Bảo vệ dữ liệu cá nhân

Theo Nghị định 356/2025/NĐ-CP, báo cáo đánh giá tác động phải có nội dung gì?

22/06/2026
3 lượt xem
0 bình luận

Bảy nhóm nội dung, trong đó có sơ đồ luồng dữ liệu và sơ đồ thiết kế hệ thống — hai thứ mà nhiều doanh nghiệp chưa từng vẽ ra bao giờ.

Báo cáo đánh giá tác động xử lý dữ liệu cá nhân được lập theo Mẫu số 10 tại Phụ lục Nghị định 356/2025/NĐ-CP. Điều 19 của Nghị định liệt kê các nội dung mà báo cáo phải có.

Bảy nhóm nội dung

Thông tin và chi tiết liên lạc của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba;
Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân nếu có;
Mô tả và luận giải mục đích xử lý, loại dữ liệu cá nhân xử lý, chi tiết các hoạt động xử lý và sơ đồ luồng dữ liệu cá nhân;
Mô tả và luận giải về việc xin sự đồng ý của chủ thể dữ liệu, chính sách lưu trữ, xóa, hủy dữ liệu cá nhân;
Phương án bảo đảm an toàn dữ liệu, các biện pháp bảo vệ, sơ đồ thiết kế hệ thống, tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng;
Kết quả đánh giá tuân thủ quy định về bảo vệ dữ liệu cá nhân;
Đánh giá mức độ ảnh hưởng, rủi ro của hoạt động xử lý; hậu quả, thiệt hại không mong muốn có khả năng xảy ra và các biện pháp giảm thiểu hoặc loại bỏ nguy cơ đó.

Hai sơ đồ là phần khó nhất

Nhóm thứ ba yêu cầu sơ đồ luồng dữ liệu cá nhân, nhóm thứ năm yêu cầu sơ đồ thiết kế hệ thống. Đây là hai tài liệu kỹ thuật mà phần lớn doanh nghiệp vừa và nhỏ chưa từng lập.

Sơ đồ luồng dữ liệu trả lời: dữ liệu vào hệ thống từ đâu, đi qua những chặng nào, được lưu ở đâu, chuyển cho ai, và kết thúc thế nào. Không cần công cụ phức tạp — một sơ đồ khối rõ ràng là đủ, miễn phản ánh đúng thực tế.

Sơ đồ thiết kế hệ thống thể hiện các thành phần kỹ thuật và mối liên hệ giữa chúng: máy chủ ứng dụng, cơ sở dữ liệu, dịch vụ bên ngoài, cơ chế xác thực và phân quyền.

Chữ "luận giải" xuất hiện hai lần

Nhóm thứ ba và thứ tư đều dùng từ "mô tả và luận giải". Đây không phải yêu cầu liệt kê mà là yêu cầu giải thích lý do. Vì sao thu loại dữ liệu này mà không phải loại khác, vì sao mục đích đó là cần thiết, vì sao chọn cách xin đồng ý như vậy, vì sao thời hạn lưu trữ là con số đó.

Phần luận giải chính là chỗ thể hiện doanh nghiệp có thực sự cân nhắc hay chỉ sao chép mẫu. Câu trả lời kiểu "để phục vụ hoạt động kinh doanh" cho mọi mục đích là dấu hiệu rõ nhất của bộ hồ sơ làm cho có.

Nhóm cuối cùng mới là mục đích của cả bản báo cáo

Đánh giá mức độ ảnh hưởng và rủi ro, hậu quả có khả năng xảy ra, biện pháp giảm thiểu hoặc loại bỏ — đây là phần khiến tài liệu này được gọi là "đánh giá tác động" chứ không phải "bản mô tả hệ thống".

Cách làm thực tế là với mỗi luồng dữ liệu, đặt câu hỏi: nếu dữ liệu này bị lộ, bị sửa hoặc bị mất thì người bị ảnh hưởng chịu hậu quả gì. Trả lời trung thực, xếp mức độ, rồi ghi biện pháp đang có và biện pháp còn thiếu. Phần "còn thiếu" chính là kế hoạch công việc cho năm tiếp theo.

Một lưu ý về độ dài

Báo cáo không cần dài. Một doanh nghiệp có ba luồng dữ liệu chính thì báo cáo phản ánh đúng ba luồng đó là chuẩn xác. Bản báo cáo dài mấy chục trang nhưng mô tả những hoạt động doanh nghiệp không thực hiện lại là vấn đề, vì nó tạo ra cam kết mà đơn vị không đáp ứng được khi bị kiểm tra.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 19

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.