Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là một tài liệu pháp lý quan trọng mà mọi doanh nghiệp cần soạn thảo để tuân thủ pháp luật, nhưng việc thực hiện đúng và đủ có thể là một thách thức lớn. Để giúp doanh nghiệp vượt qua rào cản này, DPVN cung cấp hướng dẫn lập hồ sơ toàn diện từng bước theo quy định mới nhất của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, giúp doanh nghiệp hoàn thiện bộ hồ sơ, đảm bảo tuân thủ pháp luật và quản lý rủi ro hiệu quả.
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là gì?
Trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hoạt động đánh giá tác động được quy định cụ thể tại Khoản 12, Điều 2:
- “Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân.”
- Có thể hiểu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là tài liệu do Bên Kiểm soát, Bên Xử lý hoặc Bên Kiểm soát và Xử lý dữ liệu cá nhân lập ra để phân tích, đánh giá các rủi ro tiềm ẩn đối với quyền của chủ thể dữ liệu, từ đó đề ra các biện pháp quản lý và kỹ thuật (mã hóa, khử nhận dạng…) phù hợp để giảm thiểu những rủi ro đó.
Theo quy định tại Điều 21 của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, việc lập và lưu trữ hồ sơ này là một nghĩa vụ bắt buộc đối với tổ chức hoặc cá nhân có hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
Đây không chỉ là một thủ tục hành chính mà còn là một công cụ quản trị rủi ro chiến lược. Hồ sơ này phải được lập, lưu trữ kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân và phải được gửi 01 bản chính đến Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05, Bộ Công an) trong thời gian 60 ngày.
Tại sao việc lập hồ sơ này lại quan trọng đối với doanh nghiệp?
Lập hồ sơ đánh giá tác động không chỉ là nghĩa vụ tuân thủ pháp luật để tránh các mức phạt nặng (lên tới 5% tổng doanh thu hoặc 3 tỷ đồng), mà còn là một bước đi chiến lược giúp doanh nghiệp xây dựng lòng tin với khách hàng, nâng cao uy tín thương hiệu và tạo ra lợi thế cạnh tranh bền vững trong nền kinh tế số.
Việc chủ động thực hiện đánh giá tác động và xây dựng hồ sơ mang lại nhiều lợi ích thiết thực cho doanh nghiệp, vượt xa mục đích đối phó với quy định:
- Giảm thiểu rủi ro pháp lý: Hoàn thành hồ sơ là bằng chứng cho thấy doanh nghiệp đã thực hiện trách nhiệm của mình một cách nghiêm túc, là cơ sở vững chắc để giải trình trước cơ quan chức năng khi có thanh tra, kiểm tra.
- Xây dựng niềm tin với khách hàng và đối tác: Một quy trình xử lý dữ liệu minh bạch, có trách nhiệm sẽ giúp củng cố niềm tin của khách hàng và đối tác, yếu tố then chốt trong kinh doanh hiện đại.
- Nâng cao hiệu quả quản trị nội bộ: Quá trình đánh giá giúp doanh nghiệp rà soát lại toàn bộ luồng dữ liệu, từ đó tối ưu hóa quy trình, xác định rõ trách nhiệm của từng bộ phận và tăng cường các biện pháp bảo mật.
- Tạo lợi thế cạnh tranh: Trong bối cảnh người tiêu dùng ngày càng quan tâm đến quyền riêng tư, việc tuân thủ nghiêm ngặt các quy định về bảo vệ dữ liệu cá nhân sẽ là một điểm cộng lớn, giúp doanh nghiệp nổi bật so với các đối thủ.
Những đối tượng nào bắt buộc phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?
Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Bên Kiểm soát, Bên Xử lý và Bên Kiểm soát và Xử lý dữ liệu cá nhân đều có nghĩa vụ lập, lưu trữ và gửi Hồ sơ đánh giá tác động cho cơ quan chuyên trách.
Tuy nhiên, pháp luật cũng có những chính sách khoan hồng sâu rộng nhằm giảm gánh nặng tuân thủ cho một số đối tượng. Cụ thể, theo Điều 38 của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 41 Nghị định 356/2025/NĐ-CP:
- Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp: Được quyền lựa chọn không thực hiện quy định lập hồ sơ đánh giá tác động trong 05 năm đầu kể từ ngày Luật có hiệu lực (01/01/2026).
- Hộ kinh doanh và doanh nghiệp siêu nhỏ: Không phải thực hiện quy định này.
Lưu ý quan trọng: Các trường hợp miễn trừ trên SẼ BỊ HỦY BỎ (không được áp dụng) nếu doanh nghiệp, hộ kinh doanh thuộc một trong các trường hợp: (1) Kinh doanh dịch vụ xử lý dữ liệu cá nhân; (2) Trực tiếp xử lý dữ liệu cá nhân nhạy cảm; hoặc (3) Xử lý dữ liệu cá nhân của số lượng lớn chủ thể (từ 100.000 chủ thể trở lên tính lũy kế).
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao gồm những nội dung nào?
Một Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đầy đủ phải bao gồm các nội dung chính: thông tin của các bên liên quan, mục đích xử lý, loại dữ liệu, luồng dữ liệu, chính sách lưu trữ/xóa hủy, biện pháp bảo đảm an toàn và đánh giá mức độ ảnh hưởng, rủi ro theo Mẫu số 10 Nghị định 356/2025/NĐ-CP.
Nội dung chi tiết của hồ sơ được quy định tại Khoản 2, Khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP và được chuẩn hóa bằng biểu mẫu do Bộ Công an ban hành. Dưới đây là bảng tóm tắt các nội dung chính mà doanh nghiệp cần chuẩn bị:
| STT | Nội dung chính | Mô tả chi tiết |
|---|---|---|
| 1 | Thông tin các bên liên quan | Tên, địa chỉ, mã số thuế, thông tin liên lạc của doanh nghiệp và của bộ phận/nhân sự phụ trách bảo vệ dữ liệu cá nhân của Bên Kiểm soát, Bên Xử lý, Bên thứ ba. |
| 2 | Mục đích và luồng xử lý | Mô tả rõ ràng mục đích xử lý, loại dữ liệu, chi tiết hoạt động xử lý và sơ đồ luồng dữ liệu cá nhân. |
| 3 | Chính sách đồng ý và lưu trữ | Giải trình việc xin sự đồng ý của chủ thể; chính sách lưu trữ, xóa, hủy dữ liệu. |
| 4 | Biện pháp bảo vệ được áp dụng | Phương án bảo đảm an toàn, sơ đồ thiết kế hệ thống, tiêu chuẩn bảo vệ dữ liệu được áp dụng. |
| 5 | Kết quả tuân thủ | Đánh giá việc tuân thủ các quy định về bảo vệ dữ liệu cá nhân hiện hành. |
| 6 | Đánh giá rủi ro và giảm thiểu | Đánh giá mức độ ảnh hưởng, hậu quả có khả năng xảy ra và các biện pháp giảm thiểu, loại bỏ nguy cơ. |
Bộ hồ sơ nộp cho cơ quan chức năng gồm những giấy tờ gì?
Bộ hồ sơ hoàn chỉnh theo quy định mới bao gồm: 01 bản Thông báo gửi hồ sơ (Mẫu số 02a/02b); Báo cáo đánh giá tác động (Mẫu số 10); Bản sao hợp đồng/thỏa thuận xử lý dữ liệu; và Các chính sách, quy trình, tài liệu liên quan đến bảo vệ dữ liệu của tổ chức.
Theo hướng dẫn tại Nghị định 356/2025/NĐ-CP, các tổ chức và cá nhân gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm các thành phần sau:
| STT | Thành phần hồ sơ | Chi tiết / Ghi chú | Số lượng |
|---|---|---|---|
| 1 | Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân | Mẫu số 02a: Đối với chủ hồ sơ là tổ chức.
Mẫu số 02b: Đối với chủ hồ sơ là cá nhân. |
01 bản chính |
| 2 | Báo cáo đánh giá tác động xử lý dữ liệu cá nhân | Kê khai theo Mẫu số 10 (Phụ lục Nghị định 356/2025/NĐ-CP). Áp dụng chung, phân khai rõ vai trò bên trong biểu mẫu. | 01 bản chính |
| 3 | Thỏa thuận với các bên liên quan | Bản sao hợp đồng hoặc văn bản thỏa thuận về việc xử lý dữ liệu cá nhân, thể hiện sự ràng buộc, trách nhiệm giữa các bên. | 01 bản sao |
| 4 | Chính sách, quy định nội bộ | Chính sách, quy trình, biểu mẫu (ví dụ form xin sự đồng ý) và các tài liệu liên quan về bảo vệ dữ liệu cá nhân của tổ chức. | 01 bản sao |
Hướng dẫn chi tiết 5 bước lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?
Quy trình lập hồ sơ bao gồm 5 bước cốt lõi: (1) Xác định vai trò và phạm vi xử lý; (2) Thu thập thông tin chi tiết về hoạt động xử lý; (3) Phân tích, đánh giá tác động và rủi ro; (4) Soạn thảo hồ sơ theo Mẫu số 10; (5) Nộp hồ sơ cho Cục A05 trong vòng 60 ngày.
Để đảm bảo hồ sơ được đầy đủ và chính xác, doanh nghiệp nên tuân thủ một quy trình chặt chẽ. Dưới đây là 5 bước mà DPVN khuyến nghị:
- Bước 1: Xác định vai trò và phạm vi
Doanh nghiệp cần xác định rõ vai trò của mình là Bên Kiểm soát, Bên Xử lý, hay đồng thời cả hai. Từ đó, xác định phạm vi của các hoạt động xử lý, bao gồm các hệ thống, quy trình, và các bộ phận liên quan trong tổ chức. - Bước 2: Thu thập thông tin chi tiết
Thành lập nhóm làm việc (pháp chế, IT, nhân sự, kinh doanh) để thu thập đầy đủ thông tin về luồng dữ liệu, các hợp đồng với bên thứ ba, chính sách bảo mật hiện hành. - Bước 3: Phân tích và đánh giá tác động
Xác định các mối đe dọa (truy cập trái phép, lộ lọt dữ liệu) và đánh giá mức độ rủi ro. Đề xuất các biện pháp kiểm soát phù hợp.💡 DPVN chia sẻ: “Một hồ sơ mạnh cần thể hiện cả các biện pháp quản lý, ví dụ như ban hành quy chế nội bộ, tổ chức đào tạo nhân sự (theo chuẩn Nghị định 356), và quy định rõ ràng về quy trình xử lý sự cố, bên cạnh các biện pháp kỹ thuật như mã hóa hay tường lửa.”
- Bước 4: Soạn thảo hồ sơ theo mẫu chuẩn
Tiến hành điền thông tin vào Mẫu số 10 (Báo cáo đánh giá tác động xử lý dữ liệu cá nhân) do Bộ Công an ban hành kèm theo Nghị định 356/2025/NĐ-CP. Ngôn ngữ sử dụng cần rõ ràng, chính xác và nhất quán. - Bước 5: Nộp hồ sơ và lưu trữ
Doanh nghiệp nộp 01 bản chính của bộ Hồ sơ kèm theo 01 bản Thông báo gửi hồ sơ (Mẫu số 02a) đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an (trực tuyến, bưu chính hoặc trực tiếp) trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý dữ liệu.
Lưu ý từ cơ quan chức năng: Theo khoản 5, 6 Điều 19 Nghị định 356, Cơ quan chuyên trách sẽ đánh giá và trả kết quả trong 15 ngày. Nếu hồ sơ chưa đầy đủ, doanh nghiệp sẽ nhận được yêu cầu hoàn thiện và có 30 ngày để bổ sung. Việc không hoàn thiện đúng hạn sẽ bị xem xét xử phạt vi phạm hành chính.
Những sai lầm phổ biến nào cần tránh khi lập hồ sơ?
Các sai lầm thường gặp bao gồm: mô tả mục đích xử lý dữ liệu một cách chung chung, không liệt kê đầy đủ các loại dữ liệu được xử lý, bỏ qua việc mô tả các biện pháp quản lý, đánh giá rủi ro sơ sài và không đề xuất biện pháp giảm thiểu cụ thể.
Dựa trên kinh nghiệm tư vấn cho nhiều doanh nghiệp, DPVN đã tổng hợp 5 sai lầm phổ biến mà các tổ chức thường mắc phải:
- Mục đích xử lý không rõ ràng: Ghi chung chung “để cải thiện dịch vụ” là không đạt. Cần chi tiết hóa: “phân tích hành vi mua sắm để cá nhân hóa đề xuất sản phẩm”.
- Thiếu sót bên liên quan: Bỏ quên việc kê khai các nhà cung cấp dịch vụ bên thứ ba (dịch vụ cloud, marketing agency,…).
- Đánh giá rủi ro hình thức: Chỉ nêu rủi ro bề mặt mà không đi sâu phân tích nguyên nhân và tác động đến chủ thể dữ liệu.
- Biện pháp bảo vệ không tương xứng: Áp dụng biện pháp cơ bản cho dữ liệu nhạy cảm (ví dụ: dữ liệu sức khỏe, sinh trắc học theo Điều 31 Luật 91/2025/QH15).
- Không cập nhật hồ sơ: Lập hồ sơ một lần rồi quên, vi phạm nghĩa vụ cập nhật định kỳ.
Khi nào doanh nghiệp cần cập nhật hồ sơ đánh giá tác động đã nộp?
Theo Điều 22 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Điều 20 Nghị định 356/2025/NĐ-CP, hồ sơ phải được cập nhật định kỳ 06 tháng một lần khi có sự thay đổi. Đặc biệt, phải cập nhật ngay trong 10 ngày nếu có thay đổi về tổ chức lại doanh nghiệp, thay đổi nhà cung cấp dịch vụ bảo vệ dữ liệu, hoặc thay đổi ngành nghề kinh doanh.
Cập nhật hồ sơ là nghĩa vụ liên tục. Các trường hợp cần sử dụng Mẫu số 03a/03b để cập nhật ngay trong vòng 10 ngày bao gồm:
- Cơ quan, tổ chức được chia, tách, sáp nhập, giải thể, phá sản.
- Thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
- Phát sinh hoặc thay đổi ngành, nghề kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký.
Câu hỏi thường gặp về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
1. Nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân ở đâu?
Hồ sơ cần được nộp đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an bằng phương thức trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, nộp trực tiếp hoặc qua dịch vụ bưu chính.
2. Thời hạn gửi hồ sơ là bao lâu?
Doanh nghiệp phải nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong vòng 60 ngày kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân (hoặc từ ngày đầu tiên chuyển dữ liệu xuyên biên giới).
3. Nếu không nộp hồ sơ thì doanh nghiệp sẽ bị xử phạt như thế nào?
Hành vi không tuân thủ quy định về lập, nộp hồ sơ sẽ bị xử phạt theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Mức phạt tiền tối đa có thể lên đến 5% doanh thu năm liền kề (đối với vi phạm chuyển dữ liệu xuyên biên giới) hoặc tối đa 03 tỷ đồng đối với các vi phạm khác.
4. Đã nộp hồ sơ theo Nghị định 13/2023 thì có phải nộp lại theo Luật mới không?
Không. Theo Điều 39 Luật 91/2025/QH15 (Quy định chuyển tiếp), các hồ sơ đã được tiếp nhận trước ngày Luật có hiệu lực (01/01/2026) thì tiếp tục được sử dụng. Doanh nghiệp chỉ cần cập nhật hồ sơ theo Luật mới khi đến hạn cập nhật hoặc có thay đổi.
5. Có thể thuê một đơn vị bên ngoài để lập hồ sơ được không?
Hoàn toàn có thể. Doanh nghiệp có thể thuê các tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (đáp ứng điều kiện theo Nghị định 356) như DPVN để thực hiện đánh giá và soạn thảo hồ sơ. Tuy nhiên, trách nhiệm pháp lý cuối cùng vẫn thuộc về doanh nghiệp (Bên Kiểm soát hoặc Bên Xử lý).
Việc lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo khung pháp lý mới là một nhiệm vụ đòi hỏi sự am hiểu sâu sắc về cả pháp lý và kỹ thuật bảo mật. Để đảm bảo tuân thủ đầy đủ và loại bỏ rủi ro bị phạt, việc tìm đến sự hỗ trợ từ các chuyên gia là một lựa chọn tối ưu.
Để nhận biểu mẫu mới nhất và được tư vấn lộ trình tuân thủ an toàn, hãy truy cập website baovedlcn.vn hoặc liên hệ trực tiếp với chuyên gia của DPVN
Hotline: 0982976486
Email: info@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Hà Nội
dạ em chào anh chị , em là nhân sự 1 công ty nước ngoài hiện cũng đang bắt đầu tìm hiểu và thực hiện lập hồ sơ ĐGTĐXLDL cho em hỏi khi làm hồ sơ mình liệt kê các bên xử lý dữ liệu như ngân hàng, công ty bảo hiểm,… thì cần liệt kê hết hay chỉ cần 1 bên đại diện là được ạ ? mong anh chị giải đáp .em cảm ơn
dạ em chào anh chị, em đang chuẩn bị thực hiện lập hồ sơ ĐGTĐXLDL.
Tuy nhiên tại mục II, III mẫu Đ24-DLCN-01 có phần liệt kê thông tin của bên XLDLCN (theo HĐ) yêu cầu đính kèm bản sao HĐ. Như vậy nếu trong trường hợp công ty em phát sinh đến vài trăm HĐ thì xử lý như thế nào ạ? Mong anh chị giải đáp, em cảm ơn
Chào bạn,
Về vấn đề xử lý trường hợp phát sinh hợp đồng số lượng lớn, DPVN có những phương án để giải quyết vấn đề trên.
Bạn vui lòng liên hệ với chúng tôi qua Hotline/Zalo: 0982976486 để được Luật sư tư vấn chi tiết bạn nhé.
Hoặc bạn vui lòng để lại số điện thoại để luật sư liên hệ hỗ trợ cho bạn.
dạ em chào anh chị , em là nhân sự 1 công ty nước ngoài hiện cũng đang bắt đầu tìm hiểu và thực hiện lập hồ sơ ĐGTĐXLDL cho em hỏi khi làm hồ sơ mình liệt kê các bên xử lý dữ liệu như ngân hàng, công ty bảo hiểm,… thì cần liệt kê hết hay chỉ cần 1 bên đại diện là được ạ ? mong anh chị giải đáp .
Chào bạn,
Bất kỳ đối tác, khách hàng nào có phát sinh hoạt động “xử lý dữ liệu cá nhân” với doanh nghiệp mình thì đều cần phải liệt kê bạn nhé.
Mời bạn tham khảo bài viết: https://baovedlcn.vn/5-hanh-vi-bi-nghiem-cam-ve-xu-ly-du-lieu-ca-nhan/#:~:text=%C4%90i%E1%BB%81u%20n%C3%A0y%20c%C3%B3%20ngh%C4%A9a%20l%C3%A0,t%E1%BB%AD%20ho%E1%BA%B7c%20kh%C3%B4ng%20%C4%91i%E1%BB%87n%20t%E1%BB%AD.