Muốn lập DPIA đúng hướng, doanh nghiệp cần trả lời ba câu hỏi theo thứ tự: tổ chức đang giữ vai trò nào trong hoạt động xử lý, dữ liệu và rủi ro thực tế là gì, và hồ sơ phải được lập hoặc cập nhật vào thời điểm nào. Nguồn bài viết nêu bên kiểm soát, bên kiểm soát và xử lý, cùng bên xử lý dữ liệu là các nhóm phải lập DPIA. Bài cũng đưa ra điều kiện ngoại lệ cho doanh nghiệp nhỏ và startup, mốc nộp A05 trong 60 ngày, cùng chu kỳ cập nhật. Vì đây là các chi tiết pháp lý cụ thể, bài viết lại dưới đây giữ nguyên trạng thái “nguồn nêu” và khuyến nghị xác minh với văn bản gốc trước khi dùng làm lịch tuân thủ.
Bắt đầu từ vai trò trong hoạt động xử lý
Nguồn xác định ba nhóm: bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu, cùng bên xử lý dữ liệu. Việc gọi đúng vai trò giúp doanh nghiệp biết mình quyết định mục đích, trực tiếp thực hiện hay đảm nhiệm cả hai phần trong một hoạt động. Nếu một tổ chức tham gia nhiều luồng, vai trò có thể cần được xem xét theo từng luồng thay vì gắn một nhãn chung cho toàn công ty.
Bài kiểm tra nên bắt đầu bằng hoạt động cụ thể: dữ liệu nào được xử lý, mục đích do ai quyết định, hệ thống do ai vận hành và bên nào tham gia. Kết quả là đầu vào để lập DPIA phản ánh đúng trách nhiệm. Nếu vai trò chỉ được ghi theo tên trong hợp đồng nhưng không khớp cách vận hành, hồ sơ đánh giá tác động sẽ thiếu nền tảng.
DPIA phải mô tả luồng, rủi ro và biện pháp giảm thiểu
DPIA được nguồn giải thích qua ba thành phần cốt lõi: hoạt động xử lý, rủi ro và biện pháp giảm thiểu. Phần hoạt động xử lý cần cho thấy dữ liệu đi qua những đâu. Phần rủi ro làm rõ điều gì có thể xảy ra đối với dữ liệu và chủ thể. Phần biện pháp nêu cách tổ chức đang hạn chế những rủi ro đã nhận diện.
Ba phần phải nối được với nhau. Một biện pháp chỉ có giá trị khi gắn với rủi ro cụ thể, và một rủi ro chỉ có thể đánh giá khi luồng dữ liệu đủ rõ. Các mẫu 02a và 02b được nguồn nhắc tới như thành phần liên quan, nhưng bản tóm tắt không cung cấp nội dung chi tiết; doanh nghiệp cần kiểm tra biểu mẫu gốc thay vì tự suy diễn cấu trúc.
- Lập danh mục hoạt động và các bên tham gia xử lý dữ liệu.
- Vẽ luồng dữ liệu từ điểm thu thập đến lưu trữ, sử dụng và chia sẻ.
- Ghi rủi ro tại từng chặng thay vì dùng một danh sách chung.
- Gắn biện pháp giảm thiểu, chủ sở hữu và bằng chứng cho từng rủi ro.
Ngoại lệ được nguồn nêu cần kiểm tra điều kiện đi kèm
Nguồn mô tả doanh nghiệp nhỏ và startup có ngoại lệ trong 5 năm. Đồng thời, bài viết nêu ngoại lệ không áp dụng khi tổ chức kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu từ 100.000 chủ thể. Các điều kiện này cho thấy không thể chỉ dựa vào quy mô hoặc tuổi doanh nghiệp để kết luận.
Do bản tóm tắt không chứa toàn bộ câu chữ của quy định, doanh nghiệp nên xem đây là cây quyết định cần xác minh. Hãy kiểm tra lần lượt loại hình hoạt động, loại dữ liệu và quy mô chủ thể. Chỉ sau khi đối chiếu đủ điều kiện với văn bản gốc mới nên ghi nhận kết luận ngoại lệ trong hồ sơ nội bộ.
Quản lý timeline bằng mốc có nguồn và người chịu trách nhiệm
Bài viết nêu hồ sơ cần được lập từ khi bắt đầu xử lý và hạn nộp A05 trong 60 ngày. Nguồn cũng đề cập chu kỳ cập nhật 6 tháng hoặc 10 ngày khi có thay đổi quan trọng. Đây là các mốc cần được dẫn về văn bản gốc trước khi biến thành cam kết vận hành, đặc biệt vì bản tóm tắt không giải thích đầy đủ điều kiện áp dụng của từng mốc.
ICS đề xuất doanh nghiệp duy trì một lịch DPIA gồm ngày bắt đầu hoạt động xử lý, ngày hoàn thành hồ sơ, đầu mối nộp và các sự kiện kích hoạt cập nhật. Mỗi mốc nên có tài liệu tham chiếu, người chịu trách nhiệm và trạng thái xác minh. Cách làm này giúp đội tuân thủ không bỏ sót timeline, đồng thời tránh trình bày diễn giải từ bài viết như một kết luận pháp lý độc lập.
- Xác minh vai trò và điều kiện áp dụng trước khi lập lịch.
- Đối chiếu mốc 60 ngày với Nghị định 356/2025/NĐ-CP và hướng dẫn liên quan.
- Kiểm tra căn cứ của chu kỳ 6 tháng và mốc 10 ngày khi có thay đổi quan trọng.
- Lưu phiên bản DPIA, bằng chứng cập nhật và thông tin nộp A05.
- Rà lại hồ sơ khi hoạt động xử lý, dữ liệu, hệ thống hoặc bên tham gia thay đổi.