Theo Luật Bảo vệ dữ liệu cá nhân 2025, nộp hồ sơ đánh giá tác động ở đâu và bằng cách nào?

Ba phương thức nộp — trực tuyến, trực tiếp hoặc qua bưu chính — về cơ quan chuyên trách bảo vệ dữ liệu cá nhân, trong thời hạn 60 ngày.

Lập xong hồ sơ rồi thì nộp ở đâu? Câu hỏi thủ tục này có câu trả lời khá rõ trong Điều 19 Nghị định 356/2025/NĐ-CP.

Nộp về cơ quan chuyên trách

Điều 19 Nghị định 356/2025/NĐ-CP quy định nộp 01 bản chính bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân, kèm theo Mẫu số 02a hoặc Mẫu số 02b tại Phụ lục của Nghị định.

Khoản 1 Điều 21 Luật 91/2025/QH15 cũng xác định bên kiểm soát và bên kiểm soát và xử lý gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Cơ quan chuyên trách là đơn vị nào

Điểm a khoản 1 Điều 33 Luật 91/2025/QH15 xác định cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an. Điều 39 Nghị định 356/2025/NĐ-CP quy định về cơ quan chuyên trách bảo vệ dữ liệu cá nhân và Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Ba phương thức nộp

• Trực tuyến — thường thuận tiện nhất và để lại dấu vết thời gian rõ ràng;
• Trực tiếp tại cơ quan chuyên trách;
• Qua dịch vụ bưu chính.

Cả ba đều được chấp nhận như nhau. Với hai phương thức sau, nên giữ lại chứng từ chứng minh ngày gửi, vì mốc 60 ngày là mốc pháp lý.

Thời hạn 60 ngày tính từ đâu

Điều 19 Nghị định 356/2025/NĐ-CP ghi thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân. Khoản 1 Điều 21 Luật 91/2025/QH15 diễn đạt tương tự: trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân.

Với doanh nghiệp đang hoạt động từ trước, cách xác định mốc này cần đối chiếu với quy định chuyển tiếp tại Điều 39 Luật 91/2025/QH15 — điều này xử lý các hồ sơ đã nộp theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực.

Sau khi nộp thì sao

Điều 19 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân đánh giá và trả kết quả đối với hồ sơ đánh giá tác động. Khoản 4 Điều 21 Luật 91/2025/QH15 nêu cơ quan chuyên trách đánh giá, yêu cầu các bên hoàn thiện hồ sơ trong trường hợp hồ sơ chưa đầy đủ và đúng quy định.

Nghĩa là quá trình có thể có bước bổ sung, hoàn thiện. Nộp sớm hơn hạn chót giúp có thời gian cho vòng phản hồi này.

Làm một lần rồi duy trì

Khoản 2 Điều 21 Luật 91/2025/QH15 quy định đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động của bên kiểm soát, bên kiểm soát và xử lý, và được cập nhật theo Điều 22 của Luật.

Đây là điểm đáng lưu ý về mặt quản trị: không phải thủ tục lặp lại hằng năm, nhưng có nghĩa vụ cập nhật khi có thay đổi. Khoản 5 Điều 21 yêu cầu các bên cập nhật, bổ sung hồ sơ khi có sự thay đổi về nội dung hồ sơ đã gửi.

Trường hợp cơ quan nhà nước

Khoản 6 Điều 21 Luật 91/2025/QH15 quy định cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động xử lý dữ liệu cá nhân trong phạm vi được nêu tại khoản đó. Đây là ngoại lệ dành cho khu vực công, không áp dụng cho doanh nghiệp.

Nên chuẩn bị gì trước khi nộp

Kiểm tra ba điểm trước khi gửi: hồ sơ có đủ ba thành phần theo Điều 19 chưa; báo cáo có đủ bảy nhóm nội dung chưa; và nội dung mô tả có khớp với hệ thống đang chạy thật không. Điểm cuối quan trọng nhất, vì hồ sơ sẽ được dùng làm căn cứ đối chiếu khi kiểm tra.

Đọc thêm cùng chủ đề

• Hồ sơ đánh giá tác động xử lý dữ liệu gồm những gì?
• Báo cáo đánh giá tác động phải có nội dung gì?
• Cơ quan nào kiểm tra việc bảo vệ dữ liệu cá nhân?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 19
• Luật 91/2025/QH15 Điều 21
• Nghị định 356/2025/NĐ-CP Điều 39

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.