Checklist tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp.

1. Doanh nghiệp nên tuân thủ theo mười hai bước có thứ tự

Bước 0. Xác định có thuộc diện miễn trừ hay không

Doanh nghiệp cần làm bước này trước tiên, vì kết quả của bước này quyết định phạm vi toàn bộ công việc còn lại.

• Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn hoàn toàn nghĩa vụ chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân và nghĩa vụ lập hồ sơ đánh giá tác động.
• Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được lựa chọn miễn áp dụng trong 05 năm kể từ 01/01/2026.

Sau đó, doanh nghiệp cần kiểm tra ba điều kiện làm mất quyền miễn trừ, gồm: doanh nghiệp trực tiếp kinh doanh hoạt động xử lý dữ liệu cá nhân; doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm; hoặc doanh nghiệp xử lý dữ liệu của từ 100.000 chủ thể dữ liệu trở lên.

Trên thực tế, nhiều doanh nghiệp nhỏ trong lĩnh vực thương mại điện tử và ứng dụng di động thuộc điều kiện loại trừ thứ hai hoặc thứ ba mà không biết, nhất là sau khi Nghị định 356 đưa dữ liệu hành vi và dữ liệu vị trí vào nhóm dữ liệu nhạy cảm.

Bước 1. Kiểm kê dữ liệu

Doanh nghiệp lập danh mục toàn bộ dữ liệu cá nhân đang xử lý, phân loại thành dữ liệu cơ bản và dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP, đồng thời xây dựng sơ đồ luồng dữ liệu.

Sơ đồ luồng dữ liệu là thành phần bắt buộc của hồ sơ đánh giá tác động, nhưng giá trị thực tế của nó còn lớn hơn: đây là công cụ duy nhất cho thấy dữ liệu đi qua hệ thống nào, ai được truy cập và dữ liệu được lưu ở đâu. Không có sơ đồ này, các bước sau chỉ là phỏng đoán.

Phạm vi kiểm kê phải bao gồm cả dữ liệu nội bộ, không chỉ dữ liệu khách hàng. Hệ thống chấm công, phần mềm quản lý nhân sự, camera giám sát và hồ sơ ứng viên đều thuộc phạm vi kiểm kê.

Bước 2. Xác định vai trò pháp lý

Với từng luồng dữ liệu, doanh nghiệp xác định mình giữ vai trò Bên Kiểm soát, Bên Xử lý, hay Bên Kiểm soát và xử lý. Cùng một doanh nghiệp có thể giữ vai trò khác nhau ở các luồng khác nhau.

Đồng thời, doanh nghiệp lập danh sách toàn bộ bên thứ ba và nhà cung cấp có tiếp cận dữ liệu, gồm nhà cung cấp dịch vụ điện toán đám mây, đơn vị vận chuyển, đơn vị thanh toán, đơn vị tiếp thị, công ty kiểm toán và công ty dịch vụ nhân sự.

Bước 3. Xác định căn cứ pháp lý cho từng hoạt động xử lý

Với mỗi hoạt động xử lý, doanh nghiệp xác định căn cứ áp dụng là sự đồng ý của chủ thể dữ liệu, hay một trong các trường hợp pháp luật cho phép xử lý mà không cần sự đồng ý.

Doanh nghiệp cần ghi nhận kết luận này bằng văn bản, vì khi bị kiểm tra, doanh nghiệp phải giải trình căn cứ của từng hoạt động, không chỉ của cả hệ thống.

Bước 4. Xây dựng lại cơ chế lấy đồng ý

Đây là bước tốn nhiều công sức nhất, vì doanh nghiệp phải thay đổi cả giao diện lẫn cơ sở dữ liệu.

• Tách bạch sự đồng ý theo từng mục đích, không gộp chung.
• Loại bỏ toàn bộ ô đánh dấu đã được chọn sẵn.
• Bảo đảm bản đồng ý ở định dạng có thể in và sao chép được bằng văn bản.
• Triển khai hệ thống lưu trữ bằng chứng đồng ý, cho phép kiểm chứng cả thời điểm và nội dung đã đồng ý. Đây là nghĩa vụ mới theo Nghị định 356.
• Xây dựng cơ chế rút lại sự đồng ý và ghi nhận việc rút lại vào cùng hệ thống.

Bước 5. Chỉ định nhân sự phụ trách bảo vệ dữ liệu

Doanh nghiệp kiểm tra người được chỉ định có đáp ứng tiêu chuẩn hay không, gồm trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm trong lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ, và đã được đào tạo về bảo vệ dữ liệu cá nhân.

Nếu không có nhân sự đáp ứng tiêu chuẩn, doanh nghiệp có thể thuê dịch vụ bên ngoài từ tổ chức hoặc cá nhân có từ 03 năm kinh nghiệm trở lên, hoặc kết hợp nhân sự nội bộ với dịch vụ thuê ngoài.

Bước 6. Lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Doanh nghiệp nộp hồ sơ cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý dữ liệu cá nhân. Cơ quan tiếp nhận phản hồi trong 15 ngày.

Hồ sơ phải luôn sẵn sàng để phục vụ kiểm tra. Khi nội dung đã nộp thay đổi, doanh nghiệp phải thông báo cập nhật.

Bước 7. Lập hồ sơ chuyển dữ liệu ra nước ngoài nếu có

Hồ sơ này độc lập với hồ sơ nêu tại Bước 6. Thời hạn nộp cũng là 60 ngày kể từ ngày tiến hành chuyển dữ liệu.

Trước khi lập hồ sơ, doanh nghiệp cần kiểm tra luồng dữ liệu có thuộc diện miễn hay không. Nhóm được miễn gồm hoạt động báo chí, dữ liệu đã được công khai hợp pháp, tình huống khẩn cấp, quản lý nhân sự xuyên biên giới trong cùng tập đoàn, và chứng từ phục vụ giao dịch quốc tế.

Nếu không thuộc diện miễn, doanh nghiệp cần ký thỏa thuận chuyển dữ liệu với đầy đủ nội dung bắt buộc, gồm mục đích chuyển, loại dữ liệu, thời hạn xử lý, trách nhiệm của các bên và biện pháp bảo mật, đồng thời mã hóa hoặc ẩn danh dữ liệu nhạy cảm trong quá trình chuyển.

Bước 8. Rà soát và ký lại hợp đồng với bên xử lý và nhà cung cấp

Doanh nghiệp bổ sung vào hợp đồng các điều khoản về bảo vệ dữ liệu cá nhân, phạm vi và mục đích được phép xử lý, trách nhiệm của bên xử lý, nghĩa vụ hỗ trợ khi có yêu cầu của chủ thể dữ liệu, nghĩa vụ thông báo khi xảy ra sự cố, và nghĩa vụ xóa hoặc trả lại dữ liệu khi chấm dứt hợp đồng.

Doanh nghiệp không được ủy quyền hoặc thuê lại bên thứ ba cung cấp dịch vụ quảng cáo có sử dụng dữ liệu cá nhân, nên các hợp đồng dịch vụ tiếp thị cần được rà soát riêng.

Bước 9. Xây dựng quy trình đáp ứng quyền của chủ thể dữ liệu

Quy trình cần bao gồm kênh tiếp nhận yêu cầu, cách xác minh danh tính người yêu cầu, người chịu trách nhiệm xử lý, và thời hạn nội bộ ngắn hơn thời hạn luật định. Các thời hạn luật định là 02 ngày làm việc để phản hồi yêu cầu rút lại sự đồng ý, 10 ngày đối với yêu cầu xem và chỉnh sửa, và 20 ngày đối với yêu cầu xóa dữ liệu.

Bước 10. Xây dựng quy trình ứng phó sự cố dữ liệu

Thời hạn bắt buộc là 72 giờ kể từ khi phát hiện vi phạm. Quy trình cần xác định trước người quyết định thông báo, người ký thông báo, mẫu thông báo có sẵn đủ nội dung bắt buộc, và cách lưu hồ sơ sự cố tối thiểu 05 năm.

Riêng với vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, doanh nghiệp còn phải thông báo trực tiếp cho chủ thể dữ liệu trong cùng thời hạn 72 giờ.

Bước 11. Rà soát toàn bộ tài liệu nhân sự

Doanh nghiệp cần rà soát mẫu đơn ứng tuyển để loại bỏ các trường thông tin không phục vụ mục đích tuyển dụng; thiết lập quy trình xóa dữ liệu ứng viên không trúng tuyển; lấy sự đồng ý của người lao động trước khi thu thập dữ liệu bằng phương tiện công nghệ, bao gồm chấm công sinh trắc học và giám sát thiết bị làm việc; và thiết lập quy trình xóa dữ liệu người lao động khi chấm dứt hợp đồng.

2. Doanh nghiệp cần có bộ tài liệu nội bộ tối thiểu

3. Các mốc thời hạn doanh nghiệp phải tuân thủ

4. Doanh nghiệp thường mắc một số lỗi phổ biến

1. Vẫn dùng tài liệu viện dẫn Nghị định 13/2023. Nghị định này đã hết hiệu lực từ 01/01/2026. Chính sách quyền riêng tư và mẫu đồng ý còn ghi căn cứ cũ cần được thay thế.
2. Gộp nhiều mục đích vào một ô đánh dấu. Sự đồng ý phải được tách bạch theo từng mục đích.
3. Để ô đồng ý ở trạng thái đã chọn sẵn. Đây là hành vi bị cấm và nằm trong nhóm bị xử phạt.
4. Không lưu bằng chứng đồng ý. Doanh nghiệp có màn hình lấy đồng ý nhưng không lưu được thời điểm và nội dung người dùng đã đồng ý, nên không chứng minh được khi bị kiểm tra.
5. Bỏ quên dữ liệu nội bộ. Doanh nghiệp tập trung vào dữ liệu khách hàng mà bỏ qua dữ liệu người lao động, trong khi vi phạm về dữ liệu người lao động có mức phạt cao và được quy định thành nhóm riêng.
6. Giữ hồ sơ ứng viên không trúng tuyển mà không có thỏa thuận riêng với ứng viên.
7. Lắp đặt hệ thống chấm công sinh trắc học mà không lấy đồng ý. Dữ liệu sinh trắc học là dữ liệu nhạy cảm, và việc thu thập bằng phương tiện công nghệ trong quan hệ lao động cần sự đồng ý của người lao động.
8. Không rà soát lại phân loại dữ liệu sau khi danh mục nhạy cảm được mở rộng. Dữ liệu hành vi trực tuyến và dữ liệu vị trí nay thuộc nhóm nhạy cảm.
9. Giả định được miễn trừ vì là doanh nghiệp nhỏ mà không kiểm tra ba điều kiện loại trừ.
10. Không có điều khoản bảo vệ dữ liệu trong hợp đồng với nhà cung cấp, đặc biệt là nhà cung cấp dịch vụ điện toán đám mây và dịch vụ tiếp thị.
11. Không phân công trước người chịu trách nhiệm thông báo sự cố. 72 giờ là rất ngắn, và phần lớn thời gian thường bị mất vào việc xác định ai có thẩm quyền quyết định.

5. Doanh nghiệp có vốn nước ngoài cần chú ý thêm một số vấn đề

• Luồng dữ liệu nhân sự gửi về công ty mẹ thường được miễn hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, theo nhóm quản lý nhân sự xuyên biên giới trong cùng tập đoàn. Tuy nhiên, doanh nghiệp cần xác định rõ phạm vi luồng dữ liệu này, vì dữ liệu khách hàng gửi kèm không được miễn.
• Hệ thống đặt ở nước ngoài. Dùng dịch vụ điện toán đám mây có máy chủ ngoài Việt Nam được coi là chuyển dữ liệu ra nước ngoài, kể cả khi doanh nghiệp không chủ động gửi dữ liệu đi.
• Chính sách toàn cầu của tập đoàn không tự động đáp ứng yêu cầu của Việt Nam. Các yêu cầu về định dạng in được, về lưu bằng chứng đồng ý theo thời điểm và nội dung, về tiêu chuẩn nhân sự phụ trách, và về hồ sơ nộp cho cơ quan chuyên trách là đặc thù và cần tài liệu riêng theo pháp luật Việt Nam.
• Yêu cầu lưu trữ dữ liệu trong nước nằm ở khung pháp luật về an ninh mạng, hiện là Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ 01/7/2026 và Nghị định 333/2026/NĐ-CP có hiệu lực từ 19/8/2026. Nghĩa vụ này phát sinh theo yêu cầu bằng văn bản của cơ quan có thẩm quyền, không áp dụng tự động.
• Khi mua bán doanh nghiệp, tình trạng tuân thủ về dữ liệu cá nhân nên được đưa vào phạm vi thẩm định pháp lý và xử lý bằng điều khoản bồi hoàn riêng, vì đây là nghĩa vụ mới mà phần lớn doanh nghiệp chưa đáp ứng đầy đủ.

6. Khi nguồn lực hạn chế, doanh nghiệp nên ưu tiên theo thứ tự

Đối với doanh nghiệp chưa bắt đầu triển khai và có nguồn lực hạn chế, thứ tự hợp lý là:

1. Kiểm kê dữ liệu và vẽ sơ đồ luồng. Nếu không thực hiện bước này thì mọi bước khác đều thiếu cơ sở.
2. Sửa cơ chế lấy đồng ý và lưu bằng chứng. Đây là nhóm hành vi bị kiểm tra nhiều nhất và dễ chứng minh vi phạm nhất.
3. Lập quy trình ứng phó sự cố. Chi phí thấp nhưng loại bỏ được rủi ro lớn nhất, vì thời hạn 72 giờ không cho phép ứng biến.
4. Rà soát tài liệu nhân sự. Nhóm chế tài về dữ liệu người lao động có mức phạt cao và phạm vi vi phạm rõ ràng.
5. Lập hồ sơ đánh giá tác động. Đây là việc tốn nhiều công sức nhất, nhưng sẽ đơn giản hơn nhiều nếu bước thứ nhất đã làm kỹ.