Khi nào được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài là một điểm mới quan trọng, giúp giảm gánh nặng tuân thủ cho doanh nghiệp. Tại DPVN, chúng tôi sẽ phân tích các điều kiện miễn trừ chuyển dữ liệu xuyên biên giới theo Luật mới, giúp bạn xác định chính xác nghĩa vụ pháp lý của mình.
Quy định pháp luật nào về miễn trừ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài?
Cơ sở pháp lý chính cho việc miễn trừ là Khoản 6, Điều 20 của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, sẽ có hiệu lực từ ngày 01/01/2026. Đây là một quy định hoàn toàn mới, vì Nghị định 13/2023/NĐ-CP hiện hành không có bất kỳ điều khoản miễn trừ nào cho thủ tục này.
Việc lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài là một trong những thủ tục hành chính phức tạp và tốn nhiều nguồn lực nhất theo quy định của Nghị định 13 về bảo vệ dữ liệu cá nhân. Thấu hiểu những khó khăn của doanh nghiệp về tuân thủ nghị định, các nhà làm luật đã đưa các quy định miễn trừ vào Luật 91/2025/QH15.
Về chuyên môn sâu, việc đưa ra các trường hợp miễn trừ cho thấy một cách tiếp cận dựa trên rủi ro (risk-based approach). Pháp luật tập trung vào việc quản lý các hoạt động chuyển dữ liệu có quy mô lớn, có hệ thống và tiềm ẩn nhiều rủi ro, đồng thời giảm bớt gánh nặng hành chính cho các hoạt động có rủi ro thấp hơn hoặc phục vụ lợi ích công cộng. Tuy nhiên, điều quan trọng cần nhấn mạnh là, việc được miễn lập hồ sơ không có nghĩa là được miễn trừ tất cả các nghĩa vụ khác.
Danh sách 3 trường hợp cụ thể được miễn trừ lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài là gì?
Khoản 6, Điều 20 Luật 91/2025/QH15 đã liệt kê 3 trường hợp miễn trừ chính: (1) Việc chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; (2) Việc lưu trữ dữ liệu cá nhân của người lao động trên dịch vụ điện toán đám mây; và (3) Khi chủ thể dữ liệu tự chuyển dữ liệu của chính mình ra nước ngoài.
Dưới đây, DPVN sẽ phân tích chi tiết từng trường hợp kèm theo các ví dụ thực tế để doanh nghiệp có thể xác định chính xác mình có thuộc diện được miễn trừ hay không.
Trường hợp 1: Việc chuyển dữ liệu của cơ quan nhà nước có thẩm quyền
Quy định này nhằm tạo điều kiện thuận lợi cho các hoạt động đối ngoại, hợp tác quốc tế và thực thi pháp luật của nhà nước.
- Bản chất: Miễn trừ này áp dụng cho các cơ quan nhà nước khi họ thực hiện chức năng, nhiệm vụ của mình.
- Ví dụ thực tế: Bộ Công an Việt Nam chuyển thông tin về một đối tượng tội phạm cho Tổ chức Cảnh sát Hình sự Quốc tế (Interpol) theo một hiệp định tương trợ tư pháp. Hoạt động này sẽ không cần phải lập hồ sơ đánh giá tác động.
Trường hợp 2: Lưu trữ dữ liệu cá nhân của người lao động trên dịch vụ điện toán đám mây
Đây là quy định miễn trừ có tác động lớn và trực tiếp nhất đến hoạt động của nhiều doanh nghiệp hiện nay, đặc biệt là các doanh nghiệp sử dụng các nền tảng nhân sự hoặc lưu trữ toàn cầu.
- Bản chất: Miễn trừ thủ tục lập hồ sơ khi doanh nghiệp sử dụng một dịch vụ đám mây (Cloud) để lưu trữ hồ sơ, dữ liệu của chính nhân viên trong công ty.
- Ví dụ thực tế: Một công ty tại Việt Nam sử dụng nền tảng Microsoft 365 hoặc Google Workspace để quản lý công việc và lưu trữ các tệp tin chứa dữ liệu cá nhân của người lao động (hợp đồng, bảng lương). Nếu máy chủ của Microsoft hoặc Google đặt tại Singapore, hoạt động này vẫn được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài.
💡 Luật sư Nguyễn Lâm Sơn chia sẻ: “Đây là một điểm mới rất đáng hoan nghênh, tháo gỡ một vướng mắc lớn cho doanh nghiệp. Tuy nhiên, cần phải đọc kỹ. Quy định này chỉ nói về việc ‘lưu trữ dữ liệu cá nhân của người lao động’. Nó không áp dụng cho dữ liệu của khách hàng. Nếu bạn cũng lưu trữ dữ liệu khách hàng trên cùng một dịch vụ đám mây nước ngoài, thì đối với phần dữ liệu khách hàng đó, bạn vẫn phải lập hồ sơ đánh giá tác động. Sự phân biệt này là cực kỳ quan trọng.”
Trường hợp 3: Chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình xuyên biên giới
Miễn trừ này tôn trọng quyền tự quyết của cá nhân đối với chính thông tin của họ.
- Bản chất: Khi một cá nhân chủ động thực hiện một hành động để gửi dữ liệu của chính họ ra nước ngoài, thì không có tổ chức nào phải chịu trách nhiệm lập hồ sơ cho hành động đó.
- Ví dụ thực tế: Bạn (một công dân Việt Nam) tự mình điền thông tin cá nhân và tải hộ chiếu lên website của một trường đại học ở Úc để nộp hồ sơ du học. Trong trường hợp này, không có bên nào tại Việt Nam phải lập hồ sơ đánh giá tác động cho việc chuyển dữ liệu này.
Doanh nghiệp cần làm gì nếu không thuộc diện được miễn trừ?
Nếu hoạt động chuyển dữ liệu của bạn không thuộc một trong các trường hợp miễn trừ nêu trên, bạn bắt buộc phải tuân thủ đầy đủ thủ tục được quy định tại Điều 25 Nghị định 13/2023/NĐ-CP. Quy trình này bao gồm việc lập và nộp một bộ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài hoàn chỉnh cho Cục A05.
Việc này đặc biệt áp dụng cho các trường hợp phổ biến sau:
- Lưu trữ hoặc xử lý dữ liệu khách hàng trên các nền tảng đám mây có máy chủ ở nước ngoài.
- Sử dụng các phần mềm quản lý quan hệ khách hàng (CRM) toàn cầu như Salesforce, HubSpot.
- Công ty con tại Việt Nam gửi báo cáo chứa dữ liệu cá nhân về cho công ty mẹ ở nước ngoài.
Để có hướng dẫn chi tiết về cách thực hiện thủ tục này, bạn có thể tham khảo bài viết đầy đủ của chúng tôi: Hướng dẫn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài.
Hậu quả pháp lý khi không tuân thủ quy định về chuyển dữ liệu ra nước ngoài là gì?
Việc chuyển dữ liệu ra nước ngoài mà không lập hồ sơ (khi không thuộc diện miễn trừ) là một trong những vi phạm nghiêm trọng nhất. Theo Điều 8 Luật 91/2025/QH15, doanh nghiệp có thể bị phạt tiền tối đa lên đến 5% tổng doanh thu của năm trước liền kề, và Cục A05 có quyền yêu cầu ngừng ngay lập tức hoạt động chuyển dữ liệu đó.
Việc chủ động xác định xem mình có thuộc diện miễn trừ hay không và tuân thủ đúng quy định không chỉ giúp doanh nghiệp tránh được các chế tài tài chính nặng nề, mà còn mang lại các lợi ích tích cực:
- Giảm thiểu rủi ro pháp lý: Tránh được các khoản phạt và các cuộc điều tra tốn kém.
- Tăng cường uy tín: Thể hiện sự minh bạch và có trách nhiệm, một yếu tố quan trọng trong mắt các đối tác và khách hàng quốc tế.
- Đảm bảo hoạt động kinh doanh liên tục: Tránh nguy cơ bị buộc phải ngừng các hoạt động chuyển dữ liệu, vốn có thể gây gián đoạn nghiêm trọng cho các doanh nghiệp phụ thuộc vào các nền tảng toàn cầu.
DPVN: Dịch Vụ Tư Vấn và Xác Định Nghĩa Vụ Tuân Thủ
Việc xác định một cách chính xác liệu doanh nghiệp của bạn có thuộc diện được miễn trừ hay không đòi hỏi sự am hiểu sâu sắc về các quy định pháp luật và mô hình hoạt động của công ty.
Đội ngũ của DPVN, với sự dẫn dắt của Luật sư Nguyễn Lâm Sơn, sẽ giúp bạn có câu trả lời chính xác và xây dựng một lộ trình tuân thủ phù hợp. Hãy liên hệ với chúng tôi để được tư vấn:
Hotline: 0982976486
Email: lamson@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Quận Cầu Giấy, Thành Phố Hà Nội
Câu hỏi thường gặp về miễn trừ lập hồ sơ chuyển dữ liệu ra nước ngoài
1. Các quy định miễn trừ này có hiệu lực ngay bây giờ không?
Không. Các quy định miễn trừ này nằm trong Luật 91/2025/QH15 và sẽ chỉ có hiệu lực từ ngày 01/01/2026. Cho đến thời điểm đó, mọi hoạt động chuyển dữ liệu ra nước ngoài đều phải tuân thủ theo Nghị định 13/2023/NĐ-CP, vốn không có quy định miễn trừ.
2. Nếu tôi vừa lưu trữ dữ liệu nhân viên, vừa lưu trữ dữ liệu khách hàng trên cùng một máy chủ đám mây nước ngoài thì sao?
Bạn sẽ được miễn lập hồ sơ cho phần dữ liệu nhân viên, nhưng vẫn bắt buộc phải lập và nộp hồ sơ cho phần dữ liệu khách hàng. Trong trường hợp này, bạn cần thực hiện thủ tục đánh giá tác động cho hoạt động chuyển dữ liệu khách hàng của mình.
3. Nước ngoài được định nghĩa như thế nào?
Nước ngoài được hiểu là bất kỳ địa điểm nào nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam. Điều này có nghĩa là việc dữ liệu được lưu trữ trên một máy chủ ảo, dù bạn không biết chính xác vị trí vật lý của nó, nhưng nếu nhà cung cấp dịch vụ là công ty nước ngoài và không có trung tâm dữ liệu tại Việt Nam, nó sẽ được xem là chuyển dữ liệu ra nước ngoài.
4. Việc miễn trừ có áp dụng cho dữ liệu nhạy cảm của người lao động không?
Luật 91/2025/QH15 hiện không có sự phân biệt. Điều khoản miễn trừ nói chung về lưu trữ dữ liệu cá nhân của người lao động. Tuy nhiên, doanh nghiệp nên hết sức cẩn trọng khi lưu trữ dữ liệu cá nhân nhạy cảm ở nước ngoài và cần có các biện pháp bảo mật đặc biệt, ngay cả khi được miễn thủ tục hành chính.
5. Nếu được miễn lập hồ sơ, chúng tôi có được miễn các nghĩa vụ khác không?
Không. Việc miễn trừ chỉ áp dụng cho thủ tục hành chính lập và nộp hồ sơ đánh giá tác động. Doanh nghiệp vẫn phải tuân thủ tất cả các nghĩa vụ khác, bao gồm việc có được sự đồng ý của chủ thể dữ liệu cho việc chuyển dữ liệu, có hợp đồng ràng buộc với nhà cung cấp dịch vụ, và áp dụng các biện pháp bảo vệ dữ liệu phù hợp.
Nguồn tham khảo:
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: https://thuvienphapluat.vn/van-ban/Bo-may-hanh-chinh/Luat-Bao-ve-du-lieu-ca-nhan-2025-so-91-2025-QH15-625628.aspx
- Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Nghi-dinh-13-2023-ND-CP-bao-ve-du-lieu-ca-nhan-562955.aspx
- Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân: https://baovedlcn.gov.vn
- Luật Doanh nghiệp 2020: https://thuvienphapluat.vn/van-ban/Doanh-nghiep/Luat-Doanh-nghiep-2020-427533.aspx
- Chapter V of GDPR – Transfers of personal data to third countries: https://gdpr-info.eu/chapter-5/
