Hồ sơ đánh giá tác động xử lý và chuyển dữ liệu cá nhân khác nhau thế nào?

Hồ sơ đánh giá tác động xử lý và chuyển dữ liệu cá nhân khác nhau thế nào?

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân xem xét rủi ro trong hoạt động xử lý của doanh nghiệp. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới tập trung vào việc chuyển và xử lý dữ liệu ở bên nhận nước ngoài. Một doanh nghiệp có thể phải lập cả hai nếu đồng thời thuộc phạm vi áp dụng; nộp một loại chưa hoàn thành nghĩa vụ của loại còn lại. Hai nghĩa vụ được quy định tại Điều 20, Điều 21 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Hai loại hồ sơ khác nhau ở nội dung nào?

Bảng dưới áp dụng sau khi kiểm tra ngoại lệ, chuyển tiếp. “Hồ sơ xử lý” và “hồ sơ chuyển” là cách gọi gọn hai hồ sơ nêu trên.

Thành phần, nội dung và mẫu báo cáo được quy định tại khoản 2–4 Điều 18, Điều 19 và Phụ lục Nghị định 356/2025/NĐ-CP. Cá nhân sử dụng thông báo tương ứng Mẫu số 01b hoặc 02b. Các thông báo gửi hồ sơ không thay thế báo cáo đánh giá tác động và tài liệu kèm theo.

Khi nào doanh nghiệp phải lập cả hai hồ sơ?

Theo khoản 7, khoản 9 Điều 2 Luật 91/2025/QH15, bên quyết định mục đích, phương tiện là bên kiểm soát; nếu trực tiếp xử lý thì là bên kiểm soát và xử lý. Hai nhóm đối chiếu khoản 1 Điều 21. Bên xử lý theo hợp đồng cần đọc khoản 3 Điều 21 cùng Điều 19 Nghị định 356 về lập, lưu giữ và nộp hồ sơ; hồ sơ của khách hàng không tự thay thế nghĩa vụ của mình.

Tiếp theo, đối chiếu hoạt động với khoản 1 Điều 20 Luật và khoản 1 Điều 17 Nghị định 356. Các trường hợp gồm chuyển dữ liệu đến hệ thống lưu trữ ngoài Việt Nam, chuyển cho bên nhận nước ngoài hoặc sử dụng nền tảng ngoài Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Cần xem cả lưu trữ, đồng bộ, tiếp nhận và xử lý tiếp theo.

Ví dụ minh họa: doanh nghiệp thu thông tin để bán hàng rồi chuyển cho đối tác nước ngoài chăm sóc khách. Nếu không có căn cứ miễn, phải xem xét cả hai hồ sơ. Hồ sơ xử lý giải thích hoạt động bán hàng, chăm sóc khách; hồ sơ chuyển làm rõ bên nhận, luồng chuyển và bảo vệ sau tiếp nhận.

Được miễn một hồ sơ có được miễn hồ sơ còn lại không?

Phải kiểm tra điều kiện của từng nghĩa vụ. Khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định 356 quy định ngoại lệ cho đánh giá tác động chuyển dữ liệu. Chẳng hạn, tổ chức lưu dữ liệu người lao động của mình trên đám mây thuộc ngoại lệ tại điểm b khoản 6 Điều 20, nhưng vẫn cần xem xét nghĩa vụ đánh giá tác động xử lý dữ liệu.

Theo khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp nhỏ, khởi nghiệp có quyền lựa chọn đối với Điều 21, Điều 22 và khoản 2 Điều 33 trong 5 năm từ 01/01/2026; hộ kinh doanh, doanh nghiệp siêu nhỏ có cơ chế không phải thực hiện các quy định đó. Cả hai cơ chế đều loại trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt từ 100.000 chủ thể theo tổng lượng dữ liệu đã xử lý tích lũy.

Phạm vi trên không bao gồm Điều 20. Vì vậy, nếu doanh nghiệp đủ điều kiện không thực hiện hồ sơ xử lý thì vẫn phải kiểm tra riêng nghĩa vụ lập hồ sơ chuyển xuyên biên giới. Quy mô doanh nghiệp cần được xác định theo tiêu chí pháp luật áp dụng; số nhân viên ít chưa đủ để kết luận được miễn.

Có thể dùng chung tài liệu để chuẩn bị hai hồ sơ không?

Doanh nghiệp có thể dùng chung thông tin pháp nhân, danh mục dữ liệu, hợp đồng, chính sách và mô tả hệ thống nếu các tài liệu đó phù hợp với cả hai hoạt động. Tuy nhiên, báo cáo phải giải thích đúng đối tượng đánh giá theo khoản 3 Điều 18 và khoản 3 Điều 19 Nghị định 356.

Nên xây dựng một danh mục hoạt động làm nguồn thông tin chung, rồi đánh dấu những hoạt động có luồng xuyên biên giới. Với mỗi luồng, bổ sung bên nhận, quốc gia, mục đích chuyển, hệ thống tiếp nhận, bên nhận tiếp theo và biện pháp giảm rủi ro. Cách chuẩn bị này giúp tránh tình trạng hai hồ sơ ghi khác nhau về cùng nhà cung cấp hoặc thời gian lưu.

Cần đối chiếu tình trạng ký, ban hành của hợp đồng, chính sách trước khi kê khai việc áp dụng. Có thể tham khảo thêm thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để phân công chuẩn bị.

Thời hạn và nơi nộp hai hồ sơ có giống nhau không?

Cả hai có mốc 60 ngày nhưng tính từ hai sự kiện khác nhau, theo khoản 2 Điều 20 và khoản 1 Điều 21 Luật. Ví dụ minh họa: doanh nghiệp xử lý dữ liệu trong nước trước, vài tháng sau mới chuyển ra nước ngoài. Lần chuyển không làm lùi thời hạn hồ sơ xử lý. Nếu đã quá hạn, cần xử lý nghĩa vụ còn thiếu, giữ đúng ngày bắt đầu thực tế.

Theo mục I, II phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP, hồ sơ được nộp qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc qua bưu chính về Bộ Công an. Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Doanh nghiệp cần lưu hồ sơ đã gửi và bằng chứng tiếp nhận riêng cho từng thủ tục.

Có phải lập lại hồ sơ mỗi năm hoặc khi đổi nhà cung cấp?

Khoản 3 Điều 20 quy định đánh giá chuyển dữ liệu một lần cho suốt thời gian hoạt động, kèm cập nhật. Khoản 2 Điều 21 quy định tương tự đối với đánh giá xử lý của bên kiểm soát, bên kiểm soát và xử lý. Điều 22 Luật và Điều 20 Nghị định 356/2025/NĐ-CP quy định cập nhật định kỳ 6 tháng khi có thay đổi thuộc diện áp dụng; các trường hợp tại khoản 2 Điều 20 Nghị định, như tổ chức lại, phải cập nhật ngay trong 10 ngày.

Với hồ sơ theo Nghị định 13 đã được tiếp nhận trước 01/01/2026, khoản 2 Điều 39 Luật cho phép tiếp tục sử dụng; cập nhật theo quy định hiện hành. Cần phân biệt hồ sơ đã được tiếp nhận với bản dự thảo chưa gửi. Việc Nghị định 13 hết hiệu lực theo khoản 2 Điều 42 Nghị định 356 không làm mất cơ chế chuyển tiếp này.

Xác định đúng hồ sơ cần làm trước khi thuê dịch vụ

Doanh nghiệp nên chuẩn bị danh sách hệ thống, bên nhận dữ liệu, thời điểm bắt đầu xử lý và hồ sơ đã nộp. Qua dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, luật sư Justix có thể rà soát nghĩa vụ và xác định phần công việc cần thực hiện, gồm cả việc xem xét hồ sơ chuyển xuyên biên giới khi phát sinh. Hotline: 0372717888 hoặc 0878853686.