Mùa rà soát PDPL: hồ sơ đánh giá tác động và vai trò DPO

Một đạo luật có hiệu lực không có nghĩa là tuân thủ đã xong — đó mới là lúc bắt đầu rà soát. Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành cùng áp dụng. Sau giai đoạn dựng chính sách và quy trình ban đầu, nhiều tổ chức bước vào một việc khác về bản chất: soát lại xem những gì đã làm có đúng, có đủ và có chứng minh được hay không.

Bài này nói về mùa rà soát đó. Trọng tâm là ba khối việc hay bị bỏ dở nhất: hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu ra nước ngoài, và vai trò của bộ phận, nhân sự bảo vệ dữ liệu. Nếu bạn chưa dựng nền, nên bắt đầu từ checklist tuân thủ PDPL trước; bài này là bước soát lại sau khi đã triển khai.

Mùa rà soát PDPL nghĩa là gì

Rà soát không phải là làm lại từ đầu. Đó là đối chiếu hiện trạng với nghĩa vụ, tìm ra khoảng cách, rồi vá lại theo thứ tự ưu tiên. Có bốn lý do một tổ chức nên coi đây là việc định kỳ chứ không phải làm một lần.

• Hoạt động thay đổi nhanh hơn hồ sơ. Một tính năng mới, một nhà cung cấp mới, một chiến dịch marketing thu thêm dữ liệu — mỗi thứ đều có thể làm cho hồ sơ đã lập trở nên lệch với thực tế. Rà soát là lúc kéo hồ sơ về khớp với những gì hệ thống đang thực sự làm.
• Nghĩa vụ được chứng minh bằng tài liệu, không bằng lời nói. Khi có yêu cầu kiểm tra, thứ được xem là danh mục hoạt động xử lý, hồ sơ đánh giá tác động, quyết định chỉ định nhân sự, nhật ký đồng ý và nhật ký truy cập. Nếu chúng không tồn tại hoặc đã cũ, việc tuân thủ trên thực tế không có giá trị chứng minh.
• Phát hiện sớm rẻ hơn xử lý muộn. Một luồng dữ liệu chảy ra nước ngoài mà không ai để ý sẽ thành rủi ro pháp lý khi bị hỏi tới. Tìm ra nó trong một buổi rà soát nội bộ luôn nhẹ hơn giải trình khi đã có sự việc.
• Vai trò và trách nhiệm dễ trôi. Người được giao làm đầu mối bảo vệ dữ liệu có thể đã đổi việc, bộ phận có thể đã tái cơ cấu. Rà soát là dịp xác nhận lại đúng người, đủ thẩm quyền.

Cách làm gọn nhất là chốt một phạm vi, cử người chịu trách nhiệm cho từng khối, và đặt hạn hoàn thành. Đừng cố soát tất cả cùng lúc; ưu tiên khối nào có rủi ro lớn nhất trước, mà rủi ro lớn nhất thường nằm ở dòng dữ liệu ra ngoài lãnh thổ.

Hồ sơ đánh giá tác động: có gì trong đó, khi nào phải lập

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là DPIA) là tài liệu mô tả bạn đang xử lý dữ liệu gì, vì mục đích gì, trên cơ sở pháp lý nào, ai truy cập được, giữ bao lâu, và các rủi ro cùng biện pháp giảm thiểu. Thành phần và biểu mẫu của hồ sơ được quy định tại Điều 19 Nghị định 356/2025; việc cập nhật hồ sơ theo Điều 20.

Khi rà soát khối này, cần soi bốn điểm.

• Hồ sơ có bao phủ đủ các hoạt động thực tế không. Một tổ chức thường có nhiều luồng xử lý cùng lúc: nhân sự, khách hàng, chăm sóc sau bán, kế toán. Rà soát là lúc đối chiếu danh mục hoạt động xử lý với hồ sơ đã lập, xem có luồng nào phát sinh sau này mà chưa được đưa vào.
• Nội dung có khớp với vận hành hiện tại không. Hồ sơ mô tả một quy trình, nhưng quy trình đã đổi thì hồ sơ cũng phải đổi. Đây là chỗ hồ sơ hay bị "đóng băng" ở phiên bản lần đầu.
• Lịch cập nhật có được giữ không. Theo quy định, hồ sơ phải được cập nhật khi có thay đổi đáng kể như phát sinh mục đích xử lý mới hoặc thay đổi các bên tham gia. Rà soát là lúc kiểm tra xem lịch nhắc cập nhật có tồn tại và có được tuân thủ không.
• Hồ sơ có sẵn sàng xuất trình không. Lập xong nhưng không tìm lại được thì cũng như chưa có. Cần một nơi lưu tập trung, có phiên bản và ngày rà soát.

Một lưu ý về quy mô: doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có lộ trình ân hạn (khoảng 5 năm kể từ khi Luật có hiệu lực) cho một số nghĩa vụ, trong đó có hồ sơ đánh giá tác động. Đây là ân hạn có thời hạn, không phải miễn vĩnh viễn, và không áp dụng cho một số trường hợp như xử lý dữ liệu nhạy cảm hay xử lý dữ liệu của số lượng lớn chủ thể. Chi tiết đã được điểm trong checklist tuân thủ PDPL.

Đánh giá tác động chuyển dữ liệu ra nước ngoài

Đây là khối rủi ro lớn nhất về mặt tài chính, nên trong một đợt rà soát thường được đặt lên trước. Nghĩa vụ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (thường gọi là TIA) được quy định tại Điều 18 Nghị định 356/2025.

Điểm dễ bỏ sót là định nghĩa "chuyển ra nước ngoài" rất rộng: không chỉ là gửi một tệp dữ liệu ra ngoài, mà còn bao gồm cả việc dùng nền tảng hoặc hạ tầng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Nghĩa là một hệ thống chăm sóc khách hàng, một công cụ email marketing, hay một dịch vụ phân tích chạy trên máy chủ nước ngoài đều có thể đã phát sinh nghĩa vụ mà tổ chức không nhận ra.

Vì vậy, phần cốt lõi của việc rà soát khối này là dựng lại bản đồ dòng dữ liệu ra ngoài.

• Liệt kê mọi hệ thống và dịch vụ bên thứ ba có xử lý dữ liệu cá nhân, ghi rõ hệ thống nào chạy trong nước, hệ thống nào dùng hạ tầng đặt ngoài lãnh thổ.
• Với mỗi luồng ra ngoài, xác định đang chuyển dữ liệu của ai, loại gì, cho bên nào, và đã có hồ sơ đánh giá tác động tương ứng chưa.
• Cân nhắc thu hẹp phạm vi. Mỗi hệ thống đưa được về hạ tầng trong nước là một hồ sơ không phải lập và một nhóm rủi ro không phải quản lý. Đây là một lý do khiến nhiều tổ chức chọn giữ dữ liệu nhạy cảm trên hạ tầng kiểm soát được.

Rà soát chuyển dữ liệu xuyên biên giới không phải là bài tập giấy tờ. Nó buộc tổ chức nhìn lại chính xác dữ liệu của mình đang nằm ở đâu — và câu trả lời thường khác với những gì mọi người tưởng.

Vai trò DPO: khi nào bắt buộc, khi nào được miễn

Bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân (DPO) là đầu mối chịu trách nhiệm về tuân thủ trong tổ chức. Khi rà soát khối này, có ba câu hỏi cần trả lời.

• Tổ chức có thuộc diện phải chỉ định không. Về nguyên tắc, nghĩa vụ chỉ định nhân sự, bộ phận bảo vệ dữ liệu áp dụng cho tổ chức có hoạt động xử lý dữ liệu cá nhân. Nghị định 356/2025 (Điều 41) quy định một số trường hợp được miễn trừ hoặc nới nghĩa vụ theo quy mô — chẳng hạn hộ kinh doanh, doanh nghiệp siêu nhỏ, và lộ trình ân hạn cho doanh nghiệp nhỏ, khởi nghiệp. Tuy nhiên phần miễn trừ này không áp dụng cho một số trường hợp như kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm, hay xử lý dữ liệu của số lượng lớn chủ thể. Nếu không chắc mình thuộc diện nào, nên đối chiếu trực tiếp văn bản và tham vấn pháp chế.
• Người được chỉ định có đúng và đủ năng lực không. Việc chỉ định cần bằng văn bản chính thức, nêu rõ chức năng, nhiệm vụ, quyền hạn, và người được giao cần có năng lực phù hợp theo quy định. Rà soát là lúc kiểm tra xem quyết định chỉ định có còn hiệu lực, người được giao có còn tại vị và có đủ thẩm quyền để làm việc không.
• Nếu thiếu người thì xử lý thế nào. Khi tổ chức không đủ nguồn lực nội bộ, quy định cho phép thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Đây là lối ra hợp lệ, miễn là phân công trách nhiệm được ghi rõ.

Các nghĩa vụ vận hành đi kèm vai trò này — từ lập hồ sơ, triển khai quyền của chủ thể dữ liệu, tới báo cáo vi phạm — được điểm lại trong bài Nghị định 356 và nghĩa vụ vận hành.

Một điểm hay bị tóm tắt sai: mốc 72 giờ

Trong nhiều tài liệu, con số 72 giờ bị hiểu nhầm thành thời hạn trả lời yêu cầu của chủ thể dữ liệu. Không phải vậy. Mốc 72 giờ là thời hạn thông báo vi phạm dữ liệu cá nhân cho cơ quan chuyên trách trong các trường hợp được quy định, tính từ khi phát hiện — không phải thời hạn xử lý yêu cầu xem, sửa, xóa hay rút đồng ý của chủ thể dữ liệu.

Yêu cầu của chủ thể dữ liệu (DSAR) có bộ mốc riêng, tính bằng ngày và khác nhau theo loại yêu cầu, chi tiết đã có trong checklist tuân thủ PDPL. Rà soát là lúc tách bạch hai bộ mốc này trong quy trình nội bộ, để khi có việc thật không ai áp nhầm thời hạn.

Cách tổ chức một đợt rà soát

Một đợt rà soát chạy trơn khi có bốn thứ: phạm vi rõ, người chịu trách nhiệm cho từng khối, bằng chứng để lại, và hạn hoàn thành. Trình tự gợi ý:

• Chốt phạm vi. Liệt kê các hệ thống và hoạt động xử lý cần soát, ưu tiên khối có rủi ro cao nhất (thường là dòng dữ liệu ra nước ngoài).
• Giao người. Mỗi khối có một chủ quản: pháp chế cho phần hồ sơ và cơ sở pháp lý, công nghệ thông tin cho phần hạ tầng và nhật ký, nhân sự bảo vệ dữ liệu tổng hợp.
• Đối chiếu và ghi khoảng cách. Với từng mục, ghi rõ hiện trạng, nghĩa vụ, khoảng cách, và việc cần làm.
• Vá theo thứ tự ưu tiên. Làm trước những khoảng cách có rủi ro pháp lý hoặc tài chính lớn nhất.
• Lưu bằng chứng. Mỗi việc để lại một dấu vết chứng minh được: hồ sơ có phiên bản, quyết định có chữ ký, nhật ký có dấu thời gian.

Khi dữ liệu nằm trên hạ tầng kiểm soát được, phần bằng chứng dễ xuất ra hơn hẳn: phân quyền theo vai trò, nhật ký truy cập, và khả năng xóa dữ liệu đều rõ ràng. Tetra eOffice và Manta Security chạy on-premise, giữ dữ liệu trong hệ thống của bạn và hỗ trợ đúng những phần bằng chứng đó.

Checklist rà soát nhanh

• Hồ sơ đánh giá tác động. Đã bao phủ đủ các hoạt động xử lý thực tế, khớp với vận hành hiện tại, có lịch cập nhật và sẵn sàng xuất trình (Điều 19–20 Nghị định 356).
• Dòng dữ liệu ra nước ngoài. Đã dựng bản đồ mọi hệ thống, dịch vụ bên thứ ba dùng hạ tầng ngoài lãnh thổ; mỗi luồng có hồ sơ đánh giá tác động tương ứng (Điều 18 Nghị định 356).
• Vai trò DPO. Đã xác định tổ chức có thuộc diện phải chỉ định không; quyết định chỉ định còn hiệu lực, đúng người, đủ thẩm quyền; có phương án thuê ngoài nếu thiếu người (Điều 41 Nghị định 356).
• Mốc thời hạn. Đã tách bạch mốc thông báo vi phạm (72 giờ, tính từ khi phát hiện) với mốc trả lời yêu cầu của chủ thể dữ liệu (tính bằng ngày, theo loại yêu cầu).
• Quy mô. Đã đối chiếu quy mô doanh nghiệp và các trường hợp mất ưu đãi để biết nghĩa vụ nào áp dụng ngay, nghĩa vụ nào trong lộ trình ân hạn.
• Bằng chứng. Mỗi khối để lại tài liệu chứng minh được, có phiên bản và ngày rà soát, lưu ở nơi tìm lại được.

Rà soát chủ động không tạo thêm việc mới, mà chủ yếu là ghi lại và soát lại những thứ tổ chức vốn đã làm, theo cách chứng minh được. Nếu ba tháng nữa có đoàn kiểm tra, bạn chỉ cần mở đúng những thứ đó ra. Cần rà soát hiện trạng và dựng lộ trình, hãy đặt lịch tư vấn.

Lưu ý: bài viết mang tính tham khảo, không thay thế tư vấn pháp lý; doanh nghiệp nên đối chiếu văn bản luật hiện hành và ý kiến chuyên gia pháp chế.