DPIA là gì? Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Luật 91/2025
DPIA là gì? DPIA (Data Protection Impact Assessment) là việc đánh giá rủi ro khi xử lý dữ liệu cá nhân và đề ra biện pháp giảm thiểu; theo luật Việt Nam, kết quả được lập thành hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày.
Nhiều doanh nghiệp biết phải làm DPIA nhưng kẹt ở câu hỏi cụ thể: hồ sơ gồm gì, điền Mẫu số 10 thế nào, nộp xong còn nghĩa vụ gì. Phần dưới trả lời theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Muốn có người làm cùng, xem dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Musk-IS.
Điểm chính
- Bên kiểm soát và bên kiểm soát và xử lý dữ liệu phải lập hồ sơ đánh giá tác động từ khi bắt đầu xử lý và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày (Điều 21 Luật 91/2025/QH15).
- Hồ sơ gồm Báo cáo theo Mẫu số 10, quyết định phân công nhân sự bảo vệ dữ liệu, bản sao hợp đồng hoặc thỏa thuận xử lý dữ liệu, và các chính sách, quy trình liên quan (Điều 19 Nghị định 356/2025/NĐ-CP; Quyết định 778/QĐ-BCA-A05).
- Cơ quan chuyên trách trả kết quả đạt hoặc không đạt trong 15 ngày; hồ sơ thiếu phải hoàn thiện trong 30 ngày.
- Doanh nghiệp nhỏ, khởi nghiệp được chọn chưa lập trong 5 năm từ 01/01/2026, trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu của từ 100.000 người.
DPIA là gì? Hồ sơ DPIA và báo cáo DPIA khác nhau ở đâu?
DPIA (Data Protection Impact Assessment), trong văn bản pháp luật Việt Nam gọi là đánh giá tác động xử lý dữ liệu cá nhân, là quá trình xác định doanh nghiệp xử lý dữ liệu nào, vì mục đích gì, rủi ro gì có thể xảy ra với người có dữ liệu, và biện pháp quản lý, kỹ thuật nào làm giảm rủi ro đó.
Nghĩa vụ này nằm ở Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 (Luật 91/2025/QH15) và được hướng dẫn tại Điều 19, 20 Nghị định 356/2025/NĐ-CP. Kết quả đánh giá phải gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, chứ không dừng ở bản lưu nội bộ.
Người tìm “hồ sơ DPIA là gì” và “báo cáo DPIA là gì” thường đang hỏi cùng một việc, nhưng hai khái niệm khác nhau. Báo cáo là văn bản điền theo Mẫu số 10 ban hành kèm Nghị định 356. Hồ sơ rộng hơn.
Theo thủ tục hành chính Bộ Công an công bố tại Quyết định 778/QĐ-BCA-A05 ngày 09/02/2026, bộ hồ sơ gồm: thông báo gửi hồ sơ theo Mẫu số 02a (tổ chức) hoặc 02b (cá nhân); Báo cáo theo Mẫu số 10; bản sao quyết định hoặc giấy tờ phân công bộ phận, nhân sự bảo vệ dữ liệu; bản sao hợp đồng dịch vụ bảo vệ dữ liệu (nếu thuê ngoài); bản sao hợp đồng hoặc thỏa thuận xử lý dữ liệu với các bên; và giấy tờ khác như chứng minh năng lực nhân sự bảo vệ dữ liệu, chính sách, quy trình, biểu mẫu. Thủ tục không mất phí.
Từ thực tế lập hồ sơ, phần tốn thời gian nhất không phải điền mẫu mà là vẽ được luồng dữ liệu đúng: dữ liệu vào từ đâu, nằm trên hệ thống nào, ai được truy cập, chia sẻ cho nhà cung cấp nào, xóa khi nào. Báo cáo viết đẹp nhưng sơ đồ luồng dữ liệu sai thì các phần đánh giá rủi ro phía sau cũng sai theo.
Khi nào doanh nghiệp bắt buộc phải lập DPIA?
Theo Điều 21 Luật 91, bên kiểm soát và bên kiểm soát và xử lý dữ liệu cá nhân phải lập, lưu và gửi hồ sơ trong 60 ngày kể từ khi bắt đầu xử lý; bên xử lý lập và lưu hồ sơ theo thỏa thuận với bên kiểm soát. Nói cách khác, gần như mọi doanh nghiệp có thu thập dữ liệu khách hàng, nhân viên hay đối tác đều thuộc diện phải lập, trừ khi được miễn.
Khác với GDPR, luật Việt Nam không giới hạn nghĩa vụ ở hoạt động “rủi ro cao”. Một công ty thương mại 80 nhân viên chỉ quản lý hồ sơ nhân sự và danh sách khách hàng vẫn là bên kiểm soát dữ liệu. Câu hỏi đúng không phải “có xử lý dữ liệu rủi ro cao không” mà là “có thuộc diện miễn trừ không”.
Ngoại lệ đáng chú ý nhất nằm ở Điều 38 Luật 91 và Điều 41 Nghị định 356: doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn chưa lập, cập nhật hồ sơ đánh giá tác động trong 5 năm kể từ 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập. Ngoại lệ mất hiệu lực nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 người trở lên tính lũy kế.
| Tình huống của doanh nghiệp | Có phải lập DPIA? | Ghi chú |
|---|---|---|
| Doanh nghiệp vừa, lớn xử lý dữ liệu khách hàng, nhân viên | Có | Lập từ khi xử lý, gửi trong 60 ngày |
| Doanh nghiệp nhỏ, khởi nghiệp, chỉ dữ liệu cơ bản, dưới 100.000 người | Được chọn chưa lập đến hết 5 năm | Vẫn nên có bản đồ dữ liệu để sẵn sàng |
| Doanh nghiệp nhỏ có máy chấm công khuôn mặt, vân tay | Có | Dữ liệu sinh trắc học là dữ liệu nhạy cảm, mất quyền miễn trừ |
| Phòng khám, công ty bảo hiểm, ví điện tử (dữ liệu sức khỏe, tài chính) | Có | Dữ liệu nhạy cảm, không được miễn |
| Công ty cung cấp dịch vụ xử lý dữ liệu, thuê ngoài CSKH, kế toán | Có | Kinh doanh dịch vụ xử lý dữ liệu không được miễn |
| Công ty phần mềm chỉ xử lý dữ liệu theo hợp đồng với khách hàng | Lập theo thỏa thuận với bên kiểm soát | Với dữ liệu nhân viên của chính mình, công ty là bên kiểm soát |
| Cơ quan nhà nước có thẩm quyền | Không | Được miễn theo Điều 21 |
Các bước thực hiện DPIA
Một hồ sơ DPIA thường đi qua 5 bước: xác định vai trò và phạm vi, thu thập thông tin, phân tích rủi ro, soạn hồ sơ theo mẫu, rồi nộp và lưu trữ. Bước 2 và 3 chiếm nhiều thời gian nhất vì cần người của nhiều phòng ban cùng ngồi lại.
- Xác định vai trò và phạm vi: doanh nghiệp là bên kiểm soát, bên xử lý hay cả hai; hệ thống, quy trình, bộ phận nào có xử lý dữ liệu cá nhân.
- Thu thập thông tin chi tiết: lập nhóm làm việc gồm pháp chế, IT, nhân sự, kinh doanh; gom luồng dữ liệu, hợp đồng với bên thứ ba, chính sách bảo mật đang áp dụng.
- Phân tích và đánh giá tác động: xác định mối đe dọa như truy cập trái phép, lộ lọt; đánh giá mức rủi ro và đề xuất biện pháp quản lý, kỹ thuật.
- Soạn thảo hồ sơ theo Mẫu số 10 kèm Nghị định 356/2025/NĐ-CP, nhất quán với sơ đồ luồng dữ liệu và hợp đồng.
- Nộp hồ sơ kèm thông báo Mẫu số 02a/02b, quyết định phân công nhân sự bảo vệ dữ liệu và hợp đồng liên quan trong 60 ngày, qua Cổng dịch vụ công Bộ Công an, bưu chính hoặc trực tiếp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05); lưu một bộ nội bộ.
Ở bước 2, cách nhanh nhất là đi theo từng nhóm người có dữ liệu thay vì từng phần mềm: ứng viên, nhân viên, khách hàng cá nhân, người liên hệ của khách hàng doanh nghiệp, khách ra vào tòa nhà. Mỗi nhóm hỏi 5 câu: thu thập gì, ở đâu, để làm gì, ai xem được, giữ bao lâu. Cách này lộ ra những luồng mà danh sách phần mềm bỏ sót, như sổ khách ra vào ở lễ tân hay ảnh nhân viên đăng trên nhóm chat nội bộ.
Hồ sơ DPIA gồm những nội dung gì?
Theo khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP, báo cáo đánh giá tác động phải có 7 nhóm nội dung, từ thông tin các bên đến mức độ rủi ro và biện pháp giảm thiểu. Bảng dưới là khung nội dung kèm lưu ý khi viết, dùng được như checklist trước khi chốt hồ sơ.
| Nhóm nội dung (Điều 19.3) | Cần kê khai | Lưu ý khi viết |
|---|---|---|
| a. Thông tin các bên | Bên kiểm soát, bên xử lý, bên thứ ba | Liệt kê cả nhà cung cấp cloud, phần mềm nhân sự, đơn vị in ấn, vận chuyển |
| b. Đầu mối bảo vệ dữ liệu | Bộ phận, nhân sự hoặc đơn vị cung cấp dịch vụ bảo vệ dữ liệu | Ghi tên người phụ trách và cách liên hệ thật, đừng chỉ ghi chức danh |
| c. Mục đích, loại dữ liệu, hoạt động xử lý | Kèm sơ đồ luồng dữ liệu | Mục đích phải cụ thể; “phục vụ hoạt động kinh doanh” là quá chung |
| d. Sự đồng ý, lưu trữ, xóa, hủy | Cách xin đồng ý, thời hạn lưu, cách xóa | Thời hạn lưu phải gắn với mục đích |
| đ. Phương án an toàn | Biện pháp bảo vệ, sơ đồ thiết kế hệ thống, tiêu chuẩn áp dụng | Có thể dẫn chiếu hệ thống quản lý theo ISO 27001 nếu đã triển khai |
| e. Kết quả đánh giá tuân thủ | Mức đáp ứng quy định bảo vệ dữ liệu | Nêu cả điểm chưa đáp ứng và kế hoạch khắc phục |
| g. Mức độ ảnh hưởng, rủi ro, biện pháp giảm thiểu | Rủi ro có thể xảy ra và cách giảm | Mỗi rủi ro gắn với một biện pháp cụ thể |
Mẫu số 10 còn có phần đánh giá tác động đến an ninh quốc gia khi doanh nghiệp xử lý dữ liệu cơ bản của hơn 100.000 người hoặc dữ liệu nhạy cảm của hơn 10.000 người. Các nền tảng thương mại điện tử, ví điện tử, chuỗi bán lẻ có ứng dụng thành viên thường chạm ngưỡng này sớm hơn họ nghĩ.
Lỗi hay gặp nhất là mục đích viết chung chung và rủi ro không gắn với biện pháp. “Rủi ro lộ dữ liệu – biện pháp: tăng cường bảo mật” là câu cơ quan chuyên trách dễ yêu cầu viết lại. Viết cụ thể hơn: “Rủi ro nhân viên nghỉ việc còn truy cập CRM – biện pháp: thu hồi tài khoản trong ngày làm việc cuối, rà soát quyền hằng quý”.
Lấy ví dụ một nhà máy FDI 1.500 công nhân ở Bắc Ninh dùng máy chấm công khuôn mặt. Nếu viết mục đích là “quản lý nhân sự”, hồ sơ gần như chắc chắn bị hỏi lại. Viết đủ thì phải tách thành từng mục đích: chấm công và tính lương (dữ liệu khuôn mặt, giờ ra vào, mã nhân viên), quản lý an ninh cổng (ảnh camera), đóng bảo hiểm (số định danh, thông tin hợp đồng).
Mỗi mục đích ghi rõ loại dữ liệu, hệ thống lưu, người được xem, thời hạn xóa sau khi nhân viên nghỉ việc. Dữ liệu khuôn mặt là dữ liệu sinh trắc học, nên phần biện pháp bảo vệ cần nói được mẫu khuôn mặt lưu ở đâu, có mã hóa không, và nhà cung cấp máy chấm công có truy cập được không.
Cũng nên tách bạch dữ liệu nào thật sự cần. Nhiều doanh nghiệp thu cả ảnh căn cước của người thân nhân viên trong hồ sơ tuyển dụng dù không dùng đến. Bỏ được những dữ liệu thừa như vậy trước khi lập hồ sơ vừa giảm rủi ro, vừa làm báo cáo ngắn và dễ đạt hơn.
DPIA theo GDPR và theo luật Việt Nam khác nhau thế nào?
Khác biệt lớn nhất: GDPR chỉ bắt buộc DPIA với hoạt động có khả năng gây rủi ro cao và không yêu cầu nộp cho cơ quan giám sát, còn luật Việt Nam áp dụng cho gần như mọi bên kiểm soát dữ liệu và bắt buộc gửi bản chính trong 60 ngày theo mẫu cố định.
| Tiêu chí | GDPR (EU) | Luật 91/2025 + Nghị định 356/2025 |
|---|---|---|
| Căn cứ | Điều 35, 36 GDPR | Điều 21, 22 Luật 91; Điều 19, 20 Nghị định 356 |
| Khi nào phải làm | Xử lý có khả năng gây rủi ro cao (lập hồ sơ cá nhân tự động, dữ liệu đặc biệt quy mô lớn, giám sát khu vực công cộng quy mô lớn…) | Gần như mọi bên kiểm soát; doanh nghiệp nhỏ được miễn có điều kiện |
| Thời điểm | Trước khi bắt đầu xử lý | Lập từ khi bắt đầu xử lý, gửi trong 60 ngày |
| Nộp cơ quan quản lý | Không, trừ khi rủi ro còn lại cao thì phải tham vấn trước | Bắt buộc gửi 01 bản chính |
| Kết quả từ cơ quan | Chỉ khi tham vấn trước | Đạt/không đạt trong 15 ngày; hoàn thiện trong 30 ngày |
| Biểu mẫu | Không có mẫu bắt buộc | Mẫu số 10 |
| Cập nhật | Rà soát lại khi rủi ro thay đổi | 6 tháng khi có mục đích mới hoặc thay đổi các bên; 10 ngày với một số thay đổi tổ chức |
Doanh nghiệp làm cho khách châu Âu thường đã có DPIA theo GDPR. Bản đó dùng làm đầu vào rất tốt, nhưng không nộp thay được: Mẫu số 10 yêu cầu những thông tin GDPR không đòi, như sơ đồ thiết kế hệ thống, kết quả tự đánh giá tuân thủ theo luật Việt Nam, và phần đánh giá an ninh quốc gia khi vượt ngưỡng. Sơ đồ hệ thống và phương án an toàn trong Mẫu số 10 có thể dùng chung đầu vào với hồ sơ cấp độ an toàn hệ thống thông tin.
DPIA và TIA khác nhau thế nào?
DPIA đánh giá toàn bộ hoạt động xử lý dữ liệu cá nhân của doanh nghiệp; TIA (thường được gọi là hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, có nơi viết tắt CTIA) chỉ đánh giá việc chuyển dữ liệu ra khỏi Việt Nam. Doanh nghiệp vừa xử lý dữ liệu trong nước vừa chuyển ra nước ngoài thường phải lập cả hai.
TIA dựa trên Điều 20 Luật 91 và Điều 17, 18 Nghị định 356, báo cáo theo Mẫu số 09, cũng gửi trong 60 ngày nhưng tính từ lần chuyển dữ liệu đầu tiên. Lưu dữ liệu thu thập tại Việt Nam lên máy chủ hay đám mây ở nước ngoài đã được tính là chuyển xuyên biên giới. Cách xác định từng trường hợp và lập hồ sơ có trong bài chuyển dữ liệu cá nhân ra nước ngoài. Phần này được nói kỹ ở dịch vụ lập hồ sơ chuyển dữ liệu cá nhân ra nước ngoài.
Hai hồ sơ dùng chung rất nhiều đầu vào: bản đồ luồng dữ liệu, danh sách nhà cung cấp, chính sách bảo mật. Làm cùng lúc giúp tránh tình huống hai hồ sơ mô tả cùng một hệ thống theo hai cách khác nhau.
Sau khi nộp DPIA: kết quả, cập nhật và lưu trữ
Nộp xong, doanh nghiệp chờ kết quả đạt hoặc không đạt trong 15 ngày (không tính ngày nghỉ lễ, Tết, kể từ khi cơ quan nhận đủ hồ sơ hợp lệ); nếu chưa đạt thì hoàn thiện trong 30 ngày kể từ khi nhận kết quả. Hồ sơ được lập một lần và cập nhật khi có thay đổi, không phải làm lại từ đầu mỗi năm.
Điều 20 Nghị định 356 quy định hai kiểu cập nhật. Cập nhật định kỳ 6 tháng kể từ lần nộp đầu, áp dụng khi phát sinh mục đích xử lý mới hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba. Cập nhật trong 10 ngày khi doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản, đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu, hoặc phát sinh, thay đổi ngành nghề liên quan đến xử lý dữ liệu. Hồ sơ cập nhật dùng Mẫu số 03a/03b.
Theo Điều 55 Nghị định 330/2026/NĐ-CP, không lập, không nộp trong 60 ngày, không hoàn thiện hoặc không cập nhật hồ sơ có thể bị phạt 20–30 triệu đồng với tổ chức; khai sai, làm giả số liệu trong hồ sơ bị phạt 50–100 triệu đồng.
Ai giữ hồ sơ này sau khi nộp? Theo Nghị định 356, lập hồ sơ đánh giá tác động là một trong các nhiệm vụ của nhân sự bảo vệ dữ liệu cá nhân. Điều kiện của nhân sự này có trong bài DPO là gì. Doanh nghiệp chưa có người đủ điều kiện có thể dùng dịch vụ DPO thuê ngoài để đảm nhận việc theo dõi và cập nhật.
Hiểu lầm thường gặp về DPIA
Bốn hiểu lầm sau làm doanh nghiệp hoặc trì hoãn sai chỗ, hoặc làm thừa việc không cần.
“Phải chờ duyệt DPIA rồi mới được xử lý dữ liệu.” Không đúng. Hồ sơ lập từ khi bắt đầu xử lý và gửi trong 60 ngày; cơ quan trả kết quả sau đó. Hệ thống đang chạy không phải dừng chờ, nhưng nếu hồ sơ không đạt mà doanh nghiệp không hoàn thiện đúng hạn thì sẽ có rủi ro bị xử phạt.
“Chỉ dữ liệu nhạy cảm mới cần DPIA.” Đó là cách hiểu theo GDPR. Ở Việt Nam, dữ liệu nhạy cảm chỉ quyết định doanh nghiệp nhỏ có được miễn hay không; còn doanh nghiệp vừa và lớn xử lý dữ liệu cơ bản vẫn phải lập.
“Mỗi phần mềm mới phải làm một DPIA riêng.” Điều 21 Luật 91 quy định hồ sơ được lập một lần và cập nhật theo Điều 22. Thêm phần mềm mới cho cùng mục đích thì cập nhật hồ sơ khi cần, không phải nộp hồ sơ mới.
“Đã có DPIA theo GDPR là đủ.” Bản GDPR không theo Mẫu số 10 và không được gửi cho cơ quan Việt Nam. Doanh nghiệp vẫn phải lập hồ sơ theo mẫu Việt Nam, dù có thể tái sử dụng phần lớn phân tích.
Trước khi điền Mẫu số 10, cần gom đủ những tài liệu nào?
Trước khi mở mẫu, hãy gom bốn thứ: danh sách nhóm người có dữ liệu và loại dữ liệu của từng nhóm, danh sách hệ thống và nơi đặt máy chủ, hợp đồng với các nhà cung cấp có tiếp cận dữ liệu, và các chính sách hiện có về bảo mật, lưu trữ, xóa dữ liệu. Có đủ bốn thứ này thì phần lớn Mẫu số 10 chỉ còn là việc sắp xếp và viết rõ ràng.
Nếu doanh nghiệp cần người dẫn từ khảo sát đến khi nộp hồ sơ và giải trình với cơ quan chuyên trách, có thể xem dịch vụ lập hồ sơ DPIA của Musk-IS, hoặc gửi câu hỏi cho đội ngũ Musk-IS về trường hợp cụ thể của mình.
Câu hỏi thường gặp về DPIA
Hệ thống mới nào cũng phải làm DPIA?
Không cần lập hồ sơ mới cho mỗi hệ thống. Theo Điều 21 Luật 91, hồ sơ đánh giá tác động được lập một lần và cập nhật khi có thay đổi. Hệ thống mới phục vụ mục đích xử lý mới hoặc làm thay đổi bên xử lý, bên thứ ba thì doanh nghiệp cập nhật hồ sơ theo Điều 20 Nghị định 356, dùng Mẫu số 03a/03b.
DPIA có phải nộp cơ quan nhà nước không?
Có. Bên kiểm soát và bên kiểm soát và xử lý dữ liệu phải gửi hồ sơ cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an, trong 60 ngày kể từ khi bắt đầu xử lý, kèm thông báo Mẫu số 02a/02b. Có thể nộp qua Cổng dịch vụ công Bộ Công an, bưu chính hoặc trực tiếp; không mất phí. Bên xử lý lập và lưu hồ sơ theo thỏa thuận với bên kiểm soát.
Bao lâu phải cập nhật DPIA?
Hồ sơ cập nhật định kỳ 6 tháng kể từ lần nộp đầu khi phát sinh mục đích xử lý mới hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba. Khi doanh nghiệp tổ chức lại, giải thể, đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu hoặc thay đổi ngành nghề liên quan, phải cập nhật trong 10 ngày. Không có thay đổi thì không phải nộp lại.
DPIA và TIA (CTIA) khác nhau thế nào?
DPIA đánh giá toàn bộ hoạt động xử lý dữ liệu cá nhân, báo cáo theo Mẫu số 10, gửi trong 60 ngày từ khi bắt đầu xử lý. TIA (có nơi gọi CTIA) chỉ đánh giá việc chuyển dữ liệu ra nước ngoài, báo cáo theo Mẫu số 09, gửi trong 60 ngày từ lần chuyển đầu tiên. Doanh nghiệp lưu dữ liệu trên máy chủ nước ngoài thường phải lập cả hai.
Không lập DPIA bị phạt bao nhiêu?
Theo Điều 55 Nghị định 330/2026/NĐ-CP, tổ chức không lập, không nộp hồ sơ đánh giá tác động trong 60 ngày, không hoàn thiện hoặc không cập nhật bị phạt 20–30 triệu đồng; cá nhân bằng một nửa. Khai sai, làm giả số liệu trong hồ sơ bị phạt 50–100 triệu đồng. Mức trần chung cho các vi phạm này theo Luật 91 là 3 tỷ đồng.
Tài liệu tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Điều 21, 22 về hồ sơ đánh giá tác động; hiệu lực 01/01/2026. Quốc hội · 26/06/2025
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân – Điều 19, 20, 41; Mẫu số 02a/02b, 03a/03b, 10. Chính phủ · 31/12/2025
- Quyết định 778/QĐ-BCA-A05 công bố thủ tục hành chính về bảo vệ dữ liệu cá nhân – Thành phần hồ sơ, cách nộp, thời hạn 15 ngày cho thủ tục gửi và cập nhật hồ sơ đánh giá tác động. Bộ Công an · 09/02/2026
- Regulation (EU) 2016/679 (GDPR) – Điều 35 đánh giá tác động bảo vệ dữ liệu, Điều 36 tham vấn trước. Liên minh châu Âu · 27/04/2016
