Hồ sơ đánh giá tác động bị yêu cầu bổ sung cần kiểm tra gì?

Hồ sơ đánh giá tác động bị yêu cầu bổ sung cần kiểm tra gì?

Khi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bị yêu cầu bổ sung, doanh nghiệp cần xác định từng nội dung phải sửa, thời hạn hoàn thiện và tài liệu chứng minh tương ứng. Khoản 6 Điều 19 Nghị định 356/2025/NĐ-CP quy định thời hạn hoàn thiện là 30 ngày đối với hồ sơ chưa đầy đủ, đúng quy định. Doanh nghiệp nên đọc toàn bộ thông báo và đối chiếu bộ hồ sơ đã gửi trước khi phân công sửa.

Trước hết cần xác định đúng loại yêu cầu

Yêu cầu bổ sung thành phần hồ sơ, yêu cầu giải thích nội dung và nghĩa vụ cập nhật khi hoạt động thay đổi có thể đòi hỏi những công việc khác nhau. Nếu nhầm loại thủ tục, doanh nghiệp có thể gửi thêm tài liệu nhưng vẫn chưa giải quyết vấn đề được nêu.

Cần ghi nhận số hồ sơ, cơ quan gửi, ngày nhận, hình thức nhận, nội dung chưa đạt và hạn trả lời. Nếu thông báo chưa rõ cách tính hạn hoặc phạm vi tài liệu, nên đề nghị đầu mối xử lý làm rõ bằng phương thức có thể lưu lại. Việc chủ động hỏi không tự làm phát sinh gia hạn.

Thời hạn 15 ngày tại khoản 5 Điều 19 Nghị định 356/2025/NĐ-CP dành cho việc đánh giá, trả kết quả của cơ quan chuyên trách; không phải thời hạn doanh nghiệp bổ sung. Mốc 60 ngày tại khoản 4 là thời hạn gửi hồ sơ tính từ ngày tiến hành xử lý. Không có căn cứ để coi mỗi lần nộp bổ sung là bắt đầu lại thời hạn nộp ban đầu. Nguồn: Điều 19 Nghị định 356/2025/NĐ-CP.

Kiểm tra hồ sơ đang được xử lý theo cơ chế nào

Với hồ sơ mới, cần đối chiếu Mẫu số 10, các tài liệu kèm theo và Mẫu số 02a dành cho tổ chức theo khoản 2, khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026 theo khoản 2 Điều 42 Nghị định 356.

Nếu hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026, khoản 2 Điều 39 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cho phép tiếp tục sử dụng, còn việc cập nhật tuân theo Luật mới. Cần giữ chứng cứ tiếp nhận để xác định trường hợp này; không tự chuyển mọi hồ sơ cũ thành hồ sơ nộp mới.

Tuyến xử lý cũng cần cập nhật. Mục II phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP quy định Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Hồ sơ được tiếp nhận hoặc đóng dấu bưu chính trước khi Nghị quyết có hiệu lực ngày 29/04/2026 cần đối chiếu khoản 1 Điều 5 về chuyển tiếp. Doanh nghiệp nên thực hiện theo đầu mối, mã hồ sơ và hướng dẫn hợp lệ đang áp dụng cho hồ sơ của mình.

Ba nhóm nội dung cần rà soát

Thành phần và thông tin nhận diện

Trước tiên, kiểm tra có đủ báo cáo, hợp đồng hoặc thỏa thuận, chính sách và tài liệu liên quan theo khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP hay chưa. Tiếp đó đối chiếu tên pháp nhân, thông tin liên hệ, người ký, tài liệu phân công đầu mối và danh mục phụ lục. Một tài liệu được nhắc đến trong báo cáo nhưng không đính kèm cần được xử lý rõ ràng.

Đây là bước có thể giao đầu mối hành chính tổng hợp, nhưng việc xác định tài liệu nào bắt buộc vẫn cần người hiểu hoạt động và quy định pháp luật kiểm tra.

Vai trò, mục đích và luồng dữ liệu

Khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu luận giải mục đích, loại dữ liệu, hoạt động, sơ đồ luồng, cơ chế đồng ý và bảo vệ. Doanh nghiệp cần so sánh báo cáo với biểu mẫu thu thập, hợp đồng nhà cung cấp và xác nhận của bộ phận vận hành.

Ví dụ minh họa: báo cáo ghi không chuyển thông tin ra ngoài doanh nghiệp, nhưng hợp đồng tổng đài cho phép nhà cung cấp truy cập bản ghi cuộc gọi. Khi đó cần xác định luồng truy cập, vai trò, mục đích và trách nhiệm các bên; không thể khắc phục bằng cách thêm một câu cam kết bảo mật chung.

Nếu sơ đồ xuất hiện bên nhận hoặc hệ thống ở nước ngoài, cần kiểm tra riêng Điều 20 Luật 91/2025/QH15 và Điều 17, Điều 18 Nghị định 356/2025/NĐ-CP. Việc bổ sung báo cáo xử lý không tự thay thế hồ sơ chuyển dữ liệu xuyên biên giới khi hoạt động thuộc diện phải thực hiện hồ sơ đó.

Căn cứ xử lý và chất lượng đánh giá rủi ro

Nếu báo cáo dựa trên sự đồng ý, cần kiểm tra nội dung, từng mục đích, cách thể hiện và khả năng chứng minh theo khoản 2, khoản 3, khoản 4 Điều 9 Luật 91/2025/QH15. Nếu viện dẫn trường hợp không cần đồng ý, phải chỉ ra trường hợp thuộc khoản 1 Điều 19 và cơ chế giám sát tương ứng tại khoản 2 Điều 19 Luật 91/2025/QH15.

Phần rủi ro cần làm rõ dữ liệu nào có thể bị lộ, người nào bị ảnh hưởng, hậu quả dự kiến và biện pháp phù hợp. Điều này gắn với điểm g khoản 3 Điều 19 và phần A.III Mẫu số 10 Nghị định 356. Các biện pháp kỹ thuật được mô tả phải có bộ phận chuyên môn xác nhận; tránh ghi nhận mã hóa, giới hạn truy cập hoặc xóa tự động khi hệ thống chưa thực hiện.

Dùng bảng đối chiếu để kiểm soát việc bổ sung

Bảng dưới đây là công cụ quản trị được khuyến nghị. Mỗi ý trong thông báo cần được đưa thành một dòng, kèm vị trí sửa và tài liệu chứng minh. Các dòng mẫu là tình huống minh họa.

Đầu mối tổng hợp nên bổ sung cột người duyệt, hạn nội bộ và trạng thái. Sau khi các phòng ban bàn giao, cần kiểm tra lại sự thống nhất giữa báo cáo, sơ đồ, hợp đồng và phụ lục; mỗi người sửa một tài liệu riêng dễ tạo ra những mô tả khác nhau về cùng một hoạt động.

Gửi lại hồ sơ với nội dung giải trình cụ thể

Doanh nghiệp nên chuẩn bị văn bản đối chiếu từng yêu cầu với nội dung đã sửa và tài liệu đính kèm. Đây là cách giúp việc kiểm tra thuận tiện, không phải một mẫu bắt buộc được đặt thêm ngoài quy định. Nếu nội dung nào không áp dụng, cần giải thích bằng hoạt động thực tế và căn cứ phù hợp, thay vì để trống.

Bộ lưu nội bộ nên gồm hồ sơ lần đầu, yêu cầu bổ sung, bộ đã sửa và chứng từ gửi lại. Không sửa ngược ngày ký hoặc tạo bằng chứng cho hoạt động chưa diễn ra. Nếu thiếu thông tin từ nhà cung cấp, cần yêu cầu cung cấp sớm và trao đổi với đầu mối xử lý; không mặc nhiên coi việc đang chờ đối tác là lý do được kéo dài hạn.

Trường hợp phát sinh thay đổi hoạt động, phải kiểm tra thêm nghĩa vụ cập nhật theo Điều 22 Luật 91/2025/QH15 và Điều 20 Nghị định 356/2025/NĐ-CP. Tổ chức sử dụng Mẫu số 03a cho cập nhật. Không dùng quy trình cập nhật để thay thế việc trả lời yêu cầu bổ sung đang tồn tại.

Chậm hoàn thiện hoặc khai sai có rủi ro gì?

Nhận yêu cầu bổ sung không tự đồng nghĩa với đã bị xử phạt. Tuy nhiên, khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP quy định mức phạt 20–30 triệu đồng đối với các hành vi thuộc khoản này, gồm không lập, không duy trì, không gửi đúng hạn và cố ý không hoàn thiện hồ sơ theo yêu cầu. Khoản 2 quy định mức 50–100 triệu đồng đối với hành vi cố tình làm giả số liệu, cung cấp sai lệch thông tin hoặc từ chối chỉnh sửa, hoàn thiện theo văn bản yêu cầu khắc phục được quy định tại khoản đó. Việc xác định khoản áp dụng phải căn cứ hành vi và hồ sơ cụ thể.

Đây là các mức áp dụng cho tổ chức theo khoản 1 Điều 7 Nghị định 330. Khoản 3 Điều 55 còn quy định biện pháp khắc phục; riêng biện pháp buộc dừng xử lý tại điểm b gắn với hành vi tại điểm a khoản 1, không áp dụng mặc nhiên cho mọi trường hợp hồ sơ cần bổ sung.

Nghị định có hiệu lực từ 19/08/2026 theo Điều 80. Với hành vi xảy ra trước đó, cần áp dụng quy định chuyển tiếp tại Điều 81, trong đó khoản 1 yêu cầu đối chiếu pháp luật tại thời điểm thực hiện và quy định có lợi hơn nếu đủ điều kiện. Nguồn: Nghị định 330/2026/NĐ-CP.

Khi cần rà soát và hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, doanh nghiệp nên chuẩn bị thông báo yêu cầu bổ sung, bộ hồ sơ đã gửi, chứng từ tiếp nhận và các tài liệu vận hành liên quan. Luật sư Justix có thể hỗ trợ phân tích yêu cầu, lập bảng sửa, hoàn thiện nội dung pháp lý và hỗ trợ giải trình theo phạm vi dịch vụ thỏa thuận. Liên hệ 0372717888 hoặc 0878853686 để trao đổi phạm vi và nhận báo phí.