Công ty mẹ ở nước ngoài yêu cầu gửi báo cáo nhân sự, dùng phần mềm CRM đặt máy chủ ở Singapore, hay thuê đối tác nước ngoài xử lý dữ liệu khách hàng — tất cả đều là chuyển dữ liệu cá nhân ra nước ngoài và từ 01/01/2026 phải tuân thủ Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP.
Bài viết hướng dẫn chi tiết thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, thời hạn nộp, và các trường hợp được miễn.
1. Khi nào bị coi là chuyển dữ liệu ra nước ngoài?
Theo Luật 91/2025/QH15, chuyển dữ liệu cá nhân xuyên biên giới bao gồm mọi hình thức đưa dữ liệu cá nhân của công dân Việt Nam ra khỏi lãnh thổ Việt Nam hoặc cho phép tổ chức, cá nhân ở nước ngoài truy cập, xử lý — kể cả lưu trữ trên máy chủ đặt ở nước ngoài, dùng dịch vụ đám mây quốc tế, hay chia sẻ dữ liệu nội bộ tập đoàn xuyên quốc gia.
2. Quy trình 4 bước bắt buộc
Bước 1 — Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: hồ sơ nêu rõ bên chuyển, bên nhận, mục đích chuyển, loại dữ liệu, các biện pháp bảo vệ, và văn bản thể hiện sự ràng buộc trách nhiệm giữa các bên (Mẫu số 09/10 ban hành kèm Nghị định 356/2025/NĐ-CP).
Bước 2 — Nộp hồ sơ cho Cục A05: gửi 01 bản chính đến Cơ quan chuyên trách bảo vệ dữ liệu cá nhân — Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an — trong vòng 60 ngày kể từ ngày bắt đầu chuyển dữ liệu (tính từ ngày đầu tiên thực hiện chuyển, không phải ngày ký hợp đồng), kèm Mẫu số 01a/01b (thông báo gửi hồ sơ). Nộp trực tuyến qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (khi vận hành), trực tiếp hoặc qua bưu chính.
Bước 3 — Thẩm định: cơ quan chuyên trách đánh giá và thông báo kết quả đạt/không đạt trong 15 ngày làm việc kể từ ngày nhận hồ sơ hợp lệ; trường hợp cần bổ sung, doanh nghiệp hoàn thiện trong 30 ngày.
Bước 4 — Thông báo sau khi chuyển thành công và lưu hồ sơ: sau khi hoàn tất việc chuyển dữ liệu, gửi thông báo bằng văn bản cho A05; lưu trữ hồ sơ, cập nhật khi có thay đổi và sẵn sàng phục vụ kiểm tra.
3. Cập nhật hồ sơ: 06 tháng và 10 ngày
- Cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ khi: phát sinh mục đích chuyển/mục đích xử lý mới; phát sinh hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba;
- Cập nhật ngay trong 10 ngày khi: tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Thủ tục cập nhật không thu phí, lệ phí; thời hạn giải quyết 15 ngày (không tính lễ, tết).
4. Năm trường hợp được miễn lập hồ sơ
Theo khoản 6 Điều 20 Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, không phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới khi:
- Chuyển dữ liệu phục vụ quản lý nhân sự xuyên biên giới theo quy chế nội bộ, nội quy lao động, thỏa ước lao động tập thể;
- Cung cấp dữ liệu để ký kết hoặc thực hiện hợp đồng liên quan đến vận chuyển, hậu cần, chuyển tiền, thanh toán, đặt phòng khách sạn, xin thị thực, xin học bổng;
- Khám bệnh, chữa bệnh trong trường hợp khẩn cấp;
- Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp trong 05 năm đầu (trừ khi kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm, hoặc ≥100.000 chủ thể);
- Các trường hợp khác do pháp luật quy định.
5. Câu hỏi thường gặp
Hỏi: Dùng Google Workspace/Microsoft 365 máy chủ ở nước ngoài có phải làm hồ sơ không?
Đáp: Có, nếu dữ liệu cá nhân (email nhân viên, danh bạ khách hàng…) được lưu trữ/xử lý trên hạ tầng ở nước ngoài và không thuộc trường hợp miễn trừ — doanh nghiệp cần lập hồ sơ đánh giá tác động.
Hỏi: Chỉ chuyển dữ liệu nội bộ cho công ty mẹ có phải nộp hồ sơ không?
Đáp: Có. Chia sẻ dữ liệu nội bộ tập đoàn xuyên biên giới vẫn là chuyển dữ liệu ra nước ngoài, trừ khi thuộc diện quản lý nhân sự nội bộ được miễn.
Hỏi: Không nộp hồ sơ thì bị gì?
Đáp: Là hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, có thể bị xử phạt vi phạm hành chính theo Nghị định 330/2026/NĐ-CP và bị kiểm tra đột xuất (A05 kiểm tra định kỳ hàng năm hoặc đột xuất khi có dấu hiệu vi phạm).
Doanh nghiệp đang chuyển dữ liệu ra nước ngoài và cần lập hồ sơ đúng chuẩn? Liên hệ với chúng tôi để được tư vấn.
Bài viết do FLAW AI Legal Council biên soạn. Nội dung đang chờ Hội đồng QA rà soát trước khi trình phê duyệt; thông tin chỉ mang tính tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể của quý vị.
