Giới thiệu
Với doanh nghiệp có vốn đầu tư nước ngoài, dữ liệu cá nhân thường xuất hiện ngay từ ngày đầu vận hành: hồ sơ tuyển dụng, hợp đồng lao động, bảng lương, dữ liệu khách hàng, thông tin đại lý, camera an ninh, biểu mẫu trên website, hệ thống CRM và các nền tảng dùng chung trong tập đoàn. Vì vậy, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không nên được xem là một biểu mẫu tách rời do bộ phận pháp chế chuẩn bị vào phút cuối. Đây là tài liệu phản ánh cách doanh nghiệp thực sự thu thập, sử dụng, chia sẻ, lưu trữ và bảo vệ dữ liệu.
Bài viết này dành cho nhà đầu tư nước ngoài, doanh nghiệp FDI, công ty thành viên của tập đoàn, bộ phận HR, pháp chế, compliance và IT đang hoạt động tại Việt Nam. Trọng tâm là các câu hỏi thực tế: khi nào nghĩa vụ phát sinh, dữ liệu nào phải đưa vào hồ sơ đánh giá tác động, ai trong tập đoàn cần tham gia, khi nào phải cập nhật và đâu là các điểm dễ tạo rủi ro tuân thủ.
1. Khung pháp lý đã thay đổi: không nên tiếp tục áp dụng máy móc Nghị định 13
Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP là khung pháp lý trọng tâm cho nghĩa vụ đánh giá tác động xử lý dữ liệu cá nhân. Nghị định số 356/2025/NĐ-CP cũng quy định Nghị định số 13/2023/NĐ-CP hết hiệu lực kể từ ngày 01/01/2026.
Điểm cần lưu ý đối với doanh nghiệp đã vận hành từ trước là hồ sơ đánh giá tác động theo Nghị định số 13/2023/NĐ-CP đã được cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiếp nhận trước ngày 01/01/2026 có thể tiếp tục được sử dụng. Tuy nhiên, việc cập nhật sau thời điểm Luật Bảo vệ dữ liệu cá nhân có hiệu lực phải thực hiện theo khung pháp lý mới.
Về bản chất, hồ sơ không chỉ trả lời doanh nghiệp có thu thập dữ liệu hay không. Hồ sơ cần giúp doanh nghiệp chứng minh được các vấn đề sau:
- Doanh nghiệp xử lý loại dữ liệu nào và phục vụ mục đích nào.
- Ai quyết định mục đích, phương thức xử lý; ai thực hiện xử lý theo hợp đồng; ai nhận dữ liệu.
- Dữ liệu đi qua những hệ thống, quốc gia, nhà cung cấp dịch vụ và đơn vị thành viên nào.
- Doanh nghiệp đã thiết kế biện pháp kỹ thuật, quản trị và hợp đồng nào để hạn chế rủi ro.
- Doanh nghiệp xử lý yêu cầu của chủ thể dữ liệu, lưu trữ, xóa và hủy dữ liệu ra sao.
Do đó, một bộ hồ sơ tốt phải khớp với vận hành thực tế. Hồ sơ mô tả một hệ thống chưa từng được triển khai, hoặc chỉ sao chép chính sách toàn cầu của tập đoàn mà không phản ánh hoạt động tại Việt Nam, có giá trị tuân thủ hạn chế.
2. Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?
Theo Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân có nghĩa vụ lập, lưu trữ hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Thời hạn cơ bản là 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân.
Bên xử lý dữ liệu cá nhân cũng phải lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Đây là điểm doanh nghiệp FDI cần làm rõ ngay trong hợp đồng với nhà cung cấp payroll, tuyển dụng, CRM, cloud, marketing, call center, bảo mật hoặc dịch vụ công nghệ thông tin.
Trên thực tế, phần lớn doanh nghiệp FDI có người lao động, khách hàng, nhà cung cấp là cá nhân hoặc người liên hệ tại đối tác đều có hoạt động xử lý dữ liệu cá nhân. Việc doanh nghiệp chỉ sản xuất, không kinh doanh nền tảng số hoặc không bán trực tiếp cho người tiêu dùng không mặc nhiên loại trừ nghĩa vụ. Chỉ riêng hoạt động HR đã có thể liên quan đến dữ liệu định danh, thông tin liên hệ, thuế, bảo hiểm, tài khoản ngân hàng, đánh giá hiệu suất, dữ liệu sức khỏe hoặc dữ liệu camera.
2.1. Cơ chế áp dụng riêng cho doanh nghiệp nhỏ, khởi nghiệp và siêu nhỏ
Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện một số nghĩa vụ, trong đó có nghĩa vụ theo Điều 21 và Điều 22 của Luật Bảo vệ dữ liệu cá nhân, trong 05 năm kể từ ngày Luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ có cơ chế không phải thực hiện các nghĩa vụ này.
Tuy nhiên, cơ chế trên không áp dụng nếu doanh nghiệp thuộc trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể dữ liệu cá nhân trở lên trên cơ sở tổng lượng dữ liệu đã xử lý tích lũy. Vì cách xác định quy mô, loại hình doanh nghiệp và dữ liệu nhạy cảm có thể phụ thuộc vào tình trạng thực tế, doanh nghiệp không nên tự kết luận rằng mình được miễn chỉ vì có ít lao động hoặc doanh thu còn nhỏ.
3. Xác định đúng vai trò dữ liệu trong tập đoàn là bước quyết định
Một lỗi phổ biến là giả định công ty mẹ luôn là bên kiểm soát, còn công ty Việt Nam chỉ làm theo chỉ đạo. Cách phân loại cần dựa trên thực tế: đơn vị nào quyết định mục đích và phương thức xử lý; đơn vị nào trực tiếp xử lý; đơn vị nào nhận dữ liệu để sử dụng cho mục đích riêng; và đơn vị nào chỉ thực hiện dịch vụ theo hướng dẫn.
| Tình huống | Điểm cần xác định | Rủi ro nếu phân loại sai |
|---|---|---|
| Công ty Việt Nam thu hồ sơ ứng viên và quyết định tuyển dụng | Công ty Việt Nam thường có vai trò kiểm soát đối với hoạt động tuyển dụng tại Việt Nam. | Hồ sơ chỉ ghi tên công ty mẹ, không phản ánh trách nhiệm của pháp nhân tại Việt Nam. |
| Trụ sở khu vực truy cập HRIS để quản lý nhân sự toàn tập đoàn | Mục đích truy cập, loại dữ liệu, quyền truy cập và luồng dữ liệu xuyên biên giới. | Thiếu đánh giá đối với hoạt động chuyển dữ liệu hoặc chưa xác định trách nhiệm giữa các đơn vị. |
| Nhà cung cấp payroll xử lý bảng lương theo hợp đồng | Phạm vi xử lý, chỉ dẫn của doanh nghiệp, bảo mật, hỗ trợ quyền của chủ thể dữ liệu và xóa dữ liệu. | Hợp đồng dịch vụ không phân bổ nghĩa vụ dữ liệu; hồ sơ không nêu đầy đủ bên xử lý. |
| Đối tác marketing dùng dữ liệu khách hàng để tối ưu chiến dịch của họ | Đối tác chỉ xử lý theo chỉ dẫn hay có mục đích sử dụng độc lập. | Nhầm lẫn giữa bên xử lý và bên thứ ba; chia sẻ dữ liệu vượt phạm vi đã thông báo hoặc đồng ý. |
Đối với tập đoàn bảo vệ dữ liệu cá nhân theo mô hình toàn cầu, chính sách nội bộ toàn tập đoàn vẫn rất hữu ích. Nhưng chính sách đó không tự động thay thế hồ sơ pháp lý của pháp nhân tại Việt Nam. Mỗi công ty thành viên bảo vệ dữ liệu cá nhân cần rà soát vai trò, hệ thống, người dùng, nhà cung cấp và mục đích xử lý của chính mình.
3.1. Một tập đoàn dùng chung hệ thống có thể chỉ một công ty nộp hồ sơ đại diện không?
Đây là câu hỏi thường gặp đối với các tập đoàn có nhiều công ty thành viên cùng sử dụng một hệ thống HRIS, ERP, CRM, email, cloud hoặc cơ sở dữ liệu tập trung. Việc dùng chung hệ thống công nghệ không đồng nghĩa các công ty thành viên đương nhiên được coi là một chủ thể duy nhất đối với nghĩa vụ đánh giá tác động xử lý dữ liệu cá nhân.
Theo khung pháp lý hiện hành, nghĩa vụ lập và lưu giữ hồ sơ được xác định theo vai trò của từng bên trong hoạt động xử lý dữ liệu cá nhân. Vì vậy, trước khi quyết định một công ty có thể đứng ra thực hiện hồ sơ cho toàn bộ tập đoàn hay không, cần xác định đối với từng hoạt động xử lý: pháp nhân nào quyết định mục đích và phương thức xử lý; pháp nhân nào trực tiếp xử lý; pháp nhân nào chỉ xử lý theo chỉ dẫn; và pháp nhân nào nhận hoặc sử dụng dữ liệu cho mục đích riêng.
Ví dụ, ba công ty tại Việt Nam có thể cùng sử dụng một hệ thống HRIS do công ty mẹ ở nước ngoài quản lý, nhưng mỗi công ty vẫn tự tuyển dụng, ký hợp đồng lao động, trả lương và quyết định việc sử dụng dữ liệu nhân sự của người lao động thuộc công ty mình. Trong trường hợp đó, việc dùng chung HRIS không tự nó làm mất đi vai trò và trách nhiệm riêng của từng pháp nhân đối với hoạt động xử lý dữ liệu do mình kiểm soát.
Ngược lại, tập đoàn có thể chuẩn hóa nhiều thành phần dùng chung như sơ đồ kiến trúc hệ thống, tiêu chuẩn bảo mật, chính sách toàn cầu, mô tả nền tảng, hợp đồng với nhà cung cấp hoặc cơ chế quản trị dữ liệu. Những tài liệu chung này có thể giúp giảm đáng kể công việc chuẩn bị, nhưng doanh nghiệp vẫn cần kiểm tra hồ sơ của từng bên có phản ánh đúng pháp nhân nộp hồ sơ, vai trò xử lý, mục đích, loại dữ liệu, chủ thể dữ liệu, luồng dữ liệu và trách nhiệm thực tế hay không.
Do đó, doanh nghiệp không nên áp dụng nguyên tắc “một tập đoàn – một hồ sơ” chỉ dựa trên việc sử dụng chung hệ thống. Cũng không nên suy luận ngược lại rằng trong mọi cấu trúc tập đoàn, tất cả công ty thành viên luôn phải chuẩn bị các bộ hồ sơ hoàn toàn độc lập và giống nhau. Cách xử lý phù hợp cần dựa trên vai trò pháp lý và hoạt động xử lý dữ liệu thực tế của từng pháp nhân.
Về thực hành, tập đoàn nên thực hiện theo hai tầng:
- Tầng tập đoàn: lập bản đồ hệ thống và luồng dữ liệu dùng chung, xác định công ty mẹ, nhà cung cấp, trung tâm dữ liệu, quyền truy cập, chính sách bảo mật và cơ chế chuyển dữ liệu giữa các quốc gia.
- Tầng từng pháp nhân: xác định vai trò của công ty đối với từng hoạt động xử lý, loại dữ liệu và nhóm chủ thể dữ liệu của mình, mục đích xử lý, bên nhận dữ liệu và nghĩa vụ lập, nộp hoặc cập nhật hồ sơ tương ứng.
Cách tiếp cận này vừa tận dụng được hệ thống tài liệu chung của tập đoàn, vừa hạn chế rủi ro một hồ sơ “đại diện” không phản ánh đầy đủ trách nhiệm pháp lý và hoạt động xử lý dữ liệu của từng công ty tại Việt Nam.
4. Dữ liệu nào phải đưa vào hồ sơ đánh giá tác động?
Câu hỏi “dữ liệu nào phải đưa vào hồ sơ đánh giá tác động” nên được trả lời theo nguyên tắc đầy đủ và có thể truy vết: doanh nghiệp cần liệt kê các loại dữ liệu cá nhân thực tế xử lý trong từng quy trình, không chỉ dữ liệu được coi là nhạy cảm hoặc dữ liệu đang lưu trên máy chủ tại Việt Nam.
Nghị định số 356/2025/NĐ-CP yêu cầu hồ sơ mô tả loại dữ liệu, hoạt động xử lý và sơ đồ luồng dữ liệu. Vì vậy, doanh nghiệp nên lập bản đồ dữ liệu theo từng nhóm chủ thể và từng quy trình, thay vì lập một danh sách chung chung.
| Nhóm hoạt động | Dữ liệu cần rà soát | Điểm cần đặc biệt chú ý |
|---|---|---|
| Tuyển dụng và HR | Thông tin định danh, liên hệ, CV, hồ sơ học vấn, thông tin thuế, bảo hiểm, tài khoản ngân hàng, đánh giá công việc. | Dữ liệu sức khỏe, hồ sơ kỷ luật, dữ liệu sinh trắc học hoặc dữ liệu người phụ thuộc có thể làm tăng mức độ rủi ro. |
| Khách hàng và bán hàng | Tên, số điện thoại, email, lịch sử mua hàng, yêu cầu bảo hành, thông tin giao nhận, dữ liệu chăm sóc khách hàng. | Phân biệt dữ liệu của khách hàng, người nhận hàng và người liên hệ tại khách hàng tổ chức. |
| Website và ứng dụng | Thông tin biểu mẫu, tài khoản, địa chỉ IP, cookie, định danh thiết bị, hành vi truy cập. | Kiểm tra công cụ analytics, pixel, chatbot, biểu mẫu tích hợp và quyền truy cập của nhà cung cấp nước ngoài. |
| Camera và kiểm soát ra vào | Hình ảnh, video, thời gian ra vào, dữ liệu chấm công, dữ liệu nhận diện sinh trắc học nếu có. | Không đánh đồng camera thông thường với giải pháp nhận diện khuôn mặt; cần xác định thời hạn lưu và quyền truy cập. |
Việc phân loại cần gắn với dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm theo quy định hiện hành. Các nhóm thường cần xem xét kỹ gồm thông tin sức khỏe, sinh trắc học, vị trí, thông tin tài chính – ngân hàng, dữ liệu theo dõi hành vi trên không gian mạng và các dữ liệu khác cần được giữ bí mật hoặc bảo mật chặt chẽ theo pháp luật.
5. Hồ sơ bảo vệ dữ liệu cá nhân cần có những gì?
Theo Nghị định số 356/2025/NĐ-CP, báo cáo đánh giá tác động xử lý dữ liệu cá nhân cần thể hiện tối thiểu các nhóm nội dung cốt lõi sau:
- Thông tin và liên hệ của các bên liên quan: bên kiểm soát, bên kiểm soát và xử lý, bên xử lý và bên thứ ba.
- Thông tin về bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân; tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân nếu có.
- Mục đích xử lý, loại dữ liệu, các hoạt động xử lý và sơ đồ luồng dữ liệu.
- Cách thức xin sự đồng ý khi cần thiết; chính sách lưu trữ, xóa và hủy dữ liệu.
- Phương án an toàn dữ liệu, biện pháp bảo vệ, sơ đồ thiết kế hệ thống và tiêu chuẩn áp dụng.
- Kết quả đánh giá tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
- Đánh giá mức độ ảnh hưởng, rủi ro, hậu quả có thể xảy ra và biện pháp giảm thiểu hoặc loại bỏ rủi ro.
Về biểu mẫu, doanh nghiệp là tổ chức cần lưu ý Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 02a và Báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10 ban hành kèm Nghị định số 356/2025/NĐ-CP.
Một hồ sơ bảo vệ dữ liệu cá nhân có chất lượng không chỉ chép lại điều khoản luật. Chẳng hạn, nếu doanh nghiệp dùng Microsoft 365, một hệ thống HRIS toàn cầu và một nhà cung cấp payroll tại Việt Nam, sơ đồ luồng dữ liệu nên thể hiện được dữ liệu nào đi vào từng hệ thống, ai có quyền truy cập, dữ liệu có được chuyển tiếp hay không, thời hạn lưu trữ và quy trình xóa khi nhân sự nghỉ việc.
6. Thời hạn gửi và cập nhật: quản trị hồ sơ như một quy trình vận hành
Hồ sơ phải luôn sẵn có để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân phải gửi 01 bản chính theo phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
Hồ sơ không dừng lại ở lần nộp đầu tiên. Theo cơ chế cập nhật hiện hành:
- Đối với việc phát sinh mục đích xử lý mới hoặc phát sinh, thay đổi các bên tham gia xử lý, hồ sơ được cập nhật theo chu kỳ 06 tháng kể từ lần đầu nộp hồ sơ.
- Trong thời hạn 10 ngày, doanh nghiệp cần cập nhật khi được tổ chức lại, chấm dứt hoạt động, giải thể hoặc phá sản; khi thay đổi thông tin tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc khi phát sinh, thay đổi ngành nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu đã đăng ký trong hồ sơ.
Đây là lý do hoạt động M&A, tái cấu trúc, thay đổi mô hình kinh doanh, triển khai kênh bán hàng trực tiếp, thuê nhà cung cấp mới hoặc mở rộng hệ thống công nghệ cần có bước kiểm tra dữ liệu cá nhân trong quy trình phê duyệt nội bộ. Nếu để đến khi sự kiện đã hoàn tất mới rà soát, doanh nghiệp thường thiếu thông tin để đánh giá chính xác và dễ bỏ lỡ thời hạn cập nhật.
7. Nhân sự bảo vệ dữ liệu cá nhân: không chỉ là chức danh mang tính hình thức
Luật yêu cầu cơ quan, tổ chức chỉ định bộ phận hoặc nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức, thể hiện phân công, chức năng, nhiệm vụ, quyền hạn và yêu cầu liên quan.
Nhân sự được chỉ định cần đáp ứng các điều kiện năng lực theo Nghị định số 356/2025/NĐ-CP, bao gồm trình độ từ cao đẳng trở lên, có ít nhất 02 năm kinh nghiệm trong một số lĩnh vực liên quan như pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, compliance, HR hoặc tổ chức cán bộ; đồng thời đã được đào tạo, bồi dưỡng về pháp luật và kỹ năng chuyên môn bảo vệ dữ liệu cá nhân.
Doanh nghiệp không nhất thiết phải lập một phòng ban độc lập trong mọi trường hợp. Tuy nhiên, người hoặc bộ phận được giao trách nhiệm phải có khả năng phối hợp giữa HR, IT, pháp chế, an ninh thông tin, procurement, sales và ban điều hành. Trong mô hình tập đoàn, đầu mối tại Việt Nam cũng cần có quyền tiếp cận thông tin từ công ty mẹ và nhà cung cấp để hoàn thiện hồ sơ đúng thực tế.
8. Những tình huống doanh nghiệp FDI cần rà soát sớm
8.1. Dùng nền tảng toàn cầu và lưu trữ cloud ngoài Việt Nam
Việc sử dụng email, cloud, HRIS, CRM hoặc công cụ phân tích do tập đoàn hoặc nhà cung cấp nước ngoài vận hành có thể dẫn đến hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không đồng nhất với hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới; hai nghĩa vụ có thể phát sinh song song.
Luật có một số trường hợp không phải thực hiện đánh giá tác động chuyển dữ liệu xuyên biên giới, trong đó có trường hợp cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây. Tuy nhiên, doanh nghiệp không nên suy rộng ngoại lệ này cho mọi hoạt động chia sẻ dữ liệu HR trong tập đoàn. Cần rà soát mục đích, dữ liệu, phạm vi truy cập, bên nhận, nền tảng và điều kiện áp dụng cụ thể.
8.2. Công ty mẹ yêu cầu dữ liệu ứng viên hoặc người lao động
Yêu cầu phê duyệt tuyển dụng, điều chuyển nội bộ, đánh giá lãnh đạo, chương trình cổ phiếu nhân viên hoặc điều tra tuân thủ thường khiến dữ liệu được chia sẻ ra ngoài pháp nhân tại Việt Nam. HR không nên chỉ gửi dữ liệu theo yêu cầu tập đoàn mà cần kiểm tra cơ sở xử lý, thông báo hoặc đồng ý phù hợp, phạm vi tối thiểu cần thiết, thỏa thuận nội bộ tập đoàn và nghĩa vụ liên quan đến chuyển dữ liệu xuyên biên giới.
8.3. Thay đổi nhà cung cấp hoặc triển khai AI
Chuyển từ một phần mềm chấm công sang nền tảng có nhận diện khuôn mặt, đưa chatbot vào chăm sóc khách hàng, dùng công cụ AI để sàng lọc CV, hoặc thuê một nhà cung cấp marketing mới đều có thể làm thay đổi loại dữ liệu, mục đích, bên xử lý và rủi ro. Đây là các sự kiện nên được đánh giá trước khi ký hợp đồng hoặc đưa hệ thống vào hoạt động, không chỉ được bổ sung sau khi triển khai.
9. Lộ trình thực tế để chuẩn bị hồ sơ
- Chỉ định đầu mối và phạm vi dự án. Xác định pháp nhân Việt Nam, chi nhánh, văn phòng đại diện, bộ phận và hệ thống nằm trong phạm vi rà soát.
- Lập bản đồ dữ liệu. Rà soát theo quy trình HR, khách hàng, nhà cung cấp, website, camera, bảo mật, compliance và công nghệ.
- Phân loại vai trò các bên. Làm rõ bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, bên thứ ba; đối chiếu với hợp đồng và thực tế hệ thống.
- Rà soát tài liệu nền. Bao gồm thông báo quyền riêng tư, biểu mẫu đồng ý khi cần, chính sách lưu trữ – xóa dữ liệu, phân quyền truy cập, quy trình xử lý yêu cầu của chủ thể dữ liệu và điều khoản với nhà cung cấp.
- Đánh giá rủi ro và biện pháp giảm thiểu. Không chỉ nêu “có mã hóa”; cần xác định dữ liệu nào được mã hóa, tại thời điểm nào, ai quản lý khóa, ai được cấp quyền và quy trình ứng phó sự cố.
- Hoàn thiện biểu mẫu, lưu chứng cứ và gửi hồ sơ. Đồng thời thiết lập lịch rà soát để theo dõi các sự kiện cập nhật 06 tháng và 10 ngày.
Tóm tắt
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là nghĩa vụ tuân thủ cần được gắn với vận hành thực tế của doanh nghiệp, đặc biệt đối với doanh nghiệp FDI sử dụng hệ thống tập đoàn, cloud hoặc nhà cung cấp nhiều quốc gia. Doanh nghiệp cần xác định đúng vai trò các bên, lập bản đồ toàn bộ luồng dữ liệu, chuẩn bị hồ sơ trong thời hạn luật định và đưa kiểm tra dữ liệu cá nhân vào quy trình phê duyệt các thay đổi về HR, công nghệ, hợp đồng và tái cấu trúc.
Câu hỏi thường gặp
1) Doanh nghiệp FDI chỉ xử lý dữ liệu nhân sự có phải lập hồ sơ không?
Thông thường, có thể phát sinh nghĩa vụ vì dữ liệu nhân sự là dữ liệu cá nhân được xử lý trong hoạt động tuyển dụng, quản lý lao động, trả lương, bảo hiểm và vận hành nội bộ. Doanh nghiệp cần xác định vai trò xử lý, loại hình doanh nghiệp và các trường hợp áp dụng riêng trước khi kết luận.
2) Công ty mẹ đã có chính sách privacy toàn cầu thì công ty Việt Nam có cần hồ sơ riêng không?
Chính sách toàn cầu là tài liệu hữu ích nhưng không đương nhiên thay thế hồ sơ của pháp nhân tại Việt Nam. Hồ sơ phải phản ánh dữ liệu, hệ thống, mục đích, nhà cung cấp, người truy cập và luồng dữ liệu thực tế của công ty Việt Nam.
3) Thời hạn gửi hồ sơ là bao lâu?
Bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân phải gửi 01 bản chính trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân. Doanh nghiệp nên xác định và lưu chứng cứ về thời điểm bắt đầu xử lý cho từng hoạt động mới.
4) Hồ sơ có phải làm lại cho từng dự án hoặc từng phòng ban không?
Đánh giá tác động được thực hiện một lần trong suốt thời gian hoạt động, nhưng phải được cập nhật khi có thay đổi. Về thực hành, doanh nghiệp có thể quản lý một hồ sơ tổng thể kèm phụ lục hoặc danh mục theo quy trình để bảo đảm thông tin vẫn đầy đủ, dễ kiểm tra và phản ánh đúng thực tế.
5) Dùng cloud hoặc HRIS của tập đoàn ở nước ngoài có cần lưu ý thêm gì?
Có. Ngoài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, doanh nghiệp cần đánh giá liệu hoạt động đó có cấu thành chuyển dữ liệu cá nhân xuyên biên giới hay không. Một số ngoại lệ có thể áp dụng trong tình huống cụ thể, nhưng không nên giả định việc sử dụng cloud toàn cầu luôn được miễn.
6) Doanh nghiệp có bắt buộc phải thành lập bộ phận bảo vệ dữ liệu cá nhân riêng không?
Pháp luật cho phép doanh nghiệp chỉ định nhân sự hoặc bộ phận đủ điều kiện năng lực, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Mô hình phù hợp phụ thuộc vào quy mô xử lý dữ liệu, mức độ nhạy cảm, số lượng hệ thống và cấu trúc quản trị của doanh nghiệp.
7) Nếu thay đổi nhà cung cấp payroll hoặc CRM thì có phải cập nhật hồ sơ không?
Khả năng cao là có, vì sự thay đổi này có thể làm thay đổi bên xử lý, luồng dữ liệu, biện pháp bảo mật và rủi ro. Doanh nghiệp nên đưa đánh giá dữ liệu cá nhân vào quy trình lựa chọn và ký hợp đồng với nhà cung cấp, thay vì chờ sau khi hệ thống đã vận hành.
8) Tập đoàn có nhiều công ty dùng chung một hệ thống có thể chỉ một công ty nộp hồ sơ đại diện không?
Không nên mặc định như vậy chỉ vì các công ty sử dụng chung HRIS, ERP, CRM, cloud hoặc hệ thống của tập đoàn. Nghĩa vụ cần được xác định dựa trên vai trò thực tế của từng pháp nhân trong hoạt động xử lý dữ liệu cá nhân. Nếu các công ty thành viên tự quyết định mục đích hoặc phương thức xử lý đối với dữ liệu thuộc hoạt động của mình, cần đánh giá nghĩa vụ của từng công ty tương ứng. Tập đoàn có thể dùng chung nhiều tài liệu, chính sách, sơ đồ hệ thống và tiêu chuẩn bảo mật để giảm công việc chuẩn bị, nhưng vẫn cần bảo đảm hồ sơ phản ánh đúng vai trò và hoạt động xử lý của từng bên. Với cấu trúc tập đoàn phức tạp, nên rà soát mô hình xử lý dữ liệu cụ thể trước khi quyết định phương án lập và nộp hồ sơ.
Kết luận
Đối với doanh nghiệp FDI, tuân thủ về dữ liệu cá nhân cần được triển khai như một hoạt động quản trị xuyên phòng ban. Hồ sơ đánh giá tác động chỉ hữu ích khi phản ánh đúng cách doanh nghiệp vận hành, đặc biệt tại các điểm giao giữa HR, công nghệ, hợp đồng với nhà cung cấp và chia sẻ dữ liệu trong tập đoàn.
TT Collab có thể hỗ trợ
TT Collab có thể hỗ trợ doanh nghiệp rà soát mô hình xử lý dữ liệu, xác định vai trò pháp lý của các bên, lập bản đồ dữ liệu, đánh giá các luồng dữ liệu trong nước và xuyên biên giới, rà soát hợp đồng với nhà cung cấp, xây dựng hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và thiết kế quy trình cập nhật hồ sơ phù hợp với hoạt động thực tế tại Việt Nam.
Căn cứ pháp lý tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
- Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Lưu ý: Nội dung bài viết chỉ nhằm mục đích cung cấp thông tin chung và không thay thế tư vấn pháp lý, thuế hoặc đầu tư cho từng trường hợp cụ thể. Quy định và cách áp dụng có thể thay đổi theo thời điểm, địa phương, ngành nghề và tình trạng của doanh nghiệp.
