Bảo vệ dữ liệu cá nhân: doanh nghiệp Trung Quốc tại Việt Nam cần tuân thủ gì?

Cảnh báo mở bài: nếu doanh nghiệp Trung Quốc của bạn tại Việt Nam vẫn đang tuân thủ bảo vệ dữ liệu cá nhân (DLCN) theo Nghị định 13/2023/NĐ-CP — bạn đang tuân thủ theo một văn bản đã hết hiệu lực từ 01/01/2026. Từ ngày này, khung pháp lý mới gồm Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP chi phối toàn bộ — kèm chế tài xử phạt mới có hiệu lực từ 19/8/2026.

Bài viết cung cấp checklist 6 nghĩa vụ cốt lõi cho doanh nghiệp Trung Quốc tại Việt Nam — từ sự đồng ý của chủ thể dữ liệu, lập hồ sơ đánh giá tác động (DPIA), xử lý luồng dữ liệu chuyển về công ty mẹ tại Trung Quốc, đến chỉ định nhân sự bảo vệ dữ liệu — cùng 3 sai lầm phổ biến của doanh nghiệp Trung Quốc.

1. Vì sao doanh nghiệp Trung Quốc đang ở vùng rủi ro?

• Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026 (theo Điều 42.2 Nghị định 356/2025/NĐ-CP) — đây là “bẫy trích dẫn cũ” số 1: đa số doanh nghiệp Trung Quốc vẫn vận hành theo khung cũ.
• Luật 91/2025/QH15 (hiệu lực 01/01/2026): Điều 2 mở rộng phạm vi áp dụng tới tổ chức, cá nhân nước ngoài tại Việt Nam — doanh nghiệp Trung Quốc đương nhiên thuộc diện điều chỉnh.
• Chế tài mới từ 19/8/2026: Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực bảo vệ DLCN với mức phạt nặng hơn nhiều (chi tiết tại mục 4).

2. Checklist 6 nghĩa vụ tuân thủ cốt lõi

(a) Rà soát lại sự đồng ý của chủ thể dữ liệu

Theo Điều 9, 11 Luật 91/2025/QH15, sự đồng ý phải được thể hiện trước khi xử lý, tự nguyện, theo từng mục đích cụ thể — và sự im lặng không được coi là đồng ý. Các form “đồng ý” gộp chung, checkbox mặc định đánh sẵn, hoặc điều khoản “tiếp tục sử dụng nghĩa là đồng ý” đều không đạt chuẩn luật mới. Doanh nghiệp cần rà soát lại toàn bộ biểu mẫu thu thập dữ liệu (tuyển dụng, khách hàng, WeChat Work/DingTalk nội bộ…).

(b) Lập và nộp hồ sơ đánh giá tác động xử lý DLCN (DPIA)

Theo Điều 21 Luật 91/2025/QH15 và Điều 19 Nghị định 356/2025/NĐ-CP: tổ chức phải lập hồ sơ DPIA, lưu giữ tại trụ sở, và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày bắt đầu xử lý DLCN (theo Mẫu số 10); cập nhật định kỳ 06 tháng khi có thay đổi. Đây là nghĩa vụ bị bỏ sót nhiều nhất.

(c) Hồ sơ chuyển DLCN xuyên biên giới về công ty mẹ tại Trung Quốc

Đây là “nỗi đau” đặc thù của doanh nghiệp Trung Quốc: báo cáo nhân sự/tài chính về trụ sở chính, dùng WeChat Work, DingTalk, cloud đặt tại Trung Quốc. Theo Điều 20 Luật 91/2025/QH15 và Điều 17–18 Nghị định 356/2025/NĐ-CP, chuyển DLCN ra ngoài lãnh thổ Việt Nam thuộc 3 trường hợp phải lập hồ sơ đánh giá tác động riêng và gửi trong 60 ngày:

• Lưu trữ DLCN ngoài lãnh thổ Việt Nam;
• Chuyển DLCN cho tổ chức, cá nhân ở nước ngoài;
• Sử dụng nền tảng ngoài lãnh thổ để xử lý DLCN thu thập tại Việt Nam.

Miễn trừ (khoản 6 Điều 20): cơ quan nhà nước thực hiện chức năng; lưu trữ DLCN của người lao động trên nền tảng điện toán đám mây; trường hợp chính chủ thể dữ liệu tự chuyển dữ liệu của mình ra nước ngoài.

(d) Chỉ định bộ phận/nhân sự bảo vệ dữ liệu

Theo Điều 13–14 Nghị định 356/2025/NĐ-CP, nhân sự bảo vệ DLCN phải có trình độ từ cao đẳng trở lên, ≥ 02 năm kinh nghiệm liên quan và được đào tạo chuyên môn về bảo vệ DLCN. Không thể chỉ định “cho có” một nhân viên hành chính kiêm nhiệm mà không đáp ứng tiêu chuẩn.

(e) Quy trình thông báo vi phạm và thực thi quyền của chủ thể dữ liệu

Xây dựng quy trình nội bộ: tiếp nhận, xử lý yêu cầu của chủ thể dữ liệu (truy cập, chỉnh sửa, xóa, rút lại sự đồng ý, phản đối xử lý…); thông báo vi phạm quy định bảo vệ DLCN cho cơ quan có thẩm quyền và chủ thể bị ảnh hưởng trong thời hạn luật định.

(f) Cập nhật định kỳ

Hồ sơ DPIA và hồ sơ chuyển dữ liệu xuyên biên giới phải được rà soát, cập nhật định kỳ 06 tháng khi có thay đổi về mục đích, phương thức xử lý hoặc bên nhận dữ liệu.

3. Ba sai lầm phổ biến của doanh nghiệp Trung Quốc

1. “Chúng tôi tuân thủ theo Nghị định 13/2023/NĐ-CP”: văn bản đã hết hiệu lực từ 01/01/2026. Toàn bộ quy trình nội bộ xây dựng trên NĐ 13 cần được rà soát lại theo Luật 91/2025/QH15 + NĐ 356/2025/NĐ-CP.
2. Đồng bộ dữ liệu về công ty mẹ mà không lập hồ sơ: việc push dữ liệu nhân sự, khách hàng về hệ thống tại Trung Quốc (qua WeChat Work, DingTalk, cloud TQ) là chuyển DLCN xuyên biên giới — phải lập hồ sơ đánh giá tác động riêng, không thể “lặng lẽ” thực hiện.
3. Nhân sự bảo vệ dữ liệu là người Trung Quốc không đủ điều kiện: cử nhân sự từ trụ sở chính sang phụ trách nhưng không đáp ứng tiêu chuẩn trình độ/kinh nghiệm/đào tạo theo Điều 13–14 NĐ 356/2025/NĐ-CP, hoặc không am hiểu pháp luật Việt Nam.

Bảng so sánh nhanh: NĐ 13/2023/NĐ-CP vs Luật 91/2025/QH15

4. Chế tài xử phạt mới (từ 19/8/2026)

Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026) — một số mức phạt đáng chú ý tại Điều 55:

• 20–30 triệu đồng: vi phạm quy định về hồ sơ DPIA;
• 50–100 triệu đồng: làm giả số liệu, tài liệu trong hồ sơ;
• Buộc dừng xử lý dữ liệu trong trường hợp vi phạm nghiêm trọng;
• Các vi phạm khác: phạt đến 3 tỷ đồng đối với tổ chức;
• Mua bán DLCN: phạt đến 10 lần khoản thu bất chính.

5. Lưu ý miễn trừ cho doanh nghiệp nhỏ 5 năm

Nghị định 356/2025/NĐ-CP cho phép doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn miễn áp dụng Điều 21, Điều 22 và khoản 2 Điều 33 của Luật trong 05 năm — trừ khi doanh nghiệp kinh doanh dịch vụ xử lý DLCN, trực tiếp xử lý DLCN nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên. Doanh nghiệp Trung Quốc quy mô vừa cần tự đánh giá mình có thuộc diện miễn trừ hay không.

6. Lộ trình 90 ngày khuyến nghị

1. Ngày 1–30: kiểm kê toàn bộ luồng dữ liệu (thu thập ở đâu, lưu ở đâu, chuyển đi đâu — đặc biệt luồng về Trung Quốc); rà soát các form đồng ý hiện tại.
2. Ngày 31–60: lập hồ sơ DPIA; lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới; chỉ định/đào tạo nhân sự bảo vệ DLCN.
3. Ngày 61–90: nộp hồ sơ cho cơ quan chuyên trách (trong thời hạn 60 ngày kể từ khi bắt đầu xử lý); ban hành quy trình nội bộ; đào tạo toàn công ty.

7. Câu hỏi thường gặp (FAQ)

Nghị định 13/2023/NĐ-CP còn hiệu lực không?

Không. Hết hiệu lực từ 01/01/2026 theo Điều 42.2 Nghị định 356/2025/NĐ-CP. Khung hiện hành là Luật 91/2025/QH15 + Nghị định 356/2025/NĐ-CP.

Công ty mẹ tại Trung Quốc yêu cầu gửi dữ liệu nhân sự về — có được không?

Được, nhưng phải lập hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới và gửi cho cơ quan chuyên trách trong 60 ngày (Điều 20 Luật 91/2025/QH15; Điều 17–18 NĐ 356/2025/NĐ-CP), đồng thời bảo đảm có sự đồng ý hợp lệ của người lao động.

Dùng WeChat Work/DingTalk có vi phạm không?

Bản thân việc dùng nền tảng không bị cấm, nhưng nếu DLCN thu thập tại Việt Nam được xử lý trên nền tảng đặt ngoài lãnh thổ thì thuộc trường hợp chuyển dữ liệu xuyên biên giới — phải tuân thủ thủ tục tương ứng.

8. Căn cứ pháp lý (tính đến 14/10/2026)

• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hiệu lực 01/01/2026: Điều 2 (phạm vi), Điều 9, 11 (sự đồng ý), Điều 20 (chuyển DLCN xuyên biên giới), Điều 21 (DPIA).
• Nghị định 356/2025/NĐ-CP — hiệu lực 01/01/2026: Điều 13–14 (nhân sự BVDL), Điều 17–19 (chuyển dữ liệu, DPIA), Điều 42.2 (bãi bỏ NĐ 13/2023/NĐ-CP).
• Nghị định 330/2026/NĐ-CP — hiệu lực 19/8/2026: xử phạt vi phạm hành chính về BVDL (Điều 55).

Bài viết mang tính thông tin chung, không phải tư vấn pháp lý cho từng trường hợp; doanh nghiệp nên rà soát với luật sư trước khi triển khai luồng dữ liệu xuyên biên giới.

Liên hệ tư vấn

FLAT Law Firm (China Desk) hỗ trợ doanh nghiệp Trung Quốc tại Việt Nam rà soát tuân thủ bảo vệ dữ liệu cá nhân, lập hồ sơ DPIA và hồ sơ chuyển dữ liệu xuyên biên giới. Liên hệ qua trang liên hệ.