Quá hạn nộp hồ sơ đánh giá tác động: doanh nghiệp cần làm gì?

Quá hạn nộp hồ sơ đánh giá tác động: doanh nghiệp cần làm gì?

Tóm tắt: Khi phát hiện hồ sơ đánh giá tác động có thể đã quá hạn, doanh nghiệp cần xác minh nghĩa vụ và mốc thời gian, hoàn thiện hồ sơ đúng thực tế, đồng thời đánh giá rủi ro xử phạt. Nộp muộn không tự làm mất trách nhiệm đối với phần chậm thực hiện.

Doanh nghiệp phát hiện quá hạn cần kiểm tra ngay mình có nghĩa vụ nộp hay không, quá mốc nào và hồ sơ đang ở trạng thái nào, sau đó tổ chức hoàn thiện, gửi đúng thủ tục. Với hồ sơ xử lý, việc không gửi trong 60 ngày thuộc hành vi được quy định tại điểm b khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP; mức phạt cho tổ chức ở khoản này là từ 20 đến 30 triệu đồng. Tuy nhiên, phải đối chiếu vai trò, trường hợp miễn, chuyển tiếp và thời điểm vi phạm trước khi áp dụng. Việc chủ động nộp muộn không bảo đảm được miễn phạt, cũng không hợp pháp hóa hoạt động xử lý đang thiếu căn cứ.

Trước hết, xác định đang quá hạn việc gì

Một doanh nghiệp có thể đang thiếu hồ sơ lần đầu, đã gửi nhưng chưa hoàn thiện theo yêu cầu, hoặc đã có hồ sơ nhưng chậm cập nhật. Ba trạng thái này đòi hỏi những bộ tài liệu và mốc theo dõi khác nhau. Không nên gom tất cả thành “nộp bổ sung” rồi dùng một ngày hạn chung.

Khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu trữ, gửi một bản chính hồ sơ trong thời gian 60 ngày kể từ ngày đầu tiên xử lý, trừ trường hợp luật định. Với bên xử lý, cần đọc khoản 3 Điều 21 cùng Điều 19 Nghị định 356 để xác định nghĩa vụ theo vai trò và thỏa thuận. Cơ chế miễn hoặc lựa chọn không thực hiện phải được kiểm tra theo Điều 38 Luật và Điều 41 Nghị định. Điều 21, Điều 38 Luật; Điều 19, Điều 41 Nghị định 356.

Doanh nghiệp nên rà soát hồ sơ nhân sự, biểu mẫu khách hàng, hệ thống đang dùng và lịch sử vận hành để xác định ngày đầu xử lý. Ngày bắt đầu lập báo cáo, thuê tư vấn, phát hiện thiếu sót hoặc có doanh thu không tự thay thế ngày này. Chỉ có ít nhân viên cũng chưa đủ để kết luận được miễn; cần đúng tư cách và điều kiện áp dụng. Có thể đối chiếu bài xác định doanh nghiệp phải lập hồ sơ đánh giá tác động.

Nếu hoạt động bắt đầu từ trước 2026, cần xem lịch sử nghĩa vụ và khoản 2 Điều 39 Luật, đặc biệt tình trạng tiếp nhận của hồ sơ theo Nghị định 13. Không tự cấp một thời hạn 60 ngày mới kể từ 01/01/2026 hoặc từ ngày doanh nghiệp tìm lại được hồ sơ. Với hoạt động chuyển xuyên biên giới, phải xác định riêng nghĩa vụ, ngoại lệ và mốc gửi của hồ sơ chuyển. Điều 20, Điều 39 Luật.

Cần phân biệt ba trạng thái hồ sơ

Trường hợp chưa rõ đã gửi hay được tiếp nhận, cần truy tìm chứng từ và xác nhận trạng thái. Việc thiếu chứng cứ chưa đủ để kết luận chắc chắn chưa từng nộp; đồng thời cũng chưa đủ để ghi nhận đã hoàn thành. Đầu mối phải tiếp tục xác minh và ghi rõ phần đang thiếu trong kế hoạch xử lý.

Quá 60 ngày có thể bị phạt bao nhiêu?

Điểm b khoản 1 Điều 55 Nghị định 330 quy định hành vi không gửi bản chính hồ sơ đánh giá tác động xử lý trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý. Khoản 1 quy định mức từ 20 đến 30 triệu đồng. Theo khoản 1 Điều 7, mức tiền trong Mục 6 Chương II về bảo vệ dữ liệu cá nhân áp dụng cho tổ chức; cá nhân cùng hành vi bằng một nửa. Điều 7 và Điều 55 Nghị định 330/2026/NĐ-CP.

Với cá nhân có cùng hành vi thuộc khoản 1, khung tương ứng là từ 10 đến 15 triệu đồng; thuộc khoản 2 là từ 25 đến 50 triệu đồng theo nguyên tắc tại Điều 7. Mức cụ thể trong một vụ việc do người có thẩm quyền xác định theo quy định và tình tiết áp dụng. Không cộng cơ học các dòng của bảng chỉ vì doanh nghiệp đang thiếu nhiều tài liệu; phải xác định hành vi, căn cứ và nguyên tắc xử phạt cho vụ việc cụ thể.

Khoản 3 Điều 55 còn quy định biện pháp buộc lập, hoàn thiện và nộp hồ sơ, cung cấp minh chứng đối với hành vi tại khoản 1. Riêng điểm b khoản 3 quy định buộc dừng xử lý cho đến khi hoàn thành nghĩa vụ nộp và được xác nhận đối với hành vi tại điểm a khoản 1. Cần giữ đúng phạm vi này, không nói mọi trường hợp chậm gửi theo điểm b đều tự động bị áp dụng biện pháp dừng như nhau. Khoản 3 Điều 55 Nghị định 330.

Nếu còn có hành vi không nộp hồ sơ chuyển xuyên biên giới trong hạn, điểm b khoản 1 Điều 56 quy định khung từ 30 đến 50 triệu đồng đối với tổ chức. Đây là hành vi của loại hồ sơ khác; cần kiểm tra luồng, ngoại lệ và tình tiết trước khi kết luận, không lấy mức phạt hồ sơ xử lý thay cho hồ sơ chuyển.

Vi phạm từ trước ngày 19/08/2026 thì áp dụng thế nào?

Nghị định 330 có hiệu lực từ 19/08/2026 theo Điều 80. Điều 81 có quy định chuyển tiếp đối với hành vi xảy ra trước ngày hiệu lực mà sau đó mới phát hiện hoặc đang được xem xét, giải quyết: đối chiếu văn bản xử phạt có hiệu lực tại thời điểm thực hiện; trường hợp Nghị định 330 không quy định trách nhiệm hoặc quy định nhẹ hơn thì áp dụng theo điều khoản đó. Điều 80, khoản 1 Điều 81 Nghị định 330.

Do đó, không thể chỉ lấy ngày bắt đầu xử lý dữ liệu trước 19/08/2026 rồi kết luận chắc chắn không áp dụng Nghị định 330. Cần xem hành vi nào đang được đánh giá, đã kết thúc hay còn đang thực hiện và chứng cứ về thời điểm tương ứng. Điều 3 Nghị định 330 quy định về thời điểm thực hiện xong nghĩa vụ hoặc hành vi thực tế kết thúc được cơ quan có thẩm quyền xác nhận, cùng việc xác định theo hồ sơ, tài liệu và tình tiết cụ thể. Đây là phần cần rà soát riêng khi đánh giá trách nhiệm, không suy đoán từ một ngày duy nhất.

Tương tự, không nên chờ “đủ một năm” với suy nghĩ trách nhiệm tự biến mất. Thời hiệu và cách tính phải đối chiếu Điều 3 cùng quy định xử lý vi phạm hành chính có liên quan; việc nghĩa vụ chưa thực hiện xong ảnh hưởng đến cách xác định thời điểm. Doanh nghiệp cần khắc phục và giữ chứng cứ thực tế, thay vì dùng thời gian chờ đợi làm phương án xử lý.

Kế hoạch hoàn thiện hồ sơ quá hạn

Kế hoạch dưới đây là cách tổ chức nội bộ được khuyến nghị, không phải thời gian gia hạn do pháp luật cho phép. Mốc công việc phải được điều chỉnh theo tình trạng hồ sơ, số hệ thống và yêu cầu của cơ quan có thẩm quyền nếu đã có. Việc thiếu thông tin cần được giao xử lý cụ thể, không dùng lý do “đang rà soát” để trì hoãn vô thời hạn.

Khi rà luồng rủi ro, cần phân biệt dữ liệu còn phải giữ theo căn cứ pháp luật với dữ liệu có thể xóa hoặc hạn chế sử dụng. Việc khắc phục thiếu hồ sơ không đồng nghĩa xóa toàn bộ chứng cứ, hợp đồng hoặc nhật ký. Nếu đã có yêu cầu dừng, bảo toàn hoặc cung cấp tài liệu từ người có thẩm quyền, phải xử lý đúng nội dung và phạm vi yêu cầu đó.

Ví dụ xử lý khi phát hiện thiếu hồ sơ trong tháng 10/2026

Tình huống giả định: Công ty A bắt đầu xử lý dữ liệu cho hoạt động kinh doanh ngày 01/07/2026. Qua kiểm tra ngày 15/10/2026, A được xác định thuộc diện phải lập, gửi hồ sơ; không có căn cứ miễn, không có hồ sơ chuyển tiếp và chưa từng gửi hồ sơ xử lý. Tại thời điểm phát hiện, hoạt động đã vượt 60 ngày.

Người đại diện trước hết giao đầu mối xác nhận các dữ kiện này bằng tài liệu vận hành, hợp đồng và hệ thống. Pháp chế lập danh mục bộ hồ sơ còn thiếu theo Điều 19 Nghị định 356; kỹ thuật và các bộ phận xác nhận luồng thực tế, thay vì chỉ lấy một mẫu báo cáo chung để ký. Các nguy cơ về truy cập hoặc mục đích sử dụng được xử lý cùng lúc với việc soạn hồ sơ.

A có thể đặt mục tiêu nội bộ hoàn thành kiểm kê ban đầu trong hai ngày và chốt lịch bàn giao dự thảo ngay sau khi đủ thông tin cần thiết. Những mốc này phục vụ điều hành công việc, không làm thay đổi việc đã chậm thực hiện hoặc tạo một thời hạn pháp lý mới. Khi ký và gửi, A dùng ngày thực tế, giữ bản cuối và chứng cứ của từng bước.

Song song, pháp chế đối chiếu điểm b khoản 1 Điều 55 và các hành vi khác thực sự phát sinh. Nếu trước đó A chưa lập, duy trì hồ sơ, cần xem riêng điểm a khoản 1 và biện pháp tại khoản 3; không chỉ đánh giá vấn đề chậm gửi. Việc chủ động hoàn thiện được ghi nhận bằng tài liệu thật, nhưng bài viết không kết luận A chắc chắn được miễn, giảm hoặc bị phạt một mức cụ thể.

Bộ gửi trong trường hợp chưa nộp lần đầu gồm gì?

Với tổ chức phải gửi hồ sơ xử lý lần đầu theo quy định hiện hành, cần đối chiếu thông báo Mẫu số 02a, báo cáo theo Mẫu số 10 và các tài liệu thuộc thành phần hồ sơ; cá nhân dùng thông báo 02b tương ứng. Điều 19 Nghị định 356 quy định báo cáo, hợp đồng hoặc thỏa thuận xử lý, chính sách, quy trình và tài liệu liên quan. Thủ tục số 2 tại Quyết định 778 công bố thêm chi tiết giấy tờ, bản chính, bản sao theo từng thành phần. Điều 19 Nghị định 356; thủ tục số 2 Quyết định 778.

Tuyến tiếp nhận phải được kiểm tra theo quy định phân cấp hiện hành và thủ tục đang công bố. Mục II phần B Phụ lục I.7 Nghị quyết 22 quy định gửi về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính; Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố theo địa bàn, quy mô, lĩnh vực. Không tự gửi vào một địa chỉ cũ chỉ vì xuất hiện trong mẫu tải từ nhiều năm trước. Nghị quyết 22/2026/NQ-CP.

Nếu thực tế hồ sơ đã gửi và đang được yêu cầu hoàn thiện, cần tiếp tục đúng hồ sơ, mã tham chiếu và yêu cầu tương ứng. Nếu là cập nhật hồ sơ đã có, đối chiếu Mẫu số 03a/03b và Điều 20 Nghị định 356. Xác định đúng trạng thái giúp tránh tạo một hồ sơ mới trùng lặp nhưng vẫn chưa giải quyết phần nghĩa vụ còn thiếu.

Những việc cần tránh khi khắc phục

Không ghi lùi ngày ký để tạo cảm giác đã hoàn thành đúng hạn. Không khai “không có dữ liệu nhạy cảm”, “không có bên xử lý” hoặc “không chuyển dữ liệu” khi chưa kiểm tra. Hồ sơ thiếu thông tin cần được xác minh; cố tình làm giả số liệu hoặc cung cấp sai lệch có thể đặt ra trách nhiệm theo khoản 2 Điều 55, tách với phần chậm nộp ban đầu.

Cũng không nên chờ một cuộc thanh tra mới bắt đầu tổ chức hồ sơ, hoặc coi khoản phí tư vấn là khoản thanh toán bảo đảm tránh phạt. Doanh nghiệp cần quản lý bằng công việc và chứng cứ: đã xác minh gì, đã sửa gì, gửi ngày nào và còn yêu cầu nào chưa thực hiện. Một báo cáo viết hay nhưng khác cách hệ thống đang vận hành vẫn không giải quyết được vấn đề tuân thủ.

Câu hỏi thường gặp

Chủ động nộp muộn có được miễn phạt không?

Không có căn cứ để cam kết miễn phạt chỉ từ việc tự nộp muộn. Việc khắc phục, hành vi và các tình tiết phải được cơ quan có thẩm quyền xem xét theo quy định. Doanh nghiệp nên hoàn thiện sớm và lưu chứng cứ trung thực, không dựa vào lời bảo đảm chắc chắn của bên làm dịch vụ.

Hồ sơ trễ một ngày có mặc nhiên bị phạt 30 triệu đồng?

Không thể lấy mức trên của khung để gán tự động cho mọi trường hợp. Cần xác định đầy đủ nghĩa vụ, hành vi, chủ thể, thời điểm và tình tiết của vụ việc. Khung tại điểm b khoản 1 Điều 55 đối với tổ chức là từ 20 đến 30 triệu đồng, không phải biểu phí tính theo ngày chậm.

Chỉ mới có dữ liệu nhân viên thì có thể chưa phát sinh nghĩa vụ không?

Cần kiểm tra vai trò, điều kiện miễn và loại dữ liệu thực tế. Không có khách hàng chưa đủ chứng minh không xử lý dữ liệu; hồ sơ tuyển dụng, lương, định danh hoặc chấm công cũng cần được xem xét. Kết luận phải dựa trên điều kiện cụ thể của doanh nghiệp.

Đã gửi nhưng cơ quan yêu cầu sửa thì có tính lại 60 ngày không?

Không tự bắt đầu lại mốc 60 ngày mỗi lần bổ sung. Phải theo dõi ngày gửi lần đầu, tình trạng tiếp nhận và yêu cầu hoàn thiện. Thời hạn hoàn thiện theo thủ tục áp dụng là một mốc khác, không thay cho hạn gửi ban đầu.

Justix hỗ trợ rà soát và hoàn thiện hồ sơ quá hạn

Doanh nghiệp có thể chuẩn bị ngày bắt đầu hoạt động, danh mục hệ thống, hồ sơ đã có và các thông báo của cơ quan để Justix rà soát trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Phạm vi công việc có thể gồm xác định nghĩa vụ, hoàn thiện tài liệu và hỗ trợ thủ tục theo thỏa thuận. Liên hệ qua trang liên hệ Justix; việc đánh giá rủi ro cần hồ sơ thực tế, không thể cam kết kết quả xử phạt trước.