Thời gian nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (TIA) cho Bộ Công An

Câu hỏi: Công ty A chuyên cung cấp phần mềm, phần mềm được phát hành của công ty A có hoạt động thu thập dữ liệu của người sử dụng và chuyển ra nước ngoài. Công ty A muốn hỏi thời gian cần phải nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (TIA) cho Bộ Công An vào lúc nào?

Căn cứ pháp lý:

• Điều 2, 21 Luật Bảo vệ dữ liệu cá nhân năm 2025
• Điều 55 Luật ban hành văn bản quy định pháp luật năm 2025
• Điều 69 Dự thảo Nghị định Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Đang được Bộ Tư pháp đăng tải thẩm định ngày 20/5/2026)

1. Các dữ liệu cá nhân mà doanh nghiệp xử lý

Dữ liệu cá nhân mà doanh nghiệp thu thập bao gồm:

• Dữ liệu cá nhân người sử dụng ứng dụng: Họ tên, số điện thoại, ngày sinh, địa chỉ, email, v.v.
• Dữ liệu của người lao động: Họ tên, số điện thoại, ngày sinh, địa chỉ, email, thông tin gia đình, dữ liệu sinh trắc học (vân tay, khuôn mặt), căn cước công dân, hình ảnh người lao động (chụp hình, Camera an ninh) v.v.
• Đối tác, nhà cung cấp (tên, số điện thoại, email …)

2. Quy định về thời hạn nộp DPIA, TIA

• Thời hạn thực hiện đánh giá tác động xử lý dữ liệu cá nhân và nộp DPIA, TIA cho Bộ Công An được quy định trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. 
• Trong đó, xử lý dữ liệu cá nhân là thực hiện một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân”.

3. Thời điểm bắt đầu xử lý dữ liệu cá nhân

• Đối với Người lao động: Kể từ thời điểm ký Hợp đồng lao động và lưu trữ thông tin người lao động theo Hợp đồng lao động.
• Đối với người sử dụng ứng dụng: Kể từ thời điểm đăng ký tài khoản trên ứng dụng
• Khác: Từ thời điểm đối tác cung cấp thông tin

Như vậy, kể từ thời điểm công ty phát hành phần mềm đã phát sinh trách nhiệm phải thực hiện đánh giá tác động xử lý dữ liệu cá nhân.

4. Thời điểm phát sinh nghĩa vụ thực hiện thủ tục

4.1. Theo quy định tại Nghị định 13/2023/NĐ-CP ban hành ngày 20/6/2023, có hiệu lực từ ngày 01/7/2023 đã quy định về trách nhiệm đánh giá tác động xử lý dữ liệu cá nhân và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài (nay là chuyển dữ liệu cá nhân xuyên biên giới) đến Bộ Công an như đề cập tại Mục 2 nêu trên.

Theo đó, trách nhiệm thực hiện thủ tục này của doanh nghiệp đã phát sinh kể từ ngày 30/8/2023.

4.2. Theo Luật Bảo vệ Dữ liệu cá nhân năm 2025, có hiệu lực từ ngày 01/01/2026 vẫn giữ nguyên quy định nêu trên và có điều khoản chuyển tiếp, các doanh nghiệp đã thực hiện theo Nghị định 13/2023/NĐ-CP thì sẽ không phải thực hiện lại theo Luật này. Đồng thời quy định về việc xử phạt, mức xử phạt đối với hành vi vi phạm hành chính đối với bảo vệ dữ liệu cá nhân.

Như vậy, trách nhiệm thực hiện thủ tục này của doanh nghiệp vẫn đang phát sinh kể từ ngày 30/8/2023.

Do đó, trường hợp doanh nghiệp không thực hiện, sẽ bị coi là vi phạm quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025.

5. Tại sao cần phải tiến hành nộp hồ sơ vào thời hạn trước 01/07/2026

• Theo kế hoạch tại Quyết định 2623/QĐ-TTg, dự kiến vào ngày 01/07/2026, Nghị định Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân sẽ được ban hành. Do đó, trường hợp sau 1/7 doanh nghiệp vẫn chưa thực hiện, doanh nghiệp sẽ có rủi ro bị xử phạt vi phạm hành chính theo thời điểm Nghị định xử phạt vi phạm có hiệu lực. 
• Thông thường, hiệu lực trở về trước của văn bản quy phạm pháp luật có thể sẽ không được quy định đối với trường hợp: Quy định trách nhiệm pháp lý mới đối với hành vi mà vào thời điểm thực hiện hành vi đó pháp luật không quy định trách nhiệm pháp lý.

⇒ Việc nộp, khai báo trước 01/07 có thể sẽ giúp doanh nghiệp trách được việc xử phạt vi phạm theo quy định của pháp luật.

6. Mức phạt (Theo Dự thảo Nghị định xử phạt vi phạm hành chính)

• Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với tổ chức, cá nhân có hành vi Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp 
• Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng với việc Không gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân; 
• Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo đúng quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm về lưu và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
• Buộc dừng ngay hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm về lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

7. Lưu ý khác

Đối với trường hợp chuyển từ 100.000 dữ liệu cá nhân của công dân Việt Nam (đối với dữ liệu cá nhân cơ bản), 10.000 dữ liệu cá nhân của công dân Việt Nam (đối với dữ liệu cá nhân nhạy cảm) thì phải thực hiện thủ tục đánh giá tác động chuyển Dữ liệu cốt lõi xuyên biên giới và nộp Hồ sơ xin chấp thuận trước khi thực hiện tới Trung tâm dữ liệu Quốc gia (Bộ Công an) theo Luật Dữ liệu 2024

Kết luận

Như vậy, để phòng ngừa tối đa rủi ro bị xử phạt hành chính cùng các chế tài nghiêm trọng khác, doanh nghiệp cần chủ động hoàn thiện và nộp báo cáo DPIA cho cơ quan có thẩm quyền trong đúng thời hạn theo quy định của pháp luật, nhằm đảm bảo hoạt động kinh doanh của cá nhân, doanh nghiệp và tổ chức.

Trên đây là Thời gian nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (TIA) cho Bộ Công An. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: