DPIA & TIA: 5 ĐIỂM ĐÁNG CHÚ Ý TRONG NGHỊ ĐỊNH 392/2026/NĐ-CP

Những thay đổi về thủ tục đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới

Ngày 20/10/2026, Chính phủ ban hành Nghị định số 392/2026/NĐ-CP sửa đổi, bổ sung các nghị định có liên quan đến thủ tục hành chính, điều kiện đầu tư kinh doanh trong lĩnh vực an ninh, trật tự, có hiệu lực từ ngày 15/11/2026.

Đáng chú ý, Chương VII của Nghị định sửa đổi, bổ sung một số quy định của Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân, trong đó có các quy định liên quan đến:

• DPIA: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Data Protection Impact Assessment).

• TIA: Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Transfer Impact Assessment).

Các sửa đổi tập trung vào thủ tục nộp hồ sơ, thẩm quyền giải quyết, thời hạn đánh giá và trả kết quả, trách nhiệm hoàn thiện và cập nhật hồ sơ.

Dưới đây là 5 điểm đáng chú ý đối với doanh nghiệp:

1. Thời hạn nộp hồ sơ: 60 ngày

Theo quy định sửa đổi:

• Đối với DPIA: Hồ sơ phải được nộp trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.

• Đối với TIA: Hồ sơ phải được nộp trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới.

Đồng thời, hồ sơ phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan có thẩm quyền.

Lưu ý: Thời hạn 60 ngày là thời hạn thực hiện thủ tục nộp hồ sơ, không nên được hiểu là doanh nghiệp chỉ cần bắt đầu xem xét, đánh giá các tác động và rủi ro sau khi đã triển khai hoạt động xử lý hoặc chuyển dữ liệu.

2. Điều chỉnh cơ chế tiếp nhận, phân loại và giải quyết hồ sơ

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an tiếp nhận, phân loại và thông báo chuyển hồ sơ cho Công an cấp tỉnh xử lý theo các tiêu chí về địa bàn, quy mô và lĩnh vực do Bộ trưởng Bộ Công an quy định.

Theo đó, Công an cấp tỉnh tham gia vào quá trình giải quyết hồ sơ DPIA và TIA theo thẩm quyền.

Sự điều chỉnh này đòi hỏi doanh nghiệp lưu ý đến cơ quan giải quyết và phương thức thực hiện thủ tục, đặc biệt khi cần bổ sung hoặc cập nhật hồ sơ.

3. Thời hạn đánh giá và trả kết quả: 11 ngày làm việc

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an và Công an cấp tỉnh thực hiện đánh giá và trả kết quả đối với hồ sơ DPIA/TIA trong thời hạn 11 ngày làm việc.

Kết quả thẩm định được thể hiện theo ba mức:

• Đạt;

• Đạt, cần bổ sung;

• Không đạt.

Doanh nghiệp cần phân biệt thời hạn này với thời hạn 60 ngày dành cho việc nộp hồ sơ.

Đồng thời, việc nộp hồ sơ không đồng nghĩa với việc hồ sơ mặc nhiên đáp ứng các yêu cầu pháp lý.

4. Thời hạn hoàn thiện hồ sơ: 30 ngày

Nghị định quy định thời hạn 30 ngày để hoàn thiện hồ sơ trong các trường hợp tương ứng:

• Đối với TIA: Hồ sơ chưa đầy đủ hoặc chưa đúng quy định.

• Đối với DPIA: Hồ sơ chưa hợp lệ hoặc không đạt.

Trường hợp chủ thể có nghĩa vụ không hoàn thiện hồ sơ theo quy định, cơ quan có thẩm quyền xử lý theo pháp luật về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

Như vậy, doanh nghiệp không chỉ cần bảo đảm việc nộp hồ sơ đúng hạn mà còn phải có khả năng giải trình, bổ sung và hoàn thiện hồ sơ khi được yêu cầu.

5. Quy định về biểu mẫu và phương thức cập nhật hồ sơ

Nghị định quy định các biểu mẫu tương ứng:

• Mẫu số 01a/01b: Thủ tục nộp hồ sơ TIA.

• Mẫu số 02a/02b: Thủ tục nộp hồ sơ DPIA.

• Mẫu số 03a/03b: Thủ tục cập nhật hồ sơ DPIA và TIA.

Việc nộp, cập nhật hồ sơ được thực hiện theo phương thức được quy định tương ứng, bao gồm trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính.

Đặc biệt, việc cập nhật hồ sơ phải thực hiện theo đúng thẩm quyền giải quyết của cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an hoặc Công an cấp tỉnh.

DOANH NGHIỆP CẦN LƯU Ý GÌ?

Đối với doanh nghiệp, ý nghĩa của những sửa đổi này không chỉ nằm ở các mốc thời hạn hay thủ tục hành chính.

Trong thực tiễn, hoạt động xử lý dữ liệu cá nhân và chuyển dữ liệu xuyên biên giới có thể phát sinh từ nhiều hoạt động vận hành thông thường như sử dụng hệ thống quản lý khách hàng, quản trị nhân sự, nền tảng điện toán đám mây hoặc dịch vụ công nghệ từ nhà cung cấp nước ngoài.

Do đó, doanh nghiệp cần:

• Rà soát các hoạt động xử lý dữ liệu cá nhân và xác định trường hợp phát sinh nghĩa vụ lập, nộp hồ sơ DPIA/TIA.

• Xác định các luồng dữ liệu xuyên biên giới, chủ thể tham gia và trách nhiệm pháp lý tương ứng.

• Kiểm tra tính đầy đủ, phù hợp của hồ sơ đã lập với hoạt động xử lý, chuyển dữ liệu thực tế.

• Thiết lập cơ chế theo dõi, cập nhật và hoàn thiện hồ sơ khi có thay đổi hoặc yêu cầu từ cơ quan có thẩm quyền.

Một điểm cần đặc biệt lưu ý: Không phải mọi hoạt động sử dụng dịch vụ công nghệ nước ngoài đều mặc nhiên dẫn đến cùng một nghĩa vụ TIA. Việc xác định nghĩa vụ cần dựa trên bản chất hoạt động chuyển dữ liệu, vai trò của các chủ thể và các trường hợp áp dụng hoặc miễn trừ theo pháp luật.

HIỆU LỰC VÀ QUY ĐỊNH CHUYỂN TIẾP

Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026.

Đối với hồ sơ DPIA, TIA đã được tiếp nhận trước thời điểm Nghị định có hiệu lực, việc giải quyết tiếp tục thực hiện theo Nghị định 356/2025/NĐ-CP.

Lawlink Việt Nam | Legal Insights