Hồ sơ đánh giá tác động xử lý dữ liệu: ai phải lập, nộp ở đâu

Ai phải lập?

Điều 21 giao nghĩa vụ này cho bên kiểm soát: tổ chức quyết định mục đích và cách xử lý dữ liệu. Một shop online thu tên, số điện thoại, địa chỉ khách, hay gắn Pixel quảng cáo, thường ở vai này.

Ví dụ: một trung tâm tiếng Anh thu thông tin học viên và phụ huynh, lưu điểm danh, gửi tin nhắc học. Trung tâm quyết định thu gì, để làm gì, nên là bên kiểm soát.

Hồ sơ này khác hồ sơ chuyển dữ liệu ra nước ngoài (Điều 20). Cả hai đều gửi trong 60 ngày, nhưng tính từ hai mốc khác nhau: Điều 21 tính từ ngày bắt đầu xử lý, Điều 20 tính từ lần chuyển đầu tiên. Xem bài chuyển dữ liệu ra nước ngoài.

Ai được miễn?

Điều 38 Luật 91/2025/QH15 quy định:

• Doanh nghiệp nhỏ và khởi nghiệp: được chọn có hay không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33, trong 5 năm kể từ khi luật có hiệu lực.
• Hộ kinh doanh và doanh nghiệp siêu nhỏ: không phải thực hiện các nghĩa vụ này.
• Ngoại lệ, không được miễn: doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu; doanh nghiệp xử lý dữ liệu nhạy cảm (xem danh mục dữ liệu nhạy cảm); doanh nghiệp xử lý dữ liệu của số lượng lớn chủ thể. Theo bản tin EY về Nghị định 356, "số lượng lớn" là từ 100.000 chủ thể.

Lưu ý: Nghị định 356 xem dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu nhạy cảm. Một website chạy Pixel theo dõi khách có thể thuộc nhóm ngoại lệ, nên đừng vội cho rằng mình được miễn. Xem bài theo dõi hành vi là dữ liệu nhạy cảm và doanh nghiệp nhỏ có phải tuân thủ không.

Miễn trừ này không nhắc Điều 20, nên không khẳng định được doanh nghiệp nhỏ miễn hồ sơ chuyển dữ liệu ra nước ngoài.

Hồ sơ đã nộp trước 1/1/2026 theo Nghị định 13/2023/NĐ-CP tiếp tục được sử dụng.

Các mẫu phải dùng

Phụ lục Nghị định 356/2025/NĐ-CP (theo luatvietnam.vn) có các mẫu:

Theo cách đặt tên mẫu, tổ chức dùng nhóm "a", cá nhân dùng nhóm "b". Nội dung chi tiết từng mẫu, bài này chưa liệt kê; hãy lấy bản mới nhất từ nguồn chính thức.

Nộp ở đâu, xử lý ra sao?

• Nộp về Bộ Công an qua Cổng Dịch vụ công quốc gia, hoặc nộp trực tiếp, hoặc qua bưu chính.
• Hồ sơ thiếu: hoàn thiện trong 30 ngày.
• Cơ quan xử lý trả kết quả trong 15 ngày.
• Nghị quyết 22/2026/NQ-CP rút gọn hồ sơ và phân cấp 5 thủ tục về dữ liệu cá nhân cho công an tỉnh, áp dụng từ 29/4/2026 đến hết 1/3/2027. Vì vậy hồ sơ của doanh nghiệp ở tỉnh nào thường do công an tỉnh đó xử lý theo địa bàn. Bài này chưa liệt kê 5 thủ tục cụ thể; hãy xem văn bản gốc.

Cập nhật hồ sơ

Điều 22 và Nghị định 356 quy định:

• Cập nhật định kỳ 6 tháng kể từ lần nộp đầu, khi có thay đổi (mục đích mới, đổi bên kiểm soát, bên xử lý, bên thứ ba).
• Một số thay đổi phải cập nhật trong 10 ngày.
• Dùng Mẫu 03a (tổ chức).

Nếu bạn thêm một công cụ quảng cáo mới, đổi phần mềm đặt lịch, hay thuê một đơn vị xử lý dữ liệu mới, hãy ghi lại để cập nhật. Xem chia sẻ dữ liệu khách hàng cho đối tác.

Tóm tắt các mốc

Bạn cần làm gì

• Xác định doanh nghiệp là siêu nhỏ, nhỏ, hay lớn, và có thuộc ngoại lệ không (dữ liệu nhạy cảm, số lượng lớn).
• Liệt kê dữ liệu đang xử lý: thu gì, để làm gì, ai nhận, lưu ở đâu.
• Nếu phải lập, chuẩn bị Mẫu 01a rồi nộp qua Cổng Dịch vụ công trong 60 ngày.
• Đặt nhắc lịch cập nhật mỗi 6 tháng.
• Nếu được miễn hoặc được chọn không lập, ghi lại lý do để lúc cần có căn cứ trả lời.

Dùng kiểm tra nghĩa vụ để biết doanh nghiệp bạn thuộc nhóm nào, và máy quét website để biết website đang thu gì. Xem bảng giá nếu cần công cụ hỗ trợ.

Căn cứ pháp lý

• Luật 91/2025/QH15, Điều 20, Điều 21 (đánh giá tác động xử lý dữ liệu), Điều 22 (cập nhật), Điều 33 (lực lượng bảo vệ dữ liệu), Điều 38 (hiệu lực thi hành).
• Nghị định 356/2025/NĐ-CP (mẫu hồ sơ, cách nộp, cập nhật; theo luatvietnam.vn).
• Nghị quyết 22/2026/NQ-CP (phân cấp cho công an tỉnh, từ 29/4/2026 đến hết 1/3/2027).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.