Quy Trình & Thủ Tục Nộp Hồ Sơ DPIA, CTIA
Nghị định 356/2025/NĐ-CP quy định cụ thể về thủ tục thực hiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (CTIA). Doanh nghiệp cần lưu ý thời hạn nộp hồ sơ, phương thức nộp, quy trình đánh giá và các trường hợp phải cập nhật hồ sơ. CBI Law Firm tổng hợp các nội dung quan trọng doanh nghiệp cần biết để chủ động tuân thủ quy định về bảo vệ dữ liệu cá nhân.
Ảnh minh họa
1. Căn cứ pháp lý về thủ tục nộp hồ sơ
Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, doanh nghiệp có nghĩa vụ lập, lưu giữ và nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và/hoặc Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (CTIA) cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo quy định.
Cụ thể, Điều 18 Nghị định 356/2025/NĐ-CP quy định về hồ sơ CTIA; Điều 19 quy định về hồ sơ DPIA; và Điều 20 quy định về việc cập nhật hồ sơ DPIA và CTIA.
Theo quy định hiện hành, cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng (A05) – Bộ Công an.
2. Thời hạn và phương thức nộp hồ sơ
2.1. Thời hạn nộp hồ sơ
Đối với DPIA, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân hoặc bên xử lý dữ liệu cá nhân phải nộp 01 bản chính hồ sơ đầy đủ trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
Đối với CTIA, bên chuyển dữ liệu cá nhân xuyên biên giới phải nộp 01 bản chính hồ sơ đầy đủ trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới.
Như vậy, thời hạn 60 ngày được tính từ thời điểm bắt đầu hoạt động xử lý hoặc chuyển dữ liệu, thay vì từ thời điểm doanh nghiệp hoàn thành việc lập hồ sơ nội bộ.
Do đó, doanh nghiệp nên chủ động rà soát hoạt động xử lý dữ liệu, xác định nghĩa vụ lập DPIA/CTIA và chuẩn bị hồ sơ trước khi bắt đầu hoạt động hoặc ngay từ giai đoạn đầu triển khai hoạt động xử lý, chuyển dữ liệu.
2.2. Phương thức nộp hồ sơ theo quy định
Theo Điều 18 và Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ DPIA và CTIA có thể được nộp bằng một trong các phương thức:
- Nộp trực tuyến;
- Nộp trực tiếp; hoặc
- Nộp qua dịch vụ bưu chính.
3. Quy trình tiếp nhận và đánh giá hồ sơ
Theo quy định tại Điều 18, 19 Nghị định 356/2025/NĐ-CP, sau khi tiếp nhận hồ sơ, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thực hiện đánh giá và trả kết quả.
Bước 1. Doanh nghiệp nộp hồ sơ
Doanh nghiệp hoàn thiện và nộp hồ sơ DPIA/CTIA trong thời hạn 60 ngày theo quy định.
Bước 2. Cơ quan chuyên trách tiếp nhận và đánh giá hồ sơ
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân tiến hành đánh giá hồ sơ.
Đối với hồ sơ đạt yêu cầu hoặc không đạt yêu cầu, kết quả được trả trong thời hạn 15 ngày.
Bước 3. Trường hợp hồ sơ chưa đầy đủ hoặc chưa đúng quy định (nếu có)
Trường hợp hồ sơ chưa đầy đủ hoặc chưa đúng quy định, cơ quan chuyên trách yêu cầu doanh nghiệp hoàn thiện hồ sơ trong thời hạn 30 ngày.
Trường hợp doanh nghiệp không hoàn thiện hồ sơ đúng thời hạn, cơ quan chuyên trách có thể xem xét áp dụng quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.
Bước 4. Cơ quan chuyên trách đánh giá lại và trả kết quả cho doanh nghiệp
Sau khi doanh nghiệp hoàn thiện hồ sơ theo yêu cầu, hồ sơ được tiếp tục xem xét theo quy định.
4. Hướng dẫn thực tế về phương thức nộp hồ sơ
Bên cạnh quy định tại Nghị định 356/2025/NĐ-CP, doanh nghiệp cần lưu ý rằng cách thức tiếp nhận hồ sơ trên thực tế có thể được cơ quan chuyên trách hướng dẫn cụ thể theo từng thời điểm.
Theo hướng dẫn thực tế hiện được áp dụng đối với việc nộp hồ sơ DPIA/CTIA, doanh nghiệp được yêu cầu gửi hồ sơ bản mềm trước để cơ quan chuyên trách tiếp nhận và kiểm tra. Hồ sơ bản mềm được gửi qua địa chỉ email do cơ quan chuyên trách hướng dẫn và được chuẩn bị dưới dạng 01 tệp ZIP, trong đó các tài liệu được chuyển sang định dạng PDF, bao gồm bản scan có chữ ký và con dấu hợp lệ.
Sau khi hồ sơ bản mềm được tiếp nhận và đánh giá, doanh nghiệp sẽ được hướng dẫn về việc nộp hồ sơ bản cứng, nếu được yêu cầu.
Do đó, khi thực hiện thủ tục trên thực tế, doanh nghiệp nên kiểm tra và tuân thủ hướng dẫn tiếp nhận hồ sơ mới nhất của Cục An ninh mạng tại thời điểm nộp, bên cạnh việc bảo đảm đáp ứng đầy đủ các yêu cầu về thời hạn và thành phần hồ sơ theo Nghị định 356/2025/NĐ-CP.
5. Nghĩa vụ lưu giữ và cập nhật hồ sơ
Theo khoản 2 Điều 20 và khoản 2 Điều 21 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hồ sơ CTIA và DPIA được thực hiện 01 lần trong suốt thời gian hoạt động và được cập nhật theo Điều 22 của Luật này. Đồng thời, theo khoản 4 Điều 19 và khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP, hồ sơ phải luôn được lưu giữ, sẵn có để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Theo khoản 1 Điều 22 Luật Bảo vệ dữ liệu cá nhân và khoản 1 Điều 20 Nghị định 356/2025/NĐ-CP, hồ sơ DPIA và CTIA được cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ khi phát sinh mục đích xử lý hoặc chuyển dữ liệu cá nhân mới, hoặc phát sinh hoặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc bên thứ ba. Như vậy, trường hợp không phát sinh các thay đổi nêu trên thì doanh nghiệp không phải cập nhật hồ sơ định kỳ 06 tháng.
Bên cạnh đó, theo khoản 2 Điều 22 Luật Bảo vệ dữ liệu cá nhân và khoản 2 Điều 20 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải cập nhật hồ sơ ngay trong thời hạn 10 ngày kể từ khi phát sinh các trường hợp:
- cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể hoặc phá sản;
- thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc
- phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến hoạt động xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ DPIA, CTIA.
Bài viết này chỉ nhằm mục đích cung cấp thông tin chung và không được xem là ý kiến tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Các quy định pháp luật được dẫn chiếu trong bài viết có hiệu lực tại thời điểm đăng tải, nhưng có thể đã được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực tại thời điểm Bạn đọc quan tâm. Do đó, Chúng tôi khuyến nghị Bạn đọc nên tham khảo ý kiến của luật sư trước khi áp dụng.
Mọi thắc mắc, nhu cầu tư vấn liên quan đến dịch vụ thực hiện thủ tục đánh giá tác động dữ liệu cá nhân và các dịch vụ pháp lý khác có liên quan, Quý khách hàng vui lòng liên hệ Công ty Luật TNHH CBI để được hỗ trợ.
