Đánh giá tác động xử lý dữ liệu cá nhân — DPIA theo cách gọi quốc tế — là hồ sơ doanh nghiệp phải tự lập trước và nộp cho cơ quan chuyên trách trong sáu mươi ngày kể từ khi bắt đầu xử lý dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 91/2025. Câu hỏi thực tế của doanh nghiệp FDI không phải “có phải làm không” mà là “hoạt động nào của mình thuộc diện, hồ sơ gồm những gì, và làm một lần có đủ cho mọi hệ thống hay không” — ba câu hỏi này quyết định toàn bộ chương trình tuân thủ dữ liệu của doanh nghiệp.
Trường hợp nào phải đánh giá tác động: nguyên tắc mặc định là có
Theo Luật Bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356/2025/ND-CP, bên kiểm soát dữ liệu cá nhân và bên kiểm soát — xử lý phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho các hoạt động xử lý của mình và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong vòng sáu mươi ngày kể từ khi bắt đầu xử lý. Khác với một số chế độ quốc tế chỉ yêu cầu DPIA cho xử lý rủi ro cao, chế độ Việt Nam xây dựng hồ sơ đánh giá tác động như nghĩa vụ nền cho hoạt động xử lý dữ liệu cá nhân của tổ chức, nên doanh nghiệp nên bắt đầu từ giả định phải lập hồ sơ cho từng hệ thống xử lý chính và chỉ thu hẹp khi có căn cứ rõ ràng.
Các hoạt động điển hình của doanh nghiệp FDI đều nằm trong diện này: quản trị nhân sự với dữ liệu của hàng trăm nhân viên, CRM và bán hàng với dữ liệu khách hàng, hệ thống chấm công nhận diện khuôn mặt hoặc vân tay — dữ liệu sinh trắc học thuộc nhóm dữ liệu nhạy cảm — camera giám sát, và nền tảng thương mại điện tử. Việc phân loại từng hệ thống theo nhóm dữ liệu thường, dữ liệu nhạy cảm và mức độ ảnh hưởng lên chủ thể là bước mở đầu của chính hồ sơ.
Đánh giá gồm những nội dung gì: cấu trúc của một bộ hồ sơ
Hồ sơ đánh giá tác động theo mẫu quy định gồm: thông tin bên kiểm soát, bên xử lý và bộ phận, cá nhân phụ trách bảo vệ dữ liệu; mục đích xử lý và căn cứ pháp lý của từng mục đích; các loại dữ liệu cá nhân được xử lý và nhóm chủ thể dữ liệu; bên nhận dữ liệu, gồm cả dòng chuyển ra nước ngoài nếu có; thời gian lưu trữ và lịch xóa; các biện pháp bảo vệ kỹ thuật và tổ chức đang áp dụng; và đánh giá của chính doanh nghiệp về khả năng, mức độ thiệt hại có thể xảy ra cho chủ thể dữ liệu kèm biện pháp giảm thiểu.
Giá trị thật của hồ sơ nằm ở hai phần cuối — biện pháp bảo vệ và tự đánh giá rủi ro — vì đó là phần cơ quan chuyên trách đọc để đánh giá mức độ sẵn sàng của doanh nghiệp. Một bộ hồ sơ liệt kê đầy đủ thông tin hành chính nhưng phần biện pháp bảo vệ chép chung chung sẽ bị đánh giá như chưa đánh giá. Doanh nghiệp cũng phải lưu ý hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới là một hồ sơ riêng khi có dòng dữ liệu ra nước ngoài, không gộp chung vào hồ sơ xử lý trong nước.
Có phải nộp cho cơ quan nhà nước không và không làm thì bị phạt gì
Có: một bản của hồ sơ phải được gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn sáu mươi ngày và cơ quan này có thể yêu cầu bổ sung, hoàn thiện khi hồ sơ chưa đạt; doanh nghiệp giữ bộ hồ sơ đầy đủ tại trụ sở để xuất trình khi kiểm tra. Khi hoạt động xử lý thay đổi đáng kể — mục đích mới, nhóm dữ liệu mới, nhà thầu xử lý mới — hồ sơ phải được cập nhật và gửi bổ sung, nên nghĩa vụ đúng là một chu trình sống cùng vòng đời hệ thống chứ không phải một lần nộp khi thành lập.
Không lập hồ sơ, lập không đúng nội dung hoặc không gửi đúng hạn là vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân bị xử phạt theo Nghị định 356/2025/ND-CP, với chế tài cao hơn đáng kể so với Nghị định 13/2023/ND-CP trước đây, kèm biện pháp buộc hoàn thiện hồ sơ. Rủi ro chiến lược lớn hơn tiền phạt là hồ sơ DPIA thiếu sẽ bị phát hiện đúng vào lúc doanh nghiệp yếu nhất — khi một sự cố dữ liệu hoặc khiếu nại của chủ thể dữ liệu đưa cơ quan chuyên trách tới kiểm tra toàn bộ chương trình dữ liệu.
Câu hỏi thường gặp
Trường hợp nào FDI phải đánh giá tác động xử lý dữ liệu cá nhân?
Nguyên tắc của chế độ Việt Nam theo Luật 91/2025 và Nghị định 356/2025/ND-CP là bên kiểm soát, bên kiểm soát — xử lý dữ liệu cá nhân lập hồ sơ đánh giá tác động cho các hoạt động xử lý của mình: nhân sự, khách hàng, marketing, camera, chấm công sinh trắc học và mọi hệ thống xử lý dữ liệu có tổ chức khác. Doanh nghiệp bắt đầu từ giả định phải lập cho từng hệ thống xử lý chính, kèm phân loại dữ liệu thường và dữ liệu nhạy cảm trong chính hồ sơ.
Đánh giá tác động gồm những nội dung gì?
Thông tin bên kiểm soát, bên xử lý và đầu mối phụ trách bảo vệ dữ liệu; mục đích và căn cứ pháp lý của xử lý; các loại dữ liệu và nhóm chủ thể; bên nhận dữ liệu gồm dòng chuyển nước ngoài nếu có; thời gian lưu trữ và lịch xóa; biện pháp bảo vệ kỹ thuật, tổ chức; và tự đánh giá khả năng, mức độ thiệt hại cho chủ thể dữ liệu kèm biện pháp giảm thiểu — hai phần cuối là phần quyết định chất lượng của hồ sơ.
Hồ sơ đánh giá tác động có phải nộp cho cơ quan nhà nước không?
Có: doanh nghiệp gửi một bản cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong vòng sáu mươi ngày kể từ khi bắt đầu xử lý, giữ bộ đầy đủ tại doanh nghiệp để xuất trình khi kiểm tra, và cập nhật, gửi bổ sung khi hoạt động xử lý thay đổi đáng kể. Cơ quan chuyên trách có thể yêu cầu hoàn thiện hồ sơ chưa đạt yêu cầu.
Không làm đánh giá tác động thì bị phạt thế nào?
Doanh nghiệp bị xử phạt hành chính theo Nghị định 356/2025/ND-CP trong lĩnh vực bảo vệ dữ liệu cá nhân — mặt bằng chế tài cao hơn Nghị định 13/2023/ND-CP — và bị buộc hoàn thiện hồ sơ. Hệ quả nặng hơn là khi xảy ra sự cố dữ liệu hoặc khiếu nại, việc thiếu hồ sơ đánh giá tác động biến một cuộc kiểm tra sự cố thành kiểm tra toàn bộ chương trình tuân thủ dữ liệu của doanh nghiệp.
Một hồ sơ đánh giá tác động dùng chung cho mọi hệ thống được không?
Không nên: mỗi hệ thống xử lý có mục đích, nhóm dữ liệu, bên nhận và biện pháp bảo vệ khác nhau nên cần hồ sơ phản ánh đúng từng hoạt động xử lý hoặc từng nhóm hoạt động đồng nhất. Hồ sơ dùng chung chung chung cho cả doanh nghiệp thường rỗng ở phần biện pháp bảo vệ và tự đánh giá rủi ro — đúng hai phần cơ quan chuyên trách đọc kỹ nhất. Hệ thống có dòng dữ liệu ra nước ngoài còn cần hồ sơ đánh giá chuyển xuyên biên giới riêng.
Liên hệ FLAT Law Firm
FLAT Law Firm xây chương trình đánh giá tác động dữ liệu cá nhân cho doanh nghiệp FDI: bản đồ hệ thống xử lý và phân loại dữ liệu nhạy cảm, bộ hồ sơ theo mẫu cho từng hệ thống, hồ sơ chuyển xuyên biên giới riêng và cơ chế cập nhật khi xử lý thay đổi.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng
