Một doanh nghiệp FDI cho trưởng nhóm thiết kế người Việt chuyển về làm việc từ xa toàn thời gian tại Đức sau khi kết hôn, vẫn truy cập máy chủ chứa bản vẽ và dữ liệu khách hàng châu Âu của công ty. Sáu tháng sau, bộ phận an ninh phát hiện tài khoản của anh đăng nhập đồng thời từ hai quốc gia và một phần dữ liệu đã đồng bộ xuống ổ cứng cá nhân. Ban giám đốc hỏi: bí mật của công ty còn được bảo vệ ở mức nào khi người giữ nó ngồi ngoài lãnh thổ Việt Nam, và hợp đồng phải bổ sung những gì.
Khung pháp lý điều chỉnh
Bí mật nằm trên máy chủ của doanh nghiệp vẫn là bí mật kinh doanh theo Điều 84 Luật Sở hữu trí tuệ, và hành vi tiết lộ, sử dụng trái phép vẫn bị xử lý theo Điều 127 dù người thực hiện đang ở nước ngoài — khó khăn nằm ở thi hành, không nằm ở quyền. Về quan hệ lao động, Điều 21 Bộ luật Lao động 2019 yêu cầu hợp đồng ghi địa điểm làm việc: cho phép làm việc từ xa dài hạn ở nước khác là thay đổi địa điểm làm việc cần thỏa thuận bằng phụ lục, kèm hệ quả về luật áp dụng cho kỷ luật và chấm dứt. Lớp dữ liệu là lớp bị quên nhiều nhất: khi nhân viên ở nước ngoài truy cập và tải dữ liệu cá nhân của khách hàng, nhân viên khác, dòng dữ liệu đó có thể cấu thành chuyển dữ liệu cá nhân ra nước ngoài theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, kéo theo hồ sơ đánh giá tác động chuyển dữ liệu mà doanh nghiệp phải lập.
Áp dụng vào thực tế doanh nghiệp FDI
Chiến lược bảo vệ thực tế phải dịch chuyển từ tin cậy con người sang kiến trúc truy cập: nhân viên ở nước ngoài chỉ nên làm việc trong môi trường máy tính ảo của công ty, dữ liệu không rời máy chủ, tắt đồng bộ và tải xuống đối với nhóm tài liệu mật, đăng nhập bắt buộc qua xác thực đa yếu tố kèm kiểm tra vị trí bất thường. Về hợp đồng, phụ lục làm việc từ xa xuyên biên giới cần ghi: địa điểm làm việc mới và luật điều chỉnh quan hệ lao động, nghĩa vụ bảo mật áp dụng cho cả thiết bị và mạng tại nhà, cấm dùng chung tài khoản và thiết bị với người khác trong gia đình, nghĩa vụ thông báo ngay khi thiết bị bị mất hoặc nghi bị xâm nhập, và cơ chế bàn giao, xóa dữ liệu khi chấm dứt. Điểm cần nói thẳng với ban giám đốc: khi tranh chấp xảy ra với người đang ở nước ngoài, chi phí và thời gian thi hành bản án tăng mạnh, nên đầu tư phải dồn vào phòng ngừa kỹ thuật thay vì kỳ vọng kiện tụng.
Về dữ liệu lưu ở nước ngoài, rủi ro không chỉ là lộ bí mật mà còn là mất kiểm soát pháp lý: dữ liệu trên ổ cứng cá nhân ở nước khác chịu sự tiếp cận của cơ quan nước sở tại và nằm ngoài khả năng thu hồi của doanh nghiệp. Quy tắc vận hành nên là không dữ liệu mật nào được phép cư trú ngoài hệ thống công ty — nếu nghiệp vụ bắt buộc phải xử lý ngoại tuyến, phải có phê duyệt riêng, mã hóa toàn bộ và thời hạn xóa cụ thể. Doanh nghiệp cũng cần rà soát nghĩa vụ về chuyển dữ liệu cá nhân: lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo khung Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP khi dòng dữ liệu nhân sự, khách hàng đi qua biên giới, thay vì coi việc nhân viên đăng nhập từ xa là chuyện thuần kỹ thuật.
Checklist xử lý an toàn
- Ký phụ lục hợp đồng về làm việc từ xa xuyên biên giới: địa điểm mới, luật điều chỉnh, nghĩa vụ bảo mật tại nhà, cơ chế bàn giao khi chấm dứt.
- Chuyển toàn bộ truy cập dữ liệu mật sang môi trường máy tính ảo: không tải xuống, không đồng bộ, xác thực đa yếu tố và cảnh báo đăng nhập bất thường.
- Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài nếu dữ liệu nhân sự, khách hàng được truy cập từ nước ngoài.
- Định kỳ rà soát nhật ký truy cập của tài khoản xuyên biên giới và thu hồi quyền ngay khi có dấu hiệu bất thường.
Câu hỏi thường gặp
Nhân viên làm việc từ xa ở nước khác thì bí mật công ty bảo vệ thế nào?
Bảo vệ bằng kiến trúc truy cập thay vì tin cậy: đưa nhân viên vào môi trường máy tính ảo của công ty để dữ liệu không rời máy chủ, tắt tải xuống và đồng bộ với tài liệu mật, áp xác thực đa yếu tố và cảnh báo đăng nhập từ vị trí lạ. Pháp lý vẫn đứng về phía doanh nghiệp — hành vi tiết lộ, sử dụng trái phép bí mật kinh doanh bị xử lý theo Điều 127 Luật Sở hữu trí tuệ bất kể người vi phạm ở đâu — nhưng thi hành ở nước ngoài tốn kém, nên lớp kỹ thuật mới là lớp quyết định. Hợp đồng phải có phụ lục làm việc từ xa ghi rõ nghĩa vụ bảo mật tại nơi ở nước ngoài và cơ chế bàn giao khi chấm dứt.
Dữ liệu lưu ở nước ngoài có rủi ro gì?
Có, hai nhóm rủi ro. Một là rủi ro bảo mật: dữ liệu ngoài hệ thống công ty nằm ngoài khả năng thu hồi và có thể bị cơ quan nước sở tại tiếp cận theo luật của họ. Hai là rủi ro tuân thủ: dữ liệu cá nhân của khách hàng và nhân viên được truy cập, lưu trữ ở nước ngoài có thể cấu thành chuyển dữ liệu cá nhân ra nước ngoài theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, buộc doanh nghiệp lập hồ sơ đánh giá tác động chuyển dữ liệu và chịu trách nhiệm về kênh chuyển đó. Quy tắc an toàn là không cho dữ liệu mật cư trú ngoài hệ thống; trường hợp ngoại lệ phải mã hóa và có thời hạn xóa.
Hợp đồng lao động cần bổ sung gì?
Phụ lục cần bổ sung sáu điểm: địa điểm làm việc mới ở nước ngoài và xác nhận thay đổi địa điểm theo Điều 21 Bộ luật Lao động 2019; luật và cơ quan giải quyết tranh chấp áp dụng cho quan hệ lao động; nghĩa vụ bảo mật mở rộng tới thiết bị và mạng tại nhà, cấm chia sẻ tài khoản, thiết bị với người khác; yêu cầu kỹ thuật bắt buộc — chỉ làm việc qua môi trường truy cập của công ty, không tải dữ liệu mật về máy cá nhân; nghĩa vụ báo ngay khi mất thiết bị hoặc nghi bị xâm nhập; và quy trình kết thúc — thu hồi tài khoản, xóa dữ liệu, xác nhận bằng văn bản trong thời hạn cố định kể từ ngày chấm dứt.