Chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không?

Chuyển dữ liệu cá nhân ra nước ngoài
có phải lập hồ sơ không?

Doanh nghiệp phải lập hồ sơ đánh giá tác động khi chuyển dữ liệu cá nhân xuyên biên giới thuộc khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân, trừ trường hợp được miễn theo khoản 6 Điều này và khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP. Cần kiểm tra từng luồng dữ liệu, bên nhận và mục đích chuyển. Việc sử dụng dịch vụ nước ngoài hoặc đã có sự đồng ý của khách hàng chưa đủ để kết luận có hay không có nghĩa vụ hồ sơ. Căn cứ: Điều 20 Luật số 91/2025/QH15.

Những hoạt động nào được coi là chuyển dữ liệu xuyên biên giới?

Khoản 1 Điều 20 Luật quy định ba nhóm: chuyển dữ liệu đang lưu tại Việt Nam đến hệ thống lưu trữ ở nước ngoài; chuyển dữ liệu từ tổ chức, cá nhân tại Việt Nam cho bên nhận ở nước ngoài; sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP cụ thể hóa cả hoạt động lưu trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài.

Vì vậy, doanh nghiệp cần rà soát cả máy chủ chính, bản sao lưu, công cụ phân tích và người được truy cập. Cho phép một bên ở nước ngoài tiếp cận dữ liệu là tình huống cần kiểm tra theo hoạt động thực tế, dù doanh nghiệp không chủ động gửi một tệp đính kèm. Ngược lại, tên thương hiệu phần mềm hoặc quốc tịch của cổ đông nhà cung cấp không mô tả đầy đủ luồng dữ liệu.

Trường hợp nào không phải đánh giá tác động chuyển dữ liệu?

Các trường hợp được quy định trực tiếp trong Luật

Điểm a, b, c khoản 6 Điều 20 Luật 91/2025/QH15 quy định ba trường hợp: chuyển dữ liệu của cơ quan nhà nước có thẩm quyền; cơ quan, tổ chức lưu dữ liệu của người lao động thuộc đơn vị mình trên dịch vụ điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu của chính mình xuyên biên giới.

Ngoại lệ lưu dữ liệu người lao động không tự mở rộng sang toàn bộ dữ liệu khách hàng hoặc ứng viên chỉ vì cùng dùng một hệ thống. Cũng cần phân biệt cá nhân tự chuyển dữ liệu với việc doanh nghiệp thay mặt cá nhân thu thập rồi chuyển cho bên khác.

Các trường hợp được bổ sung trong Nghị định 356

Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP quy định thêm: hoạt động báo chí, truyền thông theo pháp luật; việc chuyển dữ liệu xuyên biên giới đã được công khai theo pháp luật; các tình huống khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe, an toàn tài sản hoặc thực hiện nhiệm vụ, nghĩa vụ luật định; quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể phù hợp pháp luật; cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

Doanh nghiệp phải đối chiếu đúng mục đích và điều kiện của từng trường hợp tại khoản 3 Điều 17 Nghị định 356. Chẳng hạn, luồng thông tin phục vụ thủ tục đặt khách sạn cần được tách với luồng đưa toàn bộ khách hàng lên nền tảng để phân tích, tiếp thị. Một ngoại lệ áp dụng cho hoạt động cụ thể không loại trừ hồ sơ đối với các luồng khác của doanh nghiệp.

Được miễn hồ sơ chuyển dữ liệu có được miễn các nghĩa vụ khác?

Việc không phải đánh giá tác động chuyển dữ liệu không tự miễn nghĩa vụ bảo vệ dữ liệu hoặc đánh giá tác động xử lý theo Điều 21 Luật. Doanh nghiệp vẫn phải xác định mục đích, căn cứ xử lý, trách nhiệm bên nhận và biện pháp bảo vệ. Nếu dựa vào sự đồng ý, cần đáp ứng Điều 9; nếu không cần đồng ý, phải có căn cứ thuộc khoản 1 Điều 19 và cơ chế giám sát theo khoản 2 Điều này.

Cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ tại khoản 2, khoản 3 Điều 38 không liệt kê Điều 20 trong các quy định được lựa chọn không thực hiện hoặc được miễn. Vì vậy, quy mô nhỏ tự nó không phải căn cứ để bỏ nghĩa vụ lập, gửi hồ sơ chuyển dữ liệu lần đầu.

Khoản 4 Điều 5 Luật 91/2025/QH15 còn quy định không phải thực hiện các đánh giá tương ứng theo pháp luật về dữ liệu khi đã đánh giá theo Luật này; cần đối chiếu để tránh lập trùng hồ sơ.

Dùng bảng luồng dữ liệu để xác định nghĩa vụ

Bảng dưới đây minh họa cách phân loại luồng chuyển. Người phụ trách bổ sung bên nhận, quốc gia, ngày bắt đầu và chứng cứ để sử dụng khi rà soát.

Nên lưu bảng cùng hợp đồng và tài liệu chứng minh điều kiện ngoại lệ. Đây là công cụ quản trị được khuyến nghị, không phải một hồ sơ miễn bắt buộc.

Nếu phải lập hồ sơ thì cần chuẩn bị và nộp ở đâu?

Theo khoản 2, khoản 3 Điều 18 Nghị định 356, hồ sơ gồm báo cáo theo Mẫu số 09; bản sao hợp đồng hoặc văn bản chuyển giao thể hiện trách nhiệm của bên chuyển, bên nhận; chính sách, quy trình và tài liệu bảo vệ dữ liệu liên quan. Báo cáo cần làm rõ luồng chuyển, xử lý tiếp theo, việc chuyển cho bên thứ ba, mức độ bảo vệ của bên nhận và rủi ro dự kiến.

Bên chuyển gửi 01 bản chính trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu xuyên biên giới, kèm Mẫu số 01a đối với tổ chức hoặc 01b đối với cá nhân. Theo mục I phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP, hồ sơ gửi về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính. Bộ tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Thời hạn đánh giá, trả kết quả là 15 ngày; thời hạn hoàn thiện hồ sơ chưa đầy đủ, đúng quy định là 30 ngày.

Hồ sơ cũ và những thay đổi sau khi nộp được xử lý thế nào?

Khoản 2 Điều 39 Luật 91/2025/QH15 cho phép tiếp tục sử dụng hồ sơ theo Nghị định 13/2023/NĐ-CP đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026; cập nhật sau đó theo Luật mới. Nghị định 13 đã hết hiệu lực theo khoản 2 Điều 42 Nghị định 356. Doanh nghiệp cần giữ chứng từ tiếp nhận để xác định đúng điều kiện chuyển tiếp.

Đối với chủ thể phải cập nhật, Điều 22 Luật và Điều 20 Nghị định 356 quy định kỳ 06 tháng từ lần đầu nộp khi phát sinh mục đích mới hoặc thay đổi bên tham gia. Các thay đổi phải cập nhật trong 10 ngày gồm tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thông tin bên cung cấp dịch vụ bảo vệ dữ liệu; ngành, nghề, dịch vụ kinh doanh liên quan đã đăng ký trong hồ sơ. Tổ chức dùng Mẫu số 03a.

Rà soát luồng chuyển dữ liệu cùng Justix

Doanh nghiệp nên chuẩn bị danh sách hệ thống, bên nhận ở nước ngoài, mục đích chuyển và hợp đồng liên quan để trao đổi với luật sư Justix. Dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới hỗ trợ xác định nghĩa vụ, điều kiện ngoại lệ và chuẩn bị hồ sơ khi thuộc diện áp dụng. Liên hệ 0372717888 hoặc 0878853686 để thống nhất phạm vi công việc.