Chuyển dữ liệu cá nhân xuyên biên giới là gì đang trở thành câu hỏi pháp lý cấp bách nhất đối với các doanh nghiệp đa quốc gia, doanh nghiệp FDI và các công ty công nghệ tại Việt Nam. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo tuân thủ tuyệt đối Luật Bảo vệ dữ liệu cá nhân 2025, thiết lập hồ sơ chuẩn mực và phòng tránh rủi ro phạt tiền lên đến 5% tổng doanh thu.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp giải pháp rà soát luồng dữ liệu, soạn thảo Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (Mẫu 09) và đại diện doanh nghiệp làm việc với Cục A05 – Bộ Công an.
Hotline Luật sư: 0976926655
Chuyển dữ liệu cá nhân xuyên biên giới là gì theo quy định pháp luật mới nhất?
Tóm tắt chuyên môn: Chuyển dữ liệu cá nhân xuyên biên giới là hoạt động đưa dữ liệu của công dân Việt Nam ra khỏi lãnh thổ Việt Nam hoặc sử dụng hệ thống máy chủ, nền tảng đặt tại nước ngoài để xử lý dữ liệu. Hoạt động này bị kiểm soát nghiêm ngặt bởi Luật Bảo vệ dữ liệu cá nhân 2025 và yêu cầu doanh nghiệp phải lập Hồ sơ đánh giá tác động (DPIA) nộp cho Bộ Công an.
Trong kỷ nguyên số hóa toàn cầu, luồng dữ liệu luân chuyển không ngừng giữa các quốc gia là điều tất yếu để duy trì hoạt động thương mại, quản trị nhân sự và vận hành hệ thống công nghệ. Tuy nhiên, dưới góc độ an ninh quốc gia và quyền riêng tư, đây là khu vực tiềm ẩn rủi ro pháp lý khổng lồ.
Căn cứ theo khoản 14 Điều 2 và khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hoạt động chuyển dữ liệu cá nhân ra nước ngoài được định nghĩa rõ ràng thông qua 3 kịch bản cốt lõi:
- Kịch bản 1: Chuyển dịch vật lý/logic hệ thống lưu trữ. Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam (Ví dụ: Đẩy dữ liệu từ máy chủ local lên AWS, Google Cloud, Microsoft Azure có Data Center đặt tại Singapore hoặc Mỹ).
- Kịch bản 2: Chuyển giao cho chủ thể nước ngoài. Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài (Ví dụ: Công ty con tại Việt Nam gửi báo cáo nhân sự, danh sách khách hàng cho Công ty mẹ tại Nhật Bản, Hàn Quốc).
- Kịch bản 3: Xử lý qua nền tảng xuyên biên giới. Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam (Ví dụ: Sử dụng phần mềm SaaS như Salesforce, HubSpot, SAP đặt máy chủ ở nước ngoài để quản lý CRM khách hàng Việt Nam).
Quy định này bao quát gần như toàn bộ các hình thức vận hành công nghệ phổ biến hiện nay. Doanh nghiệp cần xác định đúng trường hợp chuyển dữ liệu của mình để thực hiện các nghĩa vụ pháp lý tương ứng. Việc phân biệt 3 trường hợp chuyển dữ liệu cá nhân xuyên biên giới giúp doanh nghiệp nhận diện chính xác hoạt động của mình, từ đó thiết lập cơ chế xin sự đồng ý hợp pháp và chuẩn bị hồ sơ giải trình với cơ quan chức năng.
Tại sao việc kiểm soát chuyển dữ liệu cá nhân xuyên biên giới lại quan trọng?
Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, việc chuyển dữ liệu ra khỏi biên giới quốc gia đồng nghĩa với việc dữ liệu đó thoát khỏi sự bảo vệ trực tiếp của hệ thống pháp luật Việt Nam. Điều này đặt ra 3 rủi ro lớn mà Nhà nước bắt buộc phải quản lý:
- Bảo vệ chủ quyền dữ liệu quốc gia: Dữ liệu cá nhân của hàng triệu công dân, đặc biệt là dữ liệu nhạy cảm (sinh trắc học, tài chính, y tế), nếu bị chuyển giao cho các tổ chức nước ngoài không có cơ chế bảo mật tương đương, có thể đe dọa trực tiếp đến an ninh quốc gia.
- Bảo vệ quyền lợi của công dân: Khi dữ liệu nằm ở nước ngoài, nếu xảy ra sự cố rò rỉ (Data Breach), công dân Việt Nam sẽ rất khó khăn trong việc khiếu nại, khởi kiện và yêu cầu bồi thường thiệt hại do rào cản về thẩm quyền tài phán quốc tế.
- Ngăn chặn tội phạm mạng xuyên quốc gia: Việc kiểm soát luồng dữ liệu giúp Bộ Công an (Cục A05) theo dõi, phát hiện và ngăn chặn các hành vi mua bán dữ liệu trái phép, lừa đảo công nghệ cao hoặc rửa tiền qua không gian mạng.
Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là gì?
Tóm tắt nhanh: Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là bộ tài liệu pháp lý mang tính giải trình, chứng minh doanh nghiệp đã nhận diện rủi ro, áp dụng biện pháp bảo mật và có cơ chế ràng buộc trách nhiệm với bên nhận dữ liệu ở nước ngoài.
Căn cứ theo khoản 1 và khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP, cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới bắt buộc phải lập hồ sơ đánh giá tác động. Bộ hồ sơ này không chỉ là thủ tục hành chính mà là minh chứng cho năng lực tuân thủ (Compliance) của doanh nghiệp. Hồ sơ bao gồm các tài liệu trọng yếu sau đây:
- Báo cáo đánh giá tác động: Phải được lập theo đúng định dạng của Mẫu số 09 tại Phụ lục của Nghị định 356/2025/NĐ-CP. Báo cáo này yêu cầu mô tả chi tiết mục đích, loại dữ liệu, biện pháp bảo vệ, và đánh giá mức độ rủi ro.
- Văn bản ràng buộc pháp lý: Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới (Thường được gọi là Standard Contractual Clauses – SCCs hoặc Data Processing Agreement – DPA).
- Tài liệu nội bộ: Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu.
Doanh nghiệp có thể tham khảo hướng dẫn soạn Mẫu 09 theo Nghị định 356/2025/NĐ-CP được biên soạn bởi Luật DPO để hoàn thiện hồ sơ tuân thủ yêu cầu pháp luật một cách chính xác nhất, tránh tình trạng bị Cục A05 trả hồ sơ yêu cầu làm lại nhiều lần.
Hợp đồng chuyển giao dữ liệu cá nhân xuyên biên giới cần đáp ứng điều kiện gì?
Một trong những điểm “tử huyệt” khiến hồ sơ chuyển dữ liệu bị từ chối là Hợp đồng chuyển giao không đạt chuẩn. Theo khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, bên chuyển và bên nhận dữ liệu phải xác lập thỏa thuận bằng văn bản, trong đó bắt buộc làm rõ 7 nội dung cốt lõi:
- Mục đích chuyển giao dữ liệu cá nhân.
- Đối tượng chủ thể dữ liệu và loại dữ liệu cá nhân được chuyển giao.
- Thời hạn xử lý, yêu cầu về xóa, hủy dữ liệu sau khi hoàn thành mục đích.
- Cơ sở pháp lý của việc chuyển giao.
- Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao và xử lý tại nước ngoài.
- Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân (quyền xóa, quyền rút lại sự đồng ý…).
- Trách nhiệm phối hợp và tuân thủ của các bên khi phát hiện sự cố rò rỉ hoặc vi phạm.
Đặc biệt, theo khoản 2 Điều 7 Nghị định này, nếu có hoạt động chuyển giao dữ liệu cá nhân nhạy cảm, hợp đồng phải quy định cực kỳ khắt khe về biện pháp bảo mật vật lý đối với thiết bị lưu trữ, biện pháp mã hóa (Encryption), ẩn danh dữ liệu (Anonymization) trong quá trình truyền tải. Doanh nghiệp cần rà soát đầy đủ yêu cầu về hợp đồng chuyển giao dữ liệu cá nhân xuyên biên giới trước khi ký kết để bảo đảm các nghĩa vụ được xác lập vững chắc trước pháp luật.
TƯ VẤN ĐẦU TƯ NƯỚC NGOÀI (FDI) & COMPLIANCE
Giải pháp pháp lý toàn diện cho doanh nghiệp FDI tại Việt Nam: Từ thủ tục cấp Giấy chứng nhận đầu tư, thiết lập quy trình luân chuyển dữ liệu về công ty mẹ, đến tuân thủ pháp luật lao động và thương mại.
Quy trình và thời hạn nộp báo cáo đánh giá tác động (SOP Chuẩn)
Căn cứ theo khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải nộp 01 bản chính hồ sơ về cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05) kèm theo Thông báo theo Mẫu số 01a (dành cho tổ chức) hoặc Mẫu số 01b (dành cho cá nhân).
Doanh nghiệp có thể lựa chọn nộp trực tuyến qua Cổng dịch vụ công quốc gia, nộp trực tiếp tại trụ sở Cục A05, hoặc gửi qua dịch vụ bưu chính. Dưới đây là bảng tổng hợp các mốc thời hạn mang tính “sống còn” mà bộ phận pháp chế cần ghi nhớ:
| Giai đoạn thực hiện | Thời hạn theo luật định | Trách nhiệm của doanh nghiệp & Cơ quan quản lý |
|---|---|---|
| Nộp hồ sơ ban đầu | 60 ngày kể từ ngày tiến hành chuyển dữ liệu | Doanh nghiệp nộp 01 bản chính hồ sơ theo Mẫu số 09 kèm thông báo Mẫu số 01a/01b. |
| Cơ quan chuyên trách đánh giá | 15 ngày làm việc | Cục A05 đánh giá và trả kết quả hồ sơ đạt hoặc không đạt yêu cầu. |
| Hoàn thiện hồ sơ (Nếu bị trả về) | 30 ngày kể từ ngày nhận yêu cầu | Doanh nghiệp bắt buộc phải bổ sung, giải trình và hoàn thiện hồ sơ theo đúng yêu cầu của Cục A05. |
| Thông báo hoàn tất | Ngay sau khi chuyển thành công | Bên chuyển dữ liệu phải gửi thông báo bằng văn bản cho Cục A05 về việc chuyển dữ liệu đã diễn ra thành công. |
Bảng trên cho thấy doanh nghiệp cần chủ động hoàn thiện hồ sơ ngay từ khi bắt đầu hoạt động chuyển dữ liệu. Việc chậm trễ nộp hồ sơ hoặc không hoàn thiện hồ sơ trong thời hạn 30 ngày khi bị yêu cầu sẽ dẫn đến việc bị xử phạt vi phạm hành chính rất nặng.
Chuẩn bị hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới chuẩn pháp lý.
Khi nào doanh nghiệp phải cập nhật hồ sơ đánh giá tác động đã nộp?
Việc nộp hồ sơ không phải là thủ tục “làm một lần rồi thôi”. Theo Điều 20 Nghị định 356/2025/NĐ-CP, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải được cập nhật liên tục để phản ánh đúng thực tế vận hành.
Doanh nghiệp cần theo dõi thường xuyên các thay đổi trong hoạt động công nghệ để thực hiện đúng nghĩa vụ sau khi nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Việc cập nhật phải được thực hiện theo Mẫu số 03a/03b. Các trường hợp cần cập nhật cụ thể như sau:
- Cập nhật định kỳ 06 tháng: Bắt buộc thực hiện khi phát sinh mục đích chuyển dữ liệu mới; hoặc phát sinh, thay đổi các chủ thể tham gia (Bên kiểm soát, Bên xử lý, Bên thứ ba ở nước ngoài).
- Cập nhật khẩn cấp trong 10 ngày: Phải thực hiện ngay khi doanh nghiệp được tổ chức lại, sáp nhập, giải thể; thay đổi thông tin của tổ chức cung cấp dịch vụ bảo vệ dữ liệu (DPO thuê ngoài); hoặc thay đổi ngành nghề kinh doanh liên quan đến xử lý dữ liệu.
💡 Luật DPO chia sẻ: Doanh nghiệp nên thiết lập cơ chế rà soát định kỳ (Data Audit) giữa phòng Pháp chế và phòng IT để kịp thời cập nhật hồ sơ khi có thay đổi (ví dụ: đổi nhà cung cấp Cloud từ AWS sang Google), tránh tình trạng hồ sơ đã nộp trở thành “giấy lộn” và bị phạt vì khai báo sai sự thật.
Các trường hợp được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới
Không phải mọi luồng dữ liệu đi ra khỏi Việt Nam đều phải lập hồ sơ DPIA. Nhằm tạo điều kiện thuận lợi cho các hoạt động thiết yếu, pháp luật đã quy định các “vùng an toàn”. Theo khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP, các trường hợp được miễn trừ bao gồm:
- Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền.
- Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của chính người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây (Lưu ý: Chỉ áp dụng cho dữ liệu nhân sự nội bộ, không áp dụng cho dữ liệu khách hàng).
- Chủ thể dữ liệu cá nhân tự chuyển dữ liệu của chính mình xuyên biên giới.
- Hoạt động báo chí, truyền thông theo quy định của pháp luật.
- Chuyển dữ liệu cá nhân đã được công khai hợp pháp.
- Trong các tình huống khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân.
- Hoạt động chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động của tập đoàn đa quốc gia.
- Việc cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện thủ tục hậu cần, chuyển tiền, thanh toán quốc tế, đặt phòng khách sạn, xin thị thực (visa), xin học bổng.
Doanh nghiệp có thể tham khảo chi tiết các trường hợp ngoại lệ không phải nộp hồ sơ khi chuyển dữ liệu cá nhân xuyên biên giới để tối ưu hóa quy trình pháp lý nội bộ, tránh lãng phí nguồn lực vào các thủ tục không bắt buộc.
Chế tài xử phạt vi phạm quy định về chuyển dữ liệu xuyên biên giới (Cập nhật Nghị định 330/2026/NĐ-CP)
Tóm tắt chuyên môn: Sự ra đời của Nghị định 330/2026/NĐ-CP đã biến các quy định về dữ liệu trở thành “vòng kim cô” pháp lý thực sự. Mức phạt không còn tính bằng chục triệu, mà được tính bằng Tỷ lệ phần trăm (%) doanh thu hoặc lên tới hàng tỷ đồng, đi kèm hình phạt đóng cửa hệ thống.
Căn cứ theo Điều 56 Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, các mức phạt được phân cấp cực kỳ nghiêm khắc:
- Phạt tiền từ 30.000.000 VNĐ đến 50.000.000 VNĐ: Đối với các lỗi hành chính như không lập hồ sơ, không nộp hồ sơ trong hạn 60 ngày, không hoàn thiện hồ sơ khi bị Cục A05 yêu cầu, hoặc không cập nhật hồ sơ định kỳ.
- Phạt tiền từ 50.000.000 VNĐ đến 100.000.000 VNĐ: Đối với các lỗi hệ thống như không có hợp đồng ràng buộc trách nhiệm (SCCs) với bên nhận ở nước ngoài, không xin sự đồng ý của khách hàng về việc chuyển dữ liệu ra nước ngoài, không áp dụng biện pháp bảo mật mã hóa, hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng của Cục A05.
Mức phạt “Hủy diệt” tính theo % Doanh thu
Đặc biệt, khoản 3 Điều 56 Nghị định 330/2026/NĐ-CP quy định mức phạt tính theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức chuyển dữ liệu mà không lập hồ sơ, che giấu dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân:
- Phạt từ 1% đến 2% doanh thu: Nếu làm lộ dữ liệu của từ 10.000 đến dưới 100.000 công dân Việt Nam.
- Phạt từ 2% đến 3% doanh thu: Nếu làm lộ dữ liệu của từ 100.000 đến dưới 1.000.000 công dân Việt Nam.
- Phạt từ 3% đến 5% doanh thu: Nếu làm lộ dữ liệu của từ 1.000.000 công dân trở lên, hoặc cố tình chuyển dữ liệu sau khi bị Cục A05 cấm, gây tổn hại an ninh quốc gia.
(Trường hợp doanh nghiệp không có doanh thu tại Việt Nam, mức phạt tiền tuyệt đối sẽ áp dụng từ 200.000.000 VNĐ lên tới 3.000.000.000 VNĐ).
Chưa dừng lại ở đó, cơ quan chức năng sẽ áp dụng hình phạt bổ sung là Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng. Đối với các nền tảng công nghệ, việc bị cắt đứt luồng dữ liệu quốc tế trong 1 năm đồng nghĩa với việc phá sản.
Vi phạm quy định chuyển dữ liệu xuyên biên giới có thể bị phạt tới 5% doanh thu.
Cơ quan nào có quyền yêu cầu doanh nghiệp ngừng chuyển dữ liệu xuyên biên giới?
Theo khoản 5 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 8 Điều 17 Nghị định 356/2025/NĐ-CP, cơ quan chuyên trách bảo vệ dữ liệu cá nhân – cụ thể là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) thuộc Bộ Công an – có quyền quyết định yêu cầu doanh nghiệp ngừng chuyển dữ liệu ra nước ngoài. Quyết định này được đưa ra khi phát hiện dữ liệu được sử dụng vào hoạt động xâm phạm lợi ích, an ninh quốc gia, hoặc doanh nghiệp để xảy ra sự cố lộ, mất dữ liệu nghiêm trọng.
Những sai lầm thường gặp khi chuyển dữ liệu ra nước ngoài và giải pháp từ Luật DPO
| Hành vi thực tiễn của Doanh nghiệp | Sai lầm pháp lý (Rủi ro bị phạt) | Giải pháp chuẩn mực từ Luật DPO |
|---|---|---|
| Sử dụng Google Workspace, AWS, Azure để lưu trữ dữ liệu khách hàng. | Cho rằng đây chỉ là “thuê máy chủ”, không nhận thức được đây là hành vi Chuyển dữ liệu xuyên biên giới. Không lập Mẫu 09. | Đánh giá lại toàn bộ kiến trúc Cloud. Lập Hồ sơ đánh giá tác động (Mẫu 09) nộp Cục A05 để hợp pháp hóa luồng dữ liệu. |
| Ký hợp đồng dịch vụ chung chung với đối tác nước ngoài. | Hợp đồng thiếu 7 điều khoản bắt buộc về bảo vệ dữ liệu theo Điều 7 NĐ 356/2025. | Soạn thảo Phụ lục Hợp đồng xử lý dữ liệu (DPA) hoặc Điều khoản hợp đồng chuẩn (SCCs) ràng buộc chặt chẽ trách nhiệm bên nhận. |
| Xin sự đồng ý của khách hàng bằng một dòng “Tôi đồng ý với Điều khoản sử dụng”. | Vi phạm quy định về “Sự đồng ý rõ ràng”. Không thông báo cho khách hàng biết dữ liệu của họ sẽ bị đưa ra khỏi Việt Nam. | Thiết kế lại UI/UX phần Checkbox. Tách bạch rõ ràng mục xin phép chuyển dữ liệu ra nước ngoài, nêu rõ quốc gia đích đến. |
Bảo Vệ Tối Đa Quyền Lợi
Dịch Vụ Đại Diện Pháp Lý & Giải Quyết Khủng Hoảng Dữ Liệu
Khi doanh nghiệp đối mặt với nguy cơ thanh tra từ Cục A05 hoặc xảy ra sự cố rò rỉ dữ liệu, Luật DPO sẽ trực tiếp đại diện giải trình, đàm phán và thiết lập phương án ứng phó khẩn cấp để bảo vệ uy tín thương hiệu.
Hotline Luật sư: 0976926655
Câu hỏi thường gặp về chuyển dữ liệu xuyên biên giới (FAQs)
Lưu trữ dữ liệu trên nền tảng đám mây nước ngoài có được xem là chuyển dữ liệu xuyên biên giới không?
Có. Theo điểm c khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và điểm a khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP, việc doanh nghiệp sử dụng nền tảng điện toán đám mây (Cloud) đặt ngoài lãnh thổ Việt Nam để lưu trữ, xử lý dữ liệu cá nhân được thu thập tại Việt Nam chính xác là hành vi chuyển dữ liệu cá nhân xuyên biên giới và bắt buộc phải lập hồ sơ khai báo.
Doanh nghiệp siêu nhỏ có được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới không?
Không. Doanh nghiệp siêu nhỏ có hoạt động chuyển dữ liệu xuyên biên giới vẫn phải lập hồ sơ đánh giá tác động (Mẫu 09) theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025. Điều kiện miễn trừ 05 năm đầu (theo Điều 38 của Luật) chỉ áp dụng cho việc lập Hồ sơ đánh giá tác động xử lý dữ liệu nội bộ (Mẫu 10) và nghĩa vụ chỉ định nhân sự DPO, không áp dụng cho luồng dữ liệu quốc tế.
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân mất bao lâu để đánh giá hồ sơ?
Cục A05 (Bộ Công an) sẽ tiến hành đánh giá và trả kết quả hồ sơ đạt hoặc không đạt yêu cầu trong thời hạn 15 ngày. Nếu hồ sơ chưa đầy đủ, thiếu sót hợp đồng ràng buộc hoặc đánh giá rủi ro sơ sài, cơ quan sẽ ra thông báo yêu cầu doanh nghiệp hoàn thiện lại trong thời hạn 30 ngày.
Doanh nghiệp lưu dữ liệu cá nhân của người lao động của mình trên dịch vụ điện toán đám mây có phải lập hồ sơ không?
Không. Theo điểm b khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và điểm b khoản 6 Điều 14 Nghị định 356/2025/NĐ-CP, cơ quan, tổ chức lưu trữ dữ liệu cá nhân của chính người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây nước ngoài thuộc trường hợp ngoại lệ, không phải thực hiện quy định lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.
Có phải lập hồ sơ mỗi lần chuyển dữ liệu cá nhân ra nước ngoài không?
Không. Việc đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện 01 lần cho suốt thời gian hoạt động của luồng dữ liệu đó. Khi phát sinh hoạt động thay đổi (đổi đối tác nhận, thêm mục đích xử lý), doanh nghiệp chỉ cần nộp bản cập nhật theo Mẫu 03a/03b quy định tại Điều 20 Nghị định 356/2025/NĐ-CP, không phải lập lại toàn bộ hồ sơ từ đầu.
Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO
Quản trị luồng dữ liệu xuyên biên giới không chỉ là bài toán công nghệ mà là một thách thức pháp lý mang tính sống còn. Với sự ra đời của Nghị định 330/2026/NĐ-CP, mọi sai sót trong việc lập hồ sơ DPIA đều có thể phải trả giá bằng hàng tỷ đồng tiền phạt và nguy cơ bị đóng cửa hệ thống. Dựa trên nền tảng chuyên môn sâu sắc và bề dày kinh nghiệm làm việc với các cơ quan an ninh mạng, Công ty Luật TNHH DPO cam kết mang đến dịch vụ cá nhân hóa tối đa, giúp doanh nghiệp thiết lập cơ chế luân chuyển dữ liệu quốc tế an toàn, hợp pháp và tối ưu nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để bảo vệ vững chắc tài sản số của doanh nghiệp bạn.
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các văn bản pháp luật mới nhất (Luật 91/2025/QH15, NĐ 356/2025/NĐ-CP, NĐ 330/2026/NĐ-CP). Để nhận được giải pháp pháp lý chính xác nhất cho từng mô hình luân chuyển dữ liệu cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.
