Hồ sơ chuyển dữ liệu xuyên biên giới gồm những gì? Hướng dẫn Mẫu số 09

Hồ sơ chuyển dữ liệu xuyên biên giới gồm gì? Hướng dẫn điền mẫu số 09

Hồ sơ chuyển dữ liệu cá nhân xuyên biên giới gồm báo cáo Mẫu số 09, tài liệu ràng buộc bên chuyển, bên nhận và tài liệu bảo vệ dữ liệu liên quan. Bài viết hướng dẫn chuẩn bị đầu vào, đối chiếu thành phần bản gửi và điền các nội dung quan trọng bằng một doanh nghiệp giả định.

Khi thuộc diện phải đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, bên chuyển cần chuẩn bị báo cáo theo Mẫu số 09, bản sao hợp đồng hoặc văn bản chuyển giao và các chính sách, quy trình, tài liệu bảo vệ dữ liệu liên quan. Khi nộp, hồ sơ đi kèm Mẫu số 01a dành cho tổ chức hoặc 01b dành cho cá nhân. Nội dung phải làm rõ cả việc chuyển và cách dữ liệu được xử lý, bảo vệ sau khi ra nước ngoài. Điền tên phần mềm, quốc gia và câu “đã bảo mật” chưa đủ để hoàn thành báo cáo.

Xác định đúng hồ sơ trước khi điền mẫu

Mẫu số 09 ban hành kèm Nghị định 356/2025/NĐ-CP dùng cho đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới; Mẫu số 10 dùng cho đánh giá tác động xử lý dữ liệu cá nhân. Hai hồ sơ có phạm vi khác nhau. Việc đã có báo cáo xử lý không tự thay cho hồ sơ chuyển nếu doanh nghiệp đồng thời phát sinh nghĩa vụ này. Điều 18, Điều 19 và Phụ lục Nghị định 356.

Trước khi lập, cần xác định bên có nghĩa vụ, luồng chuyển và trường hợp không phải thực hiện theo khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân, khoản 3 Điều 17 Nghị định 356. Có thể bắt đầu từ bài chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không. Không nên lập mẫu chỉ từ quốc tịch nhà cung cấp hoặc bỏ nghĩa vụ vì dữ liệu được đặt trên một dịch vụ quen thuộc.

Nếu hồ sơ theo Nghị định 13/2023/NĐ-CP đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026, phải kiểm tra điều kiện chuyển tiếp tại khoản 2 Điều 39 Luật trước khi quyết định lập mới. Ngày soạn hoặc ngày gửi chưa tự chứng minh tiêu chí đã được tiếp nhận. Việc cập nhật hồ sơ đủ điều kiện dùng tiếp thực hiện theo quy định mới. Điều 39 Luật số 91/2025/QH15.

Bộ hồ sơ gồm những tài liệu nào?

Khoản 2 Điều 18 Nghị định 356 quy định ba nhóm thành phần: báo cáo Mẫu số 09; bản sao hợp đồng hoặc văn bản chuyển giao thể hiện trách nhiệm giữa các bên; chính sách, quy trình, quy định, biểu mẫu và tài liệu bảo vệ dữ liệu liên quan. Khoản 4 quy định bản gửi kèm Mẫu số 01a/01b. Điều 18 Nghị định 356.

Khi kiểm tra bộ gửi, cần đọc thêm thủ tục số 1 được công bố tại Quyết định 778/QĐ-BCA-A05 ngày 09/02/2026. Mục 1.3 nêu các mẫu, tài liệu phân công bộ phận hoặc nhân sự bảo vệ dữ liệu, hợp đồng dịch vụ bảo vệ dữ liệu nếu có, hợp đồng chuyển giao và tài liệu chứng minh liên quan. Thông tin về tuyến tiếp nhận trong quyết định này phải được đọc cùng văn bản phân cấp ban hành sau đó, không áp dụng riêng hướng dẫn cũ. Thủ tục số 1 Quyết định 778.

Bảng là công cụ đối chiếu, không thay thành phần pháp lý hoặc hướng dẫn thực tế của thủ tục. Không nên thêm yêu cầu “mọi bản sao đều phải chứng thực” hoặc một loại giấy xác nhận chỉ vì thấy trong hồ sơ tham khảo. Cần đọc đúng yêu cầu đối với từng tài liệu; thông tin nhận diện pháp nhân để điền mẫu cũng phải được phân biệt với giấy tờ bắt buộc đính kèm.

Khảo sát những đầu vào nào để điền Mẫu số 09?

Luồng chuyển và người có dữ liệu

Với mỗi luồng, xác định nhóm chủ thể, dữ liệu, bên chuyển, bên nhận, quốc gia, hệ thống và thời điểm bắt đầu. Mục A.II.1 của mẫu có các trường hợp như đưa dữ liệu tới máy chủ ở nước ngoài, dùng đám mây nước ngoài, chuyển tới nền tảng để tiếp tục xử lý hoặc chuyển qua trung gian ở Việt Nam. Chọn theo hoạt động thực tế; một hệ thống có thể có nhiều tình huống cần kê khai, không buộc phải gom vào một ô duy nhất. Mẫu số 09, A.II.1.

Số chủ thể cần được xác định tại thời điểm nộp theo hướng dẫn trong mẫu. Danh mục dữ liệu phải đối chiếu Điều 3, Điều 4 Nghị định 356 để phân loại, không đánh dấu “không có dữ liệu nhạy cảm” chỉ từ tên của phần mềm. Cần kiểm tra cả tệp đính kèm, trường nhập tự do và dữ liệu được tạo thêm trong quá trình sử dụng.

Mục A.II.2 yêu cầu mô tả, mô hình hóa luồng và hoạt động xử lý sau chuyển. Sơ đồ nên làm rõ hệ thống chính, bản sao lưu, bên được tiếp cận và luồng chuyển tiếp. Tên thương hiệu hoặc địa chỉ trụ sở nhà cung cấp không đủ chứng minh vị trí máy chủ, nơi sao lưu hay quyền hỗ trợ từ quốc gia khác.

Cách bên nhận xử lý và bảo vệ dữ liệu

Khoản 3 Điều 18 yêu cầu thông tin về sơ đồ, tính năng hệ thống tiếp nhận, quy trình bên nhận chuyển dữ liệu cho bên thứ ba và đánh giá mức độ bảo vệ của bên nhận. Trong Mẫu số 09, các nội dung này cần được nối với mục A.II.9, A.III.3 và Phần B về các bên liên quan. Điểm đ, e, g, i khoản 3 Điều 18; Mẫu số 09.

Doanh nghiệp nên yêu cầu bên nhận cung cấp thông tin đúng gói dịch vụ và cấu hình đang dùng: phạm vi dữ liệu, quyền quản trị, biện pháp truyền và lưu, sao lưu, chuyển tiếp, lưu giữ, xóa, ứng phó sự cố và hỗ trợ yêu cầu của chủ thể. Một chứng nhận hoặc chính sách công khai có thể là đầu vào, nhưng cần kiểm tra đúng đơn vị, phạm vi và hiệu lực; chưa đủ để kết luận mọi cách sử dụng của khách hàng đều được bảo vệ như nhau.

Điểm d khoản 3 Điều 18 còn yêu cầu mô tả, luận giải việc xin sự đồng ý và chính sách lưu, xóa, hủy. Không nên bỏ nội dung căn cứ chuyển chỉ vì Mẫu số 09 không có một ô độc lập mang cấu trúc giống ô sự đồng ý của Mẫu số 10. Phần thuyết minh và tài liệu liên quan phải thể hiện căn cứ đang áp dụng; nếu không cần đồng ý, phải xác định đúng trường hợp pháp luật cho phép, không điền một câu “không áp dụng” không có giải thích.

Ví dụ điền các mục quan trọng theo một luồng giả định

Tình huống giả định: Công ty A tại Việt Nam bán thiết bị, dùng dịch vụ đám mây của B là pháp nhân tại Singapore để quản lý yêu cầu bảo hành. Tại thời điểm nộp trong ví dụ, hệ thống có thông tin của 1.200 người liên hệ là khách hàng trưởng thành. A quyết định mục đích, trực tiếp nhập và sử dụng; B xử lý theo hợp đồng và chỉ dẫn. B lưu hệ thống chính tại Singapore, dùng C tại Nhật Bản để sao lưu theo danh sách bên xử lý tiếp theo đã được cung cấp.

Giả định A đã khảo sát hợp đồng, dữ liệu, cấu hình, quyền tiếp cận, căn cứ xử lý và xác định luồng này thuộc diện lập hồ sơ, không áp dụng ngoại lệ. Dữ liệu minh họa gồm họ tên, điện thoại, email và mã yêu cầu; tài liệu bảo hành trong ví dụ không kèm giấy tờ định danh, thông tin sức khỏe hoặc các nhóm nhạy cảm khác. Khi áp dụng thật phải kiểm tra toàn bộ trường dữ liệu, nội dung tự do và tệp, thay vì sử dụng kết luận phân loại của ví dụ.

Đây là ví dụ điền nhóm nội dung chính, không phải một bộ Mẫu số 09 đã hoàn tất để ký, nộp. Các trường nhận diện, thẩm quyền, người phụ trách và kết quả thực hiện phải được điền từ tài liệu thật. Với số lượng 1.200 trong ví dụ, không thể dùng số này để kết luận cho toàn bộ hệ thống nếu còn những nhóm hoặc luồng khác chưa được tính.

Phần A.III.2.3 có điều kiện riêng về tác động đến an ninh quốc gia, trật tự an toàn xã hội: xử lý và chuyển dữ liệu cơ bản của trên 100.000 chủ thể hoặc xử lý dữ liệu nhạy cảm của trên 10.000 chủ thể theo nội dung mẫu. Các ngưỡng này không phải căn cứ miễn toàn bộ hồ sơ. Phần tác động đối với chủ thể và hệ thống vẫn phải được lập theo phạm vi áp dụng. Mẫu số 09, A.III.2.

Hoàn thiện báo cáo và bộ gửi theo trình tự nào?

Bước 1. Đầu mối pháp lý chốt phạm vi nghĩa vụ. Tập hợp luồng, bên chuyển, ngày bắt đầu, ngoại lệ và hồ sơ đã có. Đầu ra là phạm vi báo cáo hoặc kết quả cần xác minh thêm, tránh soạn một bộ mới trùng hồ sơ đủ điều kiện chuyển tiếp.

Bước 2. Nghiệp vụ và kỹ thuật xác nhận dữ liệu đầu vào. Chủ hoạt động cung cấp mục đích, nhóm chủ thể và dữ liệu; kỹ thuật hoặc nhà cung cấp xác nhận vị trí, quyền, hệ thống chính, sao lưu và chuyển tiếp. Thông tin chưa rõ cần có người làm rõ trước khi được trình bày thành dữ kiện chắc chắn.

Bước 3. Người soạn đối chiếu hợp đồng, biểu mẫu và biện pháp. Kiểm tra sự nhất quán giữa A.II, A.III, Phần B và các tài liệu kèm theo. Nếu báo cáo nói bên nhận không chuyển tiếp nhưng tài liệu dịch vụ có C, phải phân tích lại quan hệ và điều kiện thực tế, không bỏ thông tin khỏi báo cáo để các phần trông khớp nhau.

Bước 4. Người có thẩm quyền kiểm tra và ký bộ chính thức. Dùng danh mục tài liệu để kiểm tra mẫu, bản chính, bản sao, phụ lục và thẩm quyền. Giữ riêng bản đã ký, bộ thực tế được gửi cùng chứng cứ, thay vì chỉ lưu bản Word đang được chỉnh sửa.

Bước 5. Người được phân công gửi và theo dõi. Khoản 2 Điều 20 Luật và khoản 4 Điều 18 Nghị định 356 quy định thời hạn 60 ngày từ ngày đầu tiên tiến hành chuyển dữ liệu xuyên biên giới theo điều kiện áp dụng. Đây không phải thời gian được miễn các điều kiện bảo vệ dữ liệu, cũng không biến việc nộp thành một giấy phép cho mọi luồng chuyển. Luật; Nghị định 356.

Về tuyến gửi, mục I phần B Phụ lục I.7 Nghị quyết 22/2026/NQ-CP quy định nộp về Bộ Công an qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính; Bộ tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Doanh nghiệp cần kiểm tra đúng thủ tục đang công bố và đầu mối áp dụng cho hồ sơ của mình. Nghị quyết 22.

Câu hỏi thường gặp

Chỉ nộp báo cáo Mẫu số 09 có đủ không?

Chưa đủ nếu thiếu các thành phần tương ứng. Cần đối chiếu khoản 2, khoản 4 Điều 18 Nghị định 356 và mục 1.3 thủ tục được công bố tại Quyết định 778, gồm thông báo gửi và tài liệu liên quan. Danh mục thực tế phải khớp hoạt động, người phụ trách và quan hệ chuyển, nhận.

Nhà cung cấp chỉ gửi chính sách bảo mật công khai thì làm thế nào?

Dùng tài liệu đó làm đầu vào, rồi xác định thông tin nào còn thiếu về hệ thống, gói dịch vụ, quyền, chuyển tiếp, lưu, xóa và biện pháp. Cần yêu cầu đầu mối phù hợp cung cấp thêm; không dùng một trang chính sách chung để tự xác nhận những cấu hình chưa kiểm tra.

Mẫu số 09 không có ô đồng ý giống Mẫu số 10 thì có bỏ phần này không?

Không bỏ nội dung pháp lý cần thuyết minh. Điểm d khoản 3 Điều 18 yêu cầu mô tả, luận giải việc xin sự đồng ý. Báo cáo và tài liệu liên quan phải thể hiện đúng căn cứ của từng hoạt động; trường hợp không cần đồng ý phải có căn cứ phù hợp, không coi cấu trúc mẫu là một ngoại lệ mới.

Dùng Mẫu số 09 có phải kê khai doanh nghiệp đang kinh doanh dịch vụ xử lý dữ liệu không?

Mục A.II.8 hỏi về hoạt động kinh doanh của bên kê khai. Việc doanh nghiệp mua dịch vụ phần mềm hoặc lưu trữ chưa tự đồng nghĩa chính doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu. Cần đối chiếu hoạt động thực tế và quy định liên quan trước khi đánh dấu, không sao chép lựa chọn của nhà cung cấp.

Justix hỗ trợ chuẩn bị hồ sơ chuyển dữ liệu

Doanh nghiệp có thể trao đổi với Justix khi chưa tập hợp được thông tin bên nhận, có nhiều quốc gia xử lý hoặc hồ sơ chưa phản ánh đủ chuyển tiếp và biện pháp bảo vệ. Trong dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, phạm vi rà soát nghĩa vụ, khảo sát luồng, hợp đồng, soạn hồ sơ và hỗ trợ thủ tục được xác định theo thỏa thuận. Nên chuẩn bị danh sách hệ thống, bên nhận, quốc gia, hợp đồng, tài liệu kỹ thuật và hồ sơ đã có; gửi mô tả ban đầu qua trang liên hệ Justix để trao đổi.