Dùng Google Workspace, Microsoft 365: kiểm tra chuyển dữ liệu thế nào?

Dùng Google Workspace, Microsoft 365: kiểm tra chuyển dữ liệu thế nào?

Email, tài liệu và dữ liệu trên Google Workspace, Microsoft 365 cần được rà theo gói dịch vụ, cấu hình và luồng sử dụng thực tế. Bài viết hướng dẫn tìm chứng cứ trong hợp đồng và tài khoản quản trị để xác định nghĩa vụ chuyển dữ liệu xuyên biên giới.

Doanh nghiệp dùng Google Workspace hoặc Microsoft 365 có thể phát sinh hoạt động chuyển dữ liệu cá nhân xuyên biên giới khi lưu trữ, cung cấp hoặc xử lý dữ liệu trên hệ thống ở nước ngoài. Muốn xác định nghĩa vụ, cần kiểm tra từng dịch vụ, dữ liệu được đưa lên và các bên được tiếp cận, thay vì chỉ nhìn tên phần mềm. Nếu thuộc khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải tiếp tục đối chiếu nghĩa vụ hồ sơ và các trường hợp không phải đánh giá tác động. Việc mua qua đại lý Việt Nam, chọn một vùng lưu trữ hoặc đã có phụ lục bảo vệ dữ liệu chưa tự giải quyết toàn bộ yêu cầu này. Căn cứ: Điều 20 Luật số 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP.

Trước tiên cần xác định dữ liệu nào đang được sử dụng

Một tài khoản công việc có thể chứa thông tin khách hàng trong email, hồ sơ ứng viên trong thư mục tuyển dụng, bảng lương, danh sách người dự họp và tài liệu đính kèm. Việc nhân viên dùng email của công ty không biến mọi nội dung trong hộp thư thành dữ liệu của người lao động. Thông tin về khách hàng, người phụ thuộc hoặc đối tác vẫn cần được nhận diện riêng.

Nên lập danh mục theo hoạt động: bộ phận nào dùng dịch vụ gì, để làm việc nào, dữ liệu của ai, có chia sẻ ra ngoài hay không. Ví dụ, một bảng tính quản lý nhân sự và một bảng tính chứa khách hàng tiềm năng có thể cùng nằm trong tài khoản của phòng hành chính nhưng có căn cứ, người nhận và nghĩa vụ hồ sơ khác nhau.

Khoản 1 Điều 20 Luật đề cập cả đưa dữ liệu đang lưu tại Việt Nam đến hệ thống ở nước ngoài, chuyển cho bên nhận ở nước ngoài và dùng nền tảng ngoài Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Vì vậy, không cần chờ một thao tác xuất cơ sở dữ liệu hàng loạt mới bắt đầu rà soát. Đồng bộ email, tải tài liệu hoặc cấp quyền cho bên nhận nước ngoài đều cần được đối chiếu theo hoạt động thực tế.

Với dữ liệu từ hệ thống bán hàng đồng bộ sang bộ ứng dụng văn phòng, cần kiểm tra thêm nghĩa vụ khi dùng CRM nước ngoài. Danh mục phần mềm riêng lẻ chưa thể hiện các kết nối giữa chúng.

Đọc cấu hình Google Workspace theo đúng phạm vi cam kết

Theo hướng dẫn chính thức về chọn vị trí địa lý cho dữ liệu, Google Workspace có lựa chọn Hoa Kỳ, Liên minh châu Âu hoặc không ưu tiên đối với dữ liệu thuộc phạm vi tính năng Data Regions. Việc áp dụng phụ thuộc phiên bản dịch vụ và người dùng đủ điều kiện. Doanh nghiệp nên lưu tên gói, nhóm tài khoản được áp dụng chính sách và bản ghi cấu hình tại ngày kiểm tra; không lấy cấu hình của một nhóm làm kết luận cho toàn bộ tổ chức.

Tài liệu về dữ liệu thuộc Data Regions phân biệt phạm vi lưu trữ với phạm vi xử lý đang diễn ra. Tài liệu cũng nêu các loại không được tính năng này bao phủ, như nhật ký và nội dung lưu tạm. Do đó, một chính sách vùng lưu trữ chưa đủ chứng minh mọi loại dữ liệu và mọi hoạt động xử lý đều ở cùng vùng. Khi có tính năng bổ sung, phải tra đúng dịch vụ, loại dữ liệu và trạng thái xử lý được cam kết.

Về hợp đồng, mục 10 và 11 của Cloud Data Processing Addendum cần được đọc cùng điều khoản riêng về vị trí dữ liệu và thông tin bên xử lý phụ. Đây là lý do bộ phận pháp chế cần lấy cả tài liệu được hợp đồng dẫn chiếu. Một trang giới thiệu tính năng không thay cho bản điều khoản thực sự áp dụng với tài khoản của doanh nghiệp.

Các thông tin trên được kiểm tra ngày 25/10/2026. Chúng giúp xác định tài liệu cần thu thập, không xác nhận cấu hình của một tài khoản cụ thể hoặc chứng minh doanh nghiệp đã đáp ứng pháp luật Việt Nam.

Với Microsoft 365 cần tách nơi đang lưu và nơi được cam kết

Microsoft hướng dẫn quản trị viên xem Data Location Card trong trung tâm quản trị để kiểm tra vị trí dữ liệu của các dịch vụ được hiển thị. Thẻ phân biệt “Current Geography”, nơi hiện lưu dữ liệu, và “Committed Geography”, nơi được cam kết theo cơ chế áp dụng. Doanh nghiệp nên lưu cả hai thông tin theo từng dịch vụ, kèm thời điểm kiểm tra. Nguồn: Data Location Card.

Phạm vi cam kết còn liên quan điều khoản sản phẩm, điều kiện của tài khoản tổ chức và dịch vụ bổ sung như Advanced Data Residency hoặc Multi-Geo. Tài liệu so sánh các cơ chế lưu trú dữ liệu của Microsoft 365 cho thấy chúng có cách áp dụng và di chuyển dữ liệu khác nhau. Doanh nghiệp không nên lấy cam kết của một gói bổ sung chưa mua để mô tả gói đang dùng.

Trang Product Terms Data Residency lưu ý điều khoản sản phẩm chính thức được ưu tiên nếu có khác biệt với phần hướng dẫn. Khi rà hợp đồng, cần lưu phiên bản điều khoản áp dụng, dịch vụ được bao phủ và loại dữ liệu được cam kết lưu. Nơi đăng ký doanh nghiệp hoặc địa chỉ của đại lý bán hàng không thay thế các chứng cứ này.

Ở cả hai hệ thống, nên tách ba câu hỏi: dữ liệu nào được lưu ở đâu; ai được tiếp cận; tính năng hoặc ứng dụng kết nối nào nhận thêm dữ liệu. Chứng cứ về câu hỏi thứ nhất chưa trả lời đầy đủ hai câu còn lại.

Checklist tìm thông tin trong hợp đồng và tài khoản quản trị

Bảng dưới đây là công cụ rà soát nội bộ do bài viết đề xuất. Doanh nghiệp có thể thêm cột người phụ trách, ngày xác nhận và đường dẫn tài liệu. Chỉ đánh dấu đã kiểm tra khi có chứng cứ phù hợp với dịch vụ thực tế; câu trả lời của nhân viên bán hàng cần được đối chiếu với hợp đồng hoặc xác nhận có thẩm quyền.

DPA là phụ lục hoặc thỏa thuận về xử lý dữ liệu. Tên gọi này không tự chứng minh tài liệu đã đầy đủ theo luật Việt Nam. Khoản 2 Điều 18 Nghị định 356 yêu cầu hồ sơ chuyển có tài liệu ràng buộc trách nhiệm giữa bên chuyển và bên nhận; khoản 3 yêu cầu mô tả luồng, hệ thống tiếp nhận, việc chuyển tiếp và mức độ bảo vệ. Checklist giúp thu thập đầu vào cho các nội dung đó, không phải biểu mẫu nhà nước.

Dùng cho nội bộ có được miễn hồ sơ chuyển không

Điểm b khoản 6 Điều 20 Luật quy định trường hợp cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây không phải thực hiện đánh giá tác động chuyển dữ liệu. Cần xác định đúng chủ thể và hoạt động được xét. Một hệ thống có cả hồ sơ nhân viên, thư khách hàng và danh sách ứng viên không được miễn toàn bộ chỉ vì được gọi là “bộ công cụ nội bộ”.

Hoạt động quản lý nhân sự xuyên biên giới còn có trường hợp riêng tại điểm d khoản 3 Điều 17 Nghị định 356, gắn với quy tắc, quy chế lao động và thỏa ước lao động tập thể theo pháp luật. Nếu công ty mẹ nhận dữ liệu, có thể đối chiếu thêm bài gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài. Không dùng ngoại lệ lưu trữ đám mây để kết luận cho mọi mục đích chia sẻ trong tập đoàn.

Trường hợp không phải đánh giá tác động chuyển vẫn phải kiểm tra căn cứ xử lý, quyền của người có dữ liệu, hợp đồng và biện pháp bảo vệ. Nghĩa vụ hồ sơ đánh giá tác động xử lý tại Điều 21 Luật cũng cần xét riêng theo vai trò, cùng cơ chế áp dụng tại Điều 38 Luật và Điều 41 Nghị định 356. Số lượng tài khoản trả phí không tự quyết định quy mô doanh nghiệp hoặc điều kiện miễn.

Từ kết quả rà soát đến hồ sơ và việc vận hành

Tình huống giả định: Công ty A dùng một bộ ứng dụng văn phòng để lưu bảng lương của nhân viên và hồ sơ khách hàng. A đã mua qua đại lý trong nước nhưng chưa lưu điều khoản về vị trí dữ liệu; một đối tác triển khai đang giữ quyền quản trị. Chưa giả định tài khoản của A có dữ liệu ở quốc gia nào hoặc đã thuộc ngoại lệ.

Bộ phận IT trước hết xuất danh sách dịch vụ và quyền truy cập, xác nhận cấu hình lưu trữ, đồng bộ và tích hợp. Phòng nhân sự, kinh doanh phân loại nội dung thực tế trong các thư mục. Người phụ trách hợp đồng làm rõ đại lý chỉ bán giấy phép hay còn tiếp nhận dữ liệu trong quá trình triển khai. Pháp chế đối chiếu từng luồng với Điều 20 và Điều 17 nêu trên, ghi riêng kết luận về bảng lương và hồ sơ khách hàng.

Đầu ra nên là một bảng luồng có chứng cứ, danh sách điều kiện còn thiếu và người chịu trách nhiệm xử lý. Nếu đối tác triển khai là bên xử lý, khoản 2 Điều 37 Luật yêu cầu có thỏa thuận, hợp đồng trước khi tiếp nhận dữ liệu và xử lý đúng phạm vi đã ký. Việc cấp quyền quản trị cần phù hợp công việc được giao; mua giấy phép sử dụng phần mềm chưa thay cho thỏa thuận với đơn vị trực tiếp triển khai.

Khi thuộc diện phải lập hồ sơ chuyển, khoản 2 Điều 20 Luật quy định gửi hồ sơ trong 60 ngày kể từ ngày đầu tiên chuyển. Phải xác định ngày thực tế, không lấy ngày phát hiện nghĩa vụ hoặc ngày thuê tư vấn để tính lại. Báo cáo sử dụng Mẫu số 09 theo Điều 18 Nghị định 356 và có tài liệu kèm theo; DPA của nhà cung cấp không thay cho báo cáo này. Có thể đọc thêm phạm vi hồ sơ chuyển dữ liệu cá nhân ra nước ngoài.

Sau rà soát, người quản trị cần theo dõi việc đổi gói, bật tính năng, thêm tích hợp hoặc thay đơn vị hỗ trợ. Pháp chế xác định thay đổi tác động nội dung hồ sơ và mốc cập nhật theo Điều 22 Luật, Điều 20 Nghị định 356. Đây cũng là lúc kiểm tra dữ liệu có tiếp tục được sử dụng đúng mục đích và căn cứ tại Điều 9, Điều 19 Luật hay không.

Lưu ý thời điểm áp dụng: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ tại Điều 43 đến Điều 45. Khoản 3 Điều 49 quy định chuyển tiếp cho các hồ sơ được nêu đã tiếp nhận trước ngày có hiệu lực. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm các sửa đổi này. Khi thực hiện qua mốc trên, cần kiểm tra đúng ngày tiếp nhận và quy định tương ứng. Nguồn Nghị định 392.

Câu hỏi thường gặp

Mua Google Workspace hoặc Microsoft 365 từ đại lý Việt Nam có còn chuyển dữ liệu không

Có thể có. Cần xác định nơi dữ liệu được lưu, xử lý và bên nhận thực tế. Pháp nhân xuất hóa đơn trong nước chưa chứng minh toàn bộ dịch vụ được thực hiện tại Việt Nam. Đồng thời, phải kiểm tra đại lý có quyền truy cập dữ liệu khi hỗ trợ hay không.

Chọn vùng châu Âu có đáp ứng ngay pháp luật Việt Nam không

Chưa đủ. Cấu hình vùng là một dữ kiện kỹ thuật và hợp đồng. Doanh nghiệp vẫn cần xác định nghĩa vụ theo pháp luật Việt Nam, căn cứ xử lý, ngoại lệ, bên nhận tiếp theo và hồ sơ tương ứng. Không coi việc lựa chọn vùng là một giấy chứng nhận tuân thủ.

Chỉ có email công việc, không dùng CRM, có cần kiểm tra không

Cần kiểm tra nội dung thực tế của email và tệp đính kèm. Hộp thư có thể chứa thông tin nhận diện khách hàng, ứng viên hoặc đối tác. Kết luận dựa vào hoạt động xử lý và luồng chuyển, không dựa vào việc doanh nghiệp có mua một sản phẩm mang tên CRM hay không.

Đã lập hồ sơ cho một dịch vụ thì có bao phủ ứng dụng tích hợp mới không

Phải đối chiếu phạm vi hồ sơ đã có. Ứng dụng mới có thể thay đổi bên nhận, loại dữ liệu, mục đích hoặc hệ thống xử lý. Doanh nghiệp cần xác định thay đổi và nghĩa vụ cập nhật, đồng thời bảo đảm căn cứ, hợp đồng và biện pháp bảo vệ trước khi cho ứng dụng tiếp nhận dữ liệu.

Chuẩn bị thông tin để Justix rà soát

Doanh nghiệp có thể chuẩn bị tên gói, danh sách dịch vụ đang dùng, cấu hình vùng dữ liệu, hợp đồng, DPA, danh mục tích hợp và hồ sơ đã gửi nếu có. Qua dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ làm rõ luồng, nghĩa vụ, ngoại lệ và tài liệu cần bổ sung trong phạm vi thỏa thuận. Gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix để trao đổi công việc cụ thể.