Nghĩa vụ nộp hồ sơ DPIA đối với tổ chức nước ngoài

Việc các ứng dụng và nền tảng công nghệ của các tổ chức nước ngoài thu thập, khai thác dữ liệu cá nhân của người dùng Việt Nam đang ngày càng phổ biến. Do đó, các quy định ngày càng siết chặt và quy định rõ ràng nghĩa vụ pháp lý đối với các tổ chức nước ngoài.

Bài viết dưới đây VDPC sẽ hướng dẫn chi tiết hồ sơ DPIA và quy trình tuân thủ theo quy định của pháp luật.

Căn cứ pháp lý:

• Mẫu số 02a Phụ lục II, Khoản 2 Mục A Phần II Quyết định 778/QĐ-BCA-A05
• Điều 2, 19, 21, 37 Luật Bảo vệ dữ liệu cá nhân 2025
• Điều 4 Nghị định 356/2025/NĐ-CP

1. Hành vi của tổ chức nước ngoài

Thu thập data của người Việt Nam

2. Phương tiện xử lý dữ liệu

Ứng dụng của tổ chức nước ngoài

3. Loại dữ liệu cá nhân thu thập

1. DLCN cơ bản có thể thu thập: Họ tên, giới tính, quốc tịch,…
2. DLCN nhạy cảm có thể thu thập: Dữ liệu sinh trắc học, vị trí của cá nhân được xác định qua dịch vụ định vị,…

4. Vai trò của tổ chức

Bên kiểm soát và xử lý dữ liệu cá nhân (DLCN)

• Bên kiểm soát dữ liệu cá nhân: Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân (ứng dụng thu thập data người Việt Nam)
• Bên xử lý dữ liệu cá nhân: Thực hiện xử lý dữ liệu cá nhân như thu thập dữ liệu cá nhân của người Việt.

5. Nghĩa vụ về lập hồ sơ DPIA

Tổ chức phải lập hồ sơ DPIA và gửi 01 bản chính cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05)

5.1. Thời hạn gửi hồ sơ

60 ngày kể từ ngày đầu tiên xử lý DLCN

5.2. Trình tự thực hiện

Bước 1: Chuẩn bị hồ sơ

Do tổ chức chưa có pháp nhân hay chi nhánh tại Việt Nam, tổ chức có thể nộp hồ sơ thông qua đại diện uỷ quyền tại Việt Nam. 

Thành phần hồ sơ	Hình thức	Số lượng
Báo cáo đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu quy định	Bản chính	01
Hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân đối với các bên	Bản sao chứng thực	01
Quyết định hoặc giấy tờ liên quan đến phân công của bộ phận, nhân sự bảo vệ dữ liệu của chủ hồ sơ	Bản sao chứng thực	01
Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân	Bản sao chứng thực	01
Giấy tờ khác (Giấy tờ chứng minh năng lực của nhân sự bảo vệ dữ liệu cá nhân, chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác)	Bản sao chứng thực	01
Thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (dành cho tổ chức)	Bản chính	01
Bước 2: Nộp hồ sơ trực tiếp hoặc trực tuyến hoặc bưu chính  Trực tuyến: nộp trực tuyến qua Cổng dịch vụ công Bộ Công an.  Trực tiếp: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an (Lô E2 khu đô thị mới Cầu Giấy, Dương Đình Nghệ, Cầu Giấy, Hà Nội).  Bưu chính: tiếp nhận hồ sơ qua dịch vụ bưu chính công ích.
Bước 3: Thời hạn giải quyết  Trong 15 ngày làm việc kể từ ngày nhận được hồ sơ đầy đủ, hợp lệ.

Trả kết quả thực hiện: Thông báo kết quả qua Cổng Dịch vụ công Bộ Công an hoặc gửi văn bản điện tử/giấy theo thông tin của Tổ chức

5. Trách nhiệm tuân thủ pháp luật về bảo vệ DLCN

Tổ chức là bên kiểm soát và xử lý DLCN, như vậy ngoài việc có nghĩa vụ nộp hồ sơ DPIA, tổ chức nước ngoài có nghĩa vụ tuân thủ các trách nhiệm của bên kiểm soát và bên xử lý DLCN: 

5.1. Trách nhiệm của bên kiểm soát

1. Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
2. Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật này;
3. Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
4. Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định
5. Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
6. Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định
7. Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
8. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
9. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
10. Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

5.2. Trách nhiệm của bên xử lý DLCN

1. Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân (nếu có thỏa thuận/hợp đồng) 
2. Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
3. Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật
4. Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
5. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
6. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
7. Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

Kết luận

Việc chủ động hoàn thiện hồ sơ DPIA và thực hiện đầy đủ nghĩa vụ của Bên kiểm soát và xử lý dữ liệu cá nhân theo quy định không chỉ giúp các tổ chức nước ngoài vận hành hợp pháp, minh bạch tại thị trường Việt Nam mà còn phòng tránh tối đa rủi ro bị đình chỉ dịch vụ hoặc chịu chế tài xử phạt hành chính nghiêm trọng.

Trên đây là Nghĩa vụ nộp hồ sơ DPIA đối với tổ chức nước ngoài. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.620.6959

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: