自2026年1月1日起，个人信息处理影响评估（DPIA）档案不再是议定层面的手续，而是《个人信息保护法》91/2025/QH15号第21条规定的法定义务。熟悉第13/2023号议定模板的企业须准确把握三处变化：谁必须建档、更新机制如何运作、跨境传输评估去了哪里。
法律依据
第91/2025号法律第21条：建档主体与期限
第91/2025号法律第21条第一款规定，个人信息控制者、控制兼处理者须编制并保存处理影响评估档案，并自开始处理个人信息之日起60天内向个人信息保护专门机关提交一份正本，第6款的国家机关情形除外。与第13/2023/ND-CP号议定第24条相比——该条同样设60天期限并向公安部网络安全与高科技犯罪防范局（A05）提交一份正本——实质新点在第3款：处理者如今也必须依其与控制者的协议编制并保存影响评估档案，而非仅在议定体制下被写入控制者的档案之中。
第2款保留整个经营期间只做一次的原则，但更新改由该法第22条统领——定期更新与内容变化时更新（第5款），专门机关有权评估并要求补正不完备的档案（第4款）。档案组成、条件与程序由政府依第21条第7款细化规定，现已由第356/2025/ND-CP号议定具体化，该议定自2026年1月1日起替代第13/2023号议定——因此2026年起使用的表格是新框架的表格，而非随第13/2023号议定颁发的旧表。
跨境部分已独立成档
在第13/2023号议定下，企业须并行做两份档案：处理影响评估（第24条）与向境外传输影响评估（第25条，D25-DLCN-04表）。第91/2025号法律保留双档结构但将两者均提升为法律：处理档案在第21条，跨境传输档案在第20条——并在第20条第6款规定传输档案的免除情形（有权国家机关的传输；将员工个人信息存储于云服务；数据主体自行传输其数据；以及政府规定的其他情形）。复查旧档案时，企业须将两项义务拆开，不能再把DPIA当作覆盖一切的一份档案。
适用分析
最常被问的过渡问题是：依第13/2023号议定提交的档案是否须重做。第91/2025号法律未设单独过渡期限，也不宣告旧档无效；第21—22条的机制是连续性的——档案只做一次，定期更新并随变化更新。法律上稳妥的做法是，在2026年1月1日后的第一个更新周期，依新结构复查现有档案：没有处理者档案的补建；有传输流量的拆出并完善第20条传输档案；提交更新时改用第356/2025号议定的表格。从未在旧制下建档的企业无所谓”转换”——自开始处理起60天内编制并提交的义务直接依新法适用。
在内容上，新法档案要求两个旧模板往往做得粗糙的板块。其一，数据保护组织：新框架使企业个人信息保护部门与人员的地位法定化，档案须写明该职能，而非仅留一个行政联系人。其二，当传输本身构成处理的一部分时，对跨境传输风险的评估——境外接收方、双方责任约束文件与保护措施——因为第20条使这部分内容成为可单独检查的独立档案（专门机关得依第20条第4款每年不超过一次地定期检查或突击检查）。
行动建议
- 将现有DPIA档案与第91/2025号法律第21条逐款对照：建档主体、60天节点、处理者档案、第22条更新机制。
- 凡有跨境传输流量的，拆出第20条义务；建传输档案前先检验第6款免除情形。
- 2026年1月1日后首次提交更新时改用第356/2025/ND-CP号议定表格；不要再用已失效的第13/2023号议定旧表。
- 在档案中补入数据保护组织板块（负责部门与人员）及与处理者的协议。
- 排定第22条定期更新日历，并设定系统、供应商或处理目的变化时立即更新的触发机制。
常见问题
91/2025号法律下的DPIA档案与第13/2023号议定模板有何不同？
三处主要不同。其一，建档主体扩大：第91/2025号法律第21条第3款要求处理者也依其与控制者的协议编制并保存档案，而第13/2023号议定将义务集中于控制者与控制兼处理者。其二，更新机制在第22条中成文化——定期更新与内容变化时更新，替代议定体制下分散的规定。其三，档案组成与程序转入第21条第7款的政府细化框架，现由第356/2025/ND-CP号议定具体规定，该议定自2026年1月1日起替代第13/2023号议定。未变的是提交节点：自开始处理之日起60天内向专门机关提交一份正本。
按旧模板建的档案必须按新法重做吗？过渡期限多长？
第91/2025号法律没有单独的过渡期限，也不要求推倒重来：第21—22条的机制是档案只做一次、持续更新。企业要做的是在2026年1月1日后的第一个更新周期，依新结构复查并补全档案——处理者档案、如有传输流量的第20条档案，以及第356/2025号议定的表格。反之，从未依第13/2023号议定建档的企业，直接适用第21条第1款自开始处理起60天的节点。
在跨境传输与数据保护组织方面，评估内容新增了哪些？
跨境传输方面：该内容不再是处理档案中的一节，而是第20条项下的独立档案——包括传输方、境外接收方、数据类型、目的、保护措施与约束双方责任的文件；建档前还须先检验第20条第6款的免除情形。数据保护组织方面：新法档案须写明企业的个人信息保护部门与负责人员——即运行档案、受理数据主体请求并对接专门机关的职能——而非旧模板中纯粹的行政联系信息。
DPIA档案提交给哪个机关？处理活动变化时如何更新？
档案提交给个人信息保护专门机关——现行架构下为公安部网络安全与高科技犯罪防范局（A05）——自开始处理之日起60天内提交一份正本（第21条第1款）。专门机关有权评估档案并在不完备时要求补正（第4款）。处理活动变化时——换系统、换处理者、增加目的或新增出境流量——企业依第21条第5款与第22条机制更新补充档案，并按法定周期定期更新；第20条传输档案亦须同步更新。
