Điều 21 Luật 91/2025/QH15: Đánh giá tác động xử lý dữ liệu cá nhân, doanh nghiệp sản xuất cần làm gì

Điều 21 Luật 91/2025/QH15 buộc bên kiểm soát dữ liệu cá nhân, kể cả xưởng sản xuất có tem QR hay bảo hành, lập hồ sơ đánh giá tác động xử lý dữ liệu và gửi cơ quan chuyên trách thuộc Bộ Công an trong 60 ngày kể từ ngày đầu xử lý, rồi cập nhật theo Điều 22. Doanh nghiệp nhỏ, siêu nhỏ được miễn có điều kiện.

Vì sao một xưởng sản xuất bình thường cũng phải đọc Điều 21

Nhiều chủ xưởng sản xuất có chung một thắc mắc: "Tôi có kinh doanh dữ liệu cá nhân đâu mà phải đánh giá tác động?" Câu hỏi ấy dễ hiểu, vì hai chữ "dữ liệu cá nhân" trong đầu nhiều người vẫn gắn với ngân hàng, sàn thương mại điện tử, app gọi xe — không phải một nhà máy đóng gói sữa hay linh kiện điện tử.

Nhưng chỉ cần xưởng đó có một trong các thứ sau: hệ thống bảo hành yêu cầu khách để lại số điện thoại, cổng quét mã QR ghi lại vị trí người quét, form đăng ký đại lý có CCCD, hay đơn giản là bảng lương của chính công nhân — thì họ đã xử lý dữ liệu cá nhân và thường đóng vai trò "bên kiểm soát dữ liệu cá nhân" theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026). Điều 21 chính là điều khoản bắt họ ngồi lại, viết ra giấy trắng mực đen: đang thu thập dữ liệu gì, của ai, để làm gì, rủi ro ra sao, bảo vệ bằng cách nào.

Phần lớn bài viết về Điều 21 dừng lại ở việc trích luật: định nghĩa, thời hạn 60 ngày, cơ quan tiếp nhận. Đúng nhưng chưa đủ, vì "dữ liệu cá nhân" trong nhà máy không nằm gọn trong một hệ thống CRM, mà rải rác từ dây chuyền đóng gói, tem QR, hồ sơ bảo hành, cho tới danh sách đại lý. Bài này đi theo đúng thứ tự một doanh nghiệp sản xuất/chuỗi cung ứng cần làm, kèm các tình huống điển hình khi dùng hệ thống truy xuất nguồn gốc.

Đánh giá tác động xử lý dữ liệu cá nhân là gì

Hiểu đơn giản, đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân, để áp dụng biện pháp giảm thiểu rủi ro và bảo vệ dữ liệu. Nói dễ hiểu hơn với dân sản xuất: nó giống một bản đánh giá rủi ro an toàn lao động, chỉ khác đối tượng bảo vệ là dữ liệu con người thay vì môi trường làm việc.

Theo Điều 21, bên kiểm soát dữ liệu cá nhân — doanh nghiệp quyết định mục đích và cách thức xử lý (ví dụ thu số điện thoại khách để kích hoạt bảo hành) — và bên kiểm soát và xử lý dữ liệu cá nhân (vừa quyết định vừa trực tiếp xử lý) phải lập và gửi hồ sơ. Bên xử lý dữ liệu cá nhân — đơn vị làm thay theo hợp đồng, như nhà cung cấp nền tảng truy xuất nguồn gốc mà nhà máy đang dùng — phải lập hồ sơ đánh giá tác động theo thỏa thuận với bên kiểm soát.

Điểm nhiều người bỏ qua: nếu doanh nghiệp thuê một nền tảng SaaS quản lý mã QR, đơn bảo hành, dữ liệu đại lý, thì cả hai bên — doanh nghiệp (kiểm soát) lẫn nhà cung cấp (xử lý) — đều có phần việc riêng, và hợp đồng giữa hai bên cần nói rõ ai chịu trách nhiệm phần nào của hồ sơ đánh giá tác động.

Ai bắt buộc phải làm — và ai được miễn, nhưng đừng vội mừng

Điều 38 của Luật có cơ chế riêng cho doanh nghiệp quy mô nhỏ: doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 (và khoản 2 Điều 33) trong thời gian 05 năm kể từ ngày Luật có hiệu lực; hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn các quy định này. Lưu ý: 5 năm tính từ ngày Luật có hiệu lực (01/01/2026), không phải từ ngày thành lập doanh nghiệp.

Đây là phần khiến nhiều chủ xưởng nhỏ thở phào rồi bỏ qua luôn — nhưng miễn trừ có ngoại lệ: không áp dụng với đơn vị kinh doanh dịch vụ xử lý dữ liệu cá nhân, đơn vị trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu.

Đây chính là chỗ nhiều doanh nghiệp sản xuất vừa và nhỏ ngành thực phẩm, dược, mỹ phẩm dễ bị lọt lưới. Một xưởng mỹ phẩm nhỏ, nhưng nếu hệ thống QR trên bao bì thu thập vị trí quét, số điện thoại đăng ký thành viên, lịch sử mua hàng gắn với cá nhân trên diện rộng toàn quốc, thì có thể rơi vào trường hợp "số lượng lớn chủ thể dữ liệu" và không còn được hưởng miễn trừ. Cần lưu ý thêm: dữ liệu về vị trí của cá nhân nằm trong nhóm dữ liệu cá nhân nhạy cảm theo Luật, nên hệ thống QR ghi vị trí chính xác của người quét có thể khiến doanh nghiệp bị coi là "trực tiếp xử lý dữ liệu nhạy cảm". Tiêu chí ở đây gắn với dữ liệu được xử lý, không phải số lượng nhân viên; ngưỡng cụ thể cần đối chiếu với văn bản hướng dẫn của Chính phủ.

Dữ liệu cá nhân trong một chuỗi truy xuất nguồn gốc nằm ở đâu

Trong một hệ thống truy xuất nguồn gốc/QR code điển hình, dữ liệu cá nhân xuất hiện ở ít nhất bốn điểm:

Thứ nhất, dữ liệu người quét mã: log vị trí (kể cả chỉ ở mức tỉnh/thành suy ra từ IP), thiết bị, thời điểm quét — có thể là dữ liệu cá nhân khi định danh được gián tiếp qua thiết bị hoặc tài khoản, dù không có tên tuổi. Thứ hai, dữ liệu đăng ký bảo hành: số điện thoại, họ tên, địa chỉ, đôi khi cả ảnh hóa đơn — dữ liệu cá nhân "chuẩn" không cần bàn cãi. Thứ ba, dữ liệu đại lý/nhà phân phối: CCCD, số tài khoản ngân hàng của chủ đại lý khi ký hợp đồng — nhiều doanh nghiệp coi là "dữ liệu B2B" nên bỏ qua, nhưng chủ đại lý vẫn là một cá nhân cụ thể. Thứ tư, dữ liệu công nhân trong hệ thống truy xuất nội bộ: ID người thao tác gắn vào từng công đoạn (ai đóng gói, ai kiểm hàng) để truy vết chất lượng — cũng là dữ liệu cá nhân người lao động, nên nằm trong phạm vi đánh giá.

Nếu doanh nghiệp chỉ đánh giá tác động cho mỗi hệ thống nhân sự — thứ ai cũng nghĩ tới đầu tiên — mà bỏ sót ba nguồn còn lại, hồ sơ không phản ánh đúng thực trạng xử lý dữ liệu, và đó là rủi ro để lại cho lần kiểm tra sau này.

Thời hạn 60 ngày tính từ đâu — sai lầm phổ biến nhất

Điều 21 quy định hồ sơ phải gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (thuộc Bộ Công an) trong vòng 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Cái bẫy nằm ở chữ "ngày đầu tiên xử lý" — không phải ngày công ty thành lập, không phải ngày ký hợp đồng với nhà cung cấp phần mềm, mà là ngày dữ liệu cá nhân thực sự bắt đầu được xử lý.

Với doanh nghiệp mới triển khai QR truy xuất, nên xác định mốc này theo thời điểm hệ thống bắt đầu thu thập dữ liệu cá nhân thật — ví dụ lúc lô hàng đầu tiên có tem QR ra thị trường và người tiêu dùng bắt đầu quét, hoặc sớm hơn nếu giai đoạn chạy thử đã ghi dữ liệu của người thật. Nhiều doanh nghiệp tính nhầm vì đồng nhất ngày "ký hợp đồng phần mềm" với ngày "bắt đầu xử lý dữ liệu", trong khi hai mốc này có thể lệch nhau vài tuần đến vài tháng. Khi còn phân vân, an toàn hơn là chọn mốc sớm hơn.

Hồ sơ đánh giá tác động gồm những gì

Từ 01/01/2026, thành phần hồ sơ được quy định chi tiết tại Điều 19 Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP). Hồ sơ gồm: báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10 của Nghị định; bản sao hợp đồng xử lý dữ liệu cá nhân (nếu có); và các chính sách, quy trình, quy định nội bộ liên quan đến bảo vệ dữ liệu cá nhân. Báo cáo cần thể hiện các nội dung như: thông tin liên hệ của tổ chức và người phụ trách bảo vệ dữ liệu; mô tả mục đích xử lý; luồng dữ liệu; cách lấy sự đồng ý; biện pháp bảo vệ; kết quả tự đánh giá tuân thủ; đánh giá rủi ro và biện pháp giảm thiểu.

Mục dễ bị khai thiếu nhất là nơi lưu trữ và luồng dữ liệu ra nước ngoài, vì doanh nghiệp nghĩ mình không "xuất khẩu" dữ liệu đi đâu. Nhưng nếu hệ thống QR, bảo hành, hay công cụ gửi tin nhắn/email marketing đang chạy trên hạ tầng cloud đặt máy chủ ở nước ngoài, hoạt động đó có thể thuộc diện chuyển dữ liệu cá nhân xuyên biên giới — một nghĩa vụ riêng với hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới riêng (Điều 22 của Luật nhắc tới cả hai loại hồ sơ). Hãy khai báo trung thực và kiểm tra nghĩa vụ này song song.

Kèm hồ sơ, doanh nghiệp nên chuẩn bị sẵn: quyết định phân công người/bộ phận phụ trách, hợp đồng xử lý dữ liệu đã ký với các bên liên quan (nhà cung cấp phần mềm, đơn vị vận chuyển nếu họ tiếp cận thông tin người nhận hàng), và mẫu biểu thể hiện đã có sự đồng ý của chủ thể dữ liệu ở khâu cần đồng ý.

Ví dụ minh họa: điền hồ sơ cho hệ thống QR bảo hành

Liệt kê thành phần hồ sơ thì dễ; khó là viết gì vào từng mục. Dưới đây là một ví dụ giả định cho một doanh nghiệp thực phẩm có hệ thống QR truy xuất kiêm đăng ký bảo hành.

Mục đích xử lý: viết rõ ba mục đích tách bạch thay vì gộp chung một câu "phục vụ kinh doanh" — xác thực nguồn gốc sản phẩm khi khách quét mã, kích hoạt bảo hành khi khách đăng ký số điện thoại, và thống kê vị trí địa lý theo tỉnh/thành để đánh giá thị trường. Loại dữ liệu: tách dữ liệu cơ bản (số điện thoại, tên, tỉnh/thành) và ghi rõ không thu thập dữ liệu nhạy cảm ở bước đăng ký bảo hành tiêu dùng (không hỏi CCCD ở đây); phần ký hợp đồng đại lý có CCCD thì mô tả riêng. Bên liên quan: liệt kê đích danh nhà cung cấp nền tảng truy xuất nguồn gốc (vai trò "bên xử lý theo hợp đồng"), đơn vị gửi SMS xác nhận bảo hành, và đơn vị lưu trữ cloud. Luồng dữ liệu ra nước ngoài: ghi rõ nhà cung cấp cloud và khu vực đặt máy chủ thay vì bỏ trống. Biện pháp bảo vệ: thay vì viết mơ hồ "có bảo mật", liệt kê cụ thể — mã hóa số điện thoại khi lưu trữ, phân quyền truy cập log quét theo vai trò, xóa dữ liệu định vị chi tiết sau một thời hạn và chỉ giữ mức tỉnh/thành cho báo cáo.

Cách làm này mất thời gian hơn điền qua loa, nhưng giúp hồ sơ đứng vững khi cơ quan chuyên trách yêu cầu làm rõ, hoặc khi đối tác hỏi lại lúc ký hợp đồng phân phối.

Nộp ở đâu, cập nhật khi nào — đừng làm một lần rồi cất tủ

Theo Nghị định 356/2025/NĐ-CP, hồ sơ gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính. Về nguyên tắc, việc đánh giá chỉ làm một lần cho suốt thời gian hoạt động. Nhưng Điều 22 của Luật yêu cầu cập nhật hồ sơ định kỳ 06 tháng khi có sự thay đổi, và cập nhật ngay trong ba trường hợp: tổ chức được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; có thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ.

Với doanh nghiệp sản xuất, những thay đổi hay gặp là đổi nhà cung cấp giải pháp truy xuất nguồn gốc hoặc mở rộng tính năng — ví dụ từ chỗ chỉ dùng QR tra cứu thông tin sản phẩm, chuyển sang thêm đăng ký bảo hành hoặc chương trình tích điểm, thêm trường thu thập số điện thoại, email. Hãy ghi nhận các thay đổi này để đưa vào lần cập nhật hồ sơ, và đối chiếu xem thay đổi có rơi vào một trong ba trường hợp phải cập nhật ngay hay không.

Nộp xong chưa chắc đã xong: cơ quan chuyên trách có quyền yêu cầu hoàn thiện

Một chi tiết của Điều 21 mà nhiều bài tóm tắt bỏ qua: cơ quan chuyên trách bảo vệ dữ liệu cá nhân không chỉ tiếp nhận rồi lưu kho, mà có quyền yêu cầu doanh nghiệp hoàn thiện hồ sơ nếu chưa đầy đủ, đúng quy định. Theo Nghị định 356/2025/NĐ-CP, cơ quan chuyên trách trả kết quả trong 15 ngày; trường hợp hồ sơ cần bổ sung, doanh nghiệp có 30 ngày để hoàn thiện. Nói cách khác, nộp đúng hạn chỉ là điều kiện cần; nếu phần biện pháp bảo vệ viết quá chung chung, hay phần luồng dữ liệu bỏ trống trong khi hệ thống rõ ràng dùng cloud ở nước ngoài, doanh nghiệp sẽ phải bổ sung.

Đây cũng là lý do phần ví dụ điền hồ sơ ở trên đáng làm kỹ ngay từ đầu: hồ sơ càng cụ thể, càng ít khả năng bị yêu cầu bổ sung.

Điều 21 cũng loại trừ một nhóm khỏi nghĩa vụ này: cơ quan nhà nước có thẩm quyền. Chi tiết này gần như không liên quan tới doanh nghiệp sản xuất tư nhân, nhưng đáng biết nếu công ty có phần vốn nhà nước — đừng viện dẫn ngoại lệ dành cho cơ quan nhà nước sang cho doanh nghiệp có vốn nhà nước, vì đây là hai loại chủ thể khác nhau.

So với Nghị định 13/2023 — cái gì giữ nguyên, cái gì thay đổi

Nghị định 13/2023/NĐ-CP đã được thay thế bởi Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực 01/01/2026), cùng thời điểm Luật 91/2025/QH15 có hiệu lực. Nhiều doanh nghiệp đã lập hồ sơ theo Nghị định 13/2023 nghĩ bộ hồ sơ cũ vẫn dùng được nguyên vẹn. Về tinh thần, cốt lõi được kế thừa: đánh giá rủi ro, thời hạn 60 ngày, gửi cơ quan chuyên trách. Nhưng khung pháp lý nay ở cấp luật, có mức phạt tiền tối đa được luật quy định, có cơ chế miễn trừ có điều kiện cho doanh nghiệp nhỏ, siêu nhỏ, khởi nghiệp và hộ kinh doanh, và biểu mẫu, thành phần hồ sơ theo Nghị định 356/2025/NĐ-CP. Lời khuyên thực tế: không cần làm lại từ đầu, nhưng rà soát hồ sơ cũ theo biểu mẫu hiện hành, bổ sung các nguồn dữ liệu phát sinh sau này (như tính năng mới trên hệ thống QR), và cập nhật theo Điều 22.

So với DPIA theo GDPR — doanh nghiệp xuất khẩu đừng nhầm hai bộ hồ sơ là một

Không ít doanh nghiệp sản xuất xuất khẩu sang châu Âu đã từng làm một bộ hồ sơ tương tự — Data Protection Impact Assessment (DPIA) — theo GDPR, theo yêu cầu của đối tác nhập khẩu hoặc công ty mẹ ở nước ngoài. Nhìn bề ngoài, hai bộ hồ sơ có nhiều điểm giống nhau: cùng là phân tích rủi ro xử lý dữ liệu cá nhân, cùng yêu cầu liệt kê mục đích, loại dữ liệu, biện pháp bảo vệ. Nhưng DPIA theo GDPR không thể thay thế nghĩa vụ theo Điều 21, vì ba khác biệt cốt lõi: thứ nhất, theo GDPR, bên kiểm soát chỉ phải tham vấn cơ quan giám sát trước khi xử lý khi DPIA cho thấy rủi ro cao nếu không có biện pháp giảm thiểu (Điều 36 GDPR), còn Điều 21 Luật 91/2025/QH15 yêu cầu gửi hồ sơ cho cơ quan chuyên trách trong 60 ngày, không phân biệt mức rủi ro; thứ hai, phạm vi "dữ liệu cá nhân nhạy cảm" theo pháp luật Việt Nam có cách phân loại riêng, không trùng khớp hoàn toàn với "special category data" của GDPR; thứ ba, hồ sơ trong nước phải theo biểu mẫu của Nghị định 356/2025/NĐ-CP, một bản DPIA soạn theo khung châu Âu cần được chuyển đổi sang đúng mẫu.

Lời khuyên thực tế cho doanh nghiệp đã có DPIA: đừng bỏ đi, đó là nguồn đầu vào rất tốt để rút ngắn thời gian lập hồ sơ theo Điều 21 — phần khảo sát thực trạng xử lý dữ liệu đã làm rồi, chỉ cần ánh xạ lại vào biểu mẫu trong nước.

Không làm thì sao

Điều 8 Luật 91/2025/QH15 đặt mức phạt tiền tối đa: với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu có được từ vi phạm; với vi phạm về chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu năm trước liền kề; với các hành vi vi phạm khác là 3 tỷ đồng. Đây là mức áp dụng cho tổ chức; cá nhân vi phạm cùng hành vi bị phạt bằng một nửa. Mức phạt cụ thể cho từng hành vi do văn bản xử phạt của Chính phủ quy định.

Ngoài tiền phạt, rủi ro lớn không kém là niềm tin của đối tác. Các nhà phân phối, chuỗi bán lẻ hiện đại và đối tác nước ngoài có thể yêu cầu nhà cung cấp chứng minh đã thực hiện nghĩa vụ bảo vệ dữ liệu cá nhân, tương tự cách họ yêu cầu chứng nhận ISO hay HACCP. Đến lúc đối tác hỏi tới mới đi làm sẽ mất thời gian gấp nhiều lần so với làm sớm.

Doanh nghiệp sản xuất nên bắt đầu từ đâu — checklist thực tế

Việc đầu tiên không phải tải mẫu đơn về điền, mà ngồi vẽ lại toàn bộ hành trình dữ liệu trong doanh nghiệp: dữ liệu cá nhân nào đang được thu thập, ở khâu nào (bán hàng, bảo hành, quét QR, tuyển dụng, chấm công), ai giữ nó (nội bộ hay bên thứ ba như nhà cung cấp phần mềm), lưu ở đâu (máy chủ nội bộ hay cloud, trong hay ngoài nước). Bước này thường lộ ra những nguồn dữ liệu mà chính chủ doanh nghiệp cũng quên mất mình đang thu thập, ví dụ dữ liệu định vị trong log quét QR được bật sẵn từ lúc triển khai.

Sau đó, phân công một người hoặc bộ phận cụ thể chịu trách nhiệm — báo cáo đánh giá tác động cần thông tin người phụ trách bảo vệ dữ liệu; ở doanh nghiệp sản xuất quy mô vừa, vai trò này thường giao cho trưởng phòng IT hoặc pháp chế/hành chính kiêm nhiệm. Nếu đang dùng nền tảng truy xuất nguồn gốc/QR code của bên thứ ba, bước tiếp theo là làm việc lại với nhà cung cấp để xác nhận rõ vai trò theo luật (thường là bên xử lý dữ liệu theo hợp đồng), và yêu cầu họ cung cấp thông tin về biện pháp bảo vệ kỹ thuật đang áp dụng — doanh nghiệp không thể tự viết thay nếu không biết chính xác họ mã hóa, lưu trữ, sao lưu dữ liệu ra sao.

Những lỗi hay gặp khi tự lập hồ sơ

Lỗi phổ biến nhất là liệt kê dữ liệu theo trí nhớ thay vì khảo sát thực tế hệ thống, dẫn tới bỏ sót các nguồn "âm thầm" như log quét QR hay dữ liệu định vị. Lỗi thứ hai là copy nguyên mẫu hồ sơ của ngành khác (ví dụ từ công ty fintech) rồi chỉnh vài chữ, khiến phần biện pháp bảo vệ không khớp thực trạng hạ tầng nhà máy. Lỗi thứ ba, nặng nhất về trách nhiệm, là để bộ phận không có thẩm quyền (ví dụ nhân viên marketing tự điền form) ký và nộp hồ sơ mà không qua người được phân công chính thức, khiến hồ sơ về sau khó truy trách nhiệm khi có sự cố.

Nhìn chung, Điều 21 không phải một thủ tục hành chính để đối phó, mà là cơ hội để doanh nghiệp sản xuất nhìn lại toàn bộ cách mình thu thập và sử dụng thông tin của khách hàng, đại lý, và chính người lao động — thứ mà trong guồng quay sản xuất hàng ngày, rất ít ai có thời gian ngồi vẽ ra hệ thống, cho tới khi luật buộc phải làm.

Câu hỏi thường gặp

Thời hạn nộp hồ sơ đánh giá tác động theo Điều 21 là bao lâu?

Bên kiểm soát và bên kiểm soát và xử lý dữ liệu cá nhân phải lập và gửi hồ sơ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Hồ sơ làm một lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22.

Doanh nghiệp nhỏ và hộ kinh doanh có phải lập hồ sơ không?

Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn; doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn làm hoặc không trong 5 năm kể từ ngày Luật có hiệu lực. Miễn trừ không áp dụng nếu đơn vị kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

Nộp hồ sơ đánh giá tác động có mất phí không?

Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP không quy định lệ phí cho việc gửi hồ sơ này. Doanh nghiệp nên kiểm tra lại hướng dẫn của cơ quan chuyên trách tại thời điểm nộp.

Hồ sơ đã lập theo Nghị định 13/2023 có phải làm lại từ đầu không?

Không nhất thiết làm lại toàn bộ, nhưng cần rà soát theo thành phần hồ sơ và biểu mẫu của Nghị định 356/2025/NĐ-CP (đã thay Nghị định 13/2023 từ 01/01/2026). Đặc biệt cần bổ sung các nguồn dữ liệu mới phát sinh kể từ lần lập trước.

Nhà cung cấp phần mềm truy xuất nguồn gốc có phải lập hồ sơ không?

Nếu chỉ là bên xử lý dữ liệu theo hợp đồng, họ lập hồ sơ đánh giá tác động theo thỏa thuận với bên kiểm soát; nghĩa vụ gửi hồ sơ trong 60 ngày thuộc về doanh nghiệp là bên kiểm soát. Hợp đồng giữa hai bên nên nêu rõ phần việc của mỗi bên.

Nguồn tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025 (91/2025/QH15) — thông tin văn bản, ngày thông qua và hiệu lực
• Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 (91/2025/QH15) — Đánh giá tác động xử lý dữ liệu cá nhân
• Điều 22 Luật Bảo vệ dữ liệu cá nhân 2025 — Cập nhật hồ sơ đánh giá tác động
• Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 — Miễn trừ cho doanh nghiệp nhỏ, siêu nhỏ, hộ kinh doanh
• Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 — Mức phạt tiền tối đa
• Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân
• Điều 19 Nghị định 356/2025/NĐ-CP — Hồ sơ đánh giá tác động
• GDPR Article 36 — Prior consultation