Gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài có phải lập hồ sơ không?

Gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài có phải lập hồ sơ không?

Gửi dữ liệu nhân viên từ Việt Nam cho công ty mẹ ở nước ngoài thuộc trường hợp chuyển dữ liệu cá nhân xuyên biên giới. Tuy nhiên, nghĩa vụ lập hồ sơ cần được kiểm tra theo mục đích và điều kiện miễn, đặc biệt với quản lý nhân sự xuyên biên giới hoặc lưu dữ liệu người lao động trên dịch vụ đám mây. Việc cùng một tập đoàn chưa đủ để kết luận được miễn. Căn cứ là Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP.

Trường hợp nào được miễn hồ sơ chuyển dữ liệu nhân sự?

Điểm b khoản 6 Điều 20 Luật 91/2025/QH15 quy định ngoại lệ khi cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây. Ngoại lệ này gắn với hoạt động lưu trữ và người lao động của chính đơn vị. Khi công ty mẹ nhận dữ liệu để tiếp tục sử dụng, doanh nghiệp cần xác định thêm hoạt động nhận, sử dụng đó và căn cứ áp dụng tương ứng.

Điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP còn miễn đánh giá tác động đối với hoạt động chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật. Cần đối chiếu mục đích chuyển thực tế với các tài liệu lao động áp dụng hợp pháp; một email yêu cầu từ trụ sở tập đoàn chưa đủ để xác định điều kiện này.

Luồng phục vụ điều chuyển nhân sự và luồng phục vụ sản phẩm thương mại cần được xét riêng. Thông tin ứng viên, người thân cũng phải phân loại đúng chủ thể, mục đích; không mặc nhiên được miễn vì nằm trong hồ sơ phòng nhân sự.

Miễn đánh giá tác động chuyển dữ liệu không đồng nghĩa miễn các nghĩa vụ về căn cứ xử lý, quyền của người lao động, bảo mật hoặc hồ sơ đánh giá tác động xử lý dữ liệu. Nghĩa vụ hồ sơ xử lý vẫn cần đối chiếu riêng với Điều 21, Điều 38 của Luật.

Cùng tập đoàn có được coi là chia sẻ dữ liệu nội bộ không?

Điểm b khoản 1 Điều 17 Luật 91/2025/QH15 đề cập chia sẻ giữa các bộ phận trong cùng một cơ quan, tổ chức theo mục đích đã xác lập. Vì vậy, khi công ty Việt Nam và công ty mẹ là các pháp nhân riêng, không thể chỉ dựa vào quan hệ sở hữu để áp dụng quy định chia sẻ giữa các phòng ban.

Theo khoản 7–9 Điều 2 Luật, cần xác định công ty mẹ quyết định mục đích hay chỉ xử lý theo yêu cầu, hợp đồng. Vai trò của đơn vị tự quyết định sử dụng dữ liệu khác với bên chỉ vận hành tính lương theo yêu cầu.

Cần ghi nhận việc gửi email, đồng bộ, cấp quyền truy cập từ nước ngoài, người được tải xuống và bên nhận tiếp theo.

Có phải xin sự đồng ý của người lao động trước khi gửi?

Doanh nghiệp phải xác định căn cứ xử lý cho từng mục đích. Khi dựa vào sự đồng ý, Điều 9 Luật 91/2025/QH15 yêu cầu tự nguyện, biết rõ thông tin, thể hiện theo từng mục đích và kiểm chứng được. Sự im lặng không được coi là đồng ý. Một điều khoản cho phép tập đoàn sử dụng mọi dữ liệu cho mọi nhu cầu sẽ khó đáp ứng các yêu cầu này.

Điểm d khoản 1 Điều 19 Luật cho phép xử lý không cần đồng ý để thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo pháp luật. Khi viện dẫn hợp đồng lao động, cần giải thích hoạt động chuyển phục vụ nghĩa vụ nào trong thỏa thuận. Thỏa thuận giữa hai công ty không tự thay thế thỏa thuận của người lao động. Trường hợp xử lý không cần đồng ý vẫn phải thiết lập cơ chế giám sát theo khoản 2 Điều 19.

Với hồ sơ ứng viên gửi ra nước ngoài để tuyển dụng, khoản 1 Điều 25 Luật yêu cầu thông tin phù hợp mục đích tuyển dụng và được người dự tuyển đồng ý; khi không tuyển dụng phải xóa, hủy, trừ thỏa thuận khác. Doanh nghiệp cần tách quy trình ứng viên khỏi quy trình người đang làm việc.

Cần kiểm tra tài liệu nào trước khi gửi dữ liệu?

Phòng nhân sự có thể dùng bảng kiểm gợi ý sau, ghi thêm đường dẫn tài liệu và người xác nhận từng nội dung.

Theo Điều 3 Luật, dữ liệu phải được xử lý đúng phạm vi, mục đích. Nếu chỉ cần tổng chi phí nhân sự, nên xem xét báo cáo tổng hợp. Thay tên bằng mã chưa phải khử nhận dạng nếu vẫn xác định được người cụ thể, theo khoản 11 Điều 2.

Thông tin sức khỏe và hình ảnh thẻ căn cước thuộc dữ liệu nhạy cảm theo điểm d, điểm i khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP. Khi chuyển loại dữ liệu này, phải đối chiếu thêm biện pháp bảo vệ tại khoản 2 Điều 7 Nghị định; không chỉ kiểm tra tên người nhận email.

Thỏa thuận với công ty mẹ cần làm rõ những gì?

Khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu xác lập thỏa thuận chuyển giao trong các trường hợp tại điểm a, c, d khoản 1 Điều 17 Luật. Nội dung gồm mục đích, chủ thể và loại dữ liệu, thời hạn xử lý, xóa hủy, cơ sở pháp lý, trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi có vi phạm. Nếu công ty mẹ là bên xử lý, điểm a, b khoản 2 Điều 37 Luật còn yêu cầu có thỏa thuận trước khi tiếp nhận và xử lý đúng thỏa thuận.

Ví dụ minh họa: nhân viên đã nghỉ việc nhưng tài khoản tập đoàn còn hoạt động. Thỏa thuận nên xác định ai khóa quyền, dữ liệu nào tiếp tục lưu và ai xác nhận kết quả. Khoản 2 Điều 25 Luật yêu cầu xóa, hủy dữ liệu khi chấm dứt hợp đồng, trừ thỏa thuận hoặc quy định pháp luật khác.

Nếu không được miễn thì chuẩn bị hồ sơ thế nào?

Bên chuyển thuộc diện phải lập hồ sơ cần chuẩn bị báo cáo Mẫu số 09, bản sao thỏa thuận chuyển giao và tài liệu bảo vệ dữ liệu liên quan theo khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP. Thời hạn gửi là 60 ngày từ ngày đầu tiên chuyển dữ liệu xuyên biên giới theo khoản 2 Điều 20 Luật; việc bắt đầu rà soát muộn không làm tính lại thời hạn này.

Nếu đã có hồ sơ theo Nghị định 13/2023/NĐ-CP được tiếp nhận trước 01/01/2026, khoản 2 Điều 39 Luật cho phép tiếp tục sử dụng; việc cập nhật theo quy định hiện hành. Khi thay đổi mục đích hoặc bên nhận, cần kiểm tra Điều 22 Luật và Điều 20 Nghị định 356 để xác định nghĩa vụ, thời điểm cập nhật.

Rà soát luồng dữ liệu nhân sự cùng Justix

Doanh nghiệp có thể chuẩn bị yêu cầu của công ty mẹ, danh mục dữ liệu, tài liệu lao động và thỏa thuận chia sẻ để luật sư Justix xác định căn cứ, điều kiện miễn và nghĩa vụ hồ sơ. Dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới hỗ trợ rà soát và hoàn thiện tài liệu theo phạm vi thống nhất. Liên hệ 0372717888 hoặc 0878853686 để trao đổi và nhận đề xuất dịch vụ.