Sơ đồ luồng dữ liệu trong hồ sơ đánh giá tác động cần thể hiện gì?

Sơ đồ luồng dữ liệu trong hồ sơ đánh giá tác động cần thể hiện gì?

Sơ đồ luồng dữ liệu cần cho thấy dữ liệu của ai được thu ở đâu, qua hệ thống nào, ai được sử dụng và được chia sẻ, lưu, xóa ra sao. Bài viết hướng dẫn cách lập sơ đồ theo Mẫu số 10, kèm một tình huống và bảng mô tả để đối chiếu với hoạt động thực tế.

Sơ đồ trong hồ sơ đánh giá tác động phải mô tả được đường đi của dữ liệu theo từng hoạt động và vai trò xử lý. Doanh nghiệp cần thể hiện nguồn thu, mục đích, nhóm dữ liệu, nơi lưu, người hoặc bên được tiếp cận và các bước xử lý tiếp theo. Sơ đồ phải đi cùng phần giải thích để người đọc kiểm tra được quan hệ giữa hệ thống, hợp đồng và biện pháp bảo vệ. Một hình chỉ có tên các phòng ban hoặc logo phần mềm thường chưa trả lời đủ những câu hỏi này.

Pháp luật yêu cầu gì đối với sơ đồ luồng dữ liệu?

Điểm c khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu báo cáo mô tả, luận giải mục đích, loại dữ liệu, chi tiết hoạt động xử lý và sơ đồ luồng dữ liệu cá nhân. Mục A.II.2 Mẫu số 10 yêu cầu trình bày luồng xử lý theo vai trò, nêu đối tượng chủ thể, mục đích, dữ liệu cơ bản hoặc nhạy cảm và hoạt động tương ứng, đồng thời mô hình hóa quy trình, hệ thống. Vì vậy, sơ đồ cần gắn với nội dung kê khai của chính doanh nghiệp, thay vì dùng một hình mẫu chung cho mọi hồ sơ. Điều 19 và Mẫu số 10 Nghị định 356.

Nội dung trên khác với sơ đồ thiết kế hệ thống tại điểm đ khoản 3 Điều 19 và mục A.II.11.2 Mẫu số 10. Sơ đồ hệ thống giúp giải thích kiến trúc và vị trí áp dụng biện pháp bảo vệ; sơ đồ luồng giúp theo dõi dữ liệu được xử lý thế nào. Có thể dùng một hình tích hợp nếu vẫn đọc rõ cả hai nội dung. Với hệ thống phức tạp, nên có sơ đồ tổng quan và sơ đồ chi tiết cho từng hoạt động, dùng cùng mã để đối chiếu.

Pháp luật không ấn định một màu mũi tên hoặc phần mềm vẽ duy nhất. Cách đánh mã luồng, ký hiệu bản sao và bố trí hình trong bài này là gợi ý trình bày. Nội dung bắt buộc vẫn phải được phản ánh đủ theo Điều 19 và mẫu hiện hành.

Nếu đang chuẩn bị toàn bộ tài liệu, doanh nghiệp có thể đối chiếu bài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì. Bài này đi sâu vào cách mô tả luồng, không hướng dẫn lại từng ô của Mẫu số 10.

Những thông tin nào cần xuất hiện trong sơ đồ và bảng mô tả?

Xác định dữ liệu của ai và được thu từ đâu

Bắt đầu bằng một hoạt động có thể kiểm tra được, như tiếp nhận yêu cầu dịch vụ, tuyển dụng hoặc trả lương. Ghi rõ nhóm chủ thể và điểm thu: biểu mẫu website, hồ sơ giấy, cuộc gọi, dữ liệu do đối tác chuyển hoặc thông tin phát sinh trong khi sử dụng dịch vụ. Nếu dữ liệu được tạo thêm sau thu thập, chẳng hạn kết quả xử lý yêu cầu hay ghi chú chăm sóc, cần mô tả phần phát sinh đó.

Tên luồng nên nói được mục đích. “Liên hệ để bố trí lịch bảo trì” giúp xác định nhu cầu dữ liệu rõ hơn “chăm sóc khách hàng”. Nếu cùng một danh sách được dùng thêm cho quảng cáo, đây là một mục đích phải xem xét riêng về căn cứ và điều kiện, không thể gộp vào mũi tên phục vụ hợp đồng rồi coi là đã giải thích xong. Nguyên tắc xử lý đúng phạm vi, mục đích và việc xác lập trách nhiệm cần đối chiếu Điều 3, Điều 37 Luật Bảo vệ dữ liệu cá nhân. Luật số 91/2025/QH15.

Ghi đúng bên tham gia và hệ thống họ vận hành

Trong cùng một ô có thể ghi tên pháp nhân, tên hệ thống và vai trò đối với luồng đang xét. Tên phần mềm không thay cho tên bên cung cấp, còn bộ phận kinh doanh của công ty thường là người sử dụng được phân quyền trong chính công ty, không tự trở thành một pháp nhân nhận dữ liệu độc lập.

Với nhà cung cấp, cần xác minh họ chỉ xử lý theo chỉ dẫn hay còn quyết định mục đích riêng; được tiếp cận loại dữ liệu nào; có thuê bên khác không. Vai trò phải được kiểm tra theo hoạt động và thỏa thuận thực tế. Có thể tham khảo bài bên kiểm soát và bên xử lý dữ liệu cá nhân khác nhau thế nào trước khi gắn nhãn. Trách nhiệm về hợp đồng và xử lý đúng thỏa thuận được quy định tại khoản 1, khoản 2 Điều 37 Luật. Điều 37 Luật.

Thể hiện nơi lưu, quyền tiếp cận và các bản sao

Một luồng không kết thúc chỉ vì dữ liệu đã vào phần mềm chính. Cần kiểm tra danh sách xuất ra, thư điện tử, tệp dùng chung, thiết bị làm việc, bản sao dự phòng và tài liệu giấy liên quan. Với từng nơi, xác định ai quản lý, ai được xem hoặc tải, dữ liệu tồn tại đến thời điểm hoặc điều kiện nào và xử lý thế nào khi không còn cần thiết.

Nơi lưu và nơi truy cập là hai thông tin khác nhau. Máy chủ ở Việt Nam chưa đủ để loại trừ mọi tình huống chuyển xuyên biên giới nếu vẫn có quyền truy cập từ nước ngoài hoặc luồng gửi sang hệ thống khác. Khi xuất hiện yếu tố đó, cần đánh giá riêng theo Điều 20 Luật và điều kiện tương ứng; sơ đồ xử lý không thay hồ sơ chuyển dữ liệu khi có nghĩa vụ. Điều 20 Luật.

Mục A.II.5, A.II.6 Mẫu số 10 yêu cầu mô tả quy định lưu trữ và xóa, hủy, kèm tài liệu. Bảng mô tả luồng nên chỉ tới đúng chính sách đang áp dụng. Không đặt một thời gian lưu chung cho mọi dữ liệu chỉ để sơ đồ gọn hơn. Mẫu số 10 Nghị định 356.

Ví dụ sơ đồ luồng dữ liệu của một doanh nghiệp dịch vụ

Tình huống giả định: Công ty A cung cấp dịch vụ bảo trì thiết bị. Khách hàng điền tên, điện thoại, email và nội dung yêu cầu trên website; thông tin được đưa vào hệ thống quản lý khách hàng CRM do B vận hành. Nhân viên A theo phân quyền bố trí lịch. Một số yêu cầu được giao cho đơn vị C hỗ trợ liên hệ theo chỉ dẫn của A. A có thư mục xuất báo cáo được kiểm soát và sử dụng dịch vụ sao lưu của D.

Trong phạm vi ví dụ, A quyết định mục đích, trực tiếp sử dụng dữ liệu và được xác định là bên kiểm soát và xử lý; B, C, D chỉ thực hiện công việc đã thỏa thuận theo chỉ dẫn. Giả định đã xác minh nơi lưu và quyền tiếp cận đều tại Việt Nam, không sử dụng dữ liệu cho mục đích độc lập. Các giả định này chỉ phục vụ minh họa; khi dùng cho doanh nghiệp thật phải có hợp đồng và xác nhận vận hành tương ứng. Hình chưa mô tả các luồng khác như nhân sự, kế toán hoặc công cụ phân tích website.

Sơ đồ minh họa trong phạm vi giả định; F06 về xóa, hủy được giải thích trong bảng.

Mã F01 đến F05 trên hình được giải thích trong bảng. Riêng F06 là quá trình xóa, hủy áp dụng tại các nơi có dữ liệu, không phải một nơi lưu mới. Các mã này do bài viết đặt để tiện đối chiếu, không phải mã biểu mẫu của cơ quan nhà nước.

Bảng này chưa phải kết luận A đã tuân thủ. Chẳng hạn, sơ đồ ghi C chỉ nhận yêu cầu được giao nhưng tài khoản của C lại tải được toàn bộ danh sách thì tài liệu và quyền thực tế đang không khớp. A cần xác định phạm vi hợp pháp, điều chỉnh quyền hoặc cách mô tả theo kết quả kiểm tra, đồng thời đánh giá rủi ro phát sinh. Không giải quyết bằng cách xóa tên C khỏi hình.

Ví dụ cũng cho thấy sao lưu cần được khảo sát cùng nơi lưu chính. Nếu xóa một bản ghi trong CRM nhưng khi khôi phục lại đưa bản ghi đó về sử dụng, quy trình xóa chưa được mô tả đầy đủ. Phương án xử lý phải dựa trên khả năng hệ thống, căn cứ lưu và yêu cầu áp dụng; bài viết không đặt một thời hạn xóa sao lưu bắt buộc cho mọi doanh nghiệp.

Lập sơ đồ bằng cách nào để có thể kiểm chứng?

Bước 1. Chủ hoạt động mô tả một hồ sơ điển hình từ đầu đến cuối. Người phụ trách nghiệp vụ chọn một yêu cầu dịch vụ giả lập hoặc đã được bảo vệ phù hợp, ghi từng lần dữ liệu được nhận, nhập, xem, gửi, xuất và lưu. Đầu ra là danh sách thao tác và người thực hiện, không cần đưa thông tin thật của khách vào bản sơ đồ.

Bước 2. Kỹ thuật đối chiếu hệ thống và cấu hình. Kiểm tra quyền tài khoản, tích hợp tự động, nơi lưu, nhật ký và sao lưu. Với dịch vụ thuê ngoài, yêu cầu nhà cung cấp xác nhận thông tin liên quan đến gói và cấu hình đang dùng. Nội dung chưa rõ được ghi thành việc cần xác minh; không lấy vị trí trụ sở nhà cung cấp làm vị trí máy chủ.

Bước 3. Pháp chế hoặc đầu mối bảo vệ dữ liệu nối luồng với căn cứ và hợp đồng. Mỗi bên nhận trên hình cần đối chiếu được với tên pháp nhân, vai trò, trách nhiệm và tài liệu liên quan. So lại mục đích, loại dữ liệu, thông báo, cơ chế đồng ý khi áp dụng và điều kiện lưu, xóa. Đầu ra là bảng luồng có nguồn xác nhận, dùng để viết mục A.II và Phần B Mẫu số 10.

Bước 4. Các đầu mối kiểm tra chéo và chốt phiên bản. Người phụ trách nghiệp vụ xác nhận quy trình, kỹ thuật xác nhận thông tin hệ thống, người có thẩm quyền xác nhận nội dung hồ sơ theo phân công. Nên ghi ngày khảo sát, phiên bản và phạm vi của hình. Đây là cách quản lý được đề xuất để tránh việc sơ đồ mô tả cấu hình cũ còn báo cáo nói về hệ thống mới.

Bước 5. Chuyển chỗ chưa phù hợp sang đánh giá rủi ro và kế hoạch xử lý. Chọn các điểm như quyền xuất quá rộng, chưa rõ nơi lưu hoặc chia sẻ vượt yêu cầu để phân tích hậu quả và biện pháp. Khi hoạt động thay đổi, kiểm tra nghĩa vụ cập nhật theo Điều 22 Luật, Điều 20 Nghị định 356; không đợi đến kỳ gửi hồ sơ mới xem hoạt động mới có đủ căn cứ hay không. Luật; Nghị định 356.

Câu hỏi thường gặp

Có cần vẽ từng máy tính và từng người sử dụng không?

Mức chi tiết cần đủ để hiểu hoạt động, quyền tiếp cận và rủi ro. Có thể nhóm những người có cùng vai trò, cùng quyền và cùng cách sử dụng. Nếu một nhóm có quyền xuất dữ liệu hoặc truy cập khác hẳn nhóm còn lại, cần tách để người đọc kiểm tra được. Danh sách tài khoản chi tiết có thể được quản lý trong tài liệu phân quyền liên quan.

Đã có sơ đồ mạng do bộ phận kỹ thuật lập thì dùng được chưa?

Có thể dùng làm đầu vào. Cần bổ sung nhóm chủ thể, mục đích, dữ liệu, vai trò các bên và hoạt động xử lý nếu sơ đồ mạng chưa có. Phải đối chiếu riêng mục A.II.2 với mục A.II.11.2 Mẫu số 10 để tránh thiếu phần luồng hoặc thiếu phần hệ thống.

Chỉ cho nhà cung cấp xem từ xa, không gửi tệp thì có cần ghi không?

Quyền truy cập từ xa vẫn cần được khảo sát và mô tả trong hoạt động xử lý. Cần biết ai truy cập, từ đâu, xem gì, có tải hoặc ghi nhận dữ liệu không và theo thỏa thuận nào. Nếu có yếu tố xuyên biên giới, đánh giá điều kiện theo Điều 20 Luật, không kết luận chỉ từ việc “không gửi file”.

Có được nộp sơ đồ chưa được các phòng ban xác nhận không?

Doanh nghiệp phải chịu trách nhiệm về nội dung hồ sơ của mình. Việc phân công các đầu mối xác nhận hiện trạng là cách kiểm soát chất lượng được khuyến nghị, không phải bài viết đặt thêm một mẫu xác nhận bắt buộc. Những điểm chưa biết cần được làm rõ trước khi trình bày thành thông tin chắc chắn trong hồ sơ.

Justix hỗ trợ khảo sát luồng và lập hồ sơ

Khi thông tin nằm ở nhiều phòng ban hoặc hợp đồng phần mềm chưa rõ trách nhiệm, doanh nghiệp có thể trao đổi với Justix về dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Phạm vi có thể gồm khảo sát hoạt động, đối chiếu tài liệu, thể hiện luồng và đánh giá rủi ro trong hồ sơ theo thỏa thuận. Nên chuẩn bị danh mục hệ thống, biểu mẫu, hợp đồng nhà cung cấp và sơ đồ kỹ thuật đang có; có thể gửi mô tả ban đầu qua trang liên hệ Justix để xác định tài liệu cần cung cấp.