàng, dịch vụ đám mây, nền tảng phân tích ở nước ngoài và nhà cung cấp công nghệ quốc tế khác có thể khiến hoạt động xử lý dữ liệu cá nhân thuộc phạm vi áp dụng Điều 20.
Điều 18 Nghị định 356 quy định ba thành phần chính của hồ sơ CbTIA:
- Báo cáo CbTIA, Mẫu số 09: Xác định các bên liên quan, mục đích chuyển, loại dữ liệu cá nhân, hoạt động xử lý dữ liệu cá nhân, luồng dữ liệu, cơ chế về sự đồng ý, hệ thống ở nước ngoài, biện pháp an ninh, quy trình chuyển tiếp, rủi ro và biện pháp giảm thiểu rủi ro.
- Thỏa thuận chuyển dữ liệu cá nhân xuyên biên giới: Bản sao thỏa thuận hoặc văn bản chuyển dữ liệu xác lập trách nhiệm giữa bên chuyển và bên nhận.
- Tài liệu quản trị hỗ trợ: Chính sách, quy trình, biện pháp an ninh và hồ sơ bảo vệ dữ liệu cá nhân liên quan được áp dụng.
Điểm i khoản 3 Điều 18 yêu cầu rõ việc đánh giá biện pháp bảo vệ dữ liệu cá nhân của bên nhận ở nước ngoài, rủi ro chuyển và xử lý xuyên biên giới, hậu quả không mong muốn có thể xảy ra và biện pháp giảm thiểu rủi ro. Chỉ tên công ty, thỏa thuận dịch vụ đám mây hay hợp đồng xử lý đã ký chưa đủ.
Tham chiếu: Điều 20–21 Luật 91/2025/QH15; Điều 18–19 Nghị định 356/2025/NĐ-CP.
Các trường hợp miễn trừ thì sao?
Không phải tổ chức hoặc hoạt động chuyển dữ liệu nào cũng chịu yêu cầu đánh giá và nộp hồ sơ giống nhau. Khoản 6 Điều 20 PDPL và Điều 17 Nghị định 356 quy định một số trường hợp không phải thực hiện CbTIA, gồm một số hoạt động lưu trữ dữ liệu người lao động trên đám mây, chuyển dữ liệu của cơ quan nhà nước có thẩm quyền, chuyển dữ liệu do chính chủ thể dữ liệu thực hiện và hoạt động được xác định khác.
Khoản 6 Điều 21 cũng loại trừ cơ quan nhà nước có thẩm quyền khỏi yêu cầu DPIA tại điều này. Các quy định chuyển tiếp và miễn, giảm có giới hạn riêng có thể áp dụng cho doanh nghiệp quy mô nhỏ đáp ứng điều kiện theo PDPL và Nghị định 356, tùy điều kiện đủ và trường hợp bị loại trừ.
Phải đánh giá các ngoại lệ theo sự việc thực tế. Miễn một đánh giá tác động cụ thể không tự động xóa bỏ các nghĩa vụ bảo vệ dữ liệu cá nhân khác. Doanh nghiệp lớn xử lý lượng đáng kể thông tin khách hàng nên bắt đầu bằng đánh giá phạm vi áp dụng có hồ sơ, thay vì giả định mình được miễn.
Vì sao hướng dẫn thủ tục nộp hồ sơ chưa đủ?
Liên kết đến phần này ↗Hướng dẫn thủ tục có giá trị: có thể giải thích cách sắp xếp tài liệu chứng minh kèm theo, chuẩn bị PDF đã ký, đặt tên tệp, tập hợp hồ sơ điện tử và phản hồi yêu cầu của cơ quan quản lý. Những chi tiết này giúp doanh nghiệp nộp bộ hồ sơ được tổ chức đúng cách, nhưng chưa xác lập tính chính xác của thông tin bên trong.
Đầy đủ về thủ tục: Các biểu mẫu, hợp đồng, tài liệu chứng minh kèm theo, chữ ký và thành phần hồ sơ khác đã được đưa vào và chuẩn bị đúng yêu cầu chưa?
Sẵn sàng tuân thủ về nội dung: Hồ sơ có giải thích chính xác hoạt động xử lý dữ liệu cá nhân, xác lập điều kiện pháp lý áp dụng, đánh giá mức độ rủi ro, xác định biện pháp bảo vệ dữ liệu cá nhân đã triển khai và chứng minh tình trạng tuân thủ của tổ chức không?
Cả hai đều quan trọng. Một số hướng dẫn hành chính chia hồ sơ thành tám nhóm tệp hỗ trợ, như biểu mẫu thông báo, báo cáo đánh giá, tài liệu nhân sự bảo vệ dữ liệu, chính sách, tài liệu về sự đồng ý, hợp đồng, sơ đồ và phụ lục. Cấu trúc đó có thể hữu ích khi chuẩn bị hồ sơ hành chính. Tuy nhiên, không nên coi đây là yêu cầu pháp luật chung về tám tài liệu, hoặc bằng chứng rằng tám lĩnh vực công việc tuân thủ tương ứng đã hoàn tất.
Điều 18 và 19 Nghị định 356 quy định các thành phần chính và nội dung thực chất của hồ sơ. Tài liệu cần thiết để chứng minh đánh giá phụ thuộc vào hoạt động thực tế của tổ chức.
“Cơ quan quản lý tiếp nhận hồ sơ đánh giá. Để tạo ra hồ sơ có cơ sở vững chắc, cần một chuỗi bằng chứng kết nối nghĩa vụ pháp lý, hệ thống kỹ thuật, biện pháp kiểm soát vận hành và người chịu trách nhiệm.”
Thách thức là bảo đảm mọi nhận định trọng yếu đều có bằng chứng đáng tin cậy, chứ không chỉ tạo thêm giấy tờ.
Nhiệm vụ vận hành cần có trước một đánh giá đáng tin cậy
Liên kết đến phần này ↗DPIA hoặc CbTIA là kết quả của lượng công việc đáng kể về tổ chức, kỹ thuật và pháp lý. Bảng dưới phân biệt các điều kiện đánh giá quan trọng với bằng chứng thực tế cần xác lập.
| Nhóm công việc | Ý nghĩa | Tài liệu chứng minh |
|---|---|---|
| Khám phá và lập bản đồ dữ liệu | Xác định dữ liệu cá nhân nào tồn tại, được lưu ở đâu, di chuyển ra sao và ai truy cập | Sơ đồ luồng dữ liệu đã xác thực, danh mục hệ thống |
| Kiểm kê hoạt động và mục đích xử lý dữ liệu cá nhân | Xác lập hoạt động, mục đích, chủ thể dữ liệu và các bên liên quan | Sổ đăng ký hoạt động xử lý dữ liệu cá nhân |
| Tiếp nhận, thẩm định nhà cung cấp | Xác định bên xử lý, bên nhận, nhà thầu phụ, nghĩa vụ và biện pháp bảo vệ dữ liệu cá nhân | Thẩm định nhà cung cấp, thỏa thuận, hồ sơ bên xử lý phụ |
| Sự đồng ý và căn cứ pháp lý | Xác lập tính hợp pháp và bằng chứng về sự đồng ý hoặc ngoại lệ theo luật | Hồ sơ về sự đồng ý, đánh giá mục đích |
| Phân loại dữ liệu cá nhân | Phân biệt dữ liệu cá nhân cơ bản và nhạy cảm để xác định biện pháp bảo vệ dữ liệu cá nhân, nghĩa vụ phù hợp | Hồ sơ phân loại dữ liệu cá nhân |
| Chính sách và quy trình vận hành | Xác lập cách lưu giữ, xóa, bảo vệ, xử lý dữ liệu trong vòng đời | Chính sách được phê duyệt, hồ sơ vận hành |
| Rà soát an ninh kỹ thuật | Kiểm chứng kiến trúc, kiểm soát truy cập, mã hóa, ghi nhật ký và biện pháp bảo vệ dữ liệu cá nhân | Tài liệu chứng minh cấu hình, đánh giá an ninh |
| Phân tích và giảm thiểu rủi ro | Phân tích thiệt hại tiềm ẩn, khả năng xảy ra rủi ro, tác động, kiểm soát và rủi ro còn lại | Sổ đăng ký rủi ro, kế hoạch giảm thiểu rủi ro |
| Thẩm định bên nhận xuyên biên giới | Xem xét hệ thống, bên nhận, biện pháp bảo vệ dữ liệu cá nhân và chuyển tiếp ở nước ngoài | Thẩm định bên nhận, thỏa thuận chuyển dữ liệu |
| Quản trị và duy trì bằng chứng | Xác lập người phụ trách, hiệu quả kiểm soát, quy trình rà soát và cập nhật | Hồ sơ trách nhiệm, lịch sử kiểm toán, cập nhật hồ sơ |
Đây là phương pháp thực tiễn để tạo bằng chứng đáng tin cậy, không phải mười biểu mẫu pháp định riêng biệt. Pháp luật yêu cầu thông tin về hoạt động đánh giá thực chất; tổ chức phải xác định cách khám phá, kiểm chứng và ghi nhận thông tin đó.
Bản đồ dữ liệu phải phản ánh thực tế
Điểm c khoản 3 Điều 19 Nghị định 356 yêu cầu mô tả chi tiết hoạt động xử lý dữ liệu cá nhân và sơ đồ luồng dữ liệu cá nhân. Không thể chuẩn bị đáng tin cậy nếu chưa hiểu hệ thống, ứng dụng, bộ phận và bên thứ ba liên quan. Sơ đồ chỉ dựa trên giả định hoặc thiết kế kiến trúc lỗi thời có thể bỏ sót hoạt động xử lý dữ liệu cá nhân quan trọng. Đánh giá tác động đáng tin cậy cần đối chiếu luồng dữ liệu đã ghi nhận với hành vi thực tế của hệ thống, tích hợp và thỏa thuận với nhà cung cấp.
Tiếp nhận nhà cung cấp vượt ra ngoài việc đính kèm hợp đồng
Doanh nghiệp có thể đã ký thỏa thuận với toàn bộ nhà cung cấp công nghệ nhưng chưa đánh giá cách họ xử lý dữ liệu cá nhân. Thẩm định nhà cung cấp có cơ sở cần xem xét vai trò, hoạt động xử lý dữ liệu cá nhân liên quan, vị trí dữ liệu, bên xử lý phụ, biện pháp bảo vệ dữ liệu cá nhân áp dụng, cơ chế chuyển tiếp và rủi ro chưa giải quyết. Với chuyển dữ liệu cá nhân xuyên biên giới, điểm i khoản 3 Điều 18 yêu cầu rõ việc đánh giá biện pháp bảo vệ dữ liệu cá nhân của bên nhận. Thỏa thuận xử lý đã ký là một phần bằng chứng; tự nó chưa chứng minh rủi ro vận hành của nhà cung cấp đã được đánh giá.
Mục đích xử lý dữ liệu cá nhân cần căn cứ pháp lý
Đăng ký khách hàng, thực hiện đơn hàng, tiếp thị chương trình khách hàng thân thiết, tính lương, phòng chống gian lận và hỗ trợ khách hàng là các hoạt động, mục đích khác nhau. Mỗi hoạt động cần được đánh giá về điều kiện pháp lý áp dụng.
Pháp luật Việt Nam không coi sự đồng ý là căn cứ hợp pháp duy nhất cho mọi hoạt động xử lý dữ liệu cá nhân. Điều 19 PDPL quy định các trường hợp cụ thể được xử lý không cần sự đồng ý. Tuy nhiên, lợi ích thương mại của tổ chức không tự động tạo quyền xử lý dữ liệu cá nhân không giới hạn. Khi cần sự đồng ý, doanh nghiệp phải có cơ chế hợp lệ và bằng chứng kiểm chứng được. Chỉ đính kèm mẫu đồng ý chưa xác lập rằng website hoặc ứng dụng triển khai đúng cơ chế đó.
Chính sách phải mô tả biện pháp kiểm soát đã triển khai
Chính sách lưu giữ chưa chứng minh dữ liệu được xóa đúng chính sách. Chính sách kiểm soát truy cập chưa chứng minh quyền được cấu hình đúng. Chính sách ứng phó sự cố chưa chứng minh nhân viên có thể ứng phó hiệu quả. Tổ chức nên duy trì bằng chứng vận hành phù hợp, như hồ sơ cấu hình, rà soát quyền truy cập, nhật ký xóa, đánh giá an ninh và hồ sơ ứng phó sự cố. Đây là sự khác biệt giữa tuân thủ trên tài liệu và tuân thủ trong vận hành.
Chuyển dữ liệu cá nhân xuyên biên giới cần đánh giá từng bên nhận
CbTIA phải vượt ra ngoài việc xác định nhà cung cấp công nghệ nước ngoài. Cần xem xét môi trường xử lý, biện pháp bảo vệ dữ liệu cá nhân, hoạt động chuyển tiếp liên quan, cơ chế thực thi hợp đồng và rủi ro tiềm ẩn đối với cá nhân bị ảnh hưởng. Kết quả phải được ghi nhận và liên kết với hoạt động chuyển dữ liệu thực tế.
“Thỏa thuận đã ký chưa chứng minh nhà cung cấp đã được đánh giá. Chính sách quyền riêng tư chưa chứng minh biện pháp kiểm soát hoạt động. Biểu mẫu hoàn tất chưa chứng minh đánh giá nền tảng đã được thực hiện.”
Ví dụ thực tiễn: Sự phức tạp ẩn sau thương mại điện tử
Liên kết đến phần này ↗Hãy xét doanh nghiệp Việt Nam vận hành cửa hàng bán lẻ và nền tảng thương mại điện tử. Môi trường công nghệ gồm hệ thống thương mại điện tử do bên ở nước ngoài quản lý, đăng ký khách hàng, chương trình khách hàng thân thiết, chiến dịch tiếp thị, dịch vụ thanh toán, tích hợp logistics và hỗ trợ khách hàng.
Tổ chức lập DPIA mô tả xử lý đơn hàng, tài khoản và tiếp thị; đồng thời lập CbTIA xác định nhà cung cấp nền tảng ở nước ngoài. Nhưng rà soát kỹ thuật đặt ra thêm câu hỏi:
- Website có gửi dữ liệu cá nhân đến dịch vụ phân tích hoặc quảng cáo ở nước ngoài trước khi người dùng đưa ra sự đồng ý có thể phải có không?
- Định danh tiếp thị có được chia sẻ với nhà cung cấp công nghệ khác không?
- Hệ thống hỗ trợ khách hàng và tích hợp logistics có tạo thêm bên xử lý không?
- Hồ sơ khách hàng thân thiết có được sao chép sang môi trường ở nước ngoài không?
- Nhóm công nghệ ở nước ngoài hoặc nhà thầu phụ có thể truy cập từ xa thông tin khách hàng không?
- Hoạt động này đã xuất hiện trong danh mục xử lý và sơ đồ chuyển dữ liệu chưa? Các bên nhận liên quan đã được đánh giá đầy đủ chưa?
Những câu hỏi này có thể làm thay đổi đáng kể đánh giá. Nếu công nghệ theo dõi thu thập hoặc truyền dữ liệu cá nhân mà không có sự đồng ý hợp lệ hoặc căn cứ cho phép khác, chỉ tuyên bố có thu thập sự đồng ý không giải quyết vấn đề nền tảng. Tương tự, CbTIA chỉ nêu nhà cung cấp công nghệ chính ở nước ngoài có thể chưa đầy đủ nếu bỏ sót bên nhận hoặc cơ chế xử lý trọng yếu khác.
Tổ chức có thể tạo hai báo cáo có vẻ đầy đủ về hình thức nhưng chưa phản ánh các khía cạnh quan trọng của hoạt động thực tế. Cách xử lý là điều tra, ghi nhận hiện trạng, đánh giá tuân thủ, khắc phục thiếu sót trọng yếu và báo cáo chính xác kết quả; không được bịa thông tin thiếu hoặc mô tả biện pháp dự kiến như đã triển khai.
Đánh giá tác động có cơ sở vững chắc xác định chính xác môi trường xử lý, kiểm soát hiện có, rủi ro và hành động khắc phục cần thiết, thay vì tuyên bố mọi kiểm soát đều hoàn hảo.
Danh sách kiểm tra thực tiễn trước khi nộp hồ sơ
Liên kết đến phần này ↗Lãnh đạo, nhân sự bảo vệ dữ liệu, nhóm CNTT và cố vấn pháp lý có thể dùng danh sách sau để đánh giá mức độ sẵn sàng trước khi hoàn thiện DPIA và CbTIA. Đây là phương pháp đánh giá vận hành được khuyến nghị, không phải biểu mẫu nộp hồ sơ pháp định bổ sung.
A. Phạm vi pháp lý và trách nhiệm giải trình
- Pháp nhân và vai trò: Xác định pháp nhân liên quan và vai trò bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên chuyển và bên nhận dữ liệu.
- Phạm vi áp dụng và miễn trừ: Xác định nghĩa vụ DPIA, CbTIA có áp dụng không; đánh giá miễn trừ, chuyển tiếp và hồ sơ đã nộp liên quan.
- Thời hạn pháp luật: Ghi nhận ngày bắt đầu xử lý và chuyển dữ liệu cá nhân xuyên biên giới, tính thời hạn nộp tương ứng, xác định nghĩa vụ quá hạn.
- Chủ thể phụ trách quản trị bảo vệ dữ liệu: Ghi nhận nhân sự hoặc bộ phận phụ trách, thỏa thuận dịch vụ bên ngoài nếu có, năng lực, trách nhiệm nội bộ và trách nhiệm của ban điều hành.
B. Khám phá dữ liệu và bằng chứng vận hành
- Kiểm kê hoạt động xử lý dữ liệu cá nhân: Lập hồ sơ có cấu trúc về hoạt động, mục đích, loại dữ liệu cá nhân, chủ thể dữ liệu, hệ thống, bộ phận phụ trách và yêu cầu lưu giữ.
- Xác thực luồng dữ liệu: Lập sơ đồ xử lý và chuyển dữ liệu hiện hành, đối chiếu với hệ thống, tích hợp, nhà cung cấp dịch vụ và bằng chứng kỹ thuật liên quan.
- Sự đồng ý và căn cứ pháp lý: Xem xét điều kiện pháp lý cho từng mục đích, kiểm chứng cơ chế đồng ý khi cần và lưu bằng chứng thu thập, rút lại sự đồng ý.
- Thẩm định nhà cung cấp và bên xử lý: Xác định bên xử lý, bên xử lý phụ, bên nhận; kiểm chứng nghĩa vụ hợp đồng, nơi xử lý, biện pháp bảo vệ dữ liệu cá nhân, chuyển tiếp và rủi ro chưa giải quyết.
- Biện pháp kiểm soát an ninh và vòng đời: Xác lập bằng chứng về kiểm soát truy cập, bảo vệ kỹ thuật phù hợp, lưu giữ, xóa, quy trình thực hiện quyền chủ thể dữ liệu và ứng phó sự cố.
C. Sẵn sàng đánh giá tác động
- Sổ đăng ký chuyển dữ liệu cá nhân xuyên biên giới: Xác định bên nhận ở nước ngoài, nơi xử lý và lưu trữ, mục đích chuyển, loại dữ liệu cá nhân và cơ chế chuyển tiếp.
- Rà soát biện pháp bảo vệ dữ liệu cá nhân của bên nhận: Xem xét cơ chế an ninh, bảo vệ dữ liệu cá nhân, bảo đảm hợp đồng và rủi ro chuyển dữ liệu của bên nhận liên quan ở nước ngoài.
- Đánh giá mức độ rủi ro xử lý và chuyển dữ liệu: Đánh giá mức độ rủi ro tuân thủ, quyền riêng tư và an ninh, thiệt hại có thể xảy ra, kiểm soát hiện có, rủi ro còn lại và biện pháp giảm thiểu rủi ro.
- Khắc phục và quyết định quản lý: Ghi nhận thiếu sót, người phụ trách, hành động, thời hạn, biện pháp khắc phục đã hoàn tất và quyết định về rủi ro chưa giải quyết.
D. Chuẩn bị và nộp hồ sơ
- Tài liệu DPIA: Hoàn thiện yêu cầu Mẫu số 10 áp dụng, tập hợp thỏa thuận xử lý, chính sách, sơ đồ, kết quả đánh giá và tài liệu chứng minh kèm theo liên quan.
- Tài liệu CbTIA: Hoàn thiện yêu cầu Mẫu số 09 áp dụng, tập hợp thỏa thuận chuyển, đánh giá bên nhận, sơ đồ luồng dữ liệu, biện pháp bảo vệ dữ liệu cá nhân và tài liệu chứng minh kèm theo.
- Rà soát tính nhất quán của bằng chứng: Kiểm chứng nhận định trong báo cáo, hợp đồng, sơ đồ kỹ thuật, hồ sơ đồng ý, thông tin bên nhận và bằng chứng kiểm soát phản ánh chính xác cùng môi trường xử lý.
- Rà soát của quản lý và pháp lý: Có phê duyệt nội bộ phù hợp và rà soát của chuyên gia pháp lý Việt Nam có năng lực khi cần, đặc biệt về miễn trừ, rủi ro tuân thủ trọng yếu, hồ sơ quá hạn và cách hiểu pháp luật chưa thống nhất.
- Sẵn sàng nộp: Xác nhận cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiếp nhận có thẩm quyền, mẫu thông báo, phương thức nộp, chữ ký, định dạng, hướng dẫn hành chính và bằng chứng nộp.
- Tuân thủ liên tục: Thiết lập quy trình theo dõi thay đổi, cập nhật hồ sơ, duy trì bằng chứng và phản hồi yêu cầu của cơ quan quản lý.
Nên đánh giá danh sách như thế nào?
Mỗi mục áp dụng cần có người phụ trách xác định được, tài liệu chứng minh và trạng thái được ghi nhận.
| Trạng thái | Ý nghĩa | Hành động tiếp theo |
|---|---|---|
| Đã kiểm chứng | Có bằng chứng liên quan và đã kiểm tra | Đưa vào hoặc dẫn chiếu trong đánh giá |
| Cần khắc phục | Đã xác định điểm yếu tuân thủ hoặc thiếu sót kiểm soát | Giao người phụ trách, đánh giá mức độ rủi ro, xác lập hành động khắc phục |
| Chưa đánh giá | Thiếu thông tin thực tế liên quan hoặc tài liệu chứng minh | Hoàn tất khám phá và đánh giá |
| Không áp dụng | Có căn cứ pháp lý hoặc thực tế được ghi nhận để loại trừ | Lưu giải thích và phê duyệt |
Cách làm này chuyển danh sách hoạt động thành đánh giá sẵn sàng tuân thủ có thể hành động. Tuy nhiên, danh sách chưa hoàn tất không làm tạm dừng thời hạn nộp hồ sơ pháp định. Khi đã quá hạn hoặc sắp đến hạn, tổ chức nên xin hướng dẫn pháp lý về chiến lược nộp, xử lý rủi ro và khắc phục phù hợp. Mục tiêu là tuân thủ chính xác, đúng hạn, không phải trì hoãn vô thời hạn để chờ danh sách nội bộ đạt điểm hoàn hảo.
Bộ bằng chứng nên gồm những gì?
Liên kết đến phần này ↗Hồ sơ DPIA và CbTIA theo luật có thể được hỗ trợ bởi kho bằng chứng nội bộ có cấu trúc, chẳng hạn:
| Nhóm bằng chứng | Tài liệu chứng minh kèm theo điển hình |
|---|---|
| Quản trị và trách nhiệm giải trình | Quyết định nhân sự bảo vệ dữ liệu, trách nhiệm, năng lực và thỏa thuận dịch vụ |
| Hoạt động xử lý dữ liệu cá nhân và luồng dữ liệu | Sổ đăng ký xử lý, phân loại, danh mục hệ thống, kiến trúc và sơ đồ luồng |
| Sự đồng ý và căn cứ pháp lý | Thông báo quyền riêng tư, hồ sơ đồng ý, đánh giá mục đích và quy trình rút lại |
| Quản trị nhà cung cấp và chuyển dữ liệu | Thẩm định nhà cung cấp, thỏa thuận xử lý, hồ sơ bên nhận và cơ chế chuyển |
| Biện pháp kiểm soát kỹ thuật và tổ chức | Chính sách an ninh, bằng chứng cấu hình, rà soát truy cập, hồ sơ lưu giữ và ứng phó sự cố |
| Đánh giá tác động và rủi ro | Báo cáo DPIA/CbTIA, đánh giá bên nhận, sổ đăng ký rủi ro, hành động khắc phục và phê duyệt |
Đây là nhóm tổ chức tài liệu được khuyến nghị, không thay thế thành phần hồ sơ pháp định. Kho có cấu trúc giúp kết nối báo cáo với bằng chứng cho kết luận. Nhận định về bên nhận ở nước ngoài có thể dẫn chiếu đánh giá nhà cung cấp, hợp đồng, sơ đồ chuyển và đánh giá mức độ rủi ro. Nhận định về sự đồng ý có thể dẫn chiếu thông báo quyền riêng tư, đánh giá mục đích, cơ chế đã triển khai và hồ sơ liên quan. Nhận định về an ninh có thể dẫn chiếu cấu hình, chính sách, đánh giá và kiểm thử kiểm soát.
Điều này tạo quan hệ truy vết giữa hoạt động xử lý dữ liệu cá nhân, nghĩa vụ pháp lý, đánh giá và bằng chứng; đồng thời giúp quản lý cập nhật và yêu cầu của cơ quan quản lý dễ hơn đáng kể.
Thời hạn 60 ngày không phải thời gian ân hạn tuân thủ
Liên kết đến phần này ↗Điều 20 và 21 PDPL quy định thời hạn nộp chung 60 ngày, tùy các miễn trừ áp dụng. Mốc bắt đầu khác nhau: DPIA tính từ khi bắt đầu hoạt động xử lý dữ liệu cá nhân thuộc phạm vi áp dụng; CbTIA tính từ khi bắt đầu chuyển dữ liệu cá nhân xuyên biên giới tương ứng. Đây là hai sự kiện kích hoạt riêng biệt.
Nghị định 356 còn yêu cầu lập và lưu giữ tài liệu DPIA áp dụng ngay từ khi bắt đầu xử lý. Vì vậy, không được hiểu thời hạn 60 ngày là cho phép xử lý trái pháp luật, trì hoãn biện pháp bảo vệ dữ liệu cá nhân bắt buộc hoặc bỏ qua nghĩa vụ về sự đồng ý. Thời hạn cũng không tự động bắt đầu lại khi bổ nhiệm cán bộ tuân thủ mới hoặc bắt đầu chuẩn bị đánh giá.
“Thời hạn nộp bắt đầu từ hoạt động xử lý dữ liệu cá nhân hoặc chuyển dữ liệu tương ứng, không phải từ ngày nhóm tuân thủ quyết định bắt đầu lập báo cáo.”
Tổ chức đang hoạt động khi chưa có đủ tài liệu cần kịp thời đánh giá nghĩa vụ, khả năng không tuân thủ và xin tư vấn pháp lý về khắc phục phù hợp. Nộp muộn không tự động khắc phục vi phạm trước đó.
Thay đổi pháp lý quan trọng từ ngày 15 tháng 11 năm 2026
Liên kết đến phần này ↗Ngày 20 tháng 10 năm 2026, Chính phủ ban hành Nghị định 392/2026/NĐ-CP sửa đổi một số quy định của Nghị định 356. Các thay đổi có hiệu lực ngày 15 tháng 11 năm 2026. Chương VII sửa thủ tục tiếp nhận, thẩm định và cập nhật hồ sơ DPIA, CbTIA.
Vai trò lớn hơn của Công an cấp tỉnh
Theo Điều 18 và 19 Nghị định 356 được sửa đổi, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an tiếp nhận và phân loại hồ sơ ban đầu. Hồ sơ sau đó có thể được chuyển cho Công an cấp tỉnh thẩm định theo tiêu chí địa bàn, quy mô và lĩnh vực. Quy trình thẩm định được phân cấp hơn, đồng thời vẫn giữ đầu mối Bộ Công an theo quy định đối với hồ sơ nộp ban đầu.
Thời hạn thẩm định được sửa đổi
Từ ngày 15 tháng 11 năm 2026, cơ quan có thẩm quyền thuộc Bộ Công an hoặc Công an cấp tỉnh phải thẩm định và trả kết quả trong 11 ngày làm việc. Kết quả có thể là đạt, đạt cần bổ sung hoặc không đạt. Nếu hồ sơ chưa đầy đủ hoặc không đáp ứng quy định, các điều khoản sửa đổi quy định quy trình hoàn thiện trong 30 ngày.
Trước ngày 15 tháng 11, Nghị định 356 quy định thời hạn thẩm định 15 ngày. Điều 49 Nghị định 392 có quy định chuyển tiếp: hồ sơ liên quan đã được tiếp nhận trước ngày có hiệu lực tiếp tục xử lý theo thủ tục trước đó.
Phương thức nộp và mẫu thông báo
Biểu mẫu báo cáo chính vẫn là Mẫu số 09 và 10. Đối với hồ sơ tổ chức thuộc phạm vi áp dụng, các mẫu thông báo tương ứng là:
- CbTIA: Mẫu số 09 và Mẫu số 01a, cùng tài liệu chứng minh kèm theo bắt buộc.
- DPIA: Mẫu số 10 và Mẫu số 02a, cùng tài liệu chứng minh kèm theo bắt buộc.
- Cập nhật hồ sơ: Mẫu số 03a, khi áp dụng.
Mẫu số 01b, 02b và 03b là các mẫu tương ứng cho hồ sơ cá nhân thuộc phạm vi áp dụng. Từ ngày 15 tháng 11, quy định sửa đổi cho phép nộp điện tử, trực tiếp hoặc qua bưu chính. Quy định DPIA sửa đổi nêu rõ Cổng Dịch vụ công quốc gia.
Tổ chức cần xác nhận phương thức nộp đang áp dụng, định dạng được chấp nhận và cơ quan có thẩm quyền khi nộp. Hướng dẫn về gửi tệp ZIP qua email, quy tắc đặt tên hoặc bản giấy bổ sung có thể hữu ích trong quy trình hành chính cụ thể, nhưng cần phân biệt với yêu cầu pháp luật điều chỉnh.
Những thay đổi thủ tục này không xóa nghĩa vụ đánh giá thực chất hoạt động xử lý dữ liệu cá nhân, biện pháp bảo vệ dữ liệu cá nhân và rủi ro. Việc hồ sơ được tiếp nhận hoặc đánh giá đạt yêu cầu không nên được hiểu là cơ quan quản lý phê duyệt toàn bộ hoạt động xử lý dữ liệu cá nhân nền tảng.
Tham chiếu: Chương VII, Điều 43–45 và Điều 48–49 Nghị định 392/2026/NĐ-CP.
Tuân thủ tiếp tục sau lần nộp đầu tiên
Liên kết đến phần này ↗PDPL không coi đánh giá tác động là tài liệu cố định vĩnh viễn. Điều 22 PDPL và Điều 20 Nghị định 356 quy định việc cập nhật hồ sơ DPIA và CbTIA.
Các mốc thời gian pháp lý chính
| Yêu cầu | Thời hạn | Giải thích |
|---|---|---|
| Nộp lần đầu | 60 ngày | Từ khi bắt đầu xử lý hoặc chuyển dữ liệu cá nhân xuyên biên giới thuộc phạm vi áp dụng |
| Thẩm định trước ngày 15 tháng 11 năm 2026 | 15 ngày | Thời hạn theo thủ tục ban đầu của Nghị định 356 |
| Thẩm định từ ngày 15 tháng 11 năm 2026 | 11 ngày làm việc | Thời hạn sửa đổi theo Nghị định 392 |
| Cập nhật hồ sơ định kỳ | Chu kỳ 6 tháng | Đối với thay đổi được quy định, gồm mục đích xử lý dữ liệu cá nhân hoặc chuyển mới và thay đổi các bên liên quan |
| Cập nhật ngay trong trường hợp cụ thể | 10 ngày | Đối với thay đổi được quy định về tổ chức, nhà cung cấp dịch vụ bảo vệ dữ liệu và hoạt động kinh doanh |
| Hoàn thiện hồ sơ | 30 ngày | Khi cần hoàn thiện hoặc sửa theo thủ tục áp dụng |
Quy tắc sáu tháng áp dụng khi phát sinh thay đổi được quy định, với chu kỳ tính từ lần nộp ban đầu; không yêu cầu mọi doanh nghiệp nộp đánh giá hoàn toàn mới mỗi sáu tháng bất kể có thay đổi hay không. Yêu cầu mười ngày áp dụng cho sự kiện cụ thể tại khoản 2 Điều 20 Nghị định 356; không phải mọi thay đổi kỹ thuật đều tự động thuộc thời hạn này.
Dù vậy, tổ chức cần quy trình phát hiện thay đổi liên quan. Nhà cung cấp, hệ thống, hoạt động kinh doanh, mục đích xử lý dữ liệu cá nhân, hạ tầng ở nước ngoài và diễn biến vận hành mới cần được rà soát về tác động đến đánh giá hiện có. Khi phát sinh nghĩa vụ cập nhật theo luật, hồ sơ phải được cập nhật đúng quy trình.
“DPIA hoặc CbTIA không phải tài liệu hoàn tất một lần rồi để quên. Hồ sơ phải tiếp tục gắn với hoạt động xử lý dữ liệu cá nhân đang thay đổi và bằng chứng tuân thủ của doanh nghiệp.”
Một đợt nộp hồ sơ đơn lẻ không thể hỗ trợ tuân thủ liên tục một cách đáng tin cậy nếu thiếu quy trình quản trị nền tảng.
Điều gì xảy ra khi tài liệu không phản ánh thực tế?
Liên kết đến phần này ↗Khung thực thi của Việt Nam đặt ra hậu quả tiềm tàng đáng kể đối với sai phạm bảo vệ dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới. Nghị định 330/2026/NĐ-CP, ban hành và có hiệu lực ngày 19 tháng 8 năm 2026, quy định xử phạt hành chính đối với vi phạm liên quan.
Vi phạm DPIA
Điều 55 điều chỉnh vi phạm đánh giá tác động xử lý dữ liệu cá nhân: bắt đầu xử lý thuộc phạm vi áp dụng khi chưa lập hoặc lưu giữ hồ sơ bắt buộc, không nộp đúng hạn và không cập nhật theo yêu cầu. Một số vi phạm bị phạt 20–30 triệu đồng. Cố ý làm sai lệch dữ liệu, cung cấp thông tin không chính xác trong hồ sơ đánh giá hoặc từ chối sửa theo yêu cầu có thể bị phạt 50–100 triệu đồng.
Nghị định còn quy định biện pháp khắc phục, gồm buộc hoàn thiện hồ sơ và, với vi phạm cụ thể, đình chỉ xử lý cho đến khi đáp ứng nghĩa vụ liên quan.
Vi phạm CbTIA
Điều 56 điều chỉnh vi phạm chuyển dữ liệu cá nhân xuyên biên giới. Một số vi phạm lập, nộp, lưu giữ hoặc cập nhật CbTIA bị phạt 30–50 triệu đồng. Vi phạm khác về bảo đảm hợp đồng, sự đồng ý hoặc thông báo, biện pháp an ninh và phối hợp với cơ quan quản lý có thể chịu mức phạt cố định cao hơn.
Khi nào áp dụng mức phạt theo doanh thu tới 5%?
Khoản 3 Điều 56 quy định phạt theo doanh thu đối với một số vi phạm nghiêm trọng về chuyển dữ liệu cá nhân xuyên biên giới. Các vi phạm này bao gồm hành vi trái pháp luật và hậu quả được xác định, trong đó có trường hợp không lập đánh giá, che giấu hoặc khai báo sai luồng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân.
Nghị định quy định các mức sau đối với vi phạm đáp ứng điều kiện:
| Số công dân Việt Nam bị ảnh hưởng | Mức phạt theo doanh thu có thể áp dụng |
|---|---|
| Từ 10.000 đến dưới 100.000 | 1%–2% |
| Từ 100.000 đến dưới 1 triệu | 2%–3% |
| Từ 1 triệu trở lên | 3%–5% |
Điều 56 còn điều chỉnh việc tiếp tục chuyển dữ liệu cá nhân xuyên biên giới bị cấm sau khi cơ quan có thẩm quyền yêu cầu dừng, gây tổn hại quốc phòng, an ninh. Căn cứ tính là doanh thu tại thị trường Việt Nam của năm tài chính liền trước; có quy định mức phạt bằng tiền thay thế khi đáp ứng điều kiện trong nghị định.
Chỉ có hơn một triệu khách hàng, vận hành nền tảng công nghệ ở nước ngoài hoặc không nộp hồ sơ thông thường không tự động dẫn đến mức phạt 5% doanh thu. Phải xác lập vi phạm cụ thể và điều kiện luật định. Tuy nhiên, khung chế tài cho thấy tầm quan trọng của khai báo luồng dữ liệu, đánh giá chuyển dữ liệu và bằng chứng quản trị đầy đủ, chính xác. Không thể an toàn coi đây chỉ là thủ tục hành chính.
Tham chiếu: Điều 55–56 Nghị định 330/2026/NĐ-CP.
Vì sao chuyên môn pháp lý và bằng chứng kỹ thuật phải phối hợp?
Liên kết đến phần này ↗DPIA hoặc CbTIA có cơ sở vững chắc đòi hỏi phối hợp nhiều chức năng. Nhóm kỹ thuật và CNTT xác lập cách hệ thống thực sự hoạt động: cơ chế thu thập, hạ tầng, tích hợp, truy cập, lưu trữ và luồng xuyên biên giới. Nhân sự bảo vệ dữ liệu và tuân thủ xác lập người phụ trách quản trị, duy trì kiểm kê xử lý, phối hợp đánh giá mức độ rủi ro, quản lý bằng chứng và theo dõi thay đổi. Cố vấn pháp lý có năng lực giải thích pháp luật áp dụng, đánh giá miễn trừ, rà soát thỏa thuận, đánh giá mức độ rủi ro pháp lý và tư vấn nộp hồ sơ. Ban điều hành phê duyệt nguồn lực, ưu tiên khắc phục và quyết định về rủi ro còn lại trọng yếu.
Các chức năng bổ trợ nhau. Phân tích pháp lý không thể xác lập thông tin thực tế kỹ thuật chưa được điều tra. Sơ đồ luồng dữ liệu không thể quyết định hoạt động xử lý dữ liệu cá nhân có đáp ứng pháp luật Việt Nam hay không. Tập hợp chính sách không thể chứng minh biện pháp bảo vệ dữ liệu cá nhân tương ứng hoạt động hiệu quả.
Công nghệ tuân thủ có thể hỗ trợ ở đâu?
Nền tảng quản trị, rủi ro và tuân thủ có cấu trúc có thể hỗ trợ duy trì:
- Danh mục xử lý và hồ sơ luồng dữ liệu.
- Sổ đăng ký nhà cung cấp và bên xử lý.
- Thẩm định bên nhận dữ liệu xuyên biên giới.
- Tài liệu chứng minh về sự đồng ý và xử lý hợp pháp.
- Sổ đăng ký rủi ro và quy trình khắc phục.
- Người phụ trách kiểm soát và hồ sơ triển khai.
- Yêu cầu pháp luật và tài liệu chứng minh kèm theo.
- Hồ sơ đánh giá và dẫn chiếu bằng chứng.
- Theo dõi thay đổi và lịch sử kiểm toán.
Phân tích có AI hỗ trợ có thể tăng hiệu quả bằng cách tổ chức bằng chứng, nhận diện điểm không nhất quán và chuẩn bị tài liệu đánh giá theo yêu cầu áp dụng. Tuy nhiên, kết luận tự động phải truy vết được đến thông tin thực tế đã kiểm chứng và chịu giám sát phù hợp của con người. Tự động hóa không thể biến hoạt động xử lý dữ liệu cá nhân chưa được ghi nhận thành hoạt động đã được kiểm chứng.
Giá trị nằm ở kết nối nghĩa vụ pháp lý, trách nhiệm vận hành, bằng chứng và đánh giá trong quy trình tuân thủ được duy trì, vượt ra ngoài việc tạo báo cáo.
Câu hỏi mọi doanh nghiệp cần đặt ra trước khi nộp
Liên kết đến phần này ↗Trước khi phê duyệt DPIA hoặc CbTIA để nộp, lãnh đạo cần hỏi: chúng ta có chứng minh được thông tin trong đánh giá phản ánh chính xác cách tổ chức đang thu thập, xử lý, bảo vệ và chuyển dữ liệu cá nhân hôm nay không?
Có xác định được bên xử lý và bên nhận ở nước ngoài liên quan? Có giải thích được luồng dữ liệu và mục đích xử lý dữ liệu cá nhân trọng yếu? Có chứng minh được cơ chế về sự đồng ý hoặc điều kiện pháp lý khác? Có bằng chứng cho biện pháp bảo vệ dữ liệu cá nhân kỹ thuật, tổ chức? Có giải thích được rủi ro đã nhận diện, hành động khắc phục và thiếu sót còn lại? Có duy trì được bằng chứng khi hệ thống, nhà cung cấp và hoạt động kinh doanh thay đổi?
Nếu chưa trả lời đầy đủ, doanh nghiệp còn công việc ngoài việc chuẩn bị hai biểu mẫu. Đánh giá tác động nhằm làm rõ hoạt động xử lý dữ liệu cá nhân, biện pháp bảo vệ dữ liệu cá nhân và rủi ro, gắn với trách nhiệm giải trình. Hồ sơ nộp phải là kết quả được ghi nhận của công việc đó.
“DPIA hoặc CbTIA có cơ sở vững chắc là nơi hội tụ quản trị được ghi nhận, kiểm soát đã triển khai và bằng chứng có thể kiểm chứng; không phải nơi tuân thủ bắt đầu.”
Khung bảo vệ dữ liệu cá nhân Việt Nam đang thúc đẩy doanh nghiệp tiến xa hơn chính sách quyền riêng tư và tài liệu hành chính để thể hiện trách nhiệm giải trình rõ hơn. Tổ chức có vị thế tốt là tổ chức chứng minh được cả cam kết trong chính sách và việc hệ thống, con người, quy trình thực sự làm.
DPIA và CbTIA là đánh giá dựa trên bằng chứng do chương trình tuân thủ tạo ra. Bài học cho doanh nghiệp Việt Nam rất rõ: hiểu dữ liệu, thiết lập kiểm soát, kiểm chứng bằng chứng, đánh giá mức độ rủi ro, nộp hồ sơ phản ánh thực tế và duy trì tuân thủ khi tổ chức thay đổi.
Ronni K. Gothard Christiansen — Kỹ sư kỹ thuật bảo vệ quyền riêng tư & CEO, AesirX.io.
Tải cẩm nang chuẩn bị nộp DPIA và CbTIA tại Việt Nam
Liên kết đến phần này ↗Cẩm nang tiếng Anh gồm 29 trang trình chiếu với danh sách 19 điểm kiểm tra, yêu cầu bằng chứng, mốc thời gian pháp lý và phương pháp chuẩn bị hồ sơ thực tiễn.
Tài liệu pháp luật tham chiếu
Liên kết đến phần này ↗- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Ban hành ngày 26 tháng 6 năm 2025; hiệu lực ngày 1 tháng 1 năm 2026. Các điều liên quan gồm Điều 8, 9, 19, 20, 21, 22, 37, 38 và 39. Văn bản trên Cổng thông tin Chính phủ.
- Nghị định 356/2025/NĐ-CP: Ban hành ngày 31 tháng 12 năm 2025; hiệu lực ngày 1 tháng 1 năm 2026; quy định chi tiết thi hành PDPL. Các điều liên quan gồm Điều 13–20 và 41, đặc biệt Điều 18–19 về hồ sơ đánh giá tác động và Điều 20 về cập nhật. Văn bản trên Cổng thông tin Chính phủ.
- Nghị định 330/2026/NĐ-CP: Ban hành và có hiệu lực ngày 19 tháng 8 năm 2026; quy định xử phạt hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân. Điều 55–57 liên quan DPIA, chuyển dữ liệu cá nhân xuyên biên giới và nhân sự bảo vệ dữ liệu. Văn bản trên Cổng thông tin Chính phủ.
- Nghị định 392/2026/NĐ-CP: Ban hành ngày 20 tháng 10 năm 2026; hiệu lực ngày 15 tháng 11 năm 2026. Chương VII sửa một số thủ tục đánh giá, nộp và cập nhật theo Nghị định 356/2025. Các điều liên quan gồm Điều 42–45 và quy định chuyển tiếp tại Điều 48–49. Văn bản trên Cổng thông tin Chính phủ.
Miễn trừ trách nhiệm pháp lý
Liên kết đến phần này ↗Bài viết chỉ cung cấp thông tin và kiến thức chung; không phải tư vấn pháp lý, đánh giá chính thức của cơ quan quản lý, dịch vụ đại diện pháp lý hoặc xác nhận tổ chức cụ thể tuân thủ pháp luật Việt Nam.
Phân tích phản ánh pháp luật và tài liệu quản lý có sẵn đến ngày 28 tháng 10 năm 2026, gồm sửa đổi dự kiến có hiệu lực ngày 15 tháng 11 năm 2026. Nghĩa vụ, miễn trừ, thời hạn nộp, thủ tục hành chính và chế tài tiềm tàng thực tế phụ thuộc sự việc và pháp luật áp dụng.
Nhóm công việc vận hành, nhóm bằng chứng, trạng thái sẵn sàng và danh sách kiểm tra trong bài là phương pháp tuân thủ được khuyến nghị; không nên hiểu là biểu mẫu hoặc yêu cầu nộp bổ sung do pháp luật Việt Nam đặt ra.
Tổ chức nên xin tư vấn của chuyên gia pháp lý Việt Nam có năng lực và tham khảo hướng dẫn chính thức của Bộ Công an trước khi xác định nghĩa vụ, dựa vào miễn trừ, nộp hồ sơ, xử lý vi phạm tiềm tàng hoặc đánh giá mức độ rủi ro bị xử lý.
Công nghệ tuân thủ, tài liệu tự động và đánh giá có AI hỗ trợ có thể hỗ trợ quản trị, quản lý rủi ro và chuẩn bị bằng chứng; không thay thế tư vấn pháp lý có chuyên môn, nhân sự bảo vệ dữ liệu chịu trách nhiệm, trách nhiệm giải trình của ban điều hành hay rà soát độc lập của con người.
Tình huống doanh nghiệp trong bài mang tính minh họa, không tiết lộ hoặc đưa ra nhận định về tình trạng tuân thủ của tổ chức có thể xác định danh tính.
