Theo Luật Bảo vệ dữ liệu cá nhân 2025, khi nào phải cập nhật hồ sơ đánh giá tác động?

Hai chế độ: định kỳ 06 tháng khi có thay đổi nhất định, và cập nhật ngay trong 10 ngày với ba trường hợp cụ thể.

Hồ sơ đánh giá tác động không phải tài liệu nộp một lần rồi thôi. Điều 22 Luật 91/2025/QH15 và Điều 20 Nghị định 356/2025/NĐ-CP quy định chế độ cập nhật.

Cập nhật định kỳ 06 tháng

Điều 20 Nghị định 356/2025/NĐ-CP quy định hồ sơ chuyển dữ liệu cá nhân xuyên biên giới và hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ, trong các trường hợp:

• Khi phát sinh mục đích chuyển dữ liệu cá nhân mới, mục đích xử lý dữ liệu cá nhân mới;
• Khi phát sinh hoặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba.

Khoản 1 Điều 22 Luật 91/2025/QH15 cũng nêu hồ sơ được cập nhật định kỳ 06 tháng khi có sự thay đổi, hoặc cập nhật ngay trong các trường hợp quy định tại khoản 2 Điều đó.

Trường hợp thứ hai xảy ra thường xuyên hơn tưởng

"Phát sinh hoặc thay đổi bên xử lý dữ liệu cá nhân, bên thứ ba" bao gồm cả việc đổi nhà cung cấp dịch vụ. Chuyển từ một nền tảng gửi thư điện tử sang nền tảng khác, thay đơn vị lưu trữ, thêm một công cụ phân tích mới — tất cả đều là thay đổi bên xử lý hoặc bên thứ ba.

Với doanh nghiệp công nghệ thay đổi công cụ liên tục, nên có cơ chế ghi nhận: mỗi lần bổ sung một dịch vụ chạm vào dữ liệu cá nhân thì đánh dấu để đưa vào kỳ cập nhật.

Ba trường hợp phải cập nhật ngay trong 10 ngày

Điều 20 Nghị định 356/2025/NĐ-CP quy định các trường hợp thay đổi cần cập nhật ngay trong thời hạn 10 ngày:

• Khi cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;
• Khi có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
• Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ.

Khoản 2 Điều 22 Luật 91/2025/QH15 liệt kê cùng ba trường hợp này là các trường hợp thay đổi cần cập nhật ngay.

Mốc 10 ngày là ngắn

Trong ba trường hợp trên, việc tổ chức lại doanh nghiệp và thay đổi ngành nghề kinh doanh thường đi kèm rất nhiều thủ tục khác. Nghĩa vụ cập nhật hồ sơ dữ liệu dễ bị bỏ quên giữa các đầu việc đó. Cách phòng ngừa là đưa mục này vào danh sách kiểm tra khi thay đổi đăng ký doanh nghiệp.

Cập nhật bằng biểu mẫu nào và nộp ở đâu

Điều 20 Nghị định 356/2025/NĐ-CP quy định việc cập nhật được thực hiện theo Mẫu số 03a hoặc Mẫu số 03b tại Phụ lục của Nghị định, nộp bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Khoản 3 Điều 22 Luật 91/2025/QH15 nêu việc cập nhật được thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Cách quản lý cho khỏi trôi

Kinh nghiệm thực tế là gắn nghĩa vụ cập nhật vào những sự kiện đã có sẵn trong lịch vận hành, thay vì tạo một quy trình riêng:

• Đặt hai mốc rà soát cố định mỗi năm, cách nhau 06 tháng;
• Thêm một dòng vào quy trình phê duyệt nhà cung cấp mới: có chạm vào dữ liệu cá nhân không;
• Thêm một dòng vào danh sách kiểm tra khi thay đổi đăng ký kinh doanh;
• Giữ một bản danh sách các bên xử lý và bên thứ ba, cập nhật ngay khi thay đổi.

Danh sách cuối cùng đáng giá nhất, vì nó vừa phục vụ việc cập nhật hồ sơ, vừa là thứ cần dùng ngay khi có yêu cầu ngừng xử lý từ chủ thể dữ liệu hoặc khi xảy ra sự cố.

Đọc thêm cùng chủ đề

• Hồ sơ nộp theo Nghị định 13 còn dùng được không?
• Ký hợp đồng và lưu hồ sơ nhân sự điện tử cần điều kiện gì?
• Doanh nghiệp cần chuẩn bị bộ hồ sơ tuân thủ gồm những gì?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 20
• Luật 91/2025/QH15 Điều 22

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.