Việc hiểu rõ 3 trường hợp chuyển dữ liệu cá nhân xuyên biên giới là vô cùng quan trọng để doanh nghiệp tuân thủ đúng Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. DPVN sẽ giúp bạn phân biệt rõ ràng các trường hợp này, từ đó xác định đúng nghĩa vụ pháp lý và lập hồ sơ đánh giá tác động phù hợp.
Cập nhật pháp lý 2026: Bài viết này dựa trên quy định chi tiết tại Điều 17 và Điều 20 của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và các quy định liên quan trong Nghị định 356/2025/NĐ-CP.
1. Trường hợp 1: Chuyển dữ liệu khi lưu trữ tại nước ngoài
Trường hợp này xảy ra khi dữ liệu cá nhân của người Việt Nam (thu thập tại Việt Nam) được lưu trữ trên hệ thống máy chủ hoặc dịch vụ điện toán đám mây đặt tại nước ngoài. Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu.
Theo quy định tại Khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, đây là một trong ba trường hợp chính được xem là chuyển dữ liệu cá nhân xuyên biên giới. Ví dụ điển hình cho trường hợp này bao gồm:
- Sử dụng dịch vụ lưu trữ đám mây (Cloud storage) của nước ngoài để lưu giữ thông tin khách hàng, nhân viên.
- Lưu trữ dữ liệu trên máy chủ của công ty mẹ đặt tại nước ngoài.
- Sử dụng các nền tảng quản lý quan hệ khách hàng (CRM) hoặc nhân sự (HRM) có máy chủ đặt ở nước ngoài.
Đối với trường hợp này, doanh nghiệp cần đặc biệt chú trọng đến việc áp dụng các biện pháp bảo vệ dữ liệu cá nhân tại bên nước ngoài và chứng minh trong hồ sơ đánh giá tác động.
2. Trường hợp 2: Chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài
Trường hợp này xảy ra khi cơ quan, tổ chức tại Việt Nam chủ động chia sẻ hoặc chuyển giao dữ liệu cá nhân cho một thực thể (tổ chức, cá nhân) có trụ sở hoặc hoạt động chính tại nước ngoài.
Theo Khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, đây là trường hợp chuyển giao dữ liệu cá nhân trực tiếp. Hành vi này có thể bao gồm:
- Chia sẻ dữ liệu khách hàng với đối tác marketing nước ngoài.
- Chuyển dữ liệu nhân sự cho bộ phận nhân sự của công ty mẹ ở nước ngoài để quản lý tập trung.
- Cung cấp dữ liệu cho đối tác nước ngoài để phân tích thị trường, nghiên cứu.
Trong trường hợp này, doanh nghiệp cần đặc biệt lưu ý đến việc ký kết Thỏa thuận bảo vệ dữ liệu cá nhân với đối tác nhận dữ liệu, trong đó quy định rõ về trách nhiệm của mỗi bên.
3. Trường hợp 3: Sử dụng nền tảng nước ngoài để xử lý dữ liệu thu thập tại Việt Nam
Đây là trường hợp mà dữ liệu cá nhân của người Việt Nam được thu thập tại Việt Nam nhưng sau đó được xử lý bởi một nền tảng, ứng dụng, hoặc hệ thống có máy chủ đặt ở nước ngoài.
Trường hợp này thường gặp với các hoạt động:
- Sử dụng các phần mềm quản lý quan hệ khách hàng (CRM), quản lý nhân sự (HRM) có máy chủ đặt tại nước ngoài.
- Sử dụng các nền tảng phân tích dữ liệu, quảng cáo trực tuyến (ví dụ: Google Analytics, Facebook Pixel) mà dữ liệu người dùng Việt Nam được xử lý trên máy chủ của họ ở nước ngoài.
- Các ứng dụng di động, website có tích hợp các dịch vụ của bên thứ ba nước ngoài để xử lý dữ liệu người dùng.
Điểm mấu chốt ở đây là việc xử lý dữ liệu diễn ra tại nước ngoài, dù dữ liệu được thu thập tại Việt Nam. Doanh nghiệp cần đảm bảo tuân thủ các yêu cầu về đánh giá tác động và bảo mật theo quy định tại quy trình lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
So sánh trách nhiệm giữa 3 trường hợp chuyển dữ liệu
Mặc dù cả ba trường hợp đều thuộc diện phải lập hồ sơ đánh giá tác động, nhưng mức độ yêu cầu về hồ sơ và biện pháp bảo vệ có thể khác nhau tùy thuộc vào:
- Loại dữ liệu cá nhân: Dữ liệu nhạy cảm sẽ đòi hỏi biện pháp bảo vệ chặt chẽ hơn.
- Mục đích và bản chất hoạt động xử lý: Hoạt động mua bán dữ liệu sẽ có yêu cầu nghiêm ngặt hơn so với việc chuyển giao để thực hiện hợp đồng dịch vụ thông thường.
- Quy định của nước tiếp nhận dữ liệu: Cần xem xét luật pháp nước ngoài để có biện pháp bảo vệ phù hợp.
Việc hiểu rõ sự khác biệt này giúp doanh nghiệp chuẩn bị hồ sơ đánh giá tác động một cách chính xác và đầy đủ, tránh các sai sót có thể dẫn đến xử phạt.
DPVN đồng hành cùng doanh nghiệp trong tuân thủ pháp luật
Bạn đang băn khoăn về quy trình chuyển dữ liệu cá nhân ra nước ngoài?
Đừng để những quy định phức tạp của pháp luật về bảo vệ dữ liệu cá nhân làm gián đoạn hoạt động kinh doanh quốc tế của bạn. DPVN với đội ngũ chuyên gia pháp lý giàu kinh nghiệm sẽ đồng hành, tư vấn và hỗ trợ doanh nghiệp bạn xây dựng hồ sơ đánh giá tác động chuẩn xác, đảm bảo tuân thủ mọi quy định.
DPVN – Trung Tâm Tư Vấn Pháp Luật Về Bảo Vệ Dữ Liệu Cá Nhân
Hotline: 0982976486
Email: info@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Thành Phố Hà Nội
Câu hỏi thường gặp (FAQ)
1. Khi nào doanh nghiệp cần nộp hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài?
Doanh nghiệp phải lập và nộp hồ sơ trong vòng 60 ngày kể từ khi bắt đầu thực hiện hoạt động chuyển dữ liệu cá nhân ra nước ngoài, trừ các trường hợp được miễn trừ theo quy định.
2. Mẫu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là mẫu nào?
Doanh nghiệp sử dụng Mẫu số 09 (Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới) và nộp kèm theo Mẫu số 01a (Thông báo gửi hồ sơ dành cho tổ chức) theo Phụ lục của Nghị định 356/2025/NĐ-CP.
3. Việc sử dụng Cloud Server nước ngoài có thuộc diện chuyển dữ liệu xuyên biên giới không?
Có. Việc lưu trữ hoặc xử lý dữ liệu cá nhân trên hệ thống máy chủ đặt ở nước ngoài đều được xem là chuyển dữ liệu cá nhân xuyên biên giới và phải tuân thủ các quy định về hồ sơ đánh giá tác động.
4. Cơ quan chuyên trách có thời gian bao lâu để thẩm định hồ sơ?
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) có thời hạn 15 ngày làm việc để thẩm định hồ sơ. Nếu hồ sơ chưa đạt, doanh nghiệp có thêm 30 ngày để bổ sung, hoàn thiện.
5. Doanh nghiệp có thể từ chối cung cấp dữ liệu cho bên thứ ba nước ngoài nếu không đồng ý không?
Chủ thể dữ liệu có quyền từ chối cung cấp dữ liệu hoặc rút lại sự đồng ý bất kỳ lúc nào, trừ trường hợp pháp luật có quy định khác hoặc việc từ chối ảnh hưởng đến hoạt động của cơ quan nhà nước theo quy định. Điều này cũng áp dụng khi dữ liệu được xử lý hoặc chuyển giao xuyên biên giới.
Nguồn tham khảo:
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân.
- Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
- DPVN – Trung Tâm Tư Vấn Pháp Luật Về Bảo Vệ Dữ Liệu Cá Nhân.
- GDPR.eu: International data transfers.
