Kiểm tra bảo vệ dữ liệu cá nhân, doanh nghiệp cần chuẩn bị hồ sơ gì?

Kiểm tra bảo vệ dữ liệu cá nhân, 
doanh nghiệp cần chuẩn bị hồ sơ gì?

Doanh nghiệp cần chuẩn bị tài liệu theo nội dung, phạm vi và yêu cầu cụ thể của quyết định kiểm tra. Thông thường, việc rà soát sẽ liên quan đến hoạt động xử lý thực tế, căn cứ sử dụng dữ liệu, tổ chức phụ trách, hợp đồng, hồ sơ đánh giá tác động và bằng chứng thực hiện quyền của cá nhân. Chỉ tập hợp chính sách và biểu mẫu chưa đủ để giải thích cách doanh nghiệp đang vận hành.

Nên đối chiếu từng yêu cầu với tài liệu hiện có, người cung cấp và điểm còn thiếu; xác định đúng bản đã ký hoặc phiên bản đang sử dụng.

Doanh nghiệp được thông báo trước bao lâu?

Điều 35 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 dẫn chiếu việc kiểm tra theo Luật và quy định của Chính phủ. Khoản 1–3 Điều 31 Nghị định 356/2025/NĐ-CP quy định trường hợp, đối tượng và nội dung kiểm tra, gồm hiện trạng tuân thủ, đánh giá tác động và hoạt động kinh doanh dịch vụ xử lý dữ liệu.

Theo khoản 4 Điều 31, cơ quan chuyên trách ban hành quyết định và thông báo trước 15 ngày về thời gian, nội dung, thành phần đoàn kiểm tra. Trường hợp kiểm tra đột xuất để kịp thời xác minh, phát hiện, ngăn chặn vi phạm, cơ quan chuyên trách có quyền kiểm tra ngay mà không cần thông báo trước. Doanh nghiệp không nên hiểu rằng mọi cuộc kiểm tra đều phải có 15 ngày chuẩn bị.

Giới hạn kiểm tra định kỳ không quá một lần trong năm tại khoản 4 Điều 20 Luật áp dụng đối với kiểm tra chuyển dữ liệu xuyên biên giới trong phạm vi điều khoản đó. Không thể mở rộng thành giới hạn chung cho mọi hoạt động kiểm tra dữ liệu cá nhân.

Nhận quyết định kiểm tra cần phân công thế nào?

Khoản 5 Điều 31 yêu cầu đối tượng kiểm tra chuẩn bị đầy đủ nội dung phù hợp khoản 3 và yêu cầu cụ thể tại quyết định. Doanh nghiệp nên kiểm tra cơ quan ban hành, thời gian, nội dung, đơn vị và hệ thống liên quan; nếu yêu cầu chưa rõ, đầu mối được giao cần trao đổi để làm rõ.

Nên có đầu mối tổng hợp; các phòng ban cung cấp thông tin trong phạm vi quản lý. Người làm việc, ký văn bản hoặc bàn giao hồ sơ phải có thẩm quyền, được phân công hoặc ủy quyền phù hợp.

Nên lập danh mục yêu cầu có các cột tài liệu tương ứng, phiên bản, nơi lưu, người xác nhận và tình trạng. Cách quản lý này là khuyến nghị thực hành để tránh bỏ sót; không thay thế việc chuẩn bị đúng nội dung cơ quan có thẩm quyền yêu cầu.

Những nhóm tài liệu nào nên được tập hợp?

Bảng dưới đây giúp tìm tài liệu theo vấn đề cần chứng minh. Chỉ đưa một nhóm vào hồ sơ làm việc khi liên quan phạm vi kiểm tra và nghĩa vụ thực tế; tài liệu chưa phát sinh phải được giải thích đúng tình trạng.

Các nhóm này gắn với Điều 9, 19–23, 33 và 37 Luật; Điều 5–7, 13–16 Nghị định. Với dữ liệu nhạy cảm, khoản 2 Điều 4 Nghị định yêu cầu quy định giới hạn truy cập, quy trình và biện pháp bảo mật. Doanh nghiệp nên có người giải thích được cách áp dụng, không chỉ xuất trình văn bản đã ban hành.

Hồ sơ đánh giá tác động đã nộp cần kiểm tra lại điều gì?

Trước hết phải phân biệt hồ sơ đánh giá tác động xử lý với hồ sơ chuyển dữ liệu xuyên biên giới theo Điều 20–22 Luật 91/2025/QH15. Cần đối chiếu dữ liệu, mục đích, hệ thống và bên nhận đang hoạt động với nội dung đã lập, đồng thời tập hợp lịch sử bổ sung, cập nhật.

Bằng chứng đã gửi hoặc được tiếp nhận cần được lưu đúng trạng thái; không tự mô tả thành kết quả hồ sơ đạt yêu cầu nếu chưa có căn cứ. Với hồ sơ đã được tiếp nhận trước 01/01/2026 theo Nghị định 13/2023/NĐ-CP, khoản 2 Điều 39 Luật 91/2025/QH15 cho phép tiếp tục sử dụng theo điều kiện chuyển tiếp, còn việc cập nhật thực hiện theo Luật mới.

Nếu doanh nghiệp cho rằng được miễn hoặc áp dụng cơ chế riêng, cần chỉ rõ hoạt động và điều kiện. Ngoại lệ đánh giá tác động chuyển xuyên biên giới tại khoản 6 Điều 20 không đồng nghĩa được miễn mọi nghĩa vụ bảo vệ dữ liệu. Tương tự, khoản 2–3 Điều 38 Luật và Điều 41 Nghị định có phạm vi, điều kiện riêng; không thể viện dẫn chung là “doanh nghiệp nhỏ”.

Làm sao biết chính sách có khớp với hoạt động thực tế?

Tình huống minh họa: chính sách quy định chỉ nhân viên chăm sóc khách hàng được tải thông tin liên hệ, nhưng tài khoản của bộ phận khác vẫn xuất được toàn bộ danh sách. Một yêu cầu xóa đã được trả lời “hoàn thành” trong khi nhà cung cấp chưa xác nhận xử lý bản sao.

Khi rà soát, nên chọn một hoạt động và theo dõi từ lúc thu thập đến sử dụng, chia sẻ, lưu và xóa. Đối chiếu biểu mẫu đã hiển thị, bằng chứng đồng ý, hợp đồng và kết quả thực hiện. Phương pháp kiểm tra theo tình huống này là khuyến nghị quản trị, giúp tìm sự khác biệt giữa quy định nội bộ và thao tác thực tế.

Trong ví dụ, cần xác định quyền nào đang sai, ai được giao điều chỉnh và việc xóa đã thực hiện đến đâu. Không nên chỉ sửa câu chữ trong chính sách để khớp với một hoạt động chưa được đánh giá tính hợp pháp.

Nếu phát hiện thiếu tài liệu thì xử lý thế nào?

Nên phân biệt tài liệu đã tồn tại nhưng chưa tập hợp được, tài liệu chưa đầy đủ và công việc chưa thực hiện. Với mỗi vấn đề, ghi hiện trạng, nguyên nhân, nghĩa vụ liên quan, người phụ trách và kế hoạch khắc phục. Kế hoạch nội bộ không tự thay đổi thời hạn hoặc yêu cầu của cơ quan có thẩm quyền.

Tài liệu lập bổ sung phải phản ánh đúng thời điểm và nội dung. Không ký lùi ngày, tạo bằng chứng đồng ý không có thật hoặc xóa nhật ký để che thiếu sót. Nếu đã phát sinh vi phạm, cần đồng thời đánh giá nghĩa vụ xử lý và thông báo theo Điều 23 Luật, thay vì chỉ đưa vào danh sách công việc sẽ làm sau.

Khi cung cấp dữ liệu phục vụ kiểm tra, doanh nghiệp nên lập danh mục bàn giao và dùng kênh phù hợp với yêu cầu. Điểm i khoản 1, điểm e khoản 2 Điều 37 Luật 91/2025/QH15 quy định trách nhiệm phối hợp, cung cấp thông tin phục vụ điều tra, xử lý vi phạm. Việc kiểm soát người gửi, phiên bản và phạm vi bàn giao giúp bảo vệ dữ liệu, không phải lý do trì hoãn hoặc từ chối yêu cầu hợp pháp.

Cần rà soát tài liệu trước buổi làm việc?

Doanh nghiệp có thể chuẩn bị quyết định kiểm tra, danh mục yêu cầu, hồ sơ hiện có và các vấn đề cần giải thích để trao đổi với luật sư Justix. Dịch vụ tư vấn pháp lý về dữ liệu cá nhân hỗ trợ đối chiếu nghĩa vụ, rà soát tài liệu và chuẩn bị nội dung pháp lý theo phạm vi thống nhất. Hotline: 0372717888 / 0878853686.