Chuẩn bị hồ sơ DPIA: nối đánh giá tác động với dữ liệu thực tế

Xác định hoạt động, vai trò và căn cứ áp dụng

Chốt pháp nhân, nhóm người liên quan, quy trình và hệ thống được đánh giá. Doanh nghiệp có thể có vai trò khác nhau ở các hoạt động khác nhau; tên hợp đồng không đủ để quyết định vai trò. Trước khi lập hồ sơ, đối chiếu Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, bao gồm điều kiện miễn, chuyển tiếp hoặc nghĩa vụ riêng nếu có. Việc này giúp tránh lập một bộ tài liệu rộng nhưng bỏ sót hoạt động thực sự phát sinh trách nhiệm.

Thu thập bằng chứng từ người vận hành

Đầu vào nên gồm bản đồ dữ liệu, chính sách, mẫu thu thập, mô tả hệ thống, danh sách quyền truy cập, hợp đồng nhà cung cấp và hướng dẫn xử lý yêu cầu. Đội công nghệ xác nhận nơi lưu, kết nối, sao lưu và nhật ký; nhân sự, kinh doanh xác nhận cách dùng dữ liệu trong công việc. Khi gửi mẫu hồ sơ cho người tư vấn, ưu tiên che thông tin nhận diện hoặc dùng dữ liệu minh họa. Không cần tập hợp toàn bộ dữ liệu thật chỉ để chứng minh một quy trình đang tồn tại.

• Đánh dấu tài liệu đã ban hành, dự thảo và thông tin chưa xác nhận.
• Ghi người phụ trách giải thích từng nhóm bằng chứng.

Viết rủi ro bằng tình huống có thể xảy ra

Thay câu chung như nguy cơ mất dữ liệu bằng một tình huống cụ thể: nhân viên xuất danh sách vượt phạm vi công việc, tài khoản quản trị dùng chung hoặc nhà cung cấp giữ bản sao sau khi chấm dứt. Với mỗi tình huống, mô tả dữ liệu bị ảnh hưởng, nhóm người chịu tác động, điểm yếu và biện pháp hiện có. Phân biệt mức ảnh hưởng trước và sau kiểm soát. Những đánh giá chưa đủ bằng chứng nên được ghi thành giả định hoặc việc cần kiểm tra, thay vì trình bày như kết luận đã chắc chắn.

Nối biện pháp kiểm soát với người và hồ sơ

Một biện pháp chỉ ghi phân quyền truy cập chưa giải thích ai được cấp quyền và ai rà soát. Nên gắn mỗi biện pháp với người thực hiện, bằng chứng, lịch kiểm tra và cách ghi nhận ngoại lệ. Đối với rủi ro còn mở, lập kế hoạch khắc phục gồm hành động, nguồn lực và người quyết định. Không mô tả một tính năng bảo mật như đã vận hành nếu mới nằm trong báo giá. Hồ sơ cần phản ánh hiện trạng và phần dự kiến một cách riêng biệt để người phê duyệt hiểu đúng giới hạn.

Ví dụ giả định: chuyển sang phần mềm nhân sự mới

Giả định doanh nghiệp chuyển hồ sơ nhân sự sang nền tảng mới, còn tài khoản của nhà cung cấp cũ vẫn truy cập được kho tệp. Nhóm đánh giá cần kiểm tra các bản sao, đầu mối nhận dữ liệu và kế hoạch đóng quyền. Biện pháp đề xuất có thể gồm đối soát dữ liệu chuyển, thu hồi tài khoản, xác nhận hoàn trả hoặc xóa theo phạm vi được áp dụng. Nếu chưa biết nơi lưu của nền tảng mới, hồ sơ phải nêu khoảng trống đó và yêu cầu thông tin bổ sung trước khi kết luận về luồng dữ liệu.

Chuẩn bị việc gửi và cập nhật hồ sơ

Tách người lập, người kiểm tra hiện trạng và người có thẩm quyền xác nhận hồ sơ. Đối chiếu biểu mẫu, thành phần, nơi nhận và thời điểm phát sinh nghĩa vụ theo quy định hiện hành; không sao chép lịch thủ tục cũ một cách máy móc. Bảo quản bộ đã gửi, bằng chứng tiếp nhận, yêu cầu bổ sung và phiên bản chỉnh sửa. Sau đó đưa các thay đổi về mục đích, nhà cung cấp hoặc hệ thống vào quy trình rà soát hồ sơ. Hoàn thành thủ tục gửi không tự chứng minh mọi biện pháp đã được thực hiện đầy đủ.