Nghị định liệt kê thêm năm nhóm hoạt động không phải thực hiện đánh giá tác động — trong đó có quản lý nhân sự xuyên biên giới và các thủ tục vận chuyển, thanh toán, thị thực.
Không phải mọi luồng dữ liệu ra nước ngoài đều kéo theo nghĩa vụ lập hồ sơ. Điều 17 Nghị định 356/2025/NĐ-CP liệt kê các trường hợp được miễn, và danh sách này giải quyết nhiều tình huống rất thường gặp.
Ba trường hợp được coi là chuyển xuyên biên giới
Điều 17 Nghị định 356/2025/NĐ-CP xác định các bên thực hiện hoạt động chuyển dữ liệu cá nhân xuyên biên giới trong các trường hợp:
- Hoạt động lưu trữ dữ liệu cá nhân có sự chuyển giao dữ liệu thu thập, lưu trữ tại Việt Nam đến hệ thống máy chủ đặt ngoài lãnh thổ Việt Nam hoặc trên dịch vụ điện toán đám mây của nhà cung cấp dịch vụ ở nước ngoài;
- Hoạt động chuyển dữ liệu cá nhân từ cơ quan, tổ chức, cá nhân từ Việt Nam cho bên nhận là tổ chức, cá nhân ở nước ngoài;
- Hoạt động xử lý dữ liệu cá nhân được thu thập tại Việt Nam và chuyển đến nền tảng ở ngoài lãnh thổ Việt Nam để tiếp tục xử lý.
Nội dung này thống nhất với khoản 1 Điều 20 Luật 91/2025/QH15.
Năm nhóm không phải đánh giá tác động
Điều 17 Nghị định 356/2025/NĐ-CP nêu các trường hợp khác ngoài các trường hợp tại điểm a, b, c khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân, không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, bao gồm:
- Hoạt động báo chí, truyền thông theo quy định của pháp luật;
- Việc chuyển dữ liệu cá nhân xuyên biên giới đã được công khai theo quy định của pháp luật;
- Trong các tình huống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân xuyên biên giới để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật;
- Hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật;
- Việc cung cấp dữ liệu cá nhân xuyên biên giới để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.
Nhóm thứ tư giải quyết vấn đề của công ty đa quốc gia
Chi nhánh Việt Nam của một tập đoàn nước ngoài thường phải gửi dữ liệu nhân sự về hệ thống quản lý chung của tập đoàn. Nhóm này cho phép hoạt động đó không phải qua thủ tục đánh giá tác động, với điều kiện thực hiện theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật.
Điều kiện đi kèm rất đáng lưu ý: phải có cơ sở trong quy chế lao động hoặc thỏa ước lao động tập thể. Doanh nghiệp nên rà lại xem các văn bản nội bộ này đã đề cập tới việc chuyển dữ liệu nhân sự ra nước ngoài hay chưa.
Nhóm thứ năm bao trùm nhiều nghiệp vụ hằng ngày
Danh sách khá cụ thể: vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng. Đây là các nghiệp vụ mà việc gửi thông tin cá nhân ra nước ngoài là điều kiện tất yếu để thực hiện — đặt phòng khách sạn ở nước ngoài thì phải gửi tên khách, làm thủ tục hải quan thì phải gửi thông tin người nhận.
Miễn đánh giá tác động không phải miễn mọi nghĩa vụ
Đây là điểm quan trọng nhất cần nắm. Các trường hợp trên chỉ được miễn thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Những nghĩa vụ khác vẫn giữ nguyên: cơ sở pháp lý cho việc xử lý, quyền của chủ thể dữ liệu, biện pháp bảo mật, nghĩa vụ thông báo khi có vi phạm.
Quyền yêu cầu ngừng chuyển dữ liệu
Điều 17 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định yêu cầu bên chuyển dữ liệu xuyên biên giới ngừng chuyển dữ liệu trong trường hợp: phát hiện dữ liệu cá nhân được chuyển được sử dụng vào hoạt động xâm phạm quốc phòng, an ninh quốc gia; hoặc có hành vi vi phạm các quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia.
Cách áp dụng
Lập bảng các luồng dữ liệu ra nước ngoài, mỗi luồng đối chiếu với danh sách miễn trừ. Luồng nào thuộc diện miễn thì ghi rõ căn cứ và điều kiện kèm theo. Luồng nào không thuộc diện miễn thì tính mốc 60 ngày kể từ ngày đầu tiên chuyển dữ liệu theo khoản 2 Điều 20 Luật 91/2025/QH15.
Đọc thêm cùng chủ đề
- Khi nào bị buộc ngừng chuyển dữ liệu ra nước ngoài?
- Ai phải nộp hồ sơ đánh giá tác động xuyên biên giới?
- Doanh nghiệp công nghệ số Việt Nam ra nước ngoài được hỗ trợ gì?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 17
- Luật 91/2025/QH15 Điều 20
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.