Sau khi nộp hồ sơ đánh giá tác động, doanh nghiệp cần lưu và theo dõi gì?

Sau khi nộp hồ sơ đánh giá tác động, doanh nghiệp cần lưu và theo dõi gì?

Sau khi nộp hồ sơ đánh giá tác động, doanh nghiệp cần giữ đúng bộ đã gửi, bằng chứng gửi, thông tin tiếp nhận và toàn bộ phản hồi. Bài viết cung cấp danh mục lưu, bảng trạng thái và lịch theo dõi để quản lý yêu cầu hoàn thiện, thay đổi hoạt động và việc khắc phục còn tồn tại.

Sau khi nộp, doanh nghiệp cần lưu được đúng nội dung đã gửi và chứng minh được hồ sơ đang ở trạng thái nào, đồng thời tiếp tục theo dõi thay đổi trong hoạt động xử lý dữ liệu. Gửi thành công, được tiếp nhận và có kết quả đánh giá là những mốc khác nhau. Một kết quả đạt đối với bộ hồ sơ cũng không thay cho việc thực hiện các biện pháp bảo vệ đã kê khai. Người phụ trách cần quản lý cả tài liệu, phản hồi của cơ quan và công việc vận hành sau nộp.

Nộp xong chưa phải kết thúc trách nhiệm về hồ sơ

Khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu trữ hồ sơ và gửi bản chính theo điều kiện áp dụng. Khoản 2 quy định việc đánh giá được thực hiện một lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22. Đối với bên xử lý, khoản 3 Điều 21 quy định việc lập, lưu theo thỏa thuận với bên kiểm soát, bên kiểm soát và xử lý. Cần xác định đúng vai trò và nghĩa vụ của từng bên, không giao cùng một quy trình gửi cho mọi nhà cung cấp chỉ vì đều tiếp cận dữ liệu. Điều 21 Luật số 91/2025/QH15.

Khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ luôn có sẵn để phục vụ kiểm tra, đánh giá. Khoản 6, khoản 7 của Điều này còn đặt ra việc hoàn thiện hồ sơ chưa đầy đủ, đúng quy định và việc cập nhật, bổ sung. Doanh nghiệp vì thế cần có người giữ bộ hồ sơ chính thức, người nhận phản hồi và người báo thay đổi từ các bộ phận. Điều 19 Nghị định 356.

Việc phân công nên được ghi rõ ngay khi bàn giao hồ sơ. Đầu mối hành chính có thể lưu chứng từ, nhưng pháp chế hoặc người phụ trách dữ liệu cần đọc yêu cầu và xác định việc phải làm; kỹ thuật, nhân sự, kinh doanh xác nhận thay đổi trong phạm vi mình quản lý. Đây là cách tổ chức nội bộ được khuyến nghị, không phải một cơ cấu phòng ban bắt buộc chung.

Danh mục hồ sơ cần giữ để có thể tra lại

Không nên chỉ giữ bản Word cuối cùng trên máy của người soạn. Bản đang được chỉnh sửa có thể khác bản đã ký hoặc bộ thực tế được gửi. Khi lưu, cần nhận diện pháp nhân, loại hồ sơ, lần gửi, ngày, phiên bản và danh sách tài liệu kèm theo. Nếu có cả hồ sơ xử lý và hồ sơ chuyển xuyên biên giới, quản lý tách từng loại và chỉ dẫn quan hệ giữa chúng.

Bảng dưới đây là danh mục quản lý được đề xuất dựa trên nghĩa vụ lập, lưu và cập nhật. Những tài liệu như thông báo, phiếu tiếp nhận hoặc kết quả được lưu nếu thực tế có phát sinh; bảng không đặt thêm một loại chứng nhận bắt buộc cho mọi hồ sơ.

Thành phần pháp lý của bộ hồ sơ được quy định tại khoản 2 Điều 19; nội dung báo cáo tại khoản 3 và Mẫu số 10. Có thể đối chiếu bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì để kiểm tra bộ lưu có thiếu tài liệu được viện dẫn trong báo cáo hay không. Danh mục sau nộp cần giữ đúng bộ thực tế, không tự bổ sung một tài liệu mới rồi trình bày như tài liệu đã gửi từ đầu.

Phân biệt ngày gửi, tiếp nhận và kết quả đánh giá

Một bộ hồ sơ nên có dòng lịch sử theo sự kiện, thay vì chỉ một ô “đã xong”. Người phụ trách ghi ngày, chứng từ và việc tiếp theo ở từng mốc. Nếu thông tin hệ thống chỉ cho thấy đã tạo giao dịch, cần xác định đã hoàn tất gửi hay chưa; nếu có tiếp nhận, tiếp tục theo dõi đánh giá và yêu cầu hoàn thiện nếu phát sinh.

Sự phân biệt trên có cơ sở từ khoản 4, khoản 5, khoản 6 Điều 19 Nghị định 356: việc nộp, đánh giá, trả kết quả và hoàn thiện là các công việc được quy định riêng. Tiếp nhận hồ sơ không tự xác nhận mọi hoạt động sử dụng dữ liệu đều hợp pháp; các trách nhiệm về mục đích, hợp đồng, biện pháp và quyền của chủ thể vẫn phải thực hiện theo Điều 37 Luật. Nghị định 356; Luật.

Nếu nhận yêu cầu hoàn thiện, khoản 6 Điều 19 quy định thời hạn 30 ngày đối với hồ sơ chưa đầy đủ, đúng quy định. Lịch quản lý cần ghi ngày thông báo, ngày nhận, hạn theo yêu cầu và cách tính đã được đối chiếu với thủ tục áp dụng. Chỗ chưa rõ cần được hỏi lại bằng cách có thể lưu chứng cứ; việc hỏi không tự tạo gia hạn. Bài hồ sơ bị yêu cầu bổ sung cần kiểm tra gì hướng dẫn sâu hơn cách lập bảng sửa theo từng yêu cầu.

Cần theo dõi cả nơi tiếp nhận và nơi giải quyết

Mục II và mục III phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP quy định tuyến gửi hồ sơ, cập nhật qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính về Bộ Công an; Bộ tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Khi ghi lịch sử, doanh nghiệp nên lưu cả nơi nhận và thông tin cơ quan được giao xử lý theo phản hồi thực tế. Phụ lục I.7 Nghị quyết 22.

Khoản 1 Điều 3 Thông tư 147/2026/TT-BCA xác định bộ phận tiếp nhận và trả kết quả tập trung thực hiện việc hướng dẫn, tiếp nhận, chuyển hồ sơ đến cơ quan có thẩm quyền và trả kết quả. Vì vậy, một dấu nhận tại đầu mối tiếp nhận không đồng nghĩa chính đầu mối đó là đơn vị đánh giá chuyên môn hồ sơ. Thông tư có hiệu lực từ 08/10/2026. Thông tư 147, Điều 3 và Điều 20.

Doanh nghiệp không cần tự đoán đơn vị xử lý từ mẫu giấy cũ. Nên theo dõi mã, thông báo và hướng dẫn hợp lệ của hồ sơ đang có. Với tài khoản nộp do đơn vị hỗ trợ quản lý, cần thống nhất việc chuyển ngay thông báo, bàn giao tài liệu và quyền theo dõi theo thỏa thuận, để doanh nghiệp không phụ thuộc vào một hộp thư cá nhân đã ngừng sử dụng.

Lịch theo dõi sau nộp nên có những mốc nào?

Lịch cần chứa mốc theo thủ tục và mốc kiểm tra nội bộ. Tần suất rà hàng tuần hoặc hàng tháng dưới đây là khuyến nghị quản lý; thời hạn cập nhật được nêu riêng theo quy định, không trộn hai loại mốc thành một nghĩa vụ mới.

Các mốc cập nhật dựa trên Điều 22 Luật và Điều 20 Nghị định 356. Không phải mọi thay đổi đều có thể chờ 06 tháng; cũng không phải cứ đến kỳ là lập lại toàn bộ hồ sơ nếu không có thay đổi thuộc diện áp dụng. Việc đổi nhà cung cấp CRM cần xác định theo vai trò và sự kiện cụ thể, không tự đồng nhất với thay đổi tổ chức cung cấp dịch vụ bảo vệ dữ liệu. Điều 22 Luật; Điều 20 Nghị định 356.

Với cập nhật, Mẫu số 03a dành cho tổ chức, Mẫu số 03b dành cho cá nhân được quy định tại khoản 3 Điều 20. Khi thực hiện cần kiểm tra đầy đủ thành phần, bản báo cáo được cập nhật và hướng dẫn tiếp nhận của thủ tục đang công bố. Hồ sơ lưu cần thể hiện bản nào là bản gốc, lần nào là cập nhật, phần nào đang được yêu cầu hoàn thiện; sửa một bản chính sách nội bộ chưa tự thay cho việc gửi cập nhật khi có nghĩa vụ.

Ví dụ quản lý một hồ sơ có kết quả nhưng phát sinh thay đổi

Tình huống giả định: Công ty A lần đầu gửi hồ sơ xử lý ngày 07/07/2026, được tiếp nhận ngày 10/07 và có thông báo kết quả đạt ngày 15/07. Ngày 10/10, A thay nhà cung cấp CRM, được xác định làm thay đổi bên xử lý. Các ngày và kết quả này chỉ dùng để minh họa cách quản lý, không phải hồ sơ đã được Justix thực hiện.

Bộ lưu của A cần giữ riêng bản ký đã gửi tháng 7, chứng cứ gửi, thông tin tiếp nhận và thông báo kết quả. Phần thay đổi tháng 10 có hợp đồng, mô tả luồng, quyền truy cập, biện pháp và bản nội dung cần sửa. Việc đánh giá điều kiện, hợp đồng và bảo vệ dữ liệu phải được thực hiện trước khi vận hành luồng mới, không dựa vào kết quả của cấu hình cũ để bỏ qua bước này.

Theo khoản 1 Điều 20 Nghị định 356, A theo dõi kỳ 06 tháng từ lần đầu nộp; mốc quản lý tiếp theo trong giả định là 07/01/2027. Trước khi chọn kỳ đó, cần xác minh sự kiện không đồng thời thuộc nhóm cập nhật ngay. Ngày tiếp nhận 10/07 và ngày kết quả 15/07 không được dùng thay ngày đầu nộp chỉ vì thuận tiện.

Đầu mối hồ sơ ghi sự kiện thay CRM là việc chưa hoàn tất nghĩa vụ cập nhật cho đến khi đã xử lý đúng thủ tục. Người phụ trách kỹ thuật cung cấp hiện trạng, pháp chế chốt phần sửa và người có thẩm quyền duyệt bản gửi. Kết quả quản lý cần thể hiện được cả hồ sơ tháng 7 đã có kết quả và thay đổi tháng 10 còn phải theo dõi. Một ô “đạt” cho toàn bộ doanh nghiệp sẽ làm mất sự khác biệt này.

Lưu và bàn giao thế nào để không mất lịch sử?

Doanh nghiệp nên xác định một nơi giữ bộ chính thức, phân quyền đọc, sửa, tải và lưu bản dự phòng phù hợp. Mỗi lần sửa phải tra lại được bản đã gửi trước đó. Có thể dùng mã hồ sơ và số phiên bản nội bộ, kèm danh mục tệp, ngày, người duyệt và loại sự kiện; không cần đưa mọi dữ liệu khách hàng thật vào bảng theo dõi.

Thời gian giữ hồ sơ và tài liệu cần được xác định theo nghĩa vụ, mục đích và quy định liên quan. Điều 21 Luật, Điều 19 Nghị định 356 yêu cầu lập, lưu và sẵn sàng phục vụ kiểm tra; các quy định này không phải căn cứ để bài viết đặt một thời hạn chung như “lưu 5 năm sau nộp” cho mọi tài liệu. Cũng không thể suy rằng phải lưu vô thời hạn toàn bộ dữ liệu cá nhân gốc đã dùng khi khảo sát. Cần phân loại báo cáo, chứng từ thủ tục, chứng cứ tuân thủ và dữ liệu vận hành để quyết định phù hợp. Luật; Nghị định 356.

Khi người phụ trách nghỉ việc, bàn giao phải bao gồm kênh nhận thông báo, quyền truy cập hợp lệ, bộ tài liệu và việc còn mở. Bộ phận quản trị cấp lại quyền theo quy trình; không dùng việc chia sẻ mật khẩu cá nhân làm cách duy trì hồ sơ. Với đơn vị tư vấn, thỏa thuận cần làm rõ phần bàn giao và theo dõi sau dịch vụ; không mặc định gói lập hồ sơ bao gồm mọi lần cập nhật về sau.

Câu hỏi thường gặp

Có cần lưu cả bản nháp không?

Nên ưu tiên bảo toàn bộ chính thức đã gửi, các bản hiệu chỉnh, chứng cứ và lịch sử cần để giải thích thay đổi. Bản nháp nội bộ được quản lý theo nhu cầu và chính sách của doanh nghiệp; không phải giữ mọi bản sao trung gian không cần thiết. Cần tránh xóa nhầm bản có ý nghĩa chứng minh hoặc tài liệu đang thuộc yêu cầu bảo toàn hợp lệ.

Đơn vị tư vấn đang giữ hồ sơ thì doanh nghiệp có cần bộ riêng không?

Doanh nghiệp cần bảo đảm thực hiện nghĩa vụ lưu và có sẵn hồ sơ của mình. Nên nhận bộ bàn giao đầy đủ, có quyền tra cứu và có người theo dõi, kể cả khi thuê bên khác hỗ trợ. Cách lưu cụ thể có thể được thỏa thuận, nhưng không nên để việc tiếp cận phụ thuộc hoàn toàn vào một người bên ngoài.

Không thấy thông báo thì có được ghi hồ sơ đã đạt không?

Cần kiểm tra trạng thái và kết quả thực tế, không suy từ việc im lặng. Người phụ trách tra lại kênh đã đăng ký, lịch sử giao dịch và liên hệ đúng đầu mối để xác minh. Chỉ ghi kết quả khi có chứng cứ phù hợp với nội dung kết luận đó.

Có kết quả đạt thì còn cần thực hiện các việc khắc phục nội bộ không?

Có thể vẫn còn những nghĩa vụ và công việc phải tiếp tục thực hiện theo hoạt động thực tế. Cần duy trì biện pháp đã kê khai, hoàn thành phần việc hợp pháp được giao và xử lý thay đổi mới. Kết quả đối với hồ sơ không tự miễn trách nhiệm về quyền của chủ thể, hợp đồng, sự cố hoặc việc sử dụng dữ liệu về sau.

Justix hỗ trợ rà hồ sơ và công việc sau nộp

Nếu doanh nghiệp chỉ giữ được một phần tài liệu, chưa rõ trạng thái hoặc có thay đổi sau lần gửi, có thể trao đổi với Justix về phạm vi rà soát trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Nên chuẩn bị bộ đã gửi, chứng cứ tiếp nhận, phản hồi và danh sách thay đổi để luật sư xác định phần cần hoàn thiện hoặc cập nhật. Việc hỗ trợ theo dõi, giải trình và công việc sau bàn giao được xác định theo thỏa thuận; gửi mô tả ban đầu qua trang liên hệ Justix để trao đổi.