Hệ thống tuân thủ dữ liệu cá nhân trong doanh nghiệp cần những tài liệu gì?

Hệ thống tuân thủ dữ liệu cá nhân trong doanh nghiệp cần những tài liệu gì?

Bộ tài liệu tuân thủ cần phản ánh được doanh nghiệp đang dùng dữ liệu nào, theo căn cứ gì, ai chịu trách nhiệm và việc thực hiện được chứng minh ra sao. Bản đồ tài liệu dưới đây giúp kiểm kê chính sách, quy trình, hợp đồng, hồ sơ đánh giá tác động và bằng chứng vận hành theo từng nghĩa vụ.

Doanh nghiệp cần tổ chức bộ tài liệu về hoạt động và căn cứ xử lý, phân công trách nhiệm, quyền của chủ thể dữ liệu, bảo mật, nhà cung cấp, lưu giữ và xử lý vi phạm. Hồ sơ đánh giá tác động xử lý và hồ sơ chuyển xuyên biên giới phải được xác định riêng theo vai trò, luồng dữ liệu và điều kiện áp dụng. Không có một số lượng tài liệu cố định có thể dùng để kết luận mọi doanh nghiệp đã tuân thủ; từng nhóm phải gắn với nghĩa vụ và chứng cứ thực tế. Một bản chính sách đã ký hoặc một hồ sơ đã gửi chưa thay thế các quy trình và công việc còn lại. Căn cứ: Điều 3, Điều 4, Điều 19 đến Điều 23, Điều 33 và Điều 37 Luật số 91/2025/QH15, Nghị định 356/2025/NĐ-CP.

Kiểm kê theo nghĩa vụ trước khi đếm số văn bản

Một doanh nghiệp có thể chia bộ tài liệu thành nhiều văn bản hoặc gộp các nội dung liên quan trong một quy chế và phụ lục. Điều cần kiểm tra là nội dung bắt buộc có được thể hiện đầy đủ, người thực hiện có tìm được hướng dẫn và doanh nghiệp có chứng minh được việc áp dụng hay không.

Cần phân biệt ba nhóm. Nhóm có yêu cầu trực tiếp về tài liệu gồm, chẳng hạn, quy trình thực hiện quyền tại khoản 1 Điều 5 Nghị định 356, bằng chứng đồng ý tại Điều 6, văn bản chỉ định khi áp dụng Điều 13 và thành phần hồ sơ tại Điều 18, Điều 19. Nhóm chỉ phát sinh theo hoạt động gồm thỏa thuận chuyển giao, hồ sơ chuyển xuyên biên giới hoặc thông báo vi phạm khi thuộc điều kiện tương ứng. Nhóm phục vụ quản trị như bảng kiểm kê phiên bản, phiếu giao việc và danh mục chứng cứ do doanh nghiệp thiết kế để thực hiện, theo dõi các nghĩa vụ.

Không nên gọi toàn bộ bảng quản trị tự soạn là “biểu mẫu bắt buộc của Bộ Công an”. Ngược lại, việc pháp luật không quy định một mẫu chính sách duy nhất không có nghĩa doanh nghiệp được bỏ qua những nội dung, quy trình hoặc bằng chứng phải có.

Bài này tập trung kiểm kê và liên kết tài liệu. Nếu cần xác định thứ tự triển khai tổng thể, có thể xem bài doanh nghiệp cần làm gì để tuân thủ Luật Bảo vệ dữ liệu cá nhân. Khi đã xác định hoạt động, doanh nghiệp có thể dùng bản đồ dưới đây để biết tài liệu nào hỗ trợ nghĩa vụ nào và ai cần cung cấp.

Bản đồ bộ tài liệu tuân thủ dữ liệu cá nhân

Bảng là công cụ kiểm kê đề xuất, không phải danh mục hồ sơ nộp chung cho mọi doanh nghiệp. Với mỗi nhóm, cần đánh dấu áp dụng, chưa phát sinh hoặc không thuộc diện áp dụng kèm căn cứ; không để một ô trống mang nhiều ý nghĩa khác nhau.

Tên phòng ban trong bảng có thể điều chỉnh theo cơ cấu thực tế. Một người có thể tham gia nhiều việc nhưng doanh nghiệp vẫn phải phân biệt người quyết định, người thực hiện và người xác nhận kết quả. Không mặc định giao toàn bộ tài liệu cho IT hoặc phòng nhân sự chỉ vì họ đang quản lý nhiều dữ liệu.

Căn cứ xử lý phải đi cùng bằng chứng sử dụng

Đối với mỗi hoạt động, nên ghi mục đích, loại dữ liệu, nhóm người liên quan, vai trò của doanh nghiệp và căn cứ xử lý. Danh mục này giúp nối các tài liệu với nhau; cách đặt cột hoặc mã hoạt động là lựa chọn quản trị, không phải một mẫu báo cáo mới do pháp luật quy định.

Nếu dựa vào sự đồng ý, cần kiểm tra nội dung theo Điều 9 Luật và phương thức theo Điều 6 Nghị định 356. Mẫu đồng ý chưa được sử dụng chỉ chứng minh doanh nghiệp có mẫu. Bằng chứng thực hiện phải cho phép kiểm chứng chủ thể đã đồng ý, thời điểm và nội dung được đồng ý; bên kiểm soát, bên kiểm soát và xử lý còn có trách nhiệm lưu trữ và chứng minh khi tranh chấp.

Nếu xử lý không cần sự đồng ý, phải đối chiếu đúng trường hợp tại Điều 19 Luật. Khoản 2 Điều này yêu cầu cơ chế giám sát, gồm quy trình, trách nhiệm, biện pháp bảo vệ, đánh giá rủi ro, kiểm tra định kỳ và cơ chế tiếp nhận phản ánh. Vì vậy, ghi “không cần đồng ý” vào một ô trong bảng chưa thể hiện đủ việc phải làm.

Cần phân biệt thông tin cung cấp cho chủ thể dữ liệu, chính sách nội bộ và hành vi đồng ý. Một bản quy chế được lãnh đạo ký không tự chứng minh khách hàng đã đọc nội dung hoặc đồng ý cho tiếp thị. Bài thông báo xử lý, chính sách bảo mật và văn bản đồng ý khác nhau thế nào giúp rà đúng chức năng từng tài liệu.

Quy chế và hồ sơ nhân sự phụ trách cần phản ánh trách nhiệm thật

Quy chế bảo vệ dữ liệu cá nhân trong doanh nghiệp có thể xác định phạm vi, quyền quyết định, cách phối hợp và các quy trình kèm theo. Nhưng quyết định phân công phải phù hợp người thực sự có quyền duyệt, có thông tin và có nguồn lực xử lý. Không nên ghi một đầu mối chịu trách nhiệm toàn bộ trong khi người đó không được tiếp cận hợp đồng hoặc yêu cầu IT thay đổi quyền.

Khi thuộc diện áp dụng khoản 2 Điều 33 Luật, cần xác định phương án chỉ định bộ phận, nhân sự đủ năng lực hoặc thuê dịch vụ phù hợp. Khoản 1 Điều 13 Nghị định yêu cầu việc chỉ định bằng văn bản chính thức, thể hiện nhiệm vụ, quyền hạn và yêu cầu liên quan. Cần đối chiếu hồ sơ năng lực theo khoản 2, thỏa thuận bảo mật theo khoản 5 và trách nhiệm đào tạo tại khoản 6 Điều này.

Điều 14 Nghị định phân biệt nhiệm vụ của bộ phận và nhân sự bảo vệ dữ liệu. Doanh nghiệp nên giữ tài liệu chứng minh công việc đã thực hiện tương ứng, chẳng hạn kết quả rà quy trình, phối hợp xử lý quyền và đánh giá tuân thủ. Một quyết định chỉ định tồn tại nhiều năm nhưng không còn đúng người hoặc phạm vi phải được rà lại.

Cơ chế tại khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định cần được xét trước khi kết luận doanh nghiệp phải làm hoặc được miễn một số nghĩa vụ. Phạm vi liên quan Điều 21, Điều 22 và khoản 2 Điều 33; có điều kiện loại trừ đối với kinh doanh dịch vụ xử lý, trực tiếp xử lý dữ liệu nhạy cảm hoặc quy mô dữ liệu theo quy định. Không suy ra miễn toàn bộ tài liệu chỉ từ số lao động, và không tự mở rộng cơ chế này sang nghĩa vụ hồ sơ chuyển ban đầu tại Điều 20.

Quy trình thực hiện quyền cần có hồ sơ cho từng yêu cầu

Khoản 1 Điều 5 Nghị định 356 yêu cầu bên kiểm soát, bên kiểm soát và xử lý xây dựng quy trình, thủ tục, biểu mẫu rõ ràng, phù hợp hoạt động và trách nhiệm các bộ phận. Chủ thể dữ liệu phải được biết thủ tục thực hiện quyền. Tài liệu nội bộ cần làm rõ ai tiếp nhận, cách xác minh, nơi tìm dữ liệu, người quyết định và cách phối hợp với bên đang giữ dữ liệu.

Hồ sơ một yêu cầu nên nối được thông tin tiếp nhận với quá trình xử lý. Ví dụ, đối với yêu cầu xóa, cần ghi dữ liệu đã tìm thấy, căn cứ giữ lại nếu có, việc chuyển cho nhà cung cấp và kết quả đã xác nhận. Không kết thúc hồ sơ chỉ vì nhân viên chăm sóc khách hàng đã gửi email “đã nhận yêu cầu”.

Các mốc phải được phân biệt theo từng quyền. Khoản 4 Điều 5 quy định phản hồi yêu cầu xóa nhận đúng thủ tục trong 2 ngày làm việc; việc thực hiện có mốc 20 ngày hoặc 30 ngày trong trường hợp phối hợp được quy định, cùng điều kiện gia hạn riêng. Doanh nghiệp cần phản ánh đúng quy định vào hướng dẫn, không lấy một mốc chung của tập đoàn áp cho mọi quyền.

Biểu mẫu tiếp nhận không nên yêu cầu thêm dữ liệu vượt mức cần thiết chỉ để xác minh. Hồ sơ xử lý quyền cũng chứa dữ liệu cá nhân, nên phải có quyền truy cập và thời hạn lưu phù hợp. Cách tổ chức sổ theo dõi là khuyến nghị quản trị; nghĩa vụ thực hiện quyền vẫn phải đáp ứng dù doanh nghiệp dùng phần mềm hay bảng theo dõi.

Hợp đồng và tài liệu kỹ thuật phải thống nhất

Điều 37 Luật đặt trách nhiệm làm rõ quyền, nghĩa vụ trong thỏa thuận và hợp đồng; bên xử lý chỉ được nhận dữ liệu sau khi có thỏa thuận, hợp đồng với bên kiểm soát hoặc bên kiểm soát và xử lý. Đối với chuyển giao thuộc các trường hợp tương ứng, cần đối chiếu Điều 7 Nghị định 356. Không coi một điều khoản bảo mật chung là đã mô tả đủ mục đích, thời hạn và trách nhiệm phối hợp.

Với dịch vụ cloud, Điều 12 Nghị định đặt yêu cầu cụ thể về hợp đồng, luồng dữ liệu, phân định trách nhiệm và bảo vệ. Khoản 4 yêu cầu mã hóa ở trạng thái nghỉ và truyền, cùng phân quyền nghiêm ngặt. Doanh nghiệp cần xác nhận những yêu cầu đó được thực hiện trong cấu hình đang dùng; bản hợp đồng hứa bảo mật không thay được việc kiểm tra kỹ thuật.

Đối với dữ liệu nhạy cảm, khoản 2 Điều 4 yêu cầu quy định giới hạn truy cập, quy trình xử lý và biện pháp bảo mật. Với chia sẻ giữa các bộ phận trong cùng tổ chức, khoản 4 Điều 7 yêu cầu quy trình kiểm soát và phòng ngừa chia sẻ trái phép. Các nội dung này có thể liên kết với quy chế chung, nhưng phải đủ cụ thể để nhân viên biết quyền nào được cấp, việc nào phải xin duyệt.

Hồ sơ đánh giá tác động là một phần của bộ tài liệu

Hồ sơ đánh giá tác động xử lý được xác định theo Điều 21 Luật, Điều 19 Nghị định; hồ sơ chuyển xuyên biên giới theo Điều 20 Luật, Điều 17 và Điều 18 Nghị định. Cần đánh giá riêng vai trò, hoạt động và điều kiện áp dụng. Chỉ đổi tên một báo cáo không làm hai loại hồ sơ trở thành một.

Mẫu số 10 dùng trong hồ sơ đánh giá tác động xử lý; Mẫu số 09 dùng trong hồ sơ chuyển xuyên biên giới. Khoản 2 Điều 18 và khoản 2 Điều 19 Nghị định còn nêu hợp đồng hoặc thỏa thuận cùng chính sách, quy trình, quy định, biểu mẫu và tài liệu liên quan. Vì vậy, việc điền xong báo cáo chưa đồng nghĩa toàn bộ bộ hồ sơ đã đầy đủ.

Với bên kiểm soát, bên kiểm soát và xử lý thuộc diện áp dụng, Điều 21 quy định lập, lưu và gửi hồ sơ trong 60 ngày kể từ ngày đầu tiên xử lý. Bên xử lý phải đối chiếu khoản 3 Điều 21 về lập, lưu theo thỏa thuận và các quy định liên quan, không tự gán cùng nghĩa vụ cho mọi vai trò. Đối với hồ sơ chuyển thuộc diện phải thực hiện, mốc 60 ngày tại khoản 2 Điều 20 tính từ ngày đầu tiên chuyển.

Danh mục quản lý hồ sơ nên tách bản đã lập, bản đã gửi, bằng chứng được tiếp nhận, yêu cầu bổ sung và kết quả xử lý thực tế. Hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 được xem xét theo khoản 2 Điều 39 Luật; không chỉ dựa vào ngày ký báo cáo để kết luận đủ điều kiện chuyển tiếp. Việc cập nhật thực hiện theo Điều 22 Luật và Điều 20 Nghị định 356.

Mốc cần kiểm tra: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa trình tự tiếp nhận, đánh giá và nộp cập nhật hồ sơ. Khoản 3 Điều 49 có quy định chuyển tiếp đối với hồ sơ đã được tiếp nhận. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm cơ chế mới; cần rà lại trước khi thực hiện qua mốc hiệu lực.

Tài liệu vận hành phải thể hiện việc đã làm

Đối với lưu giữ và xóa, Điều 3 và Điều 14 Luật là căn cứ để xác định mục đích, thời hạn và điều kiện xử lý. Doanh nghiệp nên lập danh mục theo loại hồ sơ, căn cứ giữ và hệ thống lưu, sau đó lưu kết quả thực hiện. Không đặt một thời hạn duy nhất cho hợp đồng, dữ liệu tiếp thị, nhật ký và bản sao chỉ để bảng dễ quản lý.

Đối với vi phạm, Điều 23 Luật quy định trách nhiệm thông báo, lập biên bản và phối hợp xử lý theo chủ thể, điều kiện cụ thể. Điều 28 Nghị định quy định nội dung thông báo và Mẫu số 08. Mẫu để sẵn hỗ trợ việc ứng phó; hồ sơ vụ việc chỉ được lập theo dữ kiện thật, gồm thời điểm, dữ liệu, ảnh hưởng và biện pháp thực hiện. Không tạo một biên bản giả để làm bộ tài liệu trông đầy đủ.

Đối với đánh giá và đào tạo, cần đối chiếu nhiệm vụ áp dụng tại Điều 14 Nghị định và mô hình thực tế. Kế hoạch, tài liệu hướng dẫn, kết quả tham gia, phát hiện và xác nhận khắc phục giúp theo dõi công việc. Không đồng nhất việc tổ chức một buổi phổ biến với chứng minh mọi người đã đáp ứng điều kiện năng lực của nhân sự bảo vệ dữ liệu.

Tình huống có nhiều văn bản nhưng không xử lý được yêu cầu xóa

Tình huống giả định: Công ty A bán hàng trực tuyến, đã có chính sách trên website, mẫu đồng ý và hợp đồng với nhà cung cấp hệ thống. Khi khách hàng yêu cầu xóa thông tin, bộ phận chăm sóc khách hàng không biết dữ liệu còn ở đâu; IT xóa tài khoản nhưng chưa kiểm tra tệp xuất và bản phía nhà cung cấp. Bộ hồ sơ đánh giá tác động cũng chưa phản ánh đầy đủ luồng đang sử dụng.

A cần nối các tài liệu theo yêu cầu này. Nghiệp vụ xác nhận dữ liệu và mục đích; pháp chế đối chiếu điều kiện xóa, căn cứ giữ lại; IT và nhà cung cấp xác nhận các hệ thống, bản sao và kết quả thực hiện. Đầu mối chịu trách nhiệm phản hồi theo đúng mốc, lưu hồ sơ và theo dõi phần chưa hoàn tất.

Kết quả rà soát không nhất thiết là viết lại mọi chính sách. Có thể cần sửa quy trình thực hiện quyền, làm rõ trách nhiệm nhà cung cấp, bổ sung danh mục nơi lưu và cập nhật hồ sơ theo nghĩa vụ áp dụng. Tài liệu nào vẫn đúng thì giữ; tài liệu sai phải sửa cùng hoạt động thực tế. Không ký lùi ngày hoặc ghi “đã xóa toàn bộ” khi chưa có đủ căn cứ.

Để quản lý lâu dài, mỗi tài liệu nên có người phụ trách, phiên bản có hiệu lực, phạm vi sử dụng, nơi lưu và các tài liệu liên quan. Khi thay phần mềm, thêm mục đích hoặc bên nhận, người được giao phải kiểm tra cả nhóm tài liệu bị ảnh hưởng. Bản đồ kiểm kê được dùng để tìm chỗ thiếu và giao việc, không phải chứng nhận tuân thủ.

Câu hỏi thường gặp

Chỉ có chính sách bảo mật website đã đủ chưa?

Chưa đủ để kết luận. Chính sách là một phần cung cấp thông tin và quản lý hoạt động; doanh nghiệp còn phải xác định căn cứ, quy trình thực hiện quyền, hợp đồng, bảo mật, hồ sơ và chứng cứ theo nghĩa vụ thực tế. Phạm vi sẽ khác nhau giữa các mô hình.

Có thể gộp nhiều quy trình trong một quy chế không?

Có thể tổ chức nội dung phù hợp, miễn đáp ứng yêu cầu áp dụng, tìm được phần cần dùng và xác định được trách nhiệm. Những biểu mẫu, thành phần hồ sơ hoặc văn bản pháp luật yêu cầu riêng vẫn phải được thực hiện đúng; việc gộp không làm mất các yêu cầu đó.

Doanh nghiệp được miễn hồ sơ đánh giá tác động thì bỏ cả bộ tài liệu được không?

Không. Cần xác định đúng căn cứ miễn hoặc cơ chế lựa chọn, phạm vi nghĩa vụ và điều kiện duy trì. Những yêu cầu về mục đích, căn cứ xử lý, quyền của cá nhân, hợp đồng hoặc biện pháp bảo vệ vẫn phải được đánh giá riêng.

Có cần gửi toàn bộ tài liệu nội bộ cho cơ quan nhà nước ngay không?

Không tự suy ra một nghĩa vụ gửi toàn bộ mọi tài liệu. Cần phân biệt thành phần phải nộp của từng thủ tục, tài liệu phải lưu và nội dung được yêu cầu khi kiểm tra. Bài kiểm tra bảo vệ dữ liệu cá nhân, doanh nghiệp cần chuẩn bị hồ sơ gì hướng dẫn việc tập hợp theo phạm vi kiểm tra cụ thể.

Justix hỗ trợ rà soát và thiết lập bộ tài liệu

Doanh nghiệp có thể chuẩn bị sơ đồ tổ chức, danh sách hệ thống, các chính sách, biểu mẫu, hợp đồng và hồ sơ hiện có. Với dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ đối chiếu hoạt động, lập danh mục vấn đề và đề xuất thứ tự khắc phục. Các hạng mục soạn quy chế, quy trình thực hiện quyền hoặc phân công nhân sự được xác định theo phạm vi doanh nghiệp lựa chọn; không mặc định gói rà soát bao gồm mọi tài liệu triển khai. Có thể gửi danh mục đã lược dữ liệu cá nhân thật qua trang liên hệ Justix.