Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ đánh giá tác động xuyên biên giới gồm những gì?

24/07/2026
3 lượt xem
0 bình luận

Ba thành phần hồ sơ và báo cáo theo Mẫu số 09. Điểm khác biệt so với hồ sơ xử lý dữ liệu là yêu cầu về phương án bảo đảm an toàn sau khi dữ liệu đã ra nước ngoài.

Hồ sơ này có cấu trúc song song với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, nhưng nội dung trọng tâm khác nhau.

Ba thành phần hồ sơ

Điều 18 Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09 tại Phụ lục của Nghị định;
Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới;
Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của bên có hoạt động chuyển dữ liệu xuyên biên giới.

Thành phần thứ hai là phần khó nhất trong thực tế

Với nhiều dịch vụ nước ngoài, doanh nghiệp Việt Nam chỉ có điều khoản dịch vụ tiêu chuẩn, không có hợp đồng riêng. Việc có được một văn bản thể hiện sự ràng buộc, trách nhiệm giữa hai bên về dữ liệu cá nhân đòi hỏi phải yêu cầu nhà cung cấp bổ sung phụ lục.

Với các nhà cung cấp lớn, thường có sẵn bộ điều khoản riêng về xử lý dữ liệu mà khách hàng có thể yêu cầu ký kết. Đây là việc nên làm sớm vì thời gian xử lý ở phía đối tác có thể kéo dài.

Nội dung của báo cáo theo Mẫu số 09

Điều 18 Nghị định 356/2025/NĐ-CP quy định báo cáo bao gồm:

Thông tin và chi tiết liên lạc của bên chuyển dữ liệu, bên nhận dữ liệu, bên xử lý dữ liệu và các bên khác có liên quan đến hoạt động chuyển dữ liệu cá nhân xuyên biên giới;
Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân nếu có, của bên chuyển và bên nhận dữ liệu;
Mô tả và luận giải mục đích chuyển dữ liệu xuyên biên giới, loại dữ liệu chuyển xuyên biên giới, chi tiết các hoạt động chuyển và xử lý, và sơ đồ luồng xử lý dữ liệu cá nhân;
Mô tả và luận giải về việc thực hiện xin sự đồng ý của chủ thể dữ liệu, chính sách lưu trữ, xóa, hủy dữ liệu cá nhân;
Phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển xuyên biên giới, các biện pháp bảo vệ dữ liệu cá nhân, tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng.

Yêu cầu về bên nhận là điểm đặc thù

Báo cáo đòi hỏi thông tin của cả bên nhận, kể cả chi tiết liên lạc của bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân của họ. Đây là thông tin doanh nghiệp Việt Nam phải chủ động yêu cầu đối tác cung cấp.

Tương tự với phương án bảo đảm an toàn sau khi dữ liệu đã ra nước ngoài — phần này mô tả những gì bên nhận làm, nên cần thông tin từ phía họ.

So sánh với hồ sơ xử lý dữ liệu

Hai bộ hồ sơ có cấu trúc tương tự, nhưng khác trọng tâm:

Hồ sơ theo Điều 19 Nghị định 356/2025/NĐ-CP tập trung vào hệ thống nội bộ, gồm cả sơ đồ thiết kế hệ thống và kết quả đánh giá tuân thủ;
Hồ sơ theo Điều 18 tập trung vào luồng dữ liệu ra ngoài và mức bảo vệ tại nơi nhận.

Doanh nghiệp có cả hai loại nghĩa vụ nên xây dựng chung một bản đồ dữ liệu, rồi trích xuất cho từng bộ hồ sơ — thay vì làm hai lần từ đầu.

Nộp và cập nhật

Khoản 2 Điều 20 Luật 91/2025/QH15 quy định gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.

Điều 20 Nghị định 356/2025/NĐ-CP quy định chế độ cập nhật: định kỳ 06 tháng kể từ lần đầu nộp hồ sơ khi phát sinh mục đích chuyển mới hoặc thay đổi các bên; và cập nhật ngay trong 10 ngày với ba trường hợp gồm tổ chức lại, thay đổi thông tin về đơn vị cung cấp dịch vụ bảo vệ dữ liệu, và thay đổi ngành nghề kinh doanh liên quan. Việc cập nhật theo Mẫu số 03a hoặc 03b tại Phụ lục.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 18
Luật 91/2025/QH15 Điều 20

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.