Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì?

Hồ sơ đánh giá tác động
xử lý dữ liệu cá nhân gồm những gì?

Hồ sơ gồm báo cáo đánh giá tác động theo Mẫu số 10, bản sao hợp đồng hoặc thỏa thuận xử lý dữ liệu, cùng các chính sách, quy trình, quy định, biểu mẫu và tài liệu liên quan. Khi gửi hồ sơ, doanh nghiệp kèm thông báo theo Mẫu số 02a dành cho tổ chức. Các thành phần này được quy định tại khoản 2, khoản 4 Điều 19 và Phụ lục Nghị định 356/2025/NĐ-CP.

Danh mục trên áp dụng khi doanh nghiệp thuộc diện phải thực hiện hoặc chủ động lựa chọn thực hiện. Trước khi chuẩn bị, cần kiểm tra vai trò xử lý, cơ chế dành cho doanh nghiệp nhỏ, siêu nhỏ và hồ sơ chuyển tiếp theo Điều 21, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Tách báo cáo đánh giá khỏi các tài liệu kèm theo

Báo cáo là nơi doanh nghiệp giải thích hoạt động, đánh giá tuân thủ và rủi ro. Hợp đồng thể hiện trách nhiệm giữa các bên. Chính sách, quy trình và biểu mẫu cho thấy doanh nghiệp tổ chức thực hiện như thế nào. Ba nhóm cần thống nhất về mục đích, loại dữ liệu, bên nhận và thời gian lưu.

Ví dụ minh họa: báo cáo ghi chỉ bộ phận nhân sự được xem hồ sơ ứng viên, nhưng quy trình tuyển dụng cho phép toàn bộ trưởng phòng tải hồ sơ về máy cá nhân. Doanh nghiệp cần xác định phạm vi truy cập thực tế, đánh giá sự cần thiết và sửa tài liệu hoặc cách vận hành tương ứng. Thay tên doanh nghiệp trong một bộ mẫu không giải quyết được sự khác biệt này.

Báo cáo theo Mẫu số 10 cần phản ánh những gì?

Khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu các nhóm nội dung về bên tham gia và đầu mối bảo vệ dữ liệu; mục đích, loại dữ liệu, hoạt động và luồng xử lý; sự đồng ý, lưu trữ, xóa, hủy; phương án bảo vệ; kết quả đánh giá tuân thủ; rủi ro, hậu quả và biện pháp xử lý.

Khi điền mẫu, nên bắt đầu bằng một hoạt động cụ thể. Với tuyển dụng, doanh nghiệp mô tả nguồn nhận hồ sơ, người được đọc, cách gửi cho bộ phận chuyên môn, kết quả tuyển dụng và việc lưu hoặc xóa sau đó. Từ mô tả này mới xác định đúng hợp đồng, biểu mẫu và rủi ro cần đưa vào báo cáo.

Mẫu số 10 còn có phần thông tin về các bên liên quan và tài liệu phân công bộ phận, nhân sự bảo vệ dữ liệu. Trường hợp sử dụng dịch vụ bảo vệ dữ liệu, cần kê khai và đính kèm tài liệu tương ứng theo mẫu. Không nên bỏ trống một mục chỉ vì doanh nghiệp chưa có thông tin; cần xác định mục đó không áp dụng hay đang thiếu tài liệu để hoàn thiện.

Riêng mục A.III.2.3 của Mẫu số 10 yêu cầu đánh giá tác động đến an ninh quốc gia, trật tự an toàn xã hội trong trường hợp xử lý dữ liệu cơ bản của trên 100.000 chủ thể hoặc dữ liệu nhạy cảm của trên 10.000 chủ thể. Đây là điều kiện cho phần đánh giá này; không thể suy ra rằng doanh nghiệp dưới các ngưỡng đó được miễn toàn bộ hồ sơ. Nguồn: Phụ lục Nghị định 356/2025/NĐ-CP.

Hợp đồng phải thể hiện trách nhiệm xử lý dữ liệu

Điểm b khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu bản sao hợp đồng hoặc thỏa thuận thể hiện ràng buộc, trách nhiệm giữa các bên. Các hợp đồng phần mềm, tổng đài, tuyển dụng, trả lương hoặc chăm sóc khách hàng cần được rà soát nếu có liên quan đến luồng dữ liệu.

Nội dung rà soát nên làm rõ bên nào quyết định mục đích, bên nào xử lý theo yêu cầu; phạm vi dữ liệu; quyền truy cập; việc chuyển tiếp; hỗ trợ yêu cầu của chủ thể; xử lý sự cố và kết thúc dịch vụ. Một điều khoản bảo mật thông tin chung có thể chưa giải quyết đủ các vấn đề đó. Trách nhiệm xác lập thỏa thuận và xử lý theo hợp đồng được quy định tại điểm a khoản 1, điểm a, b khoản 2 Điều 37 Luật 91/2025/QH15.

Chính sách và biểu mẫu cần bám vào hoạt động thực tế

Theo điểm c khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ phải có tài liệu bảo vệ dữ liệu liên quan. Phạm vi chuẩn bị có thể gồm thông báo xử lý dữ liệu, biểu mẫu đồng ý, quy định truy cập, lưu trữ, xóa, xử lý yêu cầu và ứng phó vi phạm. Danh mục cụ thể phụ thuộc hoạt động của doanh nghiệp và nội dung Mẫu số 10, không phải một bộ giấy tờ giống nhau cho mọi đơn vị.

Với hoạt động dựa trên sự đồng ý, cần đối chiếu khoản 2, khoản 3, khoản 4 Điều 9 Luật 91/2025/QH15 về thông tin được cung cấp, tính tự nguyện, hình thức kiểm chứng và từng mục đích. Với trường hợp không cần đồng ý, báo cáo cần chỉ ra căn cứ tại khoản 1 Điều 19 và cơ chế giám sát theo khoản 2 Điều 19 Luật 91/2025/QH15. Không nên tạo biểu mẫu xin đồng ý cho mọi hoạt động mà chưa kiểm tra căn cứ xử lý.

Bảng phân công chuẩn bị hồ sơ

Doanh nghiệp có thể dùng bảng dưới đây để giao việc, bổ sung tên người phụ trách và thời hạn nội bộ. Đây là gợi ý tổ chức công việc; doanh nghiệp điều chỉnh theo cơ cấu của mình.

Các phòng ban cần cùng rà một luồng dữ liệu mẫu để phát hiện thông tin không khớp. Chẳng hạn, nhân sự biết dữ liệu được nhập lên hệ thống nhưng đơn vị quản trị mới xác nhận được nơi lưu, người truy cập và bản sao lưu. Luật sư dựa trên thông tin đã được xác nhận để đánh giá pháp lý; thông tin kỹ thuật cần được bộ phận chuyên môn cung cấp.

Đánh giá rủi ro như thế nào để có giá trị sử dụng?

Phần đánh giá cần thể hiện vấn đề, hậu quả có thể xảy ra, biện pháp đang áp dụng và biện pháp đề xuất. Không nên chỉ liệt kê “rủi ro lộ dữ liệu” cho tất cả hoạt động. Yêu cầu phân tích ảnh hưởng, thiệt hại và biện pháp giảm thiểu được đặt ra tại điểm g khoản 3 Điều 19 và phần A.III Mẫu số 10 Nghị định 356/2025/NĐ-CP.

Ví dụ minh họa: nhân viên bán hàng có quyền tải toàn bộ danh sách khách hàng. Rủi ro là dữ liệu tiếp tục nằm trên thiết bị cá nhân khi người đó nghỉ việc. Biện pháp có thể gồm giới hạn quyền xuất, kiểm soát người được nhận và thu hồi quyền khi bàn giao. Doanh nghiệp phải xác nhận biện pháp nào đã vận hành, biện pháp nào mới được đề xuất. Không ghi đã thực hiện nếu mới có kế hoạch.

Một bảng theo dõi nội bộ với các cột “hoạt động – rủi ro – biện pháp hiện có – việc cần làm – người phụ trách” giúp chuyển kết quả đánh giá thành công việc cụ thể. Bảng này hỗ trợ việc lập báo cáo, không thay thế Mẫu số 10.

Gửi hồ sơ và quản lý phiên bản sau khi nộp

Doanh nghiệp gửi 01 bản chính kèm Mẫu số 02a trong thời hạn 60 ngày theo khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP; Mẫu số 02b dành cho cá nhân. Hồ sơ cần được lưu và sẵn sàng phục vụ kiểm tra.

Theo mục II phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP, tuyến nộp là về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính; Bộ tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo phân công. Thời hạn đánh giá, trả kết quả theo khoản 5 Điều 19 Nghị định 356 là 15 ngày; hồ sơ chưa đầy đủ, đúng quy định phải hoàn thiện trong 30 ngày theo khoản 6. Các mốc này không phải cam kết thời gian hoàn thành dịch vụ tư vấn.

Sau khi gửi, nên lưu một bộ hoàn chỉnh đúng phiên bản cùng chứng từ nộp và phản hồi. Việc bổ sung theo yêu cầu xử lý hồ sơ cần được phân biệt với cập nhật do hoạt động thay đổi. Cập nhật thực hiện theo Điều 22 Luật 91/2025/QH15, Điều 20 Nghị định 356/2025/NĐ-CP và mục III phần B Phụ lục I.7 Nghị quyết 22; tổ chức dùng Mẫu số 03a.

Nếu hồ sơ cũ đã được tiếp nhận trước 01/01/2026, cần áp dụng khoản 2 Điều 39 Luật 91/2025/QH15 trước khi quyết định lập lại. Nghị định 13/2023/NĐ-CP đã hết hiệu lực theo khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP.

Để nhận đề xuất hỗ trợ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, doanh nghiệp có thể gửi Justix danh mục hệ thống, biểu mẫu đang dùng, hợp đồng với bên xử lý và hồ sơ đã nộp nếu có. Luật sư Justix hỗ trợ xác định tài liệu thiếu, rà soát pháp lý, soạn hồ sơ và phối hợp giải trình trong phạm vi thỏa thuận. Hotline: 0372717888 hoặc 0878853686.