Tình huống thực tế: một công ty Hà Lan có chi nhánh tại Việt Nam — dữ liệu khách hàng Việt Nam được đồng bộ về máy chủ ở Amsterdam mỗi đêm. Họ nghĩ “công ty mẹ con với nhau thì sao phải lo” — rồi phát hiện: chiều Việt Nam → Hà Lan phải tuân thủ Luật 91/2025 của Việt Nam; chiều Hà Lan → Việt Nam (truy cập từ xa) phải tuân thủ GDPR. Chuyển dữ liệu hai chiều là hai bộ thủ tục — không có “một cửa”.
1. Chiều Việt Nam → Hà Lan: Luật 91/2025 và NĐ 356/2025
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) cùng Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP) quản lý chuyển dữ liệu cá nhân ra nước ngoài: doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu, có cơ chế bảo vệ (hợp đồng, biện pháp kỹ thuật) và thực hiện thủ tục với cơ quan quản lý theo quy định. Kể cả chuyển nội bộ tập đoàn (mẹ–con) cũng không được miễn — “cùng một công ty” không phải lý do. Dữ liệu nhạy cảm (sức khỏe, sinh trắc…) có yêu cầu cao hơn.
2. Chiều Hà Lan → Việt Nam: GDPR và “cửa” SCCs
GDPR của EU cấm chuyển dữ liệu cá nhân ra ngoài EEA trừ khi có cơ chế hợp lệ: adequacy decision (quyết định công nhận mức độ bảo vệ tương đương — Việt Nam không có), SCCs (điều khoản hợp đồng mẫu của EC), BCRs (quy tắc nội bộ tập đoàn) hoặc các ngoại lệ hẹp. Thực tế cho tập đoàn Hà Lan–Việt: SCCs + đánh giá tác động chuyển dữ liệu (TIA) là combo phổ biến — ký SCCs giữa công ty mẹ và chi nhánh, đánh giá luật Việt Nam có “làm suy yếu” bảo vệ không. Vi phạm GDPR: phạt tới 4% doanh thu toàn cầu — con số khiến mọi hội đồng quản trị phải chú ý.
3. Checklist chuyển dữ liệu hai chiều
- Lập bản đồ dữ liệu: dữ liệu gì, đi chiều nào, lưu ở đâu — không lập bản đồ thì không tuân thủ được.
- Chiều VN → EU: hồ sơ đánh giá tác động + thủ tục theo NĐ 356/2025.
- Chiều EU → VN: SCCs/BCRs + TIA theo GDPR.
- Hợp đồng nội bộ: thỏa thuận xử lý dữ liệu giữa mẹ–con, điều khoản bảo mật, phân quyền truy cập.
- Quyền của chủ thể: cơ chế tiếp nhận yêu cầu xóa/sửa/truy cập dữ liệu — cả hai hệ thống đều yêu cầu.
Chuyển dữ liệu: hai chiều, hai bộ thủ tục — làm đủ cả hai
Bài viết mang tính thông tin chung. Mỗi mô hình dữ liệu cần đánh giá riêng. FLAT Law Firm hỗ trợ doanh nghiệp tuân thủ pháp luật dữ liệu tại Việt Nam. Liên hệ với chúng tôi để được tư vấn.
Bài viết chỉ cung cấp thông tin chung, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể. Quy định có thể thay đổi; vui lòng kiểm tra văn bản hiện hành.
Câu hỏi thường gặp
1. Chuyển dữ liệu nội bộ tập đoàn có phải tuân thủ?
Có — cả Luật 91/2025 và GDPR đều không miễn trừ chuyển nội bộ mẹ–con.
2. SCCs là gì?
Standard Contractual Clauses — điều khoản hợp đồng mẫu của EC cho chuyển dữ liệu ra ngoài EEA.
3. Việt Nam có adequacy decision?
Không — nên chuyển dữ liệu từ EU về Việt Nam phải dùng SCCs/BCRs hoặc ngoại lệ.
4. NĐ 356/2025 quy định gì?
Hướng dẫn Luật 91/2025 — thay thế NĐ 13/2023; quy định chuyển dữ liệu ra nước ngoài.
5. Vi phạm GDPR phạt bao nhiêu?
Tới 4% doanh thu toàn cầu — mức phạt cao nhất trong các luật dữ liệu.
Bài viết đang chờ Hội đồng QA rà soát.
Bài viết liên quan
- Ngành nghề nào nhà đầu tư nước ngoài không được sở hữu 100% vốn?
- Ưu và nhược điểm của công ty 100% vốn nước ngoài: sổ cái rủi ro
- Khi nào nên chọn công ty 100% vốn nước ngoài thay vì liên doanh?
- Rà soát nhà cung cấp dưới áp lực EUDR: khách hàng EU đánh giá nông hộ Việt Nam
- Mua sắm công Australia theo CPTPP: cơ hội cho nhà thầu Việt Nam