Mức phạt vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới

Mức phạt vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới hiện nay được thiết lập ở mức kỷ lục theo Nghị định 330/2026/NĐ-CP, có thể lên tới 5% tổng doanh thu năm tài chính hoặc 3 tỷ VNĐ, kèm theo hình thức đình chỉ hoạt động. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo an toàn tài chính, tuân thủ tuyệt đối và bảo vệ uy tín thương hiệu trên trường quốc tế.

Chuyển dữ liệu cá nhân xuyên biên giới là gì theo quy định pháp luật?

Tóm tắt chuyên môn: Theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 17 Nghị định 356/2025/NĐ-CP, chuyển dữ liệu xuyên biên giới là việc luân chuyển dữ liệu từ Việt Nam ra hệ thống máy chủ nước ngoài, cung cấp cho tổ chức/cá nhân nước ngoài, hoặc sử dụng nền tảng quốc tế để xử lý dữ liệu thu thập tại Việt Nam. Hoạt động này bị kiểm soát nghiêm ngặt nhằm bảo vệ chủ quyền dữ liệu quốc gia.

Trong kỷ nguyên số hóa toàn cầu, hoạt động này diễn ra vô cùng phổ biến tại các tập đoàn đa quốc gia, doanh nghiệp FDI, và ngay cả các doanh nghiệp nội địa có sử dụng dịch vụ điện toán đám mây (Cloud), phần mềm quản trị (ERP, CRM) hoặc nền tảng tiếp thị đặt máy chủ tại nước ngoài (như AWS, Google Cloud, Microsoft Azure). Sự dịch chuyển thông tin này không còn là vấn đề kỹ thuật đơn thuần mà đã trở thành một rủi ro pháp lý cấp bách.

Do đó, doanh nghiệp cần rà soát toàn diện luồng dữ liệu (Data Mapping), xác định rõ nơi lưu trữ vật lý của máy chủ, bên nhận dữ liệu (Data Recipient) và mục đích xử lý để xác định đúng nghĩa vụ pháp lý. Điều này bao gồm việc xác định xem tổ chức có thuộc trường hợp bắt buộc phải lập hồ sơ đánh giá tác động (DPIA) hay thuộc diện được miễn trừ theo khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025. Ngoài ra, doanh nghiệp cần phân biệt 3 trường hợp chuyển dữ liệu cá nhân xuyên biên giới để xác định đúng nghĩa vụ pháp lý của mình, tránh việc áp dụng sai quy định dẫn đến những chế tài không đáng có.

Các hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới bao gồm những gì?

Tóm tắt chuyên môn: Căn cứ Điều 56 Nghị định 330/2026/NĐ-CP, các hành vi vi phạm trải dài từ lỗi hành chính (không nộp hồ sơ Mẫu 09 đúng hạn 60 ngày) đến các lỗi nghiêm trọng mang tính hệ thống (không có hợp đồng ràng buộc bên nhận, không mã hóa dữ liệu, phớt lờ lệnh cấm chuyển dữ liệu của Bộ Công an).

Nhiều doanh nghiệp có thể phát sinh vi phạm từ những thiếu sót tưởng chừng nhỏ nhặt trong quá trình vận hành hệ thống, đặc biệt khi sử dụng nền tảng hoặc dịch vụ ở nước ngoài mà thiếu sự tham vấn từ đội ngũ pháp chế chuyên trách (DPO). Do đó, cần xác định đúng nghĩa vụ lập hồ sơ, thời hạn nộp và các yêu cầu về bảo mật trước khi thực hiện bất kỳ thao tác “Export” hay “Sync” dữ liệu nào ra khỏi biên giới Việt Nam.

Dưới đây là các hành vi vi phạm điển hình bị cơ quan chức năng đưa vào tầm ngắm thanh tra, kiểm tra:

• Bắt đầu chuyển dữ liệu nhưng không lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu số 09).
• Không nộp bản chính hồ sơ cho Cục A05 trong thời hạn 60 ngày kể từ ngày đầu tiên luân chuyển dữ liệu.
• Không hoàn thiện hoặc không cập nhật hồ sơ định kỳ 06 tháng/lần hoặc khi có thay đổi trọng yếu theo yêu cầu của cơ quan chuyên trách.
• Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu (SCCs – Standard Contractual Clauses) với bên nhận tại nước ngoài.
• Không bảo đảm sự đồng ý rõ ràng của chủ thể dữ liệu hoặc không thông báo cho họ về việc dữ liệu bị chuyển ra nước ngoài.
• Không áp dụng biện pháp bảo mật kỹ thuật phù hợp (như mã hóa, ẩn danh) trong quá trình truyền tải hoặc không có phương án bảo đảm an toàn dữ liệu sau khi chuyển.
• Tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng chuyển từ Bộ Công an.
• Che giấu, khai báo sai lệch về dòng dữ liệu (Data Flow) dẫn đến hậu quả lộ, mất dữ liệu cá nhân quy mô lớn.

💡 Luật DPO chia sẻ: Một sai lầm chết người của nhiều CEO là cho rằng chỉ có hoạt động “mua bán dữ liệu” mới bị phạt. Thực tế, việc doanh nghiệp tự động đồng bộ (sync) dữ liệu nhân sự (HR), dữ liệu khách hàng (CRM) lên hệ thống máy chủ nội bộ của công ty mẹ ở nước ngoài mà không thực hiện đúng nghĩa vụ theo Điều 56 Nghị định 330/2026/NĐ-CP cũng cấu thành hành vi vi phạm nghiêm trọng, đối mặt với mức phạt khổng lồ.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

TƯ VẤN DOANH NGHIỆP & RÀ SOÁT HỢP ĐỒNG

Đội ngũ Luật sư DPO hỗ trợ rà soát, soạn thảo các điều khoản bảo mật dữ liệu (DPA), hợp đồng chuyển giao dữ liệu xuyên biên giới, đảm bảo đối tác nước ngoài tuân thủ tuyệt đối pháp luật Việt Nam.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

Mức phạt vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới là bao nhiêu?

Tóm tắt chuyên môn: Mức phạt được quy định chi tiết tại Điều 56 Nghị định 330/2026/NĐ-CP. Đối với các lỗi hành chính, mức phạt dao động từ 30 – 100 triệu đồng. Tuy nhiên, đối với các vi phạm gây hậu quả nghiêm trọng (lộ lọt dữ liệu) hoặc chống đối lệnh cấm, mức phạt sẽ được tính bằng 1% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam.

Cơ chế xử phạt của pháp luật Việt Nam hiện nay đã tiệm cận với các tiêu chuẩn quốc tế (như GDPR của Châu Âu), được phân loại dựa trên tính chất hành vi, yếu tố lỗi và hậu quả thực tế đối với dữ liệu cá nhân. Doanh nghiệp cần đặc biệt lưu ý các hành vi mang tính “bỏ lơ” nghĩa vụ như không lập hồ sơ đánh giá tác động, không xác lập thỏa thuận ràng buộc trách nhiệm với bên nhận hoặc ngoan cố tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng chuyển.

Bảng trên cho thấy mức phạt được thiết kế theo nhiều cấp độ răn đe. Trong đó, mức phạt theo tỷ lệ doanh thu là một “đòn bẩy” pháp lý cực kỳ mạnh tay, chỉ áp dụng đối với các hành vi và hậu quả đặc biệt nghiêm trọng được quy định tại khoản 3 Điều 56. Vì vậy, doanh nghiệp cần xác định chính xác hành vi vi phạm và quy mô dữ liệu đang nắm giữ trước khi ước tính mức phạt có thể phát sinh.

Cách tính mức phạt 5 phần trăm tổng doanh thu được áp dụng thế nào?

Mức phạt theo tỷ lệ phần trăm được tính dựa trên tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam. Đây là quy định mang tính đột phá nhằm trừng phạt đích đáng các “ông lớn” công nghệ (Big Tech) hoặc các tập đoàn đa quốc gia có doanh thu khủng nhưng lơ là công tác bảo mật.

Các tỷ lệ phạt được phân chia theo hậu quả của hành vi (số lượng chủ thể dữ liệu bị ảnh hưởng):

• Phạt từ 1% đến 2% doanh thu đối với sự cố ảnh hưởng từ 10.000 đến dưới 100.000 người.
• Phạt từ 2% đến 3% doanh thu đối với sự cố ảnh hưởng từ 100.000 đến dưới 1.000.000 người.
• Phạt kịch khung từ 3% đến 5% doanh thu đối với sự cố ảnh hưởng từ 1.000.000 người trở lên, hoặc hành vi phớt lờ lệnh cấm chuyển dữ liệu gây tổn hại đến quốc phòng, an ninh quốc gia.

Các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả là gì?

Ngoài hình phạt chính là phạt tiền, tổ chức vi phạm sẽ phải đối mặt với các hình thức xử phạt bổ sung mang tính “hủy diệt” đối với hoạt động kinh doanh. Theo khoản 5 và khoản 6 Điều 56 Dự thảo Nghị định 330/2026/NĐ-CP, cơ quan chức năng có quyền áp dụng:

• Tịch thu tang vật, phương tiện: Tịch thu máy chủ, hệ thống lưu trữ được sử dụng để thực hiện hành vi vi phạm.
• Đình chỉ hoạt động: Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng. Điều này đồng nghĩa với việc doanh nghiệp bị cắt đứt hoàn toàn luồng thông tin với công ty mẹ hoặc đối tác quốc tế.

Đồng thời, doanh nghiệp bắt buộc phải thực hiện các biện pháp khắc phục hậu quả vô cùng tốn kém và phức tạp:

1. Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động (Mẫu 09) đúng quy định.
2. Ngừng ngay lập tức việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được Cục A05 xác nhận.
3. Buộc yêu cầu bên nhận dữ liệu ở nước ngoài hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định và phải cung cấp bằng chứng (Log file, biên bản) cho cơ quan có thẩm quyền.
4. Buộc nộp lại toàn bộ khoản thu lợi bất hợp pháp có được từ hành vi vi phạm.

Thẩm quyền lập biên bản và xử phạt vi phạm hành chính thuộc về cơ quan nào?

Tóm tắt chuyên môn: Thẩm quyền xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân được giao chủ yếu cho lực lượng Công an nhân dân, Thanh tra chuyên ngành và Chủ tịch UBND các cấp. Đặc biệt, Cục trưởng Cục A05 có thẩm quyền xử phạt tối đa lên tới 3 tỷ đồng hoặc 5% doanh thu.

Theo quy định tại Chương III Nghị định 330/2026/NĐ-CP, thẩm quyền xử phạt được phân cấp chặt chẽ theo từng chức danh nhằm đảm bảo tính răn đe và kịp thời:

• Trưởng Công an cấp xã: Phạt tiền đến 50% mức tiền phạt tối đa (tương đương 50 triệu đồng đối với cá nhân, 100 triệu đồng đối với tổ chức).
• Trưởng phòng nghiệp vụ (Công an cấp tỉnh): Phạt tiền đến 80% mức tiền phạt tối đa.
• Giám đốc Công an cấp tỉnh: Phạt tiền đến mức tối đa của khung phạt thông thường.

Đáng chú ý nhất, Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 – Bộ Công an) được trao quyền lực tối cao trong việc xử lý các vi phạm về dữ liệu. Cục trưởng A05 có thẩm quyền quyết định mức phạt kịch khung đến 3 tỷ đồng (đối với trường hợp không có doanh thu) hoặc áp dụng mức phạt đến 5% tổng doanh thu năm tài chính liền trước đối với các tập đoàn, tổ chức có hành vi vi phạm nghiêm trọng, cố ý che giấu sự cố lộ lọt dữ liệu xuyên biên giới.

Giải pháp nào giúp doanh nghiệp phòng tránh rủi ro pháp lý khi chuyển dữ liệu?

Tóm tắt chuyên môn: Giải pháp cốt lõi là chủ động rà soát hệ thống, bổ nhiệm nhân sự DPO chuyên trách và tiến hành lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09) nộp cho Cục A05 đúng thời hạn 60 ngày theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP.

Sự chủ động trong công tác pháp chế giúp doanh nghiệp kiểm soát tốt hơn rủi ro khi chuyển dữ liệu ra nước ngoài. Doanh nghiệp tuyệt đối không được có tâm lý “chờ thanh tra mới làm”. Ngay từ bây giờ, ban lãnh đạo cần chỉ đạo rà soát toàn bộ luồng dữ liệu (Data Mapping), xác định đúng trường hợp phải lập hồ sơ hoặc được miễn trừ.

Đồng thời, cần phân công nhân sự pháp chế và công nghệ phối hợp chuẩn bị thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới để bảo đảm hồ sơ phản ánh đúng hoạt động xử lý thực tế. Hồ sơ đánh giá tác động không chỉ là việc điền chữ vào Mẫu số 09 mà còn phải bảo đảm tính logic, hợp pháp của các tài liệu đính kèm như: Hợp đồng chuyển giao dữ liệu (SCCs), chính sách bảo mật, cơ chế mã hóa, và phương án ứng phó sự cố.

Việc đối chiếu hồ sơ pháp lý với hệ thống kỹ thuật thực tế là yếu tố sống còn giúp doanh nghiệp hạn chế sai sót khi thực hiện nghĩa vụ tuân thủ. Ngoài ra, chuyên viên pháp chế cần đọc kỹ hướng dẫn soạn Mẫu 09 theo Nghị định 356/2025/NĐ-CP để tránh việc hồ sơ bị Cục A05 trả về nhiều lần, dẫn đến quá hạn 60 ngày và bị xử phạt.

Danh sách 5 Câu hỏi thường gặp về chuyển dữ liệu xuyên biên giới (FAQs)

Người dùng và các chủ doanh nghiệp thường gặp nhiều vướng mắc khi áp dụng các văn bản quy phạm pháp luật mới vào thực tiễn vận hành kinh doanh. Dưới đây là giải đáp từ chuyên gia Luật DPO:

1. Lưu trữ thông tin nhân sự trên đám mây (Cloud) nước ngoài có phải khai báo không?

Theo điểm b khoản 6 Điều 20 Nghị định 356/2025/NĐ-CP, cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây thì KHÔNG PHẢI thực hiện quy định về đánh giá tác động chuyển dữ liệu xuyên biên giới. Tuy nhiên, nếu lưu trữ dữ liệu của khách hàng trên Cloud nước ngoài thì vẫn phải lập hồ sơ Mẫu 09 bình thường.

2. Cơ quan nhà nước có cần lập báo cáo đánh giá tác động chuyển dữ liệu không?

Không. Theo điểm a khoản 6 Điều 20 Nghị định 356/2025/NĐ-CP, việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền thuộc diện được miễn trừ lập hồ sơ đánh giá tác động.

3. Thời hạn Bộ Công an trả kết quả thẩm định hồ sơ Mẫu 09 là bao lâu?

Cơ quan chuyên trách (Cục A05) sẽ đánh giá và trả kết quả đạt hoặc không đạt trong thời hạn 15 ngày kể từ khi nhận đủ bộ tài liệu hợp lệ. Nếu hồ sơ thiếu sót, Cục A05 sẽ yêu cầu hoàn thiện trong thời hạn 30 ngày.

4. Hồ sơ đánh giá tác động chuyển dữ liệu cần được cập nhật bao lâu một lần?

Tổ chức phải cập nhật định kỳ 06 tháng một lần. Trong trường hợp có các thay đổi trọng yếu (như thay đổi mục đích chuyển dữ liệu, thay đổi bên nhận dữ liệu, giải thể, sáp nhập), đơn vị phải nộp bản cập nhật ngay trong vòng 10 ngày làm việc.

5. Sử dụng dịch vụ của đơn vị tư vấn nào để bảo đảm tỷ lệ duyệt hồ sơ cao nhất?

Công ty Luật TNHH DPO sở hữu đội ngũ chuyên gia pháp lý và kỹ sư an ninh mạng giàu kinh nghiệm. Chúng tôi cam kết đồng hành cùng doanh nghiệp từ khâu rà soát mã nguồn, thiết kế luồng dữ liệu đến khi có xác nhận hợp lệ từ Cục A05, đảm bảo an toàn tuyệt đối trước các đợt thanh tra.

Danh sách tài liệu tham khảo pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: bocongan.gov.vn
• Luật An ninh mạng 2018 và 2025: thuvienphapluat.vn
• Luật Dữ liệu số 60/2024/QH15: bocongan.gov.vn
• Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân: chinhphu.vn
• Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân: luatdpo.vn

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc tuân thủ quy định về chuyển dữ liệu cá nhân xuyên biên giới không chỉ giúp doanh nghiệp né tránh các mức phạt khổng lồ mà còn là minh chứng cho năng lực quản trị rủi ro chuyên nghiệp trước các đối tác quốc tế. Với phương châm “Đam mê và Danh dự”, cùng sự am hiểu sâu sắc về hệ thống pháp luật an ninh mạng mới nhất, Luật DPO cam kết mang đến dịch vụ cá nhân hóa tối đa, giúp tổ chức của bạn hoàn thiện thủ tục Mẫu 09 nhanh chóng, hợp pháp và bảo mật tuyệt đối. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để được đội ngũ Luật sư hỗ trợ kịp thời.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các văn bản pháp luật hiện hành (Luật 91/2025/QH15, NĐ 356/2025, NĐ 330/2026). Để nhận được giải pháp pháp lý chính xác nhất cho từng mô hình luân chuyển dữ liệu cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.