Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân 2025 gồm những tài liệu nào?

LexNovum Lawyers

16/07/2026

Luật Bảo vệ dữ liệu cá nhân 2025 (“Luật BVDLCN 2025”) đặt ra nghĩa vụ cho các doanh nghiệp trong việc thiết lập hành lang an toàn dữ liệu thông qua các báo cáo đánh giá tác động. Trên cơ sở đó, Nghị định 356/2025/NĐ-CP [1] (“NĐ 356”) đã cụ thể hóa thành phần hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (“DLCN”) và hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới. Trên thực tế, nhiều doanh nghiệp vẫn lúng túng trước các câu hỏi như: Thành phần hồ sơ gồm những tài liệu gì? Và khi thực hiện nộp hồ sơ, doanh nghiệp cần lưu ý những gì để đảm bảo tính tuân thủ theo quy định pháp luật?

Trong bài viết này, LNV sẽ lần lượt làm rõ: (i) thành phần của từng loại hồ sơ, bao gồm hồ sơ đánh giá tác động xử lý DLCN (“Hồ sơ PIA”) và hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới (“Hồ sơ TIA”); và (ii) một số lưu ý thực tiễn cho doanh nghiệp trong quá trình chuẩn bị và nộp hồ sơ.

1. Thành phần Hồ sơ PIA và Hồ sơ TIA

a) Hồ sơ PIA

Theo Điều 21.1, Điều 21.3 Luật BVDLCN 2025 và Điều 19.1 NĐ 356, bên kiểm soát DLCN, bên kiểm soát và xử lý DLCN, bên xử lý DLCN có trách nhiệm lập và lưu giữ Hồ sơ PIA của mình kể từ thời điểm bắt đầu xử lý DLCN. Theo Điều 19.2, Điều 19.3 và Điều 19.4 NĐ 356, thành phần Hồ sơ PIA bao gồm:

b) Hồ sơ TIA

Theo Điều 20.2 Luật BVDLCN 2025 và Điều 18.1 NĐ 356, doanh nghiệp có hoạt động chuyển DLCN xuyên biên giới theo quy định tại Điều 20.1 Luật BVDLCN 2025 phải lập Hồ sơ TIA, trừ trường hợp quy định tại Điều 20.6 Luật BVDLCN 2025 và Điều 17.3 NĐ 356 (Chi tiết vấn đề này LexNovum Lawyers đã phân tích trong bài viết: “Chuyển DLCN xuyên biên giới là gì? Khi nào phải lập hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới?”, Quý doanh nghiệp có thể xem chi tiết tại Đây). Theo đó, căn cứ Điều 18.2, Điều 18.3 và Điều 18.4 NĐ 356, Hồ sơ TIA của doanh nghiệp bao gồm:

2. Một số lưu ý thực tiễn cho doanh nghiệp trong quá trình chuẩn bị và nộp hồ sơ

Bên cạnh việc xác định đúng thành phần hồ sơ, doanh nghiệp cũng cần lưu ý một số vấn đề thực tiễn trong quá trình chuẩn bị, lưu giữ và nộp Hồ sơ PIA và Hồ sơ TIA. Đây là những điểm quan trọng giúp doanh nghiệp vừa đáp ứng đúng yêu cầu tuân thủ, vừa tránh phát sinh rủi ro về thủ tục hành chính. Theo đó, LNV thông tin đến Quý Khách hàng một số lưu ý thực tiễn như sau:

a) NĐ 356 đặt ra yêu cầu nghiêm ngặt về việc quản lý dữ liệu tại chỗ, theo đó doanh nghiệp phải luôn lưu giữ và sẵn sàng cung cấp cả Hồ sơ PIA (Điều 19.4) lẫn Hồ sơ TIA (Điều 18.4) (nếu có) để phục vụ hoạt động thanh tra, kiểm tra và đánh giá của cơ quan chuyên trách bảo vệ dữ liệu bất kỳ lúc nào.

b) Theo Điều 5.4 Luật BVDLCN 2025 và Điều 42.3 NĐ 356, doanh nghiệp không phải thực hiện đồng thời hai thủ tục đánh giá riêng biệt cho cùng một hoạt động xử lý/chuyển DLCN. Theo đó, khi xử lý hoặc chuyển “dữ liệu cốt lõi”, “dữ liệu quan trọng” xuyên biên giới mà các dữ liệu này là DLCN thì doanh nghiệp chỉ cần lập hồ sơ đánh giá tác động theo pháp luật về bảo vệ DLCN. Sau khi hoàn tất hồ sơ này, doanh nghiệp được miễn thực hiện thêm các thủ tục đánh giá rủi ro hoặc đánh giá tác động khác theo quy định chung của pháp luật về dữ liệu.

c) Trường hợp doanh nghiệp đồng thời có nhiều vai trò trong luồng xử lý DLCN, ví dụ vừa là bên kiểm soát và xử lý DLCN, vừa là bên xử lý DLCN cho đối tác khác, thì doanh nghiệp chỉ cần lập và nộp 01 bộ Hồ sơ PIA.

Trong bộ hồ sơ này, doanh nghiệp cần kê khai đầy đủ từng vai trò xử lý dữ liệu tương ứng, mô tả rõ luồng dữ liệu theo từng tư cách, đồng thời đính kèm đầy đủ các hợp đồng/thỏa thuận liên quan. Nói cách khác, doanh nghiệp không phải tách thành nhiều bộ hồ sơ riêng chỉ vì có nhiều vai trò khác nhau, nhưng phải bảo đảm nội dung hồ sơ phản ánh đầy đủ và chính xác toàn bộ các hoạt động xử lý dữ liệu đang thực hiện.

Trên đây là phần cập nhật của LNV về thành phần hồ sơ đánh giá tác động theo NĐ 356 và các điểm doanh nghiệp cần đặc biệt lưu ý trong quá trình triển khai nghĩa vụ tuân thủ liên quan đến xử lý DLCN và chuyển DLCN xuyên biên giới. Trường hợp Quý khách hàng cần được tư vấn cụ thể hơn về việc xây dựng quy trình tuyển dụng phù hợp với quy định về bảo vệ DLCN hoặc các vấn đề pháp lý liên quan, Quý khách hàng vui lòng liên hệ hotline hoặc email của LNV tại địa chỉ info@lexnovum.com.vn để được hỗ trợ chi tiết.

Thực hiện: Cộng sự Ngọc Mai, Thực tập sinh Trung Tín

Tham vấn: Luật sư Phan Nhi

Lưu ý:

Những thông tin tại bài viết này chỉ nên được sử dụng nhằm mục đích tham khảo. Chúng tôi không chịu trách nhiệm hay có nghĩa vụ pháp lý đối với bất kỳ cá nhân, tổ chức nào sử dụng thông tin tại bài viết này ngoài mục đích tham khảo. Trước khi đưa ra bất kỳ sự lựa chọn hoặc quyết định nào, Quý Khách hàng vui lòng tham vấn thêm các khuyến nghị một cách chính thức, hoặc liên hệ LexNovum Lawyers để nhận được sự tư vấn chuyên sâu từ chúng tôi.

Vui lòng trích dẫn nguồn “LexNovum Lawyers” khi sử dụng hoặc chia sẻ bài viết này tại bất kỳ đâu.

————————————–

[1]: Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.