Ai có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu cá nhân xuyên biên giới?

Ngừng chuyển dữ liệu cá nhân xuyên biên giới là một mệnh lệnh hành chính nghiêm ngặt hoặc yêu cầu pháp lý bắt buộc phát sinh khi doanh nghiệp vi phạm quy định bảo mật hoặc khi chủ thể dữ liệu rút lại sự đồng ý theo Luật Bảo vệ dữ liệu cá nhân 2025. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Luật DPO để giúp doanh nghiệp rà soát quy trình, xác định đúng nghĩa vụ và chủ động kiểm soát rủi ro tuân thủ, tránh mức phạt lên đến 5% tổng doanh thu.

Ngừng chuyển dữ liệu cá nhân xuyên biên giới là gì? Tổng quan và những khái niệm cốt lõi

Chuyển dữ liệu cá nhân xuyên biên giới là việc đưa dữ liệu của công dân Việt Nam ra khỏi lãnh thổ hoặc sử dụng nền tảng nước ngoài để xử lý (khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025). Ngừng chuyển dữ liệu là hành động chấm dứt ngay lập tức luồng luân chuyển này dựa trên quyết định của cơ quan nhà nước có thẩm quyền (Cục A05) nhằm bảo vệ an ninh quốc gia, hoặc dựa trên yêu cầu hợp pháp của chính chủ thể dữ liệu.

Hoạt động chuyển dữ liệu ra nước ngoài diễn ra vô cùng phổ biến trong các tập đoàn đa quốc gia, doanh nghiệp FDI, hoặc các công ty sử dụng dịch vụ điện toán đám mây (Cloud), phần mềm CRM/ERP có máy chủ đặt tại nước ngoài. Pháp luật Việt Nam không cấm tuyệt đối việc luân chuyển này nhằm thúc đẩy kinh tế số, nhưng đặt ra các rào cản kỹ thuật và pháp lý khắt khe để kiểm soát rủi ro.

Việc ngừng chuyển dữ liệu cá nhân xuyên biên giới xảy ra khi luồng dữ liệu này vi phạm các nguyên tắc cốt lõi. Theo Nghị định 356/2025/NĐ-CP, doanh nghiệp bắt buộc phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (Mẫu số 09). Nếu hồ sơ không đạt yêu cầu, hoặc cơ quan chức năng phát hiện dữ liệu bị sử dụng sai mục đích, lệnh ngừng chuyển sẽ được ban hành. Việc phớt lờ lệnh này sẽ dẫn đến những hậu quả pháp lý thảm khốc cho doanh nghiệp.

Tại sao việc tuân thủ quy định ngừng chuyển dữ liệu cá nhân xuyên biên giới lại quan trọng?

Tuân thủ lệnh ngừng chuyển dữ liệu không chỉ là nghĩa vụ pháp lý để tránh các mức phạt kỷ lục theo Nghị định 330/2026/NĐ-CP (lên tới 5% doanh thu), mà còn là yếu tố sống còn để bảo vệ hệ thống máy chủ không bị đình chỉ, duy trì uy tín thương hiệu và ngăn chặn các rủi ro an ninh quốc gia.

1. Tránh rủi ro pháp lý và chế tài xử phạt mang tính “hủy diệt”

Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, sự ra đời của Nghị định 330/2026/NĐ-CP đã thay đổi hoàn toàn cuộc chơi. Cụ thể, tại điểm c khoản 3 Điều 56, hành vi tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách sẽ bị phạt tiền từ 3% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam. Đối với các doanh nghiệp không có doanh thu tại Việt Nam, mức phạt có thể lên tới 3.000.000.000 VNĐ. Đây là mức phạt mang tính răn đe cực cao, có thể làm phá sản một doanh nghiệp.

2. Ngăn chặn hình phạt bổ sung: Đình chỉ hoạt động

Bên cạnh phạt tiền, cơ quan chức năng có quyền áp dụng hình phạt bổ sung là đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng (điểm b khoản 5 Điều 56 NĐ 330/2026/NĐ-CP). Đối với một doanh nghiệp phụ thuộc vào hệ thống Cloud quốc tế hoặc công ty mẹ ở nước ngoài, việc bị cắt đứt luồng dữ liệu trong 1 năm đồng nghĩa với việc hệ thống vận hành bị tê liệt hoàn toàn.

3. Bảo vệ an ninh quốc gia và uy tín doanh nghiệp

Dữ liệu cá nhân của công dân Việt Nam là tài sản quốc gia. Việc dữ liệu bị chuyển giao cho các tổ chức nước ngoài có mục đích xấu có thể đe dọa trực tiếp đến an ninh trật tự. Doanh nghiệp tuân thủ lệnh ngừng chuyển dữ liệu chính là đang thực hiện trách nhiệm xã hội, bảo vệ khách hàng và giữ gìn uy tín thương hiệu trước công chúng.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

TƯ VẤN ĐẦU TƯ NƯỚC NGOÀI (FDI) & COMPLIANCE

Hỗ trợ các tập đoàn đa quốc gia, doanh nghiệp FDI thiết lập quy trình luân chuyển dữ liệu nội bộ (Binding Corporate Rules) hợp pháp, đảm bảo tuân thủ khắt khe Luật Bảo vệ dữ liệu cá nhân 2025 của Việt Nam.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

Ai có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu cá nhân xuyên biên giới?

Theo hệ thống pháp luật hiện hành, có hai chủ thể chính có quyền lực pháp lý để buộc một doanh nghiệp phải chấm dứt luồng dữ liệu xuyên biên giới: Cơ quan quản lý nhà nước có thẩm quyền và chính Chủ thể dữ liệu cá nhân.

1. Thẩm quyền của Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05 – Bộ Công an)

Căn cứ theo khoản 5 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 8 Điều 18 Nghị định 356/2025/NĐ-CP, Bộ Công an (trực tiếp là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05) là cơ quan có thẩm quyền tối cao trong việc ra quyết định yêu cầu ngừng chuyển dữ liệu. Việc hiểu rõ trách nhiệm của Cục An ninh mạng giúp tổ chức chủ động chuẩn bị hồ sơ giải trình minh bạch.

Cơ quan chuyên trách sẽ ra lệnh ngừng chuyển dữ liệu trong các trường hợp tử huyệt sau:

• Khi phát hiện dữ liệu cá nhân được chuyển đi đang được sử dụng vào các hoạt động vi phạm lợi ích, an ninh quốc gia của nước Cộng hòa xã hội chủ nghĩa Việt Nam.
• Bên chuyển dữ liệu ra nước ngoài không chấp hành quy định về việc lập, nộp và hoàn thiện Hồ sơ đánh giá tác động (Mẫu 09) trong thời hạn quy định.
• Để xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam tại hệ thống máy chủ nước ngoài.

2. Quyền của Chủ thể dữ liệu cá nhân (Khách hàng/Người dùng)

Bên cạnh cơ quan nhà nước, chính người dùng cũng nắm giữ quyền lực tối thượng đối với dữ liệu của mình. Theo khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý hoặc yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý.

Khi khách hàng thực hiện quyền này, doanh nghiệp (Bên kiểm soát dữ liệu) buộc phải ngừng ngay lập tức việc chuyển dữ liệu của cá nhân đó ra nước ngoài, đồng thời phải thông báo cho đối tác nước ngoài (Bên xử lý) xóa bỏ dữ liệu tương ứng. Việc cố tình phớt lờ yêu cầu của khách hàng sẽ bị phạt từ 20.000.000 VNĐ đến 30.000.000 VNĐ (Điều 45 NĐ 330/2026/NĐ-CP).

Quy trình thực hiện ngừng chuyển dữ liệu cá nhân xuyên biên giới từng bước chuẩn pháp lý

Khi nhận được lệnh từ Cục A05 hoặc yêu cầu từ khách hàng, doanh nghiệp không thể xử lý cảm tính. Cần một quy trình chuẩn (SOP) để cô lập dữ liệu, thông báo cho đối tác quốc tế và báo cáo giải trình đúng hạn nhằm giảm nhẹ thiệt hại.

Dựa trên thực tiễn tư vấn tuân thủ, Luật DPO xây dựng quy trình 5 bước bắt buộc (SOP) dành cho doanh nghiệp khi đối mặt với yêu cầu ngừng chuyển dữ liệu:

• Bước 1: Tiếp nhận và xác minh tính hợp pháp của yêu cầu. Bộ phận pháp chế (hoặc DPO) kiểm tra tính xác thực của văn bản từ Cục A05 hoặc biểu mẫu rút lại sự đồng ý từ khách hàng. Xác định chính xác phạm vi dữ liệu bị ảnh hưởng.
• Bước 2: Cô lập luồng dữ liệu kỹ thuật (Data Isolation). Bộ phận IT ngay lập tức can thiệp vào hệ thống API, ngắt kết nối đồng bộ tự động (sync) đối với các trường dữ liệu bị yêu cầu ngừng chuyển lên Cloud hoặc máy chủ nước ngoài.
• Bước 3: Rà soát pháp lý và thông báo cho đối tác. Kích hoạt điều khoản khẩn cấp trong hợp đồng xử lý dữ liệu (DPA) với đối tác nước ngoài. Yêu cầu bên nhận dữ liệu tại nước ngoài ngừng xử lý và xóa dữ liệu tương ứng. Đồng thời, rà soát lại thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới để tìm ra lỗ hổng.
• Bước 4: Báo cáo giải trình và khắc phục. Lập báo cáo giải trình nguyên nhân (nếu bị A05 tuýt còi), đính kèm các bằng chứng kỹ thuật (log file) chứng minh đã ngắt luồng dữ liệu thành công. Nộp báo cáo khắc phục trong thời hạn quy định.
• Bước 5: Khôi phục hoặc xóa vĩnh viễn. Chỉ được phép mở lại luồng dữ liệu khi có văn bản chấp thuận từ cơ quan chức năng sau khi đã khắc phục xong vi phạm. Nếu không, tiến hành xóa vĩnh viễn dữ liệu theo quy trình hủy an toàn.

Những sai lầm thường gặp khi bị yêu cầu ngừng chuyển dữ liệu và giải pháp từ Luật DPO

💡 Luật DPO chia sẻ: Rất nhiều doanh nghiệp FDI và công ty công nghệ tại Việt Nam rơi vào khủng hoảng pháp lý không phải vì cố tình chống đối, mà do sự yếu kém trong quản trị hệ thống và thiếu đồng bộ giữa bộ phận Pháp chế – IT.

• Sai lầm 1: Hệ thống Cloud tự động đồng bộ không thể can thiệp. Nhiều doanh nghiệp mua các gói phần mềm SaaS quốc tế (như Salesforce, AWS) được thiết lập đồng bộ dữ liệu real-time. Khi có yêu cầu ngừng chuyển từ 1 khách hàng, IT không biết cách bóc tách dữ liệu của người đó ra khỏi luồng sync chung, dẫn đến việc vẫn tiếp tục vi phạm.
• Sai lầm 2: Phớt lờ yêu cầu của khách hàng vì cho rằng “không quan trọng”. Bộ phận CSKH nhận được email yêu cầu xóa dữ liệu nhưng không chuyển cho DPO xử lý. Quá thời hạn 72 giờ, khách hàng khiếu nại lên Cục A05, doanh nghiệp lập tức bị thanh tra toàn diện.
• Sai lầm 3: Thiếu điều khoản ràng buộc với công ty mẹ ở nước ngoài. Khi Cục A05 yêu cầu ngừng chuyển và xóa dữ liệu, công ty con tại Việt Nam không có quyền can thiệp vào máy chủ của công ty mẹ, dẫn đến việc không thể thực thi lệnh của cơ quan nhà nước.

Giải pháp từ Luật DPO: Chúng tôi cung cấp dịch vụ rà soát toàn diện (Legal Audit) luồng dữ liệu xuyên biên giới. Luật DPO sẽ giúp doanh nghiệp soạn thảo các Hợp đồng chuyển giao dữ liệu (SCCs/BCRs) chặt chẽ với đối tác nước ngoài, thiết lập quy trình phản ứng nhanh (Incident Response) và đại diện doanh nghiệp giải trình trực tiếp với Cục A05, đảm bảo an toàn tuyệt đối cho hoạt động kinh doanh.

Câu hỏi thường gặp về ngừng chuyển dữ liệu cá nhân xuyên biên giới (FAQs)

Công ty mẹ ở nước ngoài yêu cầu đồng bộ hệ thống thì công ty con tại Việt Nam có phải làm hồ sơ không?

Có, nhưng không phải trong mọi trường hợp. Việc công ty con tại Việt Nam đồng bộ dữ liệu cá nhân lên hệ thống đặt ở nước ngoài hoặc chuyển dữ liệu cho công ty mẹ thuộc trường hợp chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025. Tuy nhiên, nếu thuộc trường hợp miễn, chẳng hạn dữ liệu cá nhân của người lao động được lưu trữ trên dịch vụ điện toán đám mây theo điểm b khoản 6 Điều 20, thì không phải thực hiện đánh giá tác động.

Khi nào cơ quan nhà nước cho phép mở lại luồng chuyển dữ liệu xuyên biên giới?

Theo Điều 56 Nghị định 330/2026/NĐ-CP, trường hợp doanh nghiệp bị buộc ngừng chuyển dữ liệu, việc tiếp tục chuyển dữ liệu phải gắn với việc hoàn thành các nghĩa vụ, biện pháp khắc phục (như nộp lại hồ sơ DPIA chuẩn) theo yêu cầu của cơ quan có thẩm quyền. Doanh nghiệp phải được cơ quan chuyên trách (Cục A05) xác nhận đã khắc phục xong vi phạm mới được phép mở lại luồng dữ liệu.

Khách hàng có quyền kiện doanh nghiệp nếu vẫn cố tình chuyển dữ liệu ra nước ngoài không?

Có thể. Nếu doanh nghiệp tiếp tục xử lý hoặc chuyển dữ liệu cá nhân trái quy định sau khi khách hàng đã rút lại sự đồng ý, gây xâm phạm quyền và lợi ích hợp pháp, chủ thể dữ liệu có thể khiếu nại lên Cục A05 hoặc khởi kiện ra Tòa án yêu cầu bồi thường thiệt hại dân sự theo quy định của pháp luật.

Doanh nghiệp không có doanh thu tại Việt Nam thì bị phạt ngừng chuyển dữ liệu như thế nào?

Đối với tổ chức nước ngoài không có doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước, nếu cố tình tiếp tục chuyển dữ liệu sau khi có lệnh cấm, mức phạt cố định theo khoản 4 Điều 56 Nghị định 330/2026/NĐ-CP có thể từ 1.000.000.000 đồng đến 3.000.000.000 đồng, tùy theo số lượng chủ thể dữ liệu bị ảnh hưởng.

Tại sao nên thuê đơn vị tư vấn độc lập để rà soát quy trình chuyển dữ liệu?

Đơn vị tư vấn độc lập (như Luật DPO) có góc nhìn khách quan và chuyên môn pháp lý sâu sắc. Chúng tôi giúp doanh nghiệp đối chiếu yêu cầu pháp lý với thực tế vận hành của hệ thống IT, từ đó nhận diện các luồng dữ liệu ẩn, rà soát hợp đồng với bên nhận dữ liệu và phát hiện các điểm rủi ro mà đội ngũ nội bộ thường bỏ sót.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc đối mặt với yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới là một cuộc khủng hoảng pháp lý thực sự đối với bất kỳ doanh nghiệp nào. Để bảo vệ hệ thống vận hành không bị gián đoạn và tránh các mức phạt khổng lồ, sự đồng hành của các chuyên gia pháp lý là điều bắt buộc. Với phương châm “Đam mê và Danh dự”, cùng bề dày kinh nghiệm trong lĩnh vực an ninh mạng, Công ty Luật TNHH DPO cam kết mang đến giải pháp cá nhân hóa tối đa, giúp doanh nghiệp gỡ rối hồ sơ, làm việc trực tiếp với cơ quan chức năng và khôi phục luồng dữ liệu hợp pháp nhanh nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi.