Nghị định 356/2025/NĐ-CP quy định 2 loại báo cáo đánh giá tác động khác nhau, dễ bị nhầm lẫn vì tên gọi tương tự nhau. Bài viết phân biệt rõ 2 mẫu và hướng dẫn website của bạn cần mẫu nào.
📌 Trả lời nhanh: Mẫu số 10 là Báo cáo đánh giá tác động xử lý dữ liệu cá nhân — áp dụng cho hầu hết mọi tổ chức có thu thập/xử lý dữ liệu cá nhân, kể cả website thông thường. Mẫu số 09 là Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới — chỉ áp dụng khi dữ liệu được chuyển ra nước ngoài (vd dùng CRM, email marketing, cloud storage đặt máy chủ ở nước ngoài). Nhiều website Việt Nam thực tế cần cả 2 mẫu vì hầu hết đều dùng ít nhất 1 dịch vụ cloud nước ngoài (Google Workspace, Mailchimp, AWS…).
Khi nào cần Mẫu số 10 — Đánh giá tác động xử lý dữ liệu?
Theo Điều 19 Nghị định 356/2025, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là tài liệu bắt buộc phải lập và lưu giữ ngay từ thời điểm bắt đầu hoạt động xử lý dữ liệu cá nhân — áp dụng cho Bên kiểm soát, Bên kiểm soát và xử lý, và Bên xử lý dữ liệu cá nhân. Nói cách khác: gần như mọi website/doanh nghiệp có thu thập dữ liệu cá nhân (form, tài khoản người dùng, đơn hàng…) đều cần có tài liệu này, không phải chỉ doanh nghiệp lớn.
Lưu ý quan trọng: đây là tài liệu cần lập và lưu giữ nội bộ, không nhất thiết phải nộp cho cơ quan nhà nước ngay lập tức trong mọi trường hợp — nhưng cần sẵn sàng xuất trình khi có yêu cầu kiểm tra, và một số trường hợp cần thực hiện thủ tục thông báo (xem mục dưới).
Khi nào cần Mẫu số 09 — Đánh giá tác động chuyển dữ liệu xuyên biên giới?
Áp dụng khi dữ liệu cá nhân được chuyển ra khỏi lãnh thổ Việt Nam — tình huống này phổ biến hơn nhiều doanh nghiệp Việt Nam nghĩ, vì bao gồm cả các trường hợp không rõ ràng như:
Dùng Google Analytics, Google Workspace (máy chủ đặt tại nước ngoài)
Dùng công cụ email marketing quốc tế (Mailchimp, SendGrid…)
Dùng CRM/phần mềm SaaS nước ngoài lưu trữ dữ liệu khách hàng
Thuê hosting/cloud server đặt tại nước ngoài (AWS, Google Cloud ở khu vực Singapore, US…)
Nếu website của bạn dùng bất kỳ dịch vụ nào ở trên, về nguyên tắc đã phát sinh hoạt động chuyển dữ liệu xuyên biên giới và cần đánh giá theo Mẫu số 09.
Ngoại lệ đáng chú ý: hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới (ví dụ tập đoàn đa quốc gia quản lý dữ liệu nhân viên chi nhánh Việt Nam) có một số trường hợp miễn trừ riêng theo quy định — nên tham vấn cụ thể nếu doanh nghiệp thuộc trường hợp này.
Quy trình nộp hồ sơ (nếu thuộc diện phải thông báo)
Với hoạt động chuyển dữ liệu xuyên biên giới, ngoài Mẫu số 09 (báo cáo đánh giá tác động), hồ sơ đầy đủ còn cần:
Bản sao hợp đồng/văn bản chuyển giao dữ liệu, thể hiện ràng buộc trách nhiệm giữa bên chuyển và bên nhận dữ liệu
Chính sách, quy trình, biểu mẫu liên quan đến bảo vệ dữ liệu cá nhân của tổ chức
Việc thông báo gửi hồ sơ sử dụng Mẫu số 02a (đối với tổ chức) hoặc Mẫu số 02b (đối với cá nhân).
Nội dung chính cần có trong Mẫu số 10 (Đánh giá tác động xử lý)
Dù chưa có toàn văn chi tiết từng mục, cấu trúc chung của báo cáo đánh giá tác động (DPIA) theo thông lệ quốc tế và các mẫu tương tự thường bao gồm:
Thông tin tổ chức thực hiện đánh giá
Mô tả hoạt động xử lý dữ liệu (loại dữ liệu, mục đích, phạm vi)
Đánh giá mức độ rủi ro đối với quyền và lợi ích của chủ thể dữ liệu
Biện pháp giảm thiểu rủi ro đã/sẽ áp dụng
Xác nhận trách nhiệm của người đại diện tổ chức
Khuyến nghị quan trọng: vì đây là mẫu chính thức có tính pháp lý (theo Phụ lục ban hành kèm Nghị định 356/2025), doanh nghiệp nên tải trực tiếp mẫu gốc từ Cổng thông tin Chính phủ hoặc Thư viện Pháp luật để điền đúng theo đúng biểu mẫu chính thức, không tự soạn theo cấu trúc tương tự — tránh trường hợp hồ sơ bị từ chối vì sai định dạng.
Website nhỏ, ít dữ liệu có cần làm Mẫu 10 không?
Có — luật không quy định ngưỡng miễn trừ theo quy mô dữ liệu đối với nghĩa vụ lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu (khác với nghĩa vụ bổ nhiệm DPO có cơ chế miễn trừ 5 năm cho SME như đã nêu ở Bài DPO là gì?). Tuy nhiên, mức độ chi tiết của báo cáo có thể tương xứng với quy mô và mức độ rủi ro thực tế của hoạt động xử lý dữ liệu — website nhỏ, ít rủi ro có thể có báo cáo đơn giản hơn nhiều so với doanh nghiệp xử lý dữ liệu nhạy cảm quy mô lớn.
Câu hỏi thường gặp
Không dùng dịch vụ cloud nước ngoài nào thì có cần Mẫu số 09 không? Nếu toàn bộ hạ tầng, công cụ marketing, CRM đều đặt tại Việt Nam và không chuyển dữ liệu ra nước ngoài dưới bất kỳ hình thức nào, về nguyên tắc không phát sinh nghĩa vụ với Mẫu số 09. Tuy nhiên trong thực tế, rất ít doanh nghiệp hoàn toàn không dùng bất kỳ công cụ nước ngoài nào (Google Analytics gần như phổ biến ở mọi website).
Dùng hosting Việt Nam nhưng vẫn cài Google Analytics thì có tính là chuyển dữ liệu xuyên biên giới không? Có khả năng — Google Analytics xử lý và lưu trữ dữ liệu trên hạ tầng của Google (thường đặt ngoài Việt Nam), nên đây thuộc phạm vi cần xem xét đánh giá theo Mẫu số 09, dù website chính đặt tại Việt Nam.
Có bắt buộc thuê dịch vụ tư vấn để làm 2 mẫu này không? Không bắt buộc, doanh nghiệp có thể tự thực hiện nếu có đủ hiểu biết pháp lý và kỹ thuật, nhưng với hoạt động xử lý dữ liệu phức tạp (nhiều nguồn dữ liệu, dữ liệu nhạy cảm, nhiều bên thứ ba liên quan), nên có tư vấn pháp lý hỗ trợ để tránh sai sót.
2 mẫu này cần cập nhật lại bao lâu 1 lần? Nên cập nhật khi có thay đổi đáng kể trong hoạt động xử lý dữ liệu (thêm công cụ mới, thay đổi mục đích sử dụng, thêm bên thứ ba mới tham gia xử lý dữ liệu) — không phải chỉ lập 1 lần rồi để yên.
Nguồn tham khảo
Nghị định số 356/2025/NĐ-CP, Điều 19 (hồ sơ đánh giá tác động xử lý dữ liệu cá nhân — Mẫu số 10)
Nghị định số 356/2025/NĐ-CP, Điều 20-22 (đánh giá tác động chuyển dữ liệu xuyên biên giới — Mẫu số 09)
Nghị định số 356/2025/NĐ-CP, Phụ lục (mẫu biểu chính thức: Mẫu 02a, 02b, 09, 10)
Bài viết mang tính hướng dẫn tổng quan. Doanh nghiệp nên tải mẫu chính thức từ Cổng thông tin Chính phủ/Thư viện Pháp luật và tham vấn pháp lý khi điền hồ sơ chính thức.
