Nghĩa vụ sau khi nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là chuỗi các yêu cầu pháp lý khắt khe và liên tục mà doanh nghiệp bắt buộc phải tuân thủ theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP. Việc hoàn tất nộp Mẫu số 09 cho Cục A05 không phải là bước kết thúc, mà là sự khởi đầu của quá trình giám sát tuân thủ. Doanh nghiệp cần tuân thủ nghiêm ngặt các quy định về lưu trữ, cập nhật và báo cáo sự cố ngay khi hoàn tất khai báo dữ liệu. Lựa chọn dịch vụ của Luật DPO là phương án an toàn nhất để duy trì hệ thống tuân thủ liên tục, tránh rủi ro bị đình chỉ luồng dữ liệu và phạt tiền lên đến 5% doanh thu theo Nghị định 330/2026/NĐ-CP.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp dịch vụ rà soát, lập và duy trì cập nhật Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (DPIA), đại diện doanh nghiệp giải trình trước Cục A05 – Bộ Công an.
Hotline Luật sư: 0976926655
Nghĩa vụ sau khi nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là gì? Tổng quan và khái niệm cốt lõi
Tóm tắt chuyên môn: Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không phải là một “giấy phép cấp một lần” (one-off permit). Theo quy định của pháp luật hiện hành, sau khi nộp hồ sơ, doanh nghiệp bước vào giai đoạn “tuân thủ liên tục” với 3 nghĩa vụ cốt lõi: (1) Cập nhật hồ sơ định kỳ/đột xuất, (2) Lưu trữ và sẵn sàng xuất trình phục vụ thanh tra, (3) Báo cáo sự cố rò rỉ dữ liệu trong vòng 72 giờ.
Để hiểu rõ bản chất của các nghĩa vụ này, trước tiên cần làm rõ khái niệm pháp lý:
Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là bộ hồ sơ do bên chuyển dữ liệu cá nhân xuyên biên giới lập, gồm Báo cáo đánh giá tác động theo Mẫu số 09, bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân và các chính sách, quy trình, quy định, biểu mẫu, tài liệu khác có liên quan đến bảo vệ dữ liệu cá nhân theo khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP.
Hồ sơ này là căn cứ để cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – A05) đánh giá hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Trong quá trình thực hiện hoạt động chuyển dữ liệu, bên chuyển dữ liệu (Bên kiểm soát, Bên xử lý, hoặc Bên thứ ba) có trách nhiệm lập, nộp, lưu giữ và cập nhật hồ sơ theo quy định của Nghị định 356/2025/NĐ-CP.
Doanh nghiệp cần phối hợp chặt chẽ giữa bộ phận pháp chế (Legal/Compliance) và bộ phận công nghệ thông tin (IT/Security) để xây dựng, rà soát và cập nhật hồ sơ khi có thay đổi thuộc trường hợp phải cập nhật theo Điều 20 Nghị định 356/2025/NĐ-CP, bảo đảm hồ sơ luôn đầy đủ và phản ánh chính xác luồng dữ liệu (Data Mapping) thực tế.
Tại sao việc tuân thủ nghĩa vụ sau khi nộp hồ sơ lại mang tính sống còn đối với doanh nghiệp?
Tóm tắt chuyên môn: Sự ra đời của Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đã thay đổi hoàn toàn cục diện. Việc lơ là các nghĩa vụ hậu kiểm có thể dẫn đến mức phạt lên tới 5% tổng doanh thu năm tài chính liền trước và bị đình chỉ luồng dữ liệu xuyên biên giới.
1. Tránh rủi ro phạt tiền khổng lồ theo Nghị định 330/2026/NĐ-CP
Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, nhiều doanh nghiệp lầm tưởng rằng chỉ cần nộp xong Mẫu 09 là “an toàn”. Tuy nhiên, Điều 56 Nghị định 330/2026/NĐ-CP quy định phạt tiền từ 30.000.000 VNĐ đến 50.000.000 VNĐ đối với hành vi “Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi” hoặc “Không duy trì hồ sơ ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra”.
Nghiêm trọng hơn, nếu việc không cập nhật hồ sơ dẫn đến che giấu dòng dữ liệu và gây lộ, mất dữ liệu cá nhân, doanh nghiệp có thể bị phạt theo tỷ lệ phần trăm doanh thu (từ 1% đến 5% tùy số lượng chủ thể dữ liệu bị ảnh hưởng), hoặc phạt tiền tối đa lên đến 3.000.000.000 VNĐ nếu không có doanh thu tại Việt Nam.
2. Ngăn chặn rủi ro bị đình chỉ hoạt động chuyển dữ liệu
Khoản 8 Điều 18 Nghị định 356/2025/NĐ-CP trao quyền cho Bộ Công an yêu cầu doanh nghiệp ngừng chuyển dữ liệu ra nước ngoài nếu phát hiện vi phạm. Hình thức xử phạt bổ sung tại Nghị định 330/2026/NĐ-CP cũng quy định đình chỉ hoạt động chuyển dữ liệu từ 06 đến 12 tháng. Đối với các doanh nghiệp FDI, nền tảng thương mại điện tử, hay công ty công nghệ, việc bị “cắt đứt” luồng dữ liệu với máy chủ quốc tế đồng nghĩa với việc hệ thống vận hành bị tê liệt hoàn toàn.
TƯ VẤN DOANH NGHIỆP & QUẢN TRỊ RỦI RO TUÂN THỦ
Đồng hành cùng doanh nghiệp FDI và tập đoàn đa quốc gia trong việc thiết lập quy trình luân chuyển dữ liệu nội bộ, rà soát hợp đồng Data Processing Agreement (DPA) chuẩn quốc tế.
Các quy định pháp lý mới nhất về nghĩa vụ sau khi nộp hồ sơ (Cập nhật 2025-2026)
Dựa trên hệ thống pháp luật mới nhất bao gồm Luật Bảo vệ dữ liệu cá nhân 2025, Luật Dữ liệu 2024 và Nghị định 356/2025/NĐ-CP, doanh nghiệp phải thiết lập cơ chế giám sát nội bộ để thực thi 3 nhóm nghĩa vụ trọng tâm sau:
1. Nghĩa vụ cập nhật hồ sơ định kỳ và đột xuất
Theo Điều 20 Nghị định 356/2025/NĐ-CP, bên chuyển dữ liệu cá nhân xuyên biên giới có trách nhiệm cập nhật Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới định kỳ 06 tháng một lần và cập nhật trong thời hạn 10 ngày kể từ khi có các thay đổi thuộc trường hợp pháp luật quy định.
Các rủi ro pháp lý sẽ phát sinh ngay lập tức nếu đơn vị bỏ lỡ thời hạn khai báo. Nhiều chuyên viên pháp chế thường đặt câu hỏi Khi nào doanh nghiệp phải cập nhật hồ sơ đánh giá tác động đã nộp? Dưới đây là các trường hợp bắt buộc phải cập nhật hồ sơ:
- Cập nhật định kỳ: Định kỳ 06 tháng một lần kể từ lần đầu nộp hồ sơ, ngay cả khi không có sự thay đổi lớn, doanh nghiệp vẫn phải rà soát và xác nhận tình trạng luồng dữ liệu.
- Cập nhật đột xuất (Trong 10 ngày): Khi có thay đổi thuộc các trường hợp quy định tại Điều 20, như thay đổi thông tin của bên chuyển, bên nhận (ví dụ: đổi nhà cung cấp Cloud từ AWS sang Azure), thay đổi mục đích xử lý, hoặc thay đổi loại dữ liệu cá nhân được chuyển.
- Thay đổi nhân sự DPO: Trong thời hạn 10 ngày khi có thay đổi về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (DPO) hoặc bộ phận phụ trách nội bộ.
- Tái cấu trúc doanh nghiệp: Khi cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản, sáp nhập (M&A).
2. Nghĩa vụ lưu trữ và sẵn sàng xuất trình hồ sơ phục vụ kiểm tra
Theo khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP, Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.
Doanh nghiệp cần bảo đảm hồ sơ được lưu giữ đầy đủ (bao gồm cả bản cứng có chữ ký, đóng dấu và bản mềm kỹ thuật số), thống nhất với hoạt động chuyển dữ liệu cá nhân xuyên biên giới đang thực tế diễn ra. Việc duy trì hồ sơ đầy đủ, chính xác và sẵn sàng phục vụ công tác Thanh tra, kiểm tra doanh nghiệp về bảo vệ dữ liệu cá nhân là nghĩa vụ bắt buộc. Nếu đoàn thanh tra của Cục A05 yêu cầu xuất trình mà doanh nghiệp không cung cấp được ngay, sẽ bị khép vào hành vi cản trở hoạt động kiểm tra (phạt tiền từ 50 – 100 triệu VNĐ theo Điều 56 NĐ 330/2026).
3. Thủ tục thông báo khi xảy ra sự cố hoặc vi phạm trong quá trình chuyển dữ liệu
Theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025 và Điều 23 Nghị định 356/2025/NĐ-CP, khi phát hiện hành vi vi phạm hoặc sự cố rò rỉ dữ liệu, bên kiểm soát hoặc bên xử lý phải thông báo cho Cục A05 chậm nhất trong thời hạn 72 giờ kể từ thời điểm phát hiện.
Khi xảy ra sự cố (Data Breach) tại máy chủ nước ngoài, doanh nghiệp tại Việt Nam không được phép im lặng. Việc che giấu sự cố sẽ bị phạt rất nặng (từ 40 – 60 triệu VNĐ theo Điều 54 NĐ 330/2026). Doanh nghiệp phải lập tức gửi Mẫu số 03 (Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân) mô tả rõ tính chất sự cố, số lượng dữ liệu bị ảnh hưởng và biện pháp khắc phục.
Quy trình thực hiện cập nhật hồ sơ từng bước chuẩn pháp lý
Tóm tắt chuyên môn: Việc cập nhật hồ sơ không phải là làm lại từ đầu, mà là khai báo các trường thông tin thay đổi thông qua Mẫu số 03a (đối với tổ chức) hoặc Mẫu số 03b (đối với cá nhân) ban hành kèm theo Nghị định 356/2025/NĐ-CP.
Theo khoản 3 Điều 20 Nghị định 356/2025/NĐ-CP, việc cập nhật Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện theo Mẫu số 03a hoặc Mẫu số 03b và được nộp bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính đến cơ quan chuyên trách.
Để bảo đảm việc cập nhật hồ sơ đúng quy định, doanh nghiệp thực hiện theo quy trình SOP (Standard Operating Procedure) sau do Luật DPO khuyến nghị:
- Bước 1: Rà soát định kỳ (Audit): DPO hoặc bộ phận pháp chế tiến hành rà soát luồng dữ liệu thực tế so với hồ sơ Mẫu 09 đã nộp trước đó.
- Bước 2: Lập biểu mẫu cập nhật: Chuẩn bị Mẫu số 03a (Thông báo thay đổi nội dung hồ sơ) và kê khai chi tiết phần “Mô tả tóm tắt thay đổi nội dung hồ sơ” và “Lý do thay đổi”.
- Bước 3: Chuẩn bị tài liệu chứng minh: Đính kèm các tài liệu liên quan chứng minh nội dung thay đổi (Ví dụ: Phụ lục hợp đồng DPA mới với đối tác nước ngoài, chứng chỉ bảo mật ISO 27001 mới của máy chủ Cloud).
- Bước 4: Nộp hồ sơ: Ký, đóng dấu pháp nhân và nộp hồ sơ bằng phương thức trực tuyến qua Cổng dịch vụ công quốc gia, nộp trực tiếp hoặc qua dịch vụ bưu chính đến Cục A05.
- Bước 5: Lưu trữ: Lưu giữ toàn bộ biên nhận nộp hồ sơ và tài liệu liên quan vào thư mục Compliance nội bộ để sẵn sàng phục vụ thanh tra.
Trách nhiệm giải trình và hoàn thiện hồ sơ theo yêu cầu của cơ quan chuyên trách
Theo khoản 6 Điều 18 Nghị định 356/2025/NĐ-CP, trường hợp Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới chưa đầy đủ hoặc chưa đúng quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân sẽ yêu cầu bên chuyển dữ liệu hoàn thiện hồ sơ trong thời hạn 30 ngày.
Sau khi tiếp nhận hồ sơ (kể cả hồ sơ nộp lần đầu hay hồ sơ cập nhật), Cục A05 thực hiện đánh giá và trả kết quả đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 15 ngày (theo khoản 5 Điều 18 Nghị định 356/2025/NĐ-CP). Trường hợp hồ sơ cần bổ sung, doanh nghiệp phải rà soát, chỉnh sửa và hoàn thiện theo yêu cầu của cơ quan có thẩm quyền trong thời hạn 30 ngày.
💡 Luật DPO chia sẻ: Doanh nghiệp tuyệt đối không được phớt lờ các văn bản yêu cầu giải trình từ Cục A05. Việc cố tình trì hoãn hoặc từ chối chỉnh sửa hồ sơ sẽ bị coi là hành vi chống đối, dẫn đến việc bị phạt tiền từ 50 – 100 triệu VNĐ (theo Điều 56 NĐ 330/2026) và bị đưa vào danh sách đen (blacklist) kiểm tra toàn diện.
Doanh nghiệp phải làm gì khi có yêu cầu ngừng chuyển dữ liệu ra nước ngoài?
Theo khoản 8 Điều 18 Nghị định 356/2025/NĐ-CP, Bộ Công an quyết định yêu cầu Bên chuyển dữ liệu ra nước ngoài ngừng chuyển dữ liệu trong các trường hợp: Dữ liệu bị sử dụng xâm phạm lợi ích quốc gia; Không chấp hành quy định cập nhật/hoàn thiện hồ sơ; Để xảy ra sự cố lộ, mất dữ liệu.
Đây là tình huống pháp lý nghiêm trọng nhất (Worst-case scenario). Khi nhận được quyết định yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới, doanh nghiệp không có quyền trì hoãn mà phải thực hiện ngay lập tức các hành động sau:
| Hành động doanh nghiệp cần thực hiện khẩn cấp | Mục đích & Cơ sở pháp lý |
|---|---|
| 1. Ngắt kết nối API / Dừng đồng bộ dữ liệu | Thực hiện đúng yêu cầu của cơ quan chuyên trách. Nếu tiếp tục chuyển sẽ bị phạt 3-5% doanh thu (Điều 56 NĐ 330). |
| 2. Rà soát nguyên nhân & Lập tổ công tác (Incident Response) | Xác định lỗ hổng bảo mật hoặc điểm vi phạm trong hợp đồng với đối tác nước ngoài dẫn đến quyết định đình chỉ. |
| 3. Phối hợp với bên nhận dữ liệu (Data Importer) | Yêu cầu đối tác nước ngoài tạm khóa truy cập, cung cấp log file chứng minh không có sự cố rò rỉ tiếp diễn. |
| 4. Giải trình và nộp hồ sơ khắc phục cho Cục A05 | Bảo đảm việc xử lý dữ liệu đã được khắc phục an toàn, nộp minh chứng để xin phép mở lại luồng dữ liệu xuyên biên giới. |
Việc chấp hành quyết định của cơ quan chuyên trách không chỉ là nghĩa vụ pháp lý mà còn góp phần bảo đảm an ninh quốc gia. Để khôi phục lại luồng dữ liệu, doanh nghiệp bắt buộc phải có sự tư vấn từ các Luật sư chuyên ngành an ninh mạng để soạn thảo công văn giải trình đạt chuẩn.
DỊCH VỤ DPO THUÊ NGOÀI (OUTSOURCED DPO)
Luật DPO cung cấp nhân sự chuyên trách bảo vệ dữ liệu cá nhân (DPO) đạt chuẩn, thay mặt doanh nghiệp duy trì hồ sơ DPIA, báo cáo định kỳ và làm việc trực tiếp với Cục A05.
Câu hỏi thường gặp về quản lý hồ sơ chuyển dữ liệu xuyên biên giới (FAQs)
Sử dụng nền tảng đám mây (Cloud) của nước ngoài có phải nộp hồ sơ không?
Có. Trường hợp dữ liệu cá nhân đang được lưu trữ tại Việt Nam được chuyển đến hệ thống máy chủ đặt ngoài lãnh thổ Việt Nam (như AWS, Google Cloud, Azure) hoặc được xử lý thông qua nền tảng SaaS của nhà cung cấp nước ngoài, bên chuyển dữ liệu bắt buộc phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 18 Nghị định 356/2025/NĐ-CP.
Ai là người chịu trách nhiệm chính về bản báo cáo đã nộp?
Pháp luật quy định pháp nhân (Bên chuyển dữ liệu) chịu trách nhiệm toàn diện. Tuy nhiên, trong nội bộ, doanh nghiệp phải chỉ định Bộ phận/Nhân sự bảo vệ dữ liệu cá nhân (DPO) chịu trách nhiệm duy trì và cập nhật hồ sơ. Thông tin liên hệ của DPO này phải được khai báo rõ ràng trong Mẫu số 09 nộp cho Bộ Công an.
Tài liệu đánh giá tác động cần được lưu trữ trong bao lâu?
Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải được lưu trữ vĩnh viễn trong suốt vòng đời hoạt động của doanh nghiệp và phải luôn có sẵn để phục vụ hoạt động kiểm tra, thanh tra đột xuất của cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP.
Cơ quan nhà nước có phải nộp biểu mẫu này không?
Không. Theo khoản 6 Điều 17 Nghị định 356/2025/NĐ-CP, cơ quan nhà nước có thẩm quyền thực hiện chuyển thông tin xuyên biên giới nhằm phục vụ mục đích quản lý hành chính, ngoại giao, quốc phòng an ninh hoặc tương trợ tư pháp được miễn trừ lập và nộp hồ sơ này.
Dịch vụ nào hỗ trợ doanh nghiệp rà soát và duy trì sự tuân thủ tốt nhất?
Luật DPO cung cấp giải pháp toàn diện từ khâu kiểm toán hệ thống (Data Audit), rà soát hợp đồng đối tác (DPA) đến việc trực tiếp soạn thảo, nộp báo cáo định kỳ và đại diện giải trình. Đây là sự đầu tư an toàn nhất để loại bỏ mọi rủi ro pháp lý về an ninh mạng và bảo vệ dữ liệu.
Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO
Việc duy trì tuân thủ nghĩa vụ sau khi nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới là một thách thức lớn, đòi hỏi sự am hiểu sâu sắc về cả pháp lý và công nghệ. Đừng để những sai sót trong khâu cập nhật hồ sơ hay chậm trễ báo cáo sự cố khiến doanh nghiệp phải đối mặt với các án phạt hàng tỷ đồng. Với đội ngũ Luật sư và chuyên gia an ninh mạng hàng đầu, Công ty Luật TNHH DPO cam kết đồng hành bảo vệ tối đa quyền lợi và sự an toàn dữ liệu của doanh nghiệp. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để thiết lập hệ thống tuân thủ vững chắc nhất.
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các quy định mới nhất (Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP). Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi.
