Đánh giá tác động hoạt động bảo vệ dữ liệu cá nhân không chỉ là THỦ TỤC HÀNH CHÍNH bắt buộc mà còn là công cụ giúp doanh nghiệp nhận diện rủi ro, xây dựng, cải thiện, nâng cao các biện pháp bảo vệ dữ liệu phù hợp và chứng minh việc tuân thủ pháp luật trong quá trình xử lý dữ liệu cá nhân.
Vậy, Doanh nghiệp phải lập những hồ sơ đánh giá tác động nào?
Luật bảo vệ dữ liệu cá nhân quy định có 02 loại hồ sơ đánh giá tác động là:
+ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Hồ sơ này do cơ quan, tổ chức, cá nhân là Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ và nộp 01 bộ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Bên xử lý dữ liệu cá nhân chỉ lập và lưu trữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo thỏa thuận với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân.
Lưu ý: Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời gian 05 năm kể từ ngày 01/01/2026. Tuy nhiên, ngoại lệ này không áp dụng đối với Hộ kinh doanh, Doanh nghiệp siêu nhỏ, Doanh nghiệp nhỏ, Doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
+ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: Hồ sơ này do cơ quan, tổ chức, cá nhân thực hiện hoạt động chuyển dữ liệu cá nhân xuyên biên giới lập, lưu trữ và nộp 01 bộ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Lưu ý: Các trường hợp sau không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới:
i) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;
ii) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;
iii) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;
iv) Hoạt động báo chí, truyền thông theo quy định của pháp luật;
v) Việc chuyển dữ liệu cá nhân xuyên biên giới đã được công khai theo quy định của pháp luật;
vi) Trong các tình huống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân xuyên biên giới để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật;
vii) Hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật;
viii) Việc cung cấp dữ liệu cá nhân xuyên biên giới để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.
Khi nào thì phải lập hồ sơ đánh giá tác động?
Ngay từ thời điểm phát sinh hoạt động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân xuyên biên giới hoặc thời điểm không còn thuộc trường hợp ngoại lệ/miễn trừ, cơ quan, tổ chức, cá nhân đã phát sinh nghĩa vụ lập hồ sơ đánh giá tác động.
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm những gì?
Thành phần hồ sơ:
+ Thông báo gửi hồ sơ đánh giá tác động xử lý DLCN Mẫu số 02a/02b;
+ Báo cáo đánh giá tác động xử lý DLCN theo Mẫu số 10;
+ Bản sao quyết định hoặc văn bản thể hiện việc chỉ định, phân công bộ phận/nhân sự bảo vệ DLCN và giấy tờ chứng minh nhân sự bảo vệ DLCN đáp ứng điều kiện;
+ Bản sao hợp đồng hoặc thỏa thuận về việc sử dụng dịch vụ bảo vệ DLCN (nếu có);
+ Bản sao Hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân với các bên (nếu có);
+ Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ DLCN của bên kiểm soát DLCN, bên kiểm soát và xử lý DLCN, bên xử lý DLCN.
Thời hạn gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho Cơ quan có thẩm quyền: trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân.
Phương thức gửi hồ sơ: trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính.
Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới gồm những gì?
Thành phần hồ sơ:
+ Thông báo gửi hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới Mẫu số 01a/01b;
+ Báo cáo đánh giá tác động chuyển DLCN xuyên biên giới theo Mẫu số 09;
+ Bản sao quyết định hoặc văn bản thể hiện việc chỉ định, phân công bộ phận/nhân sự bảo vệ DLCN và giấy tờ chứng minh nhân sự bảo vệ DLCN đáp ứng điều kiện;
+ Bản sao hợp đồng hoặc thỏa thuận về việc sử dụng dịch vụ bảo vệ DLCN (nếu có);
+ Bản sao hợp đồng hoặc văn bản chuyển giao DLCN (nếu có);
+ Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ DLCN của cơ quan, tổ chức, cá nhân có hoạt động chuyển DLCN xuyên biên giới.
Thời hạn gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho Cơ quan có thẩm quyền: trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới.
Phương thức gửi hồ sơ: trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính.
Hồ sơ đánh giá tác động có thời hạn không?
Đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật định kỳ 06 tháng khi có sự thay đổi hoặc trong thời hạn 10 ngày kể từ ngày có thay đổi trong một số trường hợp.
- Các trường hợp cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ:
- Khi phát sinh mục đích chuyển dữ liệu cá nhân mới, mục đích xử lý dữ liệu cá nhân mới;
- Khi phát sinh hoặc thay đổi Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân, Bên thứ ba.
- Các trường hợp cập nhật ngay trong thời hạn 10 ngày kể từ ngày có thay đổi:
- Khi cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;
- Khi có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
- Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Hồ sơ cập nhật hồ sơ đánh giá tác động gồm:
+ Thông báo cập nhật hồ sơ đánh giá tác động xử lý DLCN/đánh giá tác động chuyển DLCN xuyên biên giới Mẫu số 03a/03b;
+ Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (bản cập nhật) theo Mẫu số 09 hoặc Báo cáo đánh giá tác động xử lý dữ liệu cá nhân (bản cập nhật) theo Mẫu số 10.
+ Các văn bản, tài liệu có liên quan tới việc cập nhật hồ sơ.
Lưu ý: Nội dung bài viết được xây dựng trên ý kiến tư vấn chuyên môn của Luật sư/Chuyên gia pháp lý thuộc Luật LT VINA. Tuy nhiên, thông tin trong bài viết chỉ mang tính chất tham khảo và không thay thế cho ý kiến tư vấn pháp lý chính thức của Luật sư do mỗi vụ việc cụ thể có đặc thù riêng hoặc các quy định pháp luật được viện dẫn có thể đã được sửa đổi, bổ sung hoặc hết hiệu lực tại thời điểm Quý Khách hàng tiếp cận bài viết.
Quý Khách hàng không nên tự ý áp dụng nội dung bài viết khi chưa có sự tư vấn chính thức của Luật sư. Mọi thắc mắc và nhu cầu tư vấn, Quý Khách hàng vui lòng liên hệ trực tiếp với Luật sư qua số điện thoại: 0373.424.646 – 0982.333.565 hoặc Email: luatltvina@gmail.com để được tư vấn, hỗ trợ kịp thời.