Thời Gian Cập Nhật Định Kỳ Hồ Sơ Đánh Giá Tác Động Là Bao Lâu?

Thời gian cập nhật định kỳ hồ sơ đánh giá tác động là một trong những nghĩa vụ quan trọng mà doanh nghiệp cần đặc biệt lưu ý để đảm bảo tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. Hãy cùng DPO.VN tìm hiểu chi tiết về các mốc thời gian, điều kiện bắt buộc phải cập nhật và quy trình thực hiện để tránh các rủi ro pháp lý không đáng có.

Quy định về thời gian cập nhật định kỳ hồ sơ đánh giá tác động là gì?

Theo Điều 20 Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải được cập nhật định kỳ 06 tháng một lần khi có các thay đổi cụ thể.

Việc bảo vệ dữ liệu cá nhân không phải là một công việc “làm một lần rồi xong”. Môi trường kinh doanh và công nghệ thay đổi liên tục, kéo theo sự thay đổi trong cách thức doanh nghiệp thu thập và xử lý dữ liệu. Do đó, pháp luật yêu cầu các hồ sơ đánh giá tác động phải luôn là “tài liệu sống”, phản ánh chính xác thực trạng hoạt động của tổ chức.

Cụ thể, Điều 20 Nghị định 356/2025/NĐ-CP quy định rõ hai trường hợp kích hoạt nghĩa vụ cập nhật định kỳ 06 tháng:

• Phát sinh mục đích mới: Khi doanh nghiệp có thêm mục đích chuyển dữ liệu cá nhân xuyên biên giới mới hoặc mục đích xử lý dữ liệu cá nhân mới mà chưa được đề cập trong hồ sơ ban đầu. Ví dụ: Ban đầu chỉ thu thập dữ liệu để giao hàng, nay muốn dùng thêm để chạy quảng cáo (marketing).
• Thay đổi về các bên liên quan: Khi có sự phát sinh hoặc thay đổi về Bên kiểm soát, Bên kiểm soát và xử lý, Bên xử lý, hoặc Bên thứ ba tham gia vào quá trình xử lý dữ liệu. Ví dụ: Doanh nghiệp thuê một đối tác mới để cung cấp dịch vụ điện toán đám mây hoặc chấm điểm tín dụng.

Đây là điểm mới quan trọng so với các quy định trước đây, đặt ra yêu cầu rà soát thường xuyên hơn để đảm bảo tính cập nhật và minh bạch của hồ sơ.

Những trường hợp nào bắt buộc phải cập nhật ngay trong vòng 10 ngày làm việc?

Bên cạnh chu kỳ 06 tháng, doanh nghiệp phải cập nhật hồ sơ ngay lập tức (trong vòng 10 ngày làm việc) nếu xảy ra các sự kiện quan trọng như tổ chức lại doanh nghiệp, thay đổi thông tin về đơn vị cung cấp dịch vụ bảo vệ dữ liệu, hoặc thay đổi ngành nghề kinh doanh liên quan đến xử lý dữ liệu.

Khoản 2 Điều 20 Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân liệt kê các trường hợp “khẩn cấp” đòi hỏi sự cập nhật tức thời để cơ quan chức năng nắm bắt kịp thời tình hình:

Khi nào thay đổi tổ chức doanh nghiệp cần cập nhật hồ sơ?

Bất kỳ thay đổi lớn nào về cấu trúc pháp lý của tổ chức như chia, tách, sáp nhập, hợp nhất, giải thể, phá sản đều làm thay đổi chủ thể chịu trách nhiệm đối với dữ liệu cá nhân. Việc cập nhật hồ sơ giúp xác định rõ ai là người tiếp quản nghĩa vụ bảo vệ dữ liệu, đảm bảo tính liên tục trong công tác quản lý.

Tại sao thay đổi đơn vị dịch vụ bảo vệ dữ liệu lại quan trọng?

Thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (hoặc DPO thuê ngoài) là đầu mối liên lạc quan trọng giữa doanh nghiệp và cơ quan chức năng. Khi có sự thay đổi ở vị trí này, việc cập nhật ngay lập tức là cần thiết để duy trì kênh thông tin thông suốt và đảm bảo trách nhiệm giải trình.

Thay đổi ngành nghề kinh doanh ảnh hưởng thế nào đến hồ sơ?

Nếu doanh nghiệp đăng ký thêm hoặc thay đổi ngành nghề kinh doanh có liên quan trực tiếp đến hoạt động xử lý dữ liệu (ví dụ: từ thương mại điện tử mở rộng sang tài chính tiêu dùng), phạm vi và tính chất rủi ro của dữ liệu sẽ thay đổi hoàn toàn. Lúc này, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cũ không còn phù hợp, buộc phải cập nhật để đánh giá lại các rủi ro mới phát sinh.

Quy trình và thủ tục cập nhật hồ sơ được thực hiện như thế nào?

Việc cập nhật được thực hiện thông qua Mẫu số 03a (cho tổ chức) hoặc 03b (cho cá nhân), nộp trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, trực tiếp hoặc qua bưu chính về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

Theo hướng dẫn tại Khoản 3 Điều 20 Nghị định 356/2025/NĐ-CP quy trình cập nhật bao gồm các bước sau:

• Bước 1: Chuẩn bị hồ sơ cập nhật

  Doanh nghiệp sử dụng Mẫu số 03a: Thông báo cập nhật hồ sơ đánh giá tác động đối với tổ chức (ban hành kèm theo Nghị định hướng dẫn) để kê khai các nội dung thay đổi. Đối với cá nhân kinh doanh, sử dụng Mẫu số 03b.

• Bước 2: Nộp hồ sơ

  Hồ sơ có thể được nộp qua 3 hình thức:

  • Trực tuyến: Nộp qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (đây là phương thức được khuyến khích để tiết kiệm thời gian).
  • Trực tiếp: Nộp tại trụ sở Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).
  • Bưu chính: Gửi qua đường bưu điện về địa chỉ của Cục A05.
• Bước 3: Tiếp nhận và xử lý

  Cơ quan chuyên trách sẽ tiếp nhận và cập nhật thông tin vào hệ thống cơ sở dữ liệu quốc gia về bảo vệ dữ liệu cá nhân.

Việc cập nhật hồ sơ áp dụng cho những loại hồ sơ nào?

Quy định cập nhật áp dụng đồng thời cho cả hai loại hồ sơ quan trọng nhất: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Điều 20 Nghị định 356/2025/NĐ-CP quy định rõ phạm vi áp dụng cho cả hai loại hồ sơ này. Điều này có nghĩa là dù doanh nghiệp chỉ xử lý dữ liệu trong nước hay có hoạt động chuyển dữ liệu cá nhân ra nước ngoài, nghĩa vụ cập nhật khi có thay đổi là như nhau. Sự đồng bộ này giúp doanh nghiệp dễ dàng quản lý và tuân thủ quy trình một cách hệ thống.

Tại sao việc tuân thủ thời gian cập nhật lại quan trọng đối với doanh nghiệp?

Tuân thủ đúng thời hạn cập nhật giúp doanh nghiệp tránh bị xử phạt vi phạm hành chính, đảm bảo tính minh bạch trong hoạt động, và quan trọng hơn là giúp doanh nghiệp luôn chủ động kiểm soát rủi ro trong quá trình xử lý dữ liệu.

Việc chậm trễ hoặc không cập nhật hồ sơ không chỉ là một lỗi hành chính đơn thuần. Theo rủi ro pháp lý thường gặp trong hoạt động xử lý dữ liệu cá nhân, hành vi này có thể bị xem xét xử phạt vi phạm hành chính. Hơn nữa, một hồ sơ lỗi thời sẽ không phản ánh đúng các biện pháp bảo vệ hiện tại, tạo ra lỗ hổng pháp lý nếu chẳng may xảy ra sự cố lộ lọt dữ liệu. Việc cập nhật định kỳ chính là cơ hội để doanh nghiệp tự rà soát (self-audit), phát hiện sớm các vấn đề và củng cố hệ thống bảo mật của mình.

Câu hỏi thường gặp về cập nhật hồ sơ đánh giá tác động

Tài liệu tham khảo

• Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Cơ sở dữ liệu quốc gia về văn bản quy phạm pháp luật.
• Chính phủ (2023), Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, Thư viện Pháp luật.
• Bộ Công an, Cổng dịch vụ công Bộ Công an – Thủ tục hành chính lĩnh vực An ninh mạng.
• DPO.VN (2025), Hướng dẫn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Có tại: https://dpo.vn/huong-dan-lap-ho-so-danh-gia-tac-dong-xu-ly-du-lieu-ca-nhan/