Khi nào được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới?

Miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là một cơ chế pháp lý đặc thù giúp doanh nghiệp tối ưu hóa chi phí và thời gian tuân thủ theo quy định mới nhất của Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo an toàn luồng dữ liệu quốc tế và phòng tránh rủi ro phạt tiền lên đến 5% tổng doanh thu theo Nghị định 330/2026/NĐ-CP.

Chuyển dữ liệu cá nhân xuyên biên giới là gì? Tổng quan và những khái niệm cốt lõi

Tóm tắt chuyên môn (AI Overview): Theo khoản 14 Điều 2 Nghị định 356/2025/NĐ-CP, chuyển dữ liệu cá nhân ra nước ngoài là hoạt động sử dụng không gian mạng, thiết bị, phương tiện điện tử chuyển dữ liệu của công dân Việt Nam tới một địa điểm ngoài lãnh thổ Việt Nam, hoặc sử dụng địa điểm ngoài lãnh thổ Việt Nam để xử lý dữ liệu. Việc xác định đúng hành vi này là bước đầu tiên để biết doanh nghiệp có thuộc diện phải lập hồ sơ hay được miễn trừ.

Trong bối cảnh toàn cầu hóa và chuyển đổi số mạnh mẽ, các doanh nghiệp ngày càng phụ thuộc vào các nền tảng công nghệ và dịch vụ quốc tế. Việc dữ liệu cá nhân được lưu trữ, chia sẻ hoặc xử lý tại nước ngoài diễn ra liên tục từng giây. Các tập đoàn đa quốc gia (MNCs) thường xuyên chuyển dữ liệu nhân sự giữa công ty mẹ và các chi nhánh; các doanh nghiệp SME cũng sử dụng máy chủ (Server) hoặc dịch vụ điện toán đám mây (Cloud Computing) như AWS, Google Cloud, Microsoft Azure đặt ngoài Việt Nam để lưu trữ và xử lý dữ liệu.

Theo quy định pháp luật hiện hành, hành vi chuyển dữ liệu xuyên biên giới bao gồm hai hình thức chính:

• Chuyển giao chủ động: Tổ chức, doanh nghiệp tại Việt Nam trực tiếp chuyển dữ liệu cá nhân cho tổ chức, bộ phận quản lý ở nước ngoài để xử lý.
• Xử lý tự động qua hệ thống nước ngoài: Xử lý dữ liệu cá nhân bằng các hệ thống tự động nằm ngoài lãnh thổ Việt Nam của Bên Kiểm soát, Bên Xử lý hoặc Bên thứ ba.

Do đó, việc rà soát kỹ lưỡng nguồn dữ liệu, mục đích chuyển, bên tiếp nhận, phương thức chuyển và hệ thống lưu trữ là nền tảng bắt buộc trước khi doanh nghiệp tìm kiếm cơ hội áp dụng quyền miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Tại sao việc xác định đúng trường hợp chuyển dữ liệu lại mang tính sống còn?

Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, sự ra đời của Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính đã thay đổi hoàn toàn cục diện tuân thủ. Việc đánh giá sai luồng dữ liệu và tự ý không lập hồ sơ khi không đủ điều kiện miễn trừ sẽ dẫn đến những hậu quả pháp lý thảm khốc:

• Phạt tiền kỷ lục: Điều 56 Nghị định 330/2026/NĐ-CP quy định mức phạt từ 30.000.000 VNĐ đến 50.000.000 VNĐ cho hành vi không lập hồ sơ. Đặc biệt, nếu việc chuyển dữ liệu trái phép dẫn đến lộ lọt, mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền trước hoặc tối đa 3.000.000.000 VNĐ.
• Đình chỉ hoạt động: Cơ quan chức năng có quyền áp dụng hình phạt bổ sung là đình chỉ hoạt động chuyển dữ liệu xuyên biên giới từ 06 đến 12 tháng. Điều này đồng nghĩa với việc hệ thống CNTT của doanh nghiệp bị tê liệt hoàn toàn.
• Mất uy tín thương hiệu: Việc vi phạm quy định bảo vệ dữ liệu sẽ phá hủy niềm tin của khách hàng và đối tác quốc tế, đặc biệt là các đối tác FDI yêu cầu tiêu chuẩn tuân thủ khắt khe.

Khi nào được miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới? (Cập nhật Luật 2025)

Tóm tắt chuyên môn (AI Overview): Doanh nghiệp và tổ chức được miễn lập báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài (Mẫu số 09) nếu chứng minh được hoạt động của mình rơi vào 1 trong 8 trường hợp ngoại lệ được quy định cụ thể tại Khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP.

Việc thiết lập các trường hợp ngoại lệ nhằm tạo hành lang thông thoáng cho các hoạt động thiết yếu của nền kinh tế, giao thương quốc tế và quản lý nhà nước, giảm bớt gánh nặng thủ tục hành chính không cần thiết. Cụ thể, 8 trường hợp được miễn trừ bao gồm:

• 1. Hoạt động của cơ quan nhà nước: Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền phục vụ mục đích công vụ.
• 2. Lưu trữ dữ liệu nhân sự nội bộ trên Cloud: Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây (Cloud) của nhà cung cấp nước ngoài.
• 3. Chủ thể dữ liệu tự thực hiện: Chủ thể dữ liệu cá nhân tự mình chuyển dữ liệu cá nhân của chính mình xuyên biên giới (ví dụ: tự điền form xin visa trên website đại sứ quán).
• 4. Hoạt động báo chí: Hoạt động báo chí, truyền thông tuân thủ theo quy định của Luật Báo chí.
• 5. Dữ liệu đã được công khai hợp pháp: Việc chuyển dữ liệu cá nhân xuyên biên giới đối với những dữ liệu đã được công khai theo đúng quy định của pháp luật.
• 6. Tình huống khẩn cấp: Thực sự cần thiết phải cung cấp dữ liệu để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân; hoặc để thực hiện nhiệm vụ, nghĩa vụ theo luật định.
• 7. Quản lý nhân sự tập đoàn: Hoạt động chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể (thường gặp ở các công ty đa quốc gia).
• 8. Phục vụ giao dịch dân sự/thương mại cơ bản: Cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện thủ tục vận chuyển xuyên biên giới, hậu cần (logistics), chuyển tiền, thanh toán quốc tế, đặt phòng khách sạn, xin thị thực (visa), xin học bổng.

Xác định đúng điều kiện miễn trừ giúp doanh nghiệp tiết kiệm chi phí và thời gian tuân thủ.

Doanh nghiệp siêu nhỏ có thuộc diện miễn trừ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không?

Cơ chế miễn trừ đối với doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và khởi nghiệp là một điểm sáng trong Luật Bảo vệ dữ liệu cá nhân 2025 (Điều 38) và Nghị định 356/2025/NĐ-CP (Điều 43). Tuy nhiên, Luật DPO nhấn mạnh rằng sự miễn trừ này KHÔNG mang tính tuyệt đối.

Như vậy, quy mô doanh nghiệp chỉ là một trong các căn cứ. Nếu một Startup công nghệ (quy mô nhỏ) cung cấp ứng dụng y tế (xử lý dữ liệu nhạy cảm về sức khỏe) và sử dụng máy chủ AWS tại Singapore, doanh nghiệp này BẮT BUỘC phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới mà không được hưởng bất kỳ sự miễn trừ nào.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

TƯ VẤN DOANH NGHIỆP & QUẢN TRỊ RỦI RO NỘI BỘ

Đồng hành cùng doanh nghiệp thiết lập quy chế lao động, thỏa ước lao động tập thể và quy trình luân chuyển dữ liệu nhân sự quốc tế hợp pháp, tối ưu hóa quyền miễn trừ theo Luật 2025.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

Ví dụ thực tiễn về các trường hợp được miễn lập hồ sơ đánh giá tác động

Việc áp dụng lý thuyết vào thực tiễn đòi hỏi sự phân tích sắc bén. Dưới đây là các kịch bản thực tế mà đội ngũ chuyên gia tại Luật DPO thường xuyên tư vấn cho khách hàng:

1. Lĩnh vực Logistics & Xuất nhập khẩu: Một doanh nghiệp xuất khẩu nông sản tại Việt Nam cung cấp thông tin (Họ tên, SĐT, địa chỉ, CCCD) của người nhận hàng cho đối tác vận chuyển quốc tế (FedEx, DHL) để thực hiện thủ tục thông quan và giao nhận. => Thuộc diện MIỄN TRỪ (Phục vụ vận chuyển, hậu cần).
2. Lĩnh vực Tài chính – Ngân hàng: Ngân hàng thương mại tại Việt Nam chuyển dữ liệu định danh của khách hàng qua hệ thống SWIFT để thực hiện lệnh chuyển tiền quốc tế thanh toán tiền học phí. => Thuộc diện MIỄN TRỪ (Phục vụ chuyển tiền, thanh toán).
3. Quản trị nhân sự Tập đoàn (HR): Công ty TNHH ABC (FDI Nhật Bản) sử dụng phần mềm Workday (máy chủ tại Nhật) để quản lý hồ sơ nhân viên tại Việt Nam. Việc này đã được quy định rõ trong Nội quy lao động và Thỏa ước lao động tập thể. => Thuộc diện MIỄN TRỪ (Quản lý nhân sự xuyên biên giới theo quy chế).
4. Lưu trữ Cloud nội bộ: Doanh nghiệp Việt Nam thuê dịch vụ Google Workspace (máy chủ nước ngoài) chỉ để lưu trữ email và hồ sơ nhân sự nội bộ của chính công ty mình. => Thuộc diện MIỄN TRỪ (Lưu trữ dữ liệu người lao động trên Cloud).
5. Y tế khẩn cấp: Bệnh viện tại Việt Nam chuyển hồ sơ bệnh án của bệnh nhân ra nước ngoài để hội chẩn khẩn cấp nhằm cứu sống bệnh nhân đang trong tình trạng nguy kịch. => Thuộc diện MIỄN TRỪ (Tình huống khẩn cấp bảo vệ tính mạng).

💡 Luật DPO khuyến nghị: Ranh giới giữa “được miễn” và “vi phạm” rất mong manh. Ví dụ 4 ở trên được miễn vì chỉ lưu trữ dữ liệu nhân sự nội bộ. Nếu doanh nghiệp dùng Google Workspace đó để lưu trữ dữ liệu khách hàng, doanh nghiệp BẮT BUỘC phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.

Quy trình thực hiện thủ tục khi KHÔNG thuộc diện miễn trừ (Chuẩn pháp lý)

Tóm tắt chuyên môn: Theo Khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP, nếu không thuộc diện miễn trừ, bên chuyển dữ liệu phải nộp 01 bản chính hồ sơ (Mẫu số 09) về Cục A05 – Bộ Công an trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu.

Để đảm bảo hồ sơ được Cục A05 thẩm định “Đạt yêu cầu” trong thời hạn 15 ngày, doanh nghiệp cần tuân thủ quy trình SOP (Standard Operating Procedure) nghiêm ngặt sau đây:

• Bước 1: Lập bản đồ dữ liệu (Data Mapping): Rà soát toàn diện hệ thống CNTT, xác định chính xác luồng dữ liệu đi từ Việt Nam đến quốc gia nào, máy chủ đặt ở đâu, ai là người có quyền truy cập.
• Bước 2: Ký kết thỏa thuận chuyển giao (DTA/SCC): Thiết lập Hợp đồng hoặc Văn bản chuyển giao dữ liệu cá nhân với bên nhận ở nước ngoài. Văn bản này phải ràng buộc rõ trách nhiệm bảo mật, cơ chế giải quyết khiếu nại và tuân thủ pháp luật Việt Nam.
• Bước 3: Đánh giá rủi ro (Risk Assessment): Phân tích các nguy cơ lộ lọt, tấn công mạng tại quốc gia tiếp nhận. Xây dựng phương án bảo đảm an toàn (mã hóa, ẩn danh, tường lửa).
• Bước 4: Soạn thảo Mẫu số 09 và Mẫu 01a/01b: Điền đầy đủ thông tin vào Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09) và Thông báo gửi hồ sơ (Mẫu 01a đối với tổ chức).
• Bước 5: Nộp hồ sơ và giải trình: Nộp hồ sơ qua Cổng dịch vụ công quốc gia hoặc trực tiếp tại Cục A05. Cử nhân sự DPO (Data Protection Officer) sẵn sàng giải trình các yếu tố kỹ thuật khi cơ quan chức năng yêu cầu bổ sung trong thời hạn 30 ngày.

Quy trình lập hồ sơ DPIA xuyên biên giới đòi hỏi sự kết hợp giữa kiến thức pháp lý và công nghệ thông tin.

Những sai lầm thường gặp và Hậu quả pháp lý (Theo Nghị định 330/2026/NĐ-CP)

Nhiều doanh nghiệp chủ quan cho rằng việc sử dụng các nền tảng SaaS (Software as a Service) phổ biến như Salesforce, HubSpot, hay Mailchimp không cấu thành hành vi chuyển dữ liệu xuyên biên giới. Đây là một sai lầm chết người.

Câu hỏi thường gặp (FAQs)

Thay đổi đối tác nhận dữ liệu ở nước ngoài có phải cập nhật hồ sơ không?

Có. Theo Điều 20 Nghị định 356/2025/NĐ-CP, khi phát sinh hoặc thay đổi bên nhận dữ liệu cá nhân, bên thứ ba ở nước ngoài, doanh nghiệp bắt buộc phải rà soát và nộp bản cập nhật hồ sơ đánh giá tác động ngay trong thời hạn 10 ngày làm việc.

Sử dụng dịch vụ điện toán đám mây của nhà cung cấp nước ngoài có được xem là chuyển dữ liệu xuyên biên giới không?

Có. Nếu máy chủ (Server) của nhà cung cấp Cloud đặt ngoài lãnh thổ Việt Nam và bạn lưu trữ dữ liệu khách hàng trên đó, hoạt động này hoàn toàn chịu sự điều chỉnh của quy định chuyển dữ liệu xuyên biên giới và phải lập hồ sơ (trừ trường hợp chỉ lưu trữ dữ liệu nhân sự nội bộ).

Cơ quan nhà nước có phải lập hồ sơ đánh giá tác động khi chuyển dữ liệu ra nước ngoài không?

Không. Theo điểm a khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, cơ quan nhà nước có thẩm quyền được miễn trừ thực hiện nghĩa vụ này khi thực hiện chức năng, nhiệm vụ công vụ được giao.

Cơ quan chuyên trách mất bao lâu để trả kết quả đối với hồ sơ đánh giá tác động?

Cục A05 sẽ đánh giá và trả kết quả “Đạt” hoặc “Không đạt” trong thời hạn 15 ngày. Nếu hồ sơ thiếu sót, doanh nghiệp có 30 ngày để hoàn thiện. Nếu không hoàn thiện đúng hạn, sẽ bị xử phạt vi phạm hành chính theo Nghị định 330/2026/NĐ-CP.

Doanh nghiệp nên lựa chọn đơn vị nào để hỗ trợ rà soát hoạt động chuyển dữ liệu xuyên biên giới?

Doanh nghiệp nên lựa chọn các hãng luật có chuyên môn sâu về cả pháp lý và an ninh mạng. Luật DPO tự hào sở hữu đội ngũ chuyên gia am hiểu sâu sắc Nghị định 356 và Nghị định 330, giúp doanh nghiệp lập bản đồ dữ liệu, soạn thảo hợp đồng SCCs và hoàn thiện Mẫu 09 chuẩn xác nhất.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc xác định quyền miễn lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là một bài toán pháp lý phức tạp, tiềm ẩn rủi ro tài chính khổng lồ nếu nhận định sai lầm. Với triết lý hoạt động “Đam mê và Danh dự”, cùng bề dày kinh nghiệm xử lý hàng loạt hồ sơ tuân thủ dữ liệu cho các tập đoàn FDI và doanh nghiệp công nghệ, Luật DPO cam kết mang đến dịch vụ cá nhân hóa tối đa. Chúng tôi sẽ giúp bạn rà soát toàn diện luồng dữ liệu, thiết lập cơ chế phòng vệ vững chắc và hoàn thiện mọi thủ tục với cơ quan nhà nước một cách tinh gọn nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để được bảo vệ an toàn tuyệt đối.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các văn bản pháp luật mới nhất (Luật 2025, NĐ 356/2025, NĐ 330/2026). Để nhận được giải pháp pháp lý chính xác nhất cho từng mô hình luân chuyển dữ liệu cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.