Đánh giá tác động dữ liệu cá nhân (DPIA) là gì?

DPIA là nghĩa vụ bắt buộc hay giải pháp quản trị rủi ro? Cùng CBI tìm hiểu căn cứ pháp lý, quy trình thực hiện và hồ sơ DPIA phù hợp quy định, giúp doanh nghiệp chủ động tuân thủ và quản trị rủi ro về bảo vệ dữ liệu cá nhân ngay tại bài viết dưới đây.

Ảnh minh họa

1. Căn cứ pháp lý có liên quan đến hoạt động đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

Hoạt động đánh giá tác động xử lý dữ liệu cá nhân tại Việt Nam hiện được điều chỉnh trực tiếp bởi các văn bản quy phạm pháp luật sau:

• Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15): Quy định các nguyên tắc, quyền và nghĩa vụ của các bên liên quan đến hoạt động bảo vệ và xử lý dữ liệu cá nhân.
• Nghị định 356/2025/NĐ-CP: Quy định chi tiết thi hành một số điều của Luật Bảo vệ dữ liệu cá nhân, trong đó quy định cụ thể về hồ sơ, biểu mẫu và trình tự thực hiện đánh giá tác động xử lý dữ liệu cá nhân (DPIA).

2. Dưới góc nhìn pháp lý: Bản chất thực sự của DPIA là gì?

Trong thực tiễn tư vấn, chúng tôi nhận thấy nhiều doanh nghiệp vẫn cho rằng Đánh giá tác động xử lý dữ liệu cá nhân (DPIA)chỉ là việc lập báo cáo theo mẫu để nộp cho cơ quan có thẩm quyền.

Tuy nhiên, theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15), DPIA về bản chất là hồ sơ chứng minh việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân (Compliance Evidence).Đây là quá trình doanh nghiệp phối hợp với Luật sư và bộ phận IT để:

• Xác lập căn cứ pháp lý: Rà soát và xác định cơ sở pháp lý cho hoạt động xử lý dữ liệu, bao gồm sự đồng ý của chủ thể dữ liệu, việc thực hiện hợp đồng hoặc thực hiện nghĩa vụ pháp lý theo quy định tại Nghị định 356/2025/NĐ-CP.
• Nhận diện rủi ro trong hoạt động: Đánh giá các rủi ro liên quan đến mất mát, rò rỉ, truy cập trái phép hoặc xử lý dữ liệu vượt phạm vi trong toàn bộ quá trình xử lý dữ liệu.
• Xác định phạm vi và trách nhiệm của các bên: Xác định rõ vai trò, phạm vi xử lý và trách nhiệm của Bên Kiểm soát dữ liệu, Bên Xử lý dữ liệu và Bên thứ ba; đồng thời quy định các trách nhiệm liên quan thông qua hợp đồng hoặc thỏa thuận xử lý dữ liệu (DPA).

3. Thời điểm doanh nghiệp bắt buộc phải lập và cập nhật DPIA

Căn cứ Điều 21 và Điều 22 Luật Bảo vệ dữ liệu cá nhân 2025, nghĩa vụ thực hiện DPIA không chỉ được thực hiện một lần mà cần được rà soát và cập nhật phù hợp với quá trình xử lý dữ liệu của doanh nghiệp. Đội ngũ Luật sư khuyến nghị doanh nghiệp cần thực hiện hoặc rà soát DPIA trong các trường hợp sau:

• Khi triển khai hoạt động mới: Khi doanh nghiệp triển khai sản phẩm, ứng dụng di động, giải pháp AI hoặc chiến dịch tiếp thị có hoạt động thu thập và xử lý dữ liệu cá nhân với quy mô lớn.
• Khi có thay đổi trong hoạt động xử lý dữ liệu: Khi doanh nghiệp chuyển đổi nhà cung cấp dịch vụ Cloud, thay đổi hệ thống quản trị (HRM/CRM) hoặc mở rộng phạm vi chia sẻ dữ liệu với đối tác.
• Cập nhật định kỳ theo quy định: Theo Điều 21 và Điều 22 Luật Bảo vệ dữ liệu cá nhân 2025, Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) phải được cập nhật định kỳ 06 tháng/lần hoặc cập nhật ngay khi có các thay đổi theo quy định, như doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin về đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến hoạt động xử lý dữ liệu cá nhân đã đăng ký.
• Thời hạn nộp hồ sơ bắt buộc: Doanh nghiệp phải gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an trong thời hạn 60 ngày kể từ ngày bắt đầu tiến hành xử lý dữ liệu cá nhân.

4. Quy trình 5 bước xây dựng hồ sơ DPIA chuẩn theo quy định của pháp luật

Để hồ sơ DPIA vừa đáp ứng các yêu cầu về biểu mẫu theo Nghị định 356/2025/NĐ-CP, vừa hỗ trợ doanh nghiệp kiểm soát rủi ro trong hoạt động sản xuất, kinh doanh và sẵn sàng giải trình khi có yêu cầu kiểm tra từ cơ quan nhà nước có thẩm quyền, doanh nghiệp có thể thực hiện theo 05 bước sau:

1. Kiểm toán và lập bản đồ luồng dữ liệu (Data Mapping): Rà soát toàn bộ vòng đời dữ liệu, từ thu thập → lưu trữ → sử dụng → chia sẻ → xóa bỏ.
2. Đánh giá tính hợp pháp của căn cứ xử lý: Rà soát và chuẩn hóa các Biểu mẫu đồng ý (Consent Form), Chính sách quyền riêng tư (Privacy Policy) và Điều khoản dịch vụ nhằm bảo đảm phù hợp với các quy định pháp luật hiện hành.
3. Phân tích rủi ro pháp lý và an ninh thông tin: Đánh giá các nguy cơ phát sinh khiếu nại, tranh chấp hoặc xử phạt vi phạm hành chính trong trường hợp xảy ra sự cố rò rỉ hoặc xâm phạm dữ liệu.
4. Chuẩn hóa hệ thống văn bản và quy trình tuân thủ: Xây dựng và ban hành Quy chế bảo vệ dữ liệu nội bộ, Quy trình ứng phó sự cố rò rỉ dữ liệu và ký kết Thỏa thuận xử lý dữ liệu (DPA) với các đơn vị cung cấp dịch vụ (Vendors).
5. Hoàn thiện hồ sơ và hỗ trợ giải trình: Lập Báo cáo DPIA chính thức và hỗ trợ, đại diện doanh nghiệp làm việc với cơ quan chuyên trách A05 trong trường hợp có yêu cầu thẩm tra, giải trình hoặc chỉnh sửa hồ sơ.

5. Dịch vụ Tư vấn & Lập hồ sơ DPIA trọn gói cho Doanh nghiệp

Việc tự triển khai DPIA có thể khiến doanh nghiệp đối mặt với các rủi ro tuân thủ do chưa cập nhật đầy đủ các quy định mới của Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP. Đội ngũ Luật sư chuyên trách của CBI sẵn sàng đồng hành cùng doanh nghiệp trong việc khảo sát thực tế, rà soát và chuẩn hóa quy trình xử lý dữ liệu, đồng thời hoàn thiện hồ sơ DPIA phù hợp với yêu cầu pháp luật và đặc thù hoạt động của doanh nghiệp.

Bài viết này chỉ nhằm mục đích cung cấp thông tin chung và không được xem là ý kiến tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Các quy định pháp luật được dẫn chiếu trong bài viết có hiệu lực tại thời điểm đăng tải, nhưng có thể đã được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực tại thời điểm Bạn đọc quan tâm. Do đó, Chúng tôi khuyến nghị Bạn đọc nên tham khảo ý kiến của luật sư trước khi áp dụng.

Mọi thắc mắc, nhu cầu tư vấn liên quan đến dịch vụ thực hiện thủ tục đánh giá tác động dữ liệu cá nhân và các dịch vụ pháp lý khác có liên quan, Quý khách hàng vui lòng liên hệ Công ty Luật TNHH CBI để được hỗ trợ.