FLAT LAW FIRM
Yêu cầu tư vấn

Dữ liệu, công nghệ & tuân thủ

Chuyển dữ liệu cá nhân ra nước ngoài: điều kiện và thủ tục tại Việt Nam từ 01/01/2026

32 phút đọcFLAT LAW FIRM
Cận cảnh cáp quang màu xanh cắm vào thiết bị mạng trong trung tâm dữ liệu

Đồng bộ dữ liệu nhân sự về công ty mẹ ở nước ngoài, dùng hệ thống email, CRM, ERP đặt máy chủ ngoài Việt Nam, thuê nhà cung cấp dịch vụ IT ở nước ngoài xử lý dữ liệu khách hàng — với doanh nghiệp có vốn đầu tư nước ngoài (FDI), những hoạt động này diễn ra hằng ngày và thường bị xem là chuyện thuần túy kỹ thuật. Từ ngày 01/01/2026, cách nhìn đó không còn đúng nữa: chuyển dữ liệu cá nhân ra nước ngoài là một hoạt động pháp lý độc lập, chịu sự điều chỉnh trực tiếp của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 20) và Nghị định 356/2025/NĐ-CP (Điều 18), với nghĩa vụ trung tâm là lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Bài viết này hướng dẫn đầy đủ điều kiện, thành phần hồ sơ, thủ tục thông báo, các trường hợp miễn trừ và chế tài áp dụng từ 01/01/2026, với trọng tâm là các tình huống thực tế của doanh nghiệp FDI tại Việt Nam.

Mục lục

1. Vì sao doanh nghiệp FDI phải ưu tiên việc này ngay từ đầu năm 2026

Có ba lý do khiến nghĩa vụ về chuyển dữ liệu cá nhân ra nước ngoài xứng đáng đứng đầu danh sách ưu tiên tuân thủ của doanh nghiệp FDI trong năm 2026.

Thứ nhất, tính phổ biến. Hầu như không có doanh nghiệp FDI nào không phát sinh ít nhất một luồng chuyển dữ liệu ra nước ngoài: báo cáo nhân sự định kỳ gửi về trụ sở chính, hệ thống quản trị nhân sự toàn cầu (HRIS), email và lưu trữ đám mây đặt máy chủ ở nước ngoài, phần mềm quản trị doanh nghiệp (ERP/CRM) vận hành trên nền tảng quốc tế, hay dịch vụ hỗ trợ kỹ thuật từ đội ngũ IT của tập đoàn. Nhiều doanh nghiệp vẫn nghĩ đây là "chuyển nội bộ trong tập đoàn" nên không cần thủ tục gì — pháp luật hiện hành không có cách hiểu đó.

Thứ hai, chế tài nặng nhất trong các nhóm vi phạm. Theo khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền tối đa đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề — cao hơn hẳn mức trần 3 tỷ đồng áp dụng cho các vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân. Với một doanh nghiệp FDI có doanh thu hàng trăm tỷ đồng, con số này vượt xa mọi khoản phạt hành chính mà doanh nghiệp từng hình dung cho một nghĩa vụ "giấy tờ".

Thứ ba, cơ chế đã chuyển từ "hậu kiểm" sang "tiền kiểm". Dưới thời Nghị định 13/2023/NĐ-CP, doanh nghiệp được chuyển dữ liệu trước rồi gửi hồ sơ trong vòng 60 ngày kể từ ngày xử lý. Từ 01/01/2026, Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ phải được cơ quan chuyên trách đánh giá và thông báo đạt hoặc không đạt yêu cầu trong 15 ngày kể từ ngày nhận hồ sơ hợp lệ. Nói cách khác, doanh nghiệp chuyển dữ liệu khi hồ sơ chưa "đạt yêu cầu" đang tự đặt mình vào vùng rủi ro pháp lý — dù Luật vẫn giữ thời hạn 60 ngày kể từ ngày đầu tiên chuyển để gửi hồ sơ.

2. Khung pháp lý điều chỉnh chuyển dữ liệu cá nhân ra nước ngoài

Khung pháp lý hiện hành gồm hai văn bản nền tảng, cùng có hiệu lực từ ngày 01/01/2026:

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được Quốc hội khóa XV thông qua ngày 26/6/2025, gồm 5 chương, 39 điều. Điều 20 là điều khoản trung tâm điều chỉnh chuyển dữ liệu cá nhân xuyên biên giới, quy định các trường hợp chuyển, nghĩa vụ lập hồ sơ đánh giá tác động, thời hạn gửi hồ sơ, cơ chế kiểm tra, quyền yêu cầu ngừng chuyển và các trường hợp miễn trừ. Khoản 7 Điều 20 giao Chính phủ quy định chi tiết các khoản 1, 5, 6 cùng thành phần hồ sơ, điều kiện, trình tự, thủ tục đánh giá tác động.
  • Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023/NĐ-CP (khoản 2 Điều 42 Nghị định 356). Điều 18 Nghị định 356 quy định cụ thể điều kiện, trình tự, thủ tục và thành phần hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Một điểm chuyển tiếp đáng lưu ý: theo Điều 39 Luật 91/2025/QH15, hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực được tiếp tục sử dụng, nhưng doanh nghiệp phải cập nhật theo quy định của Luật mới sau thời điểm 01/01/2026. Thực tế, vì Nghị định 356 thay đổi căn bản cả hình thức và nội dung hồ sơ (bổ sung yêu cầu về chính sách, quy trình nội bộ, sơ đồ luồng dữ liệu, đánh giá bên nhận), doanh nghiệp đã lập hồ sơ theo mẫu cũ nên rà soát lại toàn bộ thay vì mặc định "hồ sơ cũ vẫn dùng được".

3. Trường hợp nào bị coi là "chuyển dữ liệu cá nhân xuyên biên giới"?

Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 liệt kê ba trường hợp được coi là chuyển dữ liệu cá nhân xuyên biên giới. Doanh nghiệp FDI cần đối chiếu từng luồng dữ liệu của mình với cả ba trường hợp này, vì nhiều luồng "vô hình" trong vận hành hằng ngày vẫn rơi vào phạm vi điều chỉnh.

Trường hợp 1: Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ Việt Nam. Đây là tình huống trực diện nhất: sao lưu hoặc đồng bộ cơ sở dữ liệu nhân sự, khách hàng từ máy chủ tại Việt Nam sang máy chủ đặt ở nước ngoài; chuyển dữ liệu sang trung tâm dữ liệu khu vực (regional data center) của tập đoàn.

Trường hợp 2: Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài. Tình huống điển hình của FDI: công ty con tại Việt Nam gửi báo cáo nhân sự, báo cáo tài chính có chứa dữ liệu cá nhân về công ty mẹ; cung cấp danh sách khách hàng, đối tác cho nhà phân phối ở nước ngoài; chia sẻ hồ sơ ứng viên, hồ sơ người lao động với bộ phận tuyển dụng toàn cầu. Lưu ý quan trọng: pháp luật không miễn trừ riêng cho việc chuyển trong nội bộ tập đoàn — công ty con tại Việt Nam là pháp nhân độc lập, việc chuyển dữ liệu cho công ty mẹ ở nước ngoài vẫn là chuyển dữ liệu cá nhân xuyên biên giới.

Trường hợp 3: Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam. Đây là trường hợp dễ bị bỏ sót nhất: sử dụng dịch vụ email, lưu trữ đám mây, phần mềm quản trị (HRIS, ERP, CRM) mà máy chủ hoặc nền tảng xử lý đặt ở nước ngoài để xử lý dữ liệu của người lao động, khách hàng thu thập tại Việt Nam. Doanh nghiệp không "gửi" dữ liệu đi đâu một cách chủ động, nhưng việc dữ liệu được xử lý trên nền tảng ngoài lãnh thổ đã cấu thành chuyển dữ liệu xuyên biên giới.

4. Bốn điều kiện để chuyển dữ liệu cá nhân ra nước ngoài hợp pháp

Từ Điều 20 của Luật và Điều 18 của Nghị định 356, có thể tổng hợp bốn điều kiện mà doanh nghiệp phải đáp ứng (trừ các trường hợp được miễn tại mục 7):

Điều kiện 1 — Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Đây là nghĩa vụ trung tâm. Khoản 1 Điều 18 Nghị định 356/2025/NĐ-CP quy định: cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 của Luật phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Hồ sơ này không phải là một văn bản hình thức — nội dung của nó (trình bày tại mục 5) đòi hỏi doanh nghiệp phải thực sự rà soát luồng dữ liệu, đánh giá rủi ro và xây dựng biện pháp bảo vệ.

Điều kiện 2 — Gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển. Khoản 2 Điều 20 của Luật quy định: cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới. "Ngày đầu tiên chuyển" là mốc tính quan trọng: với các luồng chuyển diễn ra thường xuyên (ví dụ đồng bộ dữ liệu hằng ngày về công ty mẹ), thời hạn 60 ngày được tính từ ngày phát sinh luồng chuyển đầu tiên, không phải từ ngày doanh nghiệp "nhận ra" mình có nghĩa vụ.

Điều kiện 3 — Có cơ sở pháp lý cho việc xử lý dữ liệu, trước hết là sự đồng ý của chủ thể dữ liệu. Chuyển dữ liệu ra nước ngoài là một hình thức xử lý dữ liệu cá nhân, nên vẫn phải tuân thủ các điều kiện xử lý chung của Luật — trong đó có quy định về sự đồng ý tại Điều 9. Luật yêu cầu sự đồng ý phải dựa trên sự tự nguyện và việc chủ thể dữ liệu "biết rõ" các thông tin tối thiểu (loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu…), và quy định rõ "sự im lặng hoặc không phản hồi không được coi là sự đồng ý". Thực tế, nội dung báo cáo đánh giá tác động (điểm d khoản 3 Điều 18 Nghị định 356) bắt buộc phải mô tả và luận giải việc thực hiện xin sự đồng ý của chủ thể dữ liệu — cơ quan chuyên trách sẽ nhìn vào đó để đánh giá. Doanh nghiệp FDI vì vậy cần rà soát lại thông báo bảo mật (privacy notice) và các biểu mẫu đồng ý hiện có: đã nêu rõ việc dữ liệu sẽ được chuyển ra nước ngoài, chuyển cho ai, sang nước nào và vì mục đích gì hay chưa.

Điều kiện 4 — Vượt qua cơ chế thẩm định của cơ quan chuyên trách (tiền kiểm 15 ngày). Đây là điểm mới mang tính bước ngoặt của Nghị định 356 so với Nghị định 13/2023/NĐ-CP. Cơ quan chuyên trách có trách nhiệm đánh giá hồ sơ và thông báo kết quả đạt yêu cầu hoặc không đạt yêu cầu trong 15 ngày kể từ ngày tiếp nhận hồ sơ hợp lệ; trường hợp hồ sơ chưa đầy đủ, chưa đúng quy định, doanh nghiệp có 30 ngày để hoàn thiện. Hệ quả thực hành: dù Luật cho phép gửi hồ sơ trong 60 ngày kể từ ngày đầu tiên chuyển, doanh nghiệp thận trọng nên hoàn tất và gửi hồ sơ trước khi thực hiện lần chuyển đầu tiên, tránh tình trạng đã chuyển dữ liệu nhưng hồ sơ bị đánh giá "không đạt yêu cầu". Cách diễn giải chính thức về sự phối hợp giữa hai mốc thời gian này có thể được cơ quan chuyên trách làm rõ thêm trong quá trình thực thi — doanh nghiệp có luồng chuyển lớn nên chủ động trao đổi với luật sư để xây dựng lộ trình phù hợp.

5. Thành phần hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

5.1. Ba nhóm tài liệu bắt buộc (khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP)

Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09 tại Phụ lục của Nghị định 356;

b) Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới;

c) Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới.

Điểm b là nội dung doanh nghiệp FDI thường phải bổ sung nhiều nhất: hợp đồng với bên nhận dữ liệu ở nước ngoài (công ty mẹ, nhà cung cấp dịch vụ, đối tác) phải thể hiện rõ sự ràng buộc và phân định trách nhiệm bảo vệ dữ liệu — không thể chỉ là một điều khoản chung chung trong hợp đồng khung. Điểm c đòi hỏi doanh nghiệp phải có sẵn hệ thống chính sách, quy trình nội bộ về bảo vệ dữ liệu cá nhân; nếu chưa có, đây là việc phải xây dựng song song, không thể "viết cho có" trong vài ngày.

5.2. Chín nội dung của Báo cáo đánh giá tác động (khoản 3 Điều 18)

Báo cáo theo Mẫu số 09 phải bao gồm các nội dung sau:

a) Thông tin và chi tiết liên lạc của bên chuyển dữ liệu cá nhân, bên nhận dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và các bên khác có liên quan đến hoạt động chuyển dữ liệu cá nhân xuyên biên giới;

b) Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (nếu có) của bên chuyển và bên nhận dữ liệu cá nhân;

c) Mô tả và luận giải mục đích chuyển dữ liệu cá nhân xuyên biên giới, loại dữ liệu cá nhân được chuyển, chi tiết các hoạt động chuyển và xử lý dữ liệu cá nhân xuyên biên giới, kèm sơ đồ luồng xử lý dữ liệu cá nhân;

d) Mô tả và luận giải về việc thực hiện xin sự đồng ý của chủ thể dữ liệu cá nhân, chính sách lưu trữ, xóa, hủy dữ liệu cá nhân;

đ) Phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển xuyên biên giới, các biện pháp bảo vệ dữ liệu cá nhân và tiêu chuẩn bảo vệ dữ liệu cá nhân được áp dụng;

e) Sơ đồ hệ thống, mô tả tính năng của hệ thống lưu trữ, xử lý dữ liệu cá nhân sau khi tiếp nhận dữ liệu cá nhân xuyên biên giới;

g) Quy trình về việc bên tiếp nhận dữ liệu cá nhân xuyên biên giới chuyển giao, cung cấp dữ liệu cá nhân cho bên thứ ba;

h) Kết quả tự đánh giá tuân thủ quy định về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới;

i) Đánh giá mức độ bảo vệ dữ liệu cá nhân của bên nhận dữ liệu cá nhân; mức độ ảnh hưởng, rủi ro của việc chuyển và xử lý dữ liệu cá nhân xuyên biên giới; hậu quả, thiệt hại không mong muốn có khả năng xảy ra và các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, rủi ro đó.

Trong thực hành, các điểm c, đ, e, i là "xương sống" của báo cáo và cũng là nơi cơ quan chuyên trách soi kỹ nhất. Doanh nghiệp FDI nên đầu tư vào sơ đồ luồng dữ liệu chi tiết (dữ liệu gì — từ đâu — đi qua hệ thống nào — đến tay ai — lưu ở đâu — xóa khi nào), đánh giá thực chất năng lực bảo vệ dữ liệu của bên nhận ở nước ngoài (không chỉ cam kết chung chung trong hợp đồng), và phân tích rủi ro kèm biện pháp giảm thiểu cụ thể (mã hóa, ẩn danh hóa, phân quyền truy cập, giới hạn mục đích sử dụng). Một báo cáo sao chép mẫu mà không phản ánh đúng thực tế vận hành không chỉ bị đánh giá "không đạt yêu cầu" mà còn tạo rủi ro khi cơ quan chức năng kiểm tra đột xuất.

6. Thủ tục thông báo gửi hồ sơ: nộp ở đâu, bao lâu, kết quả ra sao

Thủ tục hành chính tương ứng có tên "Thông báo gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới". Trình tự thực hiện gồm các bước sau:

Bước 1 — Chuẩn bị hồ sơ. Thành phần hồ sơ thông báo gồm: Thông báo gửi hồ sơ theo Mẫu số 01a (dành cho tổ chức) hoặc Mẫu số 01b (dành cho cá nhân) — 01 bản chính; Báo cáo đánh giá tác động theo Mẫu số 09 — 01 bản chính; giấy tờ pháp lý của chủ hồ sơ (bản sao giấy chứng nhận đăng ký doanh nghiệp hoặc giấy tờ tương đương); quyết định phân công bộ phận/nhân sự bảo vệ dữ liệu cá nhân (bản sao); bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu với các bên; và các giấy tờ khác chứng minh năng lực, chính sách, quy trình liên quan.

Bước 2 — Nộp hồ sơ. Hồ sơ được nộp qua Cổng dịch vụ công Bộ Công an hoặc gửi trực tiếp về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an — đơn vị thực hiện chức năng cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thực tế. Về mặt văn bản, Điều 39 Nghị định 356/2025/NĐ-CP xác định vai trò của cơ quan chuyên trách; khi chuẩn bị nộp, doanh nghiệp nên đối chiếu trực tiếp danh mục thủ tục hành chính được công bố chính thức để xác nhận đầu mối và hình thức nộp tại thời điểm thực hiện.

Bước 3 — Thẩm định và thông báo kết quả. Trong thời hạn 15 ngày (không tính ngày nghỉ lễ, tết) kể từ ngày nhận được hồ sơ đầy đủ, hợp lệ, cơ quan chuyên trách đánh giá hồ sơ và gửi thông báo kết quả đạt yêu cầu hoặc không đạt yêu cầu đến tổ chức, cá nhân nộp hồ sơ. Trường hợp hồ sơ chưa đầy đủ, chưa hợp lệ, tổ chức, cá nhân có 30 ngày kể từ ngày nhận được thông báo để hoàn thiện hồ sơ.

Bước 4 — Lưu giữ hồ sơ. Khoản 4 Điều 18 Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Đây không phải thủ tục "nộp xong là xong": doanh nghiệp phải duy trì hồ sơ ở trạng thái sẵn sàng xuất trình bất cứ lúc nào, bao gồm cả các bản cập nhật sau này.

7. Các trường hợp được miễn lập hồ sơ đánh giá tác động

Khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 quy định bốn trường hợp không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới:

a) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;

b) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;

c) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;

d) Các trường hợp khác theo quy định của Chính phủ.

Điểm b là miễn trừ có ý nghĩa thực tiễn lớn nhất với doanh nghiệp FDI: nếu doanh nghiệp chỉ lưu trữ dữ liệu của chính người lao động của mình trên dịch vụ cloud (kể cả khi máy chủ cloud đặt ở nước ngoài), doanh nghiệp không phải lập hồ sơ đánh giá tác động cho hoạt động lưu trữ đó. Tuy nhiên, cần đọc kỹ phạm vi: miễn trừ chỉ bao trùm dữ liệu của người lao động thuộc cơ quan, tổ chức đó và hoạt động lưu trữ trên cloud. Nếu cùng hệ thống cloud đó còn xử lý dữ liệu khách hàng, dữ liệu ứng viên, hoặc doanh nghiệp chuyển dữ liệu người lao động cho bên thứ ba ở nước ngoài vì mục đích khác (ví dụ cung cấp cho công ty mẹ để ra quyết định nhân sự), phần vượt ra ngoài phạm vi miễn trừ vẫn phải lập hồ sơ.

Đối với điểm d, Chính phủ đã quy định chi tiết các trường hợp khác không phải lập hồ sơ, bao gồm các nhóm như: hoạt động báo chí, truyền thông theo quy định của pháp luật; việc chuyển dữ liệu cá nhân đã được công khai theo quy định của pháp luật; các tình huống khẩn cấp thực sự cần thiết để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân hoặc để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật; hoạt động chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể; và việc cung cấp dữ liệu để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, đặt phòng khách sạn, xin thị thực, xin học bổng. Khi áp dụng các miễn trừ này, doanh nghiệp nên đối chiếu trực tiếp điều khoản tương ứng trong văn bản gốc Nghị định 356/2025/NĐ-CP để xác nhận phạm vi và điều kiện cụ thể.

Một lưu ý mang tính nguyên tắc: được miễn lập hồ sơ đánh giá tác động không đồng nghĩa với được miễn mọi nghĩa vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp vẫn phải tuân thủ các nghĩa vụ chung của Luật — xin sự đồng ý hợp lệ, áp dụng biện pháp bảo mật, bảo đảm quyền của chủ thể dữ liệu, và thông báo vi phạm theo quy định. Miễn trừ chỉ gỡ bỏ nghĩa vụ lập và gửi hồ sơ đánh giá tác động, không phải "giấy phép chuyển tự do".

8. Nghĩa vụ sau khi chuyển: lưu hồ sơ, cập nhật, chịu kiểm tra

Hoàn tất thủ tục thông báo không phải là điểm kết thúc. Luật và Nghị định đặt ra các nghĩa vụ liên tục sau khi doanh nghiệp đã chuyển dữ liệu ra nước ngoài:

Lưu giữ và sẵn sàng xuất trình hồ sơ. Như đã nêu, hồ sơ đánh giá tác động phải luôn có sẵn để phục vụ kiểm tra, đánh giá của cơ quan chuyên trách (khoản 4 Điều 18 Nghị định 356).

Cập nhật hồ sơ khi có thay đổi. Khoản 3 Điều 20 của Luật quy định đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện 01 lần cho suốt thời gian hoạt động của cơ quan, tổ chức, cá nhân đó và được cập nhật theo quy định. Theo phân tích thực hành về Nghị định 356, hồ sơ cần được cập nhật định kỳ 06 tháng một lần khi phát sinh mục đích chuyển hoặc xử lý dữ liệu mới, hoặc khi có thay đổi về bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu, bên xử lý dữ liệu, bên thứ ba; và cập nhật ngay trong vòng 10 ngày khi tổ chức bị tổ chức lại, chấm dứt hoạt động, giải thể hoặc phá sản, khi thay đổi tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân, hoặc khi phát sinh, thay đổi ngành nghề, dịch vụ liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ. Doanh nghiệp nên đối chiếu trực tiếp điều khoản của Nghị định khi xây dựng lịch cập nhật nội bộ, và trong mọi trường hợp, mỗi lần thay đổi nhà cung cấp dịch vụ cloud, thay đổi hệ thống xử lý dữ liệu hoặc mở rộng phạm vi dữ liệu chuyển đi đều là thời điểm phải rà soát lại hồ sơ.

Chịu kiểm tra định kỳ và đột xuất. Khoản 4 Điều 20 của Luật quy định cơ quan chuyên trách quyết định việc kiểm tra định kỳ không quá 01 lần trong năm hoặc kiểm tra đột xuất khi phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân hoặc khi xảy ra sự cố lộ, mất dữ liệu cá nhân. Với doanh nghiệp FDI, sự cố lộ, mất dữ liệu (data breach) ở bất kỳ đâu trong chuỗi xử lý — kể cả tại bên nhận ở nước ngoài — đều có thể kích hoạt một cuộc kiểm tra đột xuất tại Việt Nam.

Nguy cơ bị yêu cầu ngừng chuyển. Khoản 5 Điều 20 của Luật trao cho cơ quan chuyên trách quyền quyết định yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới khi phát hiện dữ liệu cá nhân được chuyển để sử dụng vào hoạt động có thể gây tổn hại đến quốc phòng, an ninh quốc gia. Đây là biện pháp mạnh, chủ yếu nhắm vào các tình huống rủi ro an ninh, nhưng doanh nghiệp cần ý thức rằng hoạt động chuyển dữ liệu của mình luôn nằm trong tầm giám sát liên tục của cơ quan chức năng.

9. Chế tài vi phạm: 5% doanh thu và 3 tỷ đồng

Khung chế tài đối với vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới được quy định tại Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025:

  • Khoản 4 Điều 8: mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó. Trường hợp không có doanh thu của năm trước liền kề, hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5, thì áp dụng mức phạt tiền theo khoản 5 — tức 03 tỷ đồng.
  • Khoản 6 Điều 8: các mức phạt tối đa nêu trên áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.
  • Khoản 1 Điều 8: ngoài xử phạt hành chính, tổ chức, cá nhân vi phạm tùy tính chất, mức độ, hậu quả có thể bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Cần lưu ý rằng Điều 8 quy định khung tối đa; mức phạt cụ thể cho từng hành vi (không lập hồ sơ, không gửi hồ sơ đúng hạn, chuyển khi bị yêu cầu ngừng…) sẽ do văn bản quy định chi tiết về xử phạt vi phạm hành chính của Chính phủ quy định. Doanh nghiệp không nên suy luận rằng "chưa có nghị định xử phạt thì chưa bị phạt" — khung tối đa luật định đã có hiệu lực từ 01/01/2026 và cơ quan chức năng có thể áp dụng các biện pháp khác như yêu cầu ngừng chuyển, kiểm tra đột xuất ngay từ bây giờ.

10. Năm kịch bản chuyển dữ liệu điển hình của doanh nghiệp FDI

Để dễ hình dung, dưới đây là năm kịch bản phổ biến nhất tại doanh nghiệp FDI ở Việt Nam, kèm đánh giá nhanh về nghĩa vụ:

Kịch bản 1 — Báo cáo nhân sự định kỳ về công ty mẹ. Công ty con tại Việt Nam gửi danh sách nhân sự, bảng lương, đánh giá hiệu quả công việc cho trụ sở chính ở nước ngoài để phục vụ quản trị toàn cầu. Đây là trường hợp 2 của khoản 1 Điều 20 (chuyển cho tổ chức ở nước ngoài). Phải lập hồ sơ, trừ khi luồng dữ liệu chỉ dừng ở mức lưu trữ dữ liệu người lao động trên cloud theo điểm b khoản 6 — mà trong kịch bản này thường không đáp ứng, vì dữ liệu được chuyển cho công ty mẹ để xử lý (ra quyết định nhân sự), không chỉ đơn thuần lưu trữ.

Kịch bản 2 — Dùng hệ thống cloud/SaaS đặt máy chủ ở nước ngoài. Email doanh nghiệp, HRIS, ERP, CRM vận hành trên nền tảng có máy chủ ngoài Việt Nam, xử lý dữ liệu người lao động và khách hàng thu thập tại Việt Nam. Đây là trường hợp 3 của khoản 1 Điều 20. Phải lập hồ sơ cho phần dữ liệu khách hàng và các dữ liệu khác; riêng phần lưu trữ dữ liệu người lao động trên cloud có thể thuộc diện miễn trừ điểm b khoản 6 — nhưng doanh nghiệp phải tách bạch được phạm vi trong báo cáo.

Kịch bản 3 — Thuê nhà cung cấp dịch vụ IT ở nước ngoài. Đội ngũ hỗ trợ kỹ thuật, vận hành hệ thống của tập đoàn hoặc vendor nước ngoài có quyền truy cập vào dữ liệu cá nhân (khách hàng, người lao động) để xử lý sự cố, bảo trì. Đây là chuyển dữ liệu cho tổ chức ở nước ngoài (trường hợp 2), đồng thời bên nhận đóng vai trò bên xử lý dữ liệu. Phải lập hồ sơ, trong đó hợp đồng dịch vụ phải thể hiện rõ ràng buộc, trách nhiệm bảo vệ dữ liệu của vendor.

Kịch bản 4 — Chia sẻ dữ liệu khách hàng với đối tác phân phối ở nước ngoài. Doanh nghiệp cung cấp danh sách khách hàng, dữ liệu giao dịch cho nhà phân phối, đại lý ở nước ngoài để phục vụ bán hàng, marketing. Phải lập hồ sơ; điểm nhạy cảm nhất ở đây thường là cơ sở đồng ý — khách hàng đã đồng ý cho việc chia sẻ dữ liệu của họ cho bên thứ ba ở nước ngoài hay chưa (Điều 9).

Kịch bản 5 — Cung cấp dữ liệu trong giao dịch M&A. Bên mua hoặc bên tư vấn ở nước ngoài tiếp cận dữ liệu người lao động, khách hàng của công ty mục tiêu tại Việt Nam trong quá trình thẩm định (due diligence). Phải lập hồ sơ nếu việc tiếp cận cấu thành chuyển dữ liệu xuyên biên giới; trên thực tế, các bên thường phải thiết kế cơ chế phòng dữ liệu (data room) với biện pháp ẩn danh hóa, giới hạn phạm vi truy cập ngay từ đầu để giảm thiểu rủi ro.

11. Checklist 10 bước triển khai cho doanh nghiệp FDI

  1. Lập bản đồ luồng dữ liệu (data mapping): liệt kê toàn bộ luồng dữ liệu cá nhân đi ra ngoài lãnh thổ Việt Nam — dữ liệu gì, của ai, đi đâu, qua hệ thống nào, vì mục đích gì.
  2. Đối chiếu với 3 trường hợp tại khoản 1 Điều 20: xác định luồng nào cấu thành chuyển dữ liệu cá nhân xuyên biên giới.
  3. Kiểm tra miễn trừ: từng luồng có thuộc 4 trường hợp tại khoản 6 Điều 20 hoặc các trường hợp do Chính phủ quy định không; ghi lại cơ sở áp dụng miễn trừ bằng văn bản.
  4. Rà soát cơ sở đồng ý: cập nhật thông báo bảo mật và biểu mẫu đồng ý — nêu rõ việc chuyển ra nước ngoài, bên nhận, quốc gia nhận, mục đích chuyển (Điều 9).
  5. Hoàn thiện hợp đồng chuyển giao: ký mới hoặc sửa đổi hợp đồng với bên nhận ở nước ngoài, thể hiện rõ sự ràng buộc và phân định trách nhiệm bảo vệ dữ liệu cá nhân.
  6. Lập Báo cáo đánh giá tác động theo Mẫu số 09: đầy đủ 9 nội dung tại khoản 3 Điều 18 Nghị định 356, đặc biệt là sơ đồ luồng dữ liệu, đánh giá bên nhận và phân tích rủi ro.
  7. Chuẩn bị và nộp Thông báo (Mẫu 01a) kèm hồ sơ: khuyến nghị nộp trước lần chuyển đầu tiên để phù hợp với cơ chế tiền kiểm 15 ngày.
  8. Theo dõi kết quả thẩm định: nhận thông báo đạt/không đạt trong 15 ngày; hoàn thiện hồ sơ trong 30 ngày nếu được yêu cầu.
  9. Thiết lập quản trị liên tục: phân công bộ phận/nhân sự bảo vệ dữ liệu cá nhân, lưu hồ sơ ở trạng thái luôn sẵn sàng, xây dựng lịch cập nhật hồ sơ.
  10. Tích hợp vào quy trình vận hành: mọi thay đổi nhà cung cấp, thay đổi hệ thống, mở rộng phạm vi dữ liệu hoặc giao dịch M&A đều phải đi qua bước rà soát chuyển dữ liệu xuyên biên giới.

12. Câu hỏi thường gặp (FAQ)

Hỏi: Công ty tôi dùng email, lưu trữ đám mây của nhà cung cấp quốc tế (máy chủ đặt ở nước ngoài) — có bị coi là chuyển dữ liệu ra nước ngoài không? Đáp: Có. Đây chính là trường hợp 3 tại khoản 1 Điều 20: sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam. Kể cả khi doanh nghiệp không "gửi" dữ liệu đi một cách chủ động, việc dữ liệu được xử lý trên hạ tầng ngoài lãnh thổ vẫn cấu thành chuyển dữ liệu xuyên biên giới và phát sinh nghĩa vụ lập hồ sơ — trừ phần dữ liệu người lao động được lưu trữ trên cloud thuộc diện miễn trừ tại điểm b khoản 6 Điều 20.

Hỏi: Lưu trữ dữ liệu nhân viên trên cloud có phải lập hồ sơ đánh giá tác động không? Đáp: Không, nếu hoạt động chỉ dừng ở việc cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20). Nhưng nếu doanh nghiệp đồng thời chuyển dữ liệu người lao động cho công ty mẹ để ra quyết định nhân sự, hoặc hệ thống đó còn xử lý dữ liệu khách hàng, ứng viên — phần vượt ra ngoài phạm vi miễn trừ vẫn phải lập hồ sơ.

Hỏi: Thời hạn gửi hồ sơ cho cơ quan chuyên trách là bao lâu? Đáp: 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới (khoản 2 Điều 20). Tuy nhiên, do Nghị định 356 áp dụng cơ chế thẩm định tiền kiểm (thông báo đạt/không đạt trong 15 ngày), doanh nghiệp nên hoàn tất và gửi hồ sơ trước khi thực hiện lần chuyển đầu tiên để tránh rủi ro pháp lý.

Hỏi: Hồ sơ đánh giá tác động có phải làm lại mỗi năm không? Đáp: Không phải làm lại hằng năm. Khoản 3 Điều 20 quy định đánh giá tác động được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật khi có thay đổi. Doanh nghiệp cần xây dựng cơ chế cập nhật hồ sơ mỗi khi phát sinh mục đích chuyển mới, thay đổi bên nhận/bên xử lý, thay đổi hệ thống hoặc nhà cung cấp dịch vụ.

Hỏi: Chuyển dữ liệu trong nội bộ tập đoàn (công ty mẹ — công ty con) có phải lập hồ sơ không? Đáp: Có. Pháp luật không quy định miễn trừ riêng cho chuyển dữ liệu nội bộ tập đoàn. Công ty con tại Việt Nam là pháp nhân độc lập, việc chuyển dữ liệu cá nhân cho công ty mẹ hoặc công ty chị em ở nước ngoài vẫn là chuyển dữ liệu cá nhân xuyên biên giới và phải tuân thủ đầy đủ nghĩa vụ.

Hỏi: Không lập hồ sơ đánh giá tác động thì bị phạt bao nhiêu? Đáp: Khung phạt tiền tối đa đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề; trường hợp không có doanh thu hoặc mức tính theo doanh thu thấp hơn 3 tỷ đồng thì áp dụng mức 3 tỷ đồng (khoản 4 và khoản 5 Điều 8). Mức phạt cụ thể cho từng hành vi chờ văn bản quy định chi tiết của Chính phủ.

13. Bài viết liên quan trong cụm bảo vệ dữ liệu cá nhân

  • Luật Bảo vệ dữ liệu cá nhân 91/2025: nghĩa vụ của doanh nghiệp FDI từ 01/01/2026 (T-521): bài tổng quan toàn bộ 8 nhóm nghĩa vụ của doanh nghiệp FDI theo Luật 91/2025/QH15 — từ sự đồng ý, hồ sơ đánh giá tác động xử lý dữ liệu, đến thông báo vi phạm trong 72 giờ. Bài viết này (T-523) đi sâu vào một nghĩa vụ trong số đó: chuyển dữ liệu cá nhân ra nước ngoài.
  • Checklist tuân thủ Luật Bảo vệ dữ liệu cá nhân cho doanh nghiệp FDI (T-529): checklist 14 bước tuân thủ tổng thể — doanh nghiệp có thể dùng song song với checklist 10 bước chuyên biệt về chuyển dữ liệu xuyên biên giới tại mục 11 của bài viết này.
  • T-543 và T-545 (cùng cụm DAT): các bài viết chuyên sâu tiếp theo trong cụm bảo vệ dữ liệu cá nhân — sẽ được gắn liên kết khi hoàn thành.

14. Khi nào nên làm việc với luật sư

Doanh nghiệp FDI nên làm việc với luật sư khi: có nhiều luồng chuyển dữ liệu phức tạp (tập đoàn đa quốc gia, nhiều hệ thống, nhiều bên nhận ở các quốc gia khác nhau); cần đánh giá một luồng dữ liệu có thuộc diện miễn trừ hay không — đặc biệt là ranh giới của miễn trừ "lưu trữ dữ liệu người lao động trên cloud"; cần soạn thảo hoặc đàm phán lại hợp đồng chuyển giao dữ liệu với bên nhận ở nước ngoài; nhận được thông báo hồ sơ "không đạt yêu cầu" và chỉ có 30 ngày để hoàn thiện; hoặc khi xảy ra sự cố lộ, mất dữ liệu có yếu tố xuyên biên giới và đối mặt với nguy cơ kiểm tra đột xuất.

FLAT Law Firm tư vấn toàn diện về tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp FDI: rà soát luồng dữ liệu, đánh giá khả năng áp dụng miễn trừ, soạn thảo hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Mẫu số 09, chuẩn bị thủ tục thông báo và đồng hành trong quá trình làm việc với cơ quan chuyên trách. Liên hệ với chúng tôi để được tư vấn cho trường hợp cụ thể của doanh nghiệp bạn.

Tài liệu tham khảo

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thông qua 26/6/2025, hiệu lực 01/01/2026) — Điều 8, Điều 9, Điều 20.
  • Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (hiệu lực 01/01/2026) — Điều 18, Điều 39, Điều 42.

—