Đồng hồ 60 ngày đang đếm ngược: Doanh nghiệp đã sẵn sàng nộp hồ sơ theo Nghị định 356?
Đối với nhiều doanh nghiệp, bảo vệ dữ liệu cá nhân vẫn được xem là một yêu cầu tuân thủ mới. Tuy nhiên, kể từ khi Nghị định 356/2025/NĐ-CP có hiệu lực, đây đã trở thành nghĩa vụ pháp lý bắt buộc với thời hạn thực hiện rất rõ ràng.
Theo quy định, kể từ thời điểm doanh nghiệp bắt đầu hoạt động xử lý dữ liệu cá nhân hoặc chuyển dữ liệu cá nhân ra nước ngoài, doanh nghiệp có 60 ngày để hoàn thành và nộp hồ sơ đánh giá tác động theo quy định.
Thoạt nhìn, 60 ngày có vẻ là khoảng thời gian tương đối dài. Tuy nhiên trên thực tế, để chuẩn bị đầy đủ hồ sơ, doanh nghiệp cần sự phối hợp của nhiều bộ phận khác nhau và phải rà soát toàn diện hệ thống dữ liệu đang vận hành.
Vì sao 60 ngày không hề "dư dả"?
Việc lập hồ sơ đánh giá tác động không đơn thuần là hoàn thành một biểu mẫu hành chính. Đây là quá trình doanh nghiệp phải hiểu rõ toàn bộ hoạt động xử lý dữ liệu cá nhân của mình.
Thông thường, doanh nghiệp sẽ phải thực hiện các công việc sau:
- Kiểm kê toàn bộ dữ liệu cá nhân đang được thu thập, lưu trữ và xử lý.
- Xác định mục đích xử lý, thời gian lưu giữ và phạm vi sử dụng dữ liệu.
- Rà soát các bên thứ ba đang tham gia xử lý dữ liệu như nhà cung cấp dịch vụ đám mây, CRM, Email Marketing hoặc các đối tác công nghệ.
- Đánh giá các rủi ro có thể ảnh hưởng đến chủ thể dữ liệu cũng như hoạt động của doanh nghiệp.
- Xây dựng các biện pháp kỹ thuật và tổ chức nhằm giảm thiểu rủi ro và đáp ứng yêu cầu của Nghị định 356.
Đây là những đầu việc đòi hỏi sự phối hợp giữa nhiều phòng ban như pháp chế, CNTT, an toàn thông tin, nhân sự, marketing và các đơn vị nghiệp vụ.
Doanh nghiệp có chuyển dữ liệu ra nước ngoài cần lưu ý gì?
Đối với doanh nghiệp sử dụng hạ tầng công nghệ đặt ở nước ngoài, nền tảng SaaS quốc tế hoặc có hoạt động chia sẻ dữ liệu với công ty mẹ, đối tác nước ngoài, yêu cầu tuân thủ sẽ phức tạp hơn.
Ngoài hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), doanh nghiệp còn phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Hồ sơ này cần làm rõ:
- Luồng dữ liệu được chuyển đi.
- Loại dữ liệu được chuyển.
- Đơn vị tiếp nhận dữ liệu.
- Quốc gia tiếp nhận.
- Biện pháp bảo vệ dữ liệu trong quá trình truyền và lưu trữ.
- Đánh giá các rủi ro phát sinh khi dữ liệu được xử lý ngoài lãnh thổ Việt Nam.
Đây là nhóm nghĩa vụ được quản lý chặt chẽ và cũng là nhóm hành vi có mức xử phạt cao nhất nếu vi phạm.
Thách thức lớn nhất: Doanh nghiệp chưa thực sự hiểu dữ liệu của mình
Qua quá trình tư vấn và triển khai thực tế, nhiều doanh nghiệp gặp khó khăn không phải vì thiếu biểu mẫu hay quy trình, mà vì chưa có cái nhìn tổng thể về dữ liệu cá nhân đang tồn tại trong hệ thống.
Không ít tổ chức chưa thể trả lời chính xác các câu hỏi như:
- Doanh nghiệp đang lưu trữ những loại dữ liệu cá nhân nào?
- Dữ liệu đang được lưu ở đâu?
- Ai đang có quyền truy cập?
- Những hệ thống nào đang xử lý dữ liệu?
- Dữ liệu đang được chia sẻ cho những bên thứ ba nào?
Doanh nghiệp không thể bảo vệ những dữ liệu mà mình chưa biết đang tồn tại.
Việc kiểm kê và lập bản đồ dữ liệu (Data Mapping) vì vậy là bước khởi đầu quan trọng để xây dựng chương trình tuân thủ hiệu quả.
Tuân thủ không chỉ để tránh bị xử phạt
Việc chuẩn bị hồ sơ đúng thời hạn không chỉ giúp doanh nghiệp đáp ứng yêu cầu của cơ quan quản lý.
Quan trọng hơn, đây là cơ hội để:
- Chuẩn hóa quy trình quản trị dữ liệu.
- Giảm thiểu rủi ro pháp lý.
- Nâng cao năng lực quản trị an toàn thông tin.
- Tăng niềm tin của khách hàng và đối tác.
- Sẵn sàng ứng phó khi xảy ra sự cố dữ liệu.
Trong bối cảnh dữ liệu ngày càng trở thành tài sản chiến lược, việc tuân thủ Nghị định 356 không còn là một yêu cầu pháp lý đơn thuần mà đã trở thành một phần của quản trị rủi ro và phát triển bền vững.
ICS đồng hành cùng doanh nghiệp đáp ứng mốc 60 ngày
ICS hỗ trợ doanh nghiệp xây dựng lộ trình tuân thủ Nghị định 356 từ đánh giá hiện trạng, kiểm kê dữ liệu, lập hồ sơ DPIA, đánh giá chuyển dữ liệu xuyên biên giới đến tư vấn hoàn thiện các biện pháp kỹ thuật và quy trình quản trị.
Nếu doanh nghiệp của bạn đang chuẩn bị cho mốc 60 ngày, việc bắt đầu sớm sẽ giúp giảm áp lực triển khai, hạn chế rủi ro pháp lý và đảm bảo hồ sơ được hoàn thiện đúng quy định.
Đồng hồ 60 ngày đã bắt đầu đếm ngược. Câu hỏi không còn là doanh nghiệp có thuộc phạm vi áp dụng hay không, mà là liệu tổ chức đã sẵn sàng chứng minh năng lực quản trị dữ liệu cá nhân khi được yêu cầu hay chưa.