Kiến thức · Phân tích chuyên sâu
Tám trường hợp không phải đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới
Một công ty lưu bảng lương nhân viên và danh sách khách hàng trên cùng một dịch vụ đám mây đặt ở nước ngoài. Phần bảng lương được miễn lập hồ sơ đánh giá tác động, phần danh sách khách hàng thì phải lập. Tám trường hợp miễn chia hai nhóm: ba trường hợp của Luật không xét mục đích chuyển, năm trường hợp của Nghị định phần lớn xét hoạt động hoặc mục đích. Mỗi luồng dữ liệu nên được xét riêng.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 yêu cầu bên chuyển dữ liệu cá nhân ra nước ngoài lập hồ sơ đánh giá tác động. Bản chính của hồ sơ gửi cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển. Luồng không thuộc diện miễn mà không lập hồ sơ thì tổ chức có thể bị phạt từ 30 đến 50 triệu đồng theo Nghị định số 330/2026/NĐ-CP; cá nhân chịu một nửa mức đó. Nếu việc chuyển không có hồ sơ dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, mức phạt với tổ chức cao hơn nhiều.
Trong Luật, điều kiện miễn không nhắc tới mục đích chuyển
Ba trường hợp tại khoản 6 Điều 20 Luật 91/2025 dựa vào người chuyển và loại dữ liệu. Trường hợp thứ hai còn giới hạn ở việc lưu trữ trên dịch vụ điện toán đám mây.
| # | Trường hợp | Chỗ dễ đọc sai |
|---|---|---|
| 1 | Cơ quan nhà nước có thẩm quyền chuyển dữ liệu cá nhân xuyên biên giới | Điều kiện gắn với chủ thể chuyển. Doanh nghiệp chuyển cùng loại dữ liệu đó vẫn phải tự xét |
| 2 | Tổ chức lưu dữ liệu của người lao động thuộc chính tổ chức đó trên dịch vụ điện toán đám mây | Chỉ áp cho dữ liệu người lao động của chính tổ chức, lưu trên đám mây. Dữ liệu khách hàng trên cùng hệ thống nằm ngoài trường hợp này |
| 3 | Chủ thể dữ liệu tự chuyển dữ liệu của mình ra nước ngoài | Doanh nghiệp chuyển thay chủ thể dữ liệu thì nằm ngoài câu chữ này |
Trong Nghị định, phần lớn điều kiện miễn gắn với hoạt động và mục đích chuyển
Năm trường hợp tại khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP phần lớn gắn với hoạt động hoặc mục đích chuyển.
| # | Trường hợp | Chỗ dễ đọc sai |
|---|---|---|
| 4 | Hoạt động báo chí, truyền thông theo quy định của pháp luật | Nghị định không định nghĩa "truyền thông", nên chưa rõ quảng cáo có thuộc trường hợp này không; cụm "theo quy định của pháp luật" cần đọc như một điều kiện |
| 5 | Việc chuyển dữ liệu đã được công khai theo quy định của pháp luật | Chữ "đã được công khai" gắn với việc chuyển, không gắn với dữ liệu: dữ liệu đăng công khai vẫn có thể phải lập hồ sơ. Thông báo doanh nghiệp tự đăng chưa chắc đã đủ căn cứ pháp luật |
| 6 | Tình huống khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo pháp luật | Cụm "khẩn cấp, thực sự cần thiết" đứng trước cả hai vế. Nên đọc là phải có đủ hai yếu tố, và cách hiểu thận trọng là vế nhiệm vụ, nghĩa vụ cũng cần tình huống khẩn cấp |
| 7 | Chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật | Nên hiểu hẹp: thiếu các văn bản đó thì khó chứng minh thuộc trường hợp này. Câu chữ dùng chữ "và"; trường hợp không có thỏa ước lao động tập thể thì văn bản không nêu riêng |
| 8 | Cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng | Chữ "ký kết" nên hiểu là giai đoạn giao kết, chưa gồm việc thực hiện hợp đồng. Câu chữ cũng không cho biết cụm "liên quan đến" có gắn vào việc ký kết hay không, nên chưa thể coi mọi hợp đồng đều thuộc diện này. Cách đọc thận trọng: cùng dữ liệu đó dùng cho việc khác thì không còn dựa được vào điểm này |
Hai luồng trên cùng một hệ thống được xét riêng
Văn bản không nói thẳng việc xét theo luồng, nhưng mỗi trường hợp miễn mô tả một việc chuyển cụ thể, nên hợp lý là xét riêng hai luồng của công ty ở đầu bài. Luồng bảng lương rơi vào trường hợp thứ hai của Luật. Còn luồng khách hàng không rơi vào trường hợp nào, nên vẫn phải có trong hồ sơ và vẫn tính hạn 60 ngày từ ngày đầu tiên chuyển. Tám trường hợp chỉ gỡ các quy định về đánh giá tác động chuyển dữ liệu xuyên biên giới; các nghĩa vụ bảo vệ dữ liệu cá nhân khác vẫn áp dụng cho cả hai luồng.
Luồng gần giống một trường hợp miễn vẫn phải khớp câu chữ
Gửi dữ liệu khách hàng cho đối tác nước ngoài để chăm sóc sau bán hàng trông gần giống trường hợp thứ tám. Nhưng việc chăm sóc diễn ra sau khi hợp đồng đã ký kết và không có tên ở hàng 8. Riêng khâu gửi hàng bảo hành qua biên giới có thể chạm tới thủ tục vận chuyển. Văn bản chưa nói riêng về luồng này, nên cách làm thận trọng là đưa phần chăm sóc khách hàng vào hồ sơ và không mở rộng danh sách miễn theo suy luận.
Trước khi xếp một luồng vào diện miễn, nên trả lời được một câu: luồng này ứng với trường hợp nào trong hai bảng trên, và khớp với câu chữ nào của trường hợp đó.
Cần lập hồ sơ cho những luồng không thuộc diện miễn?
Bài liên quan
- Doanh nghiệp dùng phần mềm nước ngoài có đang chuyển dữ liệu cá nhân xuyên biên giới không
Cần hỏi nhà cung cấp máy chủ đặt ở đâu và bên cung cấp ở trong hay ngoài nước. Giải đáp về dùng thử, máy chủ trong nước, mã hóa, gửi thư và hồ sơ cần có.
- Không lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài bị phạt thế nào
Biết trước mức phạt khi chuyển dữ liệu cá nhân ra nước ngoài mà không lập hồ sơ đánh giá tác động, mức tính theo doanh thu và biện pháp buộc ngừng chuyển.
Căn cứ: khoản 2, khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 · khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP · khoản 1 Điều 7, điểm a khoản 1, khoản 3 Điều 56 Nghị định số 330/2026/NĐ-CP.
Bài viết mang tính thông tin chung, không thay thế ý kiến tư vấn pháp lý cho trường hợp cụ thể.