Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?

Doanh nghiệp quyết định mục đích, phương tiện xử lý dữ liệu cá nhân, hoặc vừa quyết định vừa trực tiếp xử lý, có nghĩa vụ lập, lưu trữ và gửi hồ sơ đánh giá tác động, trừ trường hợp được pháp luật loại trừ. Doanh nghiệp nhỏ, siêu nhỏ hoặc mới hoạt động cần kiểm tra thêm điều kiện cụ thể trước khi kết luận được miễn. Căn cứ trực tiếp là khoản 1 Điều 21 và khoản 2, khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Hoạt động nào khiến doanh nghiệp cần kiểm tra nghĩa vụ?

Hồ sơ nhân sự, danh sách khách hàng, đơn đăng ký tư vấn, bản ghi cuộc gọi và thông tin giao hàng có thể chứa dữ liệu xác định một người. Nghĩa vụ không chỉ phát sinh với doanh nghiệp công nghệ hoặc với dữ liệu nằm trong phần mềm. Hồ sơ giấy cũng thuộc phạm vi xem xét. Khái niệm dữ liệu cá nhân và xử lý dữ liệu được quy định tại khoản 1, khoản 6 Điều 2 Luật 91/2025/QH15.

Doanh nghiệp nên bắt đầu từ từng hoạt động: tuyển dụng thu gì; kế toán dùng thông tin nào; bộ phận kinh doanh chuyển dữ liệu cho ai; ai quyết định thời gian lưu. Việc chỉ kiểm tra website có chính sách bảo mật hay chưa sẽ bỏ sót các luồng dữ liệu nội bộ.

Đánh giá tác động là phân tích rủi ro của hoạt động xử lý để lựa chọn biện pháp giảm thiểu, theo khoản 12 Điều 2 Luật 91/2025/QH15. Vì vậy, một danh sách phần mềm hoặc một bản cam kết bảo mật chưa thể thay thế hồ sơ này.

Xác định vai trò trước khi xác định trách nhiệm

Bên kiểm soát dữ liệu cá nhân quyết định mục đích và phương tiện xử lý. Bên kiểm soát và xử lý vừa quyết định các nội dung đó, vừa trực tiếp xử lý. Bên xử lý thực hiện công việc theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Đây là các vai trò tại khoản 7, khoản 8, khoản 9 Điều 2 Luật 91/2025/QH15.

Ví dụ minh họa: công ty bán lẻ quyết định thu số điện thoại để giao hàng và thuê đơn vị vận hành tổng đài. Vai trò của đơn vị tổng đài cần xác định theo phạm vi công việc thực tế. Nếu đơn vị này tự sử dụng dữ liệu cho một mục đích riêng, việc gọi họ là “nhà cung cấp” trong hợp đồng chưa phản ánh đầy đủ trách nhiệm.

Với bên kiểm soát và bên kiểm soát và xử lý, khoản 1 Điều 21 quy định rõ nghĩa vụ lập, lưu và gửi hồ sơ. Với bên xử lý, khoản 3 Điều 21 quy định việc lập, lưu theo thỏa thuận với bên thuê; đồng thời phải đối chiếu yêu cầu lập, lưu, nộp hồ sơ tại khoản 1, khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP. Hợp đồng cần làm rõ phạm vi hồ sơ, đầu mối cung cấp thông tin và trách nhiệm phối hợp; không thể dùng hợp đồng để chuyển hết nghĩa vụ luật định của bên kiểm soát sang nhà cung cấp.

Doanh nghiệp nhỏ có được miễn hồ sơ không?

Pháp luật phân biệt hai nhóm. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp đủ điều kiện được lựa chọn thực hiện hoặc không thực hiện các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm kể từ ngày Luật có hiệu lực, tức từ 01/01/2026. Hộ kinh doanh, doanh nghiệp siêu nhỏ đủ điều kiện không phải thực hiện các quy định này. Đây không phải cơ chế miễn toàn bộ pháp luật bảo vệ dữ liệu cá nhân.

Cả hai nhóm đều bị loại khỏi cơ chế trên nếu kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu từ thời điểm quy mô đạt 100.000 chủ thể trở lên theo kết quả tích lũy tổng lượng dữ liệu đã xử lý. Căn cứ là khoản 2, khoản 3 Điều 38 Luật 91/2025/QH15 và khoản 1, khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP.

Để xác định quy mô, cần đối chiếu đúng lĩnh vực, số lao động tham gia bảo hiểm xã hội bình quân năm, doanh thu hoặc nguồn vốn theo khoản 1, khoản 2 Điều 5 Nghị định 80/2021/NĐ-CP. Không nên tự đồng nhất công ty mới thành lập với doanh nghiệp khởi nghiệp đủ điều kiện. Ngoại lệ dành cho cơ quan nhà nước tại khoản 6 Điều 21 Luật 91/2025/QH15 cũng không mặc nhiên áp dụng cho doanh nghiệp có vốn nhà nước.

Một điểm dễ bỏ sót nằm ở hồ sơ nhân sự. Tình trạng sức khỏe, dữ liệu sinh trắc học và hình ảnh thẻ căn cước thuộc danh mục dữ liệu nhạy cảm tại điểm d, đ, i khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP. Ví dụ minh họa: công ty đủ tiêu chí doanh nghiệp nhỏ nhưng trực tiếp lưu bản chụp căn cước của nhân viên không thể chỉ viện dẫn quy mô để lựa chọn chưa lập hồ sơ. Số định danh cá nhân và hình ảnh thẻ căn cước cần được phân loại riêng.

Được xử lý không cần đồng ý có được miễn hồ sơ?

Không có sự miễn trừ hồ sơ chỉ vì hoạt động không cần xin đồng ý. Điều 19 và Điều 21 Luật 91/2025/QH15 điều chỉnh những nghĩa vụ khác nhau.

Chẳng hạn, điểm d khoản 1 Điều 19 cho phép xử lý để thực hiện thỏa thuận của chủ thể dữ liệu với tổ chức, cá nhân liên quan theo pháp luật. Doanh nghiệp phải chỉ ra thỏa thuận, mục đích và phạm vi dữ liệu thực sự phục vụ việc thực hiện đó; không mở rộng sang quảng cáo chỉ vì đã có hợp đồng mua bán. Khoản 2 Điều 19 còn yêu cầu cơ chế giám sát, quy trình, biện pháp bảo vệ và đánh giá tuân thủ đối với xử lý không cần đồng ý. Nguồn: Luật 91/2025/QH15.

Khi nào phải lập, gửi và cập nhật hồ sơ?

Khoản 1 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu lập và lưu hồ sơ từ thời điểm bắt đầu xử lý. Thời hạn gửi theo khoản 1 Điều 21 Luật 91/2025/QH15 và khoản 4 Điều 19 Nghị định là 60 ngày kể từ ngày đầu tiên xử lý; đây không phải thời gian được tự do xử lý mà chưa cần chuẩn bị hồ sơ.

Theo mục II phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP, hồ sơ nộp về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính. Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Không nên đồng nhất nơi tiếp nhận với cơ quan được phân công xử lý.

Việc đánh giá được thực hiện một lần cho suốt thời gian hoạt động và phải cập nhật theo khoản 2 Điều 21, Điều 22 Luật 91/2025/QH15. Khi có thay đổi, cần phân biệt trường hợp cập nhật định kỳ 06 tháng với trường hợp phải cập nhật trong 10 ngày theo Điều 20 Nghị định 356/2025/NĐ-CP.

Hồ sơ đã nộp theo Nghị định 13 được xử lý thế nào?

Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026 theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP. Tuy nhiên, hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước ngày Luật có hiệu lực được tiếp tục sử dụng, không phải lập lại chỉ vì pháp luật thay đổi; việc cập nhật sau đó tuân theo Luật mới. Điều kiện này nằm tại khoản 2 Điều 39 Luật 91/2025/QH15.

Doanh nghiệp nên lưu chứng từ tiếp nhận. Một bản dự thảo đã soạn hoặc hợp đồng thuê tư vấn chưa đủ chứng minh điều kiện chuyển tiếp.

Bảng kiểm để giao việc trong doanh nghiệp

Bảng dưới đây là công cụ quản trị được khuyến nghị, không phải biểu mẫu bắt buộc. Người phụ trách điền kết quả và dẫn đến tài liệu chứng minh cho từng dòng trước khi trình lãnh đạo quyết định phạm vi lập hồ sơ.

Doanh nghiệp có thể chuẩn bị các tài liệu này để đề nghị luật sư Justix xác định nghĩa vụ và lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Phạm vi hỗ trợ có thể gồm phân loại vai trò, kiểm tra điều kiện miễn, rà soát tài liệu và lập hồ sơ phù hợp với hoạt động thực tế. Liên hệ Công ty Luật TNHH Justix qua 0372717888 hoặc 0878853686 để nhận đề xuất phạm vi và báo phí.