Rất nhiều doanh nghiệp dùng email, lưu trữ đám mây, công cụ marketing hay phần mềm của nhà cung cấp nước ngoài — và đang chuyển dữ liệu cá nhân ra nước ngoài mà chưa biết nghĩa vụ pháp lý kèm theo, theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
"Chuyển dữ liệu xuyên biên giới"
Từ 01/01/2026, thuật ngữ "chuyển dữ liệu cá nhân ra nước ngoài" được thay bằng "chuyển dữ liệu cá nhân xuyên biên giới", với phạm vi rộng hơn. Nhiều hoạt động dùng dịch vụ lưu trữ/đối tác nước ngoài có thể thuộc diện này.
Nghĩa vụ và hồ sơ
Theo Điều 18 Nghị định 356/2025, bên chuyển dữ liệu phải chuẩn bị và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (theo Mẫu 09). Nội dung hồ sơ gồm: trường hợp chuyển dữ liệu; thời gian cho phép xử lý và thời gian dự kiến xóa/hủy (nếu có); mô tả biện pháp bảo vệ dữ liệu; đánh giá mức độ ảnh hưởng của việc xử lý.
Hồ sơ phải được cập nhật định kỳ 06 tháng một lần khi có thay đổi.
Rủi ro khi bỏ qua
Vi phạm quy định về chuyển dữ liệu xuyên biên giới thuộc nhóm bị xử lý nặng — mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền kề. Vì vậy việc dùng dịch vụ nước ngoài mà không rà soát nghĩa vụ là rủi ro thực sự.
Câu hỏi thường gặp
Dùng Google/AWS có bị coi là chuyển dữ liệu ra nước ngoài không?
Nhiều hoạt động dùng dịch vụ lưu trữ/xử lý ở nước ngoài có thể thuộc diện "chuyển dữ liệu xuyên biên giới"; doanh nghiệp cần đối chiếu Điều 18 Nghị định 356/2025 cho trường hợp cụ thể.
Cần chuẩn bị hồ sơ gì?
Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (Mẫu 09), cập nhật định kỳ 6 tháng một lần khi có thay đổi.
Soft Space Việt Nam tư vấn tuân thủ và lập hồ sơ chuyển dữ liệu xuyên biên giới. Liên hệ tư vấn.
Đây là thông tin tham khảo. Nếu phát hiện sai sót, vui lòng liên hệ để chúng tôi cập nhật.
Nguồn: Luật 91/2025/QH15 · Nghị định 356/2025/NĐ-CP
Bạn đọc thường hỏi
Bên mình chỉ dùng Gmail công việc và Google Drive, có thuộc diện phải làm hồ sơ không?
Nếu email và tài liệu chứa dữ liệu cá nhân của khách hàng hoặc nhân viên thì hoạt động đó có thể thuộc diện chuyển dữ liệu xuyên biên giới. Bạn nên đối chiếu Điều 18 cho từng dịch vụ đang dùng.
Ai là người phải nộp hồ sơ, bên mình hay nhà cung cấp nước ngoài?
Nghĩa vụ thuộc về bên chuyển dữ liệu, tức là doanh nghiệp bạn, chứ không phải nhà cung cấp. Nhà cung cấp thường chỉ hỗ trợ tài liệu kỹ thuật về nơi lưu trữ và biện pháp bảo vệ.
Bên mình dùng nhiều công cụ nước ngoài thì làm một hồ sơ chung được không?
Có thể lập một hồ sơ nhưng phải mô tả tách từng trường hợp chuyển dữ liệu, vì mỗi công cụ có loại dữ liệu, mục đích và mức rủi ro khác nhau. Gộp chung chung sẽ khó bảo vệ khi bị kiểm tra.
Thông tin kỹ thuật cần lấy từ nhà cung cấp gồm những gì?
Tối thiểu là nơi đặt máy chủ, biện pháp mã hóa, chính sách lưu trữ và xóa dữ liệu, cùng cam kết hỗ trợ khi có sự cố. Các nội dung này thường có sẵn trong tài liệu bảo mật của họ.
Chuyển sang dùng máy chủ trong nước thì bên mình khỏi phải làm hồ sơ đúng không?
Nếu toàn bộ dữ liệu được lưu và xử lý trong nước thì không phát sinh nghĩa vụ về chuyển dữ liệu xuyên biên giới. Nhưng cần kiểm tra cả công cụ phụ như email, phân tích, quảng cáo.
Hồ sơ cập nhật 6 tháng một lần thì cập nhật những nội dung nào?
Cập nhật khi đổi nhà cung cấp, đổi loại dữ liệu chuyển đi, đổi mục đích hoặc thay đổi biện pháp bảo vệ. Nếu không có thay đổi thì vẫn nên ghi nhận lần rà soát để chứng minh có theo dõi.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.