Hướng dẫn · 17 tháng 6, 2026
DPIA là gì và khi nào bắt buộc? Hướng dẫn đánh giá tác động xử lý dữ liệu
Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo PDPL: định nghĩa, khi nào bắt buộc, các thành phần hồ sơ và quy trình lập.
Trả lời nhanh
DPIA là gì?
DPIA (Data Protection Impact Assessment) là quá trình rà soát có hệ thống nhằm xác định, đánh giá và giảm thiểu rủi ro về quyền riêng tư trước khi triển khai một hoạt động xử lý dữ liệu. Đây là tài liệu chứng minh doanh nghiệp đã cân nhắc rủi ro và áp dụng biện pháp bảo vệ.
Khi nào bắt buộc lập DPIA?
DPIA đặc biệt cần thiết khi: xử lý dữ liệu nhạy cảm (sức khỏe, sinh trắc học, tài chính), xử lý trên quy mô lớn, theo dõi hành vi có hệ thống, hoặc chuyển dữ liệu ra nước ngoài. Trên thực tế, hầu hết tổ chức xử lý dữ liệu cá nhân nên duy trì hồ sơ DPIA cập nhật.
Các thành phần của hồ sơ DPIA
Mô tả hoạt động xử lý:
Loại dữ liệu, mục đích, phạm vi, thời gian lưu trữ.
Căn cứ pháp lý:
Cơ sở hợp pháp cho từng hoạt động xử lý.
Đánh giá sự cần thiết:
Việc xử lý có tương xứng với mục đích không.
Phân tích rủi ro:
Rủi ro đối với quyền của chủ thể dữ liệu và khả năng xảy ra.
Biện pháp giảm thiểu:
Mã hóa, kiểm soát truy cập, ẩn danh, hạn chế lưu trữ.
Thông tin tổ chức:
Bên kiểm soát, bên xử lý, người phụ trách bảo vệ dữ liệu (DPO).
Lập DPIA xong thì làm gì?
Hồ sơ DPIA phải được lưu trữ, cập nhật khi hoạt động xử lý thay đổi, và xuất trình cho Bộ Công an khi được yêu cầu. DPIA không phải làm một lần — nó cần được rà soát định kỳ.
- Nếu xử lý dữ liệu nhạy cảm hoặc quy mô lớn thì cần. Doanh nghiệp nhỏ vẫn nên duy trì hồ sơ DPIA cơ bản để chứng minh tuân thủ.
- DPIA được lưu tại doanh nghiệp và xuất trình cho Bộ Công an khi được yêu cầu; quy trình chi tiết theo nghị định hướng dẫn.
- Khác. Chuyển dữ liệu xuyên biên giới cần đánh giá tác động riêng cho việc chuyển, bổ sung cho DPIA của hoạt động xử lý.
Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn
Bắt đầu ngay — cài đặt trong 5 phút.
Cần hỗ trợ tuân thủ PDPL?