Sắp có hiệu lực — 15 tháng 11 năm 2026. Thủ tục sửa đổi đối với hồ sơ đánh giá tác động và giấy chứng nhận.
Phạm vi và trạng thái
Liên kết đến phần này ↗Nghị định 392/2026/NĐ-CP của Chính phủ được ban hành ngày 20 tháng 10 năm 2026, có hiệu lực chung từ ngày 15 tháng 11 năm 2026 theo Điều 48. Trước ngày đó, nghị định chưa có hiệu lực.
Nghị định sửa nhiều thủ tục hành chính, điều kiện đầu tư kinh doanh trong lĩnh vực an ninh, trật tự. Chương VII, Điều 42–47, sửa các thủ tục bảo vệ dữ liệu cá nhân của Nghị định 356/2025/NĐ-CP. Phần này tập trung vào hồ sơ đánh giá tác động, cập nhật và giấy chứng nhận kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Hồ sơ đánh giá tác động vẫn nộp về cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày từ khi bắt đầu xử lý hoặc chuyển dữ liệu. Cơ quan này phân loại, có thể chuyển Công an cấp tỉnh; một trong ba kết quả “đạt”, “đạt cần bổ sung” hoặc “không đạt” được trả trong 11 ngày làm việc. Hồ sơ chuyển chưa đầy đủ hoặc chưa đúng quy định và hồ sơ xử lý chưa hợp lệ hoặc không đạt được hoàn thiện trong 30 ngày. Hồ sơ xử lý không đạt cần được hoàn thiện, không tự đóng.
Nghị định không bỏ nghĩa vụ nộp, không thay thành phần hồ sơ đánh giá, không thay biểu mẫu và không đặt mức phạt. Không hoàn thiện hồ sơ có thể bị xử lý theo pháp luật xử phạt vi phạm hành chính.
Từ ngày 15 tháng 11 năm 2026, Nghị định 392/2026/NĐ-CP thay thế thủ tục của Nghị quyết 22 đối với hồ sơ dữ liệu cá nhân được tiếp nhận từ ngày đó. Nghị quyết 22 không bị bãi bỏ toàn bộ và ghi hiệu lực đến hết ngày 1 tháng 3 năm 2027. Hồ sơ được tiếp nhận từ ngày 29 tháng 4 đến ngày 14 tháng 11 năm 2026 tiếp tục theo Nghị định 356 được áp dụng cùng Nghị quyết 22. Đây là cách hiểu làm việc của ComplianceOne, còn chờ xác nhận pháp lý, không phải giải thích của cơ quan có thẩm quyền.
Khoản 3 Điều 49 lấy ngày cơ quan tiếp nhận hồ sơ đánh giá hoặc giấy chứng nhận, không lấy ngày tổ chức gửi. Quy định chuyển tiếp không nêu hồ sơ cập nhật.
Quan hệ với Nghị định 356 và Nghị quyết 22
Liên kết đến phần này ↗Nghị định 356 tiếp tục là nghị định hướng dẫn Luật Bảo vệ dữ liệu cá nhân cùng các Mẫu số chính thức. Nghị định 392 ghi nhiều thay đổi đã được Nghị quyết 22 áp dụng vào Nghị định 356, đồng thời bổ sung tiêu chí chuyển, kết quả thứ ba, thời hạn 11 ngày làm việc, thẩm quyền xử phạt của hai cấp và nơi nhận cập nhật theo thẩm quyền.
Nghị định cũng sửa Nghị định 69/2024/NĐ-CP và Nghị định 347/2026/NĐ-CP. Điều 32 thay thủ tục tài khoản định danh điện tử của tổ chức; Điều 50 sửa các danh mục sửa đổi, bãi bỏ của Nghị định 347. Không suy diễn hiệu lực riêng của Nghị định 392 từ ngày áp dụng được sửa trong văn bản khác.
Điều khoản và hồ sơ cần giữ
Liên kết đến phần này ↗| Căn cứ | Nội dung | Hồ sơ thực tế |
|---|---|---|
| Khoản 1 Điều 43 | Hồ sơ chuyển dữ liệu luôn sẵn sàng cho cơ quan Bộ và Công an cấp tỉnh kiểm tra; nộp về cơ quan Bộ trực tuyến, trực tiếp hoặc bưu chính trong 60 ngày từ khi chuyển | Mẫu số 01a/01b, hồ sơ và bằng chứng ngày tiếp nhận |
| Khoản 1 Điều 44 | Hồ sơ xử lý luôn sẵn sàng cho hai cấp; nộp qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính về cơ quan Bộ trong 60 ngày từ khi xử lý | Mẫu số 02a/02b, hồ sơ và bằng chứng tiếp nhận |
| Khoản 2 Điều 43, khoản 2 Điều 44 | Cơ quan Bộ phân loại, chuyển theo tiêu chí Bộ trưởng; cơ quan Bộ hoặc Công an cấp tỉnh trả một trong ba kết quả trong 11 ngày làm việc | Từng văn bản cùng ngày tổ chức nhận |
| Khoản 3 Điều 43 | Hoàn thiện hồ sơ chuyển chưa đầy đủ hoặc chưa đúng quy định trong 30 ngày | Nội dung hoàn thiện, ngày nhận; xử phạt theo thẩm quyền nếu không thực hiện |
| Khoản 3 Điều 44 | Hoàn thiện hồ sơ xử lý chưa hợp lệ hoặc không đạt trong 30 ngày | Hồ sơ hoàn thiện; không coi kết quả không đạt là tự kết thúc |
| Điều 45 | Cập nhật theo Mẫu số 03a/03b đến cơ quan Bộ hoặc Công an cấp tỉnh theo thẩm quyền | Cơ quan thực tế nhận, cơ quan có thẩm quyền và văn bản chứng minh |
| Điều 46 | Hồ sơ giấy chứng nhận gồm đơn Mẫu số 04, chỉ định bộ phận hoặc hợp đồng dịch vụ bảo vệ dữ liệu, đề án và bằng cấp, giấy tờ chứng minh của nhân sự | Một bộ bốn thành phần; bỏ bản sao đăng ký kinh doanh; đánh giá trong 08 ngày làm việc |
| Điều 47 | Cấp lại, cấp đổi khi mất, hỏng, sai thông tin hoặc thay nội dung, trong 05 ngày làm việc từ nhận đơn đúng quy định; từ chối phải nêu lý do bằng văn bản | Mẫu số 06 và tài liệu chứng minh; không phải gia hạn |
| Khoản 3 Điều 49 | Hồ sơ đánh giá và giấy chứng nhận tiếp nhận trước ngày hiệu lực tiếp tục theo Nghị định 356 | Biên nhận quyết định giai đoạn |
| Điều 32 | Đại diện theo pháp luật, người đứng đầu hoặc người được ủy quyền dùng tài khoản định danh mức 2 trên VNeID sau khi các đại diện khác đồng ý, hoặc nộp Mẫu TK02 tại Công an cấp xã lựa chọn | Đồng ý của đại diện khác và đơn của tổ chức |
Giấy chứng nhận chỉ áp dụng với tổ chức kinh doanh dịch vụ thuộc Điều 21 Nghị định 356. Bên kiểm soát, bên xử lý hoặc nhà cung cấp phần mềm không tự động thuộc diện; dịch vụ cung cấp cụ thể mới quyết định phạm vi.
Mốc chưa được văn bản giải quyết rõ
Liên kết đến phần này ↗Các cách hiểu làm việc sau còn chờ xác nhận pháp lý, không phải diễn giải của cơ quan. Với hồ sơ thực tế, tổ chức cần tư vấn cho vụ việc:
- Tiêu chí chuyển hồ sơ: nghị định giao Bộ trưởng quy định tiêu chí địa bàn, quy mô, lĩnh vực nhưng không nêu văn bản cụ thể; nguồn đã rà soát chưa xác định văn bản công bố. Không tự phân tuyến theo giả định.
- Cơ quan xử lý: nơi nộp và nơi xử lý là hai sự kiện khác nhau. Chỉ ghi cơ quan xử lý khi có văn bản, kèm ngày và bằng chứng; trước đó vẫn chưa rõ. Văn bản không nói cách tổ chức được biết việc chuyển.
- “Đạt cần bổ sung”: là kết quả riêng nhưng tên gọi không tự khởi động 30 ngày. Giữ kết quả và yêu cầu bổ sung cụ thể riêng; không lập hạn cuối khi chưa có sự kiện kích hoạt được chứng minh. Hai loại đánh giá có điều khoản hoàn thiện khác nhau.
- 11 ngày làm việc: Điều 43–44 không nêu điểm bắt đầu. Cách làm việc tạm thời dùng ngày cơ quan nhận đủ hồ sơ hợp lệ, chỉ cho ngày tham khảo.
- 30 ngày: văn bản không nêu điểm bắt đầu. Cách làm việc tạm dùng ngày tổ chức nhận yêu cầu hoặc kết quả; giữ cả ngày văn bản và ngày thực nhận, chưa ấn định hạn cuối khi chưa xác nhận mốc.
- 11 ngày của hồ sơ giấy chứng nhận thiếu: khoản 2 Điều 46 đặt thời lượng cạnh việc thông báo và yêu cầu bổ sung, không nói rõ ràng buộc cơ quan hay tổ chức. Cách đọc làm việc coi đó là thời gian cơ quan gửi thông báo; để thận trọng, phản hồi trong 11 ngày làm việc từ nhận thông báo, trừ khi thông báo nêu hạn khác. Giữ ngày, lý do và bản thông báo. Không trình bày cách đọc này như kết luận đã được xác nhận.
- Kết quả không đạt: tự nó không đình chỉ toàn bộ hoạt động xử lý hoặc chuyển dữ liệu. Giữ lý do, khắc phục và rủi ro xử phạt; đọc riêng điều khoản của từng loại hồ sơ.
- Cập nhật: lưu nơi thực tế gửi và cơ quan có thẩm quyền; không mặc định gửi Công an cấp tỉnh. Quy định chuyển tiếp không nêu cập nhật.
ComplianceOne hỗ trợ chuẩn bị và theo dõi
Liên kết đến phần này ↗Khi thêm Nghị định 392 vào không gian làm việc, văn bản hiện là sắp có hiệu lực đến ngày 15 tháng 11 năm 2026. Từng yêu cầu có điều khoản; nghĩa vụ tổ chức được đánh dấu bắt buộc. Hai nội dung mô tả công việc cơ quan, ba quy tắc đọc về hiệu lực, chuyển tiếp, Nghị định 347 và bốn thực hành khuyến nghị không được đánh dấu bắt buộc.
Bốn khuyến nghị là: tách nơi nộp và nơi xử lý; tách kết quả “đạt cần bổ sung” khỏi yêu cầu cụ thể; giữ biên nhận mọi hồ sơ và cập nhật; lưu thông báo hồ sơ giấy chứng nhận thiếu và xử lý thận trọng thời hạn 11 ngày nêu trên. Đây không phải nghĩa vụ mới do sản phẩm đặt ra.
Hồ sơ xử lý và chuyển dữ liệu được quản lý cùng Mẫu số chính thức từ Danh mục biểu mẫu. Mỗi lần nộp lưu kênh, ngày gửi, số biên nhận, số theo dõi và ngày xác nhận tiếp nhận. Hồ sơ sửa đổi nối tiếp hồ sơ trước; mỗi thay đổi ghi người và thời điểm trong nhật ký kiểm toán.
Trên hồ sơ đã nộp, tổ chức ghi từng văn bản của cơ quan: xác nhận tiếp nhận, thông báo chuyển hồ sơ, thông báo kết quả, yêu cầu bổ sung, từ chối hoặc văn bản khác. Mỗi bản ghi giữ tên cơ quan gửi như trong văn bản, số tham chiếu, ngày văn bản, ngày nhận của tổ chức, nguyên văn kết quả, các mục và thời hạn được nêu, cùng tài liệu bằng chứng. Đính chính là bản ghi mới, không ghi đè bản cũ.
Các văn bản này chỉ được lưu như tài liệu; chúng không tự đổi trạng thái, kết quả, thời hạn hay cơ quan xử lý. Hồ sơ hiện chỉ ghi kết quả chấp nhận hoặc từ chối; chưa có trường riêng cho cơ quan xử lý hoặc đủ ba kết quả của Nghị định 392. Kết quả do tổ chức ghi lại không phải phê duyệt của cơ quan và không chứng minh hoạt động xử lý dữ liệu cá nhân đã tuân thủ.
Đối với hồ sơ được tiếp nhận từ ngày 15 tháng 11 năm 2026, Nghị định 392 thay thời hạn trả kết quả 15 ngày bằng 11 ngày làm việc, do cơ quan chuyên trách thuộc Bộ Công an hoặc Công an cấp tỉnh xử lý. Nghị định không nêu sự kiện bắt đầu 11 ngày làm việc hoặc 30 ngày hoàn thiện hồ sơ. Mốc khởi đầu đang chờ xác nhận pháp lý. Ngày 30 ngày mà ComplianceOne tính từ ngày nhận yêu cầu bổ sung theo hồ sơ Quyết định 778 là tạm tính đối với những hồ sơ này, có thể không phù hợp; hiện hồ sơ chưa gắn nhãn tạm tính cho ngày đó. Sản phẩm không tính ngày đến hạn của cơ quan và không tính thời hạn từ các văn bản được ghi nhận.
Tổ chức tự nộp qua kênh đã chọn. ComplianceOne không gửi đến Bộ hoặc Công an, không áp dụng tiêu chí của Bộ trưởng và không dự đoán cơ quan xử lý. Mẫu số 01a/01b, 02a/02b, 03a/03b, 04 và 06 vẫn thuộc Nghị định 356, không phải biểu mẫu mới của Nghị định 392.
Năng lực và nội dung liên quan
Liên kết đến phần này ↗- Đánh giá tác động quản lý đánh giá xử lý, chuyển dữ liệu, lần nộp và biên nhận.
- Biểu mẫu tuân thủ giữ Mẫu số chính thức.
- Nhật ký kiểm toán ghi người và thời điểm thay đổi.
- Luật Bảo vệ dữ liệu cá nhân, Nghị định 356, Quyết định 778 và Nghị quyết 22.
Bước tiếp theo
Liên kết đến phần này ↗Đặt lịch demo để xem hồ sơ, biên nhận và văn bản cơ quan; hoặc liên hệ để rà soát các hồ sơ trước và sau ngày 15 tháng 11 năm 2026. Nội dung chỉ nhằm cung cấp thông tin, không thay thế tư vấn pháp lý.