Cập nhật hồ sơ đánh giá tác động: khi nào và thực hiện thế nào?

Cập nhật hồ sơ đánh giá tác động: khi nào và thực hiện thế nào?

Hồ sơ đánh giá tác động cần được cập nhật khi có thay đổi thuộc trường hợp luật định. Doanh nghiệp cần phân loại thay đổi theo kỳ 06 tháng hoặc nhóm phải cập nhật ngay trong 10 ngày, đồng thời lưu được bản sửa và bằng chứng gửi.

Doanh nghiệp có hồ sơ đánh giá tác động cần cập nhật định kỳ 06 tháng khi có thay đổi thuộc diện áp dụng; một số trường hợp phải cập nhật ngay trong thời hạn 10 ngày. Kỳ 06 tháng được xác định từ lần đầu nộp hồ sơ theo Điều 20 Nghị định 356/2025/NĐ-CP, không mặc nhiên bắt đầu lại sau mỗi lần sửa tài liệu. Việc cập nhật áp dụng cho cả hồ sơ xử lý và hồ sơ chuyển dữ liệu cá nhân xuyên biên giới theo điều kiện tương ứng. Để thực hiện đúng, cần xác định thay đổi ảnh hưởng nội dung nào, thuộc loại hồ sơ nào và phải gửi bằng thủ tục gì.

Cập nhật hồ sơ khác gì bổ sung theo yêu cầu của cơ quan tiếp nhận?

Cập nhật phát sinh khi nội dung hoạt động hoặc thông tin thuộc hồ sơ đã thay đổi. Còn bổ sung, hoàn thiện là việc xử lý những nội dung chưa đầy đủ, chưa đúng quy định theo yêu cầu của cơ quan có thẩm quyền. Hai việc có thể diễn ra đồng thời, nhưng có căn cứ và mốc theo dõi riêng. Khoản 4, khoản 5 Điều 21, Điều 22 Luật Bảo vệ dữ liệu cá nhân; khoản 6, khoản 7 Điều 19 và Điều 20 Nghị định 356.

Ví dụ, cơ quan yêu cầu giải thích căn cứ lưu CV trong báo cáo đã gửi. Đây là nội dung cần hoàn thiện theo yêu cầu, không phải cứ đợi đến kỳ cập nhật 06 tháng. Trong lúc sửa, doanh nghiệp thay đơn vị cung cấp dịch vụ bảo vệ dữ liệu; thay đổi này còn cần được phân loại theo nghĩa vụ cập nhật. Người phụ trách phải theo dõi cả yêu cầu đang giải quyết và sự kiện mới, tránh làm xong một việc rồi bỏ sót việc còn lại.

Nếu đang xử lý thông báo yêu cầu bổ sung, có thể đối chiếu bài hồ sơ đánh giá tác động bị yêu cầu bổ sung cần kiểm tra gì. Bài này tập trung vào việc quản lý thay đổi sau khi đã có hồ sơ, không thay cho quy trình trả lời từng nội dung cơ quan yêu cầu hoàn thiện.

Những thay đổi nào được cập nhật theo kỳ 06 tháng?

Khoản 1 Điều 22 Luật quy định cập nhật định kỳ 06 tháng khi có sự thay đổi, hoặc cập nhật ngay trong các trường hợp tại khoản 2. Khoản 1 Điều 20 Nghị định 356 cụ thể hóa kỳ 06 tháng kể từ lần đầu nộp trong hai nhóm: phát sinh mục đích chuyển hoặc xử lý dữ liệu mới; phát sinh hoặc thay đổi bên kiểm soát, bên kiểm soát và xử lý, bên xử lý hoặc bên thứ ba. Điều 22 Luật; khoản 1 Điều 20 Nghị định 356.

Đổi nhà cung cấp CRM có thể làm thay đổi bên xử lý và luồng dữ liệu. Mở thêm chương trình sử dụng dữ liệu cho mục đích mới có thể ảnh hưởng căn cứ xử lý, thông báo, phạm vi đồng ý và đánh giá rủi ro. Cần ghi nhận những tác động này ngay khi chuẩn bị thay đổi, dù việc gửi cập nhật thuộc kỳ định kỳ.

Được tổng hợp theo kỳ không có nghĩa được chờ đến kỳ mới kiểm tra tính hợp pháp của hoạt động mới. Nếu việc sử dụng dữ liệu dựa vào sự đồng ý, điều kiện đồng ý phải được đáp ứng cho mục đích tương ứng; nếu dùng căn cứ khác phải xác định đúng điều kiện. Hợp đồng với bên xử lý, quyền truy cập và biện pháp bảo vệ cũng cần phù hợp từ lúc hoạt động được triển khai. Điều 3, Điều 9, Điều 17 và Điều 37 Luật.

Khi không có thay đổi thuộc diện cập nhật, quy định “06 tháng khi có sự thay đổi” không đặt ra việc lập lại toàn bộ hồ sơ chỉ vì đến một ngày trên lịch. Doanh nghiệp vẫn nên lưu kết quả rà soát nội bộ để chứng minh đã kiểm tra; đây là cách quản lý được khuyến nghị, không phải một mẫu báo cáo “không thay đổi” do bài viết đặt thêm.

Trường hợp nào phải cập nhật ngay trong 10 ngày?

Khoản 2 Điều 22 Luật và khoản 2 Điều 20 Nghị định 356 nêu ba nhóm: tổ chức lại, chấm dứt hoạt động, giải thể hoặc phá sản theo pháp luật; thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu; phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu đã đăng ký trong hồ sơ. Nghị định quy định cập nhật ngay trong thời hạn 10 ngày, không ghi “10 ngày làm việc”. Khoản 2 Điều 22 Luật; khoản 2 Điều 20 Nghị định 356.

Cần nhận diện đúng đối tượng thay đổi. Nhà cung cấp dịch vụ bảo vệ dữ liệu tại điểm b khác với mọi nhà cung cấp phần mềm có xử lý dữ liệu. Đổi đơn vị vận hành CRM trước hết cần xem xét nhóm thay đổi bên xử lý; đổi tổ chức cung cấp dịch vụ bảo vệ dữ liệu cần đối chiếu riêng nhóm cập nhật ngay. Nếu một sự kiện đồng thời rơi vào nhiều nhóm, không chọn kỳ dài hơn để bỏ qua nghĩa vụ cập nhật ngay.

Việc thay nhân sự bảo vệ dữ liệu trong nội bộ cũng cần được rà soát vì hồ sơ phải phản ánh thông tin đúng. Tuy nhiên, không nên tự mở rộng câu chữ “tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu” thành kết luận mọi thay đổi nhân sự nội bộ đều thuộc điểm b khoản 2. Phải xem thay đổi cụ thể, nội dung hồ sơ và quy định liên quan trước khi xác định mốc áp dụng.

Bảng thay đổi để phân loại việc cần làm

Bảng dưới đây là công cụ quản lý gợi ý. Khi sử dụng, bổ sung ngày phát sinh, chủ thể đứng tên, hồ sơ bị ảnh hưởng, người phụ trách, hạn và tài liệu chứng minh cho từng dòng. Các ví dụ chỉ minh họa cách đối chiếu, không thay kết luận cho mọi doanh nghiệp.

Một sự kiện có thể ảnh hưởng cả hai loại hồ sơ. Chẳng hạn, thay nhà cung cấp vừa đổi bên xử lý vừa phát sinh nơi lưu dữ liệu ở nước ngoài. Doanh nghiệp phải xem xét nghĩa vụ hồ sơ chuyển và ngoại lệ riêng; không coi việc gửi cập nhật hồ sơ xử lý là đã giải quyết toàn bộ hoạt động chuyển xuyên biên giới.

Lập lịch quản lý thế nào để không bỏ sót mốc?

Tình huống giả định: Công ty A thuộc diện phải thực hiện nghĩa vụ, lần đầu nộp hồ sơ xử lý ngày 15/06/2026. Ngày 29/08/2026, A đổi đơn vị vận hành CRM, được xác định là thay đổi bên xử lý. Ngày 05/10/2026, thông tin tổ chức cung cấp dịch vụ bảo vệ dữ liệu thay đổi. Không có giả định về kết quả tiếp nhận hay đánh giá của cơ quan nhà nước.

Ví dụ dùng ngày gửi 10/10 để minh họa việc xử lý sớm, không phải đặt một thời hạn riêng. Ngày 15/12 là mốc kỳ theo lần đầu nộp giả định, không phải một hạn áp dụng chung cho doanh nghiệp khác. Việc gửi cập nhật ngay không tự tạo căn cứ để dời lại mọi kỳ định kỳ về sau.

Doanh nghiệp có thể yêu cầu bộ phận mua dịch vụ, nhân sự và kỹ thuật báo cho đầu mối hồ sơ trước khi thay đổi được triển khai. Kênh nội bộ nên ghi đủ dữ kiện để pháp chế phân loại, thay vì chỉ báo “đã đổi phần mềm”. Việc ghi nhận sớm giúp có thời gian lấy tài liệu từ đối tác và xác định nghĩa vụ trước khi hết hạn.

Hồ sơ cập nhật dùng mẫu nào và gửi theo tuyến nào?

Khoản 3 Điều 20 Nghị định 356 quy định việc cập nhật theo Mẫu số 03a/03b. Mẫu 03a dành cho tổ chức, 03b dành cho cá nhân; phần mô tả cần làm rõ nội dung thay đổi, lý do và tài liệu kèm theo. Bản thông báo thay đổi không tự thay cho việc hiệu chỉnh nội dung báo cáo và tài liệu thực tế bị ảnh hưởng. Điều 20 và Phụ lục Nghị định 356.

Thủ tục “Thông báo cập nhật hồ sơ đánh giá tác động về dữ liệu cá nhân” tại Quyết định 778/QĐ-BCA-A05 ngày 09/02/2026 công bố thông báo, báo cáo cập nhật theo Mẫu số 09 hoặc 10 tùy loại hồ sơ và các văn bản, tài liệu liên quan. Với hồ sơ xử lý, cần nhận diện đúng báo cáo Mẫu số 10; không đổi sang hồ sơ chuyển chỉ vì một dòng mô tả trong tài liệu hướng dẫn dùng thuật ngữ chưa thống nhất. Thủ tục số 3, mục 3.3 Quyết định 778.

Mục III phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP quy định tuyến cập nhật qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính về Bộ Công an; Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Khi thực hiện cần kiểm tra đúng thủ tục đang công bố và đầu mối hướng dẫn hiện hành. Mục III phần B Phụ lục I.7 Nghị quyết 22.

Cũng cần phân biệt đầu mối nhận hồ sơ với cơ quan giải quyết. Khoản 1 Điều 3 Thông tư 147/2026/TT-BCA quy định chức năng hướng dẫn, tiếp nhận, chuyển hồ sơ, trả kết quả của bộ phận tập trung. Vì vậy, doanh nghiệp cần theo dõi thông tin tiếp nhận và chuyển xử lý thực tế, thay vì suy ra cơ quan đánh giá chỉ từ nơi bàn giao hồ sơ. Thông tư 147, Điều 3 và Điều 20 về hiệu lực từ 08/10/2026.

Các bước hoàn thành một lần cập nhật

Bước 1. Đầu mối bảo vệ dữ liệu chốt sự kiện và mốc áp dụng. Thu thập hợp đồng, quyết định hoặc xác nhận hệ thống, ghi ngày thay đổi có hiệu lực và hồ sơ bị ảnh hưởng. Đầu ra là một dòng theo dõi có căn cứ phân loại, không chỉ một lời nhắc trên lịch.

Bước 2. Chủ hoạt động và kỹ thuật sửa thông tin thực tế. Làm rõ dữ liệu, mục đích, bên tham gia, quyền truy cập và biện pháp bảo vệ trước và sau thay đổi. Đầu ra là sơ đồ, mô tả và tài liệu chứng minh khớp nhau; phần chưa triển khai phải thể hiện là kế hoạch.

Bước 3. Pháp chế tổng hợp thông báo và báo cáo cập nhật. Xác định bản gốc nào đang được cập nhật, vị trí sửa, lý do và tài liệu kèm. Có thể dùng bảng đối chiếu bản trước với bản mới để kiểm soát; đây là công cụ nội bộ được khuyến nghị.

Bước 4. Người có thẩm quyền duyệt và người được phân công gửi. Kiểm tra đúng chủ thể, mẫu, chữ ký, bộ tệp và kênh nộp hiện hành. Đầu ra là bản đã ký cùng bằng chứng gửi, không chỉ bản nháp hoặc tệp đã tải lên.

Bước 5. Người quản lý hồ sơ lưu kết quả và việc còn phải làm. Giữ bản gốc, từng lần cập nhật, phản hồi, tài liệu sửa và lịch kỳ tiếp theo. Không ghi đè làm mất lịch sử; nếu có yêu cầu hoàn thiện, theo dõi riêng yêu cầu đó.

Câu hỏi thường gặp

Có phải cứ 06 tháng là lập lại báo cáo từ đầu?

Không phải lập lại toàn bộ chỉ vì đến kỳ. Cần rà soát thay đổi, xác định nội dung phải cập nhật và chuẩn bị đúng bộ tài liệu cho lần cập nhật. Bản đang dùng vẫn phải phản ánh đúng phạm vi thực tế và sẵn có để kiểm tra.

Đổi CRM có luôn phải cập nhật trong 10 ngày?

Không thể kết luận từ tên sự kiện. Nếu thay đổi bên xử lý, đối chiếu khoản 1 Điều 20; nếu đồng thời phát sinh một trường hợp tại khoản 2 thì thực hiện nghĩa vụ cập nhật ngay. Căn cứ sử dụng dữ liệu và biện pháp bảo vệ cần được kiểm tra trước khi chuyển hệ thống.

Hồ sơ cũ theo Nghị định 13 có cập nhật bằng thủ tục hiện hành không?

Khoản 2 Điều 39 Luật quy định hồ sơ đủ điều kiện chuyển tiếp được tiếp tục sử dụng, còn việc cập nhật sau 01/01/2026 thực hiện theo Luật. Cần xác minh hồ sơ đã được cơ quan chuyên trách tiếp nhận trước thời điểm đó và giữ chứng cứ tương ứng. Khoản 2 Điều 39 Luật.

Đã sửa chính sách bảo mật trên website thì đã cập nhật hồ sơ chưa?

Sửa chính sách là một phần việc về tài liệu và vận hành. Nếu có nghĩa vụ cập nhật hồ sơ gửi cơ quan chuyên trách, doanh nghiệp còn phải thực hiện đúng thủ tục và lưu bằng chứng gửi. Hai việc cần thống nhất nội dung nhưng không tự thay thế nhau.

Justix hỗ trợ rà soát và cập nhật hồ sơ

Doanh nghiệp có thể chuẩn bị bản hồ sơ đang dùng, chứng từ tiếp nhận và danh sách thay đổi để trao đổi với Justix về dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Phạm vi rà soát, hiệu chỉnh, hỗ trợ gửi và theo dõi phản hồi được xác định theo tình trạng hồ sơ. Có thể liên hệ qua trang liên hệ Justix; chỉ cần gửi mô tả ban đầu, chưa cần chuyển danh sách dữ liệu cá nhân thật.