Nghị định 13/2023/NĐ-CP, Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP được nguồn bài viết trình bày như ba bước liên tiếp của cùng một hành trình. Giai đoạn đầu đặt nền móng, giai đoạn tiếp theo nâng cấp khung pháp lý và giai đoạn sau hướng dẫn cách thực hiện. Với doanh nghiệp, thay đổi quan trọng không nằm ở việc thay tên tài liệu. Trọng tâm chuyển sang khả năng triển khai và chứng minh: sự đồng ý phải rõ ràng hơn, DPIA cần phản ánh hoạt động xử lý, vai trò bên kiểm soát và bên xử lý phải được phân định, còn luồng dữ liệu ra nước ngoài cần có hồ sơ tương ứng.
Ba giai đoạn, một yêu cầu xuyên suốt
Nghị định 13 được nguồn xem là bước đặt nền móng cho bảo vệ dữ liệu cá nhân. Luật 91 nâng cấp khung pháp lý, còn Nghị định 356 đi sâu hơn vào hướng dẫn thực hiện. Cách nhìn theo tiến trình giúp doanh nghiệp tránh xử lý từng văn bản như một dự án hoàn toàn tách biệt và bỏ quên những kiểm soát đã xây dựng trước đó.
Yêu cầu xuyên suốt là hiểu rõ hoạt động xử lý dữ liệu. Văn bản mới có thể làm rõ hoặc mở rộng trách nhiệm, nhưng doanh nghiệp vẫn cần biết dữ liệu nào đang được thu thập, ai quyết định mục đích, ai trực tiếp xử lý và dữ liệu có đi ra ngoài tổ chức hay không. Nếu nền tảng này thiếu, việc cập nhật hồ sơ sẽ chỉ là thay đổi câu chữ.
Sự đồng ý và quyền chủ thể cần đi vào giao diện lẫn quy trình
Nguồn nhấn mạnh yêu cầu về sự đồng ý rõ ràng hơn và quyền của chủ thể dữ liệu được mở rộng. Điều đó cần được phản ánh tại điểm thu thập, nơi cá nhân nhìn thấy mục đích và đưa ra lựa chọn. Sau điểm thu thập, doanh nghiệp còn cần lưu dấu vết để chứng minh và có cách xử lý khi cá nhân thực hiện quyền của mình.
Một biểu mẫu đã cập nhật nhưng hệ thống phía sau không lưu được phiên bản đồng ý hoặc không hỗ trợ xử lý yêu cầu sẽ tạo khoảng trống. Ngược lại, hệ thống có chức năng nhưng giao diện không giải thích rõ mục đích cũng chưa giải quyết trọn vẹn. Hồ sơ, trải nghiệm người dùng và thao tác vận hành phải mô tả cùng một quy trình.
DPIA và vai trò các bên là hai trục quản trị chính
DPIA được nguồn xác định là một nghĩa vụ trọng tâm trong lộ trình mới. Hồ sơ này cần mô tả hoạt động xử lý, rủi ro và biện pháp giảm thiểu thay vì tồn tại như mẫu độc lập. Muốn làm được, doanh nghiệp phải thu thập thông tin từ nghiệp vụ, công nghệ và các bên tham gia xử lý dữ liệu.
Việc phân định bên kiểm soát và bên xử lý dữ liệu giúp trả lời ai quyết định mục đích, ai thực hiện và ai chịu trách nhiệm tại từng chặng. Vai trò không nên chỉ xuất hiện trong hợp đồng. Chúng cần tương ứng với quyền trên hệ thống, cách nhận yêu cầu của cá nhân và quy trình phối hợp khi xảy ra thay đổi hoặc sự cố.
- Mô tả hoạt động xử lý và luồng dữ liệu làm đầu vào cho DPIA.
- Gắn rủi ro với biện pháp giảm thiểu và bằng chứng triển khai.
- Phân định vai trò bên kiểm soát, bên kiểm soát và xử lý, cùng bên xử lý dữ liệu.
- Đối chiếu vai trò trên hồ sơ với trách nhiệm thực tế trong vận hành.
Lộ trình cập nhật không nên bỏ sót luồng ra nước ngoài
Tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam cũng được nguồn nêu trong phạm vi điều chỉnh. Điều này khiến doanh nghiệp cần nhìn lại nhà cung cấp, nền tảng và đối tác có tham gia xử lý dữ liệu, đặc biệt khi dữ liệu có thể được chuyển ra nước ngoài. Hồ sơ chuyển dữ liệu cần bắt đầu từ bản đồ luồng thực tế, không phải từ giả định về vị trí của nhà cung cấp.
ICS khuyến nghị chuyển chương trình từ nguyên tắc sang triển khai và chứng minh. Một lộ trình gọn có thể gồm rà hoạt động xử lý, cập nhật sự đồng ý, hoàn thiện DPIA, phân định vai trò và xác minh luồng ra nước ngoài. Mỗi hạng mục phải có chủ sở hữu, đầu ra và bằng chứng; đó là khác biệt giữa một bộ tài liệu đã cập nhật và một chương trình có thể vận hành.
- Giữ lại các kiểm soát phù hợp đã hình thành từ giai đoạn Nghị định 13.
- Đối chiếu yêu cầu của Luật 91 với hoạt động xử lý hiện tại.
- Cập nhật hồ sơ và quy trình theo hướng dẫn của Nghị định 356.
- Rà bên nước ngoài, nơi lưu trữ và các luồng chuyển dữ liệu.
- Lưu bằng chứng cho sự đồng ý, DPIA, trách nhiệm các bên và quyền chủ thể.