Nhiều công ty, chi nhánh, phần mềm: cần lập bao nhiêu hồ sơ dữ liệu?

Nhiều công ty, chi nhánh, phần mềm: cần lập bao nhiêu hồ sơ dữ liệu?

Số phần mềm hoặc địa điểm hoạt động không quyết định số hồ sơ đánh giá tác động. Cần xác định từng chủ thể, vai trò xử lý và phạm vi hoạt động trước khi lập hoặc cập nhật hồ sơ.

Doanh nghiệp không xác định số hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bằng cách đếm phần mềm, chi nhánh hoặc phòng ban. Khoản 2 Điều 21 Luật 91/2025/QH15 quy định đánh giá một lần trong suốt thời gian hoạt động của bên kiểm soát, bên kiểm soát và xử lý, kèm nghĩa vụ cập nhật. Với nhóm có nhiều công ty độc lập, phải xác định vai trò và nghĩa vụ của từng công ty; việc dùng chung thương hiệu hoặc hệ thống không tự tạo thành một chủ thể duy nhất. Chi nhánh phụ thuộc và đơn vị xử lý thuê ngoài cần được xem xét theo tư cách, sự phân công và luồng dữ liệu thực tế.

Cần đếm chủ thể chịu nghĩa vụ trước khi đếm hệ thống

Một doanh nghiệp có thể dùng phần mềm nhân sự, kế toán, quản lý khách hàng, bán hàng và thư điện tử để thực hiện nhiều công việc khác nhau. Phần mềm là công cụ; bên quyết định mục đích, phương tiện hoặc trực tiếp xử lý mới là đối tượng cần xác định theo khoản 7–9 Điều 2 Luật Bảo vệ dữ liệu cá nhân. Bởi vậy, năm ứng dụng không đương nhiên dẫn đến năm hồ sơ đánh giá tác động xử lý.

Khoản 2 Điều 21 Luật quy định đánh giá một lần cho suốt thời gian hoạt động của bên kiểm soát, bên kiểm soát và xử lý, rồi cập nhật theo Điều 22. Cách áp dụng là xây dựng hồ sơ phản ánh đầy đủ hoạt động của đúng chủ thể, thay vì làm lại từ đầu mỗi khi mua công cụ mới. Hồ sơ phải bao quát cả việc xử lý ngoài phần mềm như biểu mẫu giấy, bản xuất dữ liệu, hồ sơ lưu tại chi nhánh và trao đổi theo nghiệp vụ.

Đây là quy định riêng cho đánh giá tác động xử lý. Một doanh nghiệp vẫn có thể đồng thời phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20. Vì vậy, câu trả lời “một hồ sơ” cần nêu rõ đang nói đến loại hồ sơ nào, của ai và trên những giả định nào.

Nhiều công ty cùng chủ sở hữu có được gộp thành một bên không

Công ty trách nhiệm hữu hạn A và công ty cổ phần B có thể chung chủ sở hữu, người quản lý hoặc nhãn hiệu nhưng vẫn là các chủ thể có tư cách riêng. Cần kiểm tra hồ sơ pháp lý của từng đơn vị, rồi xác định ai quyết định việc tuyển dụng, sử dụng khách hàng, lựa chọn nhà cung cấp và thời gian lưu dữ liệu. Nếu mỗi công ty tự quyết định mục đích, phương tiện và trực tiếp xử lý thì phải xét nghĩa vụ của từng bên theo Điều 21 Luật.

Một phòng pháp chế tập đoàn có thể điều phối chung, soạn bộ quy trình mẫu hoặc làm đầu mối với nhà cung cấp. Tuy nhiên, việc tập trung nhân sự thực hiện không tự làm hồ sơ của công ty mẹ trở thành hồ sơ của mọi công ty con. Tên bên kê khai, hoạt động được mô tả, người ký và bằng chứng đã gửi phải khớp với chủ thể thực sự được lập hồ sơ.

Điều này không có nghĩa mọi giao dịch giữa các công ty đều có cùng cách phân vai. Một công ty có thể chỉ tính lương theo yêu cầu của công ty khác qua hợp đồng; ở hoạt động khác, công ty đó lại tự quyết định mục đích sử dụng dữ liệu. Có thể xem thêm bài chia sẻ dữ liệu giữa các công ty trong cùng tập đoàn để làm rõ căn cứ và trách nhiệm trong từng luồng.

Chi nhánh có nhất thiết phải lập một bộ riêng không

Khoản 1 Điều 84 Bộ luật Dân sự số 91/2015/QH13 xác định chi nhánh, văn phòng đại diện là đơn vị phụ thuộc, không phải pháp nhân. Khoản 2 và khoản 6 Điều này tiếp tục quy định chức năng của chi nhánh và quyền, nghĩa vụ dân sự của pháp nhân phát sinh từ giao dịch do chi nhánh xác lập, thực hiện. Vì vậy, không thể chỉ nhìn thấy một chi nhánh hoặc mã đơn vị phụ thuộc rồi coi đó là một công ty độc lập để nhân số hồ sơ.

Với chi nhánh thực hiện công việc theo mục đích, hệ thống và phân công của cùng công ty, cần đưa hoạt động của chi nhánh vào phạm vi hồ sơ của công ty, làm rõ điểm thu thập, người truy cập, nơi lưu và luồng chuyển về trụ sở. Mẫu số 10 tại Phụ lục Nghị định 356/2025/NĐ-CP, Phần A mục I, có trường về số lượng chi nhánh, văn phòng đại diện; mục II yêu cầu mô tả hoạt động và luồng theo vai trò. Đây là cơ sở để kê khai đầy đủ phạm vi tổ chức, không phải bỏ qua mọi dữ liệu tại đơn vị phụ thuộc.

Nếu chi nhánh có sự phân quyền rộng, hệ thống riêng hoặc ký hợp đồng xử lý cho chủ thể khác, phải kiểm tra thêm hoạt động và tư cách tham gia cụ thể. Kết luận về số hồ sơ phải dựa vào chủ thể đứng ra thực hiện, vai trò và sự ủy quyền, không chỉ dựa vào dòng chữ “hạch toán độc lập” hoặc địa chỉ đặt máy chủ. Bài viết này tập trung vào chi nhánh của doanh nghiệp trong nước; không suy cơ chế trên thành kết luận chung cho mọi hiện diện của thương nhân nước ngoài.

Một hệ thống dùng chung vẫn cần làm rõ từng công ty

Hai công ty sử dụng cùng một phần mềm quản lý khách hàng không có nghĩa mọi nhân viên của cả hai được xem toàn bộ dữ liệu. Cần biết khách giao dịch với công ty nào, ai chịu trách nhiệm phản hồi quyền, ai cho phép chia sẻ và nhân viên được xem dữ liệu vì công việc gì. Những thông tin đó ảnh hưởng cả phân vai pháp lý và cấu hình hệ thống.

Ví dụ, tài khoản quản trị do công ty mẹ thanh toán không tự chứng minh công ty mẹ là bên kiểm soát duy nhất. Ngược lại, mỗi công ty có tài khoản riêng cũng không chứng minh dữ liệu đã được tách hoàn toàn nếu quản trị viên vẫn xem hoặc xuất được dữ liệu của mọi đơn vị. Hồ sơ nên mô tả cả quyền truy cập thực tế và luồng chuyển giữa các công ty, thay vì chỉ ghi tên gói phần mềm.

Đối với từng đơn vị, điều kiện được miễn hoặc lựa chọn không thực hiện tại Điều 38 Luật, Điều 41 Nghị định 356 phải được kiểm tra riêng theo đối tượng và hoạt động. Không lấy kết luận công ty A được miễn để áp cho công ty B. Bài doanh nghiệp nào phải lập hồ sơ đánh giá tác động trình bày nền tảng xác định nghĩa vụ trước khi xác định số lượng.

Sơ đồ pháp nhân chi nhánh và hoạt động trong một tình huống giả định

Giả định một nhóm có hai công ty trách nhiệm hữu hạn A và B. A có hai chi nhánh tại Hà Nội và Thành phố Hồ Chí Minh; chi nhánh thực hiện bán hàng theo mục đích, quyền hạn A giao. B có hoạt động bán hàng và quản lý người lao động riêng. Cả A và B đều quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu; giả định không được miễn, không thuộc cơ chế lựa chọn và chưa có hồ sơ chuyển tiếp. Hai công ty dùng chung một nền tảng quản lý khách hàng, còn dữ liệu nhân sự được quản lý theo từng công ty.

Sơ đồ phạm vi trong tình huống A và B

Sơ đồ thể hiện hai phạm vi hồ sơ xử lý cần xác định cho A và B; hai chi nhánh được khảo sát trong phạm vi A theo giả định. Nền tảng dùng chung là nơi thực hiện hoạt động, không phải chủ thể thứ ba để tự cộng thêm một hồ sơ. Nếu có nhà cung cấp bên ngoài vận hành nền tảng, phải nhận diện vai trò và nghĩa vụ của nhà cung cấp riêng; sơ đồ không kết luận thay cho bên đó.

Trong tình huống này, A xây dựng hồ sơ xử lý bao gồm trụ sở, hai chi nhánh, luồng khách hàng và nhân sự thuộc A. B xây dựng hồ sơ xử lý phản ánh hoạt động thuộc B. Phần tài liệu chung về nền tảng có thể sử dụng làm đầu vào cho cả hai, nhưng thông tin về chủ thể, mục đích, truy cập, hợp đồng và trách nhiệm phải khớp với mỗi công ty.

Kết quả là hai phạm vi hồ sơ xử lý của hai công ty, trên các giả định đã nêu; không phải một bộ cho thương hiệu, cũng không phải một bộ cho mỗi chi nhánh hay mỗi ứng dụng. Nghĩa vụ hồ sơ chuyển xuyên biên giới, nếu phát sinh, được kiểm tra tiếp theo luồng cụ thể.

Bảng kiểm kê để xác định phạm vi trước khi báo số hồ sơ

Doanh nghiệp có thể dùng bảng dưới đây trong buổi làm việc giữa pháp chế, nhân sự, kinh doanh và kỹ thuật. Nội dung đã điền theo tình huống giả định, giúp kiểm tra cách xác định phạm vi; đây là công cụ nội bộ, không phải mẫu kê khai bắt buộc.

Khi áp dụng cho doanh nghiệp thật, nên thêm mã hoạt động và mã đơn vị để đối chiếu tài liệu. Một danh mục hệ thống dùng chung sẽ hữu ích nếu mỗi hệ thống được gắn với đúng công ty, loại dữ liệu, người dùng và bên nhận. Danh sách chỉ ghi tên sản phẩm thường chưa đủ để kết luận số hồ sơ hoặc báo phạm vi dịch vụ.

Thêm phần mềm hoặc mở chi nhánh thì làm mới hay cập nhật

Nguyên tắc một lần kèm cập nhật tại khoản 2 Điều 21 không cho phép giữ nguyên hồ sơ khi hoạt động đã thay đổi. Công ty triển khai thêm ứng dụng cần kiểm tra dữ liệu mới, mục đích mới, bên xử lý mới, vị trí lưu và quyền truy cập. Một công cụ thay thế ứng dụng cũ cũng có thể làm thay đổi bên nhận hoặc luồng xuyên biên giới.

Điều 22 Luật và Điều 20 Nghị định 356/2025/NĐ-CP phân biệt cập nhật định kỳ với trường hợp phải cập nhật ngay. Theo khoản 1 Điều 20 Nghị định, việc phát sinh mục đích mới hoặc phát sinh, thay đổi các bên thuộc diện cập nhật định kỳ 06 tháng kể từ lần đầu nộp. Các trường hợp tại khoản 2, gồm tổ chức lại, thay đổi thông tin bên cung cấp dịch vụ bảo vệ dữ liệu, hoặc phát sinh, thay đổi ngành nghề, dịch vụ liên quan đã đăng ký trong hồ sơ, phải cập nhật ngay trong 10 ngày.

Do đó, cần phân loại sự kiện thực tế trước khi chọn thời điểm. Không coi mọi lần mua phần mềm đều là sự kiện tổ chức lại, cũng không mặc định mọi thay đổi được chờ đến kỳ 06 tháng. Việc sửa phân quyền hoặc khắc phục thiếu sót vận hành cần được xử lý phù hợp ngay khi phát hiện; lịch cập nhật hồ sơ không phải lý do trì hoãn biện pháp bảo vệ cần thiết.

Nếu thành lập công ty mới, phải đánh giá nghĩa vụ của chủ thể mới từ hoạt động của họ. Nếu sáp nhập, chia, tách hoặc chuyển giao hoạt động, cần xác định chủ thể sau giao dịch, dữ liệu được tiếp nhận, căn cứ xử lý tiếp và việc cập nhật. Không đơn giản đổi tên trong bản Word rồi coi mọi nghĩa vụ đã hoàn tất.

Cách triển khai để hồ sơ bao quát đủ hoạt động

Pháp chế nên thu giấy tờ của các công ty, chi nhánh, văn bản phân quyền và hồ sơ đã nộp để dựng sơ đồ tổ chức pháp lý. Sau đó, người phụ trách từng nghiệp vụ xác nhận ai là bên tuyển dụng, giao kết với khách, quyết định mục đích sử dụng và thời gian lưu. Đầu ra của bước này là danh sách chủ thể và bảng phân vai, có căn cứ kiểm tra.

Bộ phận kỹ thuật tiếp tục ghép danh mục hệ thống vào từng hoạt động, xác định nơi lưu, quyền truy cập, kết nối và nhà cung cấp. Phần khảo sát phải tính cả tệp xuất ra, email, tài liệu giấy và bản sao lưu có liên quan. Nhờ đó, người lập hồ sơ nhận ra những luồng bị bỏ ngoài sơ đồ phần mềm, như chi nhánh gửi bảng khách hàng cho một công ty cùng nhóm.

Đầu mối hồ sơ đối chiếu các thông tin trên để lập danh mục bộ cần thực hiện: hồ sơ xử lý của từng chủ thể thuộc diện áp dụng, phần việc của bên xử lý theo hợp đồng và hồ sơ chuyển xuyên biên giới nếu có. Thời điểm bắt đầu, miễn và chuyển tiếp phải được kiểm tra trước khi chốt. Bản kế hoạch cuối cùng cần ghi người ký, đầu mối cung cấp thông tin, việc nộp, nơi lưu và người theo dõi cập nhật.

Câu hỏi thường gặp

Có phải lập lại hồ sơ xử lý dữ liệu hằng năm không

Khoản 2 Điều 21 quy định đánh giá một lần cho suốt thời gian hoạt động của bên kiểm soát, bên kiểm soát và xử lý, kèm cập nhật. Không có cơ chế làm lại toàn bộ hằng năm chỉ vì sang năm mới. Tuy nhiên, phải theo dõi thay đổi và thực hiện cập nhật theo Điều 22 Luật, Điều 20 Nghị định 356; hồ sơ cũ chỉ được tiếp tục dùng theo điều kiện chuyển tiếp nếu đáp ứng khoản 2 Điều 39 Luật.

Thuê một đơn vị tư vấn chung cho tập đoàn có được không

Có thể thống nhất đầu mối khảo sát và sử dụng tài liệu chung để giảm công việc lặp. Đề xuất dịch vụ vẫn cần xác định những công ty nào được lập hồ sơ, vai trò nào được đánh giá, bao nhiêu loại hồ sơ và phạm vi hỗ trợ nộp. Hợp đồng tư vấn chung không tự gộp các chủ thể chịu nghĩa vụ thành một.

Một hồ sơ xử lý đã mô tả máy chủ nước ngoài thì có cần hồ sơ chuyển nữa không

Phải kiểm tra riêng Điều 20 Luật và ngoại lệ tương ứng. Mô tả máy chủ trong hồ sơ xử lý không tự hoàn thành hồ sơ chuyển xuyên biên giới. Bài phân biệt hồ sơ xử lý và hồ sơ chuyển dữ liệu cá nhân giúp xác định phần thông tin có thể dùng lại và phần đánh giá cần bổ sung.

Justix hỗ trợ xác định phạm vi hồ sơ của nhóm doanh nghiệp

Khi chưa rõ cần lập hồ sơ cho công ty mẹ, công ty con hay phạm vi chi nhánh, doanh nghiệp có thể sử dụng dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Justix. Luật sư có thể rà soát chủ thể, vai trò, điều kiện áp dụng và phối hợp với đầu mối nghiệp vụ, kỹ thuật để xác định phạm vi trước khi soạn hồ sơ.

Nên chuẩn bị sơ đồ nhóm công ty, danh sách chi nhánh, hệ thống đang dùng, hợp đồng nhà cung cấp và hồ sơ đã gửi. Có thể cung cấp mô tả hoặc mẫu đã che dữ liệu ở bước trao đổi ban đầu. Liên hệ Công ty Luật TNHH Justix qua 0372 717 888 hoặc legal@justix.vn để thống nhất phạm vi công việc.