Cập nhật ngày 23/09/2026
Việc thuê một phần mềm có thương hiệu nước ngoài chưa đủ để kết luận nghĩa vụ chuyển dữ liệu. Điều cần kiểm tra là nơi lưu trữ, nơi xử lý, bên nhận và khả năng truy cập thực tế. Ngược lại, hợp đồng ký với pháp nhân tại Việt Nam cũng không tự chứng minh dữ liệu luôn được xử lý trong nước.
Những tình huống nào thuộc phạm vi chuyển xuyên biên giới
Điều 20 Luật Bảo vệ dữ liệu cá nhân bao gồm chuyển dữ liệu đang lưu tại Việt Nam sang hệ thống lưu trữ ở nước ngoài, chuyển cho tổ chức hoặc cá nhân ở nước ngoài và sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Vì vậy, cần kiểm tra cả luồng xử lý ngoài thao tác tải tệp thủ công.
Với một CRM, doanh nghiệp nên làm rõ vùng lưu trữ chính, vị trí sao lưu, truy cập hỗ trợ từ xa, nhà thầu phụ và dữ liệu gửi sang công cụ phân tích. Sơ đồ kiến trúc kỹ thuật và hợp đồng cần nhất quán. Câu trả lời “máy chủ ở Việt Nam” chưa giải quyết hết các luồng nếu đội hỗ trợ hoặc công cụ phụ ở nước ngoài vẫn tiếp nhận dữ liệu.
Hồ sơ và thời điểm nộp
Theo Điều 20, chủ thể có nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu và gửi một bản chính đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên chuyển. Hồ sơ được lập một lần và cập nhật theo quy định; không có nghĩa mỗi lần truyền dữ liệu đều phải nộp một bộ mới.
Điều 18 Nghị định 356/2025/NĐ-CP quy định báo cáo theo Mẫu số 09, văn bản đề nghị theo Mẫu số 01a hoặc 01b, cùng thỏa thuận, hợp đồng và tài liệu liên quan. Hồ sơ cần thể hiện bên chuyển, bên nhận, mục đích, dữ liệu, hoạt động chuyển, trách nhiệm, biện pháp bảo vệ, rủi ro và cách hạn chế tác động bất lợi.
Hồ sơ được nộp trực tuyến, trực tiếp hoặc qua bưu chính theo quy định. Thời gian đánh giá là 15 ngày; thời hạn hoàn thiện khi có yêu cầu là 30 ngày. Việc đã gửi hồ sơ không tự thay thế căn cứ xử lý, hợp đồng và biện pháp bảo vệ trong toàn bộ thời gian sử dụng dịch vụ.
Ngoại lệ về dữ liệu nhân viên được hiểu thế nào
Khoản 6 Điều 20 có trường hợp miễn nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu khi cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động của mình trên dịch vụ điện toán đám mây. Đây là ngoại lệ có phạm vi cụ thể, không phải miễn toàn bộ bảo vệ dữ liệu của nhân viên và không tự mở rộng sang dữ liệu khách hàng.
Điều 17 Nghị định 356 còn quy định một số trường hợp khác. Khi vận dụng, phải đọc đúng chủ thể, mục đích và điều kiện. Nếu một nền tảng nhân sự đồng thời nhận dữ liệu ứng viên, người phụ thuộc hoặc khách hàng, từng nhóm và hoạt động cần được xem xét riêng thay vì áp dụng một kết luận chung cho cả nền tảng.
Hợp đồng đám mây cần theo được luồng dữ liệu
Điều 12 Nghị định 356 yêu cầu làm rõ vai trò, luồng xử lý, biện pháp bảo vệ, thời hạn xử lý, xóa dữ liệu và bảo đảm quyền của chủ thể. Dữ liệu trên cloud phải được mã hóa khi lưu trữ và truyền, kèm phân quyền truy cập nghiêm ngặt. Nhà cung cấp có trách nhiệm liên quan đến nhà thầu phụ và đánh giá tuân thủ định kỳ hằng năm.
Một cách kiểm tra thực tế là yêu cầu nhà cung cấp mô tả việc xóa dữ liệu khi hết hợp đồng, xử lý bản sao lưu và thông báo khi thay đổi nhà thầu phụ. Đây là cơ sở để doanh nghiệp cập nhật hồ sơ và phân công việc vận hành, không phải bảo đảm rằng sử dụng một thương hiệu cụ thể sẽ tự động đáp ứng pháp luật Việt Nam.
Cùng một tập đoàn vẫn cần xác định bên chuyển và bên nhận
Công ty tại Việt Nam cho công ty mẹ ở nước ngoài truy cập dữ liệu phải đánh giá theo luồng thực tế và Điều 20. Quan hệ cùng tập đoàn không tự loại trừ nghĩa vụ; vị trí máy chủ chính cũng không phải tiêu chí duy nhất. Cần làm rõ quyền xem, xuất, sao chép, phân tích và việc chuyển tiếp cho bên khác.
Thỏa thuận nội bộ tập đoàn giúp phân định trách nhiệm, nhưng không tự tạo căn cứ xử lý cho một mục đích mới. Chẳng hạn, dùng hồ sơ nhân viên để vận hành tiền lương và dùng hồ sơ đó để huấn luyện AI là hai hoạt động cần được đánh giá riêng. Ngoại lệ lưu trữ dữ liệu người lao động của chính mình trên cloud không nên được mở rộng sang mọi hoạt động phân tích của công ty mẹ.
Có hồ sơ chuyển dữ liệu rồi còn cần kiểm tra gì
Ngoài bảo vệ dữ liệu cá nhân, cần đối chiếu phân loại dữ liệu theo Luật Dữ liệu, yêu cầu an ninh mạng, bí mật chuyên ngành và giới hạn sử dụng trong hợp đồng. Khoản 3 Điều 42 Nghị định 356 giúp tránh đánh giá trùng lặp trong trường hợp quy định; không phải cơ chế gỡ bỏ mọi nghĩa vụ còn lại.
Một câu hỏi thực tế để trao đổi với nhà cung cấp là: khi khách hàng yêu cầu xóa hoặc khi hợp đồng chấm dứt, dữ liệu được xử lý thế nào tại từng bên đang giữ bản sao? Câu trả lời nối trực tiếp hồ sơ chuyển dữ liệu với trách nhiệm cloud và quy trình thực hiện quyền của cá nhân.
Câu hỏi thường gặp
Có được chuyển dữ liệu ra nước ngoài không? Pháp luật không đặt một kết luận cấm chung cho mọi hoạt động. Cần đáp ứng điều kiện, hồ sơ và biện pháp áp dụng cho loại dữ liệu, ngành nghề và tình huống cụ thể.
Dữ liệu vừa quan trọng vừa là dữ liệu cá nhân có phải làm hai bộ đánh giá giống nhau không? Điều 42 Nghị định 356 sửa quy định của Nghị định 165 theo hướng áp dụng hồ sơ đánh giá tác động bảo vệ dữ liệu cá nhân trong trường hợp được quy định, tránh trùng lặp hồ sơ đánh giá rủi ro, tác động của Nghị định 165. Các nghĩa vụ bảo vệ khác vẫn cần kiểm tra.
Nguồn đối chiếu
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân
Nghị định 165/2025/NĐ-CP hướng dẫn Luật Dữ liệu
Luật An ninh mạng 116/2025/QH15
Nguồn được kiểm tra đến ngày 23/09/2026.
