Nghĩa vụ khi thay đổi hoạt động xử lý dữ liệu

Điểm quan trọng là pháp luật hiện hành vận hành trên nhiều lớp nghĩa vụ khác nhau. Một thay đổi có thể khiến doanh nghiệp phải lấy lại hoặc bổ sung sự đồng ý của chủ thể dữ liệu; có thể làm phát sinh việc cập nhật hồ sơ đánh giá tác động với cơ quan chuyên trách; cũng có trường hợp chỉ cần điều chỉnh biện pháp quản trị nội bộ. Vì vậy, “có thay đổi” chưa đủ để kết luận rằng phải thực hiện lại toàn bộ thủ tục từ đầu.

Thay đổi mục đích xử lý thường là thay đổi quan trọng nhất

Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi người đó biết rõ loại dữ liệu được xử lý và mục đích xử lý. Luật cũng yêu cầu sự đồng ý được thể hiện đối với từng mục đích riêng biệt. Vì vậy, nếu doanh nghiệp bổ sung một mục đích mới nằm ngoài phạm vi mà chủ thể dữ liệu đã đồng ý, về nguyên tắc không thể mặc nhiên dùng sự đồng ý cũ để hợp thức hóa mục đích mới, trừ trường hợp hoạt động xử lý thuộc căn cứ pháp luật không cần sự đồng ý.

Ví dụ, dữ liệu khách hàng ban đầu được thu thập để thực hiện hợp đồng nhưng sau đó được sử dụng cho một mục đích độc lập chưa từng được chủ thể dữ liệu chấp thuận. Vấn đề pháp lý lúc này không đơn thuần là sửa câu chữ trong chính sách bảo mật. Doanh nghiệp phải kiểm tra cơ sở pháp lý của mục đích mới và, nếu cơ sở là sự đồng ý, phải bảo đảm sự đồng ý bao phủ chính mục đích đó.

Ở chiều ngược lại, thay đổi cách tổ chức nội bộ nhưng vẫn thực hiện đúng mục đích đã xác lập không đồng nghĩa với việc hình thành một mục đích xử lý mới. Đây là lý do cần đánh giá bản chất của thay đổi thay vì áp dụng máy móc nguyên tắc “cứ thay đổi là xin lại”.

Thông báo cho chủ thể dữ liệu và cập nhật hồ sơ là hai nghĩa vụ khác nhau

Một điểm dễ nhầm là “thông báo lại cho khách hàng” và “cập nhật hồ sơ với cơ quan chuyên trách bảo vệ dữ liệu cá nhân” không phải cùng một thủ tục.

Đối với chủ thể dữ liệu, trọng tâm là họ có tiếp tục được biết đầy đủ về hoạt động xử lý và sự đồng ý hiện có có còn bao phủ loại dữ liệu, mục đích và chủ thể kiểm soát hoạt động xử lý hay không. Luật quy định chủ thể dữ liệu có quyền được biết về hoạt động xử lý dữ liệu cá nhân, đồng thời sự đồng ý chỉ có hiệu lực khi họ biết rõ những thông tin cốt lõi liên quan đến việc xử lý.

Đối với cơ quan chuyên trách, trọng tâm lại nằm ở hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Luật yêu cầu bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân cập nhật, bổ sung hồ sơ khi nội dung hồ sơ đã gửi có thay đổi. Hồ sơ này bao gồm mục đích, loại dữ liệu, các hoạt động xử lý, sơ đồ luồng dữ liệu, việc xin sự đồng ý, biện pháp bảo vệ và đánh giá rủi ro.

Do đó, một thay đổi có thể không đòi hỏi lấy lại sự đồng ý nhưng vẫn cần được xem xét ở góc độ cập nhật hồ sơ đánh giá tác động. Ngược lại, việc cập nhật hồ sơ với cơ quan quản lý không thay thế cho nghĩa vụ bảo đảm sự đồng ý hợp lệ của chủ thể dữ liệu.

Thay đổi phạm vi hoặc loại dữ liệu phải đối chiếu với sự đồng ý ban đầu

Nếu doanh nghiệp bắt đầu thu thập hoặc xử lý thêm loại dữ liệu cá nhân mà trước đây chủ thể dữ liệu chưa được biết, cần kiểm tra xem sự đồng ý hiện tại còn đáp ứng điều kiện của Luật hay không. Điều 9 Luật Bảo vệ dữ liệu cá nhân yêu cầu chủ thể dữ liệu phải biết rõ loại dữ liệu cá nhân được xử lý và mục đích xử lý trước khi sự đồng ý có hiệu lực.

Không phải mọi thay đổi về số lượng trường dữ liệu đều có cùng mức độ pháp lý. Nếu dữ liệu bổ sung vẫn nằm trong loại dữ liệu và phạm vi đã được chủ thể dữ liệu biết rõ, đồng thời phục vụ đúng mục đích đã xác lập, việc thay đổi có thể không tạo ra một mục đích xử lý mới. Tuy nhiên, nếu phạm vi được mở rộng sang loại dữ liệu mới, đặc biệt là dữ liệu cá nhân nhạy cảm, cơ sở đồng ý và các biện pháp bảo vệ phải được đánh giá lại.

Nghị định 356/2025/NĐ-CP còn yêu cầu khi xin sự đồng ý để xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý thuộc nhóm dữ liệu cá nhân nhạy cảm. Vì vậy, việc từ một quy trình chỉ xử lý dữ liệu cơ bản chuyển sang xử lý thêm dữ liệu nhạy cảm không nên được xem là một thay đổi kỹ thuật thuần túy.

Thay đổi cách thức xử lý không phải lúc nào cũng phải xin lại sự đồng ý

Việc chuyển từ thao tác thủ công sang hệ thống tự động, thay đổi phần mềm, hạ tầng lưu trữ hoặc một quy trình kỹ thuật không mặc nhiên đồng nghĩa với việc phải xin lại sự đồng ý. Điều cần kiểm tra là thay đổi đó có làm biến đổi mục đích, loại dữ liệu, các bên tham gia, luồng chuyển giao, phạm vi sử dụng hoặc những thông tin mà chủ thể dữ liệu cần biết hay không.

Nếu phương thức mới chỉ là phương tiện kỹ thuật để thực hiện cùng một hoạt động đã được xác lập, không mở rộng mục đích và không làm thay đổi cơ sở pháp lý, nghĩa vụ có thể chủ yếu nằm ở quản trị rủi ro, bảo mật và cập nhật tài liệu liên quan.

Tuy nhiên, nếu thay đổi phương thức làm xuất hiện bên xử lý mới, bên thứ ba mới, hoạt động chuyển giao mới hoặc một luồng xử lý mới, doanh nghiệp phải đánh giá lại nghĩa vụ tương ứng. Báo cáo đánh giá tác động theo Nghị định 356/2025/NĐ-CP phải mô tả chi tiết hoạt động xử lý và sơ đồ luồng dữ liệu; vì vậy những thay đổi có ảnh hưởng thực chất đến luồng xử lý không nên được bỏ qua chỉ vì “mục đích trên giấy” vẫn giữ nguyên.

Một số môi trường còn có quy tắc riêng. Chẳng hạn, đối với điện toán đám mây, Nghị định 356/2025/NĐ-CP yêu cầu các bên liên quan thông báo ngay về thay đổi có thể ảnh hưởng tới dữ liệu cá nhân. Điều này cho thấy nghĩa vụ thông báo còn phụ thuộc vào loại hoạt động cụ thể, không thể áp dụng một kết luận duy nhất cho mọi thay đổi kỹ thuật.

Hồ sơ đánh giá tác động phải được cập nhật theo loại thay đổi

Luật Bảo vệ dữ liệu cá nhân quy định hồ sơ đánh giá tác động được cập nhật định kỳ 06 tháng khi có thay đổi và phải cập nhật ngay đối với một số trường hợp cụ thể. Nghị định 356/2025/NĐ-CP chi tiết hơn về các mốc này.

Theo Nghị định, việc phát sinh mục đích xử lý dữ liệu cá nhân mới hoặc phát sinh, thay đổi bên kiểm soát dữ liệu, bên kiểm soát và xử lý, bên xử lý hoặc bên thứ ba thuộc nhóm được cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ. Trong khi đó, một số thay đổi phải cập nhật ngay trong thời hạn 10 ngày, gồm việc tổ chức lại hoặc chấm dứt hoạt động; thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành nghề, dịch vụ kinh doanh liên quan đến hoạt động xử lý đã đăng ký.

Vì vậy, không chính xác nếu cho rằng mọi thay đổi đều phải “nộp lại hồ sơ ngay”, nhưng cũng không đúng nếu cho rằng hồ sơ đã nộp một lần thì không cần quan tâm nữa. Hồ sơ đánh giá tác động được lập một lần cho quá trình hoạt động nhưng phải tiếp tục được cập nhật khi phát sinh những thay đổi thuộc phạm vi luật định.

Nên đánh giá thay đổi theo từng lớp nghĩa vụ trước khi triển khai

Trước khi đưa một thay đổi vào vận hành, doanh nghiệp có thể kiểm tra lần lượt bốn vấn đề.

1.    Mục đích có thay đổi không

2.    Nếu xuất hiện mục đích mới, phải xác định lại cơ sở pháp lý và phạm vi sự đồng ý

3.    Loại hoặc phạm vi dữ liệu có mở rộng không

4.    Nếu xử lý thêm dữ liệu chưa nằm trong nội dung mà chủ thể dữ liệu đã biết, cần đánh giá lại tính hợp lệ của sự đồng ý và biện pháp bảo vệ

5.    Các bên hoặc luồng xử lý có thay đổi không

6.    Bên xử lý mới, bên thứ ba mới hoặc luồng chuyển giao mới có thể ảnh hưởng trực tiếp đến hồ sơ đánh giá tác động và các thỏa thuận xử lý dữ liệu

7.    Thay đổi có thuộc trường hợp phải cập nhật hồ sơ theo thời hạn luật định không

8.    Cần phân biệt nhóm cập nhật định kỳ 06 tháng với nhóm phải cập nhật ngay trong 10 ngày

Cách tiếp cận này giúp tránh hai thái cực: xin lại sự đồng ý một cách không cần thiết cho mọi điều chỉnh nhỏ, hoặc ngược lại coi sự đồng ý và hồ sơ cũ là “giấy phép chung” cho mọi hoạt động xử lý phát sinh sau này.

Một lưu ý chuyển tiếp cũng rất quan trọng: hoạt động xử lý đã được chủ thể dữ liệu đồng ý hoặc được thỏa thuận hợp lệ theo Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026 được tiếp tục thực hiện mà không phải xin đồng ý hoặc thỏa thuận lại chỉ vì Luật mới có hiệu lực. Tuy nhiên, nếu sau đó doanh nghiệp bổ sung hoạt động vượt khỏi phạm vi đã được đồng ý hoặc thỏa thuận, phần thay đổi vẫn phải được đánh giá theo pháp luật hiện hành. Nghị định 13/2023/NĐ-CP đã hết hiệu lực kể từ ngày 01/01/2026.

Tóm lại, thay đổi hoạt động xử lý dữ liệu không đồng nghĩa với việc luôn phải thực hiện lại toàn bộ thủ tục thông báo. Thay đổi mục đích, mở rộng loại dữ liệu hoặc làm biến đổi các bên và luồng xử lý thường tạo ra nghĩa vụ pháp lý đáng kể hơn một điều chỉnh kỹ thuật thuần túy.

Đặc biệt, khi xuất hiện mục đích mới, doanh nghiệp phải kiểm tra lại phạm vi sự đồng ý và cơ sở xử lý; khi nội dung hồ sơ đánh giá tác động thay đổi, phải xem xét nghĩa vụ cập nhật theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP. Cách an toàn là đánh giá từng thay đổi theo ba lớp riêng biệt: quyền và sự đồng ý của chủ thể dữ liệu, hồ sơ với cơ quan chuyên trách và biện pháp quản trị nội bộ.