Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có tự làm được không?

Hồ sơ đánh giá tác động
xử lý dữ liệu cá nhân có tự làm được không?

Doanh nghiệp có thể tự tổ chức lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Điều 21 Luật Bảo vệ dữ liệu cá nhân và Điều 19 Nghị định 356/2025/NĐ-CP quy định trách nhiệm, thành phần hồ sơ, không đặt ra điều kiện bắt buộc phải thuê luật sư. Việc lựa chọn nên dựa vào khả năng xác định nghĩa vụ, thu thập thông tin và đánh giá rủi ro của doanh nghiệp. Thuê tư vấn cũng không làm mất trách nhiệm của bên kiểm soát dữ liệu theo Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Cần kiểm tra nghĩa vụ trước khi quyết định thuê dịch vụ

Trước hết, doanh nghiệp cần xác định mình quyết định mục đích xử lý, trực tiếp xử lý hay thực hiện theo yêu cầu của bên khác. Một công ty có thể giữ những vai trò khác nhau đối với dữ liệu nhân viên và dữ liệu nhận từ khách hàng. Phạm vi hồ sơ vì vậy phải bám vào hoạt động và hợp đồng thực tế, theo khoản 7, khoản 8, khoản 9 Điều 2 và Điều 21 Luật 91/2025/QH15.

Cũng cần kiểm tra cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ tại khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định 356. Điều kiện loại trừ gồm kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể theo cách tính tích lũy được quy định. Nếu hồ sơ cũ đã được tiếp nhận trước 01/01/2026, khoản 2 Điều 39 Luật cho phép tiếp tục sử dụng và cập nhật theo quy định mới. Đây là những việc cần làm rõ trước khi báo giá một bộ hồ sơ mới.

Khi nào doanh nghiệp có thể tự lập hồ sơ?

Doanh nghiệp có cơ sở tự thực hiện khi đã có người phụ trách hiểu quy định, có thể huy động các phòng ban và kiểm chứng thông tin về hệ thống. Người này cần giải thích được dữ liệu lấy từ đâu, sử dụng cho mục đích nào, ai được truy cập, lưu trong bao lâu và chuyển cho bên nào. Nếu các câu trả lời chỉ dựa vào suy đoán, việc điền đủ biểu mẫu chưa bảo đảm chất lượng hồ sơ.

Theo khoản 2, khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ gồm báo cáo theo Mẫu số 10, các hợp đồng hoặc thỏa thuận và tài liệu bảo vệ dữ liệu liên quan. Báo cáo còn phải đánh giá tuân thủ, ảnh hưởng, rủi ro và biện pháp giảm thiểu. Doanh nghiệp có thể đối chiếu thêm thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để giao việc cho từng bộ phận.

Ví dụ minh họa: doanh nghiệp có pháp chế am hiểu quy định, biểu mẫu đầy đủ và bộ phận kỹ thuật xác nhận được nơi lưu trữ, phân quyền có thể tự soạn dự thảo rồi thuê rà soát. Nếu chưa biết những ai đang tiếp cận dữ liệu, cần khảo sát hiện trạng trước.

Tự làm, thuê rà soát hay thuê lập hồ sơ khác nhau thế nào?

Bảng dưới đây giúp lãnh đạo chọn cách tổ chức công việc. Đây là gợi ý quản trị, không phải phân loại bắt buộc của pháp luật. Doanh nghiệp nên đánh dấu phương án phù hợp sau khi kiểm tra tài liệu đang có.

Thuê luật sư phù hợp hơn khi cần đánh giá điều kiện miễn, phân định trách nhiệm trong chuỗi nhà cung cấp, xử lý tài liệu mâu thuẫn hoặc rà soát hồ sơ đã bị yêu cầu bổ sung. Tuy nhiên, luật sư cần thông tin từ doanh nghiệp và bộ phận kỹ thuật để kết luận. Không nên ghi trong hồ sơ rằng đã mã hóa, đã xóa tự động hoặc đã lấy đồng ý nếu chưa có cơ sở xác nhận.

Phạm vi dịch vụ phải ghi rõ những công việc nào?

Một đề xuất chỉ ghi “lập hồ sơ dữ liệu cá nhân” thường chưa đủ để so sánh. Doanh nghiệp nên yêu cầu xác định pháp nhân, nhóm hoạt động, hệ thống và nhà cung cấp được rà soát; hồ sơ thuộc loại xử lý dữ liệu hay chuyển dữ liệu xuyên biên giới. Hai loại hồ sơ có phạm vi đánh giá và biểu mẫu riêng tại Điều 18, Điều 19 Nghị định 356.

Tiếp theo cần tách việc rà soát tài liệu sẵn có với việc soạn mới chính sách, quy trình, hợp đồng. Nếu báo cáo phải kèm một chính sách mà doanh nghiệp chưa ban hành, các bên cần thống nhất ai soạn và ai tổ chức thực hiện. Phạm vi cũng nên ghi rõ hỗ trợ nộp, số lần giải trình, xử lý yêu cầu bổ sung và công việc cập nhật sau bàn giao.

Đối với dịch vụ pháp lý, khoản 2 Điều 26 Luật Luật sư số 65/2006/QH11 yêu cầu hợp đồng bằng văn bản, có nội dung dịch vụ, thời hạn, quyền và nghĩa vụ, phương thức tính thù lao, chi phí và trách nhiệm vi phạm. Vì vậy, các nội dung đã trao đổi cần được thể hiện trong hợp đồng hoặc phụ lục phạm vi công việc.

Chi phí thuê luật sư lập hồ sơ được tính như thế nào?

Chi phí phụ thuộc công việc cần thực hiện. Khoản 1 Điều 55 Luật Luật sư xác định các căn cứ tính thù lao gồm nội dung, tính chất dịch vụ, thời gian, công sức, kinh nghiệm và uy tín của luật sư; khoản 1 Điều 56 quy định mức thù lao được thỏa thuận trong hợp đồng. Với hồ sơ dữ liệu cá nhân, số hoạt động, bên tham gia và mức độ thiếu tài liệu ảnh hưởng trực tiếp đến khối lượng rà soát.

Justix hiện đang cung cấp dịch vụ lập “Báo cáo đánh giá tác động xử lý dữ liệu cá nhân”  với mức phí tham khảo từ 30–45 triệu đồng. Phạm vi tham khảo gồm hỗ trợ nộp, theo dõi tiếp nhận và 01 lần giải trình hoặc bổ sung trong phạm vi thống nhất. Lập thêm hồ sơ, chuẩn hóa toàn bộ hệ thống tài liệu hoặc xử lý yêu cầu ngoài phạm vi được báo riêng. Mức áp dụng cụ thể và việc đã bao gồm thuế hay chưa cần được xác nhận trong báo giá.

Khi so sánh đề xuất, cần đối chiếu cùng số pháp nhân, nhóm hoạt động và đầu ra. Phạm vi chỉ rà dự thảo khác với khảo sát, soạn chính sách và hỗ trợ thủ tục. Doanh nghiệp cũng nên dự trù chi phí nội bộ để cung cấp thông tin và sửa quy trình.

Thuê dịch vụ có làm thay đổi thời hạn nộp hồ sơ không?

Không. Đối với chủ thể thuộc diện áp dụng, hồ sơ phải được lập, lưu từ khi bắt đầu xử lý; thời hạn gửi là 60 ngày kể từ ngày đầu tiên xử lý, theo khoản 1 Điều 21 Luật và khoản 1, khoản 4 Điều 19 Nghị định 356. Ngày ký hợp đồng tư vấn không thay thế mốc phát sinh nghĩa vụ.

Doanh nghiệp nên cung cấp ngày bắt đầu xử lý, hồ sơ đã nộp và phản hồi đã nhận khi trao đổi phạm vi. Tiến độ tư vấn cần gắn với việc bàn giao thông tin và xác nhận dự thảo. Thời gian cơ quan trả kết quả theo khoản 5 Điều 19 là mốc thủ tục riêng.

Nhận đề xuất phạm vi và báo phí

Doanh nghiệp có thể gửi Justix danh mục hệ thống, nhóm dữ liệu, hợp đồng nhà cung cấp và hồ sơ hiện có để nhận đề xuất phạm vi lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Luật sư Justix sẽ trao đổi công việc cần thực hiện, tài liệu đầu vào và báo phí tương ứng. Hotline: 0372717888 hoặc 0878853686.