Nhân viên làm việc ở nước ngoài truy cập hệ thống Việt Nam: cần rà soát gì?

Nhân viên làm việc ở nước ngoài truy cập hệ thống Việt Nam: cần rà soát gì?

Nhân viên đang ở nước ngoài có thể tiếp cận dữ liệu khách hàng, đồng nghiệp và đối tác qua hệ thống đặt tại Việt Nam. Checklist trước, trong và sau thời gian làm việc từ xa giúp doanh nghiệp kiểm tra người sử dụng, thiết bị, quyền truy cập và các bản dữ liệu phát sinh.

Doanh nghiệp cần rà việc nhân viên làm việc ở nước ngoài truy cập hệ thống Việt Nam theo vị trí thực tế, nhiệm vụ, loại dữ liệu và cách dữ liệu đi qua các thiết bị, dịch vụ. Hợp đồng lao động với doanh nghiệp Việt Nam hoặc việc dùng tài khoản nội bộ không tự loại trừ nghĩa vụ chuyển dữ liệu xuyên biên giới. Phải xác định hoạt động có thuộc khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân và có đáp ứng ngoại lệ cụ thể hay không, đồng thời kiểm soát căn cứ xử lý, quyền và bảo mật. Việc nhân viên làm cho chính doanh nghiệp cần được phân biệt với việc cung cấp dữ liệu cho công ty mẹ hay một pháp nhân khác ở nước ngoài. Căn cứ: Điều 18, Điều 20 và Điều 37 Luật số 91/2025/QH15, Điều 17 Nghị định 356/2025/NĐ-CP.

Bắt đầu từ người đang sử dụng dữ liệu và công việc họ làm

Một người có thể đang đi công tác, được chấp thuận làm việc từ xa hoặc được điều chuyển sang công ty khác trong tập đoàn. Cả ba trường hợp đều có thể dùng cùng một địa chỉ email, nhưng quan hệ công việc và bên quyết định sử dụng dữ liệu có thể khác nhau.

Doanh nghiệp cần xác nhận người đó làm cho pháp nhân nào, nhận chỉ dẫn từ ai, xử lý dữ liệu để thực hiện nhiệm vụ nào và có gửi kết quả cho bên khác không. Nếu nhân viên của A tiếp tục chăm sóc khách hàng của A, không tự coi người này là một doanh nghiệp cung cấp dịch vụ xử lý chỉ vì địa điểm làm việc thay đổi. Nếu người đó đồng thời làm báo cáo cho công ty B ở nước ngoài, phải rà thêm hoạt động và vai trò của B theo Điều 2 Luật.

Quyết định cho làm việc từ xa nên mô tả phạm vi công việc được chấp thuận và các điều kiện phải đáp ứng. Văn bản này giúp kiểm soát thực hiện, nhưng không thay cho căn cứ xử lý dữ liệu khách hàng hoặc đồng nghiệp. Người quản lý không thể chỉ duyệt địa điểm làm việc rồi để nhân viên tự chọn mọi công cụ lưu và gửi dữ liệu.

Với trường hợp thực sự gửi hồ sơ để công ty mẹ sử dụng, nên đối chiếu bài gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài có phải lập hồ sơ không. Bài đó xét luồng giữa các tổ chức; bài này tập trung cách nhân viên thực hiện công việc khi hiện diện ở nước ngoài.

Máy chủ ở Việt Nam chưa mô tả hết luồng dữ liệu

Để kết luận, IT cần mô tả dữ liệu đi từ hệ thống nguồn đến đâu và ở dạng nào. Trình duyệt có thể hiển thị hồ sơ; nhân viên có thể tải báo cáo về máy tính, in tài liệu hoặc gửi ảnh chụp màn hình qua công cụ trao đổi. Thư mục tải về cũng có thể được đồng bộ tự động sang một dịch vụ khác.

Khoản 2 Điều 18 Luật điều chỉnh việc truy cập, truy xuất, kết nối và các hoạt động tác động đến dữ liệu cá nhân. Khoản 1 Điều 20 quy định cả chuyển đến hệ thống lưu trữ ngoài Việt Nam, chuyển cho tổ chức hoặc cá nhân ở nước ngoài và xử lý trên nền tảng ngoài lãnh thổ. Vì vậy, nơi đặt máy chủ nguồn chỉ là một dữ kiện trong việc đánh giá.

Với phiên chỉ xem từ xa, cần xác nhận dữ liệu có được hiển thị cho người đang ở nước ngoài, có lưu bản tạm hoặc đi qua dịch vụ khác hay không. Không nên kết luận được miễn chỉ từ thiết lập “không tải xuống”. Ngược lại, một địa chỉ IP nước ngoài cũng chưa tự mô tả đầy đủ người dùng, dữ liệu và toàn bộ hoạt động; cần đối chiếu thông tin kỹ thuật với nhiệm vụ thực tế.

Nếu chỉ sử dụng dữ liệu giả lập hoặc thông tin đã được khử nhận dạng đúng khoản 1, khoản 11 Điều 2 Luật, phạm vi đánh giá sẽ khác. Che họ tên nhưng vẫn giữ mã khách hàng có thể tra ngược hoặc nội dung đủ nhận diện không tự làm dữ liệu mất tính chất cá nhân.

Dùng VPN có làm việc truy cập trở thành hoạt động trong nước không?

VPN là mạng riêng ảo, có thể được dùng để bảo vệ kết nối hoặc kiểm soát đường truy cập theo cấu hình. Nó không thay đổi nơi nhân viên đang hiện diện, bên được tiếp cận dữ liệu hoặc mục đích công việc. Doanh nghiệp không nên dựa vào việc hệ thống nhìn thấy một IP Việt Nam để bỏ qua vị trí thực tế và các bản dữ liệu trên thiết bị ở nước ngoài.

IT cần xác nhận phạm vi bảo vệ của phương án đang dùng. Kết nối đến hệ thống công ty có thể đã được bảo vệ trong khi bản tải xuống lại nằm trong thư mục cá nhân có đồng bộ tự động. Máy tính do công ty cấp cũng không tự chứng minh rằng mọi ứng dụng, tài khoản và quyền lưu trữ đều được quản lý.

Các biện pháp như xác thực nhiều yếu tố, giới hạn quyền theo nhiệm vụ, quản lý thiết bị, khóa phiên và kiểm soát tải xuống là phương án kỹ thuật cần lựa chọn theo rủi ro và khả năng thực tế. Đây là cách triển khai trách nhiệm tại Điều 3 và Điều 37 Luật, không phải tuyên bố mọi doanh nghiệp phải mua cùng một sản phẩm. Nếu có dữ liệu nhạy cảm hoặc cloud, còn phải đáp ứng yêu cầu cụ thể tại khoản 2 Điều 4 và Điều 12 Nghị định 356.

Phân biệt dữ liệu nhân viên tự chuyển với dữ liệu họ xử lý cho doanh nghiệp

Điểm c khoản 6 Điều 20 Luật quy định trường hợp chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình xuyên biên giới. Một nhân viên tải danh sách khách hàng, bảng lương của đồng nghiệp hoặc hồ sơ đối tác không phải đang tự chuyển dữ liệu của chính mình đối với toàn bộ các thông tin đó.

Tương tự, ngoại lệ lưu dữ liệu người lao động của chính tổ chức trên cloud tại điểm b khoản 6 Điều 20 không tự bao phủ dữ liệu khách hàng mà nhân viên dùng khi làm việc. Phải tách người đang thao tác khỏi người được dữ liệu phản ánh.

Điểm d khoản 3 Điều 17 Nghị định 356 quy định ngoại lệ về quản lý nhân sự xuyên biên giới theo các quy tắc, quy chế lao động và thỏa ước lao động tập thể theo pháp luật. Việc cho một nhân viên ở nước ngoài xử lý đơn hàng không tự trở thành quản lý nhân sự xuyên biên giới. Nếu hoạt động có nhiều luồng, cần ghi kết luận và căn cứ cho từng luồng.

Dù thuộc trường hợp không phải đánh giá tác động chuyển, doanh nghiệp vẫn cần xác định mục đích, căn cứ xử lý, quyền của chủ thể và biện pháp bảo vệ. Nếu dựa vào sự đồng ý thì đối chiếu Điều 9; nếu không cần sự đồng ý thì xác định đúng trường hợp và cơ chế giám sát tại Điều 19 Luật.

Checklist cho nhân viên làm việc từ nước ngoài

Bảng dưới đây là công cụ quản trị đề xuất. Với từng người và đợt làm việc, đầu mối nên ghi kết quả đã xác minh, người chịu trách nhiệm và đường dẫn chứng cứ. Mục chưa rõ cần được xử lý trước khi mở phần quyền có liên quan, thay vì đánh dấu đạt chỉ vì nhân viên đã ký cam kết bảo mật.

Người quản lý nghiệp vụ xác nhận việc cần làm và dữ liệu cần dùng. IT xác nhận cấu hình, thiết bị và luồng kỹ thuật. Pháp chế hoặc đầu mối bảo vệ dữ liệu rà căn cứ, nghĩa vụ hồ sơ và tài liệu. Người có thẩm quyền phê duyệt phương án trên các thông tin đó; một người không nên ký thay phần xác nhận chuyên môn mà mình chưa kiểm chứng.

Tình huống tải báo cáo về máy trong thời gian công tác

Tình huống giả định: Công ty A tại Việt Nam cho nhân viên kinh doanh làm việc trong hai tuần tại Thái Lan. A dự kiến chỉ cho xem đơn hàng qua hệ thống đặt tại Việt Nam. Trong quá trình làm việc, nhân viên tải bảng khách hàng xuống máy và thư mục đó được đồng bộ sang tài khoản lưu trữ cá nhân ở nước ngoài.

Phương án thực tế đã khác phạm vi A chấp thuận. Ngoài việc nhân viên tiếp cận từ nước ngoài, nay có bản tải về và một dịch vụ lưu trữ khác. A cần xác minh dữ liệu đã tải, thời điểm, tài khoản nhận, quyền chia sẻ và bản còn tồn tại; không chỉ yêu cầu nhân viên xóa biểu tượng tệp trên màn hình.

IT phối hợp kiểm soát quyền và đồng bộ, bảo toàn chứng cứ phù hợp, xác định khả năng thu hồi hoặc xóa các bản không được phép giữ. Đầu mối bảo vệ dữ liệu đánh giá căn cứ, hợp đồng, ảnh hưởng đến hồ sơ và việc có vi phạm phải thông báo hay không. Điều 23 Luật đặt mốc chậm nhất 72 giờ từ khi phát hiện cho các chủ thể và trường hợp có thể gây tổn hại hoặc xâm phạm những lợi ích được khoản 1 liệt kê; bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Đầu ra cần thể hiện phạm vi đã xác minh, biện pháp đã thực hiện, bản chưa xử lý được và người tiếp tục theo dõi. Nếu cho phép nhân viên làm việc tiếp, A cần chốt lại cấu hình và phạm vi hợp lệ. Một cam kết mới của nhân viên không tự sửa được hoạt động đã xảy ra hoặc thay nghĩa vụ xử lý vi phạm.

Hồ sơ và quy định nội bộ cần được điều chỉnh thế nào

Nếu thuộc diện lập hồ sơ chuyển, khoản 2 Điều 20 Luật quy định gửi trong 60 ngày kể từ ngày đầu tiên chuyển; khoản 3 quy định đánh giá một lần và cập nhật theo Điều 22. Doanh nghiệp không tự tính lại 60 ngày cho mỗi chuyến công tác hoặc mỗi lần nhân viên đăng nhập.

Trường hợp đã có hồ sơ theo Điều 18 Nghị định 356, cần đối chiếu quốc gia, người nhận, nền tảng, mục đích, dữ liệu và biện pháp với luồng làm việc mới. Mốc cập nhật được xác định theo Điều 22 Luật và Điều 20 Nghị định; không áp chung thời hạn 10 ngày cho mọi thay đổi địa điểm làm việc. Bài chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không giải thích phạm vi hồ sơ chung.

Nếu nhân viên dùng CRM hoặc công cụ trên cloud, nên kiểm tra cùng luồng nhà cung cấp, hỗ trợ và sao lưu trong bài dùng CRM nước ngoài cần tuân thủ quy định nào. Một hồ sơ đã mô tả nhà cung cấp không đương nhiên mô tả mọi nơi nhân viên truy cập hay tài khoản cá nhân được dùng thêm.

Quy định làm việc từ xa cần nói rõ việc thay đổi quốc gia, thiết bị hoặc ứng dụng phải được báo cho ai; dữ liệu nào được tải; điều kiện lưu, in, chia sẻ và đóng quyền. Các mốc báo cáo nội bộ là cách doanh nghiệp tổ chức quản lý, cần được thiết kế để đáp ứng nghĩa vụ pháp luật, không thay cho thời hạn luật định.

Khi ghi nhật ký để quản lý nhân viên, cần bảo vệ chính dữ liệu được tạo ra từ hoạt động giám sát. Khoản 3 Điều 25 Luật yêu cầu biện pháp công nghệ phù hợp và người lao động biết rõ biện pháp đó. Chỉ thu thập thông tin cần cho mục đích đã xác định, giới hạn người xem và thời gian lưu; tránh giám sát toàn bộ hoạt động riêng tư chỉ vì nhân viên làm việc ở nước ngoài.

Lưu ý về hiệu lực: Nghị định 392/2026/NĐ-CP sửa một số quy định về tiếp nhận, đánh giá, cập nhật hồ sơ và có hiệu lực từ 15/11/2026. Cần đối chiếu khoản 3 Điều 49 về hồ sơ đã được tiếp nhận. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm cơ chế mới.

Câu hỏi thường gặp

Nhân viên chỉ đi công tác vài ngày có được miễn vì thời gian ngắn không?

Không có ngoại lệ chung chỉ dựa vào số ngày công tác trong các quy định được đối chiếu ở bài này. Cần xác định dữ liệu, hoạt động chuyển và điều kiện ngoại lệ cụ thể. Doanh nghiệp có thể giới hạn nhiệm vụ hoặc dùng dữ liệu phù hợp trước khi mở quyền.

Không tải xuống thì không cần rà soát chuyển dữ liệu phải không?

Vẫn cần rà soát. Dữ liệu hiển thị cho người ở nước ngoài, bản tạm và dịch vụ trung gian là những dữ kiện phải kiểm tra. Cấu hình chỉ xem giúp hạn chế một số thao tác nhưng chưa tự quyết định kết luận pháp lý.

Máy do công ty cấp có thể dùng tài khoản cloud cá nhân để làm việc không?

Phải đối chiếu phương án đã được duyệt, căn cứ xử lý và trách nhiệm của dịch vụ nhận dữ liệu. Tài khoản cá nhân có thể nằm ngoài khả năng quản lý quyền, thu hồi và xóa của công ty. Không coi quyền sở hữu máy là chấp thuận sử dụng mọi tài khoản trên máy đó.

Kết thúc thời gian làm việc ở nước ngoài thì chỉ cần tắt VPN không?

Chưa đủ để xác nhận đã hoàn tất. Cần kiểm tra quyền bổ sung, phiên đăng nhập, tệp tải về, bản in và dữ liệu trên dịch vụ khác. Việc giữ hoặc xóa từng bản phải phù hợp mục đích, căn cứ lưu và Điều 14 Luật; tắt kết nối không tự xóa những bản đã phát sinh.

Justix hỗ trợ rà soát phương án làm việc từ xa

Doanh nghiệp nên chuẩn bị mô tả nhiệm vụ, quốc gia làm việc, hệ thống, thiết bị, quyền dự kiến và hồ sơ chuyển đã có. Trong dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ rà luồng, nghĩa vụ và tài liệu theo phạm vi thống nhất; IT xác nhận cấu hình và khả năng kiểm soát thực tế. Các vấn đề về lao động, thuế, cư trú hoặc pháp luật nước nơi làm việc cần được xác định phạm vi tư vấn riêng. Có thể gửi mô tả đã lược dữ liệu cá nhân thật qua trang liên hệ Justix.