DPIA NỘI BỘ HAY THUÊ NGOÀI? GÓC NHÌN TỪ DOANH NGHIỆP ĐANG TĂNG TRƯỞNG

Khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực từ ngày 01/01/2026, câu hỏi mà nhiều lãnh đạo doanh nghiệp đang tăng trưởng đặt ra là: “DPIA nội bộ hay thuê ngoài – lựa chọn nào phù hợp hơn với doanh nghiệp mình?” Đánh giá tác động xử lý dữ liệu cá nhân (DPIA – Data Protection Impact Assessment) không còn là thủ tục hành chính mang tính hình thức mà đã trở thành công cụ quản trị rủi ro chiến lược, bắt buộc đối với hầu hết các tổ chức, doanh nghiệp theo quy định pháp luật mới. Tùy vào quy mô, nguồn lực và mức độ xử lý dữ liệu, mỗi doanh nghiệp cần cân nhắc kỹ lưỡng giữa việc tự thực hiện DPIA nội bộ hay sử dụng dịch vụ thuê ngoài. Bài viết dưới đây phân tích từng phương án dưới góc nhìn pháp lý để giúp doanh nghiệp có căn cứ quyết định phù hợp.

CƠ SỞ PHÁP LÝ

– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (có hiệu lực từ ngày 01/01/2026);

– Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

I. DPIA LÀ GÌ VÀ TẠI SAO DOANH NGHIỆP ĐANG TĂNG TRƯỞNG PHẢI QUAN TÂM?

1.1. Khái niệm về DPIA

DPIA (Data Protection Impact Assessment) – Đánh giá tác động xử lý dữ liệu cá nhân được định nghĩa tại Khoản 12, Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: “Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân.” Kết quả của quá trình này được tập hợp thành Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là hồ sơ DPIA), là tài liệu pháp lý quan trọng mà doanh nghiệp phải lập, lưu trữ và gửi cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

1.2. Doanh nghiệp nào phải thực hiện DPIA?

Theo quy định tại Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, hầu hết các tổ chức, doanh nghiệp có hoạt động xử lý dữ liệu cá nhân đều phải lập hồ sơ DPIA. Đặc biệt, Luật Bảo vệ dữ liệu cá nhân 2025 chỉ miễn trừ một số ít đối tượng như doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp và hộ kinh doanh khi đáp ứng các điều kiện nhất định – và ngay cả những đối tượng này cũng không được miễn nếu có kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm. Như vậy, các doanh nghiệp đang tăng trưởng, có quy mô từ vừa trở lên, hầu như đều thuộc diện phải thực hiện DPIA.

Thời hạn nộp hồ sơ DPIA cũng được quy định rõ: theo Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ phải được gửi cho cơ quan chuyên trách trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu. Việc vi phạm quy định này tiềm ẩn rủi ro pháp lý và chế tài xử phạt không nhỏ đối với doanh nghiệp.

II.  THỦ TỤC LẬP VÀ GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN

3.1. Thành phần hồ sơ

Thành phần hồ sơ báo cáo xử lý dữ liệu cá nhân được quy định cụ thể tại khoản 2 và khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao gồm các tài liệu sau:

3.2. Hình thức nộp

Khi đã chuẩn bị đầy đủ hồ sơ, doanh nghiệp có thể lựa chọn một trong ba hình thức nộp hồ sơ:

• Trực tuyến: Truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

• Trực tiếp: tại Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao, Bộ Công an.

• Bưu chính: Bộ phận tiếp nhận và trả kết quả thủ tục hành chính về bảo vệ dữ liệu cá nhân tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

3.3. Cơ quan giải quyết hồ sơ

Cơ quan tiếp nhận và giải quyết hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.

3.4. Thời hạn nộp hồ sơ

Thời hạn gửi hồ sơ trong vòng 60 ngày kể từ ngày Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân tiến hành xử lý dữ liệu cá nhân. 

III. DPIA NỘI BỘ HAY THUÊ NGOÀI – PHÁP LUẬT QUY ĐỊNH NHƯ THẾ NÀO?

3.1. Quy định về hình thức thực hiện DPO/DPD

Pháp luật hiện hành không bắt buộc doanh nghiệp phải chọn giữa DPIA nội bộ hoặc thuê ngoài. Theo khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân năm 2025 và Điều 13, 14 Nghị định 356/2025/NĐ-CP, các tổ chức có trách nhiệm chỉ định bộ phận hoặc nhân sự chuyên trách bảo vệ dữ liệu cá nhân (DPO – Data Protection Officer / DPD – Data Protection Department). Đặc biệt, Nghị định 356/2025/NĐ-CP đã làm rõ rằng doanh nghiệp có thể kết hợp cả hai hình thức: vừa bổ nhiệm DPO/thành lập DPD nội bộ, vừa thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân từ bên ngoài.

3.2. Điều kiện đối với nhân sự bảo vệ dữ liệu nội bộ

Theo Nghị định 356/2025/NĐ-CP, nhân sự bảo vệ dữ liệu cá nhân (DPO) nội bộ cần đáp ứng: 

• tốt nghiệp đại học trở lên; 
• có ít nhất 02 năm kinh nghiệm liên quan đến pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự; 
• đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

3.3. Điều kiện đối với bên cung cấp dịch vụ thuê ngoài

Đối với hình thức thuê ngoài, Nghị định 356/2025/NĐ-CP quy định cá nhân cung cấp dịch vụ cần có: 

• trình độ đại học trở lên; 
• ít nhất 03 năm kinh nghiệm trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, quản trị rủi ro hoặc kiểm soát tuân thủ; 
• đã được đào tạo chuyên sâu về bảo vệ dữ liệu cá nhân. Đối với tổ chức cung cấp dịch vụ, toàn bộ nhân sự tham gia phải đáp ứng các điều kiện tương tự.

Về trách nhiệm pháp lý của bên thuê ngoài: Căn cứ khoản 4 Điều 15 Nghị định 356/2025/NĐ-CP, cá nhân cung cấp dịch vụ phải: 

• thực hiện dịch vụ đúng phạm vi trong hợp đồng, thỏa thuận; 
• không lợi dụng việc cung cấp dịch vụ để thực hiện các hành vi vi phạm; 
• thực hiện xóa, hủy dữ liệu cá nhân xử lý trong quá trình cung cấp dịch vụ sau khi hoàn thành hợp đồng.

IV. GÓC NHÌN TỪ DOANH NGHIỆP ĐANG TĂNG TRƯỞNG: NÊN CHỌN HÌNH THỨC NÀO?

Dựa trên các quy định của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, bảng dưới đây tổng hợp điểm so sánh giữa ba mô hình thực hiện DPIA để doanh nghiệp đang tăng trưởng dễ dàng đối chiếu và lựa chọn:

• Mô hình kết hợp – Giải pháp linh hoạt cho giai đoạn tăng trưởng

Ngoài hai mô hình trên, những doanh nghiệp đang mở rộng quy mô có thể chọn mô hình kết hợp – vừa có nhân sự nội bộ phụ trách bảo vệ dữ liệu vừa thuê ngoài tư vấn/dịch vụ chuyên sâu – được Nghị định 356/2025/NĐ-CP thừa nhận và cho phép áp dụng. Đây là lựa chọn linh hoạt: nhân sự nội bộ hiểu rõ hoạt động kinh doanh, trong khi đơn vị tư vấn thuê ngoài đảm bảo tính chính xác pháp lý của hồ sơ DPIA. 

Điều quan trọng, dù chọn hình thức nào, trách nhiệm pháp lý cuối cùng vẫn thuộc về doanh nghiệp với tư cách là Bên Kiểm soát dữ liệu hoặc Bên Xử lý dữ liệu. Vì vậy, hợp đồng thuê ngoài cần quy định rõ phạm vi dịch vụ, trách nhiệm cập nhật DPIA định kỳ (mỗi 06 tháng theo quy định), và cơ chế xử lý khi có thay đổi về hoạt động xử lý dữ liệu.

MỘT SỐ CÂU HỎI THƯỜNG GẶP VỀ DPIA

Câu hỏi 1: Doanh nghiệp mới thành lập có phải thực hiện DPIA không?

• Có, nếu doanh nghiệp bắt đầu hoạt động xử lý dữ liệu cá nhân. Tuy nhiên, doanh nghiệp nhỏ, khởi nghiệp và siêu nhỏ được miễn 05 năm đầu, trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc chuyển dữ liệu ra nước ngoài.

Câu hỏi 2: Doanh nghiệp B2B đóng vai trò bên xử lý có cần lập hồ sơ DPIA riêng không?

• Có. Nghị định 356/2025/NĐ-CP quy định rõ Bên Xử lý dữ liệu (agency marketing, nhà cung cấp phần mềm, dịch vụ cloud…) bắt buộc phải lập hồ sơ DPIA riêng, không phụ thuộc vào việc bên thuê dịch vụ đã lập hồ sơ hay chưa.

KẾT LUẬN

Câu hỏi “DPIA nội bộ hay thuê ngoài?” không có câu trả lời tuyệt đối. Điều quan trọng là mỗi doanh nghiệp đang tăng trưởng cần hiểu rõ nghĩa vụ pháp lý của mình theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Nghị định 13/2023/NĐ-CP, từ đó đánh giá năng lực nội tại để đưa ra lựa chọn phù hợp. Dù tự thực hiện DPIA hay sử dụng dịch vụ thuê ngoài, mục tiêu sau cùng là xây dựng một hệ thống bảo vệ dữ liệu cá nhân bền vững, minh bạch và đáp ứng đầy đủ yêu cầu pháp luật – không chỉ để tránh chế tài mà còn để tạo nền tảng tin cậy cho sự phát triển dài hạn của doanh nghiệp.