Chuyển dữ liệu xuyên biên giới được miễn đánh giá tác động khi nào?

Chuyển dữ liệu xuyên biên giới được miễn đánh giá tác động khi nào?

Pháp luật có các trường hợp không phải đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, nhưng phải đối chiếu theo từng hoạt động. Bài viết tổng hợp các ngoại lệ, chứng cứ nên giữ và cách tách luồng được miễn với luồng vẫn cần kiểm tra nghĩa vụ hồ sơ.

Không phải mọi hoạt động chuyển dữ liệu cá nhân ra nước ngoài đều phải lập hồ sơ đánh giá tác động chuyển xuyên biên giới. Khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân và khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP quy định các trường hợp không phải thực hiện. Kết luận phải dựa trên chủ thể, mục đích, dữ liệu và cách chuyển của từng luồng. Việc được miễn hồ sơ này không tự miễn căn cứ xử lý, hợp đồng, biện pháp bảo vệ hoặc nghĩa vụ hồ sơ xử lý dữ liệu cá nhân khác.

Trước hết, cần xác định có luồng chuyển xuyên biên giới không

Khoản 1 Điều 20 Luật quy định các trường hợp chuyển dữ liệu tới hệ thống lưu trữ ngoài Việt Nam, chuyển từ Việt Nam cho tổ chức hoặc cá nhân ở nước ngoài và sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Khoản 1 Điều 17 Nghị định 356 cụ thể hóa các hoạt động này, gồm lưu trữ trên đám mây của nhà cung cấp nước ngoài theo điều kiện được nêu. Điều 20 Luật; Điều 17 Nghị định 356.

Nên xác định luồng từ nơi thu, hệ thống chính, bản sao, bên tiếp cận đến nơi xử lý tiếp theo. Tên thương hiệu phần mềm hoặc quốc tịch cổ đông chưa mô tả đầy đủ hoạt động. Nếu chưa rõ vị trí lưu, quyền hỗ trợ hoặc chuyển tiếp, cần yêu cầu thông tin để xác minh; chưa thể chốt miễn hay phải lập hồ sơ chỉ từ một tên dịch vụ.

Có thể tham khảo bài chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không để nhận diện phạm vi chung. Phần dưới tập trung vào điều kiện và chứng cứ của ngoại lệ, không hướng dẫn lại toàn bộ thủ tục nộp.

Những trường hợp nào không phải đánh giá tác động chuyển dữ liệu?

Luật quy định ba nhóm cụ thể tại điểm a, b, c khoản 6 Điều 20 và giao Chính phủ quy định trường hợp khác tại điểm d. Khoản 3 Điều 17 Nghị định 356 bổ sung các trường hợp tại năm điểm a, b, c, d, đ. Bảng sau phải được đọc cùng điều kiện của từng điều khoản; cột tài liệu là khuyến nghị phục vụ đối chiếu, không phải một bộ hồ sơ xin cấp miễn trừ.

Nguồn của ba dòng đầu: khoản 6 Điều 20 Luật số 91/2025/QH15. Nguồn của năm dòng tiếp theo: khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP. Khi có nhiều mục đích trong cùng một hệ thống, cần tách để đánh giá từng hoạt động thay vì chọn một dòng rồi kết luận cho cả doanh nghiệp.

Các ngoại lệ thường bị áp dụng rộng hơn điều khoản

Lưu dữ liệu nhân viên trên đám mây khác với mọi hoạt động của hệ thống nhân sự

Điểm b khoản 6 Điều 20 nói về dữ liệu người lao động thuộc chính cơ quan, tổ chức và hoạt động lưu trữ trên đám mây. Khi hệ thống còn phân tích, tính toán, chia sẻ cho công ty khác hoặc nhà cung cấp sử dụng cho mục đích độc lập, cần xác định đúng hoạt động và căn cứ tương ứng. Ngoại lệ quản lý nhân sự xuyên biên giới tại điểm d khoản 3 Điều 17 là một căn cứ khác, có điều kiện riêng.

Với tập đoàn, cần biết pháp nhân nào là bên sử dụng lao động. Dữ liệu nhân viên của một công ty con không tự trở thành dữ liệu người lao động thuộc công ty mẹ để áp dụng cùng ngoại lệ cho mọi luồng. Tương tự, không gộp ứng viên, người thân của nhân viên, cộng tác viên và khách hàng vào một nhóm chỉ vì cùng được lưu trong phần mềm nhân sự.

Bài HRIS tại Mỹ và hồ sơ chuyển dữ liệu nhân sự phân tích sâu trường hợp hệ thống lưu KPI, lương thưởng và có thêm chức năng xử lý. Khi rà ngoại lệ chung, cần dùng kết quả khảo sát chức năng, quyền và tài liệu lao động của chính doanh nghiệp, không lấy kết luận của một cấu hình minh họa áp cho cấu hình khác.

Có thể nhìn thấy trên mạng chưa đồng nghĩa đã được công khai theo pháp luật

Điểm b khoản 3 Điều 17 Nghị định 356 dùng điều kiện dữ liệu đã được công khai theo quy định pháp luật. Điều 16 Luật còn quy định căn cứ, mục đích, phạm vi và trách nhiệm kiểm soát việc công khai. Vì vậy, cần xem nguồn công khai có hợp pháp và việc sử dụng tiếp có phù hợp hay không; một danh sách bị lộ hoặc được đăng lại không có nguồn không tự đáp ứng ngoại lệ. Điều 16 Luật.

Ngay cả khi xác định được điều kiện không phải đánh giá tác động chuyển, vẫn phải kiểm tra việc thu thập, tổng hợp và sử dụng dữ liệu. Ngoại lệ về hồ sơ không phải căn cứ cho phép thu gom mọi dữ liệu tìm được để tiếp thị hoặc bán cho bên khác.

Khách tự thao tác trên website cần được phân tích theo đường đi thật

Cá nhân bấm nút gửi có thể là một bước thu thập của doanh nghiệp, sau đó doanh nghiệp quyết định chuyển cho nhà cung cấp. Để áp dụng ngoại lệ chủ thể tự chuyển dữ liệu, cần xác định ai thực hiện hoạt động chuyển, chuyển cho ai và trong quan hệ nào. Giao diện có một ô đồng ý không tự giải quyết câu hỏi này.

Một doanh nghiệp vận hành website tiếp nhận khách hàng rồi đồng bộ thông tin sang hệ thống khác phải khảo sát toàn bộ chuỗi. Cần phân biệt hành vi của cá nhân với hoạt động tiếp tục xử lý của doanh nghiệp; không ghi toàn bộ chuỗi là “khách tự chuyển” nếu thực tế còn các luồng do doanh nghiệp tổ chức.

Một hợp đồng hoặc thủ tục cụ thể không bao phủ các mục đích ngoài phạm vi

Điểm đ khoản 3 Điều 17 cần được đối chiếu với mục đích ký kết hợp đồng hoặc thủ tục được nêu trong điều khoản. Chẳng hạn, thông tin phục vụ đặt phòng khách sạn cần được tách với việc đưa toàn bộ danh sách khách lên nền tảng phân tích tiếp thị. Có hợp đồng với một nhà cung cấp chưa tự chứng minh mọi dữ liệu gửi cho họ đều thuộc ngoại lệ.

Tài liệu nên cho thấy lần cung cấp phục vụ việc gì, dữ liệu nào cần thiết và bên nhận làm gì tiếp theo. Nếu dữ liệu được sử dụng thêm cho mục đích khác, phải phân tích luồng đó riêng. Những trường hợp chưa rõ phạm vi cần được xác minh, không mở rộng ngoại lệ bằng một câu chung “để thực hiện hợp đồng”.

Ví dụ tách ba luồng trong cùng một doanh nghiệp

Tình huống giả định: Công ty A có nhân sự đi công tác nước ngoài, sử dụng dịch vụ đám mây lưu hồ sơ người lao động và có một hệ thống quản lý khách hàng riêng ở nước ngoài. A muốn dùng một kết luận “được miễn” cho cả ba hoạt động.

Pháp chế cần tách các hoạt động theo bảng sau. Ví dụ chỉ hướng dẫn cách phân loại; điều kiện thực tế về dữ liệu, hợp đồng, căn cứ xử lý và hệ thống vẫn phải được xác minh.

Kết quả phù hợp là một bảng kết luận theo từng luồng. A có thể có hoạt động đủ điều kiện không phải đánh giá tác động chuyển và hoạt động vẫn phải lập hồ sơ trong cùng thời gian. Ngoại lệ không gắn cố định với tên pháp nhân, phần mềm hoặc một quốc gia để dùng cho mọi lần thay đổi về sau.

Doanh nghiệp nên làm gì để chứng minh kết luận của mình?

Bước 1. Chủ hoạt động và kỹ thuật xác nhận đường đi dữ liệu. Ghi nhóm chủ thể, loại dữ liệu, mục đích, bên nhận, nơi lưu và xử lý tiếp. Đầu ra là danh mục luồng có thông tin đủ để chọn điều khoản, gồm cả bản sao và quyền truy cập liên quan.

Bước 2. Người phụ trách pháp lý đối chiếu điều kiện cụ thể. Với mỗi luồng, ghi điểm, khoản áp dụng và giải thích từng dữ kiện đáp ứng điều kiện đó. Kết quả có thể là đủ cơ sở áp dụng, phải lập hồ sơ hoặc còn cần xác minh. Kết luận chưa đủ chứng cứ phải được giữ đúng tình trạng, không tự chuyển thành miễn.

Bước 3. Tập hợp tài liệu theo điều kiện, không theo một bộ giấy chung. Luồng nhân sự cần quan hệ và tài liệu lao động phù hợp; luồng đặt phòng cần yêu cầu, nội dung dịch vụ và bên nhận; luồng dữ liệu công khai cần nguồn và căn cứ công khai. Tài liệu phải chứng minh đúng hoạt động đang được kết luận, thay vì chỉ có một hợp đồng bảo mật cho mọi trường hợp.

Bước 4. Người có thẩm quyền chốt phạm vi và giao việc còn lại. Có thể lập một bản đối chiếu nội bộ ghi người xác nhận, ngày, nguồn, phạm vi và việc phải thực hiện. Đây là cách quản lý được khuyến nghị, không phải thủ tục xin giấy xác nhận miễn do bài viết đặt thêm.

Bước 5. Rà lại khi hoạt động thay đổi. Khi thêm nhóm dữ liệu, mục đích, bên nhận, chức năng phân tích hoặc chuyển tiếp, phải đánh giá lại kết luận. Nếu luồng mới không đáp ứng điều kiện ngoại lệ, xác định nghĩa vụ theo Điều 20 Luật và Điều 18 Nghị định 356; không tiếp tục dùng bản kết luận cho phạm vi cũ. Luật; Nghị định 356.

Được miễn hồ sơ chuyển thì những việc nào vẫn phải kiểm tra?

Trước hết là căn cứ xử lý. Nếu dựa trên sự đồng ý, phải đáp ứng Điều 9 Luật; nếu xử lý không cần đồng ý, phải xác định đúng trường hợp tại khoản 1 Điều 19 và cơ chế giám sát tại khoản 2. Việc đặt dữ liệu người lao động trên đám mây thuộc ngoại lệ hồ sơ chuyển không tự cho phép nhà cung cấp dùng hồ sơ để xây dựng sản phẩm riêng. Điều 9, Điều 19 Luật.

Tiếp đó là trách nhiệm trong quan hệ chuyển, nhận và biện pháp bảo vệ. Điều 37 Luật quy định trách nhiệm các bên; Điều 7 Nghị định 356 quy định điều kiện chuyển giao theo trường hợp áp dụng. Cần xác định mục đích, phạm vi, quyền tiếp cận, lưu, xóa, hỗ trợ quyền và xử lý vi phạm theo hoạt động thực tế. Điều 37 Luật; Điều 7 Nghị định 356.

Cuối cùng, nghĩa vụ đánh giá tác động xử lý theo Điều 21 Luật phải được xem xét riêng. Không phải lập hồ sơ chuyển không tự miễn hồ sơ xử lý; ngược lại, đã có hồ sơ xử lý cũng không tự chứng minh đủ điều kiện miễn hồ sơ chuyển. Phạm vi của hai loại hồ sơ cần được ghi rõ trong kết quả rà soát.

Câu hỏi thường gặp

Công ty siêu nhỏ có tự động được miễn hồ sơ chuyển dữ liệu không?

Quy mô nhỏ không tự tạo ngoại lệ cho nghĩa vụ hồ sơ chuyển lần đầu. Khoản 2, khoản 3 Điều 38 Luật liệt kê Điều 21, Điều 22 và khoản 2 Điều 33 trong cơ chế dành cho các chủ thể đủ điều kiện, không liệt kê Điều 20. Cần tiếp tục kiểm tra ngoại lệ của từng luồng theo Điều 20 và Điều 17 Nghị định 356.

Hệ thống chỉ có dữ liệu nhân sự thì có được miễn toàn bộ không?

Cần xác định dữ liệu của ai, chức năng nào được sử dụng và mục đích xử lý. Ngoại lệ lưu dữ liệu người lao động và ngoại lệ quản lý nhân sự xuyên biên giới có điều kiện khác nhau. Không dùng nhãn “nhân sự” để bao phủ mọi nhóm chủ thể hoặc mục đích độc lập của bên nhận.

Đã có hợp đồng bảo mật với bên nhận thì có phải lập hồ sơ nữa không?

Hợp đồng bảo mật không tự là một ngoại lệ. Nó có thể là tài liệu trong việc xác định trách nhiệm, nhưng nghĩa vụ hồ sơ vẫn phải đối chiếu luồng và điều kiện pháp luật. Nếu không thuộc trường hợp không phải thực hiện, chuẩn bị báo cáo Mẫu số 09 và tài liệu theo Điều 18 Nghị định 356.

Có phải xin một giấy xác nhận miễn riêng không?

Các điều khoản về ngoại lệ đã đối chiếu trong bài không quy định một thủ tục cấp giấy miễn riêng. Doanh nghiệp nên giữ cơ sở kết luận và tài liệu chứng minh để giải trình khi cần. Bản đối chiếu nội bộ giúp quản lý, không phải giấy chấp thuận của cơ quan nhà nước.

Justix hỗ trợ đối chiếu ngoại lệ theo từng luồng

Khi cùng một hệ thống chứa nhiều nhóm dữ liệu hoặc có nhiều mục đích, doanh nghiệp có thể trao đổi với Justix về dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới. Việc rà soát nghĩa vụ và điều kiện không phải thực hiện được tiến hành theo các luồng trong phạm vi thống nhất; hồ sơ được chuẩn bị khi thuộc diện áp dụng. Nên cung cấp danh mục hệ thống, mục đích, bên nhận, hợp đồng và tài liệu chứng minh điều kiện; gửi mô tả ban đầu qua trang liên hệ Justix để trao đổi.