Bên xử lý dữ liệu có phải lập và nộp hồ sơ đánh giá tác động?

Bên xử lý dữ liệu có phải lập và nộp hồ sơ đánh giá tác động?

Nhà cung cấp xử lý dữ liệu theo hợp đồng cần xác định nghĩa vụ hồ sơ của chính mình. Bài viết phân biệt lập, lưu, nộp và cách phân công với bên thuê để tránh bỏ sót trách nhiệm.

Bên xử lý dữ liệu cá nhân phải lập và lưu hồ sơ đánh giá tác động theo thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu. Khi xác định việc nộp, cần đọc tiếp Điều 19 Nghị định 356/2025/NĐ-CP: quy định này áp dụng hồ sơ cho cả ba vai trò và đặt yêu cầu nộp bản chính trong thời hạn 60 ngày. Vì vậy, doanh nghiệp không nên kết luận mình được miễn nộp chỉ vì hợp đồng gọi mình là “bên xử lý”, hoặc khách hàng đã có hồ sơ. Trước khi triển khai, phải kiểm tra vai trò thực tế, trường hợp miễn nếu có, hồ sơ hiện hữu và người thực hiện từng việc.

Khi nào nhà cung cấp là bên xử lý dữ liệu cá nhân

Theo khoản 8 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, bên xử lý là cơ quan, tổ chức, cá nhân xử lý dữ liệu theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Ví dụ, doanh nghiệp thuê đơn vị vận hành tổng đài để tiếp nhận cuộc gọi, cập nhật yêu cầu và chuyển kết quả theo kịch bản do mình xác định. Nếu đơn vị tổng đài thực hiện trong phạm vi đó thì cần xem xét vai trò bên xử lý đối với luồng công việc được giao.

Tên ngành nghề hoặc nhãn “đối tác công nghệ” chưa đủ để phân vai. Cần biết ai quyết định dùng dữ liệu để làm gì, ai quyết định phương tiện và ai trực tiếp thực hiện. Một đơn vị cung cấp phần mềm có thể đồng thời xử lý dữ liệu khách hàng theo hợp đồng, quản lý dữ liệu nhân viên của chính mình và dùng thông tin người liên hệ để thực hiện giao dịch. Các hoạt động ấy cần được mô tả riêng, không ép vào một vai trò duy nhất.

Nếu nhà cung cấp tự lấy danh sách được giao để chào bán dịch vụ khác, phải đánh giá lại mục đích và vai trò của họ theo khoản 7–9 Điều 2 Luật. Việc đó không mặc nhiên được hợp pháp hóa bằng điều khoản chung cho phép “cải thiện dịch vụ”. Có thể tham khảo bài phân biệt bên kiểm soát và bên xử lý dữ liệu cá nhân trước khi chốt phạm vi hợp đồng.

Đọc quy định về lập lưu và nộp hồ sơ như thế nào

Luật quy định riêng việc lập và lưu theo thỏa thuận

Khoản 1 Điều 21 Luật 91/2025/QH15 quy định bên kiểm soát và bên kiểm soát và xử lý phải lập, lưu hồ sơ, gửi một bản chính trong 60 ngày kể từ ngày đầu tiên xử lý. Khoản 3 Điều này quy định bên xử lý lập, lưu hồ sơ theo thỏa thuận với các bên thuê nêu trên. Khoản 7 giao Chính phủ quy định thành phần, điều kiện, trình tự và thủ tục. Các quy định cần được đọc trong cùng một cơ chế, thay vì dừng ở câu chữ về thỏa thuận.

Đối với hợp đồng, nội dung cần làm rõ là hoạt động nào được đánh giá, ai cung cấp thông tin, ai kiểm tra bản mô tả, ai ký và ai thực hiện thủ tục. Thỏa thuận giúp xác định cách phối hợp và trách nhiệm giữa các bên; doanh nghiệp không nên dùng việc hợp đồng chưa ghi nghĩa vụ để mặc nhiên kết luận không phải làm hồ sơ.

Nghị định có yêu cầu nộp hồ sơ và không loại riêng bên xử lý

Khoản 1 Điều 19 Nghị định 356/2025/NĐ-CP nêu cả bên kiểm soát, bên kiểm soát và xử lý, bên xử lý khi quy định việc lập và lưu hồ sơ của mình từ thời điểm bắt đầu xử lý. Khoản 2 tiếp tục quy định thành phần hồ sơ của ba nhóm này. Khoản 4 yêu cầu hồ sơ luôn sẵn có để kiểm tra và nộp một bản chính kèm thông báo Mẫu số 02a/02b trong 60 ngày kể từ ngày tiến hành xử lý.

Điều 19 không có câu loại trừ bên xử lý khỏi yêu cầu nộp tại khoản 4. Do đó, khi áp dụng thủ tục hiện hành, cần chuẩn bị việc nộp hồ sơ của bên xử lý cùng với việc lập và lưu, trừ khi xác định được căn cứ miễn hoặc chuyển tiếp phù hợp. Không có đủ căn cứ để viết trong hợp đồng rằng mọi bên xử lý đều chỉ cần giữ tài liệu rồi cung cấp cho khách hàng khi được hỏi.

Cần phân biệt việc nhà cung cấp tự thực hiện nghĩa vụ với việc được ủy quyền nộp thay hồ sơ của khách hàng. Biên nhận đứng tên khách hàng không tự chứng minh hồ sơ của nhà cung cấp đã được nộp. Nếu có người đại diện thực hiện thủ tục, phải xác định đúng bên nộp hồ sơ, phạm vi đại diện và bộ tài liệu thực tế được gửi.

Hồ sơ của bên xử lý cần phản ánh những gì

Khoản 2 Điều 19 Nghị định 356 quy định ba nhóm thành phần: báo cáo theo Mẫu số 10; bản sao hợp đồng hoặc thỏa thuận xử lý; chính sách, quy trình, quy định, biểu mẫu và tài liệu liên quan. Thông báo Mẫu số 02a dành cho tổ chức hoặc 02b dành cho cá nhân là tài liệu kèm khi gửi theo khoản 4, không thay thế báo cáo Mẫu số 10.

Với bên xử lý, báo cáo phải giải thích được công việc theo hợp đồng và cách dữ liệu đi qua hệ thống của mình. Thông tin cần tập hợp thường gồm nhóm khách hàng được phục vụ, đối tượng có dữ liệu được xử lý, loại dữ liệu, yêu cầu đã nhận, tài khoản có quyền truy cập, nơi xử lý, bên tham gia tiếp theo, thời gian lưu và cách hoàn trả hoặc xóa. Đây là các thông tin để mô tả đúng hoạt động và đánh giá rủi ro, không phải một danh sách tài liệu đính kèm bắt buộc giống nhau cho mọi dịch vụ.

Khoản 3 Điều 19 còn yêu cầu mô tả cơ chế đồng ý, lưu trữ, xóa, biện pháp bảo vệ, kết quả đánh giá tuân thủ và ảnh hưởng có thể xảy ra. Vì vậy, nhà cung cấp cần lấy đủ thông tin từ bên thuê để giải thích căn cứ và mục đích của luồng dữ liệu; không tự xác nhận đã có sự đồng ý nếu chưa được cung cấp tài liệu chứng minh. Ngược lại, bên thuê cần biết những giới hạn thật của nhà cung cấp, chẳng hạn dữ liệu trong bản sao lưu được xóa theo chu kỳ nào.

Chi tiết thành phần có thể đối chiếu thêm ở bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì. Khi sử dụng tài liệu chung cho nhiều khách hàng, phải bảo đảm có thể nhận diện đúng hợp đồng, phiên bản cấu hình và hoạt động của từng khách hàng liên quan.

Bảng phân công hồ sơ giữa bên thuê và bên xử lý

Bảng dưới đây là công cụ tổ chức công việc, áp dụng khi bên thuê giữ vai trò kiểm soát hoặc kiểm soát và xử lý. Các đầu ra được đề xuất để thực hiện Điều 19 Nghị định 356 và Điều 37 Luật 91; bảng không phải biểu mẫu nhà nước và không chuyển nghĩa vụ luật định của một bên sang bên kia.

Để dùng bảng, mỗi bên nên điền tên người phụ trách và hạn bàn giao trong kế hoạch thực hiện. Hạn nội bộ cần đủ sớm để bên còn lại kiểm tra, ký và thực hiện thủ tục. Không nên chờ đến ngày cuối của thời hạn pháp luật mới bắt đầu xin mô tả kỹ thuật hoặc xác nhận của khách hàng.

Hợp đồng cần ghi rõ những đầu việc nào

Điểm a khoản 1 và khoản 2 Điều 37 Luật 91/2025/QH15 là cơ sở để phân định quyền, nghĩa vụ và yêu cầu xử lý theo hợp đồng. Hợp đồng hoặc phụ lục dữ liệu nên xác định phạm vi dữ liệu, yêu cầu xử lý, đầu mối phê duyệt, việc hỗ trợ lập hồ sơ và cung cấp chứng cứ. Điều khoản cần khớp với cách vận hành thật, nhất là khi có hỗ trợ từ xa hoặc đơn vị khác tham gia xử lý.

Với công việc hồ sơ, nên ghi cụ thể người lập bản mô tả, người xác nhận thông tin, tài liệu phải trao đổi, thời điểm báo thay đổi và cách xử lý yêu cầu bổ sung. Nội dung về lưu, xóa và hoàn trả cần tính đến cơ chế sao lưu, tranh chấp và nghĩa vụ lưu theo pháp luật; không đặt một thời gian duy nhất cho mọi dữ liệu chỉ để đơn giản hóa phụ lục.

Nhà cung cấp cũng cần cơ chế bảo mật tài liệu khi phục vụ nhiều khách hàng. Bên thuê có thể cần bằng chứng về phân quyền, hệ thống và biện pháp bảo vệ, nhưng điều đó không có nghĩa được nhận dữ liệu cá nhân hoặc bí mật của khách hàng khác. Có thể thống nhất bản mô tả đã che thông tin, quyền kiểm tra có kiểm soát hoặc tài liệu xác nhận phạm vi phù hợp.

Tình huống giả định về doanh nghiệp cung cấp tổng đài

Công ty Minh An thuê Công ty Sao Mai vận hành tổng đài chăm sóc người mua. Minh An quyết định nhóm người cần liên hệ, mục đích, kịch bản và thời gian lưu dự kiến. Sao Mai tiếp nhận danh sách, bố trí nhân viên gọi, ghi nhận phản hồi và trả kết quả theo hợp đồng. Giả định cả hai không thuộc cơ chế được miễn hoặc lựa chọn không thực hiện hồ sơ, và chưa có hồ sơ đủ điều kiện chuyển tiếp.

Trong luồng được giao, Sao Mai cần đánh giá vai trò bên xử lý. Hồ sơ của Minh An phải mô tả việc giao danh sách và nhận kết quả; hồ sơ của Sao Mai phải phản ánh việc tiếp nhận, phân quyền, ghi âm nếu có, chuyển kết quả và xử lý dữ liệu sau dịch vụ. Một bộ cam kết bảo mật do nhân viên tổng đài ký chưa thay thế các nội dung đó.

Hai doanh nghiệp lập bảng phân công theo công cụ trên, chốt tài liệu về căn cứ xử lý và thông tin kỹ thuật, rồi xác định hồ sơ đứng tên mỗi bên. Sao Mai đối chiếu việc nộp theo khoản 4 Điều 19 Nghị định 356; Minh An thực hiện nghĩa vụ của mình theo khoản 1 Điều 21 Luật. Nếu Sao Mai còn quản lý nhân viên của mình thì luồng nhân sự được mô tả theo vai trò thực tế tương ứng.

Đầu ra cần lưu gồm hợp đồng hoặc phụ lục, bản mô tả đã xác nhận, hồ sơ đã ký, tài liệu gửi và bằng chứng tiếp nhận của đúng bên. Nếu Sao Mai muốn dùng thông tin người mua để quảng cáo dịch vụ riêng, hai bên phải dừng việc tự mở rộng yêu cầu và đánh giá lại căn cứ, vai trò, thông tin đã cung cấp cho người có dữ liệu.

Doanh nghiệp nên xử lý công việc theo trình tự nào

Trước hết, pháp chế hoặc đầu mối dữ liệu cùng bộ phận kinh doanh rà hợp đồng và hoạt động thực tế để chốt bảng vai trò. Đồng thời, kiểm tra điều kiện miễn tại Điều 38 Luật và Điều 41 Nghị định 356. Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu thuộc trường hợp loại trừ khỏi cơ chế dành cho quy mô nhỏ; không thể chỉ viện dẫn ít nhân viên để kết luận được miễn.

Tiếp theo, kỹ thuật và bộ phận vận hành cung cấp sơ đồ, quyền truy cập, vị trí xử lý, thời gian lưu và biện pháp bảo vệ. Đầu mối lập hồ sơ đối chiếu với thông tin của bên thuê, ghi rõ chỗ chưa thống nhất để xử lý trước khi kê khai. Mốc 60 ngày phải xác định theo ngày bắt đầu xử lý thực tế thuộc quy định áp dụng, không tự tính lại từ ngày thuê luật sư hoặc ngày ký phụ lục bổ sung.

Về tuyến tiếp nhận, mục II phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP quy định nộp qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc qua dịch vụ bưu chính về Bộ Công an. Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Người nộp cần kiểm tra thủ tục được công bố tại thời điểm thực hiện và lưu bản ký, tệp đã gửi cùng thông tin tiếp nhận; không tự coi đơn vị tư vấn là cơ quan tiếp nhận.

Hồ sơ đã được tiếp nhận theo Nghị định 13 trước 01/01/2026 cần được kiểm tra theo khoản 2 Điều 39 Luật để xác định việc tiếp tục sử dụng; không coi bản dự thảo cũ chưa gửi là hồ sơ được chuyển tiếp.

Sau bàn giao, mỗi bên giữ hồ sơ sẵn có và theo dõi thay đổi theo Điều 22 Luật, Điều 20 Nghị định 356. Thông báo cho khách hàng về thay đổi hệ thống và thực hiện cập nhật hồ sơ gửi cơ quan là hai việc khác nhau. Hợp đồng nên phân công cả hai để tránh có thông báo thương mại nhưng hồ sơ pháp lý vẫn phản ánh cấu hình cũ.

Câu hỏi thường gặp

Khách hàng đã nộp hồ sơ thì nhà cung cấp còn phải làm gì

Nhà cung cấp phải xác định nghĩa vụ theo vai trò của mình. Hồ sơ khách hàng có thể dùng thông tin do nhà cung cấp cung cấp và ngược lại, nhưng không tự thay thế hồ sơ của hai chủ thể. Cần đối chiếu Điều 21 Luật và toàn bộ Điều 19 Nghị định 356, đồng thời kiểm tra miễn, chuyển tiếp và việc đã thực hiện thực tế.

Một nhà cung cấp phục vụ nhiều khách hàng có thể dùng hồ sơ chung không

Có thể tổ chức phần mô tả hệ thống, quy trình dùng chung và phần thông tin theo hợp đồng để quản lý thống nhất. Tuy nhiên, đây là cách tổ chức tài liệu; hồ sơ vẫn phải phản ánh đầy đủ các vai trò, luồng, mục đích và bên liên quan. Không có căn cứ chỉ từ số hợp đồng để tự kết luận phải nộp một bộ cho mỗi khách hàng, hoặc một bản chung sơ sài là đủ.

Ký điều khoản khách hàng chịu mọi trách nhiệm có giải quyết được nghĩa vụ không

Không. Điều khoản phân bổ công việc, chi phí hoặc bồi thường cần tuân thủ pháp luật và không thay thế trách nhiệm trực tiếp của bên xử lý tại Điều 37 Luật. Nhà cung cấp vẫn phải bảo vệ dữ liệu, xử lý theo hợp đồng và thực hiện nghĩa vụ hồ sơ thuộc phạm vi áp dụng.

Justix hỗ trợ xác định hồ sơ theo vai trò

Doanh nghiệp cung cấp phần mềm, tổng đài hoặc dịch vụ có tiếp nhận dữ liệu của khách hàng có thể sử dụng dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Justix để rà soát vai trò, xác định phạm vi, tập hợp tài liệu và lập hồ sơ theo hoạt động thực tế. Nội dung hỗ trợ nộp và phối hợp xử lý yêu cầu được xác định trong thỏa thuận dịch vụ.

Để trao đổi, nên chuẩn bị danh sách dịch vụ, hợp đồng hoặc phụ lục mẫu, sơ đồ dữ liệu, mô tả quyền truy cập và tài liệu hồ sơ đã gửi nếu có. Có thể che dữ liệu thật khi cung cấp thông tin ban đầu. Liên hệ Công ty Luật TNHH Justix qua 0372 717 888 hoặc legal@justix.vn.