DPIA là gì? Khi nào phải lập báo cáo DPIA theo Luật 91/2025?
DPIA (Data Protection Impact Assessment - Đánh giá Tác động Xử lý Dữ liệu Cá nhân) là quy trình pháp lý và kỹ thuật nhằm nhận diện, đánh giá và đề xuất giải pháp giảm thiểu các rủi ro phát sinh đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu trước khi triển khai hoạt động xử lý dữ liệu.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 & Nghị định 356/2025/NĐ-CP
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Hồ sơ DPIA phải được lập thành văn bản và gửi tới Cục An ninh mạng A05 (Bộ Công an) trong thời hạn luật định.
- DPIA là nghĩa vụ chung của mọi bên kiểm soát và bên kiểm soát đồng thời xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025), không phụ thuộc quy mô hay loại dữ liệu; hồ sơ lập theo Mẫu số 10, nộp kèm Mẫu 02a/02b trong 60 ngày kể từ ngày xử lý; doanh nghiệp nhỏ và khởi nghiệp được chọn hoãn 05 năm đầu (Điều 41 NĐ 356).
- Hồ sơ DPIA phải luôn có sẵn tại trụ sở doanh nghiệp để phục vụ công tác thanh tra, kiểm tra bất kỳ lúc nào.
DPIA là gì? Khi nào phải lập Báo cáo Đánh giá Tác động DPIA?
DPIA là gì khi nào phải lập là yêu cầu trọng tâm trong hồ sơ tuân thủ pháp luật bảo vệ dữ liệu cá nhân. Căn cứ Điều 21 Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, DPIA (Data Protection Impact Assessment) là một trong những hồ sơ pháp lý quan trọng nhất mà cơ quan thanh tra Bộ Công an kiểm tra đầu tiên khi làm việc với doanh nghiệp.
Khi nào phải lập DPIA? Các trường hợp bắt buộc theo luật
DPIA là nghĩa vụ bắt buộc áp dụng đối với mọi tổ chức đóng vai trò Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân kể từ ngày đầu tiên tiến hành hoạt động xử lý dữ liệu, trừ trường hợp được áp dụng cơ chế hoãn theo quy định pháp luật.
Cấu trúc cốt lõi của một bộ Hồ sơ DPIA:
- Thông tin và tư cách pháp lý của Bên Kiểm soát / Bên Xử lý dữ liệu.
- Mô tả chi tiết mục đích, loại dữ liệu, phương thức thu thập và thời gian lưu trữ.
- Đánh giá tính cần thiết và mức độ tương xứng của hoạt động xử lý dữ liệu.
- Ma trận đánh giá rủi ro ảnh hưởng đến quyền của chủ thể dữ liệu (Risk Matrix).
- Các biện pháp kỹ thuật và quản trị áp dụng để kiểm soát và triệt tiêu rủi ro.
Khi cần chuyển kết quả rà soát thành bộ hồ sơ cụ thể, doanh nghiệp có thể tham khảo dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Phạm vi hỗ trợ gồm xác định nghĩa vụ, chuẩn bị hồ sơ và phối hợp nộp khi thuộc diện áp dụng.
Câu hỏi thường gặp (FAQ)
Doanh nghiệp không nộp hồ sơ DPIA có bị phạt không?
Có thể bị xử phạt hành chính theo Điều 55 Nghị định 330/2026/NĐ-CP nếu không lập, lưu giữ hoặc nộp hồ sơ DPIA đúng yêu cầu. Biện pháp bổ sung phụ thuộc vào hành vi và điều khoản áp dụng, không phải là hệ quả tự động cho mọi trường hợp.
Hồ sơ DPIA làm một lần có dùng mãi mãi được không?
Không. Khi doanh nghiệp có sự thay đổi về mục đích xử lý, bổ sung loại dữ liệu mới hoặc áp dụng công nghệ mới thì phải cập nhật lại hồ sơ DPIA và gửi văn bản bổ sung cho Cục A05.
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Lập Hồ Sơ Đánh Giá Tác Động Dữ Liệu Cá Nhân DPIA
Đồng hành cùng luật sư và chuyên gia DPO thiết lập lộ trình chuẩn hóa trọn gói.
Tìm hiểu dịch vụ