DPIA là gì? Khi nào phải lập báo cáo DPIA theo Luật 91/2025?
DPIA (Data Protection Impact Assessment - Đánh giá Tác động Xử lý Dữ liệu Cá nhân) là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân (Khoản 12 Điều 2 Luật 91/2025/QH15). Hồ sơ được lập từ khi bắt đầu xử lý và gửi cơ quan chuyên trách trong 60 ngày.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 & Nghị định 356/2025/NĐ-CP
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Hồ sơ DPIA phải được lập thành văn bản và gửi 01 bản chính tới Cục An ninh mạng A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân (khoản 1 Điều 21 Luật 91/2025).
- DPIA là nghĩa vụ chung của bên kiểm soát và bên kiểm soát và xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025), không phụ thuộc loại dữ liệu; bên xử lý lập theo thỏa thuận (khoản 3 Điều 21). Hồ sơ lập theo Mẫu số 10, nộp kèm Mẫu 02a/02b (Điều 19 NĐ 356). Doanh nghiệp nhỏ và khởi nghiệp được quyền lựa chọn không thực hiện trong 05 năm kể từ 01/01/2026; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện (khoản 2, 3 Điều 38 Luật 91/2025; Điều 41 NĐ 356), trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên.
- Hồ sơ DPIA phải luôn có sẵn để phục vụ kiểm tra của cơ quan chuyên trách (khoản 4 Điều 19 NĐ 356) và được duy trì tại trụ sở doanh nghiệp (điểm a khoản 1 Điều 55 NĐ 330/2026).
DPIA là gì? Khi nào phải lập Báo cáo Đánh giá Tác động DPIA?
Hiểu DPIA là gì và khi nào phải lập là yêu cầu trọng tâm trong hồ sơ tuân thủ pháp luật bảo vệ dữ liệu cá nhân. Căn cứ Điều 21 Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, DPIA (Data Protection Impact Assessment) là một trong những hồ sơ pháp lý quan trọng nhất, phải luôn có sẵn để phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân (khoản 4 Điều 19 Nghị định 356/2025/NĐ-CP).
Khi nào phải lập DPIA? Các trường hợp bắt buộc theo luật
DPIA là nghĩa vụ bắt buộc áp dụng đối với mọi tổ chức đóng vai trò Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân kể từ ngày đầu tiên tiến hành hoạt động xử lý dữ liệu, trừ cơ quan nhà nước có thẩm quyền (khoản 6 Điều 21) và các trường hợp được lựa chọn không thực hiện hoặc không phải thực hiện theo khoản 2, khoản 3 Điều 38 Luật 91/2025/QH15 (xem cách xác định ưu đãi này với startup và doanh nghiệp SaaS). Bên xử lý dữ liệu cá nhân lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát (khoản 3 Điều 21).
Cấu trúc cốt lõi của một bộ Hồ sơ DPIA:
Hồ sơ gồm Báo cáo đánh giá tác động theo Mẫu số 10, bản sao hợp đồng/thỏa thuận xử lý dữ liệu và các chính sách, quy trình, biểu mẫu liên quan (khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP). Báo cáo cần có (khoản 3 Điều 19):
- Thông tin, chi tiết liên lạc của các bên và của bộ phận, nhân sự hoặc tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
- Mô tả và luận giải mục đích xử lý, loại dữ liệu, chi tiết hoạt động xử lý và sơ đồ luồng dữ liệu.
- Mô tả và luận giải việc xin sự đồng ý, chính sách lưu trữ, xóa, hủy dữ liệu.
- Kết quả đánh giá tuân thủ; đánh giá mức độ ảnh hưởng, rủi ro, hậu quả có thể xảy ra và biện pháp giảm thiểu hoặc loại bỏ rủi ro.
- Phương án bảo đảm an toàn dữ liệu, các biện pháp bảo vệ, sơ đồ thiết kế hệ thống và tiêu chuẩn bảo vệ dữ liệu được áp dụng.
Khi cần chuyển kết quả rà soát thành bộ hồ sơ cụ thể, doanh nghiệp có thể tham khảo dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Phạm vi hỗ trợ gồm xác định nghĩa vụ, chuẩn bị hồ sơ và phối hợp nộp khi thuộc diện áp dụng. Các bước chuẩn bị và nộp hồ sơ được hướng dẫn chi tiết trong bài mẫu báo cáo DPIA và thủ tục nộp cho Cục A05.
Câu hỏi thường gặp (FAQ)
Doanh nghiệp không nộp hồ sơ DPIA có bị phạt không?
Có thể bị xử phạt hành chính theo Điều 55 Nghị định 330/2026/NĐ-CP nếu không lập, lưu giữ hoặc nộp hồ sơ DPIA đúng yêu cầu. Biện pháp bổ sung phụ thuộc vào hành vi và điều khoản áp dụng, không phải là hệ quả tự động cho mọi trường hợp.
Hồ sơ DPIA làm một lần có dùng mãi mãi được không?
Không. Hồ sơ phải được cập nhật, bổ sung khi nội dung đã gửi thay đổi (khoản 5 Điều 21, Điều 22 Luật 91/2025): định kỳ 06 tháng kể từ lần đầu nộp khi phát sinh mục đích xử lý mới hoặc thay đổi các bên tham gia xử lý; trong 10 ngày khi tổ chức lại, chấm dứt hoạt động, giải thể, phá sản, thay đổi tổ chức cung cấp dịch vụ bảo vệ dữ liệu hoặc thay đổi ngành, nghề liên quan. Việc cập nhật theo Mẫu số 03a/03b, nộp trực tuyến, trực tiếp hoặc qua bưu chính cho Cục A05 (Điều 20 NĐ 356).
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Lập Hồ Sơ Đánh Giá Tác Động Dữ Liệu Cá Nhân DPIA
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ