Đưa dữ liệu KPI và lương thưởng lên HRIS tại Mỹ có phải lập hồ sơ chuyển dữ liệu không

Đưa dữ liệu KPI và lương thưởng lên HRIS tại Mỹ có phải lập hồ sơ chuyển dữ liệu không?

Không bắt buộc trong mọi trường hợp. Nếu doanh nghiệp chỉ lưu trữ dữ liệu KPI, lương thưởng của chính người lao động thuộc doanh nghiệp trên dịch vụ điện toán đám mây, hoạt động này được miễn đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo điểm b khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025. Với HRIS có thêm chức năng xử lý, phân tích hoặc chia sẻ, cần kiểm tra phạm vi hoạt động và ngoại lệ về quản lý nhân sự xuyên biên giới tại điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP.

Vì vậy, tập đoàn công nghệ tại Việt Nam không nên kết luận phải lập hồ sơ chỉ vì máy chủ ở Hoa Kỳ. Yếu tố quyết định là dữ liệu thuộc về ai, hệ thống thực hiện những công việc gì và hoạt động đó có đáp ứng điều kiện miễn trừ hay không.

1. Đồng bộ dữ liệu lên HRIS tại Mỹ có phải chuyển dữ liệu xuyên biên giới không

Có, nếu thông tin nhận diện được từng nhân viên được chuyển từ Việt Nam sang hệ thống tại Mỹ để lưu trữ hoặc xử lý. Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân xác định phạm vi chuyển dữ liệu theo hoạt động thực tế, bao gồm việc sử dụng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam.

Chẳng hạn, bản ghi “nhân viên DEV025, KPI quý III đạt 92%, thưởng 20 triệu đồng” vẫn liên quan đến một người cụ thể nếu công ty tra được DEV025 là ai. Việc thay họ tên bằng mã nhân viên chưa làm bản ghi trở thành dữ liệu vô danh.

Trong tình huống này, cần tách hai câu hỏi: việc đồng bộ có tạo ra luồng chuyển ra nước ngoài hay không; và luồng đó có phải đánh giá tác động hay được miễn. Từ việc xác định có chuyển dữ liệu chưa thể suy ra ngay nghĩa vụ lập hồ sơ.

2. Hai trường hợp miễn trừ cần kiểm tra đối với dữ liệu nhân sự

Lưu trữ dữ liệu của người lao động trên dịch vụ đám mây

Điểm b khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân áp dụng cho việc cơ quan, tổ chức lưu dữ liệu của người lao động thuộc mình trên dịch vụ điện toán đám mây. Khi đúng trường hợp này, không phải thực hiện đánh giá tác động chuyển xuyên biên giới.

Để áp dụng vào HRIS, doanh nghiệp nên kiểm tra hợp đồng dịch vụ và tài liệu kỹ thuật. Thông tin “máy chủ đặt tại Mỹ” chưa chứng minh hệ thống là dịch vụ đám mây, cũng chưa cho biết nhà cung cấp có sử dụng dữ liệu vào mục đích riêng hay không.

Đối với tập đoàn nhiều công ty, cần xác định pháp nhân nào ký hợp đồng lao động với từng lập trình viên. Không nên coi toàn bộ nhân sự của các công ty thành viên đương nhiên là người lao động của công ty mẹ để áp dụng ngoại lệ này cho mọi luồng chia sẻ.

Quản lý nhân sự xuyên biên giới theo quy định lao động

Điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP bổ sung ngoại lệ cho hoạt động quản lý nhân sự xuyên biên giới được thực hiện theo quy tắc, quy chế lao động và thỏa ước lao động tập thể phù hợp pháp luật. Đây là căn cứ riêng cần xem xét khi HRIS phục vụ quản trị nhân sự vượt ra ngoài việc lưu trữ.

Theo cách áp dụng vào tình huống này, việc tính thưởng, tổng hợp KPI hoặc phục vụ đánh giá nhân viên có thể thuộc phạm vi quản lý nhân sự. Tuy nhiên, cần đối chiếu chức năng thực tế với quy chế đánh giá, trả lương, thưởng và tài liệu lao động áp dụng tại doanh nghiệp. Tên gọi “phần mềm nhân sự” không tự chứng minh điều kiện miễn trừ.

Bảng trên là hướng phân tích tình huống dựa trên các ngoại lệ đã dẫn, không phải kết luận miễn trừ cho mọi sản phẩm HRIS.

3. Ví dụ áp dụng cho tập đoàn công nghệ

Ví dụ 1 - Lưu bảng KPI và lương thưởng trên đám mây. Công ty A tại Việt Nam có 250 lập trình viên ký hợp đồng lao động trực tiếp. A tải bảng KPI và bảng thưởng lên dịch vụ HRIS đám mây đặt tại Mỹ để lưu trữ; nhà cung cấp không khai thác dữ liệu cho mục đích riêng. Với giả định hoạt động đúng phạm vi lưu trữ này, A có cơ sở áp dụng ngoại lệ tại điểm b khoản 6 Điều 20.

Ví dụ 2 - Hệ thống còn tính thưởng và xếp hạng hiệu suất. A thiết lập công thức tính thưởng, luồng phê duyệt và quyền truy cập cho bộ phận nhân sự ở nước ngoài. Lúc này, A cần xem thêm ngoại lệ quản lý nhân sự xuyên biên giới. Các tài liệu cần đối chiếu gồm quy chế KPI, quy chế thưởng, cơ chế quản lý nhân sự và thỏa thuận với nhà cung cấp. Không nên chỉ viện dẫn ngoại lệ lưu trữ để bao phủ tất cả chức năng.

Ví dụ 3 - Dữ liệu được dùng để phát triển sản phẩm riêng của nhà cung cấp. Nhà cung cấp lấy bản ghi còn nhận diện được nhân viên của A để huấn luyện công cụ tuyển dụng bán cho nhiều doanh nghiệp. Theo phân tích của Justix, đây là mục đích cần tách khỏi việc quản lý nhân sự của A. Nếu luồng chuyển phục vụ mục đích đó không thuộc ngoại lệ khác, doanh nghiệp phải thực hiện nghĩa vụ hồ sơ và kiểm tra tính hợp pháp của việc sử dụng dữ liệu.

Các ví dụ là tình huống giả định để minh họa cách xác định phạm vi, không phải vụ việc khách hàng của Justix.

4. Được miễn hồ sơ chuyển dữ liệu thì còn phải làm gì

Miễn đánh giá tác động chuyển xuyên biên giới không tự động miễn đánh giá tác động xử lý dữ liệu cá nhân. Nghĩa vụ thứ hai cần được xác định riêng theo Điều 21 Luật Bảo vệ dữ liệu cá nhân, Điều 19 và các cơ chế áp dụng tại Điều 41 Nghị định 356/2025/NĐ-CP. Với hoạt động quản lý KPI và trả lương, doanh nghiệp cần kiểm tra vai trò của mình và phạm vi hồ sơ đang có.

Doanh nghiệp có thể tham khảo dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để rà soát nghĩa vụ này cùng với hoạt động nhân sự hiện hữu.

Việc được miễn hồ sơ chuyển cũng không thay thế căn cứ xử lý dữ liệu. Doanh nghiệp cần phân biệt hoạt động dựa trên sự đồng ý với trường hợp được xử lý không cần đồng ý theo Điều 19 của Luật. Không nên dùng một điều khoản đồng ý chung để bao phủ cả việc trả lương và việc nhà cung cấp khai thác dữ liệu cho sản phẩm riêng.

Ngoài ra, Điều 25 của Luật quy định trách nhiệm bảo vệ dữ liệu trong quản lý, sử dụng lao động, bao gồm thời hạn lưu giữ, việc xóa khi chấm dứt hợp đồng có xét các ngoại lệ, và yêu cầu người lao động biết rõ biện pháp công nghệ được dùng để thu thập dữ liệu. 

Về triển khai, doanh nghiệp nên phân quyền xem bảng lương theo nhiệm vụ, kiểm soát tài khoản quản trị, giới hạn tính năng chia sẻ và thống nhất cách xóa cả dữ liệu chính lẫn bản sao lưu. Nếu HRIS nhận dữ liệu từ công cụ theo dõi hiệu suất làm việc, cần rà soát cả cách công cụ đó thu thập thông tin trước khi đồng bộ.

5. Nếu không thuộc diện miễn thì hồ sơ gồm những gì

Theo khoản 2 và khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP, hồ sơ gồm báo cáo theo Mẫu số 09, tài liệu ràng buộc trách nhiệm chuyển và nhận, cùng các tài liệu bảo vệ dữ liệu liên quan. Bên chuyển nộp một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày tiến hành chuyển; tổ chức gửi kèm Mẫu số 01a.

Với HRIS, dữ liệu đầu vào để lập báo cáo nên làm rõ máy chủ chính và sao lưu, bên được truy cập, chức năng xử lý, việc chuyển tiếp và cách doanh nghiệp kiểm soát rủi ro. Một mẫu báo cáo chỉ điền tên phần mềm sẽ khó phản ánh đầy đủ trường hợp hệ thống đồng thời lưu trữ, tính thưởng và chia sẻ cho nhiều đơn vị.

Doanh nghiệp cần hỗ trợ xác định phạm vi có thể xem dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới của Justix.

6. Nên chuẩn bị gì để xác định đúng trường hợp của doanh nghiệp

Trước khi quyết định lập hồ sơ hay áp dụng miễn trừ, bộ phận pháp chế nên phối hợp với nhân sự và kỹ thuật làm rõ năm nhóm thông tin:

1. Người có dữ liệu: nhân viên của pháp nhân nào; có lẫn ứng viên, cộng tác viên hoặc nhân viên nhà thầu không.

2. Dữ liệu đồng bộ: KPI, mức lương, tiền thưởng và những trường thông tin đi kèm; có cần đưa toàn bộ hồ sơ lên hệ thống không.

3. Cách HRIS vận hành: chỉ lưu trữ hay còn chấm điểm, phân tích, tích hợp AI; máy chủ và bản sao lưu ở đâu.

4. Các bên tham gia: nhà cung cấp, đơn vị xử lý phụ, công ty thành viên và người được truy cập từ nước ngoài.

5. Tài liệu áp dụng: hợp đồng dịch vụ, phụ lục dữ liệu, quy chế KPI và lương thưởng, tài liệu lao động, chính sách lưu giữ và hồ sơ đánh giá tác động đã có.

   Justix khuyến nghị lưu một bản rà soát nội bộ ghi rõ kết luận, căn cứ và phạm vi được miễn. Khi bổ sung chức năng AI, thay đổi bên nhận hoặc đưa thêm dữ liệu ngoài nhóm nhân viên, nên đánh giá lại kết luận đó. Đây là gợi ý quản trị và lưu bằng chứng, không phải yêu cầu lập một “hồ sơ xin miễn” riêng.

7. Câu hỏi thường gặp về HRIS và chuyển dữ liệu nhân sự

8. Justix hỗ trợ doanh nghiệp sử dụng HRIS như thế nào

Justix hỗ trợ doanh nghiệp rà soát luồng dữ liệu nhân sự, đối chiếu điều kiện miễn trừ, kiểm tra hợp đồng với nhà cung cấp và xác định hồ sơ đánh giá tác động cần lập hoặc cập nhật. Phạm vi công việc được xác định theo hệ thống, pháp nhân và mục đích sử dụng thực tế.

Doanh nghiệp có thể gửi Justix tên phần mềm, mô tả dữ liệu đồng bộ và tài liệu nhà cung cấp để bắt đầu trao đổi. Với hệ thống gồm nhiều ứng dụng tích hợp, bài viết doanh nghiệp công nghệ cần rà soát dữ liệu cá nhân như thế nào cung cấp thêm hướng tiếp cận.