Doanh nghiệp FDI có bắt buộc phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) không? Với Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP, câu trả lời là: gần như chắc chắn có — bởi 5 “trigger” đặc thù của mô hình FDI. Bài viết cung cấp ma trận 5 câu hỏi tự kiểm tra, phân biệt 2 loại hồ sơ dễ nhầm, timeline 60 ngày và chế tài xử phạt.
Cơ sở pháp lý
- Luật 91/2025/QH15 (hiệu lực 01/01/2026): Điều 21 (đánh giá tác động xử lý dữ liệu cá nhân — DPIA); Điều 20 (chuyển dữ liệu cá nhân xuyên biên giới).
- Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026): Điều 19 (hồ sơ DPIA — lập, lưu giữ, gửi 01 bản chính trong 60 ngày, theo Mẫu số 10); Điều 17–18 (chuyển dữ liệu xuyên biên giới).
- Chế tài: Điều 55 Nghị định 330/2026/NĐ-CP (ban hành 19/8/2026).
Ma trận 5 câu hỏi tự kiểm tra: DN FDI có phải lập DPIA?
Nếu trả lời “CÓ” cho bất kỳ câu nào dưới đây, doanh nghiệp gần như chắc chắn thuộc diện phải lập hồ sơ DPIA:
| # | Câu hỏi tự kiểm tra | Giải thích |
|---|---|---|
| 1 | Doanh nghiệp có chuyển dữ liệu cá nhân về công ty mẹ / trụ sở chính ở nước ngoài? | Trigger phổ biến nhất của FDI: báo cáo nhân sự, dữ liệu khách hàng, dữ liệu vận hành gửi về HQ. |
| 2 | Có sử dụng nền tảng ngoài lãnh thổ để xử lý dữ liệu cá nhân thu thập tại Việt Nam (hệ thống HR/ERP toàn cầu, cloud đặt ở nước ngoài)? | Khoản 3 Điều 20 Luật 91/2025/QH15: xử lý dữ liệu thu thập tại VN trên nền tảng ngoài lãnh thổ. |
| 3 | Có xử lý dữ liệu cá nhân nhạy cảm? | Theo Điều 4 Nghị định 356/2025/NĐ-CP (ví dụ: dữ liệu sinh trắc học, sức khỏe, tài chính…). |
| 4 | Quy mô xử lý có từ 100.000 chủ thể dữ liệu trở lên? | Ngưỡng làm mất điều kiện miễn trừ dành cho doanh nghiệp nhỏ. |
| 5 | Hoạt động xử lý dữ liệu có thay đổi so với lần đánh giá trước (mở rộng phạm vi, thêm mục đích, đổi hệ thống)? | Phải cập nhật định kỳ 06 tháng khi có thay đổi. |
Phân biệt 2 loại hồ sơ: DPIA vs hồ sơ chuyển dữ liệu xuyên biên giới
| Tiêu chí | Hồ sơ DPIA (Điều 21) | Hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới (Điều 20) |
|---|---|---|
| Đối tượng | Toàn bộ hoạt động xử lý dữ liệu cá nhân của DN | Riêng hoạt động chuyển DLCN ra nước ngoài |
| Số lần lập | 01 lần cho toàn bộ hoạt động; cập nhật khi thay đổi | Lập khi bắt đầu chuyển; không phải mỗi đợt chuyển 1 hồ sơ |
| Thời hạn gửi | Gửi 01 bản chính trong 60 ngày (Điều 19 NĐ 356/2025/NĐ-CP, Mẫu số 10) | Gửi trong 60 ngày kể từ ngày đầu tiên thực hiện chuyển |
| Lưu giữ | Lưu giữ tại doanh nghiệp, xuất trình khi kiểm tra | Lưu giữ tại doanh nghiệp |
Timeline 60 ngày: mốc thời gian then chốt
- Trước khi xử lý / trước khi chuyển: lập hồ sơ đánh giá tác động.
- Trong 60 ngày: gửi 01 bản chính hồ sơ DPIA tới cơ quan có thẩm quyền (Mẫu số 10, Nghị định 356/2025/NĐ-CP).
- Định kỳ 06 tháng: cập nhật hồ sơ khi hoạt động xử lý có thay đổi.
- Khi kiểm tra: xuất trình hồ sơ lưu giữ tại doanh nghiệp.
Miễn trừ & 2 hiểu sai phổ biến
Các trường hợp miễn trừ (khoản 6 Điều 20)
- Cơ quan nhà nước thực hiện nhiệm vụ theo quy định;
- Lưu trữ dữ liệu cá nhân của người lao động trên cloud — được miễn hồ sơ đánh giá tác động chuyển xuyên biên giới, nhưng vẫn phải lập DPIA;
- Chủ thể dữ liệu tự mình chuyển dữ liệu ra nước ngoài.
Hiểu sai 1: “Lưu dữ liệu nhân sự trên cloud là được miễn hết”
Sai. Miễn trừ chỉ áp dụng cho hồ sơ chuyển xuyên biên giới; nghĩa vụ lập DPIA cho hoạt động xử lý dữ liệu nói chung vẫn còn.
Hiểu sai 2: “Mỗi lần chuyển dữ liệu phải lập 1 hồ sơ mới”
Sai. DPIA lập 01 lần cho toàn bộ hoạt động xử lý, chỉ cập nhật khi có thay đổi — không phải mỗi đợt chuyển dữ liệu lại lập hồ sơ mới.
Chế tài xử phạt (Điều 55 Nghị định 330/2026/NĐ-CP)
- 20–30 triệu đồng: không lập hoặc không gửi hồ sơ đánh giá tác động theo quy định.
- 50–100 triệu đồng: làm giả hồ sơ đánh giá tác động.
- Biện pháp khắc phục: buộc dừng hoạt động xử lý dữ liệu vi phạm.
Checklist hành động cho DN FDI
- ☐ Trả lời ma trận 5 câu hỏi — xác định có thuộc diện phải lập DPIA.
- ☐ Phân biệt rõ 2 loại hồ sơ (DPIA Điều 21 vs chuyển xuyên biên giới Điều 20).
- ☐ Lập hồ sơ DPIA theo Mẫu số 10 (NĐ 356/2025/NĐ-CP); gửi 01 bản chính trong 60 ngày.
- ☐ Rà soát luồng dữ liệu về công ty mẹ / hệ thống HR-ERP toàn cầu / cloud nước ngoài.
- ☐ Lên lịch cập nhật định kỳ 06 tháng khi có thay đổi.
Tuyên bố miễn trừ trách nhiệm: Bài viết tổng hợp thông tin chung theo Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP, tại thời điểm đăng tải. Luồng dữ liệu thực tế của từng doanh nghiệp cần được rà soát riêng trước khi lập hồ sơ; vui lòng đối chiếu văn bản gốc và tham vấn chuyên gia trước khi áp dụng.
Nội dung được soát xét bởi FLAW AI Legal Council — hội đồng AI với tư duy luật sư giàu kinh nghiệm. Đây không phải ý kiến của luật sư người thật và không thay thế tư vấn pháp lý trực tiếp.
Bài viết đã được Hội đồng QA rà soát.
Doanh nghiệp FDI cần rà soát tuân thủ dữ liệu cá nhân hoặc lập hồ sơ DPIA, vui lòng liên hệ FLAT Law Firm.
Bài viết liên quan
- Tài sản số, tiền ảo tại Việt Nam 2026: khung pháp lý hiện hành và lộ trình thí điểm
- Luật Bảo vệ dữ liệu cá nhân 2026: 10 nghĩa vụ doanh nghiệp phải thực hiện ngay
- Sàn TMĐT, mạng xã hội xuyên biên giới vào Việt Nam: nghĩa vụ đăng ký và thuế
- Livestream bán hàng: nghĩa vụ thuế, hóa đơn của KOL và chủ shop online
- An ninh mạng 2026: doanh nghiệp cung cấp dịch vụ trên mạng có phải lưu trữ dữ liệu tại Việt Nam?