Cách điền Mẫu số 10 báo cáo đánh giá tác động dữ liệu cá nhân

Cách điền Mẫu số 10 báo cáo đánh giá tác động dữ liệu cá nhân

Mẫu số 10 hiện hành nằm trong Phụ lục Nghị định 356/2025/NĐ-CP. Khi điền cần nối thông tin về vai trò, luồng xử lý và rủi ro với tài liệu chứng minh; không chỉ hoàn thành các ô thông tin doanh nghiệp.

Muốn điền đúng Mẫu số 10, cần dùng mẫu kèm Nghị định 356/2025/NĐ-CP và kê khai theo hoạt động xử lý đang diễn ra. Mẫu gồm Phần A về bên nộp, hoạt động xử lý, đánh giá tác động và phụ lục; Phần B về các bên liên quan. Báo cáo này khác với Mẫu số 02a/02b dùng khi gửi hồ sơ. Một bản điền đủ ô vẫn có thể chưa đạt yêu cầu nếu số liệu, luồng dữ liệu hoặc biện pháp bảo vệ không có căn cứ kiểm chứng.

Mẫu số 10 có phải toàn bộ hồ sơ phải nộp không?

Điều 19 Nghị định 356 gọi thành phần này là báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10; tiêu đề in trên mẫu là “Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân”. Khi chuẩn bị bộ gửi, cần đọc cả thành phần hồ sơ tại điều luật, thay vì chỉ gửi một tệp Mẫu số 10. Điều 19 và Mẫu số 10, Phụ lục Nghị định 356.

Bộ tài liệu còn có giấy tờ về bộ phận, nhân sự bảo vệ dữ liệu, hợp đồng dịch vụ bảo vệ dữ liệu nếu có, hợp đồng hoặc thỏa thuận xử lý dữ liệu và các chính sách, quy trình, tài liệu phù hợp. Khi gửi dùng thông báo Mẫu số 02a đối với tổ chức hoặc 02b đối với cá nhân theo quy định. Mẫu số 09 thuộc hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, không thay cho Mẫu số 10 của hồ sơ xử lý.

Bài này hướng dẫn cách hình thành nội dung Mẫu số 10. Bạn có thể đối chiếu thành phần bộ hồ sơ đánh giá tác động để kiểm tra tài liệu kèm theo. Trước khi lập cần xác định nghĩa vụ, miễn và chuyển tiếp; việc có biểu mẫu không đồng nghĩa mọi chủ thể đều phải nộp trong cùng hoàn cảnh.

Chuẩn bị đầu vào trước khi điền mẫu

Người phụ trách nên thu thập bốn nhóm đầu vào. Nhóm thứ nhất là giấy tờ pháp lý và quyết định phân công đầu mối bảo vệ dữ liệu. Nhóm thứ hai là danh mục hoạt động, đối tượng có dữ liệu, loại dữ liệu, hệ thống và nơi dữ liệu đi qua. Nhóm thứ ba là tài liệu về căn cứ xử lý, thông báo, đồng ý, hợp đồng, lưu trữ và xóa. Nhóm thứ tư là chứng cứ thực hiện biện pháp bảo vệ, kiểm tra hệ thống và đánh giá tuân thủ.

Chốt một ngày kiểm kê và nguồn số liệu trước khi điền. “Số chủ thể” cần được phân biệt với số tài khoản, số lượt gửi biểu mẫu và số bản ghi. Một người gửi biểu mẫu ba lần không vì thế trở thành ba người; cách đối chiếu, loại trùng phải được giải thích, nhất là khi tổng hợp từ nhiều hệ thống.

Pháp chế không nên tự điền vị trí máy chủ hoặc kết luận “không chuyển xuyên biên giới” từ tên nhà cung cấp. Bộ phận kỹ thuật và bên cung cấp cần xác nhận cả lưu trữ, sao lưu, truy cập hỗ trợ và các luồng có liên quan. Nếu một nội dung chưa xác minh, phải tìm nguồn làm rõ trước khi chốt hồ sơ, không chuyển thành câu “đã tuân thủ đầy đủ”.

Phần A mục I: thông tin bên nộp và đầu mối bảo vệ dữ liệu

Tên tiếng Việt, tên nước ngoài, viết tắt, mã số thuế và địa chỉ cần khớp giấy tờ của đúng bên nộp. Mục lĩnh vực kinh doanh yêu cầu lĩnh vực có xử lý dữ liệu kèm mã ngành đăng ký tương ứng; số chi nhánh, văn phòng đại diện cần được đối chiếu theo phạm vi thực tế. Không lấy tên thương hiệu, tên phần mềm hoặc tên tập đoàn để thay tên chủ thể nộp hồ sơ.

Mục 8 phân biệt tổ chức cung cấp dịch vụ, cá nhân cung cấp dịch vụ và bộ phận hoặc nhân sự nội bộ. Điền nhánh phù hợp, ghi rõ nhánh không phát sinh và dẫn đúng hợp đồng hoặc quyết định phân công. Chưa có quyết định thì không thể chỉ điền tên một nhân viên rồi coi đã hoàn tất chứng cứ chỉ định. Mẫu số 10, Phần A mục I.

Phần A mục II: mô tả đúng vai trò, loại dữ liệu và luồng xử lý

Một doanh nghiệp dùng phần mềm để chăm sóc khách hàng của chính mình chưa vì thế trở thành đơn vị kinh doanh dịch vụ xử lý dữ liệu cá nhân. Ngược lại, nếu trực tiếp cung cấp dịch vụ xử lý thay cho khách hàng thì phải nhận diện và kê khai hoạt động đó. Vai trò được xác định theo khoản 7–9 Điều 2 Luật và quan hệ thực tế, không theo tên ngành công nghệ hay tên hợp đồng.

Ở mục II.11, câu “áp dụng biện pháp kỹ thuật cần thiết” chưa giúp người đọc biết ai được truy cập, biện pháp nào đang bật và phần nào còn thiếu. Nên ghi biện pháp cụ thể, phạm vi áp dụng, trạng thái thực hiện và tài liệu đối chiếu. Mục II.12 cũng phải phân biệt kết quả tự rà soát với kiểm tra hoặc chứng nhận của một bên độc lập; không gọi một cuộc họp nội bộ là đã được cơ quan nhà nước xác nhận tuân thủ.

Ví dụ điền mẫu bằng doanh nghiệp giả định

Ví dụ sau hoàn toàn giả định, minh họa cách viết một luồng tư vấn của Công ty Mẫu A; không phải Mẫu số 10 hoàn chỉnh để sao chép nộp. Hồ sơ thật của A vẫn phải bao quát mọi hoạt động thuộc phạm vi kê khai, gồm nhân sự và các luồng khác nếu có. Giả định A đã được xác định thuộc diện phải lập hồ sơ; ví dụ không dùng số người dưới đây để kết luận được miễn.

Tại ngày kiểm kê 21/10/2026, luồng minh họa có 1.200 người đăng ký nhận một lần tư vấn, sau đối chiếu loại trùng. Biểu mẫu chỉ nhận họ tên, số điện thoại và địa chỉ liên hệ; không nhận nội dung tự do hoặc tệp đính kèm. Dữ kiện giả định đã xác nhận luồng này không xử lý dữ liệu nhạy cảm. A quyết định mục đích và trực tiếp sử dụng dữ liệu; Đơn vị Mẫu B vận hành CRM trong nước theo hợp đồng và chỉ dẫn của A. Tất cả tên, mã và tài liệu dưới đây là ký hiệu minh họa.

Điền thông tin cơ bản và hoạt động

Phần A.I: Tên bên nộp: Công ty Mẫu A (giả định). Thông tin mã số thuế, địa chỉ, mã ngành, liên hệ phải lấy từ giấy tờ thật khi thực hiện; không sử dụng một chuỗi số minh họa như mã số thuế hợp lệ. Ở mục 8.3, ví dụ A có nhân sự phụ trách theo quyết định ký hiệu QĐ-A-01 ngày 01/09/2026; mục 8.1 và 8.2 ghi không phát sinh trong giả định. Đây là cách nối trường kê khai với giấy tờ, không phải chứng minh một quyết định thật đã tồn tại.

Mục II.1: Trong luồng tư vấn, chọn nhóm bên kiểm soát và xử lý dữ liệu cá nhân; đối tượng: người đăng ký nhận tư vấn; số lượng: 1.200 người tính đến 21/10/2026. Khi đưa vào hồ sơ nộp, cập nhật số liệu đến thời điểm nộp theo yêu cầu của mẫu và hợp nhất với các nhóm thuộc phạm vi khác, giải thích trường hợp trùng người.

Mục II.2 — Đoạn minh họa: “Người đăng ký gửi họ tên, số điện thoại, địa chỉ liên hệ qua biểu mẫu của A để nhận một lần tư vấn theo yêu cầu. Dữ liệu được chuyển vào CRM do B vận hành theo chỉ dẫn của A. Nhân viên được phân công của A đọc thông tin và thực hiện cuộc tư vấn; không dùng danh sách này cho quảng cáo định kỳ. Hết thời hạn lưu đã quy định, A thực hiện xóa và yêu cầu B xử lý bản lưu theo hợp đồng, chính sách.”

Sơ đồ quy trình kèm ví dụ cần thể hiện ít nhất các điểm: biểu mẫu → CRM của B → nhân viên A được phân quyền → kho lưu theo thời hạn → xóa và kiểm tra kết quả. Ở hồ sơ thật, bổ sung hệ thống, nơi lưu, đường sao lưu, truy cập quản trị và các bên liên quan; một dòng mũi tên không thay cho sơ đồ hệ thống thực tế.

Mục II.3: Với riêng luồng minh họa, tổng số loại dữ liệu cơ bản là 03, gồm họ tên, số điện thoại, địa chỉ liên hệ; số loại nhạy cảm là 0 theo dữ kiện giả định. Con số 03 không thay cho 1.200 ở mục số chủ thể. Kết luận không có dữ liệu nhạy cảm phải được kiểm tra lại nếu biểu mẫu hoặc hệ thống thực tế thu thêm loại thông tin khác.

Mục II.4: Giả định luồng đăng ký tư vấn dựa trên sự đồng ý: người đăng ký đọc nội dung thông báo xác định A, dữ liệu và mục đích, sau đó thực hiện thao tác đồng ý chủ động; A lưu phiên bản nội dung, thời điểm và chứng cứ gắn với lượt đăng ký. Không có lựa chọn mặc định đồng ý nhận quảng cáo. Tài liệu minh họa dẫn TB-A-01 và biểu mẫu BM-A-01. Nội dung thật phải đáp ứng Điều 9 Luật và Điều 6 Nghị định 356.

Mục II.5–6: Trong giả định, chính sách CS-A-01 quy định dữ liệu liên hệ của luồng tư vấn được lưu 90 ngày từ khi hoàn tất cuộc tư vấn, sau đó xóa khỏi hệ thống đang hoạt động; bản sao lưu được cách ly và hết vòng lưu 30 ngày tiếp theo, không tái sử dụng cho tư vấn hoặc quảng cáo. Khi có yêu cầu hợp lệ hoặc căn cứ pháp luật khác, xử lý theo quy trình tương ứng. Các khoảng 90 và 30 ngày là lựa chọn của tình huống giả định, không phải thời hạn chung do pháp luật ấn định. Hồ sơ thật phải chứng minh thời hạn phù hợp với mục đích, nghĩa vụ lưu và khả năng vận hành.

Mục II.7–10: Chuyển giao dữ liệu: Có, do A giao dữ liệu cho B xử lý theo hợp đồng trong trường hợp phù hợp điểm d khoản 1 Điều 17 Luật; giả định không thu phí chuyển giao. Giao dịch trên sàn dữ liệu: Không. Kinh doanh dịch vụ xử lý dữ liệu cá nhân của A: Không trong luồng minh họa; cần kiểm tra toàn bộ hoạt động trước khi trả lời cho A. Chuyển dữ liệu xuyên biên giới: Không theo giả định đã xác minh cả lưu trữ, sao lưu và truy cập hỗ trợ của luồng này, không suy từ việc B có địa chỉ trong nước.

Điền biện pháp bảo vệ và kết quả tuân thủ

Mục II.11.1: Phương án của ví dụ là giới hạn việc thu thập vào ba trường, chỉ nhân viên được giao mới truy cập danh sách tư vấn, kiểm soát xuất tệp và có quy trình xử lý sự cố. Tài liệu kèm: PA-A-01. Khi kê khai thật phải mô tả phương án đang triển khai, không đưa kế hoạch tương lai vào như việc đã làm.

Mục II.11.2: Giả định A đã phân quyền theo nhiệm vụ, dùng xác thực nhiều yếu tố cho tài khoản quản trị, mã hóa kết nối và ghi nhật ký xuất dữ liệu; có hướng dẫn nhân viên không tải danh sách về thiết bị cá nhân. Việc chặn xuất tệp đại trà đang được cấu hình bổ sung, có người chịu trách nhiệm và thời hạn. Cần tách rõ phần đã có với phần còn phải hoàn thiện.

Mục II.11.3: Giả định A và B rà soát quyền hàng tháng, kiểm tra khả năng khôi phục bản sao lưu hàng quý và kiểm tra cấu hình truy cập sau thay đổi lớn. Ghi nội dung, hệ thống, tần suất và mục đích của từng hoạt động; không ghi “kiểm tra thường xuyên” mà thiếu phạm vi và bằng chứng.

Mục II.12: “Tự rà soát luồng tư vấn ngày 21/10/2026 theo danh mục kiểm tra KT-A-01: đã đối chiếu biểu mẫu và phân quyền; phát hiện một quyền xuất tệp vượt nhu cầu công việc; giao quản trị hệ thống thu hẹp và lưu kết quả kiểm tra lại.” Đây là kết quả giả định của tự rà soát, không phải thông báo đạt từ cơ quan tiếp nhận hoặc một cuộc kiểm toán độc lập.

Phần A mục III: viết đánh giá tác động như thế nào?

Mục III.1 cần giải thích hoạt động kinh doanh, sự cần thiết, thực trạng, thuận lợi, khó khăn và rủi ro. Trong ví dụ, A cần thông tin để đáp ứng yêu cầu tư vấn; lợi ích đó phải được cân nhắc với việc giữ dữ liệu quá lâu, nhân viên xuất danh sách hoặc dùng lại sai mục đích. Không nên chép lại phần giới thiệu doanh nghiệp rồi bỏ qua thực trạng xử lý.

Mục III.2 yêu cầu phân tích từng vấn đề, hậu quả, nguyên nhân, phương án, tác động tích cực và tiêu cực, sau đó kiến nghị lựa chọn. Mẫu có các nhóm III.2.1 về chủ thể dữ liệu; III.2.2 về an ninh, an toàn hệ thống; III.2.3 về an ninh quốc gia, trật tự an toàn xã hội theo điều kiện nêu trong mẫu. Các nhóm cần được đọc đúng, không chỉ lập một danh sách “rủi ro cao, trung bình, thấp”. Mẫu số 10, Phần A mục III.

Ví dụ III.2.1 — tác động đến người đăng ký tư vấn

Vấn đề và mục tiêu: Quyền xuất tệp quá rộng có thể dẫn đến gọi điện ngoài mục đích đăng ký, làm phiền hoặc lộ thông tin. Mục tiêu là giới hạn dữ liệu và người dùng vào đúng yêu cầu tư vấn, đồng thời vẫn đáp ứng được nhu cầu của người đăng ký.

Biện pháp và so sánh: Phương án giữ quyền xuất cho toàn bộ nhân viên giúp thao tác nhanh nhưng làm tăng khả năng sao chép ngoài kiểm soát. Phương án giới hạn quyền theo nhiệm vụ, yêu cầu phê duyệt khi xuất và lưu nhật ký giảm phạm vi tiếp cận, đổi lại có thêm thời gian phê duyệt. Với dữ kiện giả định, kiến nghị chọn phương án thứ hai và kiểm tra mẫu các yêu cầu xuất tệp sau triển khai.

Hiệu quả cần kiểm chứng: So sánh số tài khoản có quyền xuất trước và sau thay đổi; kiểm tra yêu cầu xuất có người phê duyệt và đúng mục đích không; ghi nhận trường hợp ngoại lệ. Chưa có số liệu thì không tự ghi “giảm 95% rủi ro”. Cách đo cần phản ánh quyền và lợi ích của người có dữ liệu, không chỉ năng suất nhân viên.

Ví dụ III.2.2 — tác động đến an ninh, an toàn hệ thống

Giả định CRM dùng một tài khoản quản trị chung, việc thay đổi hoặc xóa nhầm dữ liệu khó truy ra người thao tác. Mục tiêu là tăng khả năng xác định trách nhiệm, bảo vệ tính toàn vẹn và khôi phục khi có sự cố. Biện pháp lựa chọn là tài khoản quản trị riêng, phân quyền, nhật ký thay đổi và kiểm tra khôi phục; chi phí quản trị và đào tạo được ghi nhận khi so sánh với phương án giữ nguyên.

Kiến nghị nêu rõ người quản trị của A phối hợp B triển khai và lưu bằng chứng kiểm tra. Chỉ ghi kết quả khôi phục hoặc kiểm tra đã thực hiện; kế hoạch thử trong tương lai phải ghi là kế hoạch. Cách viết này bao quát bảo mật, toàn vẹn và sẵn sàng, thay vì chỉ nói chung về chống lộ dữ liệu.

Khi nào cần điền nhóm III.2.3?

Theo đúng nội dung Mẫu số 10, nhóm này đánh giá trong trường hợp xử lý dữ liệu cơ bản của trên 100.000 chủ thể hoặc dữ liệu nhạy cảm của trên 10.000 chủ thể. Cần giữ đúng chữ “trên” của biểu mẫu. Đây là điều kiện của nội dung đánh giá tại mục III.2.3, không phải ngưỡng chung để một doanh nghiệp bắt đầu có nghĩa vụ lập hồ sơ.

Ví dụ 1.200 người của một luồng chưa đủ để kết luận toàn bộ Công ty A không thuộc mục này. Phải kiểm kê toàn bộ phạm vi liên quan trước khi ghi không thuộc trường hợp áp dụng. Đồng thời, không nhầm các ngưỡng của mẫu với ngưỡng từ 100.000 chủ thể tính theo tích lũy tại Điều 41 Nghị định 356 khi xét cơ chế miễn; đây là hai việc khác nhau.

Phần A mục IV và Phần B: nối nội dung với tài liệu, bên liên quan

Mục IV — Danh mục minh họa: QĐ-A-01 về phân công; sơ đồ luồng và hệ thống; TB-A-01, BM-A-01 về đăng ký tư vấn; CS-A-01 về lưu và xóa; PA-A-01 về bảo vệ; KT-A-01 và kế hoạch khắc phục; hợp đồng, thỏa thuận xử lý với B. Mỗi tài liệu cần có phiên bản, ngày và tên tệp để người rà soát tìm được đúng bản. Ký hiệu trong bài không phải chứng cứ đã tồn tại.

Phần B — Bên xử lý trong ví dụ: Ghi B ở mục II, với tên pháp lý, mã số thuế thật, đầu mối bảo vệ dữ liệu, số và ngày hợp đồng hoặc thỏa thuận, dịch vụ vận hành CRM và phạm vi xử lý theo chỉ dẫn của A. Không điền B vào mọi vai trò chỉ để bảng có nội dung. Các mục bên kiểm soát và bên thứ ba cần kê khai theo quan hệ thực tế của toàn bộ hồ sơ; không có thì giải thích phù hợp, không tự tạo đối tác.

Nếu hợp đồng ghi B chỉ xử lý theo chỉ dẫn nhưng tài liệu kỹ thuật lại cho thấy B dùng dữ liệu cho mục đích riêng, cần làm rõ trước khi chốt vai trò. Mẫu số 10 phải phản ánh vận hành thực, không dùng tên gọi trong hợp đồng để bỏ qua một luồng dữ liệu khác.

Kiểm tra lần cuối trước khi ký và gửi

Bước 1 — Chủ hoạt động xác nhận dữ liệu đầu vào. Kết quả cần có là danh mục hoạt động, số chủ thể, loại dữ liệu và ngày chốt số liệu; kiểm tra hồ sơ đã bao quát các bộ phận cần kê khai.

Bước 2 — Kỹ thuật và nhà cung cấp xác nhận luồng, biện pháp. Kết quả là sơ đồ, nơi lưu, đường truy cập, quyền hạn và bằng chứng biện pháp đang thực hiện, kèm vấn đề chưa khắc phục.

Bước 3 — Pháp chế hoặc đầu mối bảo vệ dữ liệu đối chiếu nội dung. Kiểm tra căn cứ xử lý, vai trò, hợp đồng, thời hạn lưu, đánh giá tác động và tài liệu kèm. Kết quả là bản có thể đối chiếu từng kết luận với nguồn, không còn đoạn cam kết chung thiếu chứng cứ.

Bước 4 — Người có thẩm quyền duyệt đúng phiên bản. Kiểm tra Mẫu số 10 và bộ gửi dùng cùng tên bên nộp, cùng phạm vi, có tài liệu kèm theo và thông báo tương ứng. Lưu bản đã ký, bản gửi và bằng chứng tiếp nhận để quản lý các lần bổ sung, cập nhật sau này.

Câu hỏi thường gặp

Có thể dùng lại bản Mẫu số 10 tải từ một bài cũ không?

Cần đối chiếu với Phụ lục Nghị định 356 đang áp dụng. Tên tệp có chữ “Mẫu 10” chưa đủ chứng minh đúng mẫu, đủ trang hoặc đúng phiên bản; nên lấy văn bản chính thức và kiểm tra toàn bộ cấu trúc A, B.

Một ô không phát sinh có được để trống không?

Nên nêu không phát sinh hoặc không thuộc trường hợp áp dụng cùng căn cứ phù hợp để người đọc phân biệt với bỏ sót. Nếu chưa xác minh, cần hoàn tất xác minh trước khi ký thay vì tự điền “Không”. Đây là cách kiểm soát chất lượng kê khai, không phải một câu trả lời mặc định cho mọi ô.

Có cần đính kèm toàn bộ dữ liệu khách hàng để chứng minh số lượng không?

Không nên tự đính kèm danh sách dữ liệu cá nhân không cần thiết. Mẫu yêu cầu số lượng và mô tả; doanh nghiệp cần lưu nguồn kiểm kê có kiểm soát, cung cấp tài liệu đúng thành phần hoặc yêu cầu hợp pháp của cơ quan có thẩm quyền. Tài liệu minh chứng phải được bảo vệ tương ứng.

Nhà cung cấp điền giúp có chuyển nghĩa vụ sang nhà cung cấp không?

Việc hỗ trợ soạn thảo không tự đổi bên kê khai và nghĩa vụ của bên đó. Doanh nghiệp vẫn cần kiểm tra thông tin, phạm vi ủy quyền và bản ký cuối cùng; phần nhà cung cấp cung cấp phải được đối chiếu với thực tế hệ thống và hợp đồng.

Justix có thể hỗ trợ phần nào?

Justix cung cấp dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Doanh nghiệp có thể chuẩn bị danh mục hệ thống, hợp đồng và chính sách đang dùng để trao đổi về phạm vi rà soát, soạn thảo; không cần tạo trước một bản báo cáo khẳng định đã tuân thủ khi chưa đủ dữ kiện.