Mẫu báo cáo DPIA mà doanh nghiệp phải dùng là Mẫu số 10 tại Phụ lục Nghị định 356/2025/NĐ-CP (Báo cáo đánh giá tác động xử lý dữ liệu cá nhân). Khó khăn khi điền mẫu thường không nằm ở phần thông tin doanh nghiệp, mà ở việc mô tả luồng dữ liệu và đánh giá rủi ro sao cho khớp với hệ thống thực tế. Trọng tâm cũng khác nhau tùy doanh nghiệp đang vận hành chấm công sinh trắc học, CRM, ứng dụng bán hàng, chatbot AI hay hạ tầng cloud. Báo cáo được nộp cho Cục A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025/QH15; khoản 4 Điều 19 Nghị định 356). Bài này đi qua đối tượng phải lập, cấu trúc Mẫu số 10, cách điền các phần khó, gợi ý nội dung cho 5 kịch bản thường gặp, thủ tục nộp và cập nhật hồ sơ. Khái niệm DPIA xem tại DPIA là gì, khi nào phải lập.
1. Ai phải lập và nộp báo cáo DPIA?#
Bên kiểm soát, bên kiểm soát và xử lý, bên xử lý dữ liệu cá nhân đều phải lập hồ sơ DPIA từ thời điểm bắt đầu xử lý dữ liệu cá nhân (khoản 1 Điều 19 Nghị định 356). Nghĩa vụ nộp thì Luật chỉ đặt cho bên kiểm soát và bên kiểm soát và xử lý (khoản 1 Điều 21 Luật); bên xử lý lập và lưu hồ sơ theo thỏa thuận với bên kiểm soát (khoản 3 Điều 21 Luật). Khoản 4 Điều 19 Nghị định 356 viết hồ sơ "nộp 01 bản chính" nhưng không nêu ai nộp; theo cách đọc của LexData, quy định này áp dụng trong phạm vi Luật. Trên thực tế, bên xử lý nào cũng là bên kiểm soát đối với dữ liệu nhân viên của chính mình nên vẫn phải nộp hồ sơ DPIA; cách an toàn là mô tả hoạt động xử lý cho khách hàng thành một vai trò, luồng xử lý riêng trong cùng hồ sơ đó (mục II.1, II.2).
Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập; doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn không lập trong 05 năm kể từ 01/01/2026 (khoản 2, khoản 3 Điều 38 Luật; Điều 41 Nghị định 356). Các doanh nghiệp này vẫn phải lập nếu:
- trực tiếp xử lý dữ liệu cá nhân nhạy cảm (sinh trắc học, vị trí, sức khỏe, tài chính ngân hàng);
- xử lý dữ liệu tích lũy từ 100.000 chủ thể dữ liệu trở lên;
- kinh doanh dịch vụ xử lý dữ liệu cá nhân (khoản 2, khoản 3 Điều 38 Luật; Điều 41 Nghị định 356).
Hai lưu ý khi định dựa vào ưu đãi này. Thứ nhất, Luật 91 và Nghị định 356 không định nghĩa doanh nghiệp nhỏ, siêu nhỏ, nên áp dụng tiêu chí chung tại Điều 4 Luật Hỗ trợ doanh nghiệp nhỏ và vừa 04/2017/QH14 và Điều 5 Nghị định 80/2021/NĐ-CP, tính trên số liệu năm trước của chính doanh nghiệp, do doanh nghiệp tự kê khai (Điều 7 đến Điều 10 Nghị định 80); không có quy định cộng số liệu của công ty mẹ hay tập đoàn. Thứ hai, cụm "trực tiếp xử lý dữ liệu cá nhân nhạy cảm" không được định nghĩa. Theo câu chữ, doanh nghiệp tự thu thập kết quả khám sức khỏe của người lao động (điểm d khoản 1 Điều 4 Nghị định 356) hoặc lưu ảnh căn cước của nhân viên (điểm i) đã là trực tiếp xử lý dữ liệu nhạy cảm, và Cục A05 chưa có hướng dẫn thu hẹp. Vì vậy LexData khuyến nghị doanh nghiệp có người lao động không dựa vào ưu đãi mà lập hồ sơ DPIA.
Chuyển dữ liệu cá nhân ra nước ngoài cần một hồ sơ riêng theo Mẫu số 09 (Điều 20 Luật), và nghĩa vụ này không nằm trong diện miễn trừ tại Điều 38. Cách lập xem tại hướng dẫn lập hồ sơ chuyển dữ liệu ra nước ngoài.
2. Cấu trúc của mẫu báo cáo DPIA theo Mẫu số 10#
Theo khoản 2 Điều 19 Nghị định 356, hồ sơ DPIA (hồ sơ đánh giá tác động xử lý dữ liệu cá nhân) gồm: (a) báo cáo đánh giá tác động theo Mẫu số 10; (b) bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân giữa các bên; (c) chính sách, quy trình, quy định, biểu mẫu liên quan về bảo vệ dữ liệu cá nhân. Quyết định 778/QĐ-BCA-A05 chỉ công bố thủ tục hành chính, không ban hành mẫu báo cáo khác.
Mẫu báo cáo DPIA theo Mẫu số 10 gồm hai phần:
- Phần A, mục I - Thông tin cơ bản của bên nộp hồ sơ: tên, mã số thuế, địa chỉ, lĩnh vực kinh doanh có xử lý dữ liệu cá nhân kèm mã ngành, số chi nhánh, văn phòng đại diện, và bộ phận, nhân sự bảo vệ dữ liệu cá nhân (kèm quyết định chỉ định hoặc hợp đồng thuê dịch vụ).
- Phần A, mục II - Hoạt động xử lý dữ liệu cá nhân: vai trò của doanh nghiệp (bên kiểm soát, bên xử lý, bên thứ ba) và số lượng chủ thể; luồng xử lý kèm sơ đồ; loại dữ liệu cơ bản và nhạy cảm (tích theo danh mục Điều 3, Điều 4 Nghị định 356); nội dung, hình thức, quy trình xin sự đồng ý kèm biểu mẫu; chính sách lưu trữ; chính sách xóa, hủy; có chuyển giao hay không, có thu phí hay không; có tham gia sàn dữ liệu, kinh doanh dịch vụ xử lý dữ liệu, chuyển dữ liệu xuyên biên giới hay không; biện pháp bảo vệ; kết quả đánh giá tuân thủ.
- Phần A, mục III - Đánh giá tác động: tổng quan và sự cần thiết của hoạt động xử lý; đánh giá theo phương pháp định lượng, định tính đối với chủ thể dữ liệu (2.1), đối với an ninh, an toàn hệ thống thông tin của tổ chức (2.2), và đối với an ninh quốc gia, trật tự an toàn xã hội khi xử lý dữ liệu cơ bản của trên 100.000 chủ thể hoặc dữ liệu nhạy cảm của trên 10.000 chủ thể (2.3).
- Phần A, mục IV - Phụ lục: danh sách tài liệu, chính sách, biểu mẫu kèm theo.
- Phần B - Thông tin các bên liên quan: bảng bên kiểm soát, bên xử lý, bên thứ ba, gồm tên, mã số thuế, đầu mối bảo vệ dữ liệu, số và ngày hợp đồng, dịch vụ hợp tác.
Cam kết về tính chính xác và hợp pháp của hồ sơ nằm ở văn bản thông báo Mẫu số 02a/02b, không nằm trong Mẫu số 10.
Ngoài báo cáo, bộ hồ sơ trên thực tế nên kèm: bản sao hợp đồng xử lý dữ liệu (DPA) với từng bên xử lý; bản đồ dữ liệu cá nhân (data mapping) làm cơ sở điền mục II; tài liệu mô tả kiến trúc hệ thống và biện pháp kỹ thuật; quyết định chỉ định nhân sự, bộ phận bảo vệ dữ liệu hoặc hợp đồng thuê dịch vụ (mục I.8 yêu cầu kèm theo); chính sách lưu trữ, xóa hủy và biểu mẫu xin sự đồng ý (mục II.4 đến II.6).
3. Hướng dẫn soạn thảo các phần khó trong mẫu báo cáo DPIA#
Ba mục dưới đây của mẫu báo cáo DPIA tốn nhiều công sức nhất vì phải khớp với hệ thống thực tế.
Luồng xử lý (mục II.2): không viết văn xuôi dài. Lập sơ đồ hoặc bảng kiểm kê dữ liệu thể hiện đường đi của dữ liệu: thu thập, xử lý, lưu trữ, chia sẻ cho bên thứ ba, lưu trữ lịch sử và tiêu hủy. Mỗi luồng cần nêu đối tượng chủ thể, mục đích, loại dữ liệu và có dữ liệu nhạy cảm hay không.
Sự đồng ý (mục II.4): với từng nhóm chủ thể, mô tả nội dung, hình thức và quy trình xin sự đồng ý, kèm biểu mẫu thực tế. Nếu xử lý dữ liệu nhạy cảm như sinh trắc học hay sức khỏe, biểu mẫu phải thông báo cho chủ thể rằng đây là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6 Nghị định 356). Nếu hoạt động dựa trên trường hợp không cần sự đồng ý tại Điều 19 Luật 91/2025/QH15, nêu rõ điểm, khoản áp dụng.
Đánh giá tác động (mục III): mục III.1 yêu cầu nêu sự cần thiết của hoạt động xử lý. Nên giải thích vì sao cần từng loại dữ liệu và vì sao mục đích không đạt được với ít dữ liệu hơn. Mục III.2 là nơi đặt ma trận rủi ro DPIA: với mỗi rủi ro, nêu mức độ ảnh hưởng, xác suất, biện pháp giảm thiểu và rủi ro còn lại.
4. Áp dụng mẫu báo cáo DPIA cho 5 kịch bản thường gặp#
Các kịch bản dưới đây gợi ý trọng tâm khi điền mục II và III của mẫu báo cáo DPIA. Biện pháp kiểm soát nêu ra phần lớn là thực hành tốt; chỗ nào là yêu cầu bắt buộc thì có dẫn điều khoản.
Kịch bản 1: Hệ thống nhân sự và chấm công sinh trắc học#
Bối cảnh: doanh nghiệp dùng phần mềm quản lý nhân sự tích hợp máy chấm công nhận diện khuôn mặt hoặc vân tay cho 500 người lao động. Dữ liệu sinh trắc học lưu tại máy chủ nội bộ hoặc trên cloud của bên thứ ba.
- Phân loại dữ liệu: dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm (khoản 3 Điều 2 Luật 91/2025/QH15; điểm đ khoản 1 Điều 4 Nghị định 356).
- Rủi ro trọng yếu: lộ cơ sở dữ liệu sinh trắc học gây hậu quả không đảo ngược được, vì đặc điểm sinh trắc học không đổi được như mật khẩu; camera bị dùng để theo dõi người lao động ngoài mục đích chấm công.
- Biện pháp nên nêu: lưu mẫu sinh trắc học đã mã hóa (template) thay vì ảnh gốc; xin sự đồng ý của người lao động kèm thông báo đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356); có phương thức chấm công thay thế (thẻ từ, mã QR) cho người không đồng ý.
Kịch bản 2: CRM và nền tảng marketing tự động#
Bối cảnh: chuỗi bán lẻ thu thập thông tin hàng trăm nghìn khách hàng qua website, fanpage, ứng dụng khách hàng thân thiết, đưa vào CRM (Salesforce, HubSpot) để phân tích và tự động gửi email, SMS theo hành vi mua sắm.
- Phân loại dữ liệu: họ tên, số điện thoại, email, lịch sử đơn hàng, vị trí, dữ liệu theo dõi hành vi trên website. Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng và vị trí xác định qua dịch vụ định vị là dữ liệu nhạy cảm (điểm h, điểm l khoản 1 Điều 4 Nghị định 356).
- Rủi ro trọng yếu: gửi tin quảng cáo khi không có sự đồng ý; thu thập dữ liệu theo dõi hành vi trên website, ứng dụng để quảng cáo cá nhân hóa khi khách chưa đồng ý (điểm a khoản 8 Điều 28 Luật), kể cả qua Facebook Pixel hay Google Ads; số lượng chủ thể lớn có thể phải đánh giá thêm mục III.2.3.
- Biện pháp nên nêu: banner cookie cho phép bật, tắt từng nhóm cookie; cơ chế hủy đăng ký trong mọi email tiếp thị; phân quyền truy cập CRM theo vai trò; che số điện thoại trên giao diện chăm sóc khách hàng.
Kịch bản 3: Sàn thương mại điện tử và ứng dụng bán hàng#
Bối cảnh: ứng dụng iOS/Android kết nối người mua, người bán và đối tác giao hàng, xử lý thanh toán trực tuyến và theo dõi vị trí giao hàng theo thời gian thực.
- Phân loại dữ liệu: thông tin tài khoản, địa chỉ nhà, vị trí GPS, thông tin thẻ ngân hàng hoặc ví điện tử, danh bạ (nếu có tính năng giới thiệu bạn bè). Vị trí xác định qua dịch vụ định vị và thông tin thẻ ngân hàng là dữ liệu nhạy cảm (điểm h, điểm k khoản 1 Điều 4 Nghị định 356).
- Rủi ro trọng yếu: bộ công cụ phát triển (SDK) phân tích, quảng cáo của bên thứ ba thu thập dữ liệu thiết bị và gửi ra máy chủ nước ngoài; lộ thông tin trên nhãn giao hàng, bị lợi dụng để lừa đảo thu hộ (COD).
- Biện pháp nên nêu: ẩn số điện thoại khi tài xế gọi người mua (call masking); rà soát định kỳ các SDK tích hợp (xem cách quản lý SDK và quyền thiết bị trên mobile app); mã hóa đường truyền TLS 1.3 và certificate pinning.
Kịch bản 4: Chatbot GenAI và chấm điểm bằng AI#
Bối cảnh: doanh nghiệp tích hợp chatbot GenAI qua Cloud API (ChatGPT, Claude API) để trả lời khách hàng, hoặc dùng mô hình học máy để chấm điểm tín nhiệm khách hàng vay.
- Phân loại dữ liệu: nội dung hội thoại chứa thông tin cá nhân, dữ liệu suy luận từ thuật toán, điểm tín nhiệm tự động. Dữ liệu suy luận nếu dùng được để xác định một người thì phải được bảo vệ như dữ liệu cá nhân (khoản 2 Điều 10 Nghị định 356).
- Rủi ro trọng yếu: dữ liệu gửi sang nhà cung cấp mô hình bị lưu lại hoặc dùng để huấn luyện; quyết định tự động gây sai lệch, ảnh hưởng quyền lợi của cá nhân mà không có người rà soát.
- Biện pháp nên nêu: lọc, che thông tin định danh trước khi gửi prompt; thỏa thuận với nhà cung cấp không dùng dữ liệu để huấn luyện; thông báo cho người dùng về xử lý tự động, giải thích nguyên tắc của thuật toán và cho lựa chọn không tham gia (khoản 3 Điều 10 Nghị định 356); cho phép yêu cầu con người đánh giá lại quyết định tự động. Không có cơ chế này có thể bị phạt tổ chức từ 70 đến 100 triệu đồng (điểm b khoản 3 Điều 67 Nghị định 330/2026/NĐ-CP).
Kịch bản 5: Hạ tầng cloud và chuyển dữ liệu ra nước ngoài#
Bối cảnh: doanh nghiệp lưu cơ sở dữ liệu khách hàng và chạy ERP, CRM trên AWS (Singapore) hoặc Google Cloud (Mỹ).
- Phân loại dữ liệu: toàn bộ dữ liệu vận hành, gồm cả dữ liệu cơ bản và nhạy cảm.
- Rủi ro trọng yếu: vi phạm quy định chuyển dữ liệu xuyên biên giới (Điều 20 Luật; Điều 17, Điều 18 Nghị định 356); cấu hình sai kho lưu trữ khiến dữ liệu công khai trên Internet.
- Biện pháp nên nêu: đánh dấu "Có" ở mục II.10 của mẫu báo cáo DPIA và lập riêng hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Mẫu số 09, nộp trong 60 ngày kể từ ngày bắt đầu chuyển (khoản 2 Điều 20 Luật; khoản 4 Điều 18 Nghị định 356), xem hướng dẫn lập hồ sơ chuyển dữ liệu ra nước ngoài; ký hợp đồng với nhà cung cấp cloud nêu rõ các nội dung tại khoản 2 Điều 12 Nghị định 356 (các điều khoản hợp đồng mẫu SCCs của EU chỉ để tham khảo); mã hóa dữ liệu khi lưu trữ và khi truyền, là yêu cầu bắt buộc với dữ liệu cá nhân trên điện toán đám mây (khoản 4 Điều 12 Nghị định 356), với khóa mã hóa do doanh nghiệp quản lý.
5. Nộp mẫu báo cáo DPIA cho Cục A05#
Khi nộp báo cáo DPIA, gửi 01 bản chính hồ sơ kèm thông báo Mẫu số 02a/02b đến Cục A05 bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính (khoản 4 Điều 19 Nghị định 356). Thủ tục "Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân" được công bố tại Quyết định 778/QĐ-BCA-A05. Không lập, không duy trì hồ sơ hoặc không nộp đúng hạn bị phạt tổ chức từ 20 đến 30 triệu đồng (điểm a, điểm b khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP).
Cục A05 trả kết quả đạt hoặc không đạt trong 15 ngày. Nếu hồ sơ chưa đầy đủ (thường gọi là hồ sơ bị trả lại), doanh nghiệp phải hoàn thiện trong 30 ngày (khoản 5, khoản 6 Điều 19 Nghị định 356). Cố ý không hoàn thiện theo yêu cầu bị phạt từ 20 đến 30 triệu đồng; từ chối chỉnh sửa khi đã có văn bản yêu cầu khắc phục, hoặc làm giả, khai sai số liệu, bị phạt từ 50 đến 100 triệu đồng (điểm c khoản 1, khoản 2 Điều 55 Nghị định 330).
Trước khi nộp, nên rà soát 8 điểm:
- Thông tin pháp nhân, mã ngành và đầu mối bảo vệ dữ liệu đã chính xác và có quyết định chỉ định kèm theo chưa?
- Sơ đồ luồng dữ liệu đã bao phủ mọi kênh thu thập, xử lý và chia sẻ cho bên thứ ba, và nêu rõ loại dữ liệu nhạy cảm, thời hạn lưu trữ chưa? Luồng xử lý viết chung chung là lý do phổ biến khiến hồ sơ phải bổ sung.
- Loại dữ liệu nhạy cảm đã được tích đủ theo khoản 1 Điều 4 Nghị định 356 và có căn cứ xử lý cho từng loại chưa?
- Phần đánh giá tác động đã có điểm rủi ro trước và sau khi áp dụng biện pháp chưa?
- Biện pháp kỹ thuật (mã hóa, phân quyền, sao lưu, quản lý truy cập) có khớp với hạ tầng thực tế, có nêu tiêu chuẩn đang áp dụng và sơ đồ hệ thống như mục II.11 yêu cầu không?
- Phần B đã kê khai đủ bên xử lý, bên thứ ba, kèm số và ngày hợp đồng chưa?
- Đã có quy trình ứng phó sự cố và thông báo Cục A05 trong 72 giờ (khoản 1 Điều 23 Luật) chưa?
- Hồ sơ đã kèm đủ tài liệu: thông báo xử lý dữ liệu, biểu mẫu xin sự đồng ý, chính sách lưu trữ và xóa hủy, hợp đồng với bên xử lý, và văn bản Mẫu số 02a/02b đã được người có thẩm quyền ký chưa?
6. Cập nhật mẫu báo cáo DPIA sau khi nộp#
Hồ sơ đã nộp phải được cập nhật bằng Mẫu số 03a/03b (Điều 22 Luật; Điều 20 Nghị định 356):
- Định kỳ 06 tháng, khi phát sinh mục đích xử lý mới hoặc phát sinh, thay đổi bên kiểm soát, bên xử lý, bên thứ ba.
- Trong 10 ngày, khi doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành nghề liên quan đến xử lý dữ liệu cá nhân.
Mỗi khi triển khai tính năng mới, đổi nhà cung cấp cloud hoặc mở rộng loại dữ liệu thu thập, nên kiểm tra thay đổi đó có làm sai nội dung mục II của mẫu báo cáo DPIA đã nộp không. Nếu cần hỗ trợ lập hoặc cập nhật hồ sơ DPIA, xem dịch vụ lập hồ sơ đánh giá tác động DPIA.
