Litbi
Rà soát tuân thủ

Kiến thức · Phân tích chuyên sâu

Không lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài bị phạt thế nào

3 phút đọcBiên soạn: Litbi

30 triệu đồng là mức phạt khởi điểm với tổ chức chuyển dữ liệu cá nhân ra nước ngoài mà không lập hồ sơ đánh giá tác động. Mức này tăng mạnh khi việc chuyển dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, và tổ chức còn có thể bị buộc ngừng chuyển.

Nghĩa vụ lập hồ sơ nằm ở Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Mức phạt nằm ở Nghị định số 330/2026/NĐ-CP, có hiệu lực từ ngày . Với hành vi không lập hoặc không nộp hồ sơ, tổ chức bị phạt từ 30 đến 50 triệu đồng, còn cá nhân có cùng hành vi chịu một nửa mức đó.

Tiền phạt chỉ là bậc đầu Buộc ngừng chuyển 1–5% doanh thu 30–50 triệu đồng Nặng dần theo hậu quả
Không chỉ có tiền phạt

Mức phạt và biện pháp đi kèm thường bị hiểu sai

Hiểu lầmThực tế
Mức phạt cao nhất là 50 triệu đồngĐó là mức cho hành vi không lập hồ sơ. Nếu việc chuyển không có hồ sơ dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, tổ chức bị phạt từ 1 % đến 5 % tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam, tăng theo số người bị lộ
Doanh thu thấp thì mức phạt theo phần trăm không đáng kểKhi không có doanh thu tại Việt Nam hoặc số tiền tính theo phần trăm thấp hơn 3 tỷ đồng, tổ chức bị phạt theo khung cố định: từ 200 đến 500 triệu đồng khi lộ dữ liệu của từ 10.000 đến dưới 100.000 công dân Việt Nam, cao nhất 3 tỷ đồng
Nộp phạt xong là có thể tiếp tục chuyểnTổ chức bị buộc lập, hoàn thiện và nộp hồ sơ, và có thể bị buộc ngừng chuyển cho đến khi hoàn thành nghĩa vụ hồ sơ và được cơ quan chuyên trách xác nhận. Khi việc chuyển không có hồ sơ dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoạt động chuyển còn có thể bị đình chỉ từ 06 đến 12 tháng. Tổ chức cũng bị buộc yêu cầu bên nhận ở nước ngoài hủy, xóa dữ liệu đã chuyển trái quy định tới mức không thể khôi phục và nộp bằng chứng
Đã lập hồ sơ thì hết rủi ro bị phạtKhông gửi bản chính trong 60 ngày kể từ ngày đầu tiên chuyển, không hoàn thiện hồ sơ trong 30 ngày khi được yêu cầu, không cập nhật hồ sơ hoặc không giữ hồ sơ sẵn sàng cho kiểm tra đều khiến tổ chức bị phạt ở cùng khung 30 đến 50 triệu đồng. Không bảo đảm sự đồng ý của chủ thể dữ liệu với mục đích chuyển, hay không áp dụng biện pháp bảo mật phù hợp khi chuyển, thì tổ chức bị phạt từ 50 đến 100 triệu đồng

Với doanh nghiệp logistics, biện pháp buộc ngừng chuyển có thể nặng hơn tiền phạt

Giả sử một công ty giao nhận dùng hệ thống quản lý vận đơn đặt ở nước ngoài, trong đó có tên, số điện thoại và địa chỉ của người nhận hàng. Luồng này được giả định là không thuộc trường hợp miễn nào. Việc xét cần làm kỹ, vì trường hợp miễn về thủ tục liên quan đến vận chuyển xuyên biên giới và hậu cần có thể chạm tới một phần hoạt động giao nhận. Công ty chưa lập hồ sơ nên tiền phạt có thể chỉ từ 30 đến 50 triệu đồng.

Biện pháp buộc ngừng chuyển lại là chuyện khác. Dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam cũng là chuyển dữ liệu. Vì vậy, cách hiểu thận trọng là phải dừng cả việc đưa vận đơn mới lên hệ thống lẫn việc xử lý dữ liệu trên hệ thống đó, cho đến khi hồ sơ được hoàn thành và xác nhận. Với một công ty giao nhận, việc này có thể làm gián đoạn hoạt động giao hàng hằng ngày. Khi tính rủi ro, nên tính cả biện pháp khắc phục và thời gian cần để hoàn thành hồ sơ, không chỉ tiền phạt.

Cần rà lại các luồng dữ liệu đang chuyển ra nước ngoài?

Xem dịch vụ lập hồ sơ

Bài liên quan

Căn cứ: khoản 1, khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 · điểm đ khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP · khoản 1 Điều 7, Điều 56, Điều 80 Nghị định số 330/2026/NĐ-CP.

Bài viết mang tính thông tin chung, không thay thế ý kiến tư vấn pháp lý cho trường hợp cụ thể.