Các điều kiện chuyển dữ liệu cá nhân xuyên biên giới là một yêu cầu pháp lý nghiêm ngặt theo Luật Bảo vệ dữ liệu cá nhân, đòi hỏi doanh nghiệp phải có thủ tục và hồ sơ đánh giá tác động chặt chẽ. Tại DPVN, chúng tôi cung cấp giải pháp toàn diện giúp bạn đáp ứng các yêu cầu khi chuyển dữ liệu, đảm bảo tuân thủ và hoạt động kinh doanh quốc tế thông suốt.
Chuyển dữ liệu cá nhân xuyên biên giới được định nghĩa như thế nào theo pháp luật Việt Nam?
Theo Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP, chuyển dữ liệu cá nhân xuyên biên giới bao gồm: (1) Chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống lưu trữ ở nước ngoài; (2) Chuyển cho tổ chức, cá nhân ở nước ngoài; (3) Sử dụng nền tảng ở nước ngoài để xử lý dữ liệu được thu thập tại Việt Nam.
Định nghĩa mới này quy định chi tiết và bao quát hơn, đảm bảo không bỏ sót các hình thức xử lý dữ liệu hiện đại. Việc hiểu đúng định nghĩa này là bước đầu tiên để doanh nghiệp xác định nghĩa vụ lập hồ sơ đánh giá tác động.
Về chuyên môn sâu, các hoạt động sau đây đều được xem là chuyển dữ liệu cá nhân xuyên biên giới:
- Lưu trữ trên máy chủ nước ngoài: Khi doanh nghiệp sử dụng các dịch vụ đám mây (AWS, Google Cloud, Azure…) có trung tâm dữ liệu đặt ngoài lãnh thổ Việt Nam. Tìm hiểu thêm tại bài viết: Lưu trữ đám mây nước ngoài có phải là chuyển dữ liệu xuyên biên giới không?
- Chuyển giao cho đối tác, công ty mẹ nước ngoài: Gửi dữ liệu nhân sự, khách hàng cho trụ sở chính hoặc đối tác kinh doanh nằm ngoài biên giới Việt Nam.
- Sử dụng nền tảng xử lý quốc tế: Sử dụng các phần mềm SaaS (Salesforce, Mailchimp,…) mà hệ thống xử lý đặt tại nước ngoài đối với dữ liệu thu thập tại Việt Nam.
Do đó, hầu hết các doanh nghiệp có yếu tố nước ngoài hoặc đang sử dụng các dịch vụ công nghệ toàn cầu đều phải tuân thủ quy định này.
Điều kiện để chuyển dữ liệu cá nhân xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân 2025 là gì?
Theo Điều 20 Luật 91/2025/QH15 và Điều 18 Nghị định 356/2025/NĐ-CP, để chuyển dữ liệu cá nhân xuyên biên giới, doanh nghiệp phải: (1) Lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới; (2) Gửi 01 bản chính hồ sơ cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an); (3) Cập nhật hồ sơ định kỳ hoặc khi có thay đổi.
Quy định mới tập trung mạnh vào việc đánh giá tác động và quản lý rủi ro. Dưới đây là các yêu cầu chi tiết:
1. Lập Hồ sơ Đánh giá Tác động Chuyển dữ liệu xuyên biên giới (Mẫu số 09)
Doanh nghiệp phải lập hồ sơ theo Mẫu số 09 ban hành kèm theo Nghị định 356/2025/NĐ-CP. Hồ sơ này phải đánh giá chi tiết mức độ ảnh hưởng, rủi ro của việc chuyển dữ liệu, biện pháp bảo vệ của bên nhận, và các biện pháp giảm thiểu rủi ro.
2. Thời hạn nộp hồ sơ
Hồ sơ phải được gửi cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới (theo Khoản 2 Điều 20 Luật số 91/2025/QH15).
3. Có văn bản ràng buộc trách nhiệm (Hợp đồng chuyển giao)
Trong hồ sơ phải bao gồm bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu thể hiện sự ràng buộc trách nhiệm pháp lý giữa bên chuyển (tại Việt Nam) và bên nhận (tại nước ngoài) về bảo vệ dữ liệu.
4. Cập nhật hồ sơ định kỳ
Theo Điều 22 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, doanh nghiệp phải cập nhật hồ sơ định kỳ 06 tháng/lần nếu có sự thay đổi, hoặc cập nhật ngay lập tức khi có thay đổi về tổ chức, bên nhận dữ liệu.
Hồ sơ, thủ tục cần thiết để thực hiện chuyển dữ liệu cá nhân xuyên biên giới gồm những gì?
Theo Điều 18 Nghị định 356/2025/NĐ-CP, bộ hồ sơ đầy đủ bao gồm: (1) Báo cáo đánh giá tác động theo Mẫu số 09; (2) Thông báo gửi hồ sơ theo Mẫu số 01a (tổ chức) hoặc 01b (cá nhân); (3) Bản sao hợp đồng chuyển giao dữ liệu; và (4) Các tài liệu chính sách, quy trình bảo vệ dữ liệu liên quan.
Để có một bộ hồ sơ hợp lệ, doanh nghiệp cần chuẩn bị kỹ lưỡng các thành phần trên. Chi tiết cách lập hồ sơ có tại bài viết: Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
💡 DPVN chia sẻ: “Điểm mới quan trọng trong Nghị định 356/2025/NĐ-CP là Mẫu số 09 yêu cầu đánh giá rất chi tiết về biện pháp bảo vệ của Bên Nhận ở nước ngoài. Doanh nghiệp không chỉ kê khai thông tin mà phải ‘mô tả và luận giải’ các biện pháp an toàn. Nếu bên nhận không có tiêu chuẩn bảo mật tương đương, hồ sơ rất dễ bị yêu cầu giải trình.”
Có những trường hợp nào được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không?
Có. Khoản 6 Điều 20 Luật 91/2025/QH15 và Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP quy định các trường hợp miễn trừ gồm: (1) Cơ quan nhà nước có thẩm quyền; (2) Lưu trữ dữ liệu người lao động nội bộ trên đám mây; (3) Chủ thể tự chuyển dữ liệu của mình; (4) Hoạt động báo chí theo luật định; (5) Các tình huống khẩn cấp (bảo vệ tính mạng, sức khỏe, xin thị thực, học bổng…).
Đây là điểm nới lỏng đáng kể so với quy định cũ, giúp giảm tải gánh nặng thủ tục cho các hoạt động thông thường. Tuy nhiên, doanh nghiệp cần xác định chính xác mình có thuộc diện miễn trừ hay không để tránh rủi ro pháp lý. Chi tiết xem tại: Khi nào được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài?
Mức phạt đối với hành vi chuyển dữ liệu cá nhân trái phép ra nước ngoài là bao nhiêu?
Theo Khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, mức phạt tiền tối đa đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% tổng doanh thu của năm trước liền kề. Trường hợp không có doanh thu hoặc mức phạt thấp hơn thì áp dụng mức phạt tiền tối đa là 03 tỷ đồng.
Mức phạt 5% doanh thu là chế tài cực kỳ nghiêm khắc, thể hiện sự quyết liệt của Luật 91/2025/QH15. Đối với các tập đoàn đa quốc gia, con số này có thể lên tới hàng trăm tỷ đồng. Ngoài ra, Điều 20 Luật này cũng cho phép Cơ quan chuyên trách yêu cầu ngừng chuyển dữ liệu nếu phát hiện hoạt động gây tổn hại đến quốc phòng, an ninh quốc gia. Việc chủ động tuân thủ ngay từ ngày 01/01/2026 là bắt buộc để bảo vệ tài chính và uy tín doanh nghiệp.
DPVN: Dịch Vụ Tư Vấn và Hoàn Thiện Hồ Sơ Chuyển Dữ Liệu Theo Luật Mới
Thủ tục chuyển dữ liệu ra nước ngoài theo Nghị định 356/2025/NĐ-CP đòi hỏi sự chi tiết và chính xác cao trong Hồ sơ Đánh giá tác động (Mẫu 09). Việc đảm bảo tuân thủ đầy đủ các điều kiện kỹ thuật và pháp lý là thách thức lớn.
Đội ngũ của DPVN chuyên cung cấp dịch vụ trọn gói, từ rà soát luồng dữ liệu, soạn thảo Mẫu 09 chuẩn chỉnh đến đại diện nộp hồ sơ. Hãy liên hệ với chúng tôi để đảm bảo hoạt động kinh doanh quốc tế của bạn luôn an toàn:
Hotline: 0982976486
Email: info@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Quận Cầu Giấy, Thành Phố Hà Nội
Câu hỏi thường gặp về Điều kiện chuyển dữ liệu cá nhân xuyên biên giới
1. Hồ sơ đánh giá tác động cần cập nhật khi nào?
Theo Điều 22 Luật 91/2025/QH15, doanh nghiệp phải cập nhật hồ sơ định kỳ 06 tháng một lần nếu có thay đổi. Đặc biệt, phải cập nhật ngay (trong vòng 10 ngày) nếu có thay đổi về tổ chức (sáp nhập, giải thể), thay đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu, hoặc thay đổi ngành nghề kinh doanh liên quan đến xử lý dữ liệu (sử dụng Mẫu 03a/03b).
2. Đã nộp hồ sơ theo Nghị định 13/2023 thì có phải làm lại theo Luật mới không?
Không. Theo Điều 39 Luật 91/2025/QH15, hồ sơ đã được tiếp nhận trước ngày 01/01/2026 sẽ tiếp tục được sử dụng và không phải lập lại hồ sơ mới. Tuy nhiên, việc cập nhật hồ sơ sau thời điểm này phải thực hiện theo quy định của Luật mới.
3. Doanh nghiệp nhỏ có được miễn lập hồ sơ không?
Có, nhưng có điều kiện. Theo Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp siêu nhỏ, hộ kinh doanh được miễn thực hiện đánh giá tác động trong 05 năm đầu kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực thi hành, TRỪ KHI kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm/số lượng lớn (từ 100.000 chủ thể trở lên).
4. Chuyển dữ liệu qua Cloud Server nước ngoài có cần lập hồ sơ không?
Có. Khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP quy định rõ: “Hoạt động lưu trữ dữ liệu cá nhân có sự chuyển giao dữ liệu cá nhân thu thập, lưu trữ tại Việt Nam đến hệ thống máy chủ đặt ngoài lãnh thổ… hoặc trên dịch vụ điện toán đám mây” đều phải lập hồ sơ đánh giá tác động.
5. Nếu chúng tôi không tuân thủ, Bộ Công an có quyền chặn việc chuyển dữ liệu không?
Có. Theo Khoản 5 Điều 20 Luật số 91/2025/QH15, Cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền quyết định yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới nếu phát hiện dữ liệu được dùng vào hoạt động gây tổn hại đến quốc phòng, an ninh quốc gia hoặc vi phạm pháp luật.
Nguồn tham khảo:
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
- Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
