Trong giai đoạn chuyển giao pháp lý quan trọng, nhiều doanh nghiệp vẫn quen thuộc với thuật ngữ “hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài” theo quy định cũ. Tuy nhiên, kể từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP chính thức có hiệu lực, thủ tục này được chuẩn hóa với tên gọi pháp lý là “hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới”. DPVN sẽ giúp Quý doanh nghiệp nắm bắt sự thay đổi này và hướng dẫn chi tiết cách lập hồ sơ chuẩn chỉnh nhất.
Lưu ý quan trọng: Nghị định 13/2023/NĐ-CP đã hết hiệu lực. Doanh nghiệp cần cập nhật biểu mẫu và quy trình theo Nghị định 356/2025/NĐ-CP để đảm bảo tính tuân thủ.
Sự thay đổi từ “Chuyển dữ liệu ra nước ngoài” sang “Chuyển dữ liệu xuyên biên giới”
Về bản chất, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đều phục vụ mục đích quản lý dòng chảy dữ liệu ra khỏi lãnh thổ Việt Nam. Tuy nhiên, luật mới (Luật Bảo vệ dữ liệu cá nhân 91/2025) sử dụng thuật ngữ “xuyên biên giới” để bao quát rộng hơn các hình thức lưu chuyển dữ liệu trên không gian mạng, bao gồm cả lưu trữ đám mây và xử lý qua nền tảng quốc tế.
Trước đây, theo Nghị định 13/2023/NĐ-CP, các doanh nghiệp thường tìm kiếm hướng dẫn về hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (sử dụng Mẫu Đ24-DLCN-04 cũ). Tuy nhiên, hiện nay, để tuân thủ đúng Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp phải thực hiện lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
Sự thay đổi này không chỉ nằm ở tên gọi mà còn ở phân biệt 3 trường hợp chuyển dữ liệu cá nhân xuyên biên giới cụ thể được quy định tại Điều 17 Nghị định 356/2025/NĐ-CP:
- Chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống máy chủ đặt ngoài lãnh thổ Việt Nam.
- Chuyển dữ liệu từ tổ chức, cá nhân tại Việt Nam cho tổ chức, cá nhân ở nước ngoài.
- Sử dụng nền tảng ở nước ngoài để xử lý dữ liệu của công dân Việt Nam.
Thành phần Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới gồm những gì?
Theo Điều 18 Nghị định 356/2025/NĐ-CP, một bộ hồ sơ chuẩn bao gồm: Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu số 09); Hợp đồng/văn bản thỏa thuận chuyển giao dữ liệu; và Các tài liệu minh chứng về chính sách, quy trình bảo vệ dữ liệu.
Để thay thế cho các hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài cũ, doanh nghiệp cần chuẩn bị các tài liệu sau đây để nộp cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an):
| Tên tài liệu | Chi tiết yêu cầu (Theo Nghị định 356/2025) |
|---|---|
| 1. Báo cáo đánh giá tác động (Mẫu số 09) | Đây là biểu mẫu thay thế cho Mẫu Đ24 trước đây. Doanh nghiệp cần điền đầy đủ thông tin về Bên chuyển, Bên nhận, loại dữ liệu, mục đích chuyển và đặc biệt là biện pháp bảo vệ của bên nhận chuyển giao dữ liệu cá nhân xuyên biên giới. |
| 2. Hợp đồng chuyển giao dữ liệu | Văn bản này ràng buộc trách nhiệm pháp lý giữa hai bên. DPVN lưu ý Quý khách cần tuân thủ các yêu cầu về hợp đồng chuyển giao dữ liệu cá nhân xuyên biên giới để đảm bảo hợp lệ. |
| 3. Tài liệu minh chứng | Bao gồm Chính sách bảo mật (Privacy Policy), quy trình nội bộ, chứng chỉ bảo mật (nếu có). Đây là bằng chứng cho thấy doanh nghiệp không chỉ chuyển dữ liệu mà còn bảo vệ nó. |
Việc chuẩn bị kỹ lưỡng hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ngay từ đầu sẽ giúp doanh nghiệp tiết kiệm thời gian giải trình và tránh bị trả hồ sơ. Quý vị có thể tham khảo chi tiết tại bài viết Hướng dẫn soạn Mẫu 09 theo Nghị định 356/2025/NĐ-CP.
Quy trình và thời hạn nộp hồ sơ như thế nào?
Doanh nghiệp phải gửi 01 bộ hồ sơ chính về Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày kể từ ngày đầu tiên thực hiện chuyển dữ liệu. Thời gian thẩm định là 15 ngày làm việc.
Quy trình thực hiện thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được tiến hành theo các bước sau:
- Bước 1: Lập hồ sơ: Doanh nghiệp hoàn thiện Mẫu số 09 và tập hợp tài liệu theo quy định.
- Bước 2: Gửi hồ sơ: Nộp hồ sơ kèm Thông báo gửi hồ sơ (Mẫu số 01a) qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc đường bưu chính.
- Bước 3: Thẩm định: Cơ quan chuyên trách sẽ đánh giá hồ sơ trong vòng 15 ngày. Nếu hồ sơ chưa đạt, doanh nghiệp có 30 ngày để hoàn thiện.
- Bước 4: Cập nhật: Doanh nghiệp có nghĩa vụ cập nhật hồ sơ định kỳ 06 tháng/lần hoặc khi có thay đổi.
Đối với các doanh nghiệp đã nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Nghị định 13 trước ngày 01/01/2026, Quý vị không cần nộp lại nhưng phải thực hiện cập nhật theo quy định mới. Xem thêm: Có cần nộp lại hồ sơ đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân không?.
Các trường hợp được miễn lập hồ sơ đánh giá tác động
Pháp luật quy định một số trường hợp ngoại lệ không phải thực hiện thủ tục lập hồ sơ, bao gồm: Hoạt động của cơ quan nhà nước có thẩm quyền; Lưu trữ dữ liệu nội bộ trên đám mây của người lao động; Chủ thể tự chuyển dữ liệu của mình; và một số trường hợp khẩn cấp khác.
Mặc dù quy định về hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là bắt buộc đối với phần lớn doanh nghiệp, nhưng Khoản 6 Điều 20 Luật 91/2025 và Khoản 3 Điều 17 Nghị định 356 cũng mở ra cơ chế “thoáng” hơn cho một số tình huống đặc thù. Cụ thể:
- Chuyển dữ liệu để thực hiện hợp đồng vận chuyển hàng hóa, hành khách quốc tế.
- Chuyển tiền, thanh toán quốc tế, đặt phòng khách sạn, xin thị thực, học bổng.
- Xử lý dữ liệu trong tình huống cấp cứu y tế, đe dọa tính mạng.
Doanh nghiệp cần đối chiếu kỹ lưỡng để xem mình có thuộc diện được miễn trừ hay không tại bài viết Trường hợp ngoại lệ không phải nộp hồ sơ khi chuyển dữ liệu cá nhân xuyên biên giới.
Rủi ro khi không lập hồ sơ đánh giá tác động
Việc không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới hoặc vi phạm các quy định chuyển dữ liệu có thể dẫn đến mức phạt lên tới 5% tổng doanh thu năm tài chính liền kề (Điều 8 Luật 91/2025/QH15).
Ngoài ra, Bộ Công an có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu nếu phát hiện rủi ro an ninh hoặc vi phạm pháp luật. Điều này sẽ gây gián đoạn nghiêm trọng đến hoạt động kinh doanh quốc tế của doanh nghiệp. Do đó, việc hoàn thiện hồ sơ không chỉ là tuân thủ pháp luật mà còn là biện pháp bảo vệ sự ổn định của doanh nghiệp.
Doanh nghiệp bạn đang gặp khó khăn trong việc chuyển đổi từ hồ sơ cũ sang hồ sơ mới?
Hãy để DPVN hỗ trợ bạn rà soát và lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới chuẩn xác theo Nghị định 356/2025/NĐ-CP.
DPVN – Trung Tâm Tư Vấn Pháp Luật Về Bảo Vệ Dữ Liệu Cá Nhân
Hotline: 0982976486
Email: info@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Thành Phố Hà Nội
Câu hỏi thường gặp (FAQ)
1. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài nộp theo Nghị định 13 có còn giá trị không?
Có. Theo Điều 39 Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ đã nộp và được tiếp nhận trước ngày 01/01/2026 sẽ tiếp tục được sử dụng. Doanh nghiệp chỉ cần thực hiện cập nhật theo quy định mới mà không phải lập lại từ đầu.
2. Doanh nghiệp nhỏ có phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không?
Doanh nghiệp siêu nhỏ, hộ kinh doanh được miễn thực hiện quy định này trong 05 năm đầu, TRỪ KHI kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm/số lượng lớn (Điều 38 Luật 91/2025).
3. Thời hạn cập nhật hồ sơ là bao lâu?
Doanh nghiệp phải cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới định kỳ 06 tháng/lần hoặc cập nhật ngay trong vòng 10 ngày khi có sự thay đổi thông tin quan trọng. Xem chi tiết: Thời Gian Cập Nhật Định Kỳ Hồ Sơ Đánh Giá Tác Động Là Bao Lâu?.
4. Chuyển dữ liệu cho công ty mẹ ở nước ngoài có cần lập hồ sơ không?
Có. Việc chuyển dữ liệu nội bộ tập đoàn (Intra-group transfer) ra khỏi lãnh thổ Việt Nam vẫn thuộc phạm vi điều chỉnh và bắt buộc phải lập hồ sơ. Tham khảo: Quy định về chuyển dữ liệu cá nhân sang công ty mẹ tại nước ngoài.
5. Dùng mẫu nào để lập hồ sơ theo luật mới?
Doanh nghiệp sử dụng Mẫu số 09 (Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới) và gửi kèm Thông báo theo Mẫu số 01a (dành cho tổ chức) ban hành kèm theo Nghị định 356/2025/NĐ-CP.
Nguồn tham khảo:
- Thư viện Pháp luật: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
- Cổng thông tin điện tử Chính phủ: Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân.
- Bộ Công an: Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
- DPVN: Các bài viết chuyên sâu về tuân thủ pháp luật dữ liệu cá nhân.
- GDPR.eu: Cross-border data transfer mechanisms.
