Công ty Pháp tại Việt Nam (hoặc công ty Việt Nam có khách hàng Pháp) chuyển dữ liệu cá nhân qua lại mỗi ngày: nhân sự, khách hàng, marketing. Hai luật cùng “cắn”: GDPR của EU và Luật 91/2025 của Việt Nam — và chúng không giống nhau.
Hai luật, hai logic
- GDPR (EU) 2016/679: áp dụng với mọi tổ chức xử lý dữ liệu của người ở EU — kể cả công ty Việt Nam bán hàng cho khách Pháp (hiệu lực ngoài lãnh thổ). Nguyên tắc: hợp pháp, công bằng, minh bạch; giới hạn mục đích; tối thiểu hóa; quyền của chủ thể mạnh (xóa, phản đối, chuyển dữ liệu).
- Luật 91/2025 (Việt Nam): hiệu lực 01/01/2026 + NĐ 356/2025, NĐ 330/2026 — yêu cầu sự đồng ý (chấm dứt “im lặng là đồng ý” — phạt 50–70 triệu), đánh giá tác động bảo vệ DLCN, và đăng ký/đánh giá khi chuyển DLCN xuyên biên giới.
- Điểm chung: cả hai đều phạt nặng — GDPR đến 4% doanh thu toàn cầu, Việt Nam đến 5% doanh thu (chuyển DLCN trái phép) + 20 triệu–3 tỷ đồng.
Chuyển dữ liệu Pháp → Việt Nam (theo GDPR)
Dữ liệu của người ở EU chuyển sang Việt Nam (máy chủ, outsourcing, công ty mẹ):
- Việt Nam chưa adequacy: EU chưa công nhận Việt Nam đầy đủ — không được chuyển tự do.
- SCC: điều khoản hợp đồng mẫu của EU — công cụ phổ biến nhất; ký giữa bên xuất (Pháp) và bên nhập (Việt Nam) + đánh giá pháp luật nước nhập (Transfer Impact Assessment).
- BCR: quy tắc ràng buộc toàn tập đoàn — cho chuyển nội bộ tập đoàn Pháp–Việt; phê duyệt bởi cơ quan bảo vệ dữ liệu (mất 1–2 năm).
- Ngoại lệ: sự đồng ý rõ ràng, thực hiện hợp đồng — chỉ dùng cho trường hợp cụ thể, không phải luồng dữ liệu thường xuyên.
Chuyển dữ liệu Việt Nam → Pháp (theo Luật 91/2025)
Dữ liệu của người ở Việt Nam chuyển sang Pháp:
- Căn cứ pháp lý: sự đồng ý của chủ thể (hoặc căn cứ khác theo Luật 91/2025) — “im lặng là đồng ý” bị phạt 50–70 triệu đồng.
- Đánh giá tác động: lập hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới trước khi chuyển.
- Bên nhận: công ty Pháp phải cam kết bảo vệ (hợp đồng DPA) — và bên chuyển (Việt Nam) chịu trách nhiệm nếu bên nhận vi phạm.
- Phạt: chuyển trái phép — đến 5% doanh thu (NĐ 330/2026).
CNIL: cơ quan ‘cắn’ của Pháp
CNIL (Ủy ban Tin học và Tự do Pháp) là một trong những cơ quan bảo vệ dữ liệu mạnh tay nhất EU — từng phạt hàng trăm triệu euro (Google, Meta…). Doanh nghiệp Việt Nam có khách/nhân sự tại Pháp:
- Đăng ký DPO: chỉ định cán bộ bảo vệ dữ liệu khi xử lý quy mô lớn.
- Hồ sơ xử lý: duy trì nhật ký hoạt động xử lý (records of processing).
- Vi phạm dữ liệu: thông báo cho CNIL trong 72 giờ, cho chủ thể khi rủi ro cao.
- Cookie: website nhắm khách Pháp phải có banner đồng ý cookie đúng chuẩn CNIL (không “chấp nhận” mặc định).
Checklist tuân thủ song song
- Bản đồ dữ liệu: liệt kê mọi luồng dữ liệu Việt ↔ Pháp (nhân sự, khách hàng, marketing, outsourcing).
- Hai lớp hợp đồng: SCC (chiều EU→VN, theo GDPR) + DPA/đánh giá tác động (chiều VN→EU, theo Luật 91/2025).
- Đồng ý: rà soát mọi form thu thập — bỏ “tích sẵn”, “im lặng là đồng ý” (cả GDPR và Luật 91/2025 đều cấm).
- Quyền chủ thể: quy trình trả lời yêu cầu xóa/truy cập/phản đối trong thời hạn (GDPR: 1 tháng).
- Nhân sự: đào tạo đội ngũ hai nước — vi phạm thường từ nhân viên, không phải hacker.
Rủi ro và lưu ý
Rủi ro ‘một luật’: chỉ tuân thủ GDPR mà quên Luật 91/2025 (hoặc ngược lại) — hai luật cùng áp dụng, phải đáp ứng cả hai. Rủi ro chuyển ngầm: email, cloud, outsourcing đều là chuyển xuyên biên giới — đừng tưởng chỉ “xuất database” mới tính. Rủi ro CNIL: khách Pháp khiếu nại → CNIL điều tra → phạt hàng chục triệu euro — xử lý khiếu nại nhanh. Rủi ro 5%: chuyển DLCN VN→Pháp không đánh giá tác động = phạt đến 5% doanh thu — làm hồ sơ trước.
Câu hỏi thường gặp
GDPR và Luật 91/2025 khác nhau thế nào?
GDPR (EU) có hiệu lực ngoài lãnh thổ — công ty Việt Nam xử lý dữ liệu người ở EU cũng bị điều chỉnh; Luật 91/2025 (HL 01/01/2026) yêu cầu sự đồng ý (cấm ‘im lặng là đồng ý’), đánh giá tác động, và thủ tục chuyển DLCN xuyên biên giới; cả hai đều phạt nặng (GDPR 4%, VN 5% doanh thu).
Chuyển dữ liệu từ Pháp sang Việt Nam cần gì?
Việt Nam chưa được EU công nhận adequacy — dùng SCC (điều khoản hợp đồng mẫu) + đánh giá tác động chuyển giao; hoặc BCR cho nội bộ tập đoàn (phê duyệt 1–2 năm).
Chuyển dữ liệu từ Việt Nam sang Pháp cần gì?
Theo Luật 91/2025: sự đồng ý của chủ thể (cấm ‘im lặng là đồng ý’ — phạt 50–70 triệu), hồ sơ đánh giá tác động trước khi chuyển, hợp đồng DPA với bên nhận; chuyển trái phép phạt đến 5% doanh thu.
CNIL là gì?
Ủy ban Tin học và Tự do Pháp — cơ quan bảo vệ dữ liệu mạnh tay nhất EU (từng phạt hàng trăm triệu euro); yêu cầu DPO, nhật ký xử lý, thông báo vi phạm 72 giờ, banner cookie đúng chuẩn.
Liên hệ FLAT Law Firm
FLAT Law Firm tư vấn tuân thủ dữ liệu Việt Nam – Pháp: GDPR, Luật 91/2025, SCC/BCR và chuyển dữ liệu hai chiều. Liên hệ khi có luồng dữ liệu xuyên biên giới.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng