Đánh giá tác động xử lý dữ liệu cá nhân

Đánh giá tác động xử lý dữ liệu cá nhân: dịch vụ dành cho ai?

• Công ty công nghệ, SaaS, nền tảng số thu thập và phân tích dữ liệu người dùng ở quy mô lớn.
• Công ty bảo hiểm, ngân hàng, tổ chức tín dụng, công ty tài chính tiêu dùng xử lý dữ liệu nhạy cảm của khách hàng.
• Bệnh viện, phòng khám, cơ sở y tế xử lý dữ liệu sức khỏe — nhóm dữ liệu nhạy cảm điển hình (xem thêm Pháp lý lĩnh vực y tế và chăm sóc sức khỏe).
• Doanh nghiệp bán lẻ, thương mại điện tử có chương trình khách hàng thân thiết, marketing dựa trên hành vi.
• Doanh nghiệp FDI vận hành hệ thống nhân sự, dữ liệu khách hàng trên nền tảng toàn cầu của tập đoàn.
• Doanh nghiệp sử dụng camera AI, sinh trắc học (vân tay, khuôn mặt) cho chấm công, kiểm soát ra vào.
• Doanh nghiệp đã lập hồ sơ theo Nghị định 13/2023/NĐ-CP và cần rà soát, cập nhật theo biểu mẫu mới của Nghị định 356/2025/NĐ-CP.

Vấn đề pháp lý khách hàng thường gặp

Sai lầm phổ biến nhất là xem hồ sơ đánh giá tác động như một “mẫu đơn” để điền cho xong. Thực tế, cơ quan chuyên trách bảo vệ dữ liệu cá nhân có trách nhiệm đánh giá hồ sơ và yêu cầu hoàn thiện nếu chưa đầy đủ, đúng quy định. Một bộ hồ sơ copy từ mẫu chung — không phản ánh đúng loại dữ liệu doanh nghiệp thu thập, không chỉ rõ ai là bên kiểm soát, ai là bên xử lý, không đánh giá rủi ro thực chất — gần như chắc chắn bị trả lại, khiến doanh nghiệp mất thời gian làm lại trong khi thời hạn 60 ngày vẫn tiếp tục trôi.

Nhầm lẫn thứ hai là đồng nhất hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) với hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Đây là hai hồ sơ riêng biệt theo Luật 91/2025/QH15 (tương ứng Mẫu 10 và Mẫu 09 của Nghị định 356/2025/NĐ-CP): doanh nghiệp chuyển dữ liệu ra nước ngoài — ví dụ lưu trữ trên máy chủ đặt ngoài Việt Nam hoặc đồng bộ về hệ thống của công ty mẹ — có thể phải lập cả hai.

Nhóm thứ ba là doanh nghiệp nhỏ cho rằng mình được miễn hoàn toàn. Luật có chính sách riêng cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp và doanh nghiệp siêu nhỏ (Điều 38), nhưng chính sách này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của số lượng lớn chủ thể. Một startup công nghệ xử lý dữ liệu người dùng ở quy mô lớn vẫn thuộc diện phải lập hồ sơ.

Doanh nghiệp nào phải lập hồ sơ đánh giá tác động?

Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 quy định: bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân có nghĩa vụ lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Bên xử lý dữ liệu cá nhân lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát dữ liệu cá nhân.

• Phạm vi áp dụng rộng: nghĩa vụ này áp dụng cho mọi bên kiểm soát dữ liệu cá nhân, không giới hạn theo ngành nghề hay quy mô xử lý — điểm khác biệt căn bản so với cách hiểu “chỉ doanh nghiệp lớn mới phải làm” dưới thời Nghị định 13/2023/NĐ-CP.
• Lập một lần, cập nhật khi thay đổi: đánh giá tác động được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật, bổ sung khi có sự thay đổi về nội dung hồ sơ đã gửi (Điều 21, Điều 22).
• Cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động xử lý dữ liệu cá nhân (khoản 6 Điều 21).
• Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp: được quyền lựa chọn thực hiện hoặc không thực hiện trong thời gian 05 năm kể từ ngày Luật có hiệu lực thi hành — trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể (khoản 2 Điều 38).
• Hộ kinh doanh, doanh nghiệp siêu nhỏ: không phải thực hiện — trừ các trường hợp ngoại lệ tương tự nêu trên (khoản 3 Điều 38).

Việc xác định doanh nghiệp thuộc diện phải lập, được lựa chọn hay được miễn — đặc biệt với doanh nghiệp xử lý dữ liệu nhạy cảm hoặc dữ liệu ở quy mô lớn — cần đối chiếu trực tiếp với văn bản và tình hình thực tế của từng doanh nghiệp. Xem thêm Dữ liệu, công nghệ và tuân thủ.

Hồ sơ đánh giá tác động gồm những nội dung gì?

Chính phủ quy định chi tiết thành phần hồ sơ, điều kiện, trình tự, thủ tục đánh giá tác động tại Nghị định 356/2025/NĐ-CP (hồ sơ đánh giá tác động xử lý dữ liệu cá nhân thực hiện theo Mẫu 10). Về cấu trúc, một bộ hồ sơ đạt yêu cầu thường bao gồm ba khối nội dung chính:

• Mô tả hoạt động xử lý dữ liệu: loại dữ liệu cá nhân được thu thập (dữ liệu cơ bản, dữ liệu nhạy cảm); mục đích xử lý; phương thức thu thập, lưu trữ, sử dụng, chia sẻ, xóa dữ liệu; các bên tham gia (bên kiểm soát, bên xử lý, bên thứ ba nhận dữ liệu); thời gian lưu trữ và phạm vi địa lý xử lý.
• Đánh giá rủi ro: xác định các rủi ro đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu phát sinh từ hoạt động xử lý — rò rỉ, truy cập trái phép, sử dụng sai mục đích, rủi ro từ nhà cung cấp dịch vụ; đánh giá mức độ nghiêm trọng và khả năng xảy ra của từng rủi ro.
• Biện pháp khắc phục và giảm thiểu: biện pháp kỹ thuật (mã hóa, phân quyền truy cập, nhật ký hệ thống) và biện pháp quản lý (chính sách nội bộ, hợp đồng xử lý dữ liệu với bên xử lý, đào tạo nhân sự, quy trình ứng phó sự cố) tương ứng với từng rủi ro đã xác định.

Thành phần chi tiết của hồ sơ thực hiện theo biểu mẫu và hướng dẫn tại Nghị định 356/2025/NĐ-CP. Nội dung cụ thể cần được xây dựng dựa trên dòng dữ liệu thực tế của từng doanh nghiệp — không nên sao chép nguyên mẫu chung.

Quy trình lập hồ sơ từng bước

1. Rà soát dòng dữ liệu thực tế: lập bản đồ dữ liệu (data mapping) — doanh nghiệp thu thập loại dữ liệu nào, từ nguồn nào, lưu ở đâu, ai được truy cập, chia sẻ cho bên thứ ba nào, lưu bao lâu. Đây là bước nền tảng quyết định chất lượng toàn bộ hồ sơ.
2. Xác định vai trò pháp lý: phân định bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân trong từng hoạt động — đặc biệt quan trọng với doanh nghiệp thuê ngoài dịch vụ CNTT, sử dụng nền tảng đám mây hoặc thuộc tập đoàn đa quốc gia.
3. Đánh giá rủi ro: với từng hoạt động xử lý, xác định rủi ro đối với chủ thể dữ liệu và đánh giá mức độ rủi ro.
4. Xây dựng biện pháp khắc phục: đề xuất biện pháp kỹ thuật và quản lý tương ứng, gắn trách nhiệm thực hiện và lộ trình.
5. Lập hồ sơ theo biểu mẫu: tổng hợp thành hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu 10 của Nghị định 356/2025/NĐ-CP.
6. Gửi và theo dõi: gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu; theo dõi kết quả đánh giá và hoàn thiện hồ sơ nếu được yêu cầu.
7. Duy trì và cập nhật: cập nhật, bổ sung hồ sơ khi có thay đổi về nội dung đã gửi — ví dụ triển khai hệ thống mới, thay đổi nhà cung cấp dịch vụ xử lý dữ liệu, mở rộng mục đích xử lý.

FLAT LAW FIRM hỗ trợ những gì?

• Đánh giá doanh nghiệp có thuộc diện phải lập hồ sơ hay không — bao gồm rà soát điều kiện miễn, lựa chọn áp dụng đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp theo Điều 38 Luật 91/2025/QH15.
• Rà soát dòng dữ liệu và phân vai pháp lý: xác định bên kiểm soát, bên xử lý trong từng hoạt động xử lý của doanh nghiệp, kể cả quan hệ với nhà cung cấp dịch vụ và công ty mẹ/công ty con.
• Soạn thảo hồ sơ đánh giá tác động theo đúng biểu mẫu của Nghị định 356/2025/NĐ-CP, với nội dung đánh giá rủi ro và biện pháp khắc phục được xây dựng riêng theo thực tế vận hành — không dùng mẫu chung sao chép.
• Rà soát các hợp đồng, thỏa thuận xử lý dữ liệu với bên xử lý, điều khoản bảo mật với nhà cung cấp để bảo đảm thống nhất với nội dung hồ sơ.
• Đại diện làm việc với cơ quan chuyên trách: chuẩn bị hồ sơ gửi, theo dõi kết quả đánh giá, hoàn thiện hồ sơ khi được yêu cầu.
• Thiết lập quy trình cập nhật hồ sơ định kỳ và khi có thay đổi — giúp doanh nghiệp duy trì tuân thủ liên tục thay vì làm một lần rồi bỏ quên.
• Với doanh nghiệp chuyển dữ liệu ra nước ngoài: đánh giá song song nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09) — xem thêm bài viết Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Hồ sơ/tài liệu khách hàng nên chuẩn bị

• Danh mục các hệ thống, ứng dụng đang thu thập, lưu trữ dữ liệu cá nhân (CRM, HRM, website, app di động…).
• Chính sách bảo mật, thông báo xử lý dữ liệu cá nhân đang áp dụng (nếu có).
• Hợp đồng với nhà cung cấp dịch vụ CNTT, dịch vụ đám mây, đơn vị xử lý dữ liệu thuê ngoài.
• Chính sách nhân sự liên quan đến dữ liệu người lao động; quy định về camera giám sát, chấm công sinh trắc học (nếu có).
• Sơ đồ tổ chức bộ phận phụ trách dữ liệu/CNTT; thông tin về nhân sự phụ trách bảo vệ dữ liệu cá nhân (nếu đã chỉ định).
• Hồ sơ đánh giá tác động đã lập theo Nghị định 13/2023/NĐ-CP (nếu có) để rà soát, cập nhật.
• Giấy ủy quyền cho FLAT LAW FIRM (chúng tôi sẽ soạn mẫu).

Thời gian và chi phí dự kiến

Thời hạn pháp lý: hồ sơ phải được gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Với doanh nghiệp đã vận hành trước ngày 01/01/2026 (ngày Luật có hiệu lực), mốc tính thời hạn cần được xác định thận trọng theo quy định chuyển tiếp — doanh nghiệp nên trao đổi với luật sư để không tính sai thời hạn.

Thời gian thực hiện dịch vụ phụ thuộc vào độ phức tạp của dòng dữ liệu: doanh nghiệp có một vài hệ thống đơn giản có thể hoàn tất trong vài tuần; tập đoàn có nhiều hệ thống, nhiều bên xử lý và dữ liệu xuyên biên giới cần thời gian rà soát dài hơn. Mức phí dịch vụ được báo giá cụ thể sau khi xác định phạm vi — quý khách vui lòng liên hệ để nhận báo giá.

Sai lầm thường gặp khiến hồ sơ bị yêu cầu hoàn thiện

• Sao chép mẫu chung: hồ sơ không phản ánh đúng loại dữ liệu, hệ thống và quy trình thực tế của doanh nghiệp — lỗi bị phát hiện đầu tiên khi cơ quan chuyên trách đánh giá.
• Mô tả hoạt động xử lý sơ sài: thiếu bản đồ dòng dữ liệu, không chỉ rõ dữ liệu đi qua những bên nào, lưu trữ ở đâu, trong bao lâu.
• Đánh giá rủi ro hình thức: liệt kê rủi ro chung chung mà không phân tích mức độ, không gắn với hoạt động xử lý cụ thể của doanh nghiệp.
• Biện pháp khắc phục không tương xứng: nêu biện pháp chung chung (“tăng cường bảo mật”) thay vì biện pháp kỹ thuật và quản lý cụ thể, có người chịu trách nhiệm và lộ trình thực hiện.
• Lập xong rồi bỏ quên: không cập nhật hồ sơ khi triển khai hệ thống mới, đổi nhà cung cấp dịch vụ, mở rộng mục đích xử lý — trong khi Luật yêu cầu cập nhật, bổ sung khi có thay đổi.
• Nhầm lẫn hai loại hồ sơ: chỉ lập DPIA mà bỏ sót hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi doanh nghiệp thực tế có chuyển dữ liệu ra nước ngoài.

Lưu ý về chuyển dữ liệu cá nhân ra nước ngoài

Nhiều doanh nghiệp FDI và công ty công nghệ vừa xử lý dữ liệu tại Việt Nam, vừa chuyển dữ liệu ra nước ngoài — ví dụ đồng bộ dữ liệu nhân sự về hệ thống của công ty mẹ, lưu trữ trên máy chủ đặt ngoài lãnh thổ Việt Nam, hoặc sử dụng nền tảng đám mây quốc tế. Trường hợp này, ngoài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu 10), doanh nghiệp còn phải thực hiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09) theo quy định của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Luật cũng quy định các trường hợp không phải thực hiện đánh giá tác động chuyển dữ liệu xuyên biên giới — ví dụ chuyển dữ liệu của cơ quan nhà nước có thẩm quyền, hoặc người lao động tự lưu trữ dữ liệu trên dịch vụ điện toán đám mây. Việc xác định doanh nghiệp có thuộc trường hợp ngoại lệ hay không cần đối chiếu kỹ từng tình huống cụ thể. Đây là nội dung FLAT LAW FIRM sẽ phát triển thành trang dịch vụ riêng — liên hệ để được tư vấn cho trường hợp của quý khách.

Rủi ro khi không lập hoặc lập hồ sơ không đạt yêu cầu

• Xử phạt vi phạm hành chính theo quy định hiện hành: Luật Bảo vệ dữ liệu cá nhân 2025 xây dựng khung chế tài ở mức răn đe cao, với mức phạt có thể lên đến 5% tổng doanh thu của năm trước liền kề đối với một số vi phạm nghiêm trọng. Mức phạt cụ thể áp dụng cho từng hành vi (không lập, không gửi, không cập nhật hồ sơ) thực hiện theo quy định xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân tại thời điểm xử lý.
• Hồ sơ bị yêu cầu hoàn thiện kéo dài thời gian tuân thủ, trong khi nghĩa vụ pháp lý vẫn tiếp tục phát sinh — đặc biệt rủi ro nếu doanh nghiệp đang trong quá trình gọi vốn, M&A hoặc mở rộng thị trường và bị đối tác yêu cầu chứng minh tuân thủ.
• Rủi ro khi xảy ra sự cố: khi có sự cố lộ, mất dữ liệu cá nhân, việc không có hồ sơ đánh giá tác động hợp lệ khiến doanh nghiệp khó chứng minh đã thực hiện đầy đủ biện pháp bảo vệ — ảnh hưởng trực tiếp đến trách nhiệm bồi thường và uy tín.

Cập nhật pháp lý đến tháng 9/2026

Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) được Quốc hội thông qua ngày 26/6/2025, có hiệu lực thi hành từ ngày 01/01/2026 (Điều 38). Luật thay thế khung pháp lý về bảo vệ dữ liệu cá nhân của Nghị định 13/2023/NĐ-CP, với nhiều điểm mới: nghĩa vụ đánh giá tác động tại Điều 21, chính sách riêng cho doanh nghiệp nhỏ/khởi nghiệp/siêu nhỏ tại Điều 38, và khung chế tài ở mức răn đe cao.

Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, bao gồm biểu mẫu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu 10) và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09), cùng hướng dẫn áp dụng cho doanh nghiệp nhỏ (Điều 41).

Quy định chuyển tiếp (Điều 39 Luật 91/2025/QH15): hoạt động xử lý dữ liệu cá nhân đang thực hiện theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực được tiếp tục thực hiện; doanh nghiệp đã lập hồ sơ đánh giá tác động theo Nghị định 13/2023/NĐ-CP nên rà soát, cập nhật hồ sơ theo biểu mẫu và trình tự mới của Luật và Nghị định 356/2025/NĐ-CP.

Toàn văn các văn bản nêu trên có thể tra cứu tại Hệ thống văn bản quy phạm pháp luật của Chính phủ. Nội dung trên trang cần được đối chiếu với văn bản đang có hiệu lực tại thời điểm thực hiện.

Vì sao chọn FLAT LAW FIRM?

Hồ sơ đánh giá tác động chỉ có giá trị khi nó nói đúng về doanh nghiệp của quý khách — đúng dữ liệu, đúng hệ thống, đúng rủi ro. FLAT LAW FIRM không bán mẫu hồ sơ đóng gói sẵn: chúng tôi bắt đầu từ việc rà soát dòng dữ liệu thực tế, cùng đội ngũ kỹ thuật và pháp chế của doanh nghiệp xác định rủi ro, rồi mới soạn hồ sơ theo đúng biểu mẫu của Nghị định 356/2025/NĐ-CP. Cách làm này giúp hồ sơ vừa vượt qua được khâu đánh giá của cơ quan chuyên trách, vừa thực sự dùng được như một công cụ quản trị rủi ro nội bộ. Đội ngũ làm việc bằng tiếng Việt, tiếng Trung và tiếng Anh — phù hợp với doanh nghiệp FDI cần giải trình chính sách dữ liệu toàn cầu của tập đoàn với cơ quan quản lý Việt Nam. Xem thêm Dữ liệu, công nghệ và tuân thủ.

Câu hỏi thường gặp

Liên kết hữu ích

Bạn nên trao đổi với luật sư nếu:

• Doanh nghiệp đang xử lý dữ liệu cá nhân nhưng chưa lập hồ sơ đánh giá tác động theo Luật 91/2025/QH15.
• Chưa xác định được doanh nghiệp thuộc diện phải lập, được lựa chọn hay được miễn theo Điều 38 của Luật.
• Đã lập hồ sơ theo Nghị định 13/2023/NĐ-CP và cần rà soát, cập nhật theo biểu mẫu mới của Nghị định 356/2025/NĐ-CP.
• Doanh nghiệp xử lý dữ liệu nhạy cảm (sức khỏe, sinh trắc học, tài chính) hoặc dữ liệu ở quy mô lớn.
• Có chuyển dữ liệu cá nhân ra nước ngoài — cần đánh giá song song nghĩa vụ lập hồ sơ chuyển dữ liệu xuyên biên giới.
• Chuẩn bị gọi vốn, M&A hoặc mở rộng thị trường và cần chứng minh tuân thủ bảo vệ dữ liệu cá nhân với đối tác.