Đánh giá tác động dữ liệu cá nhân khác đánh giá an toàn thông tin thế nào?

Đánh giá tác động dữ liệu cá nhân khác đánh giá an toàn thông tin thế nào?

Kết quả kiểm tra an toàn thông tin là đầu vào quan trọng nhưng không tự thay thế hồ sơ đánh giá tác động dữ liệu cá nhân. Bài viết so sánh phạm vi, đầu ra và cách phối hợp pháp chế với kỹ thuật.

Đánh giá tác động xử lý dữ liệu cá nhân phân tích rủi ro của hoạt động xử lý và biện pháp giảm thiểu để bảo vệ dữ liệu cá nhân. Đánh giá an toàn thông tin xem xét rủi ro, điểm yếu và biện pháp bảo vệ thông tin, hệ thống trong phạm vi được xác định. Hai công việc có phần giao nhau, đặc biệt ở phân quyền, lưu trữ và phòng ngừa sự cố, nhưng câu hỏi, tài liệu và đầu ra không hoàn toàn giống nhau. Một chứng nhận ISO/IEC 27001 hoặc báo cáo kiểm thử hệ thống không tự thay thế hồ sơ đánh giá tác động phải thực hiện theo Luật Bảo vệ dữ liệu cá nhân.

Cần hiểu đúng hai hoạt động đang được so sánh

Khoản 12 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 xác định đánh giá tác động xử lý là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý để áp dụng biện pháp giảm thiểu, bảo vệ dữ liệu cá nhân. Đối tượng cần khảo sát là hoạt động thực tế: dữ liệu của ai, được lấy để làm gì, đi qua những bên nào, lưu bao lâu và có thể ảnh hưởng thế nào đến người có dữ liệu.

Đánh giá an toàn thông tin là cách gọi có thể bao gồm những công việc khác nhau: rà soát quyền truy cập, phân tích rủi ro, kiểm tra cấu hình, kiểm thử xâm nhập, đánh giá quy trình hoặc đánh giá hệ thống quản lý. Muốn so sánh chính xác, phải đọc phạm vi và phương pháp của báo cáo cụ thể. Bài viết sử dụng cách gọi này cho hoạt động đánh giá rủi ro, biện pháp bảo vệ thông tin và hệ thống của doanh nghiệp; không coi mọi loại đánh giá kỹ thuật là một thủ tục pháp lý duy nhất.

Đánh giá an toàn thông tin cũng có thể xem xét con người, quy trình và thông tin trên giấy, không chỉ tìm lỗ hổng phần mềm. Chẳng hạn, ISO giới thiệu ISO/IEC 27001 là tiêu chuẩn yêu cầu đối với hệ thống quản lý an toàn thông tin. Vì vậy, không nên phân biệt hai hoạt động đơn giản bằng cách gán mọi vấn đề con người cho pháp lý và mọi vấn đề máy tính cho kỹ thuật.

Điểm khác nằm ở câu hỏi cần trả lời và bằng chứng cần có

Một hệ thống có thể mã hóa dữ liệu, phân quyền đúng thiết kế và vận hành ổn định, nhưng vẫn thu thập thông tin vượt mục đích đã nêu. Chẳng hạn, biểu mẫu tuyển dụng yêu cầu tài liệu về người thân trong khi bộ phận tuyển dụng chưa giải thích được sự cần thiết. Báo cáo kiểm thử bảo mật ứng dụng không tự trả lời được doanh nghiệp có căn cứ thu những thông tin đó hay thời gian lưu có phù hợp không.

Ở chiều ngược lại, doanh nghiệp có thông báo, căn cứ xử lý và hợp đồng đầy đủ vẫn có thể gặp rủi ro nếu tài khoản nhân viên nghỉ việc chưa bị khóa hoặc tệp dữ liệu được chia sẻ bằng liên kết không giới hạn. Đánh giá tác động phải xem xét ảnh hưởng và biện pháp khắc phục các điểm này; một bộ tài liệu pháp lý không thay thế việc kiểm tra và vận hành biện pháp bảo vệ.

Điều 3 Luật 91 yêu cầu xử lý đúng phạm vi, mục đích và thực hiện đồng bộ các biện pháp về thể chế, kỹ thuật, con người. Khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP tiếp tục yêu cầu báo cáo đánh giá tác động có nội dung về luồng dữ liệu, đồng ý, lưu, xóa, biện pháp bảo vệ, đánh giá tuân thủ và ảnh hưởng, rủi ro. Các yêu cầu này cho thấy hai chuyên môn cần phối hợp trên cùng hoạt động.

Bảng so sánh để giao đúng phạm vi công việc

Bảng dưới đây giúp doanh nghiệp đặt yêu cầu và kiểm tra đầu ra. Cột an toàn thông tin mô tả cách tổ chức đánh giá theo phạm vi cụ thể, không xác lập một mẫu báo cáo hoặc nghĩa vụ nộp chung cho mọi hệ thống.

Khi thuê dịch vụ, doanh nghiệp nên yêu cầu bên cung cấp ghi rõ đầu ra ở từng cột. Cụm từ “đánh giá dữ liệu” trong báo giá chưa đủ để biết có bao gồm khảo sát pháp lý, kiểm thử, lập Mẫu số 10 hoặc hỗ trợ thủ tục hay không. Khi nghiệm thu, hồ sơ pháp lý cần đúng chủ thể, đủ nội dung, khớp thực tế và có bằng chứng thủ tục tương ứng; đầu ra kỹ thuật cần đủ phạm vi, phương pháp, bằng chứng phát hiện và xác nhận khắc phục theo nhiệm vụ.

Có chứng nhận ISO hoặc kết quả kiểm thử tốt có được miễn hồ sơ không

Chứng nhận hoặc báo cáo kỹ thuật có thể cung cấp chứng cứ hữu ích về biện pháp bảo vệ trong phạm vi được kiểm tra. Tuy nhiên, nghĩa vụ hồ sơ phải xác định theo vai trò, hoạt động và điều kiện của pháp luật. Khoản 1–3 Điều 21, Điều 38 Luật 91 và Điều 41 Nghị định 356 không đặt việc có chứng nhận ISO/IEC 27001 thành một căn cứ miễn hồ sơ.

Khi sử dụng chứng nhận của doanh nghiệp hoặc nhà cung cấp, cần đọc đúng đơn vị được chứng nhận, phạm vi, địa điểm và thời hạn. Chứng nhận của nhà cung cấp dịch vụ không tự bao phủ mọi cấu hình do khách hàng tự lựa chọn, mọi dữ liệu khách hàng tải lên hoặc mọi bên mà khách hàng chia sẻ. Cũng không thể suy từ một lần kiểm thử không phát hiện điểm yếu nghiêm trọng rằng toàn bộ hoạt động xử lý đã hợp pháp.

Doanh nghiệp đủ điều kiện miễn hoặc lựa chọn không thực hiện một số quy định vẫn cần thực hiện các nghĩa vụ bảo vệ khác. Ngược lại, doanh nghiệp thuộc diện lập hồ sơ không cần chờ có sự cố mới thực hiện đánh giá. Có thể đối chiếu bài doanh nghiệp nào phải lập hồ sơ đánh giá tác động để kiểm tra đối tượng và ngoại lệ trước khi quyết định phạm vi công việc.

Điều khoản tránh đánh giá trùng có miễn kiểm tra an toàn thông tin không

Khoản 4 Điều 5 Luật 91/2025/QH15 quy định trường hợp đã thực hiện đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển xuyên biên giới theo Luật này thì không phải thực hiện các đánh giá tương ứng về rủi ro xử lý dữ liệu cá nhân, chuyển xuyên biên giới theo pháp luật về dữ liệu. Phạm vi điều khoản được giới hạn ở các hoạt động đánh giá được nêu trong đó.

Không có cơ sở từ riêng khoản 4 Điều 5 để suy ra doanh nghiệp được bỏ mọi hoạt động kiểm tra an toàn hệ thống, kiểm thử theo hợp đồng hoặc nghĩa vụ kỹ thuật chuyên ngành. Khi một nhiệm vụ đánh giá xuất phát từ quy định khác, phải xác định đúng loại nhiệm vụ, đối tượng, điều kiện và phạm vi áp dụng. Tên gọi đều có chữ “rủi ro” chưa đủ để coi hai yêu cầu là một.

Cũng cần tránh mở rộng theo hướng ngược lại. Không phải doanh nghiệp nào cũng phải thuê một gói kiểm thử giống nhau, có cùng danh mục và tần suất. Phương án cần dựa trên hệ thống, dữ liệu, mức độ rủi ro và yêu cầu thực sự áp dụng; bài so sánh này không đặt thêm một thủ tục kỹ thuật chung cho mọi doanh nghiệp.

Tình huống giả định về phần mềm tuyển dụng đã kiểm thử

Công ty Hòa Bình triển khai cổng tuyển dụng. Giả định báo cáo kiểm thử đã xem xét các chức năng đăng nhập, tải hồ sơ và truy cập tài liệu; các phát hiện trong phạm vi đó đã được khắc phục. Công ty cho rằng có thể dùng báo cáo này thay hồ sơ đánh giá tác động. Khi rà hoạt động, phát hiện hồ sơ ứng viên bị lưu không có tiêu chí kết thúc, nhân sự ở công ty cùng nhóm có thể tra cứu và một số trường thông tin chưa giải thích được mục đích sử dụng.

Kết quả kiểm thử là đầu vào để mô tả biện pháp bảo vệ, nhưng chưa trả lời đầy đủ các vấn đề về phạm vi thu thập, người nhận, thời gian lưu và quyền của ứng viên. Đầu mối pháp lý cần đối chiếu Điều 3, Điều 4 Luật và các nội dung tại khoản 3 Điều 19 Nghị định 356. Bộ phận tuyển dụng giải thích nhu cầu nghiệp vụ; kỹ thuật xác nhận quyền truy cập, khả năng xóa và dữ liệu còn trong bản sao lưu.

Giải pháp có thể gồm bỏ trường không cần thiết, làm rõ căn cứ và mục đích, thiết lập tiêu chí lưu, rà quyền của từng công ty và thử quy trình xử lý yêu cầu. Đây là phương án theo dữ kiện giả định, không phải danh mục biện pháp bắt buộc giống nhau cho mọi cổng tuyển dụng. Các thay đổi phải được thực hiện và có chứng cứ trước khi báo cáo mô tả chúng như biện pháp đang áp dụng.

Đầu ra của doanh nghiệp gồm hồ sơ đánh giá tác động phản ánh đúng hoạt động, bản cập nhật biểu mẫu và quy trình, ma trận quyền, tài liệu kiểm tra cùng bằng chứng khắc phục. Nếu việc dùng nền tảng làm phát sinh luồng xuyên biên giới thì kiểm tra thêm Điều 20 Luật; không mặc định báo cáo kiểm thử hoặc hồ sơ xử lý đã giải quyết nghĩa vụ đó.

Phối hợp hai công việc mà không khảo sát lặp lại

Thống nhất một danh mục hoạt động và luồng dữ liệu

Đầu mối dữ liệu tập hợp thông tin từ nhân sự, kinh doanh, pháp chế và kỹ thuật theo từng hoạt động. Mỗi hoạt động cần gắn với chủ thể, mục đích, dữ liệu, bên tham gia và hệ thống thực tế. Tài liệu dùng chung phải có ngày, phạm vi và người xác nhận để tránh pháp chế phân tích một cấu hình còn kỹ thuật kiểm tra cấu hình khác.

Từ danh mục đó, kỹ thuật mô tả kiến trúc, quyền truy cập, kết nối và các kiểm soát đang hoạt động. Pháp chế cùng bộ phận nghiệp vụ đối chiếu mục đích, căn cứ, thông tin cung cấp cho chủ thể, hợp đồng và thời gian lưu. Những chỗ chưa đủ chứng cứ được đưa vào danh sách cần xác minh, không tự coi là đã tuân thủ chỉ vì chưa xảy ra sự cố.

Liên kết phát hiện với hậu quả và người khắc phục

Một phát hiện kỹ thuật nên được gắn với loại dữ liệu, người có thể bị ảnh hưởng và hoạt động liên quan. Chẳng hạn, quyền xuất toàn bộ hồ sơ ứng viên không giới hạn có thể làm tăng khả năng sao chép và sử dụng ngoài phạm vi cần thiết. Người đánh giá tác động cần phân tích hậu quả dự kiến và biện pháp; người quản lý hệ thống xác nhận khả năng thực hiện và kiểm tra lại sau thay đổi.

Doanh nghiệp có thể lập danh sách khắc phục gồm phát hiện, ảnh hưởng, biện pháp, người phụ trách, hạn và chứng cứ hoàn thành. Đây là cách tổ chức công việc được khuyến nghị. Nếu dùng thang điểm nội bộ, phải giải thích cách chấm và điều kiện sử dụng; không tự gọi kết quả “đạt pháp luật” chỉ vì điểm tổng vượt một ngưỡng do đơn vị tư vấn đặt ra.

Chốt hồ sơ pháp lý và đầu ra kỹ thuật theo phạm vi riêng

Đầu mối lập hồ sơ tổng hợp báo cáo Mẫu số 10, hợp đồng và tài liệu liên quan theo khoản 2 Điều 19 Nghị định 356, xác định nghĩa vụ lập, lưu và nộp của đúng chủ thể. Bộ phận kỹ thuật quản lý báo cáo kiểm tra, phương án và chứng cứ khắc phục thuộc phần việc của mình. Có thể dẫn chiếu tài liệu chung, nhưng cần kiểm tra chúng còn phù hợp và người xem hồ sơ có quyền tiếp cận phần thông tin cần thiết.

Sau đó, theo dõi thay đổi hệ thống và hoạt động để đánh giá tác động tới hồ sơ theo Điều 22 Luật, Điều 20 Nghị định 356. Bài thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hỗ trợ kiểm tra đầu ra pháp lý; bài phân biệt hồ sơ xử lý và hồ sơ chuyển dữ liệu giúp nhận diện nghĩa vụ bổ sung khi có luồng chuyển.

Câu hỏi thường gặp

Bộ phận công nghệ thông tin có tự làm toàn bộ hồ sơ đánh giá tác động được không

Người có đủ năng lực có thể tham gia lập hồ sơ, nhưng thông tin cần thiết nằm ở nhiều bộ phận. Công nghệ thông tin thường không tự quyết định được căn cứ xử lý, thời gian lưu theo nghiệp vụ hoặc phạm vi cam kết với khách hàng. Doanh nghiệp nên phân công đầu mối phối hợp và xác nhận thông tin, đồng thời kiểm tra yêu cầu đối với bộ phận, nhân sự hoặc dịch vụ bảo vệ dữ liệu theo quy định áp dụng.

Đã nộp hồ sơ đánh giá tác động có nghĩa hệ thống đã an toàn chưa

Việc nộp hoặc được tiếp nhận hồ sơ không tự chứng minh mọi biện pháp đang vận hành hiệu quả. Hồ sơ phải phản ánh thực tế, còn phân quyền, giám sát, cập nhật và xử lý phát hiện cần được duy trì. Khi có thay đổi thuộc diện áp dụng, doanh nghiệp vẫn phải cập nhật hồ sơ và thực hiện biện pháp bảo vệ phù hợp.

Chưa có báo cáo kiểm thử thì có được bắt đầu lập hồ sơ không

Có thể bắt đầu khảo sát hoạt động và tập hợp chứng cứ ngay; không có quy định chung yêu cầu mọi doanh nghiệp phải có cùng một loại báo cáo kiểm thử mới được lập hồ sơ. Tuy nhiên, không được kê khai kết quả kiểm tra hoặc biện pháp chưa thực hiện như dữ kiện đã có. Phần việc kỹ thuật cần thiết phải được xác định theo rủi ro, yêu cầu áp dụng và điều kiện của hệ thống, đồng thời bảo đảm nghĩa vụ hồ sơ đúng thời hạn.

Justix hỗ trợ phần việc pháp lý và phối hợp thông tin kỹ thuật

Doanh nghiệp đã có báo cáo an toàn thông tin nhưng chưa rõ còn thiếu gì có thể sử dụng dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Justix. Luật sư có thể rà soát nghĩa vụ, khảo sát hoạt động, đối chiếu tài liệu và phối hợp với đầu mối kỹ thuật để lập hồ sơ theo phạm vi thống nhất. Phần kiểm thử, đánh giá chuyên môn kỹ thuật hoặc chứng nhận cần được xác định riêng trong đề xuất dịch vụ.

Để trao đổi, nên chuẩn bị danh mục hoạt động, sơ đồ hệ thống, chính sách, hợp đồng nhà cung cấp, hồ sơ đã nộp và báo cáo kỹ thuật đang có. Chỉ cung cấp tài liệu cần thiết qua kênh phù hợp, có thể che dữ liệu thật ở bước ban đầu. Liên hệ Công ty Luật TNHH Justix qua 0372 717 888 hoặc legal@justix.vn.