Công ty Việt Nam lưu dữ liệu khách hàng Anh trên máy chủ tại Việt Nam — có vi phạm không? Hậu Brexit, Anh vận hành UK GDPR riêng (tương đồng nhưng không đồng nhất với EU GDPR), còn Việt Nam áp dụng Nghị định 356/2025/NĐ-CP (thay thế NĐ 13/2023, hiệu lực 01/01/2026) siết chuyển dữ liệu cá nhân ra nước ngoài. Luồng dữ liệu Việt – Anh phải đáp ứng cả hai đầu.
1. UK GDPR: giống EU GDPR nhưng là luật riêng
UK GDPR (kết hợp với Data Protection Act 2018) giữ khung tương đồng với EU GDPR nhưng là văn bản độc lập của Anh — Anh tự quyết định quốc gia nào “đủ mức độ bảo vệ” (adequacy) và diễn giải của cơ quan ICO có thể khác EDPB của EU theo thời gian. Hệ quả thực tế: đánh giá tuân thủ làm cho EU không tự động đúng cho Anh; hợp đồng xử lý dữ liệu (DPA) với đối tác Anh phải viện dẫn UK GDPR, không phải EU GDPR. Doanh nghiệp Việt Nam nhận dữ liệu cá nhân từ Anh (ví dụ khách hàng thương mại điện tử, ứng viên tuyển dụng) trở thành bên kiểm soát/xử lý theo UK GDPR với đầy đủ nghĩa vụ.
2. Đầu Việt Nam: NĐ 356/2025 siết chuyển dữ liệu ra nước ngoài
Nghị định 356/2025 (thay NĐ 13/2023 từ 01/01/2026) đặt ra nghĩa vụ khi chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài: đánh giá tác động chuyển dữ liệu, có cơ chế bảo vệ, và tuân thủ điều kiện chuyển giao. Luồng dữ liệu Việt → Anh (ví dụ công ty mẹ Anh truy cập dữ liệu nhân sự/khách hàng tại Việt Nam) phải đi qua “cửa” này — không thể viện dẫn “nội bộ tập đoàn” để bỏ qua. Thực tiễn: nhiều tập đoàn Anh – Việt truyền dữ liệu qua hệ thống HR/CRM toàn cầu mà chưa từng đánh giá tác động chuyển dữ liệu — đó là vi phạm chờ bị phát hiện.
3. Thiết kế luồng dữ liệu Việt – Anh tuân thủ hai đầu
(a) Lập bản đồ dữ liệu: dữ liệu cá nhân nào đi qua biên giới, theo hướng nào, ai là bên kiểm soát; (b) với hướng Anh → Việt: ký DPA theo UK GDPR, áp dụng biện pháp bảo vệ phù hợp; (c) với hướng Việt → Anh: thực hiện đánh giá tác động chuyển dữ liệu và đáp ứng điều kiện của NĐ 356/2025; (d) chính sách quyền của chủ thể dữ liệu (truy cập, xóa, phản đối) áp dụng thống nhất — vì chuẩn cao hơn thường là chuẩn phải theo. Dữ liệu xuyên biên giới không phải chuyện IT — đó là nghĩa vụ pháp lý hai đầu, sai một đầu là vi phạm.
Kết luận
Brexit chia đôi bản đồ bảo vệ dữ liệu như đã chia đôi bản đồ thuế quan: EU một bộ, Anh một bộ. Luồng dữ liệu Việt – Anh an toàn chỉ khi đi qua cả hai cửa — UK GDPR và NĐ 356/2025.
Câu hỏi thường gặp
UK GDPR có giống EU GDPR không?
Tương đồng nhưng không đồng nhất: UK GDPR là luật riêng của Anh (kết hợp Data Protection Act 2018); Anh tự quyết định adequacy và diễn giải của ICO có thể khác EDPB của EU theo thời gian.
Nghị định 13/2023 về bảo vệ dữ liệu cá nhân còn hiệu lực không?
Không. NĐ 13/2023 hết hiệu lực 01/01/2026, thay thế bởi Nghị định 356/2025/NĐ-CP — siết chặt hơn việc chuyển dữ liệu cá nhân ra nước ngoài.
Công ty mẹ Anh truy cập dữ liệu nhân sự tại Việt Nam có phải đánh giá không?
Có. Luồng dữ liệu Việt → Anh phải thực hiện đánh giá tác động chuyển dữ liệu và đáp ứng điều kiện của NĐ 356/2025; lý do nội bộ tập đoàn không miễn trừ.
Hợp đồng xử lý dữ liệu với đối tác Anh viện dẫn luật nào?
Viện dẫn UK GDPR, không phải EU GDPR. Đánh giá tuân thủ làm cho EU không tự động đúng cho Anh.
