Bảng lương nhân viên Việt Nam nằm trên hệ thống HR đặt tại Đức; báo cáo nhân sự gửi công ty mẹ tại Mỹ mỗi quý. Mỗi luồng dữ liệu nhân sự xuyên biên giới là một nghĩa vụ pháp lý — đây là playbook để các luồng đó “đi” hợp pháp.
Các luồng HR data phổ biến
Doanh nghiệp FDI tại Việt Nam thường có 4 luồng dữ liệu nhân sự xuyên biên giới:
- Báo cáo quản trị: headcount, lương, thưởng, nghỉ việc — gửi công ty mẹ hàng tháng/quý.
- Hệ thống HR tập trung: Workday/SAP SuccessFactors đặt server ngoài Việt Nam — nhân viên Việt Nam nhập dữ liệu trực tiếp lên hệ thống toàn cầu.
- Điều chuyển nhân sự: hồ sơ chuyên gia điều chuyển giữa Việt Nam và nước ngoài (hợp đồng, visa, bảo hiểm, thuế).
- Thuê ngoài: payroll, tuyển dụng, background check thuê công ty ngoài — có công ty đặt ở nước ngoài.
Mỗi luồng đều là “chuyển dữ liệu cá nhân ra nước ngoài” theo Luật 91/2025 — không có ngoại lệ “nội bộ tập đoàn”.
Thủ tục theo Luật 91/2025
Với luồng Việt Nam → nước ngoài:
- Đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài — lập trước khi chuyển, cập nhật khi luồng thay đổi.
- Thủ tục với cơ quan chức năng theo NĐ 356/2025 (hồ sơ, thông báo/đăng ký) — tùy loại dữ liệu và quy mô.
- Đồng ý của người lao động: hợp đồng lao động/thỏa thuận nên có điều khoản đồng ý chuyển dữ liệu nhân sự cho công ty mẹ/hệ thống toàn cầu — rõ mục đích, phạm vi, nước nhận.
- Hợp đồng nội bộ tập đoàn: thỏa thuận xử lý dữ liệu giữa công ty con Việt Nam và công ty mẹ/đơn vị vận hành hệ thống HR — phân định trách nhiệm khi rò rỉ.
Chiều EU → Việt Nam: GDPR Chương V
Với luồng EU → Việt Nam (công ty mẹ EU gửi dữ liệu nhân sự sang, hoặc nhân viên EU công tác tại Việt Nam):
- Việt Nam không có quyết định đầy đủ (adequacy) của EU — phải dùng SCC (điều khoản hợp đồng chuẩn) hoặc BCR (quy tắc nội bộ tập đoàn).
- BCR là giải pháp “xịn” nhất cho tập đoàn: một lần phê duyệt, dùng cho mọi luồng nội bộ — nhưng thủ tục phê duyệt dài và tốn kém.
- SCC nhanh hơn: ký giữa bên xuất (EU) và bên nhập (Việt Nam) cho từng luồng — kèm đánh giá tác động chuyển giao (TIA).
- Lưu ý: SCC/BCR đáp ứng GDPR; luồng này đồng thời chịu Luật 91/2025 ở đầu Việt Nam (tiếp nhận và xử lý tiếp).
Dữ liệu nhạy cảm của nhân sự: cẩn thận gấp đôi
Dữ liệu nhân sự chứa nhiều dữ liệu nhạy cảm: sức khỏe (giấy khám sức khỏe, nghỉ ốm), sinh trắc học (chấm công vân tay/khuôn mặt), công đoàn, tôn giáo (trong một số biểu mẫu). Với dữ liệu nhạy cảm:
- Cần đồng ý riêng, rõ ràng — không gộp chung vào “đồng ý chung” của hợp đồng lao động.
- Hạn chế chuyển: chỉ chuyển khi thật cần thiết; dữ liệu sinh trắc học nên xử lý tại chỗ (lưu template tại thiết bị, không gửi ảnh gốc ra nước ngoài).
- Bảo mật tăng cường: mã hóa, phân quyền chặt, nhật ký truy cập — vì rò rỉ dữ liệu sức khỏe/sinh trắc học gây thiệt hại không thể khắc phục (không “đổi” được vân tay như đổi mật khẩu).
Hệ thống HR tập trung: câu hỏi phải trả lời
Trước khi đưa dữ liệu nhân sự Việt Nam lên hệ thống HR toàn cầu, trả lời 5 câu hỏi:
- 1. Dữ liệu lưu ở đâu (nước nào, trung tâm dữ liệu nào) — quyết định thủ tục chuyển dữ liệu.
- 2. Ai truy cập được — HR toàn cầu, quản lý các nước? Phân quyền theo nguyên tắc tối thiểu.
- 3. Mục đích gì — báo cáo quản trị, tính lương toàn cầu, phân tích nhân sự? Không dùng sai mục đích đã đồng ý.
- 4. Lưu bao lâu — chính sách lưu trữ và xóa khi nhân viên nghỉ việc (trừ nghĩa vụ lưu trữ theo luật).
- 5. Khi rò rỉ thì sao — ai chịu trách nhiệm thông báo, theo luật nước nào (xem EXP-4041).
Lộ trình tuân thủ cho phòng HR
- Lập bản đồ luồng dữ liệu: liệt kê mọi luồng HR data ra/vào Việt Nam — hệ thống, nước nhận, loại dữ liệu.
- Hoàn thiện thủ tục: đánh giá tác động + thủ tục theo NĐ 356/2025 cho luồng đi; SCC/BCR cho luồng từ EU về.
- Cập nhật hợp đồng lao động: điều khoản đồng ý chuyển dữ liệu rõ ràng, riêng cho dữ liệu nhạy cảm.
- Ký thỏa thuận nội bộ: giữa công ty con và công ty mẹ/đơn vị vận hành hệ thống — trách nhiệm, bảo mật, thông báo sự cố.
- Đào tạo HR: nhân sự HR là người xử lý dữ liệu hàng ngày — phải hiểu quy tắc, không gửi file Excel nhân sự qua email cá nhân.
Câu hỏi thường gặp
Dữ liệu nhân sự gửi công ty mẹ có phải ‘chuyển ra nước ngoài’ không?
Có — mọi luồng dữ liệu nhân sự từ Việt Nam ra nước ngoài, kể cả nội bộ tập đoàn (báo cáo, hệ thống HR tập trung), đều là chuyển dữ liệu cá nhân ra nước ngoài theo Luật 91/2025; phải đánh giá tác động + thủ tục.
Cần thủ tục gì để chuyển dữ liệu nhân sự ra nước ngoài?
Đánh giá tác động chuyển dữ liệu (lập trước khi chuyển), thủ tục với cơ quan chức năng theo NĐ 356/2025, đồng ý của người lao động (điều khoản rõ trong hợp đồng), và thỏa thuận xử lý dữ liệu nội bộ tập đoàn.
Dữ liệu từ EU sang Việt Nam cần gì?
Việt Nam không có adequacy của EU nên phải dùng SCC hoặc BCR (kèm đánh giá tác động chuyển giao); đồng thời luồng này chịu Luật 91/2025 ở đầu Việt Nam.
Dữ liệu chấm công vân tay có được chuyển ra nước ngoài không?
Hạn chế tối đa — sinh trắc học là dữ liệu nhạy cảm, cần đồng ý riêng rõ ràng; nên xử lý tại chỗ (lưu template tại thiết bị) thay vì gửi ảnh gốc ra nước ngoài; chỉ chuyển khi thật cần thiết với bảo mật tăng cường.
Liên hệ FLAT Law Firm
FLAT Law Firm tư vấn luồng dữ liệu nhân sự xuyên biên giới: lập bản đồ luồng, thủ tục Luật 91/2025, SCC/BCR, điều khoản hợp đồng lao động. Liên hệ để rà soát HR data.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng