Tình huống: một tập đoàn bán lẻ Pháp vận hành hệ thống CRM tập trung tại Paris, đồng bộ dữ liệu khách hàng và nhân sự từ công ty con tại Việt Nam mỗi đêm. Trưởng bảo mật hỏi: “Chúng ta chuyển dữ liệu như thế này 3 năm nay — có hợp lệ không?” Câu trả lời đòi hỏi nhìn hai chiều riêng biệt: chiều Pháp→Việt Nam chịu GDPR, chiều Việt Nam→Pháp chịu pháp luật Việt Nam — và hai chiều dùng hai bộ cơ chế khác nhau.
1. Chiều Pháp → Việt Nam: GDPR Chương V và ba cơ chế chính
GDPR Chương V (Điều 44–50) cấm chuyển dữ liệu cá nhân ra khỏi EU/EEA trừ khi có cơ chế hợp lệ. Ba cơ chế thực tế cho tập đoàn Pháp: (a) quyết định tương đương (adequacy) — Ủy ban châu Âu công nhận nước nhận dữ liệu bảo vệ tương đương; Việt Nam chưa có quyết định này, nên cơ chế này không dùng được; (b) điều khoản hợp đồng chuẩn (SCCs) — Quyết định 2021/914 của Ủy ban châu Âu, các module cho từng quan hệ chuyển giao (controller-to-controller, controller-to-processor…), kèm đánh giá tác động chuyển giao (TIA) về pháp luật nước nhận; (c) quy tắc nội bộ tập đoàn (BCRs) — bộ quy tắc được cơ quan bảo vệ dữ liệu phê duyệt, phù hợp với tập đoàn lớn chuyển dữ liệu nội bộ thường xuyên. Thực tế: tập đoàn Pháp thường dùng BCRs (nếu đã có) hoặc SCCs + TIA cho luồng EU→Việt Nam.
2. Chiều Việt Nam → Pháp: Luật 91/2025 và Nghị định 356/2025
Chiều ngược lại — công ty con Việt Nam chuyển dữ liệu khách hàng/nhân sự về Paris — chịu Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026). Điều kiện chuyển dữ liệu cá nhân ra nước ngoài: đánh giá tác động xử lý dữ liệu, sự đồng ý của chủ thể dữ liệu (đặc biệt với dữ liệu nhạy cảm — dữ liệu khách hàng VIP, dữ liệu sức khỏe nhân sự…), và biện pháp bảo đảm (hợp đồng, tiêu chuẩn bảo vệ). Lưu ý đặc biệt: Điều 20 Nghị định 356/2025 cho phép ngừng chuyển dữ liệu vì lý do quốc phòng, an ninh quốc gia — tập đoàn cần kịch bản dự phòng nếu luồng dữ liệu bị đình chỉ (lưu trữ cục bộ, xử lý tại chỗ).
3. Điểm nghẽn thực tế: TIA và đánh giá tác động “hai đầu”
Điểm tốn công nhất không phải ký SCCs mà là đánh giá tác động hai đầu: chiều EU→VN cần TIA đánh giá pháp luật Việt Nam (cơ quan nhà nước có quyền truy cập dữ liệu trong trường hợp nào? có biện pháp bổ sung nào?); chiều VN→EU cần đánh giá tác động theo pháp luật Việt Nam. Hai đánh giá này không thay thế nhau — làm một chiều rồi “dùng chung” là sai. Thêm điểm nghẽn: sự đồng ý — với dữ liệu nhân sự (bất cân xứng quyền lực) và dữ liệu khách hàng cũ (thu thập trước khi có Luật 91/2025), việc lấy lại đồng ý hợp lệ cho mục đích chuyển tiếp là dự án riêng, không phải một email thông báo.
4. Kiến trúc tuân thủ: 4 lớp cho tập đoàn Pháp
Lớp 1 — bản đồ luồng dữ liệu: dữ liệu gì, của ai, đi chiều nào, lưu ở đâu (Paris, Việt Nam, cloud nước thứ ba?). Lớp 2 — cơ chế pháp lý từng chiều: EU→VN (SCCs/BCRs + TIA), VN→EU (đánh giá tác động + đồng ý + biện pháp bảo đảm theo NĐ 356/2025). Lớp 3 — hợp đồng nội bộ: thỏa thuận xử lý dữ liệu giữa công ty mẹ và công ty con, điều khoản với vendor (CRM, cloud, payroll provider). Lớp 4 — vận hành: quy trình đáp ứng quyền của chủ thể dữ liệu (truy cập, xóa, phản đối) ở cả hai nước, kế hoạch ứng phó sự cố (thông báo vi phạm trong 72 giờ theo GDPR), và kịch bản ngừng chuyển dữ liệu theo Điều 20 NĐ 356/2025.
5. Checklist rà soát cho tập đoàn đang chuyển dữ liệu như tình huống mở đầu
Một, dừng và đánh giá: luồng đồng bộ hàng đêm hiện tại có cơ chế pháp lý nào không — nếu “chuyển vì vẫn chuyển”, đó là rủi ro. Hai, triển khai SCCs/BCRs + TIA cho chiều EU→VN. Ba, thực hiện đánh giá tác động + rà soát đồng ý cho chiều VN→EU theo NĐ 356/2025. Bốn, ký thỏa thuận xử lý dữ liệu nội bộ và với vendor. Năm, xây dựng kịch bản ngừng chuyển (lưu trữ cục bộ). Sáu, đào tạo đội ngũ IT và pháp chế hai nước — tuân thủ dữ liệu xuyên biên giới thất bại thường do IT không biết pháp chế yêu cầu gì, chứ không phải do thiếu luật.
Câu hỏi thường gặp
Việt Nam có quyết định tương đương (adequacy) của EU không?
Chưa. Ủy ban châu Âu chưa ban hành quyết định tương đương cho Việt Nam, nên tập đoàn Pháp không thể dựa vào cơ chế này — phải dùng SCCs hoặc BCRs (kèm đánh giá tác động chuyển giao) cho chiều EU→Việt Nam.
SCCs là gì và dùng module nào?
Điều khoản hợp đồng chuẩn do Ủy ban châu Âu ban hành (Quyết định 2021/914), với các module cho từng quan hệ: bên kiểm soát–bên kiểm soát, bên kiểm soát–bên xử lý… Chọn module đúng với vai trò thực tế của công ty mẹ và công ty con trong luồng dữ liệu, kèm đánh giá tác động chuyển giao (TIA).
Chuyển dữ liệu từ Việt Nam về Pháp cần gì?
Theo Luật 91/2025 + Nghị định 356/2025 (hiệu lực 01/01/2026): đánh giá tác động xử lý dữ liệu, sự đồng ý của chủ thể dữ liệu (đặc biệt dữ liệu nhạy cảm), và biện pháp bảo đảm. Lưu ý Điều 20 NĐ 356/2025 cho phép ngừng chuyển dữ liệu vì lý do quốc phòng, an ninh.
Đồng bộ CRM hàng đêm như hiện tại có rủi ro gì?
Nếu không có cơ chế pháp lý (SCCs/BCRs chiều EU→VN; đánh giá tác động + đồng ý chiều VN→EU), luồng dữ liệu đang vi phạm cả hai khung — với mức phạt GDPR đến 4% doanh thu toàn cầu và chế tài theo pháp luật Việt Nam. Cần dừng để đánh giá trước khi tiếp tục.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng