Chuyển Dữ Liệu Cá Nhân Xuyên Biên Giới Là Gì?

Avatar of baovedlcn

Ngày đăng -

baovedlcn Tư vấn Luật bảo vệ dữ liệu cá nhân

Trong bối cảnh hội nhập quốc tế sâu rộng, việc xác định rõ “Chuyển dữ liệu cá nhân xuyên biên giới là gì?“ là bước đầu tiên và quan trọng nhất để doanh nghiệp đảm bảo tuân thủ pháp luật. Theo Khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP, đây là hoạt động chuyển dữ liệu ra khỏi lãnh thổ Việt Nam thông qua các hình thức như lưu trữ đám mây quốc tế, chuyển cho đối tác nước ngoài hoặc sử dụng phần mềm có máy chủ ở nước ngoài. DPVN sẽ giúp Quý doanh nghiệp nhận diện chính xác hành vi này và thực hiện đầy đủ các thủ tục pháp lý cần thiết.

Nội dung chính: Bài viết giải thích chi tiết khái niệm, các hình thức chuyển dữ liệu xuyên biên giới và hướng dẫn quy trình lập hồ sơ đánh giá tác động theo quy định mới nhất năm 2026.

Khái niệm chuyển dữ liệu cá nhân xuyên biên giới theo luật mới là gì?

Chuyển dữ liệu cá nhân xuyên biên giới là việc bên kiểm soát, bên xử lý dữ liệu thực hiện một trong các hoạt động: (1) Lưu trữ dữ liệu trên hệ thống máy chủ đặt ngoài lãnh thổ Việt Nam; (2) Chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài; (3) Sử dụng nền tảng, phần mềm có máy chủ đặt tại nước ngoài để xử lý dữ liệu thu thập tại Việt Nam (theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP).

Hiểu đúng và đủ về khái niệm này giúp doanh nghiệp tránh được những rủi ro pháp lý không đáng có. Thực tế, nhiều doanh nghiệp vẫn nhầm tưởng rằng chỉ khi gửi file dữ liệu trực tiếp cho đối tác nước ngoài mới là chuyển dữ liệu xuyên biên giới. Tuy nhiên, phạm vi điều chỉnh của luật rộng hơn rất nhiều.

Phân biệt 3 trường hợp chuyển dữ liệu cá nhân xuyên biên giới cụ thể như sau:

  • Trường hợp 1 – Lưu trữ tại nước ngoài: Doanh nghiệp thuê dịch vụ lưu trữ (Hosting, VPS, Server vật lý) đặt tại Singapore, Mỹ, Nhật Bản… để chứa dữ liệu khách hàng Việt Nam. Ngay cả khi không có ai ở nước ngoài truy cập vào dữ liệu này, hành vi lưu trữ đó vẫn được coi là chuyển dữ liệu ra khỏi biên giới quốc gia.
  • Trường hợp 2 – Chuyển cho bên nhận nước ngoài: Đây là hình thức truyền thống, ví dụ: công ty con tại Việt Nam gửi danh sách nhân sự cho công ty mẹ tại Hàn Quốc để tính lương; hoặc công ty du lịch gửi thông tin hộ chiếu khách hàng cho khách sạn tại Thái Lan. Quý khách có thể xem thêm về quy định chuyển dữ liệu cá nhân sang công ty mẹ tại nước ngoài để nắm rõ hơn.
  • Trường hợp 3 – Sử dụng nền tảng xử lý nước ngoài: Doanh nghiệp sử dụng các phần mềm quản trị (CRM, ERP, HRM) dạng SaaS (Software as a Service) mà nhà cung cấp đặt máy chủ xử lý tại nước ngoài (ví dụ: Salesforce, HubSpot, Gmail doanh nghiệp). Dữ liệu được nhập vào tại Việt Nam nhưng thực chất đang được xử lý và lưu trữ trên hạ tầng quốc tế.

Việc xác định chính xác hành vi giúp doanh nghiệp biết được mình có thuộc đối tượng phải lập hồ sơ đánh giá tác động hay không, từ đó chủ động tuân thủ. Nếu vẫn còn băn khoăn về trường hợp cụ thể của mình, ví dụ như lưu trữ đám mây nước ngoài có phải là chuyển dữ liệu xuyên biên giới không?, Quý vị có thể tham khảo thêm các bài viết chuyên sâu của DPVN.

Doanh nghiệp cần làm gì khi chuyển dữ liệu ra nước ngoài?

Doanh nghiệp bắt buộc phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (theo Mẫu 09 Nghị định 356) và gửi về Bộ Công an trong thời hạn 60 ngày kể từ ngày bắt đầu chuyển dữ liệu. Đồng thời, phải đảm bảo các điều kiện về sự đồng ý của chủ thể dữ liệu và biện pháp bảo vệ an toàn dữ liệu.

Quy trình tuân thủ không chỉ dừng lại ở việc “xin phép”, mà là một chuỗi các hoạt động đảm bảo an toàn thông tin và quyền riêng tư. Dưới đây là các bước doanh nghiệp cần thực hiện:

Bước 1: Rà soát và đánh giá dữ liệu

Xác định loại dữ liệu (cơ bản/nhạy cảm), khối lượng dữ liệu và mục đích chuyển đi. Đặc biệt lưu ý nếu chuyển dữ liệu nhạy cảm hoặc dữ liệu số lượng lớn, doanh nghiệp cần áp dụng các biện pháp kỹ thuật cao hơn như mã hóa hoặc khử nhận dạng. Chi tiết xem tại Có phải khử nhận dạng và mã hóa dữ liệu cá nhân khi chuyển xuyên biên giới không?.

Bước 2: Lập hồ sơ đánh giá tác động

Đây là bước quan trọng nhất. Hồ sơ bao gồm:

Bước 3: Nộp hồ sơ và theo dõi kết quả

Hồ sơ được nộp trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc nộp trực tiếp/qua bưu điện về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an. Tham khảo quy trình chi tiết tại bài viết Hướng dẫn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.

Có trường hợp nào được miễn lập hồ sơ đánh giá tác động không?

Có. Theo Khoản 6 Điều 20 Luật 91/2025/QH15 và Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP, một số trường hợp được miễn lập hồ sơ như: chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; chủ thể dữ liệu tự chuyển dữ liệu của mình; chuyển dữ liệu để thực hiện hợp đồng vận chuyển, thanh toán quốc tế; hoạt động báo chí truyền thông theo luật định.

Việc nắm rõ các trường hợp miễn trừ giúp doanh nghiệp tiết kiệm thời gian và chi phí tuân thủ. Ví dụ, nếu bạn là công ty logistics và cần chuyển thông tin người nhận hàng tại Mỹ cho đối tác vận chuyển FedEx để giao hàng, hoạt động này có thể thuộc diện miễn trừ vì mục đích thực hiện hợp đồng vận chuyển. Hoặc trường hợp cá nhân tự upload ảnh lên Facebook (máy chủ nước ngoài) thì cá nhân đó không phải lập hồ sơ.

Tuy nhiên, doanh nghiệp cần hết sức thận trọng khi xác định mình có thuộc diện miễn trừ hay không. Nếu hiểu sai và không nộp hồ sơ, doanh nghiệp có thể đối mặt với mức phạt rất nặng. Hãy tham khảo kỹ bài viết Trường hợp ngoại lệ không phải nộp hồ sơ khi chuyển dữ liệu cá nhân xuyên biên giới hoặc liên hệ DPVN để được tư vấn chính xác.

Rủi ro pháp lý khi vi phạm quy định chuyển dữ liệu xuyên biên giới là gì?

Hành vi chuyển dữ liệu cá nhân ra nước ngoài trái phép hoặc không lập hồ sơ đánh giá tác động có thể bị phạt tiền lên đến 5% tổng doanh thu năm tài chính liền kề hoặc phạt tiền tới 03 tỷ đồng. Ngoài ra, doanh nghiệp có thể bị đình chỉ hoạt động xử lý dữ liệu và buộc phải thu hồi dữ liệu đã chuyển đi.

Luật Bảo vệ dữ liệu cá nhân 2025 quy định chế tài xử phạt rất nghiêm khắc nhằm răn đe và bảo vệ chủ quyền dữ liệu quốc gia. Mức phạt này cao hơn rất nhiều so với các quy định trước đây tại Nghị định 13/2023/NĐ-CP.

Ngoài phạt tiền, Bộ Công an có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu cá nhân ra nước ngoài nếu phát hiện hoạt động chuyển dữ liệu gây ảnh hưởng đến an ninh quốc gia hoặc lợi ích công cộng. Chi tiết về thẩm quyền này được quy định tại bài viết Ai có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu cá nhân xuyên biên giới?.

Để tránh bị phạt, doanh nghiệp cũng cần lưu ý nghĩa vụ hậu kiểm. Sau khi nộp hồ sơ thành công, doanh nghiệp phải thực hiện cập nhật hồ sơ định kỳ hoặc khi có thay đổi. Xem thêm tại Nghĩa vụ sau khi nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Bạn đang loay hoay với thủ tục chuyển dữ liệu ra nước ngoài?

Đừng để rủi ro pháp lý cản trở hoạt động kinh doanh quốc tế của bạn. Hãy để các chuyên gia của DPVN hỗ trợ bạn hoàn thiện hồ sơ đánh giá tác động một cách chuyên nghiệp và nhanh chóng nhất.

DPVN – Trung Tâm Tư Vấn Pháp Luật Về Bảo Vệ Dữ Liệu Cá Nhân

Hotline: 0982976486

Email: info@baovedlcn.vn

Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Thành Phố Hà Nội

Liên hệ tư vấn ngay

Câu hỏi thường gặp (FAQ)

1. Thời hạn nộp hồ sơ đánh giá tác động là bao lâu?

Doanh nghiệp phải gửi hồ sơ về Bộ Công an trong thời hạn 60 ngày kể từ ngày bắt đầu thực hiện hoạt động chuyển dữ liệu cá nhân ra nước ngoài.

2. Doanh nghiệp nước ngoài có văn phòng đại diện tại Việt Nam có phải lập hồ sơ không?

Có. Nếu Văn phòng đại diện tại Việt Nam thu thập dữ liệu và chuyển về trụ sở chính ở nước ngoài thì đây là hành vi chuyển dữ liệu xuyên biên giới và phải lập hồ sơ đánh giá tác động.

3. Sử dụng Google Drive, OneDrive để lưu trữ dữ liệu có phải là chuyển dữ liệu ra nước ngoài không?

Có. Hầu hết các dịch vụ đám mây quốc tế như Google, Microsoft đều đặt máy chủ tại nước ngoài. Việc tải dữ liệu cá nhân lên các nền tảng này được coi là chuyển dữ liệu ra nước ngoài và thuộc phạm vi điều chỉnh của luật.

4. Hồ sơ đánh giá tác động nộp một lần hay phải nộp lại hàng năm?

Hồ sơ đánh giá tác động được lập 01 lần cho suốt thời gian hoạt động. Tuy nhiên, doanh nghiệp phải cập nhật hồ sơ định kỳ 06 tháng/lần hoặc khi có sự thay đổi về nội dung hồ sơ (ví dụ: thay đổi loại dữ liệu, bên nhận, mục đích chuyển).

5. Doanh nghiệp nhỏ có được miễn lập hồ sơ không?

Doanh nghiệp siêu nhỏ, hộ kinh doanh được miễn thực hiện quy định về đánh giá tác động trong 05 năm đầu kể từ khi thành lập, TRỪ KHI kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm/số lượng lớn (từ 100.000 chủ thể trở lên).

Nguồn tham khảo:

  • Thư viện Pháp luật: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
  • Cổng thông tin điện tử Chính phủ: Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân.
  • Bộ Công an: Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
  • DPVN: Các bài viết chuyên sâu về tuân thủ pháp luật dữ liệu.
  • GDPR.eu: Cross-border data transfer mechanisms under GDPR (So sánh tham khảo).
Liên hệ với DPVN để được tư vấn miễn phí
Hotline 0982976486