Tiêu đề topic giữ cách gọi theo Nghị định 13/2023/NĐ-CP vì đó là văn bản đã sinh ra thủ tục đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, nhưng doanh nghiệp nộp hồ sơ tại thời điểm bài viết này phải theo khung mới. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 điều chỉnh việc chuyển dữ liệu cá nhân ra nước ngoài ở cấp luật, và Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP với biểu mẫu và quy trình đánh giá tác động được làm mới. Hồ sơ đã nộp hợp lệ dưới thời Nghị định 13/2023 là căn cứ lịch sử tốt, nhưng doanh nghiệp phải đối chiếu lại nội dung theo biểu mẫu mới khi có thay đổi về luồng dữ liệu hoặc khi cơ quan chuyên trách yêu cầu cập nhật.
Khung đã đổi: đánh giá tác động chuyển dữ liệu nay đứng trên Luật 91/2025
Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài về bản chất trả lời sáu câu hỏi: bên chuyển và bên nhận là ai, dữ liệu của bao nhiêu chủ thể và thuộc loại nào, mục đích chuyển và căn cứ hợp pháp gồm cả đồng ý của chủ thể dữ liệu khi luật yêu cầu, biện pháp bảo vệ ở nước nhận gồm hợp đồng ràng buộc bên nhận, đánh giá rủi ro của việc chuyển, và đầu mối liên hệ cùng cam kết cập nhật khi luồng dữ liệu thay đổi. Hồ sơ được gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an theo thủ tục của Nghị định 356/2025/NĐ-CP, và doanh nghiệp phải lưu toàn bộ tài liệu nền gồm hợp đồng với bên nhận ở nước ngoài để xuất trình khi kiểm tra.
Hồ sơ đánh giá tác động chuyển dữ liệu gồm những gì
Hoạt động chuyển dữ liệu thường bị doanh nghiệp đánh giá thấp vì nó ẩn trong công cụ làm việc hằng ngày: phần mềm quản trị quan hệ khách hàng đặt máy chủ nước ngoài, công cụ phân tích, hệ thống nhân sự của tập đoàn và cả dịch vụ đám mây của trung tâm dữ liệu. Mỗi luồng là một hoạt động chuyển cần được kê trong bản đồ dữ liệu và đánh giá tác động tương ứng; việc dùng một nhà cung cấp cloud lớn không miễn trừ thủ tục, và hợp đồng xử lý dữ liệu với nhà cung cấp phải thể hiện đúng vai trò bên nhận dữ liệu ở nước ngoài để hồ sơ đánh giá tác động khớp với thực tế vận hành.
Dữ liệu quan trọng và dữ liệu lõi: lớp kiểm soát riêng của Luật Dữ liệu
Một lớp kiểm soát riêng chạy song song là Luật Dữ liệu số 60/2024/QH15 với dữ liệu lõi và dữ liệu quan trọng: tổ chức nắm giữ các loại dữ liệu này phải tuân thủ yêu cầu riêng về chuyển giao và cung cấp ra nước ngoài, nghiêm ngặt hơn hẳn chế độ dữ liệu cá nhân thông thường. Doanh nghiệp hoạt động trong lĩnh vực thuộc danh mục dữ liệu quan trọng cần phân loại kho dữ liệu của mình trước khi thiết kế luồng chuyển, vì một hồ sơ đánh giá tác động dữ liệu cá nhân hoàn hảo vẫn không hợp lệ hóa được việc chuyển dữ liệu lõi trái điều kiện của pháp luật dữ liệu.
Câu hỏi thường gặp
Chuyển dữ liệu khách hàng ra máy chủ nước ngoài cần làm thủ tục gì?
Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi cơ quan chuyên trách thuộc Bộ Công an theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, hai văn bản đã thay khung Nghị định 13/2023/NĐ-CP từ 01/01/2026, kèm hợp đồng ràng buộc bên nhận dữ liệu.
Hồ sơ đánh giá tác động chuyển dữ liệu gồm những gì?
Thông tin bên chuyển và bên nhận, loại dữ liệu và số lượng chủ thể, mục đích và căn cứ hợp pháp của việc chuyển, biện pháp bảo vệ tại nơi nhận, đánh giá rủi ro và cam kết cập nhật khi luồng dữ liệu thay đổi, theo biểu mẫu của Nghị định 356/2025/NĐ-CP.
Chuyển dữ liệu bằng công cụ cloud nước ngoài có phải làm đánh giá tác động không?
Có. Mọi luồng đưa dữ liệu cá nhân ra khỏi Việt Nam qua phần mềm và đám mây nước ngoài đều là hoạt động chuyển dữ liệu cần kê khai và đánh giá tác động; quy mô nhà cung cấp không tạo miễn trừ, và hợp đồng xử lý dữ liệu phải khớp vai trò bên nhận ở nước ngoài.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng