Hệ thống nhân sự của tập đoàn đặt tại Singapore, CRM đặt trên cloud tại Mỹ — cấu trúc CNTT tiêu chuẩn của doanh nghiệp FDI lại chính là hình thức chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Từ năm 2026, doanh nghiệp phải đi qua một lộ trình tuân thủ có thứ tự, và điểm đáng chú ý nhất là hai hệ thống này không chịu cùng một chế độ hồ sơ.
Căn cứ pháp lý
Điều 20 Luật 91/2025: một nghĩa vụ, hai số phận cho HR và CRM
Khoản 1 Điều 20 Luật 91/2025 xác định ba trường hợp chuyển dữ liệu cá nhân xuyên biên giới: chuyển dữ liệu đang lưu trữ tại Việt Nam tới hệ thống lưu trữ ngoài lãnh thổ; chuyển cho tổ chức, cá nhân ở nước ngoài; và sử dụng nền tảng ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam. Cả hệ thống nhân sự lẫn CRM trên cloud nước ngoài đều rơi vào trường hợp thứ ba. Khoản 2 buộc bên chuyển phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển; hồ sơ làm một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22 (khoản 3).
Tuy nhiên khoản 6 Điều 20 miễn trừ nghĩa vụ hồ sơ chuyển cho trường hợp cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây. Hệ thống nhân sự của tập đoàn — nơi dữ liệu nhân viên được lưu trên cloud — vì vậy được miễn hồ sơ đánh giá tác động chuyển. CRM chứa dữ liệu khách hàng không thuộc bất kỳ trường hợp miễn nào tại khoản 6: hồ sơ Điều 20 là bắt buộc. Cần nhấn mạnh miễn trừ chỉ gỡ bỏ hồ sơ chuyển; nghĩa vụ hồ sơ đánh giá tác động xử lý theo Điều 21, nguyên tắc bảo vệ dữ liệu và trách nhiệm khi xảy ra sự cố vẫn áp dụng đầy đủ cho cả hai hệ thống.
Phân tích áp dụng
Lộ trình tuân thủ đúng thứ tự gồm bốn bước. Bước một, lập bản đồ luồng dữ liệu: hệ thống nào chứa dữ liệu gì của ai, máy chủ và máy chủ dự phòng ở đâu, nhà cung cấp có thuê nhà thầu phụ ở nước thứ ba không — câu trả lời quyết định hệ thống nào cần hồ sơ Điều 20. Bước hai, hoàn thiện căn cứ xử lý và văn bản với nhà cung cấp: thỏa thuận xử lý dữ liệu (DPA) phải có cam kết chỉ xử lý theo lệnh của doanh nghiệp, biện pháp bảo mật, nghĩa vụ thông báo sự cố, hỗ trợ thực hiện quyền của chủ thể dữ liệu và trả/xóa dữ liệu khi chấm dứt. Bước ba, lập và nộp hồ sơ Điều 20 cho các luồng không được miễn trong 60 ngày kể từ ngày đầu tiên chuyển theo luật mới, gắn với hồ sơ Điều 21 đã nộp. Bước bốn, vận hành cơ chế sống: cơ quan chuyên trách có quyền kiểm tra định kỳ không quá 01 lần trong năm hoặc đột xuất (khoản 4 Điều 20) và yêu cầu ngừng chuyển nếu phát hiện dữ liệu bị dùng vào hoạt động có thể gây tổn hại quốc phòng, an ninh quốc gia (khoản 5) — doanh nghiệp cần sẵn phương án kỹ thuật rút dữ liệu về khi bị yêu cầu.
Về đồng ý của người lao động: việc xử lý dữ liệu nhân viên trong quan hệ lao động chủ yếu dựa trên hợp đồng lao động và nghĩa vụ pháp luật của người sử dụng lao động, không phải mọi luồng dữ liệu đều cần một đồng ý riêng. Nhưng ba trường hợp phải tách bạch: dữ liệu nhạy cảm (sinh trắc học chấm công, dữ liệu sức khỏe khám sức khỏe định kỳ) cần căn cứ và đồng ý rõ ràng tương ứng; việc chuyển dữ liệu nhân viên về tập đoàn cho mục đích nằm ngoài quản trị nhân sự tại Việt Nam (chẳng hạn phân tích nhân sự toàn cầu, đánh giá hiệu suất xuyên biên giới) vượt khỏi phạm vi quan hệ lao động thông thường và cần thông báo minh bạch cho người lao động; và người lao động luôn có quyền biết hệ thống nào đang xử lý dữ liệu của mình và dữ liệu đó lưu ở đâu.
Khuyến nghị hành động
- Lập bản đồ dữ liệu cho từng hệ thống (HR, CRM, ERP, email): loại dữ liệu, vị trí máy chủ, nhà thầu phụ — phân loại luồng nào được miễn hồ sơ Điều 20 theo khoản 6, luồng nào không.
- Ký phụ lục xử lý dữ liệu (DPA) với mọi nhà cung cấp cloud/SaaS: phạm vi xử lý theo lệnh, bảo mật, thông báo sự cố, hỗ trợ quyền chủ thể dữ liệu, trả/xóa dữ liệu khi kết thúc.
- Lập và nộp hồ sơ đánh giá tác động chuyển (Điều 20) cho dữ liệu khách hàng trong CRM trong 60 ngày kể từ ngày đầu tiên chuyển; đồng bộ với hồ sơ Điều 21.
- Ban hành thông báo xử lý dữ liệu riêng cho người lao động (hệ thống sử dụng, nơi lưu trữ, mục đích) và lấy đồng ý riêng cho dữ liệu nhạy cảm ngoài phạm vi hợp đồng lao động.
- Dự phòng phương án rút dữ liệu về Việt Nam hoặc chuyển nhà cung cấp khi cơ quan chuyên trách yêu cầu ngừng chuyển theo khoản 5 Điều 20.
Câu hỏi thường gặp
Doanh nghiệp FDI dùng hệ thống nhân sự, CRM đặt máy chủ ở nước ngoài phải tuân thủ quy định chuyển dữ liệu xuyên biên giới nào từ 2026?
Khung chính là Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: việc dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới (điểm c khoản 1), bên chuyển phải lập hồ sơ đánh giá tác động chuyển và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2), cập nhật theo Điều 22. Ngoại lệ quan trọng tại khoản 6: lưu trữ dữ liệu người lao động trên dịch vụ điện toán đám mây được miễn hồ sơ chuyển — nên hệ thống nhân sự được miễn phần hồ sơ này, còn CRM chứa dữ liệu khách hàng thì không và phải lập hồ sơ đầy đủ. Cả hai hệ thống vẫn chịu hồ sơ đánh giá tác động xử lý theo Điều 21.
Lộ trình tuân thủ gồm đánh giá tác động, thông báo và điều khoản hợp đồng với nhà cung cấp hệ thống ra sao?
Bốn bước nối tiếp: (1) bản đồ hóa luồng dữ liệu và phân loại theo khoản 6 Điều 20 để biết hệ thống nào cần hồ sơ chuyển; (2) hồ sơ đánh giá tác động — hồ sơ xử lý Điều 21 cho cả hai hệ thống và hồ sơ chuyển Điều 20 cho các luồng không được miễn, nộp trong các mốc 60 ngày luật định; (3) thông báo minh bạch cho chủ thể dữ liệu (nhân viên, khách hàng) về hệ thống, nơi lưu trữ và mục đích; (4) thỏa thuận xử lý dữ liệu với nhà cung cấp gồm cam kết xử lý theo lệnh, chuẩn bảo mật, thông báo sự cố kịp thời, hỗ trợ quyền của chủ thể dữ liệu, cấm thuê nhà thầu phụ ngoài danh sách đã duyệt và nghĩa vụ trả hoặc xóa dữ liệu khi chấm dứt hợp đồng.
Dữ liệu nhân viên chuyển về hệ thống tập đoàn có cần sự đồng ý riêng của người lao động không?
Không phải mọi luồng đều cần đồng ý riêng: xử lý dữ liệu nhân viên để thực hiện hợp đồng lao động và nghĩa vụ pháp luật của người sử dụng lao động có căn cứ độc lập với sự đồng ý. Đồng ý riêng trở nên cần thiết ở hai vùng: dữ liệu nhạy cảm (sinh trắc học, sức khỏe) khi căn cứ xử lý dựa trên sự đồng ý, và các mục đích nằm ngoài quản trị nhân sự thông thường tại Việt Nam như phân tích, chấm điểm nhân sự toàn cầu tại tập đoàn. Ngoài ra, kể cả khi không cần đồng ý, doanh nghiệp vẫn phải thông báo cho người lao động về việc dữ liệu được xử lý trên hệ thống của tập đoàn đặt ở nước ngoài — nghĩa vụ minh bạch không thay thế bằng hợp đồng lao động.
Nhà cung cấp cloud nước ngoài từ chối điều khoản tuân thủ Việt Nam thì doanh nghiệp xử lý thế nào?
Theo thang leo dần. Trước hết đàm phán phụ lục chuẩn: phần lớn nhà cung cấp SaaS lớn có sẵn phụ lục xử lý dữ liệu theo GDPR có thể ánh xạ sang yêu cầu của Luật 91/2025; điểm thường phải bổ sung là cam kết hỗ trợ hồ sơ Điều 20 và thông báo sự cố. Nếu nhà cung cấp vẫn từ chối các điều khoản cốt lõi (xử lý theo lệnh, thông báo sự cố, trả/xóa dữ liệu), doanh nghiệp không nên tiếp tục chuyển dữ liệu khách hàng lên hệ thống đó — trách nhiệm pháp lý thuộc về bên chuyển dữ liệu tại Việt Nam, không chuyển sang nhà cung cấp được. Phương án thay thế gồm: chọn nhà cung cấp có cam kết tương đương, triển khai mô hình lai (dữ liệu cá nhân lưu tại Việt Nam, chỉ dữ liệu đã ẩn danh hóa mới ra nước ngoài), hoặc mã hóa với khóa do doanh nghiệp nắm giữ để nhà cung cấp không truy cập được dữ liệu rõ.
