Mức phạt tối đa với tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề — cách tính hiếm gặp trong pháp luật xử phạt hành chính Việt Nam.
Trong toàn bộ chế tài về bảo vệ dữ liệu cá nhân, đây là mức có sức nặng lớn nhất với doanh nghiệp có quy mô, bởi nó không tính theo hành vi mà tính theo doanh thu.
Nghĩa vụ nằm ở Điều 20
Điều 20 Luật 91/2025/QH15 xác định ba trường hợp được coi là chuyển dữ liệu cá nhân xuyên biên giới: chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam; cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài; và việc sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.
Khoản 2 Điều 20 quy định bên thực hiện các hoạt động trên phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp quy định tại khoản 6 Điều này.
Chế tài nằm ở Điều 8
Khoản 4 Điều 8 quy định mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó.
Khoản này cũng nêu trường hợp không có doanh thu của năm trước liền kề, hoặc mức phạt tính theo doanh thu thấp hơn mức tối đa tại khoản 5, thì áp dụng mức phạt theo khoản 5 — tức mức tối đa 03 tỷ đồng cho các hành vi vi phạm khác.
Ý nghĩa thực tế của cách tính
Với doanh nghiệp doanh thu 100 tỷ đồng, 5% tương đương 5 tỷ đồng — vượt mức trần 3 tỷ nên áp dụng cách tính theo doanh thu. Với doanh nghiệp doanh thu 40 tỷ, 5% là 2 tỷ, thấp hơn 3 tỷ nên áp dụng mức 3 tỷ đồng.
Điểm cần chú ý: căn cứ là doanh thu của tổ chức, không phải doanh thu từ hoạt động liên quan đến dữ liệu. Một sai sót trong thủ tục hồ sơ có thể dẫn tới con số tính trên toàn bộ doanh thu.
Cá nhân và trường hợp khác
Khoản 6 Điều 8 quy định các mức tối đa tại khoản 3, 4 và 5 áp dụng với tổ chức; cá nhân thực hiện cùng hành vi thì mức phạt tiền tối đa bằng một phần hai mức áp dụng cho tổ chức.
Vì sao rủi ro cao hơn doanh nghiệp tưởng
Nhiều doanh nghiệp cho rằng mình không chuyển dữ liệu ra nước ngoài vì không ký hợp đồng nào với đối tác ngoại. Nhưng điểm c khoản 1 Điều 20 nêu rõ việc sử dụng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam cũng thuộc trường hợp chuyển xuyên biên giới.
Trong thực tế vận hành, phần lớn doanh nghiệp đang dùng ít nhất một dịch vụ như vậy: nền tảng thư điện tử, công cụ phân tích truy cập website, dịch vụ lưu trữ đám mây, phần mềm quản lý khách hàng dạng thuê bao, công cụ gửi tin nhắn hàng loạt. Nếu dữ liệu người dùng Việt Nam đi qua các hệ thống này, nghĩa vụ tại khoản 2 Điều 20 đã phát sinh.
Ba việc nên làm trước
- Liệt kê mọi dịch vụ bên ngoài đang chạm vào dữ liệu cá nhân, kèm nơi đặt hệ thống;
- Xác định ngày đầu tiên chuyển dữ liệu cho từng dịch vụ, vì mốc 60 ngày tại khoản 2 Điều 20 tính từ ngày đó;
- Lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi bản chính cho cơ quan chuyên trách.
Khoản 3 Điều 20 cho biết việc đánh giá này được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22 — nên đây là công việc làm một lần rồi duy trì, không phải thủ tục lặp lại hằng năm.
Đọc thêm cùng chủ đề
- Không thông báo lộ dữ liệu bị xử lý thế nào?
- Không lập hồ sơ đánh giá tác động bị phạt không?
- Không cho khách rút lại đồng ý bị xử lý thế nào?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 20
- Luật 91/2025/QH15 Điều 8
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.