Lập hồ sơ DPIA (Đánh giá tác động xử lý dữ liệu cá nhân) để nộp cơ quan quản lý là một trong những nghĩa vụ pháp lý bắt buộc mà doanh nghiệp cần thực hiện kể từ khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026.
Tuy nhiên, thực tế cho thấy nhiều tổ chức vẫn còn lúng túng, mắc phải những sai lầm nghiêm trọng trong quá trình soạn thảo và nộp hồ sơ DPIA, dẫn đến hồ sơ bị trả lại, không đáp ứng yêu cầu của cơ quan quản lý hoặc tiềm ẩn rủi ro pháp lý. Bài viết dưới đây phân tích 7 sai lầm phổ biến nhất khi lập hồ sơ DPIA nộp cơ quan quản lý và hướng khắc phục dựa trên các quy định pháp luật hiện hành.
CƠ SỞ PHÁP LÝ
– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (có hiệu lực từ ngày 01/01/2026);
– Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
I. TỔNG QUAN VỀ HỒ SƠ DPIA VÀ NGHĨA VỤ NỘP CƠ QUAN QUẢN LÝ
1.1. Hồ sơ DPIA là gì và ai phải lập?
Đánh giá tác động xử lý dữ liệu cá nhân (viết tắt là DPIA – Data Protection Impact Assessment) là một quy trình đánh giá nhằm nhận diện, phân tích và giảm thiểu các rủi ro phát sinh từ hoạt động xử lý dữ liệu cá nhân. Theo khoản 12 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15), đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân. Nói cách khác, DPIA là một quy trình đánh giá có hệ thống, tập trung vào việc xác định và xử lý các rủi ro thực tế mà hoạt động xử lý dữ liệu có thể gây ra đối với quyền và lợi ích hợp pháp của cá nhân.
Theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025, tất cả các tổ chức có xử lý dữ liệu cá nhân đều có nghĩa vụ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), trừ một số ít trường hợp được miễn trừ, cụ thể là các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ khi đáp ứng một số điều kiện nhất định theo quy định của Luật.
1.2. Thời hạn nộp hồ sơ DPIA
Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ DPIA phải được gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Cục A05, Bộ Công an) trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu cá nhân. Ngoài ra, hồ sơ cần được cập nhật định kỳ 06 tháng một lần và phải cập nhật ngay khi có thay đổi quan trọng về mục đích, phạm vi, loại dữ liệu hoặc bên xử lý.
II. 7 SAI LẦM PHỔ BIẾN KHI LẬP HỒ SƠ DPIA NỘP CƠ QUAN QUẢN LÝ
2.1. Sai lầm 1: Không xác định rõ thời hạn lưu trữ và cơ chế tiêu hủy
- Một thiếu sót cực kỳ nghiêm trọng thường xuất hiện trong các bộ hồ sơ là sự vắng bóng của các chính sách liên quan đến thời hạn lưu trữ và cơ chế tiêu hủy dữ liệu. Nhiều công ty vẫn giữ thói quen thu thập thông tin người dùng và lưu trữ vô thời hạn trên các máy chủ với hy vọng có thể tái sử dụng cho các chiến dịch kinh doanh trong tương lai. Hành vi này vi phạm trực tiếp nguyên tắc giới hạn mục đích và lưu trữ tối thiểu được quy định rất chặt chẽ trong các nghị định về bảo vệ dữ liệu cá nhân hiện hành. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bắt buộc phải minh định rõ khoảng thời gian thông tin được phép tồn tại trên hệ thống sau khi khách hàng ngừng sử dụng dịch vụ. Kèm theo đó, tổ chức phải mô tả chi tiết quy trình kỹ thuật để xóa bỏ hoặc ẩn danh hóa dữ liệu một cách an toàn, không thể khôi phục nhằm bảo vệ quyền lợi tuyệt đối cho người dùng.
2.2. Sai lầm 2: Sử dụng mẫu biểu cũ theo Nghị định 13/2023/NĐ-CP
- Từ ngày 01/01/2026, Nghị định 356/2025/NĐ-CP đã thay thế hoàn toàn Nghị định 13/2023/NĐ-CP và chuẩn hóa hệ thống mẫu biểu mới. Cụ thể, hồ sơ DPIA nội địa sử dụng Mẫu số 10 ban hành kèm theo Nghị định 356/2025/NĐ-CP, thay thế hoàn toàn các Mẫu số 04 và Mẫu số 05 của Nghị định cũ. Nhiều doanh nghiệp vẫn tiếp tục sử dụng biểu mẫu cũ do chưa cập nhật kịp thời, dẫn đến hồ sơ DPIA không được chấp nhận. Đối với các hồ sơ đã nộp theo Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026, doanh nghiệp cần rà soát và cập nhật, bổ sung theo các yêu cầu mới, đặc biệt là các phần liên quan đến đánh giá rủi ro và biện pháp bảo vệ dữ liệu nhạy cảm.
2.3. Sai lầm 3: Bỏ sót thông tin bắt buộc trong hồ sơ DPIA
- Một hồ sơ DPIA không đầy đủ nội dung bắt buộc sẽ không đáp ứng yêu cầu của cơ quan quản lý. Theo Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ DPIA của Bên Kiểm soát dữ liệu phải bao gồm tối thiểu các nội dung: (i) thông tin và chi tiết liên lạc của bên kiểm soát; (ii) họ tên, chi tiết liên lạc của tổ chức được phân công thực hiện nhiệm vụ bảo vệ dữ liệu (DPO); (iii) mục đích và căn cứ pháp lý xử lý; (iv) các loại dữ liệu cá nhân đang được xử lý; (v) thời gian xử lý và thời gian dự kiến xóa, hủy dữ liệu; (vi) biện pháp bảo vệ dữ liệu đang áp dụng; và (vii) đánh giá hậu quả, thiệt hại không mong muốn và các biện pháp giảm thiểu rủi ro. Việc bỏ sót bất kỳ mục nào trong số này đều có thể khiến hồ sơ DPIA bị cơ quan chức năng yêu cầu bổ sung hoặc trả lại.
2.4. Sai lầm 4: Đánh giá rủi ro hời hợt, thiếu thực tế
- Trong giai đoạn Nghị định 13/2023/NĐ-CP, nhiều doanh nghiệp coi việc lập hồ sơ DPIA chủ yếu là một thủ tục hành chính mang tính hình thức. Luật Bảo vệ dữ liệu cá nhân 2025 đã tái định vị DPIA như một quy trình quản trị rủi ro thực chất, đòi hỏi doanh nghiệp phải mô tả cụ thể và trung thực các hậu quả, thiệt hại không mong muốn có khả năng xảy ra và các biện pháp giảm thiểu hoặc loại bỏ rủi ro tương ứng. Việc kê khai chung chung như “có áp dụng biện pháp bảo mật” hoặc “không có rủi ro đáng kể” mà không có nội dung cụ thể, có thể khiến hồ sơ DPIA không được đánh giá là đạt yêu cầu. Doanh nghiệp cần đầu tư thực sự vào việc nhận diện các tình huống rủi ro thực tế như rò rỉ dữ liệu, truy cập trái phép, hoặc xử lý vượt quá mục đích được phép.
2.5. Sai lầm 5: Nộp hồ sơ DPIA trễ thời hạn hoặc không biết thời điểm bắt đầu tính
- Nhiều doanh nghiệp không biết rằng thời hạn 60 ngày để nộp hồ sơ DPIA được tính từ thời điểm bắt đầu xử lý dữ liệu cá nhân, tức là từ khi doanh nghiệp thu thập dữ liệu đầu tiên, chứ không phải từ khi đăng ký thành lập doanh nghiệp hay ký hợp đồng với khách hàng. Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, nộp hồ sơ DPIA trễ hạn là một hành vi vi phạm pháp luật có thể bị xử phạt. Việc chậm trễ trong nộp hồ sơ DPIA không chỉ tạo ra rủi ro bị phạt hành chính mà còn ảnh hưởng đến uy tín pháp lý của doanh nghiệp trong trường hợp bị kiểm tra, thanh tra.
2.6. Sai lầm 6: Không cập nhật hồ sơ DPIA khi có thay đổi
- Sau khi nộp hồ sơ DPIA lần đầu, nhiều doanh nghiệp xem đây là việc đã “hoàn thành một lần” và không thực hiện cập nhật. Đây là một sai lầm nghiêm trọng. Theo khoản 2 Điều 22 Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ DPIA phải được cập nhật định kỳ 06 tháng một lần kể từ lần đầu nộp hồ sơ, đồng thời phải cập nhật ngay khi có thay đổi quan trọng về: mục đích xử lý dữ liệu; các loại dữ liệu cá nhân được xử lý; thời gian lưu trữ; thay đổi bên xử lý dữ liệu hoặc thay đổi thông tin về bộ phận/nhân sự bảo vệ dữ liệu (DPO). Việc thực hiện cập nhật hồ sơ DPIA được thực hiện theo mẫu biểu tương ứng quy định tại Nghị định 356/2025/NĐ-CP và gửi đến cơ quan chuyên trách theo đúng quy trình.
2.7. Sai lầm 7: Không đảm bảo hồ sơ DPIA luôn sẵn sàng để cơ quan chức năng kiểm tra
- Bên cạnh nghĩa vụ nộp hồ sơ DPIA cho cơ quan quản lý, doanh nghiệp còn phải đảm bảo rằng hồ sơ DPIA luôn ở trạng thái sẵn sàng để phục vụ hoạt động kiểm tra, thanh tra của Cục A05 – Bộ Công an. Theo Điều 19 Nghị định 356/2025/NĐ-CP, hồ sơ phải có sẵn để xuất trình khi có yêu cầu kiểm tra bất kỳ lúc nào. Một sai lầm thường gặp là doanh nghiệp chỉ lưu giữ hồ sơ DPIA dưới dạng bản thảo nội bộ chưa được phê duyệt chính thức, hoặc không có người đại diện có thẩm quyền ký xác nhận hồ sơ. Ngoài ra, doanh nghiệp cần lưu ý rằng theo Nghị định 356/2025/NĐ-CP, Cục A05 có thẩm quyền đánh giá và trả kết quả đối với hồ sơ DPIA trong thời hạn 15 ngày – điều này đòi hỏi hồ sơ phải đầy đủ, chính xác ngay từ đầu để tránh bị yêu cầu hoàn thiện.
III. CÂU HỎI THƯỜNG GẶP VỀ HỒ SƠ DPIA
Doanh nghiệp nhỏ có phải nộp hồ sơ DPIA không?
- Theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, không có quy định miễn trừ hoàn toàn nghĩa vụ lập hồ sơ DPIA cho doanh nghiệp nhỏ. Tuy nhiên, Nghị định có hướng dẫn đơn giản hóa quy trình đánh giá tác động cho các doanh nghiệp quy mô nhỏ, ít xử lý dữ liệu nhạy cảm.
Hồ sơ DPIA đã nộp theo Nghị định 13/2023/NĐ-CP có cần làm lại không?
- Có. Theo quy định chuyển tiếp, các hồ sơ DPIA đã nộp theo Nghị định 13/2023/NĐ-CP cần được rà soát và cập nhật, bổ sung theo mẫu biểu và yêu cầu mới của Nghị định 356/2025/NĐ-CP, đặc biệt là các phần liên quan đến đánh giá rủi ro và biện pháp bảo vệ dữ liệu nhạy cảm.
Mức phạt vi phạm liên quan đến hồ sơ DPIA là bao nhiêu?
- Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền có thể lên tới 3 tỷ đồng cho các vi phạm về bảo vệ dữ liệu. Đối với vi phạm chuyển dữ liệu xuyên biên giới, mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền kề.
Hồ sơ DPIA được nộp bằng hình thức nào?
- Doanh nghiệp có thể nộp hồ sơ DPIA theo hai hình thức: nộp trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân khi hệ thống vận hành, hoặc nộp trực tiếp/qua dịch vụ bưu chính về Cục A05 – Bộ Công an.
KẾT LUẬN
Việc lập hồ sơ DPIA để nộp cơ quan quản lý là nghĩa vụ pháp lý bắt buộc và quan trọng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Hiểu rõ và tránh được 7 sai lầm phổ biến nêu trên sẽ giúp doanh nghiệp xây dựng hồ sơ DPIA đạt chuẩn, hạn chế rủi ro pháp lý và thể hiện trách nhiệm bảo vệ dữ liệu cá nhân một cách nghiêm túc. Doanh nghiệp nên chủ động rà soát, cập nhật hồ sơ DPIA định kỳ và tham vấn chuyên gia pháp lý khi cần thiết để đảm bảo tuân thủ liên tục theo quy định của pháp luật hiện hành.
