Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, khi nào bị buộc ngừng chuyển dữ liệu ra nước ngoài?

13/07/2026
5 lượt xem
0 bình luận

Hai trường hợp, cả hai đều gắn với quốc phòng, an ninh quốc gia. Kèm theo là cơ chế kiểm tra định kỳ không quá 01 lần mỗi năm và kiểm tra đột xuất.

Với doanh nghiệp phụ thuộc vào hạ tầng hoặc dịch vụ nước ngoài, khả năng bị yêu cầu ngừng chuyển dữ liệu là rủi ro vận hành cần tính tới.

Hai trường hợp bị yêu cầu ngừng

Điều 17 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định yêu cầu bên chuyển dữ liệu xuyên biên giới ngừng chuyển dữ liệu cá nhân xuyên biên giới trong trường hợp:

Khi phát hiện dữ liệu cá nhân được chuyển được sử dụng vào hoạt động xâm phạm quốc phòng, an ninh quốc gia;
Có hành vi vi phạm các quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia.

Cả hai đều đặt ngưỡng ở mức quốc phòng, an ninh quốc gia. Một vi phạm hành chính thông thường về bảo vệ dữ liệu cá nhân chưa dẫn tới biện pháp này.

Cơ chế kiểm tra chuyển dữ liệu xuyên biên giới

Khoản 4 Điều 20 Luật 91/2025/QH15 quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định việc kiểm tra chuyển dữ liệu cá nhân xuyên biên giới định kỳ không quá 01 lần trong năm, hoặc kiểm tra đột xuất khi phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân, hoặc khi xảy ra sự cố lộ, mất dữ liệu cá nhân.

Giới hạn "không quá 01 lần trong năm" cho kiểm tra định kỳ là điểm thuận lợi về mặt gánh nặng tuân thủ. Nhưng kiểm tra đột xuất thì không bị giới hạn, và một trong các căn cứ là sự cố lộ, mất dữ liệu.

Hệ quả thực tế

Một sự cố lộ dữ liệu có thể kéo theo hai việc cùng lúc: nghĩa vụ thông báo theo Điều 23 Luật và Điều 28 Nghị định, và khả năng bị kiểm tra đột xuất hoạt động chuyển dữ liệu xuyên biên giới. Doanh nghiệp nên chuẩn bị cho cả hai kịch bản trong cùng một kế hoạch ứng phó sự cố.

Vì sao đây là rủi ro vận hành thật

Với doanh nghiệp có toàn bộ hệ thống chạy trên hạ tầng đám mây nước ngoài, một yêu cầu ngừng chuyển dữ liệu đồng nghĩa với việc phải dừng hoạt động hoặc chuyển đổi hạ tầng trong thời gian ngắn.

Đây là lý do nên có sẵn phương án dự phòng ở mức tối thiểu: biết rõ dữ liệu nào bắt buộc phải đi ra nước ngoài và dữ liệu nào có thể giữ trong nước, có khả năng tách hai nhóm đó khi cần.

Cách giảm rủi ro

Giảm phạm vi dữ liệu chuyển đi. Nhiều luồng gửi ra nước ngoài nhiều trường dữ liệu hơn mức cần thiết. Rút gọn xuống mức tối thiểu vừa giảm rủi ro vừa đơn giản hóa hồ sơ;
Khử nhận dạng trước khi chuyển. Khoản 1 Điều 2 Luật 91/2025/QH15 nêu dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân. Với các luồng phục vụ thống kê, đây là cách xử lý triệt để;
Giữ dữ liệu nhạy cảm trong nước khi có thể, đặc biệt là dữ liệu sinh trắc học và dữ liệu vị trí theo Điều 31 của Luật;
Lập hồ sơ đầy đủ và đúng hạn, vì hồ sơ đầy đủ là cơ sở để chứng minh việc tuân thủ khi được kiểm tra;
Có phương án chuyển đổi cho các dịch vụ trọng yếu.

Đừng quên nghĩa vụ cơ bản

Khoản 2 Điều 20 Luật 91/2025/QH15 quy định phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp quy định tại khoản 6 Điều này. Khoản 3 Điều 20 nêu việc đánh giá được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22 của Luật.

Doanh nghiệp có hồ sơ đầy đủ và cập nhật đúng hạn ở vị thế tốt hơn hẳn khi phải giải trình.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 17
Luật 91/2025/QH15 Điều 20

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.