SOP và DPIA đều là những công cụ quan trọng trong hệ thống quản trị và bảo vệ dữ liệu cá nhân của doanh nghiệp, nhưng hai khái niệm này hoàn toàn không thể thay thế cho nhau.
- Nhiều doanh nghiệp hiện nay đã đầu tư xây dựng bộ quy trình nội bộ (SOP – Standard Operating Procedure) khá bài bản trong lĩnh vực bảo vệ dữ liệu cá nhân: có chính sách bảo mật, có hướng dẫn thu thập dữ liệu, có mẫu đồng ý xử lý thông tin… Tuy nhiên, một câu hỏi đặt ra là: SOP đã đủ để tuân thủ pháp luật về bảo vệ dữ liệu cá nhân hay chưa?
- Thực tế cho thấy, dù có quy trình nội bộ chỉn chu đến đâu, doanh nghiệp vẫn có nguy cơ vi phạm pháp luật nếu bỏ qua nghĩa vụ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA – Data Protection Impact Assessment).
Bài viết này phân tích cơ sở pháp lý và lý giải vì sao DPIA là một nghĩa vụ bắt buộc, độc lập với SOP, mà doanh nghiệp không thể bỏ qua.
CƠ SỞ PHÁP LÝ
– Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15), có hiệu lực từ ngày 01/01/2026;
– Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân.
I. SOP LÀ GÌ VÀ VAI TRÒ CỦA SOP TRONG BẢO VỆ DỮ LIỆU CÁ NHÂN
1.1. Khái niệm và tác dụng SOP
- Khái niệm:
SOP (Standard Operating Procedure) là quy trình chuẩn thao tác, được thiết lập để hướng dẫn và duy trì chất lượng của công việc trong các tổ chức và doanh nghiệp. SOP giúp đảm bảo rằng các hoạt động được thực hiện một cách nhất quán và hiệu quả, giảm thiểu sai sót và cải thiện hiệu suất.
- Tác dụng của SOP trong công việc:
- Đảm bảo chất lượng: SOP giúp duy trì chất lượng công việc ổn định và nhất quán.
- Tăng hiệu suất: Giúp nhân viên thực hiện công việc nhanh chóng và chính xác hơn.
- Giảm thiểu sai sót: Hướng dẫn chi tiết giúp tránh những lỗi thường gặp.
- Đào tạo nhân viên mới: SOP là tài liệu hữu ích trong việc đào tạo và hướng dẫn nhân viên mới.
Theo đó, SOP trong lĩnh vực bảo vệ dữ liệu cá nhân là tập hợp các quy trình, chính sách và hướng dẫn nội bộ mà doanh nghiệp tự xây dựng nhằm kiểm soát hoạt động thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu cá nhân.
1.2. Giới hạn của SOP trong việc tuân thủ pháp luật bảo vệ dữ liệu cá nhân
Một điểm quan trọng mà nhiều doanh nghiệp bỏ qua là: SOP chỉ mô tả cách doanh nghiệp dự định xử lý dữ liệu cá nhân, trong khi DPIA yêu cầu doanh nghiệp chứng minh rằng mình đã đánh giá và kiểm soát được rủi ro phát sinh từ hoạt động xử lý đó. Đây là hai nghĩa vụ hoàn toàn khác nhau về bản chất pháp lý.
Nếu như SOP là “bản thiết kế” thể hiện ý định của doanh nghiệp, thì DPIA là “báo cáo khảo sát” chứng minh rằng doanh nghiệp đã thực sự nhìn nhận, phân tích và có biện pháp ứng phó với mọi rủi ro có thể gây hại cho chủ thể dữ liệu. Chỉ có SOP mà không có DPIA, doanh nghiệp đang đi thiếu một nửa hành trình tuân thủ pháp luật bảo vệ dữ liệu cá nhân.
II. DPIA LÀ GÌ VÀ VÌ SAO DOANH NGHIỆP BẮT BUỘC PHẢI LẬP DPIA?
2.1. Khái niệm DPIA theo pháp luật Việt Nam
- Theo khoản 12 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15), đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân. Nói cách khác, DPIA là một quy trình đánh giá có hệ thống, tập trung vào việc xác định và xử lý các rủi ro thực tế mà hoạt động xử lý dữ liệu có thể gây ra đối với quyền và lợi ích hợp pháp của cá nhân.
- Không giống như SOP – vốn mang tính nội bộ và mô tả quy trình vận hành – DPIA là một hồ sơ pháp lý có cấu trúc cụ thể, phải được lập theo mẫu quy định (Mẫu số 10 ban hành kèm theo Nghị định 356/2025/NĐ-CP) và phải gửi đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.
2.2. Đối tượng bắt buộc phải lập DPIA
- Theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025, tất cả các tổ chức có xử lý dữ liệu cá nhân đều có nghĩa vụ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), trừ một số ít trường hợp được miễn trừ, cụ thể là các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ khi đáp ứng một số điều kiện nhất định theo quy định của Luật. Phạm vi áp dụng rất rộng, bao gồm doanh nghiệp trong nước và cả cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
- Theo quy định, hồ sơ DPIA phải được gửi đến A05 trong vòng 60 ngày kể từ ngày bắt đầu xử lý dữ liệu cá nhân (được tính từ khi doanh nghiệp thu thập dữ liệu đầu tiên). Đây là thời hạn pháp định, không phụ thuộc vào việc doanh nghiệp đã có hay chưa có SOP bảo vệ dữ liệu cá nhân.
- Như có thể thấy, nội dung của DPIA hoàn toàn khác biệt so với SOP: trong khi SOP mô tả quy trình vận hành, DPIA đòi hỏi một sự phân tích rủi ro chuyên sâu và cam kết bằng hồ sơ pháp lý gửi cơ quan nhà nước. Không có SOP nào, dù chi tiết đến đâu, có thể thay thế cho DPIA.
III. RỦI RO PHÁP LÝ KHI DOANH NGHIỆP CÓ SOP NHƯNG KHÔNG CÓ DPIA
3.1. Doanh nghiệp vẫn vi phạm nghĩa vụ pháp định
Pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam phân biệt rõ hai nhóm nghĩa vụ:
(1) trách nhiệm thực hiện các biện pháp bảo vệ (thể hiện qua SOP và biện pháp kỹ thuật)
(2) nghĩa vụ lập, nộp và duy trì Hồ sơ đánh giá tác động (DPIA).
Cả hai nhóm nghĩa vụ này đều bắt buộc và độc lập với nhau.
Trừ các trường hợp được miễn trừ theo khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025, các doanh nghiệp bắt buộc lập DPIA và gửi hồ sơ đến A05 theo đúng quy trình. Do đó, nếu không có DPIA, doanh nghiệp không thể “chứng minh” sự tuân thủ trước cơ quan nhà nước, bất kể SOP có đầy đủ đến đâu.
3.2. Hồ sơ DPIA phải cập nhật định kỳ – SOP không thể thay thế
- Một điểm quan trọng mà doanh nghiệp cần lưu ý khi nói về DPIA là nghĩa vụ cập nhật. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Hồ sơ DPIA phải được cập nhật định kỳ mỗi 06 tháng một lần khi có sự thay đổi, bổ sung liên quan đến hoạt động xử lý dữ liệu cá nhân. Đây là yêu cầu liên tục, không phải một lần làm xong là đủ.
- SOP, dù được cập nhật thường xuyên, không đáp ứng được yêu cầu này vì SOP không có cấu trúc đánh giá rủi ro theo mẫu pháp định và không được gửi đến A05. Việc chỉ cập nhật SOP mà không cập nhật Hồ sơ DPIA đồng nghĩa với việc doanh nghiệp vẫn đang vi phạm nghĩa vụ báo cáo định kỳ theo quy định bảo vệ dữ liệu cá nhân.
3.3. Chế tài xử lý vi phạm
Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định rõ rằng các cơ quan, tổ chức, cá nhân vi phạm quy định bảo vệ dữ liệu cá nhân sẽ bị xử lý tùy theo mức độ vi phạm, bao gồm: xử lý kỷ luật, xử phạt vi phạm hành chính, hoặc truy cứu trách nhiệm hình sự.
Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định củ thể các mức phạt hành chính như sau:
| Hành vi | Mức phạt hành chính |
| Mua, bán dữ liệu cá nhân | Tối đa 10 lần khoản thu có được từ hành vi vi phạm
Trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn 03 tỷ đồng thì áp dụng mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. |
| Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới | Tối đa 5% doanh thu của năm trước liền kề của tổ chức đó
Trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn 03 tỷ đồng thì áp dụng mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. |
| Vi phạm hành chính đối với các hành vi vi phạm khác | Tối đa 03 tỷ đồng |
Lưu ý: Các mức phạt nêu trên áp dụng đối với tổ chức. Nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng 1/2 mức phạt tiền đối với tổ chức.
Đặc biệt, trong trường hợp xảy ra sự cố lộ, mất dữ liệu cá nhân, Bộ Công an có thẩm quyền kiểm tra và yêu cầu ngừng hoạt động xử lý dữ liệu. Nếu doanh nghiệp không có Hồ sơ DPIA đầy đủ, đây sẽ là tình tiết tăng nặng thể hiện sự thiếu cẩn trọng trong tuân thủ pháp luật bảo vệ dữ liệu cá nhân, làm tăng mức độ xử phạt.
IV. NHỮNG CÂU HỎI THƯỜNG GẶP VỀ SOP VÀ DPIA
Câu hỏi 1: Doanh nghiệp đã tuân thủ GDPR có cần làm DPIA theo pháp luật Việt Nam không?
- Có. Các doanh nghiệp đã ban hành chính sách bảo vệ dữ liệu theo GDPR hoặc theo quy định quốc tế khác sẽ không đương nhiên được xem là đã tuân thủ theo pháp luật bảo vệ dữ liệu cá nhân Việt Nam. DPIA theo Nghị định 356/2025/NĐ-CP có mẫu biểu riêng và phải gửi về A05 theo quy trình đặc thù của Việt Nam.
Câu hỏi 2: Làm DPIA một lần có đủ cho cả quá trình hoạt động của doanh nghiệp không?
- Chưa đủ nếu có sự thay đổi trong hoạt động xử lý dữ liệu. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định hồ sơ phải được cập nhật định kỳ mỗi 06 tháng một lần khi có thay đổi, bổ sung. Doanh nghiệp cần duy trì Hồ sơ DPIA luôn ở trạng thái cập nhật, chính xác.
KẾT LUẬN
SOP là nền tảng cần thiết trong hệ thống tuân thủ bảo vệ dữ liệu cá nhân của doanh nghiệp, nhưng hoàn toàn không thể thay thế cho Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Theo quy định của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, DPIA là một nghĩa vụ pháp lý độc lập, có mẫu biểu riêng, có thời hạn nộp và yêu cầu cập nhật định kỳ.
Doanh nghiệp cần hiểu rõ rằng: có SOP tốt là điều kiện cần, nhưng có DPIA đầy đủ và đúng hạn mới là điều kiện đủ để không vi phạm pháp luật bảo vệ dữ liệu cá nhân. Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực từ ngày 01/01/2026, đây là thời điểm doanh nghiệp cần rà soát ngay nghĩa vụ lập và nộp Hồ sơ DPIA để tránh rủi ro pháp lý không đáng có.
