Ba thành phần: báo cáo theo Mẫu số 10, bản sao hợp đồng xử lý dữ liệu, và bộ chính sách quy trình nội bộ. Thành phần thứ ba là phần tốn thời gian nhất.
Điều 21 Luật 91/2025/QH15 đặt ra nghĩa vụ lập hồ sơ. Thành phần cụ thể của hồ sơ nằm ở Điều 19 Nghị định 356/2025/NĐ-CP.
Ai phải lập
Điều 19 Nghị định 356/2025/NĐ-CP quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân.
Cả ba vai đều phải lập, không riêng bên kiểm soát. Điều này khác với cách hiểu phổ biến rằng nhà cung cấp dịch vụ chỉ cần làm theo yêu cầu của khách hàng.
Ba thành phần hồ sơ
- Báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10 tại Phụ lục của Nghị định;
- Bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân, thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân trong hoạt động xử lý dữ liệu cá nhân;
- Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân.
Thành phần thứ hai buộc rà lại hợp đồng
Yêu cầu nộp bản sao hợp đồng "thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân" có nghĩa hợp đồng chung chung về cung cấp dịch vụ là chưa đủ. Cần có điều khoản nói rõ ai xử lý dữ liệu gì, trong phạm vi nào, với trách nhiệm ra sao.
Với doanh nghiệp đang dùng nhiều nhà cung cấp, đây thường là phần phải làm lại: bổ sung phụ lục về xử lý dữ liệu cá nhân vào các hợp đồng hiện hành.
Thành phần thứ ba là khối lượng công việc thật
Bộ chính sách, quy trình, quy định, biểu mẫu về bảo vệ dữ liệu cá nhân không thể sao chép từ nơi khác về, vì nó phải mô tả đúng cách doanh nghiệp đang vận hành. Tối thiểu thường gồm: chính sách bảo vệ dữ liệu cá nhân, quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu, quy trình ứng phó sự cố, quy định phân quyền truy cập, chính sách lưu trữ và xóa dữ liệu, cùng các biểu mẫu đi kèm.
Hồ sơ phải luôn có sẵn
Điều 19 Nghị định 356/2025/NĐ-CP quy định hồ sơ phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Chữ "luôn có sẵn" hàm ý hồ sơ là tài liệu sống, được cập nhật theo thực tế, chứ không phải bộ giấy tờ lập một lần rồi cất đi.
Nộp bản chính trong 60 ngày
Cùng điều này quy định nộp 01 bản chính bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân, kèm theo Mẫu số 02a hoặc 02b tại Phụ lục của Nghị định, trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
Mốc 60 ngày này thống nhất với khoản 1 Điều 21 Luật 91/2025/QH15.
Thứ tự làm cho hiệu quả
Kinh nghiệm thực tế là đừng bắt đầu từ việc điền Mẫu số 10. Trình tự hợp lý hơn:
- Lập bản đồ luồng dữ liệu trước — đây là dữ liệu đầu vào cho gần như mọi mục của báo cáo;
- Rà và bổ sung điều khoản xử lý dữ liệu vào hợp đồng với các bên liên quan;
- Viết bộ chính sách và quy trình phản ánh đúng cách đang làm, sau đó sửa những chỗ chưa đạt;
- Cuối cùng mới tổng hợp vào báo cáo theo mẫu.
Làm ngược lại thường ra một báo cáo trôi chảy nhưng không khớp với thực tế vận hành, và sai lệch đó sẽ lộ ra ngay ở lần kiểm tra đầu tiên.
Đọc thêm cùng chủ đề
- Nộp hồ sơ đánh giá tác động ở đâu và bằng cách nào?
- Báo cáo đánh giá tác động phải có nội dung gì?
- Doanh nghiệp nhỏ có phải làm hồ sơ đánh giá tác động?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 19
- Luật 91/2025/QH15 Điều 21
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.