Checklist tuân thủ PDPL cho doanh nghiệp: làm gì, ai làm, hạn nào

Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) và Nghị định 356/2025/NĐ-CP cùng có hiệu lực từ ngày 1/1/2026. Bài này là checklist tuân thủ PDPL dạng thi hành: mỗi mục ghi rõ làm gì, ai chịu trách nhiệm, bằng chứng để lại là gì và hạn chót nếu luật có quy định. Phần giải thích luật và lập luận kiến trúc đã có ở bài vì sao on-premise là lựa chọn tuân thủ an toàn; ở đây chỉ nói việc phải làm.

Trả lời ngay hai câu hỏi hay gặp nhất. Thứ nhất, các bước tuân thủ luật bảo vệ dữ liệu cá nhân không bắt đầu bằng viết chính sách, mà bắt đầu bằng biết mình đang giữ dữ liệu gì — vì mọi hồ sơ phải nộp sau đó đều lấy dữ liệu từ đó. Thứ hai, doanh nghiệp nhỏ có phải tuân thủ PDPL không: có, toàn bộ nghĩa vụ vẫn áp dụng; chỉ ba nghĩa vụ được nới theo quy mô, chi tiết ở nhóm 0 bên dưới.

Nhóm 0. Xác định mình thuộc diện nào trước khi làm gì khác

• Đối chiếu quy mô doanh nghiệp. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 của Luật, tức là hồ sơ đánh giá tác động, việc cập nhật hồ sơ và việc chỉ định bộ phận, nhân sự bảo vệ dữ liệu. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền chọn thực hiện hoặc không thực hiện ba nghĩa vụ đó trong 5 năm kể từ ngày Luật có hiệu lực. Đây là ân hạn có thời hạn, không phải miễn vĩnh viễn. Người làm: pháp chế cùng kế toán trưởng. Bằng chứng: biên bản xác định quy mô theo tiêu chí doanh nghiệp nhỏ và vừa, lưu kèm báo cáo tài chính năm gần nhất.
• Kiểm tra ba trường hợp mất ưu đãi. Ưu đãi trên không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân từ 100 nghìn chủ thể trở lên tính lũy kế (Điều 41 Nghị định 356/2025/NĐ-CP). Ngưỡng 100 nghìn là lũy kế nên phải theo dõi liên tục, không phải xác định một lần. Người làm: nhân sự bảo vệ dữ liệu. Bằng chứng: bản thống kê số chủ thể dữ liệu, cập nhật hằng quý.
• Xác nhận phần đồng ý cũ. Đồng ý hoặc thỏa thuận đã thu hợp lệ theo Nghị định 13/2023/NĐ-CP trước ngày 1/1/2026 tiếp tục có giá trị, không phải xin lại (Điều 39 Luật). Đừng tốn ngân sách gửi lại email xin đồng ý cho toàn bộ tệp khách hàng cũ.

Nhóm 1. Bản đồ dữ liệu và cơ sở pháp lý

• Lập danh mục hoạt động xử lý. Với từng hệ thống, ghi: thu thập dữ liệu gì, của ai, mục đích, cơ sở pháp lý, ai truy cập được, lưu ở đâu, giữ bao lâu, chuyển cho bên nào. Người làm: chủ quản từng nghiệp vụ (nhân sự, kinh doanh, chăm sóc khách hàng, kế toán), pháp chế tổng hợp. Bằng chứng: bảng danh mục có phiên bản và ngày rà soát.
• Đánh dấu dữ liệu nhạy cảm. Đối chiếu danh mục dữ liệu cá nhân nhạy cảm tại Điều 4 Nghị định 356, trong đó có dữ liệu sinh trắc học, tình trạng sức khỏe, vị trí xác định qua dịch vụ định vị, thông tin tài khoản ngân hàng và lịch sử giao dịch, ảnh thẻ căn cước. Nhiều tổ chức bất ngờ vì chấm công vân tay và ảnh căn cước trong hồ sơ nhân sự đều rơi vào nhóm này.
• Ghi nhận nơi dữ liệu thực sự nằm. Ghi rõ hệ thống nào chạy trong nước, hệ thống nào dùng nền tảng đặt ngoài lãnh thổ. Đây là đầu vào bắt buộc cho nhóm 3. Nếu bạn đang cân nhắc chuyện hạ tầng, bài on-premise hay cloud khi phải tuân thủ dữ liệu đi sâu hơn.

Nhóm 2. Thu thập đồng ý của chủ thể dữ liệu

• Chuẩn hóa phương thức xin đồng ý. Điều 6 Nghị định 356 liệt kê các phương thức được chấp nhận: văn bản, cuộc gọi ghi âm, cú pháp tin nhắn, thư điện tử hoặc thiết lập kỹ thuật trên website, ứng dụng, và các phương thức khác in sao được. Điểm chung là phải kiểm chứng được ai đồng ý, đồng ý lúc nào và đồng ý nội dung gì.
• Bỏ mọi ô tích sẵn. Nghị định cấm thiết lập mặc định đồng ý và cấm chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý. Người làm: đội sản phẩm và marketing. Bằng chứng: ảnh chụp màn hình biểu mẫu trước và sau khi sửa, kèm ngày phát hành.
• Thông báo riêng khi dữ liệu là nhạy cảm. Khi xin đồng ý xử lý dữ liệu nhạy cảm, chủ thể phải được thông báo rằng dữ liệu cần xử lý là dữ liệu nhạy cảm.
• Lưu bằng chứng đồng ý. Bên kiểm soát phải lưu trữ sự đồng ý, và khi có tranh chấp thì trách nhiệm chứng minh thuộc về bên kiểm soát. Bằng chứng: nhật ký đồng ý có dấu thời gian, không phải một dòng trạng thái bị ghi đè.

Nhóm 3. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

• Lập DPIA và nộp trong 60 ngày. Bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu phải lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (Điều 21 Luật). Thành phần hồ sơ và mẫu báo cáo Mẫu số 10 quy định tại Điều 19 Nghị định 356.
• Lập TIA nếu có chuyển dữ liệu ra nước ngoài. Điều 20 Luật định nghĩa chuyển xuyên biên giới rất rộng, bao gồm cả việc dùng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Nghĩa là một hệ thống chăm sóc khách hàng chạy trên máy chủ nước ngoài đã phát sinh nghĩa vụ. Hồ sơ nộp trong 60 ngày kể từ ngày bắt đầu chuyển, theo Mẫu số 09 tại Điều 18 Nghị định 356.
• Đặt lịch cập nhật. Hồ sơ được cập nhật định kỳ 6 tháng kể từ lần đầu nộp khi phát sinh mục đích xử lý mới hoặc thay đổi các bên tham gia; một số thay đổi phải cập nhật ngay trong 10 ngày, gồm việc tổ chức lại doanh nghiệp, thay đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu, và phát sinh hoặc thay đổi ngành nghề liên quan đến xử lý dữ liệu (Điều 20 Nghị định 356). Người làm: nhân sự bảo vệ dữ liệu. Bằng chứng: lịch nhắc và biên nhận nộp hồ sơ từng lần.
• Chuẩn bị cho vòng phản hồi. Cơ quan chuyên trách trả kết quả đạt hoặc không đạt trong 15 ngày, và có thể yêu cầu hoàn thiện hồ sơ trong 30 ngày nếu chưa đầy đủ. Đừng nộp vào ngày thứ 59.

Nhóm 4. Bổ nhiệm nhân sự bảo vệ dữ liệu cá nhân

• Ra quyết định chỉ định bằng văn bản. Việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức, nêu rõ phân công, chức năng, nhiệm vụ và quyền hạn (Điều 13 Nghị định 356). Bằng chứng: quyết định có chữ ký người đại diện theo pháp luật.
• Kiểm tra điều kiện năng lực. Người được chỉ định phải có trình độ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm công tác kể từ khi tốt nghiệp trong một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ, và đã được đào tạo kiến thức pháp luật cùng kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
• Giao đúng nhiệm vụ. Điều 14 Nghị định 356 giao cho bộ phận này việc xây dựng chính sách và biểu mẫu, triển khai quyền của chủ thể dữ liệu, định kỳ đánh giá mức độ tuân thủ bằng báo cáo, lập hồ sơ DPIA và TIA, tiếp nhận và báo cáo vi phạm, đào tạo định kỳ. Nếu không đủ người, luật cho phép thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật).
• Ký thỏa thuận bảo mật. Tổ chức ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân.

Nhóm 5. Rà soát hợp đồng với bên xử lý dữ liệu

• Rà soát hợp đồng đám mây. Với hợp đồng liên quan tới xử lý dữ liệu cá nhân ký với nhà cung cấp dịch vụ điện toán đám mây, Điều 12 Nghị định 356 buộc nêu rõ trong hợp đồng việc chấp hành pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, thông tin bộ phận và nhân sự bảo vệ dữ liệu, luồng xử lý dữ liệu và vai trò từng bên, yêu cầu về biện pháp bảo mật, nghĩa vụ thông báo ngay khi có thay đổi ảnh hưởng tới dữ liệu, thời hạn xử lý và yêu cầu xóa hủy, bảo đảm quyền của chủ thể dữ liệu, phân cấp quyền truy cập.
• Kiểm tra yêu cầu mã hóa. Dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm phân quyền truy cập nghiêm ngặt. Bằng chứng: cấu hình mã hóa và ma trận phân quyền xuất từ hệ thống.
• Lập thỏa thuận chuyển giao dữ liệu. Khi chuyển giao dữ liệu cá nhân cho bên khác, Điều 7 Nghị định 356 yêu cầu thỏa thuận nêu rõ mục đích chuyển giao, đối tượng chủ thể và loại dữ liệu, thời hạn xử lý và yêu cầu xóa hủy sau khi hoàn thành mục đích, cơ sở pháp lý.
• Đưa vào quy trình mua sắm. Cách bền vững là biến các điều khoản trên thành điều kiện bắt buộc khi chọn nhà cung cấp, xem thêm checklist quản trị rủi ro bên thứ ba khi dùng SaaS. Người làm: mua sắm và pháp chế.

Nhóm 6. Quy trình trả lời yêu cầu của chủ thể dữ liệu

Điều 5 Nghị định 356 đặt ra các mốc rất cụ thể, và đây là chỗ nhiều tài liệu tóm tắt sai. Trong mọi trường hợp, tổ chức phải phản hồi trong 2 ngày làm việc và hướng dẫn thủ tục.

• Xem, chỉnh sửa, cung cấp dữ liệu. Thực hiện trong 10 ngày; nếu phải yêu cầu bên xử lý hoặc bên thứ ba chỉnh sửa thì 15 ngày. Gia hạn tối đa một lần, không quá 10 ngày.
• Rút đồng ý, hạn chế xử lý, phản đối xử lý. Thực hiện trong 15 ngày; nếu phải yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý thì 20 ngày. Gia hạn tối đa một lần, không quá 15 ngày.
• Xóa dữ liệu. Thực hiện trong 20 ngày; nếu phải yêu cầu bên xử lý hoặc bên thứ ba thì 30 ngày. Gia hạn tối đa một lần, không quá 20 ngày.
• Chứng minh việc gia hạn là cần thiết. Trách nhiệm chứng minh thuộc về bên kiểm soát, nên lý do gia hạn phải được ghi lại chứ không chỉ nói miệng. Bằng chứng: sổ theo dõi yêu cầu có ngày nhận, ngày phản hồi, ngày hoàn thành và người xử lý.

Nhóm 7. Mẫu thông báo vi phạm dữ liệu cá nhân và quy trình 72 giờ

• Chuẩn bị sẵn mẫu thông báo. Nội dung thông báo vi phạm dữ liệu cá nhân được quy định tại Điều 28 Nghị định 356: mô tả tính chất vi phạm gồm thời gian, địa điểm, hành vi, tổ chức cá nhân liên quan, loại và số lượng dữ liệu; chi tiết liên lạc của bộ phận hoặc nhân sự bảo vệ dữ liệu; mô tả hậu quả có thể xảy ra; mô tả biện pháp khắc phục. Thông báo gửi theo Mẫu số 08, qua cơ quan chuyên trách hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
• Nắm đúng mốc 72 giờ. Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (Điều 23 Luật). Đồng hồ chạy từ lúc phát hiện, không phải từ lúc điều tra xong.
• Xử lý riêng dữ liệu vị trí và sinh trắc học. Với sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học, ngoài báo cáo cơ quan nhà nước còn phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong không quá 72 giờ kể từ khi phát hiện, và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong sự cố (Điều 29 Nghị định 356).
• Lập biên bản xác nhận. Bên kiểm soát phải lập biên bản xác nhận việc xảy ra vi phạm và phối hợp với cơ quan chuyên trách. Người làm: trưởng bộ phận công nghệ thông tin cùng nhân sự bảo vệ dữ liệu. Bằng chứng: biên bản, nhật ký hệ thống thời điểm xảy ra sự cố, bản sao thông báo đã gửi.
• Diễn tập một lần trong năm. Một kịch bản giả định chạy thử trong hai giờ sẽ lộ ra ngay điều quan trọng nhất: ai có quyền quyết định gửi thông báo ngoài giờ hành chính.

Nhóm 8. Hạ tầng, phân quyền và nhật ký

• Rà soát quyền truy cập theo nguyên tắc tối thiểu. Mỗi tài khoản chỉ thấy đúng dữ liệu cần cho công việc. Bằng chứng: bản xuất danh sách quyền theo vai trò, có ngày rà soát và người duyệt.
• Bật nhật ký truy cập dữ liệu cá nhân. Không có nhật ký thì không chứng minh được điều gì khi bị kiểm tra, và cũng không xác định được phạm vi ảnh hưởng khi có sự cố.
• Kiểm chứng khả năng xóa thật. Thử một yêu cầu xóa từ đầu đến cuối, gồm cả bản sao lưu và hệ thống báo cáo. Nhiều tổ chức phát hiện dữ liệu vẫn còn trong kho dữ liệu phân tích sau khi đã xóa ở hệ thống chính.
• Thu hẹp phạm vi chuyển xuyên biên giới. Mỗi hệ thống đưa về hạ tầng trong nước là một hồ sơ TIA không phải lập và một nhóm rủi ro không phải quản lý. Nghĩa vụ vận hành theo Nghị định 356 được điểm lại trong bài Nghị định 356 và nghĩa vụ vận hành.

Ưu tiên theo mức phạt, đừng làm dàn đều

Điều 8 Luật chia mức phạt tối đa thành ba nhóm khác nhau, và hiểu đúng chỗ này giúp xếp thứ tự công việc. Hành vi mua bán dữ liệu cá nhân chịu mức tối đa bằng 10 lần khoản thu có được từ vi phạm. Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới của tổ chức chịu mức tối đa bằng 5% doanh thu năm trước liền kề, và chỉ nhóm này mới tính theo doanh thu. Các vi phạm khác chịu mức tối đa 3 tỷ đồng. Cá nhân vi phạm cùng hành vi chịu mức tối đa bằng một phần hai mức của tổ chức.

Nói cách khác, hồ sơ chuyển dữ liệu xuyên biên giới và việc kiểm soát dòng dữ liệu ra ngoài lãnh thổ là nhóm rủi ro tài chính lớn nhất, nên làm trước. Bạn có thể đọc toàn văn Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP để đối chiếu từng điều khoản trước khi ra quyết định.

Kết

Checklist tuân thủ PDPL không phải một tập tài liệu để trên giá. Phần lớn công việc là ghi lại thứ bạn vốn đã làm, theo cách chứng minh được: danh mục dữ liệu có phiên bản, nhật ký đồng ý, biên nhận nộp hồ sơ, sổ theo dõi yêu cầu của chủ thể dữ liệu, biên bản sự cố. Nếu ba tháng nữa có đoàn kiểm tra, bạn chỉ cần mở đúng những thứ đó ra.

Tetra eOffice và Manta Security chạy on-premise, hỗ trợ phân quyền theo vai trò, nhật ký truy cập và giữ dữ liệu trong hệ thống của bạn, giúp phần bằng chứng ở nhóm 8 dễ xuất ra hơn. Để rà soát hiện trạng và dựng lộ trình theo checklist này, hãy đặt lịch tư vấn.

Lưu ý: bài viết mang tính tham khảo, không thay thế tư vấn pháp lý; doanh nghiệp nên đối chiếu văn bản luật hiện hành và ý kiến chuyên gia pháp chế.