Vì sao một xưởng sản xuất bình thường cũng phải đọc Điều 21
Tháng trước tôi ngồi với chủ một xưởng chế biến thực phẩm ở Bình Dương, hơn 80 công nhân, có hệ thống tem QR truy xuất nguồn gốc cho từng lô hàng. Anh hỏi một câu rất thật: "Tôi có sản xuất dữ liệu cá nhân đâu mà phải đánh giá tác động?" Câu hỏi đó lặp lại ở gần như mọi doanh nghiệp sản xuất tôi từng làm việc cùng, vì hai chữ "dữ liệu cá nhân" trong đầu họ vẫn gắn với ngân hàng, sàn thương mại điện tử, app gọi xe — không phải một nhà máy đóng gói sữa hay linh kiện điện tử.
Nhưng chỉ cần xưởng đó có một trong các thứ sau: hệ thống bảo hành yêu cầu khách để lại số điện thoại, cổng quét mã QR ghi lại vị trí người quét, form đăng ký đại lý có CMND/CCCD, hay đơn giản là bảng lương của chính 80 công nhân kia — thì họ đã là "bên kiểm soát dữ liệu cá nhân" theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026. Điều 21 chính là điều khoản bắt họ ngồi lại, viết ra giấy trắng mực đen: đang thu thập dữ liệu gì, của ai, để làm gì, rủi ro ra sao, bảo vệ bằng cách nào.
Phần lớn bài viết trên mạng về Điều 21 dừng lại ở việc trích luật: định nghĩa, thời hạn 60 ngày, mẫu đơn, cơ quan tiếp nhận. Đúng nhưng chưa đủ, vì "dữ liệu cá nhân" trong nhà máy không nằm gọn trong một hệ thống CRM, mà rải rác từ dây chuyền đóng gói, tem QR, hồ sơ bảo hành, cho tới danh sách đại lý. Bài này tôi viết theo đúng thứ tự một doanh nghiệp sản xuất/chuỗi cung ứng cần làm, xen vào đó là những tình huống thực tế tôi từng gặp khi tư vấn khách hàng dùng hệ thống truy xuất nguồn gốc.
Đánh giá tác động xử lý dữ liệu cá nhân là gì, theo đúng câu chữ của luật
Điều 21 định nghĩa khá gọn: đánh giá tác động xử lý dữ liệu cá nhân là phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân, để áp dụng biện pháp giảm thiểu rủi ro và bảo vệ dữ liệu. Nói dễ hiểu hơn với dân sản xuất: nó giống một bản đánh giá rủi ro an toàn lao động, chỉ khác đối tượng bảo vệ là dữ liệu con người thay vì môi trường làm việc.
Ba nhóm phải lập hồ sơ này: bên kiểm soát dữ liệu cá nhân — doanh nghiệp quyết định mục đích và cách thức xử lý (ví dụ thu số điện thoại khách để kích hoạt bảo hành); bên kiểm soát và xử lý dữ liệu — vừa quyết định vừa trực tiếp xử lý; và bên xử lý dữ liệu cá nhân — đơn vị làm thay theo hợp đồng, như đơn vị cung cấp nền tảng truy xuất nguồn gốc mà nhà máy đang dùng.
Điểm nhiều người bỏ qua: nếu doanh nghiệp thuê một nền tảng SaaS quản lý mã QR, đơn bảo hành, dữ liệu đại lý, thì cả hai bên — doanh nghiệp (kiểm soát) lẫn nhà cung cấp (xử lý) — đều có nghĩa vụ riêng theo Điều 21, và hợp đồng giữa hai bên cần nói rõ ai chịu trách nhiệm phần nào của hồ sơ đánh giá tác động.
Ai bắt buộc phải làm — và ai được miễn, nhưng đừng vội mừng
Luật có cửa miễn trừ cho hộ kinh doanh, doanh nghiệp siêu nhỏ, và doanh nghiệp nhỏ trong 5 năm đầu hoạt động. Đây là phần khiến nhiều chủ xưởng nhỏ thở phào rồi bỏ qua luôn — nhưng cửa miễn trừ này có điều kiện đi kèm mà các bài viết khác thường chỉ nhắc lướt qua: nếu doanh nghiệp nhỏ đó xử lý dữ liệu nhạy cảm (dữ liệu sức khỏe trong hồ sơ bảo hành thiết bị y tế, dữ liệu định vị người dùng cuối) hoặc xử lý ở quy mô lớn, thì vẫn phải lập hồ sơ như doanh nghiệp lớn, bất kể quy mô nhân sự hay doanh thu.
Đây chính là chỗ nhiều doanh nghiệp sản xuất vừa và nhỏ ngành thực phẩm, dược, mỹ phẩm bị lọt lưới. Một xưởng mỹ phẩm 15 người, doanh thu chưa tới ngưỡng doanh nghiệp nhỏ, nhưng nếu hệ thống QR trên bao bì thu thập vị trí quét, số điện thoại đăng ký thành viên, lịch sử mua hàng gắn với một cá nhân cụ thể trên diện rộng toàn quốc — thì "xử lý ở quy mô lớn" hoàn toàn có thể áp dụng, và doanh nghiệp đó không còn nằm trong diện miễn trừ. Quy mô ở đây luật tính theo khối lượng, phạm vi dữ liệu xử lý, không phải số lượng nhân viên.
Dữ liệu cá nhân trong một chuỗi truy xuất nguồn gốc nằm ở đâu — phần mà các bài luật thường bỏ qua
Đây là phần tôi chưa thấy bài nào viết về Điều 21 đề cập cụ thể. Trong một hệ thống truy xuất nguồn gốc/QR code điển hình, dữ liệu cá nhân xuất hiện ở ít nhất bốn điểm:
Thứ nhất, dữ liệu người quét mã: log vị trí (kể cả chỉ ở mức tỉnh/thành suy ra từ IP), thiết bị, thời điểm quét — vẫn là dữ liệu cá nhân gắn với hành vi, dù không có tên tuổi, vì định danh được gián tiếp qua thiết bị. Thứ hai, dữ liệu đăng ký bảo hành: số điện thoại, họ tên, địa chỉ, đôi khi cả ảnh hóa đơn — dữ liệu cá nhân "chuẩn" không cần bàn cãi. Thứ ba, dữ liệu đại lý/nhà phân phối: CMND/CCCD, số tài khoản ngân hàng của chủ đại lý khi ký hợp đồng — nhiều doanh nghiệp coi là "dữ liệu B2B" nên bỏ qua, nhưng chủ đại lý vẫn là một cá nhân cụ thể. Thứ tư, dữ liệu công nhân trong hệ thống truy xuất nội bộ: ID người thao tác gắn vào từng công đoạn (ai đóng gói, ai kiểm hàng) để truy vết chất lượng — cũng là dữ liệu cá nhân người lao động, phải nằm trong phạm vi đánh giá.
Nếu doanh nghiệp chỉ đánh giá tác động cho mỗi hệ thống nhân sự — thứ ai cũng nghĩ tới đầu tiên — mà bỏ sót ba nguồn còn lại, hồ sơ nộp A05 vẫn được tiếp nhận nhưng không phản ánh đúng thực trạng xử lý dữ liệu, và đó là rủi ro để lại cho lần thanh tra sau này.
Thời hạn 60 ngày tính từ đâu — sai lầm phổ biến nhất
Điều 21 quy định hồ sơ phải gửi cho cơ quan chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — A05, Bộ Công an) trong vòng 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Cái bẫy nằm ở chữ "ngày đầu tiên xử lý" — không phải ngày công ty thành lập, không phải ngày ký hợp đồng với nhà cung cấp phần mềm, mà là ngày dữ liệu cá nhân đầu tiên thực sự đi vào hệ thống.
Với doanh nghiệp mới triển khai QR truy xuất, mốc 60 ngày nên tính từ ngày lô hàng đầu tiên có tem QR ra thị trường và có khả năng bị người tiêu dùng quét — không phải từ ngày ký hợp đồng với nhà cung cấp giải pháp. Nhiều doanh nghiệp tính nhầm, nộp hồ sơ trễ mà không hay biết, vì trong đầu họ ngày "bắt đầu dùng hệ thống" và ngày "bắt đầu xử lý dữ liệu" là một, trong khi thực tế có thể lệch nhau vài tuần đến vài tháng — thời gian chạy thử nội bộ, in bao bì, phân phối ra thị trường.
Hồ sơ đánh giá tác động gồm những gì
Bộ hồ sơ dùng mẫu Đ24-DLCN (01, 02 hoặc 03 tùy vai trò kiểm soát/xử lý/kiểm soát-xử lý), kèm văn bản thông báo gửi hồ sơ. Hồ sơ phải thể hiện chín nhóm thông tin: thông tin bên xử lý dữ liệu; mục đích xử lý; loại dữ liệu (cơ bản hay nhạy cảm); các bên liên quan (đối tác, nhà cung cấp dịch vụ); có chuyển dữ liệu ra nước ngoài hay không; thời gian xử lý và lưu trữ; biện pháp bảo vệ kỹ thuật/tổ chức đang áp dụng; đánh giá mức độ rủi ro; và biện pháp giảm thiểu tương ứng.
Mục "chuyển dữ liệu ra nước ngoài" dễ bị bỏ trống nhất, vì doanh nghiệp nghĩ mình không xuất khẩu dữ liệu đi đâu. Nhưng nếu hệ thống QR, bảo hành, hay công cụ gửi tin nhắn/email marketing đang chạy trên hạ tầng cloud đặt máy chủ nước ngoài (AWS Singapore, Google Cloud, một nền tảng CRM quốc tế), đó đã là chuyển dữ liệu ra nước ngoài về mặt kỹ thuật, phải khai báo kèm cơ chế bảo vệ tương ứng.
Kèm hồ sơ đánh giá, doanh nghiệp thường cần chuẩn bị thêm: bản sao giấy chứng nhận đăng ký doanh nghiệp, quyết định phân công người/bộ phận phụ trách, hợp đồng xử lý dữ liệu đã ký với các bên liên quan (nhà cung cấp phần mềm, đơn vị vận chuyển nếu họ tiếp cận thông tin người nhận hàng), và mẫu biểu thể hiện đã có sự đồng ý của chủ thể dữ liệu ở khâu cần đồng ý.
Một ví dụ cụ thể: điền hồ sơ cho hệ thống QR bảo hành trông như thế nào
Hầu hết bài hướng dẫn liệt kê chín nhóm nội dung xong dừng lại ở đó, để doanh nghiệp tự hình dung phải viết gì vào từng ô. Dưới đây là cách tôi từng giúp một khách hàng ngành thực phẩm điền cho đúng hệ thống QR truy xuất kiêm đăng ký bảo hành của họ, để hình dung cụ thể hơn là đọc chín gạch đầu dòng suông.
Mục đích xử lý, họ viết rõ ba mục đích tách bạch thay vì gộp chung một câu "phục vụ kinh doanh": xác thực nguồn gốc sản phẩm khi khách quét mã, kích hoạt bảo hành khi khách đăng ký số điện thoại, và thống kê vị trí địa lý theo tỉnh/thành để đánh giá thị trường. Loại dữ liệu, họ tách hai nhóm — dữ liệu cơ bản (số điện thoại, tên, địa chỉ tỉnh/thành) và lưu ý riêng rằng họ không thu thập dữ liệu nhạy cảm ở bước đăng ký bảo hành tiêu dùng (không hỏi CMND/CCCD ở đây), dù có hỏi ở bước ký hợp đồng đại lý — nên phần đại lý phải tách hồ sơ mô tả riêng. Bên liên quan, họ liệt kê đích danh nhà cung cấp nền tảng truy xuất nguồn gốc (kèm vai trò "bên xử lý theo hợp đồng"), đơn vị gửi SMS xác nhận bảo hành, và đơn vị lưu trữ cloud. Chuyển dữ liệu ra nước ngoài, họ ghi rõ tên nhà cung cấp cloud, khu vực đặt máy chủ (ví dụ Singapore), thay vì bỏ trống hoặc ghi chung chung "không có". Biện pháp bảo vệ, thay vì viết mơ hồ "có bảo mật", họ liệt kê cụ thể: mã hóa số điện thoại lúc lưu trữ, giới hạn quyền truy cập log quét theo vai trò nhân viên, xóa dữ liệu định vị chi tiết sau 12 tháng chỉ giữ lại mức tỉnh/thành cho báo cáo.
Cách làm này mất nhiều thời gian hơn so với điền qua loa, nhưng là thứ giúp hồ sơ đứng vững nếu sau này A05 hỏi lại chi tiết, hoặc đối tác yêu cầu xem lại khi ký hợp đồng phân phối.
Nộp ở đâu, cập nhật khi nào — đừng làm một lần rồi cất tủ
Hồ sơ nộp cho A05 qua ba hình thức: trực tuyến, trực tiếp, hoặc bưu chính công ích. Về nguyên tắc, việc đánh giá chỉ cần làm một lần cho suốt thời gian hoạt động — không phải năm nào cũng làm lại từ đầu. Nhưng Điều 22 buộc cập nhật định kỳ 6 tháng một lần, hoặc ngay khi có một trong các sự kiện: tổ chức lại/giải thể, thay đổi nhà cung cấp dịch vụ xử lý dữ liệu, hoặc thay đổi ngành nghề kinh doanh liên quan tới xử lý dữ liệu.
Với doanh nghiệp sản xuất, tình huống hay gặp nhất kích hoạt nghĩa vụ cập nhật là đổi nhà cung cấp giải pháp truy xuất nguồn gốc hoặc mở rộng tính năng — ví dụ từ chỗ chỉ dùng QR tra cứu thông tin sản phẩm, chuyển sang thêm đăng ký bảo hành hoặc chương trình tích điểm. Bản thân việc thêm một trường thu thập dữ liệu mới (số điện thoại, email) vào hệ thống đã có sẵn cũng đủ coi là thay đổi đáng kể, cần cập nhật lại hồ sơ chứ không chờ đủ 6 tháng.
Nộp xong chưa chắc đã xong: cơ quan chuyên trách có quyền yêu cầu bổ sung
Một chi tiết nằm ở các khoản sau của Điều 21 mà phần lớn bài viết tóm tắt luật thường bỏ qua, vì mải tập trung vào khoản 1 (thời hạn 60 ngày) và khoản 2 (làm một lần, cập nhật theo Điều 22): cơ quan chuyên trách bảo vệ dữ liệu cá nhân không chỉ tiếp nhận rồi lưu kho, mà có quyền xem xét hồ sơ và yêu cầu doanh nghiệp bổ sung, hoàn thiện nếu nội dung chưa đạt. Nói cách khác, nộp hồ sơ đúng hạn chỉ là điều kiện cần; nếu A05 phản hồi yêu cầu làm rõ phần nào đó — ví dụ mục biện pháp bảo vệ viết quá chung chung, hay phần chuyển dữ liệu ra nước ngoài bỏ trống trong khi hệ thống rõ ràng dùng cloud ngoại — doanh nghiệp có nghĩa vụ bổ sung theo yêu cầu, chứ hồ sơ không tự động coi là hoàn tất chỉ vì đã gửi đi.
Đây cũng là lý do phần ví dụ điền hồ sơ ở trên đáng làm kỹ ngay từ đầu: hồ sơ càng cụ thể, càng ít khả năng bị yêu cầu bổ sung, đỡ mất thêm một vòng qua lại với cơ quan chuyên trách.
Điều 21 cũng loại trừ một nhóm ra khỏi toàn bộ nghĩa vụ này: cơ quan nhà nước không phải lập hồ sơ đánh giá tác động theo điều khoản trên. Chi tiết này gần như không liên quan tới doanh nghiệp sản xuất tư nhân, nhưng đáng biết nếu công ty có phần vốn nhà nước, hoặc tham gia mô hình hợp tác công tư — đừng nhầm lẫn viện dẫn ngoại lệ dành cho cơ quan nhà nước sang cho doanh nghiệp có vốn nhà nước, vì luật phân biệt rạch ròi giữa hai loại chủ thể này.
So với Nghị định 13/2023 — cái gì giữ nguyên, cái gì siết lại
Nhiều doanh nghiệp đã lập hồ sơ theo Nghị định 13/2023/NĐ-CP nghĩ bộ hồ sơ cũ vẫn dùng được nguyên vẹn. Về khung nội dung, đúng là gần như không đổi — chín nhóm nội dung, quy trình lập, thời hạn 60 ngày đều kế thừa từ Nghị định 13. Nhưng Luật 91/2025/QH15 nâng khung pháp lý này từ cấp nghị định lên cấp luật, kéo theo chế tài xử phạt cụ thể và nặng hơn hẳn, đồng thời cơ chế miễn trừ cho doanh nghiệp nhỏ được luật hóa rõ ràng hơn — điều Nghị định 13 trước đây không quy định tường minh. Lời khuyên thực tế: không cần làm lại từ đầu, nhưng rà soát hồ sơ cũ xem có bỏ sót nguồn dữ liệu nào phát sinh sau này (như tính năng mới trên hệ thống QR) và cập nhật khớp thời hạn, biểu mẫu hiện hành trước khi luật có hiệu lực 01/01/2026.
So với DPIA theo GDPR — doanh nghiệp xuất khẩu đừng nhầm hai bộ hồ sơ là một
Không ít doanh nghiệp sản xuất trong ngành thực phẩm, dệt may, đồ gỗ xuất khẩu sang châu Âu đã từng làm một bộ hồ sơ tương tự — Data Protection Impact Assessment (DPIA) — theo yêu cầu của GDPR từ đối tác nhập khẩu hoặc chính công ty mẹ ở nước ngoài. Nhìn bề ngoài, hai bộ hồ sơ giống nhau đến 80%: cùng là phân tích rủi ro xử lý dữ liệu cá nhân, cùng yêu cầu liệt kê mục đích, loại dữ liệu, biện pháp bảo vệ. Nhưng đánh giá tác động theo Điều 21 Luật 91/2025/QH15 không thể dùng để thay thế nghĩa vụ nộp cho A05, và ngược lại, vì ba khác biệt cốt lõi: thứ nhất, DPIA theo GDPR không bắt buộc nộp cho cơ quan quản lý trừ khi rủi ro cao (chỉ cần lưu nội bộ), trong khi Điều 21 bắt buộc gửi 01 bản chính cho A05 trong 60 ngày, không có ngoại lệ "rủi ro thấp thì khỏi nộp"; thứ hai, phạm vi "dữ liệu cá nhân" và "dữ liệu nhạy cảm" theo luật Việt Nam có danh mục và cách phân loại riêng, không trùng khớp hoàn toàn với "special category data" của GDPR; thứ ba, biểu mẫu bắt buộc dùng là Đ24-DLCN theo quy định trong nước, một bản DPIA soạn theo khung châu Âu dù đầy đủ nội dung vẫn không được chấp nhận thay thế nếu không chuyển đổi đúng biểu mẫu.
Lời khuyên thực tế cho doanh nghiệp đã có DPIA: đừng bỏ đi, đó là nguồn dữ liệu đầu vào rất tốt để rút ngắn thời gian lập hồ sơ theo Điều 21 — vì phần khảo sát thực trạng xử lý dữ liệu đã làm rồi, chỉ cần ánh xạ lại vào đúng chín mục và biểu mẫu trong nước, thay vì làm lại từ đầu.
Không làm thì sao
Mức phạt với hành vi không lập, không nộp, hoặc nộp không đầy đủ hồ sơ có thể lên tới 3 tỷ đồng đối với tổ chức. Nhưng theo kinh nghiệm của tôi, thiệt hại lớn hơn con số phạt hành chính thường là đứt gãy niềm tin với đối tác. Không ít hợp đồng phân phối, hợp đồng với chuỗi siêu thị hiện đại đã yêu cầu bên cung cấp hàng hóa xuất trình bằng chứng đã hoàn thành nghĩa vụ bảo vệ dữ liệu cá nhân, tương tự cách họ từng yêu cầu chứng nhận ISO hay HACCP. Đến lúc đối tác hỏi tới mới đi làm sẽ mất thời gian gấp nhiều lần so với làm sớm.
Doanh nghiệp sản xuất nên bắt đầu từ đâu — checklist thực tế
Việc đầu tiên không phải tải mẫu đơn về điền, mà ngồi vẽ lại toàn bộ hành trình dữ liệu trong doanh nghiệp: dữ liệu cá nhân nào đang được thu thập, ở khâu nào (bán hàng, bảo hành, quét QR, tuyển dụng, chấm công), ai giữ nó (nội bộ hay bên thứ ba như nhà cung cấp phần mềm), lưu ở đâu (máy chủ nội bộ hay cloud, trong hay ngoài nước). Bước này thường lộ ra những nguồn dữ liệu mà chính chủ doanh nghiệp cũng quên mất mình đang thu thập, ví dụ dữ liệu định vị trong log quét QR mà đội kỹ thuật bật sẵn từ lúc triển khai nhưng không ai nhắc lại.
Sau đó, phân công một người hoặc bộ phận cụ thể chịu trách nhiệm — dù công ty chưa đủ lớn để có chức danh DPO riêng — vẫn cần thiết, vì hồ sơ yêu cầu có quyết định phân công rõ ràng; ở doanh nghiệp sản xuất quy mô vừa, vai trò này thường giao cho trưởng phòng IT hoặc pháp chế/hành chính kiêm nhiệm. Nếu đang dùng nền tảng truy xuất nguồn gốc/QR code của bên thứ ba, bước tiếp theo là làm việc lại với nhà cung cấp để xác nhận rõ vai trò theo luật (họ là bên xử lý dữ liệu theo hợp đồng), và yêu cầu họ cung cấp thông tin về biện pháp bảo vệ kỹ thuật đang áp dụng — phần này bắt buộc có trong hồ sơ, doanh nghiệp không thể tự viết thay nếu không biết chính xác họ mã hóa, lưu trữ, sao lưu dữ liệu ra sao.
Những lỗi hay gặp khi tự lập hồ sơ
Lỗi phổ biến nhất là liệt kê dữ liệu theo trí nhớ thay vì khảo sát thực tế hệ thống, dẫn tới bỏ sót các nguồn "âm thầm" như log quét QR hay dữ liệu định vị. Lỗi thứ hai là copy nguyên mẫu hồ sơ của ngành khác (ví dụ từ công ty fintech) rồi chỉnh vài chữ, khiến phần biện pháp bảo vệ không khớp thực trạng hạ tầng nhà máy. Lỗi thứ ba, nặng nhất về trách nhiệm, là để bộ phận không có thẩm quyền (ví dụ nhân viên marketing tự điền form) ký và nộp hồ sơ mà không qua người được phân công chính thức, khiến hồ sơ về sau khó truy trách nhiệm khi có sự cố.
Các câu hỏi hay gặp khi doanh nghiệp sản xuất chuẩn bị hồ sơ
Nộp hồ sơ đánh giá tác động cho A05 có mất phí không? Luật 91/2025/QH15 và các văn bản hiện có không quy định một khoản lệ phí nộp hồ sơ như một số thủ tục cấp phép khác. Nếu sau này có văn bản hướng dẫn bổ sung mức phí cụ thể, doanh nghiệp nên cập nhật theo thông báo chính thức từ A05 tại thời điểm nộp, thay vì mặc định theo những gì đã áp dụng cho Nghị định 13/2023 trước đây.
Hộ kinh doanh cá thể có xưởng sản xuất nhỏ có phải làm không? Về nguyên tắc được liệt vào diện miễn trừ cùng với doanh nghiệp siêu nhỏ, nhưng điều kiện miễn trừ vẫn áp dụng như với doanh nghiệp nhỏ: nếu hộ kinh doanh đó xử lý dữ liệu nhạy cảm hoặc ở quy mô lớn (ví dụ một hộ sản xuất nhưng bán hàng qua nền tảng riêng, thu thập dữ liệu khách hàng toàn quốc), vẫn phải lập hồ sơ như doanh nghiệp thông thường.
Không có nhân sự pháp chế hay IT chuyên trách thì phân công cho ai? Luật không yêu cầu bằng cấp hay chức danh cụ thể, chỉ yêu cầu có quyết định phân công rõ ràng. Ở quy mô nhà máy vừa và nhỏ, giao cho trưởng phòng IT, hành chính, hoặc chính chủ doanh nghiệp kiêm nhiệm đều hợp lệ, miễn có văn bản phân công và người đó thực sự nắm được hệ thống dữ liệu đang vận hành.
Hồ sơ đã lập theo Nghị định 13/2023 có phải làm lại từ đầu không? Không cần làm lại toàn bộ, nhưng phải rà soát và cập nhật cho khớp với biểu mẫu, thời hạn hiện hành trước khi luật mới có hiệu lực, đặc biệt nếu hệ thống đã phát sinh thêm nguồn dữ liệu mới kể từ lần lập hồ sơ trước.
Nhà cung cấp phần mềm truy xuất nguồn gốc nước ngoài có phải nộp hồ sơ riêng tại Việt Nam không? Nếu họ chỉ đóng vai trò bên xử lý dữ liệu theo hợp đồng với doanh nghiệp Việt Nam, nghĩa vụ nộp hồ sơ chính thuộc về doanh nghiệp (bên kiểm soát); nhà cung cấp có nghĩa vụ lập hồ sơ phần việc của họ theo thỏa thuận giữa hai bên, không phải nộp trực tiếp cho A05 thay doanh nghiệp.
Hồ sơ có cần công chứng, chứng thực chữ ký không? Luật không đặt ra yêu cầu công chứng; hồ sơ cần có xác nhận của người/bộ phận được phân công phụ trách và con dấu doanh nghiệp theo thể thức văn bản hành chính thông thường.
Nhìn chung, Điều 21 không phải một thủ tục hành chính để đối phó, mà là cơ hội để doanh nghiệp sản xuất nhìn lại toàn bộ cách mình thu thập và sử dụng thông tin của khách hàng, đại lý, và chính người lao động — thứ mà trong guồng quay sản xuất hàng ngày, rất ít ai có thời gian ngồi vẽ ra hệ thống, cho tới khi luật buộc phải làm.
