Từ ngày 01/01/2026, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) không còn là thủ tục theo nghị định mà là nghĩa vụ luật định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Doanh nghiệp đã quen mẫu hồ sơ dưới Nghị định 13/2023 cần biết chính xác ba điểm đã thay đổi: ai phải lập, cập nhật theo cơ chế nào và phần chuyển dữ liệu xuyên biên giới đã tách đi đâu.
Căn cứ pháp lý
Điều 21 Luật 91/2025: chủ thể và thời hạn
Khoản 1 Điều 21 Luật 91/2025 quy định bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân phải lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp cơ quan nhà nước có thẩm quyền tại khoản 6. So với Điều 24 Nghị định 13/2023/NĐ-CP — vốn cũng đặt mốc 60 ngày và một bản chính nộp Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an — điểm mới thực chất nằm ở khoản 3: bên xử lý dữ liệu nay cũng phải lập và lưu trữ hồ sơ đánh giá tác động theo thỏa thuận với bên kiểm soát, thay vì chỉ là đối tượng được nhắc tới trong hồ sơ của bên kiểm soát như dưới chế độ nghị định.
Khoản 2 Điều 21 giữ nguyên tắc thực hiện 01 lần cho suốt thời gian hoạt động, nhưng việc cập nhật được dẫn chiếu sang Điều 22 của Luật — gồm cập nhật định kỳ và cập nhật khi nội dung hồ sơ thay đổi (khoản 5 Điều 21); cơ quan chuyên trách có quyền đánh giá và yêu cầu hoàn thiện hồ sơ chưa đầy đủ theo khoản 4. Thành phần hồ sơ, điều kiện và trình tự do Chính phủ quy định chi tiết tại khoản 7 Điều 21 — được cụ thể hóa trong Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023 từ ngày 01/01/2026, nên biểu mẫu áp dụng từ 2026 là mẫu của khung mới, không còn là mẫu ban hành kèm Nghị định 13/2023.
Phần chuyển xuyên biên giới đã tách thành hồ sơ riêng
Dưới Nghị định 13/2023, doanh nghiệp phải làm hai hồ sơ song song: hồ sơ đánh giá tác động xử lý (Điều 24) và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (Điều 25, mẫu Đ25-DLCN-04). Luật 91/2025 giữ cấu trúc hai hồ sơ nhưng nâng cả hai lên luật: hồ sơ xử lý tại Điều 21 và hồ sơ chuyển dữ liệu cá nhân xuyên biên giới tại Điều 20 — với các trường hợp được miễn lập hồ sơ chuyển tại khoản 6 Điều 20 (chuyển của cơ quan nhà nước có thẩm quyền; lưu trữ dữ liệu người lao động trên dịch vụ điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu của mình; và các trường hợp khác do Chính phủ quy định). Khi rà soát hồ sơ cũ, doanh nghiệp phải tách bạch hai nghĩa vụ này thay vì coi DPIA là một hồ sơ duy nhất cho mọi hoạt động.
Phân tích áp dụng
Câu hỏi chuyển đổi được đặt ra nhiều nhất: hồ sơ đã nộp theo Nghị định 13/2023 có phải lập lại không? Luật 91/2025 không đặt một thời hạn chuyển đổi riêng và không tuyên bố hồ sơ cũ vô hiệu; cơ chế của Điều 21–22 là liên tục — hồ sơ được lập một lần, cập nhật định kỳ và khi thay đổi. Cách xử lý đúng về mặt pháp lý là rà soát hồ sơ hiện có theo cấu trúc của khung mới tại kỳ cập nhật đầu tiên sau ngày 01/01/2026: bổ sung phần bên xử lý (nếu trước đây chưa lập), tách và hoàn thiện hồ sơ chuyển xuyên biên giới theo Điều 20 nếu có luồng chuyển, và thay biểu mẫu sang mẫu của Nghị định 356/2025 khi nộp bản cập nhật. Doanh nghiệp chưa từng nộp hồ sơ dưới chế độ cũ thì không có gì để “chuyển đổi” — nghĩa vụ lập và gửi trong 60 ngày kể từ ngày đầu tiên xử lý áp dụng trực tiếp theo luật mới.
Về nội dung, hồ sơ theo luật mới đòi hỏi hai khối thông tin mà mẫu cũ thường làm sơ sài. Một là tổ chức bảo vệ dữ liệu: khung pháp lý mới luật hóa vai trò của bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân trong doanh nghiệp, nên hồ sơ phải thể hiện rõ đầu mối này thay vì chỉ ghi tên người liên hệ hành chính. Hai là đánh giá rủi ro của chính hoạt động chuyển dữ liệu xuyên biên giới khi nó là một phần của hoạt động xử lý — bên nhận ở nước ngoài, ràng buộc trách nhiệm giữa các bên và biện pháp bảo vệ — vì Điều 20 biến nội dung này thành một hồ sơ độc lập có thể bị kiểm tra riêng (cơ quan chuyên trách được kiểm tra định kỳ không quá 01 lần trong năm hoặc đột xuất theo khoản 4 Điều 20).
Khuyến nghị hành động
- Đối chiếu hồ sơ DPIA hiện có với Điều 21 Luật 91/2025 theo từng khoản: chủ thể lập, mốc 60 ngày, phần bên xử lý, cơ chế cập nhật Điều 22.
- Tách riêng nghĩa vụ Điều 20 nếu có luồng chuyển dữ liệu xuyên biên giới; kiểm tra trường hợp miễn trừ tại khoản 6 Điều 20 trước khi lập hồ sơ chuyển.
- Chuyển biểu mẫu sang khung Nghị định 356/2025/NĐ-CP khi nộp bản cập nhật đầu tiên sau 01/01/2026; không nộp lại theo mẫu Nghị định 13/2023 đã hết hiệu lực.
- Bổ sung vào hồ sơ khối tổ chức bảo vệ dữ liệu (bộ phận/nhân sự phụ trách) và hồ sơ thỏa thuận với các bên xử lý.
- Lập lịch cập nhật định kỳ theo Điều 22 và quy trình kích hoạt cập nhật ngay khi thay đổi hệ thống, nhà cung cấp hoặc mục đích xử lý.
Câu hỏi thường gặp
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Luật 91/2025 khác gì mẫu hồ sơ dưới Nghị định 13/2023?
Ba khác biệt chính. Một, chủ thể lập mở rộng: khoản 3 Điều 21 Luật 91/2025 buộc bên xử lý dữ liệu cũng phải lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát, trong khi Nghị định 13/2023 tập trung nghĩa vụ vào bên kiểm soát và bên kiểm soát và xử lý. Hai, cơ chế cập nhật được luật hóa tại Điều 22 — cập nhật định kỳ và khi nội dung thay đổi, thay cho cách quy định rời rạc của chế độ nghị định. Ba, biểu mẫu và trình tự chi tiết chuyển sang khung Chính phủ quy định theo khoản 7 Điều 21, được cụ thể hóa bởi Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023 từ ngày 01/01/2026. Điểm không đổi là mốc gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý.
Doanh nghiệp đã lập hồ sơ theo mẫu cũ có phải lập lại theo luật mới không, thời hạn chuyển đổi bao lâu?
Luật 91/2025 không đặt thời hạn chuyển đổi riêng và không yêu cầu lập lại từ đầu: cơ chế tại Điều 21–22 là hồ sơ lập một lần và cập nhật liên tục. Việc doanh nghiệp phải làm là tại kỳ cập nhật đầu tiên sau ngày 01/01/2026, rà soát và bổ sung hồ sơ theo cấu trúc mới — phần hồ sơ của bên xử lý, hồ sơ chuyển xuyên biên giới theo Điều 20 nếu có, và biểu mẫu của Nghị định 356/2025. Ngược lại, doanh nghiệp chưa từng lập hồ sơ dưới Nghị định 13/2023 thì áp dụng thẳng mốc 60 ngày của khoản 1 Điều 21 kể từ ngày đầu tiên xử lý theo luật mới.
Nội dung đánh giá tác động bổ sung những mục nào về chuyển dữ liệu xuyên biên giới và tổ chức bảo vệ dữ liệu?
Về chuyển xuyên biên giới: nội dung này không còn là một mục trong hồ sơ xử lý mà thành hồ sơ độc lập theo Điều 20 — gồm thông tin bên chuyển, bên nhận ở nước ngoài, loại dữ liệu, mục đích, biện pháp bảo vệ và văn bản ràng buộc trách nhiệm giữa các bên; đồng thời phải xét trường hợp miễn trừ tại khoản 6 Điều 20 trước khi lập. Về tổ chức bảo vệ dữ liệu: hồ sơ theo khung mới phải thể hiện bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân của doanh nghiệp — đầu mối chịu trách nhiệm vận hành hồ sơ, tiếp nhận yêu cầu của chủ thể dữ liệu và làm việc với cơ quan chuyên trách — thay cho thông tin liên hệ hành chính thuần túy trong mẫu cũ.
Hồ sơ DPIA nộp cho cơ quan nào và cập nhật khi hoạt động xử lý thay đổi ra sao?
Hồ sơ gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân — theo cơ cấu hiện hành là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an — 01 bản chính trong 60 ngày kể từ ngày đầu tiên xử lý (khoản 1 Điều 21). Cơ quan chuyên trách có quyền đánh giá và yêu cầu hoàn thiện nếu hồ sơ chưa đầy đủ (khoản 4). Khi hoạt động xử lý thay đổi — đổi hệ thống, đổi bên xử lý, thêm mục đích hoặc thêm luồng chuyển ra nước ngoài — doanh nghiệp cập nhật, bổ sung hồ sơ theo khoản 5 Điều 21 và cơ chế cập nhật tại Điều 22, đồng thời cập nhật định kỳ theo chu kỳ luật định; hồ sơ chuyển xuyên biên giới theo Điều 20 cũng phải cập nhật tương ứng.
