DPIA tại Việt Nam và GDPR có thể dùng chung một bộ hồ sơ không?

DPIA tại Việt Nam và GDPR có thể dùng chung một bộ hồ sơ không?

Doanh nghiệp có thể dùng lại dữ kiện, sơ đồ và chứng cứ đã chuẩn bị cho GDPR, nhưng phải xác định riêng nghĩa vụ tại Việt Nam. Bài viết đối chiếu phạm vi đánh giá, thời điểm thực hiện và phần tài liệu cần bổ sung cho từng cơ chế.

Doanh nghiệp có thể tổ chức một bộ tài liệu nền dùng chung, nhưng không mặc định một báo cáo DPIA theo GDPR thay thế hồ sơ đánh giá tác động tại Việt Nam. DPIA là viết tắt của Data Protection Impact Assessment, tức đánh giá tác động bảo vệ dữ liệu; trong GDPR, nghĩa vụ này được quy định tại Điều 35. Pháp luật Việt Nam quy định riêng hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, với chủ thể, ngoại lệ và thủ tục tương ứng. Muốn dùng lại tài liệu, cần đối chiếu từng nghĩa vụ, bổ sung phần còn thiếu và giữ được trách nhiệm xác nhận của từng bên. Căn cứ: Điều 20, Điều 21 Luật 91/2025/QH15, Điều 18, Điều 19 Nghị định 356/2025/NĐ-CP và Điều 35 GDPR.

Trước hết phải xác định GDPR có áp dụng cho hoạt động đang xét không

GDPR là Quy định (EU) 2016/679 về bảo vệ dữ liệu cá nhân. Điều 3 quy định phạm vi lãnh thổ theo hoạt động xử lý. Việc doanh nghiệp có khách hàng mang quốc tịch châu Âu, dùng phần mềm của một công ty châu Âu hoặc ký hợp đồng có chữ “GDPR” chưa đủ để kết luận toàn bộ doanh nghiệp chịu mọi nghĩa vụ của Quy định.

Theo khoản 1 Điều 3, cần xem hoạt động xử lý có diễn ra trong bối cảnh hoạt động của một cơ sở của bên kiểm soát hoặc bên xử lý tại EU hay không, kể cả khi dữ liệu được xử lý ngoài EU. Khoản 2 áp dụng với bên không có cơ sở tại EU trong những hoạt động liên quan đến cung cấp hàng hóa, dịch vụ cho chủ thể dữ liệu đang ở EU hoặc theo dõi hành vi diễn ra tại EU. Đánh giá này gắn với hoạt động, vị trí và hoàn cảnh cụ thể, không chỉ quốc tịch. Nguồn Điều 3 GDPR.

Ủy ban Bảo vệ dữ liệu châu Âu, viết tắt EDPB, hướng dẫn phải xem xét riêng bên kiểm soát và bên xử lý. Một bên ngoài EU không tự trở thành chủ thể trực tiếp chịu GDPR chỉ vì thuê bên xử lý tại EU; ngược lại, việc thuê một bên ngoài EU không giúp bên kiểm soát thuộc GDPR bỏ nghĩa vụ của mình. Hợp đồng còn có thể đặt nghĩa vụ hỗ trợ lên bên cung cấp dịch vụ dù phải đánh giá riêng phạm vi áp dụng trực tiếp. Hướng dẫn EDPB 3/2018, mục 1(d).

Tại Việt Nam, cần kiểm tra đối tượng áp dụng theo Điều 1 Luật 91, vai trò theo Điều 2 và hoạt động theo Điều 20, Điều 21. Một doanh nghiệp Việt Nam không nên lấy kết luận “không thuộc GDPR” để kết luận không cần hồ sơ tại Việt Nam. Tương tự, đã thực hiện nghĩa vụ Việt Nam chưa trả lời được yêu cầu mà đối tác EU phải thực hiện.

Phân biệt DPIA với hồ sơ chuyển dữ liệu và TIA

Hồ sơ đánh giá tác động xử lý tại Việt Nam tập trung vào hoạt động xử lý, mục đích, chủ thể, bên tham gia, biện pháp bảo vệ, rủi ro và ảnh hưởng. Báo cáo dùng Mẫu số 10 theo Nghị định 356. Khoản 1 và khoản 3 Điều 21 Luật phân biệt nghĩa vụ của bên kiểm soát, bên kiểm soát và xử lý với việc bên xử lý lập, lưu theo thỏa thuận. Phải đọc vai trò và quy định hướng dẫn tương ứng, không gộp mọi bên vào một kết luận.

Hồ sơ đánh giá tác động chuyển xuyên biên giới tại Việt Nam tập trung vào luồng chuyển, bên nhận, hệ thống và xử lý sau tiếp nhận, chuyển tiếp và mức độ bảo vệ. Báo cáo dùng Mẫu số 09. Một hoạt động có thể thuộc cả hai nghĩa vụ; doanh nghiệp có thể tham khảo bài hồ sơ đánh giá tác động xử lý và chuyển dữ liệu khác nhau thế nào.

DPIA theo Điều 35 GDPR là đánh giá của bên kiểm soát đối với hoạt động có khả năng tạo rủi ro cao cho quyền và tự do của cá nhân. Nó không đồng nghĩa với một thủ tục nộp hồ sơ bắt buộc cho mọi doanh nghiệp chỉ vì có xử lý dữ liệu. Việc xác định còn phải xét khoản 3, danh mục của cơ quan giám sát tại khoản 4, khoản 5 và ngoại lệ phù hợp, chẳng hạn điều kiện tại khoản 10. Nguồn Điều 35 GDPR.

TIA, thường được dùng để chỉ Transfer Impact Assessment, là đánh giá phục vụ việc chuyển dữ liệu ra ngoài Khu vực Kinh tế châu Âu, viết tắt EEA, trong bối cảnh công cụ chuyển dữ liệu tương ứng. Theo hướng dẫn của CNIL, cơ quan bảo vệ dữ liệu Pháp, khi dựa vào công cụ tại Điều 46 GDPR, bên chuyển cần đánh giá pháp luật, thực tiễn nước nhận và biện pháp bổ sung nếu cần. Phải phân biệt với chuyển dựa trên quyết định công nhận mức bảo vệ đầy đủ hoặc ngoại lệ của Điều 49. TIA không tự thay thế DPIA tại Điều 35 hay Mẫu số 09 của Việt Nam. Hướng dẫn TIA của CNIL.

Điều 44 GDPR yêu cầu điều kiện chuyển dữ liệu phải được đáp ứng cùng các quy định khác, bao gồm chuyển tiếp trong phạm vi Chương V. Các điều khoản hợp đồng tiêu chuẩn, thường gọi là SCCs, có thể là một công cụ theo Điều 46; chỉ ký một hợp đồng có tên này chưa chứng minh mọi hoạt động đã tuân thủ. Cũng không nên gọi mọi hợp đồng xử lý dữ liệu là SCCs hoặc mọi đánh giá rủi ro là TIA.

Bảng đối chiếu hồ sơ Việt Nam và DPIA theo GDPR

Bảng áp dụng sau khi xác định vai trò, phạm vi luật và ngoại lệ. Cột GDPR mô tả DPIA theo Điều 35; đánh giá chuyển dữ liệu theo Chương V phải làm riêng nếu hoạt động thuộc phạm vi đó. Quy định Việt Nam trong bảng được đối chiếu tại ngày 24/10/2026.

Căn cứ đối chiếu: Điều 20, Điều 21, Điều 22, Điều 38 Luật 91; Điều 18, Điều 19, Điều 20, Điều 41 Nghị định 356; Điều 28, Điều 35, Điều 36 GDPR. Bảng không dùng ngưỡng “rủi ro cao” của GDPR làm điều kiện miễn hồ sơ Việt Nam.

Những tài liệu nào có thể dùng lại

Danh mục dữ liệu, sơ đồ hệ thống, thông tin pháp nhân, hợp đồng nhà cung cấp và mô tả biện pháp bảo vệ có thể làm đầu vào chung nếu còn đúng với hoạt động đang đánh giá. Trước khi dùng lại, phải kiểm tra phiên bản, phạm vi, ngày xác nhận và người có trách nhiệm về thông tin. Bản mô tả áp dụng cho hệ thống EU không tự đúng với bản triển khai tại Việt Nam nếu hai nơi dùng tính năng hoặc nhà cung cấp khác nhau.

Doanh nghiệp nên tổ chức tài liệu theo từng mã hoạt động. Một mã liên kết tới sơ đồ, nhóm chủ thể, trường dữ liệu, mục đích, bên nhận, thời gian lưu và biện pháp đã triển khai. Từ đó, người lập từng báo cáo chọn dữ liệu phù hợp và ghi rõ nguồn thông tin. Cách làm này giảm việc hỏi lại các phòng ban mà vẫn giữ được kết luận riêng cho mỗi nghĩa vụ.

Đây là bảng tổ chức công việc được khuyến nghị. Không có nội dung nào trong bảng tạo ra cơ chế công nhận tự động giữa cơ quan Việt Nam và cơ quan giám sát GDPR. Từng bản báo cáo vẫn phải đủ nội dung, tài liệu, chủ thể xác nhận và thủ tục tương ứng.

Vì sao chỉ dịch DPIA của tập đoàn là chưa đủ

Điểm khác biệt đầu tiên là phạm vi. DPIA của tập đoàn có thể đánh giá một công cụ chấm điểm người dùng tại EU, còn công ty Việt Nam có thêm ứng viên, khách hàng, người lao động và các hệ thống khác. Một bản dịch tốt vẫn có thể thiếu toàn bộ những hoạt động này. Đối chiếu thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân giúp phân công phần cần bổ sung cho Mẫu số 10.

Điểm tiếp theo là căn cứ xử lý. Nếu báo cáo GDPR viện dẫn lợi ích hợp pháp tại điểm f khoản 1 Điều 6, người lập hồ sơ Việt Nam phải xác định căn cứ phù hợp của pháp luật Việt Nam, không dịch tên căn cứ rồi coi như đã đáp ứng Điều 9 hoặc Điều 19 Luật 91. Điều kiện thực hiện quyền, việc lưu giữ và trách nhiệm của các bên cũng phải được đối chiếu riêng.

Với chiều ngược lại, một báo cáo Việt Nam chỉ liệt kê kiểm soát an toàn chưa đáp ứng đủ DPIA theo GDPR. Khoản 7 Điều 35 yêu cầu mô tả có hệ thống, đánh giá tính cần thiết và tương xứng của xử lý, đánh giá rủi ro đối với quyền và tự do, cùng biện pháp giải quyết rủi ro và chứng minh tuân thủ. Chẳng hạn, báo cáo cần giải thích vì sao phải thu một trường dữ liệu và có cách ít tác động hơn đạt cùng mục đích hay không, thay vì chỉ ghi máy chủ có tường lửa.

Khi đã chỉ định người bảo vệ dữ liệu theo GDPR, bên kiểm soát phải xin ý kiến người đó khi thực hiện DPIA theo khoản 2 Điều 35. Khoản 9 còn yêu cầu lấy ý kiến chủ thể hoặc đại diện khi phù hợp, có xét các lợi ích và an toàn được điều luật bảo vệ. Không nên tự ghi đã tham vấn hoặc đã được người phụ trách chấp thuận khi chưa có hoạt động và chứng cứ tương ứng.

Hướng dẫn WP248 rev.01 về DPIA giải thích cách xây dựng đánh giá dựa trên rủi ro và các thành phần tối thiểu. Đánh giá phải gắn với quyết định và biện pháp thực hiện của tổ chức; một bộ câu trả lời có sẵn chưa chứng minh các biện pháp đã tồn tại trên hệ thống.

Cách xử lý khi rủi ro vẫn cao sau đánh giá

Trong GDPR, việc điền xong báo cáo không đồng nghĩa được triển khai mọi hoạt động. Khi điều kiện tham vấn trước tại khoản 1 Điều 36 phát sinh, bên kiểm soát phải làm việc với cơ quan giám sát trước xử lý. Cần đánh giá rủi ro còn lại sau các biện pháp dự kiến, mức độ ảnh hưởng đến cá nhân và khả năng thực hiện những biện pháp đó. Nguồn Điều 35 và Điều 36 GDPR.

Hướng dẫn WP248 rev.01 làm rõ việc tham vấn khi bên kiểm soát không thể giảm rủi ro cao xuống mức chấp nhận được bằng các biện pháp phù hợp. Doanh nghiệp không nên thay việc này bằng phê duyệt thương mại của trưởng dự án. Mặt khác, Điều 36 không phải cơ chế yêu cầu mọi DPIA đều nộp để được duyệt trước; cần xét đúng điều kiện và quy định cụ thể áp dụng.

Đối với hồ sơ Việt Nam, cần phân biệt nghĩa vụ lập, lưu, gửi, kết quả đánh giá của cơ quan và việc thực hiện biện pháp thực tế. Phiếu tiếp nhận không tự chứng minh toàn bộ hoạt động đã tuân thủ. Tương tự, thời hạn gửi 60 ngày không phải thời gian được miễn căn cứ xử lý hoặc được trì hoãn bảo vệ dữ liệu.

Ví dụ tổ chức một bộ tài liệu nền cho nhiều nghĩa vụ

Tình huống giả định: Công ty A tại Việt Nam cung cấp nền tảng đặt dịch vụ, có nhóm người dùng ở Việt Nam và chủ động cung cấp dịch vụ cho người dùng đang ở Đức. A dự kiến đưa dữ liệu thu thập tại Việt Nam lên hệ thống tại Singapore và phát triển tính năng đánh giá tự động có ảnh hưởng đáng kể đến việc người dùng được tiếp cận dịch vụ. Chưa giả định hệ thống đã tuân thủ, đã có căn cứ hợp lệ hay được miễn hồ sơ.

Trước khi phân công viết báo cáo, A xác định phạm vi GDPR đối với hoạt động hướng tới người dùng ở EU và đánh giá nghĩa vụ DPIA của tính năng dự kiến theo Điều 35, bao gồm điều kiện cụ thể của khoản 3. Đối với dữ liệu thu thập tại Việt Nam đưa lên Singapore, A đối chiếu Điều 20 Luật 91 và ngoại lệ từng luồng. Đồng thời, A xác định vai trò và nghĩa vụ hồ sơ xử lý theo Điều 21.

Bộ phận sản phẩm lập mô tả tính năng và quyết định mà nó tạo ra; kỹ thuật xác nhận hệ thống, luồng và biện pháp; pháp chế lập bảng căn cứ và nghĩa vụ; người phụ trách bảo vệ dữ liệu phối hợp kiểm tra và quản lý phiên bản. Các tài liệu chung được gắn mã, sau đó đưa vào báo cáo Mẫu số 10, Mẫu số 09 và DPIA theo phạm vi tương ứng nếu nghĩa vụ phát sinh. Kết luận hoặc phê duyệt của mỗi phần được lưu riêng, tránh một chữ ký chung bị hiểu là đã hoàn thành mọi thủ tục.

Đối với luồng EU, A cũng phải xác định có hoạt động chuyển thuộc Chương V hay không. EDPB 05/2021 dùng các tiêu chí về bên chuyển thuộc GDPR, việc cung cấp dữ liệu cho một bên khác và bên nhận ở nước thứ ba hoặc tổ chức quốc tế. Trường hợp cá nhân tự cung cấp dữ liệu trực tiếp cho một tổ chức ngoài EU khác với việc một doanh nghiệp thuộc GDPR chuyển dữ liệu cho đối tác. Phạm vi Điều 3 và nghĩa vụ bảo vệ khác vẫn cần xem xét. EDPB 05/2021, mục 2.

Đầu ra hữu ích của A là bảng xác định nghĩa vụ, tài liệu nền đã xác nhận, các đánh giá đúng phạm vi, biện pháp phải hoàn thành trước vận hành và lịch rà soát. Số lượng tệp vật lý có thể linh hoạt; nội dung và việc thực hiện nghĩa vụ không được nhập chung đến mức không thể kiểm tra.

Cập nhật theo thay đổi và đúng mốc pháp luật

Tại Việt Nam, Điều 22 Luật và Điều 20 Nghị định 356 quy định cập nhật theo thay đổi và các mốc tương ứng. GDPR yêu cầu rà soát khi cần, ít nhất khi rủi ro của hoạt động thay đổi theo khoản 11 Điều 35. Vì vậy, lịch cập nhật chung của tập đoàn nên ghi cả hai nhóm yêu cầu; không lấy chu kỳ sáu tháng của một nghĩa vụ làm lý do chờ xử lý rủi ro mới đã xuất hiện.

Hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 có cơ chế tiếp tục sử dụng tại khoản 2 Điều 39 Luật 91; cập nhật sau đó theo Luật mới. Đây là chuyển tiếp trong pháp luật Việt Nam, không phải công nhận một DPIA của EU đã lập trước thời điểm đó. Doanh nghiệp phải lưu chứng cứ tiếp nhận, không chỉ bản báo cáo hoặc thư đã gửi.

Thay đổi sắp có hiệu lực: Nghị định 392/2026/NĐ-CP áp dụng từ 15/11/2026. Điều 43, Điều 44 sửa quy định tiếp nhận, đánh giá hồ sơ chuyển và hồ sơ xử lý; thời hạn đánh giá, trả kết quả trong các khoản được sửa là 11 ngày làm việc. Điều 45 sửa quy định nộp cập nhật. Khoản 3 Điều 49 giữ cách thực hiện theo Nghị định 356 đối với các hồ sơ thuộc nhóm nêu tại khoản này đã được tiếp nhận trước ngày hiệu lực. Vì thế, không dùng mốc 11 ngày làm việc cho hồ sơ thuộc chế độ đang áp dụng tại ngày 24/10/2026. Nguồn Nghị định 392.

Đối với mẫu tham khảo EU, cần kiểm tra phiên bản và giá trị áp dụng tại ngày sử dụng. Trang EDPB về mẫu DPIA công bố ngày 14/04/2026 nêu quy trình tham vấn; việc kết thúc thời gian nhận góp ý không tự chứng minh một mẫu trở thành biểu mẫu bắt buộc thay cho mọi yêu cầu quốc gia. Doanh nghiệp vẫn phải đáp ứng Điều 35 và đối chiếu hướng dẫn của cơ quan giám sát có thẩm quyền. Trang tham vấn mẫu DPIA của EDPB.

Câu hỏi thường gặp

Có thể nộp nguyên bản DPIA tiếng Anh của tập đoàn tại Việt Nam không

Không nên coi đó là bộ hồ sơ đã đủ. Cần đối chiếu báo cáo theo Mẫu số 10 hoặc Mẫu số 09, tài liệu kèm theo, thông tin chủ thể và thủ tục tương ứng. Tài liệu tiếng Anh có thể làm đầu vào; việc sử dụng bản dịch hoặc tài liệu đính kèm phải được xác định theo hồ sơ cụ thể, không tự khẳng định mọi tài liệu đều cần dịch công chứng.

GDPR không yêu cầu DPIA vì rủi ro thấp thì Việt Nam có được miễn không

Không tự động. Điều kiện của hai cơ chế khác nhau. Nghĩa vụ Việt Nam phải kiểm tra theo vai trò, hoạt động và ngoại lệ tại Luật 91, Nghị định 356, bao gồm cơ chế áp dụng có điều kiện tại Điều 38 Luật và Điều 41 Nghị định; kết luận rủi ro thấp trong GDPR không thay thế việc này.

Đã có SCCs thì còn cần Mẫu số 09 không

Nếu luồng thuộc diện phải lập hồ sơ chuyển của Việt Nam, SCCs không tự thay thế Mẫu số 09 và tài liệu theo Điều 18 Nghị định 356. Ngược lại, hồ sơ Việt Nam không tự đáp ứng điều kiện chuyển tại Chương V GDPR. Phải xác định bên, luồng, căn cứ và công cụ phù hợp ở từng cơ chế.

Có thể giao một nhóm làm cả hai phần để tiết kiệm công việc không

Có thể tổ chức chung việc thu thập và quản lý tài liệu. Tuy nhiên, nhóm cần đủ năng lực đối chiếu luật áp dụng, phân công người xác nhận dữ kiện, người đánh giá và người quyết định. Phạm vi hỗ trợ pháp luật EU, đặc biệt pháp luật quốc gia thành viên, phải được thống nhất riêng khi cần; không suy ra chỉ từ tên một dịch vụ hồ sơ tại Việt Nam.

Rà soát phần hồ sơ Việt Nam cùng Justix

Doanh nghiệp đã có DPIA, TIA hoặc hợp đồng theo GDPR nên chuẩn bị các tài liệu này cùng danh sách pháp nhân, hệ thống, luồng dữ liệu và hồ sơ Việt Nam đã gửi. Qua dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ xác định nghĩa vụ, rà soát luồng chuyển và phần thông tin cần bổ sung cho hồ sơ Việt Nam theo phạm vi thỏa thuận. Gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix; yêu cầu đánh giá chuyên sâu pháp luật EU hoặc luật nước nhận cần được làm rõ riêng.