Những điều kiện chuyển dữ liệu ra nước ngoài

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP là căn cứ trực tiếp đối với việc chuyển dữ liệu cá nhân xuyên biên giới. Đối với dữ liệu cốt lõi, dữ liệu quan trọng không thuộc trường hợp được điều chỉnh theo cơ chế bảo vệ dữ liệu cá nhân, tổ chức còn phải đối chiếu Luật Dữ liệu và Nghị định 165/2025/NĐ-CP.

Điểm quan trọng là việc sử dụng máy chủ, dịch vụ đám mây hoặc nền tảng ở nước ngoài cũng có thể bị coi là hoạt động chuyển dữ liệu xuyên biên giới. Vì vậy, doanh nghiệp không nên chỉ kiểm tra trường hợp gửi một tệp dữ liệu trực tiếp cho đối tác nước ngoài.

Trước tiên phải xác định hoạt động có phải chuyển dữ liệu xuyên biên giới hay không

Đối với dữ liệu cá nhân, phạm vi “chuyển dữ liệu cá nhân xuyên biên giới” tương đối rộng. Hoạt động thuộc phạm vi này khi dữ liệu cá nhân thu thập, lưu trữ tại Việt Nam được chuyển đến máy chủ ở nước ngoài hoặc lưu trên dịch vụ điện toán đám mây của nhà cung cấp nước ngoài; khi dữ liệu được chuyển từ Việt Nam cho tổ chức, cá nhân ở nước ngoài; hoặc khi dữ liệu thu thập tại Việt Nam được đưa lên nền tảng ngoài lãnh thổ Việt Nam để tiếp tục xử lý.

Do đó, việc sử dụng một hệ thống CRM quốc tế, phần mềm quản trị nhân sự toàn cầu, dịch vụ cloud có máy chủ ở nước ngoài hoặc nền tảng phân tích dữ liệu ở nước ngoài đều cần được kiểm tra về luồng dữ liệu thực tế. Không phải chỉ giao dữ liệu cho một pháp nhân nước ngoài mới phát sinh nghĩa vụ.

Với dữ liệu cốt lõi và dữ liệu quan trọng, Luật Dữ liệu cũng xác định chuyển, xử lý xuyên biên giới bao gồm chuyển dữ liệu đang lưu trữ tại Việt Nam sang hệ thống lưu trữ ở nước ngoài, chuyển cho tổ chức hoặc cá nhân nước ngoài và sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu. Việc chuyển phải bảo đảm quốc phòng, an ninh, lợi ích quốc gia, lợi ích công cộng cũng như quyền và lợi ích hợp pháp của chủ thể và chủ sở hữu dữ liệu.

Điều kiện chuyển dữ liệu cá nhân ra nước ngoài

Nếu dữ liệu thuộc phạm vi dữ liệu cá nhân, nghĩa vụ trọng tâm là bảo đảm toàn bộ hoạt động xử lý dữ liệu hợp pháp và thực hiện cơ chế đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Tổ chức cần xác định rõ bên chuyển, bên nhận, bên xử lý và các chủ thể liên quan; mục đích chuyển; loại dữ liệu; hoạt động xử lý sau khi chuyển; thời hạn lưu trữ; việc xóa, hủy dữ liệu và biện pháp bảo vệ. Đối với việc xin sự đồng ý của chủ thể dữ liệu, hồ sơ đánh giá tác động cũng phải mô tả và luận giải cách thức thực hiện. Điều này không có nghĩa rằng mọi trường hợp chuyển dữ liệu đều mặc nhiên phải dựa trên sự đồng ý; căn cứ xử lý phải được xác định theo đúng trường hợp mà Luật Bảo vệ dữ liệu cá nhân cho phép.

Tổ chức đồng thời phải có phương án bảo đảm an toàn dữ liệu sau khi chuyển, xác định tiêu chuẩn và biện pháp bảo vệ được áp dụng, mô tả hệ thống lưu trữ hoặc xử lý của bên nhận và quy trình kiểm soát trường hợp bên nhận tiếp tục cung cấp dữ liệu cho bên thứ ba. Hồ sơ còn phải đánh giá mức độ bảo vệ của bên nhận, nguy cơ xảy ra sự cố, hậu quả có thể phát sinh và biện pháp giảm thiểu hoặc loại bỏ rủi ro.

Như vậy, điều kiện pháp lý không chỉ nằm ở việc hoàn thành một biểu mẫu. Tổ chức phải có cơ sở thực tế để chứng minh luồng dữ liệu, trách nhiệm của các bên và các biện pháp bảo vệ nêu trong hồ sơ thực sự tồn tại.

Phải lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

Trừ những trường hợp được miễn, cơ quan, tổ chức, cá nhân thực hiện chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động. Luật Bảo vệ dữ liệu cá nhân quy định phải gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới.

Theo Nghị định 356/2025/NĐ-CP, hồ sơ cơ bản gồm:

·         Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09

·         Bản sao hợp đồng hoặc văn bản chuyển giao thể hiện sự ràng buộc và trách nhiệm giữa bên chuyển và bên nhận

·         Chính sách, quy trình, quy định, biểu mẫu và tài liệu liên quan đến bảo vệ dữ liệu cá nhân

Hồ sơ phải luôn có sẵn để phục vụ việc kiểm tra, đánh giá của cơ quan chuyên trách. Bên chuyển có thể nộp trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính.

Một điểm cần phân biệt là cơ chế này đối với dữ liệu cá nhân thông thường không phải thủ tục xin phép trước rồi mới được chuyển. Pháp luật cho phép thời hạn nộp hồ sơ tính từ ngày bắt đầu chuyển dữ liệu. Sau khi nhận hồ sơ, cơ quan chuyên trách đánh giá và trả kết quả đạt hoặc không đạt trong thời hạn 15 ngày; nếu hồ sơ chưa đầy đủ, đúng quy định, cơ quan này có thể yêu cầu hoàn thiện trong thời hạn 30 ngày.

Hồ sơ không phải lập một lần rồi để nguyên

Sau khi hoàn thành nghĩa vụ ban đầu, tổ chức vẫn phải theo dõi những thay đổi của hoạt động xử lý và chuyển dữ liệu.

Nghị định 356/2025/NĐ-CP yêu cầu cập nhật hồ sơ theo chu kỳ 06 tháng kể từ lần nộp đầu tiên khi phát sinh mục đích chuyển hoặc xử lý mới, hoặc khi phát sinh hay thay đổi bên kiểm soát, bên kiểm soát và xử lý, bên xử lý hoặc bên thứ ba.

Một số thay đổi phải được cập nhật trong thời hạn 10 ngày, gồm việc tổ chức lại, chấm dứt hoạt động, giải thể hoặc phá sản; thay đổi tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành nghề, dịch vụ kinh doanh liên quan đến hoạt động xử lý dữ liệu đã đăng ký trong hồ sơ.

Vì vậy, việc thay nhà cung cấp cloud, bổ sung một đơn vị xử lý dữ liệu mới hoặc thay đổi mục đích sử dụng dữ liệu có thể kéo theo nghĩa vụ rà soát và cập nhật hồ sơ thay vì tiếp tục sử dụng bộ hồ sơ cũ.

Những trường hợp được miễn đánh giá tác động chuyển dữ liệu cá nhân

Không phải mọi hoạt động chuyển dữ liệu cá nhân xuyên biên giới đều phải thực hiện thủ tục đánh giá tác động.

Luật Bảo vệ dữ liệu cá nhân loại trừ nghĩa vụ này đối với việc chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; trường hợp cơ quan, tổ chức lưu trữ dữ liệu cá nhân của chính người lao động trên dịch vụ điện toán đám mây; và trường hợp chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình ra nước ngoài.

Nghị định 356/2025/NĐ-CP bổ sung các trường hợp được miễn gồm:

·         Hoạt động báo chí, truyền thông theo quy định pháp luật

·         Dữ liệu cá nhân chuyển xuyên biên giới đã được công khai theo quy định pháp luật

·         Trường hợp khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân hoặc thực hiện nhiệm vụ, nghĩa vụ theo pháp luật

·         Chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể

·         Cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, thị thực hoặc học bổng

Được miễn đánh giá tác động chuyển dữ liệu xuyên biên giới không đồng nghĩa với được miễn toàn bộ nghĩa vụ bảo vệ dữ liệu cá nhân. Tổ chức vẫn phải bảo đảm hoạt động thu thập, sử dụng, cung cấp, lưu trữ và bảo vệ dữ liệu có căn cứ hợp pháp và tuân thủ các nghĩa vụ khác áp dụng cho hoạt động xử lý đó.

Dữ liệu cốt lõi và dữ liệu quan trọng có cơ chế chặt chẽ hơn

Nếu dữ liệu dự kiến chuyển được xác định là dữ liệu cốt lõi hoặc dữ liệu quan trọng, tổ chức không nên chỉ áp dụng quy trình dành cho dữ liệu thông thường.

Theo Nghị định 165/2025/NĐ-CP, việc đánh giá tác động phải xem xét tính hợp pháp và sự cần thiết của việc chuyển, phạm vi và phương thức truyền dữ liệu, cách bên nhận xử lý dữ liệu, rủi ro đối với quốc phòng, an ninh, kinh tế, đối ngoại, ổn định xã hội, lợi ích công cộng và quyền, lợi ích hợp pháp của cá nhân, tổ chức; đồng thời đánh giá trách nhiệm và các biện pháp quản lý, kỹ thuật của bên nhận.

Đối với dữ liệu cốt lõi

Bên chuyển phải gửi hồ sơ đánh giá tác động cho Bộ Công an; nếu thuộc lĩnh vực quân sự, quốc phòng, cơ yếu thì gửi Bộ Quốc phòng. Cơ quan có thẩm quyền đánh giá hồ sơ trong 10 ngày kể từ khi nhận đủ hồ sơ hợp lệ; trường hợp phức tạp cần xác minh, kiểm tra thì thời hạn không quá 15 ngày.

Tổ chức chỉ quyết định chuyển dữ liệu cốt lõi ra nước ngoài sau khi nhận được kết quả đánh giá đạt. Đây là điểm khác biệt quan trọng so với cơ chế nộp hồ sơ trong vòng 60 ngày sau khi bắt đầu chuyển áp dụng cho dữ liệu cá nhân theo cơ chế thông thường.

Đối với dữ liệu quan trọng

Bên chuyển phải lập hồ sơ đánh giá tác động trước khi chuyển và gửi 01 bản chính cho Bộ Công an hoặc Bộ Quốc phòng, tùy lĩnh vực, trước 15 ngày khi tiến hành xử lý dữ liệu. Cơ chế này không yêu cầu phải có quyết định chấp thuận trước như đối với dữ liệu cốt lõi, nhưng nghĩa vụ đánh giá và nộp hồ sơ trước vẫn phải được thực hiện.

Có một quy tắc đặc biệt cần lưu ý từ ngày 01/01/2026: Nghị định 356/2025/NĐ-CP đã sửa đổi Nghị định 165/2025/NĐ-CP. Nếu dữ liệu cốt lõi hoặc dữ liệu quan trọng đồng thời là dữ liệu cá nhân, chủ quản thực hiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo pháp luật về bảo vệ dữ liệu cá nhân; không phải đồng thời thực hiện thêm đánh giá rủi ro và đánh giá tác động xuyên biên giới theo Nghị định 165.

Tổ chức nên kiểm tra những gì trước khi đưa dữ liệu ra nước ngoài?

Để xác định đúng điều kiện chuyển dữ liệu ra nước ngoài, việc kiểm tra nên bắt đầu từ luồng dữ liệu thực tế thay vì chỉ nhìn vào hợp đồng với nhà cung cấp.

Tổ chức cần xác định ít nhất:

1.    Dữ liệu nào được chuyển: dữ liệu thông thường, dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm, dữ liệu quan trọng hay dữ liệu cốt lõi

2.    Dữ liệu đi đâu: quốc gia, máy chủ, dịch vụ cloud hoặc nền tảng tiếp nhận

3.    Ai nhận và ai tiếp tục xử lý dữ liệu: bao gồm nhà cung cấp chính, công ty trong cùng tập đoàn và bên xử lý phụ

4.    Mục đích và căn cứ xử lý là gì: mục đích phải cụ thể và phù hợp với căn cứ pháp lý áp dụng

5.    Có thuộc trường hợp phải đánh giá tác động hay được miễn: việc miễn phải dựa trên đúng trường hợp pháp luật quy định, không nên suy rộng

6.    Hồ sơ và hợp đồng đã phản ánh đúng luồng dữ liệu chưa: đặc biệt là trách nhiệm bảo vệ, thời hạn xử lý, xóa dữ liệu và việc chuyển tiếp cho bên thứ ba

7.    Biện pháp an toàn có đủ để kiểm soát rủi ro hay không: gồm kiểm soát truy cập, bảo mật hệ thống, quản lý sự cố và cơ chế bảo vệ dữ liệu ở phía bên nhận

8.    Thời hạn thủ tục nào đang áp dụng: 60 ngày đối với hồ sơ chuyển dữ liệu cá nhân theo cơ chế thông thường, hoặc các yêu cầu trước khi chuyển đối với dữ liệu cốt lõi và dữ liệu quan trọng

Cách phân loại này đặc biệt quan trọng vì cùng một hoạt động sử dụng dịch vụ cloud nước ngoài có thể phát sinh nghĩa vụ rất khác nhau tùy dữ liệu được đưa lên hệ thống là dữ liệu nhân sự thông thường, dữ liệu cá nhân nhạy cảm hay dữ liệu được xác định là cốt lõi hoặc quan trọng.

Tóm lại, điều kiện chuyển dữ liệu ra nước ngoài không chỉ là có sự đồng ý của người có dữ liệu hoặc ký hợp đồng với bên nhận. Tổ chức phải xác định đúng loại dữ liệu và luồng chuyển, bảo đảm căn cứ xử lý hợp pháp, thiết lập trách nhiệm và biện pháp bảo vệ, thực hiện đánh giá tác động và thủ tục với cơ quan có thẩm quyền khi pháp luật yêu cầu, đồng thời cập nhật hồ sơ khi hoạt động chuyển dữ liệu thay đổi.

Đối với dữ liệu cá nhân, từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP là khung pháp lý trung tâm. Với dữ liệu cốt lõi hoặc dữ liệu quan trọng không được xử lý theo cơ chế riêng của pháp luật bảo vệ dữ liệu cá nhân, doanh nghiệp phải tiếp tục kiểm tra các điều kiện của Luật Dữ liệu và Nghị định 165/2025/NĐ-CP trước khi thực hiện chuyển hoặc xử lý dữ liệu xuyên biên giới.