Đối tác nước ngoài truy cập dữ liệu tại Việt Nam có phải chuyển dữ liệu?

Đối tác nước ngoài truy cập dữ liệu tại Việt Nam có phải chuyển dữ liệu?

Máy chủ đặt tại Việt Nam chưa đủ để kết luận không có chuyển dữ liệu xuyên biên giới. Doanh nghiệp cần xác định người truy cập ở đâu, dữ liệu họ nhìn thấy và hoạt động xử lý sau phiên truy cập.

Đối tác ở nước ngoài truy cập được dữ liệu cá nhân trên hệ thống tại Việt Nam là tình huống cần đối chiếu nghĩa vụ chuyển dữ liệu xuyên biên giới. Khi doanh nghiệp tại Việt Nam cung cấp dữ liệu cho tổ chức, cá nhân ở nước ngoài qua phiên truy cập, việc giữ máy chủ gốc trong nước không loại trừ trường hợp tại điểm b khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân. Tuy nhiên, tên thương hiệu nước ngoài, tài khoản chưa được cấp quyền hoặc phiên làm việc chỉ dùng dữ liệu giả lập chưa đủ để kết luận đã có hoạt động chuyển. Cần kiểm tra cách hệ thống thực sự cung cấp dữ liệu, sau đó xác định ngoại lệ và nghĩa vụ hồ sơ của từng bên. Căn cứ: Điều 20 Luật số 91/2025/QH15 và khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP.

Máy chủ ở Việt Nam nhưng bên nhận ở nước ngoài

Khoản 1 Điều 20 Luật quy định ba nhóm chuyển dữ liệu: đưa dữ liệu đang lưu tại Việt Nam đến hệ thống lưu trữ ở nước ngoài; chuyển dữ liệu từ Việt Nam cho bên nhận ở nước ngoài; sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Ba nhóm này có phạm vi khác nhau. Doanh nghiệp có thể không di chuyển cơ sở dữ liệu gốc nhưng vẫn cung cấp thông tin cho một bên nhận ở nước ngoài.

Ví dụ, nhân viên kỹ thuật của nhà cung cấp tại Singapore mở màn hình chứa tên, số điện thoại và lịch sử yêu cầu của khách hàng Việt Nam. Hoạt động cần được đánh giá theo dữ liệu đã cung cấp cho người nhận đó, kể cả khi tài khoản không có nút tải tệp. Nếu công cụ hỗ trợ còn gửi ảnh màn hình, nhật ký hoặc bản ghi phiên làm việc đến hệ thống ở nước ngoài, doanh nghiệp phải ghi nhận thêm luồng này.

Đây là cách đối chiếu hoạt động truy cập với quy định về chuyển dữ liệu cho bên nhận nước ngoài, không phải một ngoại lệ hoặc thủ tục riêng mang tên “truy cập từ xa”. Khoản 1 Điều 17 Nghị định 356 cụ thể hóa các hoạt động chuyển, lưu trữ và xử lý tiếp trên nền tảng ngoài Việt Nam. Khi tài liệu kỹ thuật chưa cho biết dữ liệu nào ra khỏi hệ thống, người phụ trách cần yêu cầu làm rõ trước khi đưa ra kết luận.

Doanh nghiệp có thể đọc thêm bài chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không để kiểm tra toàn bộ phạm vi nghĩa vụ. Với truy cập từ xa, phần cần khảo sát kỹ nhất là người nhận thực tế, quyền được cấp và những bản dữ liệu phát sinh trong quá trình hỗ trợ.

Quyền chỉ xem có khác quyền tải dữ liệu không

Quyền chỉ xem giúp hạn chế một số khả năng sao chép hàng loạt, nhưng bên nhận vẫn có thể tiếp cận thông tin hiển thị. Vì vậy, không nên dùng riêng việc “đã khóa tải xuống” làm căn cứ kết luận không có chuyển dữ liệu. Cần xem cả khả năng chụp màn hình, sao chép nội dung, ghi hình phiên hỗ trợ hoặc chuyển thông tin vào phiếu xử lý lỗi.

Ngược lại, việc cài công cụ của một thương hiệu nước ngoài không chứng minh rằng nhà cung cấp đã được nhận dữ liệu. Một môi trường thử nghiệm chỉ chứa thông tin được tạo giả lập, không phản ánh người thật, khác với môi trường có dữ liệu khách hàng đã thay tên nhưng vẫn giữ số điện thoại hoặc mã tra cứu được. Khoản 1 và khoản 11 Điều 2 Luật 91 xác định dữ liệu cá nhân và yêu cầu khử nhận dạng; mã hóa hoặc đổi nhãn chưa tự làm dữ liệu mất khả năng xác định cá nhân.

Bảng sau là công cụ rà soát nội bộ, không phải danh sách trường hợp miễn do pháp luật ban hành.

Địa chỉ kết nối mạng là một chứng cứ kỹ thuật cần xem xét cùng tài liệu khác. Kết nối qua mạng riêng ảo có thể khiến địa chỉ ghi trong nhật ký khác nơi người dùng thực sự làm việc. Để xác định bên nhận và quốc gia liên quan, nên đối chiếu nhật ký, danh sách người hỗ trợ và xác nhận của nhà cung cấp.

Sơ đồ truy cập từ xa cần thể hiện những gì

Tình huống giả định: Công ty A tại Việt Nam vận hành hệ thống quản lý bảo hành trên máy chủ tại Hà Nội. Công ty B tại Singapore hỗ trợ sửa lỗi theo hợp đồng. B đề nghị xem một số hồ sơ thật; công cụ quản lý yêu cầu hỗ trợ của B có thể lưu ảnh màn hình tại hệ thống của C ở nước ngoài, nhưng A chưa xác nhận được nội dung này.

Sơ đồ dưới thể hiện luồng thông tin cần khảo sát. Mũi tên chỉ hướng dữ liệu hoặc kết quả hiển thị được cung cấp, không chỉ hướng yêu cầu đăng nhập. Nhánh đến C là khả năng cần xác minh, chưa được coi là hoạt động đã triển khai.

Trong trường hợp này, A phải tách ba vấn đề. Thứ nhất, B được nhận dữ liệu nào qua màn hình tại Singapore. Thứ hai, nội dung nào có thể bị đưa tiếp vào phiếu hỗ trợ của C. Thứ ba, ai có quyền quyết định việc lưu, dùng lại và xóa những bản đó. Một sơ đồ chỉ có nhãn “máy chủ Hà Nội” sẽ bỏ sót cả bên nhận lẫn hoạt động sau tiếp nhận.

Để sử dụng sơ đồ, bộ phận công nghệ thông tin bổ sung hệ thống và luồng thực tế; phòng nghiệp vụ xác nhận thông tin cần dùng để sửa lỗi; pháp chế hoặc nhân sự phụ trách bảo vệ dữ liệu đối chiếu căn cứ, vai trò và hồ sơ. Nếu không cần dữ liệu thật, A có thể đề nghị tái hiện lỗi bằng dữ liệu giả lập. Nếu vẫn cần, phạm vi truy cập phải được giới hạn theo công việc và có tài liệu chứng minh điều kiện xử lý.

Khoản 3 Điều 18 Nghị định 356 yêu cầu báo cáo mô tả luồng xử lý, hệ thống sau tiếp nhận, quy trình cung cấp cho bên thứ ba và mức độ bảo vệ của bên nhận. Sơ đồ trên giúp thu thập thông tin cho các nội dung này; nó không thay thế báo cáo Mẫu số 09 hoặc các tài liệu kèm theo.

Xác định vai trò của đối tác trước khi mở tài khoản

Bên truy cập để sửa lỗi theo yêu cầu và hợp đồng có thể là bên xử lý dữ liệu. Nếu đối tác tự quyết định dùng thông tin để xây dựng sản phẩm, phân tích thị trường hoặc phục vụ khách hàng khác, cần đánh giá lại vai trò đối với hoạt động đó. Cách gọi “đơn vị hỗ trợ” trong hợp đồng không đủ để bao phủ mọi mục đích sử dụng.

Theo khoản 7, khoản 8 và khoản 9 Điều 2 Luật 91, vai trò được xác định từ việc quyết định mục đích, phương tiện và trực tiếp thực hiện xử lý. Khoản 2 Điều 37 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng và xử lý đúng phạm vi đã ký. Doanh nghiệp nên hoàn thành việc phân định này trước phiên hỗ trợ đầu tiên có dữ liệu cá nhân, kể cả phiên dùng thử.

Có thể đối chiếu thêm bên kiểm soát và bên xử lý dữ liệu cá nhân khác nhau thế nào. Với công ty cùng tập đoàn, cần xác định đúng pháp nhân được cấp quyền. Việc dùng chung tên tập đoàn hoặc tài khoản quản trị toàn cầu không tự biến các công ty độc lập thành các phòng ban của một pháp nhân.

Tiếp đó, kiểm tra căn cứ cho hoạt động cung cấp và xử lý dữ liệu. Nếu dựa vào sự đồng ý, đối chiếu Điều 9 Luật về thông tin, tính tự nguyện, mục đích và chứng cứ. Nếu cho rằng không cần sự đồng ý, phải chỉ ra trường hợp phù hợp tại Điều 19 hoặc quy định pháp luật có liên quan. Hợp đồng giữa A và B không tự thay thế căn cứ xử lý đối với người có dữ liệu.

Có phải lập hồ sơ cho mỗi phiên truy cập không

Trước hết, cần xác định hoạt động có thuộc trường hợp chuyển xuyên biên giới và có ngoại lệ đánh giá tác động hay không. Khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định 356 quy định các trường hợp không phải đánh giá tác động với điều kiện riêng. Ví dụ, lưu dữ liệu người lao động của chính tổ chức trên dịch vụ điện toán đám mây và quản lý nhân sự xuyên biên giới theo điều kiện của Nghị định là hai căn cứ cần phân biệt. Không thể dùng ngoại lệ nhân sự để bao phủ việc nhà cung cấp xem toàn bộ hồ sơ khách hàng.

Khi thuộc diện phải thực hiện, khoản 2 Điều 20 Luật quy định gửi hồ sơ trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu. Đối với truy cập từ xa, doanh nghiệp cần xác định sự kiện cung cấp dữ liệu thực tế và giữ chứng cứ; ngày ký hợp đồng hoặc ngày bắt đầu thuê tư vấn không tự là ngày chuyển. Thời hạn nộp hồ sơ không cho phép trì hoãn việc bảo đảm căn cứ, hợp đồng và biện pháp bảo vệ khi bắt đầu xử lý.

Khoản 3 Điều 20 Luật 91 quy định đánh giá một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22. Vì vậy, không mặc định mỗi lần kỹ thuật viên đăng nhập phải nộp một bộ hồ sơ mới. Doanh nghiệp cần mô tả hoạt động hỗ trợ đủ chính xác và theo dõi thay đổi bên nhận, mục đích, hệ thống hoặc phạm vi quyền.

Về chuẩn bị tài liệu, hồ sơ chuyển dùng báo cáo Mẫu số 09, thỏa thuận ràng buộc trách nhiệm và chính sách, quy trình liên quan theo khoản 2 Điều 18 Nghị định 356; thông báo gửi của tổ chức là Mẫu số 01a. Cần xem xét riêng hồ sơ đánh giá tác động xử lý theo Điều 21 Luật. Việc thuộc ngoại lệ của một loại hồ sơ chưa quyết định loại còn lại.

Mốc áp dụng cần lưu ý: Nội dung trên được đối chiếu ngày 24/10/2026. Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ tại Điều 43, Điều 44, Điều 45. Khoản 3 Điều 49 quy định hồ sơ thuộc nhóm nêu tại đó đã được tiếp nhận trước ngày có hiệu lực tiếp tục thực hiện theo Nghị định 356. Khi triển khai thủ tục qua mốc này, cần đối chiếu ngày tiếp nhận và quy định tương ứng; không lấy ngày gửi làm bằng chứng đã tiếp nhận. Nguồn Nghị định 392.

Doanh nghiệp nên kiểm tra gì trước và sau phiên hỗ trợ

Trước khi mở quyền, người quản lý nghiệp vụ xác nhận lỗi cần xử lý và nhóm dữ liệu cần thiết. Bộ phận kỹ thuật cung cấp phạm vi tài khoản, nơi kết nối, khả năng sao chép, ghi hình và chuyển nhật ký. Pháp chế kiểm tra hợp đồng, căn cứ xử lý, bên nhận tiếp theo và nghĩa vụ hồ sơ. Đầu ra nên là một yêu cầu hỗ trợ được duyệt với phạm vi rõ, thay vì quyền quản trị thường trực cho mọi dữ liệu.

Trong phiên hỗ trợ, nên dùng tài khoản định danh riêng, giới hạn quyền theo nhiệm vụ và lưu nhật ký phù hợp. Với dữ liệu không cần thiết, có thể che trường hoặc tạo bản tái hiện lỗi đã loại bỏ thông tin cá nhân. Người phụ trách phải kiểm tra cả nội dung hiển thị trong thông báo lỗi và tệp đính kèm. Đây là khuyến nghị kỹ thuật và tổ chức nhằm thực hiện trách nhiệm bảo vệ tại Điều 3 và Điều 37 Luật; không phải mọi hệ thống đều bị bắt buộc dùng cùng một sản phẩm hoặc công nghệ.

Sau phiên hỗ trợ, kỹ thuật thu hồi quyền tạm thời và xác nhận các bản xuất, ảnh chụp, bản ghi còn tồn tại. Nhà cung cấp trả lời việc lưu giữ, xóa hoặc giới hạn truy cập theo hợp đồng và căn cứ áp dụng. Nhân sự bảo vệ dữ liệu cập nhật danh mục luồng, giữ xác nhận hoàn tất và ghi nhận thay đổi cần phản ánh vào hồ sơ.

Nếu phát hiện đối tác đã đưa dữ liệu sang bên khác ngoài phạm vi được chấp thuận, cần ngăn luồng đang tiếp diễn khi phù hợp, bảo toàn chứng cứ và đánh giá nghĩa vụ xử lý vi phạm. Khoản 1 Điều 23 Luật 91 quy định thông báo chậm nhất 72 giờ từ khi phát hiện đối với các chủ thể và vi phạm đáp ứng điều kiện tại khoản này; bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không áp một mốc 72 giờ chung cho mọi bên và mọi sự kiện kỹ thuật.

Câu hỏi thường gặp

Đối tác chỉ xem qua chia sẻ màn hình thì có cần rà soát không

Có. Cần xem dữ liệu nào hiển thị cho người ở nước ngoài và công cụ có lưu, ghi hoặc chuyển thông tin tiếp hay không. Chia sẻ màn hình có dữ liệu người thật có thể tạo hoạt động cung cấp cho bên nhận nước ngoài. Nếu toàn bộ phần được chia sẻ thực sự không chứa dữ liệu cá nhân, kết luận về luồng đó sẽ khác.

Hợp đồng cam kết không tải xuống đã đủ chưa

Chưa đủ để xác định không có chuyển dữ liệu hoặc hoàn thành bảo vệ dữ liệu. Cần kiểm tra quyền xem, sao chép, ghi hình, công cụ hỗ trợ và thực tế vận hành. Cam kết phải được đối chiếu với cấu hình có thể kiểm chứng và phạm vi trách nhiệm của bên nhận.

Công ty mẹ ở nước ngoài truy cập có được coi là truy cập nội bộ không

Cần xác định quan hệ pháp nhân và vai trò, không chỉ quan hệ sở hữu. Bài công ty trong cùng tập đoàn chia sẻ dữ liệu có được coi là nội bộ phân tích việc này. Với hồ sơ nhân sự, vẫn phải kiểm tra đúng điều kiện ngoại lệ, mục đích và nhóm dữ liệu, thay vì miễn toàn bộ tài khoản của công ty mẹ.

Chưa biết đối tác hỗ trợ từ quốc gia nào thì có thể kết luận không cần hồ sơ không

Không có đủ cơ sở cho kết luận đó. Nên yêu cầu nhà cung cấp xác nhận pháp nhân, địa điểm hỗ trợ, phạm vi dữ liệu và bên nhận tiếp theo; đối chiếu với hệ thống đã vận hành. Nếu dữ liệu đã được cung cấp, việc thiếu trả lời của nhà cung cấp không tự làm lùi thời điểm phát sinh nghĩa vụ.

Rà soát truy cập từ xa cùng Justix

Doanh nghiệp có thể chuẩn bị sơ đồ hệ thống, danh sách tài khoản đối tác, hợp đồng, mô tả phiên hỗ trợ và hồ sơ đã nộp nếu có. Qua dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ xác định luồng, nghĩa vụ, điều kiện ngoại lệ và tài liệu cần bổ sung theo phạm vi thống nhất. Gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix để trao đổi công việc cần thực hiện.